Gizlilik Politikası

1. Kısa Özet

Kısaca: BYOK, kendi sağlayıcı hesabınızı ve API anahtarınızı (API key) kullanmanız demektir. Verilerinizi satmayız, reklam için kullanmayız ve içeriğinizle Oriveo'ya ait yapay zekâ modellerini eğitmeyiz. İçeriği yalnızca seçtiğiniz özellikleri sunmak için gerektiği yerde işleriz.

• API anahtarları: varsayılan olarak cihazda saklanır. Web'de ve sunucu üzerinden yönlendirilen diğer uyumluluk yollarında anahtar, Oriveo'nun isteği seçtiğiniz sağlayıcıya iletebilmesi için tek bir istek boyunca aktarılabilir; anahtarı hesap kaydı olarak saklamayız.
• Sohbetler ve ekler: varsayılan olarak cihazınızda saklanır. Bulut senkronizasyonunu açarsanız sohbet kayıtları, mesaj metinleri, model çıktıları, varsa akıl yürütme metni ve eklerin meta verileri Firebase Firestore üzerinden eşlenir ve orada okunabilir biçimde saklanır (uçtan uca şifreli değildir). Ek dosyaları, cihazlar arası erişim için Firebase Cloud Storage'a yüklenebilir.
• Sağlayıcı yönlendirmesi: yerel uygulamalar birçok BYOK akışında sağlayıcılarla doğrudan iletişim kurabilir. Web uygulaması, Relay, Oriveo Free ve bazı özellikler; akış (streaming), uyumluluk, kota veya güvenlik denetimleri için istekleri Oriveo sunucuları üzerinden yönlendirebilir.
• Yedekler: dışa aktarılan yedekler sohbet verilerini ve ekleri içerebilir; yedeğin kendisi şifrelenmez. API anahtarları yalnızca siz dahil etmeyi seçip bir parola belirlerseniz yedeğe eklenir ve şifrelenir.
• Yapmadıklarımız: kişisel verileri satmayız, hedefli reklam için kullanmayız ve içeriğinizle Oriveo'ya ait modelleri eğitmeyiz.

2. Veri Sorumlusu ve İletişim Bilgileri

Bu Gizlilik Politikası bakımından Hizmet'in veri sorumlusu Oriveo ekibidir.

• İşleten kuruluş: Oriveo ekibi
• Kayıtlı adres / yazışma adresi: ilgili işleten kuruluş ve yazışma bilgileri için [email protected] adresine yazın
• Gizlilik ve veri koruma iletişimi: [email protected]
• Genel destek: [email protected]

Avrupa Ekonomik Alanı (AEA), Birleşik Krallık veya İsviçre'de bulunuyorsanız, Hizmet kapsamında kişisel verilerinizin işlenmesiyle ilgili olarak bize ya da bulunduğunuz yerdeki veri koruma otoritesine de başvurabilirsiniz.

3. Topladığımız Bilgiler

Yalnızca Hizmet'i ve kullandığınız özellikleri işletmek için gereken bilgileri toplarız. Başlıca kategoriler şunlardır:

