1. Amaç, kapsam ve hukuki nitelik

1.1. İşbu Kişisel Verilerin Korunması ve Gizlilik Politikası ("Politika"), Ravalu Teknoloji ve Yazılım Limited Şirketinin ("Ravalu" veya "Şirket") kişisel verileri işlerken uyguladığı temel ilkeleri, yönetişim yaklaşımını, güvenlik çerçevesini ve ilgili kişilerin başvuru yollarını açıklar.

1.2. Politika; ravalu.com internet sitesini ve bu site üzerinden erişilen bulut tabanlı yazılım platformunu ("Platform") kullanan kişiler, müşteri ve tedarikçi temsilcileri, iletişim veya destek talebi iletenler, ticari ileti alıcıları, internet sitesi ziyaretçileri ve Ravalu’nun kendi faaliyetleri kapsamında kişisel verisini işlediği diğer gerçek kişiler bakımından uygulanır.

1.3. Çalışanlar, çalışan adayları ve fiziksel ziyaretçiler için işleme faaliyetinin niteliğine göre ayrıca hazırlanmış aydınlatma metinleri ve iç prosedürler uygulanabilir. Ravalu’nun müşterisi adına veri işleyen sıfatıyla gerçekleştirdiği faaliyetler 8. bölüm ve ilgili Veri İşleme Sözleşmesi kapsamında değerlendirilir.

1.4. Bu Politika, belirli bir veri toplama anına özgü Aydınlatma Metninin veya açık rıza metninin yerine geçmez. Politikanın yayımlanması, ilgili kişinin kanuni haklarını sınırlandırmaz ve Kullanıcı bakımından ayrıca borç doğuran bir sözleşme hükmü oluşturmaz.

1.5. Politika başta 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun"), Kanuna dayalı ikincil düzenlemeler ve Kişisel Verileri Koruma Kurulu kararları dikkate alınarak hazırlanmıştır.

2. Veri sorumlusu ve Ravalu’nun rolleri

2.1. Ravalu; hesap, üyelik, ödeme, faturalama, iletişim, destek, güvenlik, Platform kullanım bilgileri ve kendi kaynaklarından sunduğu potansiyel müşteri iletişim verileri bakımından işleme amaç ve vasıtalarını belirlediği ölçüde veri sorumlusudur.

2.2. Kullanıcının kendi müşteri veya potansiyel müşterilerine ait kişisel verileri Platforma yüklediği ya da Platform üzerinden işlediği hallerde veri sorumlusu kural olarak ilgili Kullanıcı veya müşteri kuruluştur. Ravalu, bu verileri müşterinin belgelenmiş talimatları doğrultusunda işlediği ölçüde veri işleyen sıfatıyla hareket eder.

2.3. Ödeme işlemleri iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. ("iyzico") altyapısıyla yürütülür. Ödeme kuruluşunun kendi hukuki yükümlülükleri kapsamında bağımsız olarak işlediği veriler bakımından ilgili kuruluşun veri sorumluluğu ve metinleri uygulanır. Ravalu tam kart numarasını veya kart güvenlik kodunu kendi sistemlerinde saklamaz.

2.4. Ravalu’nun tanıtıcı ve iletişim bilgileri aşağıdadır:

3. Tanımlar

3.1. Kişisel veri; kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. İlgili kişi, kişisel verisi işlenen gerçek kişiyi; veri işleme ise verinin elde edilmesinden silinmesine kadar gerçekleştirilen her türlü işlemi ifade eder.

3.2. Özel nitelikli kişisel veri; Kanunun 6. maddesinde sayılan ve hukuka aykırı işlenmesi halinde kişi bakımından daha ağır risk doğurabilecek veri kategorileridir. Platform, hizmetin olağan sunumu için özel nitelikli kişisel veri veya çocuklara ait veri talep etmez.

3.3. Anonim hale getirme, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Toplulaştırılmış verinin anonim sayılabilmesi için geri döndürülemez biçimde kişi bağının koparılmış olması gerekir.

4. Kişisel veri işleme ilkeleri

4.1. Ravalu kişisel verileri hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü olarak işler; verileri ilgili mevzuatta öngörülen veya işleme amacı için gerekli olan süreden daha uzun tutmaz.

