BÖLÜM A — KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN AYDINLATMA METNİ
A.1. Veri sorumlusu
6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca, platform üyelerinin ve ziyaretçilerin kişisel verileri veri sorumlusu sıfatıyla [ŞİRKET UNVANI] ([ŞİRKET ADRESİ]; MERSİS: [MERSİS NO]) tarafından aşağıda açıklanan kapsamda işlenmektedir.
A.2. İşlenen kişisel veriler
| Kimlik | Ad soyad, (fatura için) T.C. kimlik numarası veya vergi numarası |
|---|---|
| İletişim | E-posta adresi, telefon numarası, fatura adresi |
| Müşteri işlem | Sipariş, kredi hareketleri, varlık kayıtları, tarama talepleri, destek yazışmaları |
| Finans | Ödeme tutarı, sipariş numarası, ödeme sonucu (kart bilgileri Hizmet Sağlayıcı tarafından görülmez ve saklanmaz) |
| İşlem güvenliği | Parola özeti (scrypt), oturum kayıtları, IP adresi, tarayıcı bilgisi, sözleşme onay kayıtları, denetim günlükleri |
| Hukuki işlem | Sözleşme onayları, yetkilendirme beyanları, resmî makam yazışmaları |
A.3. İşleme amaçları ve hukuki sebepler
- Üyelik hesabının oluşturulması, hizmetin sunulması, taramaların yürütülmesi ve raporlanması, kredi satışı ve faturalama — KVKK m.5/2(c) sözleşmenin kurulması ve ifası.
- Vergi, ticaret ve 5651 sayılı Kanun mevzuatından doğan saklama ve bildirim yükümlülükleri, yetkili makam taleplerinin karşılanması — KVKK m.5/2(ç) hukuki yükümlülük.
- Yetkisiz taramaların önlenmesi, sözleşme onaylarının ispatı, uyuşmazlıklarda hakların korunması — KVKK m.5/2(e) bir hakkın tesisi, kullanılması veya korunması.
- Platform güvenliğinin sağlanması, kötüye kullanımın ve dolandırıcılığın tespiti, hizmet kalitesinin ölçülmesi — KVKK m.5/2(f) meşru menfaat.
- Tanıtım amaçlı ticari elektronik iletiler — yalnızca ayrıca alınacak açık rıza ve 6563 sayılı Kanun kapsamındaki onay ile.
A.4. Toplama yöntemi
Kişisel veriler; üyelik, satın alma, iletişim ve destek formları, platform kullanımı sırasında oluşan elektronik kayıtlar ve ödeme kuruluşundan alınan ödeme sonucu bildirimleri aracılığıyla, otomatik ve kısmen otomatik yollarla toplanır.
A.5. Aktarım
Kişisel veriler, yukarıdaki amaçlarla sınırlı ve ölçülü olarak şu alıcı gruplarına aktarılabilir:
- PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. — ödemenin alınması ve dolandırıcılık önleme (6493 sayılı Kanun kapsamında lisanslı ödeme kuruluşu; ödeme sayfası doğrudan PayTR tarafından sunulur).
- Barındırma (hosting), yedekleme ve e-posta gönderim hizmeti sağlayıcıları — hizmetin teknik olarak sunulması.
- Mali müşavir, bağımsız denetçi, hukuk danışmanları ve e-fatura entegratörü — yasal yükümlülükler ve hakların korunması.
- Yetkili kamu kurum ve kuruluşları ile yargı mercileri — talep hâlinde ve mevzuatın gerektirdiği ölçüde.
Yurt dışına aktarım: Ödeme işlemleri yurt içinde gerçekleştirilir. Barındırma, e-posta veya benzeri bir hizmet için sunucuları yurt dışında bulunan bir hizmet sağlayıcı kullanılması hâlinde aktarım, KVKK m.9 uyarınca yeterlilik kararı bulunan ülkelere veya Kişisel Verileri Koruma Kurulu'nca ilan edilen standart sözleşme imzalanarak ve sözleşmenin imzadan itibaren 5 iş günü içinde Kurul'a bildirilmesi suretiyle yapılır. Güncel hizmet sağlayıcı listesi talep hâlinde paylaşılır.
A.6. Saklama süreleri
| Hesap ve iletişim verileri | Üyelik süresince ve sona ermesinden itibaren 10 yıl (TBK m.146 genel zamanaşımı) |
|---|---|
| Fatura ve ödeme kayıtları | 10 yıl (6102 sayılı TTK m.82, 213 sayılı VUK m.253) |
| Sözleşme onay kayıtları ve yetkilendirme beyanları | İlişkinin sona ermesinden itibaren 10 yıl |
| Trafik ve erişim kayıtları | 5651 sayılı Kanun ve ilgili yönetmelik uyarınca 2 yıl |
| Yüklenen APK/EXE dosyaları | Analiz tamamlandıktan sonra en geç 30 gün |
| Tarama raporları | Hesap açık olduğu sürece; hesap kapatıldıktan sonra 90 gün içinde silinir veya anonimleştirilir |
Süresi dolan veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik uyarınca periyodik imha süreçleriyle silinir, yok edilir veya anonim hâle getirilir.
