Kişisel Verilerin İşlenmesi Politikası
1. Genel hükümler
1.1. Politika, Operatörün Hizmetle bağlantılı olarak otomatik araçlar kullanarak veya kullanmadan işlediği tüm kişisel verilere uygulanır.
1.2. Hizmete giriş polyzon.org hesabı ile yapılır. Hizmet ve polyzon.org aynı operatöre aittir; polyzon.org'daki hesap verilerinin işlenmesi polyzon.org belgelerinde açıklanır.
1.3. Kişisel veriler 4. bölümde sayılan hukuki dayanaklarla işlenir. Hizmetin çalışması için işlemeye ayrıca açık rıza verilmesi gerekmez: işleme, kullanıcının tarafı olduğu Kullanıcı Sözleşmesinin ve ofertanın ifası için gereklidir. Operatör rıza gerektiren bir işlemeye (örneğin reklam amaçlı gönderimler veya analiz) başlarsa, rızayı diğer belgelerden ayrı olarak talep eder.
2. Operatöre ilişkin bilgiler
- Bireysel Girişimci Nikulin Artem Andreevich
- INN (Rusya vergi kimlik numarası): 434547133957, OGRNIP (bireysel girişimcinin Rusya devlet tescil numarası): 326430000048653
- Devlet tescili: 30 Temmuz 2026, Kirov Oblastı Federal Vergi Servisi Müdürlüğü
- Başvurular için posta adresi: office 1022, 109 Lenina St., Kirov, Russia
- Kişisel veri sahiplerinin başvuruları için e-posta: support@polyzon.org
- Kişisel verilerin işlenmesinin organizasyonundan sorumlu kişi: Operatörün bizzat kendisi.
3. İşleme ilkeleri
Operatör kişisel verileri şu şekilde işler:
- hukuka ve dürüstlük kurallarına uygun olarak, yalnızca 4. bölümde önceden belirlenmiş amaçlar için;
- bu amaçlar için gerekli olduğu ölçüde, amaçları birbiriyle bağdaşmayan veri tabanlarını birleştirmeden;
- verilerin doğruluğunu sağlayarak ve hatalı verilerin silinmesi veya düzeltilmesi için önlem alarak;
- işleme amaçlarının, sözleşmenin veya kanunun gerektirdiğinden daha uzun süre olmamak üzere; bu sürenin sonunda veriler imha edilir veya anonim hâle getirilir.
4. Amaçlar, veri kategorileri, hukuki dayanaklar ve süreler
| Amaç | Veriler | Hukuki dayanak | Süre |
|---|---|---|---|
| Giriş ve hesabın yönetimi | polyzon.org hesabının takma adlı (psödonim) tanımlayıcısı; kullanıcı aktarılmalarına izin vermişse e-posta adresi, ad ve profil resminin adresi; davet kodu; oluşturma tarihleri; belgelerin kabul edilen sürümü ve kabul zamanı, kabul sırasındaki IP adresi | Sözleşmenin ifası (Kişisel Veriler Kanunu'nun 6. maddesinin 1. fıkrasının 5. bendi) | Hesap silinene kadar. Belgelerin kabulüne ilişkin bilgiler — Operatörün haklarının korunması için silmeden sonra 3 yıl (zamanaşımı süresi) (6. madde, 1. fıkra, 7. bent) |
| Hizmetin sunulması | Açıklamalar ve mesajlar, yüklenen görseller, fotoğraflar ve 3D modeller, oluşturulan sonuçlar, üretim geçmişi ve asistanla yapılan sohbetlerin geçmişi, herkese açık bağlantılar, favori araçlar, ayarlar | Sözleşmenin ifası (6. madde, 1. fıkra, 5. bent) | Kullanıcı ilgili materyali veya hesabı silene kadar |
| Ödeme ve jetonların kaydı | Paket, ödemenin tutarı, tarihi ve durumu, YooKassa'daki ödeme tanımlayıcısı, fiş için e-posta adresi, jeton bakiyesindeki işlemler | Sözleşmenin ifası (6. madde, 1. fıkra, 5. bent); yazar kasa cihazları, vergi kayıtları ve muhasebe mevzuatından doğan yükümlülükler (6. madde, 1. fıkra, 2. bent) | İşlemin yapıldığı yılın bitiminden itibaren 5 yıl |
| Davet programı | Davet kodu, “davet eden — davet edilen” bağlantısı, tanımlanan jetonlar; studio_ref çerezi | Sözleşmenin ifası (6. madde, 1. fıkra, 5. bent) | Hesap silinene kadar; tanımlanan ödüller — bakiye işlemlerinin bir parçası olarak |
| Destek, talepler (ihtarlar) ve geri bildirim | “Yardım” sohbetindeki ve e-postayla gönderilen mesajlar, asistan yanıtlarına ilişkin puanlar ve geri bildirimler, başvuru ve taleplerde yer alan bilgiler | Sözleşmenin ifası (6. madde, 1. fıkra, 5. bent); Operatörün Hizmeti geliştirme ve haklarını koruma konusundaki meşru menfaati (6. madde, 1. fıkra, 7. bent) | Hesap silinene kadar, ancak son mesajdan itibaren en fazla 3 yıl |
| Güvenlik ve kötüye kullanımın önlenmesi | IP adresi, tarayıcı verileri (User-Agent), oturum anahtarının hash değeri, giriş ve istek zamanları, istek sıklığı sınırlama sayaçları, teknik kayıtlar (loglar) | Operatörün Hizmeti ve kullanıcıları koruma konusundaki meşru menfaati (6. madde, 1. fıkra, 7. bent) | Oturumlar — çıkış yapılana veya süreleri dolana kadar (30 gün); teknik kayıtlar — en fazla 12 ay |
| Kanuni gerekliliklerin yerine getirilmesi | Kişisel veri sahiplerinin, mahkemelerin ve yetkili makamların taleplerine yanıt vermek için gerekli bilgiler | Kanuni yükümlülük (6. madde, 1. fıkra, 2. bent) | Kanunla belirlenen süre boyunca |
4.1. Verileri işlenen kişiler: Hizmetin kullanıcıları, sitenin ziyaretçileri ve Operatöre başvuru veya bildirim gönderen kişiler.
