Veri Saklama ve İmha Politikası

Sürüm 2.0 · Yayım ve yürürlük tarihi: 21 Ekim 2026 · Elektronik ortamda onaylandığı veya Platform’da yayımlandığı anda yürürlüğe girer.

Bu metinde “Şirket”, yukarıda bilgileri yer alan SOLİD REKLAM LTD. ŞTİ.’yi; “Platform”, Şirket tarafından işletilen ve yenikare.com adresinden sunulan “Yeni Kare” web sitesi, alt sayfaları, yayın bağlantıları (ör. yenikare.com/k/…), yönetim paneli ve ilgili tüm hizmetleri; “Kullanıcı” ya da “Üye”, Platform’a üye olan, Platform’u kullanan veya oluşturduğu QR kod sayfalarını yöneten gerçek ya da tüzel kişileri; “Ziyaretçi”, Kullanıcı’nın QR kodunu tarayarak veya bağlantısını açarak yayın sayfasına ulaşan kişileri ifade eder.

Bu Belgenin Özeti

• Bu belge, Şirket’in veri sorumlusu sıfatıyla işlediği kişisel verileri ne kadar süre saklayacağını ve süre dolunca nasıl imha edeceğini belirleyen Kişisel Veri Saklama ve İmha Politikasıdır.
• Dayanak: 6698 sayılı KVKK m.4, m.7 ve m.12 ile “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik”.
• Her veri kategorisi için saklama süresi, hukuki dayanağı (VUK 5 yıl, TTK 10 yıl, 5651 sayılı Kanun trafik kayıtları, SGK, zamanaşımı vb.) tabloda gösterilir.
• Saklama süresi bitince veya işleme amacı ortadan kalkınca veri silinir, yok edilir veya anonim hale getirilir; periyodik imha en geç 6 ayda bir yapılır, ilgili kişi talepleri ise 30 gün içinde sonuçlandırılır.
• Yasal saklama yükümlülüğü bulunan veriler, süresi dolana kadar kısıtlı erişimle saklanır; süre dolunca imha edilir.
• Kullanıcı’nın kendi Ziyaretçileri’nden topladığı verilerin saklama ve imhasından Kullanıcı sorumludur; Şirket bu verilerde veri işleyendir.

Madde 1 — Amaç, Kapsam ve Hukuki Dayanak

1.1. Bu Politika; SOLİD REKLAM LTD. ŞTİ. (“Şirket”) tarafından yenikare.com adresindeki Yeni Kare Platformu’nda ve Şirket faaliyetlerinde işlenen kişisel verilerin saklama sürelerini, saklama ortamlarını, imha sebeplerini ve imha yöntemlerini belirlemek; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca sorumlulukları ve süreci tanımlamak amacıyla hazırlanmıştır.

1.2. Dayanak mevzuat: 6698 sayılı Kişisel Verilerin Korunması Kanunu (m.4/2-(d): işlendikleri amaç için gerekli olan veya ilgili mevzuatta öngörülen süre kadar muhafaza edilme; m.7; m.12), anılan Yönetmelik (28.10.2017 tarihli ve 30224 sayılı Resmî Gazete; sonraki değişiklikleri dahil), 213 sayılı Vergi Usul Kanunu, 6102 sayılı Türk Ticaret Kanunu, 6098 sayılı Türk Borçlar Kanunu, 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu, 4857 sayılı İş Kanunu, 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, 6502 sayılı Tüketicinin Korunması Hakkında Kanun ve Mesafeli Sözleşmeler Yönetmeliği, 5070 sayılı Elektronik İmza Kanunu ve diğer ilgili mevzuattır.

1.3. Politika; Kullanıcılar (üyeler), Ziyaretçiler (Şirket’in veri sorumlusu olduğu ölçüde), Şirket çalışanları, iş başvurusu yapanlar, iş ortakları, tedarikçiler ve Şirket ile iletişime geçen diğer kişilerin verilerini kapsar. Elektronik ve fiziksel tüm kayıt ortamları kapsam içindedir.

