Webmaster Forum - WFN Webmaster Forum - WFN

SMS Kullanım Şartları ve Kişisel Verilerin Korunması Aydınlatma Metni

Bu aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve 7499 sayılı Kanun ile yapılan değişiklikler (12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete’de yayımlanmış, 1 Haziran 2024 tarihinde yürürlüğe girmiştir), 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun (“ETK”) ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik, Avrupa Birliği Genel Veri Koruma Tüzüğü 2016/679 (“GDPR”) ve diğer geçerli uluslararası kişisel veri koruma düzenlemeleri uyarınca hazırlanmıştır. Bu platform tarafından işletilen SMS doğrulama ve bildirim hizmetleri kapsamında kişisel verilerinizin — özellikle cep telefonu numaranızın — nasıl işlendiği hakkında sizi şeffaf bir şekilde bilgilendirmeyi amaçlamaktadır.

1. Veri Sorumlusunun Kimliği ve İletişim Bilgileri

Bu platformun işletmecisi, KVKK m. 3/1-ı ve GDPR m. 4(7) anlamında Veri Sorumlusu sıfatıyla hareket etmektedir. Veri Sorumlusu, SMS doğrulama hizmeti aracılığıyla toplanan tüm kişisel verilerden sorumludur. Kişisel verilerinizle ilgili sorularınız veya talepleriniz için platformun resmi İletişim / Yardım sayfası üzerinden Veri Sorumlusuna ulaşabilirsiniz. Bir eklenti yazılım bileşeni olarak XENTR SmsVerification, platform işletmecisi adına ve onun belgelenmiş talimatları doğrultusunda veri işleyen (KVKK m. 3/1-e; GDPR m. 4(8)) olarak faaliyet göstermektedir.

2. İşlenen Kişisel Veri Kategorileri

SMS doğrulama hizmeti kapsamında, yalnızca gerekli olanla sınırlı olmak üzere (veri minimizasyonu ilkesi — KVKK m. 4/2-ç; GDPR m. 5/1-c) aşağıdaki kişisel veriler toplanmakta ve işlenmektedir:

  • Cep Telefonu Numarası: Kayıt veya profil güncelleme sırasında gönüllü olarak sağladığınız tam uluslararası cep telefonu numaranız (ülke çağrı kodu dahil).
  • Doğrulama Kodu Kayıtları: Kimlik doğrulama amacıyla oluşturulan ve iletilen tek kullanımlık parolalar (OTP). Bunlar yalnızca geçici olarak saklanır ve başarılı kullanım veya süre dolumu üzerine derhal geçersiz kılınır.
  • Güvenlik ve Denetim Logları: Doğrulama SMS mesajlarının zaman damgaları, teslimat durumu ve deneme sayıları; dolandırıcılık ve kötüye kullanıma karşı koruma amacıyla saklanır.
  • Cihaz ve Oturum Verileri (Dolaylı): Doğrulama talebi sırasında kaydedilen IP adresi ve oturum tanımlayıcıları; yalnızca güvenlik ve dolandırıcılık önleme amacıyla işlenir ve davranışsal profilleme ile ilişkilendirilmez.

3. İşleme Amaçları

Cep telefonu numaranız ve ilişkili verileriniz yalnızca aşağıdaki tanımlanmış ve belgelenmiş amaçlar için işlenmektedir:

  • Otomatik (bot) ve dolandırıcılık amaçlı hesap oluşturmayı önlemek için hesap kaydı sırasında kimliğinizin doğrulanması (KVKK m. 5/2-c; GDPR m. 6/1-b).
  • Hesap kaydı, giriş ve iki faktörlü kimlik doğrulama (2FA) için Tek Kullanımlık Parola (OTP) kodlarının gönderilmesi (KVKK m. 5/2-c, 5/2-f; GDPR m. 6/1-b, 6/1-f).
  • Açık ve gönüllü talebiniz üzerine şifre sıfırlama kodunun gönderilmesi (KVKK m. 5/2-c; GDPR m. 6/1-b).
  • Platform bütünlüğünü ve kullanıcı güvenliğini korumak amacıyla şüpheli, kötüye kullanımlı veya yetkisiz erişim girişimlerinin tespit edilmesi (KVKK m. 5/2-f; GDPR m. 6/1-f).
  • Tanıtım, bilgilendirme veya güncelleme SMS bildirimlerinin gönderilmesi — yalnızca zorunlu doğrulama rızalarından bağımsız olarak kaydedilmiş, ayrı ve serbestçe verilmiş önceden rızanızla (KVKK m. 5/1; GDPR m. 6/1-a; ETK m. 6).

