KVKK Aydınlatma Metni / Privacy Notice under Turkish Data Protection Law

1. Veri Sorumlusu

KVKK kapsamında kişisel verileriniz bakımından veri sorumlusu:

Dueo

Web sitesi: https://www.dueoai.app

İletişim: support@dueoai.app

2. İşlenen Kişisel Veriler

Dueo’nun kullanım şekline bağlı olarak aşağıdaki kişisel veriler işlenebilir:

• Kimlik ve iletişim bilgileri: ad, e-posta adresi
• Hesap ve kimlik doğrulama verileri: kullanıcı kimliği ve kimlik doğrulama hizmet sağlayıcılarından alınan tanımlayıcılar
• Kullanıcı içeriği: yüklenen belgeler, PDF’ler, görseller ve fotoğraflar
• Belge verileri: belge türü, kurum, belge numarası, konu, başlangıç ve bitiş tarihleri ve belgeden çıkarılan benzeri bilgiler
• Hatırlatma ve tercih bilgileri
• Cihaz ve bildirim tanımlayıcıları
• Güvenlik ve sınırlı teknik işlem kayıtları

Kullanıcının yüklediği belgelerin içeriğine bağlı olarak özel nitelikli kişisel veriler de belge içinde bulunabilir.

Dueo, hizmet için gerekli olmayan özel nitelikli kişisel verilerin yüklenmesini talep etmez.

3. Kişisel Verilerin İşlenme Amaçları

Kişisel veriler aşağıdaki amaçlarla işlenebilir:

• Kullanıcı hesabının oluşturulması ve yönetilmesi
• Kimlik doğrulama işlemlerinin gerçekleştirilmesi
• Belge yükleme ve saklama hizmetlerinin sağlanması
• Yapay zekâ ve otomatik sistemler aracılığıyla belge analizinin gerçekleştirilmesi
• Belge bilgilerinin kullanıcıya sunulması
• Hatırlatma bildirimlerinin oluşturulması ve iletilmesi
• Bilgi güvenliği ve hizmet güvenliğinin sağlanması
• Hata, kötüye kullanım ve teknik sorunların tespit edilmesi
• Kullanıcı taleplerinin yerine getirilmesi
• Hukuki yükümlülüklerin yerine getirilmesi ve hakların tesisi, kullanılması veya korunması

4. Kişisel Verilerin Toplanma Yöntemi ve Hukuki Sebepleri

Kişisel veriler;

• Dueo mobil uygulaması,
• dueoai.app,
• hesap oluşturma ve giriş işlemleri,
• kimlik doğrulama hizmet sağlayıcıları üzerinden giriş işlemleri,
• kullanıcının yüklediği belgeler,
• uygulama içindeki tercih ve işlemler,
• hizmetin çalışması sırasında otomatik olarak oluşturulan sınırlı teknik kayıtlar

aracılığıyla elektronik ve kısmen otomatik yollarla toplanabilir.

Kişisel veriler, ilgili işleme faaliyetine göre KVKK’nın 5. maddesinde yer alan;

• bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması,
• veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması

hukuki sebeplerine dayanılarak işlenebilir.

Açık rıza gerektiren bir işleme faaliyeti söz konusu olduğunda ilgili işlem açık rızaya dayanılarak gerçekleştirilir.

Özel nitelikli kişisel verilerin işlenmesi halinde KVKK’nın 6. maddesindeki şartlar ayrıca dikkate alınır.

5. Kişisel Verilerin Aktarılması

Hizmetin sunulabilmesi amacıyla kişisel veriler, ilgili işlev için gerekli olduğu ölçüde aşağıdaki hizmet sağlayıcı kategorilerine aktarılabilir:

• Bulut, veri tabanı ve depolama hizmetleri
• Kimlik doğrulama hizmetleri
• Yapay zekâ hizmetleri
• Bildirim altyapısı sağlayıcıları
• Bilgi güvenliği ve teknik altyapı sağlayıcıları
• Hukuken yetkili kamu kurum ve kuruluşları

Hizmetin sunulabilmesi amacıyla kişisel veriler, ilgili işlev için gerekli olduğu ölçüde bulut altyapısı, veritabanı ve depolama hizmet sağlayıcıları, kimlik doğrulama hizmet sağlayıcıları, yapay zekâ hizmet sağlayıcıları, bildirim ve teknik altyapı sağlayıcıları ile hukuken yetkili kamu kurum ve kuruluşlarına aktarılabilir.

Belge analizi sırasında yüklenen belge içeriği veya analiz için gerekli bölümleri üçüncü taraf yapay zekâ hizmet sağlayıcılarına aktarılabilir.

6. Yurt Dışına Kişisel Veri Aktarımı

Dueo tarafından kullanılan bazı teknoloji hizmet sağlayıcılarının sunucuları veya altyapıları Türkiye dışında bulunabilir.

Bu nedenle kişisel veriler, kullanılan hizmete bağlı olarak yurt dışına aktarılabilir.

Yurt dışına kişisel veri aktarımlarında KVKK’nın 9. maddesi kapsamında uygulanabilir aktarım şartları, uygun güvenceler ve diğer hukuka uygun aktarım mekanizmaları dikkate alınır.

7. Saklama Süresi

Kişisel veriler, ilgili işleme amacının gerektirdiği süre boyunca ve uygulanabilir mevzuatta öngörülen süreler dikkate alınarak saklanır.

