KVKK AYDINLATMA METNİ VE GİZLİLİK POLİTİKASI
Son güncelleme: 21.10.2026
Bu metin, ISPM-15 Fırın Veri Kayıt Ağı ("Sistem") kapsamında kişisel verilerinizin nasıl işlendiğini 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m. 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca açıklar.
1. Kim olduğumuz ve rolümüz
Sistem, yazılımın geliştiricisi ve hak sahibi Erdem Hacısalihoğlu (adres: Baroper Straße 335, 44227 Dortmund, Deutschland; e-posta: [email protected]) tarafından sunulur ve bu metinde "biz" olarak anılır. Portali biz barındırır, işletir, bakımını ve yedeklemesini yaparız.
İki ayrı rolümüz vardır:
- Veri sorumlusu olarak: Müşterilerimizin hesap, iletişim, lisans ve ödeme bilgilerini ve Portalin güvenliği için tuttuğumuz kayıtları kendi adımıza işleriz. Bu metin öncelikle bu verileri anlatır.
- Veri işleyen olarak: Müşterilerimizin Sisteme gönderdiği parti kayıtları, raporlar, fotoğraf ve videolar müşterimiz adına işlenir. Bu verilerin veri sorumlusu fırını işleten firmadır. Bu verilerle ilgili başvurularınızı öncelikle o firmaya yapmanız gerekir; bize ulaşan başvurular ilgili firmaya iletilir.
2. Hangi kişisel verileri işliyoruz?
| Kategori | Veriler | Kimden |
|---|---|---|
| Kimlik ve iletişim | Firma unvanı, yetkili adı, kullanıcı adı, e-posta adresi, telefon | Müşteri yetkilisi, kullanıcılar |
| Hesap güvenliği | Şifre özeti, iki adımlı doğrulama bilgisi, kurtarma kodu özetleri, giriş zamanları, hatalı giriş denemeleri | Kullanıcılar |
| İşlem güvenliği | IP adresi, tarayıcı bilgisi, yapılan işlem ve zamanı (istek ve yönetim günlükleri) | Portal kullanımı |
| Cihaz ve kurulum | Bilgisayar adı, cihaz kimliği, işletim sistemi, uygulama sürümü, IP adresi, uygulama hata ve çalışma kayıtları | Masaüstü Uygulama |
| Müşteri işlem | Lisans şartları, kurulum sayısı, saklama hakkı, ödeme tutarı ve tarihi, ödeme referans numarası | Müşteri, ödeme kuruluşu |
| Parti kayıtları (müşteri adına) | Isıl işlem ölçümleri, üretici firma unvanı, fırın adresi, vergi/T.C. kimlik no, ısıl işlem operatörü adı ve sertifika no | Müşterinin Uygulamaya girdiği bilgiler |
| Görsel kayıtlar (müşteri adına) | Fırın kamerası videoları ve fotoğraflar; bunlarda görünen kişilerin görüntüsü | Müşterinin kamerası |
Kart bilgileriniz bize ulaşmaz. Online ödemeler ödeme kuruluşunun (Stripe) sayfasında yapılır, biz yalnızca ödemenin sonucunu ve referans numarasını saklarız. Özel nitelikli kişisel veri (sağlık, biyometrik vb.) işlemeyiz.
3. Hangi amaçlarla ve hangi hukuki sebeplerle işliyoruz?
| Amaç | Hukuki sebep (KVKK m. 5/2) |
|---|---|
| Hesap açılması, Portale giriş, lisans ve kurulumların yönetimi, hizmetin sunulması | (c) Sözleşmenin kurulması ve ifası |
| Şifre sıfırlama, e-posta doğrulama, hizmet ve güvenlik bildirimleri | (c) Sözleşmenin ifası; (f) meşru menfaat |
| Hesap ve sistem güvenliği, saldırıların ve kötüye kullanımın önlenmesi, işlem kayıtlarının tutulması | (ç) Hukuki yükümlülük (KVKK m. 12 veri güvenliği yükümlülüğü); (f) meşru menfaat |
| Hata giderme, uygulama güncellemelerinin dağıtımı, hizmet kalitesinin izlenmesi | (f) Meşru menfaat |
| Ödemelerin alınması, faturalama, muhasebe | (c) Sözleşmenin ifası; (ç) hukuki yükümlülük (VUK, TTK) |
| Uyuşmazlıklarda hakların korunması, yetkili makamların taleplerinin karşılanması | (e) Bir hakkın tesisi, kullanılması veya korunması; (ç) hukuki yükümlülük |
| Parti kayıtları ve görsel kayıtların saklanması (müşteri adına) | Müşterimizin belirlediği hukuki sebep; ISPM-15 izlenebilirliği |
Kişisel verilerinizi pazarlama, profilleme ya da reklam amacıyla kullanmayız, satmayız. Otomatik karar alma ya da yüz tanıma yapmayız.
4. Nasıl topluyoruz?
Veriler; kayıt ve giriş formları, Portal ekranları, masaüstü Uygulamanın Portale gönderdiği kayıtlar, Uygulamanın bağlı olduğu fırın kamerası, ödeme kuruluşunun bildirimleri ve Portalin işleyişi sırasında oluşan sunucu kayıtları aracılığıyla elektronik ortamda, otomatik ya da kısmen otomatik yollarla toplanır.
5. Kimlere aktarıyoruz?
- Hizmet sağlayıcılara (alt işleyenlerimiz): sunucu barındırma (Kebirhost Internet Services LTD. (KKTC)), dosya depolama, e-posta gönderimi (Kullanılmıyor; e-postalar barındırma sunucusundan gönderilir.), Cloudflare (ters vekil sunucu / proxy, ağ ve bot koruması), ödeme hizmeti (Stripe) ve varsa Yetkili Çözüm Ortağı (kurulum). Yalnızca hizmetin gerektirdiği ölçüde ve gizlilik yükümlülüğüyle, yukarıdaki tabloda gösterilen amaç ve hukuki sebeplerle aktarılır.
- Müşteri firmaya: Firmanız adına açılmış hesaplarla ilgili işlem kayıtları ilgili firmanın yetkililerince görülebilir.
- Yetkili kurum ve kuruluşlara: Kanunen yetkili kamu kurumları ve mahkemelerin talebi halinde, hukuki yükümlülük kapsamında.
- Rapor bağlantısını bilenlere: PDF raporlardaki karekod, parti raporunun salt okunur bir sayfasına açılır. Bu sayfada raporda yazan bilgiler (üretici firma, fırın adresi, operatör adı, vergi no vb.) görünür. T.C. kimlik numarası bu sayfada maskelenir (ör. 123******01); sayfadan açılan PDF raporda ise tam haliyle yer alır. Bu, ISPM-15 ürünlerinin denetiminde izlenebilirlik için gereklidir.
Hizmet sağlayıcılar ve yurt dışına aktarım:
| Sağlayıcı | İşlediği veriler | Amaç | Konum |
|---|---|---|---|
| Cloudflare, Inc. | Portale gönderilen bütün istekler (giriş bilgileri, parti kayıtları, yüklenen dosyalar), IP adresi, tarayıcı bilgisi, istek kayıtları ve bot tespiti için güvenlik sinyalleri | İletim (HTTPS), önbellekleme, saldırı ve bot koruması (WAF, Turnstile) | ABD; yurt içi ve yurt dışındaki sunucular |
| Sunucu barındırma | Portal veritabanı ve dosyalar | Hizmetin sunulması ve saklama | Kebirhost Internet Services LTD. (KKTC) |
| E-posta gönderimi | E-posta adresi, ad, e-posta içeriği | Doğrulama, şifre sıfırlama ve bildirim e-postaları | Kullanılmıyor; e-postalar barındırma sunucusundan gönderilir. |
| Stripe | Ödeme yapan müşterinin adı, e-posta adresi, ödeme tutarı (kart bilgisi bize ulaşmaz) | Online ödemelerin alınması (ödemeler bizim Stripe hesabımıza alınır) | İrlanda / ABD |
- Almanya'dan erişim: Biz Almanya'da bulunduğumuzdan, Portal verilerine bakım, destek ve yedekleme için Almanya'dan erişmemiz de yurt dışına aktarımdır.