Telefon numaranız yukarıda listelenen amaçlar dışında hiçbir amaçla işlenmeyecek, profilleme, otomatik karar alma veya davranışsal hedefleme için kullanılmayacaktır.

4. İşlemenin Hukuki Dayanakları

Her bir işleme faaliyeti belirli ve belgelenmiş bir hukuki dayanağa dayanmaktadır:

  • Sözleşmenin İfası (KVKK m. 5/2-c; GDPR m. 6/1-b): Telefon numarası doğrulaması, üyelik sözleşmesinin kurulması ve ifası için doğal ve gerekli bir adımdır.
  • Meşru Menfaat (KVKK m. 5/2-f; GDPR m. 6/1-f): Platformun dolandırıcılık, spam kayıtlar ve yetkisiz erişimi önleme konusunda meşru menfaati vardır. Bu menfaatin temel hak ve özgürlüklerinizi geçersiz kılmadığına dair bir Meşru Menfaat Değerlendirmesi (LIA) yapılmıştır.
  • Açık Rıza (KVKK m. 5/1; GDPR m. 6/1-a; ETK m. 6): Ticari veya tanıtım amaçlı SMS, serbestçe verilmiş, spesifik, bilgilendirilmiş ve açık rıza temelinde gönderilir; bu rıza, operasyonel rızalardan ayrı olarak zaman damgası ve kapsam ile saklanır.

5. Kişisel Verilerin Üçüncü Taraflara Aktarımı ve Uluslararası Aktarımlar

Cep telefonu numaranız, SMS teslimatı için yalnızca teknik olarak gerekli ölçüde aşağıdaki üçüncü taraf kategorileriyle paylaşılmaktadır:

  • Yetkili SMS Ağ Geçidi Hizmet Sağlayıcıları: Bağlayıcı veri işleme sözleşmeleri kapsamında veri işleyen olarak hareket eden lisanslı üçüncü taraf SMS altyapı operatörleri. Bu sağlayıcılar, telefon numaranızı mesaj teslimatı dışında herhangi bir amaçla kullanmaları sözleşmesel olarak yasaklanmıştır.
  • Telekomünikasyon Operatörleri: Mesajlar, SMS teslimatı için teknik olarak gerekli olduğu ölçüde lisanslı ulusal ve/veya uluslararası telekomünikasyon operatörleri üzerinden yönlendirilir.
  • Yasal Olarak Yetkili Kamu Makamları: Verileriniz, bağlayıcı ve uygulanabilir bir yasal zorunluluk (KVKK m. 5/2-a; GDPR m. 6/1-c) gerektirdiği durumlarda yetkili mahkemelere, kolluk kuvvetlerine veya düzenleyici kurumlara açıklanabilir.

Verileriniz hiçbir üçüncü tarafa kendi bağımsız amaçları için satılmaz, kiralanmaz, takas edilmez veya ticari olarak aktarılmaz.

Uluslararası Veri Aktarımları: SMS ağ geçidi sağlayıcılarının Türkiye dışında bulunduğu durumlarda, veri aktarımları 7499 sayılı Kanun ile değiştirilen KVKK m. 9 (1 Haziran 2024’te yürürlüğe girmiştir) ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (10 Temmuz 2024 tarihli Resmî Gazete) uyarınca sıkı bir şekilde gerçekleştirilir. Aktarımlar yalnızca aşağıdaki hiyerarşik mekanizmalar aracılığıyla yapılır: (1) hedef ülke veya sektörü kapsayan bir Kurul yeterlilik kararı; (2) yeterlilik kararı bulunmadığı durumlarda, Kişisel Verileri Koruma Kurulu tarafından yayımlanan Standart Sözleşme Hükümleri (SCC) veya Kurul tarafından onaylanan Bağlayıcı Şirket Kuralları (BCR) dahil uygun güvenceler ile, imza tarihinden itibaren 5 iş günü içinde Kurul’a zorunlu bildirim yapılarak; veya (3) yalnızca istisnai durumlarda, ilişkili risklerin tam bilinciyle verdiğiniz açık rıza ile. AB/AEA üye devletlerine aktarımlar ayrıca GDPR m. 44–49’a uygun olarak gerçekleştirilir.

