Son güncelleme: 13 Ekim 2026
1. Taraflar ve amaç
Bu sözleşme, Hanematik hizmetini kullanan site/apartman yönetimi (“Veri Sorumlusu”) ile hizmeti sunan Ferat TAŞ (“Veri İşleyen”; şahıs şirketi kurulduğunda unvan güncellenecektir) arasında, 6698 sayılı KVKK’nın 12. maddesi uyarınca Veri İşleyen’in Veri Sorumlusu adına işlediği kişisel verilere ilişkin esasları düzenler. Kullanım Koşulları’nın ayrılmaz bir ekidir ve hizmetin kullanılmaya başlanması (veya teklifin kabulü) ile yürürlüğe girer; hizmet süresince geçerlidir.
Bu sözleşme yalnız site içi verileri kapsar. Teklif formu, hesabın giriş güvenliği ve tanıtım sitesi verileri bakımından Ferat TAŞ’ın kendisi veri sorumlusudur (bkz. KVKK Aydınlatma Metni).
2. İşlemenin konusu, süresi ve niteliği
- Konu: Bina/site yönetimi yazılım hizmetinin sunulması (barındırma, saklama, gösterme, bildirim gönderme, yedekleme).
- Süre: abonelik süresi ve veri iadesi/silme süreci (madde 10) tamamlanana kadar.
- İlgili kişi grupları: sakinler (malik, kiracı), yönetim yetkilileri, çalışanlar ve kapı görevlileri, ziyaretçiler, kargo alıcıları.
- Veri kategorileri: ad soyad, e-posta, telefon, daire/blok ve malik-kiracı bilgisi; borç, tahakkuk, ödeme ve dekont kayıtları; arıza talebi, mesaj ve duyuru içerikleri ve fotoğrafları; ziyaretçi adı, plaka, geçiş ve kargo kayıtları; oylama ve genel kurul kayıtları; işlem/denetim kayıtları (IP adresi dahil). Özel nitelikli kişisel veri işlenmesi amaçlanmaz; Veri Sorumlusu bu tür verilerin sisteme girilmemesini sağlar.
- İşleme faaliyetleri: kaydetme, depolama, düzenleme, görüntüleme, e-posta ile iletme, yedekleme, silme/anonimleştirme.
3. İşleme talimatı
- Veri İşleyen, kişisel verileri yalnız Veri Sorumlusu’nun belgelenmiş talimatlarına, yani hizmetin sunulması için gerekli ölçüde ve bu sözleşmeye göre işler. Yazılımın kullanımı (kayıt ekleme, silme, yetki verme, modül açma/kapama vb.) Veri Sorumlusu’nun talimatı sayılır.
- Veri İşleyen, verileri kendi amaçları için kullanmaz, satmaz, reklam veya profilleme için işlemez, Veri Sorumlusu’nun talimatı veya yasal zorunluluk dışında üçüncü kişilere vermez.
- Bir talimatın mevzuata aykırı olduğunu düşünürse Veri İşleyen bunu Veri Sorumlusu’na bildirir ve gerekçesini belirterek uygulamayabilir.
- Yasal bir zorunlulukla veri talep edilirse, mevzuat yasaklamıyorsa Veri Sorumlusu önceden bilgilendirilir.
4. Veri Sorumlusu’nun yükümlülükleri
- Verilerin hukuka uygun toplanması, aydınlatma yükümlülüğü ve hukuki sebebin belirlenmesi, ilgili kişilerin başvurularının yanıtlanması ve gerekiyorsa VERBİS kaydı Veri Sorumlusu’na aittir. Sakinlere verilebilecek hazır bir metin aydınlatma metni şablonu olarak sunulur; şablonu kendi durumuna göre uyarlamak Veri Sorumlusu’nun sorumluluğundadır.
- Görevlilere yalnız gerekli yetkiyi vermek, hesap bilgilerinin gizliliğini sağlamak ve görevi sona erenlerin erişimini kaldırmak Veri Sorumlusu’nun sorumluluğundadır.
5. Gizlilik
Veri İşleyen; verilere erişen kişileri (kendisi ve varsa yardımcıları) gizlilik yükümlülüğü altına alır. Bu yükümlülük hizmet sona erdikten sonra da süresiz devam eder. Erişim yalnız hizmetin sunulması, destek ve güvenlik için gerektiği kadar ve kayıt altına alınarak yapılır.
Veri İşleyen’in destek ekibi, Veri Sorumlusu’nun site verisini uygulama üzerinden yalnız müşterinin talebi veya destek/teknik zorunluluk gerekçesiyle, süreli ve kayıtlı bir erişim oturumu açarak görüntüler. Oturum en fazla 4 saat sürer; gerekçe, başlangıç ve bitiş zamanı Veri Sorumlusu’nun uygulamadaki işlem geçmişinde “Hanematik destek erişimi” olarak görünür ve oturum süresince yapılan görüntülemeler de denetim kaydına yazılır.
6. Güvenlik tedbirleri (KVKK m.12)
Veri İşleyen, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için aşağıdaki tedbirleri uygular:
- İletimde şifreleme: tüm istemci-sunucu iletişimi TLS (HTTPS) ile yapılır; güvenlik başlıkları uygulanır.
- Rol bazlı yetkilendirme ve site yalıtımı: her kullanıcı yalnız rolünün ve üyeliğinin izin verdiği kayıtlara erişir; bir yönetim başka bir yönetimin verisini göremez. Telefon gibi alanlar yalnız yetkili ekranlara iletilir.
- Denetim kayıtları: önemli işlemler (kim, ne zaman, ne) denetim kaydına yazılır.
- Parola güvenliği: parolalar yalnız tek yönlü hash ile saklanır; başarısız girişlerde hesap geçici kilitlenir.
- Hız sınırlama: giriş, form ve API uçlarında istek sınırları uygulanarak kaba kuvvet ve kötüye kullanım engellenir.
- Şifreli yedek: veritabanı ve dosyalar günlük olarak GPG (AES-256) ile şifrelenerek yedeklenir; yedek şifresi yalnız Veri İşleyen’dedir. Yedekler 30 gün saklanır.
- Veri minimizasyonu ve saklama: yüklenen fotoğraflardan konum ve cihaz bilgisi (EXIF/GPS) silinir; kapı kayıtları 180 gün sonra anonimleştirilir; belge, silinmiş içerik, bildirim ve denetim kaydı IP’si için saklama süreleri sonunda otomatik silme çalışır (bkz. Saklama ve İmha Politikası).
- İlgili kişi talepleri için araçlar: kullanıcı kendi verisinin kopyasını uygulamadan indirebilir (Verilerimi indir) ve hesabını silebilir.
- Oturum yönetimi: oturumlar süreli ve iptal edilebilirdir; hesap silinince tüm oturumlar kapatılır.
- Barındırma: Türkiye’de (İstanbul) bulunan sunucuda; sunucuya erişim yetkili kişilerle sınırlıdır.
Veri İşleyen tedbirleri teknolojik gelişmelere ve risklere göre güncel tutar; seviyeyi düşürmez.
7. Alt işleyenler
Veri Sorumlusu, Veri İşleyen’in aşağıdaki alt işleyenleri kullanmasına genel olarak izin verir. Veri İşleyen, alt işleyenlerle bu sözleşmedekine eşdeğer koruma sağlayan yükümlülükler kurar ve alt işleyenlerin faaliyetinden sorumludur.
- SistemDC (Türkiye, İstanbul): sanal sunucu barındırma; veritabanı (PostgreSQL), dosyalar ve Veri İşleyen’in kendi e-posta sunucusu (gelen ve giden e-postalar).
- Google LLC (ABD, yurt dışı) — Google Drive: veritabanı, dosyalar ve e-posta kutularının günlük yedeğinin sunucu dışındaki ikinci kopyası (30 gün). Yedek sunucudan çıkmadan önce AES-256 ile şifrelenir; şifre yalnız Veri İşleyen’dedir ve Google’a verilmez.
Yurt dışı aktarımın dayanağı: Bu sözleşmenin tarihi itibarıyla yukarıdaki yurt dışındaki alt işleyenle imzalanmış ve Kişisel Verileri Koruma Kurulu’na bildirilmiş bir standart sözleşme bulunmamaktadır. Veri İşleyen, bu aktarımları KVKK m.9’daki bir mekanizmaya bağlamak ya da yedek hizmetini Türkiye’deki bir sağlayıcıya taşımak için çalışmaktadır ve sonucu Veri Sorumlusu’na bildirecektir. Bu süreçte yedekler yalnız şifreli olarak gönderilir. Veri Sorumlusu bu durumu bilerek hizmeti kullanır; kabul etmiyorsa sözleşmeyi feshedebilir ve verilerinin iadesini isteyebilir (madde 10).
