DIDOSHE OS — Gizlilik Politikası

Son güncelleme: 26 Ağustos 2026

Bu politika, DIDOSHE OS'u kullanırken kişisel verilerinizin nasıl işlendiğini anlatır. Aynı zamanda KVKK m. 10 kapsamında aydınlatma metni işlevi görür.

---

1. Kısaca

• Verinizi satmıyoruz.
• Reklam veya takip amaçlı üçüncü taraf çerezi kullanmıyoruz.
• Yapay zeka sağlayıcılarımız verilerinizi model eğitiminde kullanmıyor.
• Stüdyo'nun kendi müşterilerine ait veriler üzerinde karar veren taraf Stüdyo'dur, biz değil.
• Verinizi istediğiniz zaman dışa aktarabilir ve hesabınızı silebilirsiniz (bkz. Kullanım Şartları m. 12.2 ve Hesap Silme sayfası).

Aşağısı ayrıntılardır.

2. İki farklı rol — bu ayrım önemli

DIDOSHE, farklı veri türlerinde farklı rollerde bulunur. Bu, hangi konuda kime başvuracağınızı belirler.

(a) DIDOSHE'nin veri sorumlusu (controller) olduğu veriler

Abone Stüdyo'nun ve kullanıcılarının kendi verileri: hesap bilgileri, e-posta, işletme bilgisi, fatura ve ödeme kayıtları, destek yazışmaları, uygulama kullanım kayıtları, tanıtım sitesi ziyaretleri.

Bu verilerde amacı ve yöntemi biz belirleriz. Bu politika bu veriler için doğrudan geçerlidir.

(b) DIDOSHE'nin veri işleyen (processor) olduğu veriler

Stüdyo'nun sisteme girdiği Son Müşteri verileri: ad, telefon, e-posta, randevu geçmişi, satın alınan hizmet ve paketler, notlar, varsa fotoğraflar ve sağlıkla ilgili kayıtlar.

Bu verilerde veri sorumlusu Stüdyo'dur. Biz yalnızca Stüdyo'nun talimatı doğrultusunda saklarız ve işleriz. Neyin toplanacağına, ne kadar saklanacağına ve kime gösterileceğine Stüdyo karar verir.

(c) Aynı verinin iki rolde göründüğü hâller

Bazı veriler her iki gruba da girer ve bu bir çelişki değildir:

• Personel verisi: Stüdyo'nun çalışanına ait ad, rol, çalışma saati ve satış kaydı, Stüdyo'nun kendi insan kaynakları amacı bakımından Stüdyo'nun verisidir (biz işleyeniz). Aynı çalışanın giriş ve kimlik doğrulama kaydı, hesap güvenliğini sağlama amacımız bakımından bizim veri sorumlusu sıfatımızla işlediğimiz veridir.
• Teknik kayıtlar (IP, cihaz, hata kaydı): Güvenlik ve hata giderme amacıyla bizim; Stüdyo'nun kendi denetim ve raporlama amacıyla eriştiği ölçüde Stüdyo'nun.

Her durumda, hangi amaç için kimin karar verdiği role de karar verir.

Son Müşteri iseniz: Verilerinizle ilgili talepleriniz için önce randevu aldığınız salona başvurmanız gerekir. Bize gelen talepleri 72 saat içinde ilgili Stüdyo'ya yönlendiririz ve size hangi Stüdyo'ya yönlendirdiğimizi bildiririz. Talebi esastan yanıtlamak, veri sorumlusu olarak Stüdyo'nun yükümlülüğüdür.

Bu rol ayrımının sözleşmesel karşılığı Veri İşleme Sözleşmesi'dir (DPA).

3. Hangi verileri topluyoruz

3.1 Stüdyo ve kullanıcıları hakkında (rol: veri sorumlusu)

Kart bilgileriniz bizde saklanmaz. Ödeme bilgilerini Stripe işler ve saklar.

3.2 Son Müşteriler hakkında (rol: veri işleyen)

Stüdyo'nun girdiği veriler: ad soyad, telefon, e-posta, doğum tarihi (Stüdyo girerse), randevu geçmişi, alınan hizmetler, satın alınan paketler, ödeme kayıtları, serbest metin notları, varsa fotoğraflar.

Bu verilerin kapsamını Stüdyo belirler. Stüdyo, alerji, cilt problemi, ilaç kullanımı gibi sağlık verisi niteliğindeki kayıtları girmeyi tercih edebilir; bu durumda gerekli açık rızayı almak Stüdyo'nun yükümlülüğüdür.

3.3 Halka açık randevu sayfasını kullanan Son Müşteriler hakkında

Randevu almak için girdiğiniz ad, telefon ve seçtiğiniz hizmet bilgisi doğrudan ilgili Stüdyo'nun kaydına yazılır. DIDOSHE bu işlemde yine veri işleyendir.

Bu sayfada oturum çerezi kullanılmaz. Yerleşen çerezler: dil tercihinizi hatırlayan işlevsel çerezler ile onayınıza bağlı analitik ve pazarlama çerezleri. Ayrıntılar Çerez Politikası'ndadır.

4. Verileri hangi amaçlarla ve hangi hukuki sebeple işliyoruz

Pazarlama e-postalarını istediğiniz zaman, mesajın altındaki bağlantıdan veya info@didoshe.co adresine yazarak durdurabilirsiniz. Bu, hesabınızla ilgili zorunlu bilgilendirmeleri (fatura, güvenlik, hizmet değişikliği) durdurmaz.

5. Yapay zeka özelliklerinde veri akışı

Bu bölüm, hangi verinin hangi sağlayıcıya gittiğini açıkça anlatır. Bu özelliklerin hepsi isteğe bağlıdır; kullanmadan da Hizmet'in tamamından yararlanabilirsiniz.

5.1 Fiş fotoğrafından gider okuma

Çektiğiniz fiş fotoğrafı, metne dönüştürülmek üzere Anthropic PBC (ABD) API'sine gönderilir. Anthropic bu görseli yalnızca isteği yanıtlamak için işler, model eğitiminde kullanmaz. İşlem tamamlandıktan sonra görsel bizim sunucularımızda da saklanmaz; yalnızca fişten çıkarılan bilgiler (tutar, tarih, satıcı, kategori) kaydınıza yazılır. Fişin saklanıp saklanmadığı, gideri kimin girdiğine bağlıdır:

• Stüdyo sahibi kendi giderini girerken: fotoğraf saklanmaz. Yalnızca okuma için gönderilir, sonuç forma yazılır ve görsel bırakılır.
• Personel masraf girerken: fotoğraf saklanır. Bu giriş, stüdyonun personele ödeme yapmasına yol açtığı için belge niteliğindedir. Fotoğraf herkese kapalı bir alanda tutulur, yalnızca kısa ömürlü (5 dakika) imzalı bağlantıyla görüntülenebilir ve gider kaydı silindiğinde fotoğraf da silinir.

Alternatif: gider kaydını elle girebilirsiniz.

5.2 Sesli randevu oluşturma

Söylediğiniz cümle, metne dönüştürülmek üzere ElevenLabs Inc. (ABD) hizmetine gönderilir. Elde edilen metinden randevu bilgilerinin çıkarılması ise Anthropic PBC (ABD) tarafından yapılır.

Bu akışta Son Müşteri adları sağlayıcılara iletilir. Hangi müşteriyi kastettiğinizin çözülebilmesi için stüdyonuzun müşteri ad listesi Anthropic'e gönderilir. Konuşurken bir müşteri adı söylerseniz, o ses kaydı ElevenLabs'e de ulaşır. Telefon numarası, e-posta adresi veya adres gibi diğer müşteri bilgileri gönderilmez.

Ses kaydınız bizim sunucularımızda saklanmaz; işlem tamamlandıktan sonra bırakılır. Sağlayıcıların kendi tarafındaki saklama süreleri için kendi gizlilik politikalarına bakınız.

Alternatif: randevuyu takvimden elle oluşturabilirsiniz.

5.3 Sabah sesli brifingi

Günün randevu listesi ve özet bilgiler metin hâline getirilip ElevenLabs (ses üretimi) hizmetine gönderilir ve sesli olarak okunur.

Brifing metninde hiçbir kişi adı geçmez. Sese dönüştürülen metin yalnızca sayılardan oluşur: randevu sayısı, doluluk oranı, iptal sayısı, tahsilat tutarı ve benzeri özetler. Müşteri, personel ve ürün adları yalnızca ekranda gösterilir, sesli metne hiç girmez.

ElevenLabs hesabımızda model geliştirme amaçlı veri kullanımı tercihi kapatılmıştır. Bu tarihten sonra gönderilen içerik, ElevenLabs tarafından model eğitiminde kullanılmaz.

Alternatif: brifingi kapatabilir, aynı bilgileri ekrandan okuyabilirsiniz.

