1.Amaç ve Kapsam
Bu politika, [Ticaret Unvanı — müşteri tarafından doldurulacak] («BakıcıGo») tarafından işletilen web sitesi ve mobil uygulamalarda kişisel verilerin güvenliğini sağlamak için alınan teknik ve idari tedbirleri, verilerin hangi ilkelerle saklandığını, neden belge görseli tutulmadığını, saklama amacı sona erdiğinde nasıl imha edildiğini ve kullanıcıların gizliliğe ilişkin tercihlerini açıklar. Hangi verilerin hangi amaçla işlendiği KVKK Aydınlatma Metni'nde; çerezler Çerez Politikası'nda düzenlenmiştir. Ayrıntılı şirket içi saklama ve imha politikası ile kişisel veri işleme envanteri Şirket nezdinde saklıdır.
| Bilgi | Değer |
|---|---|
| Ticaret unvanı | [Ticaret Unvanı — müşteri tarafından doldurulacak] |
| MERSİS No | [MERSİS No] |
| Ticaret Sicil No | [Ticaret Sicil No] |
| Adres | [Kayıtlı merkez adresi — müşteri tarafından doldurulacak] |
| KEP | [KEP adresi] |
| E-posta | [kurumsal e-posta] |
2.Temel İlkeler
- Hukuka ve dürüstlük kurallarına uygunluk; doğruluk ve güncellik: Veriler KVKK md. 4'teki ilkelere uygun işlenir; kullanıcı kendi verilerini hesabından her zaman düzeltebilir.
- Veri minimizasyonu: Yalnızca aracılık hizmeti, doğrulama, güvenlik ve yasal yükümlülükler için gerekli en az veri toplanır. Kart bilgisi, sağlık raporu, biyometrik veri toplanmaz; kimlik kartı, pasaport, adli sicil veya sağlık belgesi kopyası ve kimlik belgesi görseli Platformda toplanmaz.
- Gerekli olandan uzun saklamama: Her veri, işleme amacının veya mevzuatın gerektirdiği süreyle sınırlı tutulur; süresi dolan veri silinir, yok edilir veya anonim hâle getirilir.
- Erişimi görev ve ihtiyaçla sınırlama: Personel ve tedarikçiler yalnızca görevleri için gerekli verilere, rol bazlı yetkiyle erişir.
- Varsayılan gizlilik: İletişim bilgileri hiçbir zaman herkese açık değildir; profil fotoğrafı ve video moderasyondan geçmeden yayınlanmaz. Platform üzerinden belge yüklenmez ve sunucularımızda belge saklanmaz; adli sicil doğrulaması, belge saklanmadan e-Devlet üzerinden yapılır ve yalnızca doğrulama tarihi, belgenin düzenlenme tarihi ve barkodun tek yönlü özeti tutulur.
- Türkiye'de barındırma: Veritabanı ve dosya depolama Türkiye'de konumlu sunucularda tutulur.
- Şifreleme: Hassas alanlar AES-256-GCM ile alan bazında şifrelenir; parolalar argon2id ile özetlenir.
- Hesap silme hakkı: Kullanıcı, yönetici onayına bağlı olmaksızın hesabını kalıcı olarak silebilir.
- Şeffaflık: Yapay zekâ ile üretilen içerik etiketlenir; iletişim bilgisi görüntüleme işlemleri kayıt altına alınır; bu politika sürümlenir.
3.Teknik Tedbirler
| Alan | Uygulama |
|---|---|
| Kimlik doğrulama | Parolalar argon2id ile geri döndürülemez şekilde saklanır; parola politikası; oturumlar sunucu tarafında yönetilir, güvenli (Secure, HttpOnly, SameSite) çerezle taşınır; giriş denemeleri hesap ve IP bazında sınırlandırılır. |
| Alan bazlı şifreleme | Telefon, WhatsApp, doğum tarihi, açık adres, TCKN/VKN, fatura unvan ve adresi, mesaj içerikleri ve profil videoları AES-256-GCM ile şifrelenir. Anahtarlar veritabanı dışında, gizli anahtar deposunda tutulur; anahtar dönüşümü desteklenir; eski anahtarlarla şifrelenmiş veriler dönüşüm sonrası yeniden şifrelenir. Veriler aktarım sırasında güncel TLS protokolleriyle korunur. |
| Aranabilir hassas alanlar | Telefon gibi eşleşme için gerekli alanlar, düz metin yerine ayrı bir anahtarla üretilen tek yönlü özet (kör dizin) üzerinden aranır. |
| Adli sicil doğrulaması (özel nitelikli veri) | Belge hiçbir zaman sunucuya yazılmaz: e-Devlet belge doğrulama sorgusu bellekte yapılır; yalnızca doğrulama tarihi, belgenin düzenlenme tarihi ve barkodun tek yönlü özeti tutulur; T.C. kimlik numarası ve barkod saklanmaz. KVKK md. 6 ve Kurul'un 2018/10 sayılı kararı uyarınca bu veriye erişim ayrı yetkiye bağlıdır, personel gizlilik yükümlülüğü altındadır ve eğitim alır; aktarım güvenli kanaldan yapılır; olası ihlaller olay yönetimi sürecine tabidir. |
| Erişim kontrolü | Rol bazlı yetkilendirme ve en az ayrıcalık (bakıcı / işveren / yönetici); yönetici işlemleri denetim kayıtlarında takma adlı kullanıcı referansıyla tutulur; başkasının kaydına erişim denemeleri her zaman «bulunamadı» ile sonuçlanır. İşveren ekranlarında Bakıcının T.C. kimlik numarası ve doğum tarihi gibi profil için gerekli olmayan alanlar gösterilmez. |
| Ağ ve uygulama güvenliği | HTTPS/HSTS, İçerik Güvenliği Politikası (CSP), çerçeve içine alınma engeli, CSRF korumaları, dosya (fotoğraf/video) yükleme sınırları, hız sınırlama; kimlik bilgileri ve kişisel veriler uygulama günlüklerine ve URL'lere yazılmaz. Güncellemeler, zafiyet takibi ve tedarikçi kontrolleri düzenli yürütülür. |
| Ödeme | Kart verileri BakıcıGo sistemlerine hiç uğramaz; ödeme, lisanslı ödeme kuruluşu tarafından alınır. Havale eşleştirmesi referans kodu ile yapılır. |
| Yedekleme ve süreklilik | Düzenli şifreli yedekler; yedeklerin saklama süresi ana veri ile aynı imha kurallarına tabidir. |
| Yapay zekâ | Sağlayıcıya yalnızca kullanıcının başlattığı işleme konu metin gönderilir; kimlik, iletişim, belge ve ödeme verileri gönderilmez; sohbet kaydedilmez. |
4.İdari Tedbirler
- Moderasyon yapan ve destek veren personel gizlilik yükümlülüğü altındadır ve yalnızca görevi için gerekli verilere erişir (bilmesi gereken ilkesi).
- Veri işleyen sıfatıyla hizmet alınan tüm tedarikçilerle (barındırma, ödeme, SMS, e-posta, e-fatura, yapay zekâ) veri işleme sözleşmeleri yapılır; yurt dışı aktarımlar için Kurul'ca ilan edilen standart sözleşme kullanılır ve Kurul'a bildirilir.
- Kişisel veri işleme envanteri ve saklama-imha politikası tutulur; VERBİS yükümlülükleri yerine getirilir.
- Veri ihlali hâlinde ihlal, öğrenilmesinden itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na ve en kısa sürede etkilenen kişilere bildirilir.
- Politika ve süreçler yılda en az bir kez ve her önemli değişiklikte gözden geçirilir; kod değişiklikleri güvenlik incelemesinden geçer.
5.Saklama ve İmha Kuralları
Kişisel veriler, ilgili mevzuatta öngörülen veya işleme amacının gerektirdiği süre kadar saklanır ve süre sonunda periyodik imha döngüsünde (en geç 6 ayda bir) silinir, yok edilir veya anonim hale getirilir. Kullanıcının hesap silme talebi periyodik döngüyü beklemez, derhal uygulanır.
| Veri grubu | Saklama süresi | İmha yöntemi |
|---|---|---|
| Üyelik hesabı, profil, özgeçmiş, hizmet bölgeleri, favoriler, kayıtlı aramalar | Üyelik süresince | Hesap silme ile derhal kalıcı silme |
| Kimlik / adli sicil belgesi görüntüsü veya kopyası | Hiç alınmaz ve saklanmaz | — |
| Adli sicil doğrulama sonucu (doğrulama tarihi, belge tarihi, barkod özeti) | Üyelik süresince (rozetin dayanağı olarak) | Kullanıcı «Doğrulamayı kaldır» ile veya hesap silme ile derhal kalıcı silme |
| Profil fotoğrafı ve tanıtım videosu | Üyelik süresince | Hesap silme ile derhal kalıcı silme (dosya depolamadaki nesneler dahil); kullanıcı tek tek de silebilir |
| Telefon / e-posta doğrulama statüsü ve zamanı | Hesap boyunca; hesap kapandıktan sonra yalnızca yasal kayıt, güvenlik ve uyuşmazlık gereğiyle sınırlı | Hesap silme ile silme; kalan denetim izi takma adlı |
| Mesajlar, başvurular, teklifler, eşleşmeler, bildirimler, oturumlar, anlık bildirim abonelikleri, destek talepleri | Üyelik süresince | Hesap silme ile derhal kalıcı silme |
| Ödeme, fatura, kredi hareketi kayıtları | Vergi Usul Kanunu bakımından 5 yıl, Türk Ticaret Kanunu bakımından 10 yıl — daha uzun olan esas alınır: 10 yıl (VUK md. 253, TTK md. 82) | Hesap silme ile kimlik bağının koparılması (anonimleştirme); süre sonunda kalıcı silme |
| Açık rıza ve sözleşme kabul kayıtları (aydınlatma, üyelik sözleşmesi, mesafeli satış, adli sicil açık rızası, ticari ileti onayı — tarih ve sürüm) | İşlem ve olası uyuşmazlık bakımından ilgili zamanaşımı / kanıtlama süresi boyunca | Süre sonunda silme; takma adlı tutulur |
| İŞKUR açık iş, aday ve işe yerleşme kayıtları | Özel istihdam bürosu mevzuatında öngörülen süre boyunca | Süre sonunda silme veya anonimleştirme |
| Yorumlar (başkaları hakkında yazdıklarınız) | Yayında kaldığı sürece | Hesap silme ile «Silinmiş üye» olarak anonimleştirme, metnin kaldırılması |
| Denetim kayıtları | En fazla 10 yıl | Takma adlı tutulur; süre sonunda silme |
| Giriş denemeleri, hız sınırlama kayıtları (özetlenmiş IP) | 30 gün | Otomatik silme |
| Bildirim/teslimat kayıtları | 30-90 gün | Otomatik silme |
| Ticari elektronik ileti onay/ret kayıtları | Onayın sona ermesinden itibaren 3 yıl | Silme |
| Çerez tercihi | 180 gün | Çerezin süresinin dolması |
| Yedekler | Ana veriyle aynı kurallar; en fazla 90 gün geriye dönük | Yedek döngüsünde otomatik imha |
Anonimleştirme: Yasal saklama yükümlülüğü bulunan mali kayıtlarda kullanıcı kimliği ile bağ koparılır (kullanıcı referansı boşaltılır, ad/unvan-adres alanları saklama süresi sonunda silinir); kayıt, kişiyle ilişkilendirilemez hâle gelir.
6.İmha Yöntemleri
Saklama süresi dolan veya işleme şartı ortadan kalkan kişisel veriler, Yönetmelik'te tanımlanan aşağıdaki yöntemlerden veriye uygun olanıyla imha edilir:
- Silme: Veri, ilgili kullanıcı ve personel için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilir (veritabanı satırının ve dosya depolamadaki nesnenin kaldırılması).
- Yok etme: Veri, bulunduğu ortamdan geri getirilemeyecek şekilde ortadan kaldırılır (yedek döngüsünün tamamlanması, şifreleme anahtarının imhası).
- Anonimleştirme: Veri, başka verilerle eşleştirilse dahi hiçbir şekilde belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilir (mali kayıtlarda kimlik bağının koparılması; yorumlarda «Silinmiş üye»).
- Periyodik imha: İşleme şartı sona eren veriler, en geç 6 ayda bir işletilen periyodik imha döngüsünde imha edilir. Kullanıcının hesap silme talebi bu döngüyü beklemez; derhal uygulanır.
7.Günlük (Log) Kayıtlarının Süresi
Tek bir saklama süresi bütün günlük kayıtlarına uygulanmaz. Her kaydın süresi; kaydın amacı, sistem riski, İŞKUR ve diğer yasal yükümlülükler, siber olayların tespiti ve zamanaşımı dikkate alınarak kişisel veri işleme envanterinde ayrı ayrı belirlenir ve yukarıdaki tabloda özetlenir (giriş denemeleri 30 gün, bildirim teslimatları 30-90 gün, denetim kayıtları en fazla 10 yıl). Amaçla ilgisiz içerik günlüklere yazılmaz; mesaj içeriği ve kişisel veriler rutin güvenlik günlüklerine hiçbir zaman yazılmaz. Süreler yılda en az bir kez gözden geçirilir; bir güvenlik olayı veya uyuşmazlık varsa ilgili kayıtlar olay sonuçlanıncaya ve ilgili süre doluncaya kadar tutulur.
