SMS Alma Şartları ve Kuralları

SMS Kullanım Koşulları ve Kişisel Verilerin Korunması Aydınlatma Metni

Bu aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve 7499 sayılı Kanun ile yapılan değişiklikler (12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete'de yayımlanmış, 1 Haziran 2024 tarihinde yürürlüğe girmiştir), 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ("ETK") ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik, Avrupa Birliği Genel Veri Koruma Tüzüğü 2016/679 ("GDPR") ve uygulanabilir diğer uluslararası kişisel veri koruma düzenlemeleri uyarınca hazırlanmıştır. Bu metin, platform tarafından sunulan SMS doğrulama ve bildirim hizmetleri kapsamında başta cep telefonu numaranız olmak üzere kişisel verilerinizin nasıl işlendiği konusunda sizi şeffaf bir şekilde bilgilendirmeyi amaçlamaktadır.

1. Veri Sorumlusunun Kimliği ve İletişim Bilgileri

Bu platformun işletmecisi, KVKK m. 3/1-ı ve GDPR m. 4(7) kapsamında Veri Sorumlusu sıfatıyla hareket etmektedir. Veri Sorumlusu, SMS doğrulama hizmeti aracılığıyla toplanan tüm kişisel verilerden sorumludur. Kişisel verilerinizle ilgili soru ve talepleriniz için platformun resmî İletişim / Yardım sayfası üzerinden Veri Sorumlusu ile iletişime geçebilirsiniz. Bir eklenti yazılım bileşeni olan XENTR SmsVerification, platform işletmecisi adına ve onun belgelenmiş talimatları doğrultusunda veri işleyen (KVKK m. 3/1-e; GDPR m. 4(8)) olarak faaliyet göstermektedir.

2. İşlenen Kişisel Veri Kategorileri

SMS doğrulama hizmeti kapsamında, veri minimizasyonu ilkesi (KVKK m. 4/2-ç; GDPR m. 5/1-c) doğrultusunda yalnızca gerekli olanla sınırlı olmak üzere aşağıdaki kişisel veriler toplanmakta ve işlenmektedir:

• Cep Telefonu Numarası: Kayıt veya profil güncelleme işlemi sırasında gönüllü olarak sağladığınız, ülke telefon kodu dahil tam cep telefonu numaranız.
• Doğrulama Kodu Kayıtları: Kimlik doğrulaması amacıyla oluşturulan ve gönderilen tek kullanımlık şifreler (OTP). Bu kodlar yalnızca geçici olarak saklanır ve başarılı kullanımın veya geçerlilik süresinin sona ermesinin hemen ardından geçersiz hale getirilir.
• Güvenlik ve Denetim Kayıtları: Dolandırıcılık ve kötüye kullanımı önlemek amacıyla doğrulama SMS'lerinin zaman damgaları, teslimat durumları ve doğrulama denemesi sayıları.
• Cihaz ve Oturum Verileri (Dolaylı): Doğrulama talebi sırasında kaydedilen IP adresi ve oturum tanımlayıcıları; yalnızca güvenlik ve dolandırıcılığı önleme amaçlarıyla işlenir ve davranışsal profilleme amacıyla kullanılmaz.

3. Kişisel Verilerin İşlenme Amaçları

Cep telefonu numaranız ve bununla ilişkili veriler yalnızca aşağıda belirtilen ve belgelenmiş amaçlar doğrultusunda işlenmektedir:

• Otomatik (bot) ve sahte hesap oluşturulmasını önlemek amacıyla hesap kaydı sırasında kimliğinizin doğrulanması (KVKK m. 5/2-c; GDPR m. 6/1-b).
• Hesap kaydı, giriş ve iki faktörlü kimlik doğrulama (2FA) işlemleri için Tek Kullanımlık Şifre (OTP) kodlarının gönderilmesi (KVKK m. 5/2-c, 5/2-f; GDPR m. 6/1-b, 6/1-f).
• Açık ve gönüllü talebiniz üzerine şifre sıfırlama kodunun gönderilmesi (KVKK m. 5/2-c; GDPR m. 6/1-b).
• Platform bütünlüğünü ve kullanıcı güvenliğini korumak amacıyla şüpheli, kötüye kullanım niteliğindeki veya yetkisiz erişim girişimlerinin tespit edilmesi (KVKK m. 5/2-f; GDPR m. 6/1-f).
• Tanıtım, bilgilendirme veya güncelleme amaçlı SMS bildirimlerinin gönderilmesi — yalnızca zorunlu doğrulama süreçlerinden ayrı olarak alınmış, özgür iradeye dayanan önceden verilmiş açık rızanız bulunması halinde (KVKK m. 5/1; GDPR m. 6/1-a; ETK m. 6).

Telefon numaranız yukarıda belirtilen amaçlar dışında işlenmeyecek; profilleme, otomatik karar verme veya davranışsal hedefleme amacıyla kullanılmayacaktır.

4. Kişisel Verilerin İşlenmesinin Hukuki Sebepleri

Her bir kişisel veri işleme faaliyeti belirli ve belgelenmiş bir hukuki sebebe dayanmaktadır:

• Sözleşmenin Kurulması veya İfası (KVKK m. 5/2-c; GDPR m. 6/1-b): Telefon numarasının doğrulanması, üyelik sözleşmesinin kurulması ve yerine getirilmesi için gerekli olan süreçlerden biridir.
• Meşru Menfaat (KVKK m. 5/2-f; GDPR m. 6/1-f): Platformun dolandırıcılığı, spam hesap kayıtlarını ve yetkisiz erişimleri önleme konusunda meşru menfaati bulunmaktadır. Bu menfaatin temel hak ve özgürlüklerinize üstün gelmediğini teyit eden bir Meşru Menfaat Değerlendirmesi (LIA) gerçekleştirilmiştir.
• Açık Rıza (KVKK m. 5/1; GDPR m. 6/1-a; ETK m. 6): Ticari veya tanıtım amaçlı SMS'ler yalnızca özgür iradeyle verilmiş, belirli, bilgilendirmeye dayanan ve açık rızanız doğrultusunda gönderilir. Bu rıza, operasyonel/zorunlu süreçlere ilişkin onaylardan ayrı olarak zaman damgası ve kapsam bilgileriyle kayıt altına alınır.

5. Kişisel Verilerin Üçüncü Taraflara ve Yurt Dışına Aktarılması

Cep telefonu numaranız, yalnızca SMS gönderiminin teknik olarak gerçekleştirilmesi için gerekli olduğu ölçüde aşağıdaki üçüncü taraf kategorileriyle paylaşılabilir:

• Yetkili SMS Gateway Hizmet Sağlayıcıları: Bağlayıcı veri işleme sözleşmeleri kapsamında veri işleyen sıfatıyla hareket eden lisanslı üçüncü taraf SMS altyapı sağlayıcıları. Bu hizmet sağlayıcılarının telefon numaranızı mesajların iletilmesi dışında herhangi bir amaçla kullanmaları sözleşmesel olarak yasaklanmıştır.
• Telekomünikasyon Operatörleri: Mesajlar, SMS gönderiminin teknik olarak gerçekleştirilmesi için gerekli olduğu ölçüde lisanslı ulusal ve/veya uluslararası telekomünikasyon operatörleri üzerinden yönlendirilir.
• Kanunen Yetkili Kamu Kurum ve Kuruluşları: Bağlayıcı ve uygulanabilir bir yasal yükümlülük bulunması halinde kişisel verileriniz yetkili mahkemelere, kolluk kuvvetlerine veya düzenleyici kurumlara açıklanabilir (KVKK m. 5/2-a; GDPR m. 6/1-c).

Kişisel verileriniz, üçüncü tarafların kendi bağımsız amaçları doğrultusunda kullanılmak üzere hiçbir şekilde satılmaz, kiralanmaz, takas edilmez veya ticari olarak devredilmez.

