KVKK Aydınlatma Metni

1. Veri sorumlusu

CDR Türkiye bugün bağımsız bir inisiyatif: arkasında bir şirket, dernek ya da vakıf yok. Metin söze bu bilgiyle giriyor, çünkü verinizi kimin işlediğini bilmek aydınlatmanın başı.

Tüzel kişilik olmadığı için veri sorumlusu sıfatı CDR Türkiye’yi yürüten kişilere ait. Şirket kuruluşu tamamlandığında veri sorumlusu şirketin kendisi olacak; CDR Türkiye o gün şirketin unvanını ve açık adresini bu bölüme yazacak, metnin tarihini de değiştirecek.

CDR Türkiye VERBİS’e kayıtlı değil. Kayıt yükümlülüğünün doğup doğmadığı veri sorumlusunun niteliğine ve ölçeğine bağlı bir değerlendirme; ortada henüz tüzel kişilik olmadığı için CDR Türkiye bu değerlendirmeyi kuruluşla birlikte yapacak ve sonucunu (sicil numarasını ya da yükümlülüğün bulunmadığını) bu bölüme yazacak. Bugün doğru olan tek cümle şu: VERBİS kaydı yok.

Veriyle ilgili her konuda tek muhatabınız aşağıdaki e-posta adresi. Posta adresi ve KEP adresi yok; olmayan bir kanalı buraya yazmak size çalışmayan bir kapı göstermek olurdu.

• Veri sorumlusu: CDR Türkiye (cdrturkiye.com’u yürüten ekip)
• Tüzel kişilik: yok; şirket kuruluşu tamamlanmadı
• VERBİS: kayıtlı değil
• İletişim ve KVKK başvuru adresi: contact@cdrturkiye.com

2. CDR Türkiye’nin işlediği veriler

Siteyi yalnızca okumak için gezerseniz CDR Türkiye sizden hiçbir bilgi istemiyor. Aşağıdakiler üç durumda oluşuyor: siz bir şey gönderdiğinizde, teknik olarak kaçınılmaz olduğunda ya da sayfa kullanımını ölçmek için; Google Analytics bunların arasında yalnızca siz izin verirseniz yer alıyor.

• Bülten kaydı: e-posta adresiniz, siteyi okuduğunuz dil, formu doldurduğunuz sayfa ve kayıt anı.
• Açık rıza kaydı: onay kutusunu işaretlediğiniz bilgisi, onayladığınız metnin sürümü ve onay anı.
• Kötüye kullanım sınırı: IP adresinizin günlük olarak değişen SHA-256 özeti. CDR Türkiye ham IP adresini hiçbir yerde saklamıyor ve özetten adrese geri dönmüyor.
• Çerezler: dil tercihiniz (cdr-lang) ve çerez seçiminiz (cdr-cerez) her durumda; Google Analytics’e izin verdiyseniz ayrıca adı _ga ile başlayan iki ölçüm çerezi. Hepsi tarayıcınızda duruyor.
• Çerezsiz sayfa ölçümü: Cloudflare Web Analytics her sayfa açılışında hangi sayfanın açıldığını, hangi adresten gelindiğini, ülkeyi, tarayıcı, işletim sistemi ve cihaz türünü ve sayfanın ne kadar sürede yüklendiğini sayıyor. Sayaç tarayıcınıza çerez ya da başka bir kayıt bırakmıyor ve sizi ziyaretler arasında tanımıyor.
• Google Analytics (yalnızca izin verirseniz): gezdiğiniz sayfalar, siteye nereden geldiğiniz, şehir düzeyinde yaklaşık konumunuz, cihaz ve tarayıcı bilgisi, sayfalarda ne kadar kaldığınız, sayfayı ne kadar kaydırdığınız, dış bağlantı tıklamaları ve dosya indirmeleri. Bu kayıtları tarayıcınızdaki rastgele bir tanımlayıcı birbirine bağlıyor. Form alanlarına yazdığınız hiçbir şey ve iletişim formunun referans kodu Google’a gitmiyor.
• İletişim formu: hangi kesimden yazdığınız (kategori), ad soyadınız, kurumunuz (isteğe bağlı), e-posta adresiniz, konu, mesajınız, formu doldurduğunuz dil ve sayfa, onay kaydınız ve CDR Türkiye’nin mesajınıza verdiği referans kodu.
• İletişim mesajının takibi: mesajın hangi aşamada olduğu, mesajı üstlenen kişi, önceliği, hedeflenen bitiş tarihi, ekibin iç etiketleri ve iç notları. Bunları siz göndermiyorsunuz; mesaj CDR Türkiye’ye ulaştıktan sonra ekip ekliyor.
• Yazışma: CDR Türkiye’nin mesajınıza verdiği yanıtlar ve sizin bu yanıtlara yazdığınız karşılıklar; gönderen ve alıcı adresleri, konu satırı ve zamanıyla. Eklerin kendisi kayda girmiyor, yalnız sayısı tutuluyor; ekler ekibin posta kutusunda kalıyor.
• Barındırma kayıtları: her internet isteğinde olduğu gibi bağlantı bilgileri (IP adresi, tarayıcı bilgisi, istek zamanı) barındırma altyapısında teknik günlük olarak oluşuyor. CDR Türkiye bu günlükleri kendi tarafında tutmuyor ve kişi bazında incelemiyor.

