Kişisel Verilerin Korunması ve İşlenmesi Politikası
1. Amaç ve kapsam
Bu Politika, Alan Adı Kayıt Bilişim Limited Şirketi'nin ("AAK") 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil mevzuat uyarınca kişisel verileri hangi ilkelerle işlediğini, nasıl koruduğunu ve kimlere aktardığını açıklar. Politika; müşterilerimiz, alan adı sahipleri ve yetkilileri, bayilerimiz aracılığıyla başvuru yapan kişiler, internet sitesi ziyaretçileri, iş ortaklarımızın yetkilileri ile çalışan ve çalışan adaylarımızın kişisel verilerini ve bu verilerin işlendiği tüm elektronik ve fiziki kayıt ortamlarını kapsar.
Belirli bir işleme faaliyeti hakkında bilgi için KVKK Aydınlatma Metni'ne, saklama süreleri için Kişisel Veri Saklama ve İmha Politikası'na bakınız.
2. Roller
- Veri sorumlusu olarak AAK: Müşteri ilişkisi, faturalama, ".tr" kayıt kuruluşu yükümlülükleri, alan adı başvuru ve tahsis kayıtları ile internet sitelerimizin işletilmesi bakımından AAK veri sorumlusudur.
- Veri işleyen olarak AAK: Hosting ve kurumsal e-posta hizmetlerinde, müşterilerimizin bu hizmetlerde barındırdığı içerik ve e-postalarda yer alan kişisel veriler bakımından veri sorumlusu müşterimizdir; AAK bu verileri yalnızca müşterinin talimatı ve Ürün ve Hizmet Sözleşmesi'nin veri işleme hükümleri çerçevesinde işler.
- Bayiler: Bayilerimiz, ".tr" başvurularının alınması ve AAK'ya iletilmesinde AAK adına veri işleyen; kendi müşteri ilişkileri bakımından bağımsız veri sorumlusudur.
- İş ortakları: ".tr" dışındaki alan adlarının sponsor kayıt kuruluşu Gransy s.r.o., alan adı sicilleri ve ICANN kendi yükümlülükleri bakımından bağımsız veri sorumlusudur. Hosting ve e-posta altyapı sağlayıcıları AAK'nın veri işleyenidir.
AAK çalışanları, AAK'nın organizasyonu içinde ve talimatlarıyla hareket eder; ayrı bir veri işleyen veya veri sorumlusu değildir.
3. İşleme ilkeleri
AAK, KVKK'nın 4. maddesi uyarınca kişisel verileri:
- Hukuka ve dürüstlük kurallarına uygun,
- Doğru ve gerektiğinde güncel,
- Belirli, açık ve meşru amaçlar için,
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü,
- Mevzuatta öngörülen veya işleme amacının gerektirdiği süre kadar saklanarak
işler. Bu ilkelerin uygulamadaki karşılıkları şunlardır: ".tr" başvurularına özgü kimlik ve vergi numaraları yalnızca ".tr" işlemleri için istenir; yurt dışındaki iş ortaklarına yalnızca ilgili hizmetin gerektirdiği veriler iletilir; analitik ve reklam çerezleri izin alınmadan çalıştırılmaz; ödeme kartları yalnızca müşterinin talebiyle ve şifrelenmiş olarak saklanır, güvenlik kodu (CVV) hiçbir zaman saklanmaz.
4. Hukuki sebepler
Kişisel veriler, KVKK'nın 5. maddesinde sayılan şartlardan birine dayanılarak işlenir: sözleşmenin kurulması veya ifası, hukuki yükümlülük (İnternet Alan Adları Yönetmeliği ve Tebliği, vergi mevzuatı, 5651 sayılı Kanun vb.), bir hakkın tesisi, kullanılması veya korunması, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat ve bunların hiçbiri bulunmadığında açık rıza. Açık rıza; .tr Rehber'de gerçek kişi bilgilerinin yayımlanması, ticari elektronik ileti ve analitik/reklam çerezleri gibi sınırlı faaliyetler için, diğer metinlerden ayrı olarak ve hizmet şartına bağlanmadan alınır (bkz. Açık Rıza Beyanları).
