Gizlilik Politikası

Bu Gizlilik Politikası, PQC Imza hizmetinde kişisel verilerinizin nasıl işlendiğini açıklar. Türkiye'deki kullanıcılar için 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.10 uyarınca hazırlanan KVKK Aydınlatma Metnimiz https://pqc-imza.com/tr/legal/kvkk adresindedir.

1. Veri sorumlusu

PQC Imza, Türkiye'de kurulu ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. ("ZincirX A.Ş.") ile Amerika Birleşik Devletleri'nin Delaware eyaletinde kurulu ZincirX Inc. tarafından sunulan bir ZincirX ürünüdür. Verilerinizden sorumlu şirket, yani veri sorumlusu şöyle belirlenir:

• Türkiye'deyseniz kişisel verilerinizin veri sorumlusu ZincirX A.Ş.'dir. Ayrıntılar KVKK Aydınlatma Metni'nde yer alır.
• Türkiye dışındaysanız veri sorumlusu ZincirX Inc.'dir.
• Ücretli planlar ve belge ücretleri, Türkiye'deki alıcılar dahil tüm alıcılara ZincirX Inc. tarafından Stripe üzerinden satılır; bu nedenle satın alma ve ödeme kayıtlarının veri sorumlusu ZincirX Inc.'dir.

ZincirX A.Ş. Hizmeti her iki şirket için Türkiye'den işletir; ZincirX Inc.'in veri sorumlusu olduğu verileri, ZincirX Inc. ile aralarındaki veri işleme sözleşmesi kapsamında ZincirX Inc. adına veri işleyen sıfatıyla, yalnızca onun talimatıyla ve Hizmeti sunmak için işler. İki şirket müşterek veri sorumlusu değil, ayrı veri sorumlularıdır. İletişim bilgilerimiz bu sayfanın sonunda yer alır.

2. İşlenen kişisel veriler

Kategori	Veriler
Kimlik	Ad soyad, T.C. kimlik numarası; mobil uygulamada kimlik doğrulaması yaparsanız kimlik kartınızın çipinden okunan belge numarası, belge türü ve geçerlilik tarihi
İletişim	E-posta adresi
Hesap	Google ile giriş yaparsanız Google hesap kimliğiniz, adınız, e-postanız ve profil fotoğrafınız; Apple ile giriş yaparsanız Apple hesap kimliğiniz, adınız ve e-postanız; dil tercihiniz
Cüzdan ve imza	PQC cüzdan adresleriniz, açık anahtarlarınız, imzalar, imzalanan mesajlar, imza zamanları ve kimlik doğrulama düzeyi (L0–L3)
Belge	Yüklediğiniz veya oluşturduğunuz belgeler, başlık ve açıklamaları, belge özetleri (hash), imzacı listeleri ve belge geçmişi
Ödeme	Ödeme tutarı, para birimi, tarihi, durumu ve Stripe işlem numarası. Kart bilgileriniz Stripe tarafından işlenir; biz kart numaranızı görmeyiz ve saklamayız.
Ekip planları	Planınıza birini davet ederseniz, davetin gönderilmesi için verdiğiniz e-posta adresi; kişi üye olduğu sürece siz e-posta adresini ve daveti kabul edip etmediğini, o da planın ödemesini yapan kişi olarak adınızı görür
İşlem güvenliği	IP adresi, oturum bilgileri, tarayıcı bilgisi ve sunucu kayıtları (log)
Kullanım (yalnızca analitiğe izin verirseniz)	Google Analytics'in herkese açık sayfalarda ve panelde kaydettikleri: Çerez Politikası'na bakınız. Belgelerinizi veya imzalarınızı gösteren sayfalarda hiçbir zaman.

Biyometrik veri: Mobil uygulamadaki yüz eşleştirme yalnızca telefonunuzda yapılır. Yüz görüntünüz veya biyometrik şablonunuz sunucularımıza gönderilmez ve tarafımızca saklanmaz; bize yalnızca doğrulamanın sonucu (kimlik doğrulama düzeyi) iletilir.

