Gizlilik Politikası

1. Hangi Verileri Topluyoruz?

1.1. Siz Bize Verdiğiniz Bilgiler

• Hesap bilgileri: Ad, soyad, e-posta, telefon, şifre (bcrypt ile hashlenerek saklanır).
• Profil bilgileri: Profil fotoğrafı, unvan, ofis bilgisi, lisans numarası.
• İşlem verileri: Komisyon kayıtları, mülk bilgileri, müşteri bilgileri, sözleşme detayları.
• İletişim içeriği: Platform içi mesajlar, arabuluculuk beyanları, görev notları.
• İmza ve zabıt: Yer gösterme zabıtındaki dijital imza.

1.2. Otomatik Toplanan Bilgiler

• Cihaz bilgileri: İşletim sistemi, tarayıcı tipi ve versiyonu, ekran çözünürlüğü, dil tercihi.
• Bağlantı bilgileri: IP adresi, internet servis sağlayıcısı, bağlantı saati ve süresi.
• Konum: GPS koordinatları (yalnızca izin verdiğinizde — panik butonu, gezdirme, AR fiyat).
• Kullanım verileri: Ziyaret edilen sayfalar, tıklanma sayıları, oturum süresi, hata kayıtları.
• Çerezler: Oturum çerezleri, tercih çerezleri, analitik çerezleri (detay için: Çerez Politikası).

1.3. Üçüncü Taraflardan Alınan Bilgiler

• Broker/ofis yöneticisi tarafından sisteme girilen danışman bilgileri.
• Emlak ilan verisi (ilan başlığı, konum, fiyat).
• Push bildirim abonelik durumları (OneSignal / Firebase Cloud Messaging).
• Gravatar profil görselleri (e-posta hash bazlı).

2. Verileri Neden Topluyoruz?

Verilerinizi aşağıdaki belirli, açık ve meşru amaçlarla işliyoruz:

• Platform hizmeti sunmak: CRM, komisyon yönetimi, portföy eşleştirme, mesajlaşma ve diğer temel özellikleri çalıştırmak (sözleşmenin ifası).
• Güvenliğinizi sağlamak: Panik butonu ile acil durumlarda hayat kurtarıcı konum paylaşımı, yetkisiz erişim engeli (meşru menfaat / hayati menfaat).
• Yasal yükümlülükleri yerine getirmek: Vergi, muhasebe ve ticaret mevzuatı gereklilikleri (hukuki yükümlülük).
• Deneyimi kişiselleştirmek: Motivasyon sistemi, performans geri bildirimi, önerileri iyileştirme (meşru menfaat / açık rıza).
• İletişim kurmak: Hizmet bildirimleri, güvenlik uyarıları, destek yanıtları.
• Uyuşmazlıkları çözmek: Arabuluculuk panosu ile adil karar mekanizması işletmek.

3. Verilerinizi Nasıl Koruyoruz?

Verilerinizin güvenliği için sektördeki en iyi uygulamaları benimsiyoruz:

3.1. Şifreleme

• Tüm veri aktarımları TLS 1.3 protokolü ile şifrelenir (HTTPS).
• Oturum çerezleri AES-256-GCM algoritmasıyla şifreli saklanır.
• Şifreler bcrypt ile hashlanır; düz metin olarak hiçbir yerde saklanmaz.
• Telefon numaraları hassas işlemlerde SHA-256 hash ile anonimize edilir (arabuluculuk, asist zinciri).

3.2. Erişim Kontrolü

• Rol bazlı erişim (RBAC): Broker, Danışman ve Admin rolleri farklı veri setlerine erişir.
• Multi-tenant izolasyon (`user_id + office_id`): Bir ofis başka ofisin verilerini göremez.
• Minimum veri ilkesi: Her rol yalnızca görevi için gerekli verilere erişir.
• JWT tabanlı kimlik doğrulama; 15 dakika access + 30 gün refresh token süresi.

3.3. Altyapı Güvenliği

• Cloudflare DDoS koruması ve Web Application Firewall (WAF).
• Günlük otomatik veritabanı yedeklemesi (7 günlük döngüsel) + 4 saatte bir artımlı yedekleme.
• Sunucu erişimi SSH anahtar tabanlı (şifre ile giriş kapalı).
• Hizmet sürekliliği hedefi: %99,9 çalışma süresi (uptime).
• Güvenlik yamaları 48 saat içinde uygulanır.

3.4. Denetim ve İzleme

• Tüm admin erişim logları 2 yıl saklanır.
• Anormal etkinlik tespiti (brute force, toplu veri indirme).
• 6 aylık iç güvenlik denetimi.
• Veri ihlali müdahale planı: ihlal tespitinden itibaren 24 saat içinde veri işleyenden veri sorumlusuna, 72 saat içinde yetkili denetim makamına bildirim.

