GDPR
Lunixi, GDPR kapsamında veri işleyen olarak hareket eder; veri sorumlusu sizin kurumunuzdur. AB'de bulunan kişilerin verisi işlenmeden önce bir Veri İşleme Sözleşmesi (DPA) imzalanmalıdır.
Türkiye'deki KVKK yükümlülükleri, şifrelemenin alan bazında nasıl uygulandığı ve silme uçlarının ayrıntısı için KVKK sayfasına bakın. İki sayfa aynı teknik altyapıyı anlatır; kapsam ve yükümlülük çerçeveleri farklıdır.
Hukuka uygunluk sebebi
Lunixi üzerinden yürütülen işlemler tipik olarak şu sebeplerden birine dayanır:
- Hukuki yükümlülük (Md. 6(1)(c)) — aklamayla mücadele ve yaptırım taraması kanunen zorunludur
- Meşru menfaat (Md. 6(1)(f)) — dolandırıcılık önleme
Hukuka uygunluk sebebinizi kendi gizlilik politikanızda belgeleyin. Lunixi örnek bir madde metni sağlayabilir.
Veri minimizasyonu
Lunixi'ye yalnızca risk kararı için gerekli olan veriyi gönderin. Tarama uçları isteğe bağlı alanlar kabul eder — elinizde olmayan veya ihtiyaç duymadığınız alanları göndermek zorunda değilsiniz.
Serbest biçimli ek alanlara kişisel veri yazmayın: bu alanlar şifrelenmez.
Saklama
Saklama süresi tek bir küresel sayı değildir; veri türüne ve ülkeye göre çözülür.
| Veri | Varsayılan süre |
|---|---|
| Kimlik tespiti kayıtları (AB/BK varsayılanı) | 1825 gün (5 yıl) |
| Kimlik tespiti kayıtları (Türkiye) | 2920 gün (8 yıl) |
| Biyometrik görüntüler | 90 gün (Türkiye kural seti) |
| Şüpheli işlem bildirimi kayıtları | 5 yıl (sabit) |
Süreler kurulum bazında değiştirilebilir.
Otomatik imha varsayılan olarak kapalıdır. İmha işleri planlanır, ancak fiilen silme yapılması kurulum bazında etkinleştirilmelidir. Kendi kurulumunuzda bunun açık olup olmadığını teyit edin.
Silme hakkı (Md. 17)
Silme, kimliği doğrulanmış ve yetki kontrolünden geçen operatör uçlarıyla yürütülür:
| İşlem | Uç |
|---|---|
| Silme talebi başlat | POST /kyc/admin/sessions/:sessionId/erasure |
| Silme taleplerini listele | GET /kyc/admin/erasure-requests |
| Açık rıza geri çekme | POST /kyc/admin/sessions/:sessionId/consent/withdraw |
Veri sahibinin doğrudan kullanabileceği bir silme ucu yoktur. İlgili kişi başvurusunu siz alır, veri sorumlusu olarak değerlendirir ve sonucu bu uçlarla uygularsınız.
Silme, hukuki saklama yükümlülüklerine tabidir: kişisel tanımlayıcılar kaldırılırken karar sonuçları denetim için korunabilir. İmha tamamlandığında imzalı bir imha sertifikası üretilir ve imha kaydına iliştirilir.
Erişim hakkı (Md. 15)
Veri sahibi erişim talebi için yapılandırılmış bir dışa aktarım ucu vardır:
GET /kyc/admin/sessions/:sessionId/dsar-exportDışa aktarma işleminin kendisi de denetim izine yazılır — kimin verisinin, ne zaman, kim tarafından dışa aktarıldığı kayıtlıdır.
Teknik tedbirler
- Alan bazlı AES-256-GCM şifreleme; kiracı başına veri şifreleme anahtarı ve anahtar sarmalama
- Belge nesneleri depolamaya yazılmadan önce uygulama katmanında şifrelenir — şifrelemesiz yazma yapılandırması bırakılmamıştır
- Log ve hata izlerinde merkezi redaksiyon; kart numaraları Luhn, T.C. kimlik numaraları kontrol basamağı ile doğrulanarak maskelenir
- Özet zincirli denetim kaydı
Hangi alanların şifreli, hangilerinin düz metin olduğunun tam listesi için KVKK sayfasına bakın. "Tüm kişisel veri şifrelidir" demiyoruz ve istisnaları açıkça yazıyoruz.
Veri aktarımı ve barındırma
Nesne depolama ve anahtar yönetimi kendi işlettiğimiz altyapıda çalışır; üçüncü taraf bir bulut sağlayıcısına devredilmez. Bölge bazlı ayrı kurulum yapılabilir.
Bu sayfa kurulumunuz için bağlayıcı bir barındırma beyanı değildir. Verinizin fiilen nerede durduğuna, alt işleyen listesine ve aktarım mekanizmasına (standart sözleşme hükümleri dahil) ilişkin bağlayıcı beyan DPA ile verilir. Talep için [email protected].
DPA
Veri İşleme Sözleşmesi talebi için [email protected] adresine yazın.