Primebahis Kişisel Verilerin Korunması ve Gizlilik Politikası
Primebahis gizlilik politikası; veri işleme amaçlarını, güvenlik ve saklama ilkelerini KVKK kapsamında açıklar. Kişi hakları ve başvuru yollarına da yer verir.
Kapsam ve temel yaklaşım
Bu metin, kullanıcı mahremiyetini yalnızca teknik bir konu olarak değil, güvenilir dijital iletişimin temel koşulu olarak ele alır. Sayfanın ziyaret edilmesi, teknik kayıtların oluşması ve sayfada gerçekten sunulan iletişim işlevlerinin kullanılması sırasında kişisel verilerin hangi genel ilkeler çerçevesinde ele alınması gerektiğini açıklar. Kişisel veri, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, iletişim bilgisi, çevrim içi tanımlayıcı, IP adresi, cihaz bilgisi ve kullanıcı tarafından gönderilen mesajlar bağlama göre kişisel veri niteliği taşıyabilir. Her veri her zaman toplanmaz; kapsam gerçek özellikler ve geçerli hukuki şartlarla sınırlı olmalıdır.
İşlenebilecek veri kategorileri
Sayfanın gerçek işlevlerine bağlı olarak sınırlı teknik kayıtlar, cihaz ve tarayıcı bilgileri, IP adresi, erişim zamanı, görüntülenen sayfalar, hata kayıtları ve güvenlik günlükleri işlenebilir. Kullanıcı bir iletişim formu gönderirse mesajın içeriği ile kendi isteğiyle paylaştığı isim veya iletişim bilgisi de işleme konusu olabilir. Hesap, ödeme veya kimlik doğrulama işlevleri mevcut değilse bunlara ait veriler toplanıyormuş gibi varsayım yapılamaz. Böyle bir işlev gerçekten sunuluyorsa veri kategorileri, amaçları ve hukuki sebepleri ayrıca açıklanmalıdır. Gereksiz veri istemekten kaçınılması veri minimizasyonunun temel sonucudur.
Verilerin elde edilme yolları
Veriler kullanıcının doğrudan girdiği bilgilerden, tarayıcının otomatik ilettiği teknik kayıtlardan veya sayfanın güvenli çalışması için kullanılan altyapı bileşenlerinden elde edilebilir. Otomatik kayıtlar bağlantı zamanı, hata kodu, tarayıcı türü ve güvenlik olaylarını içerebilir. Üçüncü taraf hizmetleri devredeyse bu hizmetlerin hangi bilgiyi hangi amaçla aldığı ayrıca değerlendirilmelidir. Kullanıcının açıkça talep etmediği reklam iletişimi için iletişim bilgisinin kullanılması hizmetin zorunlu parçası gibi gösterilmemelidir.
İşleme amaçları ve veri minimizasyonu
Kişisel veriler yalnızca belirli ve meşru amaçlar için; amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmelidir. Gerçek kurulumda mevcut olduğu ölçüde bu amaçlar sayfanın teknik olarak sunulması, güvenliğin korunması, arıza ve kötüye kullanımın incelenmesi, kullanıcı talebinin yanıtlanması, hukuki yükümlülüklerin yerine getirilmesi ve hakların tesisi veya korunması olabilir. Bir verinin toplanmış olması onun sınırsız biçimde kullanılabileceği anlamına gelmez. İlk amaç değişirse yeni işlem için ayrıca hukuki değerlendirme yapılmalı; uyumsuz, aşırı veya belirsiz kullanım engellenmelidir.
Hukuki sebepler ve temel ilkeler
6698 sayılı Kanun; hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve gerektiğinde güncellik, belirli ve meşru amaç, amaçla bağlantılı ve ölçülü olma, ilgili mevzuatta öngörülen veya amaç için gerekli süre kadar muhafaza ilkelerini benimser. İşleme için açık rıza her durumda tek hukuki sebep değildir; kanunda sayılan diğer işleme şartlarından biri uygulanabilir. Açık rızaya dayanılan işlemde rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalıdır. Hizmetin temel işleviyle ilgisi olmayan pazarlama izni zorunlu koşul gibi sunulmamalıdır.
Verilerin paylaşılması ve hizmet sağlayıcılar
Kişisel veriler yalnızca hukuki şartların bulunduğu ve amaç için gerekli olduğu ölçüde yetkili kamu kurumlarıyla, güvenlik veya barındırma hizmeti sağlayan veri işleyenlerle ya da ilgili işlemin tamamlanması için zorunlu alıcılarla paylaşılabilir. Bir hizmet sağlayıcının veriye erişmesi, veriyi kendi amacı için serbestçe kullanabileceği anlamına gelmez. Veri sorumlusu kendi adına işlem yapan hizmet sağlayıcılarla ilişkilerinde uygun güvenlik ve gizlilik tedbirlerinin alınmasını sağlamalıdır. Üçüncü taraflara aktarımda alıcı grubu, aktarım amacı ve hukuki dayanak belirlenmelidir.
Yurt dışına veri aktarımı
Teknik altyapı veya hizmet sağlayıcı nedeniyle kişisel verilerin Türkiye dışındaki bir alıcıya aktarılması söz konusuysa aktarım 6698 sayılı Kanun’un 9. maddesindeki şartlara uygun olmalıdır. 2024 yılında değiştirilen düzenleme; yeterlilik kararı, uygun güvenceler ve kanunda sayılan sınırlı arızi aktarım hâlleri gibi mekanizmalar öngörür. Bir sunucunun yurt dışında bulunması veya küresel bir yazılımın kullanılması tek başına aktarımı hukuka uygun hâle getirmez. Aktarımın amacı, veri kategorileri, alıcı ve uygulanan güvence değerlendirilmelidir. Yurt dışına aktarım bulunmadığı doğrulanmadan kesin güvence verilmemelidir.
Şeffaf bilgilendirme ve kullanıcı beklentisi
Aydınlatma metninde veri sorumlusunun kimliği, işleme amacı, aktarım yapılabilecek alıcı grupları, toplama yöntemi ve hukuki sebep ile ilgili kişi hakları belirtilmelidir. Bilgiler genel ve anlaşılmaz cümlelerin arkasına saklanmamalı; veri kategorileri ve amaçlar arasında açık bağ kurulmalıdır. Güvenlik kaydının neden tutulduğu, iletişim mesajının nasıl yanıtlandığı ve istatistik bilgisinin hangi ölçüde anonimleştirildiği ayrı ayrı anlatılabilir. Bilgilendirme kolay bulunmalı ve kullanıcının kararından önce erişilebilir olmalıdır.
Hesap ve oturum işlevleri hakkında açıklık
Bir internet sayfasında hesap oluşturma veya oturum açma işlevi bulunuyorsa bu işlevle bağlantılı veriler yalnızca gerçekten gerekli olduğu ölçüde işlenmelidir. Kimlik doğrulama kayıtları, erişim zamanı, başarısız oturum denemeleri ve güvenlik bildirimleri farklı amaçlara hizmet edebilir. Bir işlev mevcut değilse politika böyle bir hesap sisteminin bulunduğunu ima etmemelidir. Kullanıcıdan parola veya doğrulama kodu isteyen sahte mesajlara karşı dikkatli olunmalı; beklenmedik talepler bağımsız şekilde doğrulanmalıdır. Parolalar açık metin hâlinde saklanmamalı ve erişim yetkileri sınırlandırılmalıdır.
İletişim kayıtları ve talep yönetimi
Kullanıcı bir soru, itiraz veya veri talebi gönderdiğinde mesajın içeriği ve yanıt verebilmek için gereken iletişim bilgisi işlenebilir. Bu kayıtlar talebin takibi, tekrar eden başvuruların ayrıştırılması ve hukuki yükümlülüklerin yerine getirilmesi için gerekli süre boyunca tutulmalıdır. Mesaj içeriğinde ödeme parolası, kart güvenlik kodu, tek kullanımlık şifre veya gereksiz kimlik belgesi paylaşılmamalıdır. Başvuruya erişen kişilerin yetkisi görevleriyle sınırlı olmalı; kayıtlar ilgisiz tanıtım listelerine aktarılmamalıdır.
Otomatik değerlendirme ve insan denetimi
Teknik sistemler güvenlik olaylarını sınıflandırmak, bot trafiğini ayırt etmek veya hataları belirlemek için otomatik analiz yapabilir. Böyle bir analiz tek başına kişinin aleyhine önemli bir sonuç doğuruyorsa KVKK kapsamındaki itiraz hakkı dikkate alınmalıdır. Otomatik işaretleme hatalı veri, paylaşılan cihaz veya olağan dışı bağlantı nedeniyle ortaya çıkabilir. Önemli kararların yalnızca açıklanmayan bir puana veya algoritmik tahmine dayanması uygun değildir. Kullanıcı gerektiğinde insan incelemesine imkân tanınmasını talep edebilir.
Pazarlama ile hizmet bildirimlerinin ayrılması
Hizmetin güvenliği veya kullanıcının açık talebi için gerekli bildirimler ile kampanya, reklam ve tanıtım iletileri aynı kategori olarak değerlendirilmemelidir. Bir kullanıcının veri işleme hakkında bilgilendirilmesi otomatik olarak pazarlama izni verdiği anlamına gelmez. Ticari elektronik ileti gönderimi için uygulanması gereken özel mevzuat ve izin koşulları ayrıca gözetilmelidir. Hizmete erişim veya temel bir talebin yanıtlanması ilgisiz reklam iznine bağlanmamalıdır.
