Herabet Kullanıcı Gizliliği ve Veri İşleme Politikası
Kişisel veri korumasında doğru yaklaşım, önce hangi bilginin neden alındığını belirlemek ve ardından bu bilgiyi yalnızca gerekli sınırlar içinde kullanmaktır. Bu politika, kullanıcıların veri akışını anlamasına ve kanuni haklarını bilinçli kullanmasına yardımcı olmak üzere düzenlenmiştir.
Kapsam ve temel ilkeler
Açıklama, veri sorumlusunun KVKK kapsamındaki yükümlülüklerini ve kullanıcının haklarını tek bir çerçevede ele alır. Siteye ait olmayan harici uygulamalar, sosyal ağlar ve ödeme araçları kendi veri sorumlularına sahip olabilir. Bu tür hizmetlere geçildiğinde onların aydınlatma metinleri ve güvenlik koşulları ayrıca değerlendirilmelidir.
Politikanın kapsamı ve temel yaklaşım
Bu politika, ilgili internet sayfasının ziyaret edilmesi veya sayfada gerçekten sunulan bir iletişim işlevinin kullanılması sırasında kişisel verilerin hangi genel ilkeler çerçevesinde ele alınması gerektiğini açıklar. Kişisel veri; kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, iletişim bilgisi, çevrim içi tanımlayıcı, IP adresi, cihaz bilgisi ve kullanıcı tarafından gönderilen mesajlar, bağlama göre kişisel veri niteliği taşıyabilir. Her veri her zaman toplanmaz; işleme kapsamı, kullanılan gerçek özellikler ve geçerli hukuki şartlarla sınırlı olmalıdır. Politika, ziyaretçinin hangi tür bilgilerle karşılaşabileceğini ve hangi haklara sahip olduğunu anlaşılır biçimde ortaya koymayı amaçlar.
İşlenebilecek veri kategorileri
Sayfanın gerçek işlevlerine bağlı olarak sınırlı teknik kayıtlar, cihaz ve tarayıcı bilgileri, IP adresi, erişim zamanı, görüntülenen sayfalar, hata kayıtları ve güvenlik günlükleri işlenebilir. Kullanıcı bir iletişim formu gönderirse mesajın içeriği ile kendi isteğiyle paylaştığı isim veya iletişim bilgisi de işleme konusu olabilir. Hesap, ödeme veya kimlik doğrulama işlevleri mevcut değilse bunlara ait veriler toplanıyormuş gibi bir varsayım yapılamaz. Böyle bir işlev gerçekten sunuluyorsa, ilgili veri kategorileri, amaçları ve hukuki sebepleri ayrıca ve işlem öncesinde açıklanmalıdır. Gereksiz veri istemekten kaçınılması veri minimizasyonunun temel sonucudur.
Verilerin elde edilme yolları
Veriler, kullanıcının doğrudan girdiği bilgilerden, tarayıcının otomatik olarak ilettiği teknik kayıtlardan veya sayfanın güvenli çalışması için kullanılan altyapı bileşenlerinden elde edilebilir. Otomatik kayıtlar; bağlantı zamanı, hata kodu, tarayıcı türü ve güvenlik olaylarını içerebilir. Üçüncü taraf hizmetleri devredeyse, bu hizmetlerin hangi bilgiyi hangi amaçla aldığı ayrıca değerlendirilmelidir. Kullanıcının açıkça talep etmediği reklam iletişimi için iletişim bilgisinin kullanılması, hizmetin zorunlu bir parçası gibi gösterilmemelidir. Bilgi edinme yöntemi, işleme amacı ve hukuki sebep birbiriyle tutarlı olmalıdır.
İşleme amaçları ve veri minimizasyonu
Kişisel veriler, yalnızca belirli ve meşru amaçlar için; amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmelidir. Bu amaçlar, gerçek kurulumda mevcut olduğu ölçüde sayfanın teknik olarak sunulması, güvenliğin korunması, arıza ve kötüye kullanımın incelenmesi, kullanıcı talebinin yanıtlanması, hukuki yükümlülüklerin yerine getirilmesi ve hakların tesisi veya korunması olabilir. Bir verinin toplanmış olması, onun sınırsız biçimde kullanılabileceği anlamına gelmez. İlk amaç değişirse yeni işlem için ayrıca hukuki değerlendirme yapılmalı; uyumsuz, aşırı veya belirsiz kullanım engellenmelidir. Veri minimizasyonu, daha fazla bilgi toplamanın otomatik olarak daha iyi hizmet anlamına gelmediğini kabul eder.