Alt işleyen eklenmesi veya değiştirilmesi planlandığında liste güncellenir ve Veri Sorumlusu’na en az 15 gün önce uygulama içi veya e-posta ile bildirilir; Veri Sorumlusu makul gerekçeyle itiraz edebilir, çözüm bulunamazsa sözleşmeyi feshedebilir. Push bildirimi, SMS ve analitik alt işleyeni kullanılmamaktadır. Kartla online ödeme özelliği (“Çok yakında”) şu an kapalıdır ve ödeme kuruluşuna veri aktarılmamaktadır; devreye alındığında ödeme, Veri Sorumlusu’nun da taraf olacağı ayrı bir ödeme kuruluşu (iyzico, yurt içi, TCMB lisanslı) ilişkisi içinde işlenir, tutar doğrudan Veri Sorumlusu’nun hesabına geçer, Hanematik ödemeyi kendi adına tahsil etmez ve kart bilgisi saklamaz. Aktarılacak veriler ve tarafların rolleri özellik açılmadan önce bu sözleşmeye eklenir ve madde 7’deki bildirim usulüyle Veri Sorumlusu’na duyurulur.
8. İlgili kişi başvuruları ve yardım
İlgili kişilerin başvuruları öncelikle Veri Sorumlusu’na yapılır. Veri İşleyen’e ulaşan başvurular gecikmeden Veri Sorumlusu’na iletilir ve Veri İşleyen yanıtı kendisi vermez. Veri İşleyen, yazılımın sunduğu araçlarla (dışa aktarma, düzeltme, silme/anonimleştirme) ve makul destekle Veri Sorumlusu’nun başvuruları yasal sürede (30 gün) yanıtlamasına yardımcı olur. Hesap sahibi kişinin kendi hesabını silmesi, hesap silme akışıyla ayrıca mümkündür.
9. Veri ihlali bildirimi
Veri İşleyen, işlediği kişisel verilerin hukuka aykırı biçimde ele geçirildiğini öğrendiğinde Veri Sorumlusu’nu gecikmeksizin ve en geç 24 saat içinde yazılı olarak (e-posta ile) bilgilendirir; böylece Veri Sorumlusu Kurul’a 72 saat içinde bildirim yapabilir. Bildirimde ihlalin niteliği, etkilenen veri ve kişi grupları, olası sonuçlar ve alınan/alınacak tedbirler yer alır; bilgiler kademeli verilebilir. İhlalin Kurul’a ve ilgili kişilere bildirilmesi (KVKK m.12/5) yükümlülüğü Veri Sorumlusu’na aittir; Veri İşleyen gerekli bilgi ve desteği sağlar.
10. Sözleşme sonunda iade ve silme
- Abonelik sona erdiğinde Veri Sorumlusu’nun talebi üzerine veriler dışa aktarılmış kopya olarak iade edilir (en geç 30 gün içinde).
- İade veya Veri Sorumlusu’nun yazılı silme talebinden sonra veriler üretim sisteminden silinir ya da anonimleştirilir; yedeklerdeki kopyalar en geç 30 gün içinde yedek döngüsüyle silinir. Veri Sorumlusu talepte bulunmazsa veriler hizmet durdurulmuş olarak (Yönetim ve sakinlerin erişimi kapalı) saklanır, kendiliğinden silinmez; ödeme yapılınca erişim aynen geri açılır.
- Mevzuatın saklamayı zorunlu kıldığı kayıtlar yasal süre boyunca ve yalnız o amaçla saklanabilir.
- Silme, talep üzerine yazılı (e-posta) olarak teyit edilir.
11. Denetim hakkı
Veri Sorumlusu, bu sözleşmeye uyumu doğrulamak için Veri İşleyen’den makul bilgi ve belge isteyebilir. Önceden en az 15 gün haber vererek, iş akışını aksatmayacak biçimde ve gizlilik yükümlülüğüne uyarak yılda en fazla bir kez (ihlal şüphesi hariç) denetim yapabilir veya yaptırabilir. Veri İşleyen’in yetkili kurum denetimlerine ilişkin yükümlülükleri saklıdır.
12. Sorumluluk, uygulanacak hukuk
Sorumluluk, Kullanım Koşulları’ndaki hükümlere tabidir; ancak KVKK ve ilgili mevzuattan doğan sorumluluklar sınırlandırılamaz. Sözleşmeye Türk hukuku uygulanır. Uyuşmazlıkta Veri İşleyen’in yerleşim yeri mahkemeleri ve icra daireleri yetkilidir.
13. İletişim
Ferat TAŞ, iletisim@hanematik.com.tr