1. Genel Bakış

Nottut ("Nottut", "biz", "bizim") markasını işleten Zempra LLC(Wyoming, ABD'de kayıtlı şirket; tescilli adres: 30 N Gould St, Ste N, Sheridan, WY 82801, ABD), kullanıcılarının gizliliğini ciddiye alır. Bu Gizlilik Politikası; Nottut not alma ve bilgi yönetimi platformunu ("Hizmet") kullanırken hangi kişisel verilerin toplandığını, bu verilerin hangi amaçlarla işlendiğini, kimlerle paylaşıldığını ve haklarınızı nasıl kullanabileceğinizi açıklar.

Hizmete kayıt olarak veya Hizmeti kullanarak bu politikayı okuduğunuzu ve kabul ettiğinizi beyan edersiniz. Türkiye Cumhuriyeti'nde ikamet eden kullanıcılar için ayrıca 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamındaki detaylar KVKK Aydınlatma Metni sayfasında sunulmuştur.

2. Topladığımız Bilgiler

Hizmetin sağlanması ve iyileştirilmesi amacıyla aşağıdaki veri kategorilerini işleriz:

Hesap Bilgileri: E-posta adresiniz, adınız (isteğe bağlı), şifrenizin tek yönlü özeti (hash), hesap oluşturma tarihi ve doğrulama durumu.
Kullanıcı İçeriği: Oluşturduğunuz notlar, klasörler, etiketler, yüklediğiniz medya dosyaları (görsel, ses, belge) ve diğer tüm içerikler.
Ödeme Bilgileri: Abonelik satın alan kullanıcıların fatura e-postası, ülke/eyalet, abonelik planı, ödeme yöntemi türü (kart markası, son 4 hane), işlem geçmişi ve fatura numaraları. Kart numarası, CVC ve son kullanma tarihi gibi tam ödeme bilgilerini biz saklamayız; bu veriler doğrudan PCI-DSS Level 1 sertifikalı ödeme işlemcimiz tarafından işlenir.
Yapay Zeka Etkileşimleri: Yapay zeka özelliklerini kullandığınızda gönderdiğiniz talimatlar (prompt), seçilen model, aktarılan not içeriği ve oluşturulan çıktılar. Bu veriler kısa süreli olarak işlenir; detaylar için bkz. madde 6.
Kullanım Verileri: Hangi özelliklerin kullanıldığı, oturum süresi, hata raporları ve performans metrikleri.
Teknik Veriler: IP adresi, tarayıcı türü ve sürümü, işletim sistemi, dil tercihi, cihaz türü, erişim zamanı.
İletişim Kayıtları: Destek talepleri ve bize gönderdiğiniz e-postaların içeriği.

3. Verileri Nasıl Topluyoruz

Doğrudan sizden: Kayıt sırasında, hesap ayarlarınızı düzenlerken, içerik oluştururken.
Otomatik olarak: Hizmeti kullandığınızda çerezler, oturum belirteçleri ve sunucu günlükleri aracılığıyla.
Üçüncü taraflardan: Google ile giriş yaptığınızda Google tarafından bize iletilen profil bilgileri (e-posta, ad, profil fotoğrafı).

4. Verilerin İşlenme Amaçları

Hesabınızı oluşturmak, yönetmek ve kimliğinizi doğrulamak
Not alma, organizasyon, arama ve senkronizasyon gibi temel Hizmet işlevlerini sağlamak
Yapay zeka destekli özellikleri (özetleme, yeniden yazma, soru-cevap) sunmak
Ücretli abonelikleri yönetmek, fatura düzenlemek, ödeme işlemlerini gerçekleştirmek
Destek taleplerinize yanıt vermek ve Hizmete ilişkin bildirim göndermek
Hizmeti geliştirmek, hataları ayıklamak, kötüye kullanımı ve dolandırıcılığı önlemek
Yasal yükümlülükleri yerine getirmek (muhasebe, vergi, KVKK/GDPR uyumu)

5. Hukuki Dayanaklar

Sözleşmenin ifası: Kullanım Şartları kapsamında Hizmeti sunmak için gerekli işlemler.
Hukuki yükümlülük: Vergi, muhasebe ve veri koruma mevzuatına uyum.
Meşru menfaat: Güvenlik, kötüye kullanım tespiti ve Hizmetin iyileştirilmesi.
Açık rıza: Pazarlama iletişimi, isteğe bağlı analitik ve opsiyonel özellikler.

6. Yapay Zeka İşlemleri

Hizmet; Anthropic, OpenAI ve Google gibi üçüncü taraf yapay zeka sağlayıcılarını kullanır. Yapay zeka özelliklerini çalıştırdığınızda, seçtiğiniz veya ilgili not içeriği sağladığınız talimatla birlikte şifrelenmiş kanal üzerinden ilgili sağlayıcıya iletilir. Kullandığımız sağlayıcıların tamamı, aktarılan verilerin model eğitiminde kullanılmamasını taahhüt eden kurumsal API sözleşmelerine tabidir. Sağlayıcılar, verileri yalnızca kısa süreli denetim ve kötüye kullanım tespiti amacıyla (genellikle 30 gün içinde silinecek şekilde) saklar.

Yapay zeka özelliklerini kullanmak isteğe bağlıdır; kullanmamayı tercih ederseniz not içeriğiniz yapay zeka sağlayıcılarına iletilmez.

7. Ödeme Bilgileri ve Stripe

Ödeme işlemleri, PCI-DSS Level 1 sertifikalı ödeme altyapısı sağlayıcımız Stripe Payments, Inc. (ABD) tarafından gerçekleştirilir. Kart numaranız, CVC kodunuz ve son kullanma tarihi Nottut sunucularına hiçbir zaman iletilmez; yalnızca Stripe tarafından işlenir. Biz yalnızca abonelik durumu, ödeme referans kimliği, fatura e-postası ve kart markası/son 4 hane gibi sınırlı meta bilgileri saklarız.

8. Veri Paylaşımı ve Alt-İşleyiciler

Verilerinizi reklam, pazarlama veya veri madenciliği amacıyla üçüncü taraflara satmayız ve aktarmayız. Yalnızca Hizmeti sunmak için zorunlu olan, veri işleme sözleşmeleriyle bağlı altyapı sağlayıcılarımızla ("alt-işleyiciler") sınırlı veri paylaşımı yapılır:

Stripe Payments, Inc. (ABD): Ödeme, abonelik ve faturalama altyapısı.
Resend (ABD): İşlemsel e-postaların gönderimi (doğrulama, şifre sıfırlama, bildirim).
Cloudflare R2 (Küresel CDN): Yüklediğiniz medya dosyalarının depolanması.
Anthropic (ABD): Claude yapay zeka modelleri.
OpenAI (ABD): GPT yapay zeka modelleri.
Google (ABD/AB): Gemini yapay zeka modelleri ve Google ile giriş.
Sunucu barındırma sağlayıcısı (AB): Uygulama sunucuları ve veritabanı.
Google Analytics 4 (opsiyonel, ABD): Anonim kullanım istatistikleri (yalnızca kabul etmeniz halinde).

Ayrıca yürürlükteki hukuka uygun resmi talep olması halinde yetkili adli ve idari mercilerle veri paylaşımı zorunlu olabilir; bu durumda yalnızca talep edilen asgari veri paylaşılır.

9. Yurt Dışına Aktarım

Yukarıdaki alt-işleyicilerin bir kısmı Avrupa Birliği veya Amerika Birleşik Devletleri merkezlidir. Verileriniz bu kapsamda yurt dışına aktarılabilir. Aktarımlar, sağlayıcıların AB Standart Sözleşme Maddeleri (SCC) veya eşdeğer hukuki güvenceler altında yürüttüğü kurumsal veri işleme sözleşmeleriyle korunur.

10. Çerezler ve Yerel Depolama

Zorunlu çerezler: Oturum belirteçleri (access/refresh token), CSRF koruması. Bu çerezler olmadan Hizmet çalışmaz.
Tercih çerezleri: Dil seçimi, tema (açık/koyu), görünüm ayarları.
Analitik çerezler (isteğe bağlı): Kabul etmediğiniz sürece yüklenmez.

