Kişisel Verilerin Korunması, İşlenmesi ve Aydınlatma Politikası

1. Amaç, kapsam ve hukuki dayanak

1.1. İşbu Kişisel Verilerin Korunması, İşlenmesi ve Aydınlatma Politikası (“Politika”); 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”), Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (“Tebliğ”), ilgili ikincil mevzuat, Kişisel Verileri Koruma Kurulu (“Kurul”) kararları ve kıyasen uygulanabilir olduğu ölçüde Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) uyarınca hazırlanmıştır.

1.2. İşbu Politika; THS Finansal Teknolojiler Anonim Şirketi (“Şirket”) tarafından işletilen “Mark” isimli ödeme platformuna web, mobil arayüzler veya entegre servisler üzerinden erişim sağlayan işletme müşterileri, bunların yetkilileri, çalışanları, kullanıcıları (“Kullanıcı” veya “İlgili Kişi”) ile potansiyel iş ortaklarının kişisel verilerinin elde edilmesi, kaydedilmesi, işlenmesi, aktarılması, saklanması ve imhasına ilişkin süreçlerin yönetilmesini ve Kanun’un 10. maddesi kapsamındaki aydınlatma yükümlülüğünün yerine getirilmesini amaçlar.

2. Veri sorumlusunun kimliği

Kanun’un 3. maddesinin 1. fıkrasının (ı) bendi uyarınca, Mark platformu bünyesinde toplanan ve işlenen kişisel veriler bakımından veri sorumlusu:

• Şirket unvanı: THS Finansal Teknolojiler Anonim Şirketi
• Adres: İnkılap Mah. Dr. Adnan Büyükdeniz Cad. 2. Blok No:4 İç Kapı No:7 Ümraniye / İstanbul
• Mersis No: 0843086884900001 · Ticaret Sicil No: İstanbul - 1012273
• E-posta: info@markpay.com.tr
• İletişim hattı: 0 850 532 75 05

3. Kişisel veri kategorileri, işleme amaçları ve hukuki sebepler

Kişisel verileriniz, Kanun’un 4. maddesindeki temel ilkeler (hukuka ve dürüstlük kurallarına uygun olma; doğru ve gerektiğinde güncel olma; belirli, açık ve meşru amaçlar için işlenme; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma; işlendikleri amaç için gerekli olan süre kadar muhafaza edilme) doğrultusunda, aşağıdaki faaliyet bazlı matriste belirtilen hukuki sebeplere dayalı olarak işlenmektedir:

4. Veri toplama yöntemleri, veri minimizasyonu ve giriş güvenliği

4.1. Toplama kanalları: Kişisel veriler; Mark web sitesi ve paneli, mobil arayüzler, API entegrasyonları, çağrı merkezi kayıtları, Kimlik Paylaşım Sistemi (KPS) entegrasyonu ve başvuru sözleşmeleri aracılığıyla otomatik veya kısmen otomatik yollarla toplanır.

4.2. Veri minimizasyonu ve maskeleme: Ölçülülük ilkesi gereğince platform arayüzlerinde T.C. kimlik numarası, banka hesap ve kart bilgileri gibi hassas alanlar maskelenerek (örneğin 111**12, TR ** 1234) gösterilir; sistem operasyonel açıdan zorunlu olandan fazla veri talep etmez.

4.3. Giriş güvenliği (çift faktörlü doğrulama): Mark paneline girişlerde çift faktörlü kimlik doğrulama (2FA – SMS/e-posta doğrulama kodu veya dinamik OTP) zorunludur. Biyometrik veri (parmak izi/yüz taraması şablonları) Şirket sunucularında toplanmaz; cihazın yerel güvenlik donanımında saklanan biyometrik doğrulamalar Şirket veritabanına aktarılmaz.

4.4. Loglama: Kullanıcının işbu Politika ve aydınlatma metnini incelediğine dair dijital izler; kullanıcı kimliği, IP adresi, zaman damgası ve onaylanan metnin versiyon numarası ile birlikte 5651 sayılı Kanun ve KVKK standartlarına uygun biçimde kayıt altına alınır.

5. Kişisel verilerin aktarılması ve yurt dışı aktarım

5.1. Yurt içi alıcı grupları: Kişisel verileriniz, Kanun’un 8. maddesindeki şartlar çerçevesinde yalnızca aşağıdaki alıcı gruplarına ve belirtilen amaçlarla aktarılır:

• Yetkili kamu kurum ve kuruluşları: BDDK, TCMB, MASAK, Gelir İdaresi Başkanlığı, Kişisel Verileri Koruma Kurumu, adli makamlar ve icra dairelerine kanuni bildirim, denetim ve adli talep yükümlülüklerinin (KVKK m. 5/2-ç) ifası amacıyla,
• Ödeme kuruluşları ve bankalar: Tahsilat emirlerinin gerçekleştirilmesi, sanal POS ve fiziki POS altyapısının işletilmesi ve mutabakat amacıyla; sanal POS’ta pay’nkolay (NKolay Ödeme ve E-Para Kuruluşu A.Ş.), fiziki POS’ta Ödeal (Ödeal Ödeme Kuruluşu A.Ş.), Dijital Kredi’de Fibabanka A.Ş. (KVKK m. 5/2-c),
• Dış hizmet sağlayıcıları ve danışmanlar: Hukuk, vergi, bağımsız denetim, siber güvenlik denetimi (sızma testi) ve çağrı merkezi alanında destek alınan hizmet sağlayıcılarına, gizlilik ve veri işleme sözleşmeleri kapsamında (KVKK m. 5/2-e ve m. 5/2-f).

5.2. Yurt dışı aktarım: Platform altyapısında kullanılan sunucular, veritabanları ve yedekleme sistemleri öncelikli olarak Türkiye sınırları içinde barındırılır. Yurt dışında yerleşik bulut, sunucu veya e-posta hizmet sağlayıcılarının kullanılması halinde aktarım; Kanun’un 9. maddesi uyarınca yeterlilik kararı bulunan ülkelere, Kurul’a bildirilen standart sözleşmelerin varlığı halinde veya bu güvencelerin bulunmadığı hallerde hizmetin sunumuna ön şart koşulmaksızın alınacak bağımsız açık rıza kapsamında gerçekleştirilir.

6. Çerezler ve izleme teknolojileri

6.1. Zorunlu çerezler: Platformun çalışması ve oturum güvenliğinin temini için gerekli çerezler meşru menfaat (KVKK m. 5/2-f) ve sözleşmenin ifası (m. 5/2-c) kapsamında işlenir.

6.2. İsteğe bağlı çerezler: Analitik, performans ve reklam amaçlı çerezler varsayılan olarak kapalı tutulur; yalnızca kullanıcının Çerez Yönetim Paneli üzerinden aktif onay (opt-in) vermesi halinde devreye girer. Kullanıcı onayını dilediği zaman geri alabilir; zorunlu olmayan çerezlerin reddedilmesi temel hizmetlere erişimi engellemez. Ayrıntılar için Çerez Politikası’nı inceleyebilirsin.

7. Verilerin saklanması ve imhası

7.1. Saklama süreleri: Kişisel veriler, Türk Ticaret Kanunu, Vergi Usul Kanunu, 5549 sayılı Kanun ve 6493 sayılı Kanun uyarınca öngörülen saklama süreleri ve Türk Borçlar Kanunu kapsamındaki 10 yıllık genel zamanaşımı süresi boyunca muhafaza edilir.

7.2. Periyodik imha: İşleme amaç ve şartlarının ortadan kalkması halinde veriler, Kişisel Veri Saklama ve İmha Politikası uyarınca azami 6 (altı) aylık periyotlarla resen veya ilgili kişinin haklı talebi üzerine 30 (otuz) gün içinde güvenli yöntemlerle silinir, yok edilir veya anonim hale getirilir.

7.3. Pasife alınan hesaplar: Müşteri ilişkisinin sona ermesi veya hesabın pasife alınması verilerin derhal silinmesi sonucunu doğurmaz; hesap, yasal zamanaşımı süresince yalnızca olası uyuşmazlıklarda savunma hakkının kullanılması (KVKK m. 5/2-e) amacıyla erişimi kısıtlanmış biçimde arşivde saklanır.

8. Veri güvenliği ve işletme müşterisinin sorumlulukları

8.1. Teknik tedbirler: Şirket; ağ ve uygulama güvenliği, uçtan uca şifreleme (SSL/TLS), veritabanı düzeyinde kriptografik koruma, periyodik sızma testleri, erişim loglarının değiştirilemezliği ve yetki matrisi kontrollerini uygular.

8.2. İşletme müşterisinin yükümlülükleri:

• İşletme müşterileri, platforma kendi müşterilerine ait veri girişi yaparken (müşteri, kart hamili bilgileri vb.) ilgili kişileri 6698 sayılı Kanun’a uygun şekilde aydınlattıklarını ve mevzuatın gerektirdiği hallerde geçerli açık rızaları aldıklarını kabul ve beyan eder.
• İşletme müşterileri, kendilerine tahsis edilen kullanıcı adı ve şifrelerin güvenliğinden sorumludur; bu yetkiler üçüncü kişilere devredilemez. Yetkili personelin görev değişikliğinde veya işten ayrılmasında ilgili kullanıcının yetkileri derhal kaldırılmalıdır.
• İşletme müşterisinin kusuru, hukuka aykırı veri girişi veya yetkisiz veri paylaşımı nedeniyle Şirket aleyhine doğabilecek idari para cezaları, tazminatlar ve yargılama giderleri kusuru oranında ilgili işletmeye rücu edilir.

9. İlgili kişinin hakları (KVKK m. 11)

Her Kullanıcı, Şirket’e başvurarak kendisiyle ilgili:

• 1Kişisel verilerinin işlenip işlenmediğini öğrenme,
• 2Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• 3Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• 4Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• 5Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• 6KVKK’nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
• 7Düzeltme, silme ve yok edilme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• 8İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• 9Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

10. Başvuru usulü ve cevaplama süreci

10.1. Başvuru yolları: İlgili kişiler taleplerini Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ hükümlerine uygun olarak aşağıdaki kanallardan iletebilir:

• Islak imzalı yazılı başvuru: Şirket adresine bizzat kimlik ibrazı ile veya noter vasıtasıyla,
• Sistemde kayıtlı e-posta: Kayıtlı e-posta adresinden info@markpay.com.tr adresine, konu kısmına “KVKK Bilgi Edinme Talebi” yazılarak.

10.2. Başvuruda bulunması gereken unsurlar: Ad-soyad, imza (yazılı başvurularda), T.C. kimlik numarası (yabancılar için uyruk ve pasaport/yabancı kimlik numarası), tebligata esas adres, bildirime esas e-posta veya telefon numarası ve talep konusu.

10.3. Sonuçlandırma: Şirket, başvuruyu talebin niteliğine göre en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırır. İşlemin ayrıca bir maliyet gerektirmesi halinde Kurul’ca belirlenen tarifedeki ücret alınabilir.

11. Aydınlatma ve açık rızanın ayrılığı

11.1. İşbu metin, Kanun’un 10. maddesi uyarınca aydınlatma yükümlülüğünün ifası amacıyla sunulmuş olup herhangi bir açık rıza beyanı yerine geçmez.

11.2. Kullanıcı Sözleşmesi, Aydınlatma Metni ve varsa Açık Rıza Metinleri birbirinden bağımsız onay kutucukları olarak sunulur; açık rıza kutucukları önceden işaretlenmiş şekilde sunulamaz.

11.3. Pazarlama iletileri, profilleme veya yurt dışı veri aktarımı gibi açık rızaya tabi işlemler, temel Mark hizmetlerinin sunulması için ön şart haline getirilemez.

12. Yürürlük ve metin önceliği

İşbu Politika, Mark dijital platformlarında yayımlandığı tarihte yürürlüğe girer. Yabancı dildeki çevirilerle anlam farklılığı halinde Türkçe metin esas alınır.