addContact
Kişisel Verilerin Korunması ve İşlenmesi Politikası
Son Güncelleme: 2026.10.21
1. Amaç ve uygulama alanı
Bu politika, Pollective’in alt ürünü addContact üzerinden dijital kartvizitlerin yönetilmesi, paylaşılması, analitik ve abonelik hizmetleri kapsamında kişisel verilerin işlenmesine, saklanmasına, korunmasına ve veri sahiplerinin haklarına ilişkin yaklaşımı açıklar. Public kart sayfaları, panel, satın alma, destek, QR/link, CSV yükleme ve seçime bağlı Wallet hizmetleri kapsamdadır. Politika, KVKK kapsamında verilmesi gereken özel Aydınlatma Metni’nin veya gerektiğinde müşteri ile imzalanacak veri işleme sözleşmesinin yerine geçmez.
2. Roller ve sorumlulukların paylaşımı
Pollective; kendi müşteri ilişkileri, hesap kayıtları, kimlik doğrulama, güvenlik, tahsilat, faturalama ve şirket içi operasyonları bakımından veri sorumlusu olarak hareket edebilir. Kurumsal müşterinin çalışanlarına ait kart bilgilerini belirlemesi, bu kişilerin kartlarını yayımlaması veya müşteri talimatıyla belirli veri işlemlerinin yürütülmesi bakımından müşteri veri sorumlusu, Pollective veri işleyen olabilir. Kart ziyaretinin analitiğinde amaçların ve temel araçların kimin tarafından belirlendiği, rolün işlem bazında tespitini gerektirir; bu ilişkide müşterinin bağımsız/ortak veri sorumluluğu ihtimali peşinen dışlanmaz.
Kurumsal müşteri, işlediği çalışan, temsilci, müşteri veya ziyaretçi verileri bakımından kendisine düşen aydınlatma, hukuki dayanak, veri doğruluğu ve başvuru yükümlülüklerini yerine getirir. Pollective, veri işleyen olduğu ölçüde belgelenmiş talimatlara uygun hareket eder. Ayrıntılar gerektiğinde Kurumsal Veri İşleme Sözleşmesi (DPA) ile düzenlenir.
3. İşlenen veri kategorileri
Hesap ve yönetici verileri (isim, e-posta, rol, marka, şifre özeti, giriş ve yetki kayıtları); kart verileri (isim, unvan, şirket, telefon, e-posta, web bağlantıları, açıklama/not, fotoğraf ve logo); marka ve erişim ayarları (slug, public/private erişim, yönlendirme, event etiketleri); satın alma/fatura ve ödeme referansları; ziyaret kayıtları (zaman, IP, hash, user-agent, referrer, URL/QR/Wallet kaynakları); tarayıcı ve cihaz tanımlayıcıları; yaklaşık coğrafi bilgiler ve ziyaretçinin ayrıca seçtiği ayrıntılı koordinatlar; güvenlik, bildirim, destek, sistem günlüğü ve yedekleme kayıtları işlenebilir.
Veri kategorileri her kullanıcı için aynı değildir. Paket/rol farkları ve kullanılan özellikler etkilidir.
4. Temel veri akışları
Kayıt: Marka ve yetkili hesap kaydı açılır, marka yöneticisi ile ilk kart oluşturulabilir. Self-service denemede fatura/kart bilgisi alınmaz.
Kart yönetimi: Yetkili kullanıcı veya kurum üçüncü kişilere ait kartları oluşturur, günceller, siler veya CSV içe aktarır. Kart içeriği public olarak açılmışsa erişen kişilere sunulur; private link bilen kişiye erişim tanıyabilir.
Paylaşım: QR, URL, event etiketi, link yönlendirmesi ve Wallet üzerinden kartla etkileşim gerçekleşebilir. Alıcı cihazında vCard indirip rehbere ekleme işlemi üçüncü taraf cihazın kontrolündedir. Open Graph ve sosyal medya önizlemelerinde kart adı, unvan, not veya görsellerin gösterilmesi mümkündür.
Ziyaret analitiği: Ziyaret kaynakları, tarayıcı, cihaz, tahmini yeni/geri dönen ziyaretçi, ülke/şehir ve uygun koşullarda ayrıntılı konum raporlanabilir. Gösterimler rehbere kaydetme veya gerçek kişi doğrulaması anlamına gelmez.
Satın alma: Kullanıcı ücretli paketi seçtiğinde işlem ve fatura verileri alınır; kart girişini ödeme sağlayıcısı yönetir. Otomatik yenileme yalnızca gerçekten yapılandırıldığı ve kullanıcı tercihi/hukuki şartlar sağlandığı ölçüde yürütülür.
5. Hukuki dayanaklar ve işleme ilkeleri
Veriler amaçla sınırlı, ilgili ve ölçülü, doğru ve güncel, belirli ve meşru amaçlarla işlenir. Her veri faaliyeti bakımından KVKK’nın uygun işleme şartı ayrı belirlenir: sözleşmenin kurulması/ifası, hukuki yükümlülük, hakkın tesisi-kullanılması-korunması, meşru menfaatin somut ölçümü veya gerekiyorsa açık rıza. Kişi verisinin kartta yer alması, bütün analiz ve pazarlama işlemlerine sınırsız izin verildiği anlamına gelmez.
Pazarlama, zorunlu olmayan tanımlayıcılar ve ziyaretçinin ayrıntılı konumu bakımından gerektiğinde ayrı ve geri alınabilir onay mekanizmaları uygulanır. Kullanıcının hizmete üye olması, açık rızanın otomatik olarak verildiği şeklinde yorumlanamaz.
6. Ziyaretçi analitiği ve coğrafi veriler
Yeni ziyaretçi tercih akışında ilk seçim yapılmadan veya analitik reddedildiğinde isteğe bağlı cihaz izleme çerezi, ziyaret istatistiği kaydı, IP üzerinden yaklaşık coğrafi konum sorgusu ve koordinat-adres sorgusu çalıştırılmaz. Zorunlu hizmet/güvenlik kayıtları ayrıca tutulabilir. Analitik olumlu seçildiğinde marka bazlı cihaz/ziyaret tanımlayıcıları, kaynak, cihaz/tarayıcı ve IP üzerinden yaklaşık konum gibi raporlar oluşabilir; bu raporlar belirli bir gerçek kişinin kimliğini doğrulamaz.
Uygun markalarda ayrıca cihazın ayrıntılı konumu seçilebilir. Ayrıntılı koordinatlar için analitik ve konum işlemlerine yönelik gerekli seçimlerin yanında tarayıcı izni aranır. Cihaz konumu reddedilir veya desteklenmezse kart kaydı devam eder; analitik ayrıca açıksa yalnız yaklaşık konum analitiği mümkün olabilir. Yeni akışta koordinatlar URL ile değil korunan POST isteğiyle aktarılır; önceki URL/cache/log kayıtlarının kendiliğinden kaldırıldığı iddia edilmez.
Tercihler kuruluş/marka bazında https://addcontact.app/privacy-preferences.php sayfasından değiştirilebilir. Geri alma gelecek isteğe bağlı işlemleri durdurur, geçmiş kayıtların silinmesi ayrı bir taleptir. Legacy/özel kart bağlantılarında tüm kullanıcıların aynı yeni akışa yönlendiği varsayılmaz; güvenlik kayıtları ve üçüncü taraf önyükleme davranışı ayrıca yönetilir.
7. Çerez ve cihaz tanımlayıcıları
Ziyaretçi tercihine ilişkin acprivacy_* grubu, teknik isteği koruyan nonce ve analitik olumlu seçildiğinde kullanılan marka bazlı acdev_* grubu bulunabilir. Yeni ziyaretçi akışında analitik tercihi alınmadan analitik cihaz tanımlayıcısı etkinleştirilmez; ret/geri alma halinde mevcut isteğe bağlı analitik çerezi kaldırılmaya çalışılır. Tercihlerin sunucu tarafından kabulü en fazla 30 gün olabilir; bu, bütün çerezlerin 30 gün boyunca saklandığı veya her sayfanın aynı çerezleri kullandığı anlamına gelmez.
Panel oturumu/hatırla, dil, saat dilimi, güvenlik ve diğer işlevlere ait çerez/yerel depolama kayıtları kendi işleme amaçları ve hukuki şartlarına tabidir. Eski bağlantı sistemindeki acdev gibi tanımlayıcılar yeni acdev_* akışıyla aynı sayılmamalıdır. İsteğe bağlı pazarlama ve analitik teknolojilerinin hukuki koşulları ayrıca gözetilir; pazarlama sitesinin/WordPress’in tüm çerezleri için tek bir platform tercihi otomatik geçerli sayılmaz.
8. Üçüncü taraf hizmetler ve alıcılar
Görünen entegrasyonlar arasında iyzico, Apple Wallet, Google Wallet/OAuth, ipwho.is, OpenStreetMap Nominatim, bazı QR önizleme uçları, e-posta/SMTP, kaynak/CDN ve sosyal paylaşım platformları bulunmaktadır. Servislere aktarılan bilgi, ilgili özelliğin kullanımı ve hizmet sağlayıcının teknik yapısına göre farklılık gösterir. Müşteriye sunulacak hizmetin veya kullanıcının seçtiği paylaşımın gerektirdiğinden fazla veri üçüncü taraflara aktarılmaması esastır.
Veriler, yetkili kamu kurumları veya yargı mercileriyle ancak hukuki gereklilik doğrultusunda paylaşılır. Veri işleme hizmeti alınan tedarikçiler için gerekli gizlilik ve güvenlik yükümlülükleri sözleşmesel olarak düzenlenir.
9. Yurt dışı veri aktarımları
Yurt dışına aktarım, veri sorumlusu/veri işleyen rolüne ve alıcı ülkeye göre ayrı değerlendirilir. KVKK madde 9 uyarınca yürürlükteki yeterlilik veya uygun güvence koşulları karşılanır; gerektiğinde Kurum tarafından yayımlanan standart sözleşme modeli kullanılır ve ilgili bildirimler yapılır. Uluslararası hizmet sunumu söz konusu olduğunda uygulanabilir GDPR ve diğer mevzuatın ek şartları ayrıca gözetilir.
10. Erişim yetkileri ve güvenlik
Hesaplara, markalara ve kartlara erişim rol/izin denetimleri, parola özetleri, oturum ve güvenlik kayıtları ile korunur. Desteklenen yapılandırmalarda isteğe bağlı passkey/WebAuthn ile giriş sağlanabilir: addContact sunucusu doğrulama için credential kimliğini ve açık anahtar kayıtlarını tutabilir; biyometrik görüntü, cihaz PIN’i veya gizli/özel anahtar sunucuya aktarılmaz. Cihaz veya senkronizasyon sağlayıcısı kendi koşulları uyarınca işlem yapabilir. Passkey’i kapatmak, sunucu kaydını kaldırmaktan farklıdır; kullanıcının cihazında kayıtlı passkey ayrıca silinmek zorunda olabilir.
Çalışma ortamı güvenliği, erişim kontrolleri, uygun yedekleme, güvenlik olaylarının izlenmesi ve olay müdahalesi işletilir. Bütün hesapların MFA kullandığı veya her zaman kesintisiz, kayıpsız hizmet sağlandığı taahhüt edilmez. İhlal ve kişisel veri talepleri iletisim@addcontact.app üzerinden alınır; olay koordinasyonu teknik ekipte yetkili kişi tarafından yürütülür.
11. Veri saklama, silme ve yedekler
addContact’ın belirlediği kategori bazlı saklama takvimi, ham ziyaret/konum/IP/cihaz kayıtlarında 12 ay, güvenlik kayıtlarında 12 ay, yalnız gerçek anlamda anonimleştirilmiş toplamlar için 24 ay, tamamlanmış hesap/marka silme işlemine ait uygulama içi kurtarma yedeğinde 90 gün esasına dayanır. Mevcut kart/marka anahtarlı günlük ve süresiz istatistikler kişisel bağlantı taşıyabildiğinden anonim toplam sayılmaz. Saklama süreleri, sistemdeki tüm kopyalar için tamamlanmış otomatik fiziksel silme garantisi olarak yorumlanmaz.
Aktif marka, kullanıcı, kart ve varlıklar, hizmet ve gereken hukuki saklama ilişkisine göre korunur. Mali kayıtlar, ödeme token referansları, hosting/mail ve dış servis yedekleri ayrıca geçerli süre ve yükümlülüklere tabidir. Abonelik döneminin bitmesi, otomatik yenilemenin durması, hesap silme talebi ve kurtarma kopyasının fiziksel imhası birbirinden ayrıdır. Başvurular ilgilinin kimliği, hakkın kapsamı ve uygulanabilir hukuk çerçevesinde değerlendirilir; silinmiş kayıtların geri yükleme yoluyla yeniden etkinleştirilmemesi hedefi ayrıca işletim kontrolü gerektirir.
12. Veri sahiplerinin hakları
İlgili kişiler KVKK madde 11 kapsamındaki öğrenme, bilgi, düzeltme, şartları varsa silme/yok etme, üçüncü kişilere bildirme, otomatik karara itiraz ve tazminat talep haklarını kullanabilir. Başvuru ve talepler iletisim@addcontact.app adresine iletilebilir. KVKK başvuruları için mevzuatta belirtilen kimlik ve başvuru usulleri geçerlidir; ayrıca şirketin merkez adresine yazılı başvuru yapılabilir. Başvurunun Pollective’in veri işleyen olduğu verileri kapsaması halinde talep ilgili veri sorumlusu müşteriye iletilir veya mevzuata uygun biçimde koordinasyon sağlanır.
13. Çocuklar, hassas bilgiler ve hukuka aykırı içerik
Platform iş amaçlı iletişim ve dijital kart yönetimi için tasarlanmıştır; kamuya açık kartlarda özel nitelikli kişisel veri, kimlik numarası, gizli iş bilgisi ve ihtiyaca aykırı içerik paylaşılmamalıdır. Müşteriler üçüncü kişi bilgilerinin hukukî dayanağını sağlamakla yükümlüdür. Hesap açan kişilerin yürürlükteki hukuk bakımından geçerli sözleşme yapma ehliyetine sahip olması gerekir. Hizmet çocuklara yönelik olarak tasarlanmamıştır.
14. Değişiklik, tarih ve iletişim
Bu politika teknolojik ve hukuki değişikliklere göre güncellenebilir. Değişiklik tarihi ve eski sürümlere erişim imkânı duyurulur. Esaslı değişiklikler için gerekli bilgilendirme veya yeni izin mekanizmaları ayrıca işletilir.