Bu Hizmet Kullanım Sözleşmesi, Gizlilik Politikası ve KVKK Aydınlatma Metni (birlikte "Sözleşme") aşağıdaki taraflar arasında akdedilmiştir:

OculaWork — oculawork.com alan adı üzerinden çalışan göz sağlığı ve yorgunluk analizi platformu ("OculaWork", "Platform", "Biz").

OculaWork'e abone olan, Platform'u kendi çalışanları için kullanan her türlü gerçek veya tüzel kişi, şirket, kurum ya da kuruluş ("Müşteri", "İşveren", "Siz").

Müşteri bünyesinde çalışan, Müşteri tarafından sisteme tanımlanan ve Platform üzerinden göz yorgunluğu taraması gerçekleştiren kişiler ("Çalışan", "Son Kullanıcı").

OculaWork; çalışanların göz yorgunluğunu standart bilgisayar kamerası aracılığıyla analiz eden, bilimsel literatürde yer alan yöntemlerden yararlanan biyometrik analizler gerçekleştiren ve işverenlere / iş hekimlerine risk bazlı raporlar sunan bir SaaS platformudur.

• 30 saniyelik aktif tarama ile EAR, PERCLOS, kırpma hızı, reaksiyon süresi ve 4 ek biyometrik parametre ölçülür
• Kamera görüntüsü yalnızca tarayıcıda (client-side) işlenir; ham video verisi hiçbir sunucuya gönderilmez
• Sunuculara yalnızca hesaplanmış sayısal metrikler iletilir
• Yönetim paneli departman bazlı anonim istatistikler sunar; bireysel veriler yalnızca iş hekimine açıktır

OculaWork, yüksek erişilebilirlik hedefiyle çalışmakla birlikte planlı bakım, mücbir sebep veya altyapı sağlayıcısından kaynaklanan kesintilerden sorumlu tutulamaz. Planlı kesintiler 48 saat öncesinden duyurulur. Bu, sayısal bir yüzde taahhüdü değil, genel bir hedef niteliğindedir; bir hizmet seviyesi taahhüdü (SLA) veya hizmet kredisi (service credit) programı oluşturmaz. Erişilebilirlik değerlendirilirken: ilgili aydaki toplam süre esas alınır; planlı bakım süreleri (bkz. aşağıda) ve Google Firebase/Google Cloud altyapısından kaynaklanan kesintiler bu değerlendirmeye dahil edilmez (bkz. §10.3).

Aynı fiyatlandırma dönemi içinde (bkz. §12) yürürlükteki abonelik ücreti değiştirilmez; fiyat değişikliği yalnızca bir sonraki yenileme döneminden itibaren uygulanabilir.

Planlı bakım, mümkün olduğunca hafta sonu veya gece saatlerinde yapılır ve tek seferde en fazla 4 saat sürecek şekilde planlanır. Platformun güvenliğini veya bütünlüğünü tehdit eden acil bir durum söz konusuysa (örn. aktif saldırı), acil bakım önceden bildirim yapılmaksızın uygulanabilir.

Yukarıdaki yanıt süreleri yalnızca destek talebinin alındığını ve işleme koyulduğunu ifade eder; kesin bir çözüm süresi taahhüdü oluşturmaz.

Platform üzerinde "beta", "önizleme" veya "deneysel" olarak işaretlenen özellikler (yeni geliştirilen yapay zeka modülleri dahil) ön izleme niteliğindedir; kesintiye uğrayabilir, beklenmedik şekilde değişebilir veya kaldırılabilir. Bu özellikler için sonuç garantisi verilmez ve Sözleşme'nin genel hizmet sürekliliği/SLA taahhütleri bu özellikleri kapsamaz. Beta özellikler, veri kaybına veya hatalı veri üretimine yol açabilir; Müşteri, beta özellikleri kritik/tek kaynaklı veri için kullanmamalıdır.

OculaWork, ileride üçüncü taraf sistemlerle (kimlik/dizin servisleri, kurumsal iletişim araçları, ERP/İK yazılımları vb.) entegrasyon sunabilir. Bu tür entegrasyonlar, yayımlandıkları tarihte ayrıca duyurulacak ek şartlara tabidir; işbu Sözleşme hâlihazırda var olmayan bir entegrasyonu taahhüt etmez. Aynı şekilde, ileride bir genel API sunulması hâlinde; kullanım limitleri (rate limit), API anahtarı yönetimi ve kötüye kullanım politikaları ayrı bir API Kullanım Şartları belgesinde düzenlenir.

• Kamera izni zorunludur: Kullanıcı kamera erişim iznini reddederse veya geri çekerse, kamera tabanlı tarama özellikleri çalışmaz; bu durumda hizmetin bu kısmı sağlanamaz
• Desteklenen tarayıcılar: Güncel sürümleriyle Google Chrome, Microsoft Edge, Mozilla Firefox ve Safari; Internet Explorer desteklenmez
• Asgari donanım: En az 640×480 çözünürlükte çalışan bir web kamerası, yeterli ortam aydınlatması ve kararlı bir internet bağlantısı

Platform, yalnızca iş hekiminin başlatabileceği (tek yönlü), çalışanla doğrudan görüntülü görüşme kurulmasını sağlayan bir özellik sunar. Bağlantı, üçüncü bir sunucudan geçmeden doğrudan iki cihaz arasında (WebRTC, ücretsiz Google STUN sunucusu) kurulur; ses/görüntü hiçbir sunucuda kaydedilmez veya saklanmaz. Görüşmeyi kurmak için gereken teknik bağlantı verisi (SDP/ICE), görüşme bitiminden birkaç saniye sonra otomatik olarak silinir. Görüşme sırasında, çalışanın kamera görüntüsünden — yalnızca görüşme süresince ve yalnızca o an görüşmedeki hekime gösterilmek üzere — kamera tabanlı yaklaşık bir nabız tahmini ile göz kırpma/PERCLOS bazlı anlık bir yorgunluk-stres göstergesi hesaplanır. Bu göstergeler tıbbi ölçüm veya teşhis niteliği taşımaz, klinik cihazın yerini tutmaz ve çalışanın kalıcı tarama geçmişine hiçbir zaman eklenmez/kaydedilmez. TURN sunucusu kullanılmadığından, çok katı kurumsal ağ/güvenlik duvarı yapılandırmalarında bağlantı nadiren kurulamayabilir.

Google Firebase; Google LLC'ye bağlı, bağımsız bir bulut altyapısı ve veri barındırma hizmetidir. Firebase'in veri işleme koşulları ve güvenlik önlemleri Google'ın Gizlilik Politikası ile Firebase Veri İşleme Şartları'na tabidir.

• Google Firebase, ISO/IEC 27001, SOC 2 Type II gibi uluslararası güvenlik standartlarına sahip bir altyapıdır ve veri işleme süreçleri Google'ın yayımladığı güncel veri işleme şartlarına (DPA) tabidir
• Veriler Avrupa bölgesinde (eur3 — Belçika/Hollanda) tutulur
• Firebase, OculaWork'ten bağımsız bir kuruluş olarak verileri kendi politikalarına göre korur

Müşteri'ye ait tüm veriler (tarama sonuçları, raporlar, hesap bilgileri) Müşteri'nin münhasır mülkiyetindedir. Müşteri talep ettiğinde verilerin dışa aktarımı sağlanır; dışa aktarım yalnızca OculaWork'ün o tarihte desteklediği formatlarda (örn. JSON/CSV) yapılır, başka bir format garanti edilmez. Dışa aktarım sırasında verinin OculaWork tarafındaki bütünlüğü korunur; ancak dışa aktarılan verinin üçüncü taraf sistemlerle (ör. Müşteri'nin kendi ERP/İK yazılımı) uyumluluğu veya bu sistemlere aktarımdan sonraki bütünlüğü garanti edilmez. Sözleşme sona erdiğinde veriler 90 gün içinde sistemden kalıcı olarak silinir. Hesap kapatılsa/veriler silinse dahi, muhasebe mevzuatı (VUK vb.), işlem kayıtları ve KVKK kapsamındaki yasal saklama yükümlülükleri nedeniyle bazı kayıtlar (örn. fatura bilgileri) yasal saklama süreleri boyunca ayrıca tutulabilir.

Müşteri, bünyesindeki çalışanların kişisel verilerinin işlenmesi bakımından 6698 sayılı KVKK kapsamında münhasıran Veri Sorumlusu sıfatını haizdir. Bu kapsamda aşağıdaki yükümlülükleri OculaWork'ten bağımsız olarak yerine getirir:

• Aydınlatma (KVKK Md. 10): Çalışanlara işlenecek veriler ve amaçları hakkında önceden aydınlatma metni sunmak
• Açık rıza (KVKK Md. 5-6): Sağlık/biyometrik veri işleme için gerekli hukuki dayanağı oluşturmak
• İlgili kişi hakları (KVKK Md. 11): Çalışanların erişim, düzeltme, silme ve itiraz başvurularını karşılamak
• VERBİS kaydı: Kapsama giriyorsa VERBİS'e kayıt yaptırmak ve güncel tutmak
• Veri envanteri: İşlenen kişisel verilere ilişkin kayıt ve envanter tutmak

• 6331 sayılı İSG Kanunu uyarınca sağlık gözetimi amacıyla Platform kullanılabilir (Md. 15)
• İş hekimi ile geçerli sözleşme bulunmalıdır; Platform verileri periyodik muayenenin yerini almaz
• Risk tespiti sonrası aksiyon planları ve takibi Müşteri'nin sorumluluğundadır

• Sisteme yetkisiz üçüncü kişilerin erişimini engellemek
• Platform'u yalnızca iş güvenliği amacıyla kullanmak; çalışanları izlemek, disipline etmek veya ayrımcılık amacıyla kullanmamak
• Platform'u tersine mühendislik veya rakip ürün geliştirme amacıyla kullanmamak
• Sözleşme süresince güncel ve doğru iletişim bilgileri sağlamak

OculaWork; bir yazılım sağlayıcısıdır ve Müşteri verilerini yalnızca Müşteri'nin talimatları ve bu Sözleşme çerçevesinde işler. Verileri kendi menfaatine, üçüncü taraf pazarlamasına veya başka amaçlara kullanmaz.

• Tüm veri iletişimi TLS 1.3 ile şifreli bağlantı üzerinden gerçekleştirilir
• Firebase Firestore güvenlik kuralları ile rol bazlı erişim kontrolü (RBAC) uygulanır
• Kamera görüntüsü client-side işlenmekte; ham görüntü sunucuya iletilmemektedir
• Yönetim panelinde bireysel veriler anonim görünür; yalnızca yetkili iş hekimi bireysel detaylara erişir
• Güvenlik ihlali durumunda Müşteri ve ilgili ise KVKK Kurumu 72 saat içinde bildirilir

Alt işleyenler değiştirildiğinde Müşteriler 30 gün önceden bilgilendirilir.

OculaWork, Müşteri'ye ait verileri yalnızca şu durumlarda üçüncü taraflarla paylaşır:

• Müşteri'nin yazılı açık onayı alındığında
• Yetkili mahkeme veya kanunen yetkili idari makam tarafından usulüne uygun şekilde talep edilmesi hâlinde; OculaWork bu talebi yürürlükteki mevzuat çerçevesinde karşılar ve hukuken yasaklanmadığı sürece durumu Müşteri'ye makul süre içinde bildirir

Taraflar, kişisel veriler veya bilgi güvenliği ile ilgili resmi inceleme, denetim veya yargısal süreçlerde birbirlerine makul ölçüde destek sağlamayı kabul eder.

