Kişisel Verilerin Korunması ve İşlenmesi Politikası
1. Amaç, kapsam ve rollerimiz
Bu Politika, Alfu Teknoloji Yazılım ve Danışmanlık A.Ş. ("ALFU") tarafından geliştirilen ve sunulan İcra Caller borç tahsilat otomasyonu ile buna ilişkin web sitesi, yönetim paneli ve API hizmetleri kapsamında kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu'na ("KVKK") uygun olarak işlenmesine ilişkin ilkeleri belirler.
ALFU, işlediği verilere göre iki farklı sıfatla hareket eder:
| Veri | İlgili kişiler | ALFU'nun sıfatı |
|---|---|---|
| Web sitesi, iletişim ve demo talepleri | Ziyaretçiler, müşteri adayı kurum yetkilileri | Veri sorumlusu |
| Panel ve API hesapları | Müşteri kurumların panel kullanıcıları | Veri sorumlusu |
| Platforma yüklenen borçlu verileri, arama ses kayıtları, konuşma dökümleri ve arama sonuçları | Borçlular ve aramada ulaşılan diğer kişiler | Veri işleyen (veri sorumlusu: aramayı yaptıran müşteri) |
Veri işleyen sıfatıyla işlenen veriler, yalnızca müşterinin yazılı talimatı ve müşteriyle imzalanan veri işleme sözleşmesi çerçevesinde işlenir. Bu veriler ALFU'nun kendi amaçları için kullanılmaz.
2. Temel ilkeler ve işleme şartları
ALFU, kişisel verileri KVKK m.4'te sayılan şu ilkelere uygun olarak işler:
- Hukuka ve dürüstlük kurallarına uygunluk
- Doğruluk ve gerektiğinde güncellik
- Belirli, açık ve meşru amaçlar için işleme
- Amaçla bağlantılı, sınırlı ve ölçülü olma
- Gerekli süre kadar muhafaza
Veri sorumlusu sıfatıyla yapılan her işleme faaliyeti, KVKK m.5/2'de sayılan hukuki sebeplerden birine dayanır. Bu sebeplerden birinin bulunduğu durumlarda ayrıca açık rıza istenmez. Açık rıza yalnızca gerçekten gerektiği hâllerde, aydınlatma metninden ayrı bir metinle ve ayrı bir beyanla alınır.
ALFU, kendi faaliyetleri için özel nitelikli kişisel veri işlemez. Arama ses kayıtları, konuşanın kimliğini doğrulamak veya ses imzası oluşturmak amacıyla kullanılmaz; bu nedenle biyometrik veri olarak işlenmez.
3. Aktarım
Aktarım ilkesi ve alt işleyenler (KVKK m.8): Kişisel veriler, yalnızca işleme amacı için gerekli olduğu ölçüde ve bir hukuki sebebe dayanılarak aktarılır. Hizmetin sunulması için kullanılan alt işleyenler şunlardır:
| Alt işleyen | Hizmet | Konum |
|---|---|---|
| Verimor | Telefon altyapısı | Türkiye |
| Amazon (AWS) | Sunucu ve veri tabanı | Türkiye |
| Patient Desk / Anthropic (Claude) | Yanıt üretimi | ABD |
Veri işleyen sıfatıyla işlenen veriler için yeni bir alt işleyen kullanılmadan önce müşteri yazılı olarak bilgilendirilir.
Yurt dışına aktarım (KVKK m.9): Yurt dışına aktarım, Kurul'un yeterlilik kararı bulunmadıkça m.9'da öngörülen uygun güvencelerden birine, kural olarak standart sözleşmeye dayanılarak yapılır. Standart sözleşme imzalandıktan sonra 5 iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir. Açık rıza, yurt dışına aktarım için genel bir dayanak olarak kullanılmaz; yalnızca m.9'daki arızi aktarım hâllerinde başvurulabilir.
4. Veri güvenliği ve ihlal yönetimi
ALFU, KVKK m.12 uyarınca kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun teknik ve idari tedbirleri alır. Başlıca tedbirler:
- Müşteri bazında veri izolasyonu; bir müşterinin verisine başka bir müşteri erişemez.
- Rol bazlı yetkilendirme, çok faktörlü kimlik doğrulama ve erişim kayıtlarının tutulması.
- Verilerin iletimde ve depolamada şifrelenmesi.
- Üretim verisine erişimin yalnızca gerekli personelle ve kayıt altında sınırlandırılması; geliştirme ve testte maskeli veya sentetik veri kullanılması.
