Datenschutzerklärung & Gizlilik Politikası
⚠️ TASLAK — köşeli parantezleri doldur. Yayınlamadan önce avukat onayı al (bu metin hukuki danışmanlık değildir). Yasal dayanak: DE/EU · DSGVO (Art. 6, 9, 13–22, 44–49) + § 25 TTDSG · TR · 6698 sayılı KVKK (m.4, 5, 6, 8, 9, 11, 28) + Çerez Rehberi (KVKK Kurumu)
Bu politika hem AB Genel Veri Koruma Tüzüğü (DSGVO/GDPR) hem Türk Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında hazırlanmıştır ve her iki yargı alanındaki kullanıcıları kapsar. Türkçe KVKK'ya özgü resmi Aydınlatma Metni için ayrıca KVKK Aydınlatma Metni sayfasına bakın. / Diese Erklärung erfüllt DSGVO und das türkische KVKK gleichermaßen.
1. Verantwortlicher / Veri Sorumlusu
Bruckmed LLC (Wyoming, USA) — 30 N Gould St, Ste R, Sheridan, WY 82801, ABD / USA
Vertreten durch / Temsilci (Türkiye mukimi): Dr. med. Mehmet Ünsal
E-posta / E-Mail: [email protected] · Web: https://bruckmed.com · Tel: [+ … — gerekirse]
⚠️ TASLAK NOTU (2026-06-22): Sağlayıcı/sorumlu = Bruckmed LLC (ABD), yönetici TR mukimi. KVKK "veri sorumlusu" sıfatının (LLC mi, TR mukim yönetici mi) bu yapıda nasıl kurulacağı avukat/mali müşavirle netleştirilecektir.
- EU-Vertreter (Art. 27 DSGVO): [AB'de hizmet sunan AB-dışı sorumlu için gerekebilir — avukatla netleştir, atanınca buraya yaz.]
- TR · VERBİS: [Veri Sorumluları Sicili kaydı gerekip gerekmediğini mali müşavir/avukatla netleştir; gerekiyorsa sicil bilgisi.]
2. Temel ilke / Grundprinzip
Yüklediğiniz belgeler ve girdiğiniz metin yalnızca tarayıcınızda hazırlanır; çıkarılan metin işlenmek üzere tek seferlik olarak yapay zekâ sağlayıcısına (Anthropic) iletilir. Tıbbi içerik sunucularımızda kalıcı olarak saklanmaz. Hesap, abonelik ve kota bilgileri ise hizmetin sunulması için işlenir (aşağıya bkz.). / Hochgeladene Dokumente werden im Browser verarbeitet; medizinische Inhalte werden nicht dauerhaft auf unseren Servern gespeichert. Konto-/Abrechnungsdaten werden zur Diensterbringung verarbeitet.
