# Kişisel Verilerin Korunması Hakkında Aydınlatma Metni

> **⚠️ AVUKAT ONAYI GEREKLİ — TEMPLATE**
>
> Bu metin RFC, KVKK rehberi ve yaygın hosting şirketi uygulamalarından derlenmiş bir şablondur.
> **Production'a almadan önce mutlaka bir KVKK avukatı tarafından gözden geçirilmeli ve kuruluş bilgileri eklenmeli.**
>
> Hatalı/eksik aydınlatma KVKK madde 18 uyarınca **₺85K-17M TL idari para cezası**na neden olur.
>
> Avukat retainer önerisi: ₺3-5K/ay (master plan, hafta 15 KVKK checklist).

---

## 1. Veri Sorumlusu

**Unvan:** [ŞİRKET ÜNVANI — limited şirket / anonim şirket / şahıs şirketi]
**Adres:** [REGISTERED ADDRESS]
**Vergi Dairesi / Numarası:** [VKN]
**MERSİS No:** [MERSIS]
**KEP Adresi:** [KEP@hs01.kep.tr]
**Web:** https://onox.com.tr
**E-posta:** kvkk@onox.com.tr
**Telefon:** [+90 XXX XXX XX XX]

ONOXSOFT olarak ("Şirket"), 6698 sayılı **Kişisel Verilerin Korunması Kanunu** ("KVKK") kapsamında *veri sorumlusu* sıfatıyla işlediğimiz kişisel verileriniz hakkında sizi bilgilendirmek üzere bu aydınlatma metnini hazırladık.

---

## 2. Hangi Kişisel Verileri İşliyoruz?

Hizmetlerimizden faydalanmanız sırasında aşağıdaki kategorilerde kişisel verilerinizi işliyoruz:

### 2.1 Kimlik ve İletişim Verileri
- Ad, soyad
- E-posta adresi
- Telefon numarası
- T.C. kimlik numarası (fatura için, sadece bireysel müşteriler)

### 2.2 Hesap ve Kimlik Doğrulama Verileri
- Kullanıcı adı (UID 10000–65000 aralığında `onx_*` format)
- Şifre (Argon2id hash'lenmiş; düz metin saklanmaz)
- İki adımlı doğrulama (2FA) gizli anahtarı (AES-256 ile şifrelenir)
- Kurtarma kodları (hash'lenmiş)
- Oturum çerezleri (HttpOnly, Secure, SameSite=Lax)

### 2.3 İşlem ve Kullanım Verileri
- IP adresi (denetim kaydı için kısaltılmış: `192.168.1.0/24` formatında)
- Tarayıcı User-Agent bilgisi (kısaltılmış)
- Panel'e erişim tarihleri ve işlem geçmişi (audit_log tablosunda 90 gün retention)
- Disk, bandwidth, hesap, domain, e-posta sayaçları
- Bash komut çıktıları (sysapi logları — onx-* script'ler)

### 2.4 Faturalama ve Ödeme Verileri (3. Taraf Ödeme Sağlayıcı Aracılığıyla)
- Fatura bilgileri (vergi numarası, fatura adresi)
- Ödeme yöntemi metadata'sı (kart son 4 hane, kart markası — **kart numarası saklanmaz**)
- Ödeme sağlayıcı: [iyzico / PayTR / Stripe — şirket kararı bekleniyor]

### 2.5 Teknik Veriler
- Sunucu logları (Apache access/error, mail log)
- Yedek dosyaları (müşterinin kendi içeriği — şifrelenebilir)
- DNS sorguları (PowerDNS log'da; varsayılan KAPALI, `log-dns-queries=no`)

### 2.6 Bildirim Verileri (Opsiyonel — Açık Rıza Gerekir)
- E-posta bildirimleri (sistem bildirimleri, fatura, güvenlik uyarıları)
- Web push token (browser/PWA notification için)
- Mobil push token (Phase 4 — iOS APNs / Android FCM)

