Kişisel Veriler ve Genel Gizlilik Sözleşmesi

6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU (“KVKK”), GDPR VE CCPA KAPSAMINDA AYDINLATMA METNİ

CRESTU Veri Merkezi Hizmetleri (“CRESTU”) olarak, müşterilerimizin (“Müşteri”) kişisel verilerinin ve özel hayatın gizliliğinin korunmasına önem veriyoruz. Bu Aydınlatma Metni; Türkiye’de yürürlükte olan 6698 sayılı KVKK ile uluslararası düzenlemeler olan AB Genel Veri Koruma Tüzüğü (GDPR) ve California Consumer Privacy Act (CCPA) kapsamında kişisel verilerin işlenmesine ilişkin açıklamalar içermektedir.

1) Toplanan Kişisel Veriler ve Toplamanın Yöntemi

Kayıt, sipariş ve destek süreçlerinde; kimlik (ad, soyad, T.C. kimlik/pasaport), iletişim (telefon, e-posta, adres), şirket (ünvan, vergi dairesi/numarası), faturalama (fatura cari bilgileri), işlem (sipariş/ödeme detayları—kredi kartı tam numaraları sistemlerimizde saklanmaz), teknik (IP, erişim/trafik logları, çerez verileri), iletişim kayıtları (çağrı merkezi ses kayıtları, e-posta yazışmaları, sosyal medya mesajları) toplanabilir.

Toplama yöntemleri; web sitesi/uygulama formları, sözleşmeler, çağrı merkezi, e-posta ve benzeri elektronik/fiziksel kanallar olup; hukuki yükümlülüklerimizin yerine getirilmesi, sözleşmenin kurulması/ifası ve meşru menfaatler kapsamında gerçekleştirilir (KVKK m.5-6; GDPR m.6).

2) Kişisel Verilerin İşlenme Amaçları

• Ürün/hizmet sunumu; kurulum, bakım, onarım ve teknik destek süreçlerinin planlanması ve icrası
• Sözleşme ve satış sonrası süreçlerinin yönetimi, finans ve muhasebe kayıtlarının tutulması
• Güvenlik denetimleri, dolandırıcılık/kimlik doğrulama ve risk yönetimi
• Yasal yükümlülüklerin yerine getirilmesi (ör. talep halinde yetkili makamlarla paylaşım)
• Açık rıza mevcutsa kampanya, bülten ve bilgilendirme iletişimlerinin yürütülmesi

3) Kişisel Verilerin Aktarımı (Yurt İçi / Yurt Dışı)

Kişisel verileriniz; hizmetin ifası ve yasal zorunluluklar kapsamında sınırlı olarak üçüncü taraflara aktarılabilir:

• Ödeme: Sanal POS hizmet sağlayıcısı PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş.’ye tahsilat/iadeye ilişkin zorunlu alanlar (ad-soyad, fatura no, tutar, tarih). Kredi kartı verileri CRESTU sistemlerinde saklanmaz.
• E-Fatura: Paraşüt Yazılım Teknolojileri A.Ş. ile faturalama verilerinin işlenmesi.
• Mali Müşavirlik: Damga vergisi/sözleşme onayı için zorunlu veri paylaşımı.
• Yetkili Makamlar: Yasal yükümlülükler gereği mahkemeler, savcılıklar, EGM/BTK vb.
• Bulut/Yazılım Sağlayıcıları: Hizmet sürekliliği için yurtiçi/yurtdışı bilişim hizmetleri (ör. barındırma, e-posta, yedekleme) ile sözleşmesel/teknik güvenlik önlemleri sağlanarak.

GDPR kapsamındaki veri sahipleri için, yurt dışına aktarımlarda GDPR m.44-49 uyarınca yeterlilik kararları, standart sözleşme maddeleri (SCC) ve uygun ek önlemler uygulanır. CCPA kapsamında kişisel veriler “satılmaz”; yalnızca “hizmet sağlayıcı” statüsündeki taraflarla sözleşmesel sınırlar içinde paylaşılır.

4) Hukuki Sebepler

KVKK m.5/2 (a, c, ç, e, f) ve m.6; GDPR m.6(1)(a-f) ve m.9; CCPA kapsamındaki meşru çerçeveler uyarınca; sözleşmenin ifası, hukuki yükümlülük, meşru menfaat, açık rıza (gerektiğinde) hukuki dayanak olarak esas alınır.

5) Saklama Süreleri ve İmha

Veriler; ilgili mevzuatta öngörülen süreler (ör. vergi/TTK süreleri) boyunca ve işleme amaçları için gerekli olduğu müddetçe saklanır; sürenin sonunda silme, yok etme veya anonimleştirme yöntemleriyle imha edilir (KVKK saklama-imha politikası; GDPR m.5(1)(e)).

6) Veri Güvenliği

CRESTU; teknik ve idari tedbirleri (erişim yetkisi sınırlamaları, şifreleme, loglama, ağ güvenliği, personel gizlilik taahhütleri, tedarikçi sözleşmeleri, düzenli denetimler) uygular ve veri ihlali halinde ilgili mercilere/kişilere mevzuata uygun bildirim yapar.

7) Çerezler ve Benzeri Teknolojiler

Sitemizde performans, güvenlik ve kişiselleştirme amaçlarıyla çerezler kullanılmaktadır. Detaylar için Çerez Politikası’nı inceleyiniz. Tercihler tarayıcı ayarlarından yönetilebilir.

8) 18 Yaş Altı

Hizmetlerimiz kural olarak 18 yaş altına yönelik değildir. Reşit olmayanların verileri, yasal temsilci rızası olmaksızın işlenmez.

9) Veri Sahibi Hakları

• KVKK m.11: İşlenip işlenmediğini öğrenme; bilgi talebi; amacına uygunluk; yurt içi/yurt dışı aktarım yerlerini öğrenme; eksik/yanlışsa düzeltme; imha talebi (şartları varsa); itiraz hakkı.
• GDPR m.15-22: Erişim, düzeltme, silme (“unutulma”), işleme kısıtlama, veri taşınabilirliği, itiraz; yalnızca otomatik işleme dayalı kararlara itiraz.
• CCPA: Erişim, silme, paylaşımı kısıtlama, “Do Not Sell/Share My Personal Information” hakkı.

CRESTU’ye iletilen başvurular en geç 30 gün içinde sonuçlandırılır (mevzuattaki istisnalar saklıdır).

10) Başvuru ve İletişim

Islak imzalı dilekçenizi CRESTU TEKNOLOJİ DİJİTAL HİZMETLER LİMİTED ŞİRKETİ - Mimar Hayrettin Mah. Bostan Sk. Uluşahin İş Merkezi NO:6 İç Kapı NO:13 Fatih/İSTANBUL adresine noter kanalıyla iletebilir veya kimliğinizle şahsen teslim edebilirsiniz. Kimlik teyidi ile info@crestu.com adresine e-posta gönderebilirsiniz. GDPR kapsamındaki kullanıcılar için Veri Koruma Görevlisi (DPO) iletişim kanalı ve CCPA kullanıcıları için “Do Not Sell/Share” başvuru bağlantısı ayrıca sağlanacaktır.

11) Güncellemeler

Bu Aydınlatma Metni mevzuat ve operasyonel süreçlerdeki değişiklikler doğrultusunda güncellenebilir. En güncel sürüm web sitemizde yayımlanır ve yürürlük tarihi itibarıyla geçerli olur.