KVKK aydınlatma metni

Bu aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) madde 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, dokunaç hizmetleri (dokunac.com, işletme paneli ve plakalar üzerinden açılan sayfalar) kapsamında işlenen kişisel veriler hakkında sizi bilgilendirmek amacıyla hazırlanmıştır.

1. Veri sorumlusu

Veri sorumlusu [Şirket unvanı] (“dokunaç”), MERSİS no: [MERSİS], adres: [Adres]. İletişim: [email protected].

2. Kimlerin hangi verilerini işliyoruz?

a) Plakayı okutan ziyaretçiler (işletmelerin müşterileri)

Plakaya dokunan ya da QR kodu okutan kişiden ad, telefon, e-posta gibi hiçbir bilgi istemeyiz ve ham IP adresini saklamayız. Her okutmada yalnızca şu teknik bilgiler kaydedilir:

• Okutma zamanı, okutulan plaka ve kanal (NFC ya da QR),
• Cihazın işletim sistemi ve tarayıcı türü (ör. iOS / Safari), tarayıcı dili ve yönlendiren sayfa,
• Altyapı sağlayıcımızın (Cloudflare) ilettiği yaklaşık ülke ve şehir bilgisi,
• Ziyaretçi özeti (visitorHash): IP adresi, tarayıcı bilgisi (user agent) ve her gün rastgele üretilen bir tuz değeri birleştirilerek SHA-256 ile tek yönlü olarak özetlenir. Tuz her gün yenilenir ve önceki günün tuzu silinir; bu nedenle özet ertesi gün hiçbir kişiyle eşleştirilemez ve günler arasında takip yapılamaz. Özet yalnızca “bugün kaç farklı kişi okuttu” sorusunu yanıtlamak için kullanılır. IP adresi bu hesaplama için yalnızca birkaç saniye bellekte tutulur, veritabanına ya da kayıt dosyalarına yazılmaz. Kötüye kullanımı (bot trafiği) önlemek amacıyla uygulanan hız sınırlaması da yalnızca sunucu belleğinde, kısa süreli olarak çalışır.
• Sayfa içi işlemler: ör. “WiFi şifresi kopyalandı”, “IBAN kopyalandı” gibi buton tıklamalarının sayısı.

b) İşletme paneli kullanıcıları (işletme sahipleri ve ekip üyeleri)

• Kimlik ve iletişim: ad soyad, e-posta adresi, isteğe bağlı telefon numarası,
• Hesap güvenliği: şifrenin geri döndürülemez özeti (bcrypt), oturum bilgileri, yönetici hesaplarında iki adımlı doğrulama anahtarı (şifreli),
• İşletme bilgileri: işletme adı, sektör, il/ilçe, adres, logo, plakalara verilen etiketler,
• Plaka hedefleri: Instagram kullanıcı adı, Google işletme kimliği, Sahibinden bağlantısı, WiFi ağ adı ve şifresi, IBAN, hesap sahibi ve banka adı. WiFi şifreleri ve IBAN’lar veritabanında AES-256-GCM ile şifrelenerek saklanır.
• İşlem kayıtları: giriş denemeleri, hedef değişiklikleri gibi güvenlik açısından önemli işlemlerin zamanı ve bu işlemler sırasındaki IP adresi,
• Abonelik ve fatura bilgileri (PRO plan): fatura unvanı, T.C. kimlik veya vergi numarası, fatura adresi, ödeme durumu. Kart bilgileri bizim tarafımızdan görülmez ve saklanmaz; ödeme kuruluşu tarafından işlenir.

c) İletişim formu ve şikâyet bildirimleri

Ad soyad, e-posta ve/veya telefon numarası ile mesaj içeriği.

3. Hangi amaçlarla işliyoruz?

• Plakaların doğru adrese yönlenmesi ve WiFi / IBAN sayfalarının gösterilmesi,
• İşletmelere okutma istatistiklerinin (toplam ve günlük tekil okutma, cihaz dağılımı, yoğun saatler) sunulması,
• Üyelik, plaka etkinleştirme ve işletme panelinin sunulması; sözleşmenin kurulması ve ifası,
• Abonelik ve ödeme süreçlerinin yürütülmesi, faturalandırma,
• Bilgi güvenliğinin sağlanması, kötüye kullanımın (sahte yönlendirme, bot trafiği) önlenmesi ve şikâyetlerin incelenmesi,
• Talep ve sorularınıza dönüş yapılması,
• Mevzuattan doğan yükümlülüklerin yerine getirilmesi ve yetkili kurumların taleplerinin karşılanması.

