KVKK Aydınlatma Metni
6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında · Son güncelleme: 31 Ağustos 2026
1. Veri Sorumlusunun Kimliği
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi uyarınca aydınlatma yükümlülüğümüzü yerine getirmek üzere işbu metin hazırlanmıştır.
| Veri Sorumlusu | U2 AI Studio Teknoloji Anonim Şirketi |
|---|---|
| Adres | Ahi Evran OSB Mah. Erkunt Cad. No: 3 İç Kapı No: 41 Sincan/Ankara, Türkiye |
| E-posta | [email protected] |
| Telefon | +90 850 346 82 82 |
| Vergi Dairesi / No | Sincan Vergi Dairesi / 8831244710 |
| MERSIS No | 0883124471000001 |
| Ticaret Sicil No | 434199 (Ankara Ticaret Sicili Müdürlüğü) |
| VERBİS | Veri Sorumluları Sicili'ne kayıt yükümlülüğü değerlendirme aşamasındadır. |
2. İşlenen Kişisel Veri Kategorileri
| Kategori | Veri Türleri |
|---|---|
| Kimlik | Ad, soyad, T.C. Kimlik No (fatura için), unvan |
| İletişim | E-posta adresi, telefon numarası, posta adresi |
| Müşteri İşlem | Hesap kayıtları, abonelik bilgileri, ödeme geçmişi (kart bilgisi sunucumuzda saklanmaz) |
| İşlem Güvenliği | IP adresi, oturum kayıtları, kullanıcı işlem logları, şifre hash'i |
| Mesleki Deneyim | Çalışılan firma, pozisyon, iletişim tercihi |
| Finansal | Vergi kimlik numarası, vergi dairesi, fatura adresi |
| Pazarlama (yalnızca onay halinde) | Bülten kaydı, etkinlik tercihleri |
3. Kişisel Verilerin İşlenme Amaçları
- Kurumsal karbon ayak izi hesaplama ve raporlama hizmetlerinin sunulması
- Üyelik kaydı, kimlik doğrulama ve oturum güvenliğinin sağlanması
- Faturalandırma, ödeme tahsilatı ve mali yükümlülüklerin yerine getirilmesi
- Müşteri destek taleplerinin karşılanması ve şikâyetlerin çözümü
- Hizmet kalitesinin iyileştirilmesi, hata ayıklama ve istatistiksel analizler
- Bilgi güvenliği süreçlerinin yönetilmesi (yetkisiz erişim tespiti, denetim izi)
- Yasal ve düzenleyici yükümlülüklerin (KVKK, Vergi Usul Kanunu, Türk Ticaret Kanunu) yerine getirilmesi
- Açık rıza halinde pazarlama ve ürün tanıtım iletişimi
4. İşlemenin Hukuki Sebepleri
Kişisel verileriniz, KVKK m.5 ve m.6'da öngörülen aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:
- m.5/2-c: Bir sözleşmenin kurulması veya ifası için zorunlu olması (üyelik, abonelik)
- m.5/2-ç: Hukuki yükümlülüğün yerine getirilmesi (faturalama, vergi mevzuatı)
- m.5/2-f: Veri sorumlusunun meşru menfaati (güvenlik, hizmet kalitesi, dolandırıcılık önleme)
- m.5/1: Açık rıza (pazarlama iletişimi, opsiyonel çerezler)
5. Kişisel Verilerin Aktarımı
Kişisel verileriniz, KVKK m.8 ve m.9'a uygun olarak ve yalnızca aşağıdaki amaçlarla sınırlı olmak üzere aktarılabilir:
| Alıcı | Aktarılan Veri | Amaç | Konum |
|---|---|---|---|
| Cloudflare, Inc. | IP adresi, istek logları | CDN, DDoS koruması, hosting | ABD / AB |
| Anthropic, PBC | Kullanıcının yazdığı sohbet mesajlarının içeriği ve son 10 mesajlık konuşma geçmişi (anonimleştirilmez; olduğu gibi iletilir). Kuruluşunuza ait emisyon verisi gönderilmez. | AI sohbet asistanı (Carbon AI) | ABD |
| Climatiq Ltd. | Aktivite verisi (tenant kimliği yok) | Emisyon faktörü hesaplama | AB |
| Mailgun Technologies, Inc. | Ad soyad, e-posta adresi, e-posta içeriği | İşlemsel e-posta gönderimi (doğrulama, bildirim, rapor) | ABD/AB |
