İnternet Sitesi Ziyaretçisi Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni

1. Veri sorumlusunun kimliği 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusu: Ahmet Aktemur Tekerek Mahallesi Onikişubat/Kahramanmaraş info@onlinedavetet.com Telefon numarası bulunmamaktadır. 2. Metnin kapsamı Bu metin aşağıdaki genel sayfaları ziyaret eden kişilere yöneliktir: - Ana sayfa, - Platform tanıtım sayfaları, - Davetiye modeli vitrini, - Fiyatlandırma ve paket sayfaları, - Sık sorulan sorular, - Genel bilgilendirme sayfaları, Yayındaki özel bir davetiyeyi görüntülemeniz halinde davetiye ziyaretçisi aydınlatma metni uygulanır. Kullanıcı hesabı açmanız veya hizmet satın almanız halinde davetiye sahibi aydınlatma metni uygulanır. 3. İşlenen kişisel veriler İnternet sitesinin genel sayfalarını ziyaret etmeniz sırasında aşağıdaki teknik veriler işlenir: - IP adresi, - Erişim tarihi ve saati, - İstenen sayfa veya kaynak adresi, - HTTP istek yöntemi ve işlem sonucu, - Sunucu tarafından üretilen yanıt durum kodu, - Güvenlik ve hız sınırlama işlemlerinde kullanılan teknik anahtarlar, - Hata oluşması halinde hata türü, işlem adımı ve sınırlı teşhis bilgileri, - Tarayıcı tarafından gönderilen kullanıcı aracısı, dil ve yönlendiren sayfa gibi standart HTTP başlıkları, - Kesinlikle gerekli çerezlerde bulunan şifrelenmiş veya rastgele teknik tanımlayıcılar. IP adresi, mevcut uygulamada hız sınırlama ve kötüye kullanım önleme anahtarının oluşturulması sırasında geçici olarak kullanılır. Hız sınırlama işlemi tek başına kalıcı bir ziyaretçi profili oluşturmak amacıyla kullanılmaz. Genel sayfaların yalnızca görüntülenmesi sırasında ad, soyad, telefon numarası veya e-posta adresi doğrudan talep edilmez. Mevcut sistemde genel ziyaretçiler için davranış analizi, reklam hedefleme, ziyaretçi profilleme veya cihazlar arası takip yapılmamaktadır. Ayrı bir çerez tercih kaydı oluşturulmamaktadır. Hukuki metnin yalnızca görüntülenmesi, tek başına hukuki etkileşim veya açık rıza kaydı oluşturmaz. Hukuki etkileşim kayıtları yalnızca kullanıcının açıkça onay, kabul, izin veya geri alma işlemi gerçekleştirdiği ilgili akışlarda oluşturulur. Yayın ortamındaki barındırma ve web sunucusu günlüklerinde tutulan kesin teknik alanlar: Nginx erişim kayıtları: İstek zamanı, istek kimliği, istemci IP adresi ve portu, sunucu IP adresi ve portu, alan adı, HTTP veya HTTPS bilgisi, HTTP yöntemi, istenen yol, protokol sürümü, HTTP durum kodu, istek ve yanıt boyutları, yanıt süresi ve kullanıcı aracısı. IIS erişim kayıtları: İstek tarihi ve zamanı, istemci veya ters proxy IP adresi, sunucu bilgisi, HTTP yöntemi, istenen yol, protokol ve yanıt durum bilgileri ile etkin W3C erişim alanları. Uygulama hata kayıtları: Hata zamanı, hata türü, uygulama bileşeni ve teknik hata açıklaması. Hata kayıtlarında parola, ödeme kartı bilgisi veya form içeriğinin bilerek kaydedilmesi amaçlanmaz. Hız sınırlama kayıtları: Yalnızca uygulama belleğinde geçici sayaç olarak tutulur ve kalıcı veri tabanı kaydı oluşturulmaz. 