4.2. Veri koruma; ürün, süreç ve hizmetlerin tasarım aşamasından itibaren dikkate alınır. Varsayılan ayarlar, erişim yetkileri, veri alanları ve saklama süreleri hizmetin amacı için gerekli asgari veri esasına göre belirlenir.

4.3. Ravalu, veri işleme faaliyetini uygun bir hukuki işleme şartına dayandırır. Açık rıza, Kanunda yer alan başka bir işleme şartının mevcut olduğu faaliyetlerde gereksiz veya hizmetin zorunlu koşulu olarak kullanılmaz; gerektiği hallerde belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle alınır.

4.4. Kişisel veriler reklam amacıyla satılmaz veya kiralanmaz. Bir Kullanıcının firma bilgileri, içerikleri ve Raporları başka bir Kullanıcıya görünür kılınmaz. Hizmet geliştirme amacıyla kullanılan veriler, mümkün olduğu ölçüde toplulaştırılır veya anonim hale getirilir.

5. İlgili kişi ve veri kategorileri

5.1. Ravalu’nun faaliyetleri kapsamında işlenebilecek başlıca ilgili kişi ve veri kategorileri aşağıda özetlenmiştir. Belirli işleme faaliyetindeki kesin veri alanları Aydınlatma Metninde veya ilgili katmanlı bildirimde gösterilir.

5.2. Firma unvanı, sektör, çalışan sayısı, ciro aralığı ve hedef pazar gibi bilgiler tek başına tüzel kişiye ilişkin olduğunda kişisel veri sayılmayabilir. Bu bilgilerin bir şahıs işletmesiyle veya belirli bir gerçek kişiyle ilişkilendirilebildiği hallerde Kanun hükümleri uygulanır.

5.3. Kullanıcılar Platforma özel nitelikli kişisel veri, çocuklara ait veri veya hizmetin sunulması için gerekli olmayan hassas bilgi girmemelidir. Ravalu, tespit ettiği uygunsuz içeriği sınırlandırabilir veya silebilir ve mevzuatın gerektirdiği diğer tedbirleri alabilir.

6. Verilerin elde edilmesi ve doğruluğu

6.1. Kişisel veriler; kayıt, profil, firma künyesi, iletişim, destek, bülten ve ödeme ekranları; Platform içindeki kullanım ve işlem kayıtları; e-posta ve diğer elektronik iletişim; çerez ve benzeri teknolojiler; ödeme kuruluşları; kamuya açık kaynaklar ve hukuka uygun veri sağlayıcıları üzerinden tamamen veya kısmen otomatik yollarla elde edilebilir.

6.2. Platformun ürettiği Raporlar, skorlar, listeler ve benzeri çıktılar; kullanıcı girdileriyle ve Platform kullanım kaydıyla ilişkilendirildiği ölçüde kişisel veri içerebilir. Bu içerikler aynı erişim, saklama ve güvenlik ilkelerine tabidir.

6.3. Veri doğrudan ilgili kişiden elde edilmemişse Ravalu, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğde öngörülen zaman ve yöntemle bilgilendirme yapar; kanuni istisnalar saklıdır.

6.4. İlgili kişilerin ve Kullanıcıların verilerindeki değişiklikleri bildirmesi beklenir. Ravalu, yanlış veya güncelliğini yitirmiş veriyi düzeltmek için makul doğrulama ve güncelleme yöntemleri kullanabilir.

7. İşleme amaçları ve hukuki sebepler

7.1. Ravalu, kişisel verileri aşağıdaki ana faaliyetler için işler. Bir faaliyette birden fazla hukuki sebep bulunabilir; kesin eşleştirme işleme faaliyetine özgü Aydınlatma Metninde gösterilir.

7.2. Ravalu, kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat hukuki sebebine dayandığında amaç, gereklilik ve menfaat dengesi değerlendirmesi yapar; daha az müdahaleci bir yöntem bulunup bulunmadığını göz önünde bulundurur.

8. Müşterinin işlediği üçüncü kişi verileri

8.1. Kullanıcı, kendi ticari faaliyeti kapsamında müşteri, potansiyel müşteri veya diğer üçüncü kişilere ait verileri Platforma ekleyebilir. Bu verilerin işleme amaç ve vasıtalarını Kullanıcı belirliyorsa veri sorumlusu Kullanıcıdır; Ravalu, hizmeti sunmak için müşterinin talimatıyla hareket eden veri işleyendir.

