GİZLİLİK POLİTİKASI
Sürüm: 6 — Yürürlük tarihi: 08.11.2026
Bu belge bir politika metnidir; taraflar arasında karşılıklı borç doğuran bir sözleşme değildir. Bu metin bilgilendirme amaçlıdır. Uygulamada bu metin için alınan geri bildirim yalnız metnin size ulaştığını ve okunduğunu kayda geçirir; açık rıza yerine geçmez ve açık rıza gerektiren işlemler için ayrıca alınır. Şirket'in kişisel verileri nerede barındırdığını, hangi hizmet sağlayıcılarla paylaştığını, hangi güvenlik tedbirlerini uyguladığını ve verileri ne kadar süre sakladığını açıklar. 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") m.10 kapsamındaki aydınlatma, KVKK Aydınlatma Metni ile yapılır; iki belge arasında çelişki bulunması hâlinde KVKK Aydınlatma Metni esas alınır.
1. VERİ SORUMLUSU
| Alan | Bilgi |
|---|---|
| Unvan | Apex Technology Yazılım Ticaret A.Ş. ("Şirket") |
| Adres | Kayışdağı Mah. Gülçin Sok. No:2 Ataşehir / İstanbul |
| Ticaret sicili | İstanbul Ticaret Sicili Müdürlüğü — 1122958 |
| MERSİS numarası | 0071105187700001 |
| Vergi dairesi ve numarası | Kozyatağı Vergi Dairesi — 0711051877 |
| KEP adresi | apex.technology@hs01.kep.tr |
| E-posta (iletişim ve kişisel veri başvuruları) | info@apextechnology.com.tr |
| İnternet sitesi | https://www.apexbipara.com |
2. KAPSAM VE TANIMLAR
2.1. Bu politika; Şirket'in işlettiği, Apex BiPara markasıyla sunulan mobil uygulama ve bu uygulamanın web sürümü (mobil.apexbipara.com), internet sitesi (www.apexbipara.com) ve bunlara bağlı Şirket yönetim paneli ("Platform") üzerinden işlenen kişisel verileri kapsar.
2.2. Yayın Platformlarının ve Bayilerin kendi bilgi sistemlerinde yürüttükleri işlemeler bu politikanın kapsamı dışındadır; bu işlemeler bakımından ilgili Yayın Platformu veya Bayi, kendi aydınlatma ve güvenlik yükümlülüklerinden sorumludur.
2.3. Bu politikada kullanılan "Bayi", "Yayıncı", "Destekçi", "Ödeme Gönderen", "Bayi Kodu", "Ziyaretçi", "Yayın Platformu", "entegre canlı yayın platformu", "Elmas", "Bayi Cari Hesabı", "Geri Alım Alacak Hesabı", "ödeme talebi", "kimlik doğrulama" ve "hesap sahipliği teyidi" terimleri KVKK Aydınlatma Metni'ndeki anlamı taşır. "Kurul" Kişisel Verileri Koruma Kurulu'nu ifade eder.
3. HANGİ VERİLERİ NEDEN İŞLİYORUZ — ÖZET
3.1. Şirket; hesabınızın açılması ve yönetimi, Elmas siparişlerinin alınması ve ilgili Yayın Platformu'nda teslimi, Bayi Kodu ile gelen ödemelerin kaydı, Şirket'in Bayi'ye ve Yayıncı'ya olan borçlarının ödenmesi, kimlik doğrulama ve hesap sahipliği teyidi, işlem ve bilgi güvenliği, yasal yükümlülükler ve talep ile şikâyetlerin sonuçlandırılması amaçlarıyla; kimlik, iletişim, sipariş ve hesap hareketi, banka hesabı, gelen ödeme kaydı, kimlik doğrulama kaydı, kurumsal belge, işlem güvenliği, ileti kayıtları ve talep verilerinizi işler. Rolünüze göre hangi verinin hangi amaçla ve hangi hukuki sebeple işlendiği KVKK Aydınlatma Metni'nde tablo hâlinde gösterilmiştir.
3.2. Kart verisi işlenmez. Platform'da kartla ödeme yoktur; sipariş bedelleri yalnız banka havalesi, EFT veya FAST ile Şirket'in ticari banka hesaplarına ödenir.
3.3. Kişisel verileriniz satılmaz, kiralanmaz ve reklam amacıyla üçüncü kişilerle paylaşılmaz. Reklam veya pazarlama amaçlı profilleme yapılmaz.
4. VERİLERİN BARINDIRILDIĞI YER
4.1. Bileşenlerin konumu
Platform, Railway Corporation'ın barındırma hizmeti üzerinde çalışır. Kişisel verileriniz bakımından yurt dışına aktarım fiilen gerçekleşmektedir; bu bir olasılık değil, Platform altyapısının barındırıldığı yerden kaynaklanan sürekli bir durumdur. Bu politikanın yürürlük tarihi itibarıyla:
| Bileşen | Konum | İçerdiği kişisel veri |
|---|---|---|
| Veri tabanı, uygulama sunucusu (API), yönetim paneli, önbellek sunucusu ve kalıcı diskler | ABD | Tüm kişisel veri kategorileri; yüklenen kurumsal belgeler ve profil görselleri |
| Mobil web arayüzü, internet sitesi ve yedekleme görevi | Hollanda | Kalıcı kişisel veri tutulmaz; erişim sırasında IP adresi ve tarayıcı bilgisi, yedek alınırken veri tabanının tamamı işlenir |
| Yedeklerin tutulduğu depolama alanı (Cloudflare R2) | Avrupa konum tercihi; sağlayıcı bu tercihi garanti etmez ve alan için yargı alanı kısıtı tanımlı değildir | Veri tabanının tam yedek kopyası |
| Kimlik doğrulama sağlayıcısı | Yurt dışı | İş akışı kimliği ve iç kullanıcı tanıtıcısı; sizin doğrudan ilettiğiniz kimlik belgesi görüntüsü ve canlılık kaydı |
| E-posta ve anlık bildirim sağlayıcıları | ABD | İleti için gerekli iletişim bilgisi ve ileti içeriği |
| Kurumsal e-posta hizmeti | Avrupa Birliği | Şirket'e e-postayla yapılan başvuru ve yazışmalar; bunlarda ve eklerinde yer alan her bilgi (ör. ad-soyad, iletişim bilgileri, IBAN ve ödeme belgesi) |
| WhatsApp Business hizmeti sağlayıcısı | Yurt dışı | Telefon numarası ve ileti içeriği |
| Yazı tipi hizmeti (Google Fonts) | ABD | Yalnız internet sitesi ana sayfası Ziyaretçisi'nin IP adresi, tarayıcı bilgisi ve isteğin teknik ayrıntıları |
| Yazılım geliştirme ve bakım araçları (yapay zekâ destekli araçlar dâhil) | ABD | Teknik destek ve veri tabanı işlemleri sırasında işlenen sorgu sonuçları ve destek kayıtları |
| Bir banka bağlantısında kullanılan vekil sunucu | Almanya | Banka bağlantısının şifreli trafiği; sunucu içeriği göremez |
| Entegre canlı yayın platformu sunucusu | Almanya | Ad-soyad, kimlik doğrulama durumu, IBAN ve hesap sahibi adı, alacak tutarı ve kayda işlenen ödemelerin bildirimi (yalnız bu platforma bağlı kullanıcılar) |
| Teslimin yapıldığı Yayın Platformu | Yurt dışı | Bayi'nin Yayın Platformu kullanıcı kimliği ve teslim adedi |
4.2. Yedekler
Veri tabanının saatlik ve günlük yedekleri alınır ve Cloudflare, Inc.'in R2 nesne depolama hizmetinde, genel erişime kapalı bir depolama alanında tutulur. Saatlik kopyalar 24 saat, günlük kopyalar 7 gün saklanır ve bu sürenin sonunda döngüyle silinir. Alanın konum tercihi Avrupa olarak ayarlanmıştır; sağlayıcı, konum tercihinin bir garanti olmadığını belirtmektedir ve alan için verinin belirli bir hukuki bölgede kalmasını güvenceye alan yargı alanı kısıtı tanımlı değildir. Bu nedenle Şirket, yedeklerin belirli bir ülke veya bölgede tutulacağını garanti etmez. Canlı sistemden silinen veya anonim hâle getirilen veri, yedek döngüsü süresince yedeklerde kalır.
5. YURT DIŞINA AKTARIM
Kanun m.9 uyarınca kişisel veriler; m.5 ve m.6'daki işleme şartlarından birinin bulunması ve aktarımın yapılacağı ülke hakkında Kurul'ca yeterlilik kararı verilmiş olması, yeterlilik kararı yoksa m.9'da sayılan uygun güvencelerden birinin sağlanması hâlinde yurt dışına aktarılabilir. Bunların hiçbiri yoksa, yalnız arızi olmak kaydıyla m.9'da sayılan hâllerden birine dayanılabilir.
Bu metnin yürürlük tarihi itibarıyla, yukarıdaki aktarımların yapıldığı ülkeler hakkında Kurul'ca verilmiş bir yeterlilik kararı bulunmamaktadır. Bu aktarımlar için Kanun'un 9. maddesinde öngörülen standart sözleşmeler henüz imzalanmamıştır. Şirket, bu sözleşmelerin imzalanmasına yönelik hazırlıkları yürütmektedir; imzalanan her sözleşme Kanun'da öngörülen süre içinde Kişisel Verileri Koruma Kurumu'na bildirilir ve imza ile bildirim tarihleriyle bu bölümde ilan edilir.