Müşteri Veri Sorumlusu, OculaWork ise KVKK Md. 3/1-ğ uyarınca Veri İşleyen sıfatını taşır. Bu sıfatla OculaWork:

• Kişisel verileri yalnızca Müşteri'nin talimatları ve işbu Sözleşme'de belirtilen amaçlarla işler; kendi başına farklı bir amaçla işlemez (anonim/agregatif işleme için bkz. §7.4)
• Kişisel verilerin gizliliğini korur; verilere erişimi olan personelini gizlilik yükümlülüğü altına alır
• Alt işleyen olarak yalnızca Google Firebase / Google Cloud altyapısını kullanır (bkz. §4.2); başka bir alt işleyen kullanılacaksa Müşteri'ye önceden bildirilir
• Çalışanların KVKK Madde 11 kapsamındaki taleplerinin karşılanmasında Müşteri'ye destek olur (bkz. §7.3)
• Bir güvenlik ihlali tespit ettiğinde Müşteri'yi 72 saat içinde bilgilendirir (bkz. §9.3)
• Sözleşme sona erdiğinde, Müşteri'nin talebi doğrultusunda verileri iade eder veya siler (bkz. §4.3, §13)
• Müşteri'nin makul talebi üzerine, işbu Sözleşme'deki veri işleme taahhütlerine uygunluğunu gösteren bilgi ve belgeleri paylaşır

Çalışanlar KVKK haklarını kendi işverenleri (Müşteri) aracılığıyla kullanır. OculaWork bu talepleri Müşteri'nin yönlendirmesiyle 30 gün içinde karşılar:

• Kişisel verilerin işlenip işlenmediğini öğrenme
• İşlenmişse bilgi talep etme
• Yanlış verilerin düzeltilmesini isteme
• Koşullar oluşmuşsa silinmesini talep etme
• Otomatik sistemler sonucu aleyhte karara itiraz etme
• Kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme

Yukarıdaki itiraz hakkının somut şekilde kullanılabilmesi için, Platform'da çalışan hakkında sonuç doğurabilecek otomatik/yarı-otomatik işleme noktaları açıkça belirtilir: (i) günlük tarama sonucu üretilen yorgunluk risk seviyesi (düşük/orta/yüksek/kritik), (ii) CUSUM ve İzolasyon Ormanı (Isolation Forest) tabanlı istatistiksel anomali tespiti uyarıları, (iii) "OwO" sektörel öğrenme modelinin, ilgili taramanın anonim sayısal profiline dayanarak ürettiği ve yalnızca bilgi amaçlı gösterilen sektörel bağlam skoru (owoContextScore, bkz. §7.4) — bu üç işleme noktası da yalnızca iş hekimine gösterilir, hiçbiri tek başına otomatik bir personel kararına dönüşmez. OwO'nun eğitim verisi ve model ağırlıkları anonimdir ve hiçbir çalışanın kimliğini ifşa etmez; ancak danışma katmanının bilgi amaçlı ürettiği sektörel bağlam skoru, ilgili taramaya özel, bilgilendirici bir gösterge olarak yukarıdaki (iii) numaralı işleme noktasını oluşturur. Bir çalışan, risk seviyesi, anomali uyarısının veya sektörel bağlam skorunun kendisi hakkında olumsuz bir personel kararına (görev değişikliği, disiplin vb.) tek başına dayanak oluşturduğunu düşünüyorsa, işverenine itiraz edebilir; işveren böyle bir itirazı değerlendirirken kararın bir insan (iş hekimi/İK) tarafından gözden geçirilmesini sağlamakla yükümlüdür.

KVKK Md. 3/1-d uyarınca kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Geri döndürülemez şekilde anonim hâle getirilmiş veri bu tanımın dışında kalır ve KVKK hükümleri bu veriler bakımından uygulanmaz. OculaWork, Müşterilerin (paylaşımlı veya self-host altyapı fark etmeksizin, bkz. madde 5) tarama ve öz-değerlendirme verilerinden, sektör genelinde çalışan istatistiksel bir öğrenme modelini ("OwO") bu esasa dayanarak eğitir. OculaWork, bu anonimleştirme işleminin geri döndürülemez olmasını, aşağıda açıklanan teknik ve idari tedbirlerle sağlamayı hedefler.

Bu işleme aşağıdaki teknik ve hukuki güvencelerle sınırlıdır:

1. Kimlik bilgisi (ad, soyad, e-posta, çalışan kimlik numarası) modele hiçbir surette girdi olarak dahil edilmez veya model çıktısıyla ilişkilendirilmez.
2. Serbest metin alanları (sağlık öyküsü, ilaç/alerji/hastalık anamnezi) hiçbir zaman okunmaz, işlenmez veya saklanmaz; yalnızca ilgili alanın doldurulup doldurulmadığına dair ikili (var/yok) bir gösterge kullanılır.
3. Ruh sağlığı ve dikkat/uyanıklık öz-değerlendirme sonuçları (GAD-7, PHQ-9, CBI, WHO-5, Epworth, Karolinska, PSS-4, reaksiyon-süresi tabanlı uyanıklık testi, nefes/sakinleşme egzersizi ve karakter/kişilik testinin öz-bildirilen doğruluk geri bildirimi gibi ölçekler) yalnızca toplam şiddet skoruna veya ikili (evet/hayır) bir doğruluk göstergesine indirgenmiş biçimde işlenir. Bu indirgenmiş sayısal skorlar, kimlik veya firma bilgisi taşımayan, salt sayısal bir vektör olarak OwO'nun eğitim örneklerine ({0-1 arası sayılar} + tek bir 0/1 etiket) dahil edilip §7.2'de belirtilen 180 günlük süreyle saklanabilir; ancak bu ölçeklerin ham/serbest metin yanıtları veya kaynağı olan test kaydı (bkz. §9.4 — yalnızca çalışanın kendisine açık personelCoach kaydı) bu işlemenin hiçbir aşamasında OwO'ya gönderilmez veya OwO tarafında saklanmaz. PHQ-9 ölçeğinin kendine zarar verme riskini sorgulayan maddesi (madde 9) bu işleme kapsamının tamamen dışındadır ve yalnızca çalışana yönelik koşulsuz kriz kaynağı yönlendirmesi amacıyla kullanılır.
4. İşlemenin nihai çıktısı, binlerce veri noktasının istatistiksel olarak harmanlanmasıyla oluşan sayısal model ağırlıklarından ibarettir; bu çıktıdan geriye doğru belirli bir çalışanın kimliğinin veya verdiği yanıtların tespit edilmesi teknik olarak mümkün değildir.
5. Kendi Firebase altyapısını kuran (self-host) Müşterilerin kimlik bilgisi (e-posta, şifre özeti, rol, firma ataması) her koşulda OculaWork'ün kendi merkezi Firebase projesinde tutulur — OwO'nun yapay zeka fonksiyonları da yalnızca bu merkezi projede çalışır. Self-host Müşteri'nin operasyonel verisi (tarama, öz-değerlendirme sonuçları) kendi ayrı bulut projesinde kalmaya devam eder; bu işlemeye dahil olması gereken kısım (madde 1-3'te tanımlanan, kimlikten arındırılmış sayısal profil) yalnızca anlık ve geçici olarak merkezi projeye iletilir, kalıcı olarak kimlikle birlikte hiçbir zaman saklanmaz. Bu bakımdan self-host Müşteriler bu işlemeye dahil olma bakımından paylaşımlı (cloud) Müşterilerden farklı muamele görmez.
6. Yönetim, işveren ve OculaWork personeli dahil hiçbir insan kullanıcı, işleme konusu ham veriye (madde 2 ve 3'te belirtilen serbest metin ve ham test yanıtları) erişemez; erişim yalnızca otomatikleştirilmiş işleme fonksiyonuna aittir ve anlık, geçicidir.
7. OwO modelinin çıktısı, madde 4 ve 7'de belirtildiği gibi yalnızca tek bir sektörel model ağırlıkları kümesidir — sektör, firma büyüklüğü veya başka bir kırılıma göre ayrıştırılmış, geri okunabilir bir alt-istatistik üretilmez. Bu, ayrı bir k-anonimlik eşiği olmasa dahi, tek bir küçük firmanın veya çalışan grubunun sonuçtan tekilleştirilmesini (singling-out) yapısal olarak zorlaştırır; buna karşın büyük ölçekli, otomatik ve özel nitelikli veri içeren bu işleme türü için bir Kişisel Verileri Koruma Etki Değerlendirmesi'nin (DPIA benzeri) yürütülmesi iyi uygulama olarak önerilir. Bu değerlendirme henüz resmi olarak tamamlanmamıştır; talep eden Müşteriler için hazırlık süreci başlatılabilir.
8. OwO'nun ürettiği sektörel bağlam skoru, herhangi bir tarama sonucunun yanında yalnızca bilgi amaçlı, ek bir gösterge olarak sunulabilir; bu skor mevcut kural tabanlı risk seviyesinin (bkz. §7.3.1) yerine geçmez veya onu değiştirmez. OwO'nun eğitimine, akademik ölçekler veya bilinen tıbbi/fizyolojik yorgunluk faktörleri gibi harici, kaynağı belgelenmiş bilgiler de OculaWork tarafından sınırlı ve düşük ağırlıklı bir kalibrasyon olarak eklenebilir; bu harici bilgiler de kimliksizdir ve genel/istatistiksel niteliktedir, belirli bir çalışana veya olaya özgü değildir.
9. Firma İçi Anket Sinyali: Müşteri yönetiminin yayınladığı, tek soruluk/iki seçenekli anketlerde çalışanın verdiği cevap, yönetimin önceden hangi cevabın "olumlu" sayılacağını belirlemesiyle ikili (0/1) bir sinyale dönüştürülüp OwO'nun eğitim vektörüne dahil edilebilir. Anketin kendisi ve çalışanın cevabı kimlikli olarak Müşteri'nin yönetim panelinde görülebilir kalır (bkz. §9.4); OwO'ya yalnızca bu 0/1 sinyal, madde 1-3'teki aynı kimliksizleştirme kurallarına tabi olarak iletilir.
10. Hekimin Klinik Doğrulama Geri Bildirimi: İş hekimi, bir taramanın algoritmik risk seviyesini "isabetli / olması gerekenden yüksek / olması gerekenden düşük / sevk gerekli / izlemde" şeklinde değerlendirebilir. Bu değerlendirme, tıpkı madde 3'teki gibi, o taramanın kimlikten arındırılmış sayısal profiliyle birlikte OwO'nun eğitim örneklerine düzeltilmiş bir etiket olarak dahil edilebilir — bu, madde 1'deki "kimlik bilgisi modele hiçbir surette girdi olarak dahil edilmez" güvencesini değiştirmez; hekimin değerlendirmesi yalnızca o taramanın SONUÇ etiketini (yüksek riskli mi/değil mi) düzeltir, kimlik bilgisi OwO'ya yine hiçbir zaman gönderilmez. Hekimin bu değerlendirmesinin kendisi (hangi taramaya, dolayısıyla hangi çalışana ait olduğu) Müşteri'nin kendi kiracısında ayrıca, kimlikli olarak saklanır (bkz. §7.1, §9.4) — anonimleştirilen yalnızca OwO'ya giden türetilmiş sinyaldir.
11. Karakter-Görev Uyum Endeksi: Müşteri'nin yönetim paneli, çalışanların bireysel Karakter Analizi sonuçlarına (bu veri yalnızca çalışanın kendisine açıktır, bkz. §9.4) hiçbir zaman erişemez. Bunun yerine, en az 10 çalışan Karakter Analizi'ni tamamladığında, yalnızca toplulaştırılmış tek bir yüzde (akademik olarak doğrulanmış, güvenlik davranışı/yorgunluk direnciyle ilişkili kişilik özellikleri gösteren çalışan oranı) ve bir istatistiksel güven değeri gösterilir; bu eşiğin altında istatistik tamamen gizlenir. Hiçbir bireysel sonuç, isim veya kimlik bu istatistiğin hiçbir aşamasında görünür veya geri hesaplanabilir değildir.
12. Geri Bildirim Döngüsü: OwO'nun ürettiği bilgilerin (sektörel bağlam, ilaç sedasyon eşleşmesi, Karakter-Görev Uyum Endeksi) yanında, o bilgiyi gören kullanıcı (doktor/yönetim) isteğe bağlı olarak "faydalı mıydı" şeklinde bir geri bildirim (👍/👎) verebilir. Bu geri bildirim kimlikle hiçbir zaman ilişkilendirilmez — yalnızca bilgi türü (ör. "sektörel bağlam") ve faydalı olup olmadığı kaydedilir; hangi tarama/çalışan/kullanıcıya ait olduğu tutulmaz. Biriken geri bildirim oranı, OwO'nun o bilgi türü için gösterdiği güven yüzdesini besler; bu veri hiç kimse (admin dahil) tarafından okunamaz, yalnızca toplulaştırılmış oranı sunucu tarafında hesaplanır.
13. Ortak Bilgi Havuzu: OwO'nun danışma katmanı (owoConsult), ilaç danışması (owoDrugCheck) ve Karakter-Görev Uyum Endeksi (getCharacterFitStats), aynı dış bilgi kaynakları havuzunu (owoExternalFactors) paylaşır. Bu sayede, bu havuya eklenen yeni ve gerçekten ilgili bir faktör, ek bir yazılım değişikliği yapılmaksızın, ilgili olduğu tüm noktalarda otomatik olarak (yalnızca toplulaştırılmış, kimliksiz bir gösterge olarak) katkı sağlayabilir. Bu otomatik katkı her zaman düşük ağırlıklı ve sınırlıdır; hiçbir noktada tek başına nihai bir sonuç oluşturmaz veya mevcut kural tabanlı/akademik eşiğe dayalı hesaplamaların yerini almaz.
14. Cihaz-İçi Öğrenme Model Ağırlıkları (federated_weights) — OwO'DAN AYRI BİR MEKANİZMA: Yukarıdaki madde 1-10'da anlatılan OwO eğitim hattından bağımsız olarak, çalışanın kendi cihazında (tarayıcısında) çalışan, kişisel bir risk-tahmin modeli de bulunur. Bu modelin ağırlıkları, tekil bir belge olarak (belge kimliği ilgili çalışanın kullanıcı numarasıdır — bu bakımdan OwO'nun aksine kimlikten arındırılmamıştır) firmanın kendi veri katmanında saklanır ve yalnızca aynı firmadaki diğer çalışanların modelleriyle istatistiksel olarak ortalanarak (federe öğrenme) o firmanın çalışanları arasında paylaşılır; farklı bir firmaya asla aktarılmaz. Bu ağırlıklar tek başlarına yorumlanabilir/okunabilir bir "duygu" veya "kişilik" profili teşkil etmez — yalnızca sayısal bir model parametre kümesidir — ancak kimliğe bağlı olması nedeniyle §7.2'deki saklama/silme kurallarına tabidir ve çalışanın "Verilerimi Sil" talebiyle silinir. Bir çalışanın katkısı silinmeden önce diğer çalışanların modelleriyle zaten harmanlanmışsa, bu harmanlamanın matematiksel izinin geriye dönük olarak tam temizlenmesi teknik olarak garanti edilemez; bu durum madde 4'teki "geri okunamazlık" güvencesinin OwO hattına özgü olduğunu, bu ayrı mekanizmayı kapsamadığını netleştirmek için burada açıkça belirtilir.