8.2. Kullanıcı, Platforma aktardığı kişisel veriler için geçerli bir işleme şartına sahip olmaktan, ilgili kişileri aydınlatmaktan, gerekliyse rıza veya ticari ileti onayı almaktan, veri doğruluğundan ve ilgili kişi taleplerini karşılamaktan sorumludur.

8.3. Ravalu, veri işleyen olarak müşteri verisini yalnızca sözleşme ve belgelenmiş talimat kapsamında işler; yetkili kişilerle sınırlar, başka müşterilere açmaz, kendi reklam amacıyla satmaz ve ilgili kişi talepleri ile güvenlik olaylarında müşteriye makul destek sağlar.

8.4. Tarafların veri sorumlusu/veri işleyen sıfatları, alt işleyen kullanımı, güvenlik, ihlal bildirimi, saklama, iade ve silme yükümlülükleri uygulanabilir olduğu ölçüde Veri İşleme Sözleşmesinde ayrıntılandırılır.

9. Otomatik sistemler ve Rapor üretimi

9.1. Ravalu, Kullanıcının girdiği bilgiler ve seçtiği parametreler doğrultusunda Rapor, analiz, liste, metin, skor, öneri ve plan üretmek için otomatik sistemlerden ve büyük dil modeli temelli hizmetlerden yararlanabilir.

9.2. Otomatik üretim için aktarılan veri, ilgili işlevin sunulması için gerekli olanla sınırlandırılır. Hizmet sağlayıcılar sözleşme, gizlilik, erişim ve güvenlik kontrollerine tabi tutulur; işleme ve yurt dışı aktarım ayrıntıları Aydınlatma Metninde açıklanır.

9.3. Ravalu, ilgili kişi hakkında hukuki sonuç doğuran veya kişiyi benzer şekilde önemli ölçüde etkileyen kararları yalnızca otomatik sistemlere dayalı olarak vermez. Platform çıktıları destekleyici ve bilgilendiricidir; ticari, hukuki, mali veya düzenlenmiş mesleki kararın nihai değerlendirmesi Kullanıcıya aittir.

9.4. Kullanıcı girdileri ve Rapor içerikleri başka Kullanıcıların erişimine açılmaz. Sistem performansının geliştirilmesinde kimliği belirlenebilir veri yerine mümkün olduğu ölçüde anonim veya toplulaştırılmış ölçümler kullanılır.

10. Verilerin aktarıldığı taraflar

10.1. Kişisel veriler, işleme amacı ve hukuki sebebiyle sınırlı olmak üzere; barındırma, kimlik doğrulama, e-posta iletimi, hata izleme, ödeme, veri sağlama ve otomatik metin üretimi hizmeti sunan tedarikçilere; mali müşavir, hukuk danışmanı ve denetçilere; yetkili kamu kurumlarına, mahkemelere ve icra mercilerine aktarılabilir.

10.2. Her alıcının rolü aynı değildir. Ravalu adına ve talimatıyla hizmet sunan taraflar veri işleyen; ödeme kuruluşu veya kanuni yetkisi kapsamında kendi amaç ve vasıtalarını belirleyen taraflar ise bağımsız veri sorumlusu olabilir. Alıcı grupları ve aktarım amaçları Aydınlatma Metninde faaliyet bazında belirtilir.

10.3. Şirket birleşmesi, bölünmesi, işletme veya varlık devri gibi hukuki işlemlerde kişisel veriler, işlemin değerlendirilmesi ve tamamlanması için gerekli ölçüde, gizlilik ve veri koruma tedbirleri altında yetkili taraflara aktarılabilir. Esaslı bir değişiklikte ilgili kişiler uygun yöntemle bilgilendirilir.

11. Yurt dışına veri aktarımı

11.1. Ravalu, bulut altyapısı, e-posta, veri sağlama ve otomatik içerik üretimi gibi hizmetler nedeniyle kişisel verileri Avrupa Birliği ülkeleri dahil Türkiye dışındaki ülkelerde bulunan hizmet sağlayıcılara aktarabilir veya bu ülkelerde erişilebilir hale getirebilir.