- Veri işleyen sözleşmesi: Bu sağlayıcılar veri işleyen sıfatıyla, yalnızca bizim talimatımız ve yukarıdaki amaçlarla işlem yapar. Her biriyle KVKK m. 12 uyarınca yazılı veri işleme sözleşmesi (DPA) yapılmıştır.
- Cloudflare'in Türkiye'deki sunucuları: İstekler çoğunlukla Cloudflare'in Türkiye'deki sunucularında karşılansa da istek kayıtları, güvenlik ve bot tespiti verileri Cloudflare'in yurt dışındaki (ağırlıklı olarak ABD ve AB) altyapısında işlenir ve bir istek her zaman yurt dışındaki bir sunucudan geçebilir. Bu nedenle Cloudflare'e yapılan aktarım da yurt dışına aktarım sayılır.
- Sunucu barındırma: Portal sunucusu Kebirhost Internet Services LTD. (Kuzey Kıbrıs Türk Cumhuriyeti) tarafından barındırılır. KKTC, KVKK bakımından yurt dışı sayıldığından bu da yurt dışına aktarımdır. Kebirhost'un verileri nasıl işlediği, aldığı güvenlik önlemleri ve yurt dışına aktarımda sağladığı güvenceler Kebirhost Gizlilik Politikasında yer alır.
- E-posta gönderimi: E-posta gönderim sağlayıcımız Türkiye dışında bulunuyorsa ona yapılan aktarım da yurt dışına aktarımdır.
- Cloudflare'e aktarımın güvenceleri: Cloudflare'in verileri hangi amaçla ve nasıl işlediği, aldığı güvenlik önlemleri, alt işleyenleri ve yurt dışına aktarımda sağladığı güvenceler (standart sözleşme maddeleri dahil) Cloudflare Müşteri Veri İşleme Sözleşmesinde (Customer DPA) yer alır. Cloudflare verileri bu sözleşmeye göre işler.
- Stripe'a aktarımın güvenceleri: Online ödeme yapan müşterilerin ödeme bilgileri Stripe'a (Stripe Payments Europe Ltd., İrlanda; Stripe, Inc., ABD) iletilir. İrlanda AB üyesidir ancak Kurulca yeterlilik kararı verilmediğinden bu da yurt dışına aktarımdır. Stripe'ın verileri nasıl işlediği, güvenlik önlemleri, alt işleyenleri ve yurt dışına aktarımda sağladığı güvenceler (standart sözleşme maddeleri dahil) Stripe Veri İşleme Sözleşmesinde (DPA) yer alır. Stripe, dolandırıcılığın önlenmesi ve kendi yasal yükümlülükleri (ör. kara para aklamanın önlenmesi) için bazı verileri kendi adına veri sorumlusu olarak işler; bu işlemler Stripe Gizlilik Politikasına tabidir.
- Diğer sağlayıcılara aktarımın dayanağı: Kurulca yeterlilik kararı verilmemiş ülkelere aktarım, KVKK m. 9/4 (c) uyarınca Kurulca ilan edilen standart sözleşme imzalanarak ve imzadan itibaren beş iş günü içinde Kuruma bildirilerek yapılır. Süreklilik arz eden bu aktarımlar için açık rızaya dayanılmaz.
6. Ne kadar süre saklıyoruz?
| Veri | Süre |
|---|---|
| Hesap bilgileri | Hesap açık olduğu sürece; hizmet sona erince en geç 30 gün içinde silinir |
| İstek (etkinlik) günlüğü: IP, tarayıcı, işlem | 90 gün |
| Uygulama telemetrisi | 90 gün |
| Yönetim günlüğü (personel ve sistem işlemleri) | Hizmet süresince ve sona ermesinden itibaren 10 yıl |
| Lisans, ödeme ve fatura kayıtları | 10 yıl (VUK, TTK); hesap silinse de bu süre boyunca saklanır |
| Parti kayıtları ve PDF raporlar (müşteri adına) | Hizmet ilişkisi süresince ve oluşturulmalarından itibaren en az 3 yıl (mevzuat ya da ISPM-15 denetimleri daha uzun süre öngörüyorsa o süre); müşterinin yazılı talebiyle daha erken silinir |
| Video ve fotoğraflar (müşteri adına) | Müşterinin lisansındaki saklama süresi; süresi dolanlar otomatik silinir |
| Yedekler | Son 14 yedek; eskileri otomatik silinir |
Süresi dolan veriler silinir ya da anonim hale getirilir.