4.2. Operatör özel nitelikli kişisel verileri ve biyometrik kişisel verileri işlemez: yüklenen fotoğraflar yalnızca talep üzerine görsel ve 3D model oluşturmak için kullanılır, kimlik tespiti için kullanılmaz.
4.3. Operatör üçüncü kişiler hakkında kasıtlı olarak bilgi toplamaz. Kullanıcı başka bir kişinin fotoğrafını yüklerse, o kişinin rızasını almakla yükümlüdür (Kullanıcı Sözleşmesi, 8. bölüm). Bu tür materyaller, görüntüsü yer alan kişinin başvurusu üzerine silinir.
4.4. Hizmet 14 yaşından küçük kişilere yönelik değildir. Bu tür bir kişinin hesabı, yasal temsilcisinin başvurusu üzerine veya bu durumun tespit edilmesi hâlinde verileriyle birlikte silinir.
4.5. Operatör, kullanıcı için hukuki sonuç doğuran kararları yalnızca otomatik işlemeye dayanarak almaz. Yapay zekâ sağlayıcılarının otomatik filtreleri üretimi reddedebilir; böyle bir üretimin jetonları iade edilir ve kullanıcı destek ekibine başvurabilir.
5. İşleme usulü ve koşulları
5.1. İşleme; toplama, kaydetme, sistematik hâle getirme, biriktirme, saklama, güncelleme, çıkarma (erişme), kullanma, aktarma (sağlama, erişim verme), anonim hâle getirme, bloke etme, silme ve imha etmeyi kapsar. İşleme ağırlıklı olarak otomatik yollarla yürütülür.
5.2. Veriler kullanıcının kendisinden ve giriş sırasında polyzon.org'dan elde edilir. Rusya Federasyonu vatandaşlarının kişisel verilerinin kaydedilmesi, sistematik hâle getirilmesi, biriktirilmesi, saklanması, güncellenmesi ve çıkarılması, Rusya Federasyonu topraklarında bulunan sunuculardaki veri tabanlarında gerçekleştirilir (Kişisel Veriler Kanunu'nun 18. maddesinin 5. fıkrası).
5.3. “Araçlar” bölümündeki araçlar kullanıcının tarayıcısında çalışır: bunlara yüklenen dosyalar, kullanıcı sonucu kendisi stüdyoya, kitaplığa veya asistana gönderene kadar Operatöre aktarılmaz.
6. Verilerin aktarılması
6.1. Operatör kişisel verileri yalnızca amaç için gerekli olduğu ölçüde aktarır:
- YooMoney Banka Dışı Kredi Kuruluşu LLC (YooKassa servisi, Rusya) — ödemelerin kabul edilmesi ve kasa fişinin gönderilmesi için: tutar, satın alma açıklaması, Hizmetteki sipariş ve kullanıcı tanımlayıcıları ve fiş için e-posta adresi. Kart bilgilerini kullanıcı YooKassa tarafında girer, Operatör bu bilgileri almaz;
- barındırma (hosting) hizmeti sağlayıcısı (Rusya'daki veri merkezi) — Hizmetin barındırılması ve verilerin Operatörün talimatıyla saklanması için;
- yapay zekâ sağlayıcıları — kullanıcının talebinin yerine getirilmesi için: OpenRouter, Inc. (ABD) ve talebi yönlendirdiği yapay zekâ modelleri ile 3D modeller için Meshy (ABD). Yalnızca talebin içeriği — açıklama, asistana gönderilen mesajlar, yüklenen görseller ve modeller — ad, e-posta adresi ve hesap tanımlayıcıları olmadan aktarılır;
- devlet makamları ve mahkemeler — kanunda belirtilen durumlarda ve usulle.
