Aydınlatma Metni
KVKK md. 10 kapsamında — Sürüm 1.2 — 10 Ekim 2026 (düzeltme: Google Cloud yedek satırı netleştirildi; yeni bir işleme yok)
İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi ile "Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ" uyarınca, veri sorumlusu sıfatıyla, Metastaz ID kimlik hizmetinde işlenen kişisel verilerinize ilişkin sizi bilgilendirmek amacıyla hazırlanmıştır.
1. Veri sorumlusunun kimliği
Metastaz ID kimlik hizmetinin veri sorumlusu Metastaz'dır. Veri sorumlusuna ilişkin talep ve başvurularınız ile bu Aydınlatma Metni'ne dair her türlü iletişim için [email protected] adresini kullanabilirsiniz.
Bu metinde geçen "biz", "Metastaz" ve "veri sorumlusu" ifadeleri Metastaz ID hizmetini işleten veri sorumlusunu ifade eder.
2. İşlenen kişisel veriler, amaçlar ve hukuki sebepler
Aşağıdaki tabloda, her veri kategorisi için işleme amacı ve KVKK md. 5/md. 6'daki hangi hukuki sebebe dayanıldığı ayrı ayrı belirtilmiştir.
| Veri Kategorisi | İşleme Amacı | Hukuki Sebep (KVKK) |
|---|---|---|
| Kullanıcı adı, e-posta | Hesabın oluşturulması, kimliklendirme, oturum yönetimi, e-posta doğrulaması ve hizmetin sunulması | md. 5/2-(c): Sözleşmenin kurulması/ifası için zorunlu olması |
| Şifre (Argon2id/scrypt ile hash) | Hesabın güvenli kimlik doğrulaması | md. 5/2-(c): Sözleşmenin ifası — md. 5/2-(f): Meşru menfaat (hesap güvenliği) |
| Şifre özetinin ilk 5 hanesi (HIBP sorgusu) | Sızdırılmış/zayıf şifre tespiti | md. 5/2-(f): Meşru menfaat (hesap güvenliği) |
| IP adresi, ülke bilgisi, User-Agent (cihaz/tarayıcı) | Şüpheli giriş tespiti, hesap ele geçirme önleme, oturum/cihaz listesi, dolandırıcılık ve kötüye kullanımın önlenmesi | md. 5/2-(f): Meşru menfaat (bilgi güvenliği) |
| Oturum ve cihaz kayıtları, güvenilen cihazlar | Aktif oturumların yönetimi, "bu cihazı hatırla" işlevi, oturum sonlandırma | md. 5/2-(c): Sözleşmenin ifası — md. 5/2-(f): Meşru menfaat |
| Aktivite logları (giriş, şifre değişikliği vb.) | Kullanıcıya güvenlik olaylarının gösterilmesi, hesap güvenliği | md. 5/2-(f): Meşru menfaat |
| 2FA (TOTP) sırrı — şifreli saklanır | İki faktörlü kimlik doğrulamanın sağlanması | md. 5/2-(c): Sözleşmenin ifası — md. 5/2-(f): Meşru menfaat (güvenlik). Kullanıcı isteğe bağlı etkinleştirir. |
| Profil fotoğrafı (avatar) — yüklenirse | Profilin kişiselleştirilmesi | md. 5/2-(c): Sözleşmenin ifası. Yüklemek isteğe bağlıdır. |
| ToS/Gizlilik onay kaydı ve zamanı | Koşulların kabul edildiğinin ispatı | md. 5/2-(ç): Hukuki yükümlülük — md. 5/2-(f): Meşru menfaat |
Not: Bu hizmette özel nitelikli kişisel veri (md. 6) işlenmesi amaçlanmamaktadır. Profil fotoğrafı yüklemeniz hâlinde, fotoğraf ırk, din, sağlık gibi özel nitelikli bir veriyi açığa çıkarabilir; bu, sizin tercihinizle ve açık rızanız kapsamında değerlendirilir.
3. Kişisel verilerin aktarıldığı taraflar ve aktarım amacı
Kişisel verileriniz, hizmetin teknik olarak sunulabilmesi için aşağıdaki hizmet sağlayıcılarla (veri işleyenler) sınırlı şekilde paylaşılır:
- Cloudflare — Trafik güvenliği, bot koruması (Turnstile) ve erişilebilirlik. Cloudflare Inc. (ABD) altyapısı kullanılır: tarayıcınızla aramızdaki bağlantı şifrelidir (HTTPS), ancak bu şifreleme Cloudflare'in sunucularında açılır; Cloudflare hizmeti sunmak için trafiği (IP adresi dahil) kendi sunucularında işler; ülke bilgisi buradan elde edilir. Bu, md. 9 kapsamında yurt dışı aktarımdır (4. bölüm).
