KVKK Aydınlatma Metni

VerifyBlind (bundan böyle "VerifyBlind" veya "Şirket" olarak anılacaktır), 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında veri sorumlusu sıfatıyla hareket etmektedir. Bu metin, KVKK'nın 10. maddesi uyarınca kişisel verilerinize ilişkin haklarınız ve Şirketimizin bu verileri işleme esasları hakkında sizi bilgilendirmek amacıyla hazırlanmıştır.

1. Veri Sorumlusunun Kimliği

Veri sorumlusu, kimlik doğrulama alanında faaliyet gösteren VerifyBlind LLC'dir (ABD-Wyoming'de tescilli; 30 N Gould St Ste N, Sheridan, WY 82801, ABD). İletişim için: kvkk@verifyblind.com

2. Gizlilik Odaklı Mimarimiz ve Veri İşleme Yaklaşımı

VerifyBlind, kişisel verilerinizi açığa çıkarmadan kimlik doğrulaması yapabileceğiniz bir mimari üzerine inşa edilmiştir. TC kimlik numaranız (TCKN), adınız, soyadınız, doğum tarihiniz ve biyometrik verileriniz; cihazınızda uçtan uca şifreli hâle getirilir ve yalnızca AWS Nitro Enclave'e iletilir.

AWS Nitro Enclave, donanım düzeyinde izole edilmiş güvenli bir işlem ortamıdır. Enclave içindeki verilere VerifyBlind çalışanları dahil hiçbir taraf erişemez; bu güvence kriptografik kanıtlama (attestation) ile zorlanmaktadır. Kimlik ve yüz verileriniz Enclave'de doğrulama amacıyla işlendikten hemen sonra orada silinir ve sunucularımızda saklanmaz. Kimlik bilgileriniz ve kimlik kartınızdaki fotoğraf yalnızca telefonunuzda, sizin anahtarınızla şifrelenmiş doğrulama biletinin içinde durur. Sunucularımızda yalnızca kimliğinizi içermeyen kayıtlar tutulur; bunlar aşağıda açıklanmıştır.

3. İşlenen Kişisel Veriler

3.1 Sunucularımızda Saklanmayan Veriler

Aşağıdaki veriler yalnızca doğrulama sırasında Enclave ortamında şifreli biçimde geçici olarak işlenir ve işlem tamamlandığında orada silinir. Sunucularımızda saklanmaz, günlüğe kaydedilmez ve partnerlerle paylaşılmaz. Telefonunuzdaki şifreli bilette, siz silene kadar kalırlar.

• TC kimlik numarası (TCKN)
• Ad, soyad
• Doğum tarihi
• Biyometrik veriler (kayıtta ve her doğrulamada çekilen yüz görüntüleri, yüz vektörü, kimlik kartındaki fotoğraf)
• NFC çipinden okunan diğer kimlik bilgileri (cinsiyet, uyruk, belge numarası, geçerlilik tarihi)

3.2 Sunucularımızda Tutulan Veriler (kimliğinizi içermez)

• Rıza kayıtları: Hangi partnere, hangi kapsamda ve ne zaman onay verildiği, sonuç (true/false) ve Enclave imzası. IP adresi tutulmaz.
• İşlem ve denetim kayıtları: İşlem durumu ve zaman damgaları. IP adresi kaydedilmez; yalnızca kötüye kullanımı sınırlamak için en fazla bir saat geçici bellekte tutulur.
• Ölçüm verileri: Canlılık ve yüz eşleşme skorları, ışık/netlik ölçüleri, cihaz modeli ve uygulama sürümü. Görüntü içermez.
• Cihaz verileri: Bildirim anahtarı (push token); iOS'ta App Attest anahtar kimliği.
• İletişim verileri: Yalnızca destek veya geri bildirim gönderirseniz adınız, e-posta adresiniz ve mesajınız.

