KVKK Aydınlatma Metni

Son güncelleme: 22 Ekim 2026

Bu aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, DDPP (Decentralized Digital Product Passport; ddppeu.com ve önceki adresi dppeu.cloud, web Masası ve DDPP uygulaması) hizmetini Türkiye'den kullanan kişilerin kişisel verilerinin kim tarafından, hangi amaçlarla ve hangi hukuki sebeplere dayanılarak işlendiğini, kimlere aktarıldığını ve KVKK'dan doğan haklarınızı nasıl kullanabileceğinizi açıklar. Türkiye dışındaki kullanıcılar için Gizlilik Politikamız geçerlidir.

1. Veri Sorumlusu

Türkiye'deki kişiler bakımından kişisel verilerinizin veri sorumlusu ZİNCİRX BİLİŞİM TEKNOLOJİ VE DANIŞMANLIK A.Ş.'dir ("ZincirX A.Ş.").

• Adres: Gülbahçe Mah. Gülbahçe Cad. İYTE Sitesi No: 1/40 İç Kapı No: 51, 35430 Urla/İzmir, Türkiye
• MERSİS No: 0999144137300001
• Vergi dairesi ve numarası: Urla Vergi Dairesi, 9991441373
• KVKK başvuruları için e-posta: dpp@dppeu.cloud
• Telefon: +90 536 587 41 81

DDPP, ZincirX A.Ş. ile Amerika Birleşik Devletleri'nin Delaware eyaletinde kurulu ZincirX Inc. tarafından sunulan bir ZincirX ürünüdür. Kullanım Koşulları uyarınca DDPP'yi kuruluşlara sağlayan, pasaport kredilerini satan ve faturayı düzenleyen şirket ZincirX Inc.'dir (c/o Legalinc Corporate Services Inc., 131 Continental Drive, Suite 305, Newark, DE 19713, ABD). Bu nedenle kredi satın alımlarına ilişkin kayıtların veri sorumlusu ZincirX Inc.'dir; ZincirX A.Ş. bu kayıtları, ZincirX Inc. ile aralarındaki veri işleme sözleşmesi kapsamında ZincirX Inc. adına veri işleyen sıfatıyla, onun talimatlarıyla işler. Türkiye dışındaki kişilerin verilerinin veri sorumlusu da ZincirX Inc.'dir; bu durum Gizlilik Politikamızın 1. bölümünde açıklanmıştır. İki şirket müşterek veri sorumlusu değil, ayrı veri sorumlularıdır. Her iki şirketin sicil bilgileri Yasal Bildirim sayfamızdadır.

DDPP'den sipariş edilen baskılı NFC kartlarını ve etiketlerini Türkiye'deki kuruluşlara ZincirX A.Ş., diğer bütün kuruluşlara ZincirX Inc. satar. Her biri sattığı siparişlerin kayıtlarını satıcı sıfatıyla tutar ve bu kayıtların veri sorumlusudur. Kartları ve etiketleri ZincirX A.Ş. üretir ve gönderir; ZincirX Inc.'in sattığı siparişlerde bunu, kredi satın alımlarında olduğu gibi, ZincirX Inc. adına ve onun talimatlarıyla veri işleyen sıfatıyla yapar.

Batarya pasaportu kurulum paketleri de aynı şekilde satılır: Türkiye'deki kuruluşlara ZincirX A.Ş., diğer bütün kuruluşlara ZincirX Inc. tarafından. Her biri sattığı siparişlerin kayıtlarını satıcı sıfatıyla tutar ve bu kayıtların veri sorumlusudur.

Kuruluşların pasaportlarına ve kayıtlarına koyduğu veriler. Kuruluşlar DDPP'yi kendi ürün kayıtlarını tutmak ve yayımlamak için kullanır: ürünler ve verileri, pasaportlar, sertifikalar ve belgeler, açıklamaları, yerleri, konumları ve fotoğraflarıyla olaylar ile bir pasaporta götüren NFC etiketleri ve kartları. Bu kayıtlara neyin gireceğine ve pasaportta neyin herkese açık olacağına kuruluş (örneğin bir üretici veya ihracatçı) karar verir. Bu nedenle bu kayıtlardaki kişisel verilerin (örneğin bir belgede geçen ad, bir fotoğrafta görünen kişi ya da bir olayla kaydedilen konum) veri sorumlusu ilgili kuruluştur. Kuruluşun sözleşme yaptığı ZincirX Inc. bu verileri Kullanım Koşulları'nın 19. bölümündeki veri işleme sözleşmesi uyarınca kuruluş adına veri işleyen olarak işler; hizmeti işleten ZincirX A.Ş. de bu verileri kuruluş adına ve onun talimatlarıyla veri işleyen sıfatıyla işler. Bu verileri yalnızca DDPP'yi kuruluşa sunmak için kullanırız; satmayız ve kendi amaçlarımız için kullanmayız. Kuruluşlar, ürünlerini satın alan veya kullanan tüketicilerin kişisel verilerini bu kişilerin açık rızası olmadan pasaportlarında yayımlayamaz. Bir kuruluşun kayıtlarında kişisel verileriniz varsa talebinizi o kuruluşa iletin; bize yazarsanız talebinizi kuruluşa iletir ve yanıt vermesine yardımcı oluruz.

Bu metnin geri kalanı, ZincirX A.Ş.'nin veri sorumlusu olarak işlediği kişisel verileri anlatır.

