KVKK aydınlatma metni

1. Giriş ve Hukuki Çerçeve

Bu Aydınlatma Metni, IbanTree platformu (ibantree.com, bundan sonra "Platform") üzerinden işlenen kişisel verilere ilişkin olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, veri sorumlusu sıfatıyla hazırlanmıştır.

Türkiye Cumhuriyeti Anayasası'nın 20. maddesinin üçüncü fıkrası uyarınca herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler ancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebilir. Platform, kişisel verileri bu anayasal güvenceye, KVKK'da sayılan genel ilkelere (hukuka ve dürüstlük kurallarına uygunluk; doğruluk ve gerektiğinde güncellik; belirli, açık ve meşru amaçlar; amaçla bağlantılı, sınırlı ve ölçülü olma; gerekli süre kadar muhafaza) ve ilgili ikincil mevzuata uygun olarak işler. Anayasa'nın 90. maddesi uyarınca usulüne göre yürürlüğe konulmuş milletlerarası andlaşmalar kanun hükmünde olduğundan, Türkiye'nin taraf olduğu Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi (108 sayılı Avrupa Konseyi Sözleşmesi) de gözetilir.

Bu metin; Platform'a üye olan kullanıcıları ("Kullanıcı"), kullanıcı profillerini ve QR kodlarını ziyaret eden kişileri ("Ziyaretçi"), şikâyet veya itiraz başvurusunda bulunan kişileri ve Platform ile iletişime geçen herkesi kapsar.

2. Veri Sorumlusu

Unvan: [ŞİRKET UNVANI]
MERSİS No: [MERSİS NO]
Adres: [AÇIK ADRES]
KEP Adresi: [KEP ADRESİ]
Kişisel veri başvuruları için e-posta: [email protected]
Genel destek: [email protected]

3. İşlenen Kişisel Veri Kategorileri

3.1. Kullanıcılara ait veriler

Kimlik ve profil bilgileri: kullanıcı adı, görünen ad, kısa biyografi, profil fotoğrafı (avatar), kullanım amacı (kişisel, işletme, sivil toplum, içerik üreticisi), kullanıcı adı değişiklik geçmişi.
İletişim bilgileri: e-posta adresi, değiştirilmek istenen yeni e-posta adresi ve doğrulama durumu.
Finansal bilgiler: Kullanıcı'nın Platform'a eklediği IBAN numaraları, hesap sahibi adı, IBAN'dan tespit edilen banka bilgisi, para birimi, IBAN etiketi ve görünürlük durumu.
Müşteri işlem bilgileri: plan türü, deneme süresi ve plan geçerlilik tarihleri, görünüm/tema tercihleri, QR kod ayarları, gizlilik ayarları (profil durdurma ve mesajı, IBAN maskeleme, hesap sahibi adını kısaltma, arama motorlarında görünürlük), dil tercihi, kayıt adımı, hesap silme talebi tarihi.
İşlem güvenliği bilgileri: şifre ve profil PIN'inin geri döndürülemez özet (hash) değerleri, şifre/PIN değişiklik tarihleri, oturum kayıtları (oturumun açıldığı ve son kullanıldığı zaman, tarayıcı/cihaz bilgisi (user agent), oturum türü, sona erme ve kapatılma nedeni), yenileme anahtarlarının özet değerleri, e-posta doğrulama ve şifre sıfırlama kodlarının özet değerleri ve deneme sayıları, IP adresinin gizli anahtarla tek yönlü olarak özetlenmiş (HMAC) değeri, güvenlik ve denetim kayıtları (log).
Onay ve beyan kayıtları: onaylanan Kullanım Koşulları ve okunan Aydınlatma Metni'nin sürümü, onay ve geri alma zamanı, onay anındaki IP özet değeri ve tarayıcı bilgisi.
Hukuki işlem ve moderasyon bilgileri: profil hakkındaki şikâyetler, askıya alma kayıtları ve gerekçeleri, itiraz metinleri ve sonuçları, kullanıcı adı işaretleme ve karantina kayıtları, yetkili kamu kurumlarından gelen talepler ve bunlara ilişkin yazışmalar, moderasyon ekibinin hesapla ilgili iç notları.
İstatistik bilgileri: profil görüntülenme, IBAN kopyalama ve QR okutma sayılarının günlük toplamları. Bu toplamlar ziyaretçiyi tanımlayan hiçbir bilgi içermez.

3.2. Ziyaretçilere ait veriler

İşlem güvenliği bilgileri: IP adresinin gizli anahtarla özetlenmiş (HMAC) değeri; yalnızca tekrar sayımı önlemek, kötüye kullanımı ve PIN tahmin denemelerini engellemek amacıyla ve kısa süreli olarak tutulur.
Şikâyet bilgileri: şikâyet nedeni, şikâyet açıklaması (serbest metin) ve şikâyet anındaki IP özet değeri. Şikâyet için hesap açılması veya ad, e-posta gibi bilgilerin verilmesi gerekmez.
Dil tercihi: tarayıcıda saklanan dil çerezi (bkz. Çerez Politikası).

3.3. İletişime geçen kişilere ait veriler

E-posta ile Platform'a yazan kişilerin ad, e-posta adresi, talep içeriği ve yazışma kayıtları.

3.4. İşlenmeyen veriler

Platform; T.C. kimlik numarası, telefon numarası, doğum tarihi, açık adres, banka şifresi, kart bilgisi, hesap bakiyesi veya hesap hareketi talep etmez ve işlemez. Platform, KVKK'nın 6. maddesinde sayılan özel nitelikli kişisel verileri (ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, sağlık, biyometrik ve genetik veriler vb.) talep etmez. Kullanıcı'nın biyografi, görünen ad, IBAN etiketi veya profil fotoğrafı gibi serbest alanlara kendi isteğiyle bu tür bilgileri yazmaması önemle rica olunur; yazılması hâlinde bu bilgiler Kullanıcı'nın kendi tercihiyle alenileştirilmiş sayılır ve sorumluluk Kullanıcı'ya aittir. Ham IP adresi veritabanında saklanmaz.

4. Kişisel Verilerin İşlenme Amaçları

Üyelik kaydının oluşturulması, e-posta adresinin doğrulanması ve hesabın yönetilmesi,
Kullanım Koşulları'nın kurulması ve ifası; Kullanıcı'nın talep ettiği profil sayfasının, IBAN listesinin ve QR kodlarının oluşturulup yayımlanması,
IBAN'ın biçimsel geçerliliğinin (uzunluk ve mod-97 kontrolü) denetlenmesi ve banka adının gösterilmesi,
Gizlilik ayarlarının (PIN koruması, maskeleme, ad kısaltma, profil durdurma, arama motoru görünürlüğü) uygulanması,
Giriş, oturum yönetimi, şifre sıfırlama, e-posta değişikliği ve hesap silme işlemlerinin güvenli şekilde yürütülmesi,
Bilgi güvenliğinin sağlanması; yetkisiz erişim, hesap ele geçirme, kaba kuvvet ve otomatik saldırıların, spam ve kötüye kullanımın önlenmesi ve tespiti,
Dolandırıcılık, kurum veya kişi taklidi ve hukuka aykırı içeriklere karşı şikâyet, askı ve itiraz süreçlerinin yürütülmesi,
Plan, deneme süresi ve plan sınırlarının uygulanması,
Kullanıcı'ya kendi profiline ilişkin anonim, toplu istatistiklerin sunulması,
Hesap ve güvenlikle ilgili işlemsel e-postaların (doğrulama kodu, şifre değişikliği, askı ve itiraz sonucu bildirimleri vb.) gönderilmesi,
Kullanıcı taleplerinin, destek başvurularının ve ilgili kişi başvurularının cevaplanması,
5651 sayılı Kanun başta olmak üzere mevzuattan doğan yükümlülüklerin yerine getirilmesi, yetkili kamu kurum ve kuruluşları ile yargı mercilerinin bilgi ve belge taleplerinin karşılanması,
Hukuki uyuşmazlıklarda hakların tesisi, kullanılması ve korunması; delil olarak kullanılmak üzere kayıtların muhafazası,
Hizmet kalitesinin, Platform'un teknik işleyişinin ve güvenliğinin denetlenmesi ve iyileştirilmesi.

Platform, kişisel verileri reklam, profilleme, kişiye özel pazarlama veya üçüncü kişilere satış amacıyla işlemez.

