Gizlilik Politikası

1. Veri Sorumlusu

PallasMark, Amerika Birleşik Devletleri'nin Delaware eyaletinde kurulu RecRam Inc. ("Şirket") tarafından işletilen bir yazılım hizmetidir. RecRam Inc.'in tamamı, merkezi Kocaeli, Türkiye'de bulunan RecRam Yazılım Anonim Şirketi'ye aittir; RecRam Yazılım Anonim Şirketi grubun merkez ofisi ve operasyon üssüdür.

• RecRam Inc. (ABD) — 112 Capitol Trail Suite A1127, Newark, Delaware 19711, United States · EIN: 38-4300256 · Registered Agent: Social Enterprise LLC
• RecRam Yazılım Anonim Şirketi (Türkiye, merkez ve grup sahibi) — Muallimköy Mah. Deniz Cad. Muallimköy T.G.B. 1.Etap 1.1.C1 Blok No:143/8 İç Kapı No:1, Gebze/Kocaeli · Vergi Dairesi: Uluçınar Vergi Dairesi · Vergi No: 7342530245 · Ticaret Sicil No: 40113 · MERSİS No: 0734253024500001
• İletişim (tüm hukuki, gizlilik ve KVKK başvuruları için tek adres): hello@pallasmark.com

RecRam Yazılım Anonim Şirketi, 6698 sayılı KVKK ve Veri Sorumluları Sicili Hakkında Yönetmelik m.11 uyarınca RecRam Inc.'in Türkiye'deki veri sorumlusu temsilcisi sıfatıyla hareket eder.

Bu politika, KVKK m.10 ve GDPR m.13-14 kapsamındaki aydınlatma yükümlülüğünü yerine getirmek amacıyla hazırlanmıştır. Türkiye'deki veri sahipleri için ayrıca KVKK Aydınlatma Metni geçerlidir.

2. İşlenen Kişisel Veriler

Satıcı Verileri:

• Kimlik: ad, soyad, e-posta, şirket adı, şifre (özet/hash olarak)
• Ekip üyeleri: rol (personel/yönetici/sahip), giriş oturumu kayıtları (cihaz parmak izi, IP/konum, zaman damgalı imzalı oturum zinciri)
• Yasal bilgiler: vergi numarası, ticaret sicil numarası, adres (Satıcı tarafından girilirse)
• Ödeme: fatura adresi (kart bilgileri Paddle/Stripe'ta saklanır, PallasMark'a iletilmez)
• Kullanım: giriş zamanları, işlem geçmişi, API istekleri

Alıcı Verileri (Satıcı aracılığıyla ve Satıcı talimatıyla işlenen — bkz. DPA; alıcı için hesap oluşturulmaz):

• İletişim: e-posta veya telefon (onay bağlantısı göndermek için)
• Teslimat kanıtı: Satıcı tarafından yüklenen video/fotoğraf dosyaları
• Onay kaydı: IP adresi, tarayıcı/cihaz parmak izi (user agent, ekran çözünürlüğü, saat dilimi, dil, canvas özeti, "izleme reddi" tercihi), zaman damgası, onaylanan sözleşme metninin karma (hash) değeri
• Konum: opsiyonel GPS koordinatları (yalnızca alıcı açık rıza gösterirse)
• Oturum kaydı: onay sayfasındaki kaydırma/tıklama etkileşimlerinin kaydı (form alanları maskelenir); 180 gün sonra otomatik silinir
• İzleme verisi: video izleme süresi
• İtiraz kanıtı: alıcının itiraz ederken yüklediği ek video/fotoğraf (varsa)

3. İşleme Amaçları ve Hukuki Dayanaklar

Satıcı verileri:

• Sözleşmenin ifası (KVKK m.5/2-c / GDPR m.6(1)(b)): hesap yönetimi, faturalama
• Meşru menfaat (KVKK m.5/2-f / GDPR m.6(1)(f)): platform güvenliği, kötüye kullanım tespiti, ekip erişim kayıtları
• Hukuki yükümlülük (KVKK m.5/2-ç / GDPR m.6(1)(c)): vergi, muhasebe kayıtları

