Gizlilik Politikası · Privacy Policy

1. Biz kimiz

Melano, [COMPANY LEGAL NAME] ([ADDRESS]; MERSİS: [MERSIS NUMBER]; vergi dairesi / numarası: [TAX OFFICE / TAX NUMBER]) tarafından sunulur. Gizlilik iletişimi: [PRIVACY CONTACT EMAIL].

Rolümüz verinin türüne göre değişir. Melano'yu kullanan kişilerin hesap, oturum, güvenlik ve kullanım verileri ile demo talepleri bakımından veri sorumlusuyuz. Bir müşteri kuruluşun çalışma alanına yüklediği veya orada oluşturduğu içerik (belgeler, anketler, yanıtlar) bakımından neyin ve neden işleneceğine müşteri karar verir; bu içeriği müşteri adına işleriz (veri işleyen). Belirli bir sözleşmede hangi rolün geçerli olduğu müşteriyle yapılan sözleşmede teyit edilir.

[LEGAL REVIEW REQUIRED] Veri kategorisi bazında veri sorumlusu / veri işleyen ayrımı ile AB temsilcisi (GDPR m.27) ve veri koruma görevlisi gerekip gerekmediği teyit edilmelidir. Şu anda ikisi de atanmış değildir.

2. Topladığımız bilgiler

Hesap ve kuruluş bilgileri:

• Hesap oluştururken girdiğiniz ad ve e-posta adresi ile yalnızca tek yönlü özet (hash) olarak saklanan parolanız.
• Üyesi olduğunuz kuruluşlar ve çalışma alanları, her birindeki rolünüz (Owner, Admin, Member, Reviewer, Viewer) ve katılım tarihiniz. Kuruluşunuzun diğer üyeleri adınızı, e-posta adresinizi ve rolünüzü görebilir.
• Kuruluş içindeki işlemlerinizin kayıtları: örneğin bir yanıtı kimin onayladığı veya düzenlediği, incelemeyi kimin atadığı, belgeyi kimin yüklediği.

Kullanım ve güvenlik bilgileri:

• Oturum kayıtları: çerezde tutulan rastgele oturum anahtarı, giriş sırasındaki IP adresi ve tarayıcı bilgisi (user agent) ile oturum bitiş zamanı (7 gün).
• Güvenlik ve iş açısından önemli işlemlerin denetim kaydı (örneğin belge yükleme veya indirme, yanıt onayı, dışa aktarma, üye rol değişikliği). Her kayıt kimin, neyi, hangi öğe üzerinde, ne zaman yaptığını ve IP adresini içerir. Denetim kayıtları belge içeriği, yanıt metni, parola veya anahtar içermez.
• Kullanıcı kimliğiniz veya IP adresinizle tutulan istek sınırlama (rate limiting) sayaçları; giriş denemelerinde e-posta adresi düz metin olarak değil, yalnızca anahtarlı özet olarak kullanılır.
• Yapay zekâ kullanım telemetrisi: çağrılan model, token sayıları, gecikme, tahmini maliyet ve iç kimlikler. İstem (prompt), belge veya yanıt içermez.
• Operasyonel uygulama kayıtları: istek kimlikleri, rotalar, yanıt kodları, süreler ve iç kimlikler. Bu kayıtlar belge içeriği, yanıt, parola, token veya anahtar içermeyecek şekilde tasarlanmıştır.

Demo talepleri: web sitemizdeki demo formunu kullanırsanız adınızı, iş e-postanızı, şirketinizi, görevinizi, ilgi alanınızı, isteğe bağlı mesajınızı ve dil tercihinizi alırız. Bu bilgiler Melano veritabanında saklanmaz; demo talepleri için yapılandırdığımız alıcıya ([DEMO REQUEST RECIPIENT]) iletilir.

