Gizlilik Politikası
Son güncelleme: 15 Ekim 2026
1. Veri Sorumlusu
U2 AI Studio Teknoloji Anonim Şirketi ("Şirket"), 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve AB Genel Veri Koruma Tüzüğü (GDPR) kapsamında veri sorumlusudur.
| Veri Sorumlusu | U2 AI Studio Teknoloji Anonim Şirketi |
|---|---|
| Adres | Ahi Evran OSB Mah. Erkunt Cad. No: 3 İç Kapı No: 41 Sincan/Ankara, Türkiye |
| E-posta | info@u2aistudio.com |
| Telefon | +90 850 346 82 82 |
| Vergi Dairesi / No | Sincan Vergi Dairesi / 8831244710 |
| MERSIS No | 0883124471000001 |
| Ticaret Sicil No | 434199 (Ankara Ticaret Sicili Müdürlüğü) |
2. İşlenen Kişisel Veriler
| Veri Kategorisi | İşleme Amacı | Hukuki Dayanak |
|---|---|---|
| Kimlik bilgileri (ad, soyad, e-posta) | Hesap oluşturma ve yönetimi | Sözleşmenin ifası (KVKK m.5/2-c) |
| Kimlik doğrulama (şifre hash, 2FA) | Güvenli erişim sağlama | Meşru menfaat (KVKK m.5/2-f) |
| Emisyon verileri | Karbon ayak izi hesaplama | Sözleşmenin ifası |
| IP adresi, tarayıcı bilgisi | Güvenlik ve denetim kaydı | Meşru menfaat |
| Ödeme bilgileri | Faturalandırma | Sözleşmenin ifası |
3. Çerez Politikası
Tanıtım sitesi çerez kullanmaz; dil tercihiniz ve bilgilendirme bandı kaydı tarayıcınızın yerel deposunda tutulur. Uygulamada oturum jetonu çerezde değil, tarayıcının sessionStorage alanında saklanır. Kayıtların tamamı aşağıdadır (Çerez Politikası'ndaki tabloyla aynı):
| Tür | İsim / Amaç | Süre | Yasal Dayanak |
|---|---|---|---|
| Zorunlu | Oturum jetonu (JWT) · çerez değil, tarayıcının sessionStorage alanında saklanır · yalnızca uygulamada (app.u2carbon.com) | Oturum süresince | Sözleşmenin ifası · onay gerektirmez |
| Zorunlu | Cloudflare Turnstile · yalnızca uygulamanın giriş ve kayıt formlarında (app.u2carbon.com) bot doğrulaması için yüklenir; doğrulama penceresi Cloudflare'in kendi alanında (challenges.cloudflare.com) çalışır · tanıtım sitesinde kullanılmaz | Oturum süresince | Meşru menfaat (güvenlik) |
| Tercih | Dil tercihi (tr/en) · çerez değil, tarayıcınızın localStorage alanında saklanır | Siz silene kadar | Kullanıcı deneyimi |
| Tercih | Bilgilendirme bandı kaydı (u2-cookie-consent) · çerez değil, tarayıcınızın yerel deposunda tutulur; bandı bir kez gördüğünüzü hatırlar · tanıtım sitesi | Siz silene kadar | Kullanıcı deneyimi |
Analitik veya pazarlama çerezi kullanılmadığı için onay bandı gösterilmez. Bu kayıtları tarayıcı ayarlarınızdan silebilirsiniz; ayrıntı için Çerez Politikası.
4. Veri Saklama Süreleri
- Hesap verileri: hesap kapatıldıktan sonra 30 gün içinde silinir
- Emisyon verileri ve raporları: raporlama döneminin bitiminden itibaren 5 yıl
- Denetim kayıtları: değiştirilemez (append-only) tutulur ve SHA-256 karma zinciriyle birbirine bağlanır; silinmesi kaydın bütünlük kanıtını yok edeceği için hesap sonlandıktan sonra da ilgili mevzuatın öngördüğü zamanaşımı süresince saklanır
- Onam kayıtları: onamın geri çekilmesinden itibaren 3 yıl
- Ödeme ve fatura kayıtları: vergi mevzuatı gereği 10 yıl
5. Veri Güvenliği Tedbirleri
- Aktarımda TLS 1.2 ve üstü (destekleyen tarayıcılarda TLS 1.3)
- İki adımlı doğrulama sırları AES-256-GCM ile şifrelenir
- PostgreSQL Row Level Security (RLS) ile kiracı izolasyonu
- JWT tabanlı kimlik doğrulama; telefonu doğrulanmış kullanıcılarda SMS ile tek kullanımlık kod; isteğe bağlı TOTP iki adımlı doğrulama
- SHA-256 hash zinciri ile değiştirilemez denetim kaydı
- IP bazlı hız sınırlandırma
- Rol bazlı erişim kontrolü (RBAC)
6. Veri Aktarımı
Kişisel verileriniz aşağıdaki üçüncü taraflarla paylaşılabilir:
- Amazon Web Services EMEA SARL: Tanıtım sitesi, uygulama sunucuları ve veritabanı (AB – Almanya, Frankfurt)
- Hetzner Online GmbH: 2 Ekim 2026'daki AWS taşımasından kalan geçiş dönemi geri dönüş kopyası (uygulama ve veritabanı); geçiş tamamlanınca silinir (AB – Almanya)
- Cloudflare, Inc.: DNS ve uygulamanın giriş/kayıt formlarında Turnstile bot doğrulaması — IP adresi ve tarayıcı sinyalleri (ABD/AB)
- Anthropic, PBC: Carbon AI sohbet asistanına yazdığınız mesajlar ve son 10 mesajlık konuşma geçmişi; kuruluşunuzun emisyon verisi gönderilmez (ABD)
- Climatiq Technologies GmbH: Kurumsal emisyon hesabı için faaliyet verisi; kiracı kimliği gönderilmez (AB)
- Amazon Web Services EMEA SARL (Amazon SES): İşlemsel e-posta gönderimi — ad soyad, e-posta adresi ve mesaj içeriği (AB – Almanya, Frankfurt)
- NetGSM: Cep telefonu numarası ve tek kullanımlık kod — SMS ile kimlik doğrulama (Türkiye)
- Param POS: Kartla ödeme alındığında ödeme işleme (Türkiye)
- Yetkili kamu kurumları: Talep edilen veri — yasal yükümlülükler (mahkeme kararı, savcılık talebi) (Türkiye)
Kart bilgileriniz sunucularımızda saklanmaz; doğrudan ödeme sağlayıcısına iletilir.
7. İlgili Kişi Hakları
KVKK m.11 ve GDPR m.15-22 kapsamında aşağıdaki haklara sahipsiniz:
- Kişisel verilerinizin işlenip işlenmediğini öğrenme
- İşlenmiş verilere erişim ve kopya talep etme
- Verilerin düzeltilmesini isteme
- Verilerin silinmesini veya yok edilmesini isteme
- İşlemenin kısıtlanmasını isteme
- Veri taşınabilirliği hakkı
- Otomatik karar almaya itiraz
Bu haklarınızı kullanmak için Ayarlar > Gizlilik bölümünden veya info@u2aistudio.com adresinden başvurabilirsiniz.
Platform Üzerinden Kullanılabilir Haklar
| Hak | Yöntem |
|---|---|
| Veri dışa aktarma (erişim hakkı) | Ayarlar > Gizlilik > Verilerimi Dışa Aktar (kişisel verileriniz, JSON) |
| Veri silme (unutulma hakkı) | Ayarlar > Gizlilik > Hesabımı ve Verilerimi Sil |
| Onay yönetimi | info@u2aistudio.com adresine yazarak |
8. Politika Değişiklikleri
Bu gizlilik politikası güncellenebilir. Önemli değişiklikler e-posta ile bildirilecektir. Güncel sürüm her zaman bu sayfada yayınlanır.
9. İletişim
Gizlilik ile ilgili tüm sorularınız için: info@u2aistudio.com
Privacy Policy
Last updated: 15 October 2026
1. Data Controller
U2 AI Studio Teknoloji Anonim Şirketi (the "Company") is the data controller within the meaning of the Turkish Personal Data Protection Law No. 6698 (KVKK) and the EU General Data Protection Regulation (GDPR).
| Data Controller | U2 AI Studio Teknoloji Anonim Şirketi |
|---|---|
| Address | Ahi Evran OSB Mah. Erkunt Cad. No: 3 İç Kapı No: 41 Sincan/Ankara, Türkiye |
| info@u2aistudio.com | |
| Phone | +90 850 346 82 82 |
| Tax Office / Tax No. | Sincan Tax Office / 8831244710 |
| MERSIS No. | 0883124471000001 |
| Trade Registry No. | 434199 (Ankara Trade Registry Office) |
2. Personal Data Processed
| Data Category | Purpose of Processing | Legal Basis |
|---|---|---|
| Identity data (name, surname, e-mail) | Account creation and management | Performance of a contract (KVKK Art. 5/2-c) |
| Authentication data (password hash, 2FA) | Providing secure access | Legitimate interest (KVKK Art. 5/2-f) |
| Emission data | Carbon footprint calculation | Performance of a contract |
| IP address, browser information | Security and audit logging | Legitimate interest |
| Payment information | Billing | Performance of a contract |
3. Cookie Policy
The marketing website uses no cookies; your language choice and the notice-banner record are kept in your browser's local storage. In the application, the session token is kept in the browser's sessionStorage, not in a cookie. They are all listed below (the same table as in the Cookie Policy):
| Type | Name / Purpose | Duration | Legal Basis |
|---|---|---|---|
| Strictly necessary | Session token (JWT) · not a cookie; stored in the browser's sessionStorage · application only (app.u2carbon.com) | For the duration of the session | Performance of a contract · no consent required |
| Strictly necessary | Cloudflare Turnstile · loaded only on the application's sign-in and registration forms (app.u2carbon.com) for bot verification; the challenge runs on Cloudflare's own domain (challenges.cloudflare.com) · not used on the marketing website | For the duration of the session | Legitimate interest (security) |
| Preference | Language preference (tr/en) · not a cookie; stored in your browser localStorage | Until you clear it | User experience |
| Preference | Notice banner record (u2-cookie-consent) · not a cookie; kept in your browser's local storage so the notice is shown only once · marketing website | Until you clear it | User experience |
Because no analytics or marketing cookies are used, no consent banner is shown. You can delete these records through your browser settings; see the Cookie Policy for details.
4. Data Retention Periods
- Account data: deleted within 30 days after the account is closed
- Emission data and reports: 5 years from the end of the reporting period
- Audit records: kept append-only and linked in a SHA-256 hash chain; because deleting them would destroy the integrity proof, they are retained after the account ends for the limitation period required by applicable law
- Consent records: 3 years from withdrawal of consent
- Payment and invoice records: 10 years, as required by tax legislation
5. Data Security Measures
- TLS 1.2 or later in transit (TLS 1.3 where the browser supports it)
- Two-factor authentication secrets are encrypted with AES-256-GCM
- Tenant isolation via PostgreSQL Row Level Security (RLS)
- JWT-based authentication; SMS one-time code for users with a verified phone; optional TOTP two-factor authentication
- Immutable audit trail with SHA-256 hash chaining
- IP-based rate limiting
- Role-based access control (RBAC)
6. Data Transfers
Your personal data may be shared with the following third parties:
- Amazon Web Services EMEA SARL: Marketing website, application servers and database (EU – Germany, Frankfurt)
- Hetzner Online GmbH: Transitional fallback copy (application and database) kept after the move to AWS on 2 October 2026; deleted once the migration is complete (EU – Germany)
- Cloudflare, Inc.: DNS and Turnstile bot verification on the application's sign-in and registration forms — IP address and browser signals (USA/EU)
- Anthropic, PBC: Messages you write to the Carbon AI chat assistant and the last 10 messages of the conversation; no emission data of your organisation is sent (USA)
- Climatiq Technologies GmbH: Activity data for the corporate emission calculation; no tenant identifier is sent (EU)
- Amazon Web Services EMEA SARL (Amazon SES): Transactional e-mail delivery — full name, e-mail address and message content (EU – Germany, Frankfurt)
- NetGSM: Mobile number and one-time code — SMS identity verification (Türkiye)
- Param POS: Payment processing when a card payment is taken (Türkiye)
- Authorised public authorities: Data requested — legal obligations (court order, prosecutor's request) (Türkiye)
Your card details are never stored on our servers; they are transmitted directly to the payment provider.
7. Data Subject Rights
Under Article 11 of the KVKK and Articles 15–22 of the GDPR, you have the following rights:
- To learn whether your personal data is being processed
- To access the processed data and request a copy
- To request rectification of your data
- To request erasure or destruction of your data
- To request restriction of processing
- The right to data portability
- To object to automated decision-making
To exercise these rights, go to Settings > Privacy or contact us at info@u2aistudio.com.
Rights Available Through the Platform
| Right | Method |
|---|---|
| Data export (right of access) | Settings > Privacy > Export My Data (your personal data, JSON) |
| Data deletion (right to be forgotten) | Settings > Privacy > Delete My Account & Data |
| Consent management | By writing to info@u2aistudio.com |
8. Changes to This Policy
This privacy policy may be updated from time to time. Material changes will be notified by e-mail. The current version is always published on this page.
9. Contact
For any questions regarding privacy: info@u2aistudio.com