Özel nitelikli kişisel veriler, KVKK'nın 6. maddesindeki şartlar dışında işlenmez. AAK hizmetleri için özel nitelikli veri talep etmez.
5. Aktarım
Kişisel veriler; yurt içinde KVKK'nın 8. maddesi, yurt dışında 9. maddesi kapsamında aktarılır. Alıcı grupları ve ülkeleri KVKK Aydınlatma Metni'nde listelenmiştir.
Yurt dışı aktarımlarda öncelikle yeterlilik kararı aranır. Yeterlilik kararı bulunmayan ülkelere düzenli aktarımlar, Kişisel Verileri Koruma Kurulu tarafından ilan edilen standart sözleşmelerle yapılır; standart sözleşmeler imzalanmalarından itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir. Açık rıza ve KVKK'nın 9/6. maddesindeki diğer istisnalar yalnızca arızi aktarımlarda kullanılır.
Veri işleyenlerle, KVKK'nın 12/2. maddesi uyarınca verilerin yalnızca AAK'nın talimatıyla işleneceğini ve gerekli güvenlik tedbirlerinin alınacağını düzenleyen sözleşmeler yapılır.
6. Veri güvenliği tedbirleri
AAK, KVKK'nın 12. maddesi ve Kurul'un Kişisel Veri Güvenliği Rehberi doğrultusunda aşağıdaki teknik ve idari tedbirleri uygular:
- Tüm internet siteleri, müşteri paneli ve API yalnızca TLS (HTTPS) üzerinden hizmet verir; bayi API erişimi API anahtarı ve sabit IP adresiyle sınırlandırılmıştır.
- Kişisel verilere erişim, görev gereği ihtiyaç duyan personelle sınırlıdır ve yetkiler düzenli olarak gözden geçirilir.
- Şifreler geri döndürülemez özet (hash) olarak saklanır; ödeme kartı verileri şifrelenir.
- Belgeli tahsis belgeleri, internet erişimine açık dizinlerin dışında, değiştirilemez biçimde ve bütünlük özetiyle (SHA-256) saklanır.
- Sistem ve uygulama erişimleri kayıt altına alınır, kayıtlar mevzuattaki süreler boyunca saklanır.
- Düzenli yedekleme yapılır; yedekler de aynı erişim kısıtlamalarına tabidir.
- Personel, gizlilik yükümlülüğü altındadır ve kişisel verilerin korunması konusunda bilgilendirilir.
- Veri işleyenlerin ve iş ortaklarının güvenlik yükümlülükleri sözleşmelerle düzenlenir.
7. Veri ihlali
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin öğrenilmesi halinde AAK, durumu öğrendiği andan itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirir ve etkilenen ilgili kişileri makul en kısa sürede bilgilendirir. Bayiler ve veri işleyenler, öğrendikleri ihlalleri AAK'ya en geç 24 saat içinde bildirmekle yükümlüdür.
8. İlgili kişilerin hakları
İlgili kişiler, KVKK'nın 11. maddesindeki haklarını KVKK Aydınlatma Metni'nde açıklanan yöntemlerle kullanabilir. Başvurular en geç 30 gün içinde sonuçlandırılır.
9. Kayıt ve yükümlülükler
AAK, Veri Sorumluları Siciline (VERBİS) ilişkin yükümlülüklerini Kurul kararları doğrultusunda yerine getirir ve kişisel veri işleme envanterini güncel tutar. Bu Politika ve bağlı metinler en az yılda bir kez ve işleme faaliyetlerinde değişiklik olduğunda gözden geçirilir.
10. İletişim
Alan Adı Kayıt Bilişim Limited Şirketi · ODTÜ Teknokent Bilişim İnovasyon Merkezi, Mustafa Kemal Mahallesi, Dumlupınar Bulvarı 280/G, 06510 Çankaya/Ankara · [email protected] · KEP: [email protected] · +90 850 255 1 875