Bu belge özetle:
- Hesap verileriniz hesabınız açık olduğu sürece tutulur; kapatma talebinizden sonra 30 gün içinde silinir veya anonimleştirilir. Yalnızca yasanın zorunlu kıldığı kayıtlar (fatura 10 yıl, sözleşme kayıtları 10 yıl, trafik kayıtları en çok 2 yıl) daha uzun saklanır.
- Müşterilerimizin alıcı verileri hesap açık olduğu sürece saklanır; müşteri panelden her zaman silebilir. Gönderim ve etkileşim olayları 24 ay, onay/ret kanıtları 36 ay tutulur. Sitedeki çerez onay kayıtları 24 ay, telefon görüşmelerinin ses kayıtları 3 ay saklanır.
- Süresi dolan kayıtlar her gece 04:00'te otomatik silinir; yedekler 30 gün sonra kendiliğinden düşer. Bu, Yönetmelik'in 6 aylık periyodik imha süresinin çok altındadır.
- 5651 sayılı Kanun kapsamındaki trafik kayıtları günlük olarak özet değeriyle mühürlenir ve haftalık doğrulanır.
- SenderTR'nin tüm verileri ve yedekleri Türkiye'deki veri merkezlerinde tutulur; tek istisna, site ziyaretçisi analitik izni verirse Google Analytics'te tutulan site kullanım verisidir.
Bu özet bilgilendirme amaçlıdır ve hukuki metnin yerine geçmez; bağlayıcı metin belgenin tamamıdır.
1. Amaç, kapsam ve dayanak
Bu politika, Alastyr Telekomünikasyon A.Ş. ("Alastyr") tarafından SenderTR markasıyla sunulan e-posta gönderim hizmeti kapsamında işlenen kişisel verilerin saklanması, silinmesi, yok edilmesi ve anonim hâle getirilmesine ilişkin usul ve esasları belirler. Politika; hesap sahipleri ve ekip üyeleri, web sitesi ziyaretçileri, bizi telefonla arayanlar, müşterilerimizin e-posta alıcıları ve sistem kayıtlarında yer alan kişisel verileri kapsar.
Dayanak: 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 7. maddesi (silme, yok etme veya anonim hâle getirme) ve 12. maddesi; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ("Yönetmelik"); 5651 sayılı Kanun (trafik kayıtları); 6563 sayılı Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik (onay kayıtları); 213 sayılı Vergi Usul Kanunu ve 6102 sayılı Türk Ticaret Kanunu (ticari defter ve belgeler); 6098 sayılı Türk Borçlar Kanunu (zamanaşımı).
Alastyr, kendi müşterilerinin ve ziyaretçilerinin verileri bakımından veri sorumlusu; müşterilerinin alıcı listeleri bakımından veri işleyendir. Alıcı verileri için saklama kararını müşteri verir; bu politikadaki süreler, müşterinin talimatı yokken uyguladığımız üst sınırlardır ve Veri İşleme Sözleşmesi ile birlikte okunmalıdır.
2. Tanımlar
- Kişisel veri
- Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
- Silme
- Kişisel verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi.
- Yok etme
- Kişisel verinin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi.
- Anonim hâle getirme
- Kişisel verinin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.
- İmha
- Silme, yok etme veya anonim hâle getirme işlemlerinin ortak adı.
- Periyodik imha
- Saklama süresi dolan verilerin, Yönetmelik'te öngörülen ve bu politikada belirlenen aralıklarla resen imha edilmesi.
- Hesap sahibi / kullanıcı
- SenderTR'de hesap açan müşteri ve müşterinin hesaba eklediği ekip üyeleri.
- Alıcı
- Müşterinin SenderTR üzerinden e-posta gönderdiği kişi.
- Trafik kaydı
- 5651 sayılı Kanun kapsamında tutulan, hizmete erişim ve SMTP bağlantılarına ilişkin IP, zaman ve işlem bilgileri.
3. Saklamayı gerektiren sebepler
Kişisel veriler, yalnızca işlendikleri amaç için gerekli olan süre boyunca ve aşağıdaki sebeplerden en az biri devam ettiği sürece saklanır:
- Hukuki yükümlülük: Faturaların ve ticari defterlerin VUK/TTK uyarınca 10 yıl saklanması; 5651 sayılı Kanun uyarınca trafik kayıtlarının en az 1 yıl tutulması; ticari elektronik ileti onay kayıtlarının onayın sona ermesinden itibaren 3 yıl saklanması; yetkili makam taleplerinin karşılanması.
- Sözleşmenin kurulması ve ifası: Hesabın işletilmesi, kredilerin yönetilmesi, gönderimlerin yapılması ve raporlanması, destek verilmesi.
- Bir hakkın tesisi, kullanılması veya korunması: Sözleşme kabul kayıtlarının ve işlem geçmişinin zamanaşımı süresince tutulması; uyuşmazlıkta delil olarak kullanılması.
- Meşru menfaat: Hesap güvenliği (giriş geçmişi), kötüye kullanımın önlenmesi, gönderici itibarının korunması ve hizmet kalitesinin izlenