1. Giriş
İşbu Aydınlatma Metni, 6698 Sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK" veya "Kanun") 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ kapsamında, "Veri Sorumlusu" sıfatıyla hareket eden Lirbon Teknoloji ve Elektronik Ticaret A.Ş. ("sanalpos.com" veya "Şirket") tarafından hazırlanmıştır.
Şirketimiz, https://www.sanalpos.com alan adlı web sitesi, mobil uygulamalar ve bunlarla bağlantılı tüm çevrimiçi/çevrimdışı kanallar aracılığıyla ödeme aracılık hizmetleri ve ödeme teknolojileri altyapısı sunmaktadır. sanalpos.com; bir yandan TCMB tarafından yetkilendirilmiş ödeme kuruluşları ile iş ortaklığı yaparak üye iş yerlerine sanal POS hizmetleri sağlayan bir ödeme geçidi (payment gateway) olarak, diğer yandan kendi sanal POS anlaşmalarına sahip üye iş yerlerine POS yönetimi, akıllı yönlendirme ve ödeme altyapısı teknolojileri sunan bir teknoloji sağlayıcısı olarak faaliyet göstermektedir.
Kişisel verilerinizin korunması ve güvenliğinin sağlanması en önemli önceliğimizdir. Bu metin, kişisel verilerinizin hangi amaçlarla işlendiği, kimlere ve hangi amaçla aktarılabileceği, toplanma yöntemi ve hukuki sebebi ile KVKK kapsamındaki haklarınız hakkında sizleri bilgilendirmek amacıyla hazırlanmıştır.
2. Veri Sorumlusunun Kimliği
| Bilgi | Detay |
|---|---|
| Şirket Unvanı | Lirbon Teknoloji ve Elektronik Ticaret A.Ş. |
| Ticari Marka | sanalpos.com |
| Adres | A. Nafiz Gürman Mah. Gen. Ali Rıza Gürcan Cd. Platform Suit B Blok No:27/81, Güngören/İstanbul |
| MERSIS No | 0388194385900001 |
| Ticaret Sicil No | 1092335 |
| Vergi Dairesi / No | Merter Vergi Dairesi / 3881943859 |
| E-posta | [email protected] |
| KEP | [email protected] |
| Web Sitesi | https://www.sanalpos.com |
3. İşlenen Kişisel Veri Kategorileri
3.1. Ödeme Yapan Bireysel Kullanıcılar (Müşteriler)
| Veri Kategorisi | Alt Başlıklar / Açıklama |
|---|---|
| Kimlik Bilgileri | Ad, soyad |
| İletişim Bilgileri | Telefon numarası (ülke kodu dahil), e-posta adresi |
| Adres Bilgileri | Ülke, şehir, ilçe, açık adres, posta kodu |
| Finansal Bilgiler | Maskelenmiş kart numarası (ilk 6 ve son 4 hane), kart sahibi adı, kart markası (Visa, Mastercard vb.), taksit bilgisi. NOT: CVV/CVC güvenlik kodu ve kart şifresi (PIN) hiçbir koşulda saklanmaz. Kart numarası ve son kullanma tarihi yalnızca kart sahibinin açık rızasıyla (kayıtlı kart/abonelik) şifreli olarak saklanabilir. |
| İşlem Bilgileri | İşlem tutarı, para birimi, işlem tarihi/saati, işlem durumu, sipariş numarası, ödeme yöntemi (3D Secure/Non-3D), taksit sayısı |
| Ağ ve Oturum Bilgileri | IP adresi, bağlantı tarih-saat bilgisi, coğrafi konum (ülke, şehir), internet servis sağlayıcısı (ISP), ASN bilgisi |
| Cihaz ve Tarayıcı Verileri | Cihaz türü (mobil/masaüstü), işletim sistemi ve sürümü, tarayıcı adı ve sürümü, kullanıcı aracı (User-Agent) bilgisi, ekran çözünürlüğü |
