Kişisel Verilerin Korunması Aydınlatma Metni
6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") Madde 10 uyarınca
Yatırım Panosu'nun gelir modeli kullanıcı verisine dayanmaz. Portföyünüz, işlemleriniz ve kazancınız bizim için pazarlanacak bir ürün değil, korumamız gereken bir emanettir.
Hizmet şu anda beta aşamasında ve ücretsiz. Kendi sunucu ve veritabanı altyapımızı kurup işletecek kaynağımız bu aşamada yok — veritabanı, e-posta gönderimi ve bot korumasını bu yüzden dışarıdan hazır hizmet olarak alıyoruz. Reklam ölçümleme araçları da aynı kısıtın sonucu: yeni kullanıcıya sınırlı bir bütçeyle ulaşıyoruz ve bu bütçenin karşılığını görmemiz gerekiyor. Açıkçası bu araçları kullanmayı tercih etmezdik; bütçe büyüdüğünde ölçümlemeyi üçüncü taraf gerektirmeyen bir yönteme taşımak istiyoruz. Kısacası hizmet aldığımız sağlayıcılar, veriyi paraya çevirmek yerine altyapıyı satın almayı seçmiş olmamızın sonucudur.
Bu kapsamda taahhüt ettiklerimiz:
- Portföy, işlem, kazanç ve varlık dağılımı verileriniz hiçbir reklam veya pazarlama sağlayıcısına aktarılmaz.
- Kişisel verileriniz satılmaz, kiralanmaz ve ticari amaçla üçüncü kişilere devredilmez.
- Hizmet aldığımız sağlayıcılar KVKK anlamında veri işleyendir: verilerinizi yalnızca bize verdikleri hizmet için işleyebilir, kendi amaçları doğrultusunda kullanamazlar.
- Yeni bir sağlayıcı eklediğimizde bu metni günceller ve sizi bilgilendiririz.
Hangi sağlayıcıya tam olarak hangi verinin gittiğini 6. bölümde tek tek sayıyoruz.
1. Veri Sorumlusunun Kimliği
KVKK Madde 3/1-ı uyarınca veri sorumlusu sıfatıyla aşağıdaki gerçek kişi tarafından kişisel verileriniz işlenmektedir:
Veri Sorumlusu: Muhammet Ali Baycan
Marka: Yatırım Panosu
Yerleşim: İstanbul, Türkiye
İnternet adresi: yatirimpanosu.com
İletişim: iletisim@yatirimpanosu.com
Veri sorumlusu gerçek kişidir. KVKK Kurulu'nun güncel kararı uyarınca (gerçek kişi veri sorumluları için yıllık çalışan sayısı 50'den ve yıllık mali bilanço toplamı 25 milyon TL'den az; yıl içinde işlenen kişisel veri sayısı 100.000'in altında) VERBİS kayıt yükümlülüğü kapsamı dışındadır. Eşik aşıldığında kayıt yapılacaktır.
2. İşlenen Kişisel Veri Kategorileri
Hizmetlerimizden faydalanmanız sırasında aşağıdaki kişisel veri kategorileri tarafımızca işlenmektedir:
| Kategori | Veri Türleri |
|---|---|
| Kimlik & İletişim | E-posta adresi, ad (isteğe bağlı; "Google ile giriş"te Google hesabınızdan sağlanır) |
| Kullanıcı İçeriği | Kullanıcının uygulamaya kendisi girdiği portföy bilgileri (varlık türü, sembol, miktar, alış/satış tarihi, birim fiyat, ücret, not), portföy isimlendirmeleri, borç/alacak kayıtlarında girdiğiniz karşı taraf adı ve açıklaması, geri bildirim ve destek mesajlarınızın içeriği |
| İşlem Güvenliği | IP adresinin SHA-256 özeti (hash), tarayıcı bilgisi (user-agent), oturum bilgileri, çerez (cookie) verileri, son giriş tarihi, parola özet (bcrypt hash) değeri, e-posta doğrulama ve şifre sıfırlama token özetleri |
| Analitik & Ölçümleme | Oturum tanımlayıcısı (sessionId), tarayıcınızda saklanan kalıcı ziyaretçi tanımlayıcısı (visitorId), ziyaret edilen sayfa, yönlendiren site (referrer), cihaz türü, IP adresinin SHA-256 özeti. Siteye hangi kaynaktan ulaştığınıza dair kampanya bilgileri (UTM parametreleri, yönlendiren site, ilk giriş sayfası) hesabınızda kalıcı olarak saklanır. Bu verilerin bir kısmı reklam ölçümleme sağlayıcılarıyla paylaşılır — bkz. Bölüm 6.2. |
Tarafımızca özel nitelikli kişisel veri (KVKK Md. 6) toplanmaz ve işlenmez. Banka hesap numarası, IBAN, kredi kartı bilgisi, T.C. kimlik numarası gibi hassas veriler talep edilmez.
3. Kişisel Verilerin İşlenme Amaçları
Kişisel verileriniz, KVKK Madde 4'te belirtilen genel ilkelere uygun olarak yalnızca aşağıdaki amaçlarla işlenir:
- Hesap oluşturma, kimlik doğrulama ve oturum yönetimi
- Portföy takip, performans hesaplama ve risk analizi hizmetinin sunulması
- Tarafınıza hizmetle ilgili teknik bildirim ve iletişim sağlanması
- Sitenin nasıl kullanıldığını anlamak ve hizmeti iyileştirmek amacıyla istatistiksel analiz yapılması
- Reklam kampanyalarının etkisinin ölçülmesi ve siteye hangi kaynaktan ulaşıldığının tespiti (X/Twitter ve Meta ölçümleme teknolojileri aracılığıyla — bkz. Bölüm 6.2)
- Hizmetin kötüye kullanılmasının önlenmesi, sistem ve dolandırıcılık güvenliği
- Yetkili kamu kurumlarının taleplerinin yerine getirilmesi
- Uygulamanın iyileştirilmesi ve hata kayıtlarının çözümlenmesi
4. İşleme Faaliyetinin Hukuki Sebebi
Yukarıdaki amaçlarla yürütülen işleme faaliyetlerinin hukuki dayanağı KVKK Madde 5'te sayılan hukuki sebeplerdir:
- Madde 5/2-c — Sözleşmenin kurulması ve ifası için zorunlu olması (kullanıcı hesabı, hizmet sunumu)
- Madde 5/2-ç — Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi (mevzuattan kaynaklanan kayıt yükümlülükleri)
- Madde 5/2-f — Veri sorumlusunun meşru menfaati (sistem güvenliği, dolandırıcılık önleme, hata ayıklama)
- Madde 5/2-f — Veri sorumlusunun meşru menfaati (hizmet kalitesinin ölçülmesi amacıyla kendi sunucumuzda tutulan birinci taraf analitik verisi)
- Madde 5/1 — Açık rıza — Reklam ölçümleme teknolojileri (X/Twitter ve Meta) aracılığıyla yapılan işleme ve bu kapsamdaki yurt dışı aktarım
- Madde 9 — Açık rıza — Veritabanı barındırma, e-posta gönderimi ve kimlik doğrulama hizmetlerinin yurt dışında yerleşik sağlayıcılar üzerinden yürütülmesi (bkz. Bölüm 6.2)
5. Veri Toplama Yöntemi
Kişisel verileriniz, internet sitemiz ve uygulamamız üzerinden elektronik ortamda, sizin doğrudan beyanınızla (form alanları, Excel/CSV içe aktarma) ve oturum kayıtlarıyla otomatik biçimde toplanır. Google ile girişseçeneğini kullanmanız hâlinde e-posta ve ad bilginiz, kimlik doğrulama sağlayıcısı Google'dan (ABD) alınır (bkz. Bölüm 6.2). Bunun dışında tarafımızca üçüncü kişilerden veri elde edilmez.
6. Kişisel Verilerin Aktarılması
6.1. Yurt İçi Aktarım (KVKK Md. 8)
Kişisel verileriniz, uygulama sunucusunun barındırıldığı Net İnternet Hizmetleri A.Ş. (Türkiye) dışında ve hukuki yükümlülüklerin gerektirdiği durumlar hariç, yurt içinde üçüncü kişilere aktarılmaz. Anılan şirket yalnızca sunucu barındırma hizmeti verir; verilerinize erişim yetkisi bulunmaz.
6.2. Yurt Dışı Aktarım (KVKK Md. 9)
Uygulama sunucusu Türkiye'de yerleşik Net İnternet Hizmetleri A.Ş. (netinternet.com) altyapısında barındırılmaktadır. Ancak aşağıda sayılan hizmetler yurt dışında yerleşik sağlayıcılar üzerinden yürütülmekte olup, bu kapsamda kişisel verileriniz yurt dışına aktarılmaktadır. Bu aktarımlar KVKK Md. 9 uyarınca, kayıt sırasında verdiğiniz açık rızaya dayanır.
1 — Veritabanı barındırma (Neon, ABD): Hesap bilgileriniz, portföy ve işlem kayıtlarınız, analitik verileriniz ve parola özet değeriniz dâhil veritabanının tamamı, Neon Inc. tarafından işletilen ve Amerika Birleşik Devletleri'nde (AWS us-east-1 bölgesi) bulunan sunucularda saklanmaktadır. Veriler aktarım sırasında ve beklemede şifrelenir.
2 — E-posta gönderimi (Resend, ABD): Şifre sıfırlama, e-posta doğrulama, bildirim ve haftalık portföy özeti e-postaları Resend, Inc. (ABD) altyapısı üzerinden gönderilir. Bu kapsamda e-posta adresiniz ve gönderilen iletinin içeriği (haftalık özet e-postasında portföyünüzün dönemsel kâr/zarar bilgisi ve varlık listesi dâhil) sağlayıcıya aktarılır. Haftalık özet e-postasını hesap ayarlarınızdan kapatabilirsiniz.
3 — Reklam ölçümleme (X/Twitter ve Meta, ABD): Reklam kampanyalarımızın etkisini ölçmek amacıyla sitemizde X Pixel (X Corp., ABD) ve Meta Pixel (Meta Platforms, Inc., ABD) teknolojileri kullanılmaktadır. Bu teknolojiler siteyi ziyaret ettiğinizde IP adresinizi, tarayıcı ve cihaz bilgilerinizi, ziyaret ettiğiniz sayfanın adresini ve (gerçekleşmesi hâlinde) kayıt olma işlemini ilgili sağlayıcıya iletir. Bu sağlayıcılar söz konusu verileri kendi çerezleriyle eşleştirebilir. Portföy, işlem ve finansal verileriniz bu sağlayıcılara aktarılmaz.
4 — Google ile giriş (Google LLC, ABD): Yalnızca giriş ekranında Google ile devam et seçeneğini kullanmayı tercih ederseniz, kimlik doğrulama Google LLC (ABD) altyapısı üzerinden gerçekleştirilir; bu kapsamda e-posta adresiniz ve (varsa) adınız Google ile paylaşılır. Bu aktarım, KVKK Md. 9 uyarınca, ilgili giriş yöntemini seçerek verdiğiniz açık rızaya dayanır.
5 — Bot koruması (Cloudflare Turnstile, ABD): Kayıt ol ve şifre sıfırlama formlarında, otomatik bot kayıtlarını ve kötüye kullanımı önlemek için Cloudflare Turnstile teknolojisi kullanılır. Bu formları gönderdiğinizde, sizi bottan ayırt etmek amacıyla sınırlı teknik sinyaller (IP adresi, tarayıcı ve cihaz bilgisi, sayfa etkileşim verileri) Cloudflare, Inc. (ABD) tarafından işlenir. Bu veriler reklam veya profilleme amacıyla kullanılmaz; işleme, hizmet güvenliğinin sağlanması ve kötüye kullanımın önlenmesindeki meşru menfaate (KVKK Md. 5/2-f) dayanır. Ayrıntı için Cloudflare Turnstile Gizlilik Eki'ni inceleyebilirsiniz.
6 — Parola güvenlik kontrolü (Have I Been Pwned, ABD): Kayıt sırasında seçtiğiniz parolanın bilinen veri ihlallerinde yer alıp almadığını denetlemek için, parolanızın SHA-1 özetinin yalnızca ilk 5 karakteri bu servise gönderilir (k-anonimlik yöntemi). Parolanızın kendisi veya tam özeti hiçbir şekilde gönderilmez; servis hangi parolayı sorguladığımızı tespit edemez.
Portföy takibinde kullanılan fiyat kaynaklarına (Yahoo Finance, TEFAS, AltınKaynak, KAP, TCMB/EVDS ve benzeri) hiçbir kişisel veriniz gönderilmez; bu sorgular sunucumuz tarafından yalnızca varlık sembolü ve tarih bilgisiyle yapılır. Varlık logoları ve ülke bayrakları da kendi sunucumuzdan servis edilir; tarayıcınız bu görseller için harici bir içerik sunucusuna bağlanmaz. Yukarıda sayılanlar dışında verileriniz üçüncü taraflara veya yurt dışına aktarılmaz.
7. Saklama Süresi
- Hesap & portföy verileri: Hesabınız aktif kaldığı sürece. Silme talebinizde veriler aktif veritabanından derhal silinir; rutin yedek kayıtlarından da en geç 30 gün içinde kalıcı olarak temizlenir.
- Oturum & log kayıtları (IP hash, userAgent, şifre sıfırlama ve e-posta doğrulama tokenları): Güvenlik amacıyla en fazla 12 ay. Süresi dolan veya kullanılan tokenlar derhal silinir.
- Analitik ve ölçümleme kayıtları: Sayfa görüntüleme ve ziyaret kayıtları en fazla 12 ay saklanır. Reklam ölçümleme sağlayıcılarına aktarılan verilerin saklama süresi ilgili sağlayıcının kendi politikasına tabidir.
- Güvenlik olay kayıtları (giriş denemeleri): Hesabınızı silseniz dahi, kötüye kullanım ve dolandırıcılık tespitine ilişkin meşru menfaat kapsamında (KVKK Md. 5/2-f) giriş denemesi kayıtları en fazla 12 ay saklanır. Bu kayıtlar e-posta adresi, IP özeti ve tarayıcı bilgisinden ibarettir; portföy veya finansal veri içermez.
- Açık rıza ispat kayıtları (ConsentLog): İspat yükümlülüğü kapsamında 10 yıl saklanır. Hesabınızı silseniz dahi bu kayıt — KVKK Md. 12 ve TBK genel zamanaşımı kapsamında — süre boyunca kalır; içerik yalnızca rızanın varlığı/içeriği/zamanına dair sınırlı veriden ibarettir.
Saklama süreleri, ilgili mevzuat hükümleri ve veri sorumlusunun meşru menfaati (mali kayıt yükümlülüğü, dolandırıcılık önleme, hukuki uyuşmazlıklarda ispat) gözetilerek belirlenmiştir.
8. Veri Sahibinin Hakları (KVKK Madde 11)
KVKK Madde 11 uyarınca, veri sorumlusuna başvurarak aşağıdaki haklarınızı kullanabilirsiniz:
- Kişisel verilerinizin işlenip işlenmediğini öğrenme
- Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme
- Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
- Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme
- Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme
- KVKK Madde 7'de öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme
- Madde 11 (d) ve (e) bentleri kapsamında yapılan işlemlerin, kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkmasına itiraz etme
- Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme
9. Başvuru Yöntemi
KVKK Madde 13 ve "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ" uyarınca, yukarıdaki haklarınıza ilişkin taleplerinizi aşağıdaki yollarla tarafımıza iletebilirsiniz:
E-posta
iletisim@yatirimpanosu.comYazılı başvuru (ıslak imzalı)
İstanbul / Türkiye — tebligata esas adres e-posta talebiyle paylaşılır.
Güvenli elektronik imza / mobil imza / KEP
Kayıtlı elektronik posta kanalları da kabul edilir.
Başvurunuzda ad-soyad, T.C. kimlik no veya pasaport no, tebligata esas yerleşim/iş yeri adresi, varsa e-posta/telefon ve talep konusu yer almalıdır. Bu bilgiler, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'in aradığı zorunlu unsurlardır ve yalnızca başvurunuzun size ait olduğunu doğrulamak için kullanılır; başvuru sonuçlandıktan sonra hizmet veritabanımızda saklanmaz (bkz. Bölüm 2 — hizmet kapsamında T.C. kimlik numarası talep edilmez). Başvuruya en geç 30 (otuz) gün içinde ücretsiz yanıt verilir; ek maliyet doğarsa Kurul tarifesindeki ücret alınabilir.
10. Çerezler
Sitemiz zorunlu, fonksiyonel ve reklam ölçümleme çerezleri kullanır. Ayrıntılı liste ve süreler için Çerez Politikası'na bakınız.
- Zorunlu çerezler — oturum yönetimi ve CSRF koruması. Açık rıza aranmaz.
- Fonksiyonel çerezler — tema, aktif portföy tercihi ve yönlendiren kaynak bilgisi. Açık rıza aranmaz.
- Reklam ölçümleme çerezleri— X/Twitter ve Meta reklam kampanyalarımızın etkisini ölçmek için kullanılan üçüncü taraf çerezleridir. Bu çerezler sizi tarayıcınız üzerinden tanımlayabilir ve verileri ABD'ye aktarılır (bkz. Bölüm 6.2).
11. Aydınlatma Metninin Güncellenmesi
Bu aydınlatma metni, mevzuat değişiklikleri ve hizmet kapsamına göre güncellenebilir. Önemli değişikliklerde uygulamada ve e-posta yoluyla bildirim yapılır. Yürürlük tarihi ve metin sürümü her zaman bu sayfanın başında belirtilir.