KVKK Personal Data Protection Notice
Current information · English reading translation
This reading translation does not create new terms. The Turkish source and immutable accepted editions remain available below.
KVKK Personal Data Protection Notice
ANNEX 6 – KVKK PERSONAL DATA PROTECTION NOTICE
The data controller is T.R.F. Tasarım Danışmanlık A.Ş. Contact details are provided below.
Main categories of processed data: account/membership, project and generation data, orders and payments, invoices and financial records, token/operation history, security records, communications and rights requests, notifications and preference records.
Purposes and legal bases: KVKK Article 5(2)(c) for account creation and service performance; Article 5(2)(a) and (ç) for financial and statutory obligations; Article 5(2)(e) for establishing, exercising or protecting rights; Article 5(2)(f) for necessary and proportionate system security activities; and explicit consent where required for optional activities.
Recipient categories: hosting/IT providers, email infrastructure providers, AI Providers, iyzico and banks, financial advisers, legal advisers and legally authorised bodies. KVKK Article 9 also applies to transfers abroad.
Collection methods: automated or partially automated means through registration and sign-in screens, user uploads, order/payment transactions, notifications from banks and payment institutions, communication channels and technical access records.
Data subject rights: rights under KVKK Article 11 may be exercised using the methods in Article 13 and the relevant Communiqué. Requests are resolved within 30 days at the latest.
T.R.F. Tasarım Danışmanlık A.Ş.
Gülbahçe Mahallesi, Gülbahçe Caddesi, Kuluçka Merkezi Binası Sitesi, No: 1-45, D: 21, Urla, 35430 İzmir, Türkiye
Email: support@renderailab.com
Telephone: +90 505 974 44 68
6. Uploaded Content and Personal Data Rules
6.1. Principle of not uploading personal data
The Platform is not offered for processing images or documents containing personal data or special categories of personal data. Before uploading, the User should assess and, where possible, remove elements such as identity and contact details, faces, health and biometric data, signatures, vehicle registration plates, client lists, title deeds, addresses and precise locations.
Blurring or locking a region does not always constitute anonymisation.
6.2. Procedure for incorrect uploads
If an upload is found to contain personal data or special categories of personal data that are not necessary for the service, processing is stopped, access restricted and appropriate deletion/destruction procedures applied to the extent technically and legally possible. Whether the User must also be informed or a data-breach procedure initiated is assessed in the specific case.
7. Personal Data Protection Information and Privacy
7.1. Data controller and principles
Personal data is processed by T.R.F. Tasarım Danışmanlık A.Ş. as data controller for activities in which it determines the purposes and means of processing. Personal data is processed lawfully and fairly, accurately and kept up to date where necessary, for specific, explicit and legitimate purposes, in a relevant, limited and proportionate manner, and retained for no longer than necessary.
7.2. Grounds for processing
Account and membership data may be processed under KVKK Article 5(2)(c) insofar as directly related to the formation or performance of a contract; financial and statutory records under Article 5(2)(a) and (ç); records necessary to establish, exercise or protect rights under Article 5(2)(e); and necessary and proportionate system-security and abuse-prevention records under Article 5(2)(f).
Explicit consent is not unnecessarily made the mandatory basis for activities for which another statutory processing ground exists. Separate explicit consent is obtained where required for optional marketing and similar activities.
7.3. Special categories of personal data
The Platform is not designed to process special categories of personal data. If such data is nevertheless uploaded, processing may continue only if one of the conditions listed in KVKK Article 6 is met and the necessary additional safeguards are implemented. Otherwise, unnecessary processing is stopped and an appropriate disposal process applied.
7.4. Information and data subject rights
The data subject is informed of the controller's identity, processing purposes, recipients and transfer purposes, collection method and legal basis, and rights under KVKK Article 11. Providing information is not explicit consent.
Data subjects may exercise their rights under KVKK Article 11 using the methods provided by Article 13 and the relevant application legislation. Requests are resolved as soon as possible according to their nature and within 30 days at the latest.
7.5. Recipient categories
Depending on the processing activity, data may be transferred to hosting and IT providers, email infrastructure providers, AI Providers, iyzico and banks, financial and legal advisers, and legally authorised bodies, limited to the purpose and necessary data. Each recipient's role as controller or processor is determined by the specific activity.
8. Processing by AI Service Providers
Images, instructions and technical data necessary for image generation and editing may be processed by AI service providers abroad. Do not upload content containing personal data.
KVKK Article 9 applies to transfers of personal data.
9. Retention, Deletion and Technical Periods
9.1. Retention and disposal
Personal data is retained for the period prescribed by applicable legislation or necessary for its processing purpose. When all grounds for processing cease to exist, it is deleted, destroyed or anonymised under Article 7 of the Turkish Personal Data Protection Law (KVKK).
Technical cleanup of ordinary private images on the Platform occurs when both conditions are met: the file is at least 14 days old and storage space is running low. This is not a promise to delete files on day 14. Material samples can be used for 30 minutes after a successful upload. These periods do not mean copies held by an AI Provider are deleted at the same time and do not override the separate retention periods for financial, security, token or evidence-of-rights records.
17. Optional Explicit Consent and Commercial Messages
17.1. Marketing and draft storage
Optional browser draft storage and personal data processing for campaigns/promotions are managed through separate choices according to the legal requirements of the relevant activity. Refusal of these choices is not made a condition of membership or paid services.
17.2. Commercial electronic messages
Approval for commercial electronic messages is obtained separately for campaign and promotional emails. Opting out is easy and free. Account verification, security, order, invoice, payment-result and support notifications are service communications; advertising beyond the scope of approval is not added to service notifications.
18. Separate Electronic Declarations
18.1. Principle of separate choices
The membership agreement, content rules, acknowledgement of reading the KVKK notice, pre-contract information, sales contract, recurring payment authorisation, fixed-term subscription extension, early performance, AI operation instruction, optional explicit consent and commercial electronic message approval are kept separate. One declaration does not replace another.
Rights and requests
Under KVKK Article 11, you have the right to learn whether your data is processed; request information if it is; learn the processing purpose and whether data is used accordingly; know recipients within Türkiye or abroad; request correction of incomplete/incorrect data and deletion/destruction where statutory conditions are met; request that recipients be notified of these actions; object to an adverse result arising exclusively from automated analysis; and seek compensation for damage caused by unlawful processing. You may submit requests using the contact details above and the methods prescribed by legislation.
Reading translation of the accepted document · KVKK Personal Data Protection Notice
Accepted source · Version: RAL-USER-2026-09-24-r3
This is an English reading translation of the identified Turkish text. The Turkish source, its version and hashes remain available. This translation does not create a new contract or change the terms. Turkish source
KVKK Personal Data Protection Notice
ANNEX 6 – KVKK PERSONAL DATA PROTECTION NOTICE
The data controller is T.R.F. Tasarım Danışmanlık A.Ş. Contact details are provided below.
Main categories of processed data: account/membership, project and generation data, orders and payments, invoices and financial records, token/operation history, security records, communications and rights requests, notifications and preference records.
Purposes and legal bases: KVKK Article 5(2)(c) for account creation and service performance; Article 5(2)(a) and (ç) for financial and statutory obligations; Article 5(2)(e) for establishing, exercising or protecting rights; Article 5(2)(f) for necessary and proportionate system security activities; and explicit consent where required for optional activities.
Recipient categories: hosting/IT providers, email infrastructure providers, AI Providers, iyzico and banks, financial advisers, legal advisers and legally authorised bodies. KVKK Article 9 also applies to transfers abroad.
Collection methods: automated or partially automated means through registration and sign-in screens, user uploads, order/payment transactions, notifications from banks and payment institutions, communication channels and technical access records.
Data subject rights: rights under KVKK Article 11 may be exercised using the methods in Article 13 and the relevant Communiqué. Requests are resolved within 30 days at the latest.
T.R.F. Tasarım Danışmanlık A.Ş.
Gülbahçe Mahallesi, Gülbahçe Caddesi, Kuluçka Merkezi Binası Sitesi, No: 1-45, D: 21, Urla, 35430 İzmir, Türkiye
Email: info@torfdesignlab.com
Telephone: +90 505 974 44 68
6. Uploaded Content and Personal Data Rules
6.1. Principle of not uploading personal data
The Platform is not offered for processing images or documents containing personal data or special categories of personal data. Before uploading, the User should assess and, where possible, remove elements such as identity and contact details, faces, health and biometric data, signatures, vehicle registration plates, client lists, title deeds, addresses and precise locations.
Blurring or locking a region does not always constitute anonymisation. An incorrect upload by the User does not automatically remove the Company's obligations under KVKK.
6.2. Procedure for incorrect uploads
If an upload is found to contain personal data or special categories of personal data that are not necessary for the service, processing is stopped, access restricted and appropriate deletion/destruction procedures applied to the extent technically and legally possible. Whether the User must also be informed or a data-breach procedure initiated is assessed in the specific case.
7. Personal Data Protection Information and Privacy
7.1. Data controller and principles
Personal data is processed by T.R.F. Tasarım Danışmanlık A.Ş. as data controller for activities in which it determines the purposes and means of processing. Personal data is processed lawfully and fairly, accurately and kept up to date where necessary, for specific, explicit and legitimate purposes, in a relevant, limited and proportionate manner, and retained for no longer than necessary.
7.2. Grounds for processing
Account and membership data may be processed under KVKK Article 5(2)(c) insofar as directly related to the formation or performance of a contract; financial and statutory records under Article 5(2)(a) and (ç); records necessary to establish, exercise or protect rights under Article 5(2)(e); and necessary and proportionate system-security and abuse-prevention records under Article 5(2)(f).
Explicit consent is not unnecessarily made the mandatory basis for activities for which another statutory processing ground exists. Separate explicit consent is obtained where required for optional marketing and similar activities.
7.3. Special categories of personal data
The Platform is not designed to process special categories of personal data. If such data is nevertheless uploaded, processing may continue only if one of the conditions listed in KVKK Article 6 is met and the necessary additional safeguards are implemented. Otherwise, unnecessary processing is stopped and an appropriate disposal process applied.
7.4. Information and data subject rights
The data subject is informed of the controller's identity, processing purposes, recipients and transfer purposes, collection method and legal basis, and rights under KVKK Article 11. Providing information is not explicit consent.
Data subjects may exercise their rights under KVKK Article 11 using the methods provided by Article 13 and the relevant application legislation. Requests are resolved as soon as possible according to their nature and within 30 days at the latest.
7.5. Recipient categories
Depending on the processing activity, data may be transferred to hosting and IT providers, email infrastructure providers, AI Providers, iyzico and banks, financial and legal advisers, and legally authorised bodies, limited to the purpose and necessary data. Each recipient's role as controller or processor is determined by the specific activity.
8. Transfer of Personal Data Abroad
8.1. General principle
Source images and necessary technical data may be processed on infrastructure abroad as part of AI operations. Hosting some data in Türkiye does not mean all processing takes place in Türkiye.
For personal data to be transferred abroad, the transfer requirements in KVKK Article 9 must be met in addition to a processing condition under Article 5 or 6.
8.2. Transfer mechanism
Where an adequacy decision exists, a transfer may take place subject to the statutory conditions. Without an adequacy decision, one of the appropriate safeguards provided by law must be established. Regular and ongoing AI/API transfers are not based solely on general user approval or an instruction to start an operation. Occasional-transfer exceptions apply only where their legal conditions are actually met.
8.3. Standard contract
If a standard contract is used as an appropriate safeguard, the relevant official standard contract published by the Board is used according to the roles of the transferring parties. The official text is not amended beyond the permitted optional fields. The Authority is notified within five business days after all signatures to the standard contract are completed.
8.4. AI provider and transfer inventory
For AI/technical providers receiving regular transfers, up-to-date records must be kept of provider identity, country, controller/processor role, data categories, data subject groups, transfer purpose, subprocessors, retention conditions and the KVKK Article 9 mechanism. Publication of this text is not a statement that transfer safeguards have been signed or an official notification made.
9. Retention, Deletion and Technical Periods
9.1. Retention and disposal
Personal data is retained for the period prescribed by applicable legislation or necessary for its processing purpose. When all grounds for processing cease to exist, it is deleted, destroyed or anonymised under Article 7 of the Turkish Personal Data Protection Law (KVKK).
Technical cleanup of ordinary private images on the Platform occurs when both conditions are met: the file is at least 14 days old and storage space is running low. This is not a promise to delete files on day 14. Material samples can be used for 30 minutes after a successful upload. These periods do not mean copies held by an AI Provider are deleted at the same time and do not override the separate retention periods for financial, security, token or evidence-of-rights records.
17. Optional Explicit Consent and Commercial Messages
17.1. Marketing and draft storage
Optional browser draft storage and personal data processing for campaigns/promotions are managed through separate choices according to the legal requirements of the relevant activity. Refusal of these choices is not made a condition of membership or paid services.
17.2. Commercial electronic messages
Approval for commercial electronic messages is obtained separately for campaign and promotional emails. Opting out is easy and free. Account verification, security, order, invoice, payment-result and support notifications are service communications; advertising beyond the scope of approval is not added to service notifications.
18. Separate Electronic Declarations
18.1. Principle of separate choices
The membership agreement, content rules, acknowledgement of reading the KVKK notice, pre-contract information, sales contract, recurring payment authorisation, fixed-term subscription extension, early performance, AI operation instruction, optional explicit consent and commercial electronic message approval are kept separate. One declaration does not replace another.
Rights and requests
Under KVKK Article 11, you have the right to learn whether your data is processed; request information if it is; learn the processing purpose and whether data is used accordingly; know recipients within Türkiye or abroad; request correction of incomplete/incorrect data and deletion/destruction where statutory conditions are met; request that recipients be notified of these actions; object to an adverse result arising exclusively from automated analysis; and seek compensation for damage caused by unlawful processing. You may submit requests using the contact details above and the methods prescribed by legislation.
Earlier accepted document (Turkish) · 3. KVKK Aydınlatma Metni
Accepted source · Version: TRF-USER-2026-09-22-r1
3. KVKK Aydınlatma Metni
3.1. Veri sorumlusu ve kapsam
Veri sorumlusu T.R.F. Tasarım Danışmanlık A.Ş.’dir. Adresimiz Gülbahçe Mahallesi, Gülbahçe Caddesi, Kuluçka Merkezi Binası Sitesi, No: 1-45, D: 21, Urla, 35430 İzmir, Türkiye; e-posta adresimiz info@torfdesignlab.com; telefonumuz +905059744468’dir.
Bu metin ziyaretçiler, mevcut veya davetli kullanıcılar ve bizimle iletişime geçen kişiler içindir. Yalnız kullandığınız işlev ve yaptığınız başvuruyla ilgili veriler işlenir. Aydınlatma, açık rıza veya sözleşme kabulü talebi değildir.
3.2. Veri, amaç ve hukuki sebep
Hesap ve erişim: E-posta, hesap kimliği, doğrulama durumu, verdiğiniz profil bilgileri ve kimlik doğrulama kayıtları hesabın kurulması ve hizmete erişim için, sözleşmenin kurulması veya ifası bakımından gerekli olduğu ölçüde işlenir (KVKK m.5/2-c). Davet edilen kişinin iletişim bilgisi, daveti iletmek için hak ve özgürlükleri gözetilen ölçülü meşru menfaat kapsamında kullanılır (m.5/2-f). Davet kişiyi kendiliğinden sözleşme tarafı yapmaz.
Proje ve üretim: Projeler, kaynak ve referans görselleri, maskeler, talimatlar, çıktılar ve işlem geçmişi istenen düzenlemeyi yapmak, saklamak ve sonucu sunmak amacıyla işlenir. Sözleşme tarafı kullanıcının verileri bakımından m.5/2-c uygulanır. Bu dayanak, görsele veya talimata eklenen üçüncü kişilere ait verileri kendiliğinden kapsamaz. Hizmet kişisel veri veya özel nitelikli kişisel veri içeren içeriklerin işlenmesi amacıyla sunulmaz.
Kullanım hakkı: Token hareketleri, rezervasyon, hata, iptal ve iade kayıtları hizmetin ve kullanım hakkının yönetimi için m.5/2-c; bir hakkın kurulması, kullanılması veya korunması için zorunlu ispat kayıtları m.5/2-e kapsamında işlenir.
Güvenlik: IP, tarayıcı ve cihazın teknik bilgileri, oturum ve güvenlik kayıtları yetkisiz erişimi önlemek ve arızaları gidermek için, temel hak ve özgürlüklerinize zarar vermeyen gerekli ve ölçülü meşru menfaat kapsamında işlenir (m.5/2-f). Yetkili yönetici işlemlerinin doğrulama ve denetim kayıtları da bu amaçla sınırlıdır.
İletişim ve başvuru: Yazışmalarınız ve iletişim bilgileriniz taleplerin yanıtlanması için ölçülü meşru menfaat (m.5/2-f); sözleşmeyle doğrudan ilgili ve gerekli işlemlerde m.5/2-c; kanuni başvuruların karşılanmasında hukuki yükümlülük (m.5/2-ç); zorunlu hak arama kayıtlarında m.5/2-e kapsamında işlenir.
Bildirim ve beyan: Sunulan metin ve işlem koşullarının sürümü, gösterim zamanı ve beyan kayıtları, aydınlatmanın yerine getirilmesinin ve sözleşme/işlem kabulünün ispatı için m.5/2-ç ve gerekli olduğu ölçüde m.5/2-e kapsamında işlenir.
İsteğe bağlı taslak: İzin vermeniz hâlinde form ve düzenleme taslakları, daha sonra devam etmenizi sağlamak için açık rızanıza dayanılarak tarayıcınızda tutulur (m.5/1). Ayrı taslak bilgilendirmesi ve seçimi uygulanır.
3.3. Toplama yöntemi
Veriler; davet ve hesap işlemleri, giriş/doğrulama, görsel yükleme, düzenleme ekranları, iletişim ve başvuru kanalları ile teknik erişim kayıtlarından otomatik veya kısmen otomatik yollarla toplanır. Hesap için rutin olarak kimlik belgesi sureti, T.C. kimlik numarası veya sağlık bilgisi istenmez. Kanuni bir başvuruda gereken kimlik teyidi ayrıca ve ölçülü yapılır.
Hesap girişi, e-posta doğrulama ve parola yenileme Keycloak kimlik altyapısında yürütülür. Keycloak yazılımın adıdır; bağımsız bir bulut sağlayıcısına bütün verilerin gönderildiği anlamına gelmez. Güncel giriş akışı Google veya Clerk ile giriş kullanmaz. Kimlik sisteminin değişmesi, geçmiş sistem kayıtlarının kendiliğinden silindiği anlamına da gelmez.
3.4. Alıcılar ve paylaşım amaçları
- Barındırma: Uygulama, özel görseller, veritabanı ve kimlik altyapısının işletilmesi için VPS.com.tr hizmetini sunan HZD Teknoloji ve İnovasyon San. ve Tic. Ltd. Şti.’nin altyapısı kullanılır.
- E-posta: Hesap bildirimleri ve doğrulama iletilerinde Natro/Çizgi Telekomünikasyon A.Ş. posta hizmeti kullanılır. info@torfdesignlab.com adresine gönderilen yazışmalar Google posta altyapısına ulaşır. Ayrıca alıcının seçtiği e-posta sağlayıcısı iletiyi işler. Giriş sağlayıcısı ile posta sağlayıcısı farklı işlevlerdir.
- Yapay zekâ işlemleri: İstenen işlem için gereken görseller, rehber/maske, talimatlar ve teknik istek verileri fal.ai hizmetini sunan Features & Labels Inc.’e iletilir. Seçilen hizmetin fiilî işleyişine göre model işletimi ve altyapı için ek sağlayıcılar kullanılabilir. Modelin marka adı tek başına bütün alıcı zincirini göstermez.
- Yetkili merciler ve danışmanlar: Hukuki yükümlülükler, başvurular veya somut uyuşmazlıklar için gerekli veriler, yetkili kurumlar ve gerekli hukuki/mali danışmanlarla paylaşılabilir.
Paylaşımlar ilgili amaçla sınırlı tutulur; yurt içi aktarımlarda KVKK m.8 kapsamındaki şartlar uygulanır. Kamuya açık paketleri incelemek veya seçmek, ödeme sağlayıcısına kart bilgisi gönderilmesi anlamına gelmez; mevcut sitede ödeme tahsilatı kapalıdır.
3.5. Yurt dışına aktarım
Yapay zekâ işlemleri için kullanılan fal, ABD merkezlidir; kendi açıklamasına göre ABD’de ve başka ülkelerdeki altyapılarda veri işler. Gönderdiğiniz içeriğin niteliğine göre bu akış kişisel veri aktarımı içerebilir. Google posta altyapısındaki iletişim ve alıcının e-posta hizmeti de Türkiye dışındaki işleme süreçlerini içerebilir. Türkiye’de bir barındırma hizmeti kullanılması, bütün veri kopyalarının Türkiye’de bulunduğu anlamına gelmez.
Yurt dışına kişisel veri aktarımı KVKK m.9’daki şartlara tabidir. Bir üretim talebi, genel kullanım koşullarının kabulü veya “aydınlatmayı okudum” beyanı tek başına bu şartların sağlandığını göstermez. Aktarım hakkında bilgi taleplerinizi Şirkete iletebilirsiniz.
3.6. Saklama ve silme
Veriler, ilgili işleme amacının gerektirdiği süre ve varsa uygulanabilir kanuni yükümlülükler boyunca tutulur. İşleme şartları ortadan kalktığında silme, yok etme veya anonimleştirme yükümlülükleri uygulanır. Bir talebi veya uyuşmazlığı kanıtlamak için gereken kayıtlar gerekli kapsamla sınırlı olarak ayrılabilir; bu durum bütün dosyaların süresiz tutulması anlamına gelmez.
Özel proje görselleri, dosyanın sunucuda oluşturulmasından en az 14 gün sonra ve depolama alanı ihtiyacı doğduğunda otomatik temizliğe konu olabilir. Aktif veya sonucu belirsiz işlemler temizliği erteleyebilir. Bu, her görselin tam 14. günde silindiği ya da en geç 14 gün tutulduğu anlamına gelmez. Yedekler, sağlayıcı kopyaları ve işlem/güvenlik kayıtları bu temizliğin dışındadır; kendi amaçları ve silme yükümlülükleri ayrıca değerlendirilir.
Tarayıcı taslaklarının ve teknik kayıtların süreleri Çerez ve Tarayıcı Depolama Bilgilendirmesi’nde açıklanır. Bir silme başvurusunun kaydedilmesi veya hesap erişiminin kapatılması, tüm kopyaların silinmesinin tamamlandığı anlamına gelmez.
3.7. Başvuru ve haklar
KVKK m.11 kapsamındaki bilgi alma, düzeltme, şartları varsa silme/yok etme, alıcıları öğrenme, düzeltme ve silmenin alıcılara bildirilmesini isteme, yalnız otomatik analizle aleyhinize çıkan sonuca itiraz ve zararın giderilmesini isteme haklarınız için Şirkete başvurabilirsiniz.
Başvurunuzu daha önce bize bildirdiğiniz ve sistemimizde kayıtlı e-postanızdan info@torfdesignlab.com adresine, yukarıdaki posta adresine yazılı olarak veya mevzuatın tanıdığı diğer yöntemlerle iletebilirsiniz. Talebin niteliğine göre mümkün olan en kısa sürede ve en geç 30 gün içinde yanıt verilir. İşlem kural olarak ücretsizdir; ayrıca maliyet gerektiren hâllerde Kurulun belirlediği tarife uygulanabilir. Başvuruyu yalnız hesabınız açıkken yapmanız şart değildir.
Earlier accepted document (Turkish) · 3. KVKK Aydınlatma Metni
Accepted source · Version: TRF-USER-2026-09-24-r2
3. KVKK Aydınlatma Metni
3.1. Veri sorumlusu ve kapsam
Veri sorumlusu T.R.F. Tasarım Danışmanlık A.Ş.’dir. Adresimiz Gülbahçe Mahallesi, Gülbahçe Caddesi, Kuluçka Merkezi Binası Sitesi, No: 1-45, D: 21, Urla, 35430 İzmir, Türkiye; e-posta adresimiz info@torfdesignlab.com; telefonumuz +905059744468’dir.
Bu metin ziyaretçiler, mevcut veya davetli kullanıcılar ve bizimle iletişime geçen kişiler içindir. Yalnız kullandığınız işlev ve yaptığınız başvuruyla ilgili veriler işlenir. Aydınlatma, açık rıza veya sözleşme kabulü talebi değildir.
3.2. Veri, amaç ve hukuki sebep
Hesap ve erişim: E-posta, hesap kimliği, doğrulama durumu, verdiğiniz profil bilgileri ve kimlik doğrulama kayıtları hesabın kurulması ve hizmete erişim için, sözleşmenin kurulması veya ifası bakımından gerekli olduğu ölçüde işlenir (KVKK m.5/2-c). Davet edilen kişinin iletişim bilgisi, daveti iletmek için hak ve özgürlükleri gözetilen ölçülü meşru menfaat kapsamında kullanılır (m.5/2-f). Davet kişiyi kendiliğinden sözleşme tarafı yapmaz.
Proje ve üretim: Projeler, kaynak ve referans görselleri, maskeler, talimatlar, çıktılar ve işlem geçmişi istenen düzenlemeyi yapmak, saklamak ve sonucu sunmak amacıyla işlenir. Sözleşme tarafı kullanıcının verileri bakımından m.5/2-c uygulanır. Bu dayanak, görsele veya talimata eklenen üçüncü kişilere ait verileri kendiliğinden kapsamaz. Hizmet kişisel veri veya özel nitelikli kişisel veri içeren içeriklerin işlenmesi amacıyla sunulmaz.