6. HİZMET SAĞLAYICILAR VE DİĞER ALICILAR
6.1. Şirket, Platform'u sunabilmek için aşağıdaki taraflarla kişisel veri paylaşır. Amaç ve hukuki sebep eşleşmesi KVKK Aydınlatma Metni'nde gösterilmiştir; aşağıdaki kodlar oradaki kodlarla aynıdır.
| Kod | Sağlayıcı / alıcı | Hizmet | Paylaşılan veri | Konum |
|---|---|---|---|---|
| R1 | Railway Corporation | Sunucu barındırma | Barındırma ilişkisi kapsamında tüm kategoriler | ABD ve Hollanda |
| R2 | Cloudflare, Inc. | Yedeklerin depolanması (R2) | Veri tabanının tam yedek kopyası | Avrupa konum tercihi (sağlayıcı garanti etmez) |
| R3 | Kimlik doğrulama sağlayıcısı (Didit) | Kimlik doğrulama | Şirket'ten giden: yalnız iş akışı kimliği ve iç kullanıcı tanıtıcısı. Belge görüntüsü ve canlılık kaydı doğrudan sizin tarafınızdan sağlayıcıya iletilir ve sağlayıcıda tutulur; Şirket'e sonuç ile belgeden okunan ad-soyad, T.C. kimlik numarası ve doğum tarihi döner | Yurt dışı |
| R4 | Netgsm İletişim ve Bilgi Teknolojileri A.Ş. | SMS gönderimi | Telefon numarası, ileti içeriği | Türkiye |
| R5 | E-posta gönderim hizmeti sağlayıcısı (Postmark) | E-posta gönderimi | Ad-soyad, e-posta adresi, ileti içeriği | ABD |
| R6 | WhatsApp Business hizmeti sağlayıcısı (Meta) | WhatsApp bildirimleri | Telefon numarası, ad, ileti içeriği | Yurt dışı |
| R7 | Anlık bildirim hizmeti sağlayıcısı (Expo) | Anlık bildirim | Anlık bildirim cihaz tanıtıcısı, bildirim başlığı ve içeriği | ABD |
| R8 | Yazı tipi hizmeti sağlayıcısı (Google Fonts) | İnternet sitesinin ana sayfasındaki yazı tipleri | Yalnız Ziyaretçi'nin IP adresi, tarayıcı bilgisi ve isteğin teknik ayrıntıları; istek Ziyaretçi'nin tarayıcısından doğrudan gider (bkz. Çerez Politikası) | ABD |
| R9 | Bankalar | Şirket'in ticari hesap veya hesap doğrulama hizmeti ilişkisi bulunan yurt içi bankalar: ödemelerin gerçekleştirilmesi, hesap hareketi kayıtlarının alınması, hesap sahipliği teyidi | Ad-soyad veya unvan, IBAN, T.C. kimlik veya vergi kimlik numarası, tutar, açıklama | Türkiye |
| R10 | Yayın Platformu işletmecisi | Elmas teslimi (bugün yalnız Şirket'in tedarik ilişkisi bulunan Yayın Platformu bakımından) | Bayi'nin Yayın Platformu kullanıcı kimliği ve teslim adedi | Yurt dışı |
| R11 | Entegre canlı yayın platformu | Şirket'in teknik entegrasyon kurduğu canlı yayın platformu | Şirket'ten platforma: ad-soyad, kimlik doğrulama durumu, IBAN ve hesap sahibi adı, Bayi Cari Hesabı veya Geri Alım Alacak Hesabı'ndaki alacak tutarı; Şirket'e ulaşan ve kullanıcının kaydına işlenen ödemenin net tutarı, işlem referansı ve kullanıcının o platformdaki hesap kimliği. Platformdan Şirket'e: kullanıcının kendi alacağı için ilettiği ödeme talebi. Yalnız bu platforma bağlı kullanıcılar bakımından | Almanya (sunucu) |
| R12 | Mali müşavir | Muhasebe hizmeti | Fatura ve muhasebe kayıtlarındaki veriler | Türkiye |
| R13 | Yetkili kamu kurum ve kuruluşları, yargı mercileri | Kanuni talep ve kararlar | Talep kapsamıyla sınırlı veriler | Türkiye |
| R14 | Avukat, bilirkişi, arabulucu | Yalnız uyuşmazlık hâlinde | Uyuşmazlık kapsamıyla sınırlı veriler | Türkiye |
| R15 | İşlemin karşı tarafı olan kullanıcılar ve ödeme gönderenler | Bayi'ye ve Yayıncı'ya, talep hâlinde ödeme gönderene sınırlı bilgi gösterimi (KVKK Aydınlatma Metni) | Ödeme, geri alım ve Elmas alımı işlemlerinin karşı tarafa gösterilen alanları; ödeme gönderene, ödemesinin ilgili olduğu Bayi'nin adı-soyadı veya unvanı | Türkiye |
| R16 | Yazılım geliştirme ve bakım araçları sağlayıcıları (yapay zekâ destekli araçlar dâhil) | Teknik destek, hata giderme ve veri tabanı işlemleri | Bu işler sırasında işlenen sorgu sonuçlarında ve destek kayıtlarında yer alan kişisel veriler | ABD |
| R17 | Sunucu barındırma hizmeti sağlayıcısı | Bir banka bağlantısında kullanılan vekil sunucu | Banka bağlantısının şifreli trafiği (sunucu içeriği göremez) | Almanya |
| R18 | Kurumsal e-posta hizmeti sağlayıcısı | Şirket'e e-postayla yapılan başvuru ve yazışmaların alınması | Şirket'e gönderilen e-postalarda ve eklerinde yer alan her bilgi (ör. ad-soyad, iletişim bilgileri, IBAN ve ödeme belgesi) | Avrupa Birliği |
