PUSULA — Kişisel Verilerin Korunması Aydınlatma Metni

1.Veri Sorumlusu

Kişisel verileriniz, veri sorumlusu sıfatıyla NARCHVIZ (Tayfun Tanrıöver) tarafından KVKK m.10 kapsamında işlenmektedir.

• Ticari unvan: ____ (yasal onay sürecinde tamamlanacaktır)
• Adres: ____ (yasal onay sürecinde tamamlanacaktır)
• KEP / E-posta: ____ (yasal onay sürecinde tamamlanacaktır)
• Web: narchviz.com

2.İşlenen Kişisel Veriler

PUSULA'yı kullanımınız sırasında aşağıdaki veriler işlenir:

• Kimlik ve iletişim: giriş için e-posta adresiniz (magic-link) ve paylaştığınız içerikte yer alabilecek ad vb. bilgiler.
• Müşteri / proje içeriği: platforma yazdığınız mesajlar, talepler, notlar ve yorumlar; yüklediğiniz görsel, render, dosya ve belgeler.
• İşlem güvenliği ve günlük (log) verileri: IP adresi, cihaz/ağ tanımlayıcıları (tarayıcı türü — user-agent; uygulanan loglama düzeyine göre, sistemin eriştiği ölçüde MAC adresi gibi ağ tanımlayıcıları dâhil olabilir), oturum bilgisi, çerezler, giriş-çıkış zamanları ve "hangi kullanıcının ne zaman hangi işlemi yaptığına" dair erişim ve işlem (denetim) kayıtları.

3.Kişisel Verilerin Toplanma Yöntemi

Kişisel verileriniz; platforma e-posta magic-link ile giriş yapmanız ve modülleri (proje/talep, mesaj, not, dosya/görsel paylaşımı) kullanmanız sırasında elektronik ortamda, otomatik ve kısmen otomatik yollarla; ayrıca sistem ve güvenlik günlükleri (log) aracılığıyla otomatik olarak toplanır.

4.İşleme Amaçları

• Platform hizmetinin sunulması, proje ve talep süreçlerinin yürütülmesi;
• Taraflar arası iletişimin kayıt altına alınıp gerektiğinde delil olarak kullanılabilmesi (hukuki koruma);
• Bilgi ve sistem güvenliğinin sağlanması, yetkisiz erişimin önlenmesi;
• Yasal yükümlülüklerin yerine getirilmesi.

5.Hukuki Sebepler (KVKK m.5)

Verileriniz aşağıdaki hukuki sebeplere dayanılarak işlenir:

• Bir sözleşmenin kurulması veya ifası için gerekli olması (m.5/2-c);
• Veri sorumlusunun hukuki yükümlülüğünün yerine getirilmesi (m.5/2-ç);
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (m.5/2-e);
• Veri sorumlusunun meşru menfaati (m.5/2-f) — güvenlik ve loglama bakımından.

Güvenlik, IP/oturum kayıtları ve denetim (log) verileri; açık rızaya değil, yukarıdaki hukuki sebeplere (özellikle hukuki yükümlülük, hakkın korunması ve meşru menfaat) dayanılarak işlenir.

6.Aktarım (KVKK m.8 / m.9)

• Verileriniz, veri sorumlusunun Türkiye'deki kendi yerel sunucusunda tutulur; kural olarak üçüncü kişilere aktarılmaz ve yurt dışına aktarılmaz.
• Cloudflare yalnızca şifreli bağlantı/iletim tüneli sağlar; içerik verinizi kalıcı olarak barındırmaz, yalnızca güvenli iletim için aracılık eder.
• Cloudflare altyapısının yurt dışı bileşenleri üzerinden şifreli geçişin KVKK m.9 anlamında bir "aktarım" oluşturup oluşturmadığı değerlendirilmektedir; aktarım kabulü hâlinde m.9'da öngörülen uygun güvence yöntemlerinden (yeterlilik kararı, standart sözleşme vb.) biri sağlanacaktır.
• Yasal olarak yetkili kamu kurum ve kuruluşlarına, talep hâlinde mevzuat gereği aktarım yapılabilir (m.8).

