Gizlilik Politikası

Kısaca

Notla, Bulut Studio bünyesinde geliştirilen, Türk B2B şirketlerin saha satış konuşmalarını Türkçe AI ile yapısal hafızaya çeviren bir SaaS'tır. Verilerini KVKK kapsamında işleriz; üçüncü taraflara satmayız; ekibinden ayrılan bilgi şirkette kalsın diye depolarız.

Ne topluyoruz?

• Hesap bilgileri (e-posta, ad-soyad, şirket, rol)
• Demo talebi bilgileri (firma, iş e-postası, ekip büyüklüğü, not). Ham IP yalnız kısa süreli kötüye kullanım sınırında tek yönlü özetlenir; demo kaydında tutulmaz
• Saha temsilcisinin yüklediği ses kayıtları
• Yeni ses analizlerinde oluşan ham ASR çıktısı, maskelenmiş kaynak transkript, yayımlanan transkript ve yapısal özetler. Ham ASR çıktısı kişisel veri içerebilir; normal uygulama ekranlarında gösterilmez
• Müşteri, sipariş, masraf, görev, hedef, randevu, bilgi bankası vb. iş verileri
• Kullanım logları (giriş/çıkış, IP, audit kayıtları)

Detaylı liste: Aydınlatma Metni.

Nasıl topluyoruz?

Verileri elektronik ortamda; kayıt ve demo formları, oturum açılmış web ve mobil ekranları, mikrofon/kamera kullanımı, dosya ve transkript yükleme, kullanıcının müşteri adına girdiği bilgiler ve otomatik güvenlik/işlem kayıtları yoluyla topluyoruz. Görüşülen kişilere ait bilgiler doğrudan o kişiden veya Notla müşterisi şirketin yetkili kullanıcısından gelebilir.

Neden?

• Hizmeti sunmak (kayıt → özet → arama)
• Yönetici karar verme (raporlama, audit)
• Hizmet kalitesini ölçmek ve iyileştirmek
• Yasal yükümlülükler (KVKK, vergi, ticaret hukuku)

Kimlerle paylaşıyoruz?

Notla veriyi satmaz. Hizmeti sunmak için aşağıdaki teknik zincirde yalnız işlev için gereken veri kullanılır:

• Vercel: web arayüzü ve demo talebi endpoint'i; form verisi istek sırasında bu altyapıdan geçer, kişisel veri içeren uygulama logu tutulmaz
• Railway: backend, arka plan işleri, kuyruk/cache ve operasyonel çalışma ortamı. Zararlı yazılım taraması ile ana depodan bağımsız dosya yedeği, ancak ilgili bileşenler etkinleştirilip doğrulandığında uygulanır. 2026-08-13 tarihli yapılandırma anında bu iki işlev aktif değildir. Bunlardan biri etkinleştirilmeden önce kamuya açık hukuki metin, sürüm ve kanonik doküman özeti fiili kapsamla yenilenir; gerekli yeniden kabul ve hukuki inceleme tamamlanır
• Supabase: Avrupa Birliği içindeki seçili eu-central-1 proje bölgesinde ana veritabanı ve birincil özel dosya saklama
• Sentry: kişisel veri maskelemesi uygulanmış teknik hata ve performans olayları
• Resend: hesap ve bildirim e-postalarının adres, içerik ve teslimat metadatası; sağlayıcı politikası Amerika Birleşik Devletleri'ne aktarım olabileceğini belirtir
• AssemblyAI: sesin metne çevrilmesi için ham ses ve oluşan metin
• Anthropic: maskelenmiş transkriptin yapısal özete dönüştürülmesi yanında WhatsApp metni, bilgi bankası sorusu ve seçilen belge parçaları; kartvizit veya fiş görseli, normalize edilmiş görsel ya da taranmış PDF içeriğinin okunması. Metne dönüşmemiş görsel ve PDF baytlarında önceden metin tabanlı maskeleme yapılamayabilir
• Voyage AI: bilgi bankası belge parçaları ve kullanıcı soruları, kayıt arama sorguları ile kullanıcı tarafından düzenlenmiş olabilen kayıt özetlerinin vektör temsiline dönüştürülmesi. Bu girdilerin her zaman maskelenmiş olduğu varsayılmaz
• Yasal zorunluluk: sadece resmi makamların yazılı talebinde, KVKK kuralları çerçevesinde.
• Asla: reklam ağları, veri brokerları, üçüncü taraf analitik.