5. Toplama Yöntemi ve Hukuki Sebepler

Kişisel veriler; kayıt, giriş, onboarding ve panel formları, profil ve QR sayfalarının ziyaret edilmesi, şikâyet ve itiraz formları, e-posta yazışmaları ile çerezler ve sunucu kayıtları aracılığıyla, kısmen otomatik ve kısmen otomatik olmayan yollarla elektronik ortamda toplanır. İşlemeye dayanak olan hukuki sebepler (KVKK m. 5/2) şunlardır:

Sözleşmenin kurulması veya ifası (m. 5/2-c): üyelik, profil, IBAN, plan, gizlilik ayarları, oturum ve işlemsel e-postalara ilişkin veriler.
Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi (m. 5/2-ç): 5651 sayılı Kanun kapsamındaki trafik bilgileri, resmî makam taleplerinin karşılanması, veri güvenliği yükümlülükleri.
İlgili kişinin kendisi tarafından alenileştirilmiş olması (m. 5/2-d): Kullanıcı'nın kendi tercihiyle herkese açık profilinde yayımladığı bilgiler, alenileştirme amacıyla sınırlı olarak.
Bir hakkın tesisi, kullanılması veya korunması (m. 5/2-e): onay kayıtları, şikâyet, askı ve itiraz kayıtları, denetim kayıtları ve yazışmalar.
Meşru menfaat (m. 5/2-f): güvenlik kayıtları, IP özet değerleriyle hız sınırlama ve kötüye kullanım önleme, ziyaretçi sayımında tekrarın önlenmesi, kurum taklidi kullanıcı adlarının tespiti, anonim istatistikler; ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla.

Platform, yukarıdaki faaliyetler için açık rızaya dayanmaz. Pazarlama amaçlı ticari elektronik ileti gönderimi veya analitik/reklam çerezleri gibi açık rıza gerektiren bir işleme ileride başlatılırsa, bu işleme ayrı ve isteğe bağlı bir açık rıza alınarak yapılır; açık rızanın verilmemesi hizmetten yararlanmayı engellemez ve verilen rıza her zaman geri alınabilir.

6. Herkese Açık Profil ve Alenileştirme

Platform'un temel işlevi, Kullanıcı'nın IBAN bilgilerini kendi seçtiği kişilerle paylaşabilmesidir. Kullanıcı profilini yayımladığında; görünen ad, kullanıcı adı, profil fotoğrafı, biyografi, görünür olarak işaretlenen IBAN'lar, hesap sahibi adı (kısaltma seçeneğine bağlı olarak), banka adı, para birimi ve IBAN etiketleri, profil adresini bilen herkes tarafından görüntülenebilir hâle gelir. Maskeleme açıksa IBAN kısmen gizlenir ancak ziyaretçi talebiyle tamamı gösterilir; PIN koruması açıksa içerik yalnızca doğru PIN'i giren ziyaretçilere gösterilir.

Profiller varsayılan olarak arama motorlarına kapalıdır (noindex). Kullanıcı arama motorlarında görünürlüğü kendisi açabilir. Yayımlanan bilgiler ziyaretçiler tarafından kopyalanabilir, ekran görüntüsü alınabilir veya başka ortamlarda paylaşılabilir; Platform, profil yayından kaldırıldıktan sonra bu bilgilerin üçüncü kişilerce yapılan kopyalarını veya arama motoru önbelleklerini kontrol edemez. Kullanıcı, yayımlamaya karar verdiği her bilginin bu sonucunu bilerek hareket eder.

Kullanıcı, kendisine ait olmayan bir IBAN'ı veya başka bir kişinin adını Platform'a eklediğinde, o kişiye ait verilerin yayımlanması bakımından gerekli hukuki dayanağı sağlamak ve o kişiyi aydınlatmakla bizzat yükümlüdür (ayrıntılar için Kullanım Koşulları).

7. Otomatik Karar ve Değerlendirmeler

Platform'da aşağıdaki işlemler otomatik sistemlerle yürütülür:

IBAN'ın biçimsel geçerlilik kontrolü ve banka tespiti,
Kurum taklidi riski taşıyan kullanıcı adlarının engellenmesi veya incelemeye alınması,
Bir profil hakkında 24 saat içinde birbirinden farklı en az üç kaynaktan şikâyet gelmesi hâlinde profilin ihtiyati tedbir niteliğinde geçici olarak askıya alınması,
Hatalı giriş, PIN ve doğrulama kodu denemelerinde geçici kilit ve hız sınırlamaları.

Otomatik askı nihai bir karar değildir; moderasyon ekibi tarafından insan incelemesine tabi tutulur ve Kullanıcı itiraz hakkını kullanabilir. KVKK m. 11/1-(g) uyarınca, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkmasına itiraz etme hakkınız saklıdır.

8. Kişisel Verilerin Aktarılması

Kişisel veriler, KVKK'nın 8. ve 9. maddelerine uygun olarak ve yalnızca aşağıdaki alıcı gruplarına, belirtilen amaçlarla sınırlı olarak aktarılabilir:

Yetkili kamu kurum ve kuruluşları ile yargı mercileri: mahkemeler, Cumhuriyet başsavcılıkları, kolluk birimleri, Bilgi Teknolojileri ve İletişim Kurumu, Kişisel Verileri Koruma Kurumu ve kanunen bilgi isteme yetkisi bulunan diğer makamlara; hukuki yükümlülüklerin yerine getirilmesi amacıyla ve kanuni usule uygun talep hâlinde.
Altyapı ve hizmet sağlayıcıları (veri işleyenler): sunucu barındırma, veritabanı, yedekleme ve ağ güvenliği hizmeti aldığımız [BARINDIRMA SAĞLAYICISI] ile işlemsel e-postaların gönderimi için [E-POSTA HİZMET SAĞLAYICISI]; yalnızca hizmetin sunulması amacıyla, yazılı sözleşme ve veri işleme taahhütleri çerçevesinde.
Hukuk ve mali danışmanlar, denetçiler: hakların tesisi ve korunması, mevzuata uyum amacıyla ve sır saklama yükümlülüğü altında.
Olası şirket birleşmesi, bölünmesi veya devri hâlinde: halef şirkete, bu Aydınlatma Metni'nde belirtilen amaçlarla sınırlı olarak.

Kullanıcı'nın herkese açık profilinde yayımladığı bilgilerin ziyaretçilerce görüntülenmesi, Kullanıcı'nın kendi talebiyle gerçekleşen bir alenileştirmedir. Platform kişisel verileri satmaz, kiralamaz, reklam ağlarıyla paylaşmaz.

8.1. Yurt dışına aktarım

Kişisel verileriniz [SUNUCULARIN BULUNDUĞU ÜLKE / TÜRKİYE] konumundaki sunucularda saklanır. Hizmet sağlayıcılarımızdan herhangi birinin yurt dışında bulunması veya verilere yurt dışından erişmesi hâlinde aktarım, KVKK'nın 9. maddesine uygun olarak; Kurul tarafından yeterlilik kararı verilmiş ülkelere, yeterlilik kararı yoksa Kurul'un ilan ettiği standart sözleşmenin imzalanması ve Kurum'a bildirilmesi gibi uygun güvencelerden biri sağlanarak yapılır. Yurt dışına aktarım yapılan alıcılar ve ülkeler bu metinde güncel olarak belirtilir.

9. Saklama ve İmha Süreleri

Kişisel veriler, işlendikleri amaç için gerekli olan ve mevzuatta öngörülen süre kadar saklanır; sürenin sona ermesiyle silinir, yok edilir veya anonim hâle getirilir. Başlıca süreler:

Hesap, profil, IBAN ve gizlilik ayarları: üyelik süresince. Hesap silme talebinden sonra profil derhâl yayından kaldırılır, tüm oturumlar kapatılır; 7 günlük vazgeçme süresinin sonunda veriler kalıcı olarak silinir.
Kullanıcı adı karantinası: değiştirilen veya silinen kullanıcı adları, başkasının kısa süre içinde aynı adı alarak taklit yapmasını önlemek için 30 gün boyunca kullanıma kapatılır. Askıdayken silinen hesapların kullanıcı adı, dolandırıcılığın tekrarını önlemek amacıyla süresiz olarak kullanıma kapatılabilir; bu kayıtta yalnızca kullanıcı adı ve nedeni tutulur.
Kullanıcı adı değişiklik geçmişi: değişiklik tarihinden itibaren 2 yıl.
E-posta doğrulama ve şifre sıfırlama kodları: kodlar 10 dakika (şifre sıfırlama bağlantısı 30 dakika) geçerlidir ve en geç 1 gün içinde silinir. Kodlar veritabanında yalnızca özet değer olarak bulunur.
Oturum ve yenileme anahtarı kayıtları: oturum en fazla 30 gün geçerlidir; sona eren oturum kayıtları 30 gün sonra silinir.
Güvenlik ve denetim kayıtları (trafik bilgileri dâhil): 1 yıl (365 gün).
Yönetici işlem kayıtları: 2 yıl (730 gün).
E-posta gönderim kuyruğu: 30 gün; doğrulama kodu gibi hassas parametreler gönderimden hemen sonra silinir.
Profil istatistikleri: anonim günlük toplamlar 400 gün.
Hız sınırlama ve tekrar sayım anahtarları (IP özet değeri): 10 dakika ile 1 saat arasında, otomatik olarak silinir.
Şikâyet, askı ve itiraz kayıtları: sürecin kapanmasından itibaren 2 yıl; hakkında adli veya idari süreç bulunan kayıtlar, süreç sonuçlanıncaya kadar.
Onay ve beyan kayıtları: sözleşme ilişkisinin sona ermesinden itibaren genel zamanaşımı süresi olan 10 yıl.
Destek ve başvuru yazışmaları: talebin sonuçlanmasından itibaren 3 yıl.