2. Hangi Kişisel Verileri İşliyoruz

• Site ve pasaport sayfası ziyaretçileri: İşlem güvenliği verileri olarak IP adresi, tarayıcı veya cihaz bilgisi, istenen adres ve zaman (sunucu kayıtları). Bir pasaport sayfasını kimin açtığını bunun ötesinde kaydetmeyiz. Sitede ve web Masası'nın giriş ve kayıt sayfalarında analitik çerezleri kabul ederseniz ayrıca Google Analytics ölçüm verileri işlenir (7. bölüm).
• Hesap sahipleri (web Masası ve DDPP uygulaması üyeleri): Kimlik (adınız), İletişim (e-posta adresiniz), Müşteri işlem (dil tercihiniz, üye olduğunuz kuruluşlar ve oradaki rolünüz, gönderdiğiniz davetler, istediğiniz veri dışa aktarımları, kuruluşun içeriğinde yaptığınız işlemlerin kaydı) ve İşlem güvenliği verileri (yalnızca özet (hash) değeri olarak saklanan parolanız; IP adresi ve tarayıcı bilgisiyle birlikte web Masası oturum kayıtları; giriş belirteçleri; Google veya Apple ile giriş yaparsanız o sağlayıcının verdiği hesap tanımlayıcısı ile paylaştığı ad ve e-posta adresi; Apple ile girişte, hesabınızı sildiğinizde girişi iptal edebilmek için şifreli olarak saklanan Apple belirteci).
• Kuruluş bilgileri: kuruluşun adı, ticari unvanı, ülkesi, adresi, posta kodu, şehri, vergi numarası, EORI ve GLN numaraları, web sitesi, e-posta adresi ve telefonu ile kaydolurken girilen satış ortağı kodu. Bunların çoğu bir işletmeye ilişkindir; ancak şahıs işletmelerinde (örneğin işletme sahibinin adı) kişisel veridir.
• İşletme kontrolü verileri: kuruluşun sahip ve yöneticilerinin, DDPP'nin işletmeyi pasaportları yayına girmeden önce kontrol edebilmesi için gönderdiği belgeler (örneğin vergi levhası, ticaret sicil gazetesi, faaliyet belgesi veya sicil kayıt örneği; bu belgelerde işletme sahiplerinin veya yöneticilerinin adları bulunabilir), her belgenin ne zaman ve kim tarafından gönderildiği, AB'deki bir işletme için KDV numarası ve AB'nin VIES sisteminin buna verdiği yanıt (üye devletin paylaştığı ölçüde kayıtlı ad ve adres) ile DDPP'nin işletme, kalıcı pasaportları ve sertifikaları hakkındaki kararları ve gerekçeleri. Bu belgeleri yalnızca kuruluşun sahip ve yöneticileri ile onları kontrol eden DDPP çalışanları görür; hiçbir zaman yayımlanmazlar.
• Davet edilen kişiler: bir kuruluş üyesinin sizi davet ederken girdiği e-posta adresi, önerilen rol ve daveti gönderen üye.
• Pasaport kredisi satın alan üyeler: Müşteri işlem verileri olarak satın alan üye, kuruluş, paket, fiyat ve para birimi, satın almanın durumu ve tarihi ile Stripe'ın ödemeye verdiği referanslar. Kart veya diğer ödeme bilgileri, fatura bilgileri ve vergi numarası Stripe'ın kendi ödeme sayfasında girilir ve Stripe'ta kalır; kart numarası bize hiçbir zaman ulaşmaz. Krediler DDPP uygulamasında satın alındığında ödemeyi bunun yerine App Store veya Google Play alır; bu durumda Müşteri işlem verileri olarak satın alan üye, kuruluş, paket, satın almanın durumu ve tarihi, mağazanın satın almaya verdiği referanslar (Apple'ın işlem numarası ya da Google'ın sipariş numarası ve satın alma belirtecinin parmak izi), mağazanın ülkesi veya bölgesi, adet, test amaçlı bir satın alma olup olmadığı ve Apple üzerinden yapılan satın almalarda Apple'ın tahsil ettiği fiyat ve para birimi işlenir. Ödeme bilgileri Apple'da veya Google'da kalır; bize hiçbir zaman ulaşmaz.
• Baskılı NFC kartı veya etiketi sipariş eden üyeler ve paketi teslim alacak kişiler: Müşteri işlem verileri olarak sipariş verileri (siparişi veren üye, kuruluş, kodu basılan pasaport, sipariş edilen kart veya etiket türü ve adedi, baskı dilleri, çiplerin kilitlenip kilitlenmeyeceği, fiyat ve para birimi, siparişin durumu ve tarihleri, varsa sipariş notu, kargo şirketi ve takip numarası ile ödeme hizmetinin ödemeye verdiği referanslar); Kimlik ve İletişim verileri olarak teslimat adresi ile paketi teslim alacak kişinin adı, şirketi, telefon numarası ve e-posta adresi; ZincirX A.Ş.'den satın alan Türkiye'deki bir kuruluşun siparişinde ayrıca faturanın düzenlendiği bilgiler olarak kuruluşun ticari unvanı, vergi numarası (şahıs işletmelerinde işletme sahibinin T.C. kimlik numarası), vergi dairesi ve adresi. Ödeme bilgileri ödeme hizmetinin kendi sayfasında (Stripe'ın ya da Türkiye'deki kuruluşlar için iyzico'nun) girilir; kart numarası bize hiçbir zaman ulaşmaz.
• Kurulum paketi sipariş eden üyeler: Müşteri işlem verileri olarak sipariş verileri (siparişi veren üye, kuruluş, paket, fiyat ve para birimi, ödeme şekli, siparişin durumu ve tarihleri, ödeme hizmetinin ödemeye verdiği referanslar, banka havalesinde havalenin referansı) ile kurulum hizmeti koşullarının hangi sürümünün, ne zaman ve kim tarafından kabul edildiği; Kimlik ve İletişim verileri olarak koşulları kabul eden üyenin adı ve e-posta adresi; ZincirX A.Ş.'den satın alan Türkiye'deki bir kuruluşun siparişinde ayrıca, baskı siparişlerinde olduğu gibi, faturanın düzenlendiği bilgiler. Kart bilgileri ödeme hizmetinin kendi sayfasında girilir; kart numarası bize hiçbir zaman ulaşmaz.
• Bize yazanlar ve bildirimde bulunanlar: Kimlik, İletişim ve Talep/şikâyet yönetimi verileri olarak e-postayla veya telefonla ilettikleriniz ve hukuka aykırı içerik bildirimleri (ad ve e-posta adresi vermek isteğe bağlıdır).
• DDPP uygulamasıyla kod okutanlar: okuttuğunuz kod ve uygulamanın dili (bkz. 5.3). Uygulama kameranızı, konumunuzu ve fotoğraflarınızı yalnızca izninizle kullanır; bir olaya eklediğiniz fotoğraflar ve konumlar kuruluşun kayıtlarının parçası olur (1. bölüm). Uygulama NFC'yi yalnızca bir etiketi ya da kartı okumayı veya ona bir pasaportun bağlantısını yazmayı seçtiğinizde kullanır; bir çipe pasaportun bağlantısı yazıldığında ya da bir pasaport kartı çipi okunarak kurulduğunda çipin kimliği, pasaportla ve bunu yapan üyeyle birlikte kuruluşun kayıtlarına girer (1. bölüm).

