1. Kapsam
Bu Gizlilik Politikası, [LEGAL_TRADE_NAME] ("İzin360") tarafından işletilen İzin360 internet sitesi ve İzin360 platformu ("Platform") kapsamında kişisel verilerin korunmasına ilişkin uygulamalarımızı açıklar. Aşağıdaki metinlerle birlikte okunmalıdır:
- KVKK Aydınlatma Metni — veri sorumlusu olarak işlediğimiz veriler, amaçlar, hukuki sebepler, alıcılar ve haklarınız,
- Çerez Politikası — kullandığımız çerezler ve tarayıcı depolaması,
- Veri İşleme Sözleşmesi — müşteri şirketler adına işlediğimiz çalışan verilerine ilişkin koşullar ve alt işleyenler.
2. Temel ilkelerimiz
Kişisel verileri KVKK m.4'teki ilkelere uygun olarak işleriz: hukuka ve dürüstlük kurallarına uygunluk; doğruluk ve gerektiğinde güncellik; belirli, açık ve meşru amaçlar; amaçla bağlantılı, sınırlı ve ölçülü olma; gerektiği süre kadar saklama. Bunun pratikteki karşılığı:
- Kişisel verileri satmayız, kiralamayız ve reklam amacıyla profil oluşturmak için kullanmayız.
- Müşteri şirketlerin platforma girdiği çalışan verilerini yalnızca o müşteriye hizmet sunmak için ve onun talimatlarıyla işleriz; kendi amaçlarımız için kullanmayız.
- Bir müşterinin verisi başka bir müşteriye gösterilmez; müşteriler arası istatistikler yalnızca anonim veya toplu verilerle üretilir.
- İnternet sitemizde ve uygulamada analitik, reklam veya üçüncü taraf izleme aracı kullanmayız; yazı tipleri dahil tüm site kaynakları kendi sunucularımızdan sunulur.
3. Veri sorumlusu ve veri işleyen rolleri
Hesap yetkilileri ve kullanıcılar, fatura ilgilileri, site ziyaretçileri, iletişim ve destek talepleri gibi kendi müşteri ilişkimize ait verilerde İzin360 veri sorumlusudur. Müşteri şirketlerin çalışanlarına ait izin ve özlük verilerinde veri sorumlusu müşteri şirket (işveren), İzin360 ise veri işleyendir.
Çalışanlar, KVKK kapsamındaki başvurularını uygulamada Kullanıcı menüsü › Gizlilik ve KVKK sayfasından işverenlerine iletebilir ve kendi verilerinin bir kopyasını indirebilir. İzin360'a ulaşan bu tür başvurular gecikmeksizin ilgili işverene yönlendirilir.
4. Güvenlik önlemleri
Kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için KVKK m.12 uyarınca aşağıdaki teknik ve idari tedbirleri uygularız:
Erişim ve kimlik doğrulama
- Müşteriler arası izolasyon: her müşteri şirketin verisi veritabanında zorunlu satır düzeyi güvenlikle (PostgreSQL RLS) ve ayrıca uygulama düzeyinde ayrılır.
- Rol bazlı yetki: kullanıcılar yalnızca rollerinin gerektirdiği verilere erişir.
- Parolalar: geri döndürülemez biçimde (PBKDF2-SHA512, 600.000 tur) saklanır; en az 12 karakter olmalıdır ve bilinen veri ihlallerinde yer alıp almadığı k-anonimlik yöntemiyle denetlenir (parolanın kendisi veya tam özeti dışarı gönderilmez).
- Hatalı giriş koruması: art arda 5 hatalı denemede hesap 15 dakika kilitlenir; kimlik uçlarında istek sınırlaması uygulanır.
- İki adımlı doğrulama: tüm kullanıcılar zaman tabanlı tek kullanımlık kodla iki adımlı doğrulamayı açabilir. Sağlık verisine erişebilen kullanıcılar (insan kaynakları rolleri, hesap sahibi ve yöneticiler) için varsayılan olarak zorunludur: bu kullanıcılar doğrulamayı kurmadan platformu kullanamaz (Kişisel Verileri Koruma Kurulu'nun 2018/10 sayılı Kararı). Zorunluluğu yalnızca müşterinin hesap sahibi, gerekçe ve hukuki risk beyanıyla kaldırabilir; bu karar müşterinin denetim kaydına yazılır. Başka bir kişinin sağlık belgesini açmak her durumda iki adımlı doğrulama ister.