3. İşlenen veriler / Verarbeitete Daten
| Veri kategorisi / Datenkategorie | Kaynak | Amaç / Zweck | Saklama / Speicherung | Durum |
|---|---|---|---|---|
| Yüklenen belge + çıkarılan metin (sağlık verisi olabilir) | Siz | AI çeviri/açıklama | Sunucuda yok — Anthropic'e tek seferlik | Aktif |
| Hesap kimliği + e-posta (Clerk) | Siz / Clerk | Üyelik, giriş | Clerk + Vercel KV (user:<id>) |
Aktif |
| Plan / abonelik / kota / kredi | Sistem | Ödeme & kullanım hakkı | Vercel KV | Aktif |
| Ödeme verisi (kart, fatura adresi) | Siz → Polar | Tahsilat, fatura | Polar Software, Inc. (Merchant of Record) | Aktif |
| Demo IP sayacı (anonim) | Tarayıcı | Kötüye kullanım/kota | Vercel KV (kısa süreli, ~35g TTL) | Aktif |
| IP adresi (teknik) | Tarayıcı → sunucu/Anthropic | API çağrısı, güvenlik | Sağlayıcı log politikasına göre | Aktif |
| Sunucu logları | Hosting (Vercel) | Güvenlik | [hosting policy / kısa süre] | Aktif |
| Onboarding profili (ana dil, ad, e-posta; ops. telefon/LinkedIn/CV/foto) | Siz | Kişiselleştirme | Cihazınızda (localStorage); giriş yaptıysanız ilerleme/yol haritası ayrıca sunucuda (Vercel KV) senkronlanır |
Aktif |
| CV / foto / telefon / LinkedIn (sunucuya yükleme) | Siz | İş eşleştirme / hizmet | Vercel Blob (dosyalar) + Neon PostgreSQL (aday kaydı); tür/boyut sınırlı | Aktif |
| Pazarlama izni + iletişim | Siz (rıza) | Bülten / funnel | Brevo (çift onay / Double-Opt-In) + onay bekleyen kayıt için geçici Vercel KV jetonu | Aktif |
| Ses kaydı (mikrofon — yalnızca HD konuşma tanımayı açarsanız) | Siz | Konuşma tanıma (yazıya çevirme) | Groq (ABD)'a iletilir, tarafımızca saklanmaz; kapalıyken tanıma tarayıcıda yapılır | Aktif (rızaya bağlı) |
| Çerez tercihi, tema, (eski) BYOK API anahtarı | Siz | Ayar | Yalnızca cihazınızda (localStorage) |
Aktif (yerel) |
4. İşlemenin hukuki sebebi / Rechtsgrundlage (DSGVO + KVKK paralel)
| Amaç | DE/EU · DSGVO | TR · KVKK |
|---|---|---|
| Hizmetin sunulması (çeviri, hesap, ödeme) | Art. 6/1-b (sözleşme) | m.5/2-c (sözleşmenin ifası) |
| Sağlık verisi işleme (yüklenen tıbbi metin) | Art. 9/2-a (açık rıza) | m.6/2 (açık rıza — her işlemde checkbox) |
| Güvenlik, kötüye kullanım önleme, loglar | Art. 6/1-f (meşru menfaat) | m.5/2-f (meşru menfaat) |
| Yasal yükümlülükler (fatura/vergi) | Art. 6/1-c | m.5/2-ç |
| Reklam/ölçüm çerezleri (blog) | Art. 6/1-a (rıza) + § 25/1 TTDSG | m.5/1 (açık rıza) |
| Pazarlama e-postası (planlanan) | Art. 6/1-a (rıza) | m.5/1 (açık rıza) — opsiyonel, Kopplungsverbot |
| Yurt dışı aktarım | Art. 44–49 (SCC) | m.9 (açık rıza / yeterli koruma) |
5. Auftragsverarbeiter / Veri İşleyenler ve üçüncü taraflar
Hizmet aşağıdaki sağlayıcıları kullanır; aksi belirtilmedikçe ABD merkezlidir ve ABD'ye aktarım AB Standart Sözleşme Maddeleri (SCC, Art. 46 DSGVO) ve KVKK m.9 açık rıza temelinde yapılır:
- Anthropic, PBC (San Francisco, CA, USA) — KI-Verarbeitung / metin işleme. DPA: https://www.anthropic.com/legal/dpa · Trust: https://trust.anthropic.com · Zero-Retention: model eğitiminde kullanılmaz; işlem logları en fazla ~30 gün.
- Vercel Inc. (USA) — Hosting + KV (kullanıcı durumu/kota) + Web Analytics (çerezsiz/cookieless, anonim sayfa istatistiği — bkz. §8a). DPA: https://vercel.com/legal/dpa
- Clerk, Inc. (USA) — kimlik doğrulama (e-posta, oturum). DPA: https://clerk.com/legal/dpa
- Brevo (Sendinblue SAS, Paris/Fransa — AB içi, ABD aktarımı gerektirmez) — haber/bülten listesi ve işlem e-postaları (kayıt onayı / Double-Opt-In, bildirimler). İşlenen veri: e-posta adresi, kayıt tarihi, kayıt kaynağı ve dil. Bülten gönderimlerinde açılma ve tıklama istatistiği (takip pikseli ve yönlendirilmiş bağlantılar) hizmetin geliştirilmesi amacıyla işlenir; her e-postadaki abonelikten çıkma bağlantısıyla rızanızı geri çekebilirsiniz. Hukuki dayanak: Art. 6(1)(a) DSGVO / KVKK m.5(1) açık rıza (Double-Opt-In ile alınır). Gizlilik: https://www.brevo.com/legal/privacypolicy
- Polar Software, Inc. (548 Market St, PMB 61301, San Francisco, CA 94104, USA — Merchant of Record) — abonelik ödemesi, fatura, KDV/OSS. Kart verisini doğrudan biz işlemeyiz. Gizlilik: https://polar.sh/legal/privacy · Şartlar: https://polar.sh/legal/terms
- Stripe, Inc. (USA — yalnızca komisyon/pazaryeri ödemeleri için, planlanan) — hoca dersi ve recruiter komisyonlarının tahsili ve ödeyene aktarımı (Stripe Connect). Gizlilik: https://stripe.com/privacy
- Google AdSense (Google Ireland Ltd., Dublin) — yalnızca blog/
icerik/sayfalarında, yalnızca rıza ile (bkz. §8a). - Cloudflare, Inc. (San Francisco, CA, USA) — tüm API isteklerinin geçtiği ters vekil (reverse proxy) + WAF (
api.bruckmed.com) ve Turnstile bot koruması. İşlenen veri: IP adresi, tarayıcı/cihaz sinyalleri, istek üst bilgileri — güvenlik ve kötüye kullanım önleme amacıyla. Ayrıca video kayıtları için Cloudflare Stream (yalnızca kayıt özelliği etkinleştirilirse). Hukuki dayanak: Art. 6(1)(f) DSGVO (meşru menfaat: hizmet güvenliği) · KVKK m.5(2)(f). DPA: https://www.cloudflare.com/cloudflare-customer-dpa/ - Neon Inc. (USA) — PostgreSQL veritabanı: hoca/eğitmen ve recruiter kayıtları, randevu/booking verileri, iş eşleştirme aday kayıtları ve paylaşım kayıtları burada kalıcı olarak tutulur. (§3'teki "Vercel KV" ifadesi tek saklama yeri değildir — kalıcı ilişkisel veriler Neon'da tutulur.) Hukuki dayanak: Art. 6(1)(b) DSGVO (sözleşme/hizmet ifası) · KVKK m.5(2)(c).
- Groq, Inc. (USA) — konuşma tanıma (Speech-to-Text, Whisper). ⚠️ Mikrofon kaydınız (ses verisi) yazıya çevrilmek üzere ABD'ye iletilir. Ses yalnızca çeviri işlemi için gönderilir, tarafımızca saklanmaz. Bu özellik yalnızca siz HD mikrofonu açıkça etkinleştirirseniz çalışır; kapalıyken konuşma tanıma tarayıcınızda yapılır ve hiçbir ses dışarı gitmez. Hukuki dayanak: Art. 6(1)(a) DSGVO açık rıza (özelliği açmanız) · KVKK m.9 açık rıza.
- Google Cloud Text-to-Speech (Google Ireland Ltd., Dublin / Google LLC) — metin okuma (sesli anlatım). Yalnızca okunacak Almanca eğitim metni iletilir; kimlik bilgisi gönderilmez. Hukuki dayanak: Art. 6(1)(b)/(f) DSGVO. DPA: https://cloud.google.com/terms/data-processing-addendum
- Telegram (Telegram FZ-LLC, Dubai/BAE) — bildirim kanalı: hoca/eğitmene randevu bildirimi (yalnızca kendisi bota /start ile bağlanırsa) ve yöneticiye sistem alarmı. İşlenen veri: bildirim içeriği + Telegram sohbet kimliği. Hukuki dayanak: Art. 6(1)(a) açık rıza (bağlanma) / Art. 6(1)(f) (yönetici alarmı).
- Daily.co (Pluot Labs, Inc., USA) ve Jitsi Meet (
meet.jit.si) — canlı görüşme (video/ses) altyapısı. Görüşme sırasında görüntü ve sesiniz ilgili sağlayıcı üzerinden iletilir. Görüşme kaydı yalnızca tüm taraflar ayrıca onay verirse alınır (bkz. Kayıt Rızası). Hukuki dayanak: Art. 6(1)(a) açık rıza + Art. 6(1)(b). - Pollinations — simülasyon hastası için temsili avatar görseli üretimi. Yalnızca kurgusal karakter tanımı (yaş/meslek/ruh hali) iletilir; kişisel veri gönderilmez.
İçerik Dağıtım Ağları (CDN) / Content Delivery Networks: Sayfaların bazı yazılım kütüphaneleri dış CDN'lerden yüklenir; bu, tarayıcınızın IP adresinin ilgili CDN sağlayıcısına iletilmesi anlamına gelir (teknik olarak kaçınılmazdır, aksi hâlde dosya indirilemez). Güncel durum:
- jsDelivr —
index.htmlvefsp.html'de Clerk giriş kütüphanesi. (Clerk zaten yukarıda veri işleyen olarak listelidir; CDN yalnızca dosya teslimidir.) - unpkg —
landing.html'de 3B görsel kütüphanesi (three.js). - ✅ Kaldırılanlar (2026-07-30): PDF/Word okuma (pdf.js, mammoth), grafik (chart.js) ve dosya yükleme kütüphaneleri artık kendi sunucumuzdan sunulur → bu dosyalar için hiçbir üçüncü tarafa IP aktarımı olmaz.
Hukuki dayanak (CDN): Art. 6(1)(f) DSGVO (meşru menfaat — hizmetin teknik olarak sunulabilmesi). Kalan CDN kullanımını da aşamalı olarak kaldırmayı hedefliyoruz.
Affiliate/ortaklık bağlantıları: Blog/rehber sayfalarında dil kursu vb. üçüncü taraf hizmetlere ortaklık (affiliate) bağlantıları bulunabilir. Bu bağlantılara tıklayıp ilgili sağlayıcıdan satın alırsanız, ödemeyi doğrudan o sağlayıcıya yaparsınız (Bruckmed'in checkout'undan geçmez) ve biz yalnızca komisyon alabiliriz. Ortaklık bağlantısı, o sağlayıcının kendi çerez/veri politikasını tetikleyebilir; sorumluluk ilgili sağlayıcıdadır.
6. Uluslararası aktarım / Internationale Datenübermittlung
Verileriniz ABD'deki sağlayıcılarda işlenebilir. AB için Art. 44–49 DSGVO (SCC + ek güvenceler), Türkiye için KVKK m.9 (açık rıza; KVKK Kurulu yeterlilik kararı bulunmayan ülkeler için açık rızaya dayanır) uygulanır. Açık rızanızı geri çekebilirsiniz; bu durumda aktarım gerektiren hizmetleri kullanamayabilirsiniz.
ABD'ye (veya AB dışına) aktarım içeren hizmetler: Anthropic (metin), Groq (ses kaydı), Google Cloud TTS, Vercel (hosting/KV/Blob), Neon (veritabanı), Clerk (kimlik), Cloudflare (proxy/WAF/Turnstile), Daily.co & Jitsi (canlı görüşme), Polar (ödeme), Telegram (Dubai/BAE — bildirim), jsDelivr & unpkg (CDN — yalnızca IP). AB içinde kalan: Brevo (Fransa).
⚠️ Özellikle dikkat: ses kaydı (Groq) ve canlı görüşme görüntü/sesi (Daily/Jitsi) hassas olabilecek doğrudan kişisel verilerdir; bu özellikler yalnızca sizin açık tercihinizle etkinleşir ve kapalıyken hiçbir ses/görüntü dışarı iletilmez.
7. Haklarınız / Ihre Rechte
DE/EU · DSGVO (Art. 15–22): Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf der Einwilligung (jederzeit).
TR · KVKK (m.11): öğrenme, bilgi talep etme, amaca uygunluğu öğrenme, aktarılan üçüncü kişileri bilme, düzeltme, silme/yok etme, bildirim, otomatik işleme itiraz, zararın giderilmesi.
Başvuru / Kontakt: [email protected] — DSGVO'da kural olarak 1 ay, KVKK'da en geç 30 gün içinde ücretsiz yanıt.
8. Şikâyet hakkı / Beschwerderecht
- Almanya: BfDI (https://www.bfdi.bund.de) veya yetkili eyalet veri koruma makamı.
- Türkiye: Kişisel Verileri Koruma Kurumu — https://www.kvkk.gov.tr
8a. Çerezler ve Reklam / Cookies & Werbung (Google AdSense)
Araçların kendisinde takip çerezi yoktur. Yalnızca cihazınızda localStorage: çerez tercihi, tema, (eski) API anahtarı.
Çerezsiz istatistik (Vercel Web Analytics): Tüm sayfalarda, hangi sayfaların kaç kez görüntülendiğini ölçmek için çerez kullanmayan, cihazınıza hiçbir tanımlayıcı yazmayan ve IP adresini saklamadan anonimleştiren Vercel Web Analytics kullanılır. Kişisel veri toplanmaz ve kişisel profil oluşturulmaz; bu nedenle (§ 25/2 TTDSG anlamında kesinlikle gerekli olmasa da, kişisel veriye dayanmadığı için) ayrı çerez onayı gerektirmez. Reklam/ölçüm çerezleri için aşağıdaki AdSense rıza akışı ayrıca geçerlidir.
Blog/rehber sayfalarında (/icerik/) bu ücretsiz içeriği finanse etmek için Google AdSense kullanılabilir:
- Önce rıza (Consent Mode v2): ad_storage, ad_user_data, ad_personalization, analytics_storage varsayılan "denied"; reklam/ölçüm çerezleri yalnızca "Kabul et" sonrası çalışır. Dayanak: Art. 6/1-a DSGVO + § 25/1 TTDSG · KVKK m.5/1.
- Reddet → reklam çerezi yok, site tam çalışır. Rızayı sol alttaki "🍪 Çerez tercihleri" ile geri çekebilirsiniz.
- Araç / ödeme / landing sayfaları reklamsızdır.
- Google: https://policies.google.com/privacy · https://policies.google.com/technologies/partner-sites
9. Sağlık verisine ilişkin özel hüküm / Besondere Kategorien
Sağlık verisi DSGVO Art. 9 ve KVKK m.6 uyarınca özel/hassas niteliklidir. Yalnızca: (a) her işlemde alınan açık rıza ile, (b) somut olarak talep edilen çeviri için, (c) sunucuda saklanmadan işlenir. Yüklediğiniz veriyi işleme hakkına sahip olduğunuzdan (kendi kaydınız veya geçerli yetki) siz sorumlusunuz.
10. Saklama süreleri / Speicherdauer
Tıbbi içerik: saklanmaz (anlık). Hesap/kota: hesap aktif olduğu sürece. Fatura/vergi kayıtları: yasal saklama süreleri (TR/DE vergi mevzuatı). Demo IP sayacı: ~35 gün TTL. Loglar: kısa süreli güvenlik amaçlı.
11. Güvenlik / Sicherheit
TLS şifreleme, Bearer-token (çerezsiz API), kota için atomik rezervasyon, sağlayıcı DPA + SCC. Hiçbir hasta verisi modele eğitim için verilmez.
12. Değişiklikler / Änderungen
Yasal gereklilikler için güncellenebilir; güncel sürüm her zaman bu sayfadadır.
Stand / Yürürlük: [GG.AA.YYYY]