E-İmza Satış ve Başvuru Süreci KVKK Aydınlatma Metni

1. Veri Sorumlusu

Codeck Yazılım A.Ş. (imzala.org). İmzala, Codeck Yazılım A.Ş. markasıdır. İletişim: [email protected]. Bu metin, imzala.org üzerinden yürütülen e-imza (Nitelikli Elektronik Sertifika) satış ve başvuru sürecine özgüdür; genel KVKK Aydınlatma Metni ve Gizlilik Politikası ile birlikte uygulanır.

2. İşlenen Kişisel Veri Kategorileri

• Kimlik verileri: ad, soyad, T.C. kimlik numarası, doğum tarihi. Doğum tarihiniz, kimliğinizin nüfus kayıtlarıyla doğrulanması ve sertifika başvurunuzun tamamlanması için gereklidir; sipariş sırasında girilmemişse başvuru öncesinde telefonla teyit edilir.
• Kimlik doğrulama verileri: ad, soyad, T.C. kimlik numarası ve doğum tarihinizin Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü'nün internet sitesindeki kamuya açık doğrulama hizmetinde kontrol edilmesi. Kontrol sonucu sistemlerimizde ayrı bir kayıt olarak tutulmaz. Ayrıca sertifika başvurunuz sırasında ESHS'nin cep telefonunuza gönderdiği ve telefon görüşmesinde bize ilettiğiniz doğrulama kodu da bu kategoridedir; kod sistemlerimize kaydedilmez, yalnız görüşmenin ses kaydında yer alır.
• İletişim verileri: e-posta adresi, telefon numarası.
• Teslimat verileri: il, ilçe, açık teslimat adresi.
• Fatura verileri: fatura tipi; kurumsal faturada firma unvanı, vergi numarası, vergi dairesi.
• Ses kaydı: sipariş sonrası yapılan telefon görüşmesinin ses kaydı ile çağrı kaydı bilgileri (tarih, saat, süre, arayan ve aranan numara).
• Pazarlama/reklam ölçümü (yalnız çerez tercihinde izin verdiyseniz): reklam tıklama ve çerez kimlikleri (Google Analytics istemci kimliği, Google Ads tıklama kimliği, Meta çerez kimlikleri), pazarlama çerezi tercihiniz.
• İşlem ve işlem güvenliği verileri: sipariş ve ödeme durumu kayıtları, onay anındaki IP adresi ve tarayıcı bilgisi, onaylanan metinlerin sürümü ve özeti (hash), onay zamanı.

T.C. kimlik numaranız sistemlerimizde şifreli olarak saklanır; ekranlarda ve kayıtlarda maskeli gösterilir.

3. İşleme Amaçları

Verileriniz; e-imza (NES) siparişinizin alınması, sözleşmenin kurulması ve ifası, sertifika başvurunuzun işleme alınması ve yürütülmesi, kimlik doğrulama sürecinin koordinasyonu, USB cihazın teslimatı, ödemenin alınması ve faturalandırma, sipariş durumu bildirimleri ile destek taleplerinin karşılanması ve hukuki yükümlülüklerin yerine getirilmesi amaçlarıyla işlenir. Ayrıca, yalnız izin verdiyseniz, reklam kampanyalarının satışa etkisinin ölçülmesi amacıyla işlenir.

Siparişinizin ardından, kimlik bilgilerinizi teyit etmek ve kurulumu tamamlamak için sizinle telefonla iletişime geçeriz. Ad, soyad, T.C. kimlik numarası ve doğum tarihinizi Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü'nün internet sitesi üzerinden kontrol ederiz. ESHS'nin cep telefonunuza gönderdiği doğrulama kodunu sizi aradığımızda telefonda bize iletirsiniz; kodu yalnız ESHS başvurunuzu tamamlamak için kullanırız. Kod birkaç dakika geçerlidir ve sistemlerimize kaydedilmez; yalnız görüşmenin ses kaydında yer alır. Başvurudan sonra e-Devlet üzerinden e-Kayıt onayını verir ve kimlik kartınızı NFC ile okutursunuz; bu adımlar sizinle ESHS ve e-Devlet arasında yürür, NFC ile okunan kimlik verisi ve e-Devlet onay bilgisi İmzala'ya iletilmez.

Bu telefon görüşmeleri ses kaydına alınır. Kaydın amacı, ESHS başvurusuna ilişkin talebinizin ve doğrulama kodunu bize sizin ilettiğinizin ispatı ile hatalı işlem ve itirazların çözümüdür. Görüşmenin başında kayıt alındığı sesli olarak bildirilir. Doğrulama kodu yalnız kayıtlı telefon görüşmesinde alındığından, kayıt yapılmasını istemezseniz sertifika başvurunuz tamamlanamaz. Bu durumda siparişinizi e-Devlet onayından önce iptal edebilirsiniz. Kurulum adımlarını ise kayıtsız olarak [email protected] üzerinden yazışarak yürütebilirsiniz. Kayıtlar pazarlama, profilleme veya personel performans değerlendirmesi amacıyla kullanılmaz.

Kurulumu birlikte tamamlamak için, onayınızla ve sizin başlattığınız bir uzak bağlantı (ekran paylaşımı) oturumu kurulabilir. Bu oturumlarda AnyDesk (AnyDesk Software GmbH, Almanya) uygulamasını kullanırız; bağlantı AnyDesk'in yurt dışındaki sunucuları üzerinden kurulur. Oturum boyunca yalnızca kurulumun yapıldığı ekranlar görüntülenir; oturum kayda alınmaz, ekran görüntüsü alınmaz ve cihazınızdan dosya kopyalanmaz. Oturumu dilediğiniz an sonlandırabilirsiniz. Oturumun yapıldığına ilişkin tarih, saat ve destek kaydı tutulur. Nitelikli sertifikanızın kimlik doğrulaması bu oturumda yapılmaz; e-Devlet üzerinden verdiğiniz onayı ve kimlik doğrulama adımlarını bizzat siz kendi cihazınızdan tamamlarsınız.

4. Hukuki Sebepler

• KVKK m.5/2-c: bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması (sipariş, başvuru, teslimat, destek). Bu, sürecin ana hukuki sebebidir.
• KVKK m.5/2-ç: veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması (fatura ve ticari kayıtlar, 5070 sayılı Kanun ve ilgili mevzuat gereklilikleri).
• KVKK m.5/2-f: temel hak ve özgürlüklerinize zarar vermemek kaydıyla meşru menfaat (işlem güvenliği, kötüye kullanımın önlenmesi, onay kayıtlarının ispatı, talep ve onayınızın (doğrulama kodunun sizin tarafınızdan iletildiğinin) ispatı ve itirazların çözümü).
• KVKK m.5/1 (açık rıza): yalnız reklam ölçümü için, çerez tercihlerinizde pazarlama çerezlerine izin vermeniz.

Bu süreçte tek açık rıza, çerez tercihlerinizde pazarlama çerezlerine izin vermenizdir. İzin verdiyseniz, ödeme tamamlandığında reklam ölçümü için e-posta adresiniz, telefon numaranız, adınız ve soyadınız geri döndürülemez biçimde (SHA-256) özetlenerek; IP adresiniz, tarayıcı bilginiz, reklam çerezi kimlikleriniz ve sipariş numaranızdan türetilen takma ad kimlik ise olduğu gibi Google LLC ve Meta Platforms'a (yurt dışı) iletilir. İzin vermediyseniz bu bilgiler iletilmez. İzninizi çerez ayarlarından dilediğiniz zaman geri çekebilirsiniz; geri çekme siparişinizi etkilemez. Size gönderilen e-postalar siparişinize ilişkin işlemsel bildirimlerdir; pazarlama iletisi izni toplanmaz.

5. Aktarılan Alıcı Grupları

Verileriniz yalnızca amaçla sınırlı olarak aşağıdaki alıcı gruplarına aktarılır. Aktarımlar, Kanun'un 8. maddesi uyarınca ve yukarıda 4. maddede belirtilen hukuki sebeplere dayanılarak yapılır: sertifika başvurusunun ESHS'ye iletilmesi ile USB cihazın kargoya verilmesi sözleşmenin ifası için zorunludur (m.5/2-c); sertifikanın düzenlenmesine ilişkin mevzuattan doğan yükümlülükler bakımından m.5/2-ç de uygulanır.