6.2. Tablo dışı aktarım yapılmaması esastır; tespit edilen aktarım tabloya eklenir.
7. GÜVENLİK TEDBİRLERİ
7.1. Şirket, Kanun m.12 uyarınca kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri alır. Bugün fiilen uygulanan tedbirler şunlardır:
| Tedbir | Uygulama |
|---|---|
| İletim güvenliği | Kullanıcı ile sunucular arasındaki iletişim TLS ile şifrelenmiş bağlantı üzerinden yapılır. |
| PIN güvenliği | Kullanıcının belirlediği giriş PIN'leri bcrypt algoritmasıyla geri döndürülemez biçimde özetlenerek saklanır. |
| Yetki sınırları | Hesap kısıtlama yetkisi en üst yönetici rolüyle sınırlıdır. Askıya alınan bir hesabın Platform'a tüm erişimi kapanır. |
| Kimlik doğrulamada veri azaltımı | Kimlik doğrulama sağlayıcısına Şirket tarafından yalnız iş akışı kimliği ve iç kullanıcı tanıtıcısı gönderilir. Kimlik belgesi görüntüsü ve canlılık kaydı Şirket'in veri tabanına veya dosya sistemine kaydedilmez; yetkili personel gerektiğinde bu görüntüleri sağlayıcının sistemi üzerinden anlık olarak görüntüler. |
| Kimlik ve hesap sahipliği kontrolleri | T.C. kimlik numarası algoritmik olarak kontrol edilir; bir T.C. kimlik numarasıyla tek hesap açılabilir. Ödeme yapılacak banka hesabının sahibi adı, kimlik doğrulamasındaki adla karşılaştırılır; bankanın hesap sahipliği teyit hizmeti kullanılabildiği hâllerde ayrıca banka kaydıyla teyit edilir ve uyuşmazlık tespit edilen talepler inceleme tamamlanmadan ödenmez. Kimlik doğrulaması tamamlanan hesapta ad değiştirilemez. |
| Yönetici onayı | Belirli tutarı aşan ödeme talepleri yönetici onayına tabidir. |
| Denetim izi | Yönetim panelinde yapılan cari hesap düzeltmesi, hesap dondurma ve kısıtlama, ödemelerin elle eşleştirilmesine ilişkin onay ve ret, iade, kimlik doğrulama işlemleri ve ödeme talebi engeli denetim izine kaydedilir. |
| Sözleşme onay kaydı | Sözleşme onayları; sürüm, tarih-saat, IP adresi, cihaz bilgisi ve onaylanan metnin SHA-256 özetiyle birlikte kaydedilir. |
| İşlem bütünlüğü | Her işleme benzersiz bir referans numarası verilir; mükerrer ödemeyi önleyen kontroller uygulanır; banka hesapları günlük olarak mutabakata tabi tutulur ve cari hesap kayıtlarındaki sapmalar saatlik olarak izlenir. |
| Yedekleme | Veri tabanının saatlik ve günlük yedekleri genel erişime kapalı bir depolama alanında tutulur (Bölüm 4.2). |
7.2. Bu bölümde yalnız fiilen uygulanan tedbirler sayılmıştır; burada sayılmayan bir tedbirin uygulandığı sonucu çıkarılmamalıdır. Hiçbir bilgi sistemi mutlak güvenlik sağlayamaz; Şirket, internet üzerinden yapılan iletimin her koşulda güvenli olacağını taahhüt etmez. PIN'inizi ve doğrulama kodlarınızı kimseyle paylaşmayınız; Şirket çalışanları sizden PIN'inizi veya doğrulama kodunuzu istemez.
8. VERİ İHLALİ BİLDİRİMİ
8.1. Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde Şirket, Kanun m.12 uyarınca bu durumu en kısa sürede ilgili kişilere ve Kurul'a bildirir.
8.2. Kurul'a bildirim, Kurul'un veri ihlali bildirimine ilişkin kararı uyarınca ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılır; bu süre aşılırsa gecikmenin gerekçesi bildirime eklenir.
8.3. İhlalden etkilenen kişiler, kimlikleri tespit edilebildiği ölçüde doğrudan (e-posta, SMS veya uygulama içi bildirim), tespit edilemeyenler bakımından uygun yöntemlerle (ör. internet sitesinde duyuru) makul olan en kısa sürede bilgilendirilir. Bildirimde; ihlalin ne zaman gerçekleştiği, etkilenen kişisel veri kategorileri, olası sonuçları, alınan veya alınması önerilen tedbirler ve bilgi alınabilecek iletişim kanalı yer alır.
8.4. İhlal, Şirket adına hizmet veren bir sağlayıcı nezdinde gerçekleşse de bildirim yükümlülüğü Şirket'e aittir. Şirket ihlalleri, etkilerini ve alınan tedbirleri kayıt altına alır.