3. Müşterinin sağladığı içerik

Müşteriler belgeler (örneğin politikalar ve raporlar), anketler ve tablolar yükler; yanıtlar, incelemeler, yorumlar, Yanıt Kütüphanesi kayıtları ve dışa aktarımlar oluşturur. Bu içerik, müşterinin yüklemeyi seçtiğine bağlı olarak kişisel veri içerebilir. İçeriğin mülkiyeti müşteride kalır. İçeriği yalnızca o müşteriye hizmet sunmak için işleriz: belgeleri aranabilir hale getirmek, kaynak gösterimli taslak yanıtlar üretmek, insan incelemesini desteklemek ve dışa aktarım hazırlamak.

Her kuruluşun içeriği birbirinden yalıtılmıştır: her istek, öğenin sahibi olan kuruluştaki üyeliğinize göre sunucuda yetkilendirilir ve bir kuruluşun içeriği başka bir kuruluşun sorularını yanıtlamak için kullanılmaz.

4. Verileri neden işliyoruz

Kişisel verileri satmayız; Melano reklam veya analitik izleme araçları kullanmaz.

5. Yapay zekâ ile işleme

Yanıt üretmek için Melano, tarafımızca yapılandırılan üçüncü taraf bir yapay zekâ sağlayıcısı kullanır. Bir anket işlendiğinde soru metni ve kuruluşun kendi belgelerinden seçilen sınırlı sayıda pasaj, yanıt üretimi için bu sağlayıcıya iletilir. Bir belge dizinlenirken arama vektörleri (embedding) oluşturmak için belge metni, arama için de soru metni sağlayıcıya gönderilir.

Kullanıcı adları, e-posta adresleri, parolalar, denetim kayıtları, faturalama verileri, entegrasyon kimlik bilgileri veya başka kuruluşların verileri yapay zekâ sağlayıcısına gönderilmez. Sağlayıcının aldığı veriyi nasıl sakladığı veya kullandığı, kullandığımız hesap ve uç nokta için geçerli sağlayıcı koşullarına tabidir; sağlayıcı adına saklama veya model eğitimi konusunda taahhütte bulunmayız. Sağlayıcı koşulları ayrıca hukuki incelemeye tabidir.

Yapay zekâ ile üretilen yanıtlar taslaktır. Hizmet, yanıtın dayandığı kaynakları ve bir güven puanını gösterir; bir yanıt ancak kuruluşunuzdaki bir kişi onayladığında onaylı olarak işaretlenir. Hakkınızda yalnızca otomatik işlemeye dayalı bir karar verilmez.

6. Hizmet sağlayıcılar (veri işleyenler / alt işleyenler)

Aşağıdaki kategorilerde hizmet sağlayıcılar kullanırız. Belirtilen sağlayıcılar mevcut kurulum yapılandırmasını yansıtır ve değişebilir; liste müşteri sözleşmelerinde teyit edilir.

[LEGAL REVIEW REQUIRED] Yayından önce her sağlayıcı, sözleşme koşulları (DPA), işleme yerleri ve aktarım mekanizması teyit edilmelidir.

7. Saklama ve güvenlik

Aşağıdaki önlemler üründe uygulanmaktadır. Şu anda herhangi bir sertifikasyon (SOC 2 veya ISO 27001 gibi) iddiasında bulunmuyoruz.

• Kuruluş (tenant) yalıtımı: her istek, verinin sahibi olan kuruluştaki üyeliğe göre sunucuda denetlenir; başka kuruluşların öğeleri bulunamaz.
• Beş rolle rol tabanlı erişim kontrolü ve sunucu tarafında yetki denetimi.
• Özel dosya depolama: dosyalar herkese açık değildir; indirmeler yalnızca yetki denetiminden sonra verilen, birkaç dakika geçerli imzalı bağlantılarla yapılır.
• Saklandığı durumlarda entegrasyon kimlik bilgileri AES-256-GCM ile şifrelenir.
• Parolalar tek yönlü özet olarak saklanır; oturum çerezleri HttpOnly, SameSite=Lax ve production'da Secure'dur; hizmet production'da HTTPS üzerinden sunulur.
• Güvenlik açısından önemli işlemlerin denetim kaydı ve uygulama kayıtlarında gizli bilgilerin ve içeriğin maskelenmesi.

Hiçbir sistem tamamen güvenli değildir. Kişisel verilerinizi etkileyen bir ihlalden haberdar olursak, yürürlükteki hukukun gerektirdiği şekilde sizi ve yetkili makamları bilgilendiririz.

