E-İmza Satış ve Başvuru Süreci KVKK Aydınlatma Metni

1. Veri Sorumlusu

Codeck Yazılım A.Ş. (imzala.org). İmzala, Codeck Yazılım A.Ş. markasıdır. İletişim: [email protected]. Bu metin, imzala.org üzerinden yürütülen e-imza (Nitelikli Elektronik Sertifika) satış ve başvuru sürecine özgüdür; genel KVKK Aydınlatma Metni ve Gizlilik Politikası ile birlikte uygulanır.

2. İşlenen Kişisel Veri Kategorileri

• Kimlik verileri: ad, soyad, T.C. kimlik numarası, doğum tarihi. Doğum tarihiniz, kimliğinizin nüfus kayıtlarıyla doğrulanması ve sertifika başvurunuzun tamamlanması için gereklidir; sipariş sırasında girilmemişse başvuru öncesinde telefonla teyit edilir.
• Kimlik doğrulama verileri: kimlik bilgilerinizin Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü'nün kamuya açık doğrulama hizmetiyle karşılaştırılması sonucunda elde edilen doğrulama sonucu (eşleşti / eşleşmedi) ve doğrulama zamanı.
• İletişim verileri: e-posta adresi, telefon numarası.
• Teslimat verileri: il, ilçe, açık teslimat adresi.
• Fatura verileri: fatura tipi; kurumsal faturada firma unvanı, vergi numarası, vergi dairesi.
• Ses kaydı: sipariş sonrası yapılan telefon görüşmesinin ses kaydı ile çağrı kaydı bilgileri (tarih, saat, süre, arayan ve aranan numara).
• İşlem ve işlem güvenliği verileri: sipariş ve ödeme durumu kayıtları, onay anındaki IP adresi ve tarayıcı bilgisi, onaylanan metinlerin sürümü ve özeti (hash), onay zamanı.

T.C. kimlik numaranız sistemlerimizde şifreli olarak saklanır; ekranlarda ve kayıtlarda maskeli gösterilir.

3. İşleme Amaçları

Verileriniz; e-imza (NES) siparişinizin alınması, sözleşmenin kurulması ve ifası, sertifika başvurunuzun işleme alınması ve yürütülmesi, kimlik doğrulama sürecinin koordinasyonu, USB cihazın teslimatı, ödemenin alınması ve faturalandırma, sipariş durumu bildirimleri ile destek taleplerinin karşılanması ve hukuki yükümlülüklerin yerine getirilmesi amaçlarıyla işlenir.

Siparişinizin ardından, kimlik bilgilerinizi teyit etmek ve kurulumu tamamlamak için sizinle telefonla iletişime geçeriz. Bu görüşmelerde ad, soyad ve doğum tarihiniz sorulur ve kimliğiniz nüfus kayıtlarıyla doğrulanır.

Bu telefon görüşmeleri ses kaydına alınır. Kaydın amacı, kimlik teyidinin yapıldığını ve kurulum adımlarının size anlatıldığını ispatlamak, hatalı işlem ve itiraz durumlarını çözmektir. Görüşmenin başında kayıt alındığı size sesli olarak bildirilir. Kayıt, kimlik teyidinin yapıldığının ispatı için zorunludur ve görüşme boyunca kapatılamaz; kayıt alınmasını istemiyorsanız kimlik teyidi ve kurulum adımlarını telefon yerine [email protected] üzerinden yazışarak yürütebilirsiniz. Kayıtlar pazarlama, profilleme veya personel performans değerlendirmesi amacıyla kullanılmaz.

Kurulumu birlikte tamamlamak için, onayınızla ve sizin başlattığınız bir uzak bağlantı (ekran paylaşımı) oturumu kurulabilir. Bu oturumlarda AnyDesk (AnyDesk Software GmbH, Almanya) uygulamasını kullanırız; bağlantı AnyDesk'in yurt dışındaki sunucuları üzerinden kurulur. Oturum boyunca yalnızca kurulumun yapıldığı ekranlar görüntülenir; oturum kayda alınmaz, ekran görüntüsü alınmaz ve cihazınızdan dosya kopyalanmaz. Oturumu dilediğiniz an sonlandırabilirsiniz. Oturumun yapıldığına ilişkin tarih, saat ve destek kaydı tutulur. Nitelikli sertifikanızın kimlik doğrulaması bu oturumda yapılmaz; e-Devlet üzerinden verdiğiniz onayı ve kimlik doğrulama adımlarını bizzat siz kendi cihazınızdan tamamlarsınız.

4. Hukuki Sebepler

• KVKK m.5/2-c: bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması (sipariş, başvuru, teslimat, destek). Bu, sürecin ana hukuki sebebidir.
• KVKK m.5/2-ç: veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması (fatura ve ticari kayıtlar, 5070 sayılı Kanun ve ilgili mevzuat gereklilikleri).
• KVKK m.5/2-f: temel hak ve özgürlüklerinize zarar vermemek kaydıyla meşru menfaat (işlem güvenliği, kötüye kullanımın önlenmesi, onay kayıtlarının ispatı, telefon görüşmesinde kimlik teyidinin yapıldığının ispatı ve itirazların çözümü).

Açık rızaya dayanan bir işleme bu süreçte yoktur; pazarlama izni toplanmaz. Size gönderilen e-postalar siparişinize ilişkin işlemsel bildirimlerdir.

5. Aktarılan Alıcı Grupları

Verileriniz yalnızca amaçla sınırlı olarak aşağıdaki alıcı gruplarına aktarılır. Aktarımlar, Kanun'un 8. maddesi uyarınca ve yukarıda 4. maddede belirtilen hukuki sebeplere dayanılarak yapılır: sertifika başvurusunun ESHS'ye iletilmesi ile USB cihazın kargoya verilmesi sözleşmenin ifası için zorunludur (m.5/2-c); sertifikanın düzenlenmesine ilişkin mevzuattan doğan yükümlülükler bakımından m.5/2-ç de uygulanır.

• Sertifika başvurunuzun işleme alınması amacıyla: BTK'nın yayımladığı listede yer alan Elektronik Sertifika Hizmet Sağlayıcısı (ESHS) Arksigner Yazılım ve Donanım Sanayi Ticaret A.Ş.'ye (ARKİMZA) (ad, soyad, T.C. kimlik numarası, doğum tarihi verdiyseniz, telefon, e-posta ve başvuru için gereken adres bilgisi) ve nitelikli sertifika tedarik ve başvuru kanalı iş ortağımıza (aynı veriler). ESHS, sertifikayı düzenlerken 5070 sayılı Kanun kapsamında kendi aydınlatma yükümlülüğünü ayrıca yerine getirir.
• Teslimat amacıyla: anlaşmalı kargo firmamız Hepsijet'e (ad, soyad, telefon, teslimat adresi).
• Ödeme amacıyla: ödeme kuruluşu PayTR'a (kart bilgileriniz doğrudan PayTR tarafından alınır; İmzala kart bilgilerinizi görmez).
• Telefon görüşmesi ve ses kaydı amacıyla: bulut santral hizmeti aldığımız NetGSM'e (Türkiye). Ses kayıtları sağlayıcının Türkiye'deki sistemlerinde tutulur; yurt dışına aktarılmaz.
• Bildirimler amacıyla: e-posta iletim hizmeti sağlayıcımıza.
• Uzak destek oturumu kurulursa: uzak bağlantı hizmeti sağlayıcımız AnyDesk Software GmbH'ye (Almanya). Aktarılan veri, oturum süresince ekranınızda görünen içerik ile bağlantı kaydıdır (tarih, saat, oturum kimliği). Oturum kayda alınmaz.
• Kurulum randevusunu çevrim içi takvimden alırsanız: randevu planlama hizmeti sağlayıcımız Google LLC'ye (Google Takvim, ABD). Randevu sayfasına adınızı, e-posta adresinizi ve seçtiğiniz gün ile saati siz girersiniz; sayfa açıldığında IP adresiniz ve tarayıcı bilginiz Google'a iletilir.
• Kurulum randevusu için WhatsApp üzerinden yazarsanız: WhatsApp'a (Meta Platforms Ireland Ltd., İrlanda; küresel altyapı). Telefon numaranız, profil adınız ve yazışma içeriği destek hattımıza ulaşır; yalnızca randevunuzun planlanması ve destek talebinizin karşılanması için kullanılır.
• Kanuni yükümlülük halinde: yetkili kamu kurum ve kuruluşlarına.

