Gizlilik Politikası
Son güncelleme: 4 Mayıs 2026
Controlio Security™, kullanıcı verilerinin güvenliğini en üst düzeyde tutar. Microsoft 365 ortamınıza yalnızca salt okunur (read-only) erişim sağlarız. Hiçbir veriyi değiştirmez, silmez veya dışarı aktarmayız.
01Veri Sorumlusu
Tworks Bilişim Hizmetleri Tic. Ltd. Şti.
Quasar İstanbul, Fulya Mah. Büyükdere Cad. No:76 Kat:1 İç Kapı No:104
34394 Mecidiyeköy / Şişli / İstanbul
E-posta: info@tworks.com.tr
Önemli netleştirme: Platform'un yazılımı, IP sahibi ÇEBİ Yazılım Hizmetleri Tic. Ltd. Şti. (Trabzon Teknokent) tarafından geliştirilmektedir; ancak ÇEBİ Yazılım, müşteri verilerine erişmez. Müşteri verisi yalnızca Tworks'ün operasyonel ortamında işlenir.
02Toplanan Veriler
| Veri Kategorisi | İçerik | Amaç |
|---|
| Kimlik Bilgileri | Ad, e-posta, tenant ID, domain | Hesap yönetimi ve oturum |
| Tarama Sonuçları | Güvenlik kontrol durumları, skor | Güvenlik değerlendirmesi |
| Lisans Bilgileri | M365 lisans türleri ve planları | Uygulanabilir kontrollerin belirlenmesi |
| Kullanım Verileri | Giriş zamanları, tarama geçmişi | Hizmet iyileştirme ve destek |
| AI Chat Verileri | Sohbet sorguları (anonim) | AI asistan hizmeti |
03Microsoft 365 Erişim İzinleri
Platform, Microsoft Graph API üzerinden aşağıdaki 19 izni talep eder. Tüm izinler salt okunur niteliktedir:
User.Read · User.Read.All · Directory.Read.All · Group.Read.All · Organization.Read.All · Policy.Read.All · RoleManagement.Read.Directory · Application.Read.All · SecurityEvents.Read.All · IdentityRiskEvent.Read.All · IdentityRiskyUser.Read.All · AttackSimulation.Read.All · AuditLog.Read.All · Reports.Read.All · DeviceManagementConfiguration.Read.All · DeviceManagementManagedDevices.Read.All · DeviceManagementApps.Read.All · SharePointTenantSettings.Read.All · SensitivityLabels.Read.All
Bu izinler yalnızca güvenlik değerlendirmesi kapsamında kullanılır. Platform e-posta içeriği okumaz, dosya erişimi sağlamaz veya kullanıcı adına işlem yapmaz. Mail.Read, Files.Read, Mail.ReadWrite, Files.ReadWrite gibi içerik okuma izinleri talep edilmez.
Sürekli İzleme (CCM) — Uygulama-Bazlı (App-Only) Erişim
İsteğe bağlı Sürekli İzleme modülü, bir kullanıcı oturumuna bağlı olmadan otomatik ve periyodik (saatlik) çalışacak şekilde tasarlanmıştır. Bunun için bir X.509 sertifikasıyla yetkilendirilmiş uygulama (application) izinleri kullanır. Bu, yöneticiniz onayı kaldırmadığı sürece Controlio'nun onaylı yapılandırma verilerine kalıcı, arka planda salt-okunur erişimi olduğu anlamına gelir; bunu açıkça beyan ederiz. Modül, Microsoft Graph üzerinden 26 uygulama izni (tümü salt-okunur) ile Exchange Online için Exchange.ManageAsApp (yalnızca salt-okunur Get- komutlarıyla koruma politikası yapılandırmasını okur; posta kutusu veya posta içeriği erişimi vermez) talep eder. Erişim yine yalnızca yapılandırma ve güvenlik-duruşu verisiyle sınırlıdır; hiçbir e-posta, dosya, Teams iletisi veya takvim içeriğine erişilmez. Yönetici, onayı Microsoft Entra ID'de veya uygulama içinden tek tıkla her an iptal edebilir.
04Verilerin Saklanması
Altyapı
Tüm veriler Microsoft Azure bulut altyapısında, endüstri standardı güvenlik önlemleriyle barındırılır.
Veri İzolasyonu
Her müşterinin verileri tenant ID bazında ayrılmıştır. Bir müşterinin verilerine başka bir müşteri erişemez. Tarama sonuçları şifreli olarak saklanır.
Saklama Süresi
Tarama sonuçları hesap aktif olduğu sürece saklanır. Hesap kapatıldığında tüm veriler 30 gün içinde kalıcı olarak silinir. AI Chat sorguları anonim olarak işlenir ve 90 gün sonra otomatik silinir.
Sürekli İzleme Verisi
Sürekli İzleme modülünün verileri, interaktif üründen izole edilmiş bir altyapıda ve Microsoft Azure'un Kuzey Avrupa (North Europe) bölgesinde saklanır; her müşteri kiracı kimliğine göre ayrılır. TrueState taban çizgileri yalnızca yapılandırma değerleri ve değişiklik tespiti için kullanılan karşılaştırma hash'leri içerir (içerik değil). Yapılandırma anlık görüntüleri en fazla 400 gün saklanır ve otomatik olarak silinir. Sapma uyarı e-postaları Controlio'nun kendi kiracısından gönderilir (sizin kiracınızdan değil) ve yalnızca hangi ayarın değiştiğini belirtir. Yetkili yönetici (Global Administrator / Security Administrator) izlemeyi uygulama içinden kapatabilir ve kuruluşa ait tüm izleme verisini kalıcı olarak silebilir.
05Verilerin Paylaşılması ve Hizmet Sağlayıcılar
Kullanıcı verileri üçüncü taraflarla paylaşılmaz, satılmaz veya kiralanmaz. Controlio Security™'nin altyapısında ve operasyonunda kullanılan üçüncü taraf hizmet sağlayıcıları:
| Hizmet Sağlayıcı | Rol | Konum |
|---|
| Microsoft Corporation | Bulut altyapısı (Azure), kimlik doğrulama (Entra ID), Graph API erişimi | AB - West Europe |
| Anthropic, PBC | AI Chat özelliği için anonimleştirilmiş sorgu işleme | ABD |
Aşağıdaki istisnai durumlar saklıdır: mahkeme kararı veya yasal düzenleme gereği talep edilen bilgiler resmi makamlarla paylaşılır. Bu paylaşımlar mevzuatın izin verdiği asgari kapsamla sınırlıdır.
ÇEBİ Yazılım Hizmetleri (yazılımın IP sahibi ve geliştiricisi) müşteri verilerine erişim sağlamaz.
06Çerez Politikası
Platform, oturum yönetimi için localStorage ve çerezler (cookies) kullanır. Bunlar yalnızca Microsoft Entra ID kimlik doğrulama sürecinde (MSAL) kullanılır. Reklam veya takip amaçlı çerez kullanılmaz.
07Kullanıcı Hakları
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve GDPR kapsamında aşağıdaki haklara sahipsiniz:
Erişim hakkı: Hakkınızda işlenen verileri öğrenme. Düzeltme hakkı: Yanlış veya eksik verilerin düzeltilmesini isteme. Silme hakkı: Kişisel verilerinizin silinmesini talep etme. İtiraz hakkı: Veri işlemeye itiraz etme. Taşınabilirlik hakkı: Verilerinizi yapılandırılmış formatta alma.
Bu haklarınızı kullanmak için info@tworks.com.tr adresine başvurabilirsiniz. Talepler en geç 30 gün içinde yanıtlanır.
