2. GİZLİLİK VE KİŞİSEL VERİLER POLİTİKASI

2.1. Amaç ve Kapsam

İşbu Gizlilik ve Kişisel Veriler Politikası ('Politika'), Leksor Bilişim Teknolojileri TİC. LTD. ŞTİ. ('İhaleAi') tarafından işletilen yapay zeka destekli kamu ihale araştırma platformunun ('Platform') sunduğu hizmetler kapsamında kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu'na ('KVKK') ve ilgili ikincil mevzuata uygun olarak işlenmesi, korunması, saklanması ve imhasına ilişkin temel prensipleri düzenler.

Bu Politika; Platform'u kullanan B2B müşterileri, bireysel profesyoneller, ziyaretçiler ve hizmet kapsamındaki tüm ilgili kişileri kapsamaktadır.

Alan	Bilgi
Şirket	Leksor Bilişim Teknolojileri TİC. LTD. ŞTİ.
Adres	Kızılırmak Mah. Dumlupınar Blv. Nextlevel No: 3A İç Kapı No: 11 Çankaya/ANKARA
E-posta	destek@ihale.ai
Web	www.ihale.ai

2.2. Veri Sorumlusu ve Veri İşleyen Rollerinin Ayrımı

Veri Sorumlusu Olduğumuz Durumlar

Hesap oluştururken verdiğiniz e-posta, isim, vergi numarası gibi üyelik ve fatura verileri ile 5651 sayılı Kanun kapsamında tutulan IP/zaman damgası logları bakımından İhaleAi "Veri Sorumlusu"dur. Bu verilerin işlenme amaçlarını ve vasıtalarını biz belirleriz.

Kullanıcı İçeriğine İlişkin Sınırlı Sorumluluk

Kullanıcı tarafından "Akıllı Sorgu" arayüzüne girilen hukuki sorgular ve metin içerikleri, İhaleAi altyapısı aracılığıyla işlenmektedir. Bu içeriklerin üçüncü taraflara ait kişisel veriler barındırması hâlinde, söz konusu verileri sisteme giren Kullanıcı, bu veriler bakımından KVKK anlamında "Veri Sorumlusu" niteliğini taşımakta olup gerekli hukuki dayanakları sağlamak (açık rıza, meşru menfaat vb.) münhasıran Kullanıcı'nın sorumluluğundadır. İhaleAi bu içerikleri yalnızca hizmetin ifası amacıyla işlemekte ve üçüncü taraf verilerinin sisteme girilmesinden doğan hukuki sorumluluğu kabul etmemektedir.

2.3. Veri Güvenliği ve Teknik Altyapı

Platformumuz, uluslararası güvenlik standartlarına sahip bulut altyapıları (Google Cloud Platform) üzerinde çalışmaktadır. Veritabanı ve uygulama katmanı, kendi GCP projemizde self-hosted olarak barındırılmakta olup üçüncü taraf veritabanı bulut servislerine veri aktarımı yapılmamaktadır. İhaleAi, KVKK Madde 12 uyarınca veri güvenliğini sağlamak için aşağıdaki teknik tedbirleri eksiksiz uygular:

Şifreleme (Encryption): Kullanıcı parolaları endüstri standardı güçlü tek yönlü karma (bcrypt/Argon2) algoritmaları kullanılarak şifrelenmekte; düz metin hâlinde hiçbir sistemimizde saklanmamaktadır. Transit halindeki tüm veriler TLS 1.2+ şifreleme protokolü ile, depolanan veriler AES-256 şifreleme standardı ile korunmaktadır.
Veri İzolasyonu (Row Level Security — RLS): Satır Bazlı Güvenlik politikaları sayesinde her kullanıcının sorgu geçmişi ve verileri kriptografik olarak izole edilir. Bir kullanıcının verisine başka bir kullanıcının erişmesi teknik olarak engellenmiştir.
AI Model Eğitimi Yasağı: Akıllı Sorgu arayüzüne girdiğiniz arama terimleri ve hukuki sorular, entegre olduğumuz yapay zeka sağlayıcısı (Google AI) tarafından genel yapay zeka modellerinin eğitilmesi amacıyla kesinlikle kullanılmaz. İhaleAi, Google Cloud panelinde "Data Sharing / Model Improvement" seçeneğini kapalı tutmayı taahhüt eder.
Güvenlik Mimarisi: Platform mimarisi; OWASP güvenlik prensipleri, modern bulut güvenlik standartları (ISO 27001 uyumlu Google Cloud altyapısı) ve rol tabanlı erişim kontrol mekanizmaları dikkate alınarak yapılandırılmıştır.
Log Güvenliği (5651 Uyumu): Kullanıcı erişim logları (IP hash, giriş/çıkış zaman damgası) yalnızca yetkili personelin okuma erişimine sahip olduğu, UPDATE/DELETE yetkisinin teknik olarak kaldırıldığı ayrı bir append-only log tablosunda tutulmaktadır.