8. Saklama süreleri

Aşağıdaki süreler hizmetin mevcut teknik varsayılanlarıdır. Kanunen zorunlu tutulmuş süreler değildir, kurulum bazında yapılandırılabilir ve değişebilir; değiştiklerinde bu politika güncellenir.

9. Silme

• Uygun role sahip kullanıcılar tek tek belgeleri, anketleri (yanıtları, incelemeleri ve dışa aktarımlarıyla birlikte) ve Yanıt Kütüphanesi kayıtlarını silebilir. Dosyalar kayıtlarıyla birlikte depolamadan silinir.
• Kuruluşun Owner'ı kuruluşu kapatabilir. Tüm üyelerin erişimi hemen sona erer; ardından arka planda kuruluşun dosyaları ve kayıtları, denetim kaydı ve yapay zekâ kullanım kayıtları dahil silinir.
• Bir üyenin kuruluştan çıkarılması yalnızca üyeliğini kaldırır; hesabı devam eder.
• Şu anda kullanıcının kendi hesabını silebileceği bir işlev yoktur. Hesabınızın silinmesi için [PRIVACY CONTACT EMAIL] adresine başvurabilirsiniz. Bir kuruluşun tek Owner'ı olan hesap, sahiplik devredildikten veya kuruluş kapatıldıktan sonra silinebilir.
• Silinen veriler, süreleri dolana kadar veritabanı yedeklerinde kalabilir.

10. Çerezler ve benzeri teknolojiler

Yalnızca hizmetin çalışması için gerekenleri kullanırız. Reklam, analitik veya izleme çerezi yoktur; bu nedenle çerez onay bandı gösterilmez.

Web sitesindeki ürün videosu harici bir video hizmetinde barındırılıyorsa, o hizmetin oynatıcısı yalnızca oynat düğmesine bastığınızda yüklenir ve bu hizmet kendi çerezlerini ayarlayabilir.

11. Yurt dışına aktarım

Hizmet sağlayıcılarımız (bölüm 6) verileri bulunduğunuz ülkenin dışında, Türkiye ve Avrupa Ekonomik Alanı dışı dahil, işleyebilir. Hukukun bir aktarım mekanizması gerektirdiği durumlarda aktarım, ilgili sağlayıcıyla kararlaştırılan mekanizmaya dayanılarak yapılır.

[LEGAL REVIEW REQUIRED] Her sağlayıcının işleme yerleri ve her aktarım için dayanılan mekanizma (örneğin yeterlilik kararı, standart sözleşme maddeleri veya KVKK m.9 kapsamında Kurum'a bildirilen standart sözleşme) belirlenmelidir. Bu inceleme tamamlanana kadar herhangi bir mekanizma iddia edilmemektedir.

12. Haklarınız

Kişisel verilerinize erişim, düzeltme, silme, işlemenin kısıtlanması ve taşınabilir bir kopya talep edebilir; meşru menfaate dayanan işlemeye itiraz edebilirsiniz. Rızaya dayanan işlemede rızanızı her zaman geri alabilirsiniz. Taleplerinizi [PRIVACY CONTACT EMAIL] adresine iletebilirsiniz; kimliğinizi doğrulamamız gerekebilir. Verileriniz bir müşteri kuruluşun içeriğinin parçasıysa talebinizi, karar verecek olan o kuruluşa iletebiliriz.

Türkiye'deki kişiler 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 11. maddesindeki haklara sahiptir; ayrıntılar için /kvkk adresindeki KVKK Aydınlatma Metni'ne bakınız.

13. AEA ve Birleşik Krallık için ek bilgiler (GDPR)

Bölüm 12'de açıklanan GDPR m.15–22 kapsamındaki haklara ve özellikle mutat meskeninizin, işyerinizin veya iddia edilen ihlalin gerçekleştiği üye devletteki bir veri koruma denetim makamına şikâyette bulunma hakkına (GDPR m.77) sahipsiniz.