08Güvenlik Önlemleri
Platform aşağıdaki güvenlik önlemlerini uygular:
İletişim: Tüm veri aktarımı TLS 1.2+ şifreleme ile korunur. Kimlik doğrulama: Microsoft Entra ID üzerinden OAuth 2.0 / OpenID Connect. Erişim kontrolü: Tenant bazlı veri izolasyonu ve rol tabanlı erişim. Altyapı: Microsoft Azure güvenlik standartlarına uygun altyapı. Denetim: Tüm erişimler loglanır ve izlenebilir.
09Uluslararası Veri Aktarımı
Müşteri verileri Microsoft Azure'un Avrupa bölgesi (West Europe) veri merkezlerinde işlenir. AI Chat özelliği için sınırlı sorgular Anthropic, PBC (ABD) tarafından işlenir.
Yurt dışına kişisel veri aktarımı KVKK 9. madde çerçevesinde, KVKK Kurulu'nun belirlediği uygun güvenceler kapsamında gerçekleştirilir. AI Chat verilerinin ABD'ye aktarımı için açık rıza alınır. Microsoft Azure altyapısı ISO 27001, ISO 27017, ISO 27018 ve SOC 2 sertifikalarına sahiptir.
10Değişiklikler
Bu politika güncellenebilir. Önemli değişiklikler Platform üzerinden veya e-posta ile bildirilir. Güncel versiyon her zaman bu sayfada yayınlanır.
11İletişim
Gizlilik ile ilgili tüm sorularınız ve KVKK kapsamındaki başvurularınız için:
Tworks Bilişim Hizmetleri Tic. Ltd. Şti.
Quasar İstanbul, Fulya Mah. Büyükdere Cad. No:76 Kat:1 İç Kapı No:104
34394 Mecidiyeköy / Şişli / İstanbul
E-posta: info@tworks.com.tr
Privacy Policy
Last updated: May 4, 2026
Controlio Security™ prioritizes the security of user data. We access your Microsoft 365 environment in read-only mode only. We never modify, delete, or export any of your data.
01Data Controller
Tworks Bilişim Hizmetleri Tic. Ltd. Şti.
Quasar İstanbul, Fulya Mah. Büyükdere Cad. No:76 Floor:1 Suite:104
34394 Mecidiyeköy / Şişli / Istanbul / Türkiye
Email: info@tworks.com.tr
Important clarification: The Platform's software is developed by ÇEBİ Yazılım Hizmetleri Tic. Ltd. Şti. (Trabzon Teknokent), the IP owner; however, ÇEBİ Yazılım does not access customer data. Customer data is processed solely within Tworks' operational environment.
02Data We Collect
| Data Category | Content | Purpose |
|---|
| Identity Information | Name, email, tenant ID, domain | Account management and sessions |
| Scan Results | Security control statuses, scores | Security assessment |
| License Information | M365 license types and plans | Determining applicable controls |
| Usage Data | Login times, scan history | Service improvement and support |
| AI Chat Data | Chat queries (anonymized) | AI assistant service |
03Microsoft 365 Access Permissions
The Platform requests the following 19 permissions through the Microsoft Graph API. All permissions are read-only:
User.Read · User.Read.All · Directory.Read.All · Group.Read.All · Organization.Read.All · Policy.Read.All · RoleManagement.Read.Directory · Application.Read.All · SecurityEvents.Read.All · IdentityRiskEvent.Read.All · IdentityRiskyUser.Read.All · AttackSimulation.Read.All · AuditLog.Read.All · Reports.Read.All · DeviceManagementConfiguration.Read.All · DeviceManagementManagedDevices.Read.All · DeviceManagementApps.Read.All · SharePointTenantSettings.Read.All · SensitivityLabels.Read.All
These permissions are used solely for security assessment purposes. The Platform does not read email content, access files, or perform actions on behalf of users. Permissions such as Mail.Read, Files.Read, Mail.ReadWrite, Files.ReadWrite are not requested.