Belgelerdeki üçüncü kişi verileri: Yüklediğiniz belgelerde başka kişilere ait veriler bulunuyorsa, bu veriler bakımından veri sorumlusu sizsiniz; biz bu verileri yalnızca sizin talimatınızla ve Hizmeti sunmak için veri işleyen olarak işleriz.

3. İşleme amaçları ve hukuki sebepler

Amaç	Hukuki sebep (KVKK m.5/2)
Hesabınızı açmak ve yönetmek, belgeleri saklamak, imza sürecini yürütmek, bildirim e-postaları göndermek	Sözleşmenin kurulması ve ifası (c)
İmzacının kimliğini ve imzanın geçerliliğini doğrulamak, imzayı ve belgeyi delil olarak saklamak, blokzincir kaydı oluşturmak	Sözleşmenin ifası (c); bir hakkın tesisi, kullanılması veya korunması (e)
Ödemeleri almak, fatura ve muhasebe kayıtlarını tutmak	Sözleşmenin ifası (c); hukuki yükümlülük (ç)
Hizmetin güvenliğini sağlamak, kötüye kullanımı ve dolandırıcılığı önlemek, hataları gidermek	Meşru menfaat (f); hukuki yükümlülük (ç)
Yetkili kurum ve mahkemelerin taleplerini yerine getirmek	Hukuki yükümlülük (ç)
Herkese açık sayfaların ve panelin nasıl kullanıldığını ölçmek (Google Analytics 4), yalnızca çerez bildiriminde izin verirseniz	Açık rızanız (KVKK m.5/1); "Çerez tercihleri"nden istediğiniz an geri alabilirsiniz

Pazarlama amaçlı e-posta göndermiyoruz ve verilerinizi reklam amacıyla kullanmıyoruz.

4. Toplama yöntemi

Verileriniz; web sitesindeki formlar, Google veya Apple ile giriş, mobil uygulama (kimlik kartı çipi okuma dahil), ödeme sağlayıcısı Stripe ve çerezler aracılığıyla elektronik ortamda, otomatik veya kısmen otomatik yollarla toplanır.

5. Verilerin aktarılması

Verilerinizi yalnızca Hizmeti sunmak için gerekli olduğu ölçüde aşağıdaki alıcılarla paylaşırız:

Alıcı	Amaç	Konum
ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş.	Hizmetin işletilmesi, destek ve bakım; Türkiye'deki kullanıcılar bakımından veri sorumlusu, ZincirX Inc.'in verileri bakımından onun adına veri işleyen	Türkiye
ZincirX Inc.	Ücretli plan ve belge satışlarının satıcısı; Türkiye dışındaki kullanıcılar bakımından veri sorumlusu	ABD
Hostinger	Hizmetin ve verilerin barındırılması; bildirim e-postalarının gönderilmesi	Litvanya (AB)
Stripe	Ödemelerin alınması	ABD / İrlanda
Google	Google ile giriş; belge oluşturucudaki yapay zekâ asistanını kullanırsanız yazdığınız metin (Gemini); yalnızca izin verirseniz Google Analytics	ABD
Apple	Apple ile giriş	ABD
SciChain blokzinciri	Belge kaydının oluşturulması (aşağıya bakınız)	Herkese açık ağ
Yetkili kamu kurumları ve mahkemeler	Kanuni talepler	Türkiye

Bu alıcıların bir kısmı yurt dışında bulunduğundan verileriniz yurt dışına aktarılmaktadır. Yurt dışına aktarım KVKK m.9'da öngörülen usul ve güvencelere uygun olarak yapılır; dayanağı KVKK Aydınlatma Metni'nde açıklanmıştır.