1.4. Şirket’in veri işleyen sıfatıyla işlediği, Kullanıcı’nın kendi Ziyaretçileri’ne ait veriler bakımından saklama ve imha politikasını belirleme sorumluluğu Kullanıcı’ya aittir; bu hususlar Veri İşleme Sözleşmesi ile düzenlenir (Madde 13).

Madde 2 — Tanımlar

• Silme: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi.
• Yok etme: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi.
• Anonim hale getirme: Kişisel verilerin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.
• Periyodik imha: Kişisel verilerin işlenmesi için gerekli olan sürenin sona ermesi hâlinde, politikada belirtilen aralıklarla resen gerçekleştirilen silme, yok etme veya anonim hale getirme işlemi.
• Kayıt ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
• İşleme amacı: Kişisel verinin toplanma ve kullanılma sebebi; amaç ortadan kalkınca verinin saklanma gerekçesi de sona erer.
• Kısıtlı erişimle saklama: Verinin yalnızca yasal saklama, delil veya hak tesisi amacıyla, yetkili sınırlı sayıda personelin erişebildiği ayrı bir ortamda tutulması; verinin başka amaçla kullanılmaması.

Madde 3 — Temel İlkeler

3.1. Kişisel veriler, hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlar için, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak işlenir; ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilir.

3.2. Kişisel veri, saklama süresi dolduğunda, işleme amacı ortadan kalktığında veya m.5/m.6’daki işleme şartlarının tamamı ortadan kalktığında re’sen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.

3.3. Veri en aza indirme ilkesi gereği Şirket, Hizmet için gerekmeyen veriyi toplamaz; gereğinden uzun süre saklamaz; yasal saklama gereken verileri işlevsel olarak ayırır.

3.4. Saklama sürelerinin belirlenmesinde sırasıyla; ilgili mevzuatta öngörülen süre, mevzuat süre öngörmüyorsa işleme amacının gerektirdiği süre, hukuki uyuşmazlıklarda hakkın korunması için gereken zamanaşımı süreleri ve Şirket’in meşru menfaati dikkate alınır.

Madde 4 — Roller ve Sorumluluklar

4.1. Şirket, VERBİS’e kayıt yükümlülüğü bulunduğu ölçüde (mali bilanço toplamı, çalışan sayısı ve ana faaliyet konusuna göre Kurul’ca belirlenen eşikler çerçevesinde) kayıtlarını bu Politika ile uyumlu tutar. Yükümlülüğün bulunmadığı durumlarda da politika iç uygulama olarak uygulanır.

Madde 5 — Kayıt Ortamları

5.1. Kişisel veriler şu ortamlarda saklanır: (a) Şirket’in veya hizmet sağlayıcısının barındırma sunucularındaki veritabanları (Türkiye veya Avrupa Birliği’nde bulunabilir); (b) yedekleme sistemleri; (c) e-posta, destek ve iletişim sistemleri; (d) kurumsal bulut ve dosya depolama hizmetleri; (e) muhasebe ve ön muhasebe programları, e-fatura/e-arşiv portalları; (f) fiziki arşiv (sözleşme, bordro, belge); (g) çalışanların cihazları ve mobil cihazlar (sınırlı).

5.2. Elektronik ortamlarda; erişim yetkilendirmesi, parola ve çok aşamalı doğrulama, şifreleme, güncel yazılım ve güvenlik duvarı gibi teknik tedbirler; fiziksel ortamlarda kilitli dolap, erişim kısıtı ve ziyaretçi kontrolü gibi idari tedbirler uygulanır (bkz. Bilgi Güvenliği Politikası).

Madde 6 — Saklama Süreleri

6.1. Yukarıdaki süreler, ilgili mevzuatın öngördüğü süreler değiştiğinde otomatik olarak yeni süreye göre uygulanır; mevzuat süreyi uzatıyorsa uzun süre, kısaltıyorsa artık gerekli olmayan veriler kısaltılan süreye göre imha edilir.