6.2. Yapay zekâ sağlayıcılarına aktarım, kişisel veri sahiplerinin haklarının yeterli düzeyde korunmasını sağlayan ülkeler listesinde yer almayan ülkelere yapılan sınır ötesi bir aktarımdır. Bu aktarım, Kişisel Veriler Kanunu'nun 12. maddesinde belirtilen usulle ve yalnızca kullanıcıyla yapılan sözleşmenin ifası için — kullanıcının talebi üzerine — gerçekleştirilir. Kişisel veriler yapay zekâ sağlayıcılarına yalnızca kullanıcı bunları talebine kendisi eklemişse ulaşır. Açıklamalarda ve mesajlarda kişisel veri belirtmeyin; insanların fotoğraflarını ise yalnızca onların rızasıyla yükleyin.
6.3. Yapay zekâ sağlayıcıları aldıklarını kendi sitelerinde yayımlanan kurallarına göre işler. Operatör kullanıcıların materyallerini yapay zekâ modellerinin eğitimi için kullanmaz ve kişisel verileri satmaz.
7. İşlemenin sona erdirilmesi ve imha
7.1. Operatör; amaca ulaşıldığında, 4. bölümdeki süre dolduğunda, rıza geri alındığında (işleme rızaya dayanıyorsa), veri sahibi meşru menfaate dayanan işlemenin durdurulmasını talep ettiğinde veya hukuka aykırı işleme tespit edildiğinde, Kişisel Veriler Kanunu'nun 21. maddesinde belirlenen süreler içinde, kural olarak en geç 30 gün içinde işlemeyi durdurur ve kişisel verileri imha eder.
7.2. Kullanıcı Hizmetteki materyallerini Kitaplıkta ve “Hesap” bölümünde kendisi siler; hesabın tamamını Operatör talep üzerine siler. Operatörün kanunen saklamakla yükümlü olduğu veriler (4. bölüm, “Ödeme ve jetonların kaydı”) süre dolana kadar ayrı olarak saklanır ve başka amaçlarla kullanılmaz. Veriler yedek kopyalardan, bu kopyaların planlı olarak üzerine yazılması sırasında silinir.
7.3. İmha, Roskomnadzor (Rusya'nın kişisel verilerin korunmasından sorumlu denetim kurumu) tarafından belirlenen usulle bir tutanak ve kayıt (log) dökümüyle belgelenir.
8. Kişisel verilerin korunması
8.1. Operatör, aşağıdakiler dahil hukuki, idari ve teknik koruma önlemleri alır:
- OpenID Connect protokolüyle (authorization code + PKCE) polyzon.org üzerinden giriş: Hizmet şifreleri almaz ve saklamaz;
- oturum anahtarlarının yalnızca SHA-256 hash değeri olarak saklanması;
- bağlantıların TLS protokolüyle şifrelenmesi;
- verilere ve yönetim işlevlerine erişimin yetkilendirmeyle sınırlandırılması;
- deneme yanılma (kaba kuvvet) saldırılarına ve kötüye kullanıma karşı koruma: istek sıklığı sınırlaması, CSRF koruması, girdi doğrulama;
- yazılımın düzenli olarak güncellenmesi ve güvenlik açıklarının giderilmesi;
- yedekleme ve işbu Politikaya uyumun denetlenmesi.
8.2. Operatör, veri sahiplerinin haklarının ihlaline yol açan hukuka aykırı kişisel veri aktarımını 24 saat içinde, soruşturmanın sonuçlarını ise 72 saat içinde Roskomnadzor'a bildirir (Kişisel Veriler Kanunu'nun 21. maddesinin 3.1. fıkrası).
9. Kişisel veri sahibinin hakları
9.1. Kişisel veri sahibi şu haklara sahiptir:
- kişisel verilerinin işlenmesine ilişkin bilgi almak;
- veriler eksik, güncelliğini yitirmiş, hatalı, hukuka aykırı olarak elde edilmiş veya belirtilen amaç için gereksiz ise düzeltilmelerini, bloke edilmelerini veya imha edilmelerini talep etmek;
- Operatörün meşru menfaatine dayanarak yürütülen işlemenin durdurulmasını talep etmek ve işleme rızaya dayanıyorsa rızasını geri almak;
- Operatörün işlemlerine karşı Roskomnadzor'a veya mahkemeye başvurmak, zararlarının tazminini ve manevi tazminat talep etmek.
9.2. Talep, hesabın e-posta adresinden support@polyzon.org adresine veya şu adrese mektupla gönderilir: office 1022, 109 Lenina St., Kirov, Russia. Talepte Operatörle ilişkiyi doğrulayan bilgiler (örneğin hesabın e-posta adresi) ve talebin konusu belirtilir.
9.3. Operatör, talebin alındığı günden itibaren 10 iş günü içinde yanıt verir. Bu süre, gerekçeli bir bildirim gönderilerek en fazla 5 iş günü uzatılabilir.
10. Çerezler
Hizmet yalnızca zorunlu ve işlevsel çerezler kullanır; analiz ve reklam çerezleri yoktur. Ayrıntılar için: Çerez Politikası.
11. Politikada değişiklik
11.1. Operatör Politikayı değiştirme hakkına sahiptir. Yeni metin, aksi belirtilmedikçe yayımlandığı anda yürürlüğe girer; Operatör önemli değişiklikleri Hizmette duyurur.
11.2. Yürürlükteki metne her zaman https://studio.polyzon.org/tr/legal/data-processing adresinden erişilebilir.