Kulis — Gizlilik Politikası

Sürüm: 0.1 (taslak) · Yürürlük tarihi: [[YURURLUK_TARIHI]] · Son güncelleme: [[YURURLUK_TARIHI]]

Bu bir taslaktır ve hukuki tavsiye değildir. Yayına alınmadan önce lisanslı bir avukat tarafından gözden geçirilmelidir. Taslakta çift köşeli parantezli alanlar ([[...]]) doldurulmadan yayınlanamaz.

1. Kim veri sorumlusu

Kulis (kulis.ai), bağımsız sahneler için etkinlik duyuru ve içerik dağıtım sistemidir. Bu politikadaki işleme faaliyetlerinin veri sorumlusu:

Kulis, Türkiye'de kuruludur. Kişisel veriler 6698 sayılı Kişisel Verilerin Korunması Kanunu'na (KVKK) göre işlenir.

2. Hangi verileri işliyoruz

Hesap verisi. E-posta adresin, şifrenin geri döndürülemez özeti (hash), çalışma alanı (sahne) adın, rolün ve hesabının açılma/güncellenme zamanları. Kulis şu anda yalnızca davetle kullanılıyor; herkese açık kayıt kapalıdır.

Bağlı platform hesapları. YouTube, Instagram, Facebook, TikTok ve Telegram hesaplarını kendi rızanla bağlarsın. Bunlardan aldığımız veri: hesap/kanal kimliği, görünen ad, profil görseli, verdiğin yetkilerin (scope) listesi ve erişim/yenileme token'ları. Token'lar veritabanında AES-256-GCM ile şifrelenmiş tutulur, tarayıcıya hiçbir koşulda gönderilmez ve yalnızca yayını yapan arka plan sürecimiz tarafından çözülür.

Yüklediğin videolar ve görseller. Dağıtmak üzere yüklediğin dosyalar ve bunların platform kurallarına uydurulmuş (yeniden kodlanmış) kopyaları. Bu dosyalar bir gösteri kaydıysa sahnedeki kişilerin ve seyircinin görüntüsünü ve sesini içerebilir.

Deşifre metinleri. Gönderi başına, sen açtığında üretilen konuşma metinleri ve zaman damgalı parçaları. Deşifre varsayılan olarak kapalıdır; her gönderide ayrı ayrı sen başlatırsın. Konuşmacı ayrımı açılırsa etiketler isimsizdir ("Konuşmacı 1", "Konuşmacı 2").

Yapay zekâ girdileri ve çıktıları. Başlık, açıklama, hashtag, kapak görseli, altyazı, seslendirme gibi üretimler için gönderilen istemler (prompt) ve üretilen dosyalar; her üretimin hangi sağlayıcı ve model ile yapıldığı ve tahmini/gerçek maliyeti.

Telegram kimlikleri. Telegram "gelen kutusu" botunu kullanıyorsan, izin verdiğin sohbetin/kanalın kimliği ve o sohbetten gönderdiğin içerik.

İşlem ve hata kayıtları. Yayın denemeleri, platformdan dönen hata mesajları, kuyruk durumları, sunucu erişim kayıtları ve IP adresi.

Erken erişim formu. Listeye katılırsan: mekân adı, Instagram kullanıcı adı, haftalık gösteri sayısı, WhatsApp numarası, dil tercihi ve kaydın geldiği kaynak.

Çerezler. Yalnızca üç işlevsel çerez ailesi kullanılır: oturum çerezleri (giriş yapmış kalman için), hesap bağlarken 10 dakika yaşayan güvenlik çerezi (oauth_nonce, sahtecilik önleme) ve dil tercihi çerezi (NEXT_LOCALE). Reklam, izleme veya profilleme çerezi kullanılmaz.

3. Neden işliyoruz ve hukuki sebebimiz (KVKK m.5)

Önemli: Erken erişim listesine ticari elektronik ileti gönderilmez. Sana yalnızca kendi talebinle ilgili, bire bir iletişim yapılır. Ticari ileti göndermeye başlarsak önce ayrı bir açık rıza alınır ve İleti Yönetim Sistemi'ne (İYS) kaydedilir.

4. Ne kadar süre saklıyoruz

Silme talebin, mevzuatın saklamamızı zorunlu kıldığı kayıtları kapsamaz; bu kayıtlar süresi dolana kadar erişime kapalı biçimde saklanır ve yalnızca yasal yükümlülük için kullanılır.

5. Kimlerle paylaşıyoruz

Yayın yaptığın platformlar. Bir gönderiyi onayladığında içerik, senin bağladığın hesap üzerinden ilgili platforma (YouTube, Instagram, Facebook, TikTok, Telegram) gönderilir. Bu platformlar veriyi kendi gizlilik politikalarına göre işler.

Hizmet sağlayıcılarımız (alt işleyiciler). Güncel liste ve her birinin ülkesi, amacı ve eriştiği veri: docs/legal/subprocessors.md (yayında: https://kulis.ai/subprocessors). Özetle: Supabase (veritabanı ve kimlik doğrulama, Frankfurt/AB), Cloudflare R2 (medya depolama), Vercel (web barındırma), Hetzner (Almanya, arka plan sunucusu), Anthropic (metin üretimi), ElevenLabs / OpenAI / Deepgram (deşifre ve seslendirme), fal.ai (görsel ve video üretimi), Telegram (bot).

Kamu kurumları. Yalnızca mevzuatın açıkça gerektirdiği hallerde ve talebin hukuka uygunluğunu denetledikten sonra.

Kişisel verilerini satmayız, reklam amacıyla üçüncü taraflara aktarmayız.

6. Yurt dışına aktarım (KVKK m.9)

Yukarıdaki sağlayıcıların bir kısmı Türkiye dışında (ABD, Almanya, AB) bulunur; bu nedenle veriler yurt dışına aktarılır. Aktarım, KVKK m.9 uyarınca standart sözleşme temelinde yapılır; imzalanan standart sözleşmeler imza tarihinden itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir. Yeterlilik kararı bulunan bir ülke söz konusu olduğunda aktarım m.9/1'e dayanır.

Deşifre açıldığında ses kaydın, seçtiğin sağlayıcının (ElevenLabs, OpenAI veya Deepgram) sunucularına gider. Bu sağlayıcılar Türkiye dışındadır. Deşifreyi açmadan önce bunu bilerek karar ver.

7. Verinin güvenliği

Token'lar AES-256-GCM ile şifrelenir ve yalnızca sunucu tarafında çözülür; veritabanında satır düzeyinde erişim denetimi (RLS) açıktır; her çalışma alanı yalnızca kendi verisini görür; yetkilendirme akışları imzalı durum (state) ve tek kullanımlık çerezle korunur; yönetimsel erişim asgari sayıda kişiyle sınırlıdır.

Dürüst olmak için: Yüklediğin medya dosyaları, Instagram ve TikTok'un videoyu çekebilmesi için tahmin edilemez bir adres üzerinden (cdn.kulis.media) erişilebilir durumda tutulur. Adresi bilen biri dosyaya ulaşabilir; arama motorlarına açılmaz ve dosyalar yukarıdaki saklama süreleri sonunda silinir.

8. Hakların (KVKK m.11)

Kişisel verilerinle ilgili olarak: işlenip işlenmediğini öğrenme, bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde/dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, düzeltme/silme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme ve zararın giderilmesini talep etme haklarına sahipsin.

Nasıl başvurursun: [[ILETISIM_EPOSTA]] adresine ya da [[KEP]] KEP adresine, kimliğini doğrulayabileceğimiz bilgilerle yaz. Başvurunu en geç 30 gün içinde sonuçlandırırız. Yanıtımızı yetersiz bulursan Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin.

Hesabını ve verilerini silmenin adım adım yolu: https://kulis.ai/data-deletion.

9. Google / YouTube verisi

Kulis, YouTube API Servisleri'ni kullanır. YouTube hesabını bağladığında YouTube API Servisleri üzerinden erişilen veriler: kanal kimliği, kanal adı, profil görseli, verdiğin yetkiler ve Kulis üzerinden yüklediğin videoların kimliği, adresi ve yükleme durumu.

• Ne için kullanılır: Yalnızca senin onayladığın videoyu senin kanalına yüklemek, yükleme durumunu göstermek ve aynı videonun ikinci kez yüklenmesini önlemek için. Reklam, profilleme veya yapay zekâ modeli eğitimi için kullanılmaz; kimseye satılmaz.
• Ne kadar saklanır: Yetkilendirme token'ları, hesabın bağlı kaldığı sürece. Diğer YouTube verileri, hesabın bağlantısını kestiğin ya da erişimi Google üzerinden geri aldığın tarihten itibaren 30 takvim günü içinde silinir.
• Nasıl silinir / nasıl geri alırsın: Kulis içinde Hesaplar ekranından bağlantıyı kesebilirsin. Ayrıca Google güvenlik ayarları sayfasından erişimi doğrudan iptal edebilirsin: https://security.google.com/settings/security/permissions
• Kulis'in YouTube üzerinden aldığı bilgileri kullanımı Google API Services User Data Policy'ye, Limited Use gereklilikleri dahil olmak üzere uygundur.
• Kulis'i kullanarak YouTube Hizmet Şartları'nı kabul etmiş olursun: https://www.youtube.com/t/terms
• Google Gizlilik Politikası: https://policies.google.com/privacy

10. Meta (Instagram ve Facebook) verisi

Instagram işletme hesabını veya Facebook sayfanı bağladığında erişilen veriler: hesap/sayfa kimliği, adı, profil görseli, verdiğin izinler ve erişim token'ı. Kullanılan izinler: instagram_business_basic, instagram_business_content_publish, pages_show_list, pages_manage_posts, pages_read_engagement, publish_video.

• Ne için kullanılır: Yalnızca senin onayladığın içeriği senin hesabına yayınlamak ve yayının durumunu göstermek için.
• Ne kadar saklanır: Bağlantıyı kesene kadar; kesildikten sonra en geç 30 gün içinde silinir.
• Nasıl silinir: Kulis içinden bağlantıyı kes; ya da Facebook/Instagram'da Ayarlar → Uygulamalar ve Web Siteleri bölümünden Kulis'i kaldır. Uygulamayı oradan kaldırdığında Meta bize otomatik bir silme bildirimi gönderir; talebini kaydeder, bağlı hesap verisini sileriz ve sana bir onay kodu ile durum sayfası adresi döneriz. Ayrıntı: https://kulis.ai/data-deletion.

11. TikTok verisi

TikTok hesabını bağladığında erişilen veriler: açık kullanıcı kimliği (open_id), görünen ad, profil görseli ve erişim token'ı. Kullanılan yetkiler: user.info.basic, video.upload, video.publish.

• Ne için kullanılır: Yalnızca senin onayladığın videoyu senin hesabına göndermek ve durumunu göstermek için. Video dosyası, TikTok tarafından cdn.kulis.media adresinden çekilir.
• Ne kadar saklanır: Bağlantıyı kesene kadar; kesildikten sonra en geç 30 gün içinde silinir.
• Nasıl silinir: Kulis içinden bağlantıyı kes ya da TikTok uygulamasında Ayarlar → Güvenlik ve izinler → Uygulama izinleri bölümünden Kulis'in erişimini kaldır.
• TikTok denetimimiz tamamlanana kadar gönderdiğin videolar TikTok tarafında yalnızca sana görünür (SELF_ONLY) ya da taslak olarak kalır. Bu TikTok'un kuralıdır.

12. Çocuklar

Kulis 18 yaşından küçüklere yönelik değildir ve bilerek çocuklardan veri toplamaz. Böyle bir veri işlediğimizi fark edersek sileriz.

13. Değişiklikler

Bu politikayı güncellersek yürürlük tarihini değiştirir ve aşağıdaki sürüm geçmişine işleriz. Esaslı bir değişiklikte kayıtlı kullanıcılara e-posta ile önceden haber veririz.

İletişim: [[ILETISIM_EPOSTA]] · [[KEP]]