| Güvenlik ve Dolandırıcılık Önleme Verileri | VPN/Proxy kullanım tespiti, gizli mod (incognito) kullanımı, bot aktivitesi tespiti, cihaz emülatörü tespiti, jailbreak/root tespiti, sanal makine tespiti, konum sahteciliği tespiti, şüphe skoru (suspect score), işlem yoğunluğu (velocity) verileri |
| Dijital Parmak İzi (Fingerprint) | Ziyaretçi kimliği (visitor ID), istek kimliği (request ID), risk skoru, ziyaret süresi, ilk/tekrar ziyaret bilgisi, yönlendirme URL'si (referrer) |
| İletişim Formu Verileri | Ad soyad, e-posta, konu, mesaj içeriği, IP adresi, tarayıcı bilgisi |
3.2. Üye İş Yerleri (Kurumsal Kullanıcılar)
| Veri Kategorisi | Alt Başlıklar / Açıklama |
|---|---|
| Firma Bilgileri | Firma unvanı, ticari marka/mağaza adı, sektör bilgisi, şirket türü (bireysel/kurumsal), web sitesi adresi |
| Vergi ve Resmi Bilgiler | Vergi dairesi, vergi numarası |
| İletişim Bilgileri | Firma telefonu, firma e-postası |
| Adres Bilgileri | Ülke, şehir, ilçe, açık adres |
| Finansal Bilgiler | IBAN bilgisi, banka adı, hesap sahibi adı, tahmini aylık ciro |
| Yetkili Kişi Bilgileri | Ad, soyad, e-posta, telefon numarası, T.C. kimlik numarası (gerekli hallerde), doğum tarihi |
| Hesap Güvenlik Bilgileri | Şifrelenmiş parola, iki faktörlü doğrulama (2FA) tercihi, oturum bilgileri, IP adresi |
| Başvuru ve Kimlik Tespiti Belgeleri (KYC) | Dijital onboarding başvurusu kapsamında yüklenen kimlik kartı ön ve arka yüz görüntüsü, vergi levhası görüntüsü, imza sirküleri veya imza beyannamesi görüntüsü ile başvuru formunda beyan edilen bilgiler |
| Görsel Veriler | Firma logosu/fotoğrafı |
| Sözleşme ve Hukuki Kabul Verileri | Sözleşme onay bilgileri, kabul tarihi/saati, kabul edilen sürüm, IP adresi, kabul yöntemi |
| İşlem Güvenliği ve Kullanım Verileri | IP adresi, cihaz ve tarayıcı bilgisi, ekran boyutu, dil ve saat dilimi, yönlendiren adres ve kampanya parametreleri, başvuru formundaki etkileşim adımları (alanlara girilen değerler hariç) |
4. Kişisel Verilerin İşlenme Amaçları
Kişisel verileriniz aşağıdaki amaçlarla işlenmektedir:
Ödeme Hizmetlerinin Sunulması: Ödeme emrinin alınması, doğrulanması, işlenmesi, tamamlanması ve iade süreçlerinin yürütülmesi; ödeme sayfasının oluşturulması ve yönetimi; taksitli ödeme işlemlerinin gerçekleştirilmesi.
Dolandırıcılık ve Suistimalin Önlenmesi: Gerçek zamanlı risk puanlama ve analizi; yapay zeka destekli dolandırıcılık tespiti; şüpheli işlem tespiti ve takibi; dijital parmak izi (fingerprint) teknolojisi ile kimlik doğrulama; VPN, proxy, bot, emülatör ve konum sahteciliği tespiti; işlem yoğunluğu (velocity) kontrolü.
Üye İş Yeri Yönetimi: Üye iş yeri başvurularının değerlendirilmesi; dijital onboarding sürecinde kimlik tespiti ve belge doğrulaması (5549 sayılı Kanun kapsamında müşterinin tanınmasına ilişkin yükümlülükler dâhil); hesap oluşturma ve kimlik doğrulama; POS tanımlama ve komisyon yönetimi; bakiye ve ödeme takibi.
Müşteri İlişkileri ve Destek: Talep ve şikâyet yönetimi; teknik destek sağlanması; işlem bildirimleri ve onay süreçleri; yapay zeka destekli müşteri hizmetleri.
Yasal Yükümlülüklerin Yerine Getirilmesi: 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun; 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun (MASAK); 213 sayılı Vergi Usul Kanunu; 6698 sayılı KVKK ve ilgili mevzuat kapsamında zorunlu kayıt, saklama ve raporlama yükümlülüklerinin yerine getirilmesi.
Güvenlik ve Denetim: Bilgi güvenliği süreçlerinin yönetimi; erişim kontrolü ve log kaydı tutulması; iç denetim faaliyetleri.
İstatistik ve Ürün Geliştirme: Anonimleştirilmiş veriler üzerinden istatistiksel analiz; hizmet kalitesinin ölçülmesi ve iyileştirilmesi.
Pazarlama ve Tanıtım (Açık Rıza ile): Yeni ürün ve hizmet tanıtımları; kampanya ve promosyon bildirimleri; memnuniyet anketleri.
5. Kişisel Verilerin Toplanma Yöntemi ve Hukuki Sebebi
5.1. Toplanma Yöntemleri
Kişisel verileriniz aşağıdaki kanallar aracılığıyla otomatik veya otomatik olmayan yöntemlerle toplanmaktadır:
- Web sitesi ve mobil uygulamalar üzerinden yapılan işlemler
- Ödeme sayfaları ve API entegrasyonları
- Üye iş yeri başvuru formları ve dijital onboarding kanalı (onboarding.sanalpos.com)
- İletişim formu
- E-posta, telefon ve diğer iletişim kanalları
- Çerezler ve benzeri takip teknolojileri
- Fingerprint.com dijital parmak izi hizmeti
- Ödeme kuruluşları ve bankalardan alınan geri bildirimler
5.2. Hukuki Sebepler
Kişisel verileriniz, KVKK'nın 5. ve 6. maddelerinde belirtilen aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:
| Hukuki Sebep | Açıklama ve İlgili Veriler |
|---|---|
| Kanunlarda Açıkça Öngörülmesi (m.5/2-a) | 6493 sayılı Kanun, 5549 sayılı MASAK Kanunu, VUK kapsamında zorunlu kayıt ve raporlama |
| Sözleşmenin Kurulması veya İfası (m.5/2-c) | Ödeme işlemlerinin gerçekleştirilmesi, üye iş yeri sözleşmelerinin yürütülmesi |
| Hukuki Yükümlülüğün Yerine Getirilmesi (m.5/2-ç) | Yasal saklama süreleri, resmi kurumlara bilgi verme yükümlülükleri |
| Meşru Menfaat (m.5/2-f) | Dolandırıcılığın önlenmesi, bilgi güvenliği, risk yönetimi için fingerprint ve güvenlik verileri |
| Meşru Menfaat (m.5/2-f) | Web sitesi ve başvuru sürecinin sorunsuz çalışması, hataların tespiti ve başvuru sürecinin iyileştirilmesi için kullanım ve etkileşim verileri (alanlara girilen değerler hariç) |
| Açık Rıza (m.5/1) | Pazarlama faaliyetleri, ticari elektronik ileti gönderimi, istatistiksel analiz |
Dolandırıcılık önleme amacıyla toplanan dijital parmak izi verileri, KVKK m.5/2-f kapsamında "ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması" hukuki sebebine dayanmaktadır. Bu veriler, ödeme güvenliğinin sağlanması ve dolandırıcılığın önlenmesi için kritik öneme sahip olup, GDPR'daki "legitimate interest" (meşru menfaat) kavramıyla da uyumludur.
6. Kişisel Verilerin Aktarımı
Kişisel verileriniz, yukarıda belirtilen amaçların gerçekleştirilmesi için KVKK'nın 8. ve 9. maddelerinde belirtilen şartlara uygun olarak aşağıdaki alıcı gruplarına aktarılabilmektedir:
| Alıcı | Paylaşım Amacı | Hukuki Dayanak |
|---|---|---|
| TCMB tarafından yetkilendirilmiş Elektronik Para Kuruluşları dahil Ödeme Kuruluşları | Ödeme işlemlerinin gerçekleştirilmesi, tahsilat, ters ibraz (chargeback) yönetimi | Sözleşmenin ifası |
| Bankalar ve Kartlı Ödeme Sistemleri | Ödeme emri işleme, 3D Secure doğrulama, kart bilgisi doğrulama | Sözleşmenin ifası |
| Fingerprint, Inc. (AB/EU Sunucuları) | Dolandırıcılık önleme, dijital parmak izi analizi | Meşru menfaat |
| PremierDC | Sunucu barındırma | Sözleşmenin ifası |
| MASAK, BDDK, BTK, Mahkemeler, Savcılıklar, Vergi Daireleri | Yasal yükümlülükler | Kanuni zorunluluk |
| Google LLC (ABD) | İstatistiksel analiz (Google Analytics) | Açık rıza |
| Anthropic, PBC (ABD) | Yapay zeka destekli müşteri hizmetleri ve dolandırıcılık analizi | Açık rıza |
| Denetim ve Danışmanlık Şirketleri | Bağımsız denetim, hukuki danışmanlık, bilgi güvenliği denetimi | Meşru menfaat |
| Microsoft Corporation (ABD / AB) | Site kullanım analizi, oturum kaydı ve ısı haritası (Microsoft Clarity) | Açık rıza |
| Amazon Web Services EMEA SARL (AB veri merkezleri) | Sistem bildirimi ve bilgilendirme e-postalarının gönderimi (Amazon SES) | Sözleşmenin ifası |
Fingerprint.com hizmeti kapsamında işlenen veriler, Avrupa Birliği (Frankfurt, Almanya) sunucularında barındırılmakta olup, AB Genel Veri Koruma Tüzüğü (GDPR) kapsamında "yeterli koruma bulunan ülke" statüsündedir.
Microsoft Clarity yalnızca çerez bandında analitik çerezlere açık rıza vermeniz hâlinde çalışır; form alanlarına girilen bilgiler kayıt alınmadan maskelenir ve veriler Microsoft Corporation'ın yurt dışındaki veri merkezlerinde işlenir. Onay verilmemesi veya geri alınması hâlinde Microsoft Clarity'ye veri aktarılmaz.
Sistem bildirimleri ve bilgilendirme e-postaları Amazon Web Services EMEA SARL'in Amazon Simple Email Service (SES) altyapısı üzerinden gönderilebilir. Bu kapsamda e-posta adresiniz ve ileti içeriği Amazon Web Services'in Avrupa Birliği veri merkezlerinde, veri işleme sözleşmesi ve standart sözleşme maddeleri ile korunarak işlenir.
7. Saklama Süreleri
| Veri Kategorisi | Saklama Süresi |
|---|---|
| Ödeme işlem kayıtları | 10 yıl (6493 sayılı Kanun) |
| Finansal muhasebe belgeleri | 10 yıl (VUK m.253, TTK m.82) |
| MASAK kayıtları | 10 yıl (5549 sayılı Kanun) |
| Üye iş yeri sözleşmeleri | Sözleşme sona ermesinden itibaren 10 yıl |
| Kimlik tespiti ve başvuru belgeleri (KYC), üyeliği onaylanan başvurular | Üyelik ilişkisinin sona ermesinden itibaren 10 yıl (5549 ve 6493 sayılı Kanunlar) |
| Kimlik tespiti ve başvuru belgeleri (KYC), reddedilen veya tamamlanmayan başvurular | Başvurunun sonuçlanmasından itibaren en geç 90 gün içinde imha edilir |
| Log ve güvenlik kayıtları | 2 yıl (5651 sayılı Kanun) |
| Destek talepleri | Talebin sonuçlanmasından itibaren 3 yıl |
| Pazarlama izin kayıtları | İznin geri alınmasına kadar |
| Çerez verileri | Çerez türüne göre en fazla 13 ay |
| Başvuru formu etkileşim kayıtları | 12 ay |
Saklama sürelerinin sona ermesinin ardından kişisel veriler, KVKK'nın 7. maddesi uyarınca silinir, yok edilir veya anonim hale getirilir.
8. Veri Güvenliği Önlemleri
Kişisel verilerinizin güvenliğini sağlamak amacıyla aşağıdaki teknik ve idari tedbirler uygulanmaktadır:
Teknik Tedbirler
- SSL/TLS şifreleme ile güvenli veri iletimi (HTTPS)
- AES-256 şifreleme ile hassas verilerin korunması
- Ağ güvenlik duvarları ve DDoS koruma sistemleri
- Saldırı tespit ve önleme sistemleri (IDS/IPS)
- Veritabanı şifreleme ve erişim kontrolü
- Düzenli sızma testleri ve güvenlik açığı taramaları
- Yedekleme ve felaket kurtarma planları
- Çok faktörlü kimlik doğrulama (2FA) desteği
İdari Tedbirler
- Rol tabanlı erişim yetkilendirme sistemi
- Çalışan gizlilik sözleşmeleri ve eğitimleri
- Kişisel veri işleme envanteri ve politikaları
- Veri ihlali müdahale prosedürleri
- Üçüncü taraf hizmet sağlayıcılarla veri koruma sözleşmeleri
Önemli Not: CVV/CVC güvenlik kodu ve kart şifresi (PIN) hiçbir koşulda saklanmaz. Kart numarası ve son kullanma tarihi yalnızca kart sahibinin açık rızasıyla (kayıtlı kart veya abonelik/tekrarlayan ödeme) şifreli olarak saklanabilir; rıza geri alındığında silinir. Ödeme işlemleri, anlaşmalı ödeme kuruluşlarının güvenli altyapıları üzerinden gerçekleştirilmektedir.
9. KVKK Kapsamında Haklarınız
KVKK'nın 11. maddesi kapsamında aşağıdaki haklara sahipsiniz:
- Kişisel verilerinizin işlenip işlenmediğini öğrenme,
- Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
- Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
- Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
- KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
- Düzeltme ve silme işlemlerinin, kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
- Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.
10. Başvuru Yöntemi
Yukarıda belirtilen haklarınızı kullanmak için aşağıdaki yöntemlerden biriyle Şirketimize başvurabilirsiniz:
| Başvuru Yöntemi | Detay |
|---|---|
| E-posta | [email protected] adresine, konu kısmına "KVKK Başvurusu" yazarak |
| Kayıtlı Elektronik Posta (KEP) | [email protected] |
| Yazılı Başvuru | Islak imzalı dilekçe ile şirket adresine iadeli taahhütlü posta veya noter kanalıyla |
Başvurularınız, talebin niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılacaktır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir.
Başvurunuzda; adınız, soyadınız, T.C. kimlik numaranız (yabancı uyruklu iseniz pasaport numaranız), iletişim bilgileriniz ve talebinizin açık bir şekilde belirtilmesi gerekmektedir. Kimliğinizi doğrulamak amacıyla ek bilgi veya belge talep edilebilir.
11. Aydınlatma Metni Değişiklikleri
İşbu Aydınlatma Metni, yürürlükteki mevzuat ve Şirket uygulamalarındaki değişikliklere paralel olarak güncellenebilir. Güncellemeler, web sitemizde yayımlandığı tarihte yürürlüğe girer. Hizmetlerimizi kullanmaya devam etmeniz, güncellenmiş metni kabul ettiğiniz anlamına gelir.
12. İletişim
Kişisel verilerinizin işlenmesi hakkında sorularınız için:
Lirbon Teknoloji ve Elektronik Ticaret A.Ş.
Adres: A. Nafiz Gürman Mah. Gen. Ali Rıza Gürcan Cd. Platform Suit B Blok No:27/81, Güngören/İstanbul
E-posta: [email protected]
KEP: [email protected]