4. Kimlerle Paylaşıyoruz?

4.1. Altyapı Sağlayıcıları (Veri İşleyenler / Alt İşleyenler)

Aşağıdaki alt işleyiciler yalnızca hizmeti sağlamak için ve sözleşmesel güvenceler (DPA + SCC) altında verilere erişir:

Ödeme sağlayıcıları bu tablonun dışındadır: mevzuat gereği bağımsız veri sorumlusu sıfatıyla hareket ederler. Türkiye'den yapılan satın almalarda ödeme kuruluşu iyzico (Türkiye), Türkiye dışından yapılan satın almalarda kayıtlı satıcı (Merchant of Record) sıfatıyla Paddle.com Market Limited (Birleşik Krallık) devreye girer. Kart bilgileriniz hiçbir aşamada bize iletilmez.

Analitik için Vercel Analytics (aktif) ve — yalnızca etkinleştirildiğinde — IP-anonimleştirilmiş Google Analytics 4 kullanılabilir.

4.2. Yasal Paylaşım

• Mahkeme kararı veya savcılık talebi üzerine yetkili makamlarla.
• Vergi denetimi kapsamında Mali Müşavirlik/SMMM ile.
• İlgili kara para aklamayı önleme mevzuatı kapsamında (şüpheli işlem bildirimi).

4.3. Ofis İçi Paylaşım (Multi-Tenant)

KeyBrox multi-tenant yapısındadır. Broker/ofis yöneticileri kendi danışmanlarının performans verilerini, işlem kayıtlarını ve iletişim geçmişini görebilir. Bu paylaşım, iş ilişkisinin doğal gerekliliği kapsamındadır ve üyelik sözleşmesinde belirtilmiştir.

5. Haklarınız

Veri-koruma mevzuatı (GDPR seviyesi evrensel asgari standart) kapsamında, bulunduğunuz ülkeden bağımsız olarak aşağıdaki haklara sahipsiniz:

• Bilgi alma hakkı: Verilerinizin işlenip işlenmediğini, nasıl işlendiğini öğrenme.
• Erişim hakkı: İşlenen verilerinizin bir kopyasını talep etme.
• Düzeltme hakkı: Yanlış veya eksik verilerin düzeltilmesini isteme.
• Silme hakkı ("unutulma hakkı"): Yasal saklama süresi dolmuş verilerin silinmesini isteme.
• İşlemenin kısıtlanması: Belirli koşullarda veri işlemenin durdurulmasını talep etme.
• Veri taşınabilirliği: Verilerinizi yapılandırılmış, makine tarafından okunabilir formatta (JSON/CSV) alma.
• İtiraz hakkı: Meşru menfaat temelli işlemeye itiraz etme (otomatik karar alma dahil).
• Rıza geri çekme: Açık rızaya dayalı işlemeler için istediğiniz zaman rızanızı geri çekme.

Haklarınızı kullanmak için: kvkk@keybrox.com adresine yazabilir veya uygulama içinden "Hesabım > Veri Talebi" formunu doldurabilirsiniz. Başvurular en geç 30 gün içinde yanıtlanır.

5c. Amerika Birleşik Devletleri — CCPA / CPRA Hakları

California Tüketici Gizliliği Yasası (CCPA) ve California Gizlilik Hakları Yasası (CPRA) kapsamında, California sakinleri aşağıdaki haklara sahiptir:

• Bilme hakkı (Right to Know): Hangi kişisel kategorilerin toplandığını, kaynaklarını, işleme amaçlarını ve paylaşıldığı tarafları öğrenme.
• Silme hakkı (Right to Delete): Belirli istisnalar dışında kişisel bilgilerinizin silinmesini talep etme.
• Düzeltme hakkı (Right to Correct): Yanlış kişisel bilgilerin düzeltilmesini isteme.
• Vazgeçme hakkı (Right to Opt-Out): Kişisel bilgilerinizin "satışı" veya "paylaşımı"ndan vazgeçme.
• Ayrımcılığa uğramama hakkı: Bu haklarınızı kullandığınız için ayrımcı muameleye maruz kalmama.

6. Çerezler

Platform; temel işlev, analitik ve tercih amacıyla çerez kullanmaktadır. Zorunlu çerezler dışındakiler için açık rıza alınır. Detaylı bilgi için Çerez Politikası sayfamızı inceleyiniz.

7. Çocukların Gizliliği

KeyBrox platformu profesyonel gayrimenkul danışmanları ve ofis yöneticileri için tasarlanmıştır. 18 yaşın altındaki bireylerin hesap açması veya platformu kullanması öngörülmemektedir. 18 yaş altındaki bir bireye ait kişisel verinin işlendiğini öğrendiğimizde, bu verileri derhal sileriz.

