Gizlilik Politikası

1. Kimin verisini işliyoruz?

İki grup veri sahibi vardır. Birincisi, Dejavu'ya kaydolan işletme sahipleri ve personeli ("İşletme"). İkincisi, İşletme'nin WhatsApp numarasına yazarak randevu alan son müşteriler ("Müşteri").

İşletme verileri bakımından Dejavu veri sorumlusudur. Müşteri verileri bakımından veri sorumlusu İşletme'dir; Dejavu bu verileri İşletme adına ve talimatıyla işleyen veri işleyendir.

2. Hangi verileri topluyoruz?

İşletme hesabı: işletme adı, yetkili adı, telefon numarası, e-posta adresi, şube bilgileri, hizmet listesi ve fiyatları, çalışma saatleri, personel adları, dil tercihi, abonelik planı ve fatura durumu.

WhatsApp bağlantısı: İşletme'nin kendi WhatsApp hesabı QR kod ile bağlanır. Bağlantının sürmesi için oturum anahtarları sunucuda saklanır. Dejavu, İşletme'nin WhatsApp şifresini bilmez ve saklamaz.

Müşteri verileri: WhatsApp telefon numarası, WhatsApp profil adı, randevu kayıtları (tarih, saat, hizmet, şube, personel), asistanla yapılan konuşma geçmişi (metin) ve gönderilmişse sesli mesajın yazıya dökülmüş hâli.

Takvim entegrasyonu: İşletme Google Takvim bağlantısını açarsa, erişim bilgileri diskte AES-256-GCM ile şifrelenerek saklanır.

Teknik kayıtlar: sunucu günlükleri (log). Telefon numaraları günlüklere maskelenerek yazılır.

Tanıtım sayfası (landing) çerez kullanmaz, üçüncü taraf analitik veya reklam betiği içermez. İşletme paneli yalnızca oturumu sürdürmek için gerekli oturum jetonunu kullanır.

3. Neden işliyoruz?

Randevu almak, değiştirmek ve iptal etmek; randevudan 24 saat ve 1 saat önce WhatsApp hatırlatması göndermek; İşletme paneline randevu, müşteri ve günlük özet bilgisini sunmak; abonelik ve faturalandırmayı yürütmek; destek taleplerini yanıtlamak; hizmetin güvenliğini ve kötüye kullanıma karşı korunmasını sağlamak.

Konuşma geçmişi, aynı Müşteri ile devam eden randevu akışını (seçilen hizmet, saat, şube) sürdürebilmek için saklanır. Müşteri hafızası özelliği, önceki randevu ve tercihleri bu kayıtlardan okur.

4. Hukuki dayanak

İşletme verileri: sözleşmenin kurulması ve ifası (abonelik), yasal yükümlülükler (fatura ve muhasebe kayıtları) ve hizmetin güvenliğine ilişkin meşru menfaat.

Müşteri verileri: Müşteri, İşletme'nin WhatsApp numarasına yazarak randevu talep eder; bu işleme, Müşteri ile İşletme arasındaki randevu ilişkisinin kurulması ve ifasına dayanır. İşletme, kendi müşterilerini bilgilendirmekten sorumludur.

5. Veriler nerede tutuluyor?

Uygulama ve veritabanı Almanya'daki Hetzner Online GmbH veri merkezinde çalışır.

Asistanın yanıt üretebilmesi için mesaj metni yapay zekâ sağlayıcılarına (Google, Anthropic, OpenAI) iletilir; bu sağlayıcıların bir kısmı Avrupa Birliği dışındadır. Sağlayıcılara telefon numarası değil, yanıt üretmek için gereken konuşma metni ve İşletme'nin hizmet/saat bilgisi gönderilir.

Mesajlar WhatsApp üzerinde taşınırken WhatsApp'ın uçtan uca şifrelemesi geçerlidir. Sunucumuza ulaşan konuşma geçmişi veritabanında saklanır; veritabanı dosyasının kendisi uygulama katmanında şifrelenmez, disk ve erişim düzeyinde korunur.

6. Kimlerle paylaşıyoruz?

Verileriniz üçüncü taraflara satılmaz, pazarlama amacıyla paylaşılmaz.

Hizmeti sunmak için kullandığımız alt işleyenler: barındırma (Hetzner, Almanya), yapay zekâ yanıt üretimi (yukarıdaki sağlayıcılar), İşletme izin verirse Google Takvim ve abonelik ödemesi sırasında kullanılan ödeme hizmeti sağlayıcısı. Dejavu kart bilgisi saklamaz.

Yasal bir zorunluluk (mahkeme kararı, yetkili makam talebi) hâlinde yalnızca talep edilen veri, yalnızca yetkili makamla paylaşılır.

7. Ne kadar süreyle saklıyoruz?

Hesap aktifken veriler hizmet için gerekli olduğu sürece tutulur.

Abonelik iptalinden sonra veriler 30 gün saklanır; bu sürede geri dönerseniz kaldığınız yerden devam edersiniz. 30 günün sonunda randevular, konuşma kayıtları ve müşteri bilgileri silinir.

Silme talebinizde randevular, konuşma kayıtları ve müşteri bilgileri tek işlemde kalıcı olarak silinir (GDPR Madde 17 — Unutulma Hakkı). Fatura ve muhasebe kayıtları yasal saklama süresi boyunca ayrı tutulur.

8. Nasıl koruyoruz?

Her işletmenin verisi ayrı bir kimlik altında tutulur; hiçbir işletme başkasının kaydına erişemez.

Panel ve API erişimi sabit zamanlı karşılaştırmayla doğrulanan anahtarlarla korunur, oturum jetonları HMAC-SHA256 ile imzalanır, istek hızı sınırlanır.

Veritabanı sorguları hazır ifadelerle, gelen veriler şema doğrulamasıyla çalışır. Takvim erişim bilgileri AES-256-GCM ile şifrelenir. Telefon numaraları günlüklere maskelenerek yazılır.

9. Haklarınız

Verilerinize erişme, düzeltilmesini isteme, silinmesini isteme, işlemeyi kısıtlama, veri taşınabilirliği ve itiraz haklarınız vardır. Talebinizi info@dmrio.com adresine iletin; en geç 30 gün içinde yanıtlanır.

Bir Müşteri iseniz talebinizi öncelikle randevu aldığınız İşletme'ye iletin; İşletme'nin talebini Dejavu yerine getirir. Doğrudan bize ulaşırsanız talebinizi ilgili İşletme'ye yönlendiririz.

Avrupa Birliği'nde bulunuyorsanız ülkenizin veri koruma otoritesine, Türkiye'de bulunuyorsanız Kişisel Verileri Koruma Kurulu'na şikâyet hakkınız saklıdır.

10. Çocuklar

Dejavu, işletmelere yönelik bir hizmettir ve 18 yaş altı kişilere hesap açmaz. Bir Müşteri'nin yaşını doğrulama yükümlülüğü İşletme'ye aittir.

11. Değişiklikler

Bu politika değiştiğinde sayfanın üstündeki tarih güncellenir. Önemli değişikliklerde İşletme sahiplerine kayıtlı e-posta veya panel üzerinden bilgi verilir.

İletişim

Bu metinlerle ilgili sorularınız ve veri talepleriniz için: info@dmrio.com