3. CDR Türkiye’nin işlemediği veriler

• Siz izin vermedikçe Google Analytics çalışmıyor ve Google’a hiçbir istek gitmiyor. İzniniz olmadan çalışan tek ölçüm, çerez kullanmayan Cloudflare Web Analytics.
• Reklam ve hedefleme çerezi yok.
• Google sinyalleri ve reklam kişiselleştirmesi kapalı; Google Analytics verisi reklam için kullanılmıyor ve hiçbir reklam hesabına bağlı değil.
• Sitede üç dış betik var: her sayfada Cloudflare’in sayaç betiği, iletişim sayfasında Cloudflare Turnstile doğrulaması, izin verirseniz Google Analytics. Sosyal medya eklentisi ve gömülü oynatıcı yok.
• Yazı tipleri bir CDN’den değil, sitenin kendi sunucusundan geliyor; yazı tipleri için başka bir tarafa istek gitmiyor.
• CDR Türkiye profilleme yapmıyor; otomatik sistemlerle sizin hakkınızda karar da vermiyor.
• CDR Türkiye özel nitelikli kişisel veri istemiyor; site çocuklara yönelik değil.

4. Hangi amaçla, hangi hukuki sebeple

Her satırın amacı da hukuki sebebi de tek tek yazılı. CDR Türkiye aynı veriyi başka bir amaçla kullanmak isterse önce bu tabloyu değiştirir.

5. Verinin aktarıldığı taraflar

CDR Türkiye listeyi satmaz, kiralamaz ve pazarlama amacıyla kimseyle paylaşmaz. Veriyi yalnızca siteyi ayakta tutan iki hizmet sağlayıcıya, izin verdiyseniz ölçüm için Google’a ve kendi ekibine aktarır.

• Cloudflare, Inc.: barındırma, içerik dağıtımı, abone kayıtlarının, iletişim mesajlarının ve yazışmanın durduğu veritabanı, contact@cdrturkiye.com ve supportdesk@cdrturkiye.com adreslerine gelen e-postaları ekibin posta kutusuna ileten yönlendirme hizmeti, iletişim formunu otomatik gönderimlere karşı koruyan Cloudflare Turnstile doğrulaması (doğrulama için tarayıcı ve bağlantı bilgileri, IP adresi dahil, Cloudflare’e gidiyor) ve çerezsiz sayfa sayacı Cloudflare Web Analytics.
• Google LLC: yalnızca izin verdiyseniz çalışan Google Analytics ölçüm hizmeti. Google’a giden veri 2. bölümde sayılan ölçüm verisi; adınız, e-posta adresiniz ve form içerikleri gitmiyor.
• Resend, Inc.: yeni abone bildirimini ve iletişim formu mesajlarını CDR Türkiye ekibine, ekibin yanıtlarını da size ulaştıran e-posta servisi. Bildirimde adresiniz, form doldurduysanız mesajınızın tamamı; yanıtta ekibin size yazdığı metin geçiyor.
• CDR Türkiye ekibindeki üç kişi: bildirimin ve yazışmanın gittiği sabit adresler. Alıcılar kodda sabit; hiçbir koşulda form girdisinden gelmiyor.
• Yetkili kamu kurumları: yalnızca mevzuatın gerektirdiği hâlde ve gerektirdiği kadarıyla.

6. Yurt dışına aktarım

Yukarıdaki üç hizmet sağlayıcının (Cloudflare, Resend ve Google) sunucuları yurt dışında. Bu nedenle bülten kaydınız, iletişim mesajınız, iletişim formundaki Turnstile doğrulaması, Cloudflare Web Analytics sayımı ve izin verdiyseniz Google Analytics verisi KVKK’nın 9. maddesi anlamında yurt dışına aktarılan veri. Bu bir olgu ve burada olduğu gibi yazılı.

Bu metin, aktarımın hangi hukuki dayanağa oturduğunu bir adla yazmıyor. Dayanağın seçimi hukuki bir değerlendirme; değerlendirme yapılmadan “standart sözleşme” ya da “taahhütname” yazmak, CDR Türkiye’nin size vermediği bir güvenceyi vermiş gibi görünmek olurdu. CDR Türkiye değerlendirmeyi tamamladığında bu bölümü dayanağın adıyla ve tarihiyle güncelleyecek.

O güne kadar elinizdeki bilgi eksik değil, yalnızca daha yalın: CDR Türkiye kayıtlarınızı Cloudflare ve Resend’in yurt dışındaki sistemlerinde tutuyor, ölçüm verisi Cloudflare’e ve yalnızca izin verdiyseniz Google’a gidiyor; başka hiçbir yere gitmiyor. Bunu istemiyorsanız bültene abone olmamak ya da kaydınızı sildirmek elinizde; iletişim formunu doldurmak zorunlu değil, Google Analytics’i de çerez bandında reddedebilirsiniz.

