This page shows the canonical Turkish text. The English translation will be published during the GDPR phase (source §7.2).
KVKK Aydınlatma Metni — Stancona (TASLAK v0.1)
- Legal basis: 6698 sayılı Kişisel Verilerin Korunması Kanunu m.10 (aydınlatma yükümlülüğü)
- Veri sorumlusu: Muhammed Emin Boydak (şahıs işletmesi; şahıs şirketinin ayrı hukuki
kişiliği yoktur — veri sorumlusu doğal kişi olarak kalır, LTD dönüşümünde ADR-0015 kapsamında
güncellenir). Kartal VD · 1820620930 · Cevizli Mah. Zuhal Cad. A Blok No: 46 İç Kapı No: 50,
Maltepe/İstanbul. İletişim: [email protected]
(kimlik SSOT:
../incorporation-and-tax.md§3b — kanbant_fadc62a4AC3/AC4) - Kapsam: stancona.org, app.stancona.org, keep.stancona.org, shop.stancona.org, newsletter (news.stancona.org) — 2026-09-19 envanteri.
- Durum:
DRAFT — ready for legal review (counsel-review-pending)(founder-approved pipeline 2026-10-05: taslak → founder onayı →counsel-review-pendingnotuyla yayım → avukat son diff; COMPLIANCE-001 §8 ile birlikte okunur). İçeriği fiilen toplanan veriden üretilmiştir; yayınlanması hukuki tavsiye yerine geçmez. iyzico aciliyeti: merchant-site gereksinim #3 (kanbant_fadc62a4) — bu metin onaya hazır paketin parçasıdır. - Register:
compliance-register.md· EN version: GDPR fazında (§7.2).
1. Hangi kişisel verileri, neden topluyoruz?
| # | Veri | Toplandığı yer | Amaç | Hukuki sebep (6698 m.5) |
|---|---|---|---|---|
| 1.1 | E-posta adresi | Kayıt/giriş (tek kullanımlık kod ile doğrulama) | Hesap oluşturma ve kimlik doğrulama | Bir sözleşmenin kurulması (m.5/2-c) |
| 1.2 | Kullanıcı tercihleri (tema, dil) | Uygulama iç ayarlar, birinci parti cookie | Deneyimin sürdürülmesi | Açık rıza yok — strictly necessary, m.5/2 (sözleşme/eylem) |
| 1.3 | Haber bülteni kaydı (e-posta + onay zamanı) | Waitlist / Listmonk (çift onay) | Pazarlama iletişimi | Açık rıza (m.5/1) + 5809 ikincil mevzuat onay şartı |
| 1.4 | Sipariş ve fatura bilgileri (ad, e-posta, sipariş kaydı) | shop (ödeme kuruluşu üzerinden) | Sipariş karşılama, e-arşiv fatura, vergi yükümlülüğü | Sözleşme (m.5/2-c) + hukuki yükümlülük (m.5/2-ç) |
| 1.5 | Ödeme kartı verisi | Bizde saklanmaz — iyzico/Polar (ödeme kuruluşu) işler | Ödeme tahsilatı | Veri sorumlusu sıfatıyla tarafımızca saklanan kart verisi yoktur |
| 1.6 | Anonim kullanım istatistikleri | Umami (self-hosted, çerezsiz, IP kısaltmalı) | Trafik/etkinlik ölçümü, ürün geliştirme | İstatistiksel ölçüm — kişisel veri doğurmuyor; bkz. §5 |
Toplamadığımız veriler: doğum tarihi (13+ kapısı gelene kadar — bkz. register §1), konum, telefon (etkinlik onayı gereken senaryolar hariç, o ayrı onaya bağlanır), özel nitelikli veri (6698 m.6) hiçbir koşulda toplanmaz.
2. Verileri ne kadar süre saklıyoruz? (retention)
| Veri sınıfı | Saklama süresi | Sonrasında |
|---|---|---|
| Hesap + e-posta kimliği | Hesap açık kaldığı süre | Hesap silme talebinde 30 gün içinde geri döndürülemez silme (m.7/1-f, m.13) |
| Giriş kodu (OTP) kayıtları | Doğrulamadan sonra en fazla 24 saat | Otomatik imha |
| Bülten onay kaydı (kanıt) | Onayın ispatı için rıza geri alınsa bile ilgili mevzuatın öngördüğü süre (ispat külfeti) | Amaç sona erince silme |
| Bülten aboneliği (aktif) | Abonelik sürdüğü / çıkmaya kadar | Üyelik silme, 30 gün |
| Fatura/sipariş kayıtları | Vergi mevzuatı zorunlu süreler (VUK 5 yıl, e-arşiv 10 yıl arşiv kuralı) | Yasal süre sonunda silme/anonimleştirme |
| Umami istatistikleri | Ham veri 12 ay (ADR-0047), aggregate süresiz | Ham veri otomatik düşüm |
3. Kimlerle paylaşıyoruz?
Yurt içinde/yurt dışında hizmet aldığımız sağlayıcılarla, hizmet amacı ve KDV/sözleşme kapsamıyla sınırlı: Cloudflare (DNS/CDN/WAF — log işleme), Netcup ( Almanya'da sunucu — barındırma), AWS SES / Resend (bülten teslimi — onaylı alıcılara), iyzico / Polar.sh (ödeme — kuruluşları gereği kart verisi burada), mükellef/mali müşavir (yasal yükümlülük gereği mali veriler). Veriler asla pazarlama amacıyla üçüncü taraflara satılmaz/paylaşılmaz.
4. Çerezler
Sadece birinci parti, zorunlu/tercih çerezleri kullanıyoruz (oturum, tema, dil). Reklam/üçüncü taraf çerez yoktur. Bu nedenle çerez duvarı/banner gerektirmeyen bir kurulumdadır; durum değişirse (ör. AB trafiğinde reklam aracı eklenirse) ayrıca onay mekanizması kurulur.
5. Analitik (Umami)
Sitemiz, kendi altyapımızda (umami.stancona.org) barındırılan, çerez kullanmayan, IP'leri
kısaltarak tutan Umami ile anonim trafik/etkinlik ölçümü yapar. Bu ölçüm bireysel kullanıcı
profili çıkarmaz; veri yurt dışına çıkmaz. Bu metnin yayında kalması bu ölçümü açıklar;
kullanıcıya ayrıca görünür bilgi uygulanır (uygulama içi "Analitik: şu anda üçüncü taraf
kullanılmıyor" metni güncellenir — bkz. grimoire consent.analytics anahtarı).
6. İlgili kişi haklarınız (6698 m.11)
Başvurunuz üzerine: veri işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içi/dışı aktarılan üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini isteme, m.7 kapsamındaki şartlarla silme/yok etme, düzelme/silmenin aktarılan üçüncü kişilere bildirilmesini isteme, m.7/f (müracaat hakları) ve otomatik sistemlerle aleyhinize sonuç çıkmasına itiraz.
Başvuru yolu: [email protected] (kayıtlı e-posta + KVKK başvuru başlığı). Yanıt süresi: m.13 gereği en geç 30 gün, ücretsiz; işlemin ayrıca maliyet gerektirmesi hâlinde KVKK Kurumu tarifesi.
Silme/yok etme prosedürü (iç SOP — veri sorumlusuna düşen): başvuru alınırsa (1) kimlik doğrulama, (2) hesap + kimlik + tercih satırlarının geri döndürülemez silinmesi, (3) bülten aboneliğinin iptali, (4) yasal saklama yükümlülüğü olan fatura kayıtlarının korunup diğer referanslardan ayrıştırılması (silinemeyen veri türü ayrıntılı bildirilir), (5) sonuç belgesinin başvurucuya iletilmesi. Umami verisi anonim olduğu için başvuru konusu değildir.
