KVKK Aydınlatma

HUKUKİ KONTROL NOTU: Bu metin, Apmatik'in bildirilen iş modeli ve 18.08.2026 itibarıyla erişilebilen genel mevzuat çerçevesi dikkate alınarak hazırlanmış kapsamlı çalışma taslağıdır. Teknik envanter, üçüncü taraf sağlayıcılar, saklama süreleri ve sözleşmesel akışlar kesinleştirildikten sonra yayımdan önce KVKK/bilişim hukuku alanında çalışan bir hukukçu tarafından son kontrol yapılmalıdır.

1. Aydınlatmanın Amacı

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 10. maddesi çerçevesinde, Apmatik'in veri sorumlusu olduğu kişisel veri işleme faaliyetleri hakkında ilgili kişileri bilgilendirmek amacıyla hazırlanmıştır. Aydınlatma, açık rızadan bağımsız bir yükümlülüktür.

2. Veri Sorumlusu ve Rol Ayrımı

Veri sorumlusu: Apmatik Bilişim Toplu Konut Yönetim Sistemleri A.Ş., Kazımdirik Mah. Üniversite Cad. No: 72, Ofis: 101, Bornova / İZMİR. İletişim: [email protected]; KVKK başvuruları: [email protected].

Apmatik'in rolü her veri akışında aynı olmayabilir. Sakinlerin doğrudan Apmatik hesabı, platform güvenliği, Apmatik faturalaması, destek ve ürün geliştirme gibi Apmatik'in amaç ve araçlarını belirlediği işlemlerde Apmatik veri sorumlusu olabilir. Kurumsal müşterinin kendi yönetim faaliyeti için belirlediği verilerin yalnızca talimatla barındırılması/işlenmesi halinde Apmatik veri işleyen olabilir.

3. İlgili Kişi Grupları

Site/apartman sakinleri, kat malikleri, kiracılar, yöneticiler, yönetim kurulu üyeleri, profesyonel yönetim şirketi çalışanları, inşaat firması kullanıcıları, personel, tedarikçi/iş ortağı yetkilileri, ziyaretçiler, destek talebi oluşturanlar ve web/mobil ziyaretçileri kapsam dahilinde olabilir.

4. İşlenen Kişisel Veri Kategorileri

Kimlik: ad, soyad, T.C. kimlik numarası ve gerekli doğrulama bilgileri.

İletişim: telefon, e-posta ve gerektiğinde tebligat/iletişim adresi.

Yerleşim ve bağımsız bölüm: site, blok, daire, bağımsız bölüm ilişkisi ve adres.

Araç: plaka ve hizmetin gerektirdiği araç bilgileri.

Finans: aidat/tahakkuk, borç/alacak, ödeme geçmişi, IBAN, fatura, işlem referansı ve mutabakat kayıtları.

Müşteri işlem: talepler, şikâyetler, duyuru/karar/oylama ve destek kayıtları.

Görsel: profil veya hizmet kapsamında yüklenen fotoğraflar. Kamera görüntüsü mevcut tasarımda yönetim şirketinin sisteminde kalır ve Apmatik sunucusunda depolanmaz.

İşlem güvenliği: IP adresi, giriş/çıkış, zaman damgası, cihaz/tarayıcı bilgileri, hata ve güvenlik logları.

Konum: mobil uygulama özelliğine bağlı olarak anlık GPS konumu ve site/daire adresi.

Pazarlama/tercih: ticari ileti izinleri, kanal tercihleri, kampanya etkileşimleri ve çerez tercihleri.

5. Kişisel Veri İşleme Amaçları

Hesap oluşturma, kimlik/iletişim doğrulama, kullanıcı ve rol yönetimi; site/bağımsız bölüm eşleştirme; apartman/site yönetim fonksiyonlarının sunulması; aidat/tahakkuk/borç ve ödeme süreçleri; banka ve ödeme entegrasyonları; fatura/gider ve finansal raporlama; talep/şikâyet ve destek; duyuru, karar ve oylama; güvenlik, loglama ve kötüye kullanım önleme; mobil konum tabanlı fonksiyonlar; müşteri memnuniyeti ve ürün geliştirme; hukuki taleplerin yönetimi; mevzuata uyum; ticari ileti izinlerinin yönetimi ve izin verilmiş pazarlama faaliyetleri; AI destekli özelliklerin sunulması amaçlarıyla işlenebilir.

6. Toplama Yöntemleri

Veriler; web sitesi ve mobil uygulamadaki formlar, kullanıcı kayıtları, kurumsal müşteri panelleri, ödeme kuruluşları/bankalar, destek kanalları, API entegrasyonları, cihaz izinleri, çerez/SDK teknolojileri, güvenlik logları ve ilgili kişinin veya yetkili kurumsal müşterinin sağladığı kayıtlar aracılığıyla tamamen veya kısmen otomatik yollarla; gerekli hallerde otomatik olmayan yollarla toplanabilir.

7. Hukuki Sebepler

Her işlem için hukuki sebep ayrı belirlenir. Sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi/kullanılması/korunması, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat ve kanunda öngörülen diğer şartlar uygulanabilir. Açık rıza yalnızca gerekli olan faaliyetlerde kullanılır.