- Çalışanlar ve alt işleyenlerle gizlilik taahhütleri; düzenli güvenlik testleri ve yedekleme.
İhlal yönetimi: Bir veri ihlali tespit edildiğinde, ALFU'nun veri sorumlusu olduğu verilerde Kurul'a 72 saat içinde, etkilenen kişilere ise en kısa sürede bildirim yapılır. Veri işleyen olduğu verilerde ihlal, ilgili müşteriye gecikmeksizin bildirilir; Kurul'a ve ilgili kişilere bildirim kararı müşteriye aittir ve ALFU bu süreçte gerekli teknik desteği sağlar.
5. Saklama ve imha
Kişisel veriler, işleme amacının gerektirdiği veya mevzuatta öngörülen süre kadar saklanır. Süre sona erdiğinde veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca ilk periyodik imha döneminde silinir, yok edilir veya anonim hâle getirilir. Periyodik imha süresi [6 ay]dır.
| Veri | Saklama süresi |
|---|---|
| Web sitesi, iletişim ve demo verileri | Web Sitesi Aydınlatma Metni'nde belirtilen süreler |
| Panel kullanıcı hesabı | Müşteri sözleşmesi süresince ve sona ermesinden itibaren [1 yıl] |
| Erişim ve işlem kayıtları | [2 yıl] |
| Borçlu verileri, ses kayıtları, konuşma dökümleri | Müşterinin talimatındaki süre; talimat yoksa sözleşme sona erdiğinde müşteriye iade ve ardından silme |
| Ticari kayıt ve yazışmalar | 10 yıl (Türk Ticaret Kanunu m.82, Türk Borçlar Kanunu m.146) |
6. Yapay zekâ ile yürütülen aramalar
İcra Caller, borçlu aramalarını konuşma tanıma, yanıt üretimi ve sentetik ses teknolojileriyle yürütür. Bu kapsamda ALFU şu ilkeleri uygular:
- Şeffaflık: Her aramanın başında, aramanın hangi kurum adına yapıldığı, yapay zekâ destekli bir asistanla görüşüldüğü ve görüşmenin kaydedildiği bildirilir. Bu bildirim metni müşteriyle birlikte belirlenir.
- Kimlik teyidi: Borç bilgisi, aranan kişinin kimliği makul ölçüde teyit edilmeden paylaşılmaz. Yanlış kişiye ulaşıldığında görüşme borç bilgisi verilmeden sonlandırılır.
- Arama sınırları: Arama saatleri ve aynı kişinin aranma sıklığı, müşterinin belirlediği ve mevzuata uygun sınırlar içinde sistem tarafından zorunlu tutulur.
- İnsan denetimi: Aramalar sonucunda borçlu hakkında hukuki sonuç doğuran bir karar otomatik olarak verilmez. Ödeme taahhüdü, itiraz gibi beyanlar panelde işaretlenir; bunlara dayanılarak işlem yapılıp yapılmayacağına müşteri karar verir. İlgili kişiler, münhasıran otomatik sistemlerle yapılan analiz sonucunda aleyhlerine çıkan sonuçlara KVKK m.11/1-g uyarınca itiraz edebilir.
- Model eğitimi: Müşteri verileri, ses kayıtları ve konuşma dökümleri, müşterinin yazılı onayı olmadan yapay zekâ modellerinin eğitimi veya geliştirilmesi için kullanılmaz. Hizmet sağlayıcılarla yapılan sözleşmelerde de bu verilerin model eğitiminde kullanılmayacağı güvence altına alınır.
7. İlgili kişi hakları, başvuru ve yürürlük
İlgili kişiler, KVKK m.11'de sayılan haklarını kullanmak için başvurularını Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca ALFU'ya yazılı olarak, kvkk@alfu.tech adresine iletebilir. Başvurular en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'un belirlediği tarife uygulanabilir.
Borçlu verilerine ve arama kayıtlarına ilişkin başvurular, veri sorumlusu olan müşteriye yöneltilmelidir. ALFU'ya iletilen bu tür başvurular gecikmeksizin ilgili müşteriye yönlendirilir ve müşterinin başvuruyu yanıtlayabilmesi için gerekli destek sağlanır.
Bu Politika 27.10.2026 tarihinde yürürlüğe girmiştir. Veri işleme faaliyetlerinde veya mevzuatta değişiklik olması hâlinde güncellenir; güncel metin web sitesinde yayımlanır.