Saklama ve İmha Politikası · Versiyon 1 · Yayın tarihi 04 Eki 2026
INTRANET TECHNOLOGY YAZILIM ANONİM ŞİRKETİ
KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI
(“Politika”)
Güncelleme Tarihi: 01.10.2026
1. Amaç
1.1. İşbu Kişisel Veri Saklama ve İmha Politikası, şirket merkezi Barbaros Mah. Şebboy Sokak No: 4/1 İç Kapı No: 2 Ataşehir/İstanbul adresinde bulunan ve İstanbul Ticaret Müdürlüğü’ne 321924-5 ticaret sicil numarasıyla kayıtlı INTRANET TECHNOLOGY YAZILIM ANONİM ŞİRKETİ (“Şirket”) tarafından veri sorumlusu sıfatıyla işlenen kişisel verilerin saklanmasına ve imhasına ilişkin usul ve esasları belirlemek amacıyla hazırlanmıştır.
1.2. Politika; 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) uyarınca, kişisel verilerin hangi kayıt ortamlarında tutulduğunu, hangi sebeple ve ne kadar süreyle saklandığını, saklama süresi sona erdiğinde hangi yöntemle ve kim tarafından imha edileceğini ve bu süreçlerde alınan teknik ve idari tedbirleri göstermektedir.
1.3. Saklama ve imha politikası hazırlama yükümlülüğü, Veri Sorumluları Siciline kayıt yükümlüsü olan veri sorumlularına aittir (Yönetmelik m. 5). Kişisel Verileri Koruma Kurulu’nun (“Kurul”) belirlediği istisna ölçütleri (ana faaliyeti özel nitelikli kişisel veri işlemek olmayan veri sorumluları bakımından yıllık çalışan sayısının 50’den ve yıllık mali bilanço toplamının 100 milyon Türk lirasından az olması) Şirket tarafından her yıl yeniden değerlendirilir. Şirket, sicile kayıt yükümlülüğü bulunup bulunmadığından bağımsız olarak, KVKK’nın 4. maddesindeki genel ilkelere ve 7. maddesindeki silme, yok etme ve anonim hâle getirme yükümlülüğüne uyumu sağlamak amacıyla işbu Politikayı benimser.
1.4. Politika, Platform’un yazılımında ve Yönetim Panelinde tanımlı otomatik saklama ve imha kurallarını esas alır. Madde 10’daki tablolarda “Platform’da otomatik” ibaresi, ilgili sürenin Platform tarafından kendiliğinden uygulandığını; “önerilen” ibaresi ise sürenin Şirket tarafından benimsendiğini, ancak Platform’da henüz otomatik olarak uygulanmadığını ve hukuk danışmanının teyidine sunulduğunu ifade eder. “Önerilen” süreler, Ek-1’de listelenen teknik işler tamamlanana kadar Madde 11’deki periyodik imha kapsamında elle uygulanır. Bu iki ibareden hiçbirini taşımayan süreler, mevzuattan doğan veya Şirket’çe kesinleştirilmiş sürelerdir ve Platform’da otomatik imha kuralı bulunmadıkça Madde 11’deki periyodik imhada elle uygulanır.
2. Kapsam
2.1. Politika, Şirket’in www.senall.one alan adı ve bu alan adına bağlı sayfalar üzerinden işlettiği SenAll platformu (“Platform”) ile bağlantılı olarak işlediği kişisel verileri kapsar. Bu kapsamda Politika; Platform’un Ziyaretçilerine ve Kullanıcılarına, Üye İşyeri veya Ödeme Sağlayıcı olarak başvuran ya da Platform’a kabul edilen kuruluşların yetkililerine, temsilcilerine ve çalışanlarına, şahıs işletmesi olarak başvuran Üye İşyerlerine ve Şirket’e KVKK kapsamında başvuran ilgili kişilere ait kişisel verilere uygulanır.
2.2. Tüzel kişilere ait bilgiler (ör. bir sermaye şirketinin ticari unvanı, ciro bilgisi ve komisyon oranları) KVKK anlamında kişisel veri değildir. Ancak bu bilgiler şahıs işletmelerinde veya bir gerçek kişiyle ilişkilendirilebildiği durumlarda kişisel veri niteliği kazanabildiğinden ve Platform’da kişisel verilerle aynı kayıtlarda tutulduğundan, Şirket uygulama birliğini sağlamak amacıyla Madde 10’daki süreleri bu bilgilere de uygular.
2.3. Politika, Madde 5’te sayılan tüm kayıt ortamlarını kapsar. Elektronik ortamlar bakımından Platform’un canlı ve test ortamları, Şirket’in kurumsal e-posta hesapları, Altyapı Hizmet Sağlayıcıları nezdindeki kayıtlar ve Şirket çalışanlarının kullandığı cihazlar; fiziki ortamlar bakımından ise Şirket’in fiziki arşivi Politikanın kapsamındadır.
2.4. Politika, Platform ile bağlantılı kayıtların yanı sıra Şirket çalışanlarına, çalışan adaylarına ve tedarikçilerine ilişkin kayıtları da kapsar. Bu kayıtlar Madde 10’daki I bölümünde gösterilen sürelere tabidir; bu süreler Kişisel Veri İşleme Envanterinin bu faaliyetler bakımından tamamlanmasıyla gözden geçirilir.
2.5. Ödeme Sağlayıcılar, Platform aracılığıyla edindikleri kişisel verileri kendi amaçları ve yükümlülükleri çerçevesinde işler ve saklar. Bu verilerin Ödeme Sağlayıcılar nezdinde saklanması ve imhası, işbu Politikanın değil, ilgili Ödeme Sağlayıcının kendi politikalarının ve “SenAll Ödeme Sağlayıcı Veri Paylaşımı ve Gizlilik Protokolü (Ödeme Sağlayıcı Üyelik Sözleşmesi Ek-1)”nin konusudur.
3. Tanımlar
3.1. Politikada Madde 1 ve Madde 2’de tanımlanan kavramlara ek olarak aşağıdaki kavramlar, karşılarında gösterilen anlamlarda kullanılmıştır:
“kişisel veri”: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
“özel nitelikli kişisel veri”: KVKK’nın 6. maddesinde sayılan veriler (ör. din, mezhep, sağlık, biyometrik veriler, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler).
“ilgili kişi”: Kişisel verisi işlenen gerçek kişi.
“veri işleyen”: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.
“kayıt ortamı”: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
“İlgili Kullanıcı”: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu kişi veya birim hariç olmak üzere, Şirket bünyesinde veya Şirket’ten aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler. Bu kavram, Platform’da Hesabı bulunan “Kullanıcı”dan farklıdır.
“silme”: Kişisel verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi.
“yok etme”: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi.
“anonim hâle getirme”: Kişisel verilerin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.
“imha”: Silme, yok etme veya anonim hâle getirme.
“periyodik imha”: KVKK’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması hâlinde, Politikada belirtilen ve tekrar eden aralıklarla resen gerçekleştirilen imha işlemi.
“saklama süresi”: Kişisel verinin işlendiği amaç veya ilgili mevzuat bakımından gerekli olan ve Madde 10’da gösterilen azami süre.
“Kişisel Veri İşleme Envanteri”: Şirket’in iş süreçlerine bağlı olarak gerçekleştirdiği kişisel veri işleme faaliyetlerini; işleme amacı, hukuki sebep, veri kategorisi, alıcı grubu, saklama süresi, yurt dışına aktarım ve alınan tedbirlerle birlikte gösteren envanter.
“Altyapı Hizmet Sağlayıcısı”: Şirket’e barındırma, veritabanı, dosya depolama, e-posta, SMS, ödeme altyapısı, güvenlik doğrulaması, analitik ve benzeri hizmetleri sunan üçüncü kişiler. Bunlardan barındırma, veritabanı, dosya depolama, e-posta, SMS ve yardım asistanı hizmeti sağlayıcıları Şirket adına veri işleyen sıfatıyla; ödeme altyapısı ile işlemi gerçekleştiren banka veya ödeme kuruluşu ise kendi hukuki yükümlülükleri bakımından bağımsız veri sorumlusu sıfatıyla hareket eder. Güvenlik doğrulama ve analitik hizmeti sağlayıcılarının kendi amaçlarıyla işledikleri veriler bakımından nitelendirme, “Yurt Dışına Kişisel Veri Aktarımı Değerlendirmesi ve Standart Sözleşme Ek Bilgileri”nde yapılır.
“Yönetim Paneli”: Şirket yetkililerinin Platform’u yönetmek için kullandığı yönetim arayüzü.
“KVK Sorumlusu”: Madde 9 uyarınca Kişisel Veri Koruma Sorumlusu unvanıyla görevlendirilen kişi.
“Ziyaretçi”: Platform’u, bir Hesap ile oturum açmaksızın ziyaret eden gerçek kişi.
“Kullanıcı”: Platform’da Hesabı bulunan gerçek kişi.
“Hesap”: Kullanıcının Platform’a erişmek için kullandığı, e-posta adresi ve şifre ile korunan ve bir Üye Kuruluşa veya Şirket’e bağlı olan kullanıcı hesabı.
“Yönetici rolü” / “Üye rolü”: Platform arayüzünde Hesaplara atanan kullanıcı rolleri. Üye Kuruluşa bağlı Hesaplarda Yönetici rolündeki Kullanıcı kendi kuruluşunun Kullanıcılarını ekleyebilir ve pasife alabilir; Üye rolündeki Kullanıcı kullanıcı yönetimi dışındaki işlemleri yapabilir. Yönetim Panelinde bu rollere ek olarak tam yetkili “Root” rolü bulunur.
“Üye İşyeri”: Mevcut sanal POS komisyon oranlarını iyileştirmek amacıyla Platform üzerinden Ödeme Sağlayıcılardan teklif alan işletme.
“Ödeme Sağlayıcı”: Platform üzerinden Üye İşyerlerine teklif veren banka, ödeme kuruluşu veya elektronik para kuruluşu.
“Üye Kuruluş”: Platform’a kabul edilmiş Üye İşyeri veya Ödeme Sağlayıcı.
“Talep”: Üye İşyerinin Ödeme Sağlayıcılardan teklif almak amacıyla Platform’da oluşturduğu talep (arayüzde “Teklif Talebi”).
“Kapalı Teklif”: Ödeme Sağlayıcıların, diğer teklifleri görmeksizin Talebin son tarihine kadar teklif verdiği ve teklifini yalnızca Şirket’in düzeltme istemesi hâlinde yenileyebildiği teklif yöntemi (arayüzde “Tek seferlik teklif”).
“Açık Eksiltme”: Ödeme Sağlayıcıların, rakiplerinin kimliğini görmeksizin, Talep süresi boyunca her Kalem için daha düşük oran önererek teklif verdiği teklif yöntemi.
“Kalem”: Açık Eksiltmede ayrı ayrı teklif verilen her ödeme kırılımı.
“Doğrudan Başvuru”: Üye İşyerinin tek bir Ödeme Sağlayıcıya doğrudan yönelttiği talep türü. Platform’da yeni Doğrudan Başvuru oluşturulamaz; yalnızca eski kayıtlar salt okunur olarak bulunur.
“Teklif”: Ödeme Sağlayıcının bir Talebe Kapalı Teklif veya Açık Eksiltme yöntemiyle sunduğu oran ve koşullar.
“Kazanan”: Kapalı Teklifte seçilen veya Açık Eksiltmede ilgili Kalem için onaylanan Ödeme Sağlayıcı.
“İletişim Paylaşımı”: Kazananın belirlenmesiyle birlikte Üye İşyerinin ve Kazananın seçilen Kullanıcılarına ait e-posta adreslerinin karşı tarafa açılması.
“Anlaşma Sözleşmesi”: Üye İşyeri ile Kazanan Ödeme Sağlayıcı arasında Platform’da kurulan sözleşme.
“Teklif Kredisi”: Ödeme Sağlayıcının Taleplere katılabilmek için Şirket’ten satın aldığı kredi.
“Sipariş”: Ödeme Sağlayıcının Teklif Kredisi paketi satın almak için Platform’da oluşturduğu sipariş ve buna bağlı ödeme ve iade kayıtları.
“Kredi Geçmişi”: Ödeme Sağlayıcının Teklif Kredisi bakiyesindeki her artış ve azalışı nedeniyle birlikte gösteren kayıtlar.
“Şirket Evrakı”: Üye İşyerinin doğrulanması amacıyla Platform’a yüklediği vergi levhası, ticaret sicil gazetesi, imza sirküleri ve faaliyet belgesi ile isteğe bağlı olarak yüklenen yetkili kimlik belgesi ve IBAN/banka yazısı.
“Risk Skoru”: Üye İşyerinin beyanları ve Platform’daki kayıtları esas alınarak Platform tarafından hesaplanan ve Ödeme Sağlayıcılara yalnızca bant olarak gösterilen puan.
“Ekosistem”: Üye İşyerlerinin birbirlerine ürün ve hizmetlerini tanıtabildiği ve aralarında anlaşma kurabildiği Platform bölümü.
4. Temel İlkeler
4.1. Şirket kişisel verileri; hukuka ve dürüstlük kurallarına uygun olarak, doğru ve gerektiğinde güncel biçimde, belirli, açık ve meşru amaçlar için, bu amaçlarla bağlantılı, sınırlı ve ölçülü olarak işler ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar saklar.
4.2. Bir kişisel veri birden fazla amaçla işleniyorsa, bu amaçlardan en uzun saklama süresini gerektireni esas alınır. Ancak kısa süreli amaç sona erdikten sonra veriye yalnızca uzun süreyi gerektiren amaç için ve bu amaçla görevli kişilerce erişilir.
4.3. Saklama süresi sona eren veriler, Platform’da otomatik imha kuralı bulunuyorsa sürenin dolmasıyla kendiliğinden, bulunmuyorsa sürenin dolmasını izleyen ilk periyodik imhada imha edilir.