Bu sağlayıcıların bir kısmında Türkiye dışına aktarım doğar. Her aktarım için KVKK m.9 kapsamındaki geçerli şartın, gerekli sözleşme ve bildirim adımlarının ayrıca doğrulanması gerekir; bu liste imzalanmış standart sözleşme beyanı değildir. Ayrıntılar Aydınlatma Metni'nde yer alır.

Belge/görüntü okuma sınırı: Taranmış PDF, ekran görüntüsü, fotoğraf veya el yazısı notta metin henüz çıkarılmadığı için sağlayıcıya gönderimden önce metin tabanlı kişisel veri maskelemesi uygulanamayabilir. Yalnız işle ilgili, gerekli içeriği yükleyin.

İçe aktarılan ham metni ne kadar saklıyoruz?

Yeni saklama politikası kapsamında oluşturulan ham transkript kaynağı, yalnız başarısız aktarımı yeniden denemek için en fazla 7 gün tutulur ve başarılı işlemde daha erken temizlenir. Bu süre önceki kaynaklara geriye dönük atanmaz; işlenmiş transkript kendi kayıt yaşam döngüsünü izler.

Demo taleplerini ne kadar saklıyoruz?

Yeni saklama politikası yürürlüğe girdikten sonra alınan ve iş ilişkisine dönüşmeyen demo taleplerine oluşturuldukları anda 30 günlük sona erme tarihi atanır. Önceki taleplere geriye dönük tarih atanmaz veya mevcut içerikten tarih çıkarımı yapılmaz. Süresi dolan yeni kayıtlar silmeye adaydır; fiziksel silme, ayrıca ve açıkça onaylanmış silme işi devreye alınana kadar otomatik yapılmaz.

Verini nasıl koruyoruz?

• Aktarım sırasında TLS ve HSTS
• Saklama sırasında ve aktarım sırasında şifreleme
• Çalışma alanı izolasyonu ile şirketler arası erişim engeli
• Ham ASR çıktısı normal ürün yanıtlarında gösterilmez; özetleme ve ürün ekranlarında kullanılan metin LLM'e gitmeden önce PII etiketleriyle maskelenir (TC kimlik, telefon, IBAN, e-posta, müşteri ve kişi adları, adres)
• Audit log DB-level immutable (UPDATE/DELETE engelli)
• Bcrypt cost 14 parola + brute-force lockout
• JWT rotation + replay detection
• Erişim kayıtları; etkin yapılandırma ve güncel operasyon kanıtı bulunduğu ölçüde yedek ve geri yükleme kontrolleri. 2026-08-13 tarihli yapılandırma anı günlük bağımsız dosya yedeği garantisi vermez. Aktivasyon öncesinde kamuya açık hukuki metin, sürüm ve kanonik doküman özeti fiili kapsamla yenilenir; gerekli yeniden kabul ve hukuki inceleme tamamlanır

Hakların (KVKK m.11)

Verini görme, düzeltme, silme, yurt dışı aktarımına itiraz, otomatik karar verme süreçlerine itiraz hakkın var.

• Self-service: Ayarlar → veri export / hesap sil
• Manuel talep: hello@notla.app

Çerezler

Üçüncü taraf takip çerezi (Google Analytics, Facebook Pixel, reklam ağları) kullanmıyoruz. Sadece operasyonel:

• notla_refresh – httpOnly oturum yenileme cookie'si (1 ay TTL, Secure, SameSite)
• notla.theme – tema tercihi (localStorage, kişisel veri değil)

İletişim

Sorun, talep, veri ihlali bildirimi için: hello@notla.app. En geç 30 gün içinde dönüş yaparız (KVKK m.13).

Değişiklikler

Bu metin değişirse versiyonlanır ve uygulama içinde bildirilir. Yeni bir veri işleme amacı açık rıza gerektiriyorsa, aydınlatma teyidinden ayrı, isteğe bağlı ve geri alınabilir bir beyan sunulur.