DDPP özel nitelikli kişisel veri (KVKK m. 6) istemez ve toplamaz. Reklam aracı kullanmayız ve pazarlama amaçlı ticari elektronik ileti göndermeyiz. Analiz aracı olarak yalnızca Google Analytics'i, yalnızca açık rızanızla kullanırız (7. bölüm).

3. Kişisel Verilerin Toplanma Yöntemi

Kişisel verileriniz elektronik ortamda şu yollarla toplanır:

• doğrudan sizden: web Masası'ndaki formlar (hesap oluşturma, giriş, kuruluş kurulumu, üye daveti, hesap ve kuruluş ayarları, baskı siparişi, kurulum paketi siparişi), DDPP uygulaması ve bize gönderdiğiniz e-postalar;
• otomatik yollarla: web sitesine, pasaport sayfalarına, web Masası'na ve uygulamanın sunucusuna yapılan her istekle birlikte sunucu kayıtları ve web Masası'nın oturum çerezleri aracılığıyla; açık rızanız varsa ayrıca Google Analytics çerezleri aracılığıyla (7. bölüm);
• üçüncü kişilerden: sizi bir kuruluşa davet eden üye e-posta adresinizi ve rolünüzü bize iletir; Google veya Apple ile giriş yapmayı seçerseniz bu sağlayıcı bize bir hesap tanımlayıcısı ve ayarlarınıza bağlı olarak adınızı ve e-posta adresinizi iletir; bir kuruluş kredi satın aldığında Stripe ödemenin gerçekleşip gerçekleşmediğini, sonradan iade edilip edilmediğini veya itiraz edilip edilmediğini bize bildirir; krediler DDPP uygulamasında satın alındığında Apple veya Google satın almayı bize doğrular ve satın alma sonradan iade edilir veya iptal edilirse bunu bize bildirir; Türkiye'deki bir kuruluş baskı siparişini veya kurulum paketini ödediğinde iyzico ödemenin gerçekleşip gerçekleşmediğini bildirir; AB'deki bir işletmenin KDV numarasının kayıtlı olup olmadığını ve üye devletin paylaştığı ölçüde hangi ad ve adresle kayıtlı olduğunu Avrupa Komisyonu'nun VIES hizmeti bize bildirir; paketi teslim alacak kişi olarak siparişi veren üyeden başka biri gösterilmişse o kişinin adını, şirketini, teslimat adresini, telefon numarasını ve e-posta adresini baskı siparişini veren üye bize iletir.

4. İşleme Amaçları ve Hukuki Sebepler

Her amaç için işlenen veri kategorilerini ve KVKK m. 5 kapsamındaki hukuki sebebi belirtiyoruz. Analitik çerezler (7. bölüm) dışında hiçbir amaç için açık rızanıza dayanmıyoruz; hizmetin kullanılması açık rıza şartına bağlanmamıştır ve analitik çerezleri reddetmeniz hizmeti kullanmanızı etkilemez.

