Herabet Kişisel Verilerin Korunması ve Gizlilik Politikası
Bu metin, kullanıcı mahremiyetini yalnızca teknik bir konu olarak değil, güvenilir dijital iletişimin temel koşulu olarak ele alır. Aşağıdaki açıklamalar veri kategorileri, işleme amaçları, hukuki dayanaklar, aktarım, saklama ve başvuru haklarını bir arada değerlendirir.
Kapsam ve temel ilkeler
Bu metin, sayfanın ziyaret edilmesi, teknik kayıtların oluşması ve sayfada sunulan iletişim işlevlerinin kullanılmasıyla bağlantılı kişisel veri süreçlerini kapsar. Üçüncü taraf uygulama veya içerikler devreye girdiğinde, bu hizmetlerin veri işleme süreçleri kendi bilgilendirme metinleri doğrultusunda ayrıca değerlendirilir.
Politikanın kapsamı ve temel yaklaşım
Bu politika, ilgili internet sayfasının ziyaret edilmesi veya sayfada gerçekten sunulan bir iletişim işlevinin kullanılması sırasında kişisel verilerin hangi genel ilkeler çerçevesinde ele alınması gerektiğini açıklar. Kişisel veri; kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, iletişim bilgisi, çevrim içi tanımlayıcı, IP adresi, cihaz bilgisi ve kullanıcı tarafından gönderilen mesajlar, bağlama göre kişisel veri niteliği taşıyabilir. Her veri her zaman toplanmaz; işleme kapsamı, kullanılan gerçek özellikler ve geçerli hukuki şartlarla sınırlı olmalıdır. Politika, ziyaretçinin hangi tür bilgilerle karşılaşabileceğini ve hangi haklara sahip olduğunu anlaşılır biçimde ortaya koymayı amaçlar.
İşlenebilecek veri kategorileri
Sayfanın gerçek işlevlerine bağlı olarak sınırlı teknik kayıtlar, cihaz ve tarayıcı bilgileri, IP adresi, erişim zamanı, görüntülenen sayfalar, hata kayıtları ve güvenlik günlükleri işlenebilir. Kullanıcı bir iletişim formu gönderirse mesajın içeriği ile kendi isteğiyle paylaştığı isim veya iletişim bilgisi de işleme konusu olabilir. Hesap, ödeme veya kimlik doğrulama işlevleri mevcut değilse bunlara ait veriler toplanıyormuş gibi bir varsayım yapılamaz. Böyle bir işlev gerçekten sunuluyorsa, ilgili veri kategorileri, amaçları ve hukuki sebepleri ayrıca ve işlem öncesinde açıklanmalıdır. Gereksiz veri istemekten kaçınılması veri minimizasyonunun temel sonucudur.
Verilerin elde edilme yolları
Veriler, kullanıcının doğrudan girdiği bilgilerden, tarayıcının otomatik olarak ilettiği teknik kayıtlardan veya sayfanın güvenli çalışması için kullanılan altyapı bileşenlerinden elde edilebilir. Otomatik kayıtlar; bağlantı zamanı, hata kodu, tarayıcı türü ve güvenlik olaylarını içerebilir. Üçüncü taraf hizmetleri devredeyse, bu hizmetlerin hangi bilgiyi hangi amaçla aldığı ayrıca değerlendirilmelidir. Kullanıcının açıkça talep etmediği reklam iletişimi için iletişim bilgisinin kullanılması, hizmetin zorunlu bir parçası gibi gösterilmemelidir. Bilgi edinme yöntemi, işleme amacı ve hukuki sebep birbiriyle tutarlı olmalıdır.
İşleme amaçları ve veri minimizasyonu
Kişisel veriler, yalnızca belirli ve meşru amaçlar için; amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmelidir. Bu amaçlar, gerçek kurulumda mevcut olduğu ölçüde sayfanın teknik olarak sunulması, güvenliğin korunması, arıza ve kötüye kullanımın incelenmesi, kullanıcı talebinin yanıtlanması, hukuki yükümlülüklerin yerine getirilmesi ve hakların tesisi veya korunması olabilir. Bir verinin toplanmış olması, onun sınırsız biçimde kullanılabileceği anlamına gelmez. İlk amaç değişirse yeni işlem için ayrıca hukuki değerlendirme yapılmalı; uyumsuz, aşırı veya belirsiz kullanım engellenmelidir. Veri minimizasyonu, daha fazla bilgi toplamanın otomatik olarak daha iyi hizmet anlamına gelmediğini kabul eder.
