KVKK Aydınlatma Metni

otosarf.com.tr'yi işleten ve bu sitede işlenen kişisel veriler bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) anlamında veri sorumlusu sıfatını taşıyan taraf aşağıdadır. Bu metinde geçen "biz" hep bu tarafı gösterir.

• Veri sorumlusu: ISLETMECI_ADI
• Adres: ISLETMECI_ADRESI
• Başvuru ve iletişim adresi: ISLETMECI_EPOSTA
• Site: otosarf.com.tr

Aşağıdaki tablo, siteyi kullanırken senden ya da senin hakkında işlenen her veri kalemini gösterir. Tabloda olmayan bir veri türünü toplamıyoruz.

Bunların büyük kısmı üyelik gerektirir. Giriş yapmadan gezerken yalnızca ziyaret ölçümü ile barındırma altyapısının istek kayıtları çalışır; senden hiçbir bilgi istenmez.

Bir aydınlatma metninde neyi topladığın kadar neyi toplamadığın da bilgi verir. Aşağıdakilerin otosarf'ta istendiği bir alan da, kaydedildiği bir sütun da yok.

• Ad-soyad, telefon, adres, T.C. kimlik numarası, doğum tarihi: sitedeki hiçbir formda istenmez. Tek istisna, bize KVKK başvurusu göndermendir: Kanun başvuruda bu bilgilerin bulunmasını zorunlu kıldığı için o yazışma boyunca ve gerektiği kadarıyla işlenir (bkz. "Haklarını nasıl kullanırsın?").
• Plaka, şasi numarası, ruhsat bilgisi: araç sayfaları modele bağlıdır, senin aracına değil.
• Ödeme bilgisi: otosarf ürün satmaz, ödeme almaz. Kart, IBAN, sipariş ya da fatura verisi diye bir şey yok.
• E-posta adresin sitenin kendi veritabanı tablolarında tutulmaz; yalnızca kimlik doğrulama tarafındadır. Moderasyon kuyruğunda bile e-posta değil, kullanıcı adın görünür.
• IP adresini ve tarayıcı bilgini uygulama kodumuz hiçbir yere yazmaz; bunlar yalnızca barındırma ve ölçüm sağlayıcılarının altyapısında işlenir.
• Arama kutusuna yazdıkların hiçbir tabloya kaydedilmez; yalnızca isteğini yanıtlarken işlenir. Aradığın metin adres satırında göründüğü için barındırma sağlayıcısının istek kayıtlarına düşebilir.
• Reklam ağı, sosyal medya eklentisi, canlı destek aracı, dış kaynaklı yazı tipi ya da hata izleme aracı yok. Tarayıcının dış bir adrese gittiği tek an, giriş formunun kimlik doğrulama sağlayıcısına istek attığı andır.

Site üzerinden toplamanın tamamı elektronik ortamdadır. Çağrı merkezi, pazarlama araması ya da üçüncü kişilerden veri satın alma gibi bir kanalımız yok. Tek istisna, KVKK haklarını kullanmak için bize gönderdiğin yazılı (kâğıt) dilekçedir — o kanal Kanun gereği açıktır.

Bir ayrıntıyı açıkça söylemek gerekir: giriş formuna yazdığın e-posta adresi tarayıcından doğrudan kimlik doğrulama sağlayıcımıza gider, bizim sunucumuza uğramaz. Yani adresini önce bize değil, doğrudan o altyapıya vermiş olursun; biz onu oradan okuruz.

• Verinin bir kısmını sen beyan edersin: giriş formu, katkı formu, hata bildirimi, soru ve cevap formları, oy düğmeleri, araç önerisi formu, profil ayarları. Bir kısmı ise sen bir şey yapmadan kendiliğinden oluşur: oturum çerezleri, otomatik atanan kullanıcı adı, puan ve rozet hesabı, ziyaret ölçümü ve sunucu istek kayıtları. Her ikisi de tamamen veya kısmen otomatik yollarla işlenir.

