HepTakipte · Kişisel verilerin korunması

Kişisel verileriniz.
Açık ve anlaşılır.

Web sitesi, görüşme talepleri ve platform kullanımı kapsamında kişisel verilerin işlenmesine ilişkin aydınlatma taslağı.

Yayın öncesi taslak · Şirket bilgileri tamamlanacakVeri sorumlusu kimliği, başvuru adresleri ve aşağıda belirtilen işletmeye özgü veri akışları doğrulanmadan bu belge nihai aydınlatma metni olarak kullanılmamalıdır. Bu metin açık rıza talebi değildir.

01. Veri sorumlusu ve iletişim

HepTakipte markası altında yürütülen ve amaçları ile araçları hizmet işletmecisi tarafından belirlenen kişisel veri işleme faaliyetlerinin veri sorumlusu aşağıda bilgileri tamamlanacak gerçek veya tüzel kişidir. Marka adı, veri sorumlusunun tam kimliğinin yerine geçmez.

Adı soyadı / ticaret unvanı
[Şirket / işletmeci bilgisi eklenecek]
Tebligata elverişli adres
[Adres eklenecek]
KVKK başvuru e-postası
[Başvuru adresi eklenecek]
KEP adresi
[Varsa eklenecek]

Sitedeki genel görüşme adresi info@heptakipte.com olarak tanımlıdır. Bu adresin resmî ilgili kişi başvuru kanalı olarak kullanılacağı henüz doğrulanmamıştır.

02. Bu metnin kapsamı ve veri rolleri

Bu taslak; site ziyaretçileri, görüşme veya bilgi talebinde bulunan kişiler ve müşteri işletmelerin temsilcileri için hazırlanmıştır. Çalışan, iş başvurusu ve müşteri işletmelerin kendi müşterilerine yönelik aydınlatmaların yerine geçmez.

HepTakipte’nin kendi faaliyetleri

HepTakipte işletmecisi; kendi satış görüşmelerini, hesap ilişkilerini, destek taleplerini ve hukuki başvuruları yönetirken bu faaliyetlerin amaçlarını belirlediği ölçüde veri sorumlusudur.

Müşteri işletmelerin çalışma alanları

Bir işletmenin müşterileriyle yaptığı görüşmeler, randevular, destek kayıtları ve yüklediği içerikler bakımından amaçları belirleyen müşteri işletme veri sorumlusudur. HepTakipte yalnızca onun belgelenmiş talimatlarıyla hareket ettiği işlemlerde veri işleyendir. Rol dağılımı işlem bazında belirlenir; B2B hizmet sunulması tek başına tüm işlemlerde veri işleyen olunduğu anlamına gelmez.

Müşteri işletme, kendi müşterilerini ilgili toplama kanalında aydınlatmalıdır. Bu sayfa, müşteri işletmenin aydınlatma yükümlülüğünü devralmaz. Veri işleme sözleşmesi; talimatları, gizliliği, alt işleyenleri, güvenliği, hak taleplerine desteği ve hizmet sonunda iade/imha süreçlerini ayrıca düzenlemelidir.

03. Veriler, amaçlar ve hukuki sebepler

Aşağıdaki ayrım, mevcut görüşme formu ve öngörülen hizmet süreçleri esas alınarak hazırlanmıştır. Hizmet hesabı, faturalama ve güvenlik kayıtlarının üretim ortamındaki kapsamı henüz teyit edilmemiştir. Hukuki sebepler, ilgili işlemin koşulları gerçekleştiğinde uygulanır; tüm veri kategorilerine topluca uygulanmaz.

Görüşme ve bilgi talepleri

Veriler: Ad soyad, şirket bilgisi, e-posta, isteğe bağlı telefon, seçilen iletişim kanalları ve sizin yazdığınız not.

Amaç: Talebinizi değerlendirmek, size geri dönmek ve talep ettiğiniz görüşmeyi hazırlamak.

Hukuki sebep: Sözleşmenin tarafı olacak gerçek kişinin sözleşme öncesi talebi için m.5/2(c); tüzel kişi müşterinin temsilcisiyle talep üzerine iletişim için, temel haklara zarar vermemek kaydıyla m.5/2(f) kapsamındaki meşru menfaat. İkinci durumda gereklilik ve menfaat dengesi işletmeci tarafından belgelenmelidir.

Hizmet hesabı ve destek ilişkisi

Veriler: Etkinleştirilen hizmete göre kullanıcı adı, iş iletişim bilgileri, işletme ve rol bilgileri, destek yazışmaları ile işlem kayıtları.

Amaç: Yetkili kullanıcıya hizmet sunmak, hesap erişimini yönetmek ve destek talebini çözmek.

Hukuki sebep: Gerçek kişi sözleşme tarafı için gerekli işlemlerde m.5/2(c); işletme temsilcilerinin iş iletişimi ve yetki yönetiminde hak dengesi sağlanarak m.5/2(f). Belirli bir uyuşmazlığın ispatı için gerekli kayıtların korunması ayrıca m.5/2(e) kapsamında değerlendirilir.

Faturalama ve yasal yükümlülükler

Veriler: Ücretli ilişki kurulduğunda gerekli fatura kimliği, adres, vergi bilgileri ve ödeme işlem kayıtları.

Amaç: Faturanın düzenlenmesi, muhasebe ve uygulanabilir mali yükümlülüklerin yerine getirilmesi.

Hukuki sebep: İlgili mali mevzuatın gerektirdiği ölçüde m.5/2(a) ve m.5/2(ç). Tahsilat altyapısı ve hangi ödeme alanlarının işletmeciye ulaştığı belirlenmeden kart verilerinin saklanmadığına ilişkin kesin bir beyan verilmez.

Güvenlik ve ilgili kişi başvuruları

Veriler: Gerçek altyapıda oluştuğu ölçüde IP, erişim zamanı, oturum ve güvenlik olayları; başvurularda kimlik doğrulama, iletişim ve talep bilgileri.

Amaç: Yetkisiz erişimleri incelemek, hizmeti korumak ve KVKK taleplerini sonuçlandırmak.

Hukuki sebep: KVKK m.12–13 kapsamındaki yükümlülüklerin gerektirdiği işlemler için m.5/2(ç); somut güvenlik ihtiyacında hak dengesi korunarak m.5/2(f); hak arama ve savunma için gerekli işlemlerde m.5/2(e). Gerçek log alanları ve süreleri altyapı envanteriyle tamamlanmalıdır.

İsteğe bağlı pazarlama

Görüşme talebinde bulunmak, bülten veya reklam gönderimine onay vermek değildir. Böyle bir faaliyet başlatılırsa uygulanabilir KVKK işleme şartı ve ticari elektronik ileti kuralları ayrı değerlendirilir. Açık rızaya dayanılan işlemlerde tercih belirli, bilgilendirilmiş ve özgür olmalı; hizmet için gerekmeyen rıza hizmetin şartı yapılmamalıdır.

Özel nitelikli veriler

Görüşme formuna sağlık bilgisi, biyometrik veya genetik veri, ceza mahkûmiyeti bilgisi, kimlik belgesi, ödeme kartı bilgisi ya da üçüncü kişilerin gereksiz bilgilerini yazmayın. Sağlık/klinik kullanımında sıradan iletişim verisi dahi bağlamıyla sağlık bilgisi ortaya çıkarabilir. Bu akış için güncel m.6’daki uygun şart, yeterli önlemler ve özel aydınlatma ayrıca belirlenmelidir; bu genel metin böyle bir işlemeye izin vermez.

04. Bilgiler nasıl elde edilir?

Mevcut “Başlayın” formu, düğmeye basıldığında tarayıcı üzerinden e-posta uygulamanızda bir taslak açar. İncelenen form kodu bilgilerinizi site sunucusuna POST etmez. E-postayı gönderirseniz bilgiler alıcı posta kutusuna, kullandığınız e-posta hizmeti üzerinden ulaşır. Posta uygulamasının veya sağlayıcısının taslak saklama davranışı kendi hizmetine bağlıdır.

Görüşme talebi doğrudan e-posta ile de iletilebilir. Platform etkin kullanıldığında bilgiler yetkili kullanıcı girişleri ve işletmenin bağladığı kanallar/API’ler üzerinden tamamen veya kısmen otomatik yöntemlerle; yazılı belgeler bakımından veri kayıt sisteminin parçası olarak otomatik olmayan yollarla elde edilebilir. Her etkin kanal kendi kapsamıyla açıklanmalıdır.