Hukuki sebepler ve temel ilkeler
6698 sayılı Kanun, kişisel verilerin işlenmesinde hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve gerektiğinde güncellik, belirli ve meşru amaç, amaçla bağlantılı ve ölçülü olma, ilgili mevzuatta öngörülen veya amaç için gerekli süre kadar muhafaza ilkelerini benimser. İşleme için açık rıza her durumda tek hukuki sebep değildir; kanunda sayılan diğer işleme şartlarından biri uygulanabilir. Bununla birlikte açık rızaya dayanılan bir işlemde rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerekir. Hizmetin temel işleviyle ilgisi olmayan pazarlama izni, zorunlu koşul gibi sunulmamalıdır. Her veri kategorisi için uygun hukuki sebep ayrı değerlendirilmelidir.
Verilerin paylaşılması ve hizmet sağlayıcılar
Kişisel veriler, yalnızca hukuki şartların bulunduğu ve amaç için gerekli olduğu ölçüde yetkili kamu kurumlarıyla, güvenlik veya barındırma hizmeti sağlayan veri işleyenlerle ya da ilgili işlemin tamamlanması için zorunlu alıcılarla paylaşılabilir. Bir hizmet sağlayıcının veriye erişmesi, veriyi kendi amacı için serbestçe kullanabileceği anlamına gelmez. Veri sorumlusu, kendi adına işlem yapan hizmet sağlayıcılarla ilişkilerinde uygun güvenlik ve gizlilik tedbirlerinin alınmasını sağlamalıdır. Üçüncü taraflara aktarımda alıcı grubu, aktarım amacı ve hukuki dayanak açıkça belirlenmelidir. Kullanıcı verileri, ilgisiz reklam ağlarına veya belirsiz alıcılara sınırsız biçimde açıklanmamalıdır.
Yurt dışına veri aktarımı
Teknik altyapı veya hizmet sağlayıcı nedeniyle kişisel verilerin Türkiye dışındaki bir alıcıya aktarılması söz konusuysa, aktarım 6698 sayılı Kanun’un 9. maddesindeki şartlara uygun olmalıdır. 2024 yılında değiştirilen düzenleme; yeterlilik kararı, uygun güvenceler ve kanunda sayılan sınırlı arızi aktarım hâlleri gibi mekanizmalar öngörür. Bir sunucunun yurt dışında bulunması veya küresel bir yazılımın kullanılması tek başına aktarımı hukuka uygun hâle getirmez. Aktarımın amacı, veri kategorileri, alıcı ve uygulanan güvence değerlendirilmelidir. Yurt dışına aktarımın bulunmadığı doğrulanmadan bu yönde kesin bir güvence verilmemelidir.
Şeffaf bilgilendirme ve kullanıcı beklentisi
Aydınlatma metninin amacı yalnızca yasal bir başlık eklemek değil, kullanıcının hangi işlemle karşılaştığını anlayabilmesini sağlamaktır. Veri elde edilirken veri sorumlusunun kimliği, işleme amacı, aktarım yapılabilecek alıcı grupları, toplama yöntemi ve hukuki sebep ile ilgili kişi hakları belirtilmelidir. Bu bilgiler genel ve anlaşılmaz cümlelerin arkasına saklanmamalı; veri kategorileri ve amaçlar arasında açık bir bağ kurulmalıdır. Örneğin güvenlik kaydının neden tutulduğu, iletişim mesajının nasıl yanıtlandığı ve istatistik bilgisinin hangi ölçüde anonimleştirildiği ayrı ayrı anlatılabilir. Bilgilendirme kolay bulunmalı ve kullanıcının kararından önce erişilebilir olmalıdır.
Hesap ve oturum işlevleri hakkında açıklık
Bir internet sayfasında hesap oluşturma veya oturum açma işlevi bulunuyorsa, bu işlevle bağlantılı veriler yalnızca gerçekten gerekli olduğu ölçüde işlenmelidir. Kimlik doğrulama kayıtları, erişim zamanı, başarısız oturum denemeleri ve güvenlik bildirimleri farklı amaçlara hizmet edebilir; bu amaçların birbirine karıştırılmaması gerekir. Bir işlev mevcut değilse, politika böyle bir hesap sisteminin bulunduğunu ima etmemelidir. Kullanıcıdan parola veya doğrulama kodu isteyen sahte mesajlara karşı dikkatli olunmalı; güvenlik amacıyla gönderildiği iddia edilen beklenmedik talepler bağımsız şekilde doğrulanmalıdır. Parolalar açık metin hâlinde saklanmamalı ve erişim yetkileri sınırlandırılmalıdır.
