Kişisel Verilerin Korunması, İşlenmesi ve Gizlilik Politikası

Şirketimiz kişisel veri işleme süreçlerinde aşağıdaki temel ilkelere uygun hareket eder:

• Hukuka ve dürüstlük kurallarına uygun olma: Veriler şeffaf ve hukuka uygun sebeplerle toplanır.
• Doğru ve gerektiğinde güncel olma: Kullanıcının beyan ettiği bilgilerin doğruluğu ve güncelliği esastır.
• Belirli, açık ve meşru amaçlar için işlenme: Veri işleme amacı önceden açıkça belirlenir.
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Hizmet için zorunlu olandan fazla veri talep edilmez.
• Gerekli olan süre kadar muhafaza edilme: Yasal saklama süresi sona eren veriler güvenle imha edilir.

Platformumuz üzerinde hesap açmanız, ilan listelemeniz veya dijital ürün satın almanız durumunda işlenen kişisel veriler kategorik olarak aşağıda belirtilmiştir:

• Kimlik ve Profil Verileri: Ad, soyad, kullanıcı adı, doğum tarihi, uyruk, T.C. Kimlik Numarası veya yabancı kimlik/pasaport seri numarası.
• İletişim Verileri: E-posta adresi, telefon numarası (varsa iki adımlı SMS doğrulama kaydı) ve tebligat/fatura adresi.
• P2P Pazaryeri ve İşlem Verileri: Satışa sunulan veya satın alınan dijital ürün kodları, sipariş geçmişi, ilan açıklamaları, emanet (escrow) bloke hareketleri ve kullanıcı değerlendirmeleri.
• Finansal ve Ödeme Verileri: Lisanslı ödeme kuruluşlarınca üretilen işlem referans numaraları, satıcı para çekim IBAN bilgileri, bakiye geçmişi ve fatura bilgileri. (Kredi kartı numarası veya güvenlik kodları şirket sunucularında tutulmaz; PCI-DSS Seviye 1 lisanslı ödeme kuruluşlarınca işlenir.)
• Cihaz, Ağ ve Güvenlik Verileri: IP adresi, port bilgisi, internet servis sağlayıcısı, User-Agent, tarayıcı türü, işletim sistemi ve oturum çerezleri.
• Destek ve Talep Kayıtları: Müşteri destek yazışmaları, uyuşmazlık bildirimleri ve yüklenen doğrulama belgeleri.

Dijital lisans anahtarları, oyun kodları ve yazılım hakları anında teslim edilen ve kullanıldıktan sonra fiziki iadesi mümkün olmayan gayrimaddi niteliktedir. Çalıntı kredi kartı kullanımı, yetkisiz ters ibraz (chargeback) dolandırıcılığı, kimlik hırsızlığı ve sahte hesap açılışlarını engellemek amacıyla platformumuzda Biyometrik Kimlik Doğrulaması (KYC) uygulanmaktadır.

4.1. Bağımsız Akredite Altyapı Sağlayıcıları

Kimlik doğrulama süreçleri, uluslararası güvenlik standartlarına (ISO/IEC 27001, SOC 2 Type II) sahip, regüle edilmiş bağımsız kimlik doğrulama ve sahtecilik önleme altyapı sağlayıcıları aracılığıyla yürütülmektedir.

4.2. İşlenen Biyometrik ve Doğrulama Verileri

• Resmi Belge Optik Taraması (OCR): T.C. Kimlik Kartı, Sürücü Belgesi veya Pasaportun ön ve arka yüzünün okunması, hologram ve geçerlilik kontrolü.
• Canlılık (Liveness) & Yüz Geometrisi Tespiti: Gerçek zamanlı kamera kaydı üzerinden 3 boyutlu yüz geometrisi analizi (fotoğraf tutma, video oynatma, maske veya deepfake sahteciliklerinin tespiti).
• Donanım ve Kamera Kontrolü: Sanal kamera veya emülatör manipülasyonlarının denetimi.
• Yaptırım ve Kara Liste Taraması: Uluslararası yaptırım listeleri (PEP/AML) üzerinden otomatik sahtecilik denetimi.

4.3. Biyometrik Veri Güvenliği ve Açık Rıza

Biyometrik veriler hiçbir surette Grapsyh sunucularında ham görüntü olarak barındırılmaz. Veriler akredite doğrulama altyapısında şifreli ve kriptografik hash formatında işlenir. Bu süreç öncesinde kullanıcıdan kamera açma ve veri işleme amacıyla açık rıza (Explicit Consent) alınır. Açık rıza verilmemesi halinde P2P ilan açma ve alım-satım işlemleri sınırlandırılır.

Kişisel verileriniz, KVKK'nın 5. ve 6. maddeleri ile GDPR'ın 6. ve 9. maddelerinde düzenlenen aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:

• Sözleşmenin Kurulması ve İfası: Kullanıcı kaydının açılması, dijital lisans anahtarlarının alıcıya teslimi, emanet (escrow) havuzunun işletilmesi.
• Kanuni Yükümlülüklerin Yerine Getirilmesi: 6563 sayılı Elektronik Ticaret Kanunu, 6502 sayılı Tüketicinin Korunması Hakkında Kanun ve Vergi Usul Kanunu uyarınca işlem ve fatura kayıtlarının tutulması.
• Meşru Menfaat ve Siber Güvenlik: Platformun, kullanıcıların ve hak sahiplerinin dolandırıcılığa, çalıntı kart kullanımına ve siber saldırılara karşı korunması.
• Açık Rıza: Biyometrik canlılık ve yüz geometrisi testlerinin yürütülmesi esnasında kullanıcının verdiği açık elektronik onay.

Grapsyh platformunda satıcılar ile alıcılar doğrudan işlem gerçekleştirir. Taraflar arasındaki güvenliği sağlamak için Emanet Havuzu (Escrow) mekanizması uygulanır:

• Alıcı ve satıcı birbirlerinin T.C. kimlik numarası, kart bilgileri veya açık adreslerini göremez; yalnızca sistem kullanıcı adları paylaşılır.
• Satıcılar ancak kimlik doğrulama sürecini başarıyla tamamladıktan sonra ilan açabilir.
• Alıcının ödediği tutar teslimat onaylanana kadar güvenli emanet havuzunda bloke edilir.

Kişisel verileriniz hiçbir surette üçüncü şahıslara ticari kazanç amacıyla satılmaz veya kiralanmaz. Verileriniz yalnızca aşağıdaki taraflarla sınırlı olarak paylaşılabilir:

• Akredite Kimlik ve Sahtecilik Doğrulama Sağlayıcıları: Biyometrik kimlik doğrulama ve yaptırım kontrolleri için.
• Lisanslı Ödeme ve Finans Kuruluşları: PCI-DSS Seviye 1 standartlarında bakiye ve ödeme işlemlerinin tahsili için.
• Bulut ve Barındırma Sağlayıcıları: Sitenin kesintisiz yayını, CDN önbellekleme ve DDoS filtrelemesi için.
• Adli ve İdari Makamlar: Mahkemeler, Cumhuriyet Başsavcılıkları ve yetkili kamu kurumlarının yasal müzekkereleri doğrultusunda.

Platformumuzun kullandığı küresel bulut sunucuları (CDN, güvenlik duvarları ve akredite kimlik doğrulama veri merkezleri) Avrupa Birliği ve Birleşik Krallık sınırları içerisinde barındırılabilmektedir.

Bu aktarımlar, GDPR Madde 46 uyarınca Standart Sözleşme Maddeleri (Standard Contractual Clauses - SCCs) ve 6698 sayılı KVKK Madde 9 hükümlerine uygun teknik ve idari koruma tedbirleri altında gerçekleştirilir.

Kişisel verileriniz, mevzuatta zorunlu kılınan süreler boyunca veya işleme amacının gerektirdiği azami müddetçe saklanır:

• Mali ve Ticari Belgeler: Vergi Usul Kanunu ve TTK uyarınca işlem tarihinden itibaren 10 yıl.
• İnternet Erişim Logları: 5651 sayılı Kanun gereği 2 yıl.
• Kimlik ve Doğrulama Kayıtları: Uyuşmazlık zamanaşımı gereği üyelik süresince ve hesap kapanışından itibaren 3 yıl.
• Müşteri Destek Kayıtları: Talep sonuçlanmasından itibaren 3 yıl.

Süre sonunda kişisel veriler periyodik imha takvimimiz kapsamında geri döndürülemez şekilde silinir veya anonim hale getirilir.

Şirketimiz veri güvenliğini sağlamak için uluslararası kabul görmüş siber güvenlik kontrolleri uygular:

• Tüm ağ iletişimi 256-bit TLS 1.3 şifreleme ile korunur.
• Kimlik doğrulama API oturumları zaman damgalı kriptografik dijital imzalarla yetkilendirilir.
• Web Uygulama Güvenlik Duvarı (WAF) ve botnet filtreleme sistemleri aktiftir.
• Veritabanı erişimleri en az yetki prensibi (PoLP) ve çift aşamalı kimlik doğrulama ile sınırlandırılmıştır.

Sitemizde oturum güvenliğini sağlamak ve tercihlerinizi hatırlamak amacıyla çerezler kullanılmaktadır:

• Zorunlu Çerezler: Giriş oturumunu korumak, CSRF saldırılarını engellemek ve işlem sepetini takip etmek için zorunludur.
• İşlevsel Çerezler: Dil ve tema tercihlerinizi hatırlamak için kullanılır.
• Analitik Çerezler: Sayfa yükleme performansını ve hata oranlarını ölçmek amacıyla anonim olarak işlenir.

Çerez tercihlerinizi tarayıcınızın ayarlar menüsünden dilediğiniz zaman silebilir veya engelleyebilirsiniz.

6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun gereği, kullanıcının önceden verilmiş açık onayı bulunmaksızın ticari tanıtım veya reklam iletisi gönderilmez.

Kullanıcılar bülten aboneliğinden diledikleri an hesap ayarlarından veya gelen e-postanın altındaki çıkış bağlantısını kullanarak tek tıkla ayrılabilirler.

Veri sahibi olarak aşağıdaki kanuni haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme ve işlenmişse bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmişse bunların düzeltilmesini isteme,
• Kanuni şartlar oluştuğunda verilerin silinmesini veya yok edilmesini talep etme ("Unutulma Hakkı"),
• Verilerinizi yaygın kullanılan makinece okunabilir bir formatta talep etme ("Veri Taşınabilirliği"),
• Otomatik sistemlerle analiz edilme sonucu aleyhinize bir sonucun doğmasına itiraz etme ve insan incelemesi talep etme.

Platformumuzda sunulan dijital lisans satış ve finansal transfer hizmetleri yalnızca 18 yaşını doldurmuş ve medeni hakları kullanma ehliyetine sahip kişilere yöneliktir.

Kimlik doğrulama süreçlerinde veya şikayet bildirimlerinde 18 yaş altı olduğu anlaşılan hesaplar derhal askıya alınır ve mevzuata uygun şekilde tasfiye edilir.

Kişisel verilerinizle ilgili yasal haklarınızı kullanmak için kayıtlı e-posta adresinizden konuya “Veri Sahibi Başvurusu” yazarak doğrudan iletisim@grapsyh.cyou adresine başvurabilirsiniz.

Başvurularınız en geç 30 (otuz) gün içerisinde ücretsiz olarak yazılı şekilde yanıtlandırılacaktır.

Şirketimizin cevabından tatmin olmamanız halinde Türkiye'de Kişisel Verileri Koruma Kurumu'na (www.kvkk.gov.tr) veya ikamet ettiğiniz AB ülkesindeki yetkili Veri Koruma Otoritesine şikayette bulunma hakkınız saklıdır.