4.4. Hukuki bekletme: Bir dava, icra takibi, idari soruşturma, Kurul incelemesi veya resmî makam talebi bulunması ya da somut olgulara dayanılarak yazılı biçimde öngörülmesi hâlinde, bununla ilgili kişisel veriler saklama süresi dolmuş olsa dahi süreç sonuçlanana kadar imha edilmez. Hukuki bekletme kararını KVK Sorumlusu verir, kapsamı ve gerekçesiyle birlikte kayda alır; süreç sonuçlandığında bekletme kaldırılır ve veriler ilk periyodik imhada imha edilir. Hukuki bekletme kararları her periyodik imhada KVK Sorumlusu tarafından yeniden değerlendirilir; somut bir süreç başlamaksızın 2 (iki) yıl geçen bekletme kendiliğinden sona erer.
4.5. Anonim hâle getirilmiş veriler kişisel veri niteliğinde olmadığından, istatistik ve raporlama amacıyla süre sınırı olmaksızın saklanabilir.
4.6. Pasife alma ve arşivleme imha değildir. Bir Hesabın veya Üye Kuruluşun pasife alınması ya da arşivlenmesi, verilere erişimi kısıtlar ancak verileri silmez; bu kayıtlar Madde 10’daki sürelere tabi olmaya devam eder.
5. Kayıt Ortamları
5.1. Şirket’in Platform ile bağlantılı olarak kişisel veri sakladığı elektronik ortamlar şunlardır:
Kayıt ortamı: Platform veritabanı (Neon PostgreSQL bulut veritabanı)
Tutulan başlıca veriler: Başvuru, üyelik ve profil bilgileri; Hesaplar; Talepler, Teklifler ve Anlaşma Sözleşmeleri; siparişler ve onay kayıtları; denetim kayıtları; bildirimler; e-posta kuyruğu; doğrulama kayıtları
Konum ve açıklama: Amerika Birleşik Devletleri (Washington bölgesi). Canlı ortam ve test ortamı ayrı veritabanı projelerinde tutulur.
Kayıt ortamı: Dosya depolama hizmeti (Vercel Blob)
Tutulan başlıca veriler: Şirket Evrakı, Teklif ekleri, Anlaşma Sözleşmesi belgeleri, destek talebi ekleri, logolar ve duyuru bandı görselleri
Konum ve açıklama: Amerika Birleşik Devletleri (Washington bölgesi). Dosyalar herkese kapalı olarak saklanır ve yalnızca yetki kontrolü yapılan bağlantılar üzerinden indirilebilir.
Kayıt ortamı: Barındırma ve uygulama sunucuları (Vercel)
Tutulan başlıca veriler: Platform’a yapılan isteklerin işlenmesi sırasında oluşan çalışma ve hata kayıtları (IP adresi dahil)
Konum ve açıklama: Amerika Birleşik Devletleri (Washington bölgesi). Kayıtların tutulma süresi Altyapı Hizmet Sağlayıcısının hizmet planına bağlıdır (Madde 13).
Kayıt ortamı: Kurumsal e-posta hizmeti (Google Workspace)
Tutulan başlıca veriler: Platform bildirimlerinin gönderildiği gönderici posta kutusu (Platform’un sunucu yapılandırmasında tanımlı adres) ve bu kutunun “Gönderilmiş” klasöründe kalan kopyalar; Şirket yetkililerine yönelik ortak bildirim kutusu (Platform’un sunucu yapılandırmasında tanımlı adres); test ortamından gönderilen tüm e-postaların yönlendirildiği kontrol kutusu; help@senall.one üzerinden yürütülen yazışmalar ve ilgili kişi başvuruları
Konum ve açıklama: Yurt dışı (Altyapı Hizmet Sağlayıcısının Amerika Birleşik Devletleri başta olmak üzere yurt dışındaki sunucuları).
Kayıt ortamı: SMS hizmeti (Netgsm)
Tutulan başlıca veriler: Telefon doğrulaması etkinleştirildiğinde telefon numarası ve doğrulama kodunu içeren SMS metni
Konum ve açıklama: Altyapı Hizmet Sağlayıcısının sunucuları. Sunucu konumu Şirket tarafından teyit edilecektir.
Kayıt ortamı: Ödeme altyapısı (Paywall)
Tutulan başlıca veriler: Kart sahibi adı, kart numarası, son kullanma tarihi ve güvenlik kodu (tarayıcıdan doğrudan iletilir, Şirket sunucularına ulaşmaz); 3D ödeme için fatura bilgileri, Ödeme Sağlayıcının Platform’daki kimliği ve IP adresi; kayıtlı kartlar
Konum ve açıklama: Paywall’ın kart saklama ve ödeme altyapısı. Sunucu konumu Şirket tarafından teyit edilecektir.
Kayıt ortamı: Güvenlik doğrulama hizmeti (Google reCAPTCHA)
Tutulan başlıca veriler: Giriş sayfalarında doğrulama belirteci ve IP adresi
Konum ve açıklama: Yurt dışı (Altyapı Hizmet Sağlayıcısının Amerika Birleşik Devletleri başta olmak üzere yurt dışındaki sunucuları).
Kayıt ortamı: Analitik hizmeti (Google Analytics)
Tutulan başlıca veriler: Yalnızca açık rıza verilmesi hâlinde sayfa görüntüleme bilgileri
Konum ve açıklama: Yurt dışı (Altyapı Hizmet Sağlayıcısının Amerika Birleşik Devletleri başta olmak üzere yurt dışındaki sunucuları). Yalnızca canlı ortamda ve rıza hâlinde etkinleşir.
Kayıt ortamı: Yardım asistanı hizmeti (Anthropic)
Tutulan başlıca veriler: Etkinleştirilmesi hâlinde Üye İşyeri Kullanıcısının yardım asistanına yazdığı soru; kimlik bilgisi gönderilmez
Konum ve açıklama: Yurt dışı (Amerika Birleşik Devletleri).
Kayıt ortamı: Kullanıcı cihazı
Tutulan başlıca veriler: Oturum çerezleri, çerez tercihi, başvuru akışı çerezi, yerel depolama ve oturum depolaması kayıtları
Konum ve açıklama: Kullanıcının tarayıcısı. Şirket bu kayıtları Kullanıcının cihazından silemez. Oturum çerezleri ve başvuru akışı çerezi isteklerle birlikte Platform’a iletilir; yerel depolamadaki başvuru kaynağı kaydı yalnızca Üye İşyeri başvurusu gönderildiğinde Platform’a iletilir ve A3 satırındaki süreye tabi olur. Ayrıntılar “SenAll Platformu Çerez Politikası”nda yer alır.
Kayıt ortamı: Şirket çalışanlarının cihazları
Tutulan başlıca veriler: Yönetim Panelinden indirilen raporlar (CSV, XLSX), incelenmek üzere indirilen Şirket Evrakı ve belgeler, e-posta istemcilerindeki yazışmalar
Konum ve açıklama: Şirket’in sağladığı veya kullanımına izin verdiği bilgisayar ve mobil cihazlar.
5.2. Platform’un işleyişi fiziki evrak toplanmasını gerektirmez; Şirket Evrakı yalnızca elektronik ortamda alınır. Şirket’e posta, kargo, noter veya elden ulaştırılan yazılı ilgili kişi başvuruları, ihtarnameler, imzalı sözleşme asılları ile fatura ve muhasebe belgeleri, bulunmaları hâlinde Şirket merkezindeki kilitli dolaplarda saklanır.
5.3. Platform veritabanı, dosya depolama hizmeti, barındırma sunucuları, kurumsal e-posta hizmeti (Google Workspace), güvenlik doğrulama hizmeti (Google reCAPTCHA), analitik hizmeti (Google Analytics) ve etkinleştirilmesi hâlinde yardım asistanı hizmeti (Anthropic) yurt dışında yerleşik Altyapı Hizmet Sağlayıcıları tarafından sunulduğundan, bu ortamlarda tutulan kişisel veriler yurt dışına aktarılmış olur. SMS hizmeti ve ödeme altyapısının sunucu konumu ile bunların kendi yurt dışı aktarımları Şirket tarafından yazılı olarak teyit edilir. Aktarımların dayanağı, güvenceleri ve Kurul’a yapılacak bildirimler “Yurt Dışına Kişisel Veri Aktarımı Değerlendirmesi ve Standart Sözleşme Ek Bilgileri”nde gösterilir. Barındırma bölgesinin değiştirilmesi hâlinde işbu Madde güncellenir.
6. Saklamayı ve İmhayı Gerektiren Sebepler
6.1. Şirket kişisel verileri, KVKK’nın 5. maddesinde sayılan aşağıdaki hukuki sebeplere dayanarak saklar:
• Kanunlarda açıkça öngörülmesi (KVKK m. 5/2-a): 6102 sayılı Türk Ticaret Kanunu (“TTK”) m. 82 uyarınca ticari defterler, envanterler, finansal tablolar ile alınan ve gönderilen ticari mektupların 10 (on) yıl; 213 sayılı Vergi Usul Kanunu (“VUK”) m. 253 uyarınca defter ve belgelerin 5 (beş) yıl saklanması; Şirket’in yer sağlayıcı sayılması hâlinde 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun (“5651 sayılı Kanun”) m. 5 uyarınca trafik bilgisinin saklanması (Madde 13).
• Sözleşmenin kurulması veya ifası (KVKK m. 5/2-c): “SenAll Platformu Kullanım Şartları”, “SenAll Üye İşyeri Üyelik Sözleşmesi”, “SenAll Ödeme Sağlayıcı Üyelik Sözleşmesi” ve “SenAll Teklif Kredisi Paketi Mesafeli Satış Sözleşmesi” kapsamındaki hizmetlerin sunulması.
• Hukuki yükümlülüğün yerine getirilmesi (KVKK m. 5/2-ç): KVKK m. 12 kapsamındaki veri güvenliği yükümlülüğü, vergi mevzuatı ve ilgili kişi başvurularının cevaplanması.
• Bir hakkın tesisi, kullanılması veya korunması (KVKK m. 5/2-e): Şirket ile Üye Kuruluşlar veya Kullanıcılar arasında ya da Platform’da kurulan ilişkilerden doğabilecek uyuşmazlıklarda delil olarak kullanılması; bu amaçla saklama süresi belirlenirken 6098 sayılı Türk Borçlar Kanunu (“TBK”) m. 146’daki 10 (on) yıllık genel zamanaşımı süresi esas alınır.
• Meşru menfaat (KVKK m. 5/2-f): Platform’un güvenliğinin sağlanması, kötüye kullanımın önlenmesi, hizmetin iyileştirilmesi ve iş süreçlerinin denetlenmesi.
• Açık rıza (KVKK m. 5/1): Analitik çerezler aracılığıyla yapılan işleme.
6.2. Kişisel veriler ayrıca aşağıdaki teknik sebeplerle, amaçla sınırlı olarak saklanabilir: veri kaybına karşı yedekleme ve geri yükleme, hizmetin sürekliliğinin sağlanması, tekrarlanan veya kötüye kullanım amaçlı isteklerin tespiti ve anonim istatistik üretilmesi.
6.3. Aşağıdaki hâllerde kişisel veriler Politikaya uygun olarak imha edilir:
• işlemeye esas olan mevzuat hükmünün değiştirilmesi veya kaldırılması,
• ilgili sözleşmenin hiç kurulmamış olması veya sona ermesi ve Madde 10’daki sürenin dolması,
• kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması,
• kişisel verilerin işlenmesinin hukuka aykırı olduğunun tespit edilmesi,
• açık rızaya dayanan işlemelerde ilgili kişinin rızasını geri alması,
• ilgili kişinin KVKK m. 11 kapsamındaki silme, yok etme veya anonim hâle getirme başvurusunun Şirket tarafından kabul edilmesi,
• Kurul tarafından imha kararı verilmesi,
• saklama süresinin dolması ve verilerin daha uzun süre saklanmasını haklı kılan başka bir sebep bulunmaması.
7. Güvenli Saklamaya İlişkin Teknik ve İdari Tedbirler
7.1. Şirket, kişisel verilerin güvenli biçimde saklanması ve hukuka aykırı olarak işlenmesinin ve erişilmesinin önlenmesi için Platform’da aşağıdaki teknik tedbirleri uygulamaktadır:
• Erişim ayrımı: Üye Kuruluşların verileri sunucu tarafında birbirinden ayrılır. Bir Kullanıcı yalnızca bağlı olduğu Üye Kuruluşun verilerine ve kuruluşuna açılmış Taleplere erişebilir; yetkisiz istekler, kaydın varlığını açığa çıkarmayacak biçimde “bulunamadı” yanıtıyla reddedilir.
• Rol bazlı yetki: Hesaplara Yönetici rolü veya Üye rolü atanır; Yönetim Panelinde ayrıca tam yetkili Root rolü bulunur. Şirket yetkililerinin Hesaplarının eklenmesi ve Üye Kuruluş kayıtlarının kalıcı silinmesi yalnızca Root rolüne açıktır; kalıcı silme yalnızca arşivlenmiş kayıtlar için yapılabilir.
• Kimlik doğrulama: Şifreler en az 8 karakterden oluşur; şifrelerin kendisi saklanmaz, yalnızca bcrypt algoritmasıyla (maliyet değeri 12) üretilmiş özetleri saklanır. Oturumlar 8 (sekiz) saat geçerlidir ve sunucuda ayrıca saklanmaz; şifre değiştirildiğinde veya Hesap ya da bağlı Üye Kuruluş pasife alındığında açık oturumlar geçersiz hâle gelir.
• Kötüye kullanıma karşı sınırlar: Hatalı giriş denemeleri e-posta adresi başına 15 dakikada 5, IP adresi başına 15 dakikada 30 ile sınırlıdır; giriş sayfalarında Google reCAPTCHA doğrulaması kullanılabilir. Başvuru formlarından IP adresi başına saatte en fazla 3 başvuru yapılabilir. Veri yazan isteklerde oturum başına dakikada 300, oturumsuz isteklerde IP adresi başına dakikada 120 istek sınırı uygulanır.
• Tek kullanımlık bağlantı ve kodlar: Şifre belirleme ve sıfırlama bağlantıları 32 baytlık rastgele değerlerle üretilir ve tek kullanımlıktır; bağlantı belirteçleri ile e-posta ve SMS doğrulama kodları, doğrulama kayıtlarında yalnızca SHA-256 özeti olarak saklanır; şifre belirleme bağlantısı ve e-posta doğrulama kodu, e-posta kuyruğundaki ileti gövdesinde ise gönderim tamamlanana veya ileti kalıcı olarak başarısız sayılana kadar (en fazla 48 saat) açık olarak bulunur ve bu süre sonunda maskelenir.
• Dosya güvenliği: Yüklenen dosyalar herkese kapalı depolamada tutulur ve yalnızca yetki kontrolü yapılan bağlantılar üzerinden indirilebilir. Dosyaların türü içerik imzasıyla doğrulanır, boyutu 4 MB ile sınırlıdır; Teklif ekleri ve Anlaşma Sözleşmesi belgeleri yalnızca PDF olarak kabul edilir. Ödeme Sağlayıcılar Şirket Evrakına erişemez; yalnızca evrakın doğrulandığına ilişkin işareti görür.
• Kart verileri: Kart numarasının tamamı, son kullanma tarihi ve güvenlik kodu Kullanıcının tarayıcısından doğrudan Paywall’a iletilir ve Şirket sunucularına ulaşmaz.
• İletişim güvenliği: Platform’a yalnızca şifreli bağlantı (TLS) üzerinden erişilir; tarayıcıya şifreli bağlantıyı 2 yıl süreyle zorunlu kılan başlık gönderilir. Sayfaların başka sitelerde çerçeve içinde açılması engellenir; kamera, mikrofon ve konum izinleri kapalıdır.
• Kayıt bütünlüğü: Denetim kayıtları yalnızca eklenebilir niteliktedir; Platform üzerinden değiştirilemez veya silinemez.
• Gizli bilgilerin maskelenmesi: E-posta kuyruğunda tutulan şifre bağlantıları ve doğrulama kodları, e-posta gönderildikten veya kalıcı olarak başarısız sayıldıktan sonra kayıt içinde maskelenir.
• Zamanlanmış işler: Otomatik imha işlerini de içeren zamanlanmış işler, yalnızca gizli bir anahtarla çağrılabilen uç noktalar üzerinden çalıştırılır.
• Ortam ayrımı: Test ortamı, canlı ortamdan ayrı veritabanı, dosya deposu ve gizli anahtarlarla çalışır; test ortamından gönderilen tüm e-postalar Şirket’in tek bir kontrol kutusuna yönlendirilir.
7.2. Şirket, aşağıdaki hususların teknik tedbirlerde bilinen eksiklik olduğunu kabul eder ve bunları Ek-1’deki iş listesine almıştır:
• T.C. kimlik numarası, vergi kimlik numarası, telefon numarası ve fatura bilgileri veritabanında ayrıca alan düzeyinde şifrelenmemektedir. Bekleyen verilerin şifrelenmesi, Altyapı Hizmet Sağlayıcılarının sunduğu depolama düzeyindeki şifrelemeye bağlıdır ve Şirket tarafından ayrıca doğrulanmamıştır.
• Google reCAPTCHA hizmetine ulaşılamadığında giriş işlemi, hizmetin sürekliliği amacıyla engellenmemektedir.
• Barındırma hizmetinin çalışma kayıtları Şirket’in kendi kayıt ortamına aktarılmamaktadır (Madde 13).
• Madde 10’da “Platform’da otomatik” ibaresi taşımayan süreler Platform’da henüz otomatik olarak uygulanmamaktadır.
7.3. Şirket aşağıdaki idari tedbirleri uygular:
• Yönetim Paneline erişim yalnızca görevi gereği ihtiyaç duyan çalışanlara verilir; Root rolündeki kişi sayısı asgari düzeyde tutulur. Görevi sona eren veya görev değişikliği yapan çalışanın Hesabı derhâl pasife alınır.
• Kişisel verilere erişen çalışanlardan gizlilik taahhüdü alınır; çalışanlara işe başlarken ve yılda en az bir kez kişisel verilerin korunması eğitimi verilir.
• Kişisel Veri İşleme Envanteri hazırlanır ve yılda en az bir kez gözden geçirilir.
• Veri işleyen sıfatıyla hizmet veren Altyapı Hizmet Sağlayıcıları ile yapılan sözleşmelerde gizlilik, güvenlik, alt işleyen, sözleşme sonunda verilerin silinmesi veya iade edilmesi ve ihlal bildirimi hükümlerine yer verilmesi sağlanır; yurt dışına aktarım bakımından Madde 5.3 uygulanır. Bağımsız veri sorumlusu sıfatıyla hareket eden ödeme altyapısı ve ödeme hizmeti sağlayıcıları bakımından bu hükümler, ilgili mevzuatın izin verdiği ölçüde uygulanır.
• Yönetim Panelinden rapor indirilmesi ve Şirket Evrakının cihaza indirilmesi yalnızca iş gereği hâlinde yapılır. İndirilen dosyalar yalnızca disk şifrelemesi ve ekran kilidi etkin cihazlarda tutulur, kişisel e-posta hesaplarına veya Şirket dışı depolama hizmetlerine aktarılmaz ve Madde 10’daki H4 satırında belirtilen süre içinde silinir.
• Test ortamında gerçek kişisel veri kullanılmaz; canlı ortam verilerinin test ortamına kopyalanması zorunlu olursa veriler önce anonim hâle getirilir.
• Saklama sürelerini etkileyen Yönetim Paneli ayarları (ör. Ayarlar › Operasyon › Evrak saklama süreleri) yalnızca KVK Sorumlusunun yazılı onayıyla değiştirilir ve değişiklik Politikanın bir sonraki güncellemesine yansıtılır.
• Fiziki evrak kilitli dolaplarda tutulur; masalarda ve ortak alanlarda kişisel veri içeren belge bırakılmaz.
• Veri ihlali şüphesi derhâl KVK Sorumlusuna bildirilir. İhlal, öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a, etkilenen ilgili kişilere ise tespit edilmelerinden sonra makul süre içinde bildirilir.
• Politikanın uygulanması yılda en az bir kez iç denetimle kontrol edilir.
7.4. Platform’un işleyişi özel nitelikli kişisel veri işlenmesini gerektirmez ve Şirket Evrakı arasında adli sicil kaydı istenmez. Ancak isteğe bağlı olarak yüklenebilen yetkili kimlik belgesi, din hanesi veya kan grubu bilgisi bulunan eski tip nüfus cüzdanı sureti olabilir. Operasyon ve Müşteri İlişkileri Sorumlusu, özel nitelikli kişisel veri içeren bir belge yüklendiğini tespit ettiğinde belgeyi reddeder, durumu aynı gün KVK Sorumlusuna ve Yazılım Geliştirme Sorumlusuna bildirir ve Üye İşyerinden bu bilgilerin karartıldığı bir suret ister. Üye İşyeri reddedilen belgeyi “Şirket Evraklarım” ekranından daha önce silmemişse, Yazılım Geliştirme Sorumlusu, Ek-1 T-17’deki işlev tamamlanana kadar KVK Sorumlusunun yazılı talimatıyla dosyayı tespitten itibaren en geç 3 (üç) iş günü içinde dosya depolama hizmetinden elle siler, kayıt satırını Madde 8.1’deki biçimde iz olarak bırakır ve işlemi imha kaydına işler. Bu belgeler için B1 satırındaki süre beklenmez. Belge yükleme ekranında ve Üye İşyerinden suret istenirken, din ve kan grubu bilgisi içeren eski tip nüfus cüzdanının yüklenmemesi veya bu bilgilerin karartılması gerektiği belirtilir (Ek-1 T-17).
8. İmha Teknikleri ve Hukuka Uygun İmhaya İlişkin Tedbirler
8.1. Silme. Şirket aşağıdaki silme tekniklerini kullanır:
• Veritabanı kayıtlarının, ilgili satırın veya alanın veritabanından kaldırılması suretiyle silinmesi.
• Dosyaların dosya depolama hizmetinden kalıcı olarak silinmesi. Şirket Evrakında dosya silindikten sonra kayıt satırı yalnızca belge türü, durum ve tarihlerle iz olarak kalır; özgün dosya adı kişisel veri içerebileceğinden “Vergi levhası (silindi)” gibi genel bir etiketle değiştirilir ve belgeyi indirme girişimleri, belgenin artık bulunmadığı yanıtıyla sonuçlanır. Ancak belgenin yüklendiği sırada oluşturulan denetim kaydında özgün dosya adı hâlihazırda kalmaktadır (Ek-1 T-09).
• Kurumsal e-posta kutularındaki yazışmaların, çöp kutusu da boşaltılarak silinmesi.
• Çalışan cihazlarındaki dosyaların, çöp kutusu ve indirilenler klasörü de temizlenerek silinmesi.
• Silinen verinin İlgili Kullanıcılar için erişilemez hâle gelmesinin, silme işleminden sonra örnekleme yoluyla kontrol edilmesi.
Bulut ortamında silinen veriler, Altyapı Hizmet Sağlayıcısının yedek ve geri yükleme kayıtlarından, sağlayıcının hizmet planına göre belirlediği süre sonunda kendiliğinden kalkar (Madde 10, G7).
8.2. Yok etme. Fiziki belgeler kâğıt kırpma makinesiyle, geri getirilemeyecek biçimde yok edilir. Kişisel veri içeren taşınabilir bellekler ve disk sürücüleri, kullanım dışı bırakıldıklarında güvenli üzerine yazma yöntemiyle temizlenir; bunun mümkün olmaması hâlinde fiziksel olarak parçalanır. Bulut ortamındaki fiziksel depolama ortamlarının yok edilmesi, ilgili Altyapı Hizmet Sağlayıcısının sorumluluğundadır; Şirket bu yükümlülüğün sağlayıcı sözleşmelerinde yer almasını sağlar.
8.3. Anonim hâle getirme. Şirket, verilerin istatistik amacıyla kullanılmaya devam etmesi gereken hâllerde anonim hâle getirme yöntemlerini kullanır: doğrudan tanımlayıcıların çıkarılması veya kimliksiz bir değerle değiştirilmesi (ör. e-posta adresinin rastgele bir değerle değiştirilmesi), IP adresinin son bölümünün silinmesi gibi maskeleme işlemleri ve verilerin toplulaştırılması. Maskeleme, kayıt kimliği belirli bir Kullanıcıyla ilişkili kalmaya devam ediyorsa anonim hâle getirme sayılmaz; bu kayıtlar Madde 10’daki sürelere tabi olmaya devam eder ve Madde 4.5 bunlara uygulanmaz. Platform’da gösterilen kıyaslama istatistikleri kimliksizdir; son 90 günde sonuçlanan Taleplerden, en az üç farklı Talepten gelen verilerin medyanı olarak her gösterimde yeniden hesaplanır ve ayrı bir veri seti olarak saklanmaz. Eşiğin farklı Üye İşyeri sayısına göre belirlenmesi ihtiyacı Ek-1 kapsamında değerlendirilir (Ek-1 T-28). Bir verinin özetinin (hash) alınması anonim hâle getirme sayılmaz. Anonim hâle getirilen veri setleri, başka verilerle eşleştirilerek kişilerin yeniden tanımlanabilmesi riski bakımından değerlendirilir; risk bulunması hâlinde veri seti silinir.
8.4. Platform’daki otomatik imha mekanizmaları. Politikanın güncelleme tarihi itibarıyla Platform’da aşağıdaki otomatik imha mekanizmaları çalışmaktadır:
• Saklama süresi dolan Şirket Evrakı dosyaları, hâlihazırda 5 dakikalık aralıkla planlanmış (tetikleyici hizmetin gecikmeleri nedeniyle fiilen 15–35 dakikada bir) çalışan zamanlanmış işle ve her çalışmada en fazla 100 dosya olmak üzere kalıcı olarak silinir. Her imha, nedeniyle birlikte (ret sonrası süre, eski sürüm süresi, arşiv veya Üye İşyeri talebi) denetim kaydına yazılır. Üye İşyeri, “Şirket Evraklarım” ekranında her belgenin hangi tarihte silineceğini ve saklama kurallarının özetini görür.
• Üye İşyeri, reddedilen ve eski sürüm belgelerinin dosyasını süre dolmadan kendisi sildirebilir; inceleme bekleyen belgeyi geri çektiğinde kayıt ve dosya silinir.
• Hiçbir kaydın kullanmadığı ve 7 günden eski logo dosyaları günde bir kez (İstanbul saatiyle 06.00 ile 07.00 arasında) silinir.
• IP adresi, oturum özeti veya Üye İşyeri kimliğiyle ilişkilendirilen hız sınırlama sayaçları, dakikalık sayaçlarda 1 saatten, diğer sayaçlarda 48 saatten eski hâle geldikten sonra, Platform’a gelen isteklerin işlenmesi sırasında yapılan temizlikte silinir; bu süreler alt sınırdır, silmenin gerçekleştiği azami süre değildir.
• Gönderilemeyen e-postalar 5 denemeden sonra veya oluşturulmalarından itibaren 48 saat geçtiğinde kalıcı olarak başarısız sayılır, bir daha otomatik olarak gönderilmez ve içlerindeki gizli bağlantı ve kodlar maskelenir. Kalıcı olarak başarısız e-postalar Yönetim Panelinden silinebilir ve silme denetim kaydına yazılır.
• Ödeme Sağlayıcı Kullanıcısı kayıtlı bir kartı sildiğinde Platform, kartı Paywall’ın kart saklama altyapısından da silmeye çalışır; Paywall hata döndürürse bu durum denetim kaydına yazılır; ödeme altyapısı bağlantısı yapılandırılmamışsa Paywall’a silme isteği gönderilmeden yalnızca Platform’daki kayıt kapatılır. Bu durumlarda Yazılım Geliştirme Sorumlusu silmeyi periyodik imhada elle tamamlar. Platform’daki kart özet kaydı silinmez, kullanım dışı olarak işaretlenir ve E2 satırındaki süreye tabidir; kartın kaldırıldığına ilişkin denetim kaydında kartın ilk haneleri, son dört hanesi ve takma adı yer alır.
8.5. Kalıcı silme işlevinin kullanılması. Yönetim Panelindeki kalıcı silme işlevi, bir Üye Kuruluşa ait Talep, Teklif, Açık Eksiltme, Anlaşma Sözleşmesi, Şirket Evrakı, Ekosistem, destek, bildirim, bildirim tercihi, profil değişikliği ve Hesap kayıtlarını; Ödeme Sağlayıcı bakımından ayrıca Sipariş, Kredi Geçmişi ve kayıtlı kart özet kayıtlarını tek işlemde ve geri alınamaz biçimde siler. Bu nedenle kalıcı silme yalnızca (a) Madde 10’da ilgili kayıtlar için öngörülen saklama sürelerinin tamamı dolmuşsa, (b) kayıt deneme amacıyla veya hatayla oluşturulmuşsa ya da (c) KVK Sorumlusu, bir ilgili kişi başvurusu üzerine silmenin hukuken zorunlu olduğuna ve başka bir saklama yükümlülüğü bulunmadığına karar vermişse yapılabilir. Kalıcı silmeden önce:
• KVK Sorumlusunun yazılı onayı alınır; işlemi yapan Root rolündeki kişi ile onaylayan kişi, mümkün olduğunca farklı kişiler olur.
• Kalıcı silmenin karşı tarafların kayıtlarını da sileceği dikkate alınır: Üye İşyerinin silinmesi, Ödeme Sağlayıcıların bu Üye İşyerinin Taleplerine verdiği Teklifleri ve kurulan Anlaşma Sözleşmelerini; ayrıca diğer Üye İşyerleriyle kurulan Ekosistem anlaşmalarını ve mesajlarını siler. Ödeme Sağlayıcının silinmesi ise Üye İşyerlerinin Taleplerine verilmiş Teklifleri, Açık Eksiltme tekliflerini, hacim dağılımlarını, Kazanan seçimi kayıtlarını ve Üye İşyerleriyle kurulmuş Anlaşma Sözleşmelerini (PDF belgeleri dahil) siler. Etkilenen tarafların saklama ihtiyacı silmeden önce değerlendirilir.
• Ödeme Sağlayıcı kaydı bakımından Mali İşler Sorumlusu, Sipariş, fatura, iade ve Kredi Geçmişi kayıtlarının Madde 10’daki E1 satırında belirtilen süre boyunca Platform dışında eksiksiz olarak saklandığını yazılı olarak teyit eder; bu teyit alınmadan Ödeme Sağlayıcı kaydı kalıcı olarak silinmez.
• Yazılım Geliştirme Sorumlusu, kalıcı silmeden önce Ödeme Sağlayıcının kayıtlı kartlarını Platform’daki kart silme işlevi veya Paywall yönetim paneli aracılığıyla siler ve silindiğini imha kaydına işler (Ek-1 T-12 tamamlanana kadar).
• İşlem imha kaydına işlenir.
Platform, açık Talebi bulunan Üye İşyerinin ve onay bekleyen başvurunun arşivlenmesine izin vermez. Kalıcı silmeden sonra denetim kayıtları, onay kayıtları, e-posta kuyruğu kayıtları, doğrulama kayıtları ve Yönetim Paneli bildirimleri Platform’da kalır; bu kayıtlar Madde 10’daki kendi sürelerine tabidir.
8.6. Silinemeyen dosyalar. Platform, otomatik imhada önce veritabanı kaydını imha edilmiş olarak işaretler, kalıcı silmede ise önce veritabanı kayıtlarını siler; dosyalar her iki durumda da bu işlemden sonra depolama hizmetinden silinir. Dosyanın silinmesi başarısız olursa dosya otomatik olarak yeniden silinmeye çalışılmaz. Yazılım Geliştirme Sorumlusu, her periyodik imhada depolama hizmetindeki dosyaları veritabanı kayıtlarıyla karşılaştırır ve imha edilmiş olarak işaretlendiği veya veritabanında karşılığı bulunmadığı hâlde depolamada kalan dosyaları siler.
8.7. Yedekten geri yükleme. Bir arıza veya veri kaybı nedeniyle imha edilmiş verileri içeren bir yedekten geri yükleme yapılması hâlinde, imha edilmiş veriler geri yüklemeden sonra Yazılım Geliştirme Sorumlusu tarafından derhâl yeniden imha edilir ve bu durum imha kaydına işlenir.
9. Görev ve Sorumluluklar
9.1. Kişisel verilerin saklanması ve imhası süreçlerinde yer alanların unvanları ve görevleri aşağıda gösterilmiştir:
Unvan: Genel Müdür
Birim: Genel Müdürlük
Görev ve sorumluluklar: Politikanın onaylanması ve yürürlüğe konulması; uygulanması için gerekli personel, bütçe ve teknik kaynağın sağlanması; periyodik imha tutanaklarının onaylanması; Veri Sorumluları Siciline kayıt yükümlülüğüne ilişkin yıllık değerlendirmenin Mali İşler Sorumlusu ile birlikte yapılması; Yönetim Panelinde Root rolü verilecek kişilerin belirlenmesi.
Unvan: Kişisel Veri Koruma Sorumlusu
Birim: Hukuk ve Uyum
Görev ve sorumluluklar: Politikanın ve Kişisel Veri İşleme Envanterinin hazırlanması, yılda en az bir kez gözden geçirilmesi ve güncellenmesi; saklama sürelerinin takibi; periyodik imha listesinin hazırlanması ve imha tutanaklarının düzenlenmesi; hukuki bekletme kararlarının verilmesi ve kayda alınması; kalıcı silme taleplerinin onaylanması; ilgili kişi başvurularının süresinde sonuçlandırılmasının koordinasyonu; veri ihlali bildirimlerinin koordinasyonu; Altyapı Hizmet Sağlayıcıları ile yapılan sözleşmelerde silme, iade, gizlilik ve yurt dışına aktarım hükümlerinin takibi; çalışanların eğitimi.
Unvan: Yazılım Geliştirme Sorumlusu
Birim: Yazılım Geliştirme
Görev ve sorumluluklar: Platform’daki otomatik imha işlerinin ve teknik tedbirlerin geliştirilmesi, çalıştırılması ve izlenmesi; zamanlanmış işlerin en az ayda bir kontrol edilmesi; periyodik imhada otomatik imhası bulunmayan kayıtların Politikaya uygun olarak imha edilmesi ve kayda alınması; Madde 8.6’daki dosya karşılaştırmasının yapılması; Ek-1’deki teknik işlerin planlanması ve tamamlanması; erişim yetkilerinin teknik olarak uygulanması; yedekleme ve geri yükleme süreçlerinin yönetimi; test ortamında gerçek kişisel veri bulunmamasının sağlanması.
Unvan: Operasyon ve Müşteri İlişkileri Sorumlusu
Birim: Operasyon
Görev ve sorumluluklar: Başvuruların ve Şirket Evrakının incelenmesinde yalnızca gerekli bilgi ve belgelerin istenmesi ve özel nitelikli kişisel veri içeren belgelerin Madde 7.4’e göre ele alınması; Üye İşyerlerine din ve kan grubu bilgisi içeren eski tip nüfus cüzdanı yüklememeleri veya bu bilgileri karartmaları gerektiğinin hatırlatılması; destek talepleri ile kurumsal e-posta yazışmalarının Politikaya uygun olarak saklanması ve silinmesi; ilgili kişi başvurularının ilk karşılanması ve KVK Sorumlusuna iletilmesi; çalışan cihazlarına indirilen dosyaların süresinde silinmesinin takibi; üyeliği sona eren Üye Kuruluşların Madde 10.1’deki süre içinde arşivlenmesi ve kalıcı silme öncesi kontrollerin yürütülmesi.
Unvan: Mali İşler Sorumlusu
Birim: Mali İşler
Görev ve sorumluluklar: Sipariş, fatura, iade ve muhasebe kayıtlarının TTK ve VUK’ta öngörülen sürelerle saklanması; Ödeme Sağlayıcı kaydının kalıcı silinmesinden önce Madde 8.5’teki yazılı teyidin verilmesi; periyodik imhada mali kayıtlara ilişkin sürelerin teyit edilmesi; Veri Sorumluları Siciline kayıt yükümlülüğü değerlendirmesi için yıllık çalışan sayısı ve mali bilanço bilgilerinin sağlanması.
Unvan: Kişisel verilere erişen tüm Şirket çalışanları
Birim: Tüm birimler
Görev ve sorumluluklar: Politikaya ve gizlilik taahhüdüne uyulması; yetki ve görev sınırları dışında kişisel veri görüntülenmemesi, indirilmemesi ve paylaşılmaması; Politikaya aykırılığın veya veri ihlali şüphesinin derhâl KVK Sorumlusuna bildirilmesi.
9.2. Şirket’in ölçeği nedeniyle birden fazla unvan aynı kişide birleşebilir. Bu durumda, unvanların her birine ait görevlerin yerine getirilmesinden o kişi sorumludur. Birimlerin aynı kişide birleşmesi hâlinde de bu tablo uygulanır. Unvanların kimler tarafından üstlenildiği, Politikanın onay kaydında (Madde 14.1) gösterilir.
10. Saklama ve İmha Süreleri
10.1. Kişisel verilerin saklama ve imha süreleri aşağıdaki tablolarda gösterilmiştir. Tablolarda aksi belirtilmedikçe süre, kaydın oluşturulduğu tarihten başlar. “İlgili takvim yılının sonundan itibaren” ifadesi, sürenin ilgili işlemin yapıldığı veya belgenin düzenlendiği takvim yılının son gününden başlayacağını ifade eder. “Üyeliğin sona ermesi”, Üye Kuruluş kaydının Platform’da arşivlenmesi veya ilgili üyelik sözleşmesinin sona ermesidir; bunlardan önce gerçekleşeni esas alınır. Üyeliği sona eren ancak arşivlenmemiş Üye Kuruluş kaydı, Operasyon ve Müşteri İlişkileri Sorumlusu tarafından üyeliğin sona ermesinden itibaren en geç 30 (otuz) gün içinde arşivlenir (önerilen); açık Talep nedeniyle arşivlenemeyen kayıt, Talep kapandıktan sonra ilk periyodik imhada arşivlenir.
10.2. Bir veri birden fazla kayıt ortamında bulunuyorsa (ör. hem veritabanında hem kurumsal e-posta kutusunda), her ortamdaki kopya aynı süreye tabidir. Bir veri birden fazla satırın kapsamına giriyorsa, o veri türünü özel olarak düzenleyen satır uygulanır; bir satırda başka bir satırın kapsamı açıkça dışarıda bırakılmışsa o satırdaki süre uygulanır; özel bir satır yoksa en uzun süre uygulanır.
10.3. Platform’da ayarlanabilir olan süreler, Yönetim Panelinde tanımlı değerleriyle uygulanır; bu değerler değiştirildiğinde Madde 7.3 uygulanır. Tablolardaki “hâlihazırda” ibaresi, Politikanın güncelleme tarihindeki tanımlı değeri gösterir.
A. Başvuru, Üyelik ve Hesap Kayıtları
No: A1
Veri kategorisi: Onaylanan Üye İşyeri ve Ödeme Sağlayıcı başvuru ve üyelik bilgileri: ticari unvan, görünen ad, sektör, ülke, web sitesi, yetkili adı soyadı, telefon, giriş e-posta adresi, vergi kimlik numarası veya şahıs işletmelerinde T.C. kimlik numarası, Paywall üye işyeri kimliği, aylık ciro beyanı, Şirket yetkililerinin notları
Saklama süresi: Üyelik süresince ve üyeliğin sona ermesinden itibaren 10 yıl (önerilen)
Dayanak: KVKK m. 5/2-c, ç, e ve f; TBK m. 146; üyelik ilişkisine ilişkin yazışma ve belgeler bakımından TTK m. 82
İmha yöntemi ve uygulama: Veritabanından silme. Hâlihazırda yalnızca Root rolündeki Şirket yetkilisinin arşivlenmiş kaydı kalıcı silmesiyle uygulanır (elle; Madde 8.5). Bkz. Ek-1 T-13.
No: A2
Veri kategorisi: Reddedilen başvurular: A1’de sayılan bilgiler, ret tarihi, varsa ret gerekçesi ve yeniden başvuru sayısı
Saklama süresi: Ret kararından itibaren 2 yıl (önerilen). Aynı e-posta adresiyle yeniden başvuru yapılırsa süre yeni karardan başlar
Dayanak: KVKK m. 5/2-e ve f (başvuru kararına ilişkin itiraz ve uyuşmazlıklar, yeniden başvuruların değerlendirilmesi)
İmha yöntemi ve uygulama: Veritabanından silme. Hâlihazırda süresiz tutulmaktadır. Bkz. Ek-1 T-01.
No: A3
Veri kategorisi: Başvuru kaynağı ve ölçüm verileri: “Bizi nereden duydunuz?” yanıtı ve açıklaması, kampanya parametreleri (utm_source, utm_medium, utm_campaign), yönlendiren site adresi, gösterilen başvuru akışı (A/B), başvurunun tamamlanma süresi
Saklama süresi: Başvuru tarihinden itibaren 2 yıl (önerilen)
Dayanak: KVKK m. 5/2-f
İmha yöntemi ve uygulama: İlgili alanların başvuru kaydından silinmesi; bu veriler süre sonunda yalnızca toplulaştırılmış ve kimliksiz istatistik olarak saklanabilir. Hâlihazırda süresiz tutulmaktadır. Bkz. Ek-1 T-02.
No: A4
Veri kategorisi: Profil bilgileri: Üye İşyerinin ödeme profili ve eşleştirme profili (ciro, işlem adedi, ortalama sepet tutarı, kart, taksit ve yurt dışı işlem dağılımları, iade ve ters ibraz oranları, mevcut komisyon oranları ve ticari koşullar, şirket türü, kuruluş yılı, aktif sanal POS sayısı, altyapılar), mevcut sağlayıcı bilgisi; Ödeme Sağlayıcı profil bilgileri (web sitesi, tanıtım, uzmanlık etiketleri, lisans tipi); logolar; profil değişikliği kayıtları ve önceki değerler
Saklama süresi: Üyelik süresince; üyeliğin sona ermesinden itibaren 2 yıl (önerilen). Yayımlanmış bir Talepte donmuş olarak yer alan kısım C1 satırına tabidir. Hiçbir kaydın kullanmadığı logo dosyaları 7 gün sonra silinir (Platform’da otomatik)
Dayanak: KVKK m. 5/2-c ve f
İmha yöntemi ve uygulama: Veritabanından ve dosya depolama hizmetinden silme. Hâlihazırda sahipsiz logolar dışında yalnızca kalıcı silmeyle uygulanır. Bkz. Ek-1 T-13.
No: A5
Veri kategorisi: Risk Skoru kayıtları: puan, bant, etkenler, yeniden hesaplama geçmişi, Şirket yetkilisinin elle belirleme veya dondurma gerekçesi
Saklama süresi: Üyelik süresince; üyeliğin sona ermesinden itibaren 2 yıl (önerilen). Talebe donmuş risk bandı C1 satırına tabidir
Dayanak: KVKK m. 5/2-f; KVKK m. 11/1-g kapsamındaki itirazların değerlendirilmesi
İmha yöntemi ve uygulama: Veritabanından silme. Bkz. Ek-1 T-16.
No: A6
Veri kategorisi: Hesap bilgileri (Yönetim Paneli Hesapları dahil): e-posta adresi, şifre özeti, rol, bağlı olunan Üye Kuruluş, durum, son giriş zamanı, şifre değişim zamanı
Saklama süresi: Hesap açık olduğu sürece; Hesabın pasife alınmasından sonra, Kullanıcının Platform’da yaptığı işlemlerin kime ait olduğunun ispatı amacıyla erişimi kısıtlanarak pasife alma tarihinden itibaren 10 yıl (önerilen). Şifre özeti, Hesabın pasife alınmasından 1 yıl sonra rastgele ve kullanılamaz bir değerle değiştirilir (önerilen). Reddedilen başvuruya bağlı Hesaplar A2 satırındaki süreye tabidir
Dayanak: KVKK m. 5/2-c, e ve f; TBK m. 146
İmha yöntemi ve uygulama: Süre sonunda anonim hâle getirme (e-posta adresinin kimliksiz bir değerle değiştirilmesi). Platform’da Hesap silme veya anonim hâle getirme işlevi yoktur; Hesaplar yalnızca pasife alınabilir. Bkz. Ek-1 T-03.
No: A7
Veri kategorisi: Oturum bilgisi: oturum çerezindeki imzalı belirteç (kullanıcı kimliği, e-posta adresi, rol, bağlı Üye Kuruluş kimliği, oturum açılış zamanı)
Saklama süresi: 8 saat; çıkış yapıldığında derhâl (Platform’da otomatik). Sunucuda oturum kaydı tutulmaz
Dayanak: KVKK m. 5/2-c ve f
İmha yöntemi ve uygulama: Sürenin dolmasıyla kendiliğinden geçersiz hâle gelme ve tarayıcıdan silinme.
No: A8
Veri kategorisi: E-posta ve SMS doğrulama kayıtları: e-posta adresi veya telefon numarası, doğrulama kodunun ve doğrulama belirtecinin özeti, deneme sayısı, isteğin geldiği IP adresi
Saklama süresi: Kod 5 dakika, doğrulanmış belirteç 60 dakika geçerlidir (Platform’da otomatik); kayıt satırı oluşturulmasından itibaren 30 gün (önerilen)
Dayanak: KVKK m. 5/2-c ve f; KVKK m. 12 (kötüye kullanımın önlenmesi)
İmha yöntemi ve uygulama: Veritabanından silme. Kayıt satırları hâlihazırda süresiz tutulmaktadır. Bkz. Ek-1 T-04.
No: A9
Veri kategorisi: Şifre belirleme ve sıfırlama bağlantı kayıtları: belirtecin özeti, amacı, geçerlilik ve kullanım zamanı
Saklama süresi: Bağlantı ilk şifre belirleme için 72 saat, şifre sıfırlama için 1 saat geçerlidir ve tek kullanımlıktır (Platform’da otomatik); kayıt satırı kullanımından veya süresinin dolmasından itibaren 30 gün (önerilen)
Dayanak: KVKK m. 5/2-c ve f
İmha yöntemi ve uygulama: Veritabanından silme. Bkz. Ek-1 T-05.
No: A10
Veri kategorisi: Bildirim e-posta tercihleri (Kullanıcı kimliği, kapatılan bildirim kategorileri)
Saklama süresi: Hesap açık olduğu sürece; Hesabın pasife alınmasından itibaren 1 yıl (önerilen)
Dayanak: KVKK m. 5/2-c ve f
İmha yöntemi ve uygulama: Veritabanından silme. Hâlihazırda yalnızca kalıcı silmeyle uygulanır. Bkz. Ek-1 T-03.
B. Şirket Evrakı
No: B1
Veri kategorisi: Reddedilen Şirket Evrakı dosyaları
Saklama süresi: İnceleme kararından itibaren Yönetim Panelinde tanımlı süre (hâlihazırda 90 gün; 7 ile 3650 gün arasında ayarlanabilir) (Platform’da otomatik)
Dayanak: KVKK m. 5/2-e ve f (ret kararına itiraz ve yeniden yükleme imkânı)
İmha yöntemi ve uygulama: Dosyanın dosya depolama hizmetinden kalıcı silinmesi; kayıt satırı Madde 8.1’deki biçimde iz olarak kalır ve A1 satırındaki süreye tabidir. Üye İşyeri dosyayı süre dolmadan kendisi de sildirebilir.
No: B2
Veri kategorisi: Yerine yenisi yüklenen (eski sürüm) Şirket Evrakı dosyaları
Saklama süresi: Yeni sürümün yüklendiği tarihten itibaren Yönetim Panelinde tanımlı süre (hâlihazırda 365 gün; 30 ile 3650 gün arasında ayarlanabilir) (Platform’da otomatik)
Dayanak: KVKK m. 5/2-e ve f (önceki doğrulama kararının dayanağı)
İmha yöntemi ve uygulama: B1 ile aynı. Üye İşyeri dosyayı süre dolmadan kendisi de sildirebilir.
No: B3
Veri kategorisi: Geçerli (onaylı, inceleme bekleyen veya geçerlilik tarihi geçmiş ancak yerine yenisi yüklenmemiş) Şirket Evrakı: vergi levhası, ticaret sicil gazetesi, imza sirküleri, faaliyet belgesi ile isteğe bağlı yetkili kimlik belgesi ve IBAN/banka yazısı
Saklama süresi: Üyelik süresince; Üye İşyerinin arşivlenmesinden itibaren Yönetim Panelinde tanımlı süre (hâlihazırda 730 gün; 90 ile 3650 gün arasında ayarlanabilir) (Platform’da otomatik)
Dayanak: KVKK m. 5/2-c ve f (Üye İşyerinin doğrulanması); KVKK m. 5/2-e
İmha yöntemi ve uygulama: B1 ile aynı. Onaylı geçerli belge otomatik olarak silinmez; Üye İşyeri bunun yerine yeni belge yükler. İnceleme bekleyen belge geri çekildiğinde kayıt ve dosya silinir.
No: B4
Veri kategorisi: Başvurusu reddedilen Üye İşyerinin, başvuru inceleme aşamasında yüklediği Şirket Evrakı
Saklama süresi: Ret kararından itibaren 90 gün (önerilen)
Dayanak: KVKK m. 5/2-e ve f
İmha yöntemi ve uygulama: Dosyanın dosya depolama hizmetinden kalıcı silinmesi; kayıt satırı Madde 8.1’deki biçimde iz olarak kalır ve A2 satırındaki süreye tabidir. Hâlihazırda reddedilen başvuru arşivlenmediği için otomatik silinmemektedir. Bkz. Ek-1 T-01.
C. Talep, Teklif ve Anlaşma Sözleşmesi Kayıtları
No: C1
Veri kategorisi: Talepler (başlık, açıklama, yöntem, son tarih, gizlilik modu, yayın anında donan Talep özeti, davetler ve davet durumları, “İlgilenmiyorum” gerekçeleri, anlaşma geri bildirimi); Kapalı Teklif kayıtları (Teklif sürümleri, oranlar, hacim sınırları, geçerlilik süresi, ekler, düzeltme istekleri); Açık Eksiltme kayıtları (Kalem bazında teklifler, otomatik teklif kuralları, sonuçlar, hacim dağılımı); Kazanan seçimi ve onayı; İletişim Paylaşımı kayıtları; eski Doğrudan Başvuru kayıtları
Saklama süresi: En az bir Teklif alan Talepler: Talebin kapanmasından veya iptalinden itibaren 10 yıl (önerilen). Teklif almadan kapanan, geri çekilen veya iptal edilen Talepler: kapanıştan itibaren 2 yıl (önerilen). Taslak olarak bırakılan Talepler: son güncellemeden itibaren 2 yıl (önerilen)
Dayanak: KVKK m. 5/2-c, e ve f; TBK m. 146
İmha yöntemi ve uygulama: Veritabanından ve dosya depolama hizmetinden silme. Platform’da gösterilen kıyaslama istatistikleri ayrı bir veri seti olarak saklanmaz; son 90 günde sonuçlanan Taleplerden her gösterimde yeniden hesaplanır ve kaynak kayıtlar imha edildiğinde hesaplamaya girmez (Madde 8.3). Hâlihazırda yalnızca kalıcı silmeyle uygulanır. Bkz. Ek-1 T-13.
No: C2
Veri kategorisi: Anlaşma Sözleşmesi kayıtları (başlık, başlangıç tarihi, süre, yenileme ve ihbar süresi bilgisi, ek şartlar, Kazananın Teklifinden oluşturulan özet, onaylayan Kullanıcılar ve onay zamanları, fesih tarafı ve gerekçesi) ve taraflarca yüklenen imzalı PDF belgeler
Saklama süresi: Sözleşmenin feshinden veya süresinin bitiminden itibaren 10 yıl (önerilen). Yürürlüğe girmeden iptal edilen taslaklar: iptalden itibaren 2 yıl (önerilen). Onaylanmadan bekleyen taslaklar: son güncellemeden itibaren 2 yıl (önerilen)
Dayanak: KVKK m. 5/2-c, e ve f; TBK m. 146
İmha yöntemi ve uygulama: Veritabanından ve dosya depolama hizmetinden silme. Şirket Anlaşma Sözleşmesinin tarafı değildir; tarafların kendi nüshalarını saklama yükümlülükleri saklıdır. Hâlihazırda yalnızca kalıcı silmeyle uygulanır. Aynı sözleşmeye yeni bir PDF yüklendiğinde önceki PDF, Platform tarafından hâlihazırda derhâl kalıcı olarak silinmektedir. Bkz. Ek-1 T-13 ve T-27.
D. Ekosistem Kayıtları
No: D1
Veri kategorisi: Ekosistem vitrin profili (görünen ad, sektör, tanıtım) ve ürün kayıtları (ad, açıklama, kategori, fiyat bilgisi, Şirket’in inceleme kararları ve gerekçeleri)
Saklama süresi: Vitrin görünür olduğu ve ürün yayında kaldığı sürece. Arşivlenen, reddedilen veya gizlenen ürünler: bu işlemden itibaren 2 yıl (önerilen). Üye İşyerinin üyeliği sona erdiğinde vitrin ve ürünler: üyeliğin sona ermesinden itibaren 2 yıl (önerilen)
Dayanak: KVKK m. 5/2-c ve f
İmha yöntemi ve uygulama: Veritabanından silme. Vitrin, pasif veya arşivlenmiş Üye İşyerleri için Platform’da gösterilmez (Platform’da otomatik). Bkz. Ek-1 T-15.
No: D2
Veri kategorisi: Ekosistem anlaşma kayıtları, anlaşma şartları ve taraflar arasındaki mesajlar
Saklama süresi: Anlaşma kayıtları (taraflar, durum, tarihler ve şartlar): anlaşmanın sonlandırılmasından veya taraflardan birinin üyeliğinin sona ermesinden (hangisi önce gerçekleşirse) itibaren 3 yıl (önerilen). Taraflar arasındaki mesajlar: aynı tarihten itibaren 1 yıl (önerilen). Reddedilen veya geri çekilen Ekosistem anlaşma istekleri: kapanıştan itibaren 1 yıl (önerilen). Bir uyuşmazlık veya resmî talep bulunması hâlinde Madde 4.4 uygulanır
Dayanak: KVKK m. 5/2-c ve f
İmha yöntemi ve uygulama: Veritabanından silme. Şirket yetkilileri mesaj içeriğini Yönetim Panelinde görüntüleyemez. Bkz. Ek-1 T-15.
E. Sipariş, Ödeme ve Onay Kayıtları
No: E1
Veri kategorisi: Teklif Kredisi siparişleri: fatura bilgileri (ad veya unvan, e-posta, telefon, adres, şehir, vergi kimlik veya T.C. kimlik numarası), tutar ve KDV, ödeme ve iade sonuçları, Siparişi oluşturan Kullanıcı; Kredi Geçmişi kayıtları; Platform dışında düzenlenen faturalar ve muhasebe kayıtları
Saklama süresi: İlgili takvim yılının sonundan itibaren 10 yıl
Dayanak: TTK m. 82 (10 yıl); VUK m. 253 (5 yıl); KVKK m. 5/2-a ve ç
İmha yöntemi ve uygulama: Veritabanından silme; fiziki belgeler için yok etme. Ödeme Sağlayıcı kaydının kalıcı silinmesi bu süreyi kısaltmaz (Madde 8.5). Bkz. Ek-1 T-11.
No: E2
Veri kategorisi: Kayıtlı kart özet bilgileri: kart numarasının Paywall tarafından iletilen ilk haneleri (BIN) ve son dört hanesi, kart markası, maskelenmiş kart sahibi adı, son kullanma ay ve yılı, takma ad, Paywall kart kimliği
Saklama süresi: Kart kayıtlı olduğu sürece. Kart silindiğinde Paywall’ın kart saklama altyapısından silinir (Platform’da otomatik; en iyi çaba ile, Madde 8.4); Platform’daki özet kayıt silinmez, kullanım dışı olarak işaretlenir ve Siparişlerle ilişkili olduğundan E1 satırındaki süreye tabidir
Dayanak: KVKK m. 5/2-c; E1 satırındaki dayanaklar
İmha yöntemi ve uygulama: Paywall nezdinde silme; özet kayıt için veritabanından silme. Kart numarasının tamamı ve güvenlik kodu Şirket sunucularına ulaşmaz. Bkz. Ek-1 T-12.