Yetkili makamlarca saklama talep edilen veya devam eden bir uyuşmazlık, soruşturma ya da kovuşturmayla ilgili veriler, yukarıdaki sürelerden bağımsız olarak ilgili süreç sonuçlanıncaya kadar saklanabilir. Yedeklerdeki veriler, yedekleme döngüsü içinde ve en geç [YEDEK SAKLAMA SÜRESİ, ör. 35 gün] içinde silinir.

10. Veri Güvenliği

Platform, KVKK'nın 12. maddesi uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun teknik ve idari tedbirleri alır. Bunlar arasında; şifrelerin bcrypt, PIN ve doğrulama kodlarının tek yönlü özet olarak saklanması, ham IP adresi yerine gizli anahtarlı özet değer kullanılması, tüm bağlantıların TLS ile şifrelenmesi, kısa ömürlü imzalı erişim anahtarları ve JavaScript ile okunamayan (HttpOnly, Secure) oturum çerezleri, hız sınırlama ve geçici kilit mekanizmaları, yönetim paneli için ayrı oturum ve yetki temelli erişim, yöneticilerin her işleminin kayıt altına alınması, gizlilik taahhütleri ve erişimin "bilmesi gereken" ilkesiyle sınırlandırılması yer alır. Bu tedbirler teknolojik gelişmelere göre düzenli olarak gözden geçirilir.

İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, bu durum KVKK m. 12/5 uyarınca en kısa sürede ve Kurul'un belirlediği süre içinde (72 saat) Kurul'a, makul olan en kısa süre içinde de etkilenen ilgili kişilere bildirilir.

11. İlgili Kişi Olarak Haklarınız

KVKK'nın 11. maddesi uyarınca Platform'a başvurarak:

Kişisel verilerinizin işlenip işlenmediğini öğrenme,
Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
Düzeltme, silme veya yok etme işlemlerinin, kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz.

Panel üzerinden hızlı kullanım: Kullanıcılar profil, IBAN ve hesap bilgilerini panelden doğrudan düzeltebilir; panelin hesap bölümünden hesabına ait verilerin bir kopyasını elektronik ortamda indirebilir, hesabın silinmesini başlatabilir ve açık oturumlarını görüp kapatabilir.

12. Başvuru Usulü

Haklarınıza ilişkin taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak, Türkçe ve aşağıdaki yollardan biriyle iletebilirsiniz:

Islak imzalı dilekçe ile şahsen veya noter aracılığıyla: [AÇIK ADRES]
Kayıtlı elektronik posta (KEP) ile: [KEP ADRESİ]
Güvenli elektronik imza veya mobil imza ile imzalanmış olarak: [email protected]
Platform'a kayıtlı e-posta adresinizden: [email protected]

Başvurunuzda; adınız, soyadınız, başvuru yazılı ise imzanız, Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numaranız, yabancılar için uyruğunuz ve pasaport numaranız (varsa kimlik numaranız), tebligata esas yerleşim yeri veya iş yeri adresiniz, varsa bildirime esas e-posta adresiniz, Platform'daki kullanıcı adınız ve talep konunuz bulunmalıdır. Kimliğinizin doğrulanması için ek bilgi istenebilir; başkası adına yapılan başvurularda özel yetki içeren vekâletname gerekir.

Başvurunuz, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde, Kişisel Verileri Koruma Kurulu'nca belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, verilen cevabı yetersiz bulmanız veya süresinde cevap verilmemesi hâllerinde; cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz. Anayasa'nın 36. ve 40. maddeleri uyarınca yargı mercilerine başvurma hakkınız saklıdır.

13. Değişiklikler

Bu Aydınlatma Metni, mevzuattaki veya Platform'un veri işleme faaliyetlerindeki değişikliklere göre güncellenebilir. Güncel sürüm ve yürürlük tarihi her zaman bu sayfada yayımlanır; önceki sürümler arşivde saklanır. Esaslı değişiklikler Kullanıcılara e-posta veya panel bildirimi yoluyla ayrıca duyurulur.

İlgili metinler: Gizlilik Politikası · Çerez Politikası · Kullanım Koşulları