Kişisel Verilerin Korunması ve İşlenmesi Hakkında Aydınlatma Metni

KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ HAKKINDA AYDINLATMA METNİ SAYIN ÜYEMİZ VE DEĞERLİ KULLANICILARIMIZ, CORESTAS ("Platform") olarak, kişisel verilerinizin güvenliği ve gizliliği bizim için en yüksek önceliktir. Dijital emlak dünyasında güvenli bir ekosistem oluşturma vizyonumuz doğrultusunda; Platformumuzu kullanırken paylaştığınız verilerin hangi amaçlarla işlendiği, kimlerle paylaşıldığı ve bu süreçteki haklarınız konusunda sizi en şeffaf şekilde bilgilendirmeyi amaçlıyoruz. İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.10 ve ilgili tebliğler uyarınca; sade, anlaşılır ve tereddütte yer vermeyecek bir dille hazırlanmıştır. Platform üzerinden gerçekleştirdiğiniz her türlü işlemde verilerinizin; hukuka, dürüstlük kurallarına ve "belirlilik ve şeffaflık" ilkelerine uygun olarak korunacağını taahhüt ederiz. VERİ SORUMLULARININ SIFATLARI VE SORUMLULUK PAYLAŞIMI İşbu Platform üzerinden yürütülen veri işleme faaliyetlerinde, KVKK m.3 uyarınca veri sorumluluğu sıfatı aşağıdaki şekilde paylaşılmıştır: Platform Sahibi Olarak CORESTAS:Yazılım altyapısını sağlayan, veri kayıt sistemini (ID bazlı hiyerarşi) kuran, teknik muhafaza şartlarını ve vasıtaları belirleyen CORESTAS [Platform Sahibi Şirket]’tir. Platform, sistemin teknik güvenliğinden ve altyapının KVKK'ya uyumundan sorumludur. Üyeler tarafından sisteme girilen üçüncü şahıslara (müşteri, malik, alıcı, kiracı) ait portföy ve tapu verileri bakımından ve üye çalışanlarına ait veriler bakımından ise Platform kural olarak teknik altyapı sağlayıcı ve "Veri İşleyen" konumundadır. Üye (Emlakçı/Emlak Ofisi- Birinci Derece Veri Sorumlusu): Platforma kendi portföyünü ve müşterilerine müşterilerine (malik, alıcı, kiracı vb.) ait kişisel verileri (tapu kayıtları, ada/parsel, iletişim ve kimlik bilgileri) ve kendi çalışanlarının kurumsal bilgilerini giren Üye; söz konusu verilerin toplanma amaç ve vasıtalarını bizzat belirlemesi sebebiyle "Bağımsız Veri Sorumlusu" sıfatına sahiptir. Üye; Platform’a yüklediği tüm üçüncü kişi verileri bakımından KVKK m. 10 uyarınca aydınlatma yükümlülüğünü eksiksiz yerine getirdiğini, gereken hallerde KVKK m. 5 ve m. 6 uyarınca geçerli açık rızaları temin ettiğini, verilerin güncelliğini ve hukuka uygunluğunu sağladığını gayrikabili rücu kabul, beyan ve taahhüt eder. İŞLENEN KİŞİSEL VERİ KATEGORİLERİ VE İŞLENME AMAÇLARI Platform bünyesinde, KVKK m.4’teki genel ilkelere (hukuka ve dürüstlük kurallarına uygunluk, doğru ve güncel olma, belirli, açık ve meşru amaçlar, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma) mutlak surette uyularak aşağıdaki veriler işlenmektedir: Üye Kimlik Verileri: Şahıs firması sahibi veya yetkilisi olan ilgili kişilere ait ad, soyad, T.C. kimlik numarası ve imza beyanı/sirküleri gibi kimlik verileri; üyelik sözleşmesinin kurulması ve ifası, kimlik teyidi ile 213 sayılı Vergi Usul Kanunu ve ilgili mali mevzuat gereği faturalandırma işlemlerinin yürütülmesi amacıyla KVKK m. 5/2-c (sözleşmenin kurulması ve ifası) ve KVKK m. 5/2-ç (hukuki yükümlülüğün yerine getirilmesi) hukuki sebeplerine dayalı olarak işlenmektedir. Tüzel kişi üye ve şirket temsilcilerine ait vergi kimlik numarası, ticaret unvanı, MERSİS numarası, şirket temsilcisi ad-soyadı ve imza sirküleri gibi kurumsal ve kimlik verileri; üyelik sözleşmesinin