Pilot taslağını forma aktaran kod heptakipte.pilot-draft.v1 adlı sessionStorage kaydını okur ve kaldırır. Bu, tarayıcıdaki geçici oturum depolamasıdır. Barındırma erişim kayıtları, üçüncü taraf istekleri ve çerezler formun e-posta yöntemiyle çalışmasından ayrı değerlendirilir. Bu nedenle “site hiçbir veri toplamaz” sonucu çıkarılamaz.

05. Alıcılar ve yurt dışı aktarım

Teyit bekleyen alan: Kullanılan sağlayıcıların tüzel kimlikleri, veri merkezleri, uzaktan erişim ülkeleri ve sözleşmeleri bildirilmedi. Aşağıdaki alıcı grupları süreç taslağıdır; gerçek alıcı envanterinin yerine geçmez.

  • E-posta ve iletişim sağlayıcıları: Gönderilen talebin iletilmesi ve cevaplanması için gerekli iletişim ve mesaj içeriği.
  • Barındırma ve teknik hizmet sağlayıcıları: Fiilen verilen depolama, erişim veya güvenlik hizmetinin gerektirdiği kayıtlar.
  • Bağlanan kanal, CRM ve takvim hizmetleri: İşletmenin etkinleştirdiği entegrasyon ve talimatıyla sınırlı veri. Sitede logo gösterilmesi, bu hizmete veri aktarıldığını tek başına kanıtlamaz.
  • Muhasebe ve hukuk hizmeti sağlayıcıları: İlgili hizmet için gerekli mali belgeler veya uyuşmazlık kayıtları; yalnızca bu hizmetler kullanılıyorsa.
  • Yetkili kamu kurumları ve yargı mercileri: Hukuken geçerli talepler veya uygulanabilir yükümlülüklerle sınırlı bilgi.

Yurt içi aktarımda m.8 ve ilgili m.5/m.6 şartları aranır. Yurt dışındaki bulut, destek erişimi veya AI hizmeti için m.9 ayrıca uygulanır. Veriyi Türkiye’de tutmak, yurt dışından erişim varsa tek başına aktarımı dışlamaz.

Yurt dışı aktarımda uygun işleme şartına ek olarak yeterlilik kararı veya kanunun öngördüğü uygun güvence koşulları değerlendirilir. Standart sözleşme seçilirse gerçek aktaran/alıcı rollerine uygun Kurul metni, usulüne uygun imza ve imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim gerekir. Sağlayıcının genel DPA’sı veya AB standart sözleşmesi tek başına bu işlemleri karşılamaz. Arızi aktarım istisnaları düzenli bulut akışının genel dayanağı olarak kullanılamaz.

Bu taslak, herhangi bir sağlayıcı için aktarım güvencesinin tamamlandığını beyan etmez. Nihai metinde fiilî alıcı grubu, aktarım amacı ve uygulanan mekanizma açıklanmalıdır.

06. Yapay zekâ ve otomatik işlemler

Müşteri işletmenin seçtiği özellikler kapsamında mesajdan talep belirleme, yanıt taslağı, özet veya yönlendirme üretilmesi kişisel veri işleme oluşturabilir. İşletme; kullanılacak veri kategorilerini, sağlayıcıyı, saklama/eğitim ayarlarını ve varsa yurt dışı aktarımını ilgili akış için belirlemelidir.

Sağlayıcı sözleşmesi ve ayarları doğrulanmadığından burada “veriler model eğitiminde kullanılmaz”, “hiç saklanmaz” veya “yalnızca Türkiye’de işlenir” garantisi verilmemektedir. Münhasıran otomatik analiz sonucu aleyhinize bir sonuç doğarsa m.11 kapsamında itiraz hakkınız vardır. Talebin hangi işletmenin işlemiyle ilgili olduğu dikkate alınarak yetkili veri sorumlusuna iletilmesi gerekir.

07. Saklama, silme ve güvenlik

Kişisel veriler, uygulanabilir mevzuatın zorunlu kıldığı veya işleme amacının gerektirdiği süreyle sınırlı tutulmalıdır. Tüm kayıtlar için tek bir süre uygulanamaz. İletişim talebi, mali belge, erişim kaydı, müşteri mesajı ve yedek için başlangıç olayı, süre, gerekçe ve imha yöntemi ayrı belirlenmelidir.

