Kişisel Veri Saklama ve İmha Politikası

Bu politika, Cliux'un veri sorumlusu olarak işlediği kişisel verileri hangi kayıt ortamlarında, hangi sebeplerle ve ne kadar süre sakladığını; süre dolduğunda ya da işleme şartları ortadan kalktığında onları nasıl imha ettiğini anlatır. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 7. maddesine ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e (bu politikada "Yönetmelik") göre hazırlanmıştır.

KVKK anlamında veri sorumlusu, Cliux'u işleten taraftır. Cliux'u işleten şirket kuruluş aşamasındadır; veri sorumlusunun unvanı ve adresi tescil tamamlandığında bu metinde yayınlanır.

Politika; Cliux web sitesini, sitenizi kurup yönettiğiniz paneli, hesabınızı, Cliux'a yazdıklarınızı ve Cliux'ta bir iş için yaptığınız başvuruyu kapsar. Cliux ile yayınlanan bir sitenin ziyaretçilerinden, üyelerinden ve müşterilerinden gelen veriler (form gönderimleri, siparişler, randevular, yorumlar, sohbetler) bakımından veri sorumlusu site sahibidir ve bu verilerin ne kadar saklanacağına o karar verir; Cliux bu verileri site sahibi adına işleyen veri işleyendir (veri işleme sözleşmesi). Bu verilere bu politikadan yalnızca Cliux'un kendi işleyişinin belirlediği süreler uygulanır: site sahibinin bir form için belirlediği süre dolduğunda gönderimlerin silinmesi, bir sitenin silinmesi ve yedekler.

Bu politikada:

• Kişisel veri: kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi.
• İlgili kişi: kişisel verisi işlenen gerçek kişi.
• İlgili kullanıcı: verilerin teknik olarak depolanmasından, korunmasından ve yedeklenmesinden sorumlu olan kişi dışında, veri sorumlusunun içinde ya da ondan aldığı yetki ve talimatla kişisel verileri işleyen kişiler.
• Veri sorumlusu: kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişi.
• Veri işleyen: veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen kişi.
• Kayıt ortamı: kişisel verilerin bulunduğu, tamamen ya da kısmen otomatik olan ya da bir veri kayıt sisteminin parçası olarak otomatik olmayan yollarla işlenen her türlü ortam.
• Saklama süresi: bir kişisel verinin, işlendiği amaç için gerekli olduğu ya da mevzuatın öngördüğü ve bu politikanın tablosunda gösterilen süre.
• Silme: kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.
• Yok etme: kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi.
• Anonim hale getirme: kişisel verilerin, başka verilerle eşleştirilse bile hiçbir şekilde kimliği belirli ya da belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
• İmha: silme, yok etme ya da anonim hale getirme.
• Periyodik imha: saklama süresi dolan kişisel verilerin, bu politikada gösterilen ve tekrar eden aralıklarla kendiliğinden imha edilmesi.

Bu politika, Cliux'un kişisel verileri tuttuğu şu kayıt ortamlarını kapsar:

