Gizlilik Politikası ve KVKK Aydınlatma Metni

GİZLİLİK POLİTİKASI VE KVKK AYDINLATMA METNİ

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.10 uyarınca hazırlanmıştır.

1. VERİ SORUMLUSU
Ünvan: Geoproje Mühendislik Danışmanlık İnşaat ve Sanayi Ticaret Limited Şirketi
Adres: İdealtepe Mah. Kayın Sok. No:1/1 D:19 Maltepe / İstanbul
E-posta: info@geoproje.com.tr    Telefon: +90 216 450 54 36
Vergi Bilgileri: Küçükyalı V.D. - 3940487092    MERSİS: 0394048709200017

2. İŞLENEN KİŞİSEL VERİLER
- Kimlik ve iletişim: ad-soyad, e-posta adresi, (varsa) firma bilgisi, telefon.
- Fatura bilgileri: T.C. kimlik numarası veya vergi kimlik numarası, vergi dairesi,
  fatura adresi. Yalnızca ücretli bir satın alma yapıldığında istenir.
- İşlem güvenliği: IP adresi, tarayıcı bilgisi, oturum kayıtları, giriş zamanları.
- Kullanım kayıtları: hangi aracın, ne zaman, kaç kez çalıştırıldığı.
- Üyelik kaydı sırasında, ilk ziyaret ettiğiniz sayfanın yolu, yönlendiren
  sitenin alan adı ve varsa UTM kampanya bilgileri, kayıt kaynağını ve
  kampanya performansını toplu istatistiklerle değerlendirmek amacıyla
  hesabınızla ilişkilendirilerek işlenir.
- Ödeme kayıtları: sipariş tutarı ve durumu. Kart bilgileri TARAFIMIZCA
  SAKLANMAZ; ödeme kuruluşunun PCI-DSS uyumlu altyapısında işlenir.
- Sözleşme onayları: hangi metni, hangi sürümünü, ne zaman ve hangi IP ile
  kabul ettiğinize ilişkin kayıt.
- Destek talepleri: destek kutusu üzerinden ilettiğiniz talebin konusu ve
  içeriği, ilgili araç, gönderim zamanı ve talebin durumu.
- Yüklediğiniz belgeler ve bu belgelerden çıkarılan veriler: zemin etüdü raporu
  gibi belgelerin kendisi ile bunlardan otomatik olarak çıkarılan zemin
  parametreleri. Belgenin içeriğinde yer verdiğiniz kişisel veriler (örneğin
  raporu hazırlayan veya imzalayan kişinin adı, proje sahibinin bilgileri) de bu
  kapsamda işlenir. Belge yüklemediğiniz sürece bu veri işlenmez.
- Etüt asistanı yazışmaları: asistan paneline yazdığınız mesajlar ile o sırada
  seçili olan zemin profilinin parametreleri.
- Dikte: bu özelliği kullandığınızda kaydedilen ses, oluşturulan transkript ve
  işlemin yürütülmesi için gerekli teknik bilgiler. Mikrofon izni, tek başına
  kişisel veri işleme veya yurt dışı aktarım dayanağı değildir.
- Arama/gömme (embedding): anlamsal arama özelliğinde sorgu metni ve indekslenen
  bilgi tabanı parçaları. Hesaplama sonucu ile AI tarafından üretilmiş açıklama
  birbirinden farklıdır.

3. İŞLEME AMAÇLARI VE HUKUKİ SEBEPLERİ
a) Üyelik oluşturma, kimlik doğrulama ve tekil oturum açma (SSO), aboneliğin
   kurulması ve sunulması
   -> KVKK m.5/2-(c): sözleşmenin kurulması ve ifası için gerekli olması.
b) Faturalandırma, muhasebe ve vergi yükümlülüklerinin yerine getirilmesi
   -> KVKK m.5/2-(ç): hukuki yükümlülüğün yerine getirilmesi.
c) Hizmetin güvenliğinin sağlanması, kötüye kullanımın önlenmesi, kullanım
   kayıtlarının tutulması
   -> KVKK m.5/2-(f): meşru menfaat.

Bu faaliyetler için ayrıca AÇIK RIZA ALINMAMAKTADIR. Yukarıdaki hukuki sebepler
mevcut olduğundan, aynı işleme için ayrıca rıza istenmesi mevzuata uygun olmaz.

4. VERİ AKTARIMI YAPILAN HİZMET SAĞLAYICILAR VE YURT DIŞINA AKTARIM
Platformun barındırma altyapısı yurt dışında bulunmaktadır. Kişisel verileriniz,
hizmetin sunulabilmesi amacıyla aşağıdaki hizmet sağlayıcılarına aktarılmaktadır.
Listedeki her aktarım, karşısında belirtilen özelliği kullandığınız ölçüde
gerçekleşir:

- Railway Corporation (Amerika Birleşik Devletleri) — altyapısını Google Cloud
  Platform üzerinde işletir. Aktarılan veri: hesap, abonelik, fatura, oturum ve
  kullanım verileri. Amaç: uygulama ve veritabanı barındırma.
- Google LLC (Amerika Birleşik Devletleri): "Google ile giriş" seçeneğini
  tercih ederseniz kimlik doğrulama hizmeti sağlar. Ayrı isteğe bağlı izinlerle
  Google Ads reklamların kayıt getirmesini, Google Analytics 4 ise herkese açık
  sayfa ziyaretlerini, kayıt formunun görüntülenmesini, tıklama, başarılı kayıt
  ve başarılı giriş olaylarını ölçer. Teknik bilgiler (IP adresi, tarayıcı/cihaz,
  güvenli sayfa yolu, yönlendiren alan adı), çerez/tıklama kimlikleri, izin verilen
  kampanya değerleri ve kayıt/giriş yöntemi Google’a iletilebilir. E-posta, ad,
  parola, hesap kimliği, belge içeriği ve kimlik doğrulama jetonları etikete
  gönderilmez. Kişiselleştirilmiş reklamlar, Google signals ve gelişmiş
  dönüşümler kapalıdır.
- Hesaplama araçlarının altyapı ve veri sağlayıcıları (Amerika Birleşik
  Devletleri) — ilgili araç çalıştırıldığında oluşan teknik kayıtlar.
- iyzico Ödeme Hizmetleri A.Ş. (Türkiye) — alıcı kimlik ve iletişim bilgileri,
  sipariş tutarı. Amaç: ödeme işleminin gerçekleştirilmesi.
- Telegram destek/işletim bildirimleri — yapılandırılmış özel yönetici
  kanallarında destek talebinin referansı, modülü, konusu, gerekli mesaj içeriği
  ve yanıt taslağı işlenebilir. Destek bildiriminde hesap adı, e-posta ve IP ayrı
  alanlar olarak eklenmez; serbest metin yine kişisel veri içerebilir. Güvenlik
  veya randevu bildirimleri ayrı amaçlarla gerekli olay/randevu bilgisini
  içerebilir. Ayrı bir alana kimlik bilgisi yazmamak, içeriği anonim hâle getirmez.
- Geoproje'ye ait belge çıkarım servisi (Geodepo) — yurt dışında barındırılan
  sunucularımızda çalışan, Geoproje tarafından işletilen ayrı bir servistir.
  Belge çıkarımı özelliğini kullandığınızda yüklediğiniz belge, zemin
  parametrelerinin çıkarılması amacıyla bu servise iletilir.
- Yapay zekâ dil modeli sağlayıcısı (OpenAI uyumlu API, yurt dışı) — iki hâlde
  devreye girer: (i) belge çıkarımında, yüklediğiniz belgenin ilgili
  sayfalarındaki metin; (ii) etüt asistanını kullandığınızda, panele yazdığınız
  mesajlar ile seçili zemin profilinin parametreleri sağlayıcıya iletilir. Amaç:
  belgeden veri çıkarımı ve asistan yanıtlarının oluşturulması. Kullanılan model
  ve sağlayıcı teknik gereklere göre değişebilir; aktarımın yapıldığı güncel
  sağlayıcı, KVKK m.11 kapsamındaki başvurunuz üzerine bildirilir.
- E-posta gönderim sağlayıcısı (işlem e-postalarının iletildiği, alan adımızın
  barındırma sağlayıcısına ait SMTP posta sunucusu) —
  aktarılan veri: ad-soyad, e-posta adresi ve e-postanın içeriği (kayıt onayı,
  parola sıfırlama bağlantısı, ödeme makbuzu gibi). Amaç: hizmetin işleyişine
  ilişkin bildirimlerin size ulaştırılması.

