Yasal

KDY Yatırım Menkul Değerler A.Ş. ("KDY Yatırım," "biz"), KDY Yatırım yatırım platformu, web siteleri, mobil uygulamalar ve API'ler ("Platform") aracılığıyla işlenen kişisel verilerin veri sorumlusudur. Bu Gizlilik Politikası; hangi kişisel verileri topladığımızı, neden işlediğimizi, kimlerle paylaştığımızı, ne kadar süreyle sakladığımızı ve sahip olduğunuz hakları açıklar.

Kişisel verileri ikili bir hukuki çerçeve altında işliyoruz: Türkiye'deki veri sahipleri için 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Ekonomik Alanı'nda bulunan veri sahipleri için (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR). İki rejim arasında farklılık olduğunda sizin lehinize en koruyucu standardı uygularız.

1. Topladığımız Veriler

1.1 Sizin Sağladığınız Bilgiler

• Kimlik bilgileri: ad-soyad, T.C. kimlik numarası (veya yabancı vergi kimlik numarası), doğum tarihi, uyruk, ikamet ve vergi mukimliği adresi.
• Kimlik doğrulama belgeleri: kimlik belgesi görseli, canlılık selfie'si, ikamet belgesi.
• Finansal profil: meslek, fon kaynağı beyanı, yatırım amacı ve risk toleransı anketi yanıtları.
• İşlem verileri: emirler, gerçekleşen işlemler, yatırma ve çekme işlemleri, temettü olayları, sermaye olayları.
• İletişim kayıtları: destek talepleri, güvenli mesajlaşma yazışmaları, hukuken mümkün olan hâllerde kayıt altına alınan müşteri hizmetleri görüşmeleri.

1.2 Otomatik Olarak Toplanan Bilgiler

• Cihaz ve bağlantı verileri: IP adresi, cihaz tanımlayıcısı, işletim sistemi, tarayıcı parmak izi.
• Kullanım verileri: görüntülenen sayfalar, kullanılan özellikler, oturum süresi, gün içi kullanım örüntüleri.
• Dolandırıcılığı önleme ve düzenleyici coğrafi kısıtlama amacıyla IP üzerinden çıkarılan yaklaşık konum.
• Çerezler ve benzer teknolojiler — ayrıntılar için Çerez Politikamıza bakınız.

2. Verilerinizi Hangi Hukuki Sebebe Dayanarak İşliyoruz

• Sözleşmenin ifası — Yatırım Hesabınızın işletilmesi ve emirlerinizin yerine getirilmesi (KVKK m. 5/2-c; GDPR m. 6/1-b).
• Hukuki yükümlülük — 5549 sayılı Kanun kapsamında KYC, III-39.1 sayılı Tebliğ kapsamında SPK raporlaması, Gelir İdaresi Başkanlığı ve CRS partnerlerine vergi raporlaması (KVKK m. 5/2-a; GDPR m. 6/1-c).
• Meşru menfaat — dolandırıcılık önleme, bilgi güvenliği, platform analitiği ve denetim izi bütünlüğü (KVKK m. 5/2-f; GDPR m. 6/1-f).
• Açık rıza — zorunlu olmayan analitik çerezler, pazarlama iletişimleri ve canlılık doğrulamasındaki belirli biyometrik işleme (KVKK m. 5/1; GDPR m. 6/1-a ve m. 9/2-a).

3. MKK ve Diğer Yasal Alıcılarla Paylaşım

Kişisel verilerin Merkezi Kayıt Kuruluşu (MKK) ile paylaşılması Türk sermaye piyasası mevzuatının yasal gerekliliğidir: SPK II-13.1 sayılı Tebliğ uyarınca sahip olduğunuz her hisse adınıza MKK siciline kaydedilmek zorundadır. MKK ile paylaşılan veri kategorileri arasında ad-soyad, T.C. kimlik numarası, adres, hisse bazında bakiye ve sermaye olayı tercihleri yer alır. Açık pozisyonunuz devam ettiği sürece bu paylaşımı durdurma seçeneğimiz bulunmamaktadır.

Diğer yasal veya sözleşmeye bağlı alıcılar şunlardır:

• Sermaye Piyasası Kurulu (SPK) — gözetim raporlaması ve yerinde denetim.
• MASAK — 5549 sayılı Kanun kapsamında ŞİB ve bilgi talepleri.
• Borsa İstanbul A.Ş. ve Takasbank A.Ş. — emir iletimi, takas ve mutabakat.
• Gelir İdaresi Başkanlığı — stopaj bildirimleri ve CRS raporlaması.
• Yabancı muhabir aracı kurum — NASDAQ emir iletimi, saklama ve temettü işlemleri.
• Yazılı veri işleme sözleşmesi imzalanmış hizmet sağlayıcılar (bulut altyapı, kimlik doğrulama, e-posta ve SMS yönlendiricileri).

Kişisel veriyi satmıyor ve ilgisiz ürünlerin hedefli reklamcılığı için paylaşmıyoruz.

4. Yurt Dışına Aktarımlar

Bazı veri işleme süreçleri Türkiye ve AEA dışına aktarım içerir — özellikle NASDAQ muhabir aracı kuruma ve AB ile ABD'deki bulut altyapı bölgelerine. KVKK m. 9 kapsamında, yeterli korumaya ilişkin kararı bulunmayan ülkelere aktarım için onboarding sırasında alınan açık rızanıza dayanırız; GDPR m. 46 kapsamında ise Avrupa Komisyonu'nun Standart Sözleşme Hükümleri'ni (2021 sürümü) ve Schrems II kararı sonrasında gerekli görülen ek güvenlik önlemlerini uygularız.

5. Saklama Süresi — 10 Yıl

Hesap, işlem ve KYC kayıtlarını iş ilişkisinin sona erdiği tarihten itibaren 10 (on) yıl süreyle saklarız. 10 yıllık süre, geçerli olabilecek en uzun yasal yükümlülüğü esas alır: 5549 sayılı MASAK Kanunu'nun 8. maddesi, Vergi Usul Kanunu'nun 137. maddesi (vergi tarhiyatı için zamanaşımı), III-39.1 sayılı Tebliğ kapsamındaki denetim izi gereklilikleri ve Türk Borçlar Kanunu'nun genel sözleşme zamanaşımı süresi.

Saklama süresi sona erdiğinde kişisel veriler, KVKK'nın Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'i uyarınca silinir, yok edilir veya anonim hâle getirilir.

6. Haklarınız

KVKK'nın 11. maddesi ve GDPR'ın 15–22. maddeleri uyarınca aşağıdaki haklara sahipsiniz:

• Erişim — verilerinizin işlenip işlenmediği bilgisini almak ve kopyasını talep etmek.
• Düzeltme — yanlış veya eksik verilerin düzeltilmesini istemek.
• Silme — verinin artık gerekli olmadığı ve üstün bir yasal saklama yükümlülüğü bulunmadığı hâllerde silinmesini talep etmek.
• İşlemenin sınırlandırılması — belirli durumlarda işlemenin kısıtlanmasını istemek.
• Verinin başka bir veri sorumlusuna aktarılması da dahil olmak üzere yapılandırılmış, makine tarafından okunabilir bir formatta verinizi almak (yalnızca GDPR).
• Meşru menfaate dayalı işlemeye veya doğrudan pazarlamaya itiraz etmek.
• Daha önceki işlemenin hukuka uygunluğunu etkilemeksizin rızanızı her zaman geri çekmek.

Haklarınızı kullanmak için Veri Koruma Görevlisi (DPO) ile dpo@kdyyatirim.com üzerinden iletişime geçebilirsiniz. KVKK'nın 13. maddesi uyarınca taleplere 30 takvim günü içinde yanıt veririz.

7. Güvenlik

Verilerinizi yerinde AES-256 şifreleme, aktarımda TLS 1.3, rol bazlı erişim kontrolleri, donanımsal güvenlik modülü (HSM) ile korunan anahtar materyali, sızma tespiti, düzenli sızma testleri ve ISO 27001 ile uyumlu operasyonel kontrollerle koruyoruz.

8. Çocuklar

Platform, 18 yaşın altındaki kişilere yönelik değildir. 18 yaş altındakilere ait kişisel verileri bilerek işlemiyoruz; bu tür bir veriyi tespit etmemiz hâlinde derhal silmekteyiz.

9. Bu Politikadaki Değişiklikler

Bu Gizlilik Politikası'nı zaman zaman güncelleyebiliriz. Önemli değişiklikler, yürürlük tarihinden en az 14 takvim günü önce Platform üzerinden ve kayıtlı e-posta adresinize bildirim gönderilerek size duyurulur.

10. İletişim ve Şikayet

Veri Koruma Görevlisi: dpo@kdyyatirim.com.

KDY Yatırım Menkul Değerler A.Ş.
Maslak Mah. Büyükdere Cad. No: 255, Sarıyer 34485, İstanbul

Ayrıca Türkiye Kişisel Verileri Koruma Kurumu'na (kvkk.gov.tr) şikayette bulunma veya GDPR'ın geçerli olduğu hâllerde yerel AEA denetim makamına başvurma hakkınız da saklıdır.