| NetGSM | Cep telefonu, OTP kodu | SMS ile kimlik doğrulama | Türkiye |
| Param POS / iyzico | Kart sahibi bilgisi | Ödeme tahsilatı (PCI-DSS uyumlu) | Türkiye |
| Yetkili kamu kurumları | Talep edilen veri | Yasal yükümlülükler (mahkeme kararı, savcılık talebi) | Türkiye |
Yurt dışına aktarım, 7499 sayılı Kanun ile değişik KVKK m.9 çerçevesinde yapılır. Kişisel Verileri Koruma Kurulu, bu ülkeler bakımından bir yeterlilik kararı yayımlamamıştır; bu nedenle aktarım, m.9'da sayılan uygun güvencelere dayanır. Bu güvenceler arasında Kurul tarafından ilan edilen standart sözleşme ile Kurul izniyle kullanılabilen taahhütname yer alır; standart sözleşmenin, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Yurt dışına aktarım gerektiren sağlayıcılarla ilişkilerimizde bu güvencelerin sağlanması esastır ve uygulanan yöntem bu metinde güncellenir. Açık rıza, yalnızca Kanun'un arızi aktarım için aradığı şartların varlığı hâlinde ve tek seferlik olarak kullanılır; süregelen aktarımların hukuki sebebi değildir. Avrupa Birliği'nin standart sözleşme hükümleri (SCC) ayrı bir düzenlemedir ve KVKK m.9 bakımından tek başına yeterli güvence oluşturmaz.
6. Kişisel Verilerin Saklanma Süreleri
Kişisel verileriniz, işlendikleri amaç için gerekli olan süre boyunca ve ilgili mevzuatta öngörülen asgari süreler kadar saklanır. Sürenin sonunda KVKK m.7 ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca silinir, yok edilir veya anonim hâle getirilir.
- Hesap verileri: hesap kapatıldıktan sonra 30 gün içinde silinir
- Emisyon verileri ve raporları: raporlama döneminin bitiminden itibaren 5 yıl
- Denetim kayıtları: değiştirilemez (append-only) tutulur ve SHA-256 karma zinciriyle mühürlenir; silinmesi kaydın bütünlük kanıtını yok edeceği için hesap sonlandıktan sonra da ilgili mevzuatın öngördüğü zamanaşımı süresince saklanır
- Onam kayıtları: onamın geri çekilmesinden itibaren 3 yıl
- Ödeme ve fatura kayıtları: vergi mevzuatı gereği 10 yıl
7. Kişisel Veri Toplama Yöntemi
Kişisel verileriniz; web siteleri (u2aicarbon.com ve u2carbon.com), uygulama (app.u2carbon.com), e-posta yazışmaları, çerezler, ödeme entegrasyonu, mobil uygulama ve müşteri destek kanalları aracılığıyla otomatik veya kısmen otomatik yollarla toplanmaktadır.
8. İlgili Kişinin Hakları (KVKK m.11)
Veri sahibi olarak aşağıdaki haklara sahipsiniz:
- Kişisel verilerinizin işlenip işlenmediğini öğrenme
- İşlenmişse bilgi talep etme
- İşlenme amacını ve verilerin amacına uygun kullanılıp kullanılmadığını öğrenme
- Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
- Eksik veya yanlış işlenmiş ise düzeltilmesini isteme
- KVKK m.7'de öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme
- Düzeltme/silme/yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
- Otomatik sistemler ile analiz edilmesi suretiyle aleyhinize çıkan sonuca itiraz etme
- Kanuna aykırı işlenme nedeniyle uğradığınız zararın giderilmesini talep etme
9. Başvuru Yöntemi
KVKK m.13 uyarınca taleplerinizi [email protected] e-posta adresine veya yukarıda belirtilen posta adresimize yazılı olarak iletebilirsiniz. Talepleriniz, niteliğine göre en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. İşlem gerektiren durumlarda Kişisel Verileri Koruma Kurulu'nca belirlenen tarifedeki ücret talep edilebilir.