Şeffaflık: Bu işlemenin tam teknik detayı — hangi veri kaynağının hangi sinyale indirgendiği dahil — OculaWork Teknik Metodoloji Belgesi'nde ("OwO Eğitim Modeli" başlıklı bölüm) ayrıntılı olarak belgelenmiştir ve talep üzerine Müşteri'ye ve ilgili kişilere sunulur.

KVKK mevzuatı ve Kurul içtihadı zaman içinde değişebilir. Mevzuat değişikliği hâlinde taraflar, işbu Sözleşme'yi ve ilgili uygulamaları güncel mevzuata uyumlu hâle getirmek için makul süre içinde gerekli iş birliğini gösterir.

EAR, PERCLOS ve yorgunluk skoru; KVKK Madde 6 kapsamında özel nitelikli kişisel veri sayılabilir ve ek koruma gerektirir.

1. Açık Rıza (KVKK Md. 6/2): Çalışandan yazılı veya elektronik ortamda alınan, geri alınabilir, özgür iradeye dayalı rıza
2. İSG Kanunu Md. 15 (6331 s.K.): İşverenin iş sağlığı gözetimi yükümlülüğü — uygulanabilecek hukuki dayanaktan bağımsız olarak Müşteri, KVKK kapsamındaki yükümlülüklerini yerine getirmekle sorumludur

Platform'un giriş/kimlik doğrulama amacıyla kullanabildiği yüz biyometrisi (face-embedding) özelliği, yorgunluk taraması metriklerinden (EAR/PERCLOS gibi) ayrı bir risk kategorisi oluşturur: bu veri doğrudan kimlik doğrulama amacıyla, işveren tarafından zorunlu tutulan bir biyometrik veri işlemedir. Kişisel Verileri Koruma Kurulu, 04.08.2022 tarih ve 2022/797 sayılı Kararı'nda işyerine giriş-çıkışlarda yüz tanıma sistemiyle biyometrik veri işlenmesini, Kanun'un 6. maddesi kapsamında herhangi bir işleme şartına dayanılmaksızın gerçekleştirildiği gerekçesiyle hukuka aykırı bulmuş; 29.04.2026 tarih ve 2026/921 sayılı İlke Kararı'nda ise mesai takibi amaçlı biyometrik veri işlemenin, çalışanın açık rızası bulunsa dahi hukuka aykırı olduğuna hükmetmiştir — gerekçe olarak işçi-işveren ilişkisindeki yapısal güç dengesizliğinin açık rızanın "özgür irade" unsurunu zedelediği belirtilmiştir. Bu doğrultuda yalnızca açık rızaya dayanmak, biyometrik veri işlemeyi tek başına hukuka uygun kılmayabilir. Müşteri, bu özelliği etkinleştirmeden önce (i) ölçülülük, gereklilik ve veri minimizasyonu ilkelerine uygunluğunu, (ii) şifreli kart/PIN, RFID/NFC kimlik kartı veya cihaz eşleştirme gibi daha az müdahaleci bir alternatifin yeterli olup olmadığını değerlendirmeli ve (iii) kendi hukuki danışmanına başvurmalıdır. OculaWork bu değerlendirmeyi Müşteri adına yapmaz ve bu konudaki hukuki riski üstlenmez.

• TLS 1.3 ile şifreli veri iletimi — HTTP üzerinden erişim engellenir
• Firebase Firestore güvenlik kuralları ile rol bazlı erişim kontrolü (RBAC)
• Kamera görüntüsü client-side işlenmekte; sunucuya ham görüntü iletilmemektedir
• Firebase Authentication ile oturum yönetimi; token süresi 1 saat
• Yönetim paneli: bireysel veriler anonim; departman bazında toplulaştırılmış istatistik gösterilir
• OculaWork admin paneline erişim, parola ve ayrıca bir güvenlik sorusu cevabından oluşan iki adımlı doğrulama ile korunur; güvenlik sorusu düzenli aralıklarla yenilenir

• ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi
• SOC 2 Type II
• Veri merkezleri, Google'ın kendi güvenlik ve veri işleme şartlarına tabidir; OculaWork, Google'ın hukuki uyumluluğu konusunda ayrıca bir garanti vermez

Güvenlik ihlali tespit edilmesi hâlinde Müşteriler ve ilgili ise KVKK Kurumu 72 saat içinde yazılı olarak bildirilir (KVKK Md. 12/5). Müşteri de, kendi tarafında (kendi hesapları, ağı veya sistemleri üzerinden) meydana gelen ve Platform verilerini etkileyebilecek bir güvenlik ihlalini fark ettiğinde, bunu gecikmeksizin OculaWork'e bildirmekle yükümlüdür.