4. Kişisel verilerin işlenme amaçları İnternet sitesi ziyareti sırasında oluşan teknik kişisel veriler yalnızca aşağıdaki amaçlarla işlenir: - Talep ettiğiniz internet sayfası veya kaynağın cihazınıza iletilmesi, - İnternet sitesinin güvenli, kararlı ve doğru biçimde çalışmasının sağlanması, - İstek doğrulama, hız sınırlama ve kötüye kullanım önleme kontrollerinin uygulanması, - Yetkisiz erişim, otomatik saldırı ve güvenlik ihlali girişimlerinin önlenmesi, - Teknik hata, kesinti ve başarısız isteklerin tespit edilmesi ve giderilmesi, - Hizmet sürekliliğinin ve sistem güvenliğinin korunması, - Güvenlik olaylarının araştırılması ve gerekli teknik kayıtların incelenmesi, - Bir hukukî uyuşmazlık doğması halinde bir hakkın tesisi, kullanılması veya korunması, - Uygulanabilir hukukî yükümlülüklerin yerine getirilmesi, - Yetkili kamu kurum ve kuruluşlarının hukuka uygun taleplerinin karşılanması. Mevcut sistemde genel site ziyareti sırasında elde edilen teknik veriler; davranış analizi, reklam hedefleme, kampanya ölçümü, kişiselleştirilmiş reklam, ziyaretçi profilleme veya kişisel tercih çıkarımı amacıyla kullanılmamaktadır. Teknik veriler, toplandıkları amaçlarla bağdaşmayan yeni bir amaç için kullanılmamalıdır. Yeni bir işleme amacı ortaya çıkarsa ilgili aydınlatma metni işlem başlamadan önce güncellenmelidir. 5. Kişisel verilerin elde edilme yöntemi Teknik kişisel veriler aşağıdaki işlemler sırasında elektronik ortamda ve otomatik yöntemlerle elde edilir: - İnternet tarayıcınızın site sunucularına HTTP veya HTTPS isteği göndermesi, - Sunucu ve ağ altyapısının isteğin kaynak IP adresini ve standart HTTP başlıklarını alması, - Talep ettiğiniz sayfa veya kaynağın sunucu tarafından işlenerek yanıtlanması, - Varsa kesinlikle gerekli çerezlerin tarayıcı tarafından ilgili isteğe eklenmesi, - Hız sınırlama, istek doğrulama ve kötüye kullanım önleme kontrollerinin çalışması, - Teknik hata veya güvenlik olayı meydana gelmesi, - Nginx ve IIS erişim günlüklerinin oluşturulması. Bu veriler genel olarak doğrudan sizden, kullandığınız tarayıcı ve cihazın internet sitesine gönderdiği teknik istekler aracılığıyla elde edilir. Genel sayfaların yalnızca görüntülenmesi sırasında adınız, soyadınız, telefon numaranız veya e-posta adresiniz doğrudan talep edilmez. Mevcut sistemde genel site ziyareti verileri üçüncü taraf analiz, reklam, hedefleme veya ziyaretçi profilleme araçları aracılığıyla elde edilmemektedir. 6. Kişisel verilerin işlenmesinin hukukî sebepleri İnternet sitesi ziyareti sırasında işlenen teknik kişisel veriler, işleme amacı ve ilgili veri kategorisi dikkate alınarak aşağıdaki hukukî sebeplere dayanır. İnternet sayfasının sunulması ve sistem güvenliği: IP adresi, istek bilgileri, teknik tanımlayıcılar, hata ve güvenlik verileri; internet sitesinin çalıştırılması, ziyaretçinin talep ettiği içeriğin iletilmesi, hız sınırlama ve istek doğrulama kontrollerinin uygulanması, yetkisiz erişimin ve kötüye kullanımın önlenmesi amaçlarıyla işlenir. Bu işlemler, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla internet sitesinin güvenli, kararlı ve erişilebilir biçimde işletilmesine ilişkin meşru menfaatler için zorunlu olması ölçüsünde KVKK’nın 5’inci maddesinin ikinci fıkrasının (f) bendine dayanır. Meşru menfaat değerlendirmesinde yalnızca amaç için gerekli sınırlı teknik verilerin işlenmesi, bu verilerin reklam veya profilleme amacıyla kullanılmaması, uygun güvenlik tedbirlerinin uygulanması ve verilerin gerekli süreden uzun tutulmaması esas alınır. Hukukî yükümlülüklerin yerine getirilmesi: Uygulanabilir mevzuatın belirli bir teknik kaydın tutulmasını, korunmasını