MCP Kullanım ve Veri Aktarım Koşulları

Belge sürümü: v1.0-2026-10-28 — Tarih: 28 Ekim 2026.

Bu koşullar, CREATO AI çalışma alanını kendi seçtiği harici yapay zekâ istemcisine bağlayan Müşteri ve yetkili kullanıcılar için Kullanım Şartları ve SaaS Hizmet Sözleşmesini tamamlar. Hizmet sağlayıcı: EMRE ALAY — CREATO AI. İletişim: hello@creato.digital.

1 Hizmetin niteliği ve bağlantı yöntemleri

Model Context Protocol (MCP), Kullanıcının ChatGPT (OpenAI), Claude (Anthropic), Cursor, Windsurf veya desteklenen başka bir üçüncü taraf yapay zekâ istemcisini (Harici AI İstemcisi) kendi CREATO AI çalışma alanına bağlamasını sağlar. Bağlantı, Kullanıcının seçtiği çalışma alanı ve izin kapsamıyla sınırlı okuma, analiz ve onaylı işlem araçlarına erişim sunar.

Bağlantı, OAuth 2.1 ve PKCE ile CREATO Portal giriş ve izin ekranından yetkilendirme verilerek veya Portal üzerinden kişisel MCP erişim anahtarı (crk_live_...) oluşturularak kurulur. Kullanıcı bağlantı sırasında çalışma alanını, izin kapsamını ve bağlayacağı istemciyi kontrol eder. Kişisel anahtarın ham değeri yerine SHA-256 özeti saklanır.

2 Kullanıcı talimatı ve bağlantı onayı

MCP bağlantısı Kullanıcının aktif talimatıyla kurulur. Bağlantı onayı verilmeden veya kişisel anahtar oluşturulmadan önce şu beyanın ayrıca kabul edilmesi gerekir:

CREATO AI MCP Kullanım ve Veri Aktarım Koşullarını okudum; seçtiğim yetki kapsamındaki çalışma alanı verilerimin bağladığım üçüncü taraf AI istemcisiyle paylaşılacağını kabul ediyorum.

Bu kabul, seçilen bağlantı ve izin kapsamına ilişkin hizmet talimatıdır. Çalışma alanındaki müşteriler, müşteri adayları veya diğer kişiler adına verilmiş genel bir açık rıza değildir. Kişisel verilerin işlenmesi ve aktarılması için gerekli aydınlatma, hukuki dayanak ve aktarım koşulları ayrıca sağlanır.

3 Yetki seviyeleri ve insan onayı

• Salt Okunur — `READ_ONLY`: Yalnızca okuma ve raporlama araçlarına erişir; taslak oluşturamaz veya veri değiştiremez. İzleyici (VIEWER) rolündeki kullanıcılar bu kapsamla sınırlıdır.
• Taslak Açabilir — `PROPOSE_ONLY`: Okuma yapabilir ve değişiklikler için onay bekleyen (PENDING) taslaklar oluşturabilir. Taslağın uygulanması için yetkili Kullanıcının CREATO Portal üzerinden onay vermesi gerekir.
• Taslak + Sohbetten Onay — `PROPOSE_AND_CONFIRM`: Okuma yapabilir, taslak oluşturabilir ve Kullanıcının sohbet içinde açık onayından sonra ayrı bir doğrulama adımıyla taslağı uygulayabilir. İki aşamalı işlem kilidi (Turn-Lock), öneri ve uygulamanın tek bir onaysız işlemde gerçekleşmesini engeller.

Hiçbir kapsam, başka bir çalışma alanına erişim veya Kullanıcının mevcut hesap yetkilerini aşma hakkı vermez. Harici AI İstemcisinin talimatları bu sınırları kaldıramaz. Kullanıcı taslağın içeriğini, hedefini ve etkisini onaydan önce kontrol eder; genel bir bağlantı izni belirli bir değişikliğin onayı yerine geçmez.

