KVKK Aydınlatma Metni

1. Giriş ve Amaç

Portofiro (“Portofiro”, “Platform” veya “Biz”) olarak, kullanıcılarımıza ait kişisel verilerin güvenliğine ve mahremiyetine büyük önem vermekteyiz. İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ çerçevesinde hazırlanmış olup, Portofiro tarafından sunulan hizmetler kapsamında işlenen kişisel verilerinize ilişkin olarak sizleri bilgilendirmek amacıyla yayımlanmıştır.

Bu metin; veri sorumlusunun kimliği, işlenen kişisel veri kategorileri, kişisel verilerin işlenme amaçları ve hukuki sebepleri, aktarıldığı kişi/kuruluşlar, aktarım amaçları, toplama yöntemi ile veri sahibi olarak KVKK'nın 11. maddesinde sayılan haklarınıza ve bu haklarınızı nasıl kullanabileceğinize ilişkin kapsamlı bilgiler içermektedir. Portofiro hizmetlerini kullanmadan önce işbu metni dikkatle okumanızı öneririz.

2. Veri Sorumlusunun Kimliği

KVKK'nın 10. maddesi uyarınca veri sorumlusu sıfatıyla hareket eden taraf aşağıda belirtilmiştir:

Portofiro, KVKK'nın 3. maddesinin (ı) bendinde tanımlanan veri sorumlusu sıfatıyla, kişisel verilerinizin işlenme amaçlarını ve vasıtalarını belirlemekte, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişi olarak hareket etmektedir.

3. İşlenen Kişisel Veri Kategorileri

Portofiro, hizmetlerinin niteliği gereği, aşağıda kategoriler hâlinde listelenen kişisel verilerinizi, KVKK'nın 4. maddesinde sayılan genel ilkelere ve hukuka uygun olarak işlemektedir. İşlenen kişisel veri kapsamı, hizmet kullanımının detayına ve kullanıcı tercihlerine göre değişebilmektedir.

3.1. Kimlik Bilgileri

• Ad, soyad
• Kullanıcı adı (nickname)
• T.C. kimlik numarası (yalnızca veri sahibi başvuru formunda, kimlik doğrulama amaçlı)
• Doğum tarihi (isteğe bağlı profil alanı)
• Profil fotoğrafı
• Meslek/rol bilgisi (danışman, broker, ofis yöneticisi vb.)

3.2. İletişim Bilgileri

• E-posta adresi
• Telefon numarası (SMS/OTP doğrulama dâhil)
• İl, ilçe ve uzmanlık bölgesi bilgileri
• Başvuru formu kapsamında bildirilen posta adresi (yalnızca talep edildiğinde)

3.3. Müşteri İşlem ve Hizmet Kullanım Bilgileri

• Oluşturulan ve yönetilen portföy kayıtları
• Müşteri (lead) verileri: potansiyel alıcı/satıcı/kiracı bilgileri (bu veriler kullanıcı tarafından platforma yüklenir; kullanıcı, bu verilerin işlenmesine ilişkin ayrı bir veri sorumlusu niteliği taşır)
• Randevu, görev, hatırlatma kayıtları
• Sözleşme ve belge şablonları
• Komisyon ve gelir bilgileri

3.4. İşlem Güvenliği ve Teknik Veriler

• IP adresi
• Tarayıcı türü ve versiyonu (User-Agent)
• İşletim sistemi bilgisi
• Ziyaret edilen sayfalar, tıklanan bağlantılar, oturum süresi
• Oturum (session) tanımlayıcıları
• Giriş ve çıkış zaman damgaları
• Çerez tanımlayıcıları (detaylar için bkz. Çerez Politikası)

3.5. Finansal Bilgiler

• Abonelik ve fatura bilgileri (beta dönemi ücretsiz olduğundan bu veriler yalnızca ücretli plana geçiş halinde işlenecektir)
• Ödeme sağlayıcı tarafından iletilen işlem referans numaraları (kart bilgileri Portofiro tarafından saklanmaz; PCI-DSS uyumlu ödeme sağlayıcılarında tutulur)