• Hesabın oluşturulması ve yönetilmesi, girişinizin sağlanması ve DDPP'nin sunulması (kimlik, iletişim, müşteri işlem, işlem güvenliği): sözleşmenin kurulması ve ifası (m. 5/2-c); bir kuruluş adına hareket ediyorsanız, kuruluşunuzun kullandığı hizmeti sunmaya ilişkin meşru menfaatimiz (m. 5/2-f).
• Kuruluşun kurulması, kuruluş bilgilerinin tutulması ve her pasaportta ürünün sorumlusu olarak gösterilmesi (kuruluş bilgileri): sözleşmenin kurulması ve ifası (m. 5/2-c).
• DDPP'de yayın yapan işletmelerin kontrol edilmesi ve kalıcı pasaportlarının, sertifikalarının ve analiz raporlarının incelenmesi (işletme kontrolü verileri, kuruluş bilgileri): DDPP'yi kendini olduğundan farklı gösteren işletmelerden uzak tutmaya ve pasaportlarda yazanların arkasındaki belgelere dayanmasına ilişkin meşru menfaatimiz (m. 5/2-f).
• Üye davet edilmesi ve kuruluş üyeliklerinin yönetilmesi (davet edilen kişinin e-posta adresi ve rolü, üyelikler): kuruluşların ekiplerini hizmete ekleyebilmesine ilişkin meşru menfaat (m. 5/2-f); davet kabul edildikten sonra sözleşmenin ifası (m. 5/2-c).
• Pasaport kredisi satın alma işleminin başlatılması ve ödemenin Stripe, App Store veya Google Play aracılığıyla alınması (satın alan üyenin e-posta adresi, kuruluşun adı, paket ve fiyat; DDPP uygulamasındaki satın almalarda kuruluşa verdiğimiz tanımlayıcı ve mağazanın satın almaya verdiği referanslar): satış sözleşmesi ZincirX Inc. ile kurulur; bunun için gereken verilerin ZincirX Inc.'e ve Stripe'a, uygulamadaki satın almalarda ise Apple'a veya Google'a aktarılması sözleşmenin kurulması ve ifası (m. 5/2-c) hukuki sebebine dayanır. Satın alma kaydını ZincirX A.Ş., veri sorumlusu ZincirX Inc. adına veri işleyen olarak tutar (1. bölüm).
• Baskılı NFC kartlarının ve etiketlerinin üretilmesi, gönderilmesi, ödemesinin alınması ve faturalandırılması (sipariş verileri, teslimat adresi, paketi teslim alacak kişinin adı, şirketi, telefon numarası ve e-posta adresi, fatura bilgileri): kuruluşun bunları satın aldığı sözleşmenin kurulması ve ifası (m. 5/2-c); paketi kuruluş adına teslim alan kişinin bilgileri için kuruluşun sipariş ettiğini teslim etmeye ilişkin meşru menfaatimiz (m. 5/2-f); faturalar ile vergi, muhasebe ve gümrük mevzuatının gerektirdiği kayıtlar için veri sorumlusunun hukuki yükümlülüğü (m. 5/2-ç). Satış sözleşmesi Türkiye'deki kuruluşlar için ZincirX A.Ş. ile, diğer kuruluşlar için ZincirX Inc. ile kurulur (1. bölüm).
• Kurulum paketinin ifası, ödemesinin alınması ve faturalandırılması (sipariş verileri, koşulları kabul eden üyenin adı ve e-posta adresi, kabul edilen koşulların sürümü ve tarihi, fatura bilgileri): kuruluşun paketi satın aldığı sözleşmenin kurulması ve ifası (m. 5/2-c); koşulları kabul eden üye ayrıldıktan sonra bu kaydın saklanması için sözleşmeyi ispat etme hakkımızın korunması (m. 5/2-e); faturalar ile vergi ve muhasebe mevzuatının gerektirdiği kayıtlar için veri sorumlusunun hukuki yükümlülüğü (m. 5/2-ç). Sözleşme Türkiye'deki kuruluşlar için ZincirX A.Ş. ile, diğer kuruluşlar için ZincirX Inc. ile kurulur (1. bölüm).
• Hizmet e-postalarının gönderilmesi (e-posta adresi onayı, parola sıfırlama, davetler, dışa aktarma dosyasının hazır olduğu, kuruluş sahipliğinin devri ve Kullanım Koşulları'nın gerektirdiği fiyat ve koşul değişikliği bildirimleri; kimlik, iletişim): sözleşmenin ifası (m. 5/2-c) ve hesap sahiplerini kullandıkları hizmet hakkında bilgilendirmeye ilişkin meşru menfaatimiz (m. 5/2-f).
• Soru ve taleplerinizin yanıtlanması (kimlik, iletişim, talep/şikâyet yönetimi): talep sözleşmeyle ilgiliyse m. 5/2-c, aksi hâlde bize ulaşan kişilere yanıt vermeye ilişkin meşru menfaatimiz (m. 5/2-f).
• Hesap silme dahil KVKK başvurularının yürütülmesi ve hesap silindiğinde Apple ile girişin iptal edilmesi (kimlik, iletişim, işlem güvenliği): veri sorumlusunun hukuki yükümlülüğü (m. 5/2-ç) ve sözleşmenin ifası (m. 5/2-c).
• Bilgi güvenliğinin sağlanması, kötüye kullanımın önlenmesi ve hataların giderilmesi (IP adresi, tarayıcı ve cihaz bilgisi, oturum ve sunucu kayıtları): hizmeti ve kullanıcılarını korumaya ilişkin meşru menfaatimiz (m. 5/2-f).
• Sitenin ve web Masası'nın giriş ve kayıt sayfalarının nasıl kullanıldığının Google Analytics ile ölçülmesi, yalnızca analitik çerezleri kabul ederseniz (Google Analytics çerez kimliği, ziyaret edilen sayfalar, geldiğiniz sayfa, tarayıcı ve cihaz bilgisi, IP adresi; Masa'da hesap açıldığı ve nasıl açıldığı): açık rızanız (m. 5/1); ayrıntılar 7. bölümde.
• Pasaport sayfalarındaki hukuka aykırı içerik bildirimlerinin ele alınması (bildirimde bulunanın verdiği ad ve e-posta adresi, bildirimin içeriği): hukuka aykırı içeriği hizmetin dışında tutmaya ilişkin meşru menfaatimiz (m. 5/2-f).
• Okuttuğunuz kodun DDPP'nin kendi sunucusunda çözülmesi (okutulan kod, uygulamanın dili, IP adresi): talep ettiğiniz hizmetin sunulması (m. 5/2-c ve m. 5/2-f).
• Mevzuattan doğan yükümlülüklerin yerine getirilmesi, mahkeme ve resmî makam taleplerine uyulması ve hukuki taleplerin tesisi, kullanılması veya savunulması (ilgili tüm kategoriler): hukuki yükümlülük (m. 5/2-ç) ve bir hakkın tesisi, kullanılması veya korunması (m. 5/2-e).

Meşru menfaate dayandığımız işlemelere itiraz edebilirsiniz. Hakkınızda yalnızca otomatik işlemeye dayanan kararlar almayız.

5. Kişisel Verilerin Aktarılması

5.1 Yurt içindeki alıcılar

• Üyesi olduğunuz kuruluşun diğer üyeleri: adınızı, e-posta adresinizi, rolünüzü ve kuruluşun içeriğinde yaptığınız işlemleri görür (m. 5/2-c, m. 5/2-f).
• Kargo şirketleri: Örneğin PTT, Yurtiçi Kargo, Aras Kargo ve MNG Kargo; şimdilik yalnızca Türkiye'deki adreslere gönderiyoruz. Baskılı kartları veya etiketleri gönderdiğimizde, paketi teslim etmeleri ve paketi teslim alacak kişiyi bilgilendirmeleri amacıyla bu kişinin adı, şirketi, adresi, telefon numarası ve e-posta adresi ile paketin içeriği ve değeri; kargo şirketleri bunları kendi koşulları uyarınca kullanır (m. 5/2-c, m. 5/2-f).
• iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. (iyzico): Türkiye'deki bir kuruluş baskı siparişini ödediğinde, ödemenin ZincirX A.Ş.'nin zincirx.com'daki ödeme sayfasında alınması amacıyla siparişin referansı, sipariş edilenler ve tutarı ile ödeyen üyenin adı, e-posta adresi ve ödemeyi yaptığı IP adresi. Kart bilgilerini iyzico kendi sayfasında doğrudan sizden alır; bunlar bize hiçbir zaman ulaşmaz (m. 5/2-c). Türkiye'deki bir kuruluş kurulum paketini kartla ödediğinde de aynı amaçla siparişin referansı, paket ve tutarı ile ödeyen üyenin adı, e-posta adresi ve ödemeyi yaptığı IP adresi aktarılır.
• Gelir İdaresi Başkanlığı: ZincirX A.Ş.'nin Türkiye'deki kuruluşlara sattığı baskılı kartlar ve etiketler ile kurulum paketleri için düzenlediği faturalar ve bunlardaki fatura bilgileri, vergi mevzuatı gereği (m. 5/2-ç).
• Avukatlar ve mali müşavirler gibi profesyonel danışmanlar: bize danışmanlık vermeleri için gerektiğinde (m. 5/2-e, m. 5/2-f).
• Mahkemeler, yetkili kamu kurum ve kuruluşları: bir kararla istendiğinde, mevzuat gerektirdiğinde veya bir hukuki talebin tesisi ya da savunulması için gerektiğinde (m. 5/2-ç, m. 5/2-e).

Kuruluşların herkese açık olarak yayımladığı pasaport bilgileri (kuruluş bilgileri dahil) herkes tarafından görülebilir.