tesisi, cari hesap takibi ve 213 sayılı Vergi Usul Kanunu uyarınca e-fatura/e-arşiv fatura tanzimi amacıyla KVKK m. 5/2-c (sözleşmenin ifası) ve KVKK m. 5/2-ç (hukuki yükümlülük) hukuki sebepleri kapsamında işlenmektedir. Üye Firma Çalışanı Verileri: Üye firma bünyesinde görev yapan çalışan ve personele ait ad, soyad, kurumsal e-posta, kurumsal telefon numarası, görev/unvan, Platform kullanıcı ID'si ve rol yetkilendirme bilgileri; Platform üzerinde ID bazlı hiyerarşik yetkilendirmenin (RBAC) yapılması, kullanıcı işlem log kayıtlarının tutulması, hesap güvenliğinin temini ve yetkisiz erişimlerin önlenmesi amaçlarıyla KVKK m. 5/2-c (sözleşmenin ifası) ve KVKK m. 5/2-f (veri sorumlusunun meşru menfaati) hukuki sebeplerine dayanılarak işlenmektedir. İletişim Verileri: Şahıs ve tüzel kişi üye yetkilileri ile çalışanlarına ait telefon numarası, e-posta adresi, iş yeri tebligat adresi ve KEP adresi; üyelik süreçlerinin yürütülmesi, operasyonel bildirimlerin yapılması ve iki faktörlü doğrulama/aktivasyon kodlarının (OTP) iletilmesi amacıyla KVKK m. 5/2-c (sözleşmenin ifası) hukuki sebebi doğrultusunda işlenmektedir. Finans ve Ödeme Verileri: Şahıs ve tüzel kişi üyelerin üyelik aidat ve hizmet bedellerinin tahsili, muhasebe entegrasyonu ve finansal mutabakat süreçlerinin yürütülmesi amacıyla; ödeme işlem tutarı, ödeme tarihi, fatura kayıtları, lisanslı ödeme kuruluşu iyzico işlem referans kodu ve maskelenmiş kart bilgisi (token) işlenmektedir. Kredi ve banka kartı verileri CORESTAS sunucularında tutulmamakta olup ödeme altyapısı 6493 sayılı Kanun kapsamında yetkili ödeme kuruluşu iyzico tarafından güvenle sağlanmaktadır. Bu veriler KVKK m. 5/2-c (sözleşmenin ifası) ve KVKK m. 5/2-ç (hukuki yükümlülük) hukuki sebeplerine dayalı olarak işlenmektedir. Müşteri ve Gayrimenkul (Portföy) Verileri: Üye’nin emlak portföyünün dijital ortamda yönetilmesi, ilan ve pazarlama faaliyetlerinin Üye adına yürütülmesi amacıyla sisteme girilen taşınmaza ait ada/parsel/tapu bilgileri ile gayrimenkul maliki veya ilgili kişilere ait iletişim ve kimlik bilgileri, veri minimizasyonu ilkesi gereği yalnızca zorunlu asgari düzeyde işlenmektedir. Platform bu veriler bakımından Üye ile akdedilen sözleşmenin ifası kapsamında Veri İşleyen sıfatıyla KVKK m. 5/2-c hukuki sebebine dayanarak veri işleme faaliyetinde bulunmaktadır. Teknik ve İşlem Güvenliği Verileri: Tüm kullanıcılar ve üye firma çalışanlarına ait IP adresi, port bilgileri, sistem erişim logları, oturum açma/kapama saatleri, 2FA (İki Faktörlü Doğrulama) logları, tarayıcı ve cihaz bilgileri; 5651 sayılı Kanun m. 3, 6 ve ilgili mevzuat uyarınca trafik verilerinin saklanması yükümlülüğünün yerine getirilmesi, bilgi güvenliği süreçlerinin yürütülmesi ve siber saldırıların tespiti ile önlenmesi amacıyla KVKK m. 5/2-ç (kanunlarda açıkça öngörülme ve hukuki yükümlülük) ve KVKK m. 5/2-f (meşru menfaat) hukuki sebepleri kapsamında işlenmektedir. Veri Minimizasyonu Taahhüdü: Platformumuzda işlenen tüm kişisel veriler, KVKK m.4/2 uyarınca 'işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma' ilkesine sıkı sıkıya bağlı olarak toplanmaktadır. Bu kapsamda; Müşteri ve Gayrimenkul verilerinde yalnızca emlak mevzuatı ve portföy yönetimi için zorunlu olan asgari bilgiler (örn. ada/parsel no, mülkiyet durumu) işlenmekte olup, gereksiz detayların veya fiziki evrak fotokopilerinin sisteme yüklenmesi