Yapılandırmaya ve kullanılan özelliğe bağlı ek alıcı kategorileri:
- AI yanıtı/belge çıkarımı: etkin yapılandırmada Anthropic, OpenAI veya DeepSeek
  gibi model sağlayıcıları kullanılabilir; API protokolünün adı alıcının kimliği
  değildir. Dikte için ses, yapılandırılmış transkripsiyon sağlayıcısına; anlamsal
  arama için sorgu/bilgi tabanı parçaları yapılandırılmış embedding sağlayıcısına
  iletilir. Bu kategoriler bütün sağlayıcıların aynı anda kullanıldığı anlamına
  gelmez. Sağlayıcının eğitimde kullanım politikası ile saklama süresi ayrıdır;
  bu metin bütün uçlar için sıfır saklama garantisi vermez.
- Microsoft ile giriş etkinleştirilip kullanılırsa kimlik doğrulama bilgileri
  Microsoft'a; Paraşüt faturalama kullanılırsa ilgili fatura/alıcı bilgileri
  Paraşüt'e iletilir.
- 2Checkout/Verifone ödeme yolu etkinleştirilip kullanılırsa sipariş, alıcı ve
  ödeme bilgileri bu sağlayıcıya iletilir. Ödeme işleyicisi ile Merchant of Record
  rolü aynı değildir; geçerli satış sözleşmesi esas alınır.
- Hata izleme (örneğin Sentry) etkinse hata bağlamı ve teknik tanımlayıcılar;
  nesne depolama/CDN (örneğin Cloudflare R2) kullanılıyorsa ilgili nesne ve erişim
  bilgileri bu hizmetlerde işlenebilir. Dalga formunun kişisel veri içermemesi,
  erişim kaydının da kişisel veri içermediği anlamına gelmez.
- E-posta, yapılandırılmış SMTP/kurumsal e-posta hizmeti üzerinden iletilir.
  Sağlayıcının ticari merkezi, tüm işleme/uzaktan erişim bölgelerinin kanıtı değildir.
Bu kategoriler izin verilmemiş yeni bir aktarımı yetkilendirmez ve tedarikçi
sözleşmesinin yerine geçmez. Güncel etkin alıcı, işleme bölgesi, saklama ve
aktarım güvencesi bilgileri aşağıdaki başvuru kanalı üzerinden istenebilir.

Belge çıkarım servisi (Geodepo) ve yapay zekâ dil modeli sağlayıcısına yapılan
aktarımlar, ilgili sunucuların yurt dışında bulunması nedeniyle yurt dışına
aktarım niteliğindedir. Belgeler ve asistan yazışmaları bu sağlayıcılara
yalnızca ilgili işlemin yürütülmesi amacıyla iletilir; reklam, pazarlama veya
profilleme amacıyla hiçbir sağlayıcıya aktarılmaz.

Hizmet sağlayıcısının genel veri işleme sözleşmesi (DPA), AB standart sözleşme
maddeleri (SCC) veya güvenlik raporu; KVKK m.9 bakımından gerekli aktarım
mekanizmasının yerine kendiliğinden geçmez. Her aktarım için geçerli hukuki
mekanizma, uygulanabilir taraf rolleri ve gerekiyorsa imza/bildirim şartları
ayrıca sağlanmalıdır. Bu bildirim, bir standart sözleşmenin imzalandığı veya
Kurum'a bildirildiği yönünde kanıt oluşturmaz. Aktarıma ilişkin alıcı ve
güvence bilgileri için aşağıdaki başvuru kanalını kullanabilirsiniz.

Kişisel verilerin yurt dışına aktarılmasına ilişkin güvenceler ve altyapının
konumu düzenli olarak gözden geçirilmektedir.

5. SAKLAMA SÜRELERİ
- Hesap ve profil bilgileri: hesabınız açık kaldığı sürece.
- Oturum kayıtları: oturumun sona ermesinden itibaren 24 saat.
- Parola sıfırlama talepleri: 30 gün.
- Hesaplama araçlarına yüklediğiniz geçici dosyalar: 24 saat (otomatik silinir).
- Belge çıkarımı için yüklediğiniz ham belgeler (zemin etüdü raporu ve benzeri):
  12 ay. Bu sürenin sonunda ham belge silinir.
- Belgelerden çıkarılan zemin parametreleri ve oluşturduğunuz etüt profilleri:
  siz silene kadar. Dilediğiniz zaman "Etütlerim" sayfasından silebilirsiniz.
- Etüt asistanı yazışmaları: hesabınız açık kaldığı sürece.
- Araç kullanım kayıtları: 24 ay.
- Güvenlik olay kayıtları: 12 ay.
- Destek talepleri ve yazışmaları: hesabınız açık kaldığı sürece.
- Fatura ve ödeme kayıtları: 10 yıl (Vergi Usul Kanunu ve Türk Ticaret Kanunu
  uyarınca saklanması zorunludur).
- Sözleşme ve onay kayıtları: 10 yıl.

