EthicAll — Kişisel Verilerin Korunması ve İşlenmesi Aydınlatma Metni

Yürürlük tarihi: 04.08.2026  ·  Sürüm: 1.0

1. Giriş ve Kapsam

İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ("Tebliğ") uyarınca hazırlanmıştır.

Metin, ethicall.app alan adı altında yer alan internet sitesi ve bu site üzerinden erişilen EthicAll platformu ("Platform") aracılığıyla gerçekleştirilen tüm kişisel veri işleme faaliyetlerini kapsar. Bu faaliyetler iki ayrı grupta toplanmaktadır:

(a) Etik bildirim kanalları. Platformun kurumsal müşterilere sunduğu ihbar ve bildirim kanalları — internet formu, yapay zekâ destekli sohbet asistanı, elektronik posta, telefon hattı ve WhatsApp hattı — üzerinden bildirimde bulunan kişilerin, bildirim içeriğinde adı geçen kişilerin ve tanıkların kişisel verilerinin işlenmesi.

(b) EthicAll'ın kendi iletişim faaliyetleri. İnternet sitesindeki iletişim ve demo talep formları ile doğrudan elektronik posta yoluyla iletilen taleplerin karşılanması kapsamında kişisel veri işlenmesi.

Bu iki grup, işleme faaliyetindeki sorumluluk dağılımı bakımından birbirinden ayrılmaktadır. İlgili ayrım 3. bölümde açıklanmıştır.

2. Tanımlar

Bu metinde tanımlanmayan kavramlar için Kanun ve Tebliğ'deki tanımlar geçerlidir.

3. Veri Sorumlusu ve Veri İşleyen Sıfatları

3.1. Etik bildirim kanalları bakımından

Etik bildirim kanalları aracılığıyla işlenen kişisel veriler bakımından veri sorumlusu, bildirimin iletildiği Müşteri Kurumdur. Bildirim mekanizmasının kurulmasına karar veren, işleme amaçlarını belirleyen, bildirimleri inceleyen ve sonuçlandıran taraf Müşteri Kurumdur.

EthicAll, bu veriler bakımından veri işleyen sıfatıyla hareket eder. EthicAll, söz konusu kişisel verileri yalnızca Müşteri Kurum ile arasındaki sözleşme ve Müşteri Kurumun yazılı talimatları çerçevesinde işler; kendi amaçları doğrultusunda kullanmaz, üçüncü kişilere aktarmaz ve Müşteri Kurumun talimatı dışında hiçbir işleme faaliyetinde bulunmaz.

Her Müşteri Kurum, kendi bildirim kanalları için ayrı bir aydınlatma metni yayımlar. Bir bildirimde bulunmadan önce, ilgili Müşteri Kurumun bildirim sayfasında yer alan aydınlatma metnini incelemeniz önerilir. İşbu metnin 4. bölümü, tüm kanallarda geçerli olan genel işleme çerçevesini şeffaflık ilkesi gereği açıklamaktadır.

3.2. WhatsApp hattının niteliği

WhatsApp bildirim hattı, tüm Müşteri Kurumlar için ortak olarak işletilmektedir. Bildirimde bulunmak istediğiniz kurumu belirtmenize kadar geçen yönlendirme aşamasında işlenen sınırlı veriler bakımından veri sorumlusu EthicAll'dır. Bu aşamada işlenen veriler yalnızca bildiriminizin doğru Müşteri Kuruma yönlendirilmesi amacıyla kullanılır. Kurum seçiminin ardından, ilgili Müşteri Kurum veri sorumlusu sıfatını kazanır ve 3.1. maddesindeki çerçeve uygulanır.

3.3. EthicAll'ın kendi iletişim faaliyetleri bakımından

İnternet sitesindeki iletişim ve demo talep formları ile site üzerinden gerçekleştirilen gezinme faaliyetleri kapsamında işlenen kişisel veriler bakımından veri sorumlusu EthicAll'dır.

Veri Sorumlusu İletişim Bilgileri
Çankaya / Ankara, Türkiye
info@ethicall.app

4. Etik Bildirim Kanalları Kapsamında Kişisel Verilerin İşlenmesi

4.1. Kanallar

Bildirimler; internet formu, yapay zekâ destekli sohbet asistanı, elektronik posta, telefon hattı ve WhatsApp hattı üzerinden iletilebilir. İşbu bölümde yer alan açıklamalar, aksi belirtilmedikçe tüm kanallar için geçerlidir.

4.2. Kimlik paylaşımının isteğe bağlı olması

Tüm kanallarda bildirimlerinizi anonim olarak iletebilirsiniz. Ad, soyad, telefon ve elektronik posta bilgileriniz, yalnızca kendi tercihinizle paylaşmanız hâlinde işlenir. Kimlik bilgisi paylaşmamanız bildiriminizin değerlendirilmesine engel değildir.

Anonimliğin teknik kapsamı kanal bazında farklılık gösterir:

Telefon hattı. Görüşme, bildirimin doğru ve eksiksiz şekilde kayda geçirilmesi amacıyla ses kaydına alınır ve yazıya dökülür. Arayan numaranız, altyapı gereği sistem tarafından teknik olarak görülebilir. Anonim kalmayı tercih etmeniz hâlinde ses kaydı ve numaranız, kimliğinizi açığa çıkaracak şekilde Müşteri Kuruma sunulmaz.

WhatsApp hattı. Telefon numaranız, uygulamanın işleyişi gereği teknik olarak sisteme iletilir. Anonim kalmayı tercih etmeniz hâlinde numaranız Müşteri Kuruma açıklanmaz.

İnternet formu ve sohbet asistanı. İşlem güvenliğinin sağlanması amacıyla IP adresi ve işlem kayıtları gibi sınırlı teknik veriler tutulur. Bu veriler bildirim içeriğiyle ilişkilendirilerek Müşteri Kuruma sunulmaz.

Elektronik posta. Bildiriminizi gönderdiğiniz elektronik posta adresi, kanalın niteliği gereği alıcı tarafından görülebilir. Anonimliğin korunmasını önceliklendiriyorsanız internet formu, sohbet asistanı veya telefon kanallarının kullanılması önerilir.

4.3. İşlenen kişisel veri kategorileri

• Bildirim içeriği: Bildiriminizde yer verdiğiniz olay, kişi, tarih, yer ve belge bilgileri
• Kimlik ve iletişim bilgileri: Ad, soyad, telefon numarası, elektronik posta adresi (yalnızca paylaşmayı tercih etmeniz hâlinde)
• İşitsel kayıtlar: Telefon kanalında alınan ses kaydı ve bu kaydın yazılı dökümü
• İşlem güvenliği verileri: IP adresi, işlem kayıtları, kanal ve zaman bilgisi, bildirim takip kodu
• Üçüncü kişilere ait veriler: Bildirim içeriğinde adı geçen kişilere, tanıklara ve bildirime konu kişilere ilişkin bilgiler
• Özel nitelikli kişisel veriler: Bildirim içeriğinde kendi beyanınızla yer vermeniz hâlinde, Kanun'un 6. maddesi kapsamındaki sağlık, sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri gibi veriler

Bildirimlerinizde, olayın anlaşılması bakımından gerekli olmayan kişisel verilere — özellikle üçüncü kişilere ait özel nitelikli kişisel verilere — yer vermemeniz önemle rica olunur.

4.4. İşleme amaçları

Kişisel veriler, Müşteri Kurum tarafından belirlenen aşağıdaki amaçlarla işlenir:

• Etik ilkelere, mevzuata ve kurum içi düzenlemelere aykırılık iddialarının kayda alınması
• Bildirimlerin değerlendirilmesi, sınıflandırılması ve önceliklendirilmesi
• Gerekli görülen hâllerde iç inceleme ve soruşturma süreçlerinin yürütülmesi
• İnceleme sonucuna bağlı olarak disiplin süreçlerinin yürütülmesi
• Bildirimde bulunan kişiyle, iletişim bilgisi paylaşmış olması hâlinde, süreç hakkında iletişim kurulması
• Müşteri Kurumun tabi olduğu mevzuattan doğan yükümlülüklerin yerine getirilmesi
• Hukuki uyuşmazlıklarda savunma hakkının kullanılması ve delil teminin sağlanması
• Denetim ve uyum faaliyetlerinin yürütülmesi
• Bildirim sisteminin güvenliğinin ve sürekliliğinin sağlanması

4.5. Toplama yöntemi ve hukuki sebepler

Kişisel veriler; internet formu, sohbet asistanı, elektronik posta, telefon ve WhatsApp kanalları üzerinden, kısmen otomatik yollarla toplanmaktadır.

Veriler, Kanun'un 5. maddesinin ikinci fıkrasında yer alan aşağıdaki işleme şartlarına dayanılarak işlenir:

• (ç) bendi — Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
• (e) bendi — Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
• (f) bendi — İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması

Kimlik ve iletişim bilgilerinizin işlenmesi açık rızanıza dayanır. Bu bilgileri paylaşmama tercihiniz, bildiriminizin işleme alınmasını etkilemez.

Bildirim içeriğinde kendi beyanınızla yer verdiğiniz özel nitelikli kişisel veriler bakımından açık rızanız aranır. Bildirim içeriğinde adı geçen üçüncü kişilere ait özel nitelikli kişisel veriler, Kanun'un 6. maddesinin üçüncü fıkrasında sayılan şartlar — özellikle bir hakkın tesisi, kullanılması veya korunması için zorunlu olması — çerçevesinde ve ölçülülük ilkesi gözetilerek işlenir.

4.6. Yapay zekâ destekli değerlendirme

Bildirimler, ön değerlendirme aşamasında yapay zekâ destekli araçlarla özetlenebilir, sınıflandırılabilir ve kişisel veri içeren bölümleri maskelenebilir. Bu araçlar yalnızca inceleme sürecini destekleyici niteliktedir.

Bildirimler hakkında münhasıran otomatik sistemlere dayalı karar alınmaz. Her bildirim, Müşteri Kurum bünyesindeki yetkili kişiler tarafından incelenir ve sonuçlandırılır.

4.7. Bildirime konu kişiler ve tanıklar

Bildirim içeriğinde adı geçen kişilerin kişisel verileri de bu metin kapsamında işlenmektedir. Bu kişiler, Kanun'un 11. maddesinde sayılan haklara sahiptir. Ancak bu hakların kullanımı, devam eden bir inceleme sürecinin bütünlüğünü ve bildirimde bulunan kişinin korunmasını tehlikeye düşürmeyecek şekilde ve Kanun'un 28. maddesindeki istisnalar gözetilerek değerlendirilir.

5. İletişim ve Demo Talep Formları Kapsamında Kişisel Verilerin İşlenmesi

Bu bölümde açıklanan işleme faaliyetleri bakımından veri sorumlusu EthicAll'dır.

5.1. İşlenen kişisel veriler ve toplama yöntemi

İnternet sitesindeki iletişim ve demo talep formları aracılığıyla; ad, soyad, elektronik posta adresi, telefon numarası, çalışılan kurumun adı ve unvan bilgileri ile talebinizde iletmeyi tercih ettiğiniz diğer bilgiler işlenmektedir. Bu veriler, formun tarafınızca doldurulması suretiyle kısmen otomatik yollarla toplanmaktadır.

5.2. İşleme amaçları

• Talebinizin karşılanması ve tarafınıza geri dönüş sağlanması
• Ürün tanıtımı ve demo süreçlerinin planlanması ve yürütülmesi
• Sözleşme öncesi görüşmelerin yürütülmesi ve teklif hazırlanması
• İletişim kayıtlarının tutulması ve doğabilecek uyuşmazlıklarda delil olarak kullanılması

5.3. Hukuki sebepler

• Kanun'un 5/2-(c) maddesi uyarınca, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
• Kanun'un 5/2-(f) maddesi uyarınca, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması

6. Çerezler ve Teknik Kayıtlar

İnternet sitesi iki tür çerez kullanmaktadır.

