Gizlilik Politikası ve Kişisel Verilerin Korunması Hakkında Aydınlatma Metni

1. Veri sorumlusunun kimliği

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ve Avrupa Birliği Genel Veri Koruma Tüzüğü'nün ("GDPR") 13. ve 14. maddeleri uyarınca, kişisel verilerinizin veri sorumlusu aşağıda belirtilen tüzel kişidir.

Bu metinde "DNL", "biz", "şirket" ifadeleri yukarıda bilgileri verilen tüzel kişiyi; "siz", "ziyaretçi", "ilgili kişi" ifadeleri ise kişisel verisi işlenen gerçek kişiyi ifade eder.

1.1. Veri Sorumluları Sicil Bilgi Sistemi (VERBİS)

Şirketimiz, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı Kurul tarafından belirlenen eşiğin altında olan ve ana faaliyet konusu özel nitelikli kişisel veri işlemek olmayan veri sorumluları için öngörülen VERBİS kayıt muafiyeti kapsamındadır. Bu muafiyet, Kanun'un diğer yükümlülüklerini ortadan kaldırmaz; şirketimiz kişisel veri işleme envanterini tutmakta ve bu metinde açıklanan tüm yükümlülükleri yerine getirmektedir.

1.2. Veri koruma görevlisi

GDPR'ın 37. maddesi, veri koruma görevlisi (Data Protection Officer) atanmasını yalnızca belirli hallerde — kamu kurumları, büyük ölçekli düzenli izleme faaliyeti yürütenler ve büyük ölçekli özel nitelikli veri işleyenler için — zorunlu kılar. Şirketimizin faaliyeti bu hallerden hiçbirine girmemektedir; KVKK ise veri koruma görevlisi atanmasını zorunlu tutmamaktadır. Bu nedenle atanmış bir veri koruma görevlimiz bulunmamaktadır. Kişisel verilerinize ilişkin tüm talep ve sorularınız, 12. bölümde açıklanan kanallardan doğrudan şirketimize iletilebilir.

2. Bu metnin kapsamı

Bu metin, www.dnl.com.tr adresindeki internet sitemizi ziyaret ettiğinizde, sitedeki iletişim formunu kullandığınızda, bize e-posta veya telefonla ulaştığınızda ve ticari ilişkimizin devamı süresince kişisel verilerinizi nasıl işlediğimizi açıklar.

Metin, hem KVKK hem de GDPR kapsamındaki yükümlülüklerimizi birlikte karşılamak üzere hazırlanmıştır. İki mevzuat büyük ölçüde örtüşmekle birlikte ayrıldıkları noktalar bulunmaktadır; bu noktalarda hangi mevzuatın hangi sonucu doğurduğu ilgili bölümlerde ayrıca belirtilmiştir. Türkiye'de yerleşik ilgili kişiler bakımından KVKK, Avrupa Birliği'nde bulunan ilgili kişiler bakımından ise GDPR hükümleri uygulanır. GDPR'ın uygulanması, ilgili kişinin bulunduğu yere göre belirlenir; şirketimizin Türkiye'de kurulu olması bu uygulamayı etkilemez.

Bu metin, şirketimizin çalışanlarına, iş başvurusu yapan adaylara ve tedarikçi çalışanlarına ilişkin veri işleme faaliyetlerini kapsamaz. Bu gruplar için ayrı aydınlatma metinleri düzenlenmiştir ve ilgili kişilere doğrudan iletilir.

Sitemizde üçüncü taraf internet sitelerine bağlantı verilmiş olabilir. Bu sitelerin veri işleme uygulamalarından şirketimiz sorumlu değildir; söz konusu siteleri ziyaret ettiğinizde o sitelerin kendi gizlilik politikaları uygulanır.

3. İşlenen kişisel veri kategorileri

Aşağıdaki tablo, işlediğimiz kişisel veri kategorilerini ve her kategorinin içeriğini gösterir. Sitemizi yalnızca gezen bir ziyaretçi bakımından işlenen veriler, tablonun ilk iki satırıyla sınırlıdır.

Bu kategorilerin hiçbiri KVKK'nın 6. maddesinde ve GDPR'ın 9. maddesinde tanımlanan özel nitelikli kişisel veri değildir. Bu konu 14. bölümde ayrıca açıklanmıştır.

4. İşleme amaçları ve her amaç için hukuki sebep

GDPR, altı eşit hukuki sebep tanır (md. 6/1): açık rıza, sözleşmenin kurulması veya ifası, hukuki yükümlülük, hayati menfaat, kamu görevi ve meşru menfaat. KVKK ise 5. maddede benzer bir liste öngörmekle birlikte, açık rıza dışındaki sebepleri daha sınırlı sayar ve "meşru menfaat" sebebini yalnızca ilgili kişinin temel hak ve özgürlüklerine zarar vermemek koşuluyla kabul eder. Aşağıdaki tabloda her işleme amacı için iki mevzuattaki hukuki sebep ayrı ayrı gösterilmiştir.