No: E3
Veri kategorisi: Hukuki metin onay kayıtları: onaylanan belge ve sürümü, Kullanıcı kimliği, kullanıcı türü, bağlı Üye Kuruluş, IP adresi, tarayıcı bilgisi, onay zamanı, ilgili Sipariş
Saklama süresi: Üyeliğe ve Hesaba ilişkin onaylar: üyeliğin sona ermesinden itibaren 10 yıl (önerilen). Reddedilen başvurulara ilişkin onaylar: A2 satırındaki süre (önerilen). Siparişe ilişkin onaylar: E1 satırındaki süre
Dayanak: KVKK m. 5/2-ç ve e; aydınlatma ve onay işlemlerinin ispatı (ispat yükü Şirket’tedir); TBK m. 146; TTK m. 82
İmha yöntemi ve uygulama: Veritabanından silme. Hâlihazırda süresiz tutulmakta ve kalıcı silmeden sonra da kalmaktadır. Bkz. Ek-1 T-10.
F. Destek, Bildirim ve Yazışma Kayıtları
No: F1
Veri kategorisi: Destek talepleri: konu, mesajlar, ekler (PNG, JPG, WebP veya PDF), yardım asistanına sorulan son soru
Saklama süresi: Üyelik, Sipariş, ücret, Anlaşma Sözleşmesi veya Şirket’in Üye Kuruluşla ilişkisine dair diğer ticari konulara ilişkin destek talepleri: ilgili takvim yılının sonundan itibaren 10 yıl. Diğer destek talepleri (ör. kullanım soruları, teknik arıza bildirimleri): talebin kapanmasından itibaren 2 yıl (önerilen)
Dayanak: TTK m. 82; KVKK m. 5/2-c, e ve f
İmha yöntemi ve uygulama: Veritabanından ve dosya depolama hizmetinden silme. Bkz. Ek-1 T-14.
No: F2
Veri kategorisi: Uygulama içi bildirimler: bildirim türü, içerik bilgisi, okunma ve çözümlenme durumu
Saklama süresi: Oluşturulmasından itibaren 1 yıl (önerilen). Kullanıcının bildirimi listeden kaldırması kaydı silmez
Dayanak: KVKK m. 5/2-c ve f
İmha yöntemi ve uygulama: Veritabanından silme. Bkz. Ek-1 T-07.
No: F3
Veri kategorisi: E-posta kuyruğu kayıtları: alıcı e-posta adresi, konu, düz metin ve HTML gövde, gönderim durumu ve hata bilgisi
Saklama süresi: Gönderilen e-postalar: gönderimden itibaren 1 yıl (önerilen). Kalıcı olarak başarısız sayılan e-postalar: bu durumdan itibaren 30 gün (önerilen; hâlihazırda Yönetim Panelinden elle silinir). Hukuki metin değişikliği, ücret değişikliği, Hesabın veya üyeliğin askıya alınması ya da sona erdirilmesi, başvuru kararı ve sözleşme feshine ilişkin bildirimlerin kayıtları: ilgili hukuki ilişkinin sona ermesinden itibaren 10 yıl (önerilen); bu kayıtlarda gizli bağlantı ve kodlar Madde 8.4 uyarınca maskelenmiş olarak tutulur. Başarısızlık ve maskeleme kuralları Madde 8.4’teki gibi uygulanır (Platform’da otomatik)
Dayanak: KVKK m. 5/2-c, e ve f (bildirimin yapıldığının ispatı); TBK m. 146
İmha yöntemi ve uygulama: Veritabanından silme. Bkz. Ek-1 T-08.
No: F4
Veri kategorisi: Kurumsal e-posta kutularındaki yazışmalar ve Platform bildirimlerinin gönderilmiş kopyaları
Saklama süresi: Üyelik, Sipariş, ücret ve sözleşmelere ilişkin ticari yazışmalar: ilgili takvim yılının sonundan itibaren 10 yıl. Diğer yazışmalar: yazışmanın sonuçlanmasından itibaren 2 yıl (önerilen). Bildirimlerin gönderilmiş kopyaları: F3 satırındaki süre. Gönderici kutusunun “Gönderilmiş” klasörü ile ortak bildirim ve test kontrol kutuları da bu satıra tabidir
Dayanak: TTK m. 82; KVKK m. 5/2-c, e ve f
İmha yöntemi ve uygulama: E-posta kutusundan ve çöp kutusundan silme (periyodik imhada elle).
No: F5
Veri kategorisi: İlgili kişi başvuruları, ekleri, kimlik doğrulama yazışmaları ve verilen cevaplar
Saklama süresi: Başvurunun sonuçlandırılmasından itibaren 3 yıl (önerilen)
Dayanak: KVKK m. 5/2-ç ve e; KVKK m. 13 ve 14 (cevap ve Kurul’a şikâyet süreçleri)
İmha yöntemi ve uygulama: Elektronik kayıtlar için silme; fiziki belgeler için yok etme.
G. Güvenlik, Erişim ve Denetim Kayıtları
No: G1
Veri kategorisi: Güvenlik ve erişim kayıtları: başarılı ve başarısız giriş denemeleri, güvenlik doğrulamasıyla reddedilen istekler, e-posta ve SMS doğrulama olayları ile şifre sıfırlama talepleri (e-posta adresi veya telefon numarası, IP adresi, zaman)
Saklama süresi: Oluşturulmasından itibaren 2 yıl (önerilen)
Dayanak: KVKK m. 12; KVKK m. 5/2-ç ve f; trafik bilgisi niteliğindeki IP ve zaman bilgisi bakımından 5651 sayılı Kanun m. 5/3 (Madde 13)
İmha yöntemi ve uygulama: Veritabanından silme. Hâlihazırda süresiz tutulmaktadır. Bkz. Ek-1 T-09.
No: G2
Veri kategorisi: İşlem denetim kayıtları: Kullanıcıların ve Şirket yetkililerinin Platform’daki işlemleri (işlem türü, işlemi yapan, ilgili kayıt, işlem öncesi ve sonrası içerik, IP adresi, zaman). G1 kapsamındaki güvenlik ve erişim kayıtları bu satırın kapsamı dışındadır
Saklama süresi: Oluşturulmasından itibaren 10 yıl (önerilen). IP adresleri 2 yıl sonunda maskelenir; işlem öncesi ve sonrası içerikteki telefon numarası, vergi kimlik veya T.C. kimlik numarası ve e-posta adresleri, ilgili Üye Kuruluşun kalıcı silinmesiyle birlikte maskelenir (önerilen)
Dayanak: KVKK m. 5/2-ç, e ve f; KVKK m. 12; TBK m. 146
İmha yöntemi ve uygulama: Veritabanından silme ve maskeleme. Denetim kayıtları Platform üzerinden değiştirilemez veya silinemez; hâlihazırda süresiz tutulmaktadır. Bkz. Ek-1 T-09.
No: G3
Veri kategorisi: İmha kayıtları: otomatik ve elle yapılan silme, yok etme ve anonim hâle getirme işlemlerinin kayıtları ve periyodik imha tutanakları
Saklama süresi: İşlem tarihinden itibaren 3 yıl (Yönetmelik m. 7’deki asgari süre); süre sonunda ilk periyodik imhada imha edilir. Denetim kayıtlarında tutulanlar G2 satırındaki süreye tabidir
Dayanak: Yönetmelik m. 7 (imha işlemlerine ilişkin kayıtların, diğer hukuki yükümlülükler saklı kalmak üzere en az 3 yıl saklanması); KVKK m. 5/2-ç
İmha yöntemi ve uygulama: Veritabanından silme; fiziki tutanaklar için yok etme. Bkz. Ek-1 T-25.
No: G4
Veri kategorisi: Hız sınırlama sayaçları (IP adresi, oturum özeti veya Üye İşyeri kimliğiyle ilişkilendirilmiş istek sayıları)
Saklama süresi: Dakikalık sayaçlar 1 saatten, diğer sayaçlar 48 saatten eski hâle geldikten sonra, Platform’a gelen istekler sırasında yapılan temizlikte silinir (Platform’da otomatik)
Dayanak: KVKK m. 12; KVKK m. 5/2-f
İmha yöntemi ve uygulama: Veritabanından silme.
No: G5
Veri kategorisi: Tekrarlanan istek koruma kayıtları (işlem anahtarı ve ilk isteğe verilen yanıtın içeriği)
Saklama süresi: Oluşturulmasından itibaren 30 gün (önerilen)
Dayanak: KVKK m. 5/2-c ve f
İmha yöntemi ve uygulama: Veritabanından silme. Hâlihazırda süresiz tutulmaktadır. Bkz. Ek-1 T-06.
No: G6
Veri kategorisi: Barındırma hizmetinin çalışma ve hata kayıtları (istek bilgileri, IP adresi, hata ayrıntıları; SMS hizmetinin test modunda telefon numarası ve doğrulama kodu)
Saklama süresi: Altyapı Hizmet Sağlayıcısının hizmet planına göre belirlediği süre (hâlihazırda Vercel Hobby planı kullanılmakta olup bu planda çalışma kayıtları çok kısa süre tutulur)
Dayanak: KVKK m. 12; KVKK m. 5/2-f
İmha yöntemi ve uygulama: Altyapı Hizmet Sağlayıcısı tarafından kendiliğinden silinir. Bkz. Madde 13 ile Ek-1 T-20 ve T-21.
No: G7
Veri kategorisi: Veritabanı ve dosya depolama hizmetlerinin geri yükleme amaçlı yedekleri ve geçmiş kayıtları
Saklama süresi: Altyapı Hizmet Sağlayıcısının hizmet planına göre belirlediği süre
Dayanak: KVKK m. 12
İmha yöntemi ve uygulama: Kendiliğinden silinir; geri yükleme hâlinde Madde 8.7 uygulanır. Bkz. Ek-1 T-26.
H. Cihazlar, Üçüncü Kişi Ortamları ve Fiziki Arşiv
No: H1
Veri kategorisi: Kullanıcı cihazındaki çerezler ve yerel depolama kayıtları
Saklama süresi: “SenAll Platformu Çerez Politikası”nda belirtilen süreler (hâlihazırda oturum çerezleri 8 saat, başvuru akışı çerezi 30 gün, çerez tercihi 180 gün; yerel depolama kayıtları silinene kadar)
Dayanak: KVKK m. 5/2-c ve f; analitik çerezlerde KVKK m. 5/1
İmha yöntemi ve uygulama: Sürenin dolmasıyla veya Kullanıcının tarayıcısından silmesiyle. Şirket bu kayıtları Kullanıcının cihazından silemez. Oturum çerezleri ve başvuru akışı çerezi isteklerle birlikte Platform’a iletilir; yerel depolamadaki başvuru kaynağı kaydı yalnızca Üye İşyeri başvurusu gönderildiğinde Platform’a iletilir ve A3 satırındaki süreye tabi olur. Bkz. Ek-1 T-19.
No: H2
Veri kategorisi: Google Analytics verileri (yalnızca açık rızayla toplanan sayfa görüntüleme bilgileri)
Saklama süresi: Hizmette seçilebilen en kısa saklama süresi (önerilen)
Dayanak: KVKK m. 5/1
İmha yöntemi ve uygulama: Altyapı Hizmet Sağlayıcısı tarafından kendiliğinden silinir. Bkz. Ek-1 T-22.
No: H3-a
Veri kategorisi: Veri işleyen sıfatıyla hizmet veren Altyapı Hizmet Sağlayıcıları (barındırma, veritabanı, dosya depolama, e-posta, SMS, yardım asistanı) nezdinde oluşan kayıtlar: SMS gönderim kayıtları, yardım asistanına iletilen sorular ve benzerleri
Saklama süresi: Şirket ile yapılan sözleşmede belirlenen süre; sözleşmenin sona ermesinde silme veya iade
Dayanak: KVKK m. 12; sağlayıcı sözleşmesi
İmha yöntemi ve uygulama: Sağlayıcı nezdinde silme. Şirket, sağlayıcı sözleşmelerinde sözleşme sonunda silme veya iade hükmüne yer verilmesini sağlar.
No: H3-b
Veri kategorisi: Ödeme altyapısı ve işlemi gerçekleştiren banka veya ödeme kuruluşu nezdindeki ödeme kayıtları; güvenlik doğrulama hizmeti sağlayıcısının kendi amaçlarıyla işlediği veriler
Saklama süresi: Bu kuruluşların kendi mevzuatlarında ve politikalarında öngörülen süreler (ödeme ve elektronik para kuruluşları için 6493 sayılı Kanun m. 23 uyarınca en az 10 yıl)
Dayanak: Bu kuruluşlar ilgili veriler bakımından bağımsız veri sorumlusudur
İmha yöntemi ve uygulama: Şirket’in imha talebi, Ödeme Sağlayıcının kart saklama altyapısındaki kayıtlı kartlarının silinmesiyle sınırlıdır (E2).
No: H4
Veri kategorisi: Şirket çalışanlarının cihazlarına indirilen dosyalar: Yönetim Panelinden alınan CSV ve XLSX raporlar, incelenmek üzere indirilen Şirket Evrakı ve belgeler, e-posta ekleri
Saklama süresi: İşin tamamlanmasından itibaren en geç 30 gün (önerilen)
Dayanak: KVKK m. 12
İmha yöntemi ve uygulama: Güvenli silme (çöp kutusu ve indirilenler klasörü dahil).
No: H5
Veri kategorisi: Fiziki evrak (bulunması hâlinde): yazılı ilgili kişi başvuruları, ihtarnameler, imzalı sözleşme asılları, fatura ve muhasebe belgeleri
Saklama süresi: İlgili veri kategorisi için öngörülen süre (ör. fatura ve muhasebe belgeleri için E1, ilgili kişi başvuruları için F5)
Dayanak: İlgili veri kategorisinin dayanağı
İmha yöntemi ve uygulama: Kâğıt kırpma makinesiyle yok etme.
I. Çalışan, Çalışan Adayı ve Tedarikçi Kayıtları
No: I1
Veri kategorisi: Çalışan özlük dosyası ve bordro kayıtları
Saklama süresi: İş ilişkisinin sona erdiği takvim yılının sonundan itibaren 10 yıl (önerilen)
Dayanak: KVKK m. 5/2-a, ç ve e; TTK m. 82; VUK m. 253; TBK m. 146
İmha yöntemi ve uygulama: Elektronik kayıtlar için silme; fiziki belgeler için yok etme.