7. Verilerinizi nasıl koruyoruz?
Bağlantılar HTTPS ile şifrelenir ve Cloudflare proxy'si üzerinden geçer. Şifreler geri döndürülemez özet (scrypt) olarak saklanır. Hassas anahtarlar AES-256-GCM ile şifrelenir. Personel için iki adımlı doğrulama zorunludur. Rol bazlı erişim, hatalı girişte hesap kilidi, bot koruması, düzenli yedekleme ve yönetim işlemlerinin kaydı gibi teknik ve idari tedbirler uygulanır.
8. Çerezler ve tarayıcı depolama
Portal yalnızca çalışması için zorunlu çerezleri kullanır: giriş yaptığınızı tanıyan oturum çerezi ve korumalı videoların oynatılması için kısa ömürlü erişim çerezi. Tema ve görünüm tercihleri yalnızca tarayıcınızda saklanır, bize gönderilmez. Cloudflare, ağın güvenliği için bütün sayfalarda kendi zorunlu güvenlik çerezlerini (ör. bot ayrımı için kısa ömürlü çerezler) kullanabilir; bot koruması (Cloudflare Turnstile) giriş, kayıt ve şifre sıfırlama formlarında çalışır. Bu çerezler hizmetin sunulması ve güvenliği için zorunlu olduğundan açık rıza aranmaz. Reklam, analitik ya da takip çerezi kullanılmaz.
9. Haklarınız (KVKK m. 11)
Bize başvurarak şu haklarınızı kullanabilirsiniz:
- Kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme;
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme;
- Yurt içinde ve yurt dışında aktarıldığı üçüncü kişileri bilme;
- Eksik veya yanlış işlenmişse düzeltilmesini, KVKK m. 7 şartlarıyla silinmesini veya yok edilmesini isteme ve bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme;
- Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etme;
- Kanuna aykırı işleme nedeniyle zarara uğramanız halinde zararın giderilmesini talep etme.
Başvuru yolu: Başvurunuzu e-posta ile [email protected] adresine iletin. Başvuruyu sistemimizde kayıtlı e-posta adresinizden gönderebilir ya da güvenli elektronik imza veya mobil imza ile imzalayabilirsiniz (Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m. 5). Kayıtlı e-posta adresiniz yoksa kimliğinizi doğrulamak için ek bilgi isteyebiliriz. KVKK m. 13 gereği yazılı başvuru hakkınız saklıdır. Başvurunuzda adınız soyadınız, yazılı başvuruda imzanız, T.C. kimlik numaranız (yabancıysanız uyruğunuz ve pasaport ya da kimlik numaranız), tebligata esas adresiniz, varsa e-posta adresiniz ve telefon numaranız ile talebinizin konusu bulunmalıdır. Başvurunuz en geç 30 gün içinde ücretsiz sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi halinde Kurulca belirlenen tarife uygulanabilir. Başvurunuz reddedilir, verilen cevabı yetersiz bulursanız ya da süresinde cevap verilmezse, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilirsiniz (KVKK m. 14).
Parti kayıtları ve kamera görüntüleri gibi müşterimiz adına işlenen veriler için başvurunuzu ilgili firmaya yapınız. Bize ulaşırsa gecikmeden o firmaya iletilir ve gerekli işlemler için firmaya destek olunur.
10. Değişiklikler
Bu metin mevzuat ya da Sistemdeki değişikliklere göre güncellenebilir. Güncel metin her zaman https://ispm15.tr/legal adresinde yayımlanır. Önemli değişiklikler müşterilere ayrıca bildirilir.