3.6. Pazarlama ve İletişim Tercihleri

• Bülten aboneliği durumu
• Pazarlama iletişimi rıza kayıtları (rıza zamanı, kanalı, kaynağı)
• Anket cevapları, geri bildirim ve memnuniyet puanları

3.7. Ses ve Görsel Kayıtlar

• Kullanıcının kendisinin yüklediği portföy fotoğrafları ve dokümanları
• Sesli not kayıtları (yalnızca kullanıcının açıkça başlattığı sesli not özelliği kullanıldığında — yerel olarak işlenir ve yalnızca metne dönüştürme amacıyla işlem sağlayıcıya gönderilir)

4. Kişisel Verilerin İşlenme Amaçları

Kişisel verileriniz, KVKK'nın 4. maddesinde belirtilen “hukuka ve dürüstlük kurallarına uygun olma”, “doğru ve gerektiğinde güncel olma”, “belirli, açık ve meşru amaçlar için işlenme”, “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ve “ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme” ilkelerine uygun olarak, aşağıda detaylandırılan amaçlarla işlenmektedir:

4.1. Hizmet Sunumu ve Sözleşmenin İfası

• Kullanıcı hesabı oluşturulması ve kimlik doğrulaması
• Platform özelliklerinin (portföy, CRM, AI asistan, raporlar vb.) sağlanması
• Portföy ve müşteri verilerinin güvenli şekilde saklanması ve erişilebilir kılınması
• Abonelik yönetimi ve faturalama
• Teknik destek ve hata giderme

4.2. Müşteri İlişkileri ve İletişim

• Kullanıcı soru, şikâyet ve taleplerinin cevaplanması
• Hizmetle ilgili önemli bildirimler (sistem bakımı, özellik güncellemesi, güvenlik uyarısı)
• Şifre sıfırlama ve hesap güvenliği bildirimleri

4.3. Ürün ve Hizmet İyileştirme

• Kullanıcı davranışlarına dayalı anonim veya pseudonimize edilmiş analizler
• Hata ayıklama, performans iyileştirme, yeni özellik tasarımı
• A/B testleri ve kullanılabilirlik araştırmaları

4.4. Pazarlama (Yalnızca Açık Rızaya Dayalı)

• Elektronik ticari ileti (bülten, kampanya, ürün duyurusu) gönderimi — yalnızca 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamında önceden alınmış onaya dayanır
• Kişiselleştirilmiş öneri ve içerik sunumu

4.5. Güvenlik ve Suistimal Önleme

• Yetkisiz erişimin tespiti ve engellenmesi
• Hesap ele geçirme, kimlik hırsızlığı, sahtecilik vb. saldırıların önlenmesi
• Olay müdahalesi (incident response) ve adli analiz
• Rate limiting, DDoS koruması, zararlı yazılım tespiti

4.6. Yasal Yükümlülüklerin Yerine Getirilmesi

• Vergi mevzuatı kapsamında defter ve belge saklama
• Yetkili kamu kurum ve kuruluşlarının (mahkemeler, savcılıklar, düzenleyici otoriteler) talepleri
• KVKK, TTK, TBK, Vergi Usul Kanunu ve ilgili diğer mevzuat kapsamındaki yükümlülükler

4.7. Hukuki Süreçlerin Yürütülmesi ve Savunma

• Uyuşmazlıkların çözümü, dava ve icra takibi
• Sözleşmesel hakların tesisi, kullanılması veya korunması
• Kanunen tutulması zorunlu log ve kayıtların saklanması

5. Kişisel Verilerin İşlenmesine İlişkin Hukuki Sebepler

Kişisel verileriniz, aşağıda belirtilen KVKK'nın 5. ve 6. maddelerindeki hukuki sebeplere dayalı olarak işlenmektedir. Veri kategorisi ve işleme amacına göre birden fazla hukuki sebep aynı anda geçerli olabilir.

5.1. Açık Rıza (KVKK md. 5/1)

Kanunda açıkça öngörülmediği ve bir başka hukuki sebebe dayanmadığı durumlarda verilerinizin işlenmesi, ancak açık rızanızın alınması hâlinde mümkündür. Portofiro, açık rıza gerektiren işleme faaliyetleri için (örn. pazarlama amaçlı elektronik ileti gönderimi) ayrı ve özgür bir şekilde beyan edilmiş rızanızı talep eder. Verdiğiniz rızayı her zaman geri çekme hakkına sahipsiniz.

5.2. Kanunlarda Açıkça Öngörülmesi (KVKK md. 5/2-a)

Vergi mevzuatı, elektronik ticaret mevzuatı, ticari defter tutma yükümlülükleri gibi ilgili kanunlarda açıkça öngörülen işleme faaliyetleri bu kapsamdadır.

5.3. Sözleşmenin Kurulması veya İfası (KVKK md. 5/2-c)

Portofiro ile kullanıcı arasındaki Kullanım Koşulları'nın kurulması ve ifası (hesap oluşturma, hizmet sunma, faturalama) için zorunlu olan kişisel verilerin işlenmesi bu sebebe dayanır.

5.4. Hukuki Yükümlülüğün Yerine Getirilmesi (KVKK md. 5/2-ç)

Vergi beyanları, yetkili kamu otoritelerinin talepleri, mahkeme kararları gibi hukuki yükümlülüklerin yerine getirilmesi için gerekli veri işleme bu kapsamdadır.

5.5. Bir Hakkın Tesisi, Kullanılması veya Korunması (KVKK md. 5/2-e)

Uyuşmazlıklarda savunma hazırlanması, dava ve icra takiplerinde delil teşkil etmek üzere kayıtların saklanması bu kapsamda değerlendirilir.

5.6. Meşru Menfaat (KVKK md. 5/2-f)

Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaati için zorunlu olan veri işleme faaliyetleri (örn. dolandırıcılık önleme, ağ güvenliği, altyapı iyileştirme, kullanıcı davranışlarının anonim analizi) bu sebebe dayanır.

6. Kişisel Verilerin Aktarımı

Kişisel verileriniz, KVKK'nın 8. maddesi (yurt içi aktarım) ve 9. maddesi (yurt dışı aktarım) çerçevesinde, aşağıda belirtilen amaçlar, alıcı grupları ve hukuki dayanaklar doğrultusunda aktarılmaktadır. Portofiro, veri aktarımı sürecinde Kişisel Verileri Koruma Kurulu(“Kurul”) tarafından yayımlanan rehber ve kararlara tam uyum gösterir.

6.1. Yurt İçi Aktarım (KVKK md. 8)

• Yetkili kamu kurum ve kuruluşları: Yargı mercileri, Kişisel Verileri Koruma Kurumu, Mali Suçları Araştırma Kurulu, vergi idareleri (yasal talep, mahkeme kararı veya kanuni yükümlülük kapsamında)
• Bağımsız denetim kuruluşları: Bilgi güvenliği ve mali denetim hizmetleri için (sözleşmesel gizlilik yükümlülüğü altında)
• Hukuk danışmanları: Uyuşmazlık çözümü, sözleşme yönetimi amacıyla
• Kurumsal e-posta/SMS/çağrı merkezi hizmet sağlayıcıları: Türkiye'de yerleşik altyapı sağlayıcılarla yapılan işlemlerde

6.2. Yurt Dışı Aktarım (KVKK md. 9)

Portofiro, hizmetin teknik altyapısının güvenli ve ölçeklenebilir şekilde sağlanabilmesi için aşağıda listelenen bulut hizmet sağlayıcılarından yararlanmakta olup bu kapsamda sınırlı sayıda kişisel veri yurt dışına aktarılmaktadır:

Yurt dışı aktarımlar; açık rızanızın bulunması veya Kurulun yeterli korumaya sahip olduğunu ilan ettiği ülkelere aktarım ya da yeterli korumanın bulunmadığı durumlarda taahhütname veya Kurulun izni şeklindeki hukuki mekanizmalar çerçevesinde gerçekleşir. Hizmet sağlayıcılarla yapılan sözleşmeler, KVKK ve genel veri koruma standartlarına (GDPR dâhil) uyumu garanti eden ek güvenceleri kapsamaktadır. Veri minimizasyonu ilkesi gereği, aktarılan veri daima amaca uygun asgari düzeyde tutulur.

7. Kişisel Verilerin Toplama Yöntemi ve Vasıtaları

Portofiro, kişisel verilerinizi, hukuka ve dürüstlük kurallarına uygun olarak, aşağıdaki kanallar aracılığıyla ve kısmen otomatik, otomatik ve otomatik olmayan yöntemlerle toplamaktadır:

• Web sitesi ve mobil arayüz üzerinden: Kayıt formları, profil güncelleme, portföy/müşteri ekleme, iletişim ve destek formları
• API çağrıları ve entegrasyonlar: Kullanıcının bağladığı üçüncü taraf servisler (takvim, e-posta, WhatsApp Business API vb.) aracılığıyla
• Çerezler ve benzeri teknolojiler: Oturum yönetimi, tercih saklama ve analitik amaçlarla (bkz. Çerez Politikası)
• Otomatik veri toplama araçları: Sunucu tarafı erişim logları, güvenlik olay kayıtları, hata izleme
• Elektronik iletişim: E-posta, SMS, WhatsApp, çağrı merkezi etkileşimleri
• Yazılı başvurular: Veri sahibi başvuru formu, sözleşmeler, posta ile gönderilen belgeler

8. Kişisel Verilerin Saklama ve İmha Süreleri

Portofiro, KVKK'nın 7. maddesi ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik gereği, kişisel verilerinizi işleme amacının gerektirdiği süre kadar saklar; bu süre sonunda ilgili mevzuatta öngörülen ek bir saklama yükümlülüğü yoksa verileri periyodik imha prosedürleri çerçevesinde siler, yok eder veya anonim hâle getirir.

Kullanıcının hesabını silmesi veya hesabın kapatılması hâlinde, yukarıda belirtilen yasal saklama yükümlülükleri kapsamındaki veriler hariç olmak üzere, kişisel verileriniz makul süre içinde (en geç 30 gün) imha edilir veya geri döndürülemez şekilde anonim hâle getirilir. Yasal saklama süresince ilgili veriler yalnızca sınırlı yetkili personel tarafından, yalnızca yasal yükümlülüğün ifası amacıyla erişilebilir durumda tutulur.

9. Veri Güvenliği Önlemleri

Portofiro, KVKK'nın 12. maddesi uyarınca, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, hukuka uygun olarak işlendiğinden emin olmak ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü idari ve teknik tedbiri almaktadır.

9.1. Teknik Tedbirler

• Tüm veri iletişiminde TLS 1.3 ile uçtan uca şifreleme
• Veritabanında AES-256 şifreleme (rest encryption)
• Parola saklamada bcrypt/Argon2 gibi tek yönlü, uyumluluk testlerinden geçmiş algoritmalar
• Veritabanı seviyesinde Row Level Security (RLS) politikaları
• Çok faktörlü kimlik doğrulama altyapısı (telefon OTP)
• Otomatik ve manuel yedekleme, felaket kurtarma planı
• Düzenli güvenlik taraması, zaafiyet yönetimi ve yama politikası
• Güvenlik duvarı, DDoS koruması, bot koruması
• Loglama, izleme ve uyarı mekanizmaları

9.2. İdari Tedbirler

• Veri işleyen personele düzenli KVKK ve veri güvenliği eğitimi
• Gizlilik ve veri koruma yükümlülükleri içeren sözleşmeler
• En az yetki prensibiyle erişim yönetimi (role-based access control)
• Veri envanteri ve kişisel veri işleme envanterinin güncel tutulması
• Üçüncü taraf hizmet sağlayıcılarla KVKK uyumlu veri işleyici sözleşmeleri
• Olay müdahale planı ve veri ihlali bildirim prosedürü

10. Veri Sahibinin Hakları (KVKK md. 11)

KVKK'nın 11. maddesi gereğince veri sahibi olarak Portofiro'ya başvurarak aşağıdaki haklarınızı kullanabilirsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme
3. Kişisel verilerinizin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme
6. KVKK md. 7 çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme
7. Düzeltme, silme ve yok etme işlemlerinin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
8. İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme
9. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

Ayrıca 6563 sayılı Kanun kapsamında elektronik ticari ileti almayı reddetme ve daha önce verdiğiniz onayı geri alma hakkına da sahipsiniz.

11. Başvuru Yöntemleri (KVKK md. 13)

KVKK'nın 13. maddesi ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca, haklarınıza ilişkin taleplerinizi aşağıdaki yöntemlerden biriyle Türkçe olarak, kimliğinizi tespit etmemizi sağlayacak bilgilerle birlikte iletebilirsiniz:

11.1. Online Başvuru

portofiro.com/yasal/veri-sahibi-haklari adresindeki başvuru formunu doldurup gönderebilirsiniz. Başvuru anında sistem tarafından otomatik alındı bildirimi e-posta olarak iletilir.

11.2. E-posta ile

Sistemimizde kayıtlı e-posta adresinizden destek@portofiro.comadresine “KVKK Başvurusu” konusuyla talebinizi gönderebilirsiniz. Kimliğin tespiti için mevcut hesap bilgileri ile uyum sağlanır.

11.3. Yazılı Başvuru

Islak imzalı başvuru dilekçenizi, kimliğinizi tevsik edici belgelerle birlikte, tüzel kişilik bilgileri tamamlandıktan sonra ilan edilecek tebligat adresine iadeli taahhütlü posta veya noter aracılığıyla gönderebilirsiniz.

11.4. Başvuruda Bulunması Gereken Bilgiler

• Ad, soyad ve ıslak imza (yazılı başvurularda)
• T.C. kimlik numarası (T.C. vatandaşları için) veya pasaport/kimlik numarası
• Tebligata esas yerleşim veya iş yeri adresi
• Varsa bildirime esas e-posta, telefon ve faks numarası
• Talep konusunun açık ve anlaşılır şekilde ifadesi

11.5. Yanıt Süresi ve Ücret

Portofiro, başvuruları niteliğine göre en kısa sürede ve her hâlükârda en geç 30 güniçinde ücretsiz olarak sonuçlandırır. Ancak işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurul'ca belirlenen tarifedeki ücret talep edilebilir. Başvurunuzun niteliğine göre yanıt; elektronik ortamda veya yazılı olarak tarafınıza iletilir. Başvurunun reddi veya yetersiz görülmesi hâlinde, yanıtın tebliğinden itibaren 30 gün ve her hâlükârda başvuru tarihinden itibaren 60 gün içinde Kurul'a şikâyette bulunma hakkınız saklıdır.

12. Değişiklikler ve Yürürlük

Portofiro, işbu Aydınlatma Metni'ni mevzuat değişiklikleri, teknolojik gelişmeler, hizmet kapsamının genişlemesi veya Kurul tarafından yayımlanan yeni rehber ve kararlar doğrultusunda tek taraflı olarak güncelleme hakkını saklı tutar. Güncellenen metin, yayımlandığı tarihte yürürlüğe girer ve sayfanın üstünde yer alan “son güncelleme” tarihi yenilenir. Esaslı değişiklikler hâlinde, kayıtlı kullanıcılara e-posta yoluyla veya platform içi bildirim aracılığıyla bilgilendirme yapılacaktır.

Değişikliklerden sonra Portofiro hizmetlerini kullanmaya devam etmeniz, güncellenmiş Aydınlatma Metni'nin tarafınıza ulaştırıldığı anlamına gelecektir. Ancak açık rıza gerektiren işlemeler için yeni rızanız ayrıca talep edilecektir.

Yürürlük Tarihi: Nisan 2026

Bu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ikincil mevzuat çerçevesinde hazırlanmış olup, ilgili mevzuat hükümleri her hâlükârda öncelikle uygulanır. İşbu metin ile ilgili mevzuat arasında çelişki bulunması hâlinde ilgili mevzuat esas alınır.