Gizlilik Politikası

Son Güncelleme Tarihi: 31 Ağustos 2026

Veri Sorumlusu: Sarraf Finansal Teknolojiler A.Ş. ("Sarraf", "Platform") Adres: Atatürk Mah. Ertuğrul Gazi Sok. Metropol İstanbul No: A109, 34758 Ataşehir / İstanbul E-posta: [email protected] Telefon: +90 850 532 47 34 Web: sarrafintech.com

1. Kapsam

Bu politika şu kişilerin kişisel verilerini kapsar: (a) web sitesi ziyaretçileri, (b) hesap sahipleri (alıcı, satıcı ve organizasyon üyeleri), (c) bir kullanıcı tarafından platforma davet edilen karşı taraflar ve ekip üyeleri, (d) iletişim formunu kullanan kişiler.

2. Topladığımız Veriler

Ziyaretçiler: Sitemizde hiçbir analitik, reklam veya izleme aracı yoktur. Sunucularımız güvenlik ve hata teşhisi amacıyla IP adresinizi ve istek bilgilerini teknik kayıtlarda tutar.

Hesap sahipleri:

• Kimlik ve iletişim: E-posta, telefon (isteğe bağlı), görünen ad, şirket adı, dil tercihi.
• Hesap güvenliği: Parola (geri döndürülemez özet — asla düz metin değil), iki adımlı doğrulama sırrı (şifreli), oturum kayıtları (IP adresi ve tarayıcı bilgisi), giriş çerezi.
• Cüzdan: Cüzdan adresiniz. Kendi cüzdanınızı bağlıyorsanız yalnızca imza doğrulaması yapılır; platform yönetimli cüzdan kullanıyorsanız sizin adınıza oluşturulan cüzdanın adresi ve şifreli anahtarı.
• Kimlik doğrulama (KYC/KYB): Doğrulama seviyeniz, başvuru durumu ve varsa ret gerekçesi; kurumsal doğrulama için yüklediğiniz belgeler (vergi levhası, faaliyet belgesi, ticaret sicili, imza sirküleri). Kimlik belgeleriniz ve yüz doğrulama verileriniz doğrudan Sumsub'a girilir — bkz. Bölüm 6.
• Ticaret verileri: İşlem koşulları ve tutarları, taraflar, alan bazlı onay geçmişi, yüklenen ticari belgeler (fatura, konşimento vb.), anlaşmazlık ve destek mesajları.
• Denetim izleri: Kim, ne zaman, hangi işlemi yaptı kayıtları (değiştirilemez).

İletişim formu kullananlar: Ad, e-posta, şirket (isteğe bağlı) ve mesajınız. Bu bilgiler veritabanımıza kaydedilmez; yalnızca kurumsal posta kutumuza e-posta olarak iletilir.

Davet edilenler: Bir kullanıcı sizi karşı taraf veya organizasyon üyesi olarak davet ettiğinde, e-posta adresiniz ve davet edenin mesajı sistemde tutulur ve size davet e-postası gönderilir. Hesap açmazsanız verileriniz davet süreciyle sınırlı kalır.

3. İşleme Amaçları ve Hukuki Sebepler (KVKK m.5 / GDPR)

• Sözleşmenin kurulması ve ifası: Hesabınızın işletilmesi, emanet (escrow) işlemlerinin yürütülmesi, belge ve anlaşmazlık yönetimi, bildirimler.
• Hukuki yükümlülük: Kimlik doğrulama (KYC/KYB), ticari kayıtların saklanması.
• Meşru menfaat: Platform güvenliği, dolandırıcılığın ve kötüye kullanımın önlenmesi, teknik kayıtlar, hız sınırlama.
• Açık rıza: Gerekli hallerde (örneğin bazı yurt dışı aktarımlar) ayrıca alınır.

4. Blokzincir ve "Silinemezlik" İkilemi

Emanet işlemlerinin parasal kayıtları, EVM tabanlı halka açık blokzincir ağlarında tutulur. Fon kilitlendiğinde, serbest bırakıldığında veya iade edildiğinde zincire şunlar yazılır: alıcı ve satıcı cüzdan adresleri, tutar, zaman damgaları ve işlem durumu.

Blokzincir kayıtlarının doğası gereği:

• Herkese açıktır. Ağı okuyan herkes bu kayıtları görebilir.
• Kalıcıdır ve silinemez. Ülke, yargı yetkisi veya hukuki koşullardan bağımsız olarak, blokzincir üzerine yazılan hiçbir veri silinemez, anonimleştirilemez ve değiştirilemez; silme ve anonimleştirme talepleri zincirdeki kayıtlara uygulanamaz.
• Bağdaştırılabilir. Cüzdan adresi tek başına kimliğinizi açıklamaz; ancak adresiniz başka bir yolla kimliğinize bağlanırsa zincirdeki işlem geçmişiniz de kimliğinizle bağdaştırılabilir hale gelir.