4. Kişisel Verilerin İşlenme Amaçları

• Kimlik doğrulama hizmetinin sunulması: kayıtta ve sonraki her doğrulamada, işlemi kartın sahibinin yaptığının yüz karşılaştırmasıyla kontrol edilmesi
• Partnerin istediği yaş koşulunun doğrulanması
• Açık rızanızla, partnerin sizi sonraki doğrulamalarda tanıyabilmesi için partnere özel tanıma kodlarının üretilmesi
• Sistem güvenliği ve sahtekarlığın önlenmesi
• Rızanın ispat edilebilir biçimde kaydedilmesi
• Hizmet kalitesinin iyileştirilmesi ve hataların teşhisi (kimlik verisi içermeyen ölçümlerle)
• Uygulamaya hizmet bildirimleri gönderilmesi
• Yasal yükümlülüklerin yerine getirilmesi

5. Kişisel Verilerin Aktarılması

Partner web sitelerine yalnızca "doğrulama başarılı / başarısız" ve "18 yaşından büyük / küçük" gibi Evet/Hayır sonuçları iletilir. Ayrıca açık rızanızla, partner'ın sizi sonraki doğrulamalarda tanıyabilmesi için partner'a özel ve geri döndürülemez tanıma kodları (user_id, nsbd_id, doc_id) iletilebilir; bu kodlar TCKN'ye döndürülemez ve başka partner ile eşleştirilemez.

Hizmetin sunulması için aşağıdaki hizmet sağlayıcılarla veri paylaşılır:

• Amazon Web Services: Sunucu ve Enclave altyapısı (Almanya, Frankfurt). Kimlik verisi Enclave içinde işlenir, AWS erişemez.
• Cloudflare: Uygulama ve site trafiğinin iletimi ve korunması (IP adresi ve istek bilgisi). Kimlik verisi uçtan uca şifrelidir.
• Google ve Apple: Bildirim iletimi ve cihaz/uygulama bütünlüğü kontrolü. Kimlik verisi gönderilmez.
• Sentry: Uygulama hata kayıtları (Almanya). Kimlik ve yüz verileri gönderilmeden önce maskelenir.
• Postmark: Yalnızca destek veya geri bildirim gönderirseniz e-posta iletimi.
• Dropbox / Google Drive: Yalnızca sizin başlattığınız, uçtan uca şifreli yedek dosyası; sizin hesabınıza yazılır.

ABD merkezli hizmet sağlayıcılara aktarım, KVKK'nın 9. maddesi kapsamında yurt dışına aktarımdır. Yasal zorunluluk hâlinde yetkili makamlara asgari veri aktarılabilir.

6. Kişisel Verilerin Saklanma Süresi

• Kimlik ve biyometrik veriler: sunucularımızda yalnızca işlem süresince; Enclave işlem sonrası siler.
• Rıza kayıtları (IP adresi içermez): rızanın ispatı için süresiz. Rıza geri çekilirse kayıt silinmez, geri çekme tarihi eklenir.
• Denetim ve olay kayıtları (IP adresi içermez): süresiz; ara adım kayıtları 30 gün sonra silinir.
• Ölçüm verileri: 180 gün sonra silinir. Uygulama logları: 90 gün sonra silinir.
• Destek talepleri: 365 gün sonra anonimleştirilir.

Ayrıntılı saklama tablosu Gizlilik Politikası'ndadır.

7. KVKK Kapsamındaki Haklarınız

KVKK'nın 11. maddesi uyarınca aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmişse düzeltilmesini isteme
• KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme
• Otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkması durumunda itiraz etme
• Kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

Bir doğrulamaya verdiğiniz rızayı uygulamadaki İşlem Geçmişi'nden geri çekebilir, telefonunuzdaki tüm verileri Ayarlar → Verilerimi Sil ile silebilirsiniz.

8. Başvuru Yöntemi

Haklarınıza ilişkin taleplerinizi kvkk@verifyblind.com adresine elektronik posta yoluyla iletebilirsiniz. Başvurular en geç 30 gün içinde sonuçlandırılır.

9. Değişiklikler

Bu aydınlatma metni, mevzuat değişiklikleri veya hizmet güncellemeleri doğrultusunda revize edilebilir. Güncel metin her zaman bu sayfada yayımlanır.