Site Gizlilik Politikası

1) Amaç ve kapsam

• Hangi kişisel verileri topladığınız,
• Hangi amaçlarla ve hangi yasal gerekçelerle bunları işliyorsunuz,
• Verileri kime ve nasıl aktardığınız (işlemciler, ortaklar, sağlayıcılar),
• Ne kadar süre saklıyorsunuz, nasıl koruyorsunuz ve veri konularının haklarını nasıl kullanıyorsunuz.

Kimin ihtiyacı var: herhangi bir site/uygulama, özellikle KYC/AML ile iGaming ve fintech hizmetleri, ödeme işlemleri, dolandırıcılıkla mücadele analizi, analiz ve pazarlama.

2) Temel tanımlar

Kişisel veriler (PD): Kullanıcıyı tanımlamanıza izin veren herhangi bir bilgi (ad, e-posta, IP, cihaz tanımlayıcıları, ödeme ayrıntıları vb.).
İşleme: kişisel verilerle yapılan herhangi bir işlem (toplama, depolama, değiştirme, aktarma, silme).
Kontrolör/Operatör: Hedefleri ve işleme araçlarını tanımlayan bir şirket.
İşlemci: Denetleyici adına kişisel verileri işleyen kişi/kuruluş.
Çerezler ve pikseller: Sitenin işleyişi, analitik ve pazarlama için tanımlayıcıları depolamak ve okumak için teknolojiler.
Özel veri kategorileri: biyometri/tıbbi, vb. (genellikle iGaming'de işlenmez; İstisna - Üçüncü taraflardan KYC biyometrisi ayrı bir onay/temelde).

3) Genellikle iGaming platformunda hangi verileri toplarsınız?

1. Kimlik: isim, doğum tarihi, vatandaşlık, adres, belge (pasaport/kimlik), selfie/video doğrulaması (KYC yetkili bir sağlayıcı ile ise).
2. İletişim: e-posta, telefon, anında mesajlaşma.
3. Hesaplar: girişler, şifre karmaları, hesap ayarları, dil/para birimi tercihleri.
4. Ödeme ve işlem: tokenize kartlar, cüzdan detayları, ödeme geçmişi, sonuçlar, ters ibraz/anlaşmazlıklar.
5. Teknik: IP, kullanıcı aracısı, cihaz tanımlayıcıları, günlük kayıtları, oturum etkinlikleri, çerez kimliği.
6. Pazarlama/analitik: trafik kaynakları, UTM, dönüşümler, segmentler, A/B test sonuçları.
7. Antifraud/AML: davranış kalıpları, risk puanlaması, geo/proxy sinyalleri, yaptırımların sonucu ve PEP ekranları (lisanslı sağlayıcılar aracılığıyla).

4) İşleme için yasal gerekçeler (yaklaşık liste)

Sözleşmenin yürütülmesi (kayıt, hesap bakımı, oranların/ödemelerin işlenmesi).
Yasal görev (KYC/AML, vergi/finansal raporlama, güvenlik kayıtları).
Meşru çıkar (dolandırıcılık, güvenlik, hizmet geliştirme), çıkar dengesi testi ile.
İzin (pazarlama postaları, isteğe bağlı çerezler, yerel yasaların gerektirdiği durumlarda bireysel sağlayıcılardan KYC biyometrileri).
Hakların ve hukukun ve düzenin korunması (anlaşmazlıkların çözümü, taleplere karşı koruma).

5) İşleme hedefleri (tipik ifadeler)

Bir hesap oluşturma ve yönetme, oyunlara/hizmetlere erişim sağlama.
Ödemeler ve para çekme, iadeler, Net Mevduat ödemesi, finansal tablolar.
KYC/AML/Yaptırımlar/PEP kontrolleri, dolandırıcılık ve bonus kötüye kullanımının önlenmesi.
Müşterilerin desteklenmesi ve kişisel veri konularının taleplerinin yerine getirilmesi.
Analitik ve ürün geliştirme (dönüşümler, UX, performans).
Yasal bir dayanak varsa pazarlama (e-posta, push, retargeting).
Yasal gerekliliklere uygunluk ve meşru talepleriyle ilgili verilerin sağlanması.

6) Çerezler, izleme ve pikseller

• Kesinlikle gerekli: oturumlar, güvenlik, hesap işlevselliği.
• Fonksiyonel: dil, para birimi, arayüz tercihleri.
• Analitik: Katılım ölçümü, huniler, UX-metrikler.
• Pazarlama: trafik ilişkilendirme, yeniden hedefleme, benzer segmentler.

Uygulama: Ayrı bir afiş/onay kontrol paneli (CMP), herhangi bir zamanda seçimi değiştirme yeteneği. Ömürleri, hedefleri ve sağlayıcıları belirtin.

7) Sınır ötesi iletimler ve yerelleştirme

Depolama ve işleme coğrafyasını açıklayın (AB/AEA, İngiltere, Kanada, Brezilya, ABD, vb.).
Mekanizmaları belirtin: standart sözleşme hükümleri (SCC), eşdeğer araçlar, yerel depolama/aynalar, gerekirse DPIA.
Özellikle hassas akışlar için (KYC biyometri) - ayrı önlemler ve minimizasyon.

8) Dağıtım hedefleri (kategoriler)

KYC/AML, yaptırımlar ve PEP kontrolleri sağlayıcıları.
Ödeme sağlayıcıları, ihraççılar, bankalar, işlem ağ geçitleri.
Antifraud/risk puanlama sağlayıcıları, barındırma/bulutlar, CDN, posta/sms hizmetleri.
Analiz/çökme raporlama, pazarlama platformları (onay ile).
Denetçiler, avukatlar, düzenleyiciler ve diğer organlar - yasal olarak.

9) Raf ömrü (minimizasyon prensibi)

Hesap ve operasyonel veriler - sözleşme ve düzenleyici son tarihler yürürlükteyken (finansal belgeler/AML günlükleri için genellikle 5-10 yıl).
Pazarlama profilleri - CMP ile kararlaştırılan son tarihlere göre ve onayın geri çekilmesinden önce.
Güvenlik günlükleri - yasaların aksi belirtilmedikçe birden fazla hedef (örneğin, 12-24 ay).
Dönem sonunda - güvenli kaldırma/anonimleştirme.

10) Güvenlik ve organizasyonel önlemler

Dinlenme ve iletim sırasında şifreleme, sıkı ağ politikaları, WAF/güvenlik duvarları.
Erişim kontrolü (RBAC/ABAC), kayıt, düzenli denetimler ve kalem testleri.
Sistemlerin bölümlendirilmesi, en az haklar ilkesi, gizli yönetim.
Sürekli izleme, dolandırıcılıkla mücadele kuralları, olay müdahale planlarının test edilmesi.
Yüksek riskli tedaviler için risk değerlendirmeleri ve DPIA'lar.

11) Kullanıcıların hakları (veri konuları)

Veri erişimi, düzeltme, silme, işleme kısıtlaması.
Taşınabilirlik (makine tarafından okunabilir format).
İşleme itiraz (pazarlama dahil).
Zorunlu işlevler bozulmadan onayın geri çekilmesi.
Yetkili organa şikayet (düzenleyicinin yargı yetkisine göre temaslarını belirtin).

12) Çocuklar ve yaş kısıtlamaları

IGaming hizmetleri, yerel yasalara göre yalnızca yetişkinlere yöneliktir. Yaş doğrulama mekanizmalarını ve hatalı kayıt durumunda çocuk verilerinin silinmesi prosedürünü açıklar.

13) Otomatik çözümler ve profilleme

Antifraud/risk puanlama/pazarlama için profillemeyi kısaca açıklayın.
Sonucun yasal olarak önemli kararları etkileyip etkilemediğini belirtin (donma, KYC talebi).
Tartışmalı durumlarda "insan incelemesi" hakkını sağlayın.

14) Kişiler ve DPO

Konuların istekleri için e-posta/iletişim formunu, şirketin posta adresini belirtin. Bir DPO atanırsa - isim/kişiler. Yanıt süreleri (örn. 30 güne kadar, yasaların izin vermesi halinde uzatılabilir).

15) Politika güncellemeleri

Geçerli tarihi ve revizyonu düzeltin.
Önemli değişikliklerin şeffaf bildirimi (banner/letter/internal notification).

16) Yargı Notları (Örnek Matris)

AB/AEA (GDPR): zemin, DPIA, işlemcili DPA, sınır ötesi iletimler için SCC, ilgi alanlarının tescili, işlem kaydı.
UK (UK GDPR): Benzer şekilde, yerel otoriteler dikkate alınarak.
Brezilya (LGPD): yasal gerekçeler, LGPD ombudsmanı, yerel son tarihler.
Kaliforniya (CCPA/CPRA): "Satma/Paylaş" verilerinden, "Satma veya Paylaşma" kişisel veri kategorilerinden vazgeçme hakkı.
Kanada (PIPEDA/iller): onay ve hedef kısıtlaması.
Avustralya (Gizlilik Yasası): APP'ler, sınır ötesi açıklamalar.
Çalıştığınız ülkeler için yerel bölümler ekleyin.

17) Yayınlanmadan önce pratik kontrol listesi

• Veri haritası (ne, nerede, neden, ne kadar süreyle, kimin erişimi var).
• Önemli işlemcilerle kayıt ve DPA işleme.
• CMP ve tarihler ve hedefler içeren çerez tablosu.
• Konu isteklerine yanıt verme prosedürü (SLA'lar, harf şablonları).
• Olay bildirim prosedürü (kime, ne zaman, nasıl).
• Politika sürüm ve değişiklik günlüğü.

18) Hazır Politika şablonu (kopyala ve uyarla)

Gizlilik Bildirimi

Geçerli: [tarih] Sürüm: [vX. Y]

1. Biz kimiz

[Şirketin tam adı], [kayıtlı ofis], [kayıt detayları].

Kişiler: [support @ domain], [mail address].

2. Uygulanabilirlik

Bu Politika, site (ler) ve uygulamalar: [Etki alanları/uygulamalar] ve ilgili destek hizmetleri için geçerlidir.

3. Işlediğimiz veriler

Kimlik ve iletişim (isim, doğum tarihi, e-posta, telefon numarası, adres).
Kimlik bilgileri (oturum açma, parola karma, ayarlar).
Ödeme/işlem (kart belirteçleri, işlem geçmişi).
Teknik (IP, cihazlar, günlükler, çerez kimliği).
Antifraud/AML (davranışsal sinyaller, sağlayıcılarda yapılan kontrollerin sonuçları).
Pazarlama/analitik (UTM, dönüşümler) - kabul edilirse, gerekirse.

4. Amaçlar ve yasal gerekçeler

Verileri aşağıdakiler için işliyoruz: hizmet sağlama, ödemeler ve sonuçlar, KYC/AML, güvenlik ve dolandırıcılıkla mücadele, destek, analitik, pazarlama (rıza ile), yasalara uygunluk. Gerekçeler: sözleşmenin ifası, yasal yükümlülük, meşru menfaat, rıza.

5. Çerez ve benzeri teknolojiler

• Kesinlikle gerekli (oturumlar, güvenlik),
• Fonksiyonel (ayarlar),
• analitik,
• pazarlama.
• Kontrol, [onay paneli/CIW bağlantısı] aracılığıyla kullanılabilir. Çerez tablosu için Ek A'ya bakın.

6. Verileri kimlerle paylaşıyoruz

Alıcı kategorileri: KYC/AML sağlayıcıları, ödeme kuruluşları, barındırma/CDN, dolandırıcılıkla mücadele ve analitik, destek (e-posta/SMS), denetçiler, yasalara göre düzenleyiciler. Transfer - sözleşmelere ve güvenlik önlemlerine dayanarak.

7. Uluslararası şanzımanlar

Veriler ülkeniz dışında işlenebilir. Yasal mekanizmalar uyguluyoruz (örn. standart sözleşme hükümleri) ve koruma için teknik/organizasyonel önlemler.

8. Raf ömrü

Amaçlar için gerekli olduğu sürece ve yasaların belirlediği zaman sınırları dahilinde tutun (örneğin, finansal/AML kayıtları - en az [X] yıl). Sonra - sil/anonimleştir.

9. Güvenlik

Şifreleme, erişim kontrolü, izleme, segmentasyon, denetim, kalem testleri. Önlemlere rağmen, mutlak güvenlik garanti edilmez; Geçerli olay bildirim yönetmeliklerine uygun olarak hareket ediyoruz.

10. Haklarınız

Erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz talep edebilir ve onayınızı geri çekebilirsiniz (onay üzerine işlem için). İstekler için kişiler: [privacy @ domain]. [Yetki/yetki adı] ile de şikayette bulunabilirsiniz.

11. Otomatik çözümler ve profil oluşturma

Dolandırıcılıkla mücadele ve risk değerlendirmesi için otomatik sistemler kullanıyoruz. Anlamlı bir karar durumunda, bir insan incelemesi talep edebilirsiniz.

12. Çocuklar

Hizmet, yerel yasalara göre [18 +] veya daha büyük kişiler içindir. Bir reşit olmayan kişinin hesabı tespit edildiğinde, veriler engellenir ve silinir.

13. DPO/Sahip Kişileri

[DPO adı/konumu], e-posta: [dpo @ domain], adres: [address].

14. Bu Politikadaki Güncellemeler

Politikayı periyodik olarak güncelliyoruz. Önemli değişiklikler site/bildirim yoluyla iletilecektir. Mevcut sürüm her zaman [link] adresinde mevcuttur.

Ek A - Çerez Tablosu (Örnek)

Ek B. Karşı Taraflar (kategoriler)

KYC/AML sağlayıcıları: [ad/yetki/rol].
Ödeme işlemcileri/bankalar: [Kategoriler].
Barındırma/bulutlar/CDN: [Kategoriler].
Pazarlama/postalama/analiz: [kategoriler].
Destek (bilet/SMS/e-posta): [Kategoriler].

(Kesin isimler DPA/Tedavi Sicilinde ve Politika'daki kategorilerde açıklanabilir.)

Ek C. Yargı Alanı Ek Şartları (Şablon)

AB/AEA (GDPR): haklar, iletim mekanizmaları, denetleyici otorite temasları: [link/title].
Kaliforniya (CCPA/CPRA): "Kişisel Bilgilerimi Satmayın veya Paylaşmayın" bağlantısı, kategorilerin açıklaması ve tüketici hakları.
Brezilya (LGPD): sorumlu iletişim, titulares hakları.
Birleşik Krallık: UK GDPR ve ICO.
Kanada/Avustralya: yerel haklar ve düzenleyici kişiler.

19) Alakalı kalmak için ipuçları

Üç ayda bir, Politikayı gerçek veri akışı ve DPIA ile kontrol edin.
Yeni bir sağlayıcı/SDK eklerken, işlem kayıt defterini ve CMP'yi güncelleyin.
Konu isteklerine günlük ve belge yanıtları (SLA'lar, şablonlar, metrikler).
Kısa bir changelog ile bir sürüm günlüğü tutun.

Bu makale nasıl kullanılır

1. Kontrol listesini gözden geçirin ve verileriniz ve akışlarınızla ilgili gerçekleri toplayın.
2. Şablonu kopyalayın ve ayrıntılarınızı/son tarihlerinizi/yetki alanlarınızı yapıştırın.
3. Avukat ve DPO ile anlaşın, ardından sitede yayınlayın ve CMP'yi bağlayın.
4. Veri konusu isteklerini kabul etmek için süreci yapılandırın ve değişiklikler olduğunda İlkeyi güncelleştirin.