7. Yapay Zeka Kullanımı
Stancona, hizmetin bazı aşamalarında yapay zeka (AI) modelleri kullanabilir:
| # | Kullanım | Ne işlenir | Hukuki sebep | Kullanıcıya etki |
|---|---|---|---|---|
| 7.1 | İlan kalite puanlama (TypeSafe judgment, ADR-0051) | İlan başlığı/açıklaması (içerik); e-posta/telefon gibi kimlik verisi modele gönderilmez, gereken yerde anonimleştirilir | Meşru menfaat (m.5/2-f) — hizmet kalitesi | Dolaylı — puanlama sonucu ilan sıralamasını etkiler |
| 7.2 | İçerik/operasyon araçları (MCP server, ADR-0054) | İçerik metinleri, sistem durumu — müşteri kimlik verisi içermez | Meşru menfaat (m.5/2-f) — iç operasyon verimliliği | Yok (yalnızca iç ekip kullanımı, RBAC + audit trail ile korunur) |
| 7.3 | Çoklu ajan iş akışları (LangGraph orchestration, ADR-0018) | Araştırma, inceleme, yönlendirme agent'ları tarafından işlenen içerik ve sistem verisi; müşteri kimlik verisi içermez | Meşru menfaat (m.5/2-f) — otonom iş akışı optimizasyonu | Yok (iç kullanım, insansen döngü mekanizması mevcut) |
| 7.4 | Worker agentic runtime (ADR-0052) | Deterministik + agentic + judgment job'ları; Postgres üzerinden işlenen sistem verisi | Meşru menfaat (m.5/2-f) — altyapı işletme | Yok (backend process) |
| 7.5 | AI izleme ve gözlemleme (Langfuse, self-hosted) | AI model çağrılarının execution trace'ları (maliyet, hata, performans) | Meşru menfaat (m.5/2-f) — operasyonel şeffaflık | Yok (ops amaçlı; kişisel veri içermez) |
| 7.6 | Model erişim yönetimi (LiteLLM gateway — Henüz deploy edilmemiştir) | API anahtarı yönetimi, model yönlendirme | Meşru menfaat (m.5/2-f) — güvenlik ve maliyet kontrolü | Yok (Phase 2, henüz aktif değil) |
Temel ilkeler:
- Kişisel verileriniz yapay zeka modellerine ham olarak gönderilmez; gereken yerde anonimleştirme uygulanır.
- AI kaynaklı bir sonuç size karşı tam otomatik olarak uygulanacaksa, KVKK m.11/d uyarınca önceden bilgilendirilir ve itiraz hakkınız doğar.
- AI kullanımı üçüncü taraflara veri satışı veya bu metinde açıklanmayan veri paylaşımı anlamına gelmez.
- AI modeli sağlayıcılarına (TypeSafe, LangChain vb.) kimlik veriniz (e-posta, telefon, ad) asla iletilmez; yalnızca anonimleştirilmiş içerik işlenir.
Not (COMPLIANCE): Bu bölüm ADR-0018/0051/0052/0054/0032 kapsamını yansıtır; hukukçu onayından geçmeden yürürlüğe girmez. AI'ın üretim etkisi olan yeni kullanım alanları eklenince güncellenir. AI consent audit sonucu (CTO) alındığında bu bölüm nihai onaya sunulacaktır.
8. Yürürlük ve değişiklikler
Bu metin yayım tarihinde yürürlüğe girer; değişiklikler sayfada sürüm notu ile duyurulur. KVKK Kurumu'na şikâyet yolunuz saklıdır (kişiselverileri.gov.tr).
Ek A — Onay (rıza) metin blokları
A.1 Kayıt onayı (app signup, 13+ kapısı ile birlikte):
"Hesabım için e-posta adresimin işlenmesini ve uygulama tercihlerimin (tema, dil) saklanmasını KVKK Aydınlatma Metni kapsamında onaylıyorum." [ ] Onaylıyorum (zorunlu — hesap bu onay olmadan açılamaz)
A.2 Bülten onayı (waitlist + signup cross-sell, ayrı kutu):
"Stancona ürün, etkinlik ve içeriklerinden e-posta ile haberdar olmak istiyorum. İzni her zaman e-posta içindeki bağlantıdan geri alabilirim." [ ] Onaylıyorum (isteğe bağlı; ayrı saklanır)
A.3 Yapay zeka (AI) kullanım onayı (isteğe bağlı, ayrı kutu):
"Uygulama içi bazı özelliklerin geliştirilmesinde ve iyileştirilmesinde yapay zeka modellerinin kullanılmasını onaylıyorum. Bu modellere kişisel verileriniz (e-posta, telefon vb.) asla iletilmez; yalnızca anonimleştirilmiş içerik işlenir. Onayınızı her zaman ayarlardan geri alabilirsiniz." [ ] Onaylıyorum (isteğe bağlı; ayrı saklanır, uygulama içi ayarlardan yönetilir)
A.4 Onay kanıtı: her kayıt/onay zaman damgası + kaynak (IP saklanmaz, kullanıcı-agent sürümü saklanır) + iptal kanıtıyla Listmonk/DB'de tutulur (ispat külfeti veri sorumlusundadır).