Meşru menfaate dayandığımız her işleme faaliyeti için, menfaatimizin sizin temel hak ve özgürlüklerinizi aşıp aşmadığını değerlendirdik. Bu değerlendirmede, verinin kimliğinizi ortaya çıkarmaya elverişli olup olmadığını, işlemenin beklenebilirliğini ve size sağladığı faydayı dikkate aldık. Bu değerlendirmeye itiraz etme hakkınız 11. bölümde açıklanmıştır.

5. Kişisel verilerin toplanma yöntemi

Kişisel verileriniz aşağıdaki yollarla toplanır:

Otomatik olarak: Siteyi ziyaret ettiğinizde, tarayıcınızın her internet isteğiyle birlikte gönderdiği teknik bilgiler barındırma altyapımız tarafından kaydedilir. Bu kayıt, internetin çalışma biçiminin doğal bir sonucudur ve istekte bulunulan sayfanın gönderilebilmesi için teknik olarak zorunludur.

Tarafınızdan iletilerek: İletişim formunu doldurduğunuzda, bize e-posta gönderdiğinizde, telefonla aradığınızda, WhatsApp üzerinden yazdığınızda veya bir fuarda kartvizit bıraktığınızda verilerinizi doğrudan siz iletmiş olursunuz. Bu kanallarda hangi bilgileri paylaştığınız sizin tercihinizdedir; teknik bir sorunun yanıtlanabilmesi için ihtiyaç duyduğumuz asgari bilgi, size geri dönebileceğimiz bir iletişim adresi ve sorunun kendisidir.

Üçüncü taraflardan: Kamuya açık kaynaklardan (şirket internet siteleri, ticaret sicili kayıtları, sektörel fuar katılımcı listeleri, mesleki ağ platformları) kurumsal iletişim bilgileri elde edebiliriz. Bu bilgiler yalnızca tüzel kişilere ilişkin olduğu ölçüde kişisel veri niteliği taşımaz; bir gerçek kişiye ait iletişim bilgisi elde ettiğimizde, ilk temasımızda bu metne yönlendirme yaparız.

6. Çerezler ve benzeri teknolojiler

Çerez (cookie), bir internet sitesini ziyaret ettiğinizde tarayıcınız tarafından cihazınıza kaydedilen küçük bir metin dosyasıdır. Çerezlerin yanı sıra yerel depolama (local storage), oturum depolama (session storage) ve izleme pikselleri gibi benzer işlev gören başka teknolojiler de bulunmaktadır. Bu bölümde geçen "çerez" ifadesi, bunların tümünü kapsar.

Cihazınıza erişim ve bilgi kaydetme izni, Avrupa Birliği'nde doğrudan GDPR'dan değil, 2002/58/EC sayılı ePrivacy Direktifi'nin 5(3) maddesinden doğar. Buna göre, hizmetin sunulması için teknik olarak zorunlu olmayan her çerez için önceden onay alınması gereklidir. Türkiye'de ise Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehberi, zorunlu olmayan çerezler için açık rıza alınmasını, ret seçeneğinin kabul seçeneği kadar görünür olmasını ve önceden işaretli onay kutuları kullanılmamasını öngörür.

Sitemizde kullanılan çerez ve benzeri teknolojiler aşağıda tek tek açıklanmıştır.

6.1. Zorunlu teknolojiler (onay gerektirmez)

Bu kayıtlar yalnızca sizin tarayıcınızda tutulur, sunucularımıza veya herhangi bir üçüncü tarafa iletilmez ve kimliğinizi belirlemeye elverişli bir bilgi içermez. ePrivacy Direktifi 5(3) maddesinin ikinci cümlesi, kullanıcının açıkça talep ettiği bir hizmetin sunulması için kesinlikle gerekli olan kayıtları onay şartından muaf tutar; çerez tercihinin kendisinin saklanması bu muafiyet kapsamındadır.

6.2. Barındırma ve içerik sunumu

Sitemiz Vercel Inc. (ABD) altyapısında barındırılmaktadır. Her internet isteğinde Vercel'in sunucuları; isteğin yapıldığı IP adresini, istenen sayfanın adresini, isteğin tarih ve saatini, tarayıcı türünü ve yanıtın durum kodunu güvenlik ve hata takibi amacıyla kaydeder. Bu kayıt, hizmetin sunulabilmesi için teknik olarak zorunludur ve onaya bağlanamaz: kaydı engellemek, sitenin size gönderilmesini engellemek anlamına gelirdi.

Vercel bu kayıtları kendi hesabına değil, veri işleyen olarak bizim adımıza tutar. Aramızda GDPR'ın 28. maddesine uygun bir veri işleme sözleşmesi bulunmaktadır. Kayıtlar kısa süreli olarak tutulur ve pazarlama amacıyla kullanılmaz.

Sitede kullanılan yazı tipleri (fontlar) kendi sunucumuzdan sunulmaktadır. Yazı tiplerini Google Fonts gibi harici bir sağlayıcıdan çağırmıyoruz; bu nedenle sayfa açıldığında IP adresiniz bir font sağlayıcısına iletilmez. Bu tercih bilinçlidir: Almanya'da bir mahkeme kararı (LG München I, 20.01.2022, 3 O 17493/20), Google Fonts'un harici çağrılmasının ziyaretçinin IP adresini onaysız biçimde ABD'ye aktarması nedeniyle hukuka aykırı bulunmuştur.

6.3. Ziyaret ölçümü — Plausible Analytics (onay gerektirmez)

Hangi sayfaların ziyaretçiler için faydalı olduğunu anlamak için Plausible Insights OÜ (Estonya) tarafından sunulan Plausible Analytics kullanıyoruz.

Plausible'ı diğer ölçüm araçlarından ayıran özellikler, onay gerektirmemesinin sebebidir:

• Cihazınıza hiçbir şey kaydetmez. Çerez yazmaz, yerel depolama kullanmaz. ePrivacy 5(3) maddesinin onay şartı, cihaza erişim veya cihazda bilgi saklama hâlinde doğar; bu araçta ikisi de gerçekleşmediği için şart doğmaz.
• IP adresiniz saklanmaz. IP adresi yalnızca ziyaretin hangi ülkeden geldiğini belirlemek için bir an işlenir, ardından tarayıcı bilgisiyle birlikte geri döndürülemez biçimde özetlenerek (hash) atılır. Özete günlük değişen bir tuz değeri eklendiğinden, aynı ziyaretçi ertesi gün farklı bir özet üretir; bu nedenle ziyaretçiler günler boyunca takip edilemez.
• Siteler arası takip yoktur. Araç, sizi başka sitelerde izleyemez.
• Veriler Avrupa Birliği içinde kalır. Barındırma Almanya'dadır, üçüncü ülkeye aktarım yoktur.
• Kişisel profil oluşturulmaz, veri satılmaz, reklam amacıyla kullanılmaz.

Topladığımız ölçüm verisi şu düzeydedir: ziyaret edilen sayfa adresi, yönlendiren adres, ülke, cihaz türü, tarayıcı, işletim sistemi ve kampanya etiketleri. Bu veriler toplu olarak görüntülenir; tek bir ziyaretçinin kim olduğu bu veriden çıkarılamaz.

Plausible, hukuki değerlendirmesini kamuya açık olarak yayımlamıştır. Bu araç için onay istemememizin sebebi, onayın gereksiz olmasıdır — bir aracı onay bandına koymak, hukuken gerekmediği hâlde, onay bandını gerçekten gerekli olan araçlar bakımından anlamsızlaştırır.

6.4. Kullanım analizi — Microsoft Clarity (onay gerektirir)

Sitede yaşanan kullanım sorunlarını görebilmek için Microsoft Ireland Operations Limited tarafından sunulan Microsoft Clarity aracını kullanıyoruz. Bu araç, önceki bölümde açıklanan ölçüm aracının aksine:

• cihazınıza çerez yazar,
• fare hareketlerinizi, kaydırmanızı ve tıklamalarınızı kaydeder,
• oturumunuzun bir kaydını (session replay) oluşturur, böylece bir ziyaretçinin sayfada nasıl davrandığı sonradan izlenebilir.

Bu nedenle Clarity betiği yalnızca çerez bandında açık onay vermeniz hâlinde yüklenir. Onay vermezseniz veya bandı yanıtlamazsanız, Clarity'ye ait hiçbir dosya tarayıcınıza indirilmez, hiçbir çerez yazılmaz ve Microsoft'un sunucularına hiçbir istek gönderilmez.

Clarity, metin alanlarına yazdığınız içeriği varsayılan olarak maskeler; oturum kaydında form alanlarının içeriği görünmez. Buna rağmen oturum kaydı, davranışınıza ilişkin ayrıntılı bir izdir ve bu yüzden onaya bağlıdır.