Blokzincir kaydı hakkında önemli not: Bir belge blokzincire kaydedildiğinde belgenin özeti (hash), imza özetleri, imzacıların cüzdan adresleri ve "PQC Imza #belge numarası" biçiminde bir etiket SciChain üzerinde kalıcı olarak ve herkese açık şekilde yer alır. Blokzincirin doğası gereği bu kayıt sonradan değiştirilemez veya silinemez. Belgenin içeriği ve başlığı, adınız, T.C. kimlik numaranız ve e-postanız blokzincire yazılmaz. 25 Eylül 2026'dan önce kaydedilen belgelerde etiket yerine belge başlığı yazılmıştır.

İmza doğrulama sayfası, belgeyi doğrulamak isteyen herkese imzacıların adını ve kısmen gizlenmiş kimlik numarasını gösterir; imzanın kime ait olduğunu göstermek bu sayfanın amacıdır.

6. Saklama süreleri

• Hesap, belge ve imza kayıtları: hesabınız açık olduğu sürece. İmzalar delil niteliği taşıdığından, hesap kapatıldıktan sonra ilgili kanunlardaki zamanaşımı süreleri boyunca (genel olarak 10 yıl) saklanabilir; bu süre sonunda silinir veya anonim hâle getirilir.
• Ödeme ve muhasebe kayıtları: ilgili vergi ve ticaret mevzuatının öngördüğü süre boyunca (5–10 yıl).
• Sunucu ve güvenlik kayıtları: güvenlik amacının gerektirdiği süre boyunca, en fazla 2 yıl.
• Blokzincir kaydı: kalıcıdır, silinemez (yukarıya bakınız).

7. Haklarınız (KVKK m.11)

Veri sorumlusuna başvurarak şu haklarınızı kullanabilirsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmişse düzeltilmesini isteme,
• KVKK m.7'deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Bunlardan ikisini profil sayfanızdaki “Verileriniz” bölümünden kendiniz yapabilirsiniz: hakkınızda tuttuğumuz verilerin bir kopyasını indirmek ve hesabınızı kapatmak. Hesap kapatıldığında adınız, e-postanız, T.C. kimlik numaranız ve cüzdan bağlantılarınız silinir; başkalarının dayandığı belgeler ve imzalar 6. bölümde belirtildiği şekilde saklanır.

Başvurunuzu, kimliğinizi doğrulayabilmemiz için hesabınıza kayıtlı e-posta adresinden hello@pqc-imza.com adresine yazarak veya aşağıdaki adrese yazılı olarak iletebilirsiniz; başvuru usulü KVKK Aydınlatma Metni'nde açıklanmıştır. Başvurunuzu en geç 30 gün içinde ücretsiz olarak sonuçlandırırız. Başvurunuzun reddedilmesi veya yanıtı yetersiz bulmanız hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

8. Çerezler

Hizmetin çalışması için zorunlu çerezleri (pqc-imza-session, XSRF-TOKEN, remember_web_…, sign_in_locale ve çerez tercihinizi 6 ay saklayan zx_consent) ve yalnızca izin verirseniz Google Analytics çerezlerini (_ga ve _ga_5P2X21YMVX; Google LLC, ABD; en fazla 2 yıl) kullanırız; belgelerinizi veya imzalarınızı gösteren sayfalarda hiçbir zaman. Yazı tiplerimiz kendi sitemizden sunulur. Ayrıntılar için Çerez Politikası'na bakınız; tercihinizi her sayfanın altındaki "Çerez tercihleri"nden istediğiniz an değiştirebilirsiniz.

9. Güvenlik

Bağlantılar TLS ile şifrelenir; belgeler herkese açık olmayan bir depolama alanında tutulur; imza anahtarlarınız cihazınızdan çıkmaz. Hiçbir sistem tamamen güvenli değildir; bir veri ihlali olursa KVKK uyarınca ilgili kişilere ve Kurul'a bildirimde bulunuruz.

10. Değişiklikler

Bu metni güncelleyebiliriz. Güncel metin her zaman bu sayfada yer alır; önemli değişiklikleri ayrıca bildiririz.