1. Veri sorumlusu
Veri sorumlusunun doğrulanmış ticari unvanı, MERSİS/vergi bilgisi, tebligat adresi ve KEP veya kurumsal e-posta adresi henüz sağlanmamıştır. “GASTRONIX” marka adıdır ve tek başına veri sorumlusunun kanunen gerekli kimlik bilgisinin yerini tutmaz. Bu bilgiler tamamlanmadan kişisel veri toplayan production yayını açılmamalıdır.
2. Toplanan veriler ve yöntem
Veriler başvuru ve iletişim formlarının doldurulması, çerez tercihlerinin kaydedilmesi ve güvenlik/denetim kayıtlarının otomatik oluşturulması yoluyla elektronik ortamda elde edilir.
- Kimlik: ad ve soyad
- İletişim: e-posta, isteğe bağlı telefon ve seçilen iletişim kanalı
- Müşteri işlemi: başvuru türü, işletme adı, şehir, işletme türü, şube/sipariş aralığı, mevcut sistem, modül ilgisi, konu ve mesaj
- İşlem güvenliği: ham IP yerine gizli anahtarla üretilmiş özet, kullanıcı aracısı, kaynak, zaman, hız sınırı ve denetim kaydı
- Çerez/izin: politika sürümü, kategori tercihleri, zaman ve özetlenmiş anonim tercih anahtarı
- Özel nitelikli veri talep edilmez
3. Amaç ve hukuki sebep eşleştirmesi
- Başvuruyu almak, değerlendirmek, takip etmek ve talep sahibiyle iletişim kurmak: KVKK m.5/2-c kapsamında sözleşmenin kurulmasıyla doğrudan ilgili olma; bunun uygulanamadığı iletişimlerde temel haklara zarar vermemek kaydıyla m.5/2-f meşru menfaat.
- Başvuru sahibinin seçtiği e-posta, telefon veya SMS kanalıyla yalnız talebin yürütülmesi için dönüş yapmak: m.5/2-c; pazarlama gönderimi bu kapsamda değildir.
- Form güvenliği, mükerrer gönderim ve kötüye kullanımın önlenmesi, erişim denetimi ve sistem güvenliği: temel haklara zarar vermemek kaydıyla m.5/2-f meşru menfaat ve uygulanabildiği ölçüde m.5/2-ç hukuki yükümlülük.
- Yetkili makam talepleri ve kanuni kayıt yükümlülükleri: m.5/2-a kanunlarda açıkça öngörülme ve m.5/2-ç hukuki yükümlülük.
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu uyuşmazlık kayıtları: m.5/2-e.
- Zorunlu olmayan çerez veya pazarlama faaliyeti: ancak faaliyet özelinde, önceden ve ayrı geçerli açık rıza/onay mekanizması kurulduğunda; mevcut sürümde pazarlama izni toplanmaz ve analitik/pazarlama scripti çalışmaz.
4. Alıcı grupları ve amaçları
- Yetkili yönetici/çalışanlar: başvuru ve iletişim yönetimi
- Hosting ve PostgreSQL sağlayıcısı: uygulamanın ve veritabanının barındırılması
- E-posta sağlayıcısı: talep teyidi ve talebe ilişkin bildirimlerin teslimi
- S3 uyumlu medya sağlayıcısı: yalnız medya yönetimi kullanılırsa dosya depolama
- İzleme/alarm sağlayıcısı: yalnız kişisel veri içermeyecek şekilde sınırlandırılmış teknik olayların iletimi
- Kanunen yetkili kamu kurumları ve yargı mercileri: hukuki yükümlülük veya hakların korunması
5. Yurt dışı aktarım
Production hosting, e-posta, veritabanı, depolama ve izleme sağlayıcıları henüz seçilmediği için yurt dışı aktarım yapılıp yapılmayacağı kesin değildir. Yurt dışı sağlayıcı seçilirse KVKK m.9 ve ilgili Yönetmelik kapsamında yeterlilik kararı, uygun güvence veya arızi aktarım istisnasından somut faaliyete uygun olan mekanizma kurulmadan aktarım başlatılmaz. Standart sözleşme kullanılması halinde imzadan itibaren beş iş günü içinde Kuruma bildirim süreci işletilir.
6. Saklama süreleri
Aşağıdaki süreler kanunda her faaliyet için aynen yazan süreler değil, veri minimizasyonu ve operasyon ihtiyacına göre belirlenmiş geçici azami planlardır. Production periyodik imha işi henüz etkin olmadığından teknik uygulama tamamlanmadan yayın açılmamalıdır.
- Başvuru ve iletişim kayıtları: amaç devam ettiği sürece; hedeflenen azami süre kayıt tarihinden itibaren 730 gün. Amaç daha erken ortadan kalkarsa süre beklenmeden imha değerlendirmesi.
- Çerez tercih kaydı: 365 gün veya politika sürümü değişene kadar.
- E-posta outbox: teslim/son hata kaydından itibaren en çok 90 gün.
- Sona ermiş admin oturumu ve davet: 30 gün.
- Audit ve güvenlik kayıtları: risk ve uyuşmazlık yönetimi için en çok 730 gün.
- Yedek kopyalar: sağlayıcı seçildiğinde ilan edilecek yedek döngüsü boyunca; geri yükleme halinde imha talepleri yeniden uygulanır.
7. İlgili kişi hakları
KVKK m.11 uyarınca verinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içi/yurt dışı alıcıları bilme, düzeltme, şartları oluştuğunda silme/yok etme ve bunların alıcılara bildirilmesini isteme, yalnız otomatik analiz sonucu aleyhe bir sonuca itiraz etme ve kanuna aykırı işleme nedeniyle zararınızın giderilmesini talep etme haklarına sahipsiniz.
8. Başvuru yöntemi
Veri sorumlusu kimliği ve doğrulanmış KEP/e-posta adresi sağlanana kadar /iletisim formu geçici elektronik başvuru kanalıdır. Başvuruda ad soyad, talep konusu, başvuru sahibini doğrulamaya yetecek bilgi ve cevap adresi belirtilmelidir. Gereksiz T.C. kimlik numarası, kimlik fotokopisi veya özel nitelikli veri gönderilmemelidir. Talep en kısa sürede ve en geç 30 gün içinde ücretsiz sonuçlandırılır; işlemin ayrıca maliyet gerektirmesi halinde Kurul tarifesi uygulanabilir.
9. Zorunlu production kapısı
- Veri sorumlusunun tam kimliği ve başvuru adresi girilmeli.
- Sağlayıcı/alıcı listesi ve veri merkezi ülkeleri doğrulanmalı.
- Yurt dışı aktarım mekanizması ve gerekli bildirimler tamamlanmalı.
- VERBİS yükümlülüğü çalışan sayısı, bilanço ve faaliyet kapsamına göre ayrıca değerlendirilmeli; sicil istisnası diğer KVKK yükümlülüklerini kaldırmaz.
- Saklama ve periyodik imha işi production ortamında etkinleştirilmeli.
Resmî dayanaklar
Bu taslak hazırlanırken aşağıdaki resmî kaynaklar esas alınmıştır. Mevzuat değişiklikleri ayrıca takip edilmelidir.