Kişisel Verilerin Korunması ve İşlenmesi Hakkında Aydınlatma Metni

KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ HAKKINDA AYDINLATMA METNİ SAYIN ÜYEMİZ VE DEĞERLİ KULLANICILARIMIZ, CORESTAS ("Platform") olarak, kişisel verilerinizin güvenliği ve gizliliği bizim için en yüksek önceliktir. Dijital emlak dünyasında güvenli bir ekosistem oluşturma vizyonumuz doğrultusunda; Platformumuzu kullanırken paylaştığınız verilerin hangi amaçlarla işlendiği, kimlerle paylaşıldığı ve bu süreçteki haklarınız konusunda sizi en şeffaf şekilde bilgilendirmeyi amaçlıyoruz. İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.10 ve ilgili tebliğler uyarınca; sade, anlaşılır ve tereddütte yer vermeyecek bir dille hazırlanmıştır. Platform üzerinden gerçekleştirdiğiniz her türlü işlemde verilerinizin; hukuka, dürüstlük kurallarına ve "belirlilik ve şeffaflık" ilkelerine uygun olarak korunacağını taahhüt ederiz. • VERİ SORUMLULARININ SIFATLARI VE SORUMLULUK PAYLAŞIMI İşbu Platform üzerinden yürütülen veri işleme faaliyetlerinde, KVKK m.3 uyarınca veri sorumluluğu sıfatı aşağıdaki şekilde paylaşılmıştır: • Platform Sahibi ve Veri Sorumlusu Olarak CORESTAS: Yazılım altyapısını sağlayan, veri kayıt sistemini kuran, Platform üyelik süreçleri, kullanıcı hesap yönetimi, faturalandırma ve bilgi güvenliği faaliyetleri bakımından veri işleme amaç ve vasıtalarını belirleyen CORESTAS (Veri Sorumlusu: CORESTAS Gayrimenkul Teknolojileri A.Ş., MERSİS No: 0204046153600002, Adres: Fulya Mah., Büyükdere Cd. Quasar İstanbul Rezidans No:76, 34394 Şişli/İstanbul) Veri Sorumlusu sıfatını haizdir. Üyeler tarafından sisteme yüklenen üçüncü şahıslara (müşteri, malik, alıcı, kiracı) ait portföy, taşınmaz ve tapu kayıtları bakımından ise Platform, Üye'nin talimatları doğrultusunda teknik altyapı ve barındırma hizmeti sunan "Veri İşleyen" konumundadır. • Üye (Emlak Ofisi / Bağımsız Veri Sorumlusu): Platform'a kendi portföyünü ve müşterilerine (malik, alıcı, kiracı vb.) ait kişisel verileri (tapu kayıtları, ada/parsel bilgileri, kimlik ve iletişim verileri) giren Üye; bu verilerin işlenme amaç ve vasıtalarını bizzat belirlediği için ilgili kişisel veriler bakımından "Veri Sorumlusu" sıfatına sahiptir. Üye, Platform'a aktardığı üçüncü kişi verileri bakımından 6698 sayılı Kanun m. 10 uyarınca ilgili kişilere karşı aydınlatma yükümlülüğünü yerine getirmek ve kanuni şartların gerektirdiği hallerde uygun hukuki sebebe (veya açık rızaya) dayanmakla yükümlüdür. • İŞLENEN KİŞİSEL VERİ KATEGORİLERİ VE İŞLENME AMAÇLARI Platform bünyesinde, KVKK m.4’teki genel ilkelere (hukuka ve dürüstlük kurallarına uygunluk, doğru ve güncel olma, belirli, açık ve meşru amaçlar, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma) mutlak surette uyularak aşağıdaki veriler işlenmektedir: • Üye Kimlik Verileri: Şahıs firması sahibi veya yetkilisi olan ilgili kişilere ait ad, soyad, T.C. kimlik numarası ve imza beyanı/sirküleri gibi kimlik verileri; üyelik sözleşmesinin kurulması ve ifası, kimlik teyidi ile 213 sayılı Vergi Usul Kanunu ve ilgili mali mevzuat gereği faturalandırma işlemlerinin yürütülmesi amacıyla KVKK m. 5/2-c (sözleşmenin kurulması ve ifası) ve KVKK m. 5/2-ç (hukuki yükümlülüğün yerine getirilmesi) hukuki sebeplerine dayalı olarak işlenmektedir. • Tüzel kişi üye ve şirket temsilcilerine ait vergi kimlik numarası, ticaret unvanı, MERSİS numarası, şirket temsilcisi ad-soyadı ve imza sirküleri gibi kurumsal ve kimlik verileri; üyelik sözleşmesinin tesisi, cari hesap takibi ve 213 sayılı Vergi Usul Kanunu uyarınca e-fatura/e-arşiv fatura tanzimi amacıyla KVKK m. 5/2-c (sözleşmenin ifası) ve KVKK m. 5/2-ç (hukuki yükümlülük) hukuki sebepleri kapsamında işlenmektedir. • Üye Firma Çalışanı Verileri: Üye firma bünyesinde görev yapan çalışan ve personele ait ad, soyad, kurumsal e-posta, kurumsal telefon numarası, görev/unvan, Platform kullanıcı ID'si ve rol yetkilendirme bilgileri; Platform üzerinde ID bazlı hiyerarşik yetkilendirmenin (RBAC) yapılması, kullanıcı işlem log kayıtlarının tutulması, hesap güvenliğinin temini ve yetkisiz erişimlerin önlenmesi amaçlarıyla KVKK m. 5/2-c (sözleşmenin ifası) ve KVKK m. 5/2-f (veri sorumlusunun meşru menfaati) hukuki sebeplerine dayanılarak işlenmektedir. • İletişim Verileri: Şahıs ve tüzel kişi üye yetkilileri ile çalışanlarına ait telefon numarası, e-posta adresi, iş yeri tebligat adresi ve KEP adresi; üyelik süreçlerinin yürütülmesi, operasyonel bildirimlerin yapılması ve iki faktörlü doğrulama/aktivasyon kodlarının (OTP) iletilmesi amacıyla KVKK m. 5/2-c (sözleşmenin ifası) hukuki sebebi doğrultusunda işlenmektedir. • Finans ve Ödeme Verileri: Şahıs ve tüzel kişi üyelerin üyelik aidat ve hizmet bedellerinin tahsili, muhasebe entegrasyonu ve finansal mutabakat süreçlerinin yürütülmesi amacıyla; ödeme işlem tutarı, ödeme tarihi, fatura kayıtları, lisanslı ödeme kuruluşu iyzico işlem referans kodu ve maskelenmiş kart bilgisi (token) işlenmektedir. Kredi ve banka kartı verileri CORESTAS sunucularında tutulmamakta olup ödeme altyapısı 6493 sayılı Kanun kapsamında yetkili ödeme kuruluşu iyzico tarafından güvenle sağlanmaktadır. Bu veriler KVKK m. 5/2-c (sözleşmenin ifası) ve KVKK m. 5/2-ç (hukuki yükümlülük) hukuki sebeplerine dayalı olarak işlenmektedir. • Müşteri ve Gayrimenkul (Portföy) Verileri: Üye’nin emlak portföyünün dijital ortamda yönetilmesi, ilan ve pazarlama faaliyetlerinin Üye adına yürütülmesi amacıyla sisteme girilen taşınmaza ait ada/parsel/tapu bilgileri ile gayrimenkul maliki veya ilgili kişilere ait iletişim ve kimlik bilgileri, veri minimizasyonu ilkesi gereği yalnızca zorunlu asgari düzeyde işlenmektedir. Platform bu veriler bakımından Üye ile akdedilen sözleşmenin ifası kapsamında Veri İşleyen sıfatıyla KVKK m. 5/2-c hukuki sebebine dayanarak veri işleme faaliyetinde bulunmaktadır. • Teknik ve İşlem Güvenliği Verileri: Tüm kullanıcılar ve üye firma çalışanlarına ait IP adresi, port bilgileri, sistem erişim logları, oturum açma/kapama saatleri, 2FA (İki Faktörlü Doğrulama) logları, tarayıcı ve cihaz bilgileri; 5651 sayılı Kanun m. 3, 6 ve ilgili mevzuat uyarınca trafik verilerinin saklanması yükümlülüğünün yerine getirilmesi, bilgi güvenliği süreçlerinin yürütülmesi ve siber saldırıların tespiti ile önlenmesi amacıyla KVKK m. 5/2-ç (kanunlarda açıkça öngörülme ve hukuki yükümlülük) ve KVKK m. 5/2-f (meşru menfaat) hukuki sebepleri kapsamında işlenmektedir. • Veri Minimizasyonu Taahhüdü: Platformumuzda işlenen tüm kişisel veriler, KVKK m.4/2 uyarınca 'işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma' ilkesine sıkı sıkıya bağlı olarak toplanmaktadır. Bu kapsamda; Müşteri ve Gayrimenkul verilerinde yalnızca emlak mevzuatı ve portföy yönetimi için zorunlu olan asgari bilgiler (örn. ada/parsel no, mülkiyet durumu) işlenmekte olup, gereksiz detayların veya fiziki evrak fotokopilerinin sisteme yüklenmesi teknik olarak engellenmektedir. T.C. Kimlik Numarası yalnızca faturalandırma amacıyla zorunlu tutulmakta, diğer temel hizmetler için talep edilmemektedir. Üye, sisteme girdiği verilerde bu minimizasyon kuralına uymakla yükümlüdür. • VERİ TOPLAMA YÖNTEMİ VE HUKUKİ SEBEPLER Kişisel veriler; Platform web arayüzü, mobil uygulamalar, kurumsal API entegrasyonları, üyelik kayıt formları, çağrı merkezi destek kanalları ve sisteme entegre elektronik araçlar vasıtasıyla; tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla toplanmaktadır. • Sözleşmenin İfası: Üyelik hizmetinin sunulması için ve platformun temel fonksiyonlarının çalışması için zorunluluk. • Hukuki Yükümlülük: Vergi mevzuatı, 5651 sayılı Kanun ve resmi makamların denetim yetkisi kapsamındaki yasal zorunluluklar. • Meşru Menfaat: İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, platformun siber güvenliğinin sağlanması, sahtecilikle mücadele ve hizmet kalitesinin artırılması. • Açık Rıza: Yurt dışı sunucularda depolama, ticari elektronik ileti gönderimi, üyeler arası portföy paylaşımı ve biyometrik veri işleme faaliyetleri yalnızca ilgili kişinin özgür iradesiyle vereceği açık rızaya istinaden gerçekleştirilir. Açık rıza verilmesi, temel platform hizmetlerinden yararlanmanın bir ön şartı değildir. • Veri Doğrulama Mekanizması: Üyeler tarafından sisteme manuel olarak girilen iletişim verileri (e-posta, telefon), otomatik doğrulama (OTP/Aktivasyon linki) mekanizmaları ile teyit edilmeden ticari iletişim veya paylaşım süreçlerinde kullanılmaz. Hatalı veri girişinden doğan sorumluluk münhasıran veriyi giren Üye'ye aittir. • VERİ AKTARIMI VE ÜÇÜNCÜ KİŞİLERLE PAYLAŞIM • Yurt İçi Aktarımlar: • Ödeme Hizmeti Sağlayıcısı (iyzico): 6493 sayılı Kanun kapsamında faaliyet gösteren lisanslı ödeme kuruluşu İyzico Ödeme Hizmetleri A.Ş.’ye, ödeme ve tahsilat süreçlerinin yürütülmesi, fraud (sahtecilik) kontrolleri ve PCI-DSS standartlarına uygun ödeme doğrulamasının yapılması amacıyla (KVKK m. 5/2-c ve 5/2-ç kapsamında), • Yetkili Kamu Kurum ve Kuruluşları: Gelir İdaresi Başkanlığı, Hazine ve Maliye Bakanlığı, adli merciler, emniyet birimleri ve Siber Güvenlik Başkanlığı başta olmak üzere mevzuat gereği yetkili kamu kurumlarına yasal bildirim, denetim ve tebligat yükümlülüklerinin yerine getirilmesi amacıyla (KVKK m. 5/2-ç kapsamında), • Dış Hizmet Sağlayıcıları ve Danışmanlar: Hukuk, mali müşavirlik, bağımsız denetim ve BT destek hizmeti alınan iş ortaklarına sır saklama ve gizlilik taahhütnameleri tahtında aktarılmaktadır. 4.2. Sunucuların Konumu ve Yurt Dışına Veri Aktarımı: Platform'un birincil üretim sunucuları ve veritabanları Türkiye Cumhuriyeti sınırları içerisinde barındırılmaktadır. İş sürekliliği, felaket kurtarma ve yüksek güvenlikli bulut yedekleme süreçleri kapsamında, şifrelenmiş veriler yurt dışında bulunan güvenli bulut altyapı sağlayıcılarına (Google Cloud Platform) aktarılabilmektedir. Söz konusu yurt dışı aktarım faaliyetleri, 7499 sayılı Kanun ile değişik KVKK m. 9 hükümlerine ve Kurul düzenlemelerine tam uyum içerisinde; öncelikle Kişisel Verileri Koruma Kurulu tarafından ilan edilen Standart Sözleşme akdedilmesi ve Kurul'a usulünce bildirilmesi suretiyle uygun güvence kapsamında yürütülür. Standart sözleşme güvencesinin uygulanmadığı hallerde ise aktarım, yalnızca ilgili kişinin KVKK m. 9/6 uyarınca bilgilendirilmeye dayalı açık rızası temin edilerek gerçekleştirilir. • VERİ GÜVENLİĞİ TEDBİRLERİ VE