Gizlilik Politikası

1. Veri Sorumlusu

Veri Sorumlusu: KiraSicil A.Ş. (şirket kuruluşu lansman öncesinde tamamlanacaktır)
Adres: Maslak Mahallesi, İstanbul / Türkiye
VERBİS Sicil No: PENDING (lansman öncesi tescil edilecektir)
İletişim: dpo@kirasicil.ai (Veri Sorumlusu Temsilcisi / DPO)
KEP: kirasicil@hs01.kep.tr

2. Kapsam ve Tanımlar

Bu politika, kirasicil.ai alan adı altında sunulan tüm web siteleri, mobil uygulamalar, API hizmetleri ve müşteri destek kanalları için geçerlidir.

• Kişisel Veri: kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• İlgili Kişi: kişisel verisi işlenen gerçek kişi (siz).
• İşleme: kişisel verilerin tamamen veya kısmen otomatik olan ya da olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, aktarılması, silinmesi vb. işlemler.
• Açık Rıza: belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

3. Hangi Verileri Topluyoruz?

3.1. Lansman öncesi (bu dönemde)

Şu an yalnızca aşağıdaki verileri topluyoruz:

• E-posta adresi — sadece lansman duyurusu için.
• İlgilendiğiniz rol — kiracı, ev sahibi, emlakçı, portföy yöneticisi.
• Sistem verileri — IP adresi, tarayıcı/cihaz bilgisi, KVKK rıza zamanı — audit log için.

E-posta adresleri form gönderim aracı Web3Forms üzerinden bize iletilir; oradan KVKK uyumlu e-posta listesi sağlayıcımıza aktarılır. İstediğiniz an "listeden çıkmak" mümkündür.

3.2. Lansman sonrası (planlanan)

Hizmet kullanıma açıldığında ve yalnızca ilgili özelliği kullanmayı tercih ettiğinizde aşağıdaki kişisel veriler işlenebilir:

• Kimlik: ad-soyad, doğum tarihi (yalnızca yaşı doğrulamak için), TC kimlik (yalnızca SHA-256 hash + son 4 hane saklanır), pasaport numarası (yabancı uyruklu kullanıcılar için).
• İletişim: e-posta, telefon, ikametgah ili/ilçesi.
• Kira ilişkisi: sözleşme metni (özet ve önemli alanlar), kira tutarı, depozito, ödeme davranışı, doğrulanmış eski ev sahibi referansları.
• Finansal/işlem: SGK Hizmet Dökümü, maaş bordrosu, ödeme dekontları (gelir/kira oranı doğrulaması için, opsiyonel).
• Belge metaverisi: yüklenen belgelerin tarihi, türü, hash'i; içerik OCR ile sınıflandırılır.
• Sistem: IP, tarayıcı/cihaz, oturum ve audit log kayıtları.
• İletişim kayıtları: destek talepleri, referans araması ses kayıtları (yalnızca açık rızaya bağlı).

Ne işlenmez: ırk, din, siyasi görüş, sendika üyeliği, biyometrik veri, sağlık verisi, cinsel yaşam (KVKK m.6 hassas veri istisnaları aşağıda).

4. İşleme Amaçları

Verileriniz aşağıdaki amaçlar için işlenir:

1. Lansman duyurusu ve erken erişim yönetimi (lansman öncesi dönemde geçerli tek amaç).
2. Kira ilişkisi öncesi risk değerlendirmesi ve KiraSicil Skoru üretimi.
3. Kullanıcı kimlik ve kefil doğrulaması.
4. Kira sözleşmesi üretimi, AI destekli madde analizi ve elektronik imza süreçleri.
5. Hukuki yükümlülüklerin yerine getirilmesi (TBK, Vergi mevzuatı, ETBİS, MASAK).
6. Şikayet, itiraz ve dava süreçlerinin yürütülmesi.
7. Hizmet geliştirme, dolandırıcılık tespiti ve bilgi güvenliği.
8. Anonimleştirilmiş verilerle istatistik ve raporlama.