• Hesap bilgileri: Firebase Authentication aracılığıyla e-posta adresinizi, görünen adınızı, profil fotoğrafı URL'nizi ve giriş yönteminizi (Google, Apple veya e-postayla tek kullanımlık kod) işleriz. Parolanızı saklamayız; e-postayla gönderilen tek kullanımlık kodlar Resend üzerinden iletilir ve genellikle 10 dakika içinde geçerliliğini yitirir.
• Bulut senkronizasyonu verileri (açıksa): Firebase Firestore; sohbet kayıtlarını, mesaj metinlerini, model çıktılarını, varsa akıl yürütme metnini, zaman damgalarını, klasörleri, Skills dizin verilerini, Hafıza metnini, tercihleri, kullanım istatistiklerini, model/sağlayıcı meta verilerini, eklerin meta verilerini, görsel küçük resimlerini ve depolama referanslarını saklar ve eşler.
• Ekler (senkronizasyon veya eklere erişim gerektirdiğinde): görseller, PDF'ler ve diğer dosyalar, çoklu cihaz erişimi için Firebase Cloud Storage'daki hesap alanınıza yüklenebilir; bunları dilediğiniz zaman silebilirsiniz.
• BYOK yönlendirme verileri: model isteklerini tamamlamak için prompt'lar, ekler, model seçimleri, API anahtarları ve yanıtlar seçtiğiniz yapay zekâ sağlayıcısı tarafından işlenir. Web uygulamasında, Relay'de ve bazı uyumluluk yollarında bu trafik geçici bir aktarma adımı olarak Oriveo sunucularından geçebilir.
• Skill bilgi tabanı dosyaları: bir Skill için bilgi dosyası yüklediğinizde, arama yapılabilmesi için sunucumuz bu dosyaları OpenAI Vector Store'a aktarabilir; özgün dosyalar ve vektörler yalnızca hesabınız içinde kullanılır.
• Teknik veriler ve cihaz verileri: kötüye kullanımın önlenmesi, hız sınırlama, tanılama ve mevzuata uyum için IP adresi, IP'ye dayalı yaklaşık konum, cihaz modeli, işletim sistemi sürümü, uygulama sürümü, dil ve saat dilimi.
• Hata ve performans tanılaması: Sentry aracılığıyla yakalanmamış hata yığın izlerini, iz kayıtlarını (breadcrumb), mevcut kullanıcı tanımlayıcınızı (Firebase UID) ve cihaz parmak izlerini alabiliriz. Bu kayıtlar hesabınızla ilişkilendirilebilir ve tamamen anonim değildir; tanılamayı "Ayarlar -> Gizlilik" bölümünden kapatabilirsiniz.
• Oriveo Free işletim kayıtları: Oriveo Free'yi kullandığınızda istekler Oriveo sunucuları üzerinden arka plandaki model sağlayıcılarına iletilir. Kota, kötüye kullanımın önlenmesi, kararlılık, bildirimler ve denetim için gereken asgari kayıtları tutarız. Oriveo Free'deki olağan sohbet mesajlarının içeriği varsayılan olarak sohbet günlüğü şeklinde kalıcı olarak saklanmaz; ancak aktarım sırasında işlenir.
• Admin güvenlik verileri: yöneticiler oturum açtığında, erişimin bir insan tarafından yapıldığını doğrulamak için Cloudflare Turnstile kullanabilir ve ilgili giriş olaylarını kaydedebiliriz.

4. Toplamadığımız Bilgiler (BYOK Taahhüdü)

BYOK modunda Oriveo, sakladığımız verileri en aza indirecek şekilde tasarlanmıştır; yine de özelliğe ve platforma bağlı olarak şu veriler işlenebilir:

• API anahtarları varsayılan olarak cihazda saklanır; web'de veya sunucu üzerinden yönlendirilen uyumluluk yollarında yalnızca seçilen sağlayıcıya yapılan isteği tamamlamak için aktarılabilir ve hesap kaydı olarak saklanmaz.
• Prompt'lar, sohbet bağlamı, ekler ve model yanıtları, modelin yanıt üretebilmesi için seçtiğiniz yapay zekâ sağlayıcısına gönderilir.
• Web uygulamasında, Relay'de, Oriveo Free'de ve bazı uyumluluk veya akış (streaming) süreçlerinde istekler ve yanıtlar geçici olarak Oriveo sunucularından geçebilir.
• Bulut senkronizasyonu açıksa sohbet geçmişi, mesaj metinleri, model çıktıları, varsa akıl yürütme metni ve eklerin meta verileri Firebase Firestore üzerinden eşlenir; ek dosyaları Firebase Cloud Storage'a yüklenebilir.
• Bir yedeği dışa aktarır veya geri yüklerseniz yedek dosyası sohbetleri ve ekleri içerebilir. API anahtarları yalnızca siz bu seçeneği işaretleyip bir parolayla korursanız dahil edilir.

