Kişisel Verilerin Korunması ve İşlenmesi Politikası

1. Amaç ve kapsam

Bu Politika; VisaForma markası altında visaforma.com üzerinden Türkiye pazarına vize başvurusu hazırlama ve idari destek hizmeti sunan Jet Sharing Mobility Inc. (1007 N Orange St, 4th Floor, Suite 1382, Wilmington, Delaware 19801, ABD; e-posta: account@visaforma.com) tarafından yürütülen kişisel veri işleme faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu'na ("KVKK" veya "Kanun") uygun olarak gerçekleştirilmesine ilişkin usul ve esasları belirler.

Politika; başvuru sahipleri, hesap sahipleri, misafir destek kullanıcıları, başvuru formlarında verileri yer alan üçüncü kişiler (ev sahibi/davet eden, sponsor, AB vatandaşı aile üyesi, veli/vasi) ve internet sitesi ziyaretçileri ile operatör/personel verilerinin tamamını kapsar. Politika, kısmen veya tamamen otomatik olan ya da bir veri kayıt sisteminin parçası olarak otomatik olmayan yollarla gerçekleştirilen tüm işleme faaliyetlerine uygulanır.

⚠️ [YASAL İNCELEME] Veri sorumlusu ABD'de yerleşiktir. Yurt dışında yerleşik veri sorumlusu rejimi (VERBİS'e yabancı veri sorumlusu kaydı ve Türkiye'de veri sorumlusu temsilcisi atanması) ayrıca değerlendirilmelidir — bkz. VERBİS ve Temsilci Memorandumu (07).

2. Tanımlar

Bu Politikada geçen kavramlar, Kanun'un 3. maddesindeki anlamlarıyla kullanılır. Ek olarak:

3. Genel ilkeler (Kanun md. 4) ve uygulanma biçimi

Şirket, tüm işleme faaliyetlerinde aşağıdaki ilkelere uyar; her ilkenin sistemsel karşılığı belirtilmiştir:

4. İlgili kişi grupları ve veri kategorileri

Ayrıntılı envanter 00 no.lu dokümandadır; özet:

5. İşleme amaçları ve hukuki sebepler

Üçüncü kişilere ait verilerin (ev sahibi, sponsor, aile üyesi) işlenmesinde hukuki sebep olarak md. 5/2-f (meşru menfaat) öngörülmektedir; aydınlatma yükümlülüğünün bu kişilere karşı nasıl yerine getirileceği hukuki incelemeye sunulmuştur

[YASAL İNCELEME — envanter §8/5].

6. Özel nitelikli kişisel veri politikası

Şirket, özel nitelikli kişisel verileri yalnızca ilgili resmî başvuru formunun zorunlu kıldığı ölçüde işler. Envanterle doğrulanmış hâller şunlardır:

Kurallar:

1. Özel nitelikli veriler için ayrı, konuya özgü ve önceden işaretlenmemiş açık rıza alınır (metinler: doküman 03). Rıza alınmadan ilgili form alanları açılamaz; rıza kaydı metin sürümüne pinlenerek saklanır.
2. Özel nitelikli veriler amaç dışı hiçbir şekilde kullanılmaz; profilleme, pazarlama veya analitik amaçlarla işlenmez.
3. Bu verilerin yurt dışındaki hedef ülke makamına aktarımı (Meksika INM, Tayland Göçmenlik) md. 9 kapsamında ayrıca değerlendirilir ve rıza metinlerinde açıkça belirtilir.
4. Fotoğraf ve belge taramalarından biyometrik şablon üretilmez; yüz eşleştirme sistem kodunda açıkça yasaklanmıştır. Görüntünün kendisinin md. 6 kapsamına girip girmediği hukuki incelemeye sunulmuştur [YASAL İNCELEME — envanter §8/8].
5. Kurul'un özel nitelikli kişisel verilerin işlenmesinde alınması gereken yeterli önlemlere ilişkin kararındaki teknik tedbirlerin karşılığı §8'de gösterilmiştir; idari tedbirlerden eğitim ve gizlilik taahhüdü süreçleri henüz belgelenmemiştir ve taahhüt olarak üstlenilir [YASAL İNCELEME — uygulama planı gerekir].

7. Aktarım

7.1 Yurt içi aktarım

Bu Politikanın hazırlandığı tarih itibarıyla Türkiye'de yerleşik herhangi bir alıcıya düzenli veri aktarımı bulunmamaktadır. Türkiye'de veri sorumlusu temsilcisi atanması hâlinde temsilcinin erişim kapsamı bu Politikaya eklenecektir

[YASAL İNCELEME].

7.2 Yurt dışına aktarım (md. 9)

Veri sorumlusu ABD'de yerleşik olduğundan ve barındırma altyapısı Hollanda'da (DigitalOcean, Amsterdam ams3 bölgesi) bulunduğundan, işleme faaliyetlerinin önemli bölümü yurt dışına aktarım niteliğindedir. Alıcı kategorileri:

Schengen yönlerinde (GR/ES/IT/CH) VisaForma konsolosluklara veya aracı kurumlara (Kosmos, BLS, iDATA, VFS Global) hiçbir veri aktarmaz — dosya paketini ilgili kişi kendisi teslim eder.

