GDPR Aydınlatma Metni — Teknoloji Sağlayıcı
Mobilişim İletişim A.Ş. (118.com.tr) tarafından teknoloji sağlayıcı sıfatıyla işlenen WhatsApp verilerini, alt işleyenleri, veri saklama bölgelerini, şifreleme standartlarını ve saklama sürelerini açıklar.
1. Veri sorumlusu ve veri işleyen rolleri
118.com.tr, WhatsApp Business Platform üzerinden müşteri işletmeler adına işlenen tüm kişisel veriler bakımından veri işleyen (GDPR m.4/8) sıfatıyla hareket eder; müşteri işletmeler ise veri sorumlusudur (GDPR m.4/7). Bu ilişki, GDPR m.28 gerekliliklerini karşılayan Veri İşleme Sözleşmesi ile düzenlenmiştir.
Veri koruma iletişimi: info@118.com.tr — Mobilişim İletişim A.Ş., Zümrütevler Mah. Ural Sok. No:22 NAS PLAZA B Blok, Kat 4.
2. İşlenen WhatsApp veri kategorileri
| Veri | Açıklama | Kaynak |
|---|---|---|
| Telefon numarası | Son kullanıcının E.164 formatındaki WhatsApp kimliği ve işletme numarası | Cloud API webhook |
| Görünen ad | Platform tarafından paylaşıldığı ölçüde WhatsApp profil adı | Cloud API webhook |
| Mesaj kimliği (wamid) | Her gelen/giden mesajın benzersiz kimliği | Cloud API |
| Konuşma kimliği ve kategorisi | Konuşma penceresi kimliği ve ücretlendirme kategorisi | Cloud API |
| Mesaj içeriği | Metin, etkileşimli yanıtlar, konum, kişi kartı | Son kullanıcı / müşteri işletme |
| Medya URL'leri ve medya kimlikleri | Görsel, doküman, ses ve video referansları | Cloud API |
| İletim zaman damgaları | gönderildi, iletildi, okundu, başarısız olayları ve hata kodları | Cloud API durum webhook'u |
| Şablon metadata'sı | Şablon adı, dili, kategorisi, onay durumu | Müşteri işletme / Meta |
| İzin / ret kayıtları | İzin kaynağı, gösterilen metin, zaman damgası, çevrim içi alındıysa IP; ret talepleri | Müşteri işletme / son kullanıcı |
| Teknik loglar | API istek logları, IP adresi, tarayıcı bilgisi, hata kayıtları | Sistemlerimiz |
3. Amaçlar ve hukuki sebepler
- Veri sorumlusunun yazılı talimatı doğrultusunda mesajların iletilmesi, yönlendirilmesi ve izlenmesi — GDPR m.6/1-b ve m.28.
- Pazarlama ve tanıtım mesajları — veri sorumlusu tarafından alınan açık rıza, GDPR m.6/1-a.
- Güvenlik, kötüye kullanım ve dolandırıcılığın önlenmesi, hizmet bütünlüğü — GDPR m.6/1-f.
- Kanuni kayıt saklama ve faturalandırma — GDPR m.6/1-c.
4. Alt işleyenler
| Alt işleyen | Amaç | Konum |
|---|---|---|
| Meta Platforms Ireland Ltd. | AEA'daki kullanıcılar için WhatsApp Business Platform işletimi; mesaj iletimi | İrlanda (AEA) |
| Meta Platforms, Inc. | WhatsApp Business Platform ve Cloud API altyapısının küresel işletimi | ABD (SCC ile) |
| Bulut altyapı sağlayıcısı | Uygulama sunucuları, veritabanı kümesi, nesne depolama | Frankfurt, Almanya (AB) |
| Yurt içi hosting sağlayıcısı | Rehber web sitesi ve statik dosyalar | Türkiye |
| E-posta / SMS sağlayıcısı | Sistem bildirimleri, doğrulama kodları | AB |
| Hata izleme sağlayıcısı | Uygulama hata kayıtları (takma adlı) | AB |
Yeni bir alt işleyen eklenmeden en az 30 gün önce veri sorumluları bilgilendirilir; veri korumaya ilişkin makul gerekçelerle itiraz edilebilir.
5. Saklama bölgeleri ve yurt dışı aktarım
- Birincil veritabanı kümesi ve nesne depolama: AB bölgesi, Frankfurt (Almanya).
- Yedekler: aynı AB bölgesinde, mantıksal olarak ayrılmış ve şifreli.
- Türkiye'den yapılan operasyonel destek erişimi sınırlı, rol bazlı, kayıt altında ve şifreli VPN üzerindendir.
- Meta Platforms, Inc. (ABD) ve AEA dışındaki diğer alıcılara aktarımlar, Avrupa Komisyonu'nun Standart Sözleşme Hükümleri'ne (2021/914 sayılı Karar) ve aktarım etki değerlendirmesine dayanır.
6. Şifreleme ve güvenlik tedbirleri
Güvenlik mimarimiz Zero-Trust (Sıfır Güven) ilkesi üzerine kuruludur: hiçbir kullanıcı, cihaz, servis veya ağ segmenti — kurum ağının içinde olsa dahi — varsayılan olarak güvenilir kabul edilmez. Her erişim talebi, talebin kaynağından bağımsız olarak ayrı ayrı kimlik doğrulamasından, yetkilendirmeden ve sürekli doğrulamadan geçer.
- Zero-Trust — kimlik ve erişim: "asla güvenme, daima doğrula" yaklaşımıyla her istek için kimlik doğrulama; en az yetki (least privilege) ve bilmesi gereken (need-to-know) prensiplerine göre tanımlanmış rol bazlı yetkiler; üretim verisine erişimde süreli (just-in-time) ve onaya bağlı yükseltme.
- Zero-Trust — ağ: Örtük ağ güveni yoktur; mikro segmentasyon ve varsayılan olarak reddet (default-deny) kuralları uygulanır. Servisler arası iletişim karşılıklı TLS (mTLS) ile kimliklendirilir; yönetim arayüzlerine erişim yalnızca kimliği doğrulanmış cihaz ve kayıtlı IP aralıkları üzerinden mümkündür.
- Zero-Trust — cihaz ve oturum: Erişim kararlarında cihaz uyumluluğu, konum ve risk sinyalleri değerlendirilir; oturumlar kısa ömürlüdür, token'lar sürelidir ve anormal davranışta oturum otomatik sonlandırılır.
- Zero-Trust — sürekli doğrulama ve izleme: Tüm erişimler merkezî olarak kaydedilir, değiştirilemez log'larda tutulur ve anomali tespiti ile sürekli izlenir; "ihlal olduğunu varsay" (assume breach) yaklaşımıyla yanal hareket sınırlandırılır.
- Aktarımda: TLS 1.3, HSTS etkin, Cloud API entegrasyonunda sertifika sabitleme; webhook verileri
X-Hub-Signature-256HMAC başlığı ile doğrulanır. - Saklamada: Veritabanı, yedekler ve medya deposu için AES-256; anahtarlar ayrı bir anahtar yönetim servisinde tutulur ve yılda bir kez döndürülür.
- Erişim token'ları ve uygulama gizli anahtarları bir secrets manager'da saklanır, kaynak koda yazılmaz.
- Rol bazlı erişim kontrolü, yönetici hesapları için zorunlu çok faktörlü doğrulama, veri erişiminin tam denetim kaydı.
- Ağ segmentasyonu, WAF, hız sınırlama; üç ayda bir zafiyet taraması ve yılda bir sızma testi.
- Dokümante edilmiş olay müdahale prosedürü; veri ihlali halinde veri sorumluları gecikmeksizin, en geç 72 saat içinde bilgilendirilir.
7. Saklama ve imha süreleri
| Veri | Süre | Yöntem |
|---|---|---|
| Mesaj içeriği ve medya | 90 gün (veri sorumlusu bazında 7 güne indirilebilir) | Otomatik gece imha görevi |
| Mesaj metadata'sı (wamid, zaman damgaları, durum) | 12 ay | Anonimleştirme: numara hash'lenir, kimlikler düşürülür |
| API ve uygulama logları | 90 gün | Log platformunda döngüsel silme |
| Webhook hata kayıtları | 30 gün | Otomatik silme |
| İzin / ret kayıtları | İlişkinin bitiminden itibaren 3 yıl | İspat amacıyla saklanır, sonra silinir |
| Fatura / muhasebe kayıtları | 10 yıl (kanuni) | Arşivlenir, erişim kısıtlanır |
| Yedekler | 30 gün | Rotasyon; geri yükleme sonrası silme talepleri yeniden uygulanır |
8. İlgili kişi hakları
İlgili kişiler; erişim, düzeltme, silme, kısıtlama, taşınabilirlik ve itiraz haklarını (GDPR m.15–22) ve 6698 sayılı Kanun'daki eşdeğer haklarını kullanabilir. Doğrudan bize ulaşan talepler gecikmeksizin ilgili veri sorumlusuna iletilir ve yanıt hazırlanmasında destek verilir. Silme talepleri Veri Silme Talimatları sayfasındaki akışı izler. İlgili kişiler her zaman denetim otoritesine şikâyette bulunabilir.
9. Otomatik karar verme
İlgili kişiler üzerinde hukuki sonuç doğuran otomatik karar verme süreci yürütmüyoruz. Otomatik mesaj yönlendirme ve şablon seçimi, hukuki veya benzer ölçüde önemli bir etki doğurmaz.
10. İletişim
Veri koruma ve KVKK: info@118.com.tr · Destek: destek@118.com.tr · Telefon: +90 850 666 07 67
Yeni nesil firma rehberi
Tek Bir Noktadan
İşletmenizi tek bir platformdan kolayca yönetin ve tüm bilgilerinizi verimli bir şekilde hızlıca kontrol edin ve yönetin.
İhtiyaç Duyduğunuz
Gereksinim duyduğunuz tüm hizmetlere ve kaynaklara 118.com üzerinden hızlı ve kolay bir şekilde erişim sağlayın.
Kitlelere Kolay Ulaşım
Geniş kitlelere etkili bir şekilde ulaşarak işletmenizi hızla tanıtın ve görünürlüğünüzü artırarak daha fazla müşteri kazanın.
Üstelik Ücretsiz
İşletmenizi tamamen ücretsiz tanıtarak daha fazla müşteri kazanın ve bütçenizi koruyarak maliyetlerinizi düşürün.