Zorunlu çerezler. Oturum yönetimi, güvenlik ve form işlevselliği gibi sitenin çalışması için zorunlu olan çerezlerdir. Bu çerezler Kanun'un 5/2-(f) maddesindeki meşru menfaat şartına dayanır ve ayrıca rıza gerektirmez.

Analitik çerezler. Site kullanımının ölçülmesi ve iyileştirilmesi amacıyla Google Analytics çerezleri kullanılmaktadır. Bu çerezler zorunlu nitelikte olmadığından, yalnızca tarafınızca açık rıza verilmesi hâlinde etkinleştirilir; rızanızı istediğiniz zaman geri çekebilirsiniz ve bu tercihiniz sitenin temel işlevlerini kullanmanızı etkilemez. Analitik çerezler kapsamında toplanan veriler, hizmetin sunulması amacıyla yurt dışında yerleşik hizmet sağlayıcıya aktarılabilir (bkz. Bölüm 7.2).

Sunucu kayıtları (IP adresi, tarayıcı bilgisi, erişim zamanı), sitenin güvenliğinin ve teknik sürekliliğinin sağlanması amacıyla meşru menfaat şartına dayanılarak sınırlı süreyle tutulur.

7. Kişisel Verilerin Aktarılması

7.1. Yurt içi aktarım

Etik bildirim kanalları kapsamındaki kişisel veriler, Müşteri Kurum tarafından; inceleme ve soruşturma süreçlerinin gerektirmesi hâlinde kurum bünyesindeki yetkili birimlere ve görevlendirilen inceleme ekiplerine, hukuki süreçlerin yürütülmesi amacıyla hukuk müşavirlerine ve bağımsız denetçilere, talep hâlinde ve mevzuatla sınırlı olmak üzere kanunen yetkili kamu kurum ve kuruluşlarına aktarılabilir.

EthicAll'ın veri sorumlusu sıfatıyla işlediği veriler, kanunen yetkili kamu kurum ve kuruluşlarına, yalnızca talep hâlinde ve mevzuatla sınırlı olarak aktarılır.

Platform veritabanı ve kişisel verilerin saklandığı sunucular Türkiye'de bulunmaktadır.

7.2. Yurt dışı aktarım

Hizmetin sunulabilmesi için gerekli olan sınırlı işleme faaliyetleri, yurt dışında yerleşik hizmet sağlayıcılar aracılığıyla gerçekleştirilmektedir. Bu aktarımlar Kanun'un 9. maddesi kapsamında, öngörülen uygun güvenceler sağlanmak suretiyle yapılır.

Yapay zekâ altyapısı sağlayıcısına aktarılan veriler, sağlayıcı tarafından yapay zekâ modellerinin eğitiminde kullanılmamakta ve işleme faaliyeti tamamlandıktan sonra sağlayıcı sistemlerinde saklanmamaktadır.

EthicAll'ın veri sorumlusu sıfatıyla işlediği iletişim ve demo talebi verileri yurt dışına aktarılmamaktadır.

8. Saklama Süreleri ve İmha

Bildirim kayıtları. İlgili mevzuattaki zamanaşımı süreleri ve Müşteri Kurumun saklama yükümlülükleri gözetilerek, Müşteri Kurum tarafından belirlenen süre boyunca saklanır. Varsayılan saklama süresi on yıldır; Müşteri Kurum bu süreyi daha kısa olarak belirleyebilir. Müşteri Kurum tarafından silinen bildirimler, silme talebinin ardından otuz gün içinde geri döndürülemez şekilde imha edilir.

Telefon kanalı ses kayıtları ve dökümleri. Bildirim kaydının bir parçası olarak, yukarıdaki süreye tabidir.

İletişim ve demo talebi verileri. İletişim amacının gerektirdiği süre ile ilgili mevzuatta öngörülen zamanaşımı süreleri boyunca saklanır.

Teknik kayıtlar ve çerezler. Güvenlik amacının gerektirdiği sınırlı süre boyunca saklanır.

Saklama süresinin sona ermesi veya işlemeyi gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik hükümleri çerçevesinde resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir.