6.2. Saklama süresi, mevzuat gereği saklanan veriler için ilgili yasal sürenin başlangıcından; diğer veriler için işleme amacının sona erdiği tarihten başlar.

Madde 7 — İmhayı Gerektiren Sebepler

Kişisel veriler; (a) ilgili mevzuat hükümlerinin değiştirilmesi veya ortadan kalkması, (b) işlemeyi veya saklamayı gerektiren amacın ortadan kalkması, (c) kişisel verileri işlemenin sadece açık rıza şartına bağlı olduğu hâllerde ilgili kişinin rızasını geri alması, (d) KVKK m.11 kapsamında ilgili kişinin kişisel verilerinin silinmesi ve yok edilmesi ile ilgili başvurusunun Şirket tarafından kabul edilmesi, (e) Şirket’in ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebini reddetmesi, verdiği cevabın yetersiz bulunması veya Kanun’da öngörülen süre içinde cevap vermemesi hâllerinde Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması, (f) kişisel verileri saklamayı gerektiren azami sürenin geçmiş olması ve bu süreden sonra saklanmasını haklı kılacak herhangi bir şartın bulunmaması hâllerinde, Şirket tarafından re’sen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.

Madde 8 — İmha Yöntemleri

8.1. Silme

8.2. Yok Etme

• Fiziksel ortamlar: Kağıtlar kâğıt kırpma/öğütme makinelerinde geri okunamayacak biçimde yok edilir; optik/manyetik ortamlar (CD, DVD, harici disk) fiziksel olarak kırılarak, eritilerek veya toz hâline getirilerek yok edilir.
• Manyetik ve katı hâl ortamlar (disk, SSD): Verinin okunamaz hale getirilmesi için güvenli üzerine yazma veya şifreleme anahtarının yok edilmesi (kriptografik silme); cihaz hizmet dışı kalacaksa fiziksel imha.
• Yedek ortamlar: Yedek döngüsü sonunda ilgili yedek setinin silinmesi/üzerine yazılması ve yedeğin eski sürümlerinin kullanılamaz hale getirilmesi.

8.3. Anonim Hale Getirme

8.3.1. Anonimleştirme; değişkenlerin çıkarılması, maskeleme veya tek yönlü özetleme (ör. IP adresinin hash değerine dönüştürülmesi), toplulaştırma, genelleme (ör. şehir yerine bölge), gürültü ekleme ve benzeri tekniklerle, verinin başka verilerle eşleştirilse dahi bir kişiyle ilişkilendirilemeyeceği düzeyde yapılır. Anonim hale getirilen veri artık kişisel veri değildir; ancak yeniden kişiselleştirilebilirliği düzenli aralıklarla değerlendirilir.

8.3.2. Tarama istatistikleri gibi veriler, saklama süresi sonunda ham satırlar silinerek yalnızca toplu özet sayılarla anonim biçimde sürdürülebilir.

Madde 9 — Periyodik İmha

9.1. Şirket, saklama süresi dolan verileri periyodik imha kapsamında altı (6) ayı geçmeyecek aralıklarla belirler ve imha eder. Periyodik imha her yıl en az iki kez (Haziran ve Aralık aylarında) yapılır.

9.2. Kişisel verileri silme, yok etme veya anonim hale getirme yükümlülüğü ortaya çıktığı tarihi izleyen ilk periyodik imha işleminde yerine getirilir.

9.3. Periyodik imha öncesinde sorumlu birim; imha edilecek verileri tespit eder, askıya alma gerektiren (uyuşmazlık, soruşturma, kamu kurumu talebi, hukuki saklama) kayıtları ayırır, imha kapsamını yetkili temsilciye sunar ve onay sonrası imhayı gerçekleştirir.

9.4. İlgili kişi başvurusuna dayalı imha taleplerinde; talep, niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır (KVKK m.13). Talep reddedilirse gerekçe ilgili kişiye yazılı veya elektronik ortamda bildirilir.

