Kişisel Verilerin Korunması ve Aydınlatma Metni
SARRAF360 Kapsamlı Kişisel Verilerin Korunması, İşlenmesi ve Gizlilik Politikası (Entegre Aydınlatma Metni)
Giriş, Beyan ve Veri Sorumlusunun Kimliği
1.1. Veri Sorumlusunun Kimliği ve Adresi: 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR") prensipleri ve ilgili uluslararası siber hukuk mevzuatı uyarınca; kişisel verileriniz, veri sorumlusu sıfatıyla, MERSİS No: 0751111153500001 numarasına sahip, İnönü Mah. Kadife Sk. No:5/7 İç Kapı No:17 Yeşilyurt / Malatya adresinde mukim SARRAF360 Bilgi Teknolojileri San. ve Tic. LTD. ŞTİ.("SARRAF360", "Şirket" veya "Platform") tarafından aşağıda açıklanan son derece katı, şifrelenmiş ve yapılandırılmış siber güvenlik standartları çerçevesinde toplanacak, işlenecek ve muhafaza edilecektir.
1.2. Platformun Hukuki Statüsü ve Yer Sağlayıcılık Beraatı: SARRAF360, 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun kapsamında münhasıran "Yer Sağlayıcı" ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamında "Aracı Hizmet Sağlayıcı" statüsünde faaliyet göstermektedir. Şirketimiz, Platform üzerinde listelenen kıymetli madenlerin üreticisi, satıcısı veya garantörü değildir. SARRAF360, yalnızca alıcı ve satıcıyı çevrimiçi (online) ortamda bir araya getiren teknik ve yazılımsal altyapıyı sunmakta olup, alınıp satılan altın, mücevherat ve ziynet eşyasının mülkiyetine veya fiili zilyetliğine hiçbir aşamada sahip değildir. Bu kesin statü bağlamında; Şirketimiz tarafından gerçekleştirilen tüm veri işleme faaliyetlerinin (özellikle loglama ve kimlik tespiti) yegâne amacı ticari bir fayda sağlamak değil; Platformun siber güvenliğini tahkim etmek, asayişi sağlamak, nitelikli dolandırıcılık eylemlerini sıfıra indirmek ve yasal mercilere (MASAK, Savcılıklar) karşı doğabilecek bilgi sunma yükümlülüklerimizi eksiksiz ifa etmektir.
İşlenen Kişisel Veri Kategorileri ve Teknik Veri Dökümü
SARRAF360 Platformu, C2C (Kullanıcıdan Kullanıcıya) e-ticaretin doğası gereği yüksek mali işlemler barındırdığından, anonim kalma hakkının geçerli olmadığı, sıkı sıkıya denetlenen bir veri mimarisine sahiptir. Bu kapsamda işlenen veri kategorilerimiz şunlardır:
2.1. Kimlik ve Yasal Doğrulama Verileri
Platformda sahte hesap (fake account) açılışlarını engellemek ve yasal mevzuata uyum sağlamak amacıyla; gerçek kişi kullanıcıların ad, soyad, cinsiyet, profil fotoğrafı verileri ile özellikle sisteme kayıt aşamasında veya ilan verme sürecinde zorunlu ve şifreli olarak alınan T.C. Kimlik Numarası (TCKN) ve T.C. Kimlik Belgesi görseli işlenmektedir. Kurumsal kullanıcılarımız (kuyumcular, sarraflar, ekspertiz noktaları) için bu verilere ek olarak; işletme unvanı, Vergi Kimlik Numarası (VKN), vergi dairesi, yetkili kişi kimlik bilgileri, imza sirküleri, ticaret sicil gazetesi ve vergi levhası evrakları ve diğer gerekli her türlü belge sisteme yüklenerek işlenmektedir.
2.2. İletişim ve Doğrulama Verileri
Kullanıcıların sisteme güvenli girişini sağlamak için auth (kimlik doğrulama) seviyesinde tasdik edilen cep telefonu numarası ve e-posta adresi işlenmektedir. Bu veriler, İletiMerkezi altyapısı üzerinden SMS gönderimleri için kullanılmakta ve her doğrulama adımı SARRAF360 veritabanında yapılmakta olup, ilgili alanlara zaman damgası olarak işlenmektedir.
2.3. İşlem Güvenliği ve Derin Teknik Veriler
Platformumuzda dolandırıcılık (fraud) ve siber saldırıları anında engellemek maksadıyla arka planda çok katmanlı teknik veriler toplanmaktadır: Kullanıcının o anki ve geçmiş IP adresleri, Cihazın donanımsal ve benzersiz tanımlayıcıları (active device id, MAC adresi, IMEI), Oturum açılan işletim sistemi (iOS/Android), sürüm bilgileri ve User-Agent verileri, anlık Push Notification token bilgileri. Platformun Güvenlik Servisi altyapısı tarafından toplanan donanım güvenlik durumu verileri (cihazın root/kök erişimine sahip olup olmadığı, jailbreak yapılıp yapılmadığı veya bir bilgisayar emülatörü/sanal cihaz üzerinden çalıştırılıp çalıştırılmadığı tespiti), sistemi yormaya yönelik saldırıları engellemek için tutulan SMS rate limit kayıtları ve başarısız giriş denemesi logları.
2.4. Lokasyon ve Mesajlaşma İçerikleri
Lokasyon (Konum) ve Adres Verileri: Altın ve mücevher ticaretinde tarafların fiziken güvenli ortamlarda (ekspertiz noktaları vb.) buluşmalarını organize edebilmeleri ve hesap çalınmalarını (şüpheli ülke/şehir dışı giriş anormalliklerini) tespit edebilmek amacıyla; cihazın GPS donanımı veya IP adresi analizi üzerinden sağlanan anlık ve yaklaşık (şehir/ilçe düzeyinde) konum verileri işlenmektedir.
İletişim, Mesajlaşma ve İçerik Verileri: Platform bünyesindeki mesajlaşma modülü üzerinden alıcı ve satıcı arasında gerçekleşen tüm güvenli uygulama içi yazışmalar, ilan içerikleri, ürün fotoğrafları, teknik detaylar (milyem, ayar, karat) ve 24 saat süreliğine sistemde kalan Hikaye (Stories) içerikleri saklanmaktadır.
Kişisel Verilerin İşlenme Amaçları ve Kesin Hukuki Gerekçeler
SARRAF360, nakde anında çevrilebilen ve karapara aklama (money laundering) risklerine son derece açık olan kıymetli madenlerin ticaretine zemin sunmaktadır. Şirketimizin veri işleme politikası, tamamen platform üzerindeki fraud (dolandırıcılık) ve asayiş riskini sıfıra indirme motivasyonuna dayanır. Verileriniz, KVKK Madde 5/2'de açıkça belirtilen aşağıdaki hukuki sebeplere ve zorunluluklara istinaden işlenmektedir:
- 3.1. Kanunlarda Açıkça Öngörülmesi ve Hukuki Yükümlülüklerin İfası (MASAK & 5651 Uyum): Özellikle T.C. Kimlik Numarası (TCKN), telefon numarası (SMS OTP logları), geçmiş/aktif IP adresleri ve cihaz donanım kimlikleri; 5549 Sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve ilgili MASAK mevzuatı kapsamındaki "Müşterinin Kimliğinin Tespiti ve Şüpheli İşlem Bildirimi" yükümlülükleri çerçevesinde işlenmektedir. Ek olarak, 5651 Sayılı İnternet Kanunu uyarınca yer sağlayıcı statüsündeki Şirketimizin trafik bilgilerini zaman damgalı saklama zorunluluğu bulunmaktadır. Yasadışı ticaretin, hırsızlık malı satışının ve dolandırıcılığın (TCK md. 158) engellenmesi adına bu verilerin temini kanuni bir zorunluluktur.
- 3.2. Sözleşmenin Kurulması ve İfası: Platformumuza kayıt olurken "Hesabımı Oluştur" adımıyla karşılıklı onayladığınız Bireysel veya Kurumsal Üyelik Sözleşmesi'nin yürürlüğe girmesi, tarafınıza özel bir "active_device_id" tanımlanarak güvenli oturum sağlanması, yüklediğiniz ilanların yayına alınması, vitrin özellikleri ve uygulama içi satın alma süreçlerinin mali denetiminin yapılması amacıyla işlenmektedir.
- 3.3. Veri Sorumlusunun Meşru Menfaati (Sistem Güvenliği ve Sıfır Tolerans): Platform API endpoint uç noktalarımızı hedef alan kötü niyetli veri kazıma (scraping) botlarının engellenmesi, platformdaki dürüst kullanıcıların maddi/manevi güvenliğinin tesis edilmesi, şüpheli işlemlerin (aşırı SMS doğrulama istekleri, rate limit aşımları vb.) anlık analiz mekanizması ile anında tespit edilerek hesapların derhal askıya alınması eylemleri meşru menfaat kapsamında yürütülür.
Yurt İçi / Yurt Dışı Veri Aktarımı ve Adli Makamlarla Tavizsiz Paylaşım
4.1. Yurt Dışı Veri Aktarımı (Bulut Altyapısı ve Bildirim Ekosistemi): PostgreSQL veritabanı altyapımız, afetlere karşı korumalı uluslararası veri merkezlerinde Satır Seviyesinde Güvenlik (RLS) ile şifreli olarak barındırılmaktadır. Anlık Push Bildirimler için Google Firebase sunucuları kullanılmaktadır.
4.2. WAF/DDoS Güvenlik Katmanı Aktarımı: Verilerinizin siber saldırılardan, SQL enjeksiyonlarından ve DDoS ataklarından korunması amacıyla küresel Web Uygulama Güvenlik Duvarı (WAF) ve DNS katmanları üzerinden proxy edilerek filtrelenmektedir.