Aktarım mekanizması olarak esas alınacak araçlar (yeterlilik kararı, standart sözleşme + Kurum'a 5 iş günü içinde bildirim, bağlayıcı şirket kuralları, arızi hâller/açık rıza) alıcı bazında Memorandum'da (07) önerilmiş olup nihai seçim hukuki incelemeye tabidir [YASAL İNCELEME — envanter §8/2].

8. Teknik ve idari tedbirler

Aşağıdaki tedbirler sistemde fiilen mevcuttur ve kodla doğrulanmıştır:

1. Hassas alan şifrelemesi: sensitive: true alan değerleri (pasaport no, T.C. Kimlik No, AB aile üyesi belge no, ödeyen kimlik belgesi) ana anket verisinden kesilerek AES-256-GCM zarf şifrelemesi ile ayrı depoda saklanır; kayıt başına veri anahtarı (DEK), yalnız sunucuya enjekte edilen kök anahtar (KEK) ile sarılır; şifreli blok, başvuru+kişi+alan bağlamına kriptografik olarak (AAD) kilitlenir. Arayüzlerde en fazla son 4 hane (last4) görünür.
2. Rol tabanlı erişim (RBAC) ve denetim izi: şifreli değeri okumak ayrıcalıklı yetkidir — varsayılan ret; yalnız admin/superadmin rolleri erişebilir ve her okuma salt-ekleme (append-only) denetim kaydına yazılır. Personel yetkileri pazar/yön kapsamıyla sınırlandırılır.
3. OCR sızıntı önlemleri: OCR sağlayıcısına yalnız belge görüntüsü ve sabit çıkarım istemi gönderilir; ham MRZ hiçbir zaman loglanmaz; kamuya açık yapay zekâ uçları kod düzeyinde engellidir; üretimde yalnız AB bölgesi, sıfır-saklama taahhütlü kurumsal uçlara izin verilir; hata hâlinde işlem güvenli tarafta durur (fail-closed).
4. Bildirim kuyruğunda kişisel veri yasağı (outbox denylist): asenkron bildirim yüklerinde ad, e-posta, telefon, doğum tarihi, adres, pasaport vb. anahtarlar (Türkçe anahtar sözlüğü dâhil) sistemce reddedilir; alıcı, veriyi kimlik numarasıyla veri tabanından yeniden okur.
5. Fail-closed rıza zorlaması: pazarın rıza metni sabitlenmemişse belge onayı OCR çıkışından önce reddedilir; ödeme öncesi zorunlu onay çifti kanıt satırı olmadan sipariş oluşmaz.
6. Otomatik saklama/imha: bkz. Saklama ve İmha Politikası (04); imha işlemleri denetim kaydına işlenir.
7. Depolama güvenliği: belge deposu özel erişimlidir (private ACL), erişim süreli imzalı bağlantılarla sağlanır; iç ağ erişimi kapalı ağ (tailnet) üzerindendir.
8. Web tarafı: analitik ve pikseller varsayılan olarak kapalıdır ve tek rıza kapısından yönetilir; olay parametreleri izin listesiyle süzülür; misafir destek tokenının veri tabanında yalnız SHA-256 özeti tutulur; bot koruması sunucu tarafında doğrulanır.
9. Yapılandırma disiplini: pazar profili residency: EU, law: KVKK beyanını taşır; hatalı yapılandırma yayını/başlatmayı durdurur (fail-closed).

İdari tedbirler (taahhüt): personel gizlilik taahhütnameleri, periyodik KVKK eğitimi, tedarikçi veri işleme sözleşmelerinin (DPA) merkezi dosyalanması ve veri ihlali müdahale planı henüz yazılı prosedüre bağlanmamıştır; bu Politika ile taahhüt edilir ve uygulama takvimi hukuki incelemeyle birlikte belirlenecektir

[YASAL İNCELEME].

9. Veri ihlali yönetimi

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde Şirket; Kanun md. 12/5 uyarınca durumu en kısa sürede (Kurul kararı uyarınca 72 saat hedefiyle) Kişisel Verileri Koruma Kurulu'na ve etkilenen ilgili kişilere bildirir. Yazılı ihlal müdahale prosedürü bu Politikanın eki olarak hazırlanacaktır

[YASAL İNCELEME — prosedür taslağı hukuk ekibiyle çıkarılacak].

10. İlgili kişilerin hakları

İlgili kişiler, Kanun md. 11'deki haklarını İlgili Kişi Başvuru Formu (05) ve orada açıklanan kanallarla kullanabilir. Başvurular en geç 30 gün içinde sonuçlandırılır.

11. Politikanın güncellenmesi ve yürürlük

1. Bu Politika, hukuki inceleme tamamlandığında yürürlüğe girer; yürürlük tarihi bu tabloya işlenir.
2. Politika; mevzuat değişikliği, yeni yön/hizmet eklenmesi, yeni alıcı veya tedarikçi devreye alınması, saklama sürelerinin değişmesi hâllerinde derhâl, bunlar dışında yılda en az bir kez gözden geçirilir.
3. Rıza metinleri tek kaynaktan (pazar yapılandırması) sürümlenir; metin değişikliği, yeni sürümün yayımlanması ve yeni onayların yeni sürüme pinlenmesiyle uygulanır.
4. Esaslı değişiklikler internet sitesi, hesap bildirimi veya e-posta yoluyla duyurulur.