9.5. Kişisel veriler aktarılan üçüncü kişilere (hizmet sağlayıcılara) ilgili kişi talebi üzerine silme, yok etme veya anonimleştirme işlemi bildirilir ve işlemin onaylanması istenir (KVKK m.11/1-(f)).

Madde 10 — İmha Kayıtları

10.1. Silme, yok etme ve anonim hale getirme işlemlerine ilişkin kayıtlar (hangi kategori, ne zaman, kim tarafından, hangi yöntemle, hangi gerekçeyle) tutulur. Bu kayıtlar, imha işlemlerinin tamamlanmasından itibaren en az üç yıl saklanır (diğer yasal yükümlülükler saklı).

10.2. İmha kaydında kişisel veri içeriği bulunmaz; yalnızca veri kategorisi, adet/kayıt aralığı, ortam ve yöntem belirtilir. Kullanıcı bakımından imha, hesap panelinden silme kaydı ile belgelenir.

Madde 11 — Yedekler ve Hesap Silme

11.1. Yedeklerdeki kopyalar teknik olarak seçici silinemeyebileceğinden, canlı sistemden silinen veri yedek döngüsü içinde (en çok 90 gün) kendiliğinden silinir. Geri yükleme yapılması durumunda silinmesi gereken kayıtlar yeniden imha edilir.

11.2. Kullanıcı hesabını panelden silebilir veya silinmesini talep edebilir. Hesap silme talebi hâlinde; kişisel veriler Madde 6’daki sürelere göre silinir, yasal saklama gerektiren veriler (fatura, sözleşme onayı, log) kısıtlı erişimle süre sonuna kadar saklanır ve süre dolunca imha edilir. Hesap silme geri alınamaz; Kullanıcı kendi içeriklerini ve Ziyaretçi verilerini önceden dışa aktarmakla yükümlüdür.

11.3. Uzun süre (örneğin 24 ay) kullanılmayan ücretsiz hesaplar için Şirket, önceden bildirim yaparak hesabı ve verileri silme hakkını saklı tutar (Hesap Askıya Alma ve Fesih Politikası).

Madde 12 — İmhanın Askıya Alınması

12.1. Dava, soruşturma, icra takibi, idari inceleme, Kurul veya kamu kurumu talebi, hukuki ihtar ya da makul ölçüde beklenen bir uyuşmazlık söz konusuysa ilgili verilerin imhası, bu durum sonuçlanıp zamanaşımı süreleri dolana kadar askıya alınır. Askıya alınan veriler kısıtlı erişimle saklanır ve yalnızca bu amaçla kullanılır.

12.2. İlgili kişinin silme talebi, yukarıdaki hâllerde veya KVKK m.28 ve ilgili mevzuattaki istisnalar çerçevesinde reddedilebilir; ret gerekçesi ilgili kişiye bildirilir.

Madde 13 — Veri İşleyen Sıfatıyla İşlenen Veriler ve Kullanıcı Yükümlülükleri

13.1. Kullanıcı’nın QR sayfaları aracılığıyla Ziyaretçi’lerden topladığı kişisel veriler bakımından Kullanıcı veri sorumlusu, Şirket veri işleyendir. Bu verilerin saklama süresi, imha ve dışa aktarma kararları Kullanıcı’ya aittir; Şirket verileri Kullanıcı’nın talimatları, Hizmet’in teknik gereklilikleri ve Veri İşleme Sözleşmesi kapsamında barındırır.

13.2. Kullanıcı, kendi yayın sayfalarında topladığı verilerin saklama sürelerini ve imha yöntemlerini belirlemek, KVKK ve Yönetmelik kapsamındaki politika yükümlülüklerini yerine getirmek, verileri yedeklemek veya dışa aktarmak ve gereksiz verileri panelden silmekle yükümlüdür.