---

## 3. Kişisel Verileri İşleme Amaçlarımız

KVKK madde 5/2 ve 6/3 kapsamında aşağıdaki amaçlarla işliyoruz:

| # | Amaç | Hukuki Dayanak | Veri Kategorisi |
|---|---|---|---|
| 1 | Hizmet sözleşmesinin kurulması ve ifası | Sözleşme | 2.1, 2.2, 2.4 |
| 2 | Müşteri hesabınızın oluşturulması ve yönetimi | Sözleşme | 2.1, 2.2 |
| 3 | Sunucu kaynaklarınızın sağlanması ve sürdürülmesi | Sözleşme | 2.3, 2.5 |
| 4 | Faturalama, e-Fatura/e-Arşiv ve muhasebe yükümlülükleri | Yasal yükümlülük (VUK, KDV Kanunu) | 2.1, 2.4 |
| 5 | Güvenlik ihlallerinin tespiti ve önlenmesi | Meşru menfaat | 2.3, 2.5 |
| 6 | Mahkeme/savcılık kararı ile veri ibrazı | Yasal yükümlülük | Tüm kategoriler |
| 7 | Hizmet kalitesinin geliştirilmesi (anonim agregasyon) | Meşru menfaat | 2.3 (anonim) |
| 8 | Pazarlama ve ticari elektronik ileti gönderimi | **Açık rıza** | 2.1, 2.6 |
| 9 | Müşteri destek ve teknik yardım | Sözleşme | 2.1, 2.3 |

---

## 4. Verileri Kimlerle Paylaşıyoruz?

Kişisel verileriniz aşağıdaki sınırlı durumlarda paylaşılır:

### 4.1 Hizmet Sağlayıcılar (Veri İşleyenler)
- **Sunucu sağlayıcı:** Hetzner Online GmbH (Almanya — KVKK 9. madde, yeterlilik kararı var)
- **E-Fatura entegratörü:** [Paraşüt veya Foriba — VKN kayıtlı GİB akredite]
- **Ödeme sağlayıcı:** [iyzico / PayTR / Stripe — kart verisi bizde değil]
- **E-posta sağlayıcı:** Yandex 360 (transactional email — Türkiye Yandex AŞ)
- **CDN/DDoS:** Cloudflare Inc. (ABD — standart sözleşme klozları)
- **Backup offsite:** Backblaze B2 (ABD — şifreli; sadece şifrelenmiş yedek)

### 4.2 Yasal Merciler
- Mahkeme veya savcılık kararı ile talep edildiğinde
- Vergi denetimi sırasında (sadece 2.4 ve fatura kayıtları)
- KVKK Kurulu denetimi sırasında

### 4.3 Bayi Modeli (Reseller — Phase 2)
- Hesap sahipliği bir bayiye bağlıysa, bayi sadece **kendi müşterilerinin** hesap bilgilerini görür
- Bayi-müşteri arası KVKK sorumluluğu sözleşme ile ayrı yönetilir

**Kişisel verileriniz açık rızanız olmadan üçüncü taraf pazarlama amaçlı paylaşılmaz.**

---

## 5. Yurt Dışına Aktarım

Bazı hizmet sağlayıcılarımız yurt dışında bulunmaktadır:

| Sağlayıcı | Ülke | Hukuki Dayanak |
|---|---|---|
| Hetzner Online | Almanya | KVKK yeterlilik (AB) |
| Cloudflare | ABD | Standart sözleşme klozları + işleme amaçlarınızla sınırlı |
| Backblaze B2 | ABD | Standart sözleşme + uçtan-uca şifreleme |
| Let's Encrypt | ABD | Sadece domain adı + e-posta (SSL sertifikası için) |

Tüm aktarımlar KVKK madde 9 uyarınca gerçekleştirilir.

---

## 6. Veri Saklama Süreleri

| Veri Kategorisi | Saklama Süresi | Dayanak |
|---|---|---|
| Hesap ve kimlik bilgileri | Hesap açık kaldığı sürece + 10 yıl | TBK 146 (zamanaşımı) |
| Fatura/e-Fatura kayıtları | 10 yıl | VUK 253 |
| Audit log (kim ne yaptı) | **90 gün** sonra otomatik silinir | KVKK madde 7 ölçülülük |
| Failed login attempts | **30 gün** | Güvenlik gerekçesi |
| Yedek dosyalar | Sözleşme süresi + 7 gün | Veri kaybı önleme |
| IP adresleri | Audit log ile birlikte (90 gün) | Anonim agregasyon sonrası silinir |
| Bildirim tercihleri | Üyelik aktif olduğu sürece | KVKK madde 5 |

**Otomatik silme:** `php artisan onox:prune` komutu her gün 04:30'da çalışır ve süresi dolmuş kayıtları siler.

---

## 7. Kişisel Verilerinizin Güvenliği

Verilerinizi korumak için aldığımız teknik ve idari tedbirler:

### Teknik
- Tüm trafik **TLS 1.2+** üzerinden şifrelenir (HSTS, SSLLabs A+ skor)
- Şifreler **Argon2id** ile hash'lenir, asla düz metin saklanmaz
- Hassas alanlar (2FA secret, API token) **AES-256-GCM** ile şifrelenir
- Veritabanı erişimi yalnızca uygulama IP'sinden (firewalld whitelist)
- 2 saat aralıkla otomatik yedek + günlük offsite kopya
- **Disk şifreleme:** Sunucu LUKS ile şifrelenir
- **DDoS koruması:** Cloudflare proxy
- **WAF:** ModSecurity OWASP CRS aktif
- **Brute force:** fail2ban + 5 deneme/15dk lockout

### İdari
- Personel erişimi: en az ayrıcalık prensibi (audit log)
- Düzenli güvenlik eğitimi
- Veri ihlali müdahale planı: bkz. [72-saat-ihlal-bildirim-runbook.md](./72-saat-ihlal-bildirim-runbook.md)
- Yılda bir kez bağımsız penetrasyon testi (PRODAFT/BTRİSK)
- E&O sigortası: ₺1-5M teminat

---

## 8. KVKK Madde 11 Kapsamında Haklarınız

Aşağıdaki haklarınızı **veri sorumlusuna başvuru** ile kullanabilirsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme
2. İşlenmişse buna ilişkin bilgi talep etme
3. İşleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
4. Yurt içinde veya yurt dışında aktarıldığı 3. tarafları bilme
5. Eksik veya yanlış işlenmişse düzeltilmesini isteme
6. KVKK 7. madde çerçevesinde silinmesini veya yok edilmesini isteme
7. Düzeltme/silme işlemlerinin aktarıldığı taraflara bildirilmesini isteme
8. Otomatik sistemlerle analiz edilmek suretiyle aleyhe sonuç doğmasına itiraz
9. KVKK'ya aykırı işleme nedeniyle uğradığınız zararın giderilmesini talep

### Self-Service (Panel Üzerinden)
- **Verilerimi indir** (JSON formatında): `Ayarlar > Gizlilik > Verilerimi İndir`
- **Hesabımı sil** (30 gün soft → kalıcı hard delete): `Ayarlar > Gizlilik > Hesabımı Sil`

### Resmi Başvuru Yolları
1. **E-posta:** kvkk@onox.com.tr
2. **Web formu:** https://onox.com.tr/kvkk-basvuru
3. **KEP:** [KEP ADRES]
4. **Posta:** [ŞİRKET ADRESİ] (noter onaylı dilekçe)

**Yanıt süresi:** En geç 30 gün içinde, ücretsiz olarak yanıt verilir. Ek istek halinde Kurul'un belirlediği ücret tarifesi uygulanır.

### Şikayet Yolu

Başvurunuzun reddedilmesi veya yanıt alamamanız halinde **30 gün** içinde
[Kişisel Verileri Koruma Kurulu](https://www.kvkk.gov.tr)'na şikayet edebilirsiniz.

---

## 9. Çerez (Cookie) Politikası

ONOXSOFT panel'inde aşağıdaki çerezler kullanılır:

| Çerez | Tür | Süre | Amaç |
|---|---|---|---|
| `onox_session` | Zorunlu | Oturum | Oturum yönetimi (HttpOnly, Secure) |
| `XSRF-TOKEN` | Zorunlu | Oturum | CSRF koruması |
| `onox_locale` | İşlevsel | 1 yıl | Dil tercihi (tr/en) |
| `onox_theme` | İşlevsel | 1 yıl | Açık/koyu tema |

**Üçüncü taraf çerezler kullanılmaz.** Analytics/pixel takip yoktur.

---

## 10. Açık Rıza Beyanı

Kişisel verilerimin yukarıdaki amaçlarla işlenmesini, KVKK madde 5/2 ve 6/3 kapsamında ya da açık rızam dahilinde olmak üzere kabul ediyorum.

**Açık rıza gerektiren işlemler için ek onay alınır:**
- ☐ Pazarlama ve ticari elektronik ileti gönderimi (e-posta/SMS)
- ☐ Hizmet geliştirme amaçlı anonim agregasyon verisi analizi

Rızanızı her zaman geri çekebilirsiniz: `Ayarlar > Gizlilik > İletişim Tercihleri`

---

**Aydınlatma Metni Versiyon:** v1.0 — 2026-05-13
**Yayımlanma Tarihi:** [PRODUCTION'A ÇIKARKEN GÜNCELLE]
**Son Güncelleme:** [TARİH]

> Bu metin, hizmetlerimizi kullanmadan önce dikkatlice okumanız beklenir.
> Sorularınız için: **kvkk@onox.com.tr**
