Sentetik katılımcılar gerçek kişiler değildir; ancak onları oluşturmak ve çalıştırmak için kullanılan veriler kişisel veri olabilir. GDPR'ın sentetik paneller, personalar ve kitleler için anlamı.
Hiçbir araştırma yöntemi veya aracı tek başına GDPR uyumlu değildir. Uyumluluk; hangi kişisel verinin, hangi amaçla, hangi hukuki dayanakla ve kimin tarafından işlendiğine bağlıdır. Sentetik bir katılımcı gerçek bir insan değildir, bu nedenle simüle edilmiş yanıtları genellikle kişisel veri sayılmaz. Ancak sentetik bir araştırmayı oluşturmak ve yürütmek için kullanılan veriler sıklıkla kişisel veridir: yüklenen dosyalar, bağlam oluşturma (grounding) için kullanılan müşteri kayıtları, belirli kişilerin profilleri, prompt'lar ve aracı kullanan araştırmacıların hesap verileri. Sentetik araştırma platformuna diğer tüm kişisel veri işleyenler gibi yaklaşın ve veri koruma görevlinizle birlikte inceleyin.
Bu sayfa; GDPR'ın sentetik araştırmalarda nerede devreye girdiğini, bir aracı kullanmadan önce nelerin kontrol edilmesi gerektiğini ve Ekim 2026 itibarıyla Minds'ın verileri nasıl işlediğini açıklamaktadır. Bu metin genel bilgilendirme amaçlıdır, hukuki tavsiye niteliği taşımaz.
Bu rehber kimler için hazırlandı
Bu sayfa; sentetik katılımcıların, sentetik panellerin, yapay zeka personalarının veya sentetik kitlelerin kendi organizasyonlarında kullanılıp kullanılamayacağına karar vermesi gereken veri koruma görevlileri, uyumluluk ve satın alma ekipleri ile araştırma liderleri içindir. Doğrudan araştırma yönteminin kendisini incelemek istiyorsanız, sentetik katılımcıların ve sentetik panellerin ne olduğunu okuyabilirsiniz.
Sentetik veriyi ve GDPR uyumluluğunu nasıl ele almalı
GDPR kişisel verilere uygulanır: kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi (Madde 4(1)). Sentetik araştırmalarda bu sorunun, iş akışındaki her veri türü için ayrı ayrı sorulması gerekir.
Belirli bir segment için oluşturulan sentetik bir katılımcının (örneğin "Almanya'da ilk kez anne-baba olanlar") simüle edilmiş yanıtları genellikle kimliği belirlenebilir bir kişiyle ilişkili değildir.
Belirli ve ismi bilinen bir bireyi simüle etmek için örneğin herkese açık profilinden veya mülakat dökümlerinden yararlanılarak oluşturulan bir persona, o kişiyle ilişkilidir ve kişisel veri niteliğindedir.
Bağlam verileri (grounding data); yayınlanmış istatistiklerden (kişisel veri değildir), anonimleştirilmiş anket sonuçlarına (gerçekten anonimleştirilmişse genellikle kişisel veri değildir) ve ham CRM dışa aktarımlarına (kişisel veridir) kadar uzanabilir.
Aracı kullanan kişilerin adları, e-postaları ve sistem kayıtları (loglar) gibi hesap ve kullanım verileri her durumda kişisel veridir.
Müşterilerden, çalışanlardan veya diğer insanlardan bahsediliyorsa, uyaranlar (stimuli) ve prompt'lar kişisel veri içerebilir.
Sağlayıcının sizin adınıza kişisel veri işlediği durumlarda, sağlayıcı veri işleyeniniz olarak hareket eder ve Madde 28 bir veri işleme sözleşmesi yapılmasını zorunlu kılar. Bu işlemenin AB dışına aktarımları içerdiği durumlarda, Madde 44 ve devamı maddeler yeterlilik kararı veya Standart Sözleşme Maddeleri gibi bir aktarım mekanizması gerektirir. Veri minimizasyonu (Madde 5(1)(c)) sürecin tamamında geçerlidir: yeterli olduğu durumlarda toplulaştırılmış veya anonimleştirilmiş veriler yükleyin. Bu ilkenin ayrıntıları için bkz. GDPR veri minimizasyonu.