Alıcı verileri (Satıcı talimatıyla):

• Meşru menfaat (GDPR m.6(1)(f)): teslimat kanıtının oluşturulması ve saklanması, hukuki delil bütünlüğü
• ETK m.6 kapsamında elektronik rıza kaydı
• Açık rıza (KVKK m.5/1 / GDPR m.6(1)(a)): yalnızca opsiyonel konum verisi toplanırken

4. Saklama Süreleri

Saklama süreleri; belirli bir yıl sayısı yerine, aşağıdaki somut mekanizmalarla yönetilir:

• Teslimat kanıtı (video/fotoğraf): Satıcı'nın abonelik planına bağlı saklama süresi boyunca; plan detayları hesap ayarlarında görüntülenir
• Oturum kaydı (rrweb ekran kaydı): kayıt anından itibaren 180 gün — süre dolunca otomatik silinir
• Hesap kapanışı sonrası: Satıcı verilerini dışa aktarabileceği 30 günlük bir pencere tanınır, ardından kalıcı olarak silinir
• Veri sahibi silme talepleri: talep bir denetim kaydına işlenir ve 30 gün içinde operatör tarafından manuel olarak sonuçlandırılır
• Fatura/ödeme kayıtları: Vergi Usul Kanunu m.253 uyarınca 10 yıl

5. Veri Transferleri

Kişisel veriler şu kategorilerdeki alıcılarla paylaşılabilir:

• Cloudflare, Inc. — video/fotoğraf kanıt dosyalarının depolanması (nesne depolama, küresel içerik dağıtım ağı)
• Resend ve EmailIt — e-posta bildirimlerinin gönderimi
• Twilio Inc. — SMS bildirimlerinin gönderimi
• Meta Platforms, Inc. (WhatsApp Business Platform) — WhatsApp bildirimlerinin gönderimi
• Paddle.com Market Ltd. ve/veya Stripe, Inc. — ödeme işleme (Satıcı'nın seçtiği sağlayıcı; kart bilgileri bu sağlayıcılarda saklanır, bize iletilmez)
• netcup GmbH (Almanya) — uygulama sunucusu ve veritabanının barındırıldığı altyapı sağlayıcısı

Uygulama sunucusu ve veritabanı Almanya'da (Avrupa Birliği) barındırıldığından, Türkiye'den toplanan kişisel veriler yurt dışına aktarılmaktadır. Bu aktarım KVKK m.9 kapsamında; Cloudflare, Twilio ve Meta gibi ABD merkezli sağlayıcılara yapılan aktarımlar ise GDPR m.46 kapsamındaki Standart Sözleşme Maddeleri (SCC) ile güvence altına alınır.

6. Veri Güvenliği

• TLS 1.2+ ile iletim şifrelemesi, AES-256 ile depolama şifrelemesi
• SHA-256 karma değerleriyle dosya bütünlüğü doğrulama
• Rol tabanlı erişim denetimi; Şirket personelinin erişimi imzalı (Ed25519) oturum zinciriyle kayıt altına alınır
• Düzenli güvenlik denetimleri

7. Veri Sahibi Hakları

KVKK m.11 ve GDPR m.15-22 kapsamındaki haklarınız:

• Erişim, düzeltme, silme, işlemeyi kısıtlama, veri taşınabilirliği, itiraz

Talepler: hello@pallasmark.com — 30 gün içinde yanıt verilir. Şikâyet: KVKK Kurulu (kvkk.gov.tr) veya yetkili AB denetim makamı.

8. Çerezler ve Güncellemeler

Platform yalnızca zorunlu çerezler kullanır; reklam/izleme amaçlı üçüncü taraf çerezi yoktur. Ayrıntılar için bkz. Çerez Politikası. Bu politika önceden bildirimde bulunarak güncellenebilir.

9. Hesap ve Veri Silme Talebi

Hesabınızı ve ilişkili verilerinizi silmek istiyorsanız hello@pallasmark.com adresine yazın. Talebiniz doğrulandıktan sonra hesabınız ve kişisel verileriniz, yasal saklama yükümlülüklerimiz dışında kalan kısımlarıyla makul bir süre içinde silinir.