6. Veri Saklama Süreleri

Kişisel veriler, belirtilen işleme amaçlarını yerine getirmek ve geçerli yasal yükümlülüklere uymak için gerekli olduğu süre boyunca saklanır. Geçerli saklama süresinin sona ermesi üzerine veriler güvenli bir şekilde silinir, anonim hale getirilir veya imha edilir:

  • Doğrulama Kodları (OTP): İlk kullanımda veya süre dolumunda (genellikle 5–10 dakika içinde) hangisi önce gerçekleşirse otomatik olarak geçersiz kılınır ve silinir.
  • Cep Telefonu Numarası: Aktif üyeliğiniz süresi boyunca saklanır. Hesap silme veya geçerli bir silme talebi üzerine, telefon numaranız 30 gün içinde kalıcı olarak silinecek veya geri dönüşümsüz şekilde anonim hale getirilecektir; bununla birlikte zorunlu yasal saklama yükümlülükleri saklıdır.
  • Güvenlik ve Denetim Logları: Güvenlik olaylarını ve yasal iddiaları soruşturmak ve bunlara karşı savunma yapmak için gerekli süre boyunca saklanır; veri sorumlusunun platform güvenliği ve yasal meşru savunma konusundaki meşru menfaatine (KVKK m. 5/2-f; GDPR m. 6/1-f; m. 17/3-e) ve Türk Borçlar Kanunu’ndaki genel zamanaşımı sürelerine dayalıdır. Loglar bu sürenin sonunda güvenli bir şekilde silinir.
  • Rıza Kayıtları (Pazarlama SMS’leri): ETK m. 9 ve GDPR m. 7(1) uyarınca, bir uyuşmazlık veya düzenleyici denetim durumunda uyumu kanıtlamak amacıyla rızanın geri çekilmesi veya sona ermesinden sonra 1 yıl süreyle saklanır.

7. Veri Minimizasyonu ve Amaçla Sınırlılık

Veri minimizasyonu (KVKK m. 4/2-ç; GDPR m. 5/1-c) ve amaçla sınırlılık (KVKK m. 4/2-b; GDPR m. 5/1-b) ilkeleri uyarınca, yalnızca işlendiği amaçlarla ilgili olarak yeterli, ilgili ve gerekli olan kişisel veriler toplanır. Telefon numaranız, belirtilen amaç için gerekli sürenin ötesinde saklanmayacaktır.

8. Otomatik Karar Alma ve Profilleme

GDPR m. 22 ve KVKK m. 4 kapsamındaki adil işleme ilkesi uyarınca, kişisel verileriniz sizinle ilgili yasal veya benzer şekilde önemli etkiler doğuran herhangi bir otomatik bireysel karar alma için kullanılmaz ve davranışsal profilleme için de kullanılmaz. Platform, telefon numaranızı ek özellikler çıkarmak veya haklarınızı ya da menfaatlerinizi etkileyen otomatik kararlar almak için kullanmaz.

9. Kişisel Veri Güvenliği ve İhlal Bildirimi

KVKK m. 12 ve GDPR m. 32 uyarınca, riskle orantılı uygun teknik ve idari tedbirler uygulamaktayız. Bunlar arasında: kişisel verilerin iletim sırasında (TLS) ve dinlenme halinde şifrelenmesi; katı rol tabanlı erişim kontrolleri; düzenli güvenlik değerlendirmeleri ve sızma testleri; mümkün olduğunda takma ad kullanma; ve tüm veri işleyenleri bağlayan sözleşmesel güvenlik yükümlülükleri yer almaktadır.

Hak ve özgürlükleriniz için risk oluşturması muhtemel bir kişisel veri ihlali durumunda, Veri Sorumlusu, ihlalin farkına vardığı andan itibaren gecikmeksizin ve mümkün olduğunda 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirimde bulunacaktır (KVKK m. 12/5; GDPR m. 33). İhlalin hak ve özgürlükleriniz için yüksek risk oluşturması muhtemel olduğu durumlarda, size de gecikmeksizin doğrudan bildirim yapılacaktır (GDPR m. 34).

10. Ticari Elektronik İletiler ve ETK Uyumu

Ayrı ve açık önceden rıza verdiğiniz durumlarda, size 6563 sayılı Kanun (ETK) m. 6 ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik uyarınca ticari veya tanıtım amaçlı SMS mesajları gönderilebilir. Rızanız elektronik olarak tarih, saat ve kapsam ile kayıt altına alınır. Pazarlama rızanızı istediğiniz zaman şu yollarla geri çekebilirsiniz: (a) herhangi bir tanıtım SMS’indeki çıkış (opt-out) mekanizmasını kullanarak; veya (b) Hesap Ayarları altındaki bildirim tercihlerinizi güncelleyerek. Geri çekme talebiniz 3 iş günü içinde işleme alınacaktır (ETK m. 9/3); sonrasında başka tanıtım mesajı gönderilmeyecektir.

11. Veri Sahibinin Hakları ve Bu Hakların Kullanımı

KVKK m. 11 ve GDPR m. 15–22 uyarınca, kişisel verilerinizle ilgili aşağıdaki haklara sahipsiniz:

  • Bilgilendirilme Hakkı (KVKK m. 10; GDPR m. 13–14): Kişisel verilerinizin nasıl işlendiği hakkında açık ve şeffaf bilgi alma hakkı.
  • Erişim Hakkı (KVKK m. 11/1-a,b; GDPR m. 15): Verilerinizin işlenip işlenmediğini teyit etme ve hakkınızda tutulan kişisel verilerin bir kopyasını ek bilgilerle birlikte alma hakkı.
  • Düzeltme Hakkı (KVKK m. 11/1-c; GDPR m. 16): Yanlış veya eksik kişisel verilerin gecikmeksizin düzeltilmesini isteme hakkı.
  • Silme / “Unutulma Hakkı” (KVKK m. 11/1-d,e; GDPR m. 17): Toplandığı amaçlar için artık gerekli olmadığı durumlarda kişisel verilerinizin silinmesini talep etme hakkı (zorunlu yasal saklama yükümlülükleri saklıdır).
  • İşlemenin Kısıtlanması Hakkı (KVKK m. 11/1-f; GDPR m. 18): Verilerin doğruluğuna itiraz ettiğiniz gibi belirli durumlarda verilerinizin işlenmesinin kısıtlanmasını isteme hakkı.
  • Veri Taşınabilirliği Hakkı (GDPR m. 20): İşlemenin rıza veya sözleşmeye dayandığı ve otomatik araçlarla gerçekleştirildiği durumlarda, verilerinizi yapılandırılmış, yaygın olarak kullanılan, makine tarafından okunabilir bir formatta alma ve teknik olarak mümkün olduğunda başka bir sorumluya aktarma hakkı.
  • İtiraz Hakkı (KVKK m. 11/1-g; GDPR m. 21): Meşru menfaatlere dayanan işlemeye (doğrudan pazarlama dahil) her zaman itiraz etme hakkı. Pazarlama itirazının alınması üzerine, o amaçla işleme derhal durdurulacaktır.
  • Rızayı Geri Çekme Hakkı (KVKK m. 11; GDPR m. 7/3; ETK m. 9): Herhangi bir rızayı istediğiniz zaman Hesap Ayarları üzerinden geri çekme hakkı. Geri çekme, geri çekmeden önce rızaya dayalı işlemenin hukuka uygunluğunu etkilemez.
  • Otomatik Karar Alma ile İlgili Haklar (GDPR m. 22): Yalnızca otomatik işleme (profilleme dahil) dayalı ve yasal veya benzer şekilde önemli etkiler doğuran bir karara tabi olmama hakkı. (Not: Bu platform tarafından böyle bir işleme yapılmamaktadır.)
  • Şikayette Bulunma Hakkı (KVKK m. 14; GDPR m. 77): Kişisel Verileri Koruma Kurumu’na (KVKK) veya ikamet ettiğiniz ülkedeki yetkili denetim makamına şikayette bulunma hakkı.

Talebin Nasıl Sunulacağı: KVKK kapsamındaki haklarınızı kullanmak için, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’de tanınan aşağıdaki yöntemlerden herhangi biri ile yazılı talepte bulunabilirsiniz:

  • El ile şahsen veya posta yoluyla, ıslak (el yazısı) imzalı olarak;
  • Noter aracılığıyla;
  • Kayıtlı Elektronik Posta (KEP) adresi aracılığıyla;
  • Güvenli elektronik imza veya mobil imza aracılığıyla; veya
  • Platformda kayıtlı e-posta adresiniz aracılığıyla.

Talebinizde şu bilgiler yer almalıdır: adınız soyadınız, T.C. kimlik numaranız (yabancı uyruklular için pasaport numarası), iletişim adresiniz ve talebinizin açık bir açıklaması. Kimlik doğrulaması gerekebilir. Talebinize KVKK m. 13/2 ve GDPR m. 12/3 uyarınca 30 gün içinde yanıt vereceğiz. Talep karmaşık veya çok sayıda ise, bildirimle birlikte bu süre iki ay daha uzatılabilir (GDPR m. 12/3). Talepler açıkça temelsiz veya aşırı olmadığı sürece yanıtlar ücretsiz sağlanır.

12. Bu Aydınlatma Metninin Güncellenmesi

Bu aydınlatma metni, 7499 sayılı Kanun ile KVKK m. 9’da yapılan değişiklikleri (1 Haziran 2024’te yürürlüğe girmiştir) ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Yönetmelik’i (10 Temmuz 2024’te yürürlüğe girmiştir) yansıtmak üzere Temmuz 2026 tarihinde son güncellenmiştir. Geçerli mevzuatta, veri işleme uygulamalarımızda veya sunduğumuz hizmetlerde maddi değişiklikler olduğunda revize edilecektir. Güncel sürüm her zaman kayıt formu üzerinden erişilebilir olacaktır.