veya yetkili makama sunulmasını açıkça gerektirdiği durumlarda ilgili işlem KVKK’nın 5’inci maddesinin ikinci fıkrasının (a) ve/veya (ç) bentlerine dayanır. Bir hakkın tesisi, kullanılması veya korunması: Güvenlik olayı, kötüye kullanım, uyuşmazlık, şikâyet veya yargısal süreç bulunması halinde olayla bağlantılı sınırlı teknik kayıtlar, bir hakkın tesisi, kullanılması veya korunması için zorunlu olduğu ölçüde KVKK’nın 5’inci maddesinin ikinci fıkrasının (e) bendine dayanılarak işlenebilir. Açık rızaya dayalı işlemler: Mevcut sistemde genel site ziyaretçilerine yönelik davranış analizi, reklam hedefleme, kampanya ölçümü, kişiselleştirme veya profilleme faaliyeti bulunmadığından bu amaçlarla açık rızaya dayalı bir veri işleme faaliyeti yürütülmemektedir. İleride açık rıza gerektiren bir faaliyet eklenecekse ilgili işlem, kullanıcı önceden bilgilendirildikten ve özgür iradesiyle aktif bir seçim yaptıktan sonra başlatılmalıdır. Açık rıza vermemek internet sitesinin temel özelliklerine erişimi engellememelidir. Bu aydınlatma metnini okumanız veya internet sitesini kullanmaya devam etmeniz açık rıza verdiğiniz anlamına gelmez. 7. Kişisel verilerin aktarılması Genel internet sitesi ziyareti sırasında oluşan teknik erişim kayıtları, veri sorumlusuna ait ve Türkiye’de bulunan sunucularda saklanır. Bu kayıtlar reklam, analiz, hedefleme veya ziyaretçi profilleme amacıyla üçüncü kişilere aktarılmaz. Genel ziyaret kayıtları aşağıdaki durumlarda, yalnızca gerekli ve ölçülü kapsamda paylaşılabilir: - Hukuka uygun ve bağlayıcı bir talep bulunması halinde yetkili kamu kurumları, adli makamlar ve kolluk birimleriyle, - Bir güvenlik olayının veya hukuki uyuşmazlığın araştırılması halinde yetkili avukatlar ve teknik uzmanlarla, - Sunucuların bakım veya güvenlik işlemleri için erişim zorunlu olduğunda, gizlilik yükümlülüğü altındaki yetkili teknik hizmet sağlayıcılarla. IHS Telekom alan adı ve e-posta hizmeti sağlamaktadır. Genel site ziyaretine ait Nginx ve IIS erişim kayıtları IHS Telekom’a aktarılmaz. Kullanıcının e-posta yoluyla iletişim kurması halinde e-posta adresi, gönderim bilgileri ve mesaj içeriği e-posta hizmetinin sunulması kapsamında işlenir. Mevcut yapılandırmada genel site ziyareti verileri yurt dışına aktarılmamaktadır. Sunucu konumu, hizmet sağlayıcısı veya aktarım ilişkileri değişirse bu metin veri işleme faaliyeti başlamadan önce güncellenir. 8. Saklama süreleri Teknik kişisel veriler yalnızca ilgili işleme amacı için gerekli olan süre boyunca saklanır. Hız sınırlama ve kötüye kullanım önleme sırasında oluşturulan geçici teknik anahtarlar uygulama belleğinde tutulur ve ilgili hız sınırlama penceresi sona erdiğinde geçerliliğini kaybeder. Bu işlem tek başına kalıcı bir ziyaretçi kaydı oluşturmaz. Yayın ortamındaki teknik kayıtlar aşağıdaki sürelerle saklanır: Web sunucusu erişim kayıtlarının saklama süresi: 1 yıl (365 gün) Uygulama hata kayıtlarının saklama süresi: Sabit bir gün süresi uygulanmaz. Uygulama hata kayıtları Windows Application olay günlüğünde 20 MB döngüsel kapasiteyle tutulur; kapasite dolduğunda en eski kayıtların üzerine yazılır. Güvenlik kayıtlarının saklama süresi: Ayrı bir kalıcı uygulama güvenlik günlüğü oluşturulmaz. Güvenlikle ilişkili HTTP erişim ve istek kayıtları web sunucusu erişim günlükleri kapsamında 1 yıl (365 gün) saklanır. Mevcut sistemde zorunlu olmayan çerez tercih kaydı oluşturulmadığından bu kapsamda bir tercih kaydı saklama süresi bulunmamaktadır. Hukuki metnin yalnızca görüntülenmesi hukuki etkileşim kaydı oluşturmaz. Kullanıcının açıkça kabul, onay, izin veya geri alma işlemi yaptığı diğer akışlarda oluşturulan hukuki etkileşim kayıtları, ilgili işlemin aydınlatma metni ve saklama politikası kapsamında değerlendirilir. Saklama süresi sona eren kayıtlar; devam eden bir hukukî yükümlülük, güvenlik incelemesi veya hukukî uyuşmazlık bulunmaması halinde silinir, yok edilir veya geri döndürülemeyecek biçimde anonim hale getirilir. 9. Çerezler Mevcut sistemde yalnızca internet sitesinin güvenli ve doğru biçimde çalışması için gereken birinci taraf, kesinlikle gerekli çerezler kullanılmaktadır. Bu çerezler ilgili işleme göre aşağıdaki amaçlarla oluşturulabilir: - Müşteri veya yönetici oturumunun güvenli biçimde sürdürülmesi, - Yönetici iki aşamalı doğrulama işleminin tamamlanması, - Sahte form ve API isteklerinin önlenmesi, - Başarı, hata ve bilgilendirme mesajlarının yönlendirmeler arasında kısa süreli taşınması, - Davetiye katılımı veya dijital anı alanında kullanıcının kendi gönderileriyle güvenli biçimde ilişkilendirilmesi. Müşteri veya yönetici kimlik doğrulama çerezleri yalnızca ilgili giriş işlemleri sırasında oluşturulur. Davetiye katılımcı çerezi ise davetiyenin yalnızca görüntülenmesi sırasında değil, kullanıcı katılım veya dijital anı alanı işlemi gerçekleştirdiğinde oluşturulur. Mevcut sistemde işlevsel, performans, analiz, reklam veya hedefleme amacı taşıyan zorunlu olmayan çerez kullanılmamaktadır. Bu nedenle genel ziyaretçiler için isteğe bağlı çerez tercih paneli gösterilmemekte ve çerez açık rızası talep edilmemektedir. Kesinlikle gerekli çerezler tarayıcı ayarlarından engellenebilir veya silinebilir. Ancak bu durumda güvenli giriş, form gönderimi, oturum yönetimi ve davetiye katılımı gibi bazı özellikler çalışmayabilir. Kullanılan çerezlerin adı, amacı, türü, içeriği ve saklama süresi ayrı çerez aydınlatma metnindeki güncel çerez envanterinde açıklanır. İleride zorunlu olmayan bir çerez kullanılacaksa ilgili çerez, kullanıcı önceden bilgilendirilip aktif bir seçimle izin vermeden oluşturulmamalı; çerez aydınlatma metni ve teknik tercih mekanizması kullanım başlamadan önce güncellenmelidir. 10. Bilgi güvenliği Kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere yetkisiz erişilmesini önlemek, verilerin güvenli biçimde muhafazasını sağlamak amacıyla uygun teknik ve idari tedbirler uygulanır. Uygulama kodunda mevcut olan başlıca teknik tedbirler şunlardır: - Yayın ortamında HTTPS yönlendirmesi ve HSTS politikasının uygulanması, - Tarayıcı güvenlik başlıklarının ve içerik güvenliği politikasının kullanılması, - Kimlik doğrulama, rol tabanlı yetkilendirme ve yönetim hesaplarında iki aşamalı doğrulama kullanılması, - Kimlik doğrulama ve teknik işlem çerezlerinde Secure, HttpOnly ve uygun SameSite ayarlarının uygulanması, - Form ve API işlemlerinde sahte istek önleme kontrollerinin kullanılması, - IP adresi ve işlem türüne göre hız sınırlama ve kötüye kullanım önleme kontrollerinin uygulanması, - İstek ve dosya boyutlarının sınırlandırılması, - Uygulamanın veri koruma anahtarlarının kalıcı ve korumalı biçimde saklanması, - Canlı ortamda teknik hata ayrıntılarının son kullanıcıya gösterilmemesi, - Teknik kayıtlarda hizmet için gerekli olandan fazla kişisel veri veya gizli bilgi tutulmaması. Bir kişisel veri güvenliği ihlali tespit edilmesi halinde olayın kapsamı sınırlandırılır, gerekli teknik kayıtlar korunur, etkilenen veri ve kişiler belirlenir ve uygulanabilir bildirim yükümlülükleri gecikmeksizin değerlendirilir. 11. KVKK kapsamındaki haklarınız ve başvuru yöntemi KVKK'nın 11'inci maddesi kapsamında veri sorumlusuna başvurarak: - Kişisel verilerinizin işlenip işlenmediğini öğrenme, - Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme, - Kişisel verilerinizin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, - Kişisel verilerinizin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, - Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde düzeltilmesini isteme, - KVKK'nın 7'nci maddesinde belirtilen şartlar kapsamında kişisel verilerinizin silinmesini veya yok edilmesini isteme, - Düzeltme, silme veya yok etme işlemlerinin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme, - İşlenen verilerinizin münhasıran otomatik sistemler aracılığıyla analiz edilmesi sonucunda aleyhinize bir sonucun ortaya çıkmasına itiraz etme, - Kişisel verilerinizin kanuna aykırı olarak işlenmesi nedeniyle zarara uğramanız halinde zararın giderilmesini talep etme haklarına sahipsiniz. Başvurunuzu yazılı olarak, kayıtlı elektronik posta adresiyle, güvenli elektronik imza veya mobil imza kullanarak, veri sorumlusuna daha önce bildirdiğiniz ve sistemde kayıtlı bulunan e-posta adresiniz üzerinden ya da başvuru amacıyla sunulan elektronik form aracılığıyla iletebilirsiniz. Başvuru kanalları: info@onlinedavetet.com; fiziksel başvuru adresi: Tekerek Mahallesi Onikişubat/Kahramanmaraş KEP adresi: KEP adresi bulunmamaktadır. Çevrim içi başvuru formu: Çevrim içi KVKK başvuru formu sunulmamaktadır. Başvurunun size ait olduğunun doğrulanabilmesi ve talebin doğru biçimde sonuçlandırılabilmesi için kimliğinizi ve talebinizle bağlantınızı gösteren bilgiler istenebilir. Başvurunun sonuçlandırılması için gerekli olandan fazla kişisel veri talep edilmez. Başvurular, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresi içinde cevap verilmemesi halinde ilgili mevzuatta belirtilen süreler içerisinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilirsiniz. 12. Metnin geçerliliği ve güncellenmesi Bu metin, yayımlandığı tarihte internet sitesinde gerçekleştirilen veri işleme faaliyetleri ve kullanılan teknik yapı esas alınarak hazırlanmıştır. İşlenen kişisel veri kategorilerinde, işleme amaçlarında, hukuki sebeplerde, aktarım ilişkilerinde, hizmet sağlayıcılarda, saklama sürelerinde, çerez kullanımında veya teknik altyapıda değişiklik olması halinde bu metin yeniden değerlendirilir ve gerekli olması halinde güncel bir sürüm yayımlanır. Veri işleme faaliyetini önemli ölçüde etkileyen bir değişiklik yapılması halinde güncel bilgilendirme, değişikliğin uygulanmasından veya yeni veri işleme faaliyetinin başlamasından önce ilgili kişilere sunulur. Güncellenen metin, yayımlandığı tarihten itibaren geçerli olur. Önceki dönemlerde gerçekleştirilen veri işleme faaliyetleri, ilgili tarihte yürürlükte bulunan metin ve mevzuat hükümleri kapsamında değerlendirilir. Metnin güncel sürümüne internet sitesindeki hukuki metinler alanından erişilebilir.