5.4 Doğruluk uyarısı

Yapay zeka tarafından üretilen bilgilerin doğruluğu bağımsız olarak kontrol edilmeden güvenilmemelidir; çıktılar yanlış, eksik veya yanıltıcı olabilir. Ayrıntılar Kullanım Şartları madde 9'dadır.

5.5 Otomatik karar alma

Yapay zeka özellikleri öneri üretir, karar vermez. Sizin hakkınızda veya Son Müşterileriniz hakkında hukuki sonuç doğuran veya benzer biçimde önemli etki yaratan tamamen otomatik bir karar alınmaz (KVKK m. 11/1-g; GDPR m. 22). Randevu her zaman bir kişi tarafından oluşturulur; sesli randevu dahi kaydetmeden önce sözlü onay ister. Fiyatlar sistem tarafından kendiliğinden belirlenmez.

6. Verileri kimlerle paylaşıyoruz

Verilerinizi pazarlama amacıyla hiçbir üçüncü kişiye satmıyor veya kiralamıyoruz. Hizmet'in çalışması için aşağıdaki sağlayıcıları kullanıyoruz:

Ayrıca:

• Yasal zorunluluk hâlinde: Mahkeme kararı veya yetkili makam talebi üzerine, hukuken gerekli olan asgari ölçüde.
• Şirket devri hâlinde: Birleşme, devralma veya işletmenin satışı durumunda, alıcıya. Bu durumda size önceden bildirim yapılır.

Alt işleyen listesindeki değişiklikler ve itiraz hakkınız Veri İşleme Sözleşmesi'nde düzenlenmiştir.

7. Yurt dışına aktarım

Yukarıdaki sağlayıcıların bir kısmı ABD merkezlidir ve verileriniz Türkiye ve Avrupa Birliği dışına aktarılır.

KVKK açısından. 6698 sayılı Kanun m. 9, Haziran 2024'te değişmiştir. Yurt dışına aktarım, Kurul tarafından ilan edilen standart sözleşme veya kanunda sayılan diğer uygun güvencelerden biri kullanılarak yapılır. Türkiye'de yerleşik Stüdyolar bakımından, aktarımın hukuki altyapısı Veri İşleme Sözleşmesi'nin Ek-4'ünde düzenlenmiştir.

GDPR açısından. AB'de yerleşik Stüdyolar bakımından aktarımlar, Avrupa Komisyonu'nun Standart Sözleşme Hükümleri (2021/914, Modül 2) ve gerektiğinde ek teknik/idari önlemlerle yapılır. Birleşik Krallık'tan yapılan aktarımlarda ayrıca UK Addendum (IDTA eki) uygulanır.

8. Güvenlik

• Tüm veri aktarımı TLS ile şifrelenir.
• Durağan veriler, altyapı sağlayıcımız tarafından disk düzeyinde şifrelenir.
• Veritabanı erişimi satır düzeyi güvenlik (RLS) politikalarıyla sınırlandırılmıştır; her Stüdyo yalnızca kendi verisini görür. Bu, uygulama katmanında bir filtre değil, veritabanının kendi kuralıdır.
• Şifreler geri döndürülemez şekilde özetlenerek (hash) saklanır.
• Rol ayrımı: Stüdyo sahibi ve personel yetkileri ayrıdır. Ayar ve satış ekranlarına personel erişemez.
• Personel erişim sınırı: Personel yalnızca kendi girdiği gider kayıtlarını görür. Müşteri telefon numarası ve e-posta adresi, ayrıca bir izin verilmedikçe personelin cihazına hiç gönderilmez.
• Tüm yetkileri taşıyan sistem anahtarları yalnızca sunucu tarafında tutulur; tarayıcıya hiçbir koşulda gönderilmez.
• Zamanlanmış görevler gizli anahtarla korunur; anahtarsız çağrılar reddedilir.
• Ödeme sağlayıcısından gelen bildirimler imza doğrulamasından geçirilir.
• Sınırlı kayıt tutma: Mesaj gönderim geçmişi, iptal edilen satışlar, hesap silme talepleri ve sistem olayları kayıt altına alınır. Genel kapsamlı bir erişim denetim kaydı tutulmamaktadır.

Şu tedbirler uygulanmamaktadır ve bu politikada taahhüt edilmemektedir: çok faktörlü doğrulama, düzenli sızma testi, sürekli erişim denetimi, veri kaybı önleme yazılımı ve düzenli personel güvenlik eğitimi.