9. 18 YAŞ ŞARTI
9.1. Platform yalnız 18 yaşını doldurmuş kişilere yöneliktir; 18 yaş şartı üyelik koşuludur.
9.2. Kimlik doğrulamada belgeden okunan doğum tarihi değerlendirilir. Kişinin 18 yaşından küçük olduğuna ilişkin tespitler yönetici değerlendirmesine alınır; değerlendirme sonucunda 18 yaşından küçük olduğu belirlenen kişinin hesabı kısıtlanabilir veya kapatılabilir. Hesabın kapatılması ve kişisel verilerin silinmesi Bölüm 11'deki kurallara göre yapılır; yasal saklama süresine tabi kayıtlar yalnız bu yükümlülük için saklanır.
9.3. Çocuğunun Platform'da hesap açtığını düşünen veli veya vasi, Bölüm 12'deki yollarla bildirimde bulunabilir; bu bildirimler öncelikle incelenir.
10. ÇEREZLER VE TARAYICI DEPOLAMA ALANI
10.1. İnternet sitesi. İnternet sitesinde Şirket tarafından çerez yerleştirilmez; ana sayfanın görüntülenmesi için kullanılan yazı tipleri Google Fonts'tan yüklenir ve bu sırada IP adresiniz ile tarayıcı bilgileriniz tarayıcınız tarafından doğrudan Google'a iletilir. Ayrıntılar Çerez Politikası'ndadır.
10.2. Uygulamanın web sürümü. Uygulamanın web sürümü (mobil.apexbipara.com), aşağıdaki kayıtları tarayıcınızın depolama alanında tutar. Bu kayıtlar talep ettiğiniz hizmetin sunulması veya sizin seçtiğiniz ayarın uygulanması için kullanılır; reklam, analiz veya profilleme amacıyla kullanılmaz.
| Kayıt | İçerik | Amaç | Hukuki sebep |
|---|---|---|---|
| Oturum bilgileri | Oturum belirteci ve oturum yenileme bilgisi | Girişinizin sürdürülmesi ve hesabınıza yetkisiz erişimin önlenmesi | Kanun m.5/2-c (hizmetin sunulması) |
| Hesap bilgisi kopyası | Profil bilgileriniz ve hesap kaydınızdaki alacak tutarının cihazdaki kopyası | Ekranların hızlı ve doğru açılması | Kanun m.5/2-c (hizmetin sunulması) |
| Seçili Yayın Platformu | Seçtiğiniz Yayın Platformu | Doğru platform hesabının açılması | Kanun m.5/2-c (hizmetin sunulması) |
| Hatırlanan kullanıcı | Kullanıcı tanıtıcınız, görünen adınız ve adınız-soyadınız | Giriş ekranında hesabınızın hatırlanması | Kanun m.5/2-c (sizin seçtiğiniz ayar) |
| PIN özeti | PIN'inizin özeti | Giriş işlemleri | Kanun m.5/2-c (hizmetin sunulması) |
| Biyometrik giriş bilgileri | E-posta adresiniz ve PIN'iniz | Yalnız biyometrik giriş seçeneğini açtığınızda, bu seçenekle giriş (cihazınızın kendi parmak izi veya yüz tanıma özelliği kullanılır; biyometrik veriniz Şirket'e iletilmez) | Kanun m.5/2-c (sizin seçtiğiniz ayar) |
| Uygulama tercihleri | Seçtiğiniz ayarlar (ör. tutarları gizle) | Seçtiğiniz ayarın uygulanması | Kanun m.5/2-c (sizin seçtiğiniz ayar) |
10.3. Bu kayıtları tarayıcınızın ayarlarından silebilirsiniz; bu durumda oturumunuz sonlanır, tercihleriniz varsayılana döner ve cihazınızdaki hesap bilgisi kopyası ile giriş bilgileri silinir.
10.4. Önemli. Biyometrik giriş seçeneğini ortak kullanılan veya başkasının erişebildiği cihazlarda açmayınız; açtıysanız kapatınız ve tarayıcı verilerini siliniz.
10.5. Analitik veya reklam amaçlı çerez ve izleme teknolojisi kullanılmaz.
11. SAKLAMA SÜRELERİ
Kişisel verileriniz aşağıdaki azami süreler boyunca saklanır. Bu tablo, KVKK Aydınlatma Metni ile Gizlilik Politikası'nda aynıdır.