Adınız, e-postanız, belgeleriniz veya belge içerikleriniz zincire yazılmaz; zincirde yalnızca cüzdan adresleri, tutarlar ve işlem özetleri bulunur. Fon kilitleme işlemlerini onaylayarak, blokzincirdeki verilerin kalıcılığını (unutulma hakkının zincir üzerindeki veriler için teknik olarak uygulanamayacağını) açıkça kabul etmiş olursunuz.

Platform yönetimli cüzdanlar: Kendi cüzdanı olmayan kullanıcılar için platform, kullanıcı adına bir cüzdan oluşturur. Özel anahtarlar güçlü şifreleme (AES-256-GCM) ile saklanır, işlemler yalnızca sizin platform üzerindeki talimatınızla imzalanır ve her saklama işlemi denetim kaydına bağlanır. Kurumsal saklama sağlayıcısına geçildiğinde bu bölüm güncellenir.

5. Ticari Belgeler, Saklama Altyapısı ve Otomatik İnceleme

Yüklediğiniz ticari belgeler ve kurumsal doğrulama belgeleri, platformda şifrelenerek (AES-256-GCM) dağıtık dosya ağına (IPFS, Pinata hizmeti aracılığıyla) kaydedilir. IPFS halka açık bir ağ olduğundan belgeler yalnızca şifreli biçimde saklanır; şifre çözme anahtarları Sarraf platformu dışına çıkmaz. Denetim izi bütünlüğü gereği belgeler arşivlenir; arşivlenen belge kaydı fiziksel olarak silinmez. Platformdan anahtar silindiğinde belgenin okunabilirliği ortadan kalkar.

Belgelerin yapay zekâ ile incelenmesi: Yüklediğiniz ticari belgelerin alanlarının (tutar, tarih, taraflar, sevkiyat bilgileri gibi) otomatik okunabilmesi için belge içeriği, yapay zekâ hizmet sağlayıcısı OpenRouter üzerinden bir dil modeline (Google Gemini) iletilir.

• Kararı insan verir: Modelin çıktısı yalnızca öneri niteliğindedir; belgenin kabul veya reddine her zaman bir insan karar verir.
• Ne saklanır: Belgenin tam metni saklanmaz; yalnızca çıkarılan alan değerleri ve bunların güven puanları tutulur.
• Risk beyanı: Verilerin dış bir API'a gönderilmesi, teorik olarak bir veri sızıntısı veya üçüncü taraf sunucu kaynaklı gizlilik riski barındırır. Sistemi kullanarak bu analizi ve olası riskleri kabul etmiş sayılırsınız.

6. Kimlik Doğrulama — Sumsub

Kimlik doğrulama, bu alanda uzman hizmet sağlayıcı Sumsub aracılığıyla yapılır. Kimlik belgelerinizi ve yüz doğrulama verilerinizi doğrudan Sumsub'un platformumuza gömülü güvenli arayüzüne girersiniz; bu veriler sunucularımızdan geçmez ve tarafımızca saklanmaz. Platformda yalnızca başvuru numarası, doğrulama seviyesi, sonuç ve varsa ret gerekçesi tutulur. Sumsub'a tarafımızca yalnızca dahili kullanıcı numaranız iletilir.

7. Verilerin Paylaşıldığı Taraflar

Kişisel verilerinizi reklam veya pazarlama amacıyla kimseyle paylaşmaz ve satmayız. Hizmetin işletilmesi için sınırlı sayıda hizmet sağlayıcı (veri işleyen) kullanırız:

• Sumsub — kimlik doğrulama — kendisine ulaşan veri: dahili kullanıcı numaranız (kimlik verilerini doğrudan siz girersiniz).
• Brevo — işlemsel e-posta — kendisine ulaşan veri: e-posta adresiniz ve e-posta içerikleri (işlem bildirimleri ve davetler dahil).
• Pinata (IPFS) — belge saklama — kendisine ulaşan veri: şifrelenmiş belge içeriği ve dosya adı.
• Barındırma sağlayıcısı — sunucu altyapısı — kendisine ulaşan veri: platform verilerinin tamamı; sunucular Frankfurt, Almanya'dadır.
• OpenRouter — yapay zekâ ile belge alanı çıkarımı — kendisine ulaşan veri: yüklenen ticari belgelerin içeriği (Google Gemini modeli); sonuç öneri niteliğindedir, karar insan onayındadır.

İşlem karşı tarafınız sınırlı bilgileri görür: görünen ad, şirket adı, doğrulama seviyesi ve işlem bağlamında cüzdan adresi. E-postanız ve telefonunuz karşı tarafla paylaşılmaz; herkese açık profilinizde yalnızca görünen ad, doğrulama rozeti ve işlem istatistikleri yer alır.

Yetkili kurumlar: Hukuken zorunlu hallerde paylaşım yapılabilir. Platform yöneticileri: Yetkili personel destek ve uyum amaçlarıyla verilere erişebilir; yönetici işlemleri denetim kaydına bağlanır.

8. Yurt Dışına Aktarım (KVKK m.9 / GDPR)

Sunucularımız Almanya'nın Frankfurt şehrinde bulunur; bu nedenle kişisel verileriniz Türkiye dışında saklanır ve işlenir. Ayrıca 7. bölümdeki hizmet sağlayıcıların tamamı yurt dışında yerleşiktir. İlgili ülkeler hakkında yeterlilik kararı bulunmadığından bu aktarımlar, KVKK m.9/2-b'de düzenlenen standart sözleşme esas alınarak yapılır; imzalanan her standart sözleşme, imza tarihinden itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir. AB vatandaşları veya işletmeleri söz konusu olduğunda aktarımlar, GDPR gereklerine uygun olarak Avrupa Komisyonu standart sözleşme hükümleri (SCC) çerçevesinde yürütülür. Açık rızaya yalnızca KVKK m.9/6'daki arızi hâller için başvurulur ve bu durumda rızanız ayrıca istenir.

9. Çerezler ve Yerel Depolama

İzleme veya reklam çerezi kullanmıyoruz. Kullandıklarımız:

• sarraf_refresh — zorunlu çerez (httpOnly) — oturumunuzu güvenle sürdürme — süre: varsayılan 7 gün (oturum yenileme süresi; her kullanımda yenilenir, çıkış yapınca silinir).
• NEXT_LOCALE — işlevsel çerez — dil tercihinizi hatırlama — süre: kalıcı.
• sarraf.* (localStorage) — işlevsel — kapattığınız bilgilendirme panellerini hatırlama — siz silene dek.
• sarraf.organizationInvite (sessionStorage) — işlevsel — davet akışını tamamlama — sekme kapanınca silinir.

10. Saklama Süreleri

• Hesap, ticaret ve denetim kayıtları: Hesabınız açık olduğu sürece ve ilgili mevzuattaki saklama süreleri boyunca (ticari kayıtlar için 10 yıl).
• Oturum kayıtları (IP adresi dahil): oturum sona erdikten sonra 12 ay.
• Giriş denemesi kayıtları (IP adresi dahil): 90 gün.
• Davet kayıtları: davetin süresi dolduktan sonra 12 ay.
• Doğrulama token'ları: e-posta doğrulama, süresi dolduktan sonra 7 gün; şifre sıfırlama ve cüzdan imza nonce'ları, süresi dolduktan sonra 1 gün.
• Teknik sunucu kayıtları: boyutu sınırlı döngüsel tamponda tutulur ve yeni kayıtlar geldikçe üzerine yazılır; uzun süreli arşivlenmez.
• İletişim formu e-postaları: kurumsal posta kutumuzda 24 ay.
• Blokzincir kayıtları: Süresiz (teknik olarak silinemez, bkz. Bölüm 4).

11. Güvenlik Önlemleri

Parolalar geri döndürülemez özetle saklanır; iki adımlı doğrulama sırları, saklama anahtarları ve belgeler şifrelenir; oturum ve doğrulama token'ları yalnızca özet (hash) olarak tutulur; sistem kayıtlarında parola, token ve belge içeriği yer almaz; veritabanı internete kapalıdır; tüm trafik TLS ile şifrelenir. Şüpheli oturum hareketlerinde tüm oturumlar sonlandırılır ve size e-posta ile bilgi verilir.

12. Haklarınız (KVKK m.11 / GDPR)

Verileriniz hakkında bilgi talep etme, düzeltme, silme, işlenmesine itiraz etme ve diğer KVKK m.11 haklarınız için [email protected] adresine başvurabilirsiniz. Başvurular en geç 30 gün içinde yanıtlanır.

Önemli sınırlar:

• Blokzincir ve IPFS üzerindeki kayıtlar teknik olarak silinemez (Bölüm 4 ve 5).
• Ticari kayıtlar ve denetim izleri, yasal saklama yükümlülükleri süresince silinemez.

Bu hallerde silme yerine erişim kısıtlama ve maskeleme gibi telafi edici tedbirler uygulanır.

13. Değişiklikler

Bu politikadaki değişiklikler bu sayfada yayımlanır; önemli değişiklikler kayıtlı e-posta adresinize bildirilir. Yürürlük tarihi: 31 Ağustos 2026