No: I2
Veri kategorisi: İşe alınmayan çalışan adaylarının başvuru ve özgeçmişleri
Saklama süresi: Başvuru sürecinin sonuçlanmasından itibaren 6 ay (önerilen); adayın ayrıca açık rıza vermesi hâlinde en fazla 2 yıl
Dayanak: KVKK m. 5/2-c ve f; uzatılmış süre için KVKK m. 5/1
İmha yöntemi ve uygulama: Elektronik kayıtlar için silme; fiziki belgeler için yok etme.
No: I3
Veri kategorisi: Tedarikçi yetkili ve iletişim bilgileri, tedarikçi sözleşmeleri, cari hesap kayıtları ve faturalar
Saklama süresi: İlgili takvim yılının sonundan itibaren 10 yıl
Dayanak: TTK m. 82; VUK m. 253; KVKK m. 5/2-a, c ve ç
İmha yöntemi ve uygulama: Elektronik kayıtlar için silme; fiziki belgeler için yok etme.
11. Periyodik İmha
11.1. Madde 8.4’te sayılan otomatik imha mekanizmaları sürekli olarak çalışır. Bunların dışında kalan ve saklama süresi dolan kişisel veriler, her yılın 15 Ocak, 15 Nisan, 15 Temmuz ve 15 Ekim tarihlerinde (bu tarihin iş günü olmaması hâlinde bir önceki iş günü) yapılan periyodik imhada imha edilir (Yönetmelik m. 11). Böylece ardışık iki periyodik imha arasındaki süre hiçbir durumda 6 (altı) ayı aşmaz ve Şirket’in Veri Sorumluları Siciline kayıt yükümlüsü olup olmamasından bağımsız olarak, saklama süresi dolan veriler en geç 3 (üç) ay içinde imha edilmiş olur. İlk periyodik imha, Politikanın yürürlüğe girdiği tarihten itibaren en geç 3 (üç) ay içinde yapılır.
11.2. Periyodik imha aşağıdaki sırayla yürütülür:
• KVK Sorumlusu, Madde 10’daki tablolara göre saklama süresi dolan veri kategorilerini ve hukuki bekletme altındaki kayıtları gösteren imha listesini hazırlar.
• Mali İşler Sorumlusu, listede E satırlarına ilişkin kayıt bulunması hâlinde saklama süresinin dolduğunu teyit eder.
• Yazılım Geliştirme Sorumlusu, Platform’da otomatik imhası bulunmayan kayıtları listeye göre imha eder, Madde 8.6’daki dosya karşılaştırmasını yapar ve otomatik imha işlerinin önceki dönemde kesintisiz çalıştığını kontrol eder.
• Operasyon ve Müşteri İlişkileri Sorumlusu, kurumsal e-posta kutularındaki ve çalışan cihazlarındaki verilerin imhasını sağlar.
• KVK Sorumlusu imha tutanağını düzenler; tutanak Genel Müdür tarafından onaylanır.
11.3. İmha tutanağında; imha tarihi, imha edilen veri kategorileri, kayıt ortamları, yaklaşık kayıt sayısı, uygulanan imha yöntemi, imha gerekçesi, imhayı gerçekleştiren ve onaylayanların unvanları ile hukuki bekletme nedeniyle imha edilmeyen kayıtlar yer alır. Tutanaklarda imha edilen kişisel verilerin kendisine yer verilmez. Tutanaklar ve Platform’un otomatik olarak oluşturduğu imha kayıtları, işlem tarihinden itibaren 3 (üç) yıl saklanır (Yönetmelik m. 7; Madde 10, G3).
11.4. Platform’un zamanlanmış işleri, harici bir tetikleyici hizmet aracılığıyla hâlihazırda 5 (beş) dakikalık aralıkla zamanlanmıştır; tetikleyici hizmet işleri fiilen daha uzun aralıklarla (hâlihazırda 15–35 dakikada bir) başlatabilir. Tetikleyici hizmetin kullanım kotasının dolması gibi nedenlerle işlerin çalışmadığı dönemlerde otomatik imha gecikebilir; işler yeniden çalıştığında süresi dolan kayıtlar sonraki çalışmalarda imha edilir. Yazılım Geliştirme Sorumlusu, işlerin çalışma kayıtlarını en az ayda bir kontrol eder ve bir haftayı aşan kesintileri KVK Sorumlusuna bildirir.
12. İlgili Kişi Talebi Üzerine İmha
12.1. İlgili kişiler, kişisel verilerinin silinmesi, yok edilmesi veya anonim hâle getirilmesi taleplerini “KVKK İlgili Kişi Başvuru Formu”nu kullanarak veya Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’de öngörülen bilgileri içeren bir dilekçeyle; Barbaros Mah. Şebboy Sokak No: 4/1 İç Kapı No: 2 Ataşehir/İstanbul adresine yazılı olarak, intranettechnology@hs06.kep.tr kayıtlı elektronik posta adresine, güvenli elektronik imza veya mobil imza ile ya da Şirket sistemlerinde kayıtlı e-posta adresinden help@senall.one adresine iletebilir.
12.2. Başvuru, Şirket’e ulaştığı tarihten itibaren en geç 30 (otuz) gün içinde sonuçlandırılır (KVKK m. 13; Yönetmelik m. 12). KVK Sorumlusu, talep konusu verilerin işlenme şartlarının tamamının ortadan kalkıp kalkmadığını değerlendirir:
• İşlenme şartlarının tamamı ortadan kalkmışsa talep konusu veriler, talep tarihinden itibaren en geç 30 (otuz) gün içinde uygun imha yöntemiyle imha edilir ve ilgili kişiye bilgi verilir. Talebe konu kişisel veriler daha önce üçüncü kişilere aktarılmışsa (ör. İletişim Paylaşımı ile e-posta adresi açılan Ödeme Sağlayıcılar), KVK Sorumlusu, ilgili kişinin ayrıca talebi aranmaksızın bu durumu ilgili üçüncü kişilere bildirir ve onların nezdinde Yönetmelik kapsamında gerekli işlemlerin yapılmasını temin etmek için gereken adımları atar (Yönetmelik m. 12); bağımsız veri sorumlusu olan Ödeme Sağlayıcılar bakımından bu süreç, “SenAll Ödeme Sağlayıcı Veri Paylaşımı ve Gizlilik Protokolü (Ödeme Sağlayıcı Üyelik Sözleşmesi Ek-1)” çerçevesinde yürütülür. Bildirim imha kaydına işlenir.
• İşlenme şartlarının tamamı ortadan kalkmamışsa (ör. E1 satırındaki kanuni saklama süresi devam ediyorsa), talep gerekçesi açıklanarak reddedilir ve ret cevabı ilgili kişiye yazılı olarak veya elektronik ortamda bildirilir. Bu hâlde veriye erişim, saklamayı gerektiren amaçla sınırlandırılır.
12.3. Platform’da ilgili kişinin kendisinin kullanabileceği imha yolları şunlardır: Üye İşyeri, reddedilen ve eski sürüm Şirket Evrakını “Şirket Evraklarım” ekranından sildirebilir ve inceleme bekleyen belgesini geri çekebilir; Ödeme Sağlayıcı Kullanıcısı kayıtlı kartını silebilir (Madde 8.4); Kullanıcı tarayıcısındaki çerez ve yerel depolama kayıtlarını silebilir. Platform’da Kullanıcının kendi Hesabını silebileceği bir işlev bulunmadığından, Hesap silme talepleri Madde 12.1’deki yollarla iletilir. Yönetici rolündeki bir Kullanıcının başka bir Kullanıcıyı pasife alması Hesabın silinmesi anlamına gelmez (Madde 4.6).
12.4. Talep üzerine yapılan her imha ve her ret kararı, imha kaydına işlenir.
13. Erişim Kayıtları ve 5651 Sayılı Kanun Kapsamında Değerlendirme
13.1. Kullanıcılar Platform’a Teklif ekleri, Şirket Evrakı, Anlaşma Sözleşmesi belgeleri, destek talebi ekleri, Ekosistem ürün bilgileri ve mesajlar gibi içerikler yükleyebilmektedir. Şirket, kendi hazırladığı içerikler bakımından içerik sağlayıcı; Kullanıcıların yüklediği içerikleri barındıran sistemleri işlettiği ölçüde ise 5651 sayılı Kanun anlamında yer sağlayıcı sayılabilir.
13.2. Anılan Kanun’un 5. maddesinin üçüncü fıkrası, yer sağlayıcının trafik bilgisini bir yıldan az ve iki yıldan fazla olmamak üzere yönetmelikle belirlenen süre kadar saklamasını öngörmektedir. Yer sağlayıcılara ilişkin yönetmelik hâlen altı aylık bir süre öngörmekle birlikte, Kanun’daki alt sınır nedeniyle Şirket, erişim kayıtları için hedef saklama süresini 2 (iki) yıl olarak belirlemiştir (Madde 10, G1). 7590 sayılı Kanun ile trafik bilgisi tanımına kaynak ve hedef port bilgisi eklenmiştir.
13.3. Politikanın güncelleme tarihi itibarıyla Platform; giriş olaylarını ve Kullanıcı işlemlerini, IP adresi ve zaman bilgisiyle birlikte denetim kayıtlarında tutmaktadır (Madde 10, G1 ve G2). Buna karşılık Platform’a yapılan tüm isteklere ait trafik bilgisi, port bilgileri dahil olmak üzere Şirket’in kendi kayıt ortamında tutulmamakta; barındırma hizmetinin çalışma kayıtları ise Altyapı Hizmet Sağlayıcısının belirlediği süreyle sınırlı kalmaktadır; hâlihazırda Vercel Hobby planı kullanılmakta olup bu planda çalışma kayıtları çok kısa süre tutulur (Madde 10, G6).
13.4. Şirket’in yer sağlayıcı sayılıp sayılmadığı, yer sağlayıcılık bildirimi yükümlülüğü ve trafik bilgisinin hangi kapsamda saklanacağı KVK Sorumlusu tarafından hukuk danışmanıyla birlikte değerlendirilir. Değerlendirme sonucuna göre gerekli teknik işler Ek-1 T-21 kapsamında yürütülür ve bu Madde güncellenir. Trafik bilgisi saklanmaya başlandığında, bu kayıtlar 2 (iki) yıllık sürenin sonunda otomatik olarak silinir ve yalnızca yetkili makamların talebi ile güvenlik incelemeleri için kullanılır.
14. Politikanın Yürürlüğü, Yayımlanması ve Güncellenmesi
14.1. Politika, Yönetim Kurulu kararıyla veya Yönetim Kurulunun bu konuda yetkilendirdiği Genel Müdür tarafından ıslak imza ya da güvenli elektronik imzayla onaylandığı tarihte yürürlüğe girer. Onay kaydı aşağıdaki gibidir:
Hazırlayan (Kişisel Veri Koruma Sorumlusu): ……
Onaylayan (Yönetim Kurulu veya yetkilendirilmiş Genel Müdür): ……
Yetkilendirme kararının tarihi ve sayısı (varsa): ……
Onay tarihi: ……
Yazılım Geliştirme Sorumlusu unvanını üstlenen: ……
Operasyon ve Müşteri İlişkileri Sorumlusu unvanını üstlenen: ……
Mali İşler Sorumlusu unvanını üstlenen: ……
14.2. Politika, kişisel verilere erişen tüm Şirket çalışanlarının erişimine açık tutulur ve Yönetim Paneli kullanıcılarına yürürlüğe girdiği tarihte bildirilir. Politikanın güncel sürümü, Platform’un yasal belgeler bölümünde ve www.senall.one adresinde yayımlanır; talep hâlinde ilgili kişilere ve Kurul’a ayrıca sunulur. Madde 14.1’deki onay kaydı ve iç görev dağılımı yayımlanan sürümde yer almaz. Saklama sürelerine ilişkin özet bilgi “SenAll Kullanıcı Aydınlatma Metni”nde yer alır; Politikada bir saklama süresi değiştirildiğinde “SenAll Kullanıcı Aydınlatma Metni”ndeki özet tablo aynı tarihte güncellenir ve iki belge arasında çelişki bulunması hâlinde KVK Sorumlusu çelişkiyi derhâl giderir.
14.3. Politika yılda en az bir kez ve ayrıca aşağıdaki hâllerde gözden geçirilerek güncellenir: ilgili mevzuatta veya Kurul kararlarında değişiklik olması; Platform’a yeni bir veri kategorisi, kayıt ortamı veya Altyapı Hizmet Sağlayıcısı eklenmesi; barındırma bölgesinin değişmesi; Platform’da tanımlı saklama sürelerinin değiştirilmesi; Ek-1’deki bir teknik işin tamamlanması; hukuk danışmanının “önerilen” süreler hakkındaki görüşünün alınması.
14.4. Politikanın her yeni sürümü sürüm numarası ve değişikliklerin özetiyle birlikte aşağıdaki tabloya işlenir. Yürürlükten kalkan sürümler, yürürlükten kalktıkları tarihten itibaren 3 (üç) yıl saklanır.
Sürüm: 1.0
Tarih: 01.10.2026
Değişiklik: İlk sürüm (taslak). Yönetim Kurulu veya yetkilendirilmiş Genel Müdür onayına ve hukuk danışmanının teyidine sunulacaktır.
Ek-1. Henüz Otomatik İmhası Bulunmayan Kategoriler ve Teknik Yapılacaklar
Aşağıdaki tablo, Politikanın güncelleme tarihi itibarıyla Platform’da süresi otomatik olarak uygulanmayan veri kategorilerini ve Politikanın tam olarak uygulanabilmesi için gereken teknik işleri gösterir. İşler tamamlanana kadar ilgili süreler Madde 11’deki periyodik imhada elle uygulanır. İşlerin planlanmasından ve tamamlanmasından Yazılım Geliştirme Sorumlusu, takibinden KVK Sorumlusu sorumludur.
No: T-01
Konu: Reddedilen başvurular
Mevcut durum (01.10.2026): Reddedilen başvuru, pasif ve ret tarihli bir başvuru kaydı olarak bağlı Hesabıyla birlikte süresiz kalır. Reddedilen başvuru arşivlenmediğinden, başvuru inceleme aşamasında yüklenmiş Şirket Evrakı da otomatik silinmez.