Önceki metindeki “son temastan sonra 90 gün” uygulaması teknik ve operasyonel olarak doğrulanamadığından kaldırılmıştır. Mevcut saklama süreleri teyit beklemektedir. İşleme şartları sona erdiğinde m.7 ve ilgili Yönetmelik uyarınca silme, yok etme veya anonimleştirme uygulanır; devam eden hukuki yükümlülük ya da somut uyuşmazlık için gerekli kayıtlar yalnızca ilgili amaçla sınırlandırılır. İmha işlem kayıtları, diğer yükümlülükler saklı kalmak üzere en az üç yıl saklanır.

Veri sorumlusu, m.12 uyarınca uygun teknik ve idari tedbirleri almakla yükümlüdür. Yetki sınırlandırma, erişim kontrolü, yedeklerin yönetimi, tedarikçi denetimi ve olay müdahalesinin gerçek uygulaması ayrıca doğrulanmalıdır. Bu metin güvenlik sertifikası, yapılmış denetim veya mutlak güvenlik garantisi değildir.

08. Kişisel verilerinize ilişkin haklarınız

Kanun’un 11. maddesi uyarınca veri sorumlusuna başvurarak:

  • Kişisel verilerinizin işlenip işlenmediğini öğrenebilir, işleniyorsa bilgi isteyebilirsiniz.
  • İşlemenin amacını ve verilerin bu amaçla kullanılıp kullanılmadığını sorabilirsiniz.
  • Yurt içindeki veya dışındaki veri alıcılarını öğrenebilirsiniz.
  • Eksik veya yanlış verilerin düzeltilmesini isteyebilirsiniz.
  • m.7 koşulları oluştuğunda silme veya yok etme talep edebilirsiniz.
  • Düzeltme ve silme/yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteyebilirsiniz.
  • Yalnızca otomatik analizle aleyhinize doğan sonuca itiraz edebilirsiniz.
  • Hukuka aykırı işleme nedeniyle uğradığınız zararın giderilmesini talep edebilirsiniz.

Açık rızaya dayanan bir işlem için rızanızı ileriye etkili olarak geri alabilirsiniz. Başka geçerli işleme şartı veya saklama yükümlülüğü bulunan kayıtların durumu ayrıca değerlendirilir.

09. Başvuru ve şikâyet yolu

Başvurunuzu kimlik bölümünde tamamlanacak adreslere; yazılı olarak, KEP, güvenli elektronik imza, mobil imza veya daha önce bildirdiğiniz ve veri sorumlusunun sisteminde kayıtlı bulunan e-posta adresi üzerinden iletebilirsiniz. Başvuru için özel yazılım sağlanırsa bu kanal da ayrıca açıklanır.

Başvuruda ad soyad, yazılı başvuruda imza, T.C. vatandaşları için T.C. kimlik numarası; yabancılar için uyruk, pasaport veya varsa kimlik numarası, tebligat adresi, varsa bildirime esas e-posta/telefon/faks ve talebin konusu bulunmalıdır. İlgili bilgi ve belgeler eklenir. Kimlik doğrulamada gereğinden fazla veri talep edilmemelidir.

Talepler en kısa sürede ve en geç 30 gün içinde sonuçlandırılır. İşlem kural olarak ücretsizdir; ayrıca maliyet doğarsa Kurulun belirlediği tarife uygulanabilir. Veri sorumlusunun hatasından kaynaklanan ücret iade edilir.

Ret, yetersiz cevap veya süresinde cevap verilmemesi durumunda Kurula şikâyet edebilirsiniz. Süresinde gelen cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvurudan itibaren 60 gün sınırı geçerlidir. İlk 30 gün cevap gelmezse cevap beklemeden, başvurudan itibaren 60 gün içinde şikâyet yoluna başvurabilirsiniz.

Müşteri işletmenin mesaj veya randevu kaydıyla ilgili talepte, ilgili işletmeyi ve ilişkiyi belirtin. İşlemin veri sorumlusu müşteri işletmeyse esas değerlendirmeyi o yapar; HepTakipte’nin veri işleyen olarak desteği ayrı yürütülür. Genel iletişim formuna kimlik belgenizi yüklemeyin.