Saklama ve İmha Politikası

Bu politika, Korveon Global Bilişim ve Veri İşleme Teknolojileri Limited Şirketi (“Korveon”) tarafından işlenen kişisel verilerin saklanma sürelerini, imha yöntemlerini ve bu süreçlere ilişkin teknik ve idari tedbirleri düzenlemektedir. Politika; 6698 sayılı Kişisel Verilerin Korunması Kanunu, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik ve ilgili diğer mevzuat çerçevesinde hazırlanmıştır.

• İlgili Kişi: Kişisel verisi işlenen gerçek kişi • Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi • Silme: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi • Yok Etme: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi • Anonim Hâle Getirme: Kişisel verilerin başka verilerle eşleştirilmesi suretiyle dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi

Korveon, kişisel verileri aşağıda belirtilen süreler boyunca saklar:

• Aktif üyelik süresince saklanır • Hesap kapatma talebi sonrasında 30 (otuz) gün içinde silinir • Yasal saklama yükümlülüğüne tabi veriler (mali kayıtlar) Türk Ticaret Kanunu uyarınca 10 (on) yıl saklanır

• Müşterinin platformda kalmaya devam ettiği süre boyunca saklanır • Müşterinin silme talebi üzerine 30 (otuz) gün içinde silinir • Anonim hâle getirilmiş aggregate veriler kişisel veri niteliği taşımadığından bu süreyle bağlı değildir

• Kart bilgileri Korveon tarafında saklanmaz; ödeme hizmet sağlayıcısı PayTR aracılığıyla işlenir • Fatura ve ödeme kayıtları vergi mevzuatı gereği 5 (beş) yıl saklanır

• Sistem güvenliği logları 1 (bir) yıl saklanır • Erişim logları (giriş/çıkış) 1 (bir) yıl saklanır • Hata logları teknik destek amacıyla 6 (altı) ay saklanır

• Pazarlama açık rızası olan iletişim verileri rıza geri alımına kadar saklanır • Müşteri destek talepleri ve iletişim kayıtları 2 (iki) yıl saklanır

Saklama süresi dolan kişisel veriler aşağıdaki yöntemlerden uygun olanı kullanılarak imha edilir:

Veritabanından DELETE sorgusuyla kayıt silinir, ilgili yedeklemelerden de bir sonraki yedek rotasyonu kapsamında temizlenir. Soft-delete uygulamasında, kayıt erişilemez konuma getirilir ve 30 gün içinde tamamen kaldırılır.

Fiziksel ortamdaki kayıtlar (yedek diskler, çıktılar) güvenli imha yöntemleri (parçalama, manyetik temizleme) ile yok edilir. Bulut tabanlı veriler için, hizmet sağlayıcısının veri yok etme prosedürlerinden yararlanılır.

Aggregate analiz ve sektör benchmark verileri için, kişisel veriler anonim hâle getirilir. Bu süreçte; kimlik bilgileri kaldırılır, yer ve zaman bilgileri sektör kategorisi ve dönem bazında genelleştirilir, k-anonymity ve l-diversity teknikleri uygulanır.

Saklama süresi dolan kişisel veriler, ilk imha periyodu olan 6 (altı) ayda bir taranır ve uygun yöntemle imha edilir. İlgili kişinin başvurusu üzerine gerçekleştirilecek imhalar ise en geç 30 (otuz) gün içinde yapılır.

Korveon, kişisel verilerin güvenli saklanması ve imhası için aşağıdaki tedbirleri uygular: Teknik Tedbirler: • Tüm aktarımlarda TLS 1.2 veya üzeri şifreleme protokolü • Veritabanı düzeyinde Row Level Security (RLS) ile müşteri verisinin izolasyonu • AES-256 veya eşdeğer algoritmalarla şifreleme • Erişim loglarının tutulması ve düzenli denetimi • Düzenli güvenlik açığı testleri ve yedekleme prosedürleri İdari Tedbirler: • Çalışanların gizlilik taahhütnamesine bağlılığı ve düzenli eğitimi • En az ayrıcalık ilkesi (yalnızca görev gereği erişim) • Veri ihlali bildirim prosedürleri • Düzenli iç denetim ve uyum incelemeleri

Bu politika, mevzuat değişiklikleri ve Korveon uygulamalarındaki güncellemeler doğrultusunda revize edilebilir. Güncel versiyon www.korveon.co adresinde yayınlanır. Yürürlük Tarihi: 14.07.2026 Onaylayan: Oğuz Oral, Kurucu / Müdür