• Platform sunucusu (Amazon Web Services, İsveç (Stockholm)): hesapların, sitelerin ve sitelerin verilerinin tutulduğu veritabanı; sunucunun diskindeki istek kayıtları ve gecelik veritabanı yedekleri.
• İş kuyruğu (platform sunucusunda): gönderilecek bir e-posta, alıcısı, konusu ve içeriğiyle, gönderilene kadar burada bekler. Kuyruk, gönderilmiş bir e-postayı 24 saatten, gönderilememiş bir e-postayı 7 günden eski olduğunda kendi temizliği sırasında siler.
• İstek sayaçları (platform sunucusunda): durum sayfasının abonelik formuna gelen istekler, geldikleri IP adresine ve yazılan adresin anahtarlı özetine göre sayılır; her sayaç en çok bir saat (IP adresi) ya da bir gün (adres özeti) sonra kendiliğinden silinir.
• Dosya depolama (Uploadthing): yüklediğiniz görseller ve dosyalar ile ziyaretçilerin formlara ve sohbete eklediği dosyalar.
• Sunucu dışı yedekler (Backblaze B2): gecelik veritabanı yedeğinin, sunucudan çıkmadan önce şifrelenmiş kopyaları ve yüklenen dosyaların haftalık bir kopyası.
• E-posta sunucusu (Hetzner, Almanya (Nürnberg)): Cliux'un e-posta adreslerine gönderilen iletiler.
• Sağlayıcıların sistemleri: oturum açma için Clerk, ödemeler için Stripe, e-posta gönderimi için Resend ve Gizlilik Politikası ve KVKK Aydınlatma Metni metninde adı geçen diğer sağlayıcılar, kendilerine ulaşan verileri kendi sistemlerinde, Cliux ile yaptıkları sözleşmelere göre tutar.
• LinkedIn: bir iş için yaptığınız başvuru, LinkedIn'in kendi koşullarıyla ve ayrı bir veri sorumlusu olarak LinkedIn'de tutulur; Cliux onu orada okur ve oradan kopyalamaz.
• Tarayıcınız: çerezler ve tarayıcı depolaması sizin cihazınızdadır; neyin ne kadar saklandığı Çerez Politikası metninde yazılıdır.

KVKK md. 4, kişisel verilerin yalnızca mevzuatın öngördüğü ya da işlendikleri amaç için gerekli olan süre kadar saklanmasını ister. Cliux'un saklama sebepleri şunlardır; henüz bir süresi belirlenmemiş kayıtlar ayrıca, Süresi belirlenmemiş kayıtlar bölümünde sayılmıştır:

• Sözleşmenin ifası (KVKK md. 5/2-c): hesabınız, siteleriniz ve planınız var olduğu sürece onları çalıştırmak; çöp kutusuna taşıdığınız bir siteyi, geri yükleyebilmeniz için bir süre daha tutmak; onaylanan bir adrese, abone kaldığı sürece durum e-postaları göndermek.
• Hukuki yükümlülük (KVKK md. 5/2-ç): faturaları ve ödeme kayıtlarını, 6102 sayılı Türk Ticaret Kanunu (md. 82) ve 213 sayılı Vergi Usul Kanunu (md. 253) uyarınca, tablodaki süre boyunca saklamak; yetkili makamların hukuka uygun taleplerini yanıtlamak.
• Meşru menfaat (KVKK md. 5/2-f): hizmetin güvenliğini sağlamak ve kötüye kullanımı tespit etmek için sunucu kayıtları; bir yardım sohbetini sürdürebilmek için sohbetin kendisi; bir e-postanın ulaşıp ulaşmadığını yanıtlayabilmek için e-posta teslim kayıtları; yavaş sayfaları bulmak için sayfa hızı ölçümleri; durum sayfasının formuna yazılan ve henüz onaylanmamış bir adresi, adresin sahibinin e-postaları isteyip istemediği belli olana kadar onay bağlantısının yedi günü boyunca tutmak.
• Bir hakkın tesisi, kullanılması veya korunması (KVKK md. 5/2-e): reddedilen bir başvuruya ilişkin notlarımızı, karara yönelik bir şikâyeti ya da talebi yanıtlayabilmek için tablodaki süre boyunca saklamak.
• Teknik sebepler: bir arızadan ya da hatalı bir silmeden sonra verileri geri getirebilmek için yedekler. Bir yedek, kendisi alındıktan sonra silinen verileri de, yedeğin süresi dolana kadar taşır.

Bir veriyi işleme şartlarının hepsi ortadan kalktığında, tablodaki süre henüz dolmamış olsa bile, talebiniz üzerine o veriyi imha ederiz (bkz. Talebiniz üzerine imha).

Tablodaki süreler Gizlilik Politikası metnindeki saklama süreleriyle aynıdır. Bir işin uyguladığı süre, o işin kodunda tanımlı süredir; elle uygulananlar tabloda öyle belirtilmiştir.

Aşağıdaki kayıtlar için henüz bir saklama süresi belirlenmemiştir ve onları silen bir iş yoktur:

• İletişim formuyla gönderdiğiniz iletiler: adınız, e-posta adresiniz, seçtiğiniz konu, iletiniz ve iletinin geldiği IP adresi; platform sunucusundaki veritabanında.
• Cliux'un e-posta adreslerine gönderilen iletiler (kariyer adresi dışında): e-posta sunucusunda.
• Denetim kaydı: Cliux'un yönetim panelinde yapılan işlemlerin (örneğin bir ajansın askıya alınması ya da bir iadenin yapılması) ve paneldeki bazı işlemlerin (örneğin bir sitenin çöp kutusuna taşınması ya da kalıcı olarak silinmesi, bir hesabın silinmesi) kim tarafından, hangi e-posta adresiyle, ne zaman ve hangi IP adresinden yapıldığının kaydı; platform sunucusundaki veritabanında, yalnızca eklenebilir biçimde. Uygulama bu kaydı silemez. Bu yüzden hesabınızı sildiğinizde, sitelerinizi çöp kutusuna taşıyan işlemin kaydında e-posta adresiniz kalır.
• Ödeme hizmeti Stripe'ın gönderdiği olay bildirimlerinin tam içeriği: bu bildirimler hem Cliux planlarının ödemeleri hem de site sahiplerinin kendi Stripe hesaplarıyla aldığı ödemeler için gelir ve tutarın yanında ödeme yapan kişinin adını, e-posta adresini ve fatura adresini taşıyabilir; platform sunucusundaki veritabanında.

Bu kayıtlar periyodik imhaya girmez. Bu kayıtlardaki kişisel verileriniz için de aşağıdaki başvuru yolları geçerlidir.

Yönetmelik, veri sorumlusunun silme, yok etme ve anonim hale getirme yöntemlerinden uygun olanı seçmesini ister (md. 7); talep ederseniz bir veriniz için seçtiğimiz yöntemi gerekçesiyle size açıklarız. Cliux'un kullandığı tek imha yöntemi silmedir.

Silme:

• Veritabanındaki kayıtlar, aşağıdaki zamanlanmış işler, paneldeki silme işlemleri (örneğin çöp kutusundaki Kalıcı olarak sil) ya da bir durum e-postasındaki abonelikten çıkma bağlantısı tarafından veritabanından silinir.
• Bir site kalıcı olarak silindiğinde sitenin kaydı ve ona bağlı kayıtlar silinir; başka birinin kaydı olup siteyi bir olgu olarak anan satırlar (örneğin bir planın ödeme kaydı) ile siteyi anan denetim kaydı kalır; sitenin e-posta teslim kayıtları kendi süreleri dolana kadar, Stripe'ın sitedeki ödemeler için gönderdiği bildirimler ise silinmeden kalır (bkz. Süresi belirlenmemiş kayıtlar). Sitenin adresleri ağdan ve önbellekten kaldırılır, Cliux'un kaydettiği bir alan adı sahibine bırakılır ve sitenin dosyaları dosya silen işe bırakılır.
• Hesabınızı sildiğinizde kişi kaydınızdaki adınız ve e-posta adresiniz, sizi göstermeyen sabit değerlerle değiştirilerek silinir ve oturum açma hesabınızla bağı kaldırılır; kaydın kendisi, sahibi olduğu hiçbir şey kalmadığında silinir. Bu bir anonim hale getirme değildir: faturalar ve denetim kaydı bu kayda bağlı kalır ve denetim kaydı e-posta adresinizi taşır (bkz. Süresi belirlenmemiş kayıtlar).
• Bir kaydın silinmesiyle serbest bırakılan bir dosya, hiçbir kaydın onu kullanmadığı yeniden doğrulandıktan sonra, günde bir çalışan bir işle dosya depolamadan silinir. Yüklenip hiçbir kayda bağlanmamış bir dosyayı bu iş yalnızca görseller, logolar ve medya dosyaları için siler; bir ziyaretçinin bir forma ya da sohbete yükleyip göndermediği bir dosyayı hiçbir iş silmez.
• Sunucunun istek kayıtları ve sunucudaki gecelik yedekler, süresi dolan en eski dosya silinerek döndürülür; sunucu dışındaki veritabanı yedekleri, depolama alanının yaşam döngüsü kuralıyla silinir.
• Veritabanından silinen bir veri, onu taşıyan yedekler silindiğinde Cliux'un bütün kopyalarından çıkmış olur. Yüklenen dosyaların sunucu dışındaki haftalık kopyası bunun dışındadır: o kopyayı hiçbir iş silmez (bkz. Saklama ve imha süreleri). Sağlayıcılara ulaşmış kopyalar, onların kendi sürelerine tabidir.

Yok etme: Cliux bu yöntemi kullanmaz. Platform kendisine ait bir donanımda çalışmaz; veriler yukarıda sayılan sağlayıcıların sistemlerinde tutulur ve o sistemlerin donanımını sağlayıcılar yönetir.

Anonim hale getirme: Cliux, süresi dolan bir veriyi anonim hale getirip saklamaya devam etmez; süresi dolan veri silinir. Verinin baştan az toplanması için alınan tedbirler (örneğin ziyaret sayımında IP adresinin saklanmaması) Güvenli saklama için tedbirler bölümündedir.

Aşağıdaki işlerin kapsadığı veriler, saklama süresi dolduğunda bu işlerle kendiliğinden ve tekrar eden aralıklarla silinir. Yönetmelik periyodik imha aralığının altı ayı geçmemesini ister (md. 11); bu işlerin en seyrek çalışanı bile günde bir çalışır.

Şunlar için zamanlanmış bir iş yoktur ve bunlar elle imha edilir: reddedilen bir başvuruya ilişkin notlarımız ve kariyer adresine gelen iletiler (süreleri dolduğunda), faturalar ve ödeme kayıtları (yasal süre dolduğunda) ve bir talep üzerine imha edilmesi gereken, bir işin kapsamadığı veriler. Bu elle imhalar için henüz tekrar eden bir aralık belirlenmemiştir. Süresi belirlenmemiş kayıtlar bölümünde sayılanlar ise periyodik imhaya hiç girmez.

Kişisel verileri hukuka aykırı işlenmeye ve erişilmeye karşı korumak için (KVKK md. 12) alınan teknik tedbirler:

• Trafik aktarım sırasında şifrelenir: istekler Cloudflare'in kenar sunucularında TLS ile karşılanır ve platform sunucusuna şifreli bir bağlantıyla iletilir.
• Panelde oturum açmayı Clerk yönetir. Site üyelerinin belirlediği parolalar ve paylaşılan önizlemelere konan parolalar argon2id ile özetlenerek saklanır.
• Bir sitenin verisine dokunan her sunucu işlemi, çağıranın o siteye erişimini denetler ve uyuşmayanı reddeder; kod tabanının otomatik taraması, bu denetimi atlayan yeni bir işlemi reddeder.
• Veritabanı her gece yedeklenir. Doğrulanan her yedek sunucudan çıkmadan önce şifrelenir ve silme yetkisi olmayan bir erişim anahtarıyla sunucu dışına kopyalanır. Yedeği, özel anahtarı sunucuya hiç girmeyen bir anahtar açar; aylık geri yükleme denemesi yapılabilsin diye, özel anahtarı sunucuda duran ikinci bir anahtar da açabilir. Ayda bir, en yeni sunucu dışı kopya geçici bir veritabanına geri yüklenir ve canlı veritabanıyla karşılaştırılır.
• Kart bilgileri Cliux'a hiç ulaşmaz: ödeme sağlayıcısının sayfaya yerleştirdiği kendi ödeme alanına ya da sağlayıcının kendi sayfasına girilir. Bir ödeme sağlayıcısını bağlamak için girilen anahtarlar şifreli saklanır ve bir daha gösterilmez.
• Bir destek görevlisinin bir sitenin verilerini okuması kayda alınır.
• Yayınlanan bir sitenin ziyaret sayımında IP adresi saklanmaz. Ziyaretçi sitenin onay bildirimini kabul etmediyse ziyaret, IP adresinden ve tarayıcı bilgisinden, hiçbir yere yazılmayan ve her gün ya da sunucu her yeniden başladığında değişen bir gizli değerle hesaplanan bir özetle ayırt edilir. Gizli değer değiştikten sonra özetten adrese ya da başka bir günün özetine geri dönülemez.
• Yardım sohbetine yazılan kart numaraları, T.C. kimlik numaraları ve IBAN'lar kaydedilmeden önce maskelenir.
• E-posta teslim kayıtlarında alıcının adresi büyük ölçüde gizlenmiş olarak tutulur; e-postanın konusu ve içeriği bu kayıtlarda tutulmaz.

İdari tedbirler:

• Verilere yalnızca hizmeti işletenler erişebilir ve verilere erişebilen herkes gizlilikle bağlıdır. Veritabanına doğrudan erişim yalnızca işletmecidedir.
• Sağlayıcılar, Cliux ile yaptıkları veri işleme koşullarıyla bağlıdır.
• Bir veri ihlalinde, ihlali öğrendiğimiz andan itibaren gecikmeksizin ve Kişisel Verileri Koruma Kurulunun belirlediği gibi en geç 72 saat içinde Kurula, gerektiğinde de etkilenen kişilere bildirimde bulunuruz (KVKK md. 12/5).

Olmayanları da söyleriz: sırlar yönetilen bir kasada değil sunucunun ortam yapılandırmasında tutulur; ikinci bir bölge, yedek sunucu ya da hazırlık ortamı yoktur; SOC 2 raporu ya da ISO 27001 sertifikası yoktur. Ayrıntılar Güvenlik sayfasındadır.

Verilerin hukuka uygun olarak imha edilmesi için alınan tedbirler:

• Bir işin uyguladığı saklama süresi o işin kodunda tanımlıdır ve iş zamanlanmıştır; işi bir kişinin başlatması gerekmez.
• Her iş her çalıştığında bir iş kaydına ne zaman çalıştığı, başarılı olup olmadığı ve işin kendi özeti yazılır; veritabanındaki silme işlerinde bu özet kaç kaydın silindiğini gösterir.
• Bir iş, beklenen aralığının iki katından uzun bir süre boyunca başarıyla çalışmazsa, saatte bir çalışan denetim işi işletmeciye e-postayla uyarı gönderir.
• Dosya silen iş, bir dosyayı yalnızca hiçbir kaydın onu kullanmadığını yeniden doğruladıktan sonra siler; böylece bir sitede hâlâ kullanılan bir dosya silinmez.
• Bir hesabın silinmesi ve bir sitenin kalıcı olarak silinmesi denetim kaydına yazılır. Yarıda kalan bir silme, işin bir sonraki çalışmasında tamamlanır.

Yönetmelik, silme, yok etme ve anonim hale getirme işlemlerinin kayıt altına alınmasını ve bu kayıtların en az üç yıl saklanmasını ister (md. 7). Cliux'ta zamanlanmış işlerin kaydı ile denetim kaydı uygulama tarafından silinmez. Elle yapılan silmeler bu kayıtlara kendiliğinden yazılmaz. Abonelikten çıkışla ve otomatik durum kontrolüyle silinen durum sayfası abonelikleri, adres tutulmadan, silindikleri zaman ve sayılarıyla bir imha kaydına yazılır.

Kişisel verilerin saklanması ve imhası süreçlerinde yer alanlar ve görevleri:

Bazı verilerinizi panelde kendiniz silebilirsiniz. Durum sayfası aboneliğinizi en son durum e-postasındaki abonelikten çıkma bağlantısıyla kendiniz sona erdirebilirsiniz; adresiniz o anda silinir. Bir siteyi çöp kutusuna taşıyabilirsiniz: 90 gün sonra, ya da çöp kutusunda Kalıcı olarak sil seçeneğini seçtiğinizde hemen kalıcı olarak silinir. Hesabınızı Hesabı yönet, ardından Hesabı sil ile silebilirsiniz. Sildiğinizde çöp kutusuna giden her sitenin planı hemen sona erer, ama sahibi olduğunuz bir ajansın çalışma alanı planı kendiliğinden sona ermez; sahibi olduğunuz her site çöp kutusuna gider ve 90 gün sonra kalıcı olarak silinir; sahibi olduğunuz bir ajans en eski yöneticisine geçer, yöneticisi yoksa onun siteleri de çöp kutusuna gider; yardım sohbetleriniz ve bildirimleriniz silinir; kişi kaydınızdaki adınız ve e-posta adresiniz silinir. Faturalar gibi kanunun saklamamızı istediği kayıtlar ve yukarıda anlatılan denetim kaydı kalır. [email protected] adresine ya da iletişim formu üzerinden yazarsanız bunu sizin için biz yaparız.

Kişisel verilerinizin silinmesini, yok edilmesini ya da anonim hale getirilmesini başvuruyla da isteyebilirsiniz (KVKK md. 7 ve md. 11). Verilerinizi işleme şartlarının hepsi ortadan kalkmışsa, talebinize konu verileri imha eder ve sonucu size en geç otuz gün içinde ücretsiz olarak bildiririz; veriler bir üçüncü kişiye aktarılmışsa durumu ona da bildiririz (Yönetmelik md. 12). İşleme şartlarından biri sürüyorsa (örneğin kanunun saklamamızı istediği bir fatura), talebinizi gerekçesiyle reddeder ve bunu da otuz gün içinde yazılı olarak ya da elektronik ortamda bildiririz.

KVKK md. 11'deki haklarınız için başvurunuzu şu yollarla iletebilirsiniz:

• E-posta: [email protected]. Cliux hesabınız varsa, hesabınızda kayıtlı e-posta adresinizden yazın.
• Cliux web sitesindeki iletişim formu.

KVKK Başvuru Formu bunun için hazırlanmıştır, ama kullanmanız zorunlu değildir. Başvurunuzu en geç otuz gün içinde ve ücretsiz olarak sonuçlandırırız (KVKK md. 13). Başvurunuz reddedilirse, yanıtımızı yetersiz bulursanız ya da süresinde yanıt vermezsek, yanıtımızı öğrendiğiniz tarihten itibaren otuz gün ve her durumda başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilirsiniz (KVKK md. 14).

Cliux ile yayınlanan bir sitenin ziyaretçisi, üyesi ya da müşterisiyseniz, o sitenin sizinle ilgili verileri için önce site sahibine başvurun. Doğrudan bize gelen böyle bir başvuruyu site sahibine iletiriz.

Politikanın ilk sürümü 12 Ekim 2026 tarihlidir. 18 Ekim 2026 tarihinde durum sayfası abonelikleri kayıt ortamlarına, saklamanın sebeplerine, saklama ve imha süreleri tablosuna, imha yöntemlerine, periyodik imha tablosuna ve talep üzerine imhaya eklendi. 21 Ekim 2026 tarihinde sayfaların eski kayıtlı sürümlerini azaltan iş periyodik imha tablosuna ve site verilerinin imha yöntemine eklendi. 28 Ekim 2026 tarihinde Türk lirasıyla yapılan ödemeler için fatura bilgileri ve kaydedilmiş kart saklama ve imha süreleri tablosuna, iyzico ile Paraşüt kayıt ortamlarına eklendi; hesap silindiğinde kaydedilmiş kartın iyzico'da da silindiği yazıldı; veri sorumlusunun bilgileri şirket tescilinden sonra eklenecek biçimde düzenlendi. Politika değiştiğinde en üstteki tarih değişir ve neyin değiştiği bu bölüme yazılır.

Bu politikayla ilgili sorularınızı [email protected] adresine ya da iletişim formu üzerinden iletebilirsiniz.