5.2 Yurt dışındaki alıcılar

• ZincirX Inc. (Amerika Birleşik Devletleri): DDPP'yi Kullanım Koşulları uyarınca kuruluşlara sağlayan ve pasaport kredilerini satan şirket. Sözleşmenin yürütülmesi, kredi satışı ve faturalandırma amacıyla kuruluş bilgileri, kuruluş sahibi ve yöneticilerinin ad ve e-posta adresleri ile satın alan üyenin e-posta adresi ve satın alma kaydı. Ayrıca Türkiye dışındaki kuruluşlara sattığı baskılı kart ve etiket siparişlerinin ve kurulum paketi siparişlerinin kayıtları.
• Hostinger International Ltd.: DDPP'nin tüm verilerinin ve yedeklerinin bulunduğu sunucu (Litvanya, Vilnius), yedeklerin şifreli bir kopyasının tutulduğu ikinci sunucu (Almanya) ile hizmet e-postalarını gönderen ve dpp@dppeu.cloud posta kutusunu barındıran e-posta hizmeti (yurt dışında). Barındırma, yedekleme ve e-posta amacıyla bu metinde sayılan tüm kategoriler.
• Stripe, Inc. (Amerika Birleşik Devletleri): bir kuruluş sahibi veya yöneticisi web Masası'nda kredi satın aldığında ödemenin alınması ve faturanın düzenlenmesi amacıyla satın alan üyenin e-posta adresi, kuruluşun adı ve numarası, paket ve fiyat. Türkiye dışındaki bir kuruluşun baskı siparişi ödendiğinde Stripe ayrıca siparişin referansını, sipariş edilenleri ve fiyatını (bunlar ödemede ve faturada yer alır) ve paketi teslim alacak kişinin adı ve telefon numarasıyla birlikte teslimat adresini (bunlar ödemede yer alır) alır. Türkiye dışındaki bir kuruluş kurulum paketini ödediğinde Stripe, satın alan üyenin e-posta adresini, kuruluşun adını, siparişin referansını, paketi ve fiyatını alır. Ödeme ve fatura bilgilerini Stripe kendi sayfasında doğrudan sizden alır.
• Kargo şirketi ve gümrük makamları (yurt dışına gönderilen paketlerde): baskılı kartlar ve etiketler şimdilik yalnızca Türkiye'deki adreslere gönderildiğinden teslimat bilgileri yurt dışına aktarılmaz.
• Apple Inc. ve Google LLC (Amerika Birleşik Devletleri), App Store ve Google Play: bir kuruluş sahibi veya yöneticisi DDPP uygulamasında kredi satın aldığında satın alma, Apple veya Google ile onların kendi koşulları uyarınca yapılır; ödemeyi onlar alır ve makbuzu onlar gönderir. Uygulama her satın almayla birlikte onlara, satın almanın hangi kuruluş için yapıldığını bize bildirebilmeleri amacıyla, kuruluşa verdiğimiz ve tek başına kuruluş hakkında hiçbir şey söylemeyen bir tanımlayıcı iletir; onlara size ilişkin başka bir bilgi göndermeyiz. Her satın almayı doğrulamalarını isteriz; iadeleri bize onlar bildirir.
• Avrupa Komisyonu (Avrupa Birliği), KDV Bilgi Değişim Sistemi (VIES): AB'deki bir işletme DDPP'den kendisini kontrol etmesini istediğinde, kayıtlı olup olmadığını öğrenmek amacıyla yalnızca işletmenin KDV numarası. Komisyon bu bilgiyi kendi kurallarına göre işler.
• Google LLC ve Apple Inc. (Amerika Birleşik Devletleri): yalnızca Google veya Apple ile giriş yapmayı seçerseniz, kimliğinizi doğrulamak için; Apple ile giriş yapan bir hesabı sildiğinizde girişin iptali için Apple'a. Bu sağlayıcılar DDPP'ye giriş yaptığınızı öğrenir.
• Google LLC (Amerika Birleşik Devletleri), Google Analytics 4: yalnızca çerez bildiriminde analitik çerezleri kabul ederseniz (açık rıza, m. 5/1), sitenin ve web Masası'nın giriş ve kayıt sayfalarının nasıl kullanıldığının ölçülmesi amacıyla Google Analytics çerez kimliği, ziyaret ettiğiniz sayfaların adresi, geldiğiniz sayfa, tarayıcı ve cihaz bilgileriniz, IP adresiniz ile bir hesap açıldığı ve nasıl açıldığı (7. bölüm). Bu veriler tarayıcınızdan doğrudan Google'a gider; analitik çerezleri kabul etmezseniz hiçbir veri gönderilmez.

5.3 Okuttuğunuz kodlar

DDPP uygulamasında bir kod okuttuğunuzda uygulama, pasaportu tutan hizmete doğrudan cihazınızdan ve hesabınızı tanımlayan bir bilgi göndermeden bağlanır: DDPP pasaportları için DDPP'nin kendi sunucusuna; zincirx.com bağlantıları ve ZincirX pasaport kodları için ZincirX A.Ş.'nin zincirx.com'daki herkese açık hizmetine; başka bir markanın GS1 Digital Link bağlantısı için yalnızca o markanın çözümleyicisine; içinde web adresi bulunmayan bir GS1 kodu için sırasıyla DDPP'ye, zincirx.com'a ve son olarak GS1'in küresel çözümleyicisine (id.gs1.org, GS1 AISBL, Belçika). Bu hizmetler okutulan kodu ve her bağlantıda olduğu gibi cihazınızın IP adresini alır; DDPP ve zincirx.com ayrıca uygulamanın dilini alır. Bu bağlantılar sizin isteğinizle cihazınızdan kurulur; ZincirX dışındaki hizmetler aldıklarını kendi koşullarına göre işler.

5.4 Yurt dışına aktarımın dayanağı

Yurt dışında bulunan alıcılara yapılan aktarımlar KVKK'nın 7499 sayılı Kanunla değişik 9. maddesine tabidir. Yurt dışına düzenli aktarımlarda açık rızanıza dayanılmaz. Baskılı kartlar ve etiketler şimdilik yalnızca Türkiye'deki adreslere gönderildiğinden teslimat bilgileri yurt dışına aktarılmaz. Bu aktarımlara ilişkin ayrıntıları dpp@dppeu.cloud adresine yazarak isteyebilirsiniz.