9. Veri Güvenliği

Kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak amacıyla, Kanun'un 12. maddesi uyarınca uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirler alınmaktadır. Bu kapsamda uygulanan başlıca tedbirler; veri aktarımında ve saklamada şifreleme, rol bazlı yetkilendirme ve erişim kontrolü, Müşteri Kurumlar arasında veri ayrıştırması, erişim kayıtlarının tutulması, bildirimlerdeki kişisel verilerin gerektiğinde maskelenmesi ve hizmet sağlayıcılarla gizlilik ve veri işleme yükümlülükleri içeren sözleşmeler akdedilmesidir.

10. Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) Kapsamındaki İlgili Kişiler

Aşağıdaki hükümler, GDPR'ın kişi bakımından kapsamına giren ilgili kişiler için Kanun kapsamındaki bilgilendirmeyi tamamlayıcı niteliktedir ve Kanun hükümleriyle birlikte uygulanır.

İşlemenin hukuki dayanakları (Madde 6). İşleme faaliyetleri; sözleşmenin ifası veya sözleşme öncesi adımların atılması için gereklilik (Madde 6/1-b), veri sorumlusunun meşru menfaati (Madde 6/1-f), tabi olunan hukuki yükümlülük (Madde 6/1-c) ve ilgili kişinin rızası (Madde 6/1-a) dayanaklarına göre yürütülür.

Özel kategorideki veriler (Madde 9). Bildirim içeriğinde yer alabilecek özel kategorideki kişisel veriler, ilgili kişinin açık rızası (Madde 9/2-a) veya hukuki taleplerin tesisi, kullanılması ya da savunulması için gereklilik (Madde 9/2-f) dayanaklarına göre işlenir.

Uluslararası aktarım (Bölüm V). Kişisel veriler Türkiye'de yerleşik sunucularda işlenmektedir. Türkiye, Avrupa Komisyonu tarafından yeterlilik kararı verilmiş ülkeler arasında yer almamaktadır. Bu nedenle, GDPR kapsamındaki bir ilgili kişinin verilerinin işlenmesi hâlinde, aktarım GDPR'ın V. Bölümünde öngörülen uygun güvenceler çerçevesinde gerçekleştirilir.

İlgili kişi hakları (Madde 15–22). Erişim, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği ve işlemeye itiraz hakları ile münhasıran otomatik işlemeye dayalı karara tabi olmama hakkı saklıdır. Bu haklar, 11. bölümde belirtilen başvuru kanalı üzerinden kullanılabilir.

Denetim makamına şikâyet. GDPR kapsamındaki ilgili kişiler, yerleşik oldukları ülkedeki yetkili veri koruma denetim makamına şikâyette bulunma hakkına sahiptir.

11. İlgili Kişinin Hakları ve Başvuru Usulü

Kanun'un 11. maddesi uyarınca ilgili kişi olarak;

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• Kanun'un 7. maddesinde öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz.

Etik bildirim kanalları kapsamındaki talepler için başvurunun, veri sorumlusu sıfatını haiz ilgili Müşteri Kuruma yöneltilmesi gerekmektedir. EthicAll'a iletilen bu nitelikteki talepler, veri işleyen sıfatıyla gecikmeksizin ilgili Müşteri Kuruma yönlendirilir.

EthicAll'ın veri sorumlusu sıfatıyla işlediği veriler bakımından başvurularınızı, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak info@ethicall.app adresine iletebilirsiniz. Başvurunuz, niteliğine göre en kısa sürede ve her hâlükârda en geç otuz gün içinde sonuçlandırılır.

Anonim olarak bildirimde bulunan kişilerin kimliği bilinmediğinden, yukarıdaki haklar ancak başvuru sahibinin kimliğinin ve talebin ilgili olduğu kaydın tespitine imkân veren başvurular bakımından kullanılabilir.

12. Metnin Güncellenmesi

İşbu Aydınlatma Metni, mevzuattaki değişiklikler ile Platformun işleyişinde ve veri işleme faaliyetlerinde meydana gelen gelişmeler doğrultusunda güncellenebilir. Güncel metin, yürürlük tarihi ve sürüm bilgisiyle birlikte ethicall.app adresinde yayımlanır.