Sentetik araştırma, katılımcı toplanarak yapılan araştırmalara kıyasla gizlilik riskini yine de azaltabilir. İletişime geçilecek, ödeme yapılacak veya kaydedilecek katılımcılar bulunmadığından, geleneksel saha çalışmalarının gerektirdiği onay formlarına, kayıtlara ve panel veri tabanlarına ihtiyaç duyulmaz. Bu somut bir avantajdır; ancak riskin azalması anlamına gelir, GDPR'dan muafiyet sağlamaz.
Gerçekçi seçeneklerin karşılaştırılması
Ekipler genellikle üç farklı kurulumu karşılaştırır.
Birincisi, bir panel veya ajans aracılığıyla katılımcı toplanarak yapılan araştırmadır. Katılımcıların kişisel verilerini işler; dolayısıyla rıza veya başka bir hukuki dayanak, aydınlatma metinleri, saklama kuralları ve ajans sözleşmeleri gerektirir. Karşılığında ise gerçek insanlardan gerçek yanıtlar sunar.
İkincisi, müşterileri canlandırmak amacıyla kullanılan genel amaçlı bir yapay zeka sohbet robotudur. Tüketiciye yönelik sohbet ürünleri, modellerini geliştirmek için girdileri kullanabilir ve her abonelik planında veri işleme sözleşmesi sunmayabilir; bu nedenle müşteri verilerini veya gizli kavramları buraya girmeden önce kullanım şartlarını kontrol edin.
Üçüncüsü, veri işleme sözleşmesi, yayınlanmış alt veri işleyen listesi ve belgelenmiş güvenlik önlemleri bulunan özel bir sentetik araştırma platformudur. Bu, gizlilik incelemesinin sağlıklı şekilde değerlendirebileceği bir kurulumdur. Verilerin nerede barındırıldığını, hangi yapay zeka model sağlayıcılarının prompt'ları ve dosyaları aldığını, müşteri verilerinin model eğitimi için kullanılıp kullanılmadığını ve silme süreçlerinin nasıl işlediğini kontrol edin.
Minds verileri nasıl işler
Ekim 2026 itibarıyla, Minds'ın yasal belgelerine göre:
Uygulama Frankfurt, Almanya'daki DigitalOcean üzerinde, veri tabanı ise Stockholm, İsveç'teki Supabase üzerinde barındırılmaktadır.
Yapay zeka işlemleri OpenAI, Anthropic ve Google Cloud Vertex AI dahil olmak üzere ABD'deki model sağlayıcılarını kullanır. Gizlilik politikası, ABD'ye yapılan bu aktarımların dayanağı olarak AB Komisyonu'nun Standart Sözleşme Maddeleri'ni belirtmektedir. Tüm sağlayıcılar alt veri işleyenler sayfasında listelenmiştir.
Müşteri verileri genel amaçlı veya üçüncü taraf modelleri eğitmek, ince ayar yapmak (fine-tune) veya geliştirmek için kullanılmaz.
Veriler aktarım sırasında (TLS 1.2 veya üzeri) ve bekleme sırasında (AES-256) şifrelenir; müşteri verileri kiracı (tenant) bazında mantıksal olarak ayrılır. Ayrıntılar teknik ve idari tedbirler sayfasında yer almaktadır.
Minds, platformun her türlü kullanımının otomatik olarak uyumlu olduğunu iddia etmez. Kullanımınızın uyumlu olup olmadığı yüklediğiniz verilere, hukuki dayanağınıza ve kendi şirket politikalarınıza bağlıdır. Gizlilik politikasını okuyun ve yukarıdaki belgeleri veri koruma görevlinizle birlikte inceleyin. Yapılandırılmış bir tedarikçi incelemesi için yapay zeka pazar araştırmasında veri güvenliğine yönelik GDPR rehberi başlıklı kaynaktan yararlanabilirsiniz.
Minds ne zaman doğru, ne zaman yanlış çözümdür
Katılımcı toplamaya gerek kalmadan kavramlar, mesajlar ve segmentler hakkında yön gösterici araştırmalar yapmak istediğinizde ve gizlilik incelemeniz, ABD merkezli yapay zeka model sağlayıcılarının kullanımı da dahil olmak üzere yukarıda açıklanan veri işlemeyi uygun bulduğunda Minds doğru tercihtir.