Hesabınızı sildirmeniz hâlinde kişisel verileriniz — destek talepleriniz ve
yazışmalarınız dahil — silinir; ancak kanunen saklanması zorunlu olan fatura ve
onay kayıtları, hesabınızla bağlantısı koparılarak yukarıdaki süreler boyunca
muhafaza edilir.

6. ÇEREZLER VE BENZERİ TEKNOLOJİLER
Zorunlu çerezler: oturumun sürdürülmesi ve güvenlik amacıyla kullanılan HttpOnly
oturum çerezleri ile güvenlik (CSRF) çerezi. Bu çerezler hizmetin çalışması için
zorunlu olduğundan rızaya tabi değildir.
Yerel depolama: dil tercihiniz ve sepet içeriği tarayıcınızda saklanır.
Üçüncü taraf: "Google ile giriş" seçeneğini kullanmanız hâlinde Google'a ait
çerezler yüklenebilir.
İsteğe bağlı ölçüm: “Çerez tercihleri” bölümünde reklam ölçümü (Google
  Ads) ile analitiği (Google Analytics 4) birbirinden bağımsız seçebilirsiniz.
  Yeni ziyaretçide her ikisi de kapalıdır. Daha önce verilen reklam izni,
  analitik izni sayılmaz. Her etiket yalnız kendi amacı için izin verdiğinizde
  çalışır. Bu seçim üyelik, sözleşme kabulü veya hizmet kullanımının koşulu
  değildir. Ads çerezleri en fazla 90, analitik çerezleri en fazla 180 gün;
  tercihleriniz tarayıcıda 180 gün saklanacak şekilde yapılandırılmıştır.
  İzni aynı bölümden her zaman geri çekebilirsiniz. Geri çekme ilgili sonraki
  ölçümü durdurur, bu alan adından erişilebilen ilgili çerezleri siler ve sayfayı
  yeniler; geçmiş aktarımları geri almaz. Oturum/güvenlik çerezleri etkilenmez.
  Kişiselleştirilmiş reklam veya profilleme yapılmaz.

7. HAKLARINIZ (KVKK m.11)
Kişisel verilerinizin işlenip işlenmediğini öğrenme; işlenmişse bilgi talep etme;
işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde
veya yurt dışında aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmişse
düzeltilmesini isteme; KVKK m.7 şartları çerçevesinde silinmesini veya yok
edilmesini isteme; bu işlemlerin aktarım yapılan üçüncü kişilere bildirilmesini
isteme; münhasıran otomatik sistemlerle analiz sonucu aleyhinize bir sonuç
doğmasına itiraz etme; kanuna aykırı işleme nedeniyle zararınızın giderilmesini
talep etme haklarına sahipsiniz.

8. BAŞVURU USULÜ
Taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca
aşağıdaki yöntemlerle iletebilirsiniz:
- Sistemimizde kayıtlı e-posta adresinizden info@geoproje.com.tr adresine,
- Yazılı olarak İdealtepe Mah. Kayın Sok. No:1/1 D:19 Maltepe / İstanbul adresine,
- Güvenli elektronik imza veya kayıtlı elektronik posta (KEP) ile.

Başvurunuzda ad-soyad, imza (yazılı başvuruda), T.C. kimlik numarası, tebligata
esas adres, varsa telefon ve e-posta ile talep konusu yer almalıdır.
Başvurularınız EN GEÇ 30 GÜN içinde sonuçlandırılır. İşlemin ayrıca bir maliyet
gerektirmesi hâlinde Kurul'ca belirlenen tarifedeki ücret alınabilir.