KVKK, her işleme faaliyeti için amacın ve hukuki sebebin ayrı ayrı gösterilmesini ister; "faaliyetlerin yürütülmesi" gibi genel ifadeler yeterli sayılmaz. Bu yüzden aşağıdaki tabloda her satır, dayandığı Kanun maddesinin bendiyle birlikte yazılıdır.

Tabloda birkaç kez geçen m.5/2-c "bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma" bendidir. Buradaki sözleşme, giriş bağı isterken kabul ettiğin Kullanım Koşulları'dır; metnin tamamı /kullanim-kosullari adresindedir.

Aydınlatma yükümlülüğü açık rızandan bağımsızdır ve senin talebine bağlı olmaksızın her hâlükârda yerine getirilir. Bu yüzden burada işaretlemen gereken bir kutucuk yok; siteyi kullanman da "kabul ettim" anlamına gelmez.

Yukarıdaki tabloda sayılan işleme faaliyetlerinin hiçbiri açık rızana dayanmıyor; her biri KVKK m.5/2'deki şartlardan birine oturuyor. İleride açık rıza gerektiren bir işleme eklenirse rıza bu metinle değil, ayrı bir metinle ve ayrıca sorularak alınır.

otosarf açık bir ansiklopedi olduğu için katkının bir kısmı herkese açıktır. Bunu baştan bilmen önemli: aşağıdakiler yalnızca üyelere değil, siteye giren herkese görünür ve arama motorları tarafından dizine alınabilir.

Bunun dolaylı bir sonucu var: "ben taktım, uydu" anlamındaki bir doğrulama ya da "kendi aracımda ölçtüm" işareti, seni belirli bir araç ve modelle ilişkilendirir. Tek başına kimliğini göstermez ama bu bağı kurar.

E-posta adresin bu sayfaların hiçbirinde görünmez. Kullanıcı adını gerçek adın yapmak zorunda da değilsin; otomatik atanan ad zaten kimliğini açık etmez.

• Kullanıcı adın, puanın, rozetlerin, katılma tarihin ve usta isen dükkân adın — profil sayfanda.
• Yayınlanan soruların ve cevapların, kullanıcı adınla birlikte.
• Kaç doğrulama yaptığın, kaç katkın onaylandığı, kaç cevabın yayınlandığı ve kaç "kendi aracımda ölçtüm" oyu verdiğin — yalnızca SAYILARI. Hangi bilgiyi doğruladığın, hangi cevaba "işime yaradı" dediğin ve hangi ankette hangi seçeneği seçtiğin herkese açık DEĞİLDİR; bu kayıtları yalnızca sen ve moderatörler görebilir.

Katkı notu, hata bildirimi, soru başlığı ve gövdesi, cevap metni ve araç önerisi notu serbest metin alanlarıdır. Buraya ne yazarsan o işlenir; moderatör onaylarsa yayınlanır.

Bu alanlara yazılanı otomatik olarak temizleyen, gizleyen ya da maskeleyen bir filtre yok — yalnızca uzunluk sınırı var. Tek koruma, hiçbir gönderinin moderatör onayı olmadan yayınlanmamasıdır.

Bu yüzden açıkça rica ediyoruz: adını, telefonunu, plakanı, adresini ya da başkasına ait bir bilgiyi bu alanlara yazma. Yazdığın takdirde o bilgi de kişisel veri olarak işlenmiş olur.

Hayır. KVKK m.6'da sayılan özel nitelikli veriler — sağlık, cinsel hayat, din, mezhep, felsefi inanç, ırk, etnik köken, siyasi düşünce, kılık kıyafet, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler — otosarf'ta istenmez; bunların kaydedildiği bir alan yoktur.

Tek istisna senin elinde: serbest metin alanlarından birine böyle bir bilgi yazarsan o da işlenmiş olur. Yazma.

Sana reklam ya da kişiselleştirilmiş içerik göstermek için profil çıkaran bir sistem yok; ne gördüğün kim olduğuna göre değişmez. Reklam da yok.

Otomatik çalışan iki mekanizma var. Doğrulama sayacı içerik hakkındadır: bir bilgi satırı beş üye doğrulaması aldığında otomatik olarak "doğrulandı" durumuna geçer. Puan ve rozetler ise kişi hakkındadır — senin kendi kayıtlarının (onaylanan katkı, doğrulama, ölçüm oyu, yayınlanan cevap) otomatik sayılmasıyla oluşur ve herkese açık görünür. Bunu saklamıyoruz. Ama yalnızca kazandırırlar: aleyhine bir sonuç doğurmaz, erişimini kısıtlamaz, rozet elle verilmez ve geri alınmaz.

Moderasyon kararlarını — bir katkının onaylanmasını, bir sorunun yayınlanmasını, bir araç önerisinin kabulünü — her zaman bir insan verir. Münhasıran otomatik bir analizle aleyhine sonuç doğuran bir işleyiş yoktur.

Giriş yapmadan gezerken tarayıcına hiçbir çerez yazılmaz. Çerez yazımı, giriş formunda e-posta adresini yazıp bağ istediğin anda başlar: önce giriş bağının güvenliğini sağlayan geçici doğrulayıcı çerezler yazılır, giriş tamamlanınca da oturum çerezi eklenir. Bağa hiç tıklamasan bile doğrulayıcı çerezler tarayıcında oluşmuş olur.

Yazılan çerezlerin tamamı giriş ve oturum içindir: oturumunu taşıyan çerez ve giriş bağının güvenliğini sağlayan geçici doğrulayıcı çerezler. Reklam, pazarlama, davranış izleme ya da analitik amaçlı tek bir çerez yok; ziyaret ölçümü de çerez kullanmaz.

Oturum çerezi kimlik bilgisi taşır: içinde giriş jetonlarının yanı sıra e-posta adresin de bulunur. Çıkış yaptığında silinir. Çerezlerin tam listesi, süreleri ve tarafları Çerez Politikası sayfasındadır.

otosarf küçük bir sitedir; verini pazarlama amacıyla kimseyle paylaşmaz, satmaz. Aktarım yalnızca sitenin çalışması için kullandığımız altyapı sağlayıcılarına ve yasal zorunluluk hâlinde yetkili kurumlara olur.

Aşağıdaki tabloda sayılanlar dışında hiçbir üçüncü tarafa aktarım yok. Sitede reklam ağı, sosyal medya eklentisi, canlı destek, hata izleme aracı ya da dış kaynaklı yazı tipi bulunmuyor; bunların her biri olsaydı sessiz birer aktarım kanalı olurdu.

Evet, verilerin yurt dışına çıkıyor. Bunu yumuşatmadan söylemek gerekir: otosarf'ın kullandığı altyapının tamamı yurt dışındadır ve Türkiye'de tutulan bir kopya yoktur.

KVKK m.9, yurt dışına aktarımı kademeli bir düzene bağlar: önce Kurul'un yeterlilik kararı; yoksa standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelerden biri; o da yoksa maddede sayılan arızi hâller. Bu aktarımlar için dayandığımız mekanizma: AKTARIM_DAYANAGI.

• Barındırma ve ziyaret ölçümü: Vercel Inc. ABD merkezlidir. Siteye gelen her isteğin IP adresi, tarayıcı bilgisi ve istenen adresi bu altyapıdan geçer; site içeriği küresel bir dağıtım ağı üzerinden sunulur.
• Veritabanı ve kimlik doğrulama: Supabase Inc. ABD merkezlidir; veritabanı Almanya (Frankfurt · AWS eu-central-1) bölgesindedir. Supabase'in Türkiye bölgesi bulunmuyor. Giriş formuna yazdığın e-posta adresi tarayıcından doğrudan buraya gider.
• Giriş e-postaları: SMTP_SAGLAYICISI üzerinden gönderilir; e-posta adresin bu sağlayıcıya da ulaşır.

Burada dürüst olmak, iyi görünmekten daha önemli: bugün sitede otomatik silme ya da saklama süresi mekanizması yok. Zamanlanmış bir temizlik, anonimleştirme veya "şu kadar süre sonra silinir" kuralı kodda tanımlı değil. Kayıtlar, silinmeleri istenene veya moderasyon tarafından kaldırılana kadar durur.

Bunun bir kısmı bilinçli: doğrulanmış bir bilgi ve onu doğrulayan kayıtlar ansiklopedinin kendisidir, kaynağı silinince bilginin güvenilirliği de kaybolur. Ama süresiz saklamanın kendiliğinden bir gerekçe olmadığını biliyoruz; bir saklama ve imha mekanizması eklendiğinde bu bölüm güncellenecek.

İki kayıt bizim kod tarafında belirlemediğimiz sürelere tabidir: kimlik doğrulama tarafındaki giriş kayıtları ve barındırma altyapısının sunucu istek kayıtları. Bunların süresi sağlayıcı tarafındaki ayarlara bağlıdır. Ziyaret ölçümünde ise ziyaretçiyi ayırt eden özet, sağlayıcının beyanına göre 24 saat sonra atılır.

• Kendin geri alabildiklerin: bir cevaba verdiğin "işime yaradı" oyu ve çelişki anketindeki oyun. Geri çektiğinde kayıt gerçekten silinir.
• Kendin düzeltemediklerin ve silemediklerin: katkı önerin, hata bildirimin, sorun, cevabın ve araç önerin. Bunları yalnızca moderasyon YAYINDAN kaldırabilir; kayıt reddedilmiş olarak veritabanında durmaya devam eder. Kaydın tümüyle silinmesini istiyorsan ISLETMECI_EPOSTA adresine yaz.
• Hesabını kendin kapatan bir düğme sitede yok. Silme talebini ISLETMECI_EPOSTA adresine gönder; işlem elle yapılır ve en geç otuz gün içinde sonuçlandırılır.
• Hesabın silindiğinde ne olduğunu tam olarak yazalım: seninle içerik arasındaki bağ koparılır. Katkıların, soruların, cevapların, doğrulamaların ve oyların ansiklopedide KALIR ama artık hiçbir hesaba bağlı değildir; sayfalarda kullanıcı adın yerine "silinmiş üye" görünür. Rozetlerin ise silinir — rozet kişinin kendi kayıtlarının türevidir, kişisi olmayan bir rozet hiçbir şey ifade etmez.
• İçeriğin kendisinin de silinmesini istiyorsan bunu talebinde ayrıca belirt; o zaman tek tek değerlendirilir. İçeriği varsayılan olarak silmiyoruz çünkü iki yıl önceki bir cevabı kaldırmak, o cevaba güvenerek bakım yapan insanların altını boşaltır. Kanunun silinmesini istediği şey kişisel verindir — yani seninle içerik arasındaki bağ; o bağ koparılmış olur.

Veri sorumlusuna başvurarak aşağıdaki hakların tamamını kullanabilirsin. Bunlar Kanun'un 11. maddesinde sayılmıştır; hiçbiri üyeliğe ya da ücrete bağlı değildir.

İlk iki hak için başvuru beklemene gerek yok: hesabına bağlı kayıtların dökümünü profil sayfandaki "Verilerimi indir" bağlantısıyla JSON dosyası olarak anında indirebilirsin. Dökümde olmayan üç şey vardır ve üçü de dosyanın içinde yazılıdır: giriş kayıtları (kimlik doğrulama altyapısında tutulur), ziyaret ölçümü ve sunucu istek kayıtları (sağlayıcılarda tutulur, hesabınla eşleştirilmez) ve hız sınırı sayacı (yalnızca "şu eylemi bu pencerede kaç kez yaptın" sayısıdır; içerik taşımaz, pencere dolunca sıfırlanır ve tabloyu hiçbir üye oturumu okuyamaz). İlk ikisi için aşağıdaki başvuru yolunu kullan.

• Kişisel verinin işlenip işlenmediğini öğrenme.
• Kişisel verin işlenmişse buna ilişkin bilgi talep etme.
• Kişisel verinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında kişisel verinin aktarıldığı üçüncü kişileri bilme.
• Kişisel verinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme.
• Kanun'un 7. maddesinde öngörülen şartlar çerçevesinde kişisel verinin silinmesini veya yok edilmesini isteme.
• Düzeltme, silme ve yok etme işlemlerinin, kişisel verinin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme.
• Kişisel verinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraman hâlinde zararın giderilmesini talep etme.

Başvurunu kimliğini doğrulayabileceğimiz bir kanaldan ilet. Kimliğini doğrulayamazsak başvurunu yanıtlayamayız; bu bir formalite değil, başkasının verisini yanlış kişiye vermemek içindir. Değerlendirmenin hızlanması için Türkçe yazmanı tercih ederiz, ama bu zorunlu değildir.

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca başvurunda şunlar bulunmalıdır: ad ve soyadın; başvuru yazılıysa imzan; T.C. kimlik numaran (yabancıysan uyruğun, pasaport numaran veya varsa kimlik numaran); tebligata esas yerleşim yeri ya da iş yeri adresin; varsa bildirime esas e-posta adresin, telefon ve faks numaran; ve talebinin konusu. Konuya ilişkin bilgi ve belgeleri de eklersen değerlendirme hızlanır.

Başvurunu, talebinin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırırız. İşlem ayrıca bir maliyet gerektiriyorsa Kurul'un belirlediği tarifedeki ücret istenebilir: yazılı cevapta on sayfaya kadar ücret alınmaz, on sayfanın üzerindeki her sayfa için 1 TL işlem ücreti uygulanır; cevap CD veya flash bellek gibi bir kayıt ortamında verilecekse istenecek ücret kayıt ortamının maliyetini aşamaz.

Başvurun reddedilirse, verdiğimiz cevabı yetersiz bulursan ya da süresinde cevap vermezsek; cevabı öğrendiğin tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin. Kurul'a gitmeden önce bize başvurmuş olman zorunludur.

• Yazılı olarak: imzalı dilekçeni ISLETMECI_ADRESI adresine gönder.
• E-posta ile: bize daha önce bildirdiğin ve sistemimizde kayıtlı olan e-posta adresinden ISLETMECI_EPOSTA adresine yaz. Üyeysen bu, giriş yaparken kullandığın adrestir.
• Güvenli elektronik imza veya mobil imza ile imzaladığın başvuruyu da ISLETMECI_EPOSTA adresine iletebilirsin.
• Kayıtlı elektronik posta (KEP) ile: ISLETMECI_KEP.

VERBİS kaydı her veri sorumlusu için zorunlu değildir; yükümlülük, Kurul'un belirlediği çalışan sayısı ve yıllık mali bilanço eşiklerine göre doğar.

Sicile kayıt durumumuz şudur: VERBIS_NO. Kayıtlıysak bu metindeki bilgiler VERBİS bildirimimizle uyumludur. Olmayan bir kaydı varmış gibi göstermeyiz; kayıt yükümlülüğümüz yoksa yukarıdaki satırda bunu açıkça yazarız.

Metin güncellendiğinde sayfanın üstündeki yürürlük tarihi de güncellenir. Tarihi otomatik değil elle yazıyoruz, çünkü "ne zaman değişti" bilgisinin doğru olması gerekir.

Kişisel verini bugünkü metinde yazmayan yeni bir amaçla işlemeye başlarsak, o işlemeye başlamadan önce ayrıca aydınlatılırsın. Aydınlatma sonradan değil, verinin elde edilmesi sırasında yapılır.