5. Hukuki Sebepler

6. Hassas Veri

KiraSicil.AI, KVKK m.6 kapsamındaki hassas verileri kural olarak işlemez. İstisnai olarak, adli sicil var/yok bilgisi, yalnızca ilgili kişinin kendisinin e-Devlet üzerinden alıp yüklemesi halinde, ilgili rapor süreci için saklanır ve süreç sonunda silinir.

7. Otomatik Karar & Yapay Zekâ

Platformda münhasıran otomatik karar mekanizması yoktur. KiraSicil Skoru (300–900) açıklayıcı ve istatistiki bir araçtır; herhangi bir kira başvurusunun reddi/kabulü her zaman bir gerçek kişi (ev sahibi/emlakçı) tarafından verilir.

Yapay zekâ modeli (Anthropic Claude) yalnızca:

• açıklama metni üretmek için (örn. "skoru bu faktörler nedeniyle 720"),
• sözleşme maddesi taraması için (TBK referansıyla),
• belge sınıflandırma ve sahtecilik tespiti için

kullanılır. Tüm AI çıktıları "hukuki tavsiye değildir" disclaimer'ı ile sunulur.

KVKK m.11/g hakkınız: skor sonuçlarına ve AI çıkarımlarına dpo@kirasicil.ai üzerinden ücretsiz itiraz edebilirsiniz.

8. Veri Aktarımı

Kişisel verileriniz, gerekli ve orantılı olduğu ölçüde aşağıdaki taraflara aktarılabilir:

• Yetkili mahkemeler ve idari makamlar (Kişisel Verileri Koruma Kurulu, MASAK, vergi otoriteleri).
• Bulut altyapı sağlayıcıları (MongoDB Atlas Frankfurt, Cloudflare R2 EU, Google Cloud europe-west3).
• Anthropic (AI işleme — Avrupa endpoint, KVKK uyumlu Standart Sözleşmeler ile).
• Ödeme hizmet sağlayıcıları (iyzico, PayTR, Stripe — yalnızca işlem için zorunlu veriler).
• Kimlik doğrulama servisleri (Veriff/Onfido, Twilio Verify) — yalnızca açık rıza ile.
• SMS/E-posta sağlayıcıları (Twilio, Web3Forms — lansman öncesi).
• Bağımsız denetçiler (KVKK uyum denetimi, ISO 27001 audit), gizlilik anlaşmaları altında.

Üçüncü kişilerle veri paylaşımında Veri İşleyen Sözleşmeleri (Data Processing Agreement) imzalanır.

9. Yurt Dışına Aktarım

Bazı altyapı sağlayıcıları Avrupa Birliği içerisinde (Almanya / Frankfurt, İrlanda) konumludur. Aktarımlar:

• KVKK Kurulu kararı ile yeterli koruma sağlandığı kabul edilen ülkelere; veya
• Kurul tarafından onaylı Standart Sözleşmeler imzalanarak; veya
• Açık rızanız varsa

gerçekleşir. ABD merkezli bazı hizmetler (örn. Google Cloud, Anthropic) yalnızca AB endpoint'leri ve gerekli ek garantilerle kullanılır.

10. Saklama Süresi

• E-posta listesi (lansman öncesi): rızanız geri çekilene kadar; lansman sonrası 12 ay aktivite olmazsa otomatik silinir.
• Hesap verileri: aktif hesap süresince + hesap silindikten sonra 6 ay (yasal anlaşmazlık ihtimali için).
• Kira ilişkisi geçmişi ve sözleşmeler: ilişkinin sona ermesini takiben 10 yıl (TBK zamanaşımı süresi); sonra otomatik silme veya anonimleştirme.
• Audit log: 10 yıl (hukuki delil zinciri için, immutable).
• Vergi/fatura kayıtları: Vergi Usul Kanunu m.253 — 5 yıl.

m.11 kapsamında daha erken silme talebinde bulunabilirsiniz; saklama yükümlülüğümüz olmayan veriler 30 gün içinde silinir.

11. Güvenlik Tedbirleri

• Veriler at-rest AES-256 ile şifrelenir; in-transit TLS 1.3.
• TC kimlik numaranızın tam değeri saklanmaz — yalnızca tek yönlü SHA-256 hash + son 4 hane.
• Tüm yüklenen belgeler ClamAV antivirüs taramasından geçer; client-side hash ile tampering tespiti yapılır.
• Hash zincirli, append-only audit log ile her domain olayı tampering-evident kaydedilir.
• Loglarda PII (TC, IBAN, adres, telefon, e-posta) otomatik redaction'a tabidir.
• Rol bazlı erişim kontrolü (RBAC), oturum güvenliği, KVKK consent gating tüm hassas API uçlarında.
• ISO 27001 sertifikasyonu hedeflenmektedir; bağımsız sızma testleri en az yılda 1.

12. Çocuklar

KiraSicil.AI 18 yaşın altındaki kişilere yönelik bir hizmet değildir ve bilerek 18 yaş altındaki kullanıcılardan veri toplamaz. 18 yaş altı bir kullanıcının verisinin bize ulaştığını öğrenirsek, derhal silinir.

13. Çerezler

Bu lansman sayfası yalnızca aşağıdaki çerez/yerel depolama mekanizmalarını kullanır:

• Zorunlu çerezler: form CSRF korumaları, tema tercihi.
• Üçüncü taraf: Web3Forms (form gönderimi sırasında session); Google Fonts (CDN). Analitik ve reklam çerezi yoktur.

Lansman sonrası analytics (PostHog) eklendiğinde, ayrı bir çerez onayı (cookie consent banner) sunulacaktır.

14. Haklarınız (KVKK m.11)

Veri sahibi olarak aşağıdaki haklara sahipsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme.
2. İşlenmişse buna ilişkin bilgi talep etme.
3. İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
4. Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme.
5. Eksik veya yanlış işlenmişse düzeltilmesini isteme.
6. KVKK ve ilgili mevzuatta öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme.
7. Düzeltme/silme/yok etme işlemlerinin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme.
8. Münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme.
9. Kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme.

15. Başvuru Yolu

Yukarıdaki haklarınızı kullanmak için Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ kapsamında, kimliğinizi tespit etmemizi sağlayacak bilgilerle birlikte:

• E-posta: dpo@kirasicil.ai
• KEP: kirasicil@hs01.kep.tr
• Posta: Maslak Mah., İstanbul (yazılı, ıslak imzalı)
• Lansman sonrası: hesabınızdan /kvkk/talep sayfası — self-serve

Başvurunuza en geç 30 gün içinde ücretsiz olarak yanıt veririz. Talebin açık rıza ile verilen bir veriye ilişkin silme içermesi halinde, hukuki saklama yükümlülüğü olmayan kısmı 30 gün içinde silinir.

16. İhlal Bildirimi

Bir kişisel veri ihlalinin tespit edildiği tarihten itibaren 72 saat içinde Kişisel Verileri Koruma Kuruluna ve etkilenen ilgili kişilere bildirim yapılır. İlgili kişi bildirimleri e-posta ve hesap içi panel üzerinden yapılır; bildirim ihlalin niteliği, etkilenen veri kategorileri, alınan tedbirler ve önerilen aksiyonları içerir.

17. Politikadaki Değişiklikler

Bu metin sürümlüdür. Yürürlük tarihi ve sürüm numarası başta gösterilir. Esaslı bir değişiklik halinde (örn. yeni veri kategorisi eklenmesi) açık rıza yenilenir ve hesabınıza giriş yaptığınızda görsel bir bildirim sunulur.

18. İletişim

Sorularınız için: dpo@kirasicil.ai
Genel: hello@kirasicil.ai
Adres: KiraSicil A.Ş., Maslak Mah., İstanbul / Türkiye
KEP: kirasicil@hs01.kep.tr