1) AMAÇ VE KAPSAM
Bu Çerez Politikası, Benexta Prime (“Hizmet Sağlayıcı”, “Biz”) tarafından işletilen web sitesinde kullanılan çerezlerin, sunucu tarafı onay kayıtlarının (consent log) ve bu kayıtların MongoDB gibi veri tabanlarında saklanma usulünün, saklama sürelerinin, hukuki dayanaklarının, kullanıcı haklarının ve teknik güvenlik önlemlerinin ayrıntılı düzenlemesini içerir. Banner'daki “Daha fazla bilgi” bağlantısı bu sayfaya yönlendirilmelidir.
Veri Sorumlusu: Benexta Prime
Adres: Yakakent, 8087/21. Sk. No: 5 35640, 35640 Çiğli/İzmir
E‑posta (KVKK başvuruları): executive.approval@benextainternational.com
2) HANGİ VERİLER KAYDEDİLİR, NEDEN VE NASIL SAKLANIR?
Siteye erişim anında ve kullanıcı tercihlerinde aşağıdaki bilgiler sunucu tarafında (MongoDB) kayıt altına alınır:
- consent_id (UUID)
- timestamp (ISO8601, UTC)
- policy_version (örn. "1.3.0") ve policy_hash (SHA256) — onay anındaki politika sürümü/hashi
- page / url (örn. "/anasayfa")
- categories (JSON, örn. {"analytical":false,"functional":true,"marketing":false})
- ip_masked (maskelenmiş veya salt+hash ile korunmuş)
- user_agent (tarayıcı & cihaz bilgisi)
- request_id (istek id)
- hmac_signature (HMAC‑SHA256 ile sunucu tarafı imza)
- raw_request (istek gövdesinin canonicalized versiyonu — saklanır, hmac ile ilişkilendirilir)
Neden:
Rıza(delili) sağlamak, yasal uyumluluk, denetim ve güvenlik amaçlıdır. Ödeme verileri (kart numarası, CVV vb.) hiçbir şekilde burada saklanmaz; ödemeler Iyzico üzerinden token bazlı yapılır.
Saklama Süresi:
Consent logları: asgari 7 yıl (kanuni düzenlemeler doğrultusunda verilecek kararlar/dava/denetim taleplerine göre güncellenebilir).
3) HUKUKİ DAYANAK, RIZA YÖNETİMİ VE DELİL (ÖZET)
Analitik ve pazarlama kategorileri yalnızca kullanıcının açık rızası alındıktan sonra etkinleştirilir. Zorunlu/teknik çerezler (oturum, ödeme tokenları) hizmet ifası kapsamında rıza aranmaksızın çalıştırılabilir.
Sunucu tarafı kayıtları (MongoDB logları) HMAC ve günlük/haftalık hash (Merkle‑root / daily_hash) + zaman damgası ile desteklenir; bu kayıtlar Hukuk Muhakemeleri Kanunu uyarınca delil niteliğinde saklanır.
Kullanıcı onayının hangi politika sürümüne göre verildiği (policy_version & policy_hash) kayıtlarda yer alır; böylece “hangi metinle onay verildi” ifadesi ispatlanabilir.
4) TEKNİK GÜVENCE MEKANİZMALARI (ZORUNLU UYGULAMA ADIMLARI)
Aşağıdaki teknik tedbirler fiilen uygulanmalıdır; sözleşmede taahhüt edildiği için denetimde ispatlanabilir olmalıdır.
4.1. POST /api/consent endpoint
Payload canonicalized JSON ile gönderilir; server tarafı consent_id, request_id, timestamp ekler. Server HMAC_SHA256(server_secret, canonicalized_json) üretir; hmac_signature kayıtla birlikte saklanır. Server_secret güvenli KMS (AWS KMS / HashiCorp Vault) içinde korunur. Endpoint idempotent olmalı (request_id ile). Response: 202 Accepted + consent_id.
4.2. Append‑only & Immutable Logging
MongoDB üzerinde consents_append_only collection kullanılır; değişiklikler append‑only mantığıyla (günlük hash + audit metadata) loglanır. Silme/güncelleme süreçleri ayrı audit kayıtları üretir; ham loglar immutable backup'larda saklanır (S3 Object Lock veya benzeri WORM).
4.3. Günlük Merkle / Timestamping
Her gün oluşturulan günlük hash (Merkle root veya sha256 summary) güvenilir bir zaman damgası servisine (RFC3161 uyumlu TSP) veya immutable servis/depoya gönderilir; bu referans daily_hash_ref olarak saklanır.
4.4. Şifreleme ve Erişim Kontrolleri
At‑rest: AES‑256, In‑transit: TLS1.2+
RBAC ile erişim; admin erişimleri 2FA ile korumalıdır. Tüm DB erişimleri ayrı audit loglanır.
4.5. Yedekleme ve Restore Testi
Günlük incremental, haftalık full yedek. Restore testi en az 30 günlük periyotlarla otomatik yapılmalı ve sonuçlar saklanmalıdır.
4.6. Monitoring, SIEM ve Olay Yanıtı
SIEM entegrasyonu, anomali detection, PagerDuty/alerting; DB write failures / tamper attempts / export failures için 72 saat içinde müdahale SLAsı.
5) MONGODB & DPA (VERİ İŞLEME SÖZLEŞMESİ) GÜVENCESİ
Hizmet Sağlayıcı ile MongoDB (veya DB hosting sağlayıcısı) arasında yazılı, yürürlükte ve erişilebilir bir DPA bulunur. DPA en az aşağıdaki unsurları içerir:
- Veri işleme kapsamı ve türleri,
- Veri merkezi lokasyonları (açık şekilde belirtilmiş),
- Alt işleyici listesi (sub‑processors),
- Güvenlik tedbirleri (encryption, RBAC, loglama),
- Veri ihlali bildirim süresi: azami 72 saat,
- Denetim hakları (Hizmet Sağlayıcı tarafından veya bağımsız denetçi),
- DPA ihlali halinde uygulanacak yaptırımlar/muafiyetler.
DPA yıllık olarak gözden geçirilir ve güncelliği sözleşme ekinde gösterilir. DPA versiyonunun güncel olmaması Hizmet Sağlayıcı açısından sözleşme ihlali sayılır.
6) İSPAT TALEBİ, YANIT SÜREÇLERİ VE ÖZEL DURUMLAR
Kullanıcı, kendi onay kaydının dökümünü executive.approval@benextainternational.com adresine yazılı olarak talep edebilir.
Hizmet Sağlayıcı talebi aldıktan sonra 48 saat içinde “alındı” teyidi gönderir ve 14 takvim günü içinde ilgili kaydı (CSV veya PDF) teslim eder.
Teknik zorunluluk veya olağanüstü durum halinde Hizmet Sağlayıcı, ek en fazla 14 takvim günü süre talep edebilir; bu talep ancak somut teknik gerekçelerle mümkündür ve kullanıcının onayı olmaksızın keyfi olarak kullanılamaz.
Eğer sunucu tarafı kayıtlarına erişim engellenir veya kayıtların bütünlüğü sorgulanır hâle gelirse, Hizmet Sağlayıcı durumdan en geç 72 saat içinde yazılı olarak kullanıcıyı ve ilgili mercileri bilgilendirir ve restore/inceleme süreçlerini başlatır. Günlük merkle/timestamp referansları ile kayıtların orijinalliği ve bütünlüğü kanıtlanır.
7) KULLANICI HAKLARI VE BAŞVURU PROSEDÜRÜ
KVKK ve ilgili mevzuat uyarınca kullanıcı hakları (işlenip işlenmediğini öğrenme, amaçları öğrenme, düzeltme, silme, işlemeyi kısıtlama, veri taşınabilirliği, rızayı geri çekme) saklıdır. Başvuru kanalları:
Yanıt süresi: Consent ile ilgili talepler önceliklendirilir; standart maksimum süre 14 takvim günüdür. Kimlik doğrulama için gerekli minimum bilgiler talep edilecektir.
8) İHLAL BİLDİRİMİ VE SORUMLULUKLAR
Veri ihlali durumunda Hizmet Sağlayıcı iç soruşturma başlatır; etkilenen kişiler ve ilgili idari merciler mevzuatta belirlenen süreler içinde bilgilendirilir. MongoDB dahil tüm alt işleyiciler tespit edildiği anda bilgilendirilir.
Hizmet Sağlayıcı'nın, çerez ve consent süreçlerinden kaynaklanan kusurundan doğan zararlar haricinde toplam maddi sorumluluğu, Müşteri'nin son 12 aylık hizmet bedeli ile sınırlıdır; bu hüküm tüketici hukuku emredici hükümleri çerçevesinde yeniden düzenlenebilir (Tüketici hakları saklıdır).
9) ÇEREZ KATEGORİLERİ VE UYGULAMA
- Zorunlu / Teknik Çerezler: Site işlevselliği ve ödeme güvenliği (Iyzico). (Rıza gerektirmez.)
- Analitik Çerezler: Google Analytics vb. (Sadece açık rıza ile.)
- Fonksiyonel Çerezler: Kullanıcı tercihlerini hatırlama (kullanıcıya bağlı).
- Pazarlama / Hedefleme Çerezleri: Google Ads, Meta Pixel vb. (Sadece açık rıza ile.)
Üçüncü taraflara ilişkin politikalar:
10) TEKNİK ÖRNEKLER (GELİŞTİRİCİ İÇİN)
Cookie adı ve örneği:
{"name":"benexta_consent","value":{"analytical":false,"functional":true,"marketing":false,"t":"2026-02-25T12:22:00Z"},"expires_days":365,"secure":true,"samesite":"Strict","httponly":false,"path":"/"}POST /api/consent örnek payload:
{
"categories": {"analytical": false, "functional": true, "marketing": false},
"acceptedAll": false,
"timestamp": "2026-02-25T12:22:00Z",
"page": "/anasayfa",
"note": ""
}Sunucu ekleyeceği alanlarla birlikte MongoDB kaydı örneği:
{
"consent_id": "UUID-12345",
"request_id": "REQ-67890",
"timestamp": "2026-02-25T12:22:00Z",
"customer_email": "musteri@email.com",
"ip_masked": "192.168.1.***",
"selections": {"analytical": false, "functional": true, "marketing": false},
"policy_version": "1.3.0",
"policy_hash": "SHA256_POLICY_HASH",
"hmac_signature": "HMAC_SHA256_SIGNATURE",
"daily_hash_ref": "TIMESTAMP_REF_OR_URL"
}Admin export akışı:
Talep alındığında 48 saat içinde “alındı” teyidi, export job oluşturma. Export dosyası (CSV/PDF) 14 gün içinde sağlanır. Export sırasında IP adresleri maskelenir.
11) İZLEME, DENETİM VE DELİL SAKLAMA
Günlük merkle/sha256 özetleri zaman damgalı olarak saklanır (timestamp authority veya immutable storage).
Banner görüntüleri (render snapshot) ve policy_hash onay anında ilişkilendirilir. Onay anına ait UI görüntüsü gerektiğinde sunulabilir.
12) POLİTİKA GÜNCELLEMELERİ
Bu politika güncellenebilir. Önemli değişiklikler site banner'ı veya kayıtlı e‑posta ile bildirilir. Her güncellemede policy_version ve policy_hash güncellenecek ve yeni versiyon onay alma akışına entegre edilecektir.
13) EK HUKUKİ UYARILAR VE KISITLAMALAR
Bu politika, Benexta Prime'ın çerez ve consent süreçlerine dair taahhütlerini düzenler; ana Hizmet Sözleşmesi'ndeki diğer hükümlerdeki sorumluluk sınırlamaları ve tüketici koruma istisnaları saklıdır.
Tüketici (B2C) müşteriler için bazı sorumluluk sınırlamaları mahkeme veya uygulamada daraltılabilir; bu nedenle Tüketici Şartları Eki hazırlanmış olup avukat onayı gereklidir.
14) İLETİŞİM
KVKK ve çerez talepleri için: executive.approval@benextainternational.com
Adres: Yakakent, 8087/21. Sk. No: 5 35640, 35640 Çiğli/İzmir