Güvenli iletişim ve hesap bilgilerinin korunması
Kullanıcı kişisel verilerini paylaşırken yalnızca işlem için gerekli bilgileri vermelidir. Parola, tek kullanımlık doğrulama kodu ve kart güvenlik kodu gibi sır niteliğindeki bilgiler açık mesajlarda gönderilmemelidir. Beklenmeyen bilgi taleplerinde istenen verinin amacı değerlendirilmelidir. Ortak kullanılan cihazlarda oturum kapatılmalı, tarayıcıya kaydedilen parolalar kontrol edilmeli ve cihaz yazılımı güncel tutulmalıdır.
Ortak cihazlarda kişisel verilerin korunması
Kullanıcı kişisel bilgilerini ortak kullanılan bilgisayar, tablet veya telefonda görüntülediğinde oturum ve tarayıcı güvenliğine dikkat etmelidir. İşlem tamamlandığında açık oturum kapatılmalı, indirilen belgeler ortak klasörlerde bırakılmamalı ve tarayıcıya kaydedilen parolalar kontrol edilmelidir. Ekran kilidi kullanmak, cihaz yazılımını güncel tutmak ve güvenilmeyen eklentileri yüklememek yetkisiz erişim riskini azaltır. Bu önlemler veri sorumlusunun teknik ve idari tedbirlerinin yerine geçmez; kişisel güvenliği destekler. Şüpheli erişim fark edildiğinde parolalar güvenli bir cihazdan yenilenmeli ve ilgili finansal hesaplar da gözden geçirilmelidir.
Veri taleplerinin kapsamı ve yanıt süreci
Kişisel verilere ilişkin talep hazırlanırken hangi hakkın kullanıldığının açıkça belirtilmesi başvurunun doğru değerlendirilmesine yardımcı olur. Erişim talebinde hangi bilgi veya işlem kaydının öğrenilmek istendiği; düzeltme talebinde hatalı ve doğru bilginin ne olduğu; silme veya yok etme talebinde verinin hangi işlemle bağlantılı bulunduğu açıklanabilir. Başvuru sırasında yalnızca kimlik doğrulaması ve talebin değerlendirilmesi için gereken bilgiler paylaşılmalıdır. Talep alındığında kapsamı, kimlik doğrulama ihtiyacı ve uygulanabilecek yasal saklama yükümlülükleri birlikte değerlendirilir.
İletişim taleplerinde veri minimizasyonu
İletişim sırasında gönderilen mesajlar talebin anlaşılması ve yanıtlanması için gerekli olduğu ölçüde incelenmelidir. Mesaj içinde yer alan üçüncü kişilere ait kişisel bilgiler taleple ilgisi bulunmuyorsa kaydedilmemeli veya başka amaçla kullanılmamalıdır. Ek belge istenmesi gerekiyorsa belgenin amacı açıklanmalı ve gereksiz bölümlerin paylaşılmasından kaçınılmalıdır. Talep tamamlandığında başvuru kayıtları, hukuki yükümlülükler ve tekrar başvuru yönetimi için gerekli süreyle sınırlı tutulmalıdır.
Veri doğruluğu ve kullanıcı katkısı
Kullanıcıdan alınan bilgiler yanlış veya eksik olduğunda işlem sonucunun da yanlış olması mümkündür. Kullanıcı bir talep gönderirken yalnızca doğru ve gerekli bilgileri vermeli, başka bir kişiye ait veriyi izni olmadan iletmekten kaçınmalıdır. Yanlış kayıt fark edilirse düzeltme talebi ilgili veri sorumlusuna yöneltilebilir. Düzeltme sürecinde başvuru sahibinin kimliği ölçülü şekilde doğrulanmalı ve düzeltmenin hangi sistemlere yansıtıldığı kontrol edilmelidir.
Politikanın güncelliği ve düzenli değerlendirme
Primebahis hakkında sunulan gizlilik açıklamalarının güvenilir olması için metin ile fiilî veri akışı düzenli olarak karşılaştırılmalıdır. Yeni bir iletişim aracı, güvenlik hizmeti veya ölçüm teknolojisi eklendiğinde veri kategorileri ve işleme amaçları yeniden değerlendirilmelidir. Kullanıcıya verilen bilgi teknik kurulumun gerisinde kalmamalıdır. Önemli değişikliklerde aydınlatma metni güncellenmeli ve kolay erişilebilir tutulmalıdır. Eski sürümlerin kayıt altına alınması hangi açıklamanın hangi dönemde geçerli olduğunu göstermeye yardımcı olur.
Sık Sorulan Sorular
Kişisel verilerimin silinmesini isteyebilir miyim?
Kanuni saklama yükümlülükleri ve KVKK’nın 7. maddesi çerçevesinde, işleme sebebi ortadan kalktığında silme, yok etme veya anonimleştirme talep edilebilir.
Verilerim yurt dışına aktarılabilir mi?
Yalnızca 6698 sayılı Kanun’un 9. maddesinde yer alan şartlar ve gerekli güvenceler sağlandığında aktarım yapılabilir. Her aktarım ayrıca değerlendirilmelidir.
Başvuruma ne kadar sürede yanıt verilir?
KVKK’nın 13. maddesi uyarınca veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır.