Gizlilik Politikası
Özet (TLDR): DAİ Mail Asistanı, e-postalarınızı yapay zeka ile düzenleyen bir iş birliği yönetim aracıdır.
Verileriniz uçtan uca şifrelidir ve sunucularımızda okunamaz şekilde tutulur.
Master şifreniz biz dahil hiçbir kimseye aktarılmaz.
1. Veri Sorumlusu
İşbu Gizlilik Politikası, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve GDPR (AB 2016/679) kapsamında düzenlenmiştir.
2. Toplanan Kişisel Veriler
2.1. Doğrudan toplananlar (sizin verdikleriniz)
| Veri | Amaç | Saklama |
|---|
| E-posta adresi | Bulut hesap girişi, çoklu cihaz senkronu | Sunucu (düz metin, kimlik için) |
| Hesap şifresi | Sunucu doğrulaması | Sunucu (scrypt hash, geri çevrilemez) |
| Master şifre | Verilerinizi şifrelemek/açmak | Sadece sizin cihazınızın RAM'inde — sunucuya HİÇBİR ZAMAN gönderilmez |
| TOTP gizli anahtar | 2 faktörlü doğrulama | Sunucu (sadece sizin hesabınız için, başka kimseye paylaşılmaz) |
2.2. Google üzerinden alınanlar (OAuth ile, yetkilendirdiğinizde)
| Veri | OAuth Scope | Amaç |
|---|
| Gmail mesajları (okuma) | gmail.readonly | İş birliği maillerini panele çekmek, AI ile analiz etmek |
| Gmail mesaj gönderimi | gmail.send | AI'ın hazırladığı cevapları sizin onayınızla göndermek |
| Gmail etiket / okunma durumu | gmail.modify | Mailleri yıldızlama, arşivleme, kategori etiketi |
| Profil bilgileri (ad, fotoğraf) | profile, email | Panelde gösterim |
2.3. Otomatik toplananlar
| Veri | Amaç | Saklama |
|---|
| IP adresi (geçici) | Güvenlik, rate limit | Sunucu erişim log'u — 30 gün |
| Tarayıcı user-agent | Hata ayıklama | Sunucu log'u — 30 gün |
| Hata günlükleri | Uygulamayı düzeltmek | Sunucu log'u — 30 gün, kişisel veri içermez |
İŞLEMEDIĞIMIZ veriler: Mail içerikleri, brand isimleri, CRM verileri, sohbet geçmişiniz, Gemini API anahtarınız — bunların hepsi sizin cihazınızda AES-256-GCM ile şifrelenir; sunucumuza yalnızca şifrelenmiş ham baytlar olarak ulaşır. İçeriklerini görebilmek için master şifreniz gerekir, o ise bizde yoktur.
3. Verilerin İşlenme Hukuki Sebepleri (KVKK Md. 5)
- Sözleşmenin kurulması ve ifası — Hizmeti vermek için zorunlu (e-posta, şifre hash, TOTP, OAuth token'ları)
- Açık rıza — Mail içeriği işleme (mail kategorize etmek, AI cevap üretmek için)
- Meşru menfaat — Güvenlik log'ları, IP adresi (saldırı tespiti)
4. Üçüncü Taraflarla Paylaşım
| Taraf | Hangi veri | Amaç | Konum |
|---|
| Google LLC | OAuth token'ları, mail okuma/gönderme API çağrıları | Gmail entegrasyonu (hizmetin özü) | ABD (Standart Sözleşme Hükümleri ile koruma) |
| Google Gemini API | Mail içeriği (sadece analiz anında, kalıcı saklanmaz) | AI özet, cevap üretme | ABD |
| Hostinger International Ltd. | Şifreli bloblar (içerik anlaşılamaz) | Sunucu altyapısı | AB (Litvanya / Hollanda data center) |
| Let's Encrypt | Domain adı (TLS sertifikası için) | HTTPS sertifikası | ABD |
Üçüncü taraflarla paylaşılmayanlar: Reklam ağları, analitik firmaları (Google Analytics dahil), satış-pazarlama firmaları. Verinizi ÜÇÜNCÜ TARAFA SATMIYORUZ veya REKLAM AMAÇLI KULLANMIYORUZ.
5. Veri Saklama Süreleri
- Hesap aktif olduğu sürece kişisel veriler işlenir
- Hesap silme talebi: 30 gün içinde tüm veriler kalıcı silinir
- Sunucu log'ları: 30 gün sonra rotate edilir
- Şifreli bloblar: hesap aktifken; hesap kapatılınca anlık silinir
- Yedekler: yedek alınmıyor (kullanıcı verisini sunucuda tutmuyoruz — şifreli)
6. KVKK Madde 11 — Haklarınız
Aşağıdaki haklarınızı collab@tasarimcidayi.com adresine yazarak kullanabilirsiniz. Talebiniz en geç 30 gün içinde ücretsiz olarak yanıtlanır:
- Kişisel verilerinizin işlenip işlenmediğini öğrenme
- İşleniyorsa hangi amaçla işlendiğini öğrenme
- Yurt içinde / yurt dışında aktarıldığı 3. tarafları bilme
- Eksik / yanlış işlenmişse düzeltilmesini isteme
- KVKK Md. 7'deki şartlar dahilinde silinmesini / yok edilmesini isteme
- İşlenen verilerin makine-okunabilir formatta size verilmesini isteme (veri taşınabilirliği)
- Otomatik karar verme süreçlerine (varsa) itiraz etme
- Hukuka aykırı işleme nedeniyle zarara uğramışsanız tazminat talep etme
7. Veri Güvenliği Önlemleri
- TLS 1.2+ tüm bağlantılarda zorunlu (HTTP otomatik HTTPS'e yönlendirilir, HSTS preload aktif)
- Uçtan uca şifreleme — Kullanıcı verisi AES-256-GCM ile şifreli (PBKDF2-SHA256, 600.000 iterasyon)
- İki faktörlü doğrulama (2FA) — Tüm bulut hesapları için zorunlu (TOTP/RFC 6238)
- Şifre hash'leme — scrypt (RFC 7914), tuzlu, geri çevrilemez
- Düzenli güvenlik taramaları — Haftalık OWASP ZAP otomatik taraması (`/var/log/dai-security`)
- Sızma testi — CASA Tier 2 self-assessment (OWASP ASVS v4.0)
- Erişim kontrolü — Sunucuya sadece SSH key ile erişim, root hesabı sadece sahibinde
- İzleme — Caddy ve systemd journald ile log'lar; fail2ban benzeri saldırı tespiti
8. Veri İhlali Bildirimi
Herhangi bir veri ihlali tespit edildiğinde:
- Kullanıcı: 72 saat içinde e-posta ile bilgilendirilir, etkilenen veri kümeleri açıklanır
- KVK Kurumu: 72 saat içinde KVKK Md. 12/5 uyarınca bildirim yapılır
- Uçtan uca şifreleme sayesinde sunucu ihlali olsa bile içerik okunabilir olmaz; bu durum bildirimde belirtilir
9. Çerezler ve Tarayıcı Depolaması
- Çerez KULLANILMAZ — analytics, tracking, marketing yok
- Sadece tarayıcının localStorage'ı: oturum token'ı (zorunlu, hizmet için gerekli)
- Service Worker (PWA): static dosyaları offline kullanım için cache'ler
10. Çocukların Gizliliği
DAİ Mail 18 yaş altı kullanıcılar için tasarlanmamıştır. 18 yaş altı bir kişiden bilerek kişisel veri toplamayız. Çocuğunuzun hizmeti kullandığını fark ederseniz lütfen bildirin, hesabı silelim.
11. Politika Değişiklikleri
Bu politikada esaslı bir değişiklik olursa, en az 30 gün önce e-posta veya uygulama içi bildirim ile haber verilir. Eski sürümler arşivde tutulur ve istek üzerine paylaşılır.
12. Yetkili Yargı
İşbu Politika Türkiye Cumhuriyeti yasalarına tabidir. KVK Kurumu'na şikayet hakkınız saklıdır: kvkk.gov.tr