- Oturumlar: oturum anahtarları tarayıcı betiklerinin okuyamadığı (httpOnly) çerezlerde tutulur; erişim anahtarı 30 dakika geçerlidir, yenileme anahtarı her kullanımda değişir ve yeniden kullanım girişiminde oturum sonlandırılır. Kullanıcılar açık oturumlarını görüp kapatabilir.
Şifreleme
- İletim: platforma erişim yalnızca şifreli bağlantı (HTTPS/TLS) üzerinden sağlanır; tarayıcılara HSTS ile yalnızca güvenli bağlantı kullanmaları bildirilir.
- Hassas alanlar: T.C. kimlik numarası, doğum tarihi, ücret, fatura bilgileri ve faturalardaki vergi kimlik numaraları ile iki adımlı doğrulama sırları veritabanında müşteriye özgü türetilmiş anahtarla AES-256-GCM ile şifrelenir.
- Belgeler: yüklenen her belge kendine özgü rastgele bir anahtarla AES-256-GCM ile şifrelenir; belge anahtarı müşteriye özgü anahtarla korunur. Belgeler kendi altyapımızda virüs taramasından geçer ve tarama temiz sonuçlanmadan indirilemez.
- Yedekler: veritabanı her gün AES-256 ile şifrelenerek yedeklenir; yedekler 14 gün sonra silinir.
Sağlık verisi niteliği taşıyabilecek izinler
- Rapor, analık gibi sağlıkla ilgili izin türlerinin belgeleri yalnızca talep sahibine, insan kaynakları yetkililerine ve doğrudan yöneticiye açıktır; her belge indirme ve başka bir kişinin sağlıkla ilgili izin kaydının ayrıntısının görüntülenmesi (kim, hangi kaydı, ne zaman, hangi IP adresi ve tarayıcıdan) denetim kaydına yazılır.
- Ekip takviminde, takvim aboneliklerinde (iCal) ve webhook bildirimlerinde bu izinler türü belirtilmeden yalnızca "İzinli" olarak gösterilir.
- Rapor kayıtlarında teşhis bilgisi istenmez; sağlıkla ilgili izin formlarında açıklama alanına teşhis veya tıbbi ayrıntı yazılmaması gerektiği uyarısı gösterilir. Açıklama alanlarının içeriği otomatik olarak taranmaz.
Kayıt ve altyapı
- Denetim kaydı: önemli işlemler ile başarılı ve başarısız girişler, iki adımlı doğrulama ve parola değişikliği olayları, birbirine özet (hash) zinciriyle bağlı ve uygulama tarafından değiştirilemeyen ya da silinemeyen bir denetim kaydına IP adresi, tarayıcı bilgisi ve istek izleme kimliğiyle yazılır; müşteri yöneticileri zinciri doğrulayabilir. Saklama süresi dolan bir kişinin kayıtlarındaki kişisel veri silinirken zincir bozulmaz: her satırın özeti, satıra özgü rastgele bir değerle hesaplanır ve silmede bu değer de yok edilir; silme işlemi zincire ayrı bir kayıtla işlenir.
- Altyapı: uygulamalar ayrıcalıksız kullanıcılarla konteynerlerde çalışır; internete yalnızca HTTPS sonlandıran ters vekil sunucu açıktır (HTTP istekleri HTTPS'e yönlendirilir). Yönetim konsolu ayrı bir kimlik havuzu kullanır ve iki adımlı doğrulama zorunludur.
- İdari tedbirler: kişisel verilere erişim görev gereğiyle sınırlıdır; personelimiz ve hizmet sağlayıcılarımız yazılı gizlilik yükümlülüğü altındadır.
Sağlık verisi özel nitelikli kişisel veridir. Bu verilerin işlenmesine ilişkin hukuki sebep ve Kişisel Verileri Koruma Kurulu'nun 2018/10 sayılı Kararı ile belirlenen yeterli önlemlere uyum, veri sorumlusu olarak müşteri şirketin sorumluluğundadır; İzin360 yukarıdaki teknik önlemlerle bu yükümlülüğe destek olur.