7.Saklama Süresi (KVKK m.7)

Kişisel verileriniz, proje/üyelik ilişkisi süresince ve ilgili mevzuatta öngörülen yasal saklama ile zamanaşımı süreleri boyunca saklanır. Kesin süreler kalem bazında ____ (yasal onay sürecinde belirlenecektir). Süre sonunda verileriniz silinir, yok edilir veya anonim hâle getirilir.

8.Veri Güvenliği (KVKK m.12)

Veri sorumlusu, verilerinizin güvenliği için idari ve teknik tedbirler alır:

• Rol bazlı yetkilendirme ve erişim denetimi (RBAC);
• Kiracılar (tenant) arası veri izolasyonu;
• Güvenli oturum yönetimi ve koruyucu oturum-çerezi ayarları (HttpOnly, SameSite);
• Parolasız, tek-kullanımlık giriş bağlantıları (magic-link);
• Kötüye kullanımı önleyici istek hız-sınırlama (rate-limit);
• Düzenli yedekleme ve erişim/işlem denetim kayıtları.

9.Kurumsal Kullanıcılar ve Çok-Kiracılılık

Kurumsal kullanıcılar (ajans/kiracı hesaplar), platforma girdikleri üçüncü kişilere ait kişisel veriler bakımından veri sorumlusu konumunda olabilir; PUSULA bu veriler yönünden veri işleyen sıfatıyla ve veri sorumlusunun talimatları doğrultusunda hareket eder. Gereken hâllerde taraflar arasında ayrı bir veri işleme sözleşmesi düzenlenir (KVKK m.12/2). Kullanıcılar, platforma özel nitelikli kişisel veri (sağlık, biyometrik veri vb.) girmemeyi ya da bunun için gerekli hukuki sebebi sağlamayı taahhüt eder.

10.Çerezler

PUSULA, yalnızca oturumun sürdürülmesi için zorunlu (kesinlikle gerekli) çerez kullanır; bu çerez HttpOnly ve SameSite bayraklarıyla, güvenlik amacıyla tutulur ve açık rıza gerektirmez.

11.İlgili Kişinin Hakları (KVKK m.11)

Veri sorumlusuna başvurarak, kendinizle ilgili aşağıdaki haklara sahipsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme;
2. İşlenmişse buna ilişkin bilgi talep etme;
3. İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme;
4. Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme;
5. Eksik veya yanlış işlenmişse düzeltilmesini isteme;
6. KVKK m.7'deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme;
7. Düzeltme ile silme/yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme;
8. Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme;
9. Kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

12.Başvuru Usulü (KVKK m.13)

Yukarıdaki taleplerinizi; ıslak imzalı yazılı dilekçeyle, KEP adresi, güvenli elektronik imza, mobil imza ya da sistemde kayıtlı e-posta adresiniz üzerinden ____ (yasal onay sürecinde belirlenecek başvuru adresi / e-postası) aracılığıyla iletebilirsiniz.

Başvurunuzda ad-soyad, (yazılı başvuruda) imza, T.C. kimlik numarası, adres veya e-posta ve talep konusu bulunmalıdır. Talebiniz en geç 30 gün içinde ücretsiz sonuçlandırılır; işlem ayrıca bir maliyet gerektirirse Kurulca belirlenen tarifedeki ücret alınabilir. Ayrıca Kişisel Verileri Koruma Kurulu'na şikâyet hakkınız saklıdır.

13.Açık Rıza ve Bu Metnin Niteliği

Bu aydınlatma metni yalnızca bilgilendirme amaçlıdır ve onayınıza tabi değildir. Yukarıda açıklanan işleme faaliyetleri açık rızaya değil, KVKK m.5/2'deki hukuki sebeplere dayanır.

İşleme faaliyetlerinden herhangi biri gerçekten açık rıza gerektirdiğinde, bu rıza aydınlatmadan ayrı, açık ve ayrıca işaretlenebilir biçimde talep edilir; rıza vermek zorunlu değildir ve dilediğiniz zaman geri alabilirsiniz.