13.3. Ücretli Plan’ın sona ermesi veya hesabın Şirket tarafından kapatılması hâlinde Kullanıcı’nın Ziyaretçi verileri, sona erme tarihinden itibaren 30 gün dışa aktarma süresi boyunca erişilebilir tutulur; bu süre sonunda 60 gün içinde silinir; yedeklerdeki kopyalar Madde 11 uyarınca 90 gün içinde silinir. Kullanıcı hesabını ya da bir QR sayfasını panelden kendisi silerse ilgili veriler derhal ve geri alınamaz şekilde silinir, dışa aktarma süresi tanınmaz; yedeklerdeki kopyalar yine Madde 11 uyarınca silinir. Kullanıcı, dışa aktarmadığı verilerin kaybından Şirket’i sorumlu tutamaz.

Madde 14 — Güvenlik Tedbirleri

14.1. Saklanan kişisel verilerin hukuka aykırı erişim, kayıp ve değişikliğe karşı korunması için KVKK m.12 ve Kurul’un “Kişisel Veri Güvenliği Rehberi” esas alınarak; erişim yetkilendirme ve rol bazlı yetki, parolaların tek yönlü özetle (hash) saklanması, aktarımda TLS şifrelemesi, güncel yazılım yamaları, günlük kayıtları, yedeklerin korunması, personel gizlilik taahhütleri ve düzenli güvenlik değerlendirmesi uygulanır.

14.2. İmhaya ilişkin sistemlerdeki yetkisiz silme riskine karşı imha yetkisi sınırlı kişilere tanımlanır; toplu silme işlemleri onaylı ve kayıtlı yapılır.

Madde 15 — Denetim, Güncelleme ve Değişiklik

15.1. Politika, en az yılda bir kez veya mevzuat, Kurul kararı, teknik altyapı ya da faaliyet değişikliği hâlinde gözden geçirilir. Değişiklikler yenikare.com adresinde yayımlanır; güncel sürüm tarihi belge başında gösterilir.

15.2. Saklama süreleri, Şirket’in meşru menfaatleri veya mevzuat değişiklikleri doğrultusunda değiştirilebilir; süre uzatımı, KVKK m.10 kapsamında aydınlatma metinlerine yansıtılır.

Madde 16 — İlgili Kişi Hakları ve Başvuru

16.1. İlgili kişiler, KVKK m.11 uyarınca verilerinin silinmesini, yok edilmesini veya anonim hale getirilmesini talep edebilir. Başvuru yöntemleri Veri Sahibi Başvuru Prosedürü’nde ve KVKK Aydınlatma Metni’nde belirtilmiştir; iletişim: merhaba@yenikare.com.

Madde 17 — Sorumluluğun Sınırı

17.1. Şirket, bu Politika’ya uygun hareket eder. Kullanıcı’nın kendi sorumluluğundaki verilerin zamanında dışa aktarılmaması, yanlışlıkla silinmesi, hesabına yetkisiz erişim veya kendi veri sorumlusu yükümlülüklerini yerine getirmemesi nedeniyle doğan sonuçlardan Şirket sorumlu tutulamaz.

17.2. Teknik sebeplerle (yedek döngüsü, sağlayıcı kaynaklı gecikme) imha işleminin makul süre gecikmesi, kişisel verilerin gizliliğini korumak kaydıyla ihlal sayılmaz. Şirket’in sorumluluğu kanunen izin verilen azami ölçüde Kullanıcı Sözleşmesi’ndeki hükümlere tabidir; kasıt, ağır kusur ve emredici mevzuattan doğan haklar saklıdır.

Madde 18 — Yürürlük

18.1. Bu Politika yayım tarihinde yürürlüğe girer ve Şirket’in yetkili organı tarafından onaylanmış sayılır. Kullanıcı’nın üyeliği sırasında elektronik ortamda bu Politika’yı bilgi edinmiş sayılması, bilgilendirme niteliğindedir; Politika’nın uygulanması Kullanıcı onayına bağlı değildir. Uyuşmazlıklarda Türk hukuku uygulanır; Konya Mahkemeleri ve İcra Daireleri yetkilidir (tüketici işlemlerinde kanunen yetkili merciler ve Kurul’a başvuru hakkı saklıdır).

Son güncelleme: 21 Ekim 2026