ESHS ayrı bir veri sorumlusudur; sertifika başvurunuza ilişkin kendi aydınlatmasını başvuru sırasında ayrıca yapar.

Yurt dışına aktarım: sipariş, başvuru, teslimat ve ödeme adımlarında yurt dışına kişisel veri aktarılmaz. Yurt dışına aktarım yalnızca aşağıdaki isteğe bağlı destek kanallarında söz konusudur. Talebiniz üzerine uzak destek oturumu kurulduğunda bağlantı AnyDesk'in yurt dışındaki sunucuları üzerinden geçer. Bu aktarım arızi niteliktedir ve destek talebinizin karşılanması için zorunlu olduğu ölçüde, Kanun'un 9. maddesindeki istisna hükümlerine dayanılarak yapılır. Uzak destek oturumu kurulmasını istemezseniz kurulum adımlarını telefonda sözlü anlatımla da tamamlayabiliriz; bu tercihiniz siparişinizi etkilemez.

Kurulum randevunuzu çevrim içi takvimden (Google Takvim) ya da WhatsApp üzerinden almayı seçerseniz, bu hizmetlerin sağlayıcıları yurt dışında bulunduğundan randevu için paylaştığınız bilgiler yurt dışına aktarılır. Bu kanallar isteğe bağlıdır: randevuyu telefonla ya da [email protected] adresine yazarak da alabilirsiniz; bu tercihiniz siparişinizi etkilemez. Sağlayıcılara ve her aktarımın dayanağına ilişkin ayrıntı Alt İşleyenler sayfasındadır; WhatsApp kanalında uygun güvence süreci hâlen yürütülmektedir.

6. Saklama Süreleri

• Tamamlanmış siparişler: sipariş, sözleşme ve fatura kayıtları, ilgili mevzuattaki azami süreler uyarınca 10 yıl saklanır.
• Ödemesi tamamlanmayan siparişler: sipariş kaydı 30 gün içinde silinir.
• Telefon görüşmesi ses kaydı: görüşme tarihinden itibaren 1 yıl saklanır, sonra silinir. Kayda konu bir itiraz, şikâyet veya uyuşmazlık varsa yalnız o kayıt, uyuşmazlık sonuçlanana kadar saklanır.

7. Haklarınız (KVKK m.11)

Kişisel verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, işleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhinize çıkan sonuca itiraz etme ve zarara uğramanız halinde tazminat talep etme haklarına sahipsiniz.

Başvurularınızı [email protected] adresine iletebilirsiniz.

Versiyon: 1.6 · Yürürlük: 12 Ekim 2026 (v1.0: 15 Ağustos 2026, v1.1: 4 Eylül 2026, v1.2: 28 Eylül 2026, v1.3, v1.4 ve v1.5: 29 Eylül 2026). v1.2: nüfus kayıtlarıyla kimlik doğrulama, sipariş sonrası telefon görüşmesi ve uzak destek oturumu açıkça yazıldı; doğum tarihinin gerekliliği düzeltildi. v1.3: uzak destek aracı (AnyDesk) adıyla yazıldı, alıcı listesine eklendi ve yurt dışına aktarım bölümü buna göre düzeltildi. v1.4: telefon görüşmelerinin ses kaydına alınacağı yazıldı (veri kategorisi, amaç, görüşme başında sesli bilgilendirme, alıcı olarak NetGSM, 1 yıl saklama). v1.5: kaydın kimlik teyidinin ispatı için zorunlu olduğu ve görüşme boyunca kapatılamayacağı yazıldı; kayıt istemeyen kullanıcı için telefon yerine yazılı kanal alternatifi gösterildi. v1.6: uzaktan kurulum desteği randevusunun çevrim içi takvim (Google Takvim) ya da WhatsApp üzerinden alınabildiği, bu kanalların isteğe bağlı olduğu, alıcıları ve yurt dışına aktarımı yazıldı. Bu kanalları kullanırsanız WhatsApp profil adınız, yazışma içeriği ve seçtiğiniz randevu günü ile saati de işlenir.

Sürüm kimliği: 2026-10-12