[LEGAL REVIEW REQUIRED] Melano bir AB/Birleşik Krallık temsilcisi veya veri koruma görevlisi atamamıştır. Bunların gerekip gerekmediği ve hangi aktarım mekanizmalarının uygulanacağı, hizmet AEA/Birleşik Krallık müşterilerine sunulmadan önce kararlaştırılmalıdır.

14. Politikadaki değişiklikler

Hizmet veya mevzuat değiştiğinde bu politikayı güncelleriz. Sürüm ve son güncelleme tarihi sayfanın üst kısmında gösterilir. Önemli değişiklikleri müşterilere önceden bildiririz.

15. İletişim

[COMPANY LEGAL NAME], [ADDRESS]. Gizlilik talepleri: [PRIVACY CONTACT EMAIL].

1. Who we are

Melano is provided by [COMPANY LEGAL NAME], [ADDRESS] (MERSIS: [MERSIS NUMBER]; tax office / number: [TAX OFFICE / TAX NUMBER]). Privacy contact: [PRIVACY CONTACT EMAIL].

Our role depends on the data. For account, sign-in, security and usage data about the people who use Melano, and for demo requests, we act as data controller. For the content a customer organization uploads or creates in its workspace (documents, questionnaires, answers), the customer organization decides what is processed and why; for that content we act on the customer's behalf as a processor. Which role applies in a specific contract is confirmed in the agreement with the customer.

[LEGAL REVIEW REQUIRED] Confirm the controller/processor allocation per data category, and whether an EU representative (GDPR Art. 27) or a data protection officer is required. Melano has not appointed either at this time.

2. Information we collect

Account and organization information:

• Name and e-mail address you enter when you create an account, and a password, which is stored only as a one-way hash.
• The organizations and workspaces you belong to, your role in each (Owner, Admin, Member, Reviewer, Viewer) and when you joined. Other members of your organization can see your name, e-mail address and role.
• Records of your actions inside an organization, such as who approved or edited an answer, who assigned a review and who uploaded a document.

Usage and security information:

• Session records: a random session token (held in a cookie), the IP address and browser user agent at sign-in, and the session expiry (7 days).
• Audit log entries for security- and business-relevant actions (for example document upload or download, answer approval, export, member role change). Each entry records who acted, what was done, on which item, when, and the IP address. Audit entries never contain document content, answer text, passwords or keys.
• Rate-limiting counters keyed by your user id or by IP address; for sign-in attempts, the e-mail address is only used as a keyed hash, never in plain text.
• AI usage telemetry: which model was called, token counts, latency, estimated cost and internal ids. It contains no prompts, documents or answers.
• Operational application logs: request ids, routes, response codes, timings and internal ids. Logs are designed not to contain document content, answers, passwords, tokens or keys.

Demo requests: if you use the demo request form on our website we receive your name, work e-mail, company, role, area of interest, optional message and language. These are not stored in the Melano database; they are forwarded to the recipient we have configured for demo requests ([DEMO REQUEST RECIPIENT]).

3. Customer-provided content

Customers upload documents (for example policies and reports), questionnaires and spreadsheets, and create answers, reviews, comments, Answer Library entries and exports. This content may contain personal data, depending on what the customer chooses to upload. The customer keeps ownership of its content. We process it only to provide the service to that customer: indexing documents so they can be searched, generating draft answers with citations, supporting human review and producing exports.

Each organization's content is isolated: every request is authorized against the user's membership in the organization that owns the item, and content from one organization is never used to answer another organization's questions.

4. Why we process data

We do not sell personal data, and Melano does not use advertising or analytics trackers.

5. AI processing

To generate answers, Melano uses a third-party AI provider configured by us. When a questionnaire is processed, the question text and a limited number of selected passages from the organization's own documents are transmitted to that provider for answer generation. Document text is also sent to the provider to create search embeddings when a document is indexed, and question text is sent to create embeddings for search.

We do not send user names, e-mail addresses, passwords, audit entries, billing data, integration credentials or other organizations' data to the AI provider. How the provider itself retains or uses the data it receives is governed by the provider's own terms for the account and endpoint we use; we do not make promises on the provider's behalf about its retention or model training. The provider's terms are subject to separate legal review.