Kullanıcıya ait belge ve hesap verileri hizmetin sağlanması için gerekli olduğu sürece tutulabilir.

Kullanıcının bir belgeyi veya hesabını silmesi halinde ilgili kişisel veriler, yürürlükteki mevzuat uyarınca saklanması zorunlu olan kayıtlar ile sınırlı teknik yedek ve güvenlik kayıtları hariç olmak üzere silinir, yok edilir veya anonim hale getirilir.

8. KVKK’nın 11. Maddesi Kapsamındaki Haklarınız

KVKK’nın 11. maddesi kapsamında, ilgili şartların bulunması halinde:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmiş kişisel verilerin düzeltilmesini isteme
• KVKK’nın 7. maddesindeki şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme
• Düzeltme, silme veya yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi sonucunda kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme
• Kişisel verilerin kanuna aykırı işlenmesi nedeniyle zarara uğranması halinde zararın giderilmesini talep etme

haklarına sahip olabilirsiniz.

9. Başvuru

KVKK kapsamındaki talepleriniz için support@dueoai.app adresinden bizimle iletişime geçebilirsiniz.

Talebin niteliğine göre kimliğinizi doğrulamaya yönelik ek bilgi talep edilebilir.

Başvurular yürürlükteki mevzuatta öngörülen yöntem ve süreler çerçevesinde değerlendirilir.

1. Data Controller

For the purposes of the KVKK, the data controller is:

Dueo

Website: https://www.dueoai.app

Contact: support@dueoai.app

2. Categories of Personal Data

Depending on how Dueo is used, the following categories of personal data may be processed:

• Identity and contact information, including name and email address
• Account and authentication data, including user identifiers and identifiers obtained from authentication service providers
• User content, including uploaded documents, PDFs, images, and photographs
• Document information, including document type, issuer, document number, subject, start and expiry dates, and similar extracted information
• Reminder preferences
• Device and notification identifiers
• Limited security and technical records

Depending on the content of documents uploaded by a user, documents may also contain special categories of personal data.

Dueo does not request unnecessary special-category data where it is not required for the service.

3. Purposes of Processing

Personal data may be processed for purposes including:

• Creating and administering user accounts
• Authenticating users
• Providing document upload and storage functionality
• Analyzing documents through AI and automated systems
• Displaying document information
• Creating and delivering reminders
• Maintaining information and service security
• Detecting errors, misuse, and technical issues
• Responding to user requests
• Complying with legal obligations and establishing, exercising, or protecting legal rights

4. Collection Methods and Legal Grounds

Personal data may be collected electronically and partly by automated means through:

• the Dueo mobile application,
• dueoai.app,
• account registration and login processes,
• sign-in processes carried out through authentication service providers,
• documents uploaded by users,
• preferences and actions performed within the application, and
• limited technical records generated during operation of the service.

Depending on the relevant processing activity, processing may rely on the legal grounds set out in Article 5 of the KVKK, including:

• processing necessary for the establishment or performance of a contract,
• compliance with legal obligations,
• establishment, exercise, or protection of a legal right, or
• legitimate interests of the data controller, provided that the fundamental rights and freedoms of the data subject are not harmed.

Where explicit consent is legally required for a particular processing activity, that activity is carried out on the basis of such consent.

Where special categories of personal data are processed, the conditions under Article 6 of the KVKK also apply.

5. Transfers of Personal Data

To provide the service, personal data may be transferred, to the extent necessary for the relevant functionality, to categories of recipients including:

• Cloud, database, and storage providers
• Authentication providers
• Artificial intelligence service providers
• Notification infrastructure providers
• Information-security and technical infrastructure providers
• Legally authorized public authorities where required

In order to provide the service, personal data may be transferred, only to the extent necessary for the relevant function, to cloud infrastructure, database and storage providers, authentication service providers, artificial intelligence service providers, notification and technical infrastructure providers, and to legally authorized public authorities.

During document analysis, uploaded document content or the portions required for analysis may be transferred to third-party artificial intelligence service providers.

6. International Transfers

Some technology providers used by Dueo may operate servers or infrastructure outside Türkiye.

Personal data may therefore be transferred internationally depending on the service being used.

International transfers subject to Turkish law are handled in accordance with the applicable requirements, safeguards, and lawful transfer mechanisms under Article 9 of the KVKK.

7. Retention

Personal data is retained for the period necessary for the relevant processing purpose and in accordance with applicable statutory retention requirements.

Account and document data may be retained for as long as necessary to provide the service.

Where a user deletes a document or account, associated personal data is deleted, destroyed, or anonymized, except for records that must be retained under applicable law or limited technical backup and security records.

8. Rights Under Article 11 of the KVKK

Subject to the conditions set out in applicable law, data subjects may have the right to:

• Learn whether their personal data is being processed
• Request information regarding processing
• Learn the purpose of processing and whether data is used in accordance with that purpose
• Know the third parties to whom personal data has been transferred domestically or abroad
• Request correction of incomplete or inaccurate data
• Request deletion or destruction where the conditions under Article 7 are met
• Request that correction, deletion, or destruction be communicated to third parties to whom the data has been transferred
• Object to a result arising against the person through analysis exclusively by automated systems
• Request compensation for damage resulting from unlawful processing of personal data

9. Applications

Requests concerning rights under the KVKK may be initiated by contacting support@dueoai.app.

Additional information may be requested where necessary to verify the identity of the applicant.

Applications will be handled in accordance with the methods and time periods prescribed by applicable law.