Microsoft, Clarity verilerini kendi hesabına da işleyebilmektedir. Microsoft'un bu araca ilişkin gizlilik açıklaması privacy.microsoft.com adresinde yayımlanmıştır. Microsoft Ireland Operations Limited İrlanda'da yerleşiktir; ancak Microsoft'un grup yapısı içinde verilerin ABD'ye aktarılması mümkündür. Bu aktarım 8. bölümde açıklanmıştır.

Onayınızı istediğiniz zaman, sitenin alt kısmındaki "Çerez tercihleri" bağlantısına tıklayarak geri alabilirsiniz. Geri aldığınızda Clarity betiği bir sonraki sayfa yüklemesinden itibaren yüklenmez. Onayın geri alınması, geri alma anına kadar hukuka uygun biçimde gerçekleştirilmiş işlemeyi etkilemez (GDPR md. 7/3). Ayrıca kaydedilen tercih yalnızca 24 saat geçerlidir; bu süre dolduğunda, siz bir şey yapmasanız da tercihiniz yeniden sorulur ve Clarity o ana kadar yüklenmez.

6.5. İletişim formu — Formspree

Sitedeki iletişim formu Formspree Inc. (ABD) altyapısı üzerinden çalışır. Formu gönderdiğinizde, forma yazdığınız bilgiler Formspree'nin sunucularından geçerek şirketimizin e-posta adresine iletilir. Formspree bu süreçte veri işleyen olarak hareket eder ve verileri kendi amaçları için kullanmaz.

Formspree, kötüye kullanımı ve otomatik gönderimleri engellemek amacıyla gönderim anında IP adresinizi işler. Form verileri Formspree'nin yönetim arayüzünde bir süre saklanır; bu kayıtlar düzenli olarak silinir. Formspree ABD'de yerleşiktir; bu aktarım 8. bölümde açıklanmıştır.

Formu kullanmak istemiyorsanız, aynı talebi doğrudan info@dnl.com.tr adresine e-posta göndererek veya +90 538 585 62 61 numarasını arayarak iletebilirsiniz. Bu durumda verileriniz Formspree'den geçmez.

6.6. Harita — Google Maps (onay gerektirir)

İletişim sayfamızda tesisimizin konumunu gösteren bir harita bulunmaktadır. Bu harita Google Ireland Limited tarafından sunulan Google Maps hizmetine aittir ve yalnızca siz "Haritayı yükle" düğmesine tıklarsanız yüklenir.

Haritayı yüklerseniz:

• IP adresiniz Google'a iletilir,
• Google cihazınıza çerez yazabilir (`NID` çerezi dâhil; bu çerez Google tarafından kullanıcı tercihlerinin saklanması ve reklam kişiselleştirmesi amacıyla kullanılır ve yaklaşık altı ay geçerlidir),
• Google hesabınızda oturum açık durumdaysa, bu ziyaret Google hesabınızla ilişkilendirilebilir.

Bu nedenle harita onaya bağlanmıştır. Haritayı yüklemeden de tesisimizin tam adresini, telefon numaramızı ve harici bir harita hizmetine giden bağlantıyı iletişim sayfasında görebilirsiniz; harita yüklenmediğinde hiçbir bilgi kaybı olmaz.

Google'ın veri işleme uygulamaları için policies.google.com/privacy adresindeki gizlilik politikasına başvurabilirsiniz.

6.7. WhatsApp

Sitede WhatsApp üzerinden bize ulaşmanızı sağlayan bir bağlantı bulunmaktadır. Bu bağlantıya tıklamak, tarayıcınızı veya WhatsApp uygulamasını açar; tıklamadığınız sürece WhatsApp'a hiçbir veri iletilmez ve cihazınıza WhatsApp'a ait bir çerez yazılmaz.

WhatsApp üzerinden bize yazarsanız, mesajınız ve telefon numaranız WhatsApp Ireland Limited (Meta grubu) altyapısı üzerinden iletilir. Bu altyapıda mesaj içerikleri uçtan uca şifrelidir; ancak kimin kiminle ne zaman iletişim kurduğuna ilişkin üst veriler Meta tarafından kendi gizlilik politikası kapsamında işlenir. Bu işleme bakımından veri sorumlusu Meta'dır; şirketimizin bu üst veriler üzerinde bir denetimi bulunmamaktadır.

WhatsApp yazışmaları şirketimizin cihazlarında saklanır ve talebinizin yanıtlanması amacıyla kullanılır. Bu kanalı kullanmak istemiyorsanız e-posta veya telefonu tercih edebilirsiniz.

6.8. Çerezleri tarayıcınızdan yönetmek

Bandımızdaki tercihinizden bağımsız olarak, tüm yaygın tarayıcılar çerezleri engelleme ve silme imkânı sunar. Tarayıcınızın ayarlar bölümündeki gizlilik veya site verileri başlığı altından; hangi çerezlerin kaydedildiğini görebilir, tek tek veya topluca silebilir ve yeni çerez kaydını tümden engelleyebilirsiniz.

Tüm çerezleri engellemeniz hâlinde çerez tercihiniz de saklanamayacağından, çerez bandı her ziyaretinizde yeniden görünecektir. Bu, bir arıza değil, tercihinizin saklanamamasının doğal sonucudur.

7. Kişisel verilerin aktarıldığı taraflar

Kişisel verilerinizi aşağıdaki taraflara, yalnızca karşısında yazan amaçla sınırlı olarak aktarıyoruz. Bu listenin dışında hiçbir tarafa veri aktarmıyoruz; kişisel verilerinizi hiçbir koşulda satmıyor, kiralamıyor veya reklam amacıyla üçüncü taraflara açmıyoruz.

Veri işleyen olarak hareket eden her tarafla, GDPR'ın 28. maddesinin aradığı unsurları içeren yazılı bir veri işleme sözleşmesi bulunmaktadır. Bu sözleşmeler; işlemenin konusunu ve süresini, işleyenin yalnızca bizim talimatımızla hareket etmesini, gizlilik yükümlülüğünü, alması gereken teknik ve idari tedbirleri, alt işleyen kullanımının bizim iznimize bağlı olmasını, hizmet sonunda verilerin silinmesini ve denetim yetkimizi düzenler.

8. Yurt dışına aktarım

Yukarıdaki listede yer alan sağlayıcıların bir kısmı Türkiye dışında yerleşiktir. Bu nedenle kişisel verileriniz, aşağıda açıklanan hukuki mekanizmalara dayanılarak yurt dışına aktarılmaktadır. Aktarım iki ayrı mevzuat bakımından ayrı ayrı değerlendirilmiştir.

8.1. Türkiye'den yurt dışına aktarım (KVKK)

KVKK'nın 9. maddesi, 12 Mart 2024 tarihli 7499 sayılı Kanun ile esaslı biçimde değiştirilmiş ve yeni rejim 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Yeni düzenleme, Avrupa Birliği modeline yaklaşarak aktarım için üç kademeli bir yapı kurmuştur: Kurul tarafından ilan edilmiş yeterlilik kararı bulunan ülkelere aktarım, yeterlilik kararı yoksa uygun güvencelere (bağlayıcı şirket kuralları, standart sözleşme, taahhütname, uluslararası sözleşme) dayanan aktarım ve bunların da mümkün olmadığı hâllerde istisnai aktarım.

Kurul bugüne kadar hiçbir ülke için yeterlilik kararı ilan etmemiştir. Bu nedenle aktarımlarımız uygun güvencelere dayandırılmaktadır: ilgili sağlayıcılarla Kurul tarafından ilan edilmiş standart sözleşme imzalanmıştır. Standart sözleşmeye dayanan aktarımların, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurula bildirilmesi zorunludur ve bu bildirim yapılmıştır.

8.2. Avrupa Birliği'nden Türkiye'ye aktarım (GDPR)

Avrupa Birliği'nde bulunan bir ilgili kişinin verisi şirketimize ulaştığında, bu bir üçüncü ülkeye aktarımdır: Avrupa Komisyonu Türkiye için yeterlilik kararı vermemiştir. Bu nedenle aktarım, GDPR'ın 46/2-c maddesi uyarınca Avrupa Komisyonu'nun standart sözleşme hükümlerine (Standard Contractual Clauses, 4 Haziran 2021 tarihli 2021/914 sayılı Uygulama Kararı) dayandırılmaktadır.

Avrupa Birliği Adalet Divanı'nın *Schrems II* kararı (C-311/18), standart sözleşme hükümlerinin tek başına yeterli olmadığını; aktarımı yapan tarafın hedef ülkedeki mevzuatın bu hükümlerin sağladığı korumayı zayıflatıp zayıflatmadığını ayrıca değerlendirmesi gerektiğini ortaya koymuştur. Bu değerlendirme (transfer impact assessment) yapılmıştır. Değerlendirmede, aktarılan verinin niteliği — kurumsal iletişim bilgileri ve teknik talep içerikleri, hiçbir özel nitelikli veri içermeyen — ve bu veri türünün kamu otoritelerinin ilgi alanına girme olasılığının düşüklüğü dikkate alınmıştır. Değerlendirmeye ek olarak aktarım sırasında taşıma şifrelemesi, erişim kısıtlaması ve saklama süresi sınırlaması uygulanmaktadır.

8.3. ABD'ye aktarım

Vercel ve Formspree ABD'de yerleşiktir. Bu aktarımlar bakımından ek bir mekanizma bulunmaktadır: Avrupa Komisyonu, 10 Temmuz 2023 tarihinde ABD için AB–ABD Veri Gizliliği Çerçevesi (EU–US Data Privacy Framework) kapsamında bir yeterlilik kararı almıştır. Bu karar, yalnızca Çerçeve'ye katılmış ve ABD Ticaret Bakanlığı'nın tuttuğu listede yer alan kuruluşlara yapılan aktarımlar bakımından geçerlidir.

Çerçeve'ye katılmamış ABD sağlayıcılarına yapılan aktarımlar, 8.2. bölümünde açıklanan standart sözleşme hükümlerine ve yapılan etki değerlendirmesine dayanır.

8.4. Aktarım belgelerinin bir kopyasını isteme hakkınız

Verilerinizin yurt dışına aktarımına dayanak oluşturan standart sözleşme hükümlerinin bir kopyasını talep edebilirsiniz. Talebinizi 12. bölümdeki kanallardan iletmeniz hâlinde, ticari sır niteliğindeki ekonomik hükümler çıkarılmış bir nüsha size iletilir.

9. Saklama süreleri

Kişisel verilerinizi, işleme amacının gerektirdiği süreden ve ilgili mevzuatta öngörülen azami süreden daha uzun tutmayız. Süreler aşağıdaki tablodadır. Bir verinin birden fazla satıra girdiği hâllerde, en uzun süre uygulanır.

Saklama süresi dolan kişisel veriler, periyodik imha dönemlerinde silinir, yok edilir veya anonim hâle getirilir. Periyodik imha, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik'in 11. maddesi uyarınca azami altı aylık aralıklarla yapılır.

Bir verinin silinmesi talebiniz, o veri bakımından yukarıdaki tabloda yer alan bir yasal saklama yükümlülüğü devam ediyorsa yerine getirilemez. Böyle bir durumda, verinin aktif kullanımına son verir, erişimi kısıtlar ve yalnızca yasal yükümlülüğün gerektirdiği amaçla saklamaya devam ederiz; bu kısıtlamayı size yazılı olarak bildiririz.

10. Veri güvenliği tedbirleri

KVKK'nın 12. maddesi ve GDPR'ın 32. maddesi, işlemenin niteliğine ve riskine uygun teknik ve idari tedbirlerin alınmasını zorunlu kılar. Aldığımız tedbirler şunlardır:

Teknik tedbirler: Site ve tüm alt sayfaları HTTPS üzerinden sunulur; tarayıcınız ile sunucu arasındaki tüm trafik aktarım hâlinde şifrelenir. Sunucu altyapımız güncel tutulur ve güvenlik yamaları gecikmeksizin uygulanır. Yönetim arayüzlerine erişim çok faktörlü kimlik doğrulama ile korunur. Kişisel veri içeren sistemlere erişim, görevi gereği ihtiyaç duyan personelle sınırlıdır ve yetkiler düzenli olarak gözden geçirilir. Erişim kayıtları tutulur. Yedekleme yapılır ve yedekler şifreli olarak saklanır. Üçüncü taraf betikleri asgari sayıda tutulur; her yeni betik eklenmesi veri koruma açısından ayrıca değerlendirilir.

İdari tedbirler: Kişisel veri işleme envanteri tutulur ve güncellenir. Kişisel veri işleyen personele, işledikleri veri kategorileri ve yükümlülükleri hakkında bilgilendirme yapılır. Her veri işleyenle yazılı sözleşme imzalanır. Kişisel veri saklama ve imha politikası yürürlüktedir ve periyodik imha uygulanır. Yeni bir araç veya süreç devreye alınmadan önce veri koruma etkisi değerlendirilir.

Veri ihlali hâlinde: Kişisel verilerin hukuka aykırı olarak erişilmesi, elde edilmesi, değiştirilmesi, yok edilmesi veya üçüncü kişilere açıklanması hâlinde; KVKK uyarınca en kısa sürede ve her hâlde ihlalin öğrenilmesinden itibaren 72 saat içinde Kişisel Verileri Koruma Kurulu'na, GDPR'ın 33. maddesi uyarınca aynı süre içinde ilgili denetim otoritesine bildirim yapılır. İhlal, ilgili kişinin hak ve özgürlükleri bakımından yüksek risk taşıyorsa, ilgili kişilere de gecikmeksizin bildirilir (GDPR md. 34). Bildirimde ihlalin niteliği, etkilenen veri kategorileri, muhtemel sonuçları ve alınan önlemler yer alır.