İletişim kayıtları ve talep yönetimi
Kullanıcı bir soru, itiraz veya veri talebi gönderdiğinde, mesajın içeriği ve yanıt verebilmek için gereken iletişim bilgisi işlenebilir. Bu kayıtlar, talebin takibi, tekrar eden başvuruların ayrıştırılması ve hukuki yükümlülüklerin yerine getirilmesi için gerekli süre boyunca tutulmalıdır. Mesaj içeriğinde ödeme parolası, kart güvenlik kodu, tek kullanımlık şifre veya gereksiz kimlik belgesi paylaşılmamalıdır. Başvuruya erişen kişilerin yetkisi görevleriyle sınırlı olmalı; kayıtlar ilgisiz tanıtım listelerine aktarılmamalıdır. Bir talep kapandığında, devam eden hukuki saklama zorunluluğu yoksa kayıtlar imha takvimine göre değerlendirilmelidir.
Otomatik değerlendirme ve insan denetimi
Teknik sistemler güvenlik olaylarını sınıflandırmak, bot trafiğini ayırt etmek veya hataları belirlemek için otomatik analiz yapabilir. Böyle bir analiz tek başına kişinin aleyhine önemli bir sonuç doğuruyorsa KVKK kapsamındaki itiraz hakkı dikkate alınmalıdır. Otomatik bir işaretleme hatalı veri, paylaşılan cihaz veya olağan dışı bağlantı nedeniyle ortaya çıkabilir. Bu nedenle önemli kararların yalnızca açıklanmayan bir puana veya algoritmik tahmine dayanması uygun değildir. Veri sorumlusu, kullanılan sistemin amacını ve sınırlarını açıklayabilmeli, gerekli olduğunda insan incelemesine imkân tanımalıdır. Kullanıcı da şüpheli işlem bildirimlerini doğru ve eksiksiz bilgiyle iletmelidir.
Pazarlama ile hizmet bildirimlerinin ayrılması
Hizmetin güvenliği veya kullanıcının açık talebi için gerekli bildirimler ile kampanya, reklam ve tanıtım iletileri aynı kategori olarak değerlendirilmemelidir. Bir kullanıcının veri işleme hakkında bilgilendirilmesi, otomatik olarak pazarlama izni verdiği anlamına gelmez. Ticari elektronik ileti gönderimi için uygulanması gereken özel mevzuat ve izin koşulları ayrıca gözetilmelidir. Kullanıcı, tanıtım iletişimini istemediğinde ilgili kanuni yollar üzerinden tercihlerini değiştirebilmelidir. Hizmete erişim veya temel bir talebin yanıtlanması, ilgisiz reklam iznine bağlanmamalıdır. Açık rıza alınacaksa amaç, kanal ve kapsam açıkça ayrıştırılmalıdır.
Güvenli iletişim ve hesap bilgilerinin korunması
Kullanıcı, kişisel verilerini paylaşırken yalnızca işlem için gerekli bilgileri vermelidir. Parola, tek kullanımlık doğrulama kodu ve kart güvenlik kodu gibi sır niteliğindeki bilgiler açık mesajlarda gönderilmemelidir. Beklenmeyen bilgi taleplerinde istenen verinin amacı değerlendirilmelidir. Ortak kullanılan cihazlarda oturum kapatılmalı, tarayıcıya kaydedilen parolalar kontrol edilmeli ve cihaz yazılımı güncel tutulmalıdır.
Ortak cihazlarda kişisel verilerin korunması
Kullanıcı, kişisel bilgilerini ortak kullanılan bilgisayar, tablet veya telefonda görüntülediğinde oturum ve tarayıcı güvenliğine dikkat etmelidir. İşlem tamamlandığında açık oturum kapatılmalı, indirilen belgeler ortak klasörlerde bırakılmamalı ve tarayıcıya kaydedilen parolalar kontrol edilmelidir. Ekran kilidi kullanmak, cihaz yazılımını güncel tutmak ve güvenilmeyen eklentileri yüklememek yetkisiz erişim riskini azaltır. Kullanıcı, başka bir kişinin cihazında kişisel veri içeren bir form dolduruyorsa gereksiz alanları paylaşmamalı ve işlemden sonra cihazda kişisel kayıt bırakmamaya özen göstermelidir. Bu önlemler, veri sorumlusunun alması gereken teknik ve idari tedbirlerin yerine geçmez; kişisel güvenliği destekleyen ek kullanım alışkanlıklarıdır. Şüpheli bir erişim fark edildiğinde parolalar güvenli bir cihazdan yenilenmeli ve ilgili finansal hesaplar da gözden geçirilmelidir.