11.2. Yurt dışı aktarım, Kanunun 9. maddesindeki kademeli sisteme göre yürütülür: yeterlilik kararı bulunan ülke, sektör veya uluslararası kuruluşlara aktarım; yeterlilik kararı bulunmadığında uygun güvencelerden birinin sağlanması; bunların yokluğunda ise yalnızca kanunda sınırlı şekilde sayılan ve süreklilik göstermeyen arızi haller.

11.3. Uygun güvence yöntemi olarak faaliyetin niteliğine göre Kurulca ilan edilen standart sözleşmeler, bağlayıcı şirket kuralları, Kurul iznine tabi taahhütnameler veya mevzuatta öngörülen diğer yöntemler kullanılabilir. Standart sözleşme kullanılırsa bildirim ve kayıt yükümlülükleri süresinde yerine getirilir.

11.4. Aktarım öncesinde amaç, veri kategorisi, alıcı rolü, ülke, saklama ve güvenlik koşulları değerlendirilir; veri minimizasyonu uygulanır. Güncel sağlayıcı, bölge ve aktarım dayanağı, işleme faaliyetine özgü Aydınlatma Metninde veya erişilebilir ilgili listede gösterilir.

12. Saklama, silme, yok etme ve anonim hale getirme

12.1. Kişisel veriler, ilgili işleme amacı ve hukuki sebep devam ettiği sürece; ayrıca kanuni saklama ve zamanaşımı süreleri boyunca muhafaza edilir. Sebeplerin tamamı ortadan kalktığında veri resen veya geçerli talep üzerine silinir, yok edilir ya da anonim hale getirilir.

12.2. Canlı sistemde silinen veriler, teknik yedeklerde yedekleme döngüsü tamamlanıncaya kadar sınırlı erişimle bulunabilir; bu veriler olağan iş süreçlerinde yeniden kullanılmaz ve yedekten dönüş halinde silme talimatı tekrar uygulanır.

12.3. Ravalu, saklama sürelerini ve imha işlemlerini risk ve mevzuat değişikliklerine göre gözden geçirir; gerçekleştirilen imha işlemlerini gerektiği ölçüde kayıt altına alır.

13. Veri güvenliği ve ihlal yönetimi

13.1. Ravalu; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için faaliyetinin niteliği ve riskle orantılı teknik ve idari tedbirleri uygular.

13.2. Hiçbir teknik sistem mutlak güvenlik garanti etmez. Ravalu, güncel riskleri izler ve alınan tedbirleri teknolojik gelişmeler, maliyet, verinin niteliği ve işlemenin doğurabileceği etkilerle orantılı biçimde geliştirir.

13.3. Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin öğrenilmesi halinde olay gecikmeksizin değerlendirilir. Mevzuatın gerektirdiği durumda Kurula bildirim, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde; etkilenen kişilere bildirim ise kişiler belirlendikten sonra makul olan en kısa sürede yapılır.

13.4. Kullanıcılar hesap bilgilerini paylaşmamalı, güçlü ve başka hizmetlerde kullanmadıkları şifreler seçmeli ve yetkisiz erişim şüphesini derhal support@ravalu.com adresine bildirmelidir.

14. İlgili kişinin hakları ve başvuru

14.1. Kanunun 11. maddesi uyarınca ilgili kişi, kişisel verisinin işlenip işlenmediğini öğrenme; işlenmişse bilgi talep etme; işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme hakkına sahiptir.

14.2. İlgili kişi ayrıca eksik veya yanlış işlenmiş verinin düzeltilmesini; Kanundaki şartlar çerçevesinde silinmesini veya yok edilmesini; düzeltme, silme ve yok etme işlemlerinin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme hakkına sahiptir.

14.3. İlgili kişi, işlenen verinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz edebilir ve verinin kanuna aykırı işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep edebilir.

14.4. Başvurular; merkez adresine yazılı olarak, ravalu@hs01.kep.tr KEP adresine, güvenli elektronik imza veya mobil imza kullanılarak ya da daha önce Ravalu’ya bildirilmiş ve sistemde kayıtlı e-posta adresinden kvkk@ravalu.com adresine gönderilebilir. Ravalu, başvuruyu sonuçlandırmak için ölçülü kimlik doğrulaması isteyebilir.

14.5. Başvurular talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz sonuçlandırılır. İşlemin ayrıca maliyet gerektirmesi halinde Kurulca belirlenen tarifedeki ücret alınabilir. Ayrıntılı yöntem için Ravalu İlgili Kişi Başvuru Formu kullanılabilir.

14.6. Başvuru, bir Ravalu müşterisinin veri sorumlusu olduğu müşteri verisine ilişkinse talep ilgili müşteriye yönlendirilir; Ravalu veri işleyen olarak müşteriye makul destek sağlar.

15. Çerezler ve ticari elektronik ileti

15.1. Ravalu, Platformun çalışması, oturum ve güvenliğin sağlanması için zorunlu çerez ve benzeri teknolojiler kullanabilir. Analitik, tercih veya reklam amaçlı zorunlu olmayan teknolojiler, gerekli olduğu ölçüde kullanıcının önceden verdiği tercihe dayanır ve onay verilmeden çalıştırılmaz.

15.2. Çerez türleri, sağlayıcıları, amaçları, süreleri ve tercih yönetimi ayrı Çerez Politikasında gösterilir. Kullanıcı zorunlu olmayan çerez tercihlerini sonradan değiştirebilir; tercihin geri alınması, geri almadan önceki işlemenin hukuka uygunluğunu etkilemez.

15.3. Pazarlama, kampanya ve bülten iletileri için gereken kişisel veri işleme ve ticari elektronik ileti onayları ayrı, belirli ve önceden işaretlenmemiş seçeneklerle alınır. Pazarlama onayı vermek, Hesap oluşturmanın veya ücretli hizmetten yararlanmanın zorunlu şartı değildir.

15.4. Onay ve ret kayıtları yürürlükteki mevzuat uyarınca İleti Yönetim Sistemi dahil uygun ortamlarda saklanabilir. Alıcı, her iletide sunulan yöntemle veya Ravalu’ya başvurarak ticari ileti tercihini değiştirebilir. Şifre sıfırlama, güvenlik, fatura, abonelik, yenileme ve hizmet sürekliliği bildirimleri pazarlama iletilerinden ayrıdır.

16. Üçüncü taraf bağlantıları ve çocuklar

16.1. İnternet sitesi veya Platform üçüncü tarafların internet sitelerine bağlantı içerebilir. Ravalu, bu sitelerin kendi veri işleme uygulamalarını kontrol etmez; bağlantı verilen hizmetin aydınlatma ve gizlilik metinleri ayrıca incelenmelidir.

16.2. Ravalu işletmelere ve ticari veya mesleki faaliyet yürüten kişilere yönelik bir hizmettir; 18 yaşından küçüklerin kullanımına sunulmaz. Çocuklara ait verinin Platforma hukuka aykırı biçimde girildiğinin tespiti halinde veri silinir veya erişimi sınırlandırılır ve gerekli diğer tedbirler uygulanır.

17. Yönetişim, denetim ve güncelleme

17.1. Ravalu yönetimi, veri koruma uyumunun ve bu Politikanın uygulanmasının genel sorumluluğunu taşır. İş süreçlerinin sahipleri, yalnızca görevleri için gerekli verilere erişir; teknik ve idari tedbirlerin uygulanması, tedarikçi kontrolleri ve başvuruların takibi yetkili roller arasında paylaştırılır.

17.2. Veri işleme faaliyetleri, yeni ürün veya entegrasyonlar, yüksek riskli değişiklikler, saklama süreleri, alt işleyenler ve yurt dışı aktarımlar uygun aralıklarla gözden geçirilir. Gerekli hallerde risk değerlendirmesi, sözleşme güncellemesi ve ürün tedbiri uygulanır.

17.3. Politika en az yılda bir kez ve mevzuatta, hizmet yapısında, kullanılan sağlayıcılarda veya veri işleme faaliyetlerinde esaslı değişiklik olduğunda gözden geçirilir. Güncel sürüm ravalu.com üzerinde yayımlanır; ilgili kişileri esaslı biçimde etkileyen değişiklikler uygun kanallardan ayrıca duyurulabilir.

17.4. Politika hakkında soru ve öneriler ravalu@ravalu.com; kişisel veri haklarına ilişkin başvurular kvkk@ravalu.com adresine iletilebilir.

— RAVALU —