6. Saklama Süreleri

• Hesap verileri: hesap var olduğu sürece. Hesabınızı DDPP uygulamasında veya web Masası'nda hemen silebilirsiniz; e-postayla başvurursanız 30 gün içinde sileriz (hesap silme).
• Giriş belirteçleri: oturumu kapatana, belirteç bir yıl sonra sona erene ya da hesap silinene kadar.
• Apple ile giriş belirteci: hesabınızı silene kadar; silindiğinde Apple nezdinde iptal edilir ve silinir.
• Parola sıfırlama ve e-posta onay bağlantıları: 60 dakika.
• Davetler: davet edilen kişinin e-posta adresi davet kabul edilene kadar davette tutulur; davet kabul edildiğinde davetten silinir.
• Veri dışa aktarma dosyaları: yedi gün.
• Kuruluş bilgileri ve içerikleri: kuruluş onları DDPP'de tuttuğu sürece. Yayımlanmış pasaportlar kuruluş yayından kaldırana veya silinene kadar çevrimiçi kalır.
• İşletme kontrolü belgeleri ve kararlar: belgeler kuruluş DDPP'de bulunduğu sürece; DDPP'nin kararları bunların kaydı olarak saklanır. Bir sahip veya yönetici, işletme kontrole gönderilene kadar bir belgeyi kaldırabilir.
• Kredi satın alımları: kuruluş DDPP'de bulunduğu sürece; satın alan üye hesabını silerse kayıt artık onu anmaz. Stripe ödemeyi ve faturayı, satın alanın e-posta adresiyle birlikte, satıcı ZincirX Inc.'in vergi ve muhasebe kayıtları olarak mevzuatın gerektirdiği süre boyunca saklar. Uygulamada yapılan bir satın almada ödemeyi ve makbuzu Apple veya Google kendi koşulları uyarınca saklar.
• Baskı siparişleri: satışın ve siparişin nereye gönderildiğinin kaydı olarak, kuruluş DDPP'de bulunduğu sürece; siparişi veren üye hesabını silerse sipariş artık onu satın alan olarak anmaz, ancak teslimat bilgileri siparişte kalır. ZincirX A.Ş.'nin sattığı siparişlerde fatura ve ödeme kaydı vergi ve ticaret mevzuatının gerektirdiği süre boyunca saklanır, iyzico da ödemeye ilişkin kendi kaydını tutar; ZincirX Inc.'in sattığı siparişlerde Stripe ödemeyi ve faturayı kredi satın alımlarında olduğu gibi saklar. Kargo şirketi teslimata ilişkin kendi kaydını kendi koşulları uyarınca tutar. Paketi teslim alacak kişinin telefon numarası ve e-posta adresi, sipariş gönderildikten, iptal edildikten veya iade edildikten 30 gün sonra silinir.
• Kurulum siparişleri: diğer sipariş ve fatura kayıtları gibi, satışın ve kabul edilen koşulların kaydı olarak, kuruluş DDPP'de bulunduğu sürece; siparişi veren üye hesabını silerse, sipariş koşulları kimin kabul ettiğinin kaydı olarak onun adını ve e-posta adresini saklar. ZincirX A.Ş.'nin sattığı siparişlerde fatura ve ödeme kaydı vergi ve ticaret mevzuatının gerektirdiği süre boyunca saklanır, iyzico da ödemeye ilişkin kendi kaydını tutar; ZincirX Inc.'in sattığı siparişlerde Stripe ödemeyi ve faturayı kredi satın alımlarında olduğu gibi saklar.
• Yazışmalar ve bildirimler: konuyu ve olası devamını ele almak için gerektiği sürece.
• Sunucu ve uygulama kayıtları: 14 gün.
• Yedekler: 14 gün; bu sürenin sonunda silinen veriler yedeklerde de bulunmaz.

Bunların dışında kişisel verileriniz, işlendikleri amaçların gerektirdiği süre ve ilgili mevzuatta öngörülen süreler boyunca (ör. ticari defter ve belgeler için 6102 sayılı Türk Ticaret Kanunu m. 82 uyarınca on yıl; vergi kayıtları için 213 sayılı Vergi Usul Kanunu m. 253 uyarınca ilgili yılı izleyen yıldan başlayarak beş yıl) saklanır; bu sürelerin sonunda Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca silinir, yok edilir veya anonim hâle getirilir.

7. Çerezler

Çerez tercihinizi, sitenin her sayfasının ve web Masası'nın giriş ve kayıt sayfalarının altındaki Çerez tercihleri bağlantısından istediğiniz zaman değiştirebilir veya geri alabilirsiniz.

Zorunlu çerezler ve yerel depolama

• ddppeu.com ve dppeu.cloud sitenin kendi sayfalarında kendine ait tek bir çerez kullanır: çerez bildirimindeki tercihinizi (tercihin sürümü, tarihi ve analitiğe izin verip vermediğiniz) hatırlayan zx_consent; 6 ay saklanır, sonra tercihiniz yeniden sorulur. Başka bir dil öneren notu kapatırsanız tarayıcınızın yerel depolaması bunu hatırlar.
• Pasaport sayfaları, GS1 Digital Link adresleri, /find'daki pasaport araması ve uygulamanın sunucusu çerez kullanmaz.
• Web Masası (/desk) ve hesap sayfaları iki çerez kullanır: oturumunuzu tutan ve sekiz saat hareketsizlikten sonra ya da oturumu kapattığınızda sona eren oturum çerezi (ddpp-session) ve formları koruyan, oturum kadar süren XSRF-TOKEN.
• "Bu tarayıcıda oturum açık kalsın" kutusunu işaretlerseniz veya web Masası'na Google ya da Apple ile giriş yaparsanız bir hatırlama çerezi (remember_web_…) o tarayıcıda oturumunuzu en fazla 400 gün ya da oturumu kapatana kadar açık tutar.
• Web Masası'na Google veya Apple ile giriş yaparken bir çerez (ddpp_handshake), sağlayıcının yanıtını girişinize bağlayan değerleri şifreli olarak en fazla on dakika tutar.
• Kredi satın alırken ulaştığınız ödeme sayfası Stripe'ın kendi sayfasıdır. Bir baskı siparişini öderken ulaştığınız sayfa, Türkiye'deki kuruluşlar için ZincirX A.Ş.'nin zincirx.com'daki ödeme sayfası ve iyzico'nun sayfası, diğer kuruluşlar için Stripe'ın sayfasıdır. Bu sayfalarda kendi çerez kuralları geçerlidir. Kurulum paketinin ödemesini de aynı sayfalar alır.
• DDPP uygulaması giriş belirtecinizi telefonunuzun güvenli deposunda, ayarlarınızı ve kaydettiğiniz ürünleri telefonunuzda tutar.