Hiçbir sistem mutlak güvenlik garantisi veremez. Bir güvenlik açığı tespit ederseniz lütfen [LEGAL_EMAIL] adresinden bize bildirin.
5. Destek amaçlı erişim
Destek, hata giderme veya güvenlik incelemesi için gerekli olduğunda, yetkili İzin360 personeli yönetim konsolundan bir müşteri hesabına salt-okunur bir destek oturumu açabilir:
- Oturum hesap sahibinin yetkileriyle görüntüleme yapar; veri oluşturulamaz, değiştirilemez veya silinemez,
- Oturum en fazla 4 saat geçerlidir,
- Sağlık belgeleri ve diğer belge, arşiv ve dışa aktarım dosyaları destek oturumunda indirilemez,
- T.C. kimlik numarası, ücret ve ücretten türetilen tutarlar, doğum tarihleri, olay tarihleri ve gerekçe, yorum gibi serbest metin alanları destek oturumunda gizlenir,
- Oturumun başlatılması ve oturumdaki her istek, işlemi yapan destek personelinin kimliğiyle müşterinin denetim kaydına (hesap sahibi "destek oturumu" olarak görür) ve platform yönetim kaydına işlenir; hesap sahibine e-postayla bildirim gönderilir.
6. Veri ihlali bildirimi
Kişisel verilerin yetkisiz kişilerce elde edildiğini tespit edersek, veri işleyen sıfatıyla etkilenen müşteri şirketlere gecikmeksizin (hedefimiz en geç 24 saat) uygulama içi bildirim ve e-postayla haber veririz. Bildirim; olayın zamanı, etkilenen veri kategorileri, olası sonuçları, alınan tedbirler ve irtibat bilgileri gibi, müşterinin Kişisel Verileri Koruma Kurulu'na 72 saat içinde yapacağı bildirim için gereken bilgileri içerir.
Veri sorumlusu olduğumuz veriler bakımından ihlali öğrendiğimiz andan itibaren en geç 72 saat içinde Kurul'a, etkilenen kişilere ise makul olan en kısa sürede bildirim yaparız (Kurul'un 2019/10 sayılı Kararı).
7. Saklama süreleri
Kişisel verileri aşağıdaki süreler boyunca saklarız. Süre dolan veriler, günlük ve aylık çalışan otomatik imha işlemleriyle — her hâlde altı ayı aşmayan aralıklarla — silinir, yok edilir veya anonim hâle getirilir; her imha işlemi kayıt altına alınır.
| Veri | Saklama süresi | Dayanak / açıklama |
|---|---|---|
| Fatura, ödeme ve iade kayıtları, faturalardaki alıcı bilgileri, resmî fatura kopyaları | Oluşturuldukları takvim yılının sonundan itibaren 10 yıl; hesap silinmişse süre dolunca otomatik silinir | 6102 sayılı TTK m.82; 213 sayılı VUK m.253 |
| Sipariş kayıtları, satış belgesi onayları (belge, sürüm, metin özeti, zaman, IP) ve sipariş teyidi / fiyat değişikliği e-postalarının kayıtları | İlgili faturayla birlikte: oluşturuldukları takvim yılının sonundan itibaren 10 yıl | Elektronik Ticarette Hizmet Sağlayıcı ve Aracı Hizmet Sağlayıcılar Hakkında Yönetmelik; ispat |
| Fatura profili (alıcı türü, unvan veya ad soyad, VKN/T.C. kimlik no — şifreli —, vergi dairesi, adres, fatura e-postası) | Hesap açık kaldığı sürece; hesap kapandıktan 90 gün sonra hesapla birlikte silinir (kesilmiş faturalardaki alıcı bilgisi faturayla saklanır) | Sözleşmenin ifası |
| Kullanım Koşulları ve Veri İşleme Sözleşmesi kabul kayıtları | Sözleşmenin sona erdiği takvim yılının sonundan itibaren 10 yıl | Genel zamanaşımı (6098 sayılı TBK m.146); ispat |
| Hesap ve kullanıcı bilgileri, aydınlatma metni okundu kayıtları, isteğe bağlı iptal anketi yanıtları | Hesap açık kaldığı sürece; hesap kapandıktan 90 gün sonra silinir | Sözleşmenin ifası |
| Silinen hesabın şirket kaydı (unvan) | Yukarıdaki faturalama ve sözleşme kayıtlarının saklama süresi dolana kadar; ardından anonimleştirilir | Saklanan kayıtların kime ait olduğunun gösterilmesi |
