KVKK Aydınlatma Metni

1. Veri sorumlusunun kimliği

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca veri sorumlusu: [DOLDURULACAK] (Veri sorumlusu unvanı) (ticari marka: 29 Gayrimenkul).

Adres: Kuveyt Türk Bankası yanı, Merkez, Atatürk Cd. No:170/A, 07500 Serik / Antalya. Telefon: +90 532 587 20 63. E-posta: 29emlak07@gmail.com. Web: https://29gayrimenkul.com.

Vergi dairesi: [DOLDURULACAK] (Vergi dairesi). Vergi no: [DOLDURULACAK] (Vergi numarası). MERSİS/ticaret sicil: [DOLDURULACAK] (MERSİS / ticaret sicil numarası). Yetki belgesi: [DOLDURULACAK] (Taşınmaz ticareti yetki belgesi numarası). KEP: [DOLDURULACAK] (KEP adresi).

Bu metin bir avukat veya kamu otoritesi onayı iddiası taşımaz. Eksik kimlik alanları [DOLDURULACAK] ile işaretlenmiştir.

2. İşlenen kişisel veri kategorileri (uygulamada gerçekten toplananlar)

• Kimlik / iletişim: ad, soyad (veya tek ad alanı), telefon numarası, isteğe bağlı e-posta, isteğe bağlı WhatsApp numarası.
• Talep ve gayrimenkul tercihleri: niyet, mülk tipi, bütçe, il/ilçe/mahalle, mesaj metni, tercih edilen danışman; değerleme için m² ve durum bilgisi.
• Müşteri mesajları: talep sonrası danışman yazışması (/talebim).
• Telefon doğrulama kayıtları (canlı destek vb. SMS yolu kullanıldığında): maskelenmiş telefon, OTP/telefon/IP özetlerinin hash değerleri, deneme ve süre bilgileri (düz metin OTP saklanmaz). Genel talep/değerleme formları SMS zorunlu değildir.
• Değerlendirme / yorum verileri: görünen ad, puan, yorum, yayın onayı, inceleme durumu.
• Kimlik doğrulama / oturum: yönetici Supabase oturum jetonu (tarayıcı localStorage); müşteri konuşma oturum anahtarı (localStorage, sunucuda hash); form oturum çerezi (HttpOnly, sunucuda hash).
• Güvenlik / kötüye kullanım önleme: Cloudflare Turnstile sonucu; honeypot; IP/oturum/telefon için hash’lenmiş hız sınırlama sayaçları (ham IP kalıcı saklanmaz); geçici engel kayıtları; abuse olay log’u (hash’li); yönetici engelli telefon listesi; içerik parmak izi hash’i; moderasyon meta verisi; yönetici denetim kayıtları.
• Analitik (yalnızca açık onay sonrası): birinci taraf olay adları, sayfa yolu, ilan kimliği, dil, cihaz/tarayıcı sınıfı, ülke kodu (güvenilir proxy başlığı varsa), döner ziyaretçi/oturum kimliklerinin HMAC özeti. Mesaj içeriği, GPS, kişi listesi veya cihaz parmak izi toplanmaz.
• Google Analytics 4 — bu ortamda ölçüm kimliği yapılandırılmamış olabilir: [DOLDURULACAK].
• Microsoft Clarity — bu ortamda proje kimliği yapılandırılmamış olabilir: [DOLDURULACAK].
• Çerez tercihleri: çerez onay kaydı (localStorage; zorunlu / analitik / pazarlama).
• Yerel favoriler: ilan kimlikleri (localStorage); onaylı analitikte favori etkileşimi olay olarak sayılabilir (ilan kimliği).
• Danışman / yönetici hesap bilgileri: Auth e-posta, rol, profil adı/telefon, müsaitlik durumu.

Uygulama özel nitelikli kişisel veri toplamayı amaçlamaz. Formlara sağlık, din, biyometri vb. yazmayınız.

3. İşleme amaçları

• Gayrimenkul talebi, değerleme ve canlı destek başvurularını almak ve yanıtlamak.
• Gerekli olduğunda telefon numarasını SMS OTP ile doğrulamak (pazarlama izni oluşturmaz; genel web talep formlarında zorunlu değildir).
• Danışman ataması, iç notlar ve müşteri yazışması ile hizmeti yürütmek.
• Değerlendirme davetlerini yönetmek ve (ayrı açık rıza varsa) yorumları yayınlamak.
• Site güvenliği, bot koruması, hız sınırlama ve kötüye kullanımın önlenmesi (analitik onayına bağlı değildir).
• Onay verilmişse site kullanımını ölçmek ve hizmeti iyileştirmek (birinci taraf analitik; isteğe bağlı GA4/Clarity).
• Yasal yükümlülükler ve ilgili kişi başvurularının cevaplanması.
• Yönetici oturumu, rol ve müsaitlik yönetimi.

Toplu pazarlama SMS/e-posta/WhatsApp kampanyası uygulamada aktif değildir. Talebinize operasyonel yanıt reklam izni sayılmaz.

4. Toplama yöntemleri

• Web formları (talep, değerleme, canlı destek, değerlendirme).
• Web formları; Turnstile bu ortamda yapılandırılmamış görünüyor (üretimde zorunlu).
• Müşteri konuşma arayüzü ve yönetici paneli.
• Tarayıcı localStorage / zorunlu-fonksiyonel çerezler.
• Yönetici girişi (Supabase Auth).
• 29 AI asistan kodda vardır; bu ortamda AI anahtarı yapılandırılmamış görünüyorsa metin AI’ye gönderilmez. Canlı durum: [DOLDURULACAK].

5. Hukuki sebepler / işleme şartları

Her kategori için nihai hukuki sebep işletmenin hukuki danışmanı tarafından doğrulanmalıdır. Aşağıdakiler teknik gerçekliğe dayalı ön notlardır; kesin nitelendirme “hukuki inceleme gerektirir”.

• Talep ve yazışma verileri — hukuki inceleme gerektirir (KVKK m.5).
• Telefon doğrulama / güvenlik logları / Turnstile — hukuki inceleme gerektirir.
• Değerlendirmenin kamuya yayınlanması — açık rıza (ayrı metin ve form kutusu).
• Yönetici hesap verileri — hukuki inceleme gerektirir.
• Çerez tercih kaydı — tercih yönetimi.
• Pazarlama iletişimi — aktif değil.

6. Aktarım / alıcı grupları (yalnızca yapılandırılmış veya doğrulanabilir olanlar)

• Yetkili gayrimenkul danışmanları / yöneticiler (görevleri ölçüsünde).
• Supabase — uygulama bu altyapıya bağlıdır; canlı ortamda yapılandırma durumu: [DOLDURULACAK].
• SMS sağlayıcısı — kodda desteklenir; bu ortamda yapılandırılmamış görünüyor. Canlı sağlayıcı: [DOLDURULACAK].
• E-posta bildirim sağlayıcısı — bu ortamda yapılandırılmamış görünüyor. Canlı sağlayıcı: [DOLDURULACAK].
• Barındırma / CDN sağlayıcısı: [DOLDURULACAK].
• Google Fonts ve (ilanlarda) Google Maps gömülü içerik — tarayıcı teknik çağrıları (üçüncü taraf).
• Üçüncü taraf analitik satıcı kimliği — bu ortamda GA4/Clarity kimliği yapılandırılmamış olabilir: [DOLDURULACAK].

Yapılandırılmamış bir sağlayıcı “kullanılıyor” diye sunulmaz. Canlı üretici bilgisi eksikse [DOLDURULACAK] yazılır.

7. Yurt içi ve yurt dışı aktarımlar

Yapılandırılmış veya kullanılabilecek sağlayıcılar (yapılandırılmış bulut sağlayıcılar (canlı liste için ortam doğrulanmalı)) verileri Türkiye dışında işleyebilir veya erişebilir. Ülke/bölge ve KVKK m.9 aktarım dayanağı: hukuki inceleme gerektirir.

Bu metinde saymak, yurt dışı aktarımı tek başına hukuka uygun kılmaz. Standart sözleşme veya taahhütnamenin imzalandığı bu kod tabanından doğrulanamaz; “aktarım sözleşmesi mevcuttur” iddiası yapılmaz.

8. Saklama ve silme ilkeleri

Veriler, işleme amacının gerektirdiği süre ve ilgili mevzuattaki yükümlülükler kadar tutulur. Onaylanmış saklama süreleri işletme tarafından belirlenmedikçe otomatik silme uygulanmaz. Süreler: hukuki inceleme / [DOLDURULACAK].

Telefon doğrulama kayıtları hash’lenmiş biçimde tutulur (OTP kodu teknik olarak kısa ömürlüdür).

Kötüye kullanım sayaçları ve geçici engeller süre dolunca temizlenir; ham IP adresi bu tablolarda kalıcı saklanmaz (salt ile hash).

Favori ilan listesi yalnızca ziyaretçi tarayıcısındadır.

9. Güvenlik önlemleri (üst düzey)

• Rol tabanlı erişim (admin / super_admin) ve isteğe bağlı MFA.
• OTP, telefon ve oturum jetonlarının hash’lenmesi.
• Honeypot ve hız sınırlama.
• Yönetici işlemleri için denetim kaydı altyapısı.
• Hizmet anahtarlarının tarayıcıya verilmemesi.

Hiçbir sistem “%100 güvenli” değildir.

10. KVKK m.11 kapsamındaki haklarınız

• İşlenip işlenmediğini öğrenme; bilgi talep etme.
• Amacı ve amaca uygun kullanımı öğrenme.
• Aktarılan üçüncü kişileri bilme.
• Düzeltme; silme / yok etme talep etme.
• Aktarılanlara bildirim; otomatik sistemlere itiraz; zararın giderilmesini talep etme.

11. Başvuru kanalları ve yanıt süreci

Başvurularınızı [DOLDURULACAK] (KVKK başvuru e-postası) (veya henüz tanımlanmadıysa 29emlak07@gmail.com) ve/veya Kuveyt Türk Bankası yanı, Merkez, Atatürk Cd. No:170/A, 07500 Serik / Antalya adresine iletebilirsiniz. KEP: [DOLDURULACAK] (KEP adresi).

Kimlik doğrulaması için asgari bilgi istenebilir; gereksiz özel nitelikli veri talep edilmez.

Yanıt usulü ve süre: ilgili mevzuat — hukuki inceleme önerilir. Şablon: /ilgili-kisi-basvuru-formu. Başvurular kamuya açılmaz.

12. Yapay zekâ işlemeleri

AI entegrasyonu kodda vardır ancak bu ortamda OpenAI API anahtarı yapılandırılmamış görünmektedir. Anahtar yokken müşteri metni AI sağlayıcısına gönderilmez. Canlı üretim durumu: [DOLDURULACAK].