Başvurunuzda aşağıdaki bilgileri belirtmeniz tarafımıza yardımcı olur:
- Ad, soyad ve imza (yazılı başvuruda)
- Türkiye Cumhuriyeti vatandaşları için T.C. kimlik no, yabancılar için pasaport no
- Tebligata esas yerleşim yeri / iş yeri adresi
- Bildirim için e-posta adresi, telefon
- Talep konusu
10. Değişiklikler
İşbu Aydınlatma Metni, ihtiyaç duyulması halinde güncellenebilir. Önemli değişiklikler u2aicarbon.com üzerinde duyurulur ve aktif kullanıcılara e-posta ile bildirilir.
KVKK Privacy Notice
Under the Turkish Personal Data Protection Law No. 6698 · Last updated: August 31, 2026
1. Identity of the Data Controller
This notice has been prepared in order to fulfil our obligation to inform under Article 10 of the Turkish Personal Data Protection Law No. 6698 ("KVKK").
| Data Controller | U2 AI Studio Teknoloji Anonim Şirketi |
|---|---|
| Address | Ahi Evran OSB Mah. Erkunt Cad. No: 3 İç Kapı No: 41 Sincan/Ankara, Türkiye |
| [email protected] | |
| Phone | +90 850 346 82 82 |
| Tax Office / No | Sincan Vergi Dairesi / 8831244710 |
| MERSIS No | 0883124471000001 |
| Trade Registry No | 434199 (Ankara Trade Registry Office) |
| VERBİS | The obligation to register with the Data Controllers' Registry (VERBİS) is currently under assessment. |
2. Categories of Personal Data Processed
| Category | Data Types |
|---|---|
| Identity | Name, surname, Turkish ID number (for invoicing), title |
| Contact | E-mail address, phone number, postal address |
| Customer Transaction | Account records, subscription details, payment history (card details are not stored on our servers) |
| Transaction Security | IP address, session records, user activity logs, password hash |
| Professional Experience | Employer company, position, communication preference |
| Financial | Tax identification number, tax office, billing address |
| Marketing (only with consent) | Newsletter subscription, event preferences |
3. Purposes of Processing Personal Data
- Providing corporate carbon footprint calculation and reporting services
- Membership registration, identity verification, and ensuring session security
- Invoicing, payment collection, and fulfilment of financial obligations
- Handling customer support requests and resolving complaints
- Improving service quality, debugging, and statistical analysis
- Managing information security processes (detection of unauthorized access, audit trail)
- Fulfilment of legal and regulatory obligations (KVKK, Tax Procedure Law, Turkish Commercial Code)
- Marketing and product promotion communications, subject to explicit consent
4. Legal Grounds for Processing
Your personal data are processed on the basis of the following legal grounds set out in Articles 5 and 6 of the KVKK:
- Art. 5/2-c: Processing being necessary for the conclusion or performance of a contract (membership, subscription)
- Art. 5/2-ç: Fulfilment of a legal obligation (invoicing, tax legislation)
- Art. 5/2-f: Legitimate interest of the data controller (security, service quality, fraud prevention)
- Art. 5/1: Explicit consent (marketing communications, optional cookies)
5. Transfer of Personal Data
Your personal data may be transferred in accordance with Articles 8 and 9 of the KVKK, and solely for the purposes limited to those listed below:
| Recipient | Data Transferred | Purpose | Location |
|---|---|---|---|
| Cloudflare, Inc. | IP address, request logs | CDN, DDoS protection, hosting | USA / EU |
| Anthropic, PBC | The content of the chat messages the user writes, plus the last 10 messages of conversation history (not anonymized; transmitted as entered). No emission data belonging to your organization is sent. | AI chat assistant (Carbon AI) | USA |
| Climatiq Ltd. | Activity data (no tenant identifier) | Emission factor calculation | EU |
| Mailgun Technologies, Inc. | Full name, e-mail address, e-mail content | Transactional e-mail delivery (verification, notifications, reports) | USA/EU |
| NetGSM | Mobile phone number, OTP code | SMS-based identity verification | Türkiye |
| Param POS / iyzico | Cardholder information | Payment collection (PCI-DSS compliant) | Türkiye |
| Authorized public authorities | Data requested | Legal obligations (court order, prosecutor's request) | Türkiye |
Transfers abroad are made under Article 9 of the KVKK as amended by Law No. 7499. The Personal Data Protection Board has not issued an adequacy decision for these countries, so transfers rely on the appropriate safeguards set out in Article 9. Those safeguards include the standard contract announced by the Board and the undertaking that may be used with the Board's permission; a standard contract must be notified to the Authority within five business days of signature. In our relationships with providers that require transfers abroad it is our policy to put such safeguards in place, and the method actually applied is kept up to date in this notice. Explicit consent is used only where the Law's conditions for an incidental transfer are met, on a one-off basis; it is not the basis for ongoing transfers. The European Union's standard contractual clauses (SCC) are a separate instrument and do not by themselves satisfy Article 9 of the KVKK.
6. Retention Periods
Your personal data is retained for as long as necessary for the purpose for which it is processed and for the minimum periods required by applicable legislation. At the end of that period it is erased, destroyed or anonymised under Article 7 of the KVKK and the Regulation on the Erasure, Destruction or Anonymisation of Personal Data.
- Account data: deleted within 30 days after the account is closed
- Emission data and reports: 5 years from the end of the reporting period
- Audit records: kept append-only and sealed with a SHA-256 hash chain; because deleting them would destroy the integrity proof, they are retained after the account ends for the limitation period required by applicable law
- Consent records: 3 years from withdrawal of consent
- Payment and invoice records: 10 years, as required by tax legislation
7. Method of Collecting Personal Data
Your personal data are collected by automatic or partially automatic means through the websites (u2aicarbon.com and u2carbon.com), the application (app.u2carbon.com), e-mail correspondence, cookies, payment integration, the mobile application, and customer support channels.
8. Rights of the Data Subject (Article 11 of the KVKK)
As a data subject, you have the following rights:
- To learn whether your personal data are being processed
- To request information if your personal data have been processed
- To learn the purpose of the processing and whether the data are used in accordance with that purpose
- To know the third parties to whom your personal data are transferred, in Türkiye or abroad
- To request rectification of your personal data if they are incomplete or inaccurate
- To request the erasure or destruction of your personal data under the conditions set out in Article 7 of the KVKK
- To request that rectification, erasure, or destruction operations be notified to the third parties to whom the data have been transferred
- To object to a result arising against you through the analysis of your data exclusively by automated systems
- To claim compensation for damages incurred as a result of unlawful processing of your personal data
9. How to Submit a Request
Pursuant to Article 13 of the KVKK, you may submit your requests to [email protected] by e-mail or in writing to the postal address stated above. Your requests will be concluded free of charge within 30 days at the latest, depending on their nature. Where the request requires an additional operation, a fee may be charged in accordance with the tariff determined by the Turkish Personal Data Protection Board.
Including the following information in your application will assist us:
- Name, surname, and signature (for written applications)
- Turkish ID number for citizens of the Republic of Türkiye, passport number for foreign nationals
- Residential or workplace address for official notification purposes
- E-mail address and phone number for correspondence
- Subject of the request
10. Amendments
This Privacy Notice may be updated when necessary. Material changes will be announced on u2aicarbon.com and notified to active users by e-mail.