1. Giriş, Amaç ve Kapsam

İşbu Qodi Kullanıcıları İçin Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni (“Aydınlatma Metni”), Matriks Finansal Teknolojiler A.Ş. (“Matriks” veya “Şirket”) tarafından geliştirilen ve qodi.matriks.ai alan adı ve/veya ilgili uygulamalar üzerinden sunulan Qodi finansal yapay zekâ asistanı (“Qodi”) kapsamında işlenen kişisel verilere ilişkin olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m. 10 uyarınca veri sorumlusu sıfatıyla Şirket tarafından yerine getirilmesi gereken aydınlatma yükümlülüğünün ifası amacıyla hazırlanmıştır.

İşbu Aydınlatma Metni, Qodi'yi fiilen kullanan her gerçek kişiyi kapsar. Aksi açıkça belirtilmedikçe, işbu metinde geçen “kullanıcı” ifadesi Qodi’yi ücretsiz olarak kullanan kişiler ile Matriks Store ve Matriks satış kanalları üzerinden satın alınarak Matriks üyeliğine tanımlanan Qodi Mini, Plus veya Max lisansı kapsamında kullanan ücretli aboneleri birlikte kapsayacak şekilde kullanılmaktadır.

İşbu Aydınlatma Metni yalnızca Qodi'nin kullanımı sırasında ve Qodi'ye özgü olarak işlenen kişisel verileri kapsar. Matriks'in Matriks Terminal, veri yayın hizmetleri ve diğer ürün/hizmetleri kapsamında yürüttüğü kişisel veri işleme faaliyetleri, ilgili ayrı aydınlatma metinleri ve sözleşme hükümlerine tabidir.

Qodi, fiil ehliyetine sahip ve on sekiz (18) yaşını doldurmuş kullanıcılara yöneliktir. Kullanıcıların, on sekiz yaşından küçük kişilere ait kişisel verileri Qodi üzerinden paylaşmamaları gerekmektedir.

2. Veri Sorumlusu Kimliği ve İletişim Bilgileri

Kişisel verileriniz; Matriks üyelik sistemi KVKK uyarınca kişisel verileriniz, veri sorumlusu sıfatıyla aşağıda bilgileri yer alan Matriks Finansal Teknolojiler A.Ş. tarafından, işbu Aydınlatma Metni'nde açıklanan amaç ve kapsamda işlenmektedir.

3. İşlenen Kişisel Veri Kategorileri

Qodi'nin kullanımı sırasında, kullanıcı tipine ve kullanılan özelliklere bağlı olarak aşağıdaki kişisel veri kategorileri işlenebilir. Aşağıdaki liste, tüm kullanıcılar için tüm alt kategorilerin her durumda işlendiği anlamına gelmeyip, kullanımın niteliğine göre değişkenlik gösterebilecek örnekleyici bir çerçeve sunmaktadır.

• Kimlik Bilgisi: Ad, soyad ve varsa T.C. kimlik numarası, vergi kimlik numarası gibi kimlik doğrulamasına ilişkin bilgiler.
• İletişim Bilgisi: E-posta adresi, telefon numarası, iletişim/fatura adresi.
• Hesap Bilgisi: Kullanıcı adı, şifrenin güvenli (özet/hash) biçimi, hesap oluşturma ve giriş bilgileri, hesap tercih ve ayarları, dil tercihi.
• Abonelik/Paket Bilgisi: Matriks Store üzerinden satın alınarak Matriks üyeliğine tanımlanan Qodi Mini, Plus veya Max lisansına ilişkin paket adı, kapsam, lisans başlangıç ve bitiş tarihleri, kullanım limitleri, sipariş, fatura ve ödeme kayıtları. Kart bilgileriniz Şirket tarafından saklanmaz; ödeme, ilgili ödeme kuruluşu altyapısı üzerinden yürütülür.
• Kullanıcı Girdileri ve Promptlar: Qodi'ye metin, ses veya benzer bir arayüz üzerinden yönelttiğiniz sorular, komutlar, talimatlar ve promptlar ile bunların yanıtlanması sürecinde oluşan konuşma geçmişi.
• Dokümanlar: Qodi ile paylaşmak veya Qodi aracılığıyla analiz ettirmek amacıyla platforma yüklediğiniz dosya, belge ve içerikler ile bunların içinde yer alabilecek kişisel veriler.
• Ses Kayıtları: Qodi'nin sesli komut/sesli etkileşim özelliklerini kullanmanız hâlinde alınan ses kayıtları ile bu kayıtların metne dönüştürülmüş (transkript) hâli.
• Teknik Loglar: IP adresi, cihaz ve tarayıcı bilgisi, işletim sistemi, oturum ve erişim kayıtları, kullanım istatistikleri, hata ve performans kayıtları.
• Destek Talepleri: Müşteri hizmetleri, teknik destek, talep ve şikâyet kanalları üzerinden Şirket ile yapılan yazışma ve görüşmelerde paylaşılan bilgiler.
• Hukuki işlem ve uyum bilgileri: İlgili kişi başvuruları, uyuşmazlık ve dava dosyaları, yetkili kurum talepleri, denetim ve uyum kayıtları.
• Pazarlama Tercihleri – Sadece ayrıca açık onay verilmesi halinde işlenir-: Bülten, duyuru ve kampanya iletişimlerine ilişkin izin/tercih bilgileri ve iletişim kanalı tercihleri.
• Onay ve Tercih Kayıtları: Kullanım Koşulları ile yapay zekâ destekli uygulamalara ilişkin bilgilendirmeyi onayladığınıza dair kayıtlar, varsa açık rıza veya diğer tercihlerinize ilişkin kayıtlar ve bu tercihlerin verilmesi, değiştirilmesi ya da geri alınmasına ilişkin tarih, saat, IP adresi ve cihaz/oturum bilgileri.
• Güvenlik ve Kötüye Kullanım Kayıtları: Girdilerin otomatik güvenlik denetiminden geçirilmesi sonucunda oluşan işaretleme, engelleme, sınırlandırma ve inceleme kayıtları.
• Geri Bildirim ve Değerlendirme Kayıtları: Qodi yanıtlarına ilişkin olumlu veya olumsuz değerlendirmeler, geri bildirim türü ve kategorisi ile geri bildirimin ilişkilendirildiği kullanıcı girdisi ve konuşma kaydı.

Qodi tarafından üretilen yanıt, analiz, öneri ve benzeri çıktılar (“Çıktılar”), işbu Aydınlatma Metni bakımından ayrı bir kişisel veri kategorisi olarak sınıflandırılmamaktadır. Bununla birlikte, bir Çıktı; kullanıcının kendisine veya üçüncü bir kişiye ait kimlik, iletişim, mali veya sair bilgi içeriyorsa, söz konusu Çıktı içerdiği kişisel veriler bakımından KVKK kapsamında kişisel veri olarak değerlendirilebilir ve bu doğrultuda işleme, saklama ve aktarım kurallarına tabi olabilir.

Kullanıcıların, üçüncü kişilere ait kişisel verileri (özellikle özel nitelikli kişisel verileri) prompt, belge veya ses kaydı olarak Qodi'ye aktarmadan önce, söz konusu üçüncü kişilerin kişisel verilerinin paylaşılması için gerekli hukuki dayanağa sahip olduklarından emin olmaları gerekmektedir. Üçüncü kişilere ait kişisel verilerin kullanıcı tarafından hukuka aykırı şekilde Qodi'ye aktarılmasından doğabilecek her türlü sorumluluk, ilgili kullanıcıya aittir.

Kullanıcılar; gizli bilgi, ticari sır, portföy ve hesap bilgisi ile özel nitelikli kişisel verileri Girdi olarak paylaşmamalıdırlar. Bu tür verilerin kullanıcı tarafından paylaşılması hâlinde ilgili veriler, talebinizin anlaşılması ve yanıt oluşturulması amacıyla işlenebilecektir.

4. Kişisel Verilerin İşlenme Amaçları ve Hukuki Sebepleri

Kişisel verileriniz; Matriks üyelik sistemi

Kişisel verileriniz, KVKK'nın 5. ve 6. maddelerinde belirtilen kişisel veri işleme şartları ve amaçları çerçevesinde ve aşağıdaki tabloda yer alan amaçlarla sınırlı olarak işlenmektedir.

5. Kişisel Verilerin Toplanma Yöntemi

Kişisel verileriniz; Matriks üyelik sistemi ve Store üzerinden gerçekleştirilen üyelik, lisans satın alma, ödeme ve faturalandırma işlemleri; Qodi arayüzü üzerinden ilettiğiniz promptlar, dokümanlar, ses kayıtları ve diğer kullanıcı girdileri; Qodi’nin kullanımı sırasında otomatik olarak oluşturulan teknik kayıtlar ve loglar ile destek ve iletişim kanalları üzerinden, elektronik ortamda tamamen veya kısmen otomatik yollarla toplanmaktadır.

Ayrıca Qodi arayüzünde kullanılan çerezler ve benzeri teknolojiler aracılığıyla da veri toplanmakta olup, kullanılan çerez türlerine ilişkin ayrıntılı bilgi Çerez Politikası'nda yer almaktadır.

6. Kişisel Verilerin Aktarılması

Kişisel verileriniz, yukarıda belirtilen amaçlarla sınırlı olarak, KVKK'nın 8. ve 9. maddelerinde öngörülen şartlar dâhilinde aşağıdaki taraflara aktarılabilir:

• Ödeme hizmeti sağlayıcıları ve bankalar (yalnızca ödeme işlemlerinin gerçekleştirilmesi amacıyla)
• Barındırma (hosting) ve bilgi teknolojileri altyapı sağlayıcıları (yurt içinde veya yurt dışında yerleşik olabilir)
• Şirket'in hizmet aldığı danışmanlık, denetim ve hukuk hizmeti sağlayıcıları
• Yetkili kamu kurum ve kuruluşları ile adli/idari merciler (talep hâlinde ve mevzuatın gerektirdiği ölçüde)
• Qodi'nin bir yapay zekâ tabanlı finansal asistan olarak çalışabilmesi için, kullanıcı girdileri, promptlar, yüklenen dokümanlar ve/veya ses kayıtları; hizmetin sunulmasında kullanılan yapay zekâ/büyük dil modeli (LLM), embedding, ses tanıma/işleme ve bulut barındırma hizmeti sağlayıcılarına KVKK m. 9 ve ilgili ikincil mevzuatta öngörülen aktarım şartlarına uygun olarak iletilmektedir. Bu sağlayıcıların bir kısmı yurt dışında yerleşik olabilir veya verileri kısmen ya da tamamen yurt dışındaki sunucularda işleyebilir. Şirket, bu tür aktarımları; somut aktarımın niteliğine, ilgili sağlayıcının yerleşik olduğu ülkeye ve aktarım tarihinde yürürlükte bulunan mevzuata göre, KVKK m. 9 ve ilgili ikincil mevzuatta öngörülen aktarım şartlarına uygun olarak gerçekleştirir.

Şirket, hizmet sağlayıcılarıyla olan ilişkilerinde, aktarılan kişisel verilerin yalnızca Qodi hizmetinin sunulması amacıyla ve sözleşmesel gizlilik ile veri güvenliği yükümlülükleri çerçevesinde işlenmesini sağlamaya yönelik makul önlemleri almaktadır.

7. Otomatik Sistemlerle İşleme, Otomatik Karar ve Profilleme

Qodi, kullanıcı girdilerini otomatik sistemler aracılığıyla işleyerek çıktı üretir. Bu işleme faaliyeti, KVKK m.11/1-(g) anlamında münhasıran otomatik sistemler vasıtasıyla analiz edilmek suretiyle kişi aleyhine sonuç doğuran bir karar alınması niteliğinde değildir. Qodi tarafından üretilen çıktılar bilgilendirme amaçlı olup kullanıcı adına yatırım kararı almaz, kredi veya risk skorlaması yapmaz; kullanıcı hakkında hukuki veya benzer şekilde sonuç doğuran otomatik bir karar alınması amacıyla kullanılmaz.

Bununla birlikte, bilgi güvenliğinin sağlanması ve kötüye kullanımın önlenmesi amacıyla girdiler güvenlik denetiminden geçirilebilir. Bu denetim sonucunda Matriks, bir girdi reddetme, oturum sınırlandırma veya hesabı geçici olarak askıya alma hak ve yetkisini haizdir. Bu tür değerlendirmelere itiraz etmek ve kararın insan müdahalesiyle gözden geçirilmesini talep etmek için Madde 2'de yer alan iletişim kanallarına başvurabilirsiniz.

8. Kişisel Verilerin Saklanma Süresi ve İmhası

Kişisel verileriniz, ilgili mevzuatta öngörülen saklama süreleri, sözleşmesel ilişkiden doğabilecek taleplere ilişkin zamanaşımı süreleri ve kişisel verilerin işlenme amaçları dikkate alınarak, gerekli olan süre ile sınırlı olarak saklanır. Saklama süresinin dolması veya işleme amacının ortadan kalkması hâlinde, kişisel verileriniz, ilgili mevzuata ve Şirket'in periyodik imha politikası çerçevesinde silinir, yok edilir veya anonim hâle getirilir.

9. Kişisel Verilerin Güvenliğine İlişkin Alınan Tedbirler

Şirket, kişisel verilerinizin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ile kişisel verilerin muhafazasını sağlamak amacıyla, KVKK'nın 12. maddesi uyarınca uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almaktadır. Bu kapsamda, başta erişim yetkilendirme ve kontrol mekanizmaları, günlük (log) kayıtlarının tutulması, şifreleme, güvenlik duvarları ve saldırı tespit sistemleri, düzenli güvenlik testleri, yedekleme ile çalışanlara yönelik gizlilik yükümlülükleri ve farkındalık eğitimleri olmak üzere makul teknik ve idari tedbirler uygulanmaktadır. Kişisel veri güvenliğine ilişkin bir ihlalin meydana gelmesi hâlinde, Şirket, KVKK ve ilgili Kurul kararlarında öngörülen usul ve sürelerde Kişisel Verileri Koruma Kurulu'na ve etkilenen ilgili kişilere gerekli bildirimleri yapar.

10. İlgili Kişi Hakları ve Başvuru Usulü

KVKK'nın 11. maddesi uyarınca, Şirket'e başvurarak kişisel verilerinize ilişkin olarak aşağıdaki haklara sahipsiniz:

• Kişisel veri işlenip işlenmediğini öğrenme,
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
• Yukarıda belirtilen düzeltme, silme ve yok edilme işlemlerinin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Bu haklarınıza ilişkin taleplerinizi, kimliğinizi tevsik edici belgelerle birlikte, Madde 2'de yer alan adrese yazılı olarak, Şirket'in KEP adresine veya sistemde kayıtlı bulunan e-posta adresiniz aracılığıyla Şirket'in kayıtlı e-posta adresine yöneltebilirsiniz. Talebiniz, niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılır; ancak işlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret talep edilebilir.

Başvurular, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de öngörülen şekilde; ad ve soyadınızı, başvuru yazılı ise imzanızı, T.C. kimlik numaranızı (yabancılar için uyruğunuzu ve pasaport numaranızı), tebligata esas yerleşim yeri veya iş yeri adresinizi, varsa bildirime esas e-posta adresi ile telefon ve faks numaranızı ve talep konusunu içerecek şekilde yapılmalıdır.

Talebinizin reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde; cevabı öğrendiğiniz tarihten itibaren otuz gün ve her durumda başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız bulunmaktadır.

11. Güncellemeler ve Yürürlük

Şirket, işbu Aydınlatma Metni'ni, mevzuatta meydana gelebilecek değişiklikler, Kişisel Verileri Koruma Kurulu kararları, Qodi hizmetinin kapsamındaki değişiklikler veya kullanılan yapay zekâ/bulut hizmet sağlayıcılarındaki değişiklikler doğrultusunda güncelleme hakkını saklı tutar. Güncel metin, Qodi arayüzü ve/veya matriks.ai internet sitesi üzerinden yayımlanır ve yayımlandığı tarihten itibaren yürürlüğe girer. Esaslı değişikliklerin bulunması hâlinde, kullanıcılar uygun iletişim kanalları aracılığıyla ayrıca bilgilendirilebilir.