AI-generated answers are drafts. The service shows the sources an answer was based on and a confidence score, and an answer is only marked approved when a person in your organization approves it. No decision about you as an individual is made solely by automated means.

6. Service providers (processors / sub-processors)

We use the following categories of providers. The named providers reflect the current deployment configuration and may change; the list is confirmed in customer agreements.

[LEGAL REVIEW REQUIRED] Confirm each provider, its contractual terms (DPA), its processing locations and its transfer mechanism before publication.

7. Storage and security

The measures below are implemented in the product. We do not claim any certification (such as SOC 2 or ISO 27001) at this time.

• Tenant isolation: every request is checked on the server against the user's membership in the organization that owns the data; other organizations' items are not found.
• Role-based access control with five roles and server-side permission checks.
• Private file storage: files are not public; downloads use short-lived signed links (minutes) issued only after an authorization check.
• Integration credentials, where stored, are encrypted with AES-256-GCM.
• Passwords are stored as one-way hashes; session cookies are HttpOnly, SameSite=Lax and Secure in production, and the service is served over HTTPS in production.
• Audit logging of security-relevant actions, and redaction of secrets and content from application logs.

No system is completely secure. If we become aware of a breach affecting your personal data, we will notify you and the competent authorities as required by applicable law.

8. Retention

The periods below are the current technical defaults of the service. They are not periods mandated by law, can be configured per deployment and may change; this policy will be updated when they do.

9. Deletion

• Users with the right role can delete individual documents, questionnaires (with their answers, reviews and exports) and Answer Library entries. Files are removed from storage together with their records.
• An organization Owner can close the organization. Access ends immediately for every member, and a background purge then deletes the organization's files and records, including its audit log and AI usage records.
• Removing a member from an organization removes their membership; their account remains.
• There is currently no self-service account deletion. To delete your account, contact [PRIVACY CONTACT EMAIL]. An account that is the only Owner of an organization can only be deleted after ownership is transferred or the organization is closed.
• Deleted data may remain in database backups until those backups expire.

10. Cookies and similar technologies

We only use what is needed for the service to work. There are no advertising, analytics or tracking cookies, so no cookie consent banner is shown.

If a product video on the website is hosted by an external video service, that service's player is only loaded after you press play, and that service may then set its own cookies.

11. International transfers

Our service providers (section 6) may process data outside your country, including outside Türkiye and outside the European Economic Area. Where the law requires a transfer mechanism, transfers are made on the basis of the mechanism agreed with the provider.

[LEGAL REVIEW REQUIRED] Identify each provider's processing locations and the mechanism relied on for each transfer (for example adequacy decisions, standard contractual clauses, or the KVKK Article 9 mechanisms such as standard contracts notified to the Personal Data Protection Authority). No mechanism is claimed here until that review is complete.

12. Your rights

You can ask us for access to your personal data, correction, deletion, restriction of processing, a copy in a portable format, and you can object to processing based on legitimate interests. Where processing is based on consent you can withdraw it at any time. Send requests to [PRIVACY CONTACT EMAIL]; we may need to verify your identity. If your data is part of a customer organization's content, we may forward your request to that organization, which decides on it.

People in Türkiye have the rights listed in Article 11 of Law No. 6698 on the Protection of Personal Data (KVKK); see our KVKK Notice at /kvkk.

13. Additional information for the EEA and the UK (GDPR)

You have the rights under Articles 15 to 22 GDPR described in section 12, and the right to lodge a complaint with a data protection supervisory authority, in particular in the member state of your habitual residence, place of work or place of the alleged infringement (Art. 77 GDPR).

[LEGAL REVIEW REQUIRED] Melano has not appointed an EU/UK representative or a data protection officer. Whether either is required, and which transfer mechanisms apply, must be decided before offering the service to EEA/UK customers.

14. Changes to this policy

We will update this policy when the service or the law changes. The version and the date of the last update are shown at the top of the page. For material changes we will inform customers in advance.

15. Contact

[COMPANY LEGAL NAME], [ADDRESS]. Privacy requests: [PRIVACY CONTACT EMAIL].