teknik olarak engellenmektedir. T.C. Kimlik Numarası yalnızca faturalandırma amacıyla zorunlu tutulmakta, diğer temel hizmetler için talep edilmemektedir. Üye, sisteme girdiği verilerde bu minimizasyon kuralına uymakla yükümlüdür. VERİ TOPLAMA YÖNTEMİ VE HUKUKİ SEBEPLER Kişisel veriler; Platform web arayüzü, mobil uygulamalar, kurumsal API entegrasyonları, üyelik kayıt formları, çağrı merkezi destek kanalları ve sisteme entegre elektronik araçlar vasıtasıyla; tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla toplanmaktadır. Sözleşmenin İfası: Üyelik hizmetinin sunulması için ve platformun temel fonksiyonlarının çalışması için zorunluluk. Hukuki Yükümlülük: Vergi mevzuatı, 5651 sayılı Kanun ve resmi makamların denetim yetkisi kapsamındaki yasal zorunluluklar. Meşru Menfaat: İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, platformun siber güvenliğinin sağlanması, sahtecilikle mücadele ve hizmet kalitesinin artırılması. Açık Rıza: Yurt dışı sunucularda depolama, ticari elektronik ileti gönderimi, üyeler arası portföy paylaşımı ve biyometrik veri işleme faaliyetleri yalnızca ilgili kişinin özgür iradesiyle vereceği açık rızaya istinaden gerçekleştirilir. Açık rıza verilmesi, temel platform hizmetlerinden yararlanmanın bir ön şartı değildir. Veri Doğrulama Mekanizması: Üyeler tarafından sisteme manuel olarak girilen iletişim verileri (e-posta, telefon), otomatik doğrulama (OTP/Aktivasyon linki) mekanizmaları ile teyit edilmeden ticari iletişim veya paylaşım süreçlerinde kullanılmaz. Hatalı veri girişinden doğan sorumluluk münhasıran veriyi giren Üye'ye aittir. VERİ AKTARIMI VE ÜÇÜNCÜ KİŞİLERLE PAYLAŞIM Yurt İçi Aktarımlar: Ödeme Hizmeti Sağlayıcısı (iyzico): 6493 sayılı Kanun kapsamında faaliyet gösteren lisanslı ödeme kuruluşu İyzico Ödeme Hizmetleri A.Ş.’ye, ödeme ve tahsilat süreçlerinin yürütülmesi, fraud (sahtecilik) kontrolleri ve PCI-DSS standartlarına uygun ödeme doğrulamasının yapılması amacıyla (KVKK m. 5/2-c ve 5/2-ç kapsamında), Yetkili Kamu Kurum ve Kuruluşları: Gelir İdaresi Başkanlığı, Hazine ve Maliye Bakanlığı, adli merciler, emniyet birimleri ve Siber Güvenlik Başkanlığı başta olmak üzere mevzuat gereği yetkili kamu kurumlarına yasal bildirim, denetim ve tebligat yükümlülüklerinin yerine getirilmesi amacıyla (KVKK m. 5/2-ç kapsamında), Dış Hizmet Sağlayıcıları ve Danışmanlar: Hukuk, mali müşavirlik, bağımsız denetim ve BT destek hizmeti alınan iş ortaklarına sır saklama ve gizlilik taahhütnameleri tahtında aktarılmaktadır. 4.2. Sunucuların Konumu ve Yurt Dışı Yedekleme: Platform’un ana üretim veritabanı ve birincil sunucuları Türkiye Cumhuriyeti sınırları dahilinde konuşludur. Ancak iş sürekliliğinin sağlanması, veri kaybının önlenmesi ve felaket kurtarma (disaster recovery) süreçlerinin küresel standartlarda işletilmesi amacıyla, şifrelenmiş veritabanı yedekleri yurt dışında mukim güvenli bulut hizmet sağlayıcısı altyapısında (Google Cloud Platform) saklanabilmektedir. Söz konusu yurt dışı yedekleme faaliyeti KVKK m. 9 hükümlerine ve Kişisel Verileri Koruma Kurulu kararlarına uygun şekilde, Standart Sözleşme Maddeleri / Yeterli Koruma Taahhütnameleri güvencesiyle ve yalnızca ilgili kişinin açık rıza vermesi şartıyla gerçekleştirilir. Açık rıza verilmemesi durumunda veriler yalnızca yurt içi sunucularda tutulur ve bu durum temel Platform üyelik hizmetlerinden faydalanılmasına engel teşkil etmez. VERİ GÜVENLİĞİ TEDBİRLERİ VE İHLAL BİLDİRİMİ Platform, KVKK m.12/1 uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek amacıyla aşağıdaki idari ve teknik tedbirleri almaktadır: Her kullanıcıya özel ID tanımlaması ve Rol Bazlı Erişim Kontrolü (Role-Based Access Control - RBAC) uygulanmaktadır. Sistem üzerinde düzenli sızma (penetrasyon) testleri, firewall (güvenlik duvarı) izlemeleri yapılmakta ve log kayıtları 5651 sayılı Kanun'a uygun tutulmaktadır. Personel veri güvenliği eğitimlerinden geçirilmekte ve "İzin Verilmedikçe Her Şey Yasaktır" prensibi uygulanmaktadır. İhlal Bildirimi: Herhangi bir veri ihlali tespiti halinde, KVKK m.12/5 uyarınca en geç 72 saat içerisinde ilgili kişilere ve Kişisel Verileri Koruma Kurulu'na bildirim yapılacaktır. VERİ SAKLAMA VE İMHA POLİTİKASI Kişisel veriler, ilgili yasal saklama süreleri (Türk Ticaret Kanunu, Vergi Usul Kanunu, 5651 sayılı Kanun ve sair mevzuat gereği 10 yıllık genel zamanaşımı ve defter tutma süreleri) boyunca muhafaza edilir. Sözleşme ilişkisinin sona ermesi ve yasal saklama yükümlülüklerinin kalkması akabinde, veriler Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve Platform Veri İmha Politikası doğrultusunda ilk periyodik imha döneminde resen veya ilgili kişinin haklı talebi üzerine güvenli yöntemlerle silinir, yok edilir veya anonim hale getirilir. ÜYE’NİN ÖZEL TAAHHÜDÜ VE RÜCU HÜKMÜ Üye; Platform’a tanımladığı çalışanlarının kurumsal bilgilerini ve sisteme yüklediği üçüncü şahıs müşteri/malik portföy kayıtlarını KVKK’ya uygun olarak elde ettiğini, çalışanlarına ve müşterilerine karşı KVKK m. 10 kapsamındaki aydınlatma yükümlülüğünü eksiksiz ifa ettiğini, gerekmesi halinde açık rızalarını aldığını kabul ve taahhüt eder. Üye firma çalışanlarının, Platform’a erişim yetkilerini amacı dışında kullanması, sisteme yetkisiz kişisel veri girişi yapması, verileri şahsi cihazlara indirmesi veya hukuka aykırı olarak ifşa etmesi hallerinde sorumluluk münhasıran Üye’ye aittir. Üye’nin işbu Aydınlatma Metni’nde, KVKK’da ve ilgili mevzuatta yer alan yükümlülüklerini ihlal etmesi sebebiyle Platform’un (CORESTAS) Kişisel Verileri Koruma Kurulu tarafından idari para cezasına çarptırılması veya mahkemelerce tazminata mahkûm edilmesi halinde; ödenen tüm idari para cezaları, tazminatlar, yargılama giderleri ve vekalet ücretleri fer’ileri ve ticari reeskont faiziyle birlikte birinci talepte nakden ve defaten Üye’ye rücu edilecektir. İLGİLİ KİŞİ HAKLARI 8.1. KVKK m.11 uyarınca ilgili kişiler (Üye veya müşterisi); kişisel verilerinin işlenip işlenmediğini öğrenme, amacına uygun kullanılıp kullanılmadığını bilme, yurt içinde/yurt dışında aktarıldığı kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini isteme, KVKK m.7 çerçevesinde silinmesini talep etme haklarına sahiptir. Bu haklarınızı kullanmak için taleplerinizi [E-posta Adresi] adresine veya [Fiziki Şirket Adresi] adresine yazılı olarak iletebilirsiniz. Talepleriniz, niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılacaktır. İşlemin ayrıca bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir. 8.2.Veri Taşınabilirliği: Üyelerimiz, sisteme girdikleri kendi portföy verilerini (XML/JSON formatında) diledikleri zaman ücretsiz olarak dışa aktarma ve diğer platformlara taşıma hakkına sahiptir. Platform, bu hakkın kullanımını engelleyici hiçbir teknik veya hukuki kısıtlama uygulamaz.