OculaWork iki dağıtım modeli sunar. Firma isterse self-host olur: operasyonel verisi (taramalar, öz-değerlendirmeler) kendi adına açtığı, kendi Google Cloud/Firebase hesabında barındırılır — bir başka firmanın verisiyle aynı ortamı paylaşmaz. İstemezse OculaWork'ün paylaşımlı (cloud) altyapısını kullanır; bu durumda operasyonel veri, tenantId ile katı biçimde izole edilmiş ortak bir veritabanında tutulur (bkz. Kullanım Şartları §7.4, §10.8) — iki model de aynı erişim/rıza/saklama garantilerine tabidir. Kimlik doğrulama (e-posta, şifre özeti, rol ataması) her iki modelde de OculaWork'ün merkezi altyapısında tutulur; bu, hesap yönetimini mümkün kılmak için gerekli asgari bilgidir. Self-host'un pratik anlamı şu: operasyonel veriniz istediğiniz an, tamamen OculaWork'ün elinden çıkabilir — kendi bulut hesabınızın sahibi sizsiniz, bize erişimi de kesebilirsiniz.

Kamera görüntünüz hiçbir zaman cihazınızdan çıkmaz. Video, yalnızca tarayıcınızda (RAM'de) işlenir; sunuculara yalnızca hesaplanmış sayısal değerler (göz kırpma oranı, EAR gibi) iletilir.

Aydınlatma ve açık rıza iki ayrı adımdır — tek tıkla birleştirilmez. Ayrıca, farklı işleme amaçları için ayrı, bağımsız onay kutuları kullanırız:

• Genel tarama rızası — göz kırpma/yorgunluk ölçümü için zorunlu.
• Yüz biyometrisi rızası — yalnızca firmanız kimlik doğrulamayı açtıysa istenir, genel rızadan ayrı geri çekilebilir.
• PsychoScan (ek fizyolojik/duygu göstergesi) rızası — tamamen isteğe bağlıdır, verilmezse temel tarama hiç etkilenmez.

Rıza ekranında artık gerçek bir "Reddediyorum" yolu vardır; reddetme veya sonradan geri çekme işvereninize bildirilmez, aleyhinize kullanılmaz. Çalışan, ayarlar menüsünden PsychoScan rızasını istediği an tek tıkla açıp kapatabilir. Her rıza/ret/geri-çekme olayı, oluşturulduktan sonra hiç kimse (biz dahil) tarafından değiştirilemeyen/silinemeyen bir kayıt defterine zaman damgasıyla işlenir — bir uyuşmazlık durumunda bu kayıtlar okunaklı bir rapor olarak çıkarılabilir. Bu, yalnızca bir uygulama kuralı değil, veritabanı erişim kuralı seviyesinde zorlanır (kayıt yalnızca oluşturulabilir; güncelleme/silme isteği — bizim panelimiz dahil — sistemsel olarak reddedilir).

• Tarama verileri: aktif abonelik + 2 yıl (zamanaşımı koruması).
• Yüz biyometrik şablonu ve cihaz-içi öğrenme model ağırlıkları: aktif abonelik boyunca; "Verilerimi Sil" talebinde veya hesap kapanışında otomatik olarak silinir.
• Hekim klinik notları: sağlık gözetimi kayıt bütünlüğü gereği süresiz saklanır, değiştirilemez/silinemez — bu, ilk günden beri açıkça bildirilen, bilinçli bir istisnadır.
• "Verilerimi Sil" talebi, tarama sayısı ne olursa olsun (500'den fazla kayıt olsa bile) güvenilir şekilde tamamlanacak biçimde tasarlanmıştır; başarısız olursa kullanıcı açıkça bilgilendirilir, sessizce "başarılı" göstermez.

Bu sayfa, 2026 yılında yapılan kapsamlı bir iç hukuki/teknik denetimin sonucudur — AB Yapay Zeka Yasası'nın işyerinde duygu tanımayla ilgili hükümleri, KVKK'nın biyometrik veri kararları ve Türk İş Hukuku'ndaki çalışan izleme sınırları esas alınarak, kodun kendisi satır satır incelenmiş; bulunan her boşluk (kimlikli gösterim, eksik saklama süresi, eksik rıza granülerliği gibi) doğrudan düzeltilmiştir. Mükemmel/sıfır-risk iddia etmiyoruz — bu alan (işyerinde biyometrik/fizyolojik veri) hem Türkiye'de hem dünyada hâlâ hızla gelişen bir hukuki alan; ama sistemimizin bilinçli, iyi niyetli ve sürekli gözden geçirilen bir yaklaşımla inşa edildiğini gösterebiliriz.

Somut bir örnek: şirket-geneli toplu istatistikler için k-anonimlik eşiğimiz başlangıçta 5 kişiydi (departman-içi eşikle aynı). Bir iç denetim turunda, hassas biyometrik/fizyolojik verinin şirket-geneli agregatlarda daha yüksek bir eşik hak ettiğini değerlendirip eşiği 10 kişiye çıkardık — bu, kendimizi düzenli olarak sorguladığımızın ve bulduğumuzda iyileştirdiğimizin somut bir kanıtıdır, soyut bir iddia değil.

OculaWork offers two deployment models. A company can choose to be self-hosted: its operational data (scans, self-assessments) is hosted in its own Google Cloud/Firebase account, opened in its own name — it never shares an environment with another company's data. Or it can use OculaWork's shared (cloud) infrastructure, where operational data lives in a common database strictly isolated by tenantId (see Terms of Use §7.4, §10.8) — both models carry the same access/consent/retention guarantees. Identity data (email, password hash, role assignment) is kept on OculaWork's central infrastructure in either model — the minimum needed to make account management possible. In practical terms, self-hosting means your operational data can leave OculaWork's hands entirely, at any time you choose — you own the cloud account, and you can cut off our access to it.

Your camera feed never leaves your device. Video is processed only in your browser (RAM); only computed numeric values (blink rate, EAR, etc.) are sent to the servers.

Disclosure and consent are two separate steps — never merged into one click. We also use separate, independent checkboxes for different processing purposes:

• General scan consent — required for blink/fatigue measurement.
• Facial biometric consent — requested only if your company enabled face verification; revocable independently of general consent.
• PsychoScan (extra physiological/emotion indicator) consent — entirely optional; declining it doesn't affect the basic scan at all.

The consent screen now has a genuine "I Decline" path; declining or later withdrawing is never reported to your employer and is never held against you. Employees can toggle their PsychoScan consent on/off anytime, with one tap, from the settings menu. Every consent/decline/withdrawal event is timestamped into a log that cannot be edited or deleted by anyone, including us, once created — in a dispute, this can be exported as a readable report. This isn't just an application-level rule — it's enforced at the database access-rule level (the record can only be created; any update/delete request — including from our own admin panel — is systemically rejected).

• Scan data: active subscription + 2 years (statute-of-limitations protection).
• Facial biometric template and on-device learning model weights: for the duration of the active subscription; deleted automatically upon a "Delete My Data" request or account closure.
• Physician clinical notes: kept indefinitely for health-surveillance record integrity, cannot be edited or deleted — a deliberate exception, disclosed from day one.
• "Delete My Data" requests are designed to reliably complete regardless of record count (even 500+ records); if it fails, the user is clearly told — it never silently reports "success."

This page is the result of a comprehensive internal legal/technical audit conducted in 2026 — grounded in the EU AI Act's workplace emotion-recognition provisions, Turkish KVKK biometric-data decisions, and Turkish labor law limits on employee monitoring, with the code itself reviewed line by line; every gap found (identified display, missing retention periods, insufficient consent granularity) was fixed directly. We don't claim perfection or zero risk — this area (workplace biometric/physiological data) is still a rapidly evolving legal field, both in Turkey and globally — but we can show that our system was built with a deliberate, good-faith, continuously-reviewed approach.

A concrete example: our k-anonymity threshold for company-wide aggregate statistics originally started at 5 people (the same as the department-level threshold). During an internal audit round, we determined that sensitive biometric/physiological data deserved a higher threshold at the company-wide aggregate level, and raised it to 10 people — concrete evidence that we regularly question ourselves and improve when we find something, not just an abstract claim.