Hiçbir güvenlik tedbiri mutlak koruma sağlamaz. İnternet üzerinden veri iletiminin doğası gereği tamamen risksiz bir aktarım mümkün değildir. Özellikle hassas nitelikte bilgi iletmek istiyorsanız, şifrelenmemiş e-posta yerine telefonla iletişim kurmanızı öneririz.

11. İlgili kişinin hakları

11.1. KVKK md. 11 kapsamındaki haklarınız

Veri sorumlusuna başvurarak:

• a) Kişisel verinizin işlenip işlenmediğini öğrenme,
• b) İşlenmişse buna ilişkin bilgi talep etme,
• c) İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• ç) Yurt içinde veya yurt dışında verinin aktarıldığı üçüncü kişileri bilme,
• d) Eksik veya yanlış işlenmişse düzeltilmesini isteme,
• e) Kanunda öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, verinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• g) Münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkmasına itiraz etme,
• ğ) Kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz.

11.2. GDPR kapsamındaki ek haklarınız

Avrupa Birliği'nde bulunan ilgili kişiler bakımından, yukarıdakilere ek olarak aşağıdaki haklar uygulanır. Bu haklar KVKK'da ya hiç bulunmamakta ya da daha sınırlı bir kapsamda tanınmaktadır:

Erişim hakkı (md. 15): İşlenen kişisel verilerinizin bir kopyasını, işleme amaçları, veri kategorileri, alıcılar, saklama süresi, hakların kapsamı, verinin kaynağı ve varsa otomatik karar verme hakkındaki bilgilerle birlikte talep edebilirsiniz. İlk kopya ücretsizdir.

Silinme hakkı (md. 17): KVKK, silme talebini kanunda öngörülen şartlara bağlar. GDPR ise altı bağımsız silme sebebi sayar; bunlardan biri, işlemenin açık rızaya dayandığı hâllerde rızanın geri alınmasıdır. Yani onaya dayanan bir işlemede, onayı geri aldığınızda silme hakkı doğrudan doğar.

İşlemenin kısıtlanması hakkı (md. 18): Verinin doğruluğuna itiraz ettiğiniz, işlemenin hukuka aykırı olduğunu düşündüğünüz ancak silinmesini istemediğiniz veya hukuki savunma için verinin saklanmasına ihtiyaç duyduğunuz hâllerde, verinin silinmesi yerine yalnızca saklanmasını — başka hiçbir işlemeye tabi tutulmamasını — talep edebilirsiniz. Bu ara çözüm KVKK'da bulunmamaktadır.

Veri taşınabilirliği hakkı (md. 20): Rızanıza veya bir sözleşmeye dayanarak otomatik yöntemlerle işlenen ve tarafınızca sağlanmış verileri, yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir bir biçimde almayı ve bunların doğrudan başka bir veri sorumlusuna iletilmesini talep edebilirsiniz. Bu hak KVKK'da bulunmamaktadır.

İtiraz hakkı (md. 21): Meşru menfaate dayanan işlemelere, özel durumunuzu gerekçe göstererek itiraz edebilirsiniz. İtirazınız hâlinde, meşru menfaatimizin sizin hak ve özgürlüklerinizi aşıp aşmadığını yeniden değerlendirmek ve bunu ortaya koymak bize düşer; ortaya koyamazsak işlemeye son veririz. Verinizi doğrudan pazarlama amacıyla işliyorsak, itirazınız üzerine bu amaçla işlemeye koşulsuz olarak son veririz; bu hâlde herhangi bir değerlendirme yapılmaz. KVKK, itiraz hakkını yalnızca otomatik karar verme hâline bağlar; GDPR'ın tanıdığı bu geniş itiraz hakkını içermez.

Denetim otoritesine şikâyet hakkı (md. 77): Kendi bulunduğunuz ülkedeki veri koruma otoritesine doğrudan şikâyette bulunabilirsiniz. Şikâyet için önce bize başvurmanız gerekmez; ancak çözümü hızlandırmak adına önce bize yazmanızı öneririz.

11.3. Otomatik karar verme ve profilleme

Kişisel verilerinizi, münhasıran otomatik sistemler vasıtasıyla analiz ederek hakkınızda hukuki sonuç doğuran veya sizi önemli ölçüde etkileyen bir karar almıyoruz. Reklam kişiselleştirmesi, kredi değerlendirmesi, otomatik fiyatlandırma veya benzeri bir profilleme faaliyeti yürütmüyoruz. Sitede yapılan ölçüm, bireysel ziyaretçiler hakkında değil, sayfalar hakkında toplu sonuç üretir.

12. Başvuru usulü

Haklarınızı kullanmak için talebinizi aşağıdaki yollardan biriyle iletebilirsiniz:

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca başvurunuzda; adınız ve soyadınız, yazılı başvuruda imzanız, Türkiye Cumhuriyeti vatandaşıysanız T.C. kimlik numaranız (değilse uyruğunuz ve pasaport numaranız), tebligata esas yerleşim yeri veya iş yeri adresiniz, varsa bildirime esas e-posta adresiniz ve telefon numaranız ile talep konunuz bulunmalıdır. Talebinize ilişkin bilgi ve belgeleri başvurunuza eklemeniz, talebin daha hızlı sonuçlandırılmasını sağlar.

Telefonla yapılan görüşmeler, başvurunun kimlik doğrulaması yapılamadığı için resmî bir başvuru sayılmaz; telefon kanalı yalnızca süreç hakkında bilgi almak içindir.

Yanıt süreleri. KVKK'nın 13. maddesi uyarınca talepleriniz, niteliğine göre en kısa sürede ve her hâlde başvurunun bize ulaşmasından itibaren otuz gün içinde sonuçlandırılır. GDPR'ın 12. maddesi uyarınca ise süre bir aydır; talebin karmaşıklığı veya çokluğu hâlinde bu süre iki ay daha uzatılabilir, uzatma ilk ay içinde size gerekçesiyle bildirilir. Avrupa Birliği'nde bulunan ilgili kişilere, iki süreden kısa olanı uygulanır.

Talebiniz ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir; GDPR kapsamındaki taleplerde ise yalnızca açıkça temelsiz veya aşırı tekrarlanan talepler için makul bir ücret istenebilir.

Başvurunuzu yanıtlamadan önce, talebin gerçekten sizden geldiğini doğrulamak amacıyla kimliğinizi teyit etmek için ek bilgi isteyebiliriz. Bu adım, verilerinizin yetkisiz bir kişiye açıklanmasını önlemek içindir.

Başvurunuz reddedilirse, verdiğimiz yanıtı yetersiz bulursanız veya süresinde yanıt alamazsanız; yanıtı öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

13. Çocukların verileri

İnternet sitemiz, endüstriyel tesislere yönelik mühendislik ürünleri hakkında bilgi sunan kurumsal bir sitedir; çocuklara yönelik değildir ve içeriği çocukların ilgisini çekecek nitelikte değildir. Bilerek on altı yaşın altındaki kişilerden kişisel veri toplamayız.

On altı yaşın altındaki bir kişinin bize veri ilettiğini öğrenmemiz hâlinde, bu veriyi gecikmeksizin sileriz. Çocuğunuzun bize veri ilettiğini düşünüyorsanız, 12. bölümdeki kanallardan bize ulaşabilirsiniz.

14. Özel nitelikli kişisel veriler

KVKK'nın 6. maddesi, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri olarak tanımlar. 12 Mart 2024 tarihli 7499 sayılı Kanun ile bu maddenin işleme şartları, GDPR'ın 9. maddesindeki yapıya yaklaştırılmıştır.

Bu kategoride hiçbir veri işlemiyoruz. Sitemizdeki hiçbir form bu nitelikte bir bilgi istemez, ticari faaliyetimiz bu nitelikte veri gerektirmez.

Bize gönderdiğiniz bir mesajda bu nitelikte bir bilgi paylaşmanız hâlinde — örneğin bir toplantı talebinde sağlık durumunuzdan söz etmeniz — bu bilgiyi talebinizin gereğini yerine getirmek için gereken en kısa süre boyunca işler, kaydetmez ve ardından imha ederiz. Yazışmalarınızda bu nitelikte bilgi paylaşmamanızı öneririz.

15. Bu metindeki değişiklikler

Bu metni, mevzuat değişiklikleri, kullandığımız araçlardaki değişiklikler veya iş süreçlerimizdeki değişiklikler nedeniyle güncelleyebiliriz. Güncel metin her zaman bu adreste yayımlanır ve en üstte son güncelleme tarihi belirtilir.

İşleme faaliyetlerimizde esaslı bir değişiklik olması hâlinde — yeni bir veri kategorisinin işlenmeye başlanması, yeni bir amaç eklenmesi veya verilerin yeni bir tarafa aktarılmaya başlanması gibi — değişikliği internet sitemizde ayrıca duyururuz. Değişiklik, onayınıza dayanan bir işlemeyi genişletiyorsa, yeni kapsam için ayrıca onayınızı isteriz; mevcut onayınızı genişletilmiş bir kapsama kendiliğinden uygulamayız.

Bu metnin önceki sürümlerinden birini görmek isterseniz, 12. bölümdeki kanallardan talep edebilirsiniz.

16. Yürürlük

Bu metin 9 Ekim 2026 tarihinde yürürlüğe girmiştir ve yukarıda belirtilen son güncelleme tarihi itibarıyla geçerlidir.