Müşteri, KVKK kapsamındaki Veri Sorumlusu yükümlülüklerini yerine getirebilmek amacıyla, OculaWork'ün veri işleme süreçlerine ilişkin bilgi ve belge talep etme hakkına sahiptir. OculaWork, kendi ticari sırlarını ve diğer Müşterilere ait bilgileri ifşa etmeyecek şekilde, makul sıklıkta ve en az 15 gün önceden yazılı bildirim yapılması kaydıyla bu talebi karşılar. Yerinde (on-site) denetim veya bağımsız üçüncü taraf denetimi, ancak tarafların önceden yazılı olarak mutabık kaldığı kapsam, süre ve gizlilik şartları çerçevesinde mümkündür; denetim masrafları aksi kararlaştırılmadıkça talep eden Müşteri'ye aittir.

Platform'da bir güvenlik açığı tespit eden kişiler, bu durumu yalnızca info@oculawork.com adresine, sorumlu açıklama (Responsible Disclosure) ilkeleri kapsamında bildirebilir. Önceden OculaWork'ün yazılı izni alınmaksızın gerçekleştirilen aktif sızma testi, yük testi, fuzzing veya benzeri faaliyetler bu kapsamda değerlendirilmez ve §11.1'de tanımlanan Yasaklı Kullanımlar hükmüne tabidir.

OculaWork'ün herhangi bir nedenle tazminat yükümlülüğüne girmesi hâlinde toplam sorumluluğu, ihlalin gerçekleştiği tarihten önceki son 12 aylık abonelik bedeliyle sınırlıdır. Bu sınırlama; kasıt, ağır ihmal, fikri mülkiyet ihlali veya gizlilik/veri güvenliği yükümlülüklerinin ihlali hâllerinde uygulanmaz.

• Müşterinin KVKK yükümlülüklerini yerine getirmemesinden kaynaklanan para cezası ve tazminatlar
• Çalışanın açık rızasının alınmamasından kaynaklanan idari ve hukuki yaptırımlar
• Platform verilerinin tek başına dayanak gösterilerek alınan personel kararlarının hukuki sonuçları
• Müşterinin kullanıcı adı/şifresini yetkisiz kişilerle paylaşmasından kaynaklanan veri sızıntıları
• Mücbir sebep (doğal afet, savaş, hükümet kararı, siber saldırı, elektrik kesintisi, internet omurga (backbone) arızaları, internet servis sağlayıcısı/DNS/DNSSEC/CDN kesintisi, kök sertifika (root certificate) sorunları, küresel internet kesintisi, bulut altyapı sağlayıcısı kesintisi, Apple/Google/Microsoft gibi platform sağlayıcılarının tarayıcı veya kamera API politikalarında yaptığı beklenmedik değişiklikler, veya üçüncü taraf yapay zeka servis sağlayıcılarının kesintisi)
• Dolaylı, öngörülemeyen veya cezai nitelikteki zararlar; bu kapsama özellikle gelir kaybı, kâr kaybı, itibar kaybı, iş kaybı veya veri kaybı dahildir — hiçbir koşulda bu kalemler için tazminat ödenmez (§10.2'de belirtilen kasıt/ağır ihmal/fikri mülkiyet/gizlilik istisnaları hariç)
• Google Firebase / Google Cloud altyapısından kaynaklanan kesinti veya veri kayıpları

Taraflar, mücbir sebep süresince ve mücbir sebebin doğrudan etkilediği ölçüde, işbu Sözleşme'den doğan yükümlülüklerini yerine getirememekten sorumlu tutulamaz.

Herhangi bir çalışanın işverenine (Müşteri'ye) karşı Platform verileriyle ilgili dava açması durumunda OculaWork bu davada taraf değildir. Müşteri, OculaWork'ü bu tür davalardan muaf tutmayı ve olası masrafları karşılamayı kabul eder.

Kullanıcı, kendi hesabından yapılan tüm işlemlerden bizzat sorumludur. Şifrenin üçüncü kişilerle paylaşılması hâlinde bundan doğan tüm sonuçlar (veri erişimi, yetkisiz işlem, veri sızıntısı dahil) paylaşımı yapan kullanıcıya ve/veya Müşteri'ye aittir; OculaWork bu durumdan sorumlu tutulamaz. Kullanıcı hesapları kişiye özeldir; hesabın birden fazla kişi tarafından ortak kullanılması lisans ihlali sayılır ve OculaWork bu durumda ilgili hesabı askıya alma hakkını saklı tutar.

OculaWork, işbu Sözleşme kapsamındaki hizmetler için herhangi bir mesleki sorumluluk sigortası (E&O) veya başka bir sigorta taahhüdünde bulunmaz.

Platform, işbu Sözleşme'de açıkça belirtilenler dışında "olduğu gibi" (as-is) ve "mevcut haliyle" (as-available) sunulmaktadır. OculaWork; Platform'un kesintisiz, hatasız veya güvenlik açığından tamamen arınmış çalışacağına, belirli bir amaca uygunluğuna, satılabilirliğine veya Müşteri'nin beklentilerini karşılayacağına dair açık ya da zımni herhangi bir garanti vermez.

