Kişisel Verilerin Korunması Politikası

Son güncelleme: 6 Kasım 2026

Bu politika, STK 360 Global Organizasyon Danışmanlık ve Yazılım Anonim Şirketi (“Şirket”) tarafından işletilen Muhasip platformunda kişisel verilerin korunmasına ilişkin ilke ve tedbirleri açıklar. Politika; Şirket çalışanlarını, iş ortaklarını ve hizmet sağlayıcılarını bağlar.

1. Rollerin ayrımı

• Şirket veri sorumlusudur: site ziyaretçileri, demo başvuruları, müşteri kurumların yetkilileri ve panel kullanıcılarının hesap, faturalandırma ve güvenlik verileri bakımından.
• Kurum veri sorumlusu, Şirket veri işleyendir: kurumların panele girdiği bağışçı, üye, öğrenci, veli, sponsor, ihtiyaç sahibi, personel ve cari kayıtları bakımından. Şirket bu verileri yalnızca kurumun talimatıyla ve hizmetin sunulması amacıyla işler; kendi amaçları için kullanmaz, satmaz ve reklam amacıyla işlemez.
• Kurumun ilgili kişilere karşı aydınlatma, açık rıza alma ve başvuru yanıtlama yükümlülükleri kuruma aittir. Muhasip bu yükümlülükler için düzenlenebilir aydınlatma metni, rıza kaydı, saklama-imha ve dışa aktarım araçları sunar.

2. Temel ilkeler (KVKK m. 4)

• Hukuka ve dürüstlük kurallarına uygun işleme
• Doğru ve gerektiğinde güncel olma
• Belirli, açık ve meşru amaçlarla işleme
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme

3. Teknik tedbirler

• Kurumlar arası veri ayrımı: her kayıt kurum kimliğiyle saklanır; veritabanı düzeyinde satır güvenliği kuralları bir kurumun başka bir kurumun verisini görmesini engeller.
• Rol ve şube bazlı yetki: kullanıcılar yalnız rollerinin ve şubelerinin izin verdiği işlemleri yapabilir; görüntüleyici roller kayıt değiştiremez.
• Kimlik doğrulama: parolalar geri döndürülemez biçimde özetlenerek saklanır; iki adımlı doğrulama kullanılabilir; hareketsiz oturumlar zaman aşımıyla kapanır.
• Şifreleme: tüm bağlantılar TLS ile şifrelenir; entegrasyon anahtarları veritabanında şifreli tutulur; yedekler şifrelenerek ayrı bir depolama alanında saklanır.
• Denetim kayıtları: giriş, yetki değişikliği, kayıt oluşturma-düzenleme-silme, dışa aktarma, makbuz ve destek oturumları kayıt altına alınır. Tuş vuruşu, ekran görüntüsü veya davranış izleme kaydı tutulmaz.
• Maskeleme ve asgari veri: IBAN, T.C. kimlik numarası, telefon ve kart numarası gibi alanlar gerekmeyen yerlerde maskelenir. Yapay zekâ hizmetlerine giden yazılı metinlerde (asistan sohbetinin tamamı, işlem açıklamaları, PDF belge metinleri) bu numaralar gönderilmeden maskelenir; T.C. kimlik numarası ekranda ve veritabanında yalnız özet ve son dört hane olarak tutulur.
• Test ortamı ayrımı: geliştirme ve test ortamlarında gerçek müşteri verisi kullanılmaz.

4. İdari tedbirler

• Çalışanlar ve hizmet sağlayıcılarla gizlilik taahhütleri ve veri işleme sözleşmeleri yapılır.
• Destek ekibi kurum paneline yalnız kurum yetkilisinin verdiği süreli izinle bağlanır; olağanüstü hâllerde yapılan platform yöneticisi erişimi gerekçe yazılarak yapılır ve kurumun denetim geçmişinde görünür.
• Erişim yetkileri görev değişikliğinde ve işten ayrılışta derhâl kaldırılır.
• Çalışanlara kişisel verilerin korunması ve bilgi güvenliği konusunda düzenli eğitim verilir.
• Kişisel veri envanteri ile saklama ve imha politikası tutulur ve periyodik olarak gözden geçirilir.

5. Özel nitelikli kişisel veriler

Platformun standart işlevleri özel nitelikli kişisel veri (sağlık, din, mezhep, biyometrik veri vb.) toplamayı amaçlamaz. Kurumun yardım, burs veya eğitim süreçlerinde bu tür veri işlemesi gerekiyorsa; KVKK m. 6’daki şartların ve Kurul’un öngördüğü yeterli önlemlerin sağlanması veri sorumlusu kurumun sorumluluğundadır. Kurumlar açıklama ve not alanlarına gereksiz özel nitelikli veri girmemelidir.

6. Yapay zekâ özellikleri ve asistan bağlantıları

Muhasip’teki yapay zekâ özellikleri kurum verisini kurum adına ve kurumun talimatıyla işler. Şirket bu verileri yapay zekâ modeli eğitmek için kullanmaz; istekler sağlayıcıların kurumsal API hizmetleri üzerinden yapılır.

• Kurum asistanı (panel içi): soru, yapay zekâ sağlayıcısına gönderilmeden maskelenir. Kurum kayıtlarına ilişkin sorularda sağlayıcıya yalnız soru ve toplam/sayı gibi özet bilgiler gider; kişi satırları, adlar ve kayıt kimlikleri gitmez. Genel sohbette mesajların sağlayıcıya gideceği kullanıcıya gösterilir ve onayı alınır.
• Belge ve görsel okuma: fatura, fiş, banka ekstresi, özlük belgesi, saha kanıtı ve kurban videosu gibi belgeleri okuyan özellikler belgeyi ya da görüntüyü sağlayıcıya gönderir. PDF metninde numaralar maskelenir; görüntünün içindeki yazı maskelenemez. Bu nedenle kurum bu özellikleri yalnız gerekli belgelerde kullanmalıdır. Özelliklerin her biri kurum bazında açılıp kapatılabilir.
• Asistan bağlantıları (MCP): kurum, Claude, ChatGPT gibi kendi seçtiği bir yapay zekâ asistanını yetkili kullanıcı hesabıyla Muhasip’e bağlayabilir. Bu durumda asistan sağlayıcısı kurumun kendi hizmet sağlayıcısıdır; sohbete yazılanlar ve araçların döndürdüğü sonuçlar o sağlayıcıya gider. Araç yanıtlarında T.C. kimlik, telefon, e-posta, IBAN, adres ve sağlık bilgisi gibi hassas alanlar dönmez; kişi adları işin gerektirdiği ölçüde döner. Asistana kişiyi adıyla aratmak önerilir; T.C. kimlik numarası sohbete yazılırsa sağlayıcıya gitmiş olur. Kayıt yazan her işlem kişinin Muhasip’teki onayıyla uygulanır ve denetim geçmişine yazılır.
• Karar desteği: yapay zekâ çıktıları öneridir. Burs, yardım, işe alım veya bir hak hakkında karar, kurumun yetkili kişisi tarafından verilir; ilgili kişi hakkında yalnız otomatik işlemeyle sonuç doğuran karar alınmaz.
• Kurumun yükümlülüğü: yapay zekâ özelliklerini veya asistan bağlantısını kullanan kurum, kendi aydınlatma metninde bu kullanımı ve yurt dışına aktarımı belirtir. Muhasip’in hazır aydınlatma taslakları bu başlığı içerir.

7. Yurt dışına aktarım

Platformun barındırma, e-posta ve teknik altyapı hizmetleri barındırma, veritabanı, yedekleme, e-posta gönderimi, güvenlik ve hata izleme hizmeti aldığımız yurt içi ve yurt dışı hizmet sağlayıcıları aracılığıyla sağlanır; bu sağlayıcıların bir kısmının sunucuları yurt dışındadır. Yapay zekâ özelliklerinde Şirket’in hizmet aldığı yapay zekâ sağlayıcılarının (OpenAI, Anthropic ve Google; ABD merkezli) sunucuları da yurt dışındadır. Yurt dışına yapılan aktarımlar KVKK m. 9 çerçevesinde ve hizmetin gerektirdiği ölçüde yapılır. Kurumun kendi açtığı isteğe bağlı entegrasyonlarda (SMS, WhatsApp, kendi yapay zekâ asistanı bağlantısı vb.) yapılan aktarımlar, ilgili ekranda kuruma ayrıca bildirilir.

8. Saklama ve imha

Şirketin veri sorumlusu olduğu veriler, Aydınlatma Metni’nde belirtilen sürelerle saklanır ve süre sonunda 6 aylık periyotlarla silinir, yok edilir veya anonim hâle getirilir. Kurum kayıtlarının saklama süresini kurum belirler; kurum yöneticileri Ayarlar › KVKK › Saklama ve İmha ekranından kayıt türüne göre süre tanımlayabilir ve süresi dolan kişisel alanların otomatik anonimleştirilmesini açabilir.

9. Veri ihlali yönetimi

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin öğrenilmesi hâlinde Şirket, ihlali derhâl sınırlandırır ve inceler. Şirketin veri sorumlusu olduğu verilerde Kişisel Verileri Koruma Kurulu’na en geç 72 saat içinde bildirim yapılır ve etkilenen kişiler makul en kısa sürede bilgilendirilir. Kurum verilerini etkileyen ihlallerde ilgili kurum gecikmeksizin bilgilendirilir ve kurumun Kurul’a bildirim yapabilmesi için gerekli bilgiler sağlanır.

10. Güncelleme

Bu politika mevzuat ve hizmet değişikliklerine göre güncellenir. Güncel sürüm her zaman bu sayfada yayımlanır.