- Google Cloud Storage — Yalnız felaket kurtarma yedeği: sunucu yedeğinin (veritabanı ve profil fotoğrafları dahil) AES-256 ile şifrelenmiş bir kopyası yurt dışında tutulur. Çözme parolası bulutta değil, yalnız bizdedir; Google içeriği okuyamaz. Bulutta en çok son 14 günün yedeği kalır, eskisi silinir.
- HIBP (Have I Been Pwned) — Şifre güvenliği kontrolü. Şifre aktarılmaz; yalnızca SHA-1 özetinin ilk 5 hanesi sorgulanır (k-anonimlik).
- E-posta (SMTP) hizmet sağlayıcısı — Doğrulama, şifre sıfırlama ve güvenlik bildirimi e-postalarının iletilmesi için e-posta adresi.
- MinIO (nesne depolama) — Yüklenen profil fotoğraflarının saklanması.
- Yetkili kamu kurum ve kuruluşları — Yalnızca kanunlarda öngörülen hallerde ve yetkili makamların hukuka uygun talepleri çerçevesinde.
Aktarımlar; md. 5/2-(c) sözleşmenin ifası, md. 5/2-(ç) hukuki yükümlülük ve md. 5/2-(f) meşru menfaat hukuki sebeplerine dayanır.
4. Yurt dışına aktarım (KVKK md. 9)
Yukarıdaki sağlayıcıların bir kısmının sunucuları veya yönetimi yurt dışında olabilir (örn. Cloudflare, HIBP, Google Cloud yedek deposu, kullanılan SMTP sağlayıcısı). 12.03.2024 tarihli 7499 sayılı Kanun ile yeniden düzenlenen ve 01.06.2024'te yürürlüğe giren KVKK md. 9 çerçevesinde, yurt dışı aktarımı yalnızca; (i) ilgili ülke/sektör hakkında yeterlilik kararı bulunması, (ii) yeterlilik kararı yoksa uygun güvencelerin (Kurul'ca yayımlanan standart sözleşme veya bağlayıcı şirket kuralları gibi) sağlanması veya (iii) bunların yokluğunda md. 9'daki istisnalar/açık rızanız kapsamında yapılır.
5. Kişisel veri toplamanın yöntemi
Kişisel verileriniz; kayıt ve giriş formları, oturum/güvenlik mekanizmaları ile altyapı bileşenleri (Cloudflare üzerinden gelen IP/ülke başlıkları) aracılığıyla, otomatik ve kısmen otomatik yollarla elektronik ortamda toplanır.
6. Saklama süreleri
Verileriniz, işleme amacının gerektirdiği ve ilgili mevzuatta öngörülen süreler boyunca saklanır; süre dolduğunda Kişisel Veri Saklama ve İmha Politikası uyarınca silinir, yok edilir veya anonim hâle getirilir. Başlıca süreler: hesap verileri hesap aktif olduğu sürece; hesap silindiğinde 30 günlük geri-alma süresinin sonunda kalıcı silme; etkinlik kayıtları en fazla 12 ay; oturum yenileme kayıtları geçerlilik süreleri sonunda. Ayrıntılı tablo iç Saklama ve İmha Politikası belgesinde yer alır.
7. İlgili kişinin hakları (KVKK md. 11)
KVKK md. 11 uyarınca; kişisel verinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amaca uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı tarafları bilme, eksik/yanlış işlenmişse düzeltilmesini, KVKK md. 7 koşullarında silinmesini/yok edilmesini isteme, bu işlemlerin aktarıldığı taraflara bildirilmesini isteme, münhasıran otomatik analizle aleyhinize sonuç çıkmasına itiraz etme ve zarara uğramanız hâlinde giderimini talep etme haklarına sahipsiniz.
Verilerinizin makine-okunur bir kopyasını dilediğiniz an panelden "Verilerimi indir" ile alabilirsiniz. Diğer talepler için: [email protected]. Veri sorumlusu, talebinizi en kısa sürede ve en geç 30 gün içinde sonuçlandırır.
8. Çocuklar
Hizmet 18 yaşından küçüklere yönelik değildir. Avrupa Birliği'nde ikamet eden kullanıcılar bakımından, bilgi toplumu hizmetlerinde çocuğun rızasına ilişkin GDPR md. 8 kapsamında (kural olarak 16 yaş; üye devlet kanunuyla 13 yaşa kadar indirilebilen) yaş eşiği ve veli onayı koşulları uygulanabilir.