FORA Gizlilik Politikası

#1. Bu politika kimin için ve ne hakkında?

Bu Gizlilik Politikası; FORA hizmetini sunan ve işleten taraf ("İş Sahibi", "biz") tarafından sunulan şu hizmetler kapsamında kişisel verilerin nasıl işlendiğini açıklar:

• Tanıtım sitesi: https://forapp.online ve https://www.forapp.online.
• FORA uygulaması: https://app.forapp.online. Bu, inşaat ve gayrimenkul geliştirme firmalarına abonelikle sunulan "Gayrimenkul Yönetim Platformu"dur.
• FORA WhatsApp asistanı ve bildirimleri: uygulamaya bağlı mesajlaşma özellikleri.
• E-posta iletişimi: info@forapp.online adresine yazılan e-postalar.

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca hazırlanan resmî aydınlatma metni ayrı bir belgedir: KVKK Aydınlatma Metni. Çerezler ve benzeri teknolojiler ise Çerez Politikasında anlatılır. Bu politika, o iki belgeyle birlikte okunmalıdır.

#2. İki farklı rolümüz: veri sorumlusu ve veri işleyen

İş Sahibi, işlenen verinin türüne göre iki ayrı hukuki rolde bulunur. Bu ayrım, haklarınızı kime karşı kullanacağınızı belirlediği için önemlidir.

#2.1 İş Sahibi'nin veri sorumlusu olduğu veriler

Aşağıdaki verilerin işlenme amacını ve yöntemini biz belirleriz:

• Tanıtım sitesini ziyaret edenlerin teknik verileri.
• Bize e-postayla yazanların ve demo/teklif isteyenlerin iletişim verileri.
• Müşteri firmalarımızın yetkilileri ve fatura/sözleşme muhataplarının verileri.
• Uygulama kullanıcılarının hesap verileri (ad, e-posta, rol) ve giriş kayıtları.
• Güvenlik ve denetim kayıtları (IP adresi, tarayıcı bilgisi, işlem kaydı).
• FORA operasyon panelinde tutulan WhatsApp yetki kayıtları (telefon numarası, rol).

#2.2 İş Sahibi'nin veri işleyen olduğu veriler

Müşteri firmalarımız ("Müşteri"), uygulamaya kendi işleri için şu verileri girer:

• Konut alıcılarının (müşterilerinin) verileri.
• Acentelerinin verileri.
• Satış, ödeme planı, tahsilat ve komisyon kayıtları.
• Sözleşme ve belgeler.

Bu verilerin veri sorumlusu ilgili Müşteri firmadır. İş Sahibi bu verileri yalnızca Müşteri adına, onun talimatlarıyla ve hizmeti sunmak için işler. Bu ilişki, Müşteri ile İş Sahibi arasındaki Veri İşleme Sözleşmesi ile düzenlenir.

Bir inşaat firmasından konut aldıysanız ve verileriniz FORA'da tutuluyorsa, başvurunuzu öncelikle o firmaya yapmalısınız. Bize ulaşırsanız başvurunuzu gecikmeden ilgili firmaya iletiriz ve firmanın yanıt verebilmesine yardımcı oluruz.

#3. Hangi kişisel verileri topluyoruz?

#3.1 Tanıtım sitesi ziyaretçileri

• Teknik veriler: IP adresi, tarayıcı ve cihaz bilgisi (user-agent), istenen sayfa, tarih ve saat. Bu kayıtları sunucu ve barındırma altyapısı bağlantının doğası gereği oluşturur.
• Tercih: açık/koyu tema seçiminiz, yalnızca tarayıcınızda (localStorage) tutulur ve bize gönderilmez.
• Analitik ve reklam: sitede analitik, reklam veya sosyal medya izleme aracı yoktur.
• Yazı tipleri: site yazı tiplerini kendi sunucusundan sunar; üçüncü taraf bağlantısı yoktur.
• Form: sitede form yoktur. İletişim yalnızca e-postayla kurulur.

#3.2 E-postayla bize yazanlar

• Ad, soyad, e-posta adresi, unvan ve firma.
• Mesajın içeriği ve eklenen dosyalar.
• E-posta üstbilgileri (gönderim zamanı, sunucu bilgileri).

#3.3 Müşteri firma yetkilileri ve muhataplar

• Ad, soyad, unvan, iş e-postası ve telefonu.
• Firma unvanı, adresi, vergi bilgileri, fatura ve sözleşme bilgileri.
• Yazışmalar.