4 Aktarılabilecek veriler ve erişim sınırları

İstenen araç ve seçilen yetki kapsamında, ilgili çalışma alanına ait aşağıdaki bilgiler Harici AI İstemcisine iletilebilir:

• CRM ve müşteri adayları: Ad, soyad, telefon, e-posta, durum, takip tarihi, atanan ekip üyesi ve notlar.
• Görevler ve ekip iş akışı: Görev başlıkları, açıklamaları, son tarihleri, öncelikleri ve hatırlatmalar.
• Konuşma zekâsı: Görüşme istatistikleri, konu ve niyet dağılımları, bilgi eksikliği ve itiraz özetleri.
• AI çalışan bilgileri: Çalışan adı, durumu, bağlı kanal adları, iletişim tonu, görev ve kampanya kuralları, sık sorulan sorular, etkin yetenek adları ve sürüm geçmişi.
• Bilgi bankası ve destek: Şirket bilgi dokümanlarının içerikleri, revizyon geçmişi ve CREATO destek kayıtları.
• Kişisel rutinler: Kullanıcının tanımladığı periyodik rapor ve hatırlatmalar.

CREATO AI'nın çekirdek sistem yönergeleri (systemPrompt) ve iç model mimarisi; kanal ve entegrasyon erişim anahtarları, şifreli token'lar (accessToken, authValue), özel API başlıkları ve kullanıcı şifreleri bu araçlarla dışarı aktarılmaz. Kullanıcının yetkili olmadığı başka marka veya çalışma alanlarının verileri erişim kapsamı dışındadır.

5 Harici istemci ve yurt dışına aktarım

Araç yanıtları, Kullanıcının bağladığı Harici AI İstemcisine HTTPS üzerinden iletilir. İlgili sağlayıcının sunucuları veya alt hizmet sağlayıcıları Türkiye dışında bulunabilir. Kullanıcı, bağlamadan önce seçtiği sağlayıcının koşullarını, veri işleme bölgelerini, saklama ve silme ayarlarını ve model eğitimi tercihlerini değerlendirir.

Harici AI İstemcisinin aldığı verileri saklaması, sonraki işlemesi veya model eğitiminde kullanıp kullanmaması; o sağlayıcının koşullarına, kullanılan hesap ve plana ve geçerli ayarlara tabidir. CREATO AI bu bağımsız istemcinin işletimini veya veri uygulamalarını yönetmez. Bu ayrım, CREATO AI'nın kendi teknik hizmeti, kusuru, veri güvenliği ve kanuni veri koruma yükümlülüklerini ortadan kaldırmaz.

Müşteri, çalışma alanındaki kişisel veriler bakımından veri sorumlusu veya yetkili temsilci olarak gerekli aydınlatmayı ve hukuki dayanağı sağlar. Yurt dışına aktarımda 6698 sayılı Kanun'un 9. maddesi ve uygulanabildiği ölçüde GDPR dahil ilgili mevzuatın koşulları gözetilir. Bağlantı kutusunun işaretlenmesi tek başına bu koşulların sağlandığı anlamına gelmez. Aktarımın niteliğine göre gereken yeterlilik kararı, uygun güvence veya uygulanabilir istisna ayrıca değerlendirilir. KVKK Kurumunun yurt dışına aktarım açıklaması bu mekanizmaları açıklar.

6 Taslakların doğruluğu ve sorumluluk

Harici AI İstemcisi yanlış yorumlayabilir veya hatalı içerik üretebilir. Kullanıcı, onaylayacağı taslağın doğruluğunu, hukuki uygunluğunu ve işlem kapsamını kontrol etmekten; Müşteri ise kendi kaynak verisi, kullanıcı yetkilendirmeleri ve talimatlarından sorumludur. Kullanıcı onayladığı işlemin etkisini değerlendirmeden yalnızca AI önerisine dayanarak hareket etmemelidir.

CREATO AI, kendi kontrolündeki yetki sınırlarını ve onay adımlarını teknik olarak uygulamaktan ve hizmeti kararlaştırılan özenle sunmaktan sorumludur. Harici istemcinin bağımsız faaliyetlerinden doğan sorumluluk ilgili hizmet ve uygulanabilir hukuk kapsamında değerlendirilir. Ana sözleşmedeki kusur, sorumluluk sınırı ve emredici hukuk hükümleri saklıdır; hiçbir hüküm CREATO AI'nın kendi kusurunu otomatik olarak Kullanıcıya yüklemez.