5. Verileri Nasıl Kullanıyoruz ve Hukuki Dayanaklar

Kişisel verileri yalnızca aşağıdaki amaçlarla ve uygulanabildiği durumlarda GDPR, UK GDPR, CCPA/CPRA ve benzeri mevzuatın öngördüğü hukuki dayanaklara göre işleriz:

• Hizmet'i sunmak ve sürdürmek (hesaba giriş, bulut senkronizasyonu, çoklu cihaz erişimi): sözleşmenin ifası için gereklidir.
• Hataları teşhis etmek ve ürünü iyileştirmek (hata günlükleri, çökme yığın izleri, toplu kullanım ölçümleri): kararlılığı ve kaliteyi artırmaya yönelik meşru menfaatimize dayanır.
• Güvenlik, kötüye kullanımın önlenmesi ve kota denetimi (hız sınırlama, CAPTCHA, olağandışı giriş tespiti, Oriveo Free kota denetimi, dolandırıcılık önleme): meşru menfaatlere ve/veya yasal yükümlülüklere dayanır.
• Oriveo Free'yi işletmek (isteklerin yönlendirilmesi, kota hesabı, şikâyetlerin ele alınması): sözleşmenin ifası için gereklidir.
• Yasal taleplere yanıt vermek (mahkeme kararları, düzenleyici kurum talepleri, ilgili kişi başvuruları): yasal yükümlülüklere uymak içindir.
• Sizinle iletişim kurmak (hizmet değişiklikleri, güvenlik olayları ve diğer önemli bildirimler): sözleşmenin ifası için gereklidir veya meşru menfaatlere dayanır.

Şunları yapmayız:

• kişisel verilerinizi üçüncü taraflara satmak veya kiralamak;
• kişisel verilerinizi hedefli reklam veya reklam profillemesi için kullanmak;
• içeriğinizi Oriveo'nun yapay zekâ modellerini eğitmek için kullanmak.

6. Üçüncü Taraf Hizmetler ve Veri Paylaşımı

Hizmet'i işletmek için yalnızca gereken verileri aşağıdaki alt işleyiciler ve hizmet sağlayıcılarla paylaşırız:

• Google Firebase (Authentication / Firestore / Cloud Storage / Hosting): hesap verileri; senkronizasyon açıksa sohbet kayıtları ve mesaj içerikleri dahil senkronizasyon verileri; eklerin meta verileri, ek dosyaları ve barındırma verileri.
• Sentry: hata ve performans tanılaması.
• Resend: alıcı e-posta adresleri ve tek kullanımlık giriş kodları.
• Cloudflare: ağ meta verileri, IP adresleri, güvenlik denetimleri ve Admin için Turnstile.
• OpenAI: Skill bilgi tabanı için Vector Store kullanımı ve gerektiğinde yönlendirilen model istekleri.
• Seçtiğiniz yapay zekâ sağlayıcıları: BYOK veya Relay model çağrıları için gereken prompt'lar, ekler, sohbet bağlamı, model seçimleri ve yanıtlar. Platforma ve özelliğe bağlı olarak istek doğrudan istemciden gönderilebilir veya Oriveo uyumluluk uç noktaları üzerinden iletilebilir.
• Oriveo Free’nin arka plandaki sağlayıcıları: Oriveo Free'de yanıt üretmek için gereken prompt'lar ve sohbet bağlamı.
• Oriveo AI’ın arka plandaki model sağlayıcıları: isteklerin Oriveo sunucuları üzerinden bu sağlayıcılara iletildiği ücretli barındırılan Oriveo AI hizmetinde yanıt üretmek için gereken prompt'lar ve sohbet bağlamı.

Her sağlayıcının kendi gizlilik politikası ve veri işleme kuralları vardır. Varsa eğitim verisinden çıkma (opt-out) ayarları dahil bunları incelemek sizin sorumluluğunuzdadır. Yukarıda sayılan durumlar ve mevzuatın gerektirdiği hâller dışında kişisel verilerinizi satmayız, kiralamayız veya reklam amacıyla aktarmayız.

