KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

Veri Sorumlusu: KXSPOR TEKSTİL AYAKKABI İTHALAT İHRACAT SANAYİ VE TİC. LTD. ŞTİ. ("KX SPOR" veya "Şirket")

Adres: Mimarsinan Mah. Mimarsinan Cad. No:59A İç Kapı No:B 1 Yıldırım, Bursa

Telefon: +90 552 954 32 32

1. GİRİŞ VE POLİTİKA'NIN HAZIRLANMA AMACI

İşbu Kişisel Veri Saklama ve İmha Politikası ("Politika"), 6698 Sayılı Kişisel Verilerin Korunması Kanunu ("KVKK" ya da "Kanun") ve Kanun'un ikincil düzenlemesini teşkil eden Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ("Yönetmelik") uyarınca yükümlülüklerimizin yerine getirilmesi amacıyla hazırlanmıştır. Bu Politika, kişisel verilerin işlendikleri amaç için gerekli olan azami saklama süresinin belirlenmesi, silme, yok etme ve anonim hale getirme işlemleri için dayanak oluşturulması ve ilgili kişilerin şeffaf biçimde bilgilendirilmesi amacıyla veri sorumlusu sıfatıyla KX SPOR tarafından düzenlenmiştir. Anayasa'nın 13. ve 20. maddeleri ile KVKK m.4'te yer alan kanunilik, meşru amaç, ölçülülük ve veri minimizasyonu ilkeleri işbu Politika'nın temelini oluşturur.

2. KAPSAM

Bu politika, KX SPOR nezdinde tutulan; kurumun tüm çalışanlarını, danışmanlarını, e-ticaret platformu (www.kxspor.com) üyelerini, müşterilerini, tedarikçilerini (kargo, lojistik, muhasebe, altyapı sağlayıcıları) ve kurumun diğer hukuki ilişkiye girdiği gerçek kişileri kapsar. Veriler; web sitesi, mobil uygulama, iletişim formları, WhatsApp/Instagram iletişim kanalları ve fiziki ortamlarda tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verileri ve özel nitelikli kişisel verileri kapsamaktadır. Veri işleyen konumundaki alt yükleniciler ve hizmet sağlayıcılar ile yürütülen süreçler de müşterek sorumluluk ilkesi gereği bu Politika kapsamındadır.

3. TANIMLAR

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir.
İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
Kanun/KVKK: 6698 Sayılı Kişisel Verilerin Korunması Kanunu.
Kayıt Ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.
Periyodik İmha: Kanun'da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re'sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.
Kimliksizleştirme: Kişisel verilerin teknik ve idari tedbirlerle başka verilerle ilişkilendirilemez hale getirilmesi işlemi olup, bu işlem potansiyel olarak geri döndürülebilir olduğundan Yönetmelik kapsamında "Anonimleştirme" ile eşdeğer kabul edilemez.
Veri İhlali: Kişisel verilerin yetkisiz kişilerin eline geçmesi, sehven üçüncü kişilerle (örneğin toplu e-posta gönderimlerinde CC/BCC hataları ile) paylaşılması veya hukuka aykırı olarak erişilmesi durumu.

4. KURALLAR

KX SPOR tarafından kişisel verilerin saklanması ve imhasında aşağıda yer alan ilkeler çerçevesinde hareket edilmektedir:

Kişisel verilerin işlenmesi, saklanması ve imhasında KVKK m.4'te sayılan; a) Hukuk ve dürüstlük kurallarına uygun olma, b) Doğru ve gerektiğinde güncel olma, c) Belirli, açık ve meşru amaçlar için işlenme, d) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma (veri minimizasyonu), e) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine tam uyum sağlanır.
Kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesiyle ilgili yapılan tüm işlemler KX SPOR tarafından kayıt altına alınmakta ve söz konusu log/imha kayıtları, diğer hukuki yükümlülükler hariç olmak üzere en az 3 (üç) yıl süreyle güvenli şekilde saklanmaktadır.
Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri re'sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı tarafımızca gerekçelendirilerek seçilmektedir. İlgili Kişinin talebi halinde uygun yöntem gerekçesi açıklanarak seçilecektir.
Kanun'un 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel veriler KX SPOR tarafından re'sen veya ilgili kişinin talebi üzerine derhal silinmekte, yok edilmekte veya anonim hale getirilmektedir. İmha işlemi, depozito iadesi veya başka bir hizmet şartına bağlanamaz.
İlgili Kişi tarafından KVKK m.11 kapsamında KX SPOR'a başvurulması halinde; a. İletilen talepler en geç 30 (otuz) gün içerisinde ücretsiz olarak sonuçlandırılmakta ve ilgili kişiye bilgi verilmektedir. b. Talebe konu verilerin üçüncü kişilere (kargo firmaları, altyapı sağlayıcıları, İYS vb.) aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü kişiye derhal bildirilmekte ve üçüncü kişiler nezdinde gerekli imha işlemlerinin yapılması temin edilmektedir.
Türk Ticaret Kanunu (TTK) m. 437 kapsamında pay sahiplerinin bilgi alma ve inceleme hakları çerçevesinde yapılacak veri paylaşımları, ticari sırların korunması ve veri minimizasyonu ilkesi gözetilerek pozisyon bazlı ve anonimleştirilmiş şekilde gerçekleştirilir.

5. SAKLAMA VE İMHAYI GEREKTİREN SEBEPLERE İLİŞKİN AÇIKLAMALAR

5.1. Saklamayı Gerektiren Sebepler

Veri sahiplerine ait kişisel veriler, KX SPOR tarafından e-ticaret faaliyetlerinin sürdürülebilmesi, hukuki yükümlülüklerin yerine getirilebilmesi ve müşteri ilişkilerinin yönetilebilmesi amacıyla KVKK sınırları çerçevesinde saklanmaktadır:

Kişisel verilerin mesafeli satış sözleşmelerinin kurulması ve ifası ile doğrudan doğruya ilgili olması,
Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması (örneğin tüketici uyuşmazlıklarında delil teşkil etmesi) amacıyla saklanması,
Kişisel verilerin KX SPOR'un hukuki yükümlülüğünü (TTK m.82 uyarınca ticari defter ve faturaların saklanması, 5809 sayılı EHK uyarınca erişim loglarının tutulması vb.) yerine getirmesi amacıyla saklanması,
İş Kanunu ve SGK mevzuatı kapsamında çalışan özlük dosyalarının ve iş sağlığı/güvenliği kayıtlarının saklanması,
Ticari elektronik ileti gönderimi gibi açık rıza gerektiren faaliyetler açısından veri sahiplerinin İYS veya platform üzerinden verdiği açık rızanın bulunması.

5.2. İmhayı Gerektiren Sebepler

Yönetmelik uyarınca, aşağıda sayılan hallerde kişisel veriler KX SPOR tarafından resen yahut talep üzerine silinir, yok edilir veya anonim hale getirilir:

Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
Sözleşme ilişkisinin (üyelik, bayilik, tedarik vb.) sona ermesi ve verinin saklanmasını gerektiren hukuki/meşru amacın tamamen ortadan kalkması,
Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde (örneğin kampanya/promosyon iletileri), ilgili kişinin rızasını geri alması (Bu durumda veriler derhal imha edilir),
Hukuka aykırı olarak elde edildiği veya işlendiği tespit edilen verilerin (özel nitelikli veriler dahil) derhal imhası,
İlgili kişinin, Kanun'un 11. Maddesi çerçevesinde yaptığı silme/yok etme başvurusunun kabul edilmesi veya Kurul'a şikâyet üzerine Kurul tarafından imha talimatı verilmesi,
Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, verileri daha uzun süre saklamayı haklı kılacak herhangi bir hukuki şartın mevcut olmaması.

6. SAKLAMA VE İMHA SÜRELERİ

KX SPOR, kişisel verilerin saklama sürelerini belirlerken öncelikle ilgili mevzuatta öngörülen süreleri esas alır. Mevzuatta süre öngörülmemişse, veriler işlendikleri amaç için gerekli olan makul süre kadar saklanır.

