luup ve KVKK: hangi veri işleniyor, roller nasıl dağılıyor?

luup, işletmenin müşteri iletişimini yürütebilmesi için üç grup müşteri verisi işler. Birincisi iletişim verisidir: ad, telefon numarası, e-posta adresi ve kanal kimlikleri. İkincisi konuşma verisidir: çağrı kaydı, konuşma dökümü, mesaj içerikleri, sesli mesajlar ve müşterinin gönderdiği görseller. Üçüncüsü işlem verisidir: randevu, teklif, kayıt durumu ve verilen sözler.

Bunların yanında işletmenin kendi verisi işlenir: işletme profili, bilgi bankasına yüklenen belgeler ve işletmenin düzelterek gönderdiği yanıtlar. Mobil uygulamayı ve paneli kullanan kişilerin hesapları da ayrı bir gruptur: ad, e-posta, giriş bilgileri, yetki, işlem kayıtları, bildirim gönderebilmek için cihaz bildirim jetonu ve uygulamanın nasıl kullanıldığını gösteren kullanım olayları.

Veri aşağıdaki beş yoldan gelir. Kanallar ve telefon hattı işletmenin kendi bağladığı kapılardır: bir kanal bağlanmadıysa o kanaldan veri gelmez, telefon hattı bağlanmadıysa çağrı işlenmez.

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen taraftır. luup kullanan işletme müşterisinin hangi verisinin toplanacağına, ne kadar saklanacağına ve hangi amaçla kullanılacağına karar verdiği için veri sorumlusudur.

Neuros Technology, luup üzerinden işlenen müşteri verilerini işletmenin talimatı doğrultusunda işlediği için veri işleyendir. Veri işleyenin yükümlülükleri nettir: talimat dışına çıkmamak, gerekli teknik ve idari tedbirleri almak, alt işleyenleri bildirmek ve ilişki sona erdiğinde veriyi iade veya imha etmek.

luup'un yapay zekâ özellikleri kendi sunucularımızda çalışan bir modelle değil, üçüncü taraf yapay zekâ hizmetlerine gönderilen isteklerle çalışır. Bu, yukarıda sayılan verilerin bir bölümünün Türkiye dışına, Çin Halk Cumhuriyeti ve Amerika Birleşik Devletleri'ndeki sağlayıcılara aktarılması demektir. Yapay zekâ işlemesinin Türkiye'de ya da Avrupa Birliği'nde kaldığını taahhüt etmiyoruz.

Metinle yapılan işlerin tamamı DeepSeek'te yürür: müşteri mesajlarına yanıt ve taslak yazmak, çeviri, konuşma analizi, özet ve brifing çıkarmak, kurulumda işletme profilini hazırlamak. Müşterilerin bağlı kanallardan gönderdiği görseller, ne gösterdiklerinin yazıya dökülmesi için Anthropic'e gider. Telefon görüşmeleri Vapi üzerinden yürür; görüşme sırasında dil modeli olarak OpenAI, sesi yazıya çevirmek için Deepgram, yanıtı seslendirmek için Microsoft Azure kullanılır.

Sağlayıcıya yalnızca istenen işi yapmak için gereken veri gönderilir. Sağlayıcılar bu veriyi bizim adımıza, kendi hizmet şartları çerçevesinde veri işleyen olarak işler. Verileri paylaştığımız her üçüncü taraftan, sözleşme ve hizmet şartları yoluyla, bu metinde tarif edilen korumaya eşdeğer bir koruma sağlamasını şart koşarız: veriyi yalnızca istenen iş için kullanması, yetkisiz erişime karşı koruması ve başkasına aktarmaması. Sağlayıcıların veriyi ne kadar süre tuttuğu kendi şartlarına bağlıdır; sağlayıcı tarafında hiçbir verinin saklanmadığını iddia etmiyoruz.

Kişisel verileri satmıyoruz ve bu bölümde yazılan amaçlar dışında kullanmıyoruz.

Yurt dışındaki yapay zekâ sağlayıcılarına yapılan aktarımın dayanağı açık rızadır (6698 sayılı Kanun md. 9). Mobil uygulamada, herhangi bir veri bu hizmetlere gitmeden önce hangi verinin hangi sağlayıcıya, hangi ülkeye ve hangi amaçla gittiğini anlatan bir bilgilendirme gösterilir ve izin istenir. İzin metne verilir: sağlayıcı ya da gönderilen veri türü değiştiğinde bilgilendirme yeniden gösterilir ve izin yeniden istenir.

Rıza, uygulamanın Ayarlar ekranındaki "Yapay zekâ ve veri paylaşımı" bölümünden istenildiği an geri alınabilir. Geri alma, o ana kadar yapılmış aktarımları geçersiz kılmaz; yapay zekâ özellikleri bu sağlayıcılar olmadan çalışmadığı için rıza olmadan kullanılamaz. Hesabın ve verilerin tamamen silinmesi için luup.com.tr/hesap-silme sayfası kullanılır.

İşletmenin müşterileri açısından veri sorumlusu işletmedir: müşterilerini bu aktarım hakkında kendi aydınlatma metniyle bilgilendirmek ve gereken durumlarda rızalarını almak işletmenin yükümlülüğündedir.

luup'un çalışması için veriyi bizim adımıza işleyen hizmetlerin tam listesi aşağıdadır. Liste değiştiğinde bu sayfa güncellenir ve yeni bir yapay zekâ sağlayıcısı eklendiğinde uygulamadaki izin yeniden istenir.

Saklama süresini işletme belirler ve belirlenen süre panelde tanımlıdır. Süre dolduğunda kayıtlar otomatik silinir; süresiz saklama bir varsayılan değildir. Kişisel veriler, işlendikleri amacın gerektirdiği süreden uzun tutulamaz.

Çağrı kaydı alınan işletmelerde aydınlatma yükümlülüğü çağrının başında yerine getirilir. luup'ta bu anons, kayıt başlamadan önce çalacak şekilde zorunlu tutulabilir; anonsun metnini işletme kendi aydınlatma metnine göre düzenler.

Kişisel verisi işlenen kişi; verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini ya da silinmesini isteme ve işlemeye itiraz etme haklarına sahiptir. Başvuru, veri sorumlusu sıfatını taşıyan işletmeye yapılır.

Başvuru luup kullanan bir işletmeye ulaştığında, ilgili kaydın bulunması, düzeltilmesi ya da silinmesi panel üzerinden yapılabilir. Silme işlemi kaydı ve ona bağlı konuşma dökümlerini birlikte kapsar; parça parça silinen bir kayıt yükümlülüğü karşılamaz.

Mobil uygulamanın ya da panelin kullanıcısıysanız kendi hesap verileriniz için başvurunuzu info@luup.com.tr adresine yaparsınız; başvurular en geç 30 gün içinde sonuçlandırılır. Hesabınızı uygulamadan ya da panelden anında silebilir, giremiyorsanız luup.com.tr/hesap-silme sayfasından silme talebi açabilirsiniz. Yapay zekâ hizmetlerine verdiğiniz izni uygulamanın Ayarlar ekranındaki "Yapay zekâ ve veri paylaşımı" bölümünden geri alabilirsiniz.