#3.4 Uygulama kullanıcıları

• Hesap verileri: ad, soyad, e-posta adresi, rol (YÖNETİCİ, FİNANS veya SATIŞ), hesabın aktif olup olmadığı, hesap oluşturma tarihi.
• Şifre: şifreniz açık metin olarak saklanmaz; tek yönlü özet (bcrypt) olarak tutulur.
• İşlem kayıtları:
  • Hangi kaydı ne zaman oluşturduğunuz, değiştirdiğiniz veya sildiğiniz.
  • Giriş ve çıkışlar; başarısız denemeler ve nedenleri (ör. "hatalı şifre").
  • Dışa aktarma ve belge oluşturma işlemleri.
  • İşlemin yapıldığı IP adresi ve tarayıcı bilgisi.
• Ad gösterimi: notlarda, belge kayıtlarında ve satış temsilcisi geçmişinde adınız, işlemin yapıldığı andaki haliyle görünür.
• Oturum verileri: oturum ve güvenlik çerezleri (bkz. Çerez Politikası).

#3.5 WhatsApp asistanı ve bildirim kullanıcıları

• Müşteri firmanın talebiyle FORA operasyon panelinde kaydedilen telefon numarası ve yetki rolü.
• Asistana gönderilen soruların metni ve asistanın yanıtları.
• Gönderilen bildirimlerin içeriği.

#4. Verileri hangi amaçlarla ve hangi hukuki sebeplerle işliyoruz?

Pazarlama: Şu anda pazarlama iletisi göndermiyoruz. İleride gönderirsek bunu 6563 sayılı Kanun ve ilgili yönetmelik çerçevesinde yaparız. Tacir ve esnaf alıcılar için ön onay istisnası ve ret hakkı, diğer alıcılar için onay ve İleti Yönetim Sistemi (İYS) kuralları uygulanır. Ayrıca bu politikayı güncelleriz.

Özel nitelikli veri: FORA, özel nitelikli kişisel veri (ör. sağlık, din, biyometrik veri) işlemek için tasarlanmamıştır ve böyle veri istemez. Müşterilerden bu tür verileri serbest metin notlarına veya yüklenen belgelere koymamalarını isteriz.

#5. Verileri nasıl topluyoruz?

• Siz verdiğinizde: e-posta, sözleşme ve görüşmeler yoluyla.
• Kendiliğinden: uygulamayı ve siteyi kullanırken (oturum, işlem kayıtları, sunucu kayıtları).
• Müşteri firmanız aracılığıyla: firma yöneticiniz İş Sahibi'nden sizin için kullanıcı hesabı veya WhatsApp yetkisi istediğinde.
• Müşteri firma kullanıcılarının girişiyle: veri işleyen olarak işlediğimiz veriler.

Hukuki sebeplerin ayrıntıları için Bölüm 4'e bakın.

#6. Veri işleyen sıfatıyla işlediğimiz veriler (özet)

Müşteri firmalar uygulamaya, kendi sorumluluklarında aşağıdaki veri kategorilerini girebilir. Bu liste, uygulamanın veri modelinde bulunan alanlardan çıkarılmıştır.

• Konut alıcıları:
  • Kimlik ve iletişim: ad soyad, uyruk, telefon, e-posta, doğum tarihi, anne ve baba adı, adres.
  • Pasaport: pasaport numarası, pasaportu veren ülke, pasaport dosyası (PDF veya görsel).
  • Fotoğraf.
  • Not geçmişi.
  • Sözleşmedeki alıcı sıfatı ve hisse oranı.
• Satış ve finans:
  • Satış fiyatı, liste fiyatı, ödeme planı (taksitler), tahsilatlar, kur bilgileri.
  • Ödeme yöntemi, masraf kalemleri, ek işler.
  • Sözleşme tarihleri, sözleşme notları.
  • İptal bilgisi.
• Acenteler:
  • Ad, firma unvanı, telefon, e-posta, vergi numarası.
  • Banka hesapları (IBAN, SWIFT), yasal adres ve şube adresleri.
  • Tahsilata yetkili kişinin adı, imza sirküleri dosyası, komisyon notları ve not geçmişi.
  • Komisyon tutarları ve ödemeleri.
• Müşteri firma:
  • Unvan, adres, iletişim telefonları ve e-postaları, logo.
  • Banka hesapları (banka, şube, hesap adı, IBAN, SWIFT).
  • Satış yetkilileri.
• Belgeler:
  • Firma tarafından yüklenen sözleşme şablonları.
  • Uygulamanın bunlardan ürettiği Word sözleşmeleri.
  • İmzalı sözleşme yüklemeleri.
  • Daire planları.
  • Anlık üretilen PDF dökümler (Müşteri Fişi, Acente Fişi, listeler, raporlar) ve Excel dışa aktarımları.

