1. Einleitung

Diese Erklärung beschreibt, wie im von Voratrix Yazılım ve Yapay Zeka Teknolojileri Anonim Şirketi (der „Anbieter“) betriebenen Dienst Xaly.ai personenbezogene Daten erhoben, verwendet, gespeichert und geschützt werden.

Sie gilt für die Website xaly.ai, das Portal app.xaly.ai, die mobile Anwendung sowie die im Rahmen des Dienstes geführten Anruf- und Nachrichtenabläufe.

2. Unsere Rollen: Verantwortlicher und Auftragsverarbeiter

Für die Daten unserer Kontoinhaber (Registrierung, Abrechnung, Support, Websitebesuch) ist der Anbieter Verantwortlicher.

Für personenbezogene Daten aus Gesprächen zwischen einem Abonnenten und dessen eigenen Kunden ist der Abonnent Verantwortlicher und der Anbieter Auftragsverarbeiter. Solche Daten verarbeiten wir ausschließlich nach Weisung des Abonnenten und zur Erbringung des Dienstes.

Die Information der Endnutzer und die Einholung erforderlicher Einwilligungen obliegen dem Abonnenten als Verantwortlichem.

3. Erhobene Daten

Konto- und Identitätsdaten: Name, Firma, E-Mail, Telefon, Benutzerrolle und, sofern hochgeladen, Ihr Profilbild.
Abrechnungsdaten: Finanzamt und Steuernummer, Rechnungsanschrift, Zahlungsbetrag und -datum. Kartennummer, Ablaufdatum und Prüfziffer erreichen uns nie.
Nutzungsdaten: Anmeldeprotokolle, IP-Adresse, Geräte- und Browserangaben, Aktivitätsprotokolle im Portal.
Kommunikationsinhalte: Gesprächsaufzeichnungen, Transkripte, Nachrichteninhalte, von Ihnen hochgeladene Unterlagen und Bilder (z. B. Überweisungsbeleg, gescannte Visitenkarte) und Interessentendatensätze.
Support-Korrespondenz: Ihre Anfragen, Fehlermeldungen und Anhänge.
Über Cookies und ähnliche Technologien erhobene Daten: Einzelheiten in der Cookie-Richtlinie.

4. Zwecke und Rechtsgrundlagen

Erbringung des Dienstes, Kontoverwaltung und Support — Vertragserfüllung.
Abrechnung, Inkasso und Buchführung — rechtliche Verpflichtung und Vertragserfüllung.
Gewährleistung der Sicherheit, Verhinderung von Missbrauch und Betrug, Protokollierung von Registrierungsversuchen — berechtigtes Interesse.
Messung der Dienstqualität und Produktverbesserung — berechtigtes Interesse; nach Möglichkeit mit aggregierten und anonymisierten Daten.
Bearbeitung rechtlicher Anfragen und Rechtsverteidigung — rechtliche Verpflichtung und berechtigtes Interesse.
Versand kommerzieller elektronischer Nachrichten — nur mit ausdrücklicher Einwilligung und mit Abmeldemöglichkeit in jeder Nachricht.

5. KI-Modelle und Ihre Daten

Wir verwenden Daten von Abonnenten nicht, um eigene KI-Modelle für allgemeine Zwecke zu trainieren.

Sprachmodell- und Sprachverarbeitungskomponenten laufen auf unserer eigenen Infrastruktur; Gesprächsinhalte werden nicht zu Trainingszwecken an Drittanbieter von Modellen übermittelt.

Die einzige Ausnahme sind die Bildfunktionen: Beim Scannen von Visitenkarten oder der Bilderzeugung wird das betreffende Bild zur Verarbeitung an Google Gemini gesendet. Audio- und Gesprächsinhalte werden nicht an diesen Dienst übermittelt.

Ist eine Fehleranalyse erforderlich, erfolgt sie nur auf Wunsch oder mit Zustimmung des betroffenen Abonnenten und mit den geringstmöglichen Daten; solche Zugriffe werden protokolliert.

6. Speicherfristen

Nach Ablauf werden die Daten gelöscht, vernichtet oder unwiderruflich anonymisiert. Wünscht ein Abonnent eine kürzere Frist, wird diese angewandt.

Gesprächsaufzeichnungen und Transkripte: für die vom Abonnenten im Portal eingestellte Dauer; ohne Einstellung standardmäßig zwölf Monate.
Interessentendatensätze und Gesprächsmetadaten: für die Dauer des Abonnements und dreißig Tage darüber hinaus.
Abrechnungs- und Buchhaltungsunterlagen: zehn Jahre nach den gesetzlichen Vorgaben.
Sitzungs-, Zugriffs- und Sicherheitsprotokolle: zwei Jahre.
Protokolle zu Registrierungsversuchen und Missbrauch: einhundertachtzig Tage.
Support-Korrespondenz: drei Jahre ab Abschluss der Anfrage.