A.7. İlgili kişinin hakları (KVKK m.11)
Herkes, veri sorumlusuna başvurarak kendisiyle ilgili;
- kişisel veri işlenip işlenmediğini öğrenme,
- kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
- kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
- yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
- kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
- KVKK m.7'de öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
- (e) ve (f) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
- kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme
haklarına sahiptir. Başvurular, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca yazılı olarak [ŞİRKET ADRESİ] adresine, [KEP ADRESİ] KEP adresine veya sistemimizde kayıtlı e-posta adresinizden [E-POSTA] adresine iletilebilir. Başvurular en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'ca belirlenen tarife uygulanabilir. Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kişisel Verileri Koruma Kurulu'na şikâyet hakkı saklıdır.
BÖLÜM B — VERİ İŞLEME VE GİZLİLİK TAAHHÜDÜ
B.1. Rollerin belirlenmesi
Müşteri'nin taranan varlıklarında (web siteleri, uygulama dosyaları) yer alabilecek ve tarama sırasında rastlantısal olarak erişilebilecek kişisel veriler bakımından Müşteri veri sorumlusu, Hizmet Sağlayıcı ise KVKK m.3 anlamında veri işleyendir. Müşteri, bu verilerin işlenmesi için gerekli hukuki sebebe sahip olduğunu ve kendi ilgili kişilerine gerekli aydınlatmayı yaptığını beyan eder.
B.2. Hizmet Sağlayıcı'nın taahhütleri
- Tarama verilerini ve raporları yalnızca Müşteri'nin talimatı doğrultusunda ve hizmetin sunulması amacıyla işlemek; başka bir amaçla kullanmamak, satmamak ve üçüncü kişilerle paylaşmamak.
- Tarama sırasında kişisel veri içeren dosya veya sayfalara rastlanması hâlinde içeriği saklamamak; yalnızca bulgunun varlığını ve kanıt olarak gerekli asgari bilgiyi (ör. dosya yolu, maskelenmiş örnek) raporlamak.
- KVKK m.12 uyarınca uygun güvenlik düzeyini sağlamak: aktarımda TLS şifreleme, parolaların scrypt ile özetlenmesi, oturum kimliklerinin özet olarak saklanması, rol tabanlı erişim, denetim kayıtları, düzenli yedekleme ve en az yetki ilkesi.
- Verilere erişen personele gizlilik yükümlülüğü yüklemek ve erişimi görevin gerektirdiği ölçüyle sınırlamak.
- Bir veri ihlalini öğrenmesi hâlinde Müşteri'yi gecikmeksizin ve en geç 72 saat içinde bilgilendirmek, ihlalin etkilerini azaltmak için gerekli tedbirleri almak ve Müşteri'nin Kurul'a bildirim yükümlülüğünde işbirliği yapmak.
- Alt veri işleyen (barındırma, e-posta) kullanımında aynı düzeyde koruma yükümlülükleri öngörmek.
- Sözleşmenin sona ermesi veya Müşteri'nin talebi üzerine verileri, yasal saklama yükümlülükleri saklı kalmak kaydıyla, silmek veya anonim hâle getirmek.
- Müşteri'nin KVKK kapsamındaki ilgili kişi başvurularına ve makul denetim taleplerine, ticari sırları ve diğer müşterilerin gizliliğini ihlal etmeyecek şekilde yardımcı olmak.
B.3. Kart verileri
Ödeme, PayTR'nin güvenli ödeme sayfasında (iframe) gerçekleştirilir. Kart numarası, son kullanma tarihi ve güvenlik kodu Hizmet Sağlayıcı'nın sunucularına ulaşmaz, görüntülenmez ve saklanmaz; bu veriler PayTR tarafından ödeme hizmetleri mevzuatı ve PCI DSS standartları çerçevesinde işlenir.
B.4. Gizli bilgilerin korunması
Tarama raporları, bulgular, yüklenen dosyalar ve bunlardan elde edilen tüm bilgiler ticari sır ve gizli bilgi olarak kabul edilir. Hizmet Sağlayıcı bu bilgileri; yasal zorunluluk (mahkeme kararı veya yetkili makam talebi) hâli dışında üçüncü kişilere açıklamaz. Yasal zorunluluk hâlinde, hukuken mümkünse Müşteri önceden bilgilendirilir. Bu yükümlülük sözleşmenin sona ermesinden sonra da devam eder.
İşbu metin bilgilendirme amacı taşır; Bölüm B'deki taahhütler Hizmet ve Kullanım Koşulları'nın ayrılmaz parçasıdır. Aydınlatma metninin okunduğunun onaylanması, açık rıza beyanı anlamına gelmez.