Platform yazılımı, kaynak kodu, algoritmaları, tasarım ve marka OculaWork'ün münhasır fikri mülkiyetidir. Müşteri'ye; münhasır olmayan (non-exclusive), geri alınabilir (revocable), sınırlı (limited) ve dünya çapında (worldwide) geçerli, yalnızca abone olunan kullanıcı sayısı kadar, kullanım amaçlı bir lisans tanınır. Bu lisans devredilemez, başka bir firmaya kiralanamaz veya alt lisans olarak verilemez; Platform hiçbir şekilde kopyalanamaz veya tersine mühendisliğe tabi tutulamaz. Lisans, yalnızca satın alınan/abone olunan kullanıcı (kota) sayısı kadar aktif kullanıcı için geçerlidir; kota aşımı tespit edilirse Müşteri'den ek kota satın alması istenir. Lisanslanan kullanıcı sayısının sistematik şekilde aşılması hâlinde OculaWork, fazla kullanım bedelini geriye dönük olarak faturalandırabilir veya hesabı askıya alabilir. İşbu Sözleşme, OculaWork markası, ticari unvanı, algoritmaları veya olası patent başvuruları üzerinde Müşteri'ye herhangi bir hak devri oluşturmaz.

Müşteri ve çalışanlara ait ham tarama sonuçları ve raporlar Müşteri'nin mülkiyetindedir. OculaWork bu verileri yalnızca Sözleşme kapsamında işler; anonimleştirilerek toplulaştırılmış istatistikler Platform geliştirmesi amacıyla kullanılabilir.

Platform içerisinde üçüncü taraf açık kaynak yazılımlar kullanılabilir. Bu yazılımların lisans hakları ilgili lisans sahiplerine aittir. Açık kaynak bileşenlerinin kullanılması, işbu Sözleşme kapsamında OculaWork'ün fikri mülkiyet haklarını ortadan kaldırmaz.

Müşteri, OculaWork'ün önceden yazılı izni olmaksızın OculaWork marka, logo veya ticari unvanını reklam, referans veya tanıtım amacıyla kullanamaz.

OculaWork, aksi yazılı olarak kararlaştırılmadıkça Müşteri'nin ticaret unvanını yalnızca referans müşteri listesinde kullanabilir. Müşteri, dilediği zaman yazılı bildirimle bu izni geri alabilir.

• Platform yıllık abonelik esasına göre sunulur; güncel fiyatlar oculawork.com'da yayınlanır
• Yeni Müşteriler için 15 günlük ücretsiz deneme süresi tanınır; deneme süresi sonunda ücretli aboneliğe geçilmezse hesap otomatik olarak dondurulur, kart bilgisi talep edilmez
• OculaWork, güncel fiyatları değiştirme hakkını saklı tutar; fiyat değişiklikleri Müşteri'ye en az 30 gün önceden bildirilir. Yeni fiyat, yalnızca bir sonraki yenileme (renewal) döneminden itibaren geçerli olur; hâlihazırda abone olan Müşterilerin ödemesi tamamlanmış, devam eden dönemine geriye dönük olarak kesinlikle uygulanmaz
• Ödemeler dönem başında peşin tahsil edilir; KDV ve yasal kesintiler faturaya yansıtılır
• Ödemenin gecikmesi hâlinde, gecikilen tutar üzerinden 6102 sayılı TTK ve ilgili mevzuatta öngörülen ticari temerrüt faiz oranı üzerinden gecikme faizi talep edilebilir; bu, §13.3'te belirtilen 15 günlük ihtar sürecine ek bir haktır
• Vergi mevzuatında meydana gelen değişikliklerden kaynaklanan yeni vergi, fon veya benzeri mali yükümlülükler, yürürlük tarihinden itibaren fiyatlara yansıtılabilir
• İptal bildirimi dönem bitiminden en az 15 gün önce yazılı olarak yapılmalıdır
• Peşin ödenen abonelik ücretleri iade edilmez; iptal/fesih hâlinde dönemin kullanılmayan kısmı için kısmi iade yapılmaz
• Bu Sözleşme B2B ilişkiyi düzenler; 6502 sayılı TKHK kapsamında cayma hakkı uygulanmaz
• Platform reklamsızdır.

OculaWork, aşağıdaki durumlarda Sözleşme'yi feshetmeden önce Müşteri'nin hesabını geçici olarak askıya alma hakkını saklı tutar: (i) Platform'un veya altyapının aktif bir siber saldırı altında olması, (ii) hesaptan kaynaklanan yetkisiz erişim/kötüye kullanım şüphesi, (iii) ödeme gecikmesi (bkz. §13.3), (iv) API kötüye kullanımı, bot trafiği, hizmet dışı bırakma (DDoS) girişimi, yetkisiz otomasyon veya olağan dışı yoğunlukta istek gönderimi (bkz. §11.1 Yasaklı Kullanımlar). (iv) numaralı hâllerde, Platform'un veya diğer Müşterilerin bütünlüğünü korumak amacıyla, hesap önceden bildirim yapılmaksızın askıya alınabilir. Askıya alma süresince Müşteri verilerine erişim geçici olarak kısıtlanır ancak veriler silinmez; durum netleştiğinde erişim yeniden açılır.

Her iki taraf 30 gün önceden yazılı bildirimde bulunarak Sözleşme'yi sona erdirebilir.

OculaWork aşağıdaki durumlarda derhal ve tazminatsız fesih hakkını saklı tutar:

• Müşterinin KVKK'yı açıkça ve ısrarla ihlal etmesi
• Platform'un yasadışı amaçlarla kullanılması
• Ödeme gecikmesi — Müşteri'ye 15 günlük yazılı ihtar süresi tanınır; bu süre içinde ödeme yapılmaz veya gecikme giderilmezse hesap askıya alınabilir ve/veya Sözleşme feshedilebilir
• Platformun güvenliğini tehdit eden davranışlar

Yetkili bir mahkeme kararı veya kanunen zorunlu kılan bir idari/yasal düzenleme mevcut olması hâlinde, OculaWork Platform'u kısmen veya tamamen durdurabilir/kaldırabilir. Bu durum, kaynağı OculaWork'ün kontrolünde olmayan bir hukuki zorunluluktan doğduğu ölçüde, §10.3 kapsamında sorumluluk dışı bir hâl olarak değerlendirilir.