Veri İhlali Bildirimi: Herhangi bir kişisel veri ihlali meydana gelmesi hâlinde İhaleAi, KVKK Madde 12/5 uyarınca ihlali öğrendiği tarihten itibaren en geç 72 (yetmiş iki) saat içinde Kişisel Verileri Koruma Kurumu'na ve etkilenen ilgili kişilere gerekli bildirimleri yapar.

2.4. Veri Saklama, Anonimleştirme ve İmha Politikası

Sorgu ve RAG Verileri

AI asistanına sorduğunuz sorular ve üretilen yanıtlar, geçmiş sorgularınızı görüntüleyebilmeniz amacıyla hesabınıza bağlı olarak güvenli bulut altyapısında saklanabilir. Hesabınızı kapattığınızda veya sorgu geçmişinizi sildiğinizde bu veriler aktif sistemlerimizden derhal kaldırılır ve yedekleme sistemlerimizden en geç 90 (doksan) gün içinde kalıcı olarak temizlenir.

Log Kayıtları

5651 sayılı Kanun gereği "Yer Sağlayıcı" sıfatıyla tuttuğumuz kullanıcı giriş/çıkış ve IP trafik logları, yasal zorunluluk uyarınca zaman damgasıyla mühürlenerek ve IP adresleri hash'lenerek 2 (iki) yıl boyunca değiştirilemez formatta saklanır. Bu süre sonunda Kişisel Veri Saklama ve İmha Politikamız kapsamında güvenli şekilde imha edilir.

Finansal Kayıtlar

Fatura ve ödeme kayıtları, Vergi Usul Kanunu Madde 253 uyarınca 10 (on) yıl süreyle saklanır.

2.5. Alt-İşleyenler (Sub-Processors) ve Veri Aktarımı

Platformun kesintisiz ve yüksek performanslı çalışabilmesi için verileriniz KVKK Madde 8 (yurtiçi) ve Madde 9 (Standart Sözleşme güvencesiyle yurtdışı) uyarınca aşağıdaki güvenilir alt-işleyen altyapılarına aktarılmaktadır:

Alt-İşleyen	Konum	Hukuki Güvence	İşleme Amacı
Google Cloud Platform (GCP)	Yurtdışı (AB/ABD)	Standart Sözleşme (SCC)	Veritabanı ve uygulama katmanı barındırma (Kendi GCP projemizde self-hosted olarak izole edilmiştir).
Google AI (Gemini API)	Yurtdışı (AB/ABD)	Standart Sözleşme (SCC)	RAG ve doğal dil işleme (Yapay zeka model eğitimi kapalıdır).
İyzico	Yurtiçi	BDDK Lisanslı / PCI-DSS	Güvenli ödeme altyapısı.
Inbox	Yurtiçi	KVKK Uyumlu Sözleşme	E-posta ileti yönetimi.

İhale.AI, elektronik ticaret faaliyetlerini 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun'a uygun şekilde yürütür. Yıllık net işlem hacmine göre belirlenen ETBİS kayıt eşiklerini takip ederek yükümlülük doğması hâlinde gerekli bildirimleri yapar. Ticari ileti izinleri İleti Yönetim Sistemi (İYS) üzerinden yönetilmektedir.

2.6. İletişim ve Haklarınızın Kullanımı

Bu Politika ve KVKK Madde 11 kapsamındaki haklarınızla ilgili her türlü talebinizi destek@ihale.ai adresine, KEP adresimize veya yukarıda belirtilen fiziki adresimize iletebilirsiniz. Başvurularınız 30 gün içinde yanıtlanacaktır.

İşbu Politika önemli ölçüde değiştirildiğinde, kayıtlı e-posta adresinize bildirim yapılacak ve güncel versiyon Platform üzerinde yayınlanacaktır.