| Ticari elektronik ileti onay ve ret kayıtları | Onayın sona ermesinden (geri alınması ya da hesabın silinmesi) itibaren 3 yıl; hesap silinirken yalnız e-posta adresi, onay türü, metin sürümü, zaman ve IP adresiyle ayrı bir ispat arşivine taşınır | Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik m.13 |
| Oturum kayıtları (IP adresi, tarayıcı/cihaz bilgisi) | Oturum sona erdikten veya kapatıldıktan sonra 180 gün | Hesap güvenliği |
| Kimlik doğrulama ve güvenlik olayları (giriş, başarısız giriş, iki adımlı doğrulama, parola değişikliği — IP adresi, tarayıcı bilgisi) | Müşteri hesabının denetim kaydında hesap süresince; çalışan kaydı anonimleştirildiğinde IP adresi ve tarayıcı bilgisi silinir; hesap kapandıktan 90 gün sonra silinir | Veri güvenliği (KVKK m.12); Kurul'un 2018/10 sayılı Kararı (sağlık verisine erişimlerin kaydı) |
| E-posta doğrulama, parola sıfırlama ve benzeri güvenlik kodları | Kullanıldıktan veya süresi dolduktan sonra 30 gün | Hesap güvenliği |
| Kabul edilmemiş davetler | Davetin süresi dolduktan sonra 90 gün | Hizmetin işleyişi |
| Sunucu erişim günlükleri (trafik bilgisi: IP adresi, zaman, istenen adres, aktarılan veri miktarı; bağlantılardaki gizli anahtarlar yazılmaz) ve uygulama çıktı günlükleri | 1 yıl; süresi dolan günlük dosyaları otomatik silinir (en geç 13 ay). Merkezi uygulama günlüğü deposunda 90 gün, izleme kayıtlarında 14 gün | Güvenlik; 5651 sayılı Kanun ve Yer Sağlayıcılara İlişkin Yönetmelik m.5 (ihtiyaten) |
| İletişim, demo ve satış formu talepleri (IP adresi dahil) | Sonuçlandırılmasından itibaren 1 yıl; sonuçlandırılmamışsa oluşturulmasından itibaren 2 yıl (otomatik silinir) | Talebin yanıtlanması; kötüye kullanımın önlenmesi |
| Destek yazışmaları | Talebin kapanmasından itibaren 2 yıl | Hizmetin ifası; ispat |
| Bize yapılan KVKK başvuruları ve cevapları | Başvurunun sonuçlanmasından itibaren 3 yıl | Kurul'a şikâyet ve uyuşmazlıklarda ispat |
| İmha işlemlerine ilişkin kayıtlar (kişisel veri içermez) | En az 3 yıl | Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.7/3 |
| Yedekler | 14 gün (döngüsel) | Silinen veriler yedeklerden de en geç 14 gün içinde kalkar |
| Veri | Saklama süresi | Açıklama |
|---|---|---|
| Ayrılan çalışanların kayıtları (kimlik, özlük, belgeler, açıklamalar, olay tarihleri, KVKK başvuruları, denetim kaydındaki kişisel veriler) | İş ilişkisinin bitişinden itibaren müşterinin seçtiği süre (5–30 yıl, varsayılan 10 yıl); sonra geri döndürülemez biçimde anonimleştirilir, izin türü/dönemi/gün sayısı istatistik olarak kalır | Müşterinin saklama politikası; yasal saklama engeli (legal hold) konulan kayıtlar beklemeye alınır |
| Bildirimler | Okunanlar 1 yıl, diğerleri 2 yıl | Hizmetin işleyişi |
| Webhook teslim kayıtları | 90 gün | Entegrasyon hata ayıklama |
| Sistem olay kuyruğu kayıtları | 30 gün | Hizmetin işleyişi |
| Müşteri hesabındaki tüm veriler (çalışanlar, izinler, belgeler, denetim kaydı) | Hesap kapandıktan 90 gün sonra kalıcı olarak silinir. Deneme sonunda ya da ödenmeyen yenileme nedeniyle askıya alınan hesap, askıdan itibaren 60 gün içinde paket seçilmez ya da ödeme yapılmazsa kapatılır (kapanıştan 30 ve 7 gün önce bildirim yapılır) | Veri İşleme Sözleşmesi; kapanıştan sonra silme tarihine kadar hesap yeniden açılabilir; faturalama kayıtları yukarıdaki tabloya göre saklanır |
Müşteri şirketler, çalışan verileri için iş ve sosyal güvenlik mevzuatındaki saklama yükümlülüklerini (ör. 5510 sayılı Kanun m.86 uyarınca on yıllık belge saklama) dikkate alarak kendi saklama sürelerini belirlemekten sorumludur.