İHLAL BİLDİRİMİ Platform, KVKK m.12/1 uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek amacıyla aşağıdaki idari ve teknik tedbirleri almaktadır: • Her kullanıcıya özel ID tanımlaması ve Rol Bazlı Erişim Kontrolü (Role-Based Access Control - RBAC) uygulanmaktadır. • Sistem üzerinde düzenli sızma (penetrasyon) testleri, firewall (güvenlik duvarı) izlemeleri yapılmakta ve log kayıtları 5651 sayılı Kanun'a uygun tutulmaktadır. • Personel veri güvenliği eğitimlerinden geçirilmekte ve "İzin Verilmedikçe Her Şey Yasaktır" prensibi uygulanmaktadır. • İhlal Bildirimi: Herhangi bir veri ihlali tespiti halinde, KVKK m.12/5 uyarınca en geç 72 saat içerisinde ilgili kişilere ve Kişisel Verileri Koruma Kurulu'na bildirim yapılacaktır. • VERİ SAKLAMA VE İMHA POLİTİKASI Kişisel veriler, ilgili yasal saklama süreleri (Türk Ticaret Kanunu, Vergi Usul Kanunu, 5651 sayılı Kanun ve sair mevzuat gereği 10 yıllık genel zamanaşımı ve defter tutma süreleri) boyunca muhafaza edilir. Sözleşme ilişkisinin sona ermesi ve yasal saklama yükümlülüklerinin kalkması akabinde, veriler Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve Platform Veri İmha Politikası doğrultusunda ilk periyodik imha döneminde resen veya ilgili kişinin haklı talebi üzerine güvenli yöntemlerle silinir, yok edilir veya anonim hale getirilir. • ÜYE TARAFINDAN YÜKLENEN VERİLERE İLİŞKİN YASAL BİLGİLENDİRME • Üye; Platform’a tanımladığı çalışanlarının kurumsal bilgilerini ve sisteme yüklediği üçüncü şahıs müşteri/malik portföy kayıtlarını KVKK’ya uygun olarak elde ettiğini, çalışanlarına ve müşterilerine karşı KVKK m. 10 kapsamındaki aydınlatma yükümlülüğünü eksiksiz ifa ettiğini, gerekmesi halinde açık rızalarını aldığını kabul ve taahhüt eder. • Üye firma çalışanlarının, Platform’a erişim yetkilerini amacı dışında kullanması, sisteme yetkisiz kişisel veri girişi yapması, verileri şahsi cihazlara indirmesi veya hukuka aykırı olarak ifşa etmesi hallerinde sorumluluk münhasıran Üye’ye aittir. Aydınlatma yükümlülüğünün niteliği gereği, tarafların birbirlerine karşı tazminat, idari yaptırımların paylaştırılması ve rücu haklarına ilişkin sözleşmesel düzenlemeler işbu metnin değil, Platform ile Üye arasında akdedilen Üyelik Sözleşmesi ile Veri İşleme Sözleşmesi'nin konusunu teşkil etmektedir. Üye, Platform'a üçüncü kişilere ait veri aktarırken ilgili mevzuattan kaynaklanan yükümlülüklerine uymakla mükelleftir. • İLGİLİ KİŞİ HAKLARI 8.1. İlgili Kişi Hakları ve Başvuru Usulü: KVKK m. 11 uyarınca ilgili kişiler; kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, KVKK m. 7 çerçevesinde silinmesini veya yok edilmesini talep etme ve bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme haklarına sahiptir. Başvurularınızı, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak; Veri Sorumlusu CORESTAS'ın info@corestas.com e-posta adresine güvenli elektronik imza/mobil imza ile veya Fulya Mah., Büyükdere Cd. Quasar İstanbul Rezidans No:76, 34394 Şişli/İstanbul adresine kimliğinizi tevsik edici belgelerle ıslak imzalı yazılı olarak iletebilirsiniz. Talepleriniz en geç 30 (otuz) gün içinde sonuçlandırılacaktır. 8.2. Platform Portföy Dışa Aktarma İmkânı: Üyelerimiz, Platform üzerinde kayıtlı kendi ticari portföy verilerini (XML/JSON formatlarında) diledikleri zaman dışa aktarma imkânına sahiptir. Bu imkân, KVKK m. 11 kapsamındaki kanuni bir hak olmayıp, Platform tarafından sunulan teknik bir veri yönetim kolaylığıdır.