7. Weitergabe und Unterauftragsverarbeiter

Wir verkaufen Ihre Daten nicht und geben sie nicht zu Werbezwecken an Dritte weiter. Eine Weitergabe erfolgt nur, soweit sie zur Erbringung des Dienstes erforderlich ist:

Hosting- und Infrastrukturanbieter — Server, Sicherung und Speicherung.
Telekommunikationsanbieter und SIP-Provider — Aufbau der Gespräche.
Nachrichtenplattformen (Meta/WhatsApp, Telegram, Instagram) — sofern der jeweilige Kanal genutzt wird.
Anbieter für Bildverarbeitung (Google Gemini) — nur wenn Sie das Scannen von Visitenkarten oder die Bilderzeugung nutzen; das betreffende Bild wird an diesen Dienst übermittelt.
Zahlungsdienstleister (PayTR) und Banken — Abwicklung der Zahlung; Kartendaten werden unmittelbar auf deren Infrastruktur verarbeitet.
E-Mail- und Benachrichtigungsdienste — Versand von Informationen und Warnungen.
Zuständige Behörden — im Rahmen rechtlicher Verpflichtungen und nach Prüfung der Rechtmäßigkeit des Ersuchens.

8. Übermittlung ins Ausland

Die Kernkomponenten des Dienstes (Datenbank, Gesprächsaufzeichnungen, Sprachmodell und Sprachverarbeitung) werden auf unserer Infrastruktur in der Türkei betrieben.

Einzelne unterstützende Dienste (Nachrichtenplattformen, E-Mail-Versand, Fehlerüberwachung) können über Anbieter im Ausland laufen. Solche Übermittlungen erfolgen nach den Voraussetzungen des Artikels 9 des türkischen Gesetzes Nr. 6698 und, soweit erforderlich, auf Grundlage von Standardvertragsklauseln.

Bei der Installation auf eigenen Servern (On-Premise) verbleiben die Daten vollständig beim Abonnenten; eine Übermittlung ins Ausland findet nicht statt.

9. Sicherheitsmaßnahmen

TLS bei der Übertragung sowie Verschlüsselung auf Datenträger- und Feldebene bei der Speicherung; Geheimnisse getrennt und verschlüsselt abgelegt.
Rollen- und berechtigungsbasierte Zugriffskontrolle; Zwei-Faktor-Authentifizierung für Administratorkonten.
Zugriffsbeschränkung auf Netzwerkebene; Datenbank- und Cache-Dienste nicht aus dem Internet erreichbar.
Sitzungsüberwachung, IP-Sperre bei verdächtigen Anmeldungen und Ratenbegrenzung.
Regelmäßige Sicherungen und Wiederherstellungsübungen; Schwachstellen-Scans der Abhängigkeiten.
Prüfprotokolle: kritische Vorgänge werden mit Person, Zeitpunkt und IP-Adresse erfasst.

10. Meldung von Datenschutzverletzungen

Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt, erfolgt die Meldung an die türkische Datenschutzbehörde schnellstmöglich, spätestens innerhalb von zweiundsiebzig Stunden; betroffene Abonnenten werden unverzüglich informiert und über die getroffenen Maßnahmen unterrichtet.

11. Ihre Rechte

Nach dem türkischen KVKK und, soweit anwendbar, der DSGVO haben Sie das Recht zu erfahren, ob Ihre Daten verarbeitet werden, Auskunft, Berichtigung und Löschung zu verlangen, der Verarbeitung zu widersprechen, Datenübertragbarkeit zu verlangen und automatisierten Entscheidungen zu widersprechen.

Anträge richten Sie bitte an info@voratrix.com. Sie werden spätestens innerhalb von dreißig Tagen bearbeitet. Zur Identitätsprüfung können wir zusätzliche Angaben anfordern.

Betrifft Ihr Anliegen ein Gespräch im Konto eines Abonnenten, ist dieser Verantwortlicher; wir leiten Ihr Anliegen an ihn weiter und unterstützen ihn dabei.

12. Daten von Kindern

Der Dienst richtet sich an Unternehmen und wird Personen unter achtzehn Jahren nicht unmittelbar angeboten. Erfahren wir, dass ohne unser Wissen Daten eines Kindes verarbeitet wurden, löschen wir diese unverzüglich.

13. Änderungen und Kontakt

Diese Erklärung kann aktualisiert werden. Wesentliche Änderungen werden vor Inkrafttreten im Portal oder per E-Mail bekannt gegeben; das Datum am Seitenanfang zeigt die letzte Aktualisierung.

E-Mail: info@voratrix.com

Anschrift: Yakuplu Mah. Hürriyet Blv. Skyport Residence No: 1 İç Kapı No: 62, Beylikdüzü / İstanbul

Datenschutzerklärung