8. Barındırma ve hizmet sağlayıcılar
Platform ve internet sitemiz Contabo GmbH tarafından sağlanan, Almanya konumundaki sunucularda barındırılır. Veritabanı, belge deposu, virüs taraması, kuyruk, önbellek ve izleme bileşenleri bu sunucularda kendi yönetimimizde çalışır; bu bileşenler için verileriniz başka bir üçüncü tarafa gönderilmez.
Bunun dışında e-posta iletimi, kurumsal e-posta, yedekleme, ödeme ve e-fatura için hizmet sağlayıcılarla çalışırız. Bu sağlayıcılar yalnızca hizmetin gerektirdiği verilere, gizlilik ve güvenlik yükümlülükleri altında erişir. Güncel liste Veri İşleme Sözleşmesi ekinde, yurt dışına aktarım durumu KVKK Aydınlatma Metni'nde yer alır.
Kart bilgileriniz İzin360 tarafından görülmez ve saklanmaz; ödemeler, kendi gizlilik politikasına tabi olan PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş.'nin ödeme sayfası üzerinden alınır.
9. Ticari elektronik iletiler
Ürün haberleri, kampanya ve etkinliklere ilişkin ticari elektronik iletileri (e-posta) yalnızca açıkça onay vermeniz hâlinde göndeririz. Onay isteğe bağlıdır, hizmetten yararlanma şartı değildir ve önceden işaretlenmiş kutuyla alınmaz. Onayınızı ve geri alma geçmişinizi sürüm, zaman ve IP bilgisiyle kaydederiz.
Bu politikanın tarihi itibarıyla ticari elektronik ileti gönderilmemektedir. Göndermeye başlamadan önce İleti Yönetim Sistemi'ne (İYS) kaydolur ve onayları İYS'ye kaydederiz; İYS'de kayıtlı olmayan bir onaya dayanarak ileti göndermeyiz. Gönderilen her iletide ücretsiz ret bağlantısı ile unvanımız ve iletişim bilgilerimiz yer alır.
Onayınızı dilediğiniz zaman uygulamada Kullanıcı menüsü › Gizlilik ve KVKK sayfasından ya da [LEGAL_PRIVACY_EMAIL] adresine yazarak geri alabilirsiniz; ret talebiniz en geç üç iş günü içinde uygulanır.
Hesap doğrulama, parola sıfırlama, izin talebi ve onay bildirimleri, fatura, yenileme ve ödeme hatırlatmaları gibi hizmetin işleyişine ilişkin iletiler ticari ileti değildir; tanıtım içeriği taşımaz ve onayınıza bağlı değildir.
10. Çocuklar
İzin360 işletmelere yönelik bir hizmettir; internet sitemiz ve platformumuz 18 yaşından küçüklere yönelik değildir ve bu kişilerden bilerek kişisel veri toplamayız. Müşteri şirketlerin istihdam ettiği 18 yaşından küçük çalışanlara ilişkin veriler, veri sorumlusu olan işverenin sorumluluğunda işlenir.
11. Haklarınız ve iletişim
KVKK m.11 kapsamındaki haklarınızı ve başvuru yollarını Veri sahibi başvurusu bölümünde bulabilirsiniz. Gizlilikle ilgili sorularınız için [LEGAL_PRIVACY_EMAIL] adresinden bize ulaşabilirsiniz.
12. Değişiklikler
Bu politikayı hizmetimizde veya mevzuatta meydana gelen değişikliklere göre güncelleyebiliriz. Güncel sürüm bu sayfada sürüm ve son güncelleme tarihiyle yayımlanır; önemli değişiklikleri hesap sahiplerine e-postayla ayrıca duyururuz.