# Kişisel Veri Envanteri (VERBİS Hazır)

> KVKK madde 16 uyarınca veri sorumluları **VERBİS** (Veri Sorumluları Sicili)'ne
> kayıt ve veri envanteri yayımlamak zorundadır.
>
> Bu envanter, panel'in işlediği tüm kişisel veri kategorilerini, amaçlarını,
> hukuki dayanaklarını ve saklama sürelerini tek sayfada özetler.
>
> **Avukat onayı ile VERBİS'e yüklenmeden production'a alınmamalıdır.**

---

## Veri Sorumlusu Bilgileri

| Alan | Değer |
|---|---|
| Unvan | [LİMİTED ŞİRKET ÜNVANI] |
| Adres | [REGISTERED ADDRESS] |
| Vergi No | [VKN] |
| MERSİS | [MERSIS NO] |
| Sektör | Hosting / Bilgi Teknolojileri |
| VERBİS Kayıt No | [VERBIS BAŞVURU SONRASI] |
| İrtibat Kişisi | [İSİM] (kvkk@onox.com.tr) |

---

## İşlenen Kişisel Veri Kategorileri

### 1. Kimlik Bilgileri

| Veri | Hukuki Dayanak | Amaç | Saklama | Kaynak |
|---|---|---|---|---|
| Ad, soyad | Sözleşme (KVKK 5/2-c) | Hesap kimlik | 10 yıl (TBK 146) | `users.name` |
| E-posta | Sözleşme (KVKK 5/2-c) | İletişim + login | Hesap aktif + 10 yıl | `users.email` |
| T.C. Kimlik No (opsiyonel) | Yasal yükümlülük (VUK) | Fatura için | 10 yıl (VUK 253) | `users.tckn` (bireysel müşteri) |
| Telefon (opsiyonel) | Açık rıza | SMS bildirim | Rıza süresi | `users.phone` |

### 2. İletişim ve Adres

| Veri | Hukuki Dayanak | Amaç | Saklama | Kaynak |
|---|---|---|---|---|
| Fatura adresi | Yasal yükümlülük (VUK) | E-fatura | 10 yıl | `billing_addresses` |
| KEP adresi | Yasal yükümlülük | Resmi tebligat | 10 yıl | `users.kep_address` |

### 3. Kimlik Doğrulama (Hassas)

| Veri | Hukuki Dayanak | Amaç | Saklama | Şifreleme |
|---|---|---|---|---|
| Şifre | Sözleşme | Login | Hesap aktif | **Argon2id** hash |
| 2FA gizli anahtar | Sözleşme | 2FA | Hesap aktif | **AES-256-GCM** |
| Kurtarma kodları | Sözleşme | 2FA recovery | Hesap aktif | **bcrypt** hash |
| Oturum çerezi | Sözleşme | Session | 2 saat (sliding) | HMAC imzalı |
| API token | Sözleşme | REST API | Token expiry | **SHA-256** hash |

### 4. İşlem ve Erişim Verileri

| Veri | Hukuki Dayanak | Amaç | Saklama | Kaynak |
|---|---|---|---|---|
| IP adresi | Meşru menfaat | Güvenlik | **90 gün** (kısaltılmış) | `audit_log.ip_address` |
| User-Agent | Meşru menfaat | Anomali tespit | 90 gün (kısaltılmış) | `audit_log.user_agent` |
| Login zaman damgaları | Meşru menfaat | Anomali | 90 gün | `audit_log` |
| Failed login | Meşru menfaat | Brute force | 30 gün | `failed_login_attempts` |
| Sistem komut çıktıları | Meşru menfaat | Audit | 90 gün | `audit_log` (sysapi) |

### 5. Sunucu Kullanım Verileri (Çoğunlukla Teknik)

| Veri | Hukuki Dayanak | Amaç | Saklama | Anonim? |
|---|---|---|---|---|
| Disk kullanımı | Sözleşme | Quota | Hesap aktif | Hayır |
| Bandwidth | Sözleşme | Quota + fatura | 12 ay | Hayır |
| Apache access log | Meşru menfaat | Trafik analizi | 30 gün | Kısmen (IP kısaltılır) |
| DNS sorguları | Meşru menfaat | Servis | **KAPALI** (default) | N/A |
| Mail log | Meşru menfaat | Teslim | 30 gün | Hayır |

### 6. Faturalama ve Ödeme

| Veri | Hukuki Dayanak | Amaç | Saklama | Notlar |
|---|---|---|---|---|
| Fatura bilgileri | Yasal (VUK) | E-Fatura | 10 yıl | GİB sistemi |
| Ödeme metadata (kart son 4) | Sözleşme | Hatırlatma | Sözleşme süresi | **Kart numarası saklanmaz** |
| Banka havalesi referans | Sözleşme | Eşleştirme | 10 yıl | Banka çağırma |

### 7. Bildirim Tercihleri (Açık Rıza)

| Veri | Hukuki Dayanak | Amaç | Saklama | Geri Çek |
|---|---|---|---|---|
| E-posta bildirim ON/OFF | Açık rıza | Pazarlama | Rıza süresi | Anında |
| SMS bildirim | Açık rıza | Pazarlama | Rıza süresi | Anında |
| Push token (web/mobil) | Açık rıza | Anlık bildirim | Token expire | Anında |

---

## Veri İşleyenler (3. Taraf Hizmet Sağlayıcılar)

KVKK madde 11/2 uyarınca veri işleyen sözleşmesi imzalanmış taraflar:

| Sağlayıcı | Yer | Veri | Sözleşme | Yeterlilik |
|---|---|---|---|---|
| Hetzner Online GmbH | Almanya | Sunucu storage | DPA (Data Processing Agreement) | KVKK madde 9 yeterlilik (AB) |
| Paraşüt veya Foriba | Türkiye | Fatura | Veri işleyen sözleşmesi | KVKK madde 12 |
| iyzico/PayTR/Stripe | TR/AB/ABD | Ödeme | DPA + PCI-DSS | KVKK 9 + standart sözleşme |
| Yandex 360 | Türkiye | Transactional email | Servis sözleşmesi | KVKK madde 12 |
| Cloudflare | ABD | CDN + DDoS | DPA + standart sözleşme | KVKK madde 9 yeterlilik |
| Backblaze B2 | ABD | Offsite backup | DPA + uçtan uca şifreleme | KVKK madde 9 |
| Let's Encrypt | ABD | SSL sertifika | Sadece domain + email | KVKK madde 9 |

---

## Hassas Kişisel Veri (KVKK Madde 6)

> **Özel nitelikli kişisel veriler** (sağlık, biyometrik, genetik, dini görüş,
> siyasi düşünce, sendika üyeliği vb.) **işlenmez**.

İstisna: Müşteri yedek dosyalarında hassas içerik olabilir. Bu durumda:
- Yedekleme **müşterinin kontrolündedir** (rıza)
- Yedekler **uçtan uca şifrelenmiş** olarak saklanır
- Sadece müşterinin kendi rızasıyla erişim verilir

---

## Yurt Dışı Aktarım Onayları

| Hedef | KVKK Madde | Belge | Tarih |
|---|---|---|---|
| Almanya (Hetzner) | 9/2-a (yeterlilik) | AB GDPR yeterlilik kararı | Daimi |
| ABD (Cloudflare, Backblaze) | 9/4-a (standart sözleşme) | SCC v2021 imzalı | [DATE] |
| ABD (Stripe — opsiyonel) | 9/4-a | SCC v2021 + DPA | [DATE] |

---

## Veri Silme Otomasyon

`php artisan onox:prune` komutu her gün 04:30'da:

```
audit_log         → 90 gün öncesini sil
failed_login      → 30 gün öncesini sil
expired_backups   → expires_at < now() olanları sil
expired_notif     → 30 gün okunduğundan beri olanları sil
expired_snapshots → 30 gün öncesini sil
session_dead      → 14 gün öncesini sil
```

Manuel silme talepleri için:
```
php artisan onox:purge --user=<id> --confirm
```

---

## VERBİS Kayıt İçin Hazır Liste

Aşağıdaki bilgileri VERBİS başvuru ekranına aktarın:

```
1. Veri sorumlusu unvanı: ____________
2. İletişim bilgileri (KEP, e-posta, telefon)
3. İrtibat kişisi (kvkk@onox.com.tr)
4. Hizmet sözleşmesi: Hosting hizmeti
5. Personel sayısı: ____ (KVKK 16/2 — 50+ veya cirosu 25M+ ise VERBİS zorunlu)
6. Veri kategorileri: yukarıdaki 7 kategorinin işaretli olanları
7. İşleme amaçları: aydınlatma metnindeki 9 amaç
8. Saklama süreleri: yukarıdaki tablodaki süreler
9. Aktarılan üçüncü taraflar: yukarıdaki 7 sağlayıcı
10. Yurt dışı aktarım: Almanya, ABD (yeterlilik + SCC)
11. Alınan teknik tedbirler: TLS, hash, AES-256, fail2ban, MFA, WAF, DDoS koruması
12. İdari tedbirler: KVKK eğitimi, ihlal müdahale planı, pentest, sigorta
```

---

**Envanter Versiyon:** v1.0 — 2026-05-13
**Sonraki gözden geçirme:** 6 ayda bir
**Avukat son kontrol:** [TARİH]