Yapılacak iş: Ret kararından 2 yıl sonra kaydı ve bağlı Hesapları silen veya anonim hâle getiren zamanlanmış iş; yeniden başvuruda sürenin yeniden başlatılması; reddedilen başvuruya ait Şirket Evrakı dosyalarının ret kararından 90 gün sonra otomatik silinmesi (ör. ret kararının evrak saklama hesabında arşiv tarihi gibi değerlendirilmesi).
İlgili satır: A2, B4
No: T-02
Konu: Başvuru kaynağı ve ölçüm verileri
Mevcut durum (01.10.2026): Kaynak yanıtı, kampanya parametreleri, yönlendiren site, başvuru akışı ve başvuru süresi alanları süresiz tutulur.
Yapılacak iş: Başvuru tarihinden 2 yıl sonra bu alanları boşaltan zamanlanmış iş.
İlgili satır: A3
No: T-03
Konu: Hesaplar
Mevcut durum (01.10.2026): Hesap silme veya anonim hâle getirme işlevi yoktur; pasif Hesaplar e-posta adresi ve şifre özetiyle süresiz kalır; Kullanıcı kendi Hesabının silinmesini Platform üzerinden talep edemez.
Yapılacak iş: Tek bir Hesabı anonim hâle getiren, yalnızca Root rolüne açık ve denetim kaydı yazan yönetim işlevi; pasife almadan 1 yıl sonra şifre özetinin rastgele ve kullanılamaz bir değerle değiştirilmesi ve bildirim e-posta tercihlerinin silinmesi; 10 yıl sonra e-posta adresinin, her Hesap için benzersiz kalacak kimliksiz bir değerle değiştirilmesi.
İlgili satır: A6, A10
No: T-04
Konu: E-posta ve SMS doğrulama kayıtları
Mevcut durum (01.10.2026): Kodların ve belirteçlerin geçerliliği sona erse de satırlar e-posta adresi, telefon numarası ve IP adresiyle süresiz kalır.
Yapılacak iş: Oluşturulmasından 30 gün sonra satırları silen zamanlanmış iş.
İlgili satır: A8
No: T-05
Konu: Şifre bağlantı kayıtları
Mevcut durum (01.10.2026): Kullanılmış ve süresi dolmuş bağlantı kayıtları süresiz kalır.
Yapılacak iş: Kullanım veya süre bitiminden 30 gün sonra silme.
İlgili satır: A9
No: T-06
Konu: Tekrarlanan istek koruma kayıtları
Mevcut durum (01.10.2026): İşlem anahtarları ve yanıt içerikleri süresiz tutulur.
Yapılacak iş: Oluşturulmasından 30 gün sonra silme.
İlgili satır: G5
No: T-07
Konu: Uygulama içi bildirimler
Mevcut durum (01.10.2026): Bildirimler silinmez, yalnızca listeden gizlenir; bazı hatırlatma ve bekleme kontrolleri bildirim kayıtlarını okumaktadır.
Yapılacak iş: Bu kontrollerin etkilenmediği doğrulandıktan sonra 1 yıldan eski bildirimleri silen zamanlanmış iş.
İlgili satır: F2
No: T-08
Konu: E-posta kuyruğu
Mevcut durum (01.10.2026): Gönderilen e-posta kayıtları süresiz kalır; kalıcı başarısız kayıtlar yalnızca Yönetim Panelinden elle silinir.
Yapılacak iş: Gönderilen kayıtların bildirim türüne göre ayrılması; hukuki sonuç doğuran bildirimlerin F3 satırındaki 10 yıllık süreye, diğer gönderilen kayıtların 1 yıl sonra, kalıcı başarısız kayıtların 30 gün sonra otomatik silinmesi.
İlgili satır: F3
No: T-09
Konu: Denetim kayıtları
Mevcut durum (01.10.2026): Temizlik yoktur. Bazı güvenlik kayıtlarında kayıt kimliği olarak e-posta adresi veya telefon numarası tutulur; Üye İşyeri bilgi güncellemelerinde işlem öncesi ve sonrası içerik, telefon ve vergi kimlik veya T.C. kimlik numarası dahil kaydın tamamını içerir; her Şirket Evrakı yüklemesinde ve geri çekilmesinde özgün dosya adı kayda yazılır; kayıtlı kart kaldırıldığında kartın ilk haneleri, son dört hanesi ve takma adı kayda yazılır; bu kayıtlar kalıcı silmeden sonra da kalır.
Yapılacak iş: Güvenlik ve erişim kayıtlarının 2 yıl sonra silinmesi; IP adreslerinin 2 yıl sonra maskelenmesi; kalıcı silmede ilgili kayıtlardaki kişisel verilerin maskelenmesi; evrak imhasında ilgili yükleme ve geri çekme denetim kayıtlarındaki dosya adının maskelenmesi; 10 yıl sonra silme.
İlgili satır: G1, G2, Madde 8.1
No: T-10
Konu: Hukuki metin onay kayıtları
Mevcut durum (01.10.2026): Temizlik yoktur; kalıcı silmeden sonra Kullanıcı kimliği, IP adresi ve tarayıcı bilgisiyle kalır.
Yapılacak iş: E3 satırındaki süreler sonunda silme.
İlgili satır: E3
No: T-11
Konu: Siparişler ve Kredi Geçmişi
Mevcut durum (01.10.2026): Ödeme Sağlayıcı kaydının kalıcı silinmesi, Siparişleri (fatura bilgileri dahil) ve Kredi Geçmişini de siler; bu durum TTK ve VUK’taki saklama süreleriyle çelişir.
Yapılacak iş: Kalıcı silmede bu kayıtların korunması (ör. kimliksiz bir arşiv kaydına bağlanması) veya E1 süresi dolmadan kalıcı silmenin engellenmesi; süre sonunda silme işi.
İlgili satır: E1
No: T-12
Konu: Kayıtlı kartlar
Mevcut durum (01.10.2026): Ödeme Sağlayıcı kaydı kalıcı silindiğinde kayıtlı kartlar Paywall’ın kart saklama altyapısından silinmez.
Yapılacak iş: Arşivleme veya kalıcı silme sırasında kayıtlı kartların Paywall’dan silinmesi.
İlgili satır: E2
No: T-13
Konu: Üyelik, profil, Talep, Teklif ve Anlaşma Sözleşmesi kayıtları
Mevcut durum (01.10.2026): Bu kayıtlar yalnızca Üye Kuruluşun tamamının kalıcı silinmesiyle silinir; kalıcı silme işlevi saklama sürelerini denetlemez; bir Üye İşyerinin kalıcı silinmesi Ödeme Sağlayıcıların Tekliflerini ve Anlaşma Sözleşmelerini de siler.
Yapılacak iş: Kayıt türü bazında süre dolumunu izleyen imha işi; saklama süresi dolmamış kayıtlar varken kalıcı silmede uyarı ve onay adımı; profil verilerinin üyelik sona erdikten 2 yıl sonra ayrıca silinebilmesi.
İlgili satır: A1, A4, C1, C2
No: T-14
Konu: Destek talepleri
Mevcut durum (01.10.2026): Konu, mesaj ve ekler süresiz tutulur; destek talepleri konu türüne göre ayrılmaz.
Yapılacak iş: Destek taleplerine konu kategorisi eklenmesi; ticari konulara ilişkin taleplerin ilgili takvim yılı sonundan itibaren 10 yıl, diğer taleplerin kapanıştan 2 yıl sonra kayıtları ve ekleriyle birlikte silinmesi.
İlgili satır: F1
No: T-15
Konu: Ekosistem
Mevcut durum (01.10.2026): Ürünler silinmez, arşivlenir; anlaşma kayıtları ve mesajlar süresiz tutulur.
Yapılacak iş: D1 ve D2 satırlarındaki süreleri uygulayan imha işi.
İlgili satır: D1, D2
No: T-16
Konu: Risk Skoru geçmişi
Mevcut durum (01.10.2026): Hesaplama ve düzeltme geçmişi süresiz tutulur.
Yapılacak iş: Üyeliğin sona ermesinden 2 yıl sonra silme.
İlgili satır: A5
No: T-17
Konu: Evrak saklama ayarları ve tekil imha
Mevcut durum (01.10.2026): Evrak saklama süreleri ayarını Root dışındaki yönetim rolleri de değiştirebilir; Şirket’in tek bir belgeyi süre dolmadan hemen imha etmesini sağlayan bir işlev yoktur.
Yapılacak iş: Ayarın yalnızca Root rolüne açılması; özel nitelikli kişisel veri içeren belgelerin hemen imhası için denetim kaydı yazan yönetim işlevi; belge yükleme ekranına din ve kan grubu bilgisi içeren eski tip nüfus cüzdanının yüklenmemesi veya bu bilgilerin karartılması gerektiğine ilişkin uyarı eklenmesi.
İlgili satır: B1 ile B3, Madde 7.4
No: T-18
Konu: Silinemeyen dosyalar
Mevcut durum (01.10.2026): Otomatik imhada ve kalıcı silmede depolamadan silinemeyen dosyalar yeniden denenmez.
Yapılacak iş: Depolamadaki dosyaları veritabanı kayıtlarıyla karşılaştırıp artık dosyaları silen düzenli iş.
İlgili satır: Madde 8.6
No: T-19
Konu: Yerel depolamadaki kaynak kaydı
Mevcut durum (01.10.2026): Kampanya parametrelerini ve yönlendiren siteyi tutan yerel depolama kaydının süresi yoktur ve başvuru gönderildikten sonra da silinmez.
Yapılacak iş: Kaydın başvuru gönderildiğinde silinmesi ve en fazla 30 gün tutulması (önerilen); “SenAll Platformu Çerez Politikası”nın buna göre güncellenmesi.
İlgili satır: H1
No: T-20
Konu: SMS hizmetinin test modu
Mevcut durum (01.10.2026): SMS sağlayıcısı test modunda çalışırken telefon numarası ve doğrulama kodu sunucu çalışma kayıtlarına yazılır; canlı ortamdaki ayar doğrulanmamıştır.
Yapılacak iş: Canlı ortamda test modunun kullanılmadığının doğrulanması; doğrulama kodunun çalışma kayıtlarına yazılmaması.
İlgili satır: G6
No: T-21
Konu: Trafik bilgisi
Mevcut durum (01.10.2026): Tüm isteklere ait trafik bilgisi Şirket’in kendi kayıt ortamında tutulmaz; barındırma kayıtları kısa sürelidir ve yurt dışındadır.
Yapılacak iş: Madde 13’teki değerlendirmenin sonucuna göre kayıtların Şirket’in kontrolündeki bir ortama aktarılması, 2 yıl sonra otomatik silinmesi ve erişimin sınırlandırılması.
İlgili satır: G1, G6
No: T-22
Konu: Google Analytics
Mevcut durum (01.10.2026): Sayfa yolu, sorgu dizesinin tamamıyla gönderilir; şifre belirleme bağlantısındaki belirteç ve kampanya parametreleri de bu kapsamda iletilebilir. Hizmetteki saklama süresi ayarı doğrulanmamıştır.
Yapılacak iş: Gizli parametrelerin gönderimden çıkarılması; saklama süresinin hizmette seçilebilen en kısa değere ayarlanması.
İlgili satır: H2
No: T-23
Konu: Alan düzeyinde şifreleme
Mevcut durum (01.10.2026): T.C. kimlik numarası, vergi kimlik numarası, telefon numarası ve fatura bilgileri veritabanında düz metin olarak tutulur.
Yapılacak iş: Alan düzeyinde şifreleme ihtiyacının değerlendirilmesi ve uygun görülürse uygulanması.
İlgili satır: Madde 7.2
No: T-24
Konu: Zamanlanmış işlerin izlenmesi
Mevcut durum (01.10.2026): Eylül 2026’da tetikleyici hizmetin kullanım kotası dolduğu için zamanlanmış işler yaklaşık bir hafta çalışmamıştır.
Yapılacak iş: İşlerin çalışmadığı dönemleri otomatik olarak bildiren bir uyarı mekanizması.
İlgili satır: Madde 11.4
No: T-25
Konu: İmha kayıtları
Mevcut durum (01.10.2026): Sahipsiz logo dosyalarının otomatik silinmesinde denetim kaydı yazılmaz, yalnızca işin çalışma özeti oluşur; hız sınırlama sayaçları istekler sırasında kayıt bırakılmadan silinir.
Yapılacak iş: Otomatik imha işlerinin özet sonuçlarının imha kaydı olarak en az 3 yıl saklanması; periyodik imha tutanağı şablonunun hazırlanması.
İlgili satır: G3
No: T-26
Konu: Yedekler ve geri yükleme
Mevcut durum (01.10.2026): Veritabanı ve dosya depolama hizmetlerindeki geri yükleme süresi Politikada belirlenmemiştir; imha edilmiş verilerin geri yüklemeden sonra yeniden imhası için bir araç yoktur.
Yapılacak iş: Geri yükleme süresinin belirlenerek Politikaya işlenmesi; imha kayıtlarını esas alarak geri yüklenen verileri yeniden imha eden betik.
İlgili satır: G7, Madde 8.7
No: T-27
Konu: Anlaşma Sözleşmesi PDF’lerinin değiştirilmesi
Mevcut durum (01.10.2026): Yeni PDF yüklendiğinde önceki PDF depolamadan hemen silinir; yürürlükteki sözleşmede de iki taraf bunu yapabilir.
Yapılacak iş: Önceki PDF’lerin sürüm olarak saklanması ve C2 süresine tabi tutulması; değiştirme işleminin denetim kaydına yazılması.
İlgili satır: C2
No: T-28
Konu: Kıyaslama istatistiklerinin eşiği
Mevcut durum (01.10.2026): Kıyaslama istatistiği en az 3 farklı Talep bulunduğunda gösterilir; farklı Üye İşyeri sayısı aranmaz.
Yapılacak iş: Eşiğin farklı Üye İşyeri sayısına göre de uygulanması ihtiyacının değerlendirilmesi ve uygun görülürse uygulanması.
İlgili satır: C1, Madde 8.3
SenAll · Kişisel Veri Saklama ve İmha Politikası · Sürüm 1.0 · Taslak tarihi 01.10.2026