4. Hukuki sebepler ve toplama yöntemi

Kişisel verileriniz; dokunaç web sitesi, işletme paneli, plakalar üzerinden açılan sayfalar ve iletişim kanalları aracılığıyla elektronik ortamda, otomatik yollarla toplanır ve KVKK madde 5/2 kapsamında şu hukuki sebeplere dayanılarak işlenir:

• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması (m. 5/2-c): üyelik, panel, plaka hizmeti, abonelik,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi (m. 5/2-ç): fatura ve muhasebe kayıtları, yetkili kurum talepleri,
• Bir hakkın tesisi, kullanılması veya korunması (m. 5/2-e): uyuşmazlık ve şikâyet süreçleri,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat (m. 5/2-f): anonimleştirilmiş okutma istatistikleri, güvenlik kayıtları, kötüye kullanımın önlenmesi.

5. Kimlere aktarıyoruz?

Kişisel verileriniz satılmaz ve reklam amacıyla paylaşılmaz. Hizmetin sunulabilmesi için yalnızca gerekli olduğu ölçüde şu veri işleyenlere aktarılabilir:

• Barındırma hizmeti sağlayıcısı (sanal sunucu / VPS): uygulama ve veritabanının çalıştığı sunucu,
• Cloudflare: alan adı, güvenlik, içerik dağıtımı ve plaka yönlendirmelerinin yedeklenmesi,
• E-posta hizmet sağlayıcısı: şifre sıfırlama ve bilgilendirme e-postalarının gönderilmesi,
• Ödeme kuruluşu (ör. iyzico): PRO abonelik ödemelerinin alınması,
• Yedekleme hizmeti sağlayıcısı: veritabanı yedeklerinin şifreli olarak saklanması,
• Kanunen yetkili kamu kurum ve kuruluşları ile adli makamlar: talep halinde ve mevzuatın gerektirdiği ölçüde.

Bu hizmet sağlayıcılardan bazılarının sunucuları yurt dışında bulunabilir. Yurt dışına aktarım, KVKK madde 9 ve ilgili mevzuatta öngörülen şartlara (ör. standart sözleşme ve Kurum’a bildirim) uygun şekilde gerçekleştirilir. [Aktarım dayanakları hukuki kontrolde netleştirilecektir.]

6. Ne kadar süre saklıyoruz?

• Okutma kayıtları: 13 ay. Bu sürenin sonunda kayıtlar plaka bazında günlük toplamlara dönüştürülür ve tekil kayıtlar silinir; günlük toplamlar kişisel veri içermez.
• Günlük tuz değerleri: en fazla bir gün; ertesi gün silinir.
• Hesap ve işletme bilgileri: hesap açık olduğu sürece; hesabın kapatılmasından sonra yasal yükümlülükler ve olası uyuşmazlıklar için gereken süre boyunca.
• Fatura ve ödeme kayıtları: ilgili vergi ve ticaret mevzuatında öngörülen süre (genellikle 10 yıl).
• İletişim formu mesajları: talebiniz sonuçlandıktan sonra makul bir süre (en fazla 2 yıl).
• Veritabanı yedekleri: şifreli olarak 14 gün; süre sonunda otomatik olarak silinir.

Süresi dolan veriler silinir, yok edilir veya anonim hale getirilir.

7. Haklarınız

KVKK madde 11 uyarınca dokunaç’a başvurarak:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme ve işlenmişse bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmişse düzeltilmesini isteme,
• KVKK madde 7’deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kanuna aykırı işleme nedeniyle zarara uğramanız halinde zararın giderilmesini talep etme

haklarına sahipsiniz.

Plakayı okutan ziyaretçilerin kimliğini bilmediğimiz ve ham IP adresi saklamadığımız için, ziyaretçi kayıtlarının belirli bir kişiyle eşleştirilmesi teknik olarak mümkün değildir. Bu nedenle bu kayıtlara ilişkin bazı talepler (ör. “benim okutmalarımı listeleyin”) yerine getirilemeyebilir.

8. Başvuru yolu

Taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak; kimliğinizi doğrulayan bilgilerle birlikte [email protected] adresine kayıtlı e-posta adresinizden, [KEP adresi] KEP adresine ya da [Adres] adresine yazılı olarak iletebilirsiniz. Başvurunuz en geç 30 gün içinde ücretsiz olarak sonuçlandırılır.

Çerezler hakkında bilgi için Çerez politikası, genel gizlilik uygulamalarımız için Gizlilik politikası sayfalarına bakabilirsiniz.