← Kayda dön

Kişisel Verilerin Korunması Kanunu Kapsamında Aydınlatma Metni

Sürüm 2.5

Bu metin, 6698 sayılı KVKK Madde 10'un zorunlu unsurlarını içerecek şekilde hazırlanmıştır. Köşeli parantezli alanlar (veri sorumlusunun kimlik/iletişim bilgileri) ile yurt dışı aktarıma ilişkin standart sözleşme süreci, hizmet sağlayıcının tüzel kişilik/serbest meslek mükellefiyetinin tamamlanmasıyla birlikte (lansman aşamasında) kesinleştirilir.

Bu Aydınlatma Metni; 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ kapsamında, veri sorumlusu sıfatıyla Tahsiva hizmeti ("Platform") için hazırlanmıştır.

1. Veri Sorumlusunun Kimliği ve İletişim Bilgileri

Adı / Unvanı: [AD SOYAD / UNVAN]
Adresi: [AÇIK ADRES]
E-posta: [İLETİŞİM E-POSTA]
VKN / TCKN: [VERGİ / KİMLİK NO]

Çift rol: Platform iki ayrı sıfatla veri işler. İşletme hesabınıza ilişkin veriler (ad-soyad, e-posta, işletme adı, kayıt ve işlem geçmişi) bakımından Platform veri sorumlusudur. İşletmenizin kendi müşterilerine (cari/veresiye borçlularına) ait kişisel veriler bakımından ise Platform yalnızca veri işleyendir; bu verilerin sorumluluğu işletme sahibi olarak size aittir. Bu Aydınlatma Metni, Platform'un sizin kişisel verilerinizi işlediği faaliyetleri kapsar.

2. İşlenen Kişisel Veri Kategorileri

  • Kimlik: Ad-soyad (hesap kaydında beyan edilir).
  • İletişim: E-posta adresi (kimlik doğrulama ve bildirimler için) ve cep telefonu numarası (hesap kaydında beyan edilir; kurulum desteği ve hesabınıza ilişkin bilgilendirme amacıyla size ulaşmak için kullanılır).
  • İşletme bilgisi: İşletme adı (hesap oluşturma ve belge paylaşımında görünür alan) ve işletme türü (ör. bakkal/market, kooperatif — hizmeti işletmenize göre uyarlamak için beyan edilir; zorunlu değildir).
  • Kaynak (pazarlama) verisi: Platform'u nereden duyduğunuza dair beyanınız (zorunlu değildir) ve tarayıcınızın ilettiği yönlendiren adres (referrer) ile bağlantı etiketleri (utm_source, utm_medium, utm_campaign, utm_content). Bu veriler hangi tanıtım kanalının işe yaradığını ölçmek için işlenir; reklam amaçlı profilleme yapılmaz ve üçüncü taraf reklam ağlarıyla paylaşılmaz. Bu bilgi tarayıcınıza yerleştirilen ve otuz gün saklanan zorunlu-olmayan bir çerezde tutulur.
  • İşlem ve kullanım: Oturum meta verisi (IP adresi, tarayıcı/User-Agent bilgisi), güvenlik günlükleri ve yasal onay kayıtları (tarih-saat / IP / UA / belge sürümü).
  • Finansal (dolaylı): Paket (abonelik) durumu, başlangıç/bitiş tarihi ve aktivasyon notu. Platform içinde ödeme altyapısı YOKTUR; kart verisi hiçbir zaman istenmez ve tutulmaz. Ödeme, iletişim kanalıyla (havale/EFT) alınır; aktivasyon Platform yöneticisi tarafından elle yapılır ve bu işlem yönetici kimliği ile denetim kaydına yazılır.
  • İşlem günlüğü (denetim kaydı): Hesap sahibi ve varsa personelinizin yaptığı işlemler hakkında; işlem türü, tarih-saat, tutar/para birimi, ilgili carinin dahili kodu (ad/telefon/adres günlüğe yazılmaz), işlemi yapan kullanıcının sistem kimliği ve rolü, IP adresi. Bu kayıtlar ham kişisel veri içermez; dolaylı tanımlama olasılığı nedeniyle KVKK kapsamında değerlendirilir.

Hassas veri: Platform, KVKK Madde 6 kapsamındaki özel nitelikli kişisel veri işlemez. İşletmenizin cari/müşteri kayıtlarına girdiğiniz üçüncü kişi telefon ve adres bilgileri, uygulama katmanında AES-256-GCM ile şifreli saklanır; bu veriler sizin veri sorumluluğunuzdadır.

3. İşleme Amaçları ve Hukuki Sebepleri

  • Hesap oluşturma, kimlik doğrulama, oturum yönetimi ve parola sıfırlama — KVKK M.5/2-c (sözleşmenin kurulması/ifası).
  • Platform hizmetinin sunulması; cari/veresiye takip, kasa, hatırlatıcı, raporlama işlevleri — KVKK M.5/2-c (sözleşmenin ifası).
  • İşlem belgesi (PDF) oluşturulurken işletme adının PII-güvenli belgede gösterilmesi (müşteri adı/telefon/adres belgede yer almaz) — KVKK M.5/2-c (sözleşmenin ifası — belge oluşturma/paylaşım hizmeti).
  • Hesap güvenliği: kaba-kuvvet koruması, hesap kilitleme, oturum/token yönetimi — KVKK M.5/2-ç (hukuki yükümlülük; M.12 teknik tedbir).
  • Yasal onay denetim izi (hangi belgenin hangi sürümünün ne zaman, hangi IP'den kabul edildiği) — KVKK M.5/2-ç ve M.5/2-e (hakkın tesisi/korunması).
  • Abonelik ve ödeme yönetimi — KVKK M.5/2-c ve M.5/2-ç (6502 sayılı TKHK + TTK M.82 saklama yükümlülüğü).
  • Bildirim/destek e-postaları (parola sıfırlama, abonelik bildirimleri) — KVKK M.5/2-c (sözleşmenin ifası).
  • Hata ve teknik sorun bildirimi (Platform içi "Hata Bildir" akışı) — KVKK M.5/2-f (meşru menfaat; temel hak ve özgürlüklere zarar vermeyen sınırlı kapsam).
  • İşlem günlüğü (denetim kaydı) tutulması: hesap sahibinin kendi işlem geçmişini görüntülemesi; yetkisiz/hatalı işlemlerin tespiti; veri kaybı/suistimal iddialarında inceleme ve ispat — KVKK M.5/2-f (meşru menfaat: güvenlik ve denetim; M.12 teknik tedbir); destekleyici olarak M.5/2-ç (kayıt yükümlülüğü — TTK kapsamının uygulanabilirliği tüzel kişilik kurulumunda hukuki danışmanla kesinleştirilir).
  • Hizmet sağlayıcının (SuperAdmin) sınırlı erişimi: destek talebi veya suistimal/hata soruşturması kapsamında, yalnız ilgili kiracıya ait ve ham kişisel veri içermeyen denetim kaydına, talep süresiyle sınırlı ve kendisi de kayıt altına alınarak erişim — KVKK M.5/2-c (sözleşmenin ifası — destek) ve M.5/2-f (meşru menfaat — hizmet güvenliği).

4. Kişisel Verilerin Aktarıldığı Taraflar ve Hukuki Dayanağı

4.1 Yurt İçi

Kişisel verileriniz, yetkili kamu kurum ve kuruluşlarınca yasal yetkiyle talep edilmesi hâlinde ve yalnızca yasal yükümlülük çerçevesinde ilgili kurumlara aktarılabilir (KVKK M.8/2-a, M.5/2-ç).

4.2 Yurt Dışı (KVKK Madde 9)

Platform altyapısı Avrupa Birliği sınırları içinde (Finlandiya / Helsinki — Hetzner veri merkezi) barındırılır; hesap verileriniz, işlem kayıtlarınız ve Platform günlükleri bu sunucularda işlenip saklanır. Transaksiyonel e-postalar (parola sıfırlama, bildirimler) Scaleway (Fransa / AB) Transactional Email servisi üzerinden iletilir. Her iki durum da KVKK Madde 9 kapsamında yurt dışına aktarım niteliği taşır.

Aktarım dayanağı: 7499 sayılı Kanun ile değişik ve 01.06.2024'te yürürlüğe giren KVKK Madde 9 uyarınca; yeterlilik kararı bulunmayan hâllerde aktarım, Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşme (uygun güvence) imzalanarak ve Kurul'a bildirilerek gerçekleştirilir. Platform, altyapı sağlayıcılarıyla bu uygun güvenceleri tesis eder. (Açık rızaya dayalı yurt dışı aktarım mevzuat gereği bu kapsamda kullanılmamaktadır.)