Hukuki sebepler ve temel ilkeler
6698 sayılı Kanun, kişisel verilerin işlenmesinde hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve gerektiğinde güncellik, belirli ve meşru amaç, amaçla bağlantılı ve ölçülü olma, ilgili mevzuatta öngörülen veya amaç için gerekli süre kadar muhafaza ilkelerini benimser. İşleme için açık rıza her durumda tek hukuki sebep değildir; kanunda sayılan diğer işleme şartlarından biri uygulanabilir. Bununla birlikte açık rızaya dayanılan bir işlemde rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerekir. Hizmetin temel işleviyle ilgisi olmayan pazarlama izni, zorunlu koşul gibi sunulmamalıdır. Her veri kategorisi için uygun hukuki sebep ayrı değerlendirilmelidir.
Verilerin paylaşılması ve hizmet sağlayıcılar
Kişisel veriler, yalnızca hukuki şartların bulunduğu ve amaç için gerekli olduğu ölçüde yetkili kamu kurumlarıyla, güvenlik veya barındırma hizmeti sağlayan veri işleyenlerle ya da ilgili işlemin tamamlanması için zorunlu alıcılarla paylaşılabilir. Bir hizmet sağlayıcının veriye erişmesi, veriyi kendi amacı için serbestçe kullanabileceği anlamına gelmez. Veri sorumlusu, kendi adına işlem yapan hizmet sağlayıcılarla ilişkilerinde uygun güvenlik ve gizlilik tedbirlerinin alınmasını sağlamalıdır. Üçüncü taraflara aktarımda alıcı grubu, aktarım amacı ve hukuki dayanak açıkça belirlenmelidir. Kullanıcı verileri, ilgisiz reklam ağlarına veya belirsiz alıcılara sınırsız biçimde açıklanmamalıdır.
Yurt dışına veri aktarımı
Teknik altyapı veya hizmet sağlayıcı nedeniyle kişisel verilerin Türkiye dışındaki bir alıcıya aktarılması söz konusuysa, aktarım 6698 sayılı Kanun’un 9. maddesindeki şartlara uygun olmalıdır. 2024 yılında değiştirilen düzenleme; yeterlilik kararı, uygun güvenceler ve kanunda sayılan sınırlı arızi aktarım hâlleri gibi mekanizmalar öngörür. Bir sunucunun yurt dışında bulunması veya küresel bir yazılımın kullanılması tek başına aktarımı hukuka uygun hâle getirmez. Aktarımın amacı, veri kategorileri, alıcı ve uygulanan güvence değerlendirilmelidir. Yurt dışına aktarımın bulunmadığı doğrulanmadan bu yönde kesin bir güvence verilmemelidir.
Veri akışının yaşam döngüsü
Kişisel veri işleme süreci, verinin ilk kez elde edilmesiyle başlar ve silme, yok etme veya anonimleştirme aşamasına kadar devam eder. Her aşamada erişim yetkisi, kullanım amacı ve saklama süresi değerlendirilmelidir. Bir verinin başlangıçta güvenlik amacıyla alınması, daha sonra ilgisiz profil çıkarma için kullanılmasını haklı göstermez. Veri akışının haritalanması; hangi sistemin hangi bilgiyi aldığı, hangi hizmet sağlayıcıya gönderdiği ve ne zaman silindiği sorularına cevap vermelidir. Bu yaklaşım hem kullanıcının haklarını anlamasını hem de veri sorumlusunun yükümlülüklerini yerine getirmesini kolaylaştırır.
İsteğe bağlı alanlar ve ölçülülük
Bir formda bulunan her alanın zorunlu yapılması doğru bir yaklaşım değildir. Kullanıcının talebini yanıtlamak için gerekli bilgiler ile daha sonra kullanılabilecek ek bilgiler birbirinden ayrılmalıdır. Bir alan isteğe bağlıysa bu durum açıkça belirtilmeli; kullanıcıdan neden istendiği anlaşılmayan belge veya ayrıntılar talep edilmemelidir. Serbest metin alanları beklenmedik hassas verilerin paylaşılmasına yol açabileceğinden, kullanıcıya yalnızca başvuruyla ilgili bilgileri yazması hatırlatılabilir. Veri minimizasyonu; işleme amacını gerçekleştirecek en az miktarda verinin seçilmesi, gereksiz kopyaların tutulmaması ve erişimin görev bazında sınırlandırılması anlamına gelir.
Doğruluk, güncelleme ve kayıtların tutarlılığı
Yanlış veya eski kişisel veri, hem kullanıcıyı hem de veri işleme sürecini olumsuz etkileyebilir. Bu nedenle verinin doğruluğu ve gerektiğinde güncelliği korunmalıdır. İlgili kişi, kendisiyle bağlantılı eksik veya hatalı bilgilerin düzeltilmesini talep edebilir. Düzeltme yapıldığında, ilgili kayıtların kullanıldığı süreçler ve hukuken gerekli bildirimler de dikkate alınmalıdır. Bununla birlikte verilerin gereksiz şekilde sürekli güncellenmesi için kullanıcıya aşırı yük getirilmemelidir. Güncelleme talebi, kişinin kimliğinin ölçülü biçimde doğrulanması ve başvurunun güvenli kanaldan alınmasıyla yürütülmelidir.
Özel nitelikli veriler konusunda dikkat
Sağlık bilgileri, biyometrik ve genetik veriler ile kanunda sayılan diğer özel nitelikli kişisel veriler daha sıkı koruma gerektirir. Bir internet sayfası bu tür verilere ihtiyaç duymuyorsa bunları istememeli veya işleme alanına yönlendirmemelidir. Kullanıcı, destek mesajında tanı, ilaç bilgisi, ailevi durum veya başka bir hassas ayrıntıyı paylaşmak zorunda değildir. Böyle bir veri gerçekten işlenmek zorundaysa, 6698 sayılı Kanun’un 6. maddesindeki güncel şartlar ve Kurul tarafından belirlenen yeterli önlemler değerlendirilmelidir. Açık rızanın varlığı, diğer yasal ve güvenlik yükümlülüklerini ortadan kaldırmaz.
Üçüncü taraf bağlantıları ve ayrı sorumluluk
Sayfada başka internet sitelerine veya sosyal ağlara bağlantı bulunması, bu üçüncü tarafların veri uygulamalarının burada yönetildiği anlamına gelmez. Bağlantıya tıklayan kişi farklı bir veri sorumlusunun alanına geçebilir ve o hizmetin kendi gizlilik metni ile çerez tercihleri devreye girebilir. Dış sayfanın güvenliği, hukuki durumu veya marka ile ilişkisi yalnızca bağlantı görünümünden doğrulanamaz. Kullanıcı, dış hizmete bilgi göndermeden önce adresi ve muhatabı kontrol etmelidir. Buradaki politika, bağımsız üçüncü tarafların kendi amaçlarıyla yaptığı işlemleri otomatik olarak kapsamaz.
Kişisel veri paylaşımında dikkat edilmesi gerekenler
Bir formda isteğe bağlı alanlar bulunuyorsa, bunların doldurulması zorunluymuş gibi sunulmamalıdır. Kullanıcı, başka bir kişinin kimlik veya iletişim bilgilerini uygun dayanak olmadan paylaşmamalıdır. Parola, doğrulama kodu ve kart güvenlik kodu gibi sırlar destek görüşmelerinde de açıklanmamalıdır. Güvenli bağlantı kullanmak, cihaz yazılımını güncel tutmak ve ortak cihazlarda oturumu kapatmak veri güvenliğini destekler.
Veri ihlali şüphesinde izlenecek adımlar
Kullanıcı, kişisel bilgilerinin yanlış kişiye gönderildiğini, hesabına izinsiz erişildiğini veya kendisi adına işlem yapıldığını fark ederse durumu gecikmeden uygun başvuru kanalına bildirmelidir. Bildirimde olayın yaklaşık zamanı, etkilenen bilgi türü ve fark edilen belirtiler açıklanabilir; parola veya doğrulama kodu gibi sırların bildirim metnine eklenmemesi gerekir. Kullanıcı, güvenliği tehlikeye giren parolaları başka bir güvenli cihazdan değiştirmeli, aynı parolanın kullanıldığı diğer hesapları da kontrol etmelidir. Banka veya ödeme bilgileri etkilenmiş olabilecekse ilgili finans kuruluşuyla doğrudan görüşülmelidir. Olayın incelenmesi sırasında yalnızca gerekli bilgiler paylaşılmalı, ekran görüntülerinde üçüncü kişilere ait veriler varsa bunlar mümkün olduğunca gizlenmelidir.
Veri saklama sürecinin düzenli gözden geçirilmesi
Kişisel verilerin saklanması, yalnızca gelecekte kullanılabilir olabileceği düşüncesine dayandırılmamalıdır. Her veri kategorisi için saklama ihtiyacı, işleme amacı ve geçerli yasal süreler ayrı ayrı değerlendirilmelidir. Amaç sona erdiğinde veya saklama gerekliliği ortadan kalktığında veriler, ilgili mevzuata uygun yöntemlerle silinmeli, yok edilmeli ya da anonim hâle getirilmelidir. Yedekleme ortamlarında bulunan kayıtlar da imha planına dâhil edilmeli ve erişim yetkileri kontrol edilmelidir. Saklama süreleri belirlenirken güvenlik günlükleri, iletişim talepleri ve teknik hata kayıtları aynı süre boyunca tutulmak zorunda kabul edilmemelidir. Düzenli gözden geçirme, gereğinden uzun saklamayı azaltır ve kullanıcının mahremiyetini destekler.
Veri doğruluğu ve güncelleme
Veri kalitesinin korunması, hem kullanıcı deneyimi hem de doğru işlem yapılabilmesi için önemlidir. Kullanıcı, iletişim bilgisi veya diğer temel verilerinde değişiklik olduğunda bunları uygun kanaldan güncelleyebilir. Güncel olmayan bilgi nedeniyle bir bildirim teslim edilemezse, yalnızca gerekli düzeltme bilgisi talep edilmelidir. Kayıtların doğruluğu düzenli aralıklarla kontrol edilmeli; artık gerekli olmayan tekrarlar ve hatalı kayıtlar düzeltilmelidir. Veri doğruluğu çalışmaları, kullanıcının kimliğini gereksiz yere yeniden doğrulamayı veya ilgisiz belgeler talep etmeyi haklı göstermez. Her kontrol, belirli bir amaçla ve ölçülü biçimde gerçekleştirilmelidir.
Sık Sorulan Sorular
Kişisel verilerimin silinmesini isteyebilir miyim?
Kanuni saklama yükümlülükleri ve KVKK’nın 7. maddesi çerçevesinde, işleme sebebi ortadan kalktığında silme, yok etme veya anonimleştirme talep edilebilir.
Verilerim yurt dışına aktarılabilir mi?
Yalnızca 6698 sayılı Kanun’un 9. maddesinde yer alan şartlar ve gerekli güvenceler sağlandığında aktarım yapılabilir. Her aktarım ayrıca değerlendirilmelidir.
Başvuruma ne kadar sürede yanıt verilir?
KVKK’nın 13. maddesi uyarınca veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır.
Son değerlendirme
Bu politikanın temel ölçütü, açıklanan işlem ile gerçek veri akışının aynı olmasıdır. Yeni işlevler, sağlayıcılar veya aktarım yöntemleri devreye alındığında bilgilendirme ve güvenlik süreçleri de güncellenmelidir. Kullanıcının mahremiyet hakkı, hizmetin teknik ihtiyaçlarından bağımsız olarak korunması gereken temel bir haktır.
Veri sorumlusunun hesap verebilirliği
Veri sorumlusu, işleme faaliyetini yalnızca dışarıdan alınan bir hizmete devrederek kendi yükümlülüklerinden kurtulmuş sayılmaz. Başka bir işletme adına veri işlenmesi durumunda tarafların rolü, talimatlar ve güvenlik tedbirleri belirlenmelidir. Hizmet sağlayıcıya verilen erişim, yalnızca gerekli iş için tanımlanmalı; görev sona erdiğinde erişim kapatılmalıdır. Düzenli kontrol, yetki kayıtları ve olay yönetimi veri güvenliğinin parçasıdır. Kullanıcı açısından bunun karşılığı, verilerin belirsiz kişi ve kurumlara açık bırakılmaması ve sorumluluk zincirinin anlaşılır olmasıdır.
Veri doğruluğu ve kullanıcı katkısı
Kullanıcıdan alınan bilgiler yanlış veya eksik olduğunda, işlem sonucunun da yanlış olması mümkündür. Bu nedenle kullanıcı, bir talep gönderirken yalnızca doğru ve gerekli bilgileri vermelidir. Başka bir kişiye ait veriyi onun izni olmadan iletmekten kaçınmalıdır. Yanlış kayıt fark edilirse düzeltme talebi ilgili veri sorumlusuna yöneltilebilir. Düzeltme sürecinde başvuru sahibinin kimliği ölçülü şekilde doğrulanmalı ve düzeltmenin hangi sistemlere yansıtıldığı kontrol edilmelidir. Bu yaklaşım veri kalitesini artırırken gereksiz belge toplama riskini de azaltır.
Politikanın güncelliği ve düzenli değerlendirme
Herabet adıyla ilişkilendirilen sayfanın işleyişi değiştiğinde gizlilik değerlendirmesi de yenilenmelidir. Yeni veri alanları, sağlayıcılar veya aktarım yöntemleri ekleniyorsa bunların amacı ve hukuki dayanağı belirlenmeden veri toplama başlatılmamalıdır. Politika metni yalnızca genel bir belge olarak bırakılmamalı; gerçek süreçleri yansıtmalıdır. Düzenli kontrol, gereksiz verilerin kaldırılmasını, saklama sürelerinin gözden geçirilmesini ve kullanıcıya sunulan açıklamaların tutarlı kalmasını sağlar.