11. Veri Saklama Süreleri

Hesap bilgileri ve kullanıcı içeriği: Hesabınız aktif olduğu sürece.
Yapay zeka etkileşimleri: 30 gün sonra kimliksizleştirilir veya silinir.
Ödeme ve fatura kayıtları: ABD İç Gelir İdaresi (IRS) ve Wyoming Eyalet kayıt tutma gereklilikleri uyarınca 7 yıl. Türkiye'de ikamet eden kullanıcılara ilişkin kayıtlar için 213 sayılı Vergi Usul Kanunu uyarınca 10 yıl saklanabilir.
Destek talepleri: Kapanış tarihinden itibaren 2 yıl.
Sunucu günlükleri: 90 gün.

Hesabınızı sildiğinizde, yasal saklama yükümlülüğüne tabi veriler dışındaki tüm kişisel verileriniz ve içerikleriniz 30 gün içinde kalıcı olarak silinir.

12. Veri Güvenliği

Aktarım sırasında TLS 1.2+ şifreleme (HTTPS) zorunludur.
Şifreler bcrypt/argon2 gibi tek yönlü hash algoritmalarıyla saklanır.
Rol bazlı erişim kontrolü ve en az yetki ilkesi uygulanır.
Şüpheli giriş denemelerinde otomatik hesap kilidi ve e-posta bildirimi devreye girer.
Düzenli güvenlik güncellemeleri ve bağımlılık taramaları yapılır.

Hiçbir sistemin %100 güvenli olmadığını hatırlatırız. Güçlü ve benzersiz bir şifre kullanmanızı, iki faktörlü kimlik doğrulama sunulduğunda etkinleştirmenizi öneririz.

13. Haklarınız

Verilerinize erişim ve kopyasını talep etme
Eksik veya yanlış verilerin düzeltilmesini isteme
Verilerinizin silinmesini talep etme (hesap silme ile)
İşlemeye itiraz etme veya kısıtlanmasını talep etme
Verilerinizi taşınabilir bir formatta indirme (veri taşınabilirliği)
Rıza verdiğiniz işlemler için rızanızı geri çekme
Yetkili denetim otoritesine (Türkiye için Kişisel Verileri Koruma Kurumu) şikayette bulunma

Haklarınızı kullanmak için support@nottut.com adresine yazabilirsiniz. Talepleriniz en geç 30 gün içinde ücretsiz olarak yanıtlanır.

ABD'de ikamet eden kullanıcılar için: California Consumer Privacy Act (CCPA/CPRA), Virginia Consumer Data Protection Act (VCDPA), Colorado Privacy Act (CPA) ve diğer eyalet düzeyindeki veri koruma yasaları kapsamında; hangi kişisel veri kategorilerinin toplandığını öğrenme, erişim, düzeltme, silme, satış veya paylaşımdan vazgeçme ("Do Not Sell or Share") ve bu haklarınızı kullanırken ayrımcılığa uğramama haklarınıza sahipsiniz. Nottut, kişisel verilerinizi hiçbir koşulda satmaz ve reklam paylaşımı amacıyla üçüncü taraflara aktarmaz.

14. Çocukların Gizliliği

Nottut 13 yaşın altındaki çocuklara yönelik değildir ve bu yaş grubundaki kişilerden bilinçli olarak kişisel veri toplamaz. 13-18 yaş arasındaki kullanıcıların Hizmeti veli/vasi onayı ile kullanması beklenir. Çocuğunuzun izinsiz kayıt olduğunu düşünüyorsanız bizimle iletişime geçin; ilgili hesabı ve verileri derhal sileriz.

15. Politika Değişiklikleri

Bu Gizlilik Politikasını zaman zaman güncelleyebiliriz. Önemli değişiklikler (yeni alt-işleyici eklenmesi, yeni veri kategorisi işlenmesi, saklama sürelerinin uzaması gibi) yürürlüğe girmeden en az 30 gün önce kayıtlı e-posta adresinize bildirilir. Güncel sürüm her zaman bu sayfada yayınlanır.

16. İletişim

Gizlilik politikamızla ilgili sorularınız, talepleriniz veya şikayetleriniz için:

E-posta: support@nottut.com
Posta: Zempra LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, ABD