Şirket politikanız ilgili verilerin AB dışına herhangi bir şekilde aktarılmasını yasaklıyorsa veya araştırmanın mevzuat gereği, klinik ya da yasal nedenlerle gerçek kişilerle yapılması zorunluysa doğru çözüm değildir. Bu gibi durumlarda kişisel verileri platformun dışında tutun, yalnızca herkese açık veya toplulaştırılmış bağlam verilerini kullanın ya da bunun yerine katılımcı toplanarak yapılan bir çalışmayı tercih edin.
Sıkça sorulan sorular
Sentetik katılımcılar GDPR ile uyumlu mu?
Hiçbir yöntem veya araç tek başına GDPR uyumlu değildir; uyumluluk hangi verinin, neden ve nasıl işlendiğine bağlıdır. Sentetik bir katılımcı gerçek bir insan değildir, bu nedenle simüle edilmiş yanıtları genellikle kişisel veri niteliği taşımaz. Ancak sentetik bir araştırmayı oluşturmak ve yürütmek için kullanılan dosyalar, müşteri verileri, prompt'lar ve hesap bilgileri kişisel veri olabilir ve sağlayıcı bunları sizin adınıza işler. Bu veri işlemeyi diğer tüm yazılım tedarikçilerinde olduğu gibi değerlendirin.
Gerçek ve belirli bir kişinin sentetik personası kişisel veri midir?
Genellikle evet. Kimliği belirlenebilir bir bireyi simüle etmek için örneğin LinkedIn profilinden, mülakatlardan veya CRM geçmişinden yararlanılarak oluşturulan bir profil, o kişiyle ilişkilidir ve GDPR Madde 4(1) uyarınca kişisel veridir. Bunu oluşturmak ve kullanmak için hukuki bir dayanağa ihtiyacınız vardır ve ilgili kişi haklarını korumaya devam eder.
Sentetik araştırma aracı için bir veri işleme sözleşmesine (DPA) ihtiyacımız var mı?
Sağlayıcı sizin adınıza kullanıcılarınızın hesap bilgileri, insanlardan bahseden yüklenmiş dosyalar veya bağlam oluşturma (grounding) için kullanılan müşteri kayıtları gibi herhangi bir kişisel veriyi işliyorsa, GDPR Madde 28 bir veri işleme sözleşmesi (DPA) gerektirir. Minds, platformu için bir DPA sunmaktadır.
Sentetik bir kitleyi temellendirmek (grounding) için müşteri verisi yükleyebilir miyiz?
Yükleyebilirsiniz, ancak önce veriyi en aza indirin (veri minimizasyonu). Toplu sonuçlar, anonimleştirilmiş anket verileri ve araştırma raporları, ham müşteri kayıtlarına kıyasla çok daha az risk taşır. Gizlilik bildiriminizin ve hukuki dayanağınızın müşteri verilerini bu amaçla kullanmayı kapsayıp kapsamadığını ve sağlayıcının alt veri işleyenleriyle birlikte bu veriyi nerede işlediğini kontrol edin.
Minds verileri nerede işliyor?
Ekim 2026 itibarıyla Minds, uygulamasını Frankfurt'taki DigitalOcean üzerinde, veritabanını ise Stockholm'deki Supabase üzerinde barındırmaktadır. Yapay zeka işlemleri için OpenAI, Anthropic ve Google Cloud Vertex AI dahil olmak üzere ABD merkezli model sağlayıcıları kullanılır; ABD'ye veri aktarımları ise AB Komisyonu'nun Standart Sözleşme Maddeleri'ne dayanır. Listenin tamamı alt veri işleyenler sayfasında yer almaktadır.
Sentetik araştırma, katılımcı toplanan bir panele göre gizliliğe daha mı az müdahale eder?
Çoğu zaman evet, çünkü hiçbir katılımcı toplanmaz, kendileriyle iletişime geçilmez veya kayıt altına alınmaz. Bu durum onay formlarını, teşvikleri ve ses/görüntü kayıtlarını ortadan kaldırır; ancak projeyi GDPR kapsamından çıkarmaz: bağlam oluşturmak için kullandığınız veriler ve hesabınızdaki veriler yine de hukuki bir dayanak ve tedarikçi değerlendirmesi gerektirir.