Yurt Dışına Veri Aktarımı: SMS gateway hizmet sağlayıcılarının Türkiye dışında bulunması halinde kişisel veri aktarımları, 7499 sayılı Kanun ile değiştirilen KVKK m. 9 (1 Haziran 2024 tarihinde yürürlüğe girmiştir) ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (Resmî Gazete, 10 Temmuz 2024) hükümlerine uygun olarak gerçekleştirilir. Aktarımlar yalnızca aşağıdaki hiyerarşik mekanizmalardan biri kullanılarak gerçekleştirilir: (1) aktarım yapılacak ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında Kurul tarafından verilmiş bir yeterlilik kararı bulunması; (2) yeterlilik kararının bulunmadığı durumlarda, Kişisel Verileri Koruma Kurulu tarafından ilan edilen standart sözleşmeler veya Kurul tarafından onaylanan Bağlayıcı Şirket Kuralları (BCR) dahil olmak üzere uygun güvencelerin sağlanması ve standart sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kurula bildirim yapılması; veya (3) yalnızca istisnai hallerde, ilgili riskler hakkında tam olarak bilgilendirilmeniz sonrasında vereceğiniz açık rıza. AB/AEA üyesi ülkelere yapılan aktarımlar ayrıca GDPR m. 44–49 hükümlerine uygun şekilde gerçekleştirilir.

6. Kişisel Verilerin Saklama Süreleri

Kişisel veriler yalnızca belirtilen işleme amaçlarının gerçekleştirilmesi ve yürürlükteki yasal yükümlülüklere uyulması için gerekli olduğu süre boyunca saklanır. İlgili saklama süresinin sona ermesiyle veriler güvenli şekilde silinir, anonim hale getirilir veya yok edilir:

• Doğrulama Kodları (OTP): İlk kullanımda veya geçerlilik süresinin sona ermesiyle (genellikle 5–10 dakika içerisinde), hangisi önce gerçekleşirse, otomatik olarak geçersiz hale getirilir ve silinir.
• Cep Telefonu Numarası: Aktif üyeliğiniz boyunca saklanır. Hesabınızın silinmesi veya geçerli bir silme talebinin alınması halinde, aksi yönde üstün gelen zorunlu bir yasal saklama yükümlülüğü bulunmadığı sürece telefon numaranız 30 gün içerisinde kalıcı olarak silinir veya geri döndürülemez şekilde anonim hale getirilir.
• Güvenlik ve Denetim Kayıtları: Güvenlik olaylarının ve hukuki taleplerin araştırılması ve bunlara karşı savunma yapılması için gerekli süre boyunca, veri sorumlusunun platform güvenliği ve hukuki savunmaya ilişkin meşru menfaati kapsamında (KVKK m. 5/2-f; GDPR m. 6/1-f; m. 17/3-e) ve Türk Borçlar Kanunu kapsamındaki genel zamanaşımı süreleri dikkate alınarak saklanır. Bu sürenin sonunda kayıtlar güvenli bir şekilde silinir.
• Rıza Kayıtları (Pazarlama SMS'leri): Uyuşmazlık veya düzenleyici denetim halinde mevzuata uygunluğun ispatlanabilmesi amacıyla, ETK m. 9 ve GDPR m. 7(1) uyarınca rızanın geri çekilmesinden veya sona ermesinden itibaren 1 yıl süreyle saklanır.

7. Veri Minimizasyonu ve Amaçla Sınırlılık

Veri minimizasyonu (KVKK m. 4/2-ç; GDPR m. 5/1-c) ve amaçla sınırlılık (KVKK m. 4/2-b; GDPR m. 5/1-b) ilkeleri doğrultusunda yalnızca işlenme amaçları bakımından yeterli, ilgili ve gerekli olanla sınırlı kişisel veriler toplanmaktadır. Telefon numaranız belirtilen amaç için gerekli olan süreden daha uzun süre saklanmayacaktır.