• Sözleşme sona ermesinden itibaren 90 gün içinde Müşteri verilerini dışa aktarabilir
• 90 günlük süre sonunda tüm kişisel veriler geri döndürülemez biçimde silinir ve Müşteri'ye yazılı teyit edilir
• Lisans, aboneliğin sona ermesiyle birlikte otomatik olarak sona erer; Müşteri ve çalışanları bu tarihten itibaren Platform'a erişemez

Platform, bugün itibarıyla klasik anlamda bir HTTP çerezi (cookie) oluşturmamaktadır; aşağıdaki teknik depolama mekanizmaları tarayıcının yerel depolama alanında (localStorage) tutulur:

KVKK başvurularına 30 gün içinde yanıt verilir. KVKK Kurumu'na şikâyet için: kvkk.gov.tr

Bu Sözleşme kapsamında taraflarca bildirilen e-posta adresine yapılan bildirimler, gönderildiği tarihte tebliğ edilmiş sayılır. Müşteri, iletişim bilgilerini güncel tutmakla yükümlüdür. E-postanın alıcı tarafın spam/gereksiz posta klasörüne düşmesi, alıcının e-posta sağlayıcısındaki filtreleme ayarlarından kaynaklanır; bu durumdan OculaWork sorumlu tutulamaz. Taraflar, iletişim bilgilerindeki değişiklikleri en geç 7 gün içinde yazılı olarak bildirmekle yükümlüdür; bildirilmeyen değişikliklerden doğacak sonuçlardan ilgili taraf sorumludur.

Faturalar elektronik fatura (e-Fatura) veya elektronik arşiv fatura (e-Arşiv) olarak, mevzuatın izin verdiği ölçüde e-posta yoluyla gönderilir ve bu şekilde tebliğ edilmiş sayılır.

• Bu Sözleşme Türkiye Cumhuriyeti hukukuna tabidir
• Uyuşmazlıklarda 6698 sayılı KVKK, 6331 sayılı İSG Kanunu, 6102 sayılı TTK ve 6098 sayılı TBK uygulanır
• Uyuşmazlıklarda Ankara Mahkemeleri ve İcra Daireleri münhasıran yetkilidir
• Herhangi bir hükmün geçersizliği geri kalan hükümleri etkilemez (bölünebilirlik); geçersiz sayılan hükmün yerine, mümkün olduğu ölçüde, tarafların o hükümle ulaşmak istediği ticari amaca ve iradeye en yakın, hukuka uygun bir hüküm uygulanır
• OculaWork bu Sözleşme'yi 30 gün önceden bildirimle güncelleme hakkını saklı tutar
• Taraflar arasındaki uyuşmazlıklarda, sözleşmeden doğan talepler ilgili mevzuatta öngörülen zamanaşımı sürelerine tabidir

Müşteri, Platform'u Türkiye'nin veya Birleşmiş Milletler, Avrupa Birliği, ABD gibi uluslararası kuruluşların/yargı alanlarının yürürlükteki ihracat kontrolü ve yaptırım mevzuatını ihlal edecek şekilde kullanmayacağını; yaptırım listelerinde yer alan bir kişi/kuruluş adına veya yaptırım uygulanan bir ülkeden erişim sağlamayacağını beyan ve taahhüt eder.

Müşteri, işbu Sözleşme'yi OculaWork'ün önceden yazılı onayı olmaksızın devredemez. OculaWork, şirket birleşmesi, hisse devri, varlık satışı veya benzeri bir yapısal değişiklik hâlinde, işbu Sözleşme'yi ve bundan doğan hak ve yükümlülüklerini, Müşteri'ye önceden bildirimde bulunmak kaydıyla, üçüncü bir tarafa devredebilir.

İşbu Sözleşme metni ile ekleri (EK-1 Veri İşleme Sözleşmesi, Gizlilik Politikası, KVKK Aydınlatma Metinleri, Açık Rıza Metni) arasında bir çelişki bulunması hâlinde, aşağıdaki öncelik sırası uygulanır: (i) EK-1 Veri İşleme Sözleşmesi (yalnızca veri işleme hükümleri bakımından), (ii) işbu Sözleşme'nin ana metni, (iii) diğer ekler ve ayrı belgeler. Bildirimler, aksi belirtilmedikçe Türkçe yapılır; TR/EN metinler arasında çelişki hâlinde Türkçe metin esas alınır.

Taraflar, işbu Sözleşme kapsamında öğrendikleri veya erişim sağladıkları birbirlerine ait ticari sırları, fiyatlandırma bilgilerini, algoritma ve yazılım mimarisi detaylarını, müşteri/çalışan listelerini ve açıkça gizli olarak işaretlenmiş diğer bilgileri üçüncü kişilerle paylaşmamayı ve yalnızca işbu Sözleşme'nin ifası amacıyla kullanmayı kabul eder. Bu yükümlülük, kamuya mal olmuş bilgileri, yasal zorunluluk nedeniyle açıklanması gereken bilgileri veya bağımsız olarak geliştirilmiş bilgileri kapsamaz; Sözleşme sona erse dahi makul bir süre boyunca yürürlükte kalır.

Taraflardan birinin işbu Sözleşme'den doğan bir hakkını belirli bir durumda kullanmaması veya kullanmakta gecikmesi, o haktan veya ileride aynı ya da benzer bir durumda bu hakkı kullanmaktan feragat ettiği anlamına gelmez.

İşbu Sözleşme ve ekleri (EK-1 Veri İşleme Sözleşmesi ile bkz. §16.3'te belirtilen diğer belgeler), taraflar arasındaki konuya ilişkin bütün anlaşmayı oluşturur ve bu konudaki önceki yazılı veya sözlü tüm görüşme, teklif ve anlaşmaların yerine geçer. İşbu Sözleşme'de değişiklik, ancak OculaWork tarafından yazılı olarak (bkz. §16 güncelleme bildirimi) yapılabilir.

İşbu Sözleşme herhangi bir nedenle sona erse dahi, niteliği gereği sona ermeden sonra da uygulanması gereken hükümler yürürlükte kalmaya devam eder; bunlar arasında özellikle Gizli Bilgi (§16.6), Fikri Mülkiyet (§11), Tazmin Yükümlülüğü (§16.5), Kişisel Verilerin Korunması'na ilişkin hükümler (§7) ve Delil Sözleşmesi (§16.4) yer alır.

Bu ek, işbu Hizmet Sözleşmesi'nin ayrılmaz bir parçasıdır ve Müşteri ile OculaWork arasındaki veri işleme ilişkisini KVKK Md. 3/1-ğ kapsamında düzenler. Sözleşme metni içindeki ilgili hükümlerin konsolide bir özetidir; çelişki hâlinde ana metindeki ilgili bölüm esas alınır.