Bu veriler üzerindeki talepler için Bölüm 2.2'ye bakın.

#7. Verileri kimlerle paylaşıyoruz ve yurt dışına aktarım

Kişisel verileri satmayız ve reklam amacıyla paylaşmayız. Hizmeti sunmak için aşağıdaki hizmet sağlayıcılarla (alt işleyenlerle) çalışırız:

Ayrıca şu kişi ve kurumlarla paylaşım olabilir:

• Yetkili kamu kurum ve kuruluşları, yargı mercileri: yalnızca hukuki yükümlülük varsa.
• Hukuk, mali müşavirlik ve denetim danışmanları: sır saklama yükümlülüğü altında.
• Şirket birleşmesi, devri veya satışı halinde: devralan taraf, aynı korumaları sağlamak şartıyla.

Yurt dışına aktarım: Yukarıdaki sağlayıcıların sunucuları Türkiye dışındadır. Bu nedenle verileriniz yurt dışına aktarılır. Kişisel Verileri Koruma Kurulu henüz herhangi bir ülke için yeterlilik kararı ilan etmemiştir. Aktarımlar için KVKK m.9'daki uygun güvencelerin (Kurulca ilan edilen standart sözleşmeler ve Kurum'a bildirim) tamamlanması süreci yürütülmektedir.

#8. WhatsApp asistanı ve yapay zekâ

Müşteri firmalar, İş Sahibi'ne bildirdikleri ve FORA operasyon panelinde kaydedilen telefon numaralarına WhatsApp üzerinden bir asistan açabilir. Bu numaralar yalnızca YÖNETİCİ veya FİNANS yetkisiyle kaydedilir.

Akış:

1. Kayıtlı bir numaradan gelen mesaj Twilio üzerinden İş Sahibi'ne ulaşır.
2. İş Sahibi mesajın gerçekten Twilio'dan geldiğini imzayla doğrular.
3. Soru, yapay zekâ hizmet sağlayıcısının modeline gönderilir. Model, İş Sahibi'nin sunduğu salt okunur sorgu araçlarını çağırır. Bu araçlar veri değiştiremez.
4. Araçların sonuçları da modele iletilir ve model bir yanıt üretir.
5. Yanıt Twilio üzerinden WhatsApp'a gönderilir.

Yapay zekâ sağlayıcısına iletilen veriler:

• Müşteri firmanın unvanı ve günün tarihi.
• Kullanıcının yazdığı soru metninin tamamı. Kullanıcı soruya ne yazarsa (ör. bir kişinin adı) iletilir.
• Sorgu araçlarının sonuçları. Bunlar soruya göre şunları içerebilir:
  • Konut alıcılarının adları, proje adı ve daire numarası.
  • Satış fiyatı, tahsil edilen tutar, kalan bakiye, vadesi geçen tutar.
  • Sözleşme ve tahsilat tarihleri, ödeme yöntemi (banka veya nakit).
  • Taksit takvimi, müsait daireler, proje ve dönem toplamları.
  • Yalnızca YÖNETİCİ ve FİNANS numaralarında: acente adları, acente firma unvanları ve komisyon toplamları.

Yapay zekâ sağlayıcısına iletilmeyen veriler:

• Soruyu soranın telefon numarası.
• Alıcıların pasaport bilgileri, doğum tarihi, adresi, e-posta ve telefonu.
• IBAN ve banka bilgileri, notlar, yüklenen dosyalar.

Twilio'ya (ve WhatsApp hizmeti için Meta'ya) iletilen veriler:

• Gönderen ve alıcı telefon numaraları.
• Soru ve yanıt metinleri.
• Bildirim mesajlarının içeriği: yeni satış, tahsilat, iptal ve komisyon ödemesinde alıcı adı, proje ve daire, tutar; komisyon bildiriminde acente adı.

Sağlayıcının veri kullanımı: yapay zekâ hizmet sağlayıcısının ticari koşullarına göre API üzerinden iletilen içerik model eğitiminde kullanılmaz.

Yanıtların doğruluğu: Asistanın yanıtları otomatik üretilir ve hatalı olabilir. Yanıtlar yalnızca bilgilendirme amaçlıdır; kararlarınızı uygulamadaki kayıtlarla doğrulayın.

Otomatik karar yok: Asistan, kişiler hakkında hukuki sonuç doğuran otomatik karar vermez.

#9. Ne kadar süre saklıyoruz?

Kişisel verileri, işleme amacının gerektirdiği süre ve mevzuattaki zorunlu saklama süreleri boyunca saklarız. Süre dolunca verileri siler, yok eder veya anonim hale getiririz.

#10. Güvenlik

Bugün uygulanan başlıca teknik ve idari tedbirler:

• Bağlantı güvenliği: bütün bağlantılar HTTPS ile şifrelenir. HSTS uygulanır.
• Güvenlik üst bilgileri: içerik güvenlik politikası, çerçeveleme yasağı ve tür tahmini engeli.
• Kimlik doğrulama:
  • Şifreler tek yönlü özetle (bcrypt) saklanır.
  • Başarısız girişler sınırlanır: e-posta başına 15 dakikada 5 deneme.
  • Oturumlar 8 saat sonra sona erer.
  • Pasifleştirilen kullanıcının erişimi hemen kesilir.
• Firma (kiracı) ayrımı: her sorgu kullanıcının firmasına göre sınırlanır. Bir firmanın kullanıcısı başka firmanın verisini göremez.
• Rol bazlı yetkilendirme: YÖNETİCİ, FİNANS ve SATIŞ rolleri vardır. Her işlemde yetki sunucu tarafında yeniden kontrol edilir.
• Dosyalar:
  • Dosyalar herkese açık olmayan bir depolama alanında tutulur.
  • Yalnızca yetkili kullanıcılar için, en fazla 1 saat geçerli, imzalı bağlantılarla açılır.
  • Yüklemeler dosya içeriğine bakılarak doğrulanır; boyut sınırları uygulanır.
• Denetim kaydı: oluşturma, değiştirme, silme, giriş ve çıkış, dışa aktarma ve belge oluşturma işlemleri kaydedilir.
• WhatsApp: gelen mesajların Twilio'dan geldiği imzayla doğrulanır. Yalnızca kayıtlı numaralar asistanı kullanabilir.
• Arama motorları: uygulama arama motorlarına kapalıdır.

Hiçbir sistem tam güvenli değildir. Şu anda bağımsız bir güvenlik sertifikamız (ör. ISO 27001, SOC 2) yoktur.

Kişisel veri ihlali olursa, mevzuatta öngörülen sürelerde Kurum'a ve ilgili kişilere bildirim yaparız. Müşteri adına işlenen verilerde bildirimi ilgili Müşteri'ye yaparız.

#11. Haklarınız

KVKK m.11 uyarınca şu haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme.
• İşlenmişse buna ilişkin bilgi isteme.
• İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme.
• Eksik veya yanlış işlenmişse düzeltilmesini isteme.
• KVKK m.7 çerçevesinde silinmesini veya yok edilmesini isteme.
• Düzeltme, silme ve yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etme.
• Kanuna aykırı işleme nedeniyle zarara uğrarsanız zararın giderilmesini talep etme.

Başvuru yolları:

• E-posta: info@forapp.online

Başvurunuzda kimliğinizi doğrulayabilmemiz için gerekli bilgileri ve talebinizi açıkça belirtin. Başvurunuzu en geç 30 gün içinde, kural olarak ücretsiz sonuçlandırırız. Yanıtımızdan memnun kalmazsanız Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

Avrupa Birliği'nde bulunan kişiler: Bir işlemeye AB Genel Veri Koruma Tüzüğü (GDPR) uygulanıyorsa, ek olarak şu haklara sahip olabilirsiniz:

• Veri taşınabilirliği.
• İşlemenin kısıtlanması.
• Meşru menfaate dayanan işlemeye itiraz.
• Bulunduğunuz ülkenin denetim makamına şikâyet.

#12. Çocuklar

FORA, iş kullanıcılarına yönelik bir hizmettir. 18 yaşından küçüklerden bilerek veri toplamayız. Müşteri firmalar, örneğin ortak malik olarak, küçüklere ait verileri girebilir. Bu durumda hukuka uygunluk sorumluluğu ilgili firmadadır.

#13. Değişiklikler

Bu politikayı güncelleyebiliriz. Güncel metin her zaman bu sayfada yayımlanır. Önemli değişiklikleri Müşteri firmalara e-postayla veya uygulama içinden duyururuz.

#14. İletişim

• Veri sorumlusu: İş Sahibi (FORA hizmetini sunan ve işleten taraf)
• E-posta: info@forapp.online