4.3 Hizmet Sağlayıcı (SuperAdmin) Erişimi

Platform, kendi sistem güvenliğini ve hizmet bütünlüğünü sağlamak amacıyla işlem günlüğü tutar. Hizmet sağlayıcı (Tahsiva yönetimi) bu günlüklere yalnızca şu koşulların tamamında erişebilir: (i) hesap sahibinin destek talebi veya tespit edilen güvenlik/suistimal soruşturması; (ii) erişimin yalnız ilgili kiracıyla, talep/soruşturma süresiyle ve gerekli minimum kapsamla sınırlı olması; (iii) her erişimin ayrı bir denetim kaydıyla belgelenmesi. Rutin veya sürekli erişim yapılmaz; bu erişimler hesap sahibinin kendi İşlem Günlüğü'nde görünür kılınır.

4.4 İşlem Belgesi Paylaşımı

İşletme sahibi, bir işleme ait belgeyi PDF olarak kendi panelinden indirir ve dilediği kişiye (örn. müşterisine) WhatsApp veya e-posta ile kendisi iletir. Platform bu belgeyi üçüncü kişilere otomatik olarak sunan herhangi bir açık (public) bağlantı veya sayfa içermez. Belgede yalnızca şu bilgiler bulunur: işlem türü, tarih, tutar, vade, işletme adı ve durum (geçerli/iptal). Müşterinin adı, telefonu, adresi veya başka bir tanımlayıcı bilgi belgede yer almaz.

5. Kişisel Verilerin Toplanma Yöntemi

  • Platform kayıt ve giriş formları (elektronik ortamda doğrudan beyan).
  • Platform kullanımı sırasında otomatik elde edilen veriler (IP, tarayıcı, oturum meta verisi).
  • Aktivasyon için iletişim kanalıyla (e-posta/WhatsApp) tarafımıza ilettiğiniz ödeme bilgisi (dekont) — yalnız aktivasyon amacıyla; Platform içine yüklenmez.

6. Saklama Süreleri

  • Hesap verileri: Hesap aktif olduğu sürece; hizmet sona erince, daha uzun bir yasal saklama yükümlülüğü yoksa makul süre içinde silinir veya anonimleştirilir (KVKK M.7).
  • Doğrulanmamış hesaplar: Kayıt sırasında verdiğiniz e-posta adresini 30 gün içinde doğrulamazsanız hesabınız ve ilgili kişisel verileriniz kalıcı olarak silinir; bu işlem geri alınamaz (KVKK M.4/1-d veri minimizasyonu + M.7 imha).
  • Abonelik/ödeme kayıtları: 6502 sayılı TKHK ve TTK M.82 uyarınca 10 yıl (zorunlu saklama — silme talebinden muaf).
  • Yasal onay kayıtları: İlgili sözleşme/yükümlülük süresi boyunca (ispat değeri).
  • Güvenlik günlükleri (giriş kayıtları: e-posta, IP, tarayıcı, sonuç): Olaydan itibaren 1 yıl; süre sonunda otomatik imha edilir (meşru menfaat; M.12 teknik tedbir). Hesabınız silindiğinde bu kayıtlardaki e-posta adresiniz derhal anonimleştirilir.
  • İşlem günlüğü (denetim kaydı): İşlem tarihinden itibaren 2 yıl; süre sonunda otomatik imha edilir (KVKK M.7). Aktif soruşturma veya hukuki uyuşmazlıkta süre uzayabilir (M.5/2-e). Hesabınızı sildiğinizde işlem günlüğünüz de silinir; yalnızca "silme işlemi gerçekleşti" işareti, kişisel veri içermeden (aktör ve IP olmadan) saklanır.
  • Hesap silme ("Tüm Verileri Sil") kapsamı: İşletmenizin cari, hareket, kasa, ürün, hatırlatıcı, bildirim, ayar, içe aktarma kaydı ve işlem günlüğü verileri anında silinir; işletme kaydı anonimleştirilir (ad, adres bağlantısı ve edinim bilgileri kaldırılır). Personel üyelikleri kaldırılır ve oturumları sonlandırılır; başka bir işletmede üyeliği olmayan personel hesapları da anonimleştirilir (başka işletmede üyeliği olanların kimliği ve diğer verileri korunur). Kullanıcı hesabınız kapatılır; e-posta, ad ve telefon anonimleştirilir; giriş anahtarları (passkey) ve güvenilir cihaz kayıtları silinir/iptal edilir. Saklanan: yasal onay kayıtları (hangi belge sürümünü ne zaman kabul ettiğiniz — hakkın tesisi/korunması, M.5/2-e), güvenlik günlüğü satırları (e-posta anonim, IP ve sonuç kalır — M.12) ve tek satırlık silme işareti.
  • Yedek kopyalar: Veritabanı yedekleri günlük alınır ve saklama süreleri (yerel 7 gün; şifreli site-dışı yedekte günlük 7, haftalık 4, aylık 3 kopya) dolunca kendiliğinden silinir. Silinen veriler bu sürelerin sonuna kadar yalnız felaket kurtarma amacıyla yedeklerde bulunabilir ve bu kopyalara olağan işleyişte erişilmez; en geç yaklaşık 3 ay içinde yedeklerden de çıkar. Otomatik yedek özelliğini açtıysanız e-postayla gönderilen XLSX dosyaları sizin (ve seçtiğiniz alıcıların) posta kutusundadır; bu kopyaları Platform silemez, siz silmelisiniz.
  • Parola sıfırlama bağlantıları: Kullanım veya süre dolumu (30 dakika) ile anında geçersizleşir.

7. KVKK Madde 11 Kapsamındaki Haklarınız

Veri sahibi olarak aşağıdaki haklara sahipsiniz:

  1. Kişisel verilerinizin işlenip işlenmediğini öğrenme.
  2. İşlenmişse buna ilişkin bilgi talep etme.
  3. İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
  4. Yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme.
  5. Eksik/yanlış işlenmişse düzeltilmesini isteme.
  6. KVKK M.7 kapsamında silinmesini/yok edilmesini isteme.
  7. Düzeltme/silmenin aktarılan üçüncü kişilere bildirilmesini isteme.
  8. Münhasıran otomatik analizle aleyhinize bir sonuç çıkmasına itiraz etme.
  9. Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Yasal saklama süresi kapsamındaki veriler (ör. ödeme kayıtları) için silme talepleri karşılanamayabilir; bu durumda gerekçe yazılı olarak tarafınıza bildirilir.

8. Başvuru Yöntemi

Haklarınızı kullanmak için:

  • E-posta: [İLETİŞİM E-POSTA] adresine, başlıkta "KVKK Başvuru" ibaresiyle.
  • Yazılı: [AÇIK ADRES] adresine ıslak imzalı dilekçe veya noter kanalıyla.

Başvurunuzda kimliğinizi doğrulayacak bilgiler (ad-soyad, kayıtlı e-posta, talep konusu) yer almalıdır. Başvurular KVKK Madde 13 uyarınca en geç 30 gün içinde yanıtlanır; yanıt kural olarak ücretsizdir.

9. Değişiklikler

Bu metin, mevzuat değişiklikleri veya Platform özelliklerindeki güncellemeler nedeniyle revize edilebilir. Sürüm numarası ve geçerli metin bu sayfada yayımlanır. Sürüm 2.1 ile işlem günlüğü (denetim kaydı) ve hizmet sağlayıcı sınırlı erişimine ilişkin hükümler; Sürüm 2.2 ile doğrulanmamış hesapların 30 gün içinde kalıcı imhasına ilişkin saklama hükmü eklenmiştir. Sürüm 2.3 ile kayıt sırasında toplanan cep telefonu, işletme türü ve kaynak (referrer/utm) verilerinin işlenme amaçları eklenmiştir. Sürüm 2.4 ile hesap silme kapsamı (personel ve yedek kopyaların yaşam döngüsü dâhil) ayrıntılandırılmış; ödeme altyapısı bulunmadığı ve aktivasyonun iletişim kanalıyla elle yapıldığı açıklanmıştır. Sürüm 2.5 ile giriş güvenlik günlüklerinin 1 yıllık saklama süresi belirtilmiştir. Mevcut sürüm: 2.5.