Gizlilik Politikası

Son güncelleme: 27 Ağustos 2026

Bu metin taslak niteliğindedir ve hukuki danışman incelemesinden geçmemiştir. Nihai sürüm yayımlanana kadar bağlayıcılığı sınırlıdır.

1. Genel Bakış

Lexa AI olarak, kullanıcılarımızın ve müşterilerimizin gizliliğine büyük önem veriyoruz. Bu politika, hizmet sunumumuz sırasında topladığımız verileri, bunları nasıl kullandığımızı ve haklarınızı açıklar. KVKK aydınlatma metnimize ulaşmak için KVKK sayfamızı okuyabilirsiniz.

2. Toplanan Veri Türleri

2.1. Hesap + Firma Verisi

Ad, soyad, e-posta (Supabase Auth)
Firma unvanı, VKN/TCKN, sektör, şehir, yıllık GBF ihtiyacı
KKDIK kapsamı işareti

2.2. Mevzuat İçeriği

Yüklenen SDS PDF dosyaları (Supabase Storage, EU-Central-1)
Üretilen GBF dokümanları + revizyonları
Karışım formülasyonları + UFI bildirimi

2.3. Operasyon + Telemetri

Audit log (her aksiyon: yükleme, mühürleme, indirme — 5 yıl saklama)
AI token kullanımı + maliyet metrikleri
Hata izleme (Sentry — PII scrubbing aktif, request body gönderilmez)
Request log (x-request-id, route, durationMs — Pino JSON)

3. Çerez Kullanımı

Lexa AI sadece zorunlu çerezleri kullanır:

sb-access-token / sb-refresh-token: Supabase Auth oturum yönetimi (zorunlu, oturum süresi)
lexa-locale: Dil tercihi (Faz 2)

Analitik veya pazarlama çerezi kullanmıyoruz. Üçüncü taraf cookie yok.

4. Veri Aktarımları

4.1. Veri Yerleşimi

Birincil veri merkezi: Supabase EU-Central-1 (Frankfurt). AB Genel Veri Koruma Tüzüğü (GDPR) ve KVKK eşdeğer koruma standartlarına tabidir.
CDN + edge: Vercel fra1 (Frankfurt) — TR/EU müşterileri için düşük gecikme.

4.2. Üçüncü Taraf Hizmet Sağlayıcıları

Anthropic (ABD): AI parser + GBF üretimi + tercüme. Veriler Zero Data Retention politikası altında — training için kullanılmaz, işlem sonrası silinir.
Sentry (AB): Hata izleme — PII scrubbing aktif, kullanıcı içeriği gönderilmez.
Kuveyt Türk Katılım Bankası A.Ş. (TR): Sanal POS — sipariş ödemesi için kart bilgisi bankanın kendi PCI-DSS kapsamında işlenir; kart verisi Lexa sunucularında saklanmaz.
e-Tugra (TR): KDU e-imza + TÜBİTAK akredite zaman damgası — İLERİDE opsiyonel faz. Mevcut yasal yöntem: akredite KDU sertifikasının belgeye eklenmesidir.
Brevo (FR): İşlemsel e-posta (signup confirmation, fatura). GDPR uyumlu.

5. Güvenlik Önlemleri

Encryption-at-rest: Postgres + Storage (AES-256, Supabase native)
Encryption-in-transit: TLS 1.3, HSTS aktif
RBAC + Row-Level Security: Çok-kiracılı veri izolasyonu — firmId bazlı erişim
API token + scope: Public API erişimi sınırlı yetkili
Audit log: Her kritik aksiyon değişmez kayıt
Rate limiting: IP/user/firma bazlı abuse koruması
Webhook HMAC: SHA-256 imza, 5dk replay window

6. Veri Saklama + İmha

Aktif kullanıcı verisi: Hesap aktifken
Pasif hesap: 6 ay sonra silme talebi başlatılır
Audit logs: En az 10 yıl (KKDİK Madde 32 yasal yükümlülük)
Faturalandırma: 10 yıl (VUK 253)
GBF + SDS: Müşteri silmediği sürece (yasal saklama yükümlülüğü)

7. Haklarınız

KVKK Madde 11 kapsamındaki tüm haklarınızı kullanmak için detaylı bilgi KVKK Aydınlatma Metni sayfasındadır.

8. Çocukların Gizliliği

Lexa AI 18 yaş üstü gerçek ve tüzel kişilere hizmet sunar. Çocuklardan bilerek veri toplamayız.

9. Politika Değişiklikleri

Bu politika değiştiğinde önemli değişiklikler için e-posta ile bildirim göndeririz. Güncellemeler bu sayfada yayımlandığı tarihte yürürlüğe girer.

10. İletişim

Gizlilik konusundaki sorular: info@sololabs.com.tr