Veri taleplerinin kapsamı ve yanıt süreci
Kişisel verilere ilişkin bir talep hazırlanırken hangi hakkın kullanıldığının açıkça belirtilmesi, başvurunun doğru değerlendirilmesine yardımcı olur. Kullanıcı erişim talebinde bulunuyorsa hangi bilgi veya işlem kaydını öğrenmek istediğini mümkün olduğunca anlaşılır biçimde ifade edebilir. Düzeltme talebinde hatalı bilginin ne olduğu ve doğru bilginin ne olması gerektiği açıklanabilir. Silme veya yok etme taleplerinde ise verinin hangi işlemle bağlantılı olduğu belirtilmelidir. Başvuru sırasında yalnızca kimlik doğrulaması ve talebin değerlendirilmesi için gereken bilgiler paylaşılmalıdır. Gereksiz belge veya başkasına ait kişisel veri eklenmemelidir. Talep alındığında kapsamı, kimlik doğrulama ihtiyacı ve uygulanabilecek yasal saklama yükümlülükleri birlikte değerlendirilir. Kullanıcı, başvurusunun sonucu hakkında verilen yanıtı saklayabilir ve ihtiyaç duyarsa ek açıklama talep edebilir.
İletişim taleplerinde veri minimizasyonu
İletişim sırasında kullanıcı tarafından gönderilen mesajlar, talebin anlaşılması ve yanıtlanması için gerekli olduğu ölçüde incelenmelidir. Mesaj içinde yer alan üçüncü kişilere ait kişisel bilgiler, talep ile ilgisi bulunmuyorsa kaydedilmemeli veya başka amaçla kullanılmamalıdır. Ek belge istenmesi gerekiyorsa istenen belgenin amacı açıklanmalı ve gereksiz bölümlerin paylaşılmasından kaçınılmalıdır. Talep tamamlandığında başvuru kayıtları, olası tekrar başvuruların yönetilmesi ve kanuni yükümlülüklerin yerine getirilmesi için gerekli süreyle sınırlı tutulmalıdır. Kullanıcı da mesaj gönderirken parola, tam kart bilgisi veya özel nitelikli veri gibi hassas bilgileri gereksiz yere eklememelidir. Bu yaklaşım, iletişim sürecinin ölçülü ve güvenli biçimde yürütülmesine yardımcı olur.
Sık Sorulan Sorular
Kişisel verilerimin silinmesini isteyebilir miyim?
Kanuni saklama yükümlülükleri ve KVKK’nın 7. maddesi çerçevesinde, işleme sebebi ortadan kalktığında silme, yok etme veya anonimleştirme talep edilebilir.
Verilerim yurt dışına aktarılabilir mi?
Yalnızca 6698 sayılı Kanun’un 9. maddesinde yer alan şartlar ve gerekli güvenceler sağlandığında aktarım yapılabilir. Her aktarım ayrıca değerlendirilmelidir.
Başvuruma ne kadar sürede yanıt verilir?
KVKK’nın 13. maddesi uyarınca veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır.
Hukuka aykırı erişim ve veri ihlali
Yetkisiz erişim şüphesi ortaya çıktığında kullanıcı, parolasını güvenli bir cihazdan değiştirmeli, aynı parolayı kullandığı diğer hesapları da gözden geçirmeli ve banka bilgileri etkilenmiş olabilecekse ilgili finans kuruluşuyla doğrudan iletişime geçmelidir. Şüpheli mesajlar, ekran görüntüleri ve işlem kayıtları inceleme için saklanabilir. Veri sorumlusu ise olayın kapsamını değerlendirmeli, erişimi sınırlandırmalı ve kanunun gerektirdiği bildirimleri yapmalıdır. Kullanıcıdan ihlal bahanesiyle ek para veya doğrulama kodu isteyen kişilerden uzak durulmalıdır.
Politikanın güncelliği ve düzenli değerlendirme
Herabet hakkında sunulan gizlilik açıklamalarının güvenilir olması için metin ile fiilî veri akışı düzenli olarak karşılaştırılmalıdır. Yeni bir iletişim aracı, güvenlik hizmeti veya ölçüm teknolojisi eklendiğinde veri kategorileri ve işleme amaçları yeniden değerlendirilmelidir. Kullanıcıya verilen bilgi, teknik kurulumun gerisinde kalmamalıdır. Değişiklikler önemliyse aydınlatma metni de güncellenmeli ve kolay erişilebilir tutulmalıdır. Eski sürümlerin kayıt altına alınması, hesap verebilirlik bakımından hangi açıklamanın hangi dönemde geçerli olduğunu göstermeye yardımcı olur.