• Kimlik bilgilerinin kontrolü amacıyla: Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü'nün kamuya açık doğrulama hizmetine (ad, soyad, T.C. kimlik numarası, doğum tarihi).
• Sertifika başvurunuzun işleme alınması amacıyla: BTK'nın yayımladığı listede yer alan Elektronik Sertifika Hizmet Sağlayıcısı (ESHS) Arksigner Yazılım ve Donanım Sanayi Ticaret A.Ş.'ye (ARKİMZA) (ad, soyad, T.C. kimlik numarası, doğum tarihi verdiyseniz, telefon, e-posta ve başvuru için gereken adres bilgisi) ve nitelikli sertifika tedarik ve başvuru kanalı iş ortağımıza (aynı veriler). ESHS, sertifikayı düzenlerken 5070 sayılı Kanun kapsamında kendi aydınlatma yükümlülüğünü ayrıca yerine getirir.
• Teslimat amacıyla: anlaşmalı kargo firmamız Hepsijet'e (ad, soyad, telefon, teslimat adresi).
• Ödeme amacıyla: ödeme kuruluşu PayTR'a (kart bilgileriniz doğrudan PayTR tarafından alınır; İmzala kart bilgilerinizi görmez).
• Telefon görüşmesi ve ses kaydı amacıyla: bulut santral hizmeti aldığımız NetGSM'e (Türkiye). Ses kayıtları sağlayıcının Türkiye'deki sistemlerinde tutulur; yurt dışına aktarılmaz.
• Bildirimler amacıyla: e-posta iletim hizmeti sağlayıcımıza.
• Uzak destek oturumu kurulursa: uzak bağlantı hizmeti sağlayıcımız AnyDesk Software GmbH'ye (Almanya). Aktarılan veri, oturum süresince ekranınızda görünen içerik ile bağlantı kaydıdır (tarih, saat, oturum kimliği). Oturum kayda alınmaz.
• Kurulum randevusunu çevrim içi takvimden alırsanız: randevu planlama hizmeti sağlayıcımız Google LLC'ye (Google Takvim, ABD). Randevu sayfasına adınızı, e-posta adresinizi ve seçtiğiniz gün ile saati siz girersiniz; sayfa açıldığında IP adresiniz ve tarayıcı bilginiz Google'a iletilir.
• Kurulum randevusu için WhatsApp üzerinden yazarsanız: WhatsApp'a (Meta Platforms Ireland Ltd., İrlanda; küresel altyapı). Telefon numaranız, profil adınız ve yazışma içeriği destek hattımıza ulaşır; yalnızca randevunuzun planlanması ve destek talebinizin karşılanması için kullanılır.
• Reklam ölçümü için, yalnız çerez tercihinde izin verdiyseniz: Google LLC'ye (Google Analytics, Google Ads, ABD) ve Meta Platforms Ireland Ltd. / Meta Platforms, Inc.'e (reklam ölçümü). Aktarılan veri 4. maddedeki özetlenmiş iletişim ve ad bilgileri, IP adresi, tarayıcı bilgisi, reklam çerezi kimlikleri ve sipariş numaranızdan türetilen takma ad kimliktir.
• Kanuni yükümlülük halinde: yetkili kamu kurum ve kuruluşlarına.

ESHS ayrı bir veri sorumlusudur; sertifika başvurunuza ilişkin kendi aydınlatmasını başvuru sırasında ayrıca yapar.

Yurt dışına aktarım: sipariş, başvuru, teslimat ve ödeme adımlarında yurt dışına kişisel veri aktarılmaz. Yurt dışına aktarım yalnızca aşağıdaki isteğe bağlı destek kanallarında söz konusudur. Talebiniz üzerine uzak destek oturumu kurulduğunda bağlantı AnyDesk'in yurt dışındaki sunucuları üzerinden geçer. Bu aktarım arızi niteliktedir ve destek talebinizin karşılanması için zorunlu olduğu ölçüde, Kanun'un 9. maddesindeki istisna hükümlerine dayanılarak yapılır. Uzak destek oturumu kurulmasını istemezseniz kurulum adımlarını telefonda sözlü anlatımla da tamamlayabiliriz; bu tercihiniz siparişinizi etkilemez.

Çerez tercihlerinizde pazarlama çerezlerine izin verirseniz, reklam ölçümü için yukarıda sayılan veriler yurt dışındaki Google ve Meta sistemlerine iletilir. Bu aktarım, Kanun'un 9. maddesi uyarınca açık rızanıza dayanır; izin vermezseniz bu veriler iletilmez ve bu tercihiniz siparişinizi etkilemez. İzninizi çerez ayarlarından dilediğiniz zaman geri çekebilirsiniz.

Kurulum randevunuzu çevrim içi takvimden (Google Takvim) ya da WhatsApp üzerinden almayı seçerseniz, bu hizmetlerin sağlayıcıları yurt dışında bulunduğundan randevu için paylaştığınız bilgiler yurt dışına aktarılır. Bu kanallar isteğe bağlıdır: randevuyu telefonla ya da [email protected] adresine yazarak da alabilirsiniz; bu tercihiniz siparişinizi etkilemez. Sağlayıcılara ve her aktarımın dayanağına ilişkin ayrıntı Alt İşleyenler sayfasındadır; WhatsApp kanalında uygun güvence süreci hâlen yürütülmektedir.

6. Saklama Süreleri

• Tamamlanmış siparişler: sipariş, sözleşme ve fatura kayıtları, ilgili mevzuattaki azami süreler uyarınca 10 yıl saklanır.
• Ödemesi tamamlanmayan siparişler: sipariş kaydı 30 gün içinde silinir.
• Telefon görüşmesi ses kaydı: görüşme tarihinden itibaren 1 yıl saklanır, sonra silinir. Kayda konu bir itiraz, şikâyet veya uyuşmazlık varsa yalnız o kayıt, uyuşmazlık sonuçlanana kadar saklanır.

7. Haklarınız (KVKK m.11)

Kişisel verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, işleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhinize çıkan sonuca itiraz etme ve zarara uğramanız halinde tazminat talep etme haklarına sahipsiniz.

Başvurularınızı [email protected] adresine iletebilirsiniz.

Versiyon: 1.8 · Yürürlük: 2 Kasım 2026 (v1.0: 15 Ağustos 2026, v1.1: 4 Eylül 2026, v1.2: 28 Eylül 2026, v1.3, v1.4 ve v1.5: 29 Eylül 2026, v1.6: 12 Ekim 2026, v1.7: 25 Ekim 2026). v1.2: nüfus kayıtlarıyla kimlik doğrulama, sipariş sonrası telefon görüşmesi ve uzak destek oturumu açıkça yazıldı; doğum tarihinin gerekliliği düzeltildi. v1.3: uzak destek aracı (AnyDesk) adıyla yazıldı, alıcı listesine eklendi ve yurt dışına aktarım bölümü buna göre düzeltildi. v1.4: telefon görüşmelerinin ses kaydına alınacağı yazıldı (veri kategorisi, amaç, görüşme başında sesli bilgilendirme, alıcı olarak NetGSM, 1 yıl saklama). v1.5: kaydın kimlik teyidinin ispatı için zorunlu olduğu ve görüşme boyunca kapatılamayacağı yazıldı; kayıt istemeyen kullanıcı için telefon yerine yazılı kanal alternatifi gösterildi. v1.6: uzaktan kurulum desteği randevusunun çevrim içi takvim (Google Takvim) ya da WhatsApp üzerinden alınabildiği, bu kanalların isteğe bağlı olduğu, alıcıları ve yurt dışına aktarımı yazıldı. Bu kanalları kullanırsanız WhatsApp profil adınız, yazışma içeriği ve seçtiğiniz randevu günü ile saati de işlenir. v1.7: çerez tercihlerinde pazarlama çerezlerine izin verdiyseniz, ödeme sonrasında reklam ölçümü için iletilen veriler, açık rıza hukuki sebebi ve yurt dışındaki alıcılar (Google, Meta) yazıldı. v1.8: ad, soyad, T.C. kimlik numarası ve doğum tarihinin Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü'nün internet sitesi üzerinden kontrol edildiği; ESHS'nin cep telefonunuza gönderdiği doğrulama kodunu yalnız telefon görüşmesinde bize ilettiğiniz, kodun yalnız ESHS başvurusu için kullanıldığı, sistemlerimize kaydedilmeyip yalnız görüşmenin ses kaydında yer aldığı; e-Devlet e-Kayıt onayı ve NFC ile okunan kimlik verisinin İmzala'ya iletilmediği yazıldı. Ses kaydının amacı, talebinizin ve doğrulama kodunu sizin ilettiğinizin ispatı olarak yeniden yazıldı; kayıt istemezseniz başvurunun tamamlanamayacağı, siparişi e-Devlet onayından önce iptal edebileceğiniz ve kurulum adımlarını kayıtsız olarak yazışarak yürütebileceğiniz belirtildi; meşru menfaat amacı buna göre güncellendi. Kimlik doğrulama verileri kategorisi, kontrolün kamuya açık doğrulama hizmetinde yapıldığı ve sonucun ayrı kayıt olarak tutulmadığı biçiminde düzeltildi; doğrulama kodu bu kategoriye eklendi. Alıcı gruplarına kimlik bilgilerinin kontrolü için Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü'nün kamuya açık doğrulama hizmeti eklendi.

Sürüm kimliği: 2026-11-02