4.3. Resmi Makamlar ve Adli Mercilerle Kesin, Tereddütsüz Paylaşım: SARRAF360, sahtecilik, gasp, nitelikli dolandırıcılık veya hırsızlık malı satışına karşı tavizsiz bir güvenlik politikası güder. Adli mercilerden (Cumhuriyet Başsavcılıkları, Ağır Ceza Mahkemeleri, Emniyet Siber Suçlarla Mücadele, MASAK) gelecek yasal bilgi taleplerinde; hiçbir ek onay veya mahkeme emri uzatması beklemeksizin tüm şifreli yazışma dökümleri (chat logs), ilan hareket logları, doğrulama (TCKN) evrakları, SMS OTP kayıtları, cihaz ID ve IP adres dökümleri ilgili resmi makamlara tereddütsüz ve eksiksiz olarak teslim edilecektir.
Veri Saklama Süreleri, İmha Politikası ve Unutulma Hakkı (Legal Hold) İstisnaları
5.1. Soft-Delete (Kullanıcı İnisiyatifiyle Arayüzden Silinme):Bir kullanıcı, uygulama içerisindeki "Hesabımı Sil" fonksiyonunu çalıştırdığında; merkezi veritabanımız anında tetiklenir, kullanıcının mevcut JWT (JSON Web Token) oturumu iptal edilerek sistemden düşürülür ve hesabın "is active" durumu false (pasif) konumuna getirilir. Kullanıcının profili, vitrindeki tüm ilanları ve geçmiş sohbet kayıtları sistem arayüzünden ve diğer tüm kullanıcıların erişiminden kalıcı olarak gizlenir.
5.2. Hard-Delete, Yasal Bekleme (Legal Hold) ve Unutulma Hakkının Külliyen Reddedildiği Haller: Kullanıcı hesabını ön yüzden (Soft-Delete) silmiş olsa dahi; "Unutulma Hakkı" talepleri, SARRAF360 sistemlerindeki yasal zamanaşımı süreleri dolmadan işleme alınmayacak ve külliyen reddedilecektir. 6098 Sayılı Türk Borçlar Kanunu Madde 146 gereği 10 yıllık genel zamanaşımı, 5651 Sayılı ve 6563 Sayılı Kanunların loglama zorunlulukları ve 5237 Sayılı TCK Kapsamındaki Nitelikli Dolandırıcılık davalarında platformun delil sunma zorunluluğu gereğince; Kullanıcıya ait TCKN, geçmiş IP adresleri, SMS OTP doğrulama logları, cihaz donanım ID'leri, şifreli tüm sohbet kayıtları ve ilan/satış geçmişi logları tam 10 (On) Yıl boyuncaSARRAF360'ın dış erişime tamamen kapalı, kriptografik olarak kilitlenmiş "Legal Hold" (Yasal Saklama) arşivlerinde muhafaza edilmeye devam edilecektir.
Teknik ve İdari Veri Güvenliği Tedbirleri
Çok Katmanlı Güvenlik Servisi
Cihaz seviyesinde kök (root) erişimi olan, jailbreak işlemi görmüş, resmi uygulama marketleri dışından modifiye edilerek yüklenmiş (APK tampering) veya bir sanal makine (emülatör) üzerinden çalışan tüm cihazların erişimi anında bloke edilir.
Ağ, API ve İletişim Şifrelemesi
Uygulama ile bulut sunucularımız arasındaki tüm veri paketleri endüstri standardı SSL/TLS 1.3 sertifikaları ile uçtan uca şifrelenir. Araya girme (Man-in-the-Middle) saldırıları imkansız kılınır.
Satır Seviyesinde Veri Güvenliği (RLS)
Veritabanı mimarimizde Satır Seviyesinde Güvenlik (Row Level Security - RLS) politikaları aktiftir. Hiçbir kullanıcı, bir diğer kullanıcının kapalı verilerine yetkisiz bir API sorgusu atarak erişemez.
Tek Cihaz - Tek Oturum ve App Lock
Hesap çalınmasını engellemek için sistem "active device id" değişkenini sürekli kontrol ederek bir hesabın aynı anda sadece tek bir donanımda aktif kalmasına müsaade eder. İkinci bir cihazdan giriş yapıldığında ilk cihazın oturumu imha edilir.
KVKK Madde 11 Uyarınca İlgili Kişinin Hakları ve Başvuru Yöntemi
6698 sayılı KVKK'nın 11. maddesi uyarınca veri sahibi olarak; verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, işlenme amacını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini isteme, yasal şartlar dahilinde silinmesini isteme ve kanuna aykırı işleme sebebiyle zararın giderilmesini talep etme haklarına sahipsiniz.
Başvuru Yöntemi ve İletişim Kanalları
Yukarıda sayılan yasal haklarınızı kullanmak için; sistemimize kayıt olurken kullandığınız doğrulanmış e-posta adresinizden doğrudan info@sarraf360.com adresine e-posta gönderebilirsiniz. Dilerseniz kimliğinizi tevsik edici belgeler ile Şirketimizin resmi adresi olan İnönü Mah. Kadife Sk. No:5/7 İç Kapı No:17 Yeşilyurt / Malatya adresine ıslak imzalı dilekçe ile de başvurabilirsiniz. Başvurularınız en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılacaktır.