Türkiyemin.com Gizlilik ve Bilgi Güvenliği Politikası

Veri Sorumlusu: TÜRKİYEMİN TEKNOLOJİ SANAYİ VE TİCARET ANONİM ŞİRKETİ ("Türkiyemin", "Platform" ya da "Şirket")

MERSİS No: 0879144152300001

Vergi Dairesi / No: GAZİOSMANPAŞA / 8791441523

Adres: 5. Levent Mah. 15 Temmuz Şehitler Cad. E Blok No: 14/13 Eyüpsultan / İstanbul

Telefon: 0850 307 99 60 · KEP: turkiyemin@hs01.kep.tr

E-posta: kvkk@turkiyemin.com · yasal@turkiyemin.com · iletisim@turkiyemin.com

İnternet Sitesi: www.turkiyemin.com

Yürürlük Tarihi: [●] | Son Güncelleme: [●] | Sürüm: [●]

1. Amaç ve Kapsam

Bu Politika, www.turkiyemin.com internet sitesi ve Türkiyemin mobil uygulamaları (birlikte "Platform") üzerinden eriştiğimiz kişisel verileri hangi anlayışla koruduğumuzu, bu verilerin gizliliği ve güvenliği için hangi teknik ve idari tedbirleri aldığımızı kullanıcılarımıza anlatmak için hazırlandı. Kapsamına; ziyaretçiler, üyeler, alıcılar ile Platform üzerinden işlem yapan satıcıların irtibat kişileri, kısacası Platformla teması bulunan tüm gerçek kişiler girer.

Türkiyemin, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun anlamında elektronik ticaret aracı hizmet sağlayıcı, 5651 sayılı Kanun anlamında ise yer sağlayıcıdır. Kural olarak satıcı ile alıcı arasındaki mesafeli satış sözleşmesinin tarafı değiliz; bu ilişkide aracılık hizmeti veririz. Bununla birlikte kendi sistemlerimiz üzerinden işlediğimiz kişisel veriler bakımından veri sorumlusu sıfatını taşırız. Bu Politika öncelikle verilerin güvenliğine, yani 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 12. maddesindeki yükümlülüklere odaklanır; işleme şartlarının (m.4-6), aydınlatma yükümlülüğünün (m.10) ve her bir işlemenin hukuki sebebinin ayrıntısı ise Aydınlatma Metni'nin konusudur.

Bu metin tek başına okunmak için yazılmadı. Platformda yayımlanan Aydınlatma Metni, Çerez Politikası ve Açık Rıza Metni ile birlikte bir bütün oluşturur. Verilerinizin hangi amaçla ve hangi hukuki sebebe dayanılarak işlendiğini ve haklarınızın ayrıntısını Aydınlatma Metni'nde; çerezler ve benzeri izleme teknolojilerini Çerez Politikası'nda; yalnızca açık rıza gerektiren işlemleri ise Açık Rıza Metni'nde bulursunuz. Zorunlu olmayan çerezleri yalnızca açık rızanıza dayanarak çalıştırırız; bunun ayrıntısı Çerez Politikası'ndadır.

2. Gizlilik Taahhüdümüz

Türkiyemin'de kişisel verinin korunması, hizmete sonradan eklenen bir özellik değil, işi nasıl yürüttüğümüzü belirleyen bir esastır. Aşağıdaki ilkeleri bu nedenle benimsedik:

• Hukuka ve dürüstlük kurallarına uygunluk. Kişisel verilerinizi yalnızca mevzuatın izin verdiği sınırlar içinde ve size açıkladığımız amaçlarla işleriz. Beyan ettiğimiz amaçların dışında gizli ya da örtülü bir kullanıma gitmeyiz.
• Amaçla bağlılık ve veri minimizasyonu. Bir amaca ulaşmak için gerekenden fazlasını toplamayız; topladığımızı o amaçla sınırlı tutar, amaç ortadan kalktığında saklamayı sürdürmeyiz.
• Doğruluk ve güncellik. Verilerinizin doğru ve güncel kalması için gerekli mekanizmaları kurar, talebiniz üzerine düzeltiriz.
• Süreyle sınırlı saklama. Verileri, mevzuatın öngördüğü ya da işleme amacının gerektirdiği süre kadar saklarız. Süre dolduğunda saklama, silme ve imha politikamız uyarınca güvenli biçimde sileriz, yok eder ya da anonim hâle getiririz.
• Şeffaflık. Hangi verinin hangi amaçla işlendiğini saklamayız; bunu bu Politika ve Aydınlatma Metni aracılığıyla açıkça ortaya koyarız.
• Rızanın bağımsızlığı. Rızayı hizmetin koşulu hâline getirmeyiz. Üyelik onayı ile açık rızayı ve ticari ileti onayını birbirinden ayrı, ayrı ayrı alırız; birini vermemeniz diğerini etkilemez.
• Tasarımdan itibaren gizlilik. Yeni bir ürün, özellik ya da iş süreci tasarlarken kişisel verinin korunmasını baştan gözetir, gerektiğinde veri koruma etki değerlendirmesi yaparız.