8.Hesap Silme
Hesabınızı «Hesabım → Hesabımı Sil» adımından, parolanızı yeniden girerek dilediğiniz zaman kalıcı olarak silebilirsiniz; işlem için yönetici onayı gerekmez ve geri alınamaz. Mobil uygulamada aynı işlem «Profilim → Hesabımı Sil» yolundan yapılabilir. Silme işlemi profil, adli sicil doğrulama sonucu, profil fotoğrafı ve videosu, mesajlar, başvurular, bildirimler ve oturumlar dahil tüm üyelik verilerinizi kapsar. Yasal saklama yükümlülüğü bulunan fatura/ödeme kayıtları, İŞKUR kayıtları, onay/güvenlik/uyuşmazlık kayıtları ile başkaları hakkında yazdığınız değerlendirmeler yukarıdaki tabloda açıklandığı biçimde, kimliğinizle bağı koparılarak ve süreyle sınırlı tutulur. Silme tamamlandığında kayıtlı e-posta adresinize bir teyit iletisi gönderilir.
9.Gizlilik Tercihleriniz
- Profil görünürlüğü (Bakıcı): «Profilimi aramalarda göster» kapalıyken profiliniz aramalarda, eşleşme önerilerinde ve herkese açık profil sayfasında görünmez.
- İletişim bilgileri: Telefon/e-posta yalnızca kredi karşılığında iletişim açan üye İşverene veya eşleşmenin tarafına gösterilir; WhatsApp numarası isteğe bağlıdır.
- Bildirimler: Web ve mobil anlık bildirim izinlerini cihazınızdan ve hesabınızdan yönetebilirsiniz; ticari iletiler ayrı bir onaya tabidir ve her iletiden çıkış bağlantısıyla sonlandırılabilir.
- Çerezler: Analitik çerezler yalnızca izin verirseniz çalışır; tercihinizi «Çerez Tercihleri» bağlantısından değiştirebilirsiniz.
- Yapay zekâ özeti: Yalnızca sizin isteğinizle üretilir; dilediğiniz zaman kaldırabilirsiniz.
10.İletişim ve Değişiklikler
Gizlilik ve veri güvenliğine ilişkin soru ve talepleriniz için [kvkk@alanadi] adresine yazabilir, İletişim sayfamızdaki kanalları veya Veri Sorumlusuna Başvuru sayfasını kullanabilirsiniz. Türkçe metin esastır.
Sorumluluk ve gözden geçirme
Bu politikanın uygulanmasından [Ticaret Unvanı — müşteri tarafından doldurulacak] sorumludur. Kişisel veri işleme envanteri, kullanılan tedarikçiler, teknik mimari, hizmet kapsamı veya mevzuat değiştiğinde politika gözden geçirilir; esaslı değişiklikler yeni sürüm numarası ve yürürlük tarihiyle bu sayfada yayımlanır. Yeni bir doğrulama türü (örneğin kimlik tespiti) devreye alınacaksa, işlem başlamadan önce envanter, aydınlatma ve açık rıza metinleri, saklama süreleri ve güvenlik tedbirleri ayrıca güncellenir.
11.Başlıca Hukuki Dayanaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (özellikle md. 4, 7 ve 12) ve ilgili ikincil düzenlemeler;
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik;
- Kişisel Verileri Koruma Kurulu'nun özel nitelikli kişisel verilerin işlenmesinde alınacak yeterli önlemlere ilişkin 2018/10 sayılı kararı;
- 4904 sayılı Türkiye İş Kurumu ile İlgili Bazı Düzenlemeler Hakkında Kanun ve özel istihdam bürolarına ilişkin düzenlemeler;
- 6502 sayılı Tüketicinin Korunması Hakkında Kanun ve Mesafeli Sözleşmeler Yönetmeliği;
- 6102 sayılı Türk Ticaret Kanunu (md. 82) ile 213 sayılı Vergi Usul Kanunu'nun (md. 253) saklama hükümleri.