7. Sınır Ötesi Veri Aktarımları

Bulut altyapımız (Firebase, Sentry ve Cloudflare dahil) birden fazla bölgede çalışır. Hizmet'e, altyapının bir kısmının bulunduğu bölgeden farklı bir bölgeden erişirseniz kişisel verileriniz yurt dışına aktarılabilir.

Bu aktarımlarda şu mekanizmaları kullanırız:

• AEA / Birleşik Krallık / İsviçre'deki kullanıcılar için: Avrupa Komisyonu tarafından onaylanan Standart Sözleşme Maddeleri (SCC) ve gerektiğinde ek güvenceler.
• Diğer ülkelerdeki kullanıcılar için: uluslararası veri aktarımlarına ilişkin yürürlükteki yerel gerekliliklere uyum.

İlgili aktarım mekanizması hakkında daha fazla bilgi almak isterseniz [email protected] adresine yazabilirsiniz.

8. Veri Saklama Süreleri ve Güvenlik Önlemleri

Saklama süreleri:

• hesap bilgileri: hesabınız var olduğu sürece ve yanlışlıkla silmeye karşı kurtarma için silindikten sonra en fazla 30 gün;
• bulut senkronizasyonu verileri, senkronize edilmiş mesaj içerikleri, eklerin meta verileri, ek dosyaları ve bilgi tabanı dosyaları: siz bunları silene, ilgili verileri kapatana/kaldırana ya da hesabınızı kapatana kadar (teknik yedeklerin saklama süreleri saklıdır);
• Oriveo Free kota, kötüye kullanım önleme ve denetim kayıtları: güvenlik, hukuki nedenler veya uyuşmazlıklar daha uzun bir süre gerektirmedikçe en fazla 180 gün;
• kullanıcıların gönderdiği bildirimlerin ayrıntıları: bir uyuşmazlığı çözmek, şartları uygulamak veya mevzuata uymak için daha uzun süre gerekmedikçe en fazla 180 gün;
• Sentry hata günlükleri: en fazla 90 gün;
• Admin giriş günlükleri: en fazla 12 ay;
• tek kullanımlık kodlar: 10 dakika ya da başarılı doğrulamadan hemen sonra geçersiz olur;
• mevzuat gereği saklanması gereken veriler: yürürlükteki mevzuatın öngördüğü süre boyunca.

Güvenlik önlemleri:

• Aktarım sırasında şifreleme: istemci ile sunucu arasındaki tüm bağlantılar TLS 1.2 veya üzerini kullanır.
• Depolanan verinin şifrelenmesi: sunucu altyapısı depolanan veriyi şifreler. Dışa aktarılan yedek dosyalarında, parola belirlediğinizde yalnızca dahil edilen API anahtarları AES-256 ile şifrelenebilir.
• Cihazdaki API anahtarlarının korunması: yerel uygulamalarda iOS Keychain / Android Keystore; web'de aynı kaynak (same-origin) politikasıyla yalıtılmış tarayıcı depolaması.
• Erişim denetimi: iç erişim en az yetki ilkesine göre verilir ve hassas işlemler denetlenir.
• İhlal bildirimi: bir kişisel veri ihlalinin sizin için yüksek risk doğurması muhtemelse, sizi 72 saat içinde e-postayla veya uygulama içi bildirimle bilgilendirmeye çalışır ve gerektiğinde ilgili denetim makamına bildiririz.

9. Haklarınız

Size uygulanan mevzuata (GDPR, UK GDPR, CCPA/CPRA ve benzeri düzenlemeler dahil) bağlı olarak kişisel verilerinizle ilgili şu haklara sahip olabilirsiniz:

• Erişim ve kopya alma: "Ayarlar → Yedekleme → Dışa Aktar" üzerinden verilerinizi ZIP yedek olarak dışa aktarabilirsiniz. Yedek şifrelenmez; API anahtarları yalnızca siz seçerseniz dahil edilir ve bu durumda belirlediğiniz parolayla şifrelenir.
• Düzeltme: düzenlenebilir bilgileri hesap ayarlarından kendiniz güncelleyebilir, diğer alanlar için bize e-postayla ulaşabilirsiniz.
• Silme: "Ayarlar → Hesap → Hesabı Sil" üzerinden hesabınızla ilişkili sunucu tarafı verileri silebilirsiniz; bazı günlükler geçerli saklama süresi boyunca kalabilir.
• Taşınabilirlik: verilerinizi yapılandırılmış, yaygın kullanılan ve makinece okunabilir bir biçimde dışa aktarabilirsiniz.
• İşlemeyi kısıtlama veya itiraz: tanılamayı devre dışı bırakabilir, bulut senkronizasyonunu kapatabilir ya da hesabınızı kullanmayı dilediğiniz zaman bırakabilirsiniz.
• Rızayı geri çekme: işleme rızaya dayanıyorsa rızanızı dilediğiniz zaman geri çekebilirsiniz; bu, geri çekmeden önceki işlemenin hukuka uygunluğunu etkilemez.
• Otomatik karar alma: yalnızca otomatik işlemeye dayanarak sizin hakkınızda hukuki ya da benzer ölçüde önemli sonuç doğuran kararlar almayız; Oriveo Free kota hesabı, kötüye kullanımı önlemeye yönelik operasyonel bir denetimdir ve profilleme değildir. Yürürlükteki mevzuat size bu konuda haklar tanıyorsa bunları [email protected] adresine yazarak kullanabilirsiniz.
• Şikâyet hakkı: AEA / Birleşik Krallık'taki kullanıcılar yerel veri koruma otoritesine, California'daki kullanıcılar California Başsavcılığı'na başvurabilir.
• Kişisel bilgilerin satılmaması veya paylaşılmaması; ayrımcılık yapılmaması (California): CCPA/CPRA'daki tanımlarıyla kişisel bilgilerinizi satmayız ve bağlamlar arası davranışsal reklamcılık için paylaşmayız. Bu haklardan herhangi birini kullandığınız için size ayrımcılık yapmayız.

Yanıt süresi: doğrulanabilir bir talebi aldıktan sonra genellikle 30 gün içinde yanıt veririz. Yürürlükteki mevzuatın izin verdiği durumlarda karmaşık veya çok sayıdaki talepler için bu süreyi uzatabiliriz; böyle bir uzatmayı ve gerekçesini size bildiririz.

10. Çerezler ve Yerel Depolama

Oriveo web sitesi ve web uygulaması aşağıdaki depolama teknolojilerini kullanır; bunlar reklam hedeflemesi veya siteler arası takip için kullanılmaz:

• Zorunlu: Firebase Auth oturum çerezleri, CSRF koruma token'ları ve Admin JWT çerezleri.
• İşlevsel: tema, dil ve düzen tercihleri; sohbet taslakları ve tarayıcının IndexedDB'sinde veya eşdeğer yerel depolamada tutulan model bilgisi önbellekleri.
• Güvenlik: Admin için Cloudflare Turnstile ve Cloudflare DDoS koruma token'ları.
• Analitik: gizliliğe özen gösteren birinci taraf ürün analitiği için Avrupa Birliği'nde barındırılan PostHog'u (eu.i.posthog.com) kullanırız. Veri toplama, düğme tıklamaları gibi sizin gerçekleştirdiğiniz eylemlerle sınırlıdır; oturum kaydı, otomatik yakalama (autocapture) ve anket özellikleri kapalıdır ve PostHog tarayıcınızda yalnızca anonim bir tanımlayıcı saklar. Bu analitik hiçbir zaman reklam veya siteler arası takip için kullanılmaz. Tarayıcı ayarlarınızdan çerezleri ve yerel depolamayı engelleyerek bundan çıkabilirsiniz.

Üçüncü taraf reklam çerezleri, siteler arası takip pikselleri veya reklam teknolojisi betikleri kullanmayız. Çerezleri tarayıcı ayarlarınızdan silebilir veya engelleyebilirsiniz; ancak bu, oturum açmayı veya bazı özellikleri etkileyebilir.

11. Çocukların Gizliliği

Hizmet, 13 yaşın altındaki çocuklara (ya da bulunduğunuz yerde öngörülen daha yüksek asgari yaşın, örneğin AEA'nın bazı bölgelerinde 16 yaşın altındakilere) yönelik değildir. Geçerli yaşın altındaki kullanıcılar Hizmet'i yalnızca ebeveynlerinin veya yasal vasilerinin onayı ve gözetimiyle kullanabilir.

Geçerli yasal yaşın altındaki çocuklardan bilerek kişisel veri toplamayız. Ebeveyn veya yasal vasiyseniz ve çocuğunuzun bize kişisel veri verdiğini düşünüyorsanız [email protected] adresine yazın; verileri doğrulayıp gecikmeden sileriz.

12. Politika Değişiklikleri ve İletişim

Politika değişiklikleri: Bu Gizlilik Politikası'nı ürün, teknoloji, işleyiş veya mevzuattaki değişiklikleri yansıtmak için zaman zaman güncelleyebiliriz. Değişiklik önemliyse, yürürlüğe girmeden önce uygulama içi bildirim, e-posta ya da web sitemizde belirgin bir duyuruyla sizi bilgilendirir ve "Son güncelleme" tarihini buna göre değiştiririz. Güncellenen politika yürürlüğe girdikten sonra Hizmet'i kullanmaya devam etmeniz, yeni sürümü kabul ettiğiniz anlamına gelir. Kabul etmiyorsanız Hizmet'i kullanmayı bırakıp hesabınızı silebilirsiniz.

İletişim:

• Gizlilik ve ilgili kişi başvuruları: [email protected]
• Genel ürün desteği: [email protected]
• Hukuki sorular: [email protected]

Makul bir süre içinde yanıt vermek için makul çabayı gösteririz.

13. Library Bağlantıları ve Belge Erişimi

Notion veya Google Drive / Google Docs bağlarsanız Oriveo, sizin adınıza erişebilmek için OAuth token'ını şifreli olarak saklar. Bu kaynaklara yalnızca Library'de arama, listeleme veya okuma başlattığınızda ya da bir araştırma adımını onayladığınızda erişiriz. İstenen belge metni yalnızca o işlem sırasında Oriveo Server üzerinden geçer; önceden dizin oluşturmayız, vektör veritabanı kurmayız ve belge metnini uzun süreli bir kayıt olarak saklamayız. Metin, yalnızca sizin başlattığınız veya onayladığınız araştırma akışının parçası olarak o anda kullandığınız modele gönderilir. Kısa ömürlü önbellek yalnızca Library işlemlerini yürütmek için kullanılır; süresi dolduğunda veya kaynağın bağlantısını kestiğinizde silinir. Bağlantıyı kesmek ya da izni geri almak yeni erişimleri hemen durdurur ve saklanan token ile ilgili önbelleği siler. Library içeriği model eğitimi, reklam veya analitik için kullanılmaz.

Google Drive ve Google Docs için ayrıca: belge metnini alan model, sizin seçtiğiniz ve kendi API anahtarınızla bağladığınız üçüncü taraf bir sağlayıcıdır ve bu sağlayıcı metni kendi koşullarına göre işler. Bunun yerine Oriveo'nun barındırdığı bir model (Oriveo AI veya Oriveo Free) kullanırsanız belge metni, Oriveo'nun barındırılan model hizmeti üzerinden o modeli sunan arka plandaki model sağlayıcısına iletilir ve bu sağlayıcı metni kendi koşullarına göre işler. Oriveo'nun Google Workspace API'lerinden aldığı bilgileri kullanması, Limited Use gereklilikleri dahil Google API Services User Data Policy'ye uygundur; bu bilgileri genel amaçlı yapay zekâ veya makine öğrenimi modellerini geliştirmek, iyileştirmek ya da eğitmek için kullanmayız.