T.C. kimlik numarası gibi yüksek riskli kimlik verileri yalnızca gerçekten gerekli ve ölçülü olduğu süreçlerde talep edilmelidir. Özel nitelikli kişisel veri işleme ihtiyacı doğarsa KVKK m.6'daki güncel şartlar ve ek güvenlik tedbirleri ayrıca uygulanır.

8. Online Ödeme ve Finansal Veriler

PayTR, iyzico ve banka sanal POS çözümleri kullanılabilir. Ödeme, ilgili apartman/site için yönetim şirketinin belirlediği banka hesabına yönlendirilir. Apmatik; ödeme tutarı, işlem tarihi, ödeme sonucu, işlem referansı ve mutabakat için gerekli sınırlı verileri işleyebilir.

Kart numarası, CVV/CVC gibi hassas kart verilerinin Apmatik sistemlerinde saklanmaması esastır. Nihai teknik entegrasyon ödeme sağlayıcısının gereklilikleriyle doğrulanmalıdır.

9. Konum Verisi

Anlık GPS konumu yalnızca konum gerektiren mobil özelliklerde ve cihaz izinleri çerçevesinde işlenir. Kullanıcı ilgili cihaz ayarlarından konum iznini yönetebilir; ancak izin kapatıldığında konuma bağlı bazı özellikler çalışmayabilir.

Arka planda veya sürekli konum işleme ancak belirli, açık ve ölçülü bir ihtiyaç oluşursa devreye alınmalı; bu durumda ayrı katmanlı aydınlatma ve gerekli hukuki şart sağlanmalıdır.

10. Kamera Görüntüleri

Kamera görüntüleri yönetim şirketinin kamera altyapısında kalmaktadır. Apmatik sunucularında kamera görüntüsü depolanmamaktadır. Kamera sisteminin veri sorumlusu, aydınlatması, saklama süresi ve erişim yetkileri ilgili yönetim şirketi/site yönetimi tarafından ayrıca belirlenmelidir.

11. Yapay Zekâ

AI özellikleri devreye alınırken veri minimizasyonu, mümkünse kimliksizleştirme/pseudonimleştirme, erişim sınırlandırması ve insan gözetimi esas alınır. Üçüncü taraf AI sağlayıcısına kişisel veri aktarılacaksa sağlayıcının ülkesi, model eğitimi kullanımı, saklama süresi ve alt işleyenleri incelenir.

AI sağlayıcısının yurt dışında olması halinde KVKK m.9'daki güncel yurt dışı aktarım rejimine uygun bir mekanizma sağlanmadan aktarım yapılmaması esastır.

12. Aktarım Alıcıları

Hizmetin niteliğine göre; kurumsal müşteriler, ilgili yönetim/site yetkilileri, ödeme kuruluşları ve bankalar, SMS/e-posta sağlayıcıları, barındırma/bulut ve siber güvenlik hizmetleri, muhasebe/e-fatura entegrasyonları, teknik destek ve entegrasyon sağlayıcıları, avukat/mali müşavir gibi profesyonel danışmanlar ve kanunen yetkili kamu kurumları alıcı olabilir.

Üçüncü taraf teknik servis envanteri henüz tamamlanmadığından, fiili sağlayıcı listesi yayından önce/entegrasyon devreye alındıkça güncellenmelidir.

13. Yurt Dışına Aktarım

Ana sunucu altyapısının Türkiye'de olması planlanmaktadır. Bununla birlikte e-posta, analitik, AI, hata izleme, mobil bildirim veya benzeri üçüncü taraf servislerin yurt dışında bulunması mümkündür. Böyle bir durumda KVKK m.9 kapsamında yeterlilik kararı, uygun güvence (örneğin standart sözleşme) veya kanundaki diğer aktarım şartları değerlendirilir.

14. Saklama ve İmha

Kişisel veriler işleme amacı için gerekli süre ve ilgili mevzuattaki yasal saklama süreleri boyunca tutulur. Saklama süresi sona erdiğinde silme, yok etme veya anonimleştirme uygulanır. Veri kategorisi bazında saklama ve imha tablosu teknik/hukuki envanter tamamlandığında politika eki olarak yayımlanmalıdır.

15. Veri Güvenliği

Yetki matrisi, erişim logları, parola ve kimlik doğrulama tedbirleri, yedekleme, güvenlik güncellemeleri, ağ/uygulama güvenliği, şifreli iletişim, olay müdahalesi, tedarikçi kontrolleri ve personel gizlilik yükümlülükleri risk seviyesine göre uygulanır.

16. İlgili Kişinin Hakları ve Başvuru

İlgili kişiler KVKK m.11 kapsamındaki haklarını kullanabilir. Başvurular [email protected] adresine veya mevzuatın kabul ettiği diğer başvuru yöntemleriyle iletilebilir. Başvurunun kimlik doğrulaması için gerekli ek bilgi istenebilir. KEP edinilmesi halinde başvuru kanalları güncellenmelidir.

17. Güncelleme

Veri akışları, ürün özellikleri veya mevzuat değiştiğinde bu metin güncellenir. Güncel sürüm Platformda yayımlanır.

Ek-1: Örnek Veri İşleme Matrisi