Özel Saklama Süreleri Tablosu:

Tüketici İşlem Kayıtları ve Onay Logları: Tüketici uyuşmazlıkları, adli/idari soruşturmalar ve TCK dava zamanaşımı süreleri göz önünde bulundurularak, sözleşme ilişkisinin sona ermesinden itibaren delil niteliği taşıması amacıyla 30 yıla kadar.
Ticari Defterler, Faturalar ve İrsaliyeler: TTK m.82 ve VUK uyarınca 10 yıl.
Çalışan Özlük Dosyaları ve İş Akdi Kayıtları: İş ilişkisinin sona ermesinden itibaren 10 yıl (İş Kanunu ve TBK zamanaşımı).
Web Sitesi Erişim Logları (5651 Sayılı Kanun): İşlem yapan IP, zaman damgası vb. kayıtlar 2 yıl.
Kamera ve Görüntü Kayıtları (Fiziki Tesisler): Güvenlik amacıyla en az 1 yıl.
Ticari Elektronik İleti Onayları: Onayın geri çekildiği tarihten itibaren İYS bildirimleri yapılarak derhal (İspat yükümlülüğü için onay logları mevzuat süresince saklanır).

Periyodik İmha Süresi: KX SPOR tarafından tespit edilen periyodik imha süresi 6 ay olarak tanımlanmıştır. Her yılın Haziran ve Aralık aylarında, saklama süresi dolan veya işleme şartı kalkan kişisel veriler re'sen imha edilir.

7. KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI USULLERİ

I. KAYIT ORTAMLARI

Veriler, uluslararası veri güvenliği prensipleri çerçevesinde aşağıdaki ortamlarda güvenli bir şekilde saklanmaktadır:

Elektronik Ortamlar: E-ticaret altyapı sunucuları (ikas vb.), bulut sistemleri, veritabanları, e-posta sunucuları, bilgi güvenliği cihazları (güvenlik duvarı), kişisel bilgisayarlar, mobil cihazlar (WhatsApp/Instagram iletişim cihazları dahil). [İÇTİHAT KAYNAKLI GÜÇLENDİRİLDİ]
Fiziksel Ortamlar: Kağıt, manuel veri kayıt sistemleri (fatura, irsaliye, sözleşme klasörleri).

II. TEKNİK VE İDARİ TEDBİRLER

KVKK m.12 uyarınca, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek amacıyla alınan tedbirler şunlardır:

1. İdari Tedbirler:

Saklanan kişisel verilere Kurum içi erişim, iş tanımı gereği erişmesi gerekli personel ile sınırlandırılır (Yetki Matrisi).
Veri işleyen konumundaki alt yükleniciler (kargo, yazılım, muhasebe) ile müşterek sorumluluk kapsamında KVKK uyumlu gizlilik ve veri güvenliği sözleşmeleri imzalanır.
Çalışanların kurumsal e-posta ve cihaz kullanımlarına ilişkin denetimler, Anayasa Mahkemesi içtihatları uyarınca "ön bilgilendirme ve aydınlatma" yapılarak, orantılılık ilkesine uygun gerçekleştirilir.
Kişisel veri ihlali (sehven e-posta gönderimi, siber saldırı vb.) durumunda, ihlal en geç 72 saat içinde Kurul'a ve ilgili kişiye bildirilir.
Mahkeme veya yetkili kamu kurumlarına yapılacak veri aktarımlarında "veri minimizasyonu" ilkesi gözetilerek yalnızca taleple sınırlı veri aktarılır.

2. Teknik Tedbirler:

Kişisel verilerin saklandığı her türlü dijital ortam, şifreleme ve kriptografik yöntemler ile korunur.
Düzenli olarak ve ihtiyaç oluştuğunda sızma testi (penetration test) hizmeti alınarak sistem zafiyetleri kontrol edilir.
Bulut sistemlerinde ve e-ticaret altyapısında yer alan verilerin yedeklenmesi güvenli lokasyonlarda sağlanır.
Özel nitelikli kişisel veriler (varsa) için Kurul'un 2018/10 sayılı kararına uygun ekstra güvenlik duvarları ve erişim loglaması uygulanır.

III. KİŞİSEL VERİLERİN İMHA USULLERİ

İşleme şartları ortadan kalkan veriler, aşağıdaki tekniklerle imha edilir:

a. Kişisel Verilerin Silinmesi:

Yazılımdan Güvenli Olarak Silme: Dijital ortamlardaki veriler, İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilecek biçimde (veri tabanı komutları ile satır silme, bulut sisteminden silme komutu) silinir.
Uzman Tarafından Güvenli Olarak Silme: Gerekli hallerde uzman kişi/yazılımlar aracılığıyla geri döndürülemez silme işlemi yapılır.
Kağıt Ortamında Karartma: Fiziksel evraklardaki veriler, geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak görünemeyecek hale getirilir veya kesilerek çıkartılır.

b. Kişisel Verilerin Yok Edilmesi:

De-manyetize Etme: Manyetik medyanın yüksek manyetik alanlara maruz bırakılarak üzerindeki verilerin okunamaz biçimde bozulmasıdır.
Fiziksel Yok Etme: Optik medya, USB veya kağıt ortamındaki verilerin kırılma, parçalanma veya kağıt imha makineleri ile sonradan kullanılamayacak biçimde fiziksel olarak yok edilmesidir.
Üzerine Yazma: Özel yazılımlar aracılığı ile manyetik medya üzerinden en az yedi kez 0 ve 1'lerden oluşan rastgele veriler yazılarak eski verinin kurtarılabilmesinin imkânsızlaştırılmasıdır.

c. Kişisel Verilerin Anonim Hale Getirilmesi: Verilerin başka verilerle eşleştirilerek dahi kimliği belirli/belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. KX SPOR aşağıdaki yöntemleri kullanır:

Değer Düzensizliği Sağlamayan Yöntemler: Değişken Çıkartma, Kayıtları Çıkartma, Bölgesel Gizleme, Alt ve Üst Sınır Kodlama, Genelleştirme (Örn: Yaş gruplaması).
Değer Düzensizliği Sağlayan Yöntemler: Gürültü Ekleme (verilere belirli oranda sapma ekleme), Mikro Birleştirme, Veri Değiş Tokuşu.

Not: Verilerin yalnızca erişiminin kısıtlanması (Kimliksizleştirme), KVKK kapsamında geçerli bir anonimleştirme veya imha yöntemi olarak kabul edilmez.

8. DİĞER HUSUSLAR

KVKK ve ilgili diğer mevzuat hükümleri ile işbu Politika arasında uyumsuzluk olması halinde, öncelikle KVKK ve emredici mevzuat hükümleri uygulanacaktır.
İşbu Politika, KX SPOR'un VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kayıtları ile tam entegre biçimde yürütülür.
KX SPOR tarafından hazırlanan işbu Politika 06.04.2026 tarihinde yürürlüğe girmiştir. Politika, yasal mevzuat değişiklikleri veya Kurul kararları doğrultusunda periyodik olarak gözden geçirilecek ve güncellenen metin www.kxspor.com web sitesi üzerinden ilgili kişilerin erişimine sunulacaktır.

Kaynakça

İçtihat Referansları

1. KVKK Kararları, K. 2023/1234, T. 20.07.2023

2. KVKK Kararları, K. 2023/787, T. 11.05.2023

3. İstanbul 14. Asliye Ticaret Mahkemesi, E. 2024/501, K. 2025/517, T. 26.06.2025

4. KVKK Kararları, K. 2023/1548, T. 07.09.2023

5. Danıştay, 10. Daire, E. 2017/4211, K. 2020/5468, T. 26.11.2020

6. KVKK Kararları, K. 2020/915, T. 01.12.2020

7. İstanbul 4. Asliye Ticaret Mahkemesi, E. 2022/100, K. 2023/534, T. 14.06.2023

8. KVKK Kararları, K. 2023/1430, T. 17.08.2023

9. KVKK Kararları, K. 2022/1072, T. 07.10.2022

10. KVKK Kararları, K. 2021/1111, T. 02.11.2021