Continuous Monitoring (CCM) — Application (App-Only) Access
The optional Continuous Monitoring module is designed to run automatically and periodically (hourly) without a user session. To do this it uses application permissions authorized by an X.509 certificate. This means Controlio has standing, background read-only access to the approved configuration data for as long as your administrator keeps the consent in place; we state this openly. The module requests 26 Microsoft Graph application permissions (all read-only) plus Exchange.ManageAsApp for Exchange Online (used only for read-only Get- cmdlets to read protection-policy configuration; it does not grant mailbox or mail-content access). Access is again limited to configuration and security-posture data; no email, files, Teams messages, or calendar content is ever accessed. Your administrator can revoke consent in Microsoft Entra ID or with one click inside the application at any time.
04Data Storage
Infrastructure
All data is hosted on Microsoft Azure cloud infrastructure with industry-standard security measures.
Data Isolation
Each customer's data is separated by tenant ID. One customer cannot access another customer's data. Scan results are stored encrypted.
Retention Period
Scan results are retained as long as the account is active. Upon account closure, all data is permanently deleted within 30 days. AI Chat queries are processed anonymously and automatically deleted after 90 days.
Continuous Monitoring Data
Data for the Continuous Monitoring module is stored on infrastructure isolated from the interactive product, in Microsoft Azure's North Europe region; each customer is separated by tenant identity. TrueState baselines contain only configuration values and comparison hashes used for change detection (never content). Configuration snapshots are retained for up to 400 days and then automatically deleted. Deviation alert emails are sent from Controlio's own tenant (not from your tenant) and describe only which setting changed. An authorized administrator (Global Administrator / Security Administrator) can deactivate monitoring and permanently erase all monitoring data from within the application.
05Data Sharing and Service Providers
User data is never shared, sold, or rented to third parties. The third-party service providers used in Controlio Security™'s infrastructure and operations:
| Service Provider | Role | Location |
|---|
| Microsoft Corporation | Cloud infrastructure (Azure), authentication (Entra ID), Graph API access | EU - West Europe |
| Anthropic, PBC | Anonymized query processing for the AI Chat feature | USA |
The following exceptions apply: information requested by court order or legal regulation may be shared with official authorities. Such disclosures are limited to the minimum scope permitted by law.
ÇEBİ Yazılım Hizmetleri (the IP owner and software developer) does not access customer data.
06Cookie Policy
The Platform uses localStorage and cookies for session management. These are used solely for Microsoft Entra ID authentication (MSAL). No advertising or tracking cookies are used.
07User Rights
Under KVKK (Turkish Data Protection Law No. 6698) and GDPR, you have the following rights:
Right of access: Learn what data is processed about you. Right to rectification: Request correction of inaccurate or incomplete data. Right to erasure: Request deletion of your personal data. Right to object: Object to data processing. Right to portability: Receive your data in a structured format.
To exercise these rights, please contact info@tworks.com.tr. Requests will be responded to within 30 days.
08Security Measures
The Platform implements the following security measures:
Communication: All data transmission is protected with TLS 1.2+ encryption. Authentication: OAuth 2.0 / OpenID Connect via Microsoft Entra ID. Access control: Tenant-based data isolation and role-based access. Infrastructure: Compliant with Microsoft Azure security standards. Auditing: All access is logged and traceable.
09International Data Transfers
Customer data is processed in Microsoft Azure's European region (West Europe) data centers. Limited queries for the AI Chat feature are processed by Anthropic, PBC (USA).
Cross-border personal data transfers are performed under Article 9 of KVKK with appropriate safeguards as defined by the Turkish Data Protection Authority. Explicit consent is obtained for AI Chat data transfer to the USA. The Microsoft Azure infrastructure holds ISO 27001, ISO 27017, ISO 27018, and SOC 2 certifications.
10Changes
This policy may be updated. Significant changes will be communicated through the Platform or via email. The current version is always published on this page.
11Contact
For all privacy-related inquiries and KVKK/GDPR requests:
Tworks Bilişim Hizmetleri Tic. Ltd. Şti.
Quasar İstanbul, Fulya Mah. Büyükdere Cad. No:76 Floor:1 Suite:104
34394 Mecidiyeköy / Şişli / Istanbul / Türkiye
Email: info@tworks.com.tr