| Kod | Veri kategorisi | Kapsadığı veriler | Saklama süresi ve başlangıcı | Dayanak |
|---|---|---|---|---|
| S-K1 | Kimlik verileri — işlem kaydı bulunan hesap | Ad, soyad, T.C. kimlik numarası; tüzel kişi Bayi'de yetkili kişinin ad-soyadı ve kimlik numarası | Hesaba ait son işlemin yapıldığı takvim yılının sonundan itibaren 10 yıl | TTK m.82; VUK m.253; TBK m.146; Kanun m.5/2-(a), (ç), (e) |
| S-K2 | Kimlik verileri — işlem kaydı bulunmayan hesap | Ad, soyad, T.C. kimlik numarası; tüzel kişi Bayi'de yetkili kişinin ad-soyadı ve kimlik numarası | Hesabın kapanmasından itibaren 1 yıl | Kanun m.5/2-(e) |
| S-K3 | Profil ve tercih verileri | Görünen ad, profil görseli, bildirim tercihleri, anlık bildirim cihaz tanıtıcısı, cihaz bilgisi | Hesabın kapanmasını izleyen ilk periyodik imha | Kanun m.5/2-(c) |
| S-K4 | Kurumsal Bayi belgeleri | Vergi levhası, imza sirküleri, yetkili bilgileri | Bayilik ilişkisinin sona ermesinden itibaren 10 yıl | TTK m.82; TBK m.146 |
| S-İ1 | İletişim verileri — Bayi ve Yayıncı | Telefon, e-posta, adres, KEP adresi, yazışmalar | Sözleşme ilişkisinin sona ermesinden itibaren 10 yıl | TBK m.146; TTK m.82 (ticari yazışmalar) |
| S-İ2 | İletişim verileri — diğer kullanıcılar | Telefon, e-posta | Hesabın kapanmasından itibaren 1 yıl | Kanun m.5/2-(e) |
| S-D1 | Kimlik doğrulama verileri — Şirket nezdinde | Doğrulama kararı ve tarihi, sağlayıcı oturum kimliği, belgeden okunan ad-soyad, kimlik numarası ve doğum tarihi, belge türü, kimlik numarası ve ad uyuşmazlığı işaretleri, yaş işareti, ret bilgisi | Son işlem tarihinden, işlem yoksa doğrulama tarihinden itibaren 8 yıl (Şirket iç kuralı) | Kanun m.5/2-(e), (f) |
| S-D2 | Kimlik doğrulama verileri — sağlayıcı nezdinde | Kimlik belgesi görüntüsü, canlı yüz görüntüsü, sağlayıcının belgeden çıkardığı veriler | Sağlayıcının hizmet koşullarında belirlenen süre (Şirket'in hedefi: doğrulamadan itibaren en fazla 1 yıl; her hâlde S-D1'den uzun olmamak üzere) | Canlılık verisi için açık rıza (Kanun m.6); veri işleyen sözleşmesi |
| S-B1 | Banka hesabı verileri — kullanılmış kayıtlı hesap | IBAN, hesap sahibi adı, hesap sahipliği teyidi sonucu | İlgili ödeme işleminin kaydıyla birlikte (S-İK1 süresi) | TTK m.82; TBK m.146 |
| S-B2 | Banka hesabı verileri — hiç kullanılmamış kayıtlı hesap | IBAN, hesap sahibi adı | Kullanıcının hesabı kaldırmasını veya hesabın kapanmasını izleyen ilk periyodik imha | Kanun m.5/2-(c) |
| S-B3 | Şirket'in banka hesaplarına ödeme gönderenlerin bilgileri | Gönderen adı-soyadı veya unvanı, IBAN, kayıtta bulunduğu ölçüde T.C. kimlik veya vergi kimlik numarası, ödeme açıklaması, tutar, tarih ve saat (Platform'da kaydı bulunmayan gönderenler dâhil) | Banka hareketinin yer aldığı takvim yılının sonundan itibaren 10 yıl | TTK m.82; VUK m.253; Kanun m.5/2-(c), (ç), (f) |
| S-İK1 | İşlem kayıtları | Sipariş bedeli ödemeleri ve eşleştirme kayıtları; Bayi Cari Hesabı ve Geri Alım Alacak Hesabı hareketleri; ödeme talepleri ve sonuçları; geri alım bedeli ödemeleri; iadeler; eşleştirilemeyen ödemeler ve talep hakkının düşmesi kayıtları; Elmas sipariş kayıtları; işlem özetleri | İşlemin yapıldığı takvim yılının sonundan itibaren 10 yıl | TTK m.82; VUK m.253; TBK m.146 |
| S-İK2 | Faturalar ve muhasebe belgeleri | Alıcı adı veya unvanı, T.C. kimlik veya vergi numarası, adres, tutar | Belgenin düzenlendiği takvim yılının sonundan itibaren 10 yıl | TTK m.82; VUK m.253 |
| S-İK3 | Sözleşme kabul kayıtları | Sözleşme sürümü, kabul zamanı, IP adresi, tarayıcı bilgisi, içerik özeti | Sözleşme ilişkisinin sona ermesinden itibaren 10 yıl | TBK m.146; Kanun m.5/2-(e) |
| S-Dİ1 | Denetim izi | İşlemi yapan personel, işlem türü, ilgili kayıt, eski ve yeni değer, IP adresi, zaman | Kaydın oluştuğu takvim yılının sonundan itibaren 10 yıl | TTK m.82 (işlem kayıtlarının dayanağı olarak); Kanun m.12; m.5/2-(e), (f) |
| S-DG1 | Destek görüşmeleri | Destek talepleri, yazışmalar, şikâyetler, ekler | Kaydın kapanmasından itibaren 3 yıl | Kanun m.5/2-(c), (e); Şirket kararı |
| S-DG2 | KVKK başvuru kayıtları | Başvurular, kimlik teyidi kayıtları, cevaplar, başvuru kayıt defteri | Başvurunun sonuçlanmasından itibaren 3 yıl; Kurul incelemesi veya dava varsa kesinleşmesine kadar | Kanun m.13, m.14; m.5/2-(e) |
| S-SG1 | Sistem günlükleri — entegrasyon | Bankalar ve dış servislerle istek ve yanıt kayıtları (ad, IBAN, tutar içerebilir) | Hedef süre: kayıttan itibaren 30 gün. Otomatik silme devreye alınana kadar bu kayıtlar saklanmaya devam eder. | Kanun m.5/2-(f); m.12 |
| S-SG2 | Sistem günlükleri — webhook, arka plan işi, bildirim | Gelen bildirimler, iş kayıtları, bildirim gönderim kayıtları | Hedef süre: kayıttan itibaren 90 gün. Otomatik silme devreye alınana kadar bu kayıtlar saklanmaya devam eder. | Kanun m.5/2-(f); m.12 |
| S-SG3 | Sistem günlükleri — e-posta, SMS ve giriş | Alıcı adresi veya numarası, ileti içeriği, IP adresi, cihaz bilgisi, giriş denemeleri | Hedef süre: kayıttan itibaren 180 gün. Otomatik silme devreye alınana kadar bu kayıtlar saklanmaya devam eder. | Kanun m.5/2-(f); m.12 |
| S-SG4 | Barındırma sağlayıcısı günlükleri | Uygulama çıktıları, istek bilgileri | Sağlayıcının hizmet koşullarında belirlenen süre | Kanun m.5/2-(f) |
| S-SG5 | İleti sağlayıcısı kayıtları | Gönderim kayıtları, alıcı bilgisi, içerik | Her sağlayıcının hizmet koşullarında belirlenen süre | Veri işleyen koşulları |
| S-SG6 | Vekil sunucu günlükleri | Bağlantı kayıtları (trafiğin içeriği görülmez) | Tutulduğu ölçüde, hedef süre kayıttan itibaren 30 gün | Kanun m.5/2-(f); m.12 |
| S-SG7 | Yazılım geliştirme ve bakım araçlarının oturum kayıtları | Sorgu çıktıları, oturum dökümleri, çalışma notları | Sağlayıcının hizmet koşullarında belirlenen süre | Kanun m.5/2-(f) |
| S-P1 | Pazarlama izinleri — onay kayıtları | Ticari elektronik ileti onayı ve reddi, onay kanalı ve zamanı | Onayın geçerliliğinin sona ermesinden itibaren 3 yıl | Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik m.13/2 |
| S-P2 | Pazarlama izinleri — ileti kayıtları | Ticari elektronik iletiye ilişkin diğer kayıtlar | Kayıt tarihinden itibaren 3 yıl | Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik m.13/2 |
| S-W1 | İnternet sitesi ziyaretçileri | IP adresi, tarayıcı bilgisi | Yazı tipi sağlayıcısına ziyaretçinin tarayıcısından doğrudan iletilir · Şirket internet sitesinde çerez veya ziyaretçi kaydı tutmaz; barındırma sağlayıcısının erişim kayıtları için S-SG4 | Kanun m.5/2-(f) |
| S-U1 | İşlem güvenliği değerlendirme kayıtları | Değerlendirme kaydı, karar ve gerekçesi (ödeme gönderen adı, IBAN, açıklama ve zaman bilgisi içerebilir) | Kaydın kapanmasından itibaren 10 yıl | Kanun m.5/2-(e), (f) |
| S-U2 | Bayi dosyası | Belge talepleri ve cevapları, periyodik formlar, teslim kanıtları (Yayın Platformu kullanıcı numarası, adet, saat), değerlendirme notları | Bayilik ilişkisinin sona ermesinden itibaren 10 yıl | Kanun m.5/2-(c), (e), (f) |
| S-U3 | Ek kontrol ve istisna listeleri | Listeye alınan kişi veya Bayi, sebep, tarih, çıkarılma tarihi | Kaydın listeden çıkarılmasından itibaren 10 yıl | Kanun m.5/2-(e), (f) |
| S-U4 | Elle müdahale kütüğü ve onay kayıtları | Müdahaleyi yapan ve onaylayan personel, gerekçe, etkilenen kayıt tanıtıcıları, sorgu metni ve sonucu | Kaydın oluştuğu takvim yılının sonundan itibaren 10 yıl | Kanun m.12; m.5/2-(e), (f) |
| S-U6 | Yetkili makam ve düzenleyici talepleri | Talep yazısı, cevap, teslim tutanağı, ilgili kişi bilgileri | Talebin sonuçlanmasından itibaren 10 yıl | Kanun m.5/2-(ç), (e) |
| S-U8 | Olay ve kişisel veri ihlali kayıtları | Olay tanımı, etkilenen veri kategorileri ve kişi sayısı, erişim kanıtı değerlendirmesi, bildirim kararı ve gerekçesi, alınan tedbirler | Olayın kapanmasından itibaren 10 yıl | Kanun m.12; m.5/2-(ç), (e) |
| S-Y1 | Veritabanı yedekleri | Ana veritabanının tam kopyası | Saatlik kopyalar 24 saat, günlük kopyalar 7 gün | Kanun m.5/2-(f); m.12 |
- Süreler azami sürelerdir. "Takvim yılının sonundan itibaren" ifadesi, kaydın oluştuğu yılın 31 Aralık tarihinden başlayarak hesaplanır.
- Bir veri birden fazla satırın kapsamına giriyorsa en uzun süre uygulanır; bu kural yalnız o satırın gerektirdiği alanlar için geçerlidir.
- Süresi dolan veriler, Şirket'in kişisel veri saklama ve imha politikasında belirlenen dönemlerde, altı ayı aşmayan aralıklarla yapılan periyodik imhada silinir, yok edilir veya anonim hâle getirilir. İlk periyodik imhaya kadar süresi dolmuş kayıtlar da saklanmaya devam eder.
- Canlı sistemden silinen veya anonim hâle getirilen veri, yedek döngüsü süresince (S-Y1) yedeklerde kalır ve döngüyle silinir.
- Hesap kapandığında, yasal saklama yükümlülüğü bulunmayan hesap bilgileri S-K3'e göre imha edilir. Hesabınızın kapatılması yukarıdaki yasal saklama sürelerini ortadan kaldırmaz; bu süreler boyunca ilgili kayıtlar yalnız yasal yükümlülüğün yerine getirilmesi ve hakların korunması amacıyla saklanır.
- Şirket çalışanları ve çalışan adaylarına ilişkin kayıtlar ile Şirket'in iç yönetim ve çalışma dosyaları bu tabloda gösterilmemiştir; bu dosyalarda yer alabilecek kişisel verileriniz de Şirket'in kişisel veri saklama ve imha politikasındaki sürelere tabidir.
12. HAKLARINIZ VE BAŞVURU YOLLARI
12.1. Kanun m.11'deki dokuz hakkınız (verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, işleme amacını öğrenme, aktarılan üçüncü kişileri bilme, düzeltme, silme veya yok etme, bu işlemlerin aktarılan kişilere bildirilmesi, otomatik sistemlerle aleyhinize çıkan sonuca itiraz ve zararın giderilmesi) ile başvuru usulü KVKK Aydınlatma Metni'nde ayrıntılı olarak gösterilmiştir.
12.2. Başvurularınızı, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca, Türkçe olarak aşağıdaki yollardan biriyle iletebilirsiniz:
| Yol | Adres | Açıklama |
|---|---|---|
| Yazılı başvuru | Kayışdağı Mah. Gülçin Sok. No:2 Ataşehir / İstanbul | Islak imzalı dilekçenin şahsen, noter kanalıyla veya iadeli taahhütlü posta ile iletilmesi. Zarfın üzerine "Kişisel Verilerin Korunması Kanunu Kapsamında Bilgi Talebi" yazılması rica olunur. |
| Kayıtlı elektronik posta (KEP) | apex.technology@hs01.kep.tr | Kendi KEP adresinizden gönderim |
| Güvenli elektronik imza veya mobil imza | info@apextechnology.com.tr | Güvenli elektronik imza veya mobil imza ile imzalanmış başvuru |
| Kayıtlı e-posta adresiniz | info@apextechnology.com.tr | Yalnız Şirket'e daha önce bildirdiğiniz ve Şirket sisteminde kayıtlı olan e-posta adresinizden gönderim |
12.3. Başvurunuz en geç otuz gün içinde ücretsiz olarak sonuçlandırılır (Kanun m.13). Hesabınızın kapatılmasını Kullanım Koşulları uyarınca destek kanalından veya info@apextechnology.com.tr adresine e-postayla isteyebilirsiniz; kişisel verilerinizin silinmesi talebini ayrıca yukarıdaki yollarla iletebilirsiniz.
13. POLİTİKANIN GÜNCELLENMESİ
13.1. Şirket bu politikayı; barındırma yeri, hizmet sağlayıcılar, güvenlik tedbirleri veya saklama sürelerinde değişiklik olduğunda ya da mevzuat veya Kurul kararları gerektirdiğinde günceller. Güncel sürüm, sürüm numarası ve yürürlük tarihiyle Platform'da ve internet sitesinde yayımlanır.
13.2. Yeni bir hizmet sağlayıcısına veya alıcı grubuna veri paylaşımı başlatılması, yurt dışı aktarım durumunun değişmesi veya saklama sürelerinin uzatılması gibi esaslı değişikliklerde uygulama içi bildirim ve kayıtlı e-posta adresiniz (gerekirse SMS) ile ayrıca bildirim yapılır; açık rıza gerektiren bir değişiklik için ayrı onay alınır.
13.3. Bu politika bir sözleşme olmadığından, güncellenmesi tek başına sözleşmesel bir borç doğurmaz veya değiştirmez. Kullanım Koşulları ve Bayilik Sözleşmesi'ndeki değişiklikler kendi metinlerinde öngörülen usule tabidir. Önceki sürümler Bölüm 12'deki yollarla talep edilebilir.