8. Uluslararası Veri Aktarımı

Teknik altyapımızın bir kısmı AB dışında (örn. ABD) yer alan sağlayıcılar üzerinde çalışmaktadır. Bu durumda:

• AB Standart Sözleşme Maddeleri (Standard Contractual Clauses — SCC) imzalanmıştır.
• Aktarımda ek teknik önlemler (TLS şifreleme, pseudonimizasyon) uygulanır.
• Sağlayıcıların GDPR / SOC 2 / ISO 27001 sertifikaları değerlendirilir.
• Cloudflare dâhil tüm sınır-ötesi alt işleyicilerle uygun aktarım güvenceleri tesis edilir.

9. Değişiklikler

Bu gizlilik politikası, yasal düzenlemeler ve hizmet değişiklikleri doğrultusunda güncellenebilir. Önemli değişiklikler:

• Platform içi bildirim ile duyurulur.
• E-posta ile bilgilendirilirsiniz.
• Güncellenmiş metin bu sayfada yayınlanır ve "Son güncelleme" tarihi değişir.

Önemli değişikliklerden sonra platformu kullanmaya devam etmeniz, güncel politikayı kabul ettiğiniz anlamına gelir.

10. İletişim

Meta (Instagram) ve Google Verilerinin İşlenmesi

Platform, emlak ofislerinin ve markalarının kendi kurumsal hesaplarının görünürlüğünü izleyen bir "İtibar İzleme" özelliği sunar. Bu özellik kapsamında iki dış kaynaktan yalnızca herkese açık işletme verisi okunur.

Meta (Instagram) verisi

• Ne okunur: İşletme/İçerik Üretici tipindeki Instagram hesaplarının herkese açık bilgileri — kullanıcı adı, takipçi sayısı, gönderi sayısı ve gönderilerin yayın zamanı.
• Ne okunmaz: Özel mesajlar, hikâyeler, yorumlar, takipçi listeleri, kişisel (profesyonel olmayan) hesaplar ve herhangi bir kişisel iletişim içeriği okunmaz.
• Neden: Ofisin sosyal medya paylaşım düzenliliğini ölçmek ve markaya raporlamak (meşru menfaat).
• Nasıl: Meta Graph API üzerinden, KeyBrox'un kendi kurumsal Instagram hesabına ait erişim anahtarıyla. Ofislerden veya danışmanlardan Meta hesabı erişimi istenmez.
• Saklama: Ölçüm sonuçları (tarih, sayı) trend analizi için saklanır; gönderi içerikleri, görseller ve metinler saklanmaz.
• Paylaşım: Veriler yalnızca ilgili franchise markasının yetkili kullanıcılarına gösterilir; üçüncü taraflara satılmaz veya aktarılmaz.

Google verisi

• Ne okunur: Google Haritalar'da herkese açık işletme kaydının puanı, toplam yorum sayısı ve en son yayımlanan yorumlar (yazar adı, puan, metin, tarih).
• Neden: Ofisin müşteri memnuniyetini izlemek, düşük puanlı yorumları markaya bildirmek (meşru menfaat).
• Nasıl: Google Places API üzerinden, KeyBrox'un kurumsal API anahtarıyla.
• Saklama: Yorum metni, uyarı üretimi ve tekrar bildirimini önlemek amacıyla saklanır. Yorum sahibi Google üzerinden yorumunu silerse bizdeki kayıt bir sonraki taramada güncellenir.

Bu veriler reklam amacıyla kullanılmaz, profil çıkarımı yapılmaz ve otomatik karar mekanizmasına girdi oluşturmaz.

Verilerinizi Silme

Hesabınızın ve verilerinizin silinmesini dilediğiniz zaman talep edebilirsiniz. Meta (Instagram) ve Google üzerinden okunan işletme verileri de bu talebin kapsamındadır.

Nasıl talep edilir

1. Platforma giriş yapın ve Hesabım bölümünden hesap silme talebinde bulunun; ya da
2. destek@keybrox.com adresine, hesabınıza kayıtlı e-posta adresinden "Veri silme talebi" konulu bir e-posta gönderin.
3. Kimliğinizi doğrulayabilmemiz için talebi hesabınıza kayıtlı e-posta adresinden iletmeniz gerekir.

Ne kadar sürede silinir

• Talebiniz en geç 30 gün içinde sonuçlandırılır.
• Instagram ve Google'dan okunan ölçüm ve yorum kayıtları derhâl silinir.
• Yasal saklama yükümlülüğü bulunan kayıtlar (fatura, vergi ve ticaret mevzuatı gereği tutulması zorunlu belgeler) mevzuatın öngördüğü süre boyunca saklanır; bu süre sonunda silinir.
• Silme işlemi tamamlandığında e-posta ile bilgilendirilirsiniz.

Bir ofisin yalnızca sosyal medya izlemesinin durdurulmasını istemesi hâlinde, ilgili ofis kaydındaki Instagram ve Google bağlantısı kaldırılır; bu işlem hesabın tamamını silmez.