Kullanım hakkı: Token hareketleri, rezervasyon, hata, iptal ve iade kayıtları hizmetin ve kullanım hakkının yönetimi için m.5/2-c; bir hakkın kurulması, kullanılması veya korunması için zorunlu ispat kayıtları m.5/2-e kapsamında işlenir.
Güvenlik: IP, tarayıcı ve cihazın teknik bilgileri, oturum ve güvenlik kayıtları yetkisiz erişimi önlemek ve arızaları gidermek için, temel hak ve özgürlüklerinize zarar vermeyen gerekli ve ölçülü meşru menfaat kapsamında işlenir (m.5/2-f). Yetkili yönetici işlemlerinin doğrulama ve denetim kayıtları da bu amaçla sınırlıdır.
İletişim ve başvuru: Yazışmalarınız ve iletişim bilgileriniz taleplerin yanıtlanması için ölçülü meşru menfaat (m.5/2-f); sözleşmeyle doğrudan ilgili ve gerekli işlemlerde m.5/2-c; kanuni başvuruların karşılanmasında hukuki yükümlülük (m.5/2-ç); zorunlu hak arama kayıtlarında m.5/2-e kapsamında işlenir.
Bildirim ve beyan: Sunulan metin ve işlem koşullarının sürümü, gösterim zamanı ve beyan kayıtları, aydınlatmanın yerine getirilmesinin ve sözleşme/işlem kabulünün ispatı için m.5/2-ç ve gerekli olduğu ölçüde m.5/2-e kapsamında işlenir.
İsteğe bağlı taslak: İzin vermeniz hâlinde form ve düzenleme taslakları, daha sonra devam etmenizi sağlamak için açık rızanıza dayanılarak tarayıcınızda tutulur (m.5/1). Ayrı taslak bilgilendirmesi ve seçimi uygulanır.
3.3. Toplama yöntemi
Veriler; davet ve hesap işlemleri, giriş/doğrulama, görsel yükleme, düzenleme ekranları, iletişim ve başvuru kanalları ile teknik erişim kayıtlarından otomatik veya kısmen otomatik yollarla toplanır. Hesap için rutin olarak kimlik belgesi sureti, T.C. kimlik numarası veya sağlık bilgisi istenmez. Kanuni bir başvuruda gereken kimlik teyidi ayrıca ve ölçülü yapılır.
Hesap girişi, e-posta doğrulama ve parola yenileme Keycloak kimlik altyapısında yürütülür. Keycloak, kimlik işlemlerini yürütmek için kullanılan yazılımdır; barındırma altyapısı alıcılar bölümünde açıklanır. Güncel giriş akışı Google veya Clerk ile giriş kullanmaz. Geçmiş kimlik sistemlerine ait kayıtlar, kendi saklama ve silme yükümlülükleri kapsamında ayrıca değerlendirilir.
3.4. Alıcılar ve paylaşım amaçları
- Barındırma: Uygulama, özel görseller, veritabanı ve kimlik altyapısının işletilmesi için VPS.com.tr hizmetini sunan HZD Teknoloji ve İnovasyon San. ve Tic. Ltd. Şti.’nin altyapısı kullanılır.
- E-posta: Hesap bildirimleri ve doğrulama iletilerinde Natro/Çizgi Telekomünikasyon A.Ş. posta hizmeti kullanılır. info@torfdesignlab.com adresine gönderilen yazışmalar Google posta altyapısına ulaşır. Ayrıca alıcının seçtiği e-posta sağlayıcısı iletiyi işler. Giriş sağlayıcısı ile posta sağlayıcısı farklı işlevlerdir.
- Yapay zekâ işlemleri: Kaynak görselin tamamı, varsa bölge, maske ve peyzaj rehberleri, stil ve malzeme örnekleri, talimatlar ve gerekli teknik istek verileri; seçtiğiniz görsel üretme veya düzenleme işlemini ve buna bağlı gerekli teknik işlemleri gerçekleştirmek için yurt dışındaki yapay zekâ hizmet sağlayıcılarına aktarılır. Bu alıcı grubu, seçilen işlemin model işletimi ve altyapısını sağlayan hizmetleri kapsar. Fiilî alıcı ve alt sağlayıcı bilgileri Şirketin tedarikçi ve aktarım kayıtlarında tutulur; verilerinizin aktarıldığı alıcıları öğrenmek için 3.7 bölümündeki başvuru yollarını kullanabilirsiniz.
- Yetkili merciler ve danışmanlar: Hukuki yükümlülükler, başvurular veya somut uyuşmazlıklar için gerekli veriler, yetkili kurumlar ve gerekli hukuki/mali danışmanlarla paylaşılabilir.
Paylaşımlar ilgili amaçla sınırlı tutulur; yurt içi aktarımlarda KVKK m.8 kapsamındaki şartlar uygulanır. Kamuya açık paketleri incelemek veya seçmek, ödeme sağlayıcısına kart bilgisi gönderilmesi anlamına gelmez; mevcut sitede ödeme tahsilatı kapalıdır.
3.5. Yurt dışına aktarım
Seçtiğiniz yapay zekâ işlemi için gerekli içerikler yurt dışındaki yapay zekâ hizmet sağlayıcılarına aktarılır ve ABD ile hizmetin gerektirdiği diğer ülkelerdeki altyapılarda işlenir. Gönderdiğiniz içeriğin niteliğine göre bu akış kişisel veri aktarımı içerebilir. Google posta altyapısındaki iletişim ve alıcının e-posta hizmeti de Türkiye dışındaki işleme süreçlerini içerebilir. Barındırma, yapay zekâ ve e-posta hizmetleri farklı sağlayıcı altyapılarında yürütülür; verilerin ve kopyalarının işleme yerleri ilgili hizmete göre değişebilir.
Yurt dışına kişisel veri aktarımı KVKK m.9’daki şartlara tabidir. Aktarım şartları, üretim talebinden, genel kullanım koşullarının kabulünden ve “aydınlatmayı okudum” beyanından ayrı olarak değerlendirilir. Aktarım hakkında bilgi taleplerinizi Şirkete iletebilirsiniz.
3.6. Saklama ve silme
Veriler, ilgili işleme amacının gerektirdiği süre ve varsa uygulanabilir kanuni yükümlülükler boyunca tutulur. İşleme şartları ortadan kalktığında silme, yok etme veya anonimleştirme yükümlülükleri uygulanır. Bir talebi veya uyuşmazlığı kanıtlamak için gereken kayıtlar gerekli kapsamla sınırlı olarak ayrılabilir; bu durum bütün dosyaların süresiz tutulması anlamına gelmez.
Özel proje görselleri, dosyanın sunucuda oluşturulmasından en az 14 gün sonra ve depolama alanı ihtiyacı doğduğunda otomatik temizliğe konu olabilir. Aktif veya sonucu belirsiz işlemler temizliği erteleyebilir. Temizlik zamanı, dosyanın en az 14 günlük olmasıyla birlikte depolama ihtiyacı ve işlem durumu dikkate alınarak belirlenir. Yedekler, sağlayıcı kopyaları ve işlem/güvenlik kayıtları bu temizliğin dışındadır; kendi amaçları ve silme yükümlülükleri ayrıca değerlendirilir.
Tarayıcı taslaklarının ve teknik kayıtların süreleri Çerez ve Tarayıcı Depolama Bilgilendirmesi’nde açıklanır. Silme başvurusunun kaydı, hesap erişiminin kapatılması ve ilgili kopyaların silinmesinin tamamlanması ayrı aşamalar olarak değerlendirilir.
3.7. Başvuru ve haklar
KVKK m.11 kapsamındaki bilgi alma, düzeltme, şartları varsa silme/yok etme, alıcıları öğrenme, düzeltme ve silmenin alıcılara bildirilmesini isteme, yalnız otomatik analizle aleyhinize çıkan sonuca itiraz ve zararın giderilmesini isteme haklarınız için Şirkete başvurabilirsiniz.
Başvurunuzu daha önce bize bildirdiğiniz ve sistemimizde kayıtlı e-postanızdan info@torfdesignlab.com adresine, yukarıdaki posta adresine yazılı olarak veya mevzuatın tanıdığı diğer yöntemlerle iletebilirsiniz. Talebin niteliğine göre mümkün olan en kısa sürede ve en geç 30 gün içinde yanıt verilir. İşlem kural olarak ücretsizdir; ayrıca maliyet gerektiren hâllerde Kurulun belirlediği tarife uygulanabilir. Başvuruyu yalnız hesabınız açıkken yapmanız şart değildir.