Bunlar yalnızca bir niyet beyanı olarak kalmaz. Aşağıda anlatılan teknik ve idari tedbirler ile kurum içi sorumluluk yapımız, sözü edilen ilkeleri ayakta tutar.

3. Hangi Verileri Neden İşliyoruz? (Üst Düzey Özet)

Aşağıdaki tablo, Platformda işlenen başlıca veri kategorilerini ve bunların hangi temel amaçla işlendiğini özet olarak gösterir. Her işlemenin hukuki sebebi, ayrıntılı amaçları, saklama süreleri ve aktarım çerçevesi bu Politikanın değil, Aydınlatma Metni'nin konusudur; eksiksiz bilgi için oraya başvurmanızı öneririz.

Ödeme işlemleri; lisanslı ödeme ve elektronik para kuruluşları ile bankalar [●] aracılığıyla yürütülür. Kart numarası, son kullanma tarihi ve güvenlik kodu gibi hassas ödeme verileri Türkiyemin sistemlerinde tutulmaz. Bu veriler doğrudan ilgili ödeme kuruluşunun PCI-DSS standartlarına uygun altyapısında işlenir.

4. Bilgi Güvenliği Tedbirleri

Türkiyemin, KVKK'nın 12. maddesi gereğince işlediği kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri alır. Aldığımız tedbirleri, Kişisel Verileri Koruma Kurulu'nun yayımladığı Kişisel Veri Güvenliği Rehberi ile uyumlu olacak biçimde belirler; değişen tehdit ortamına göre düzenli olarak gözden geçiririz.

4.1. Teknik Tedbirler

• İletişimin şifrelenmesi (SSL/TLS). Platform ile cihazınız arasındaki tüm veri trafiği güncel SSL/TLS protokolleriyle şifrelenerek aktarılır. Böylece verileriniz, iletim sırasında üçüncü kişilerce okunmaya ve değiştirilmeye karşı korunur.
• Durağan verinin şifrelenmesi. Kritik veri alanları, sektörde kabul gören güçlü şifreleme yöntemleriyle korunarak saklanır. Parolalar geri döndürülemez (özet/hash) biçimde tutulur; hiçbir zaman açık metin olarak saklanmaz.
• Erişim ve yetki kontrolü. Kişisel verilere erişim, "bilme gereği" ve "kullanma gereği" ilkelerine göre yalnızca görevi gereği erişmesi gereken personelle sınırlıdır. Rol bazlı yetkilendirme uygularız; kritik sistemlerde çok faktörlü kimlik doğrulama kullanırız. Görev değişikliği ya da işten ayrılma hâlinde yetkiler gecikmeksizin güncellenir veya kaldırılır.
• Ağ ve sistem güvenliği. Güvenlik duvarları, saldırı tespit ve önleme sistemleri, ağ bölümleme ve zararlı yazılıma karşı koruma çözümleri kullanılır; sistemler güncel güvenlik yamalarıyla bakımlı tutulur.
• Sızma testi ve güvenlik denetimi. Platform altyapısı, düzenli aralıklarla ve esaslı her değişikliğin ardından sızma testlerine (penetration test) ve zafiyet taramalarına tabi tutulur. Çıkan bulgular önceliklendirilerek giderilir.
• Kayıt (log) tutma. Sistem ve uygulama hareketleri ile veriye erişim, izlenebilirlik ve ispat amacıyla loglanır. Loglar, yetkisiz erişime ve değiştirmeye karşı korunur ve mevzuatın öngördüğü süreyle saklanır; 5651 sayılı Kanun kapsamındaki yer sağlayıcı yükümlülüklerine ilişkin trafik bilgileri de bu kapsamda muhafaza edilir.
• Yedekleme ve süreklilik. Verilerin kaybına karşı düzenli yedek alınır; yedekler de erişim kontrolü ve şifreleme ile korunur. İş sürekliliği ve felaketten kurtarma planlarımız, bir kesinti hâlinde hizmetin ve verinin bütünlüğünü ayakta tutmayı hedefler.
• Veri minimizasyonu ve tasfiye. Sistemler, gerekenden fazla veri toplamayacak biçimde tasarlanır; amacı ortadan kalkan veriler, saklama ve imha politikası uyarınca güvenli yöntemlerle silinir, yok edilir ya da anonimleştirilir.

4.2. İdari Tedbirler

• Kişisel veri envanteri ve süreç yönetimi. İşlenen veriler, amaçları ve aktarımları kayıt altına alınır; süreçler düzenli olarak gözden geçirilir.
• Politika ve prosedürler. Bilgi güvenliği, erişim yönetimi, saklama-imha ve veri ihlali müdahalesi için yazılı politika ve prosedürler oluşturulur, güncel tutulur.
• Gizlilik yükümlülüğü ve farkındalık. Kişisel verilere erişimi olan her çalışan gizlilik taahhüdü altındadır; düzenli olarak veri koruma ve bilgi güvenliği eğitimi alır.
• Tedarikçi ve iş ortağı yönetimi. Veri işleyen sıfatıyla hizmet aldığımız tedarikçilerle KVKK'ya uygun yazılı sözleşmeler imzalanır. Bu sözleşmeler, tedarikçiden en az Türkiyemin'in sağladığı düzeyde güvenlik tedbiri almasını ve veriyi yalnızca talimat doğrultusunda işlemesini ister.
• Denetim. Aldığımız teknik ve idari tedbirlerin işlerliği, iç denetimle ve gerektiğinde bağımsız dış denetimle gözden geçirilir.

Hiçbir teknik altyapının mutlak güvenliği vaat edemeyeceğini biliriz. Güvenliği bu yüzden tek seferlik bir önlem olarak değil, sürekli izlenen ve iyileştirilen bir süreç olarak ele alırız.

5. Veri İhlali Bildirim Yaklaşımımız

Kişisel verilerin hukuka aykırı biçimde başkalarınca elde edildiğini tespit edersek, KVKK'nın 12. maddesinin beşinci fıkrası ile Kişisel Verileri Koruma Kurulu'nun ilgili kararları çerçevesinde hareket ederiz.

Bu kapsamda:

1. İhlal şüphesini alır almaz, olayın kapsamını ve etkisini sınırlamak için acil müdahale ve sınırlandırma önlemlerini devreye alırız.

2. İhlal, öğrenildiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde, Kurul'un belirlediği usule uygun olarak Kurul'a bildirilir.

3. İhlalden etkilenen ilgili kişilere, uygun yöntemlerle ve makul olan en kısa sürede bilgi verilir. Bu bilgilendirme; ihlalin niteliğini, olası sonuçlarını ve etkilerin azaltılması için alınan ya da alınması önerilen tedbirleri içerir.

4. İhlalin kök nedeni incelenir, kayda geçirilir ve benzer olayların yinelenmemesi için gerekli iyileştirmeler yapılır.

Bir veri ihlali şüphesi veya güvenlik açığı fark ederseniz kvkk@turkiyemin.com ya da yasal@turkiyemin.com adresleri üzerinden bize ulaşabilirsiniz. Bildirimlerinizi, sorumlu güvenlik açığı bildirimi anlayışıyla değerlendiririz.

6. Çocukların Verileri

Platform, on sekiz yaşından küçüklere yönelik bir hizmet sunmaz ve bilerek çocuklardan kişisel veri toplamaz. Üyelik ve işlem süreçleri, ergin (reşit) kişilerin kullanımı esas alınarak tasarlanmıştır.

Velisi ya da yasal temsilcisi olduğunuz bir çocuğa ait kişisel verinin, gerekli rıza veya onay olmadan Platforma iletildiğini düşünüyorsanız kvkk@turkiyemin.com adresinden bize yazabilirsiniz. Böyle bir tespit hâlinde söz konusu veriler, mevzuatın öngördüğü saklama yükümlülükleri saklı kalmak kaydıyla gecikmeksizin silinir ya da yok edilir.

7. Üçüncü Taraflara Aktarım (Üst Başlık)

Türkiyemin, kişisel verilerinizi yalnızca bu Politikada ve Aydınlatma Metni'nde açıklanan amaçlarla, ilgili hukuki sebebe dayanarak ve gerekli güvenlik tedbirlerini alarak paylaşır. Aktarım, hiçbir hâlde verinin "satılması" anlamına gelmez.