7 Erişim güvenliği ve bağlantının iptali

Kişisel MCP anahtarları şifre gibi korunur; yetkisiz kişilerle paylaşılmaz, herkese açık kod veya mesajlarda yayımlanmaz. Kullanıcı yalnız güvendiği Harici AI İstemcilerini bağlar ve seçtiği kapsamı ihtiyacıyla sınırlar. Anahtarın açığa çıkması veya şüpheli kullanım halinde bağlantı ya da anahtar CREATO Portal > Ayarlar > MCP & AI Bağlantısı ekranından derhal iptal edilir (Revoke).

Kullanıcı bağlantısını veya kişisel anahtarını aynı ekrandan dilediği zaman iptal edebilir. İptal, ilgili bağlantı veya anahtar üzerinden yeni erişimi durdurur; daha önce harici sağlayıcıya iletilen verileri o sağlayıcıdan kendiliğinden silmez. Bu veriler için ilgili sağlayıcının silme ve saklama araçları ayrıca kullanılır.

8 Kullanım sınırları ve fikri mülkiyet

MCP erişimi, izin verilen çalışma alanı işlemleriyle sınırlıdır. Yetkisiz veri toplama, otomatik kazıma (scraping), başka çalışma alanlarına erişme girişimi, erişim kontrollerini aşma veya CREATO AI altyapısını ve korunan prompt mimarisini kopyalama amacıyla kullanılamaz. Anahtar başına dakikada en fazla 60 istek sınırı ve teknik kotalar aşılmaya çalışılamaz.

CREATO AI, güvenliği tehdit eden veya bu kuralları ihlal eden bağlantıyı ana sözleşmenin askıya alma hükümleri çerçevesinde sınırlandırabilir ya da askıya alabilir. Kullanım izni, CREATO AI'nın fikri mülkiyet haklarını veya üçüncü kişilerin haklarını devretmez; emredici hukukun izin verdiği haklar saklıdır.

9 Elektronik onay kayıtları ve belge sürümü

Bağlantı veya anahtar oluşturma onayı sırasında kullanıcı kimliği, e-posta adresi, IP adresi, tarayıcı bilgisi (User-Agent), zaman damgası, seçilen çalışma alanı (customerId), yetki kapsamı (scope), bağlanan istemci adı ve kabul edilen belge sürümü UserConsentLog kaydına işlenir. Bu bilgiler yetkilendirmenin kapsamını, zamanını ve kabul edilen metni belgelemek için tutulur.

Taraflar, usulüne uygun tutulan elektronik kayıtların uyuşmazlıklarda HMK m.193 ve ilgili mevzuat çerçevesinde delil olarak kullanılabileceğini kabul eder. Kayıtların doğruluğuna itiraz etme ve karşı delil sunma hakları korunur; taraflardan birinin ispat hakkını imkânsızlaştıran veya aşırı güçleştiren bir sonuç amaçlanmaz.

Türkçe ve İngilizce metinler aynı v1.0-2026-10-28 sürümüne ilişkindir. Bu sayfanın güncellenmesi, geçmiş onay kaydında kabul edilmiş sürümü değiştirmez.

10 İlgili belgeler ve iletişim

Bu koşullar Kullanım Şartları, Veri İşleme Sözleşmesi ve Gizlilik Politikası ile birlikte değerlendirilir. Kullanıcının özellikle etkinleştirdiği MCP bağlantısının veri ve yetki kapsamı burada açıklanır; diğer hizmetler için genel bir harici AI aktarım izni oluşturmaz. Bağlı kanalların zorunlu kullanım ve veri işleme kısıtları geçerliliğini korur.

Hak talepleri, bağlantı güvenliği bildirimleri ve hukuki sorular için: EMRE ALAY — CREATO AI, hello@creato.digital.