GDPR'IN UYGULANDIĞI İŞLEMLER
GDPR'ın uygulandığı ölçüde erişim, düzeltme, silme, kısıtlama, taşınabilirlik,
itiraz ve varsa rızayı geri alma hakları ile yetkili denetim makamına şikayet
hakkınız saklıdır. Hak talebinin kapsamı ilgili işleme ve kanuni şartlara bağlıdır.
Bu talepler kural olarak bir ay içinde yanıtlanır; mevzuatın izin verdiği uzatma
uygulanırsa ilk ay içinde gerekçesi bildirilir. Türkiye Cumhuriyeti kimlik
numarası, böyle bir numarası olmayan başvuru sahibi için zorunlu tutulmaz;
gerekli kimlik doğrulama talebin niteliğiyle orantılı yapılır.

9. VERİ GÜVENLİĞİ TEDBİRLERİ
- Tüm trafik HTTPS/TLS ile şifrelenir; veritabanı disk üzerinde şifreli tutulur.
- Parolalar geri döndürülemez biçimde (bcrypt) özetlenerek saklanır.
- Oturumlar sınırlı sürelidir; yenileme jetonları döndürülür ve yeniden kullanım
  tespit edildiğinde tüm oturum zinciri iptal edilir.
- Yetkisiz erişime karşı erişim denetimi, hız sınırlama ve güvenlik olay kaydı
  uygulanır.

Son güncelleme: 05.11.2026

Privacy Policy and Personal Data Protection Notice

PRIVACY POLICY AND PERSONAL DATA PROTECTION NOTICE

The Turkish text prevails in case of conflict.

Prepared under article 10 of Law no. 6698 on the Protection of Personal Data
("KVKK"), the Turkish data protection law.

1. DATA CONTROLLER
Title: Geoproje Mühendislik Danışmanlık İnşaat ve Sanayi Ticaret Limited Şirketi
Address: İdealtepe Mah. Kayın Sok. No:1/1 D:19 Maltepe / İstanbul
E-mail: info@geoproje.com.tr    Phone: +90 216 450 54 36
Tax office / number: Küçükyalı V.D. - 3940487092    MERSIS: 0394048709200017

2. PERSONAL DATA PROCESSED
- Identity and contact: full name, e-mail address, company details (if any),
  phone number.
- Invoicing details: Turkish national identity number or tax identification
  number, tax office, invoice address. Requested only when a paid purchase is
  made.
- Transaction security: IP address, browser information, session records, login
  times.
- Usage records: which tool was run, when, and how many times.
- During sign-up, the path of the first page you visited, the domain name of
  the referring site and, if present, UTM campaign information are processed
  in association with your account in order to evaluate the sign-up source
  and campaign performance through aggregate statistics.
- Payment records: order amount and status. Card details are NOT STORED BY US;
  they are processed on the PCI-DSS compliant infrastructure of the payment
  institution.
- Contract approvals: a record of which text, in which version, you accepted,
  when, and from which IP address.
- Support requests: the subject and content of the request you send through the
  support box, the tool concerned, the time of submission and the status of the
  request.
- Documents you upload and the data extracted from them: documents such as a
  geotechnical investigation report, together with the soil parameters extracted
  from them automatically. Personal data contained in the document (for example
  the name of the person who prepared or signed the report, or details of the
  project owner) is processed within the same scope. This data is not processed
  unless you upload a document.
- Site investigation assistant conversations: the messages you write in the
  assistant panel together with the parameters of the soil profile selected at
  that moment.
- Dictation: when used, the recorded audio, the resulting transcript and technical
  information needed to perform the transcription. Microphone permission alone
  is not a legal basis for personal-data processing or international transfer.
- Search/embeddings: query text and indexed knowledge-base passages used for
  semantic search. A calculation result is distinct from AI-generated explanation.

3. PURPOSES AND LEGAL GROUNDS OF PROCESSING
a) Creating the membership, authenticating the user and single sign-on (SSO),
   establishing and providing the subscription
   -> KVKK art. 5/2-(c): necessary for the conclusion and performance of a
   contract.
b) Invoicing, accounting and compliance with tax obligations
   -> KVKK art. 5/2-(ç) on legal obligations: compliance with a legal
   obligation.
c) Ensuring the security of the service, preventing misuse, keeping usage
   records
   -> KVKK art. 5/2-(f): legitimate interest.

NO SEPARATE EXPLICIT CONSENT is collected for these activities. Since the legal
grounds above exist, asking for consent in addition for the same processing
would not comply with the legislation.

4. SERVICE PROVIDERS AND TRANSFERS ABROAD
The hosting infrastructure of the platform is located abroad. Your personal data
is transferred to the service providers listed below in order to provide the
service. Each transfer in the list takes place only to the extent that you use
the feature stated next to it:

- Railway Corporation (United States) operates its infrastructure on Google
  Cloud Platform. Data transferred: account, subscription, invoice, session and
  usage data. Purpose: application and database hosting.
- Google LLC (United States): provides authentication if you choose
  "Sign in with Google". With separate optional permissions, Google Ads measures
  which ads bring registrations, while Google Analytics 4 measures public page
  visits, registration form views, clicks, successful registrations and logins.
  Technical information (IP address, browser/device, safe page path, referring
  domain), cookie/click identifiers, allowlisted campaign values and the
  registration/login method may be sent to Google. Email, name, password,
  account ID, document contents and authentication tokens are not passed to
  the tag. Personalised advertising, Google signals and enhanced conversions
  are disabled.
- Infrastructure and data providers of the calculation tools (United States):
  the technical records created when the relevant tool is run.
- iyzico Odeme Hizmetleri A.S. (Turkiye): buyer identity and contact details,
  order amount. Purpose: carrying out the payment transaction.
- Telegram support/operations notifications: configured private manager
  channels may receive the support reference, module, subject, necessary message
  content and draft reply. The support notification does not add separate account
  name, e-mail or IP fields; free text may still contain personal data. Security
  or booking notifications may contain information needed for those separate
  purposes. Omitting separate identity fields does not make the content anonymous.
- The document extraction service belonging to Geoproje (Geodepo) is a separate
  service operated by Geoproje, running on our servers hosted abroad. When you
  use the document extraction feature, the document you upload is sent to this
  service in order to extract the soil parameters.
- Artificial intelligence language model provider (OpenAI compatible API,
  abroad): involved in two cases. (i) in document extraction, the text on the
  relevant pages of the document you upload; (ii) when you use the site
  investigation assistant, the messages you write in the panel and the
  parameters of the selected soil profile are sent to the provider. Purpose:
  extracting data from the document and producing the assistant's answers. The
  model and provider used may change according to technical requirements; the
  current provider to which the transfer is made is notified upon your request
  under KVKK art. 11.
- E-mail delivery provider (the SMTP mail server of the hosting provider of our
  own domain, through which transactional e-mail is relayed). Data transferred:
  full name, e-mail address and the content of the e-mail (such as registration
  confirmation, password reset link, payment receipt). Purpose: delivering
  notifications concerning the operation of the service to you.

Additional recipient categories depend on the enabled configuration and feature:
- AI assistance/document extraction may use model providers such as Anthropic,
  OpenAI or DeepSeek. An API protocol name is not a recipient identity. Dictation
  sends audio to the configured transcription provider; semantic search sends
  queries/knowledge-base passages to the configured embedding provider. These
  categories do not mean that every provider is active at once. Training-use
  policies and retention periods are different; no universal zero-retention
  guarantee is made for all endpoints.
- If Microsoft sign-in is enabled and used, authentication data is sent to
  Microsoft; if Paraşüt invoicing is used, relevant invoice/buyer data is sent
  to Paraşüt.
- If the 2Checkout/Verifone payment route is enabled and used, order, buyer and
  payment information is sent to that provider. A payment processor and a
  Merchant of Record have different roles; the applicable sales agreement governs.
- If error monitoring such as Sentry is enabled, error context and technical
  identifiers may be processed. Object storage/CDN services such as Cloudflare R2
  may process the relevant objects and access information. A non-personal waveform
  does not establish that associated access logs contain no personal data.
- E-mail is sent through the configured SMTP/corporate mail service. A provider's
  headquarters do not establish every processing or remote-access location.
These categories do not authorise a new transfer or replace a provider contract.
Use the request channel below for the active recipient, processing location,
retention and transfer-safeguard information.

Transfers to the document extraction service (Geodepo) and to the artificial
intelligence language model provider qualify as transfers abroad, because the
relevant servers are located outside Turkiye. Documents and assistant
conversations are sent to those providers solely for the purpose of carrying out
the relevant operation; they are not transferred to any provider for
advertising, marketing or profiling purposes.

A service provider's general data processing agreement (DPA), EU standard
contractual clauses (SCCs) or security report does not automatically establish the
transfer mechanism required under KVKK article 9. The applicable legal mechanism,
party roles and any signature/notification requirements must be established for
each transfer. This notice is not evidence that a standard contract has been
signed or notified to the Turkish Authority. Use the request channel below for
recipient and safeguard information relating to transfers.

The safeguards concerning transfers of personal data abroad and the location of
the infrastructure are reviewed regularly.

5. RETENTION PERIODS
- Account and profile details: for as long as your account remains open.
- Session records: 24 hours from the end of the session.
- Password reset requests: 30 days.
- Temporary files you upload to the calculation tools: 24 hours (deleted
  automatically).
- Raw documents you upload for extraction (geotechnical investigation reports
  and similar): 12 months. The raw document is deleted at the end of that
  period.
- Soil parameters extracted from documents and the site investigation profiles
  you create: until you delete them. You may delete them at any time from the
  "Etutlerim" page.
- Site investigation assistant conversations: for as long as your account
  remains open.
- Tool usage records: 24 months.
- Security event records: 12 months.
- Support requests and correspondence: for as long as your account remains open.
- Invoice and payment records: 10 years (retention is mandatory under the Tax
  Procedure Law and the Turkish Commercial Code).
- Contract and approval records: 10 years.

If you have your account deleted, your personal data, including your support
requests and correspondence, is deleted; however invoice and approval records
whose retention is legally mandatory are kept for the periods above after their
link to your account has been severed.

6. COOKIES AND SIMILAR TECHNOLOGIES
Strictly necessary cookies: the HttpOnly session cookies used to maintain the
session and the security (CSRF) cookie. Since these cookies are necessary for
the service to work, they are not subject to consent.
Local storage: your language preference and the contents of your cart are stored
in your browser.
Third party: if you use the "Sign in with Google" option, cookies belonging to
Google may be set.
Optional measurement: "Cookie preferences" lets you choose advertising
  measurement (Google Ads) and analytics (Google Analytics 4) independently.
  Both are off for a new visitor. Prior advertising permission is not analytics
  permission. Each tag works only with permission for its own purpose. These
  choices are not conditions of registration, accepting contracts or using the
  service. Ads cookies are configured for at most 90 days, analytics cookies for
  at most 180 days, and browser preferences for 180 days. You can withdraw either
  permission there at any time. Withdrawal stops subsequent measurement for
  that purpose, removes its cookies accessible from this domain and reloads
  the page; it does not reverse past transfers. Session/security cookies are
  unaffected. Personalised advertising and profiling are disabled.

7. YOUR RIGHTS (KVKK art. 11)
You have the right to learn whether your personal data is processed; to request
information if it has been processed; to learn the purpose of the processing and
whether the data is used in accordance with that purpose; to know the third
parties to whom the data is transferred inside or outside Turkiye; to request
correction if the data is processed incompletely or incorrectly; to request
erasure or destruction within the conditions of KVKK art. 7; to request that
those operations be notified to the third parties to whom the data was
transferred; to object to a result against you arising from analysis carried out
solely by automated systems; and to claim compensation for damage suffered due
to unlawful processing.

8. HOW TO APPLY
You may submit your requests by the following methods, in line with the
Communique on the Procedures and Principles of Application to the Data
Controller:
- from the e-mail address registered in our system, to info@geoproje.com.tr,
- in writing, to İdealtepe Mah. Kayın Sok. No:1/1 D:19 Maltepe / İstanbul,
- by secure electronic signature or registered electronic mail (KEP).

Your application must contain your full name, your signature (in written
applications), your Turkish national identity number, an address for
notification, your phone number and e-mail address if any, and the subject of
your request. Applications are concluded WITHIN 30 DAYS AT THE LATEST. If the
operation additionally requires a cost, the fee in the tariff set by the Board
may be charged.

PROCESSING SUBJECT TO THE GDPR
Where the GDPR applies, rights of access, rectification, erasure, restriction,
portability, objection, withdrawal of any consent and complaint to the competent
supervisory authority remain available subject to their statutory conditions.
Requests are normally answered within one month; any lawful extension and its
reasons are notified within that first month. A Turkish national identity number
is not required from a person who does not hold one; any necessary identity
verification must be proportionate to the request.

9. DATA SECURITY MEASURES
- All traffic is encrypted with HTTPS/TLS; the database is kept encrypted on
  disk.
- Passwords are stored hashed irreversibly (bcrypt).
- Sessions have a limited lifetime; refresh tokens are rotated and the entire
  session chain is revoked when reuse is detected.
- Access control, rate limiting and security event logging are applied against
  unauthorised access.

Last updated: 05.11.2026