Bu çerezler ve depolama, talep ettiğiniz hizmetin sunulması ve çerez tercihinize uyulması için zorunludur; sözleşmenin ifası (m. 5/2-c), hukuki yükümlülüğümüzün yerine getirilmesi (m. 5/2-ç) ve hizmetin güvenliğine ilişkin meşru menfaatimize (m. 5/2-f) dayanır; onayınız gerekmez.

Analitik çerezler: yalnızca açık rızanızla

Yalnızca çerez bildiriminde "Analitiği kabul et"i seçerseniz veya Tercihler'de Analitik'i açarsanız sitenin sayfaları, web Masası'nın giriş ve kayıt sayfaları ve yeni bir hesabın kuruluşunu adlandırdığı sayfa, ziyaretleri saymak ve nasıl kullanıldıklarını görmek için Google LLC (ABD) tarafından sağlanan Google Analytics 4'ü yükler. Bu araç _ga ve _ga_WM7TQV23M5 çerezlerini yerleştirir; bu çerezler en fazla 2 yıl saklanır. Bu durumda ziyaret ettiğiniz sayfanın adresi (utm_source gibi kampanya etiketleri dışında sorgu parametreleri olmadan), geldiğiniz sayfa, tarayıcı ve cihaz bilgileriniz ile IP adresiniz; Masa'da hesap açarsanız ayrıca bir hesap açıldığı ve nasıl açıldığı (e-posta, Google veya Apple) tarayıcınızdan doğrudan Google LLC'ye iletilir ve Google tarafından ABD'de işlenebilir. Adınız veya e-posta adresiniz Google'a hiçbir zaman iletilmez. Ölçümler Google Analytics'te en fazla 14 ay tutulur. Rızanız olmadan Google Analytics betiği hiç yüklenmez ve Google'a hiçbir veri gönderilmez. Pasaport sayfaları, /find'daki pasaport araması, GS1 Digital Link adresleri ve web Masası'nın bir kuruluşun kayıtlarını gösteren sayfaları onu hiçbir zaman yüklemez.

Analitik çerezlerin hukuki sebebi açık rızanızdır (m. 5/1). Rızanızı, her sayfanın altındaki Çerez tercihleri bağlantısından "Analitiği reddet"i seçerek verdiğiniz kadar kolay biçimde istediğiniz zaman geri alabilirsiniz; bu durumda Google Analytics durdurulur ve erişebildiğimiz _ga çerezleri silinir. Çerezleri tarayıcınızın ayarlarından da silebilirsiniz. Reklam veya pazarlama çerezi kullanmayız.

8. KVKK m. 11 Kapsamındaki Haklarınız

KVKK'nın 11. maddesi uyarınca veri sorumlusuna başvurarak:

• a) kişisel verilerinizin işlenip işlenmediğini öğrenme,
• b) kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• c) kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• ç) yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
• d) kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• e) KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
• f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• g) işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• ğ) kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz.

9. Başvuru Yöntemi

Bu haklarınızı kullanmak için Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca başvurunuzu Türkçe olarak:

• ZincirX A.Ş.'nin yukarıdaki adresine ıslak imzalı bir dilekçeyle şahsen, posta yoluyla veya noter aracılığıyla,
• güvenli elektronik imza ya da mobil imza ile imzalanmış olarak veya daha önce bize bildirdiğiniz ve sistemimizde kayıtlı bulunan e-posta adresinizden dpp@dppeu.cloud adresine e-posta göndererek

iletebilirsiniz.

Başvurunuzda adınız, soyadınız ve başvuru yazılı ise imzanız; T.C. vatandaşları için T.C. kimlik numaranız, yabancılar için uyruğunuz ve pasaport numaranız veya varsa kimlik numaranız; tebligata esas yerleşim yeri veya iş yeri adresiniz; varsa bildirime esas e-posta adresiniz, telefon ve faks numaranız ile talep konunuz bulunmalıdır. Konuya ilişkin bilgi ve belgeleri başvurunuza ekleyebilirsiniz.

Başvurunuzu talebin niteliğine göre en kısa sürede ve en geç otuz (30) gün içinde ücretsiz olarak sonuçlandırırız. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, verilen cevabı yetersiz bulmanız veya süresinde cevap verilmemesi hâlinde, cevabı öğrendiğiniz tarihten itibaren otuz (30) gün ve her hâlde başvuru tarihinden itibaren altmış (60) gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilirsiniz (KVKK m. 14).

Bir kuruluşun kayıtlarındaki veriler (1. bölüm) için yaptığınız başvuruyu o kuruluşa iletir ve yanıt vermesine yardımcı oluruz.

Bu metni DDPP veya mevzuat değiştiğinde güncelleriz; yürürlükteki sürüm her zaman bu sayfadadır.