7. Saklama süreleri

Saklama süresi amacın süresi kadar. Amaç sona erdiğinde CDR Türkiye kaydı siler.

• Bülten kaydı ve açık rıza kaydı: siz ayrılmak isteyene kadar. Talebiniz üzerine CDR Türkiye kaydı işaretlemez, siler; rıza kaydı da onunla birlikte gider.
• IP özeti: en fazla bir saatlik pencere boyunca. Sistem, süresi dolan satırları sonraki gönderim denemesinde siler.
• Çerezler: dil tercihi bir yıl, çerez seçimi 180 gün, Google Analytics çerezleri 180 gün. Google Analytics’i reddettiğinizde ya da izniniz sona erdiğinde site bu çerezleri siler. Hepsini tarayıcınızdan istediğiniz an temizleyebilirsiniz.
• Ölçüm verisi: Google Analytics kullanıcı ve olay düzeyindeki kayıtları iki ay sonra siler; toplu sayılar (örneğin bir sayfanın aylık okunma sayısı) raporlarda kalıyor. Cloudflare Web Analytics kayıtlarında sizi gösteren bir tanımlayıcı yok.
• Ziyaret yolları: Google Analytics olay kayıtlarının bir kopyası, sayfaların hangi sırayla gezildiğini toplu olarak hesaplamak için Google’ın BigQuery hizmetinde en fazla 60 gün tutuluyor. CDR Türkiye bu kopyadan yalnız toplu sonuçları (örneğin bir yolu kaç oturumun izlediği) alıyor; ziyaretçi kimlikleri bu sonuçlara girmiyor.
• İletişim mesajları ve yazışma: sorunuz yanıtlanana kadar ve sonrasında yazışmanın izlenebilir kalması için. Otomatik bir silme süresi bugün yok ve metin bunu açıkça söylüyor. Mesajınızın silinmesini isterseniz referans kodunuzla yazın; CDR Türkiye kaydı takip notları ve yazışmayla birlikte siler. CDR Türkiye bir saklama süresi belirlediğinde o süreyi bu satıra yazacak.

8. Haklarınız

KVKK’nın 11. maddesi size şu hakları veriyor:

• Kişisel verinizin işlenip işlenmediğini öğrenmek ve işlenmişse buna ilişkin bilgi istemek.
• İşlemenin amacını ve verinin amacına uygun kullanılıp kullanılmadığını öğrenmek.
• Yurt içinde veya yurt dışında verinin aktarıldığı üçüncü kişileri bilmek.
• Eksik ya da yanlış işlenmişse düzeltilmesini istemek.
• Kanundaki şartlar çerçevesinde silinmesini veya yok edilmesini istemek.
• Düzeltme, silme ve yok etme işlemlerinin verinin aktarıldığı üçüncü kişilere bildirilmesini istemek.
• Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etmek.
• Kanuna aykırı işleme nedeniyle zarara uğrarsanız zararın giderilmesini talep etmek.

9. Nasıl başvurursunuz

Tek adres var ve çalışıyor: contact@cdrturkiye.com. Bugün posta adresi ve KEP adresi olmadığı için CDR Türkiye başvuruları bu adresten alıyor; şirket kurulduğunda yazılı başvuru kanallarını da bu bölüme ekleyecek.

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, başvurunun veri sorumlusuna daha önce bildirilen ve sistemde kayıtlı olan e-posta adresinden yapılabileceğini söylüyor. Bültene abone olduysanız ya da iletişim formunu doldurduysanız adresiniz sistemde kayıtlı; başvurunuzu o adresten gönderin. Sistemde kayıtlı bir adresiniz yoksa yine aynı adrese yazın: CDR Türkiye başvurunuzu alır ve kimliğinizi nasıl doğrulayabileceğini size bildirir.

Başvurunuzda talebinizi açıkça yazın; iletişim formuyla mesaj gönderdiyseniz referans kodunuzu eklemeniz işi hızlandırıyor.

CDR Türkiye başvurunuzu en geç otuz gün içinde sonuçlandırır. Yanıtı yeterli bulmazsanız Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz.

Google Analytics kaydı sizi adınızla tanımadığı için tek bir kişinin kaydını bulmak çoğu zaman mümkün değil. En kısa yol çerez bandında Reddet’i seçmek ve _ga çerezlerini silmek; Google Analytics bu kayıtları iki ay sonra kendiliğinden siler.

Bültenden ayrılmak için başvuru usulünü izlemenize gerek yok: bültenden gelen e-postayı yanıtlamanız yeterli; CDR Türkiye kaydınızı siler.

10. Bu metin değişirse

Metnin başındaki tarih son güncellemeyi gösteriyor. CDR Türkiye, topladığı veriyi ya da kullandığı hizmet sağlayıcıyı değiştirecekse önce bu metni günceller, değişikliği sonra uygular.

Gündelik dille yazılmış hâli: Gizlilik Bildirimi