Satıcılarla ilişki. Platform ile satıcılar, kural olarak birbirinden bağımsız ayrı veri sorumlusudur; aralarında ortak veri sorumluluğu kurulmaz. Bir siparişin gerçekleşmesi için zorunlu olan alıcı bilgileri (örneğin teslimat adı ve adresi), ilgili satıcıyla yalnızca siparişin ifası ve faturalandırma amacıyla ve bununla sınırlı olarak paylaşılır. Satıcı; kendisine aktarılan bu verileri yalnızca teslimat ve fatura yükümlülükleri için kullanmayı, kendi pazarlama faaliyetlerinde kullanmamayı, aksine davranışı bakımından cezai şart dahil sorumluluğu üstlenmeyi imzaladığı veri taahhütnamesi ile kabul eder.

Hizmet sağlayıcılar. Kargo ve lojistik firmaları, ödeme ve elektronik para kuruluşları ile bankalar, bilgi teknolojileri ve barındırma sağlayıcıları, çağrı merkezi ve müşteri destek tedarikçileri gibi taraflarla, hizmetin gerektirdiği ölçüde ve veri işleyen sıfatıyla bağlandıkları sözleşmeler çerçevesinde paylaşım yapılabilir.

Yetkili kurum ve kuruluşlar. Mahkemelerin, savcılıkların ve kanunen yetkili kamu kurumlarının usulüne uygun talepleri ile yasal yükümlülüklerin yerine getirilmesi kapsamında aktarım yapılabilir.

Yurt dışına aktarım. Türkiyemin, kişisel verileri kural olarak Türkiye'de barındırır ve işler. Yurt dışına aktarımın gerektiği hâllerde aktarım, 7499 sayılı Kanun ile değişik KVKK'nın 9. maddesi çerçevesinde yürütülür. Aktarım öncelikle, ilgili ülke, sektör ya da uluslararası kuruluş hakkında Kurul tarafından verilmiş bir yeterlilik kararına dayanır. Böyle bir karar yoksa aktarım; taraflar arasında standart sözleşmenin imzalanması, bağlayıcı şirket kurallarının (BCR) bulunması veya yazılı bir taahhütname ile uygun güvencelerin sağlanması koşuluyla yapılır. İmzalanan standart sözleşme, imza tarihinden itibaren beş iş günü içinde Kurul'a bildirilir. Bu güvencelerin hiçbiri sağlanamıyorsa aktarım, ancak Kanun'un 9. maddesinin altıncı fıkrasında sayılan arızi hâllerin (örneğin ilgili kişinin açık rızası, sözleşmenin ifası veya üstün kamu yararı gibi sınırlı sayıdaki durumların) varlığında mümkündür. Yurt dışı aktarımın ayrıntılı çerçevesi Aydınlatma Metni'nde açıklanmıştır.

8. Haklarınız ve Başvuru

KVKK'nın 11. maddesi uyarınca; kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik ya da yanlış işlenmiş verilerin düzeltilmesini, Kanun'da öngörülen şartlar çerçevesinde silinmesini ya da yok edilmesini ve bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç doğmasına itiraz etme ve verilerin hukuka aykırı işlenmesi yüzünden zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz.

Taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de öngörülen yöntemlerle ve Platformda yayımlanan başvuru formu aracılığıyla iletebilirsiniz. Başvurularınızı; 5. Levent Mah. 15 Temmuz Şehitler Cad. E Blok No: 14/13 Eyüpsultan / İstanbul adresine yazılı olarak, turkiyemin@hs01.kep.tr KEP adresimize ya da kvkk@turkiyemin.com üzerinden, Tebliğ'de belirtilen koşullarla yapabilirsiniz. Talepleriniz, niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirdiği hâllerde Kurul'ca belirlenen tarifedeki ücret alınabilir.

9. Politikada Yapılacak Değişiklikler

Türkiyemin; mevzuattaki gelişmeler, güvenlik gereksinimleri ve Platformda kullanılan teknolojilerdeki değişiklikler doğrultusunda bu Politikayı güncelleyebilir. Güncel metin, yürürlük ve son güncelleme tarihiyle birlikte Platform üzerinde yayımlanır; esaslı değişikliklerde uygun yöntemlerle ayrıca bilgilendirme yapılabilir. Her zaman geçerli olan sürüm, Platformda yayımlanan en güncel metindir.

*Bu Gizlilik ve Bilgi Güvenliği Politikası; Platformda yayımlanan Aydınlatma Metni, Çerez Politikası ve Açık Rıza Metni ile birlikte uygulanır. Sorularınız ve veri güvenliği bildirimleriniz için: kvkk@turkiyemin.com*