Hiçbir sistem mutlak güvenlik sunmaz. İnternet üzerinden yapılan aktarımlarda artık risk her zaman vardır.

Veri ihlali hâlinde: Kendi veri sorumlusu sıfatımızla tuttuğumuz verilerde (hesap, faturalama, destek, güvenlik kayıtları) bir ihlal tespit edersek, mevzuatın öngördüğü süre içinde yetkili kuruma ve gereken hâllerde ilgili kişilere bildirimi biz yaparız. Stüdyo Verisi'ni etkileyen bir ihlalde kuruma ve ilgili kişilere bildirim, veri sorumlusu sıfatıyla Stüdyo'nun yükümlülüğüdür; biz gereken bilgi ve desteği sağlarız (bkz. DPA m. 7.4 ve 7.5). Stüdyo Verisi'ni etkileyen bir ihlalde ilgili Stüdyo'ya gecikmeksizin ve en geç 48 saat içinde bilgi veririz (bkz. DPA m. 7.1).

9. Ne kadar süre saklıyoruz

Hesap silme talebiniz sonrası 30 günlük bekleme süresi ve süreç, ayrı bir Hesap Silme sayfasında anlatılmıştır.

10. Haklarınız

10.1 KVKK m. 11 kapsamında (Türkiye)

Kişisel verilerinizin işlenip işlenmediğini öğrenme; işlenmişse bilgi talep etme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmişse düzeltilmesini isteme; silinmesini veya yok edilmesini isteme; düzeltme, silme ve yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç ortaya çıkmasına itiraz etme; kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Başvurunuzu Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun şekilde yapabilirsiniz. En geç 30 gün içinde yanıt veririz.

10.2 GDPR kapsamında (Avrupa Birliği / Birleşik Krallık)

Erişim, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği, işlemeye itiraz ve rızanın geri alınması hakları. Ayrıca yerel veri koruma otoritesine şikâyet hakkınız vardır.

10.3 Nasıl başvurursunuz

info@didoshe.co adresine yazın. Kimliğinizi doğrulamak için ek bilgi isteyebiliriz.

Not: Talebiniz bir Stüdyo'nun müşteri kaydına ilişkinse, bu veride veri sorumlusu Stüdyo olduğundan talebi ilgili Stüdyo'ya yönlendiririz ve 72 saat içinde onları bilgilendiririz.

11. Çocuklar

Hizmet'e hesap açmak ve Stüdyo kullanıcısı olmak 18 yaş altındaki kişilere açık değildir.

Halka açık randevu sayfası ise 18 yaş altı kişiler tarafından da kullanılabilir; bu sayfada yaş doğrulaması yapılmaz. Bir Stüdyo'nun 18 yaş altı bir Son Müşteri'ye ait kayıt tutması da mümkündür (örneğin çocuk saç kesimi). Her iki durumda da velinin gerekli iznini almak Stüdyo'nun yükümlülüğüdür. Halka açık randevu sayfasında ayrıca yaş beyanı istenmez. Randevu alan kişiyle doğrudan ilişki kuran ve hizmeti veren taraf Stüdyo olduğundan, küçüklerin randevusunda veli onayının alınması ve yaş sınırlamalarına uyulması Stüdyo'nun sorumluluğundadır.

12. Temsilciler ve iletişim

Bu politikanın Bölüm 2/(a)'da sayılan veriler bakımından veri sorumlusu: SCARPAX LLC — 311 60th St Suite #206, West New York, NJ 07093, USA

(Son Müşteri verileri bakımından veri sorumlusu, randevu aldığınız Stüdyo'dur — bkz. Bölüm 2/(b).) info@didoshe.co

Veri koruma irtibat noktası: kvkk@didoshe.co

Veri koruma ile ilgili tüm başvurularınızı bu adrese iletebilirsiniz.

Temsilciler. DIDOSHE OS şu anda Türkiye veya Avrupa Birliği'nde atanmış bir temsilci bulundurmamaktadır. Hizmet, Amerika Birleşik Devletleri'nde kurulu SCARPAX LLC tarafından doğrudan sunulmaktadır. Bu ülkelerdeki kullanıcı sayımız temsilci atama yükümlülüğünü doğuracak düzeye ulaştığında bu bölüm güncellenecek ve temsilci bilgileri burada yayımlanacaktır.

13. Değişiklikler

Bu politikayı güncelleyebiliriz. Esaslı değişiklikleri en az 30 gün önceden e-posta ile ve uygulama içi bildirimle duyururuz. Yürürlük tarihi belgenin başında yer alır.