8. Otomatik Karar Verme ve Profilleme

GDPR m. 22 ve KVKK m. 4 kapsamında adil veri işleme ilkesi doğrultusunda kişisel verileriniz, hakkınızda hukuki veya benzer şekilde önemli sonuçlar doğuran herhangi bir otomatik bireysel karar verme sürecinde kullanılmadığı gibi davranışsal profilleme amacıyla da kullanılmamaktadır. Platform, telefon numaranızdan hareketle hakkınızda ek özellikler veya nitelikler çıkarmamakta ve haklarınızı ya da menfaatlerinizi etkileyen otomatik kararlar vermemektedir.

9. Kişisel Veri Güvenliği ve Veri İhlali Bildirimi

KVKK m. 12 ve GDPR m. 32 uyarınca, riskle orantılı uygun teknik ve idari tedbirler uygulanmaktadır. Bu tedbirler arasında; kişisel verilerin aktarım sırasında (TLS) ve saklandığı ortamda şifrelenmesi, sıkı rol tabanlı erişim kontrolleri, düzenli güvenlik değerlendirmeleri ve sızma testleri, uygulanabilir olduğu ölçüde takma ad kullanımı (pseudonymization) ve tüm veri işleyenleri bağlayan sözleşmesel güvenlik yükümlülükleri bulunmaktadır.

Hak ve özgürlükleriniz bakımından risk oluşturması muhtemel bir kişisel veri ihlali meydana gelmesi halinde Veri Sorumlusu, ihlali öğrendikten sonra gecikmeksizin ve mümkün olduğu ölçüde 72 saat içerisinde Kişisel Verileri Koruma Kuruluna bildirimde bulunacaktır (KVKK m. 12/5; GDPR m. 33). İhlalin hak ve özgürlükleriniz bakımından yüksek risk oluşturmasının muhtemel olması halinde ayrıca gecikmeksizin doğrudan bilgilendirileceksiniz (GDPR m. 34).

10. Ticari Elektronik İletiler ve ETK Uyumluluğu

Ayrı ve açık bir şekilde önceden onay vermiş olmanız halinde, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun (ETK) m. 6 ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik hükümlerine uygun olarak size ticari veya tanıtım amaçlı SMS mesajları gönderilebilir. Onayınız tarih, saat ve kapsam bilgileriyle elektronik ortamda kayıt altına alınır. Pazarlama amaçlı onayınızı dilediğiniz zaman: (a) herhangi bir tanıtım SMS'inde yer alan ret/çıkış mekanizmasını kullanarak veya (b) Hesap Ayarları altındaki bildirim tercihlerinizi güncelleyerek geri çekebilirsiniz. Ret talebiniz 3 iş günü içerisinde işleme alınır (ETK m. 9/3) ve bu sürenin ardından tarafınıza başka tanıtım mesajı gönderilmez.

11. İlgili Kişinin Hakları ve Bu Hakların Kullanılması

KVKK m. 11 ve GDPR m. 15–22 uyarınca kişisel verilerinizle ilgili aşağıdaki haklara sahipsiniz:

• Bilgilendirilme Hakkı (KVKK m. 10; GDPR m. 13–14): Kişisel verilerinizin nasıl işlendiği konusunda açık ve şeffaf bilgi alma hakkı.
• Erişim Hakkı (KVKK m. 11/1-a,b; GDPR m. 15): Kişisel verilerinizin işlenip işlenmediğini öğrenme ve hakkınızda tutulan kişisel verilerin bir kopyasını ilgili ek bilgilerle birlikte edinme hakkı.
• Düzeltme Hakkı (KVKK m. 11/1-c; GDPR m. 16): Yanlış veya eksik kişisel verilerin gecikmeksizin düzeltilmesini talep etme hakkı.
• Silme / "Unutulma" Hakkı (KVKK m. 11/1-d,e; GDPR m. 17): Üstün gelen yasal saklama yükümlülükleri saklı kalmak kaydıyla, kişisel verilerinizin toplandıkları amaçlar bakımından artık gerekli olmaması halinde silinmelerini talep etme hakkı.
• İşlemenin Kısıtlanmasını Talep Etme Hakkı (KVKK m. 11/1-f; GDPR m. 18): Örneğin verilerin doğruluğuna itiraz etmeniz gibi belirli durumlarda kişisel verilerinizin işlenmesinin kısıtlanmasını talep etme hakkı.
• Veri Taşınabilirliği Hakkı (GDPR m. 20): Veri işlemenin rızaya veya sözleşmeye dayanması ve otomatik yollarla gerçekleştirilmesi halinde verilerinizi yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir bir formatta alma ve teknik olarak mümkün olduğu ölçüde başka bir veri sorumlusuna aktarılmasını isteme hakkı.
• İtiraz Hakkı (KVKK m. 11/1-g; GDPR m. 21): Doğrudan pazarlama dahil olmak üzere meşru menfaate dayalı veri işleme faaliyetlerine dilediğiniz zaman itiraz etme hakkı. Pazarlama amaçlı işlemeye itiraz edilmesi halinde bu amaçla veri işleme faaliyeti derhal sona erdirilir.
• Rızayı Geri Çekme Hakkı (KVKK m. 11; GDPR m. 7/3; ETK m. 9): Hesap Ayarları üzerinden vermiş olduğunuz herhangi bir rızayı dilediğiniz zaman geri çekme hakkı. Rızanın geri çekilmesi, geri çekilmesinden önce rızaya dayanılarak gerçekleştirilen veri işleme faaliyetlerinin hukuka uygunluğunu etkilemez.
• Otomatik Karar Vermeye İlişkin Haklar (GDPR m. 22): Hukuki veya benzer şekilde önemli sonuçlar doğuran, profilleme dahil yalnızca otomatik veri işlemeye dayalı bir karara tabi olmama hakkı. (Not: Platform tarafından bu tür bir veri işleme faaliyeti gerçekleştirilmemektedir.)
• Şikâyette Bulunma Hakkı (KVKK m. 14; GDPR m. 77): Kişisel Verileri Koruma Kurumuna (KVKK) veya ikamet ettiğiniz ülkedeki yetkili denetim makamına şikâyette bulunma hakkı.

Başvuru Nasıl Yapılır: KVKK kapsamındaki haklarınızı kullanmak için Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ kapsamında kabul edilen aşağıdaki yöntemlerden herhangi biriyle yazılı başvuruda bulunabilirsiniz:

• Islak imzalı olarak şahsen veya posta yoluyla;
• Noter aracılığıyla;
• Kayıtlı Elektronik Posta (KEP) adresi aracılığıyla;
• Güvenli elektronik imza veya mobil imza kullanılarak; veya
• Platform sisteminde daha önce kayıtlı bulunan e-posta adresiniz üzerinden.

Başvurunuzda; adınız ve soyadınız, T.C. kimlik numaranız (yabancı uyruklu kişiler için pasaport numarası), iletişim adresiniz ve talebinizin açık bir açıklaması bulunmalıdır. Gerektiğinde kimlik doğrulaması talep edilebilir. Başvurunuz, KVKK m. 13/2 ve GDPR m. 12/3 uyarınca 30 gün içerisinde cevaplandırılacaktır. Talebin karmaşık olması veya çok sayıda talep bulunması halinde bu süre, bildirimde bulunulmak suretiyle iki ay daha uzatılabilir (GDPR m. 12/3). Açıkça dayanaktan yoksun veya aşırı nitelikteki talepler hariç olmak üzere başvurular ücretsiz olarak sonuçlandırılır.

12. Aydınlatma Metninde Yapılacak Güncellemeler

Bu aydınlatma metni, 7499 sayılı Kanun ile KVKK m. 9'da yapılan değişiklikleri (1 Haziran 2024 tarihinde yürürlüğe girmiştir) ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmeliği (10 Temmuz 2024 tarihinde yürürlüğe girmiştir) yansıtmak amacıyla en son Temmuz 2026 tarihinde güncellenmiştir. Uygulanabilir mevzuatta, kişisel veri işleme uygulamalarımızda veya sunduğumuz hizmetlerde önemli bir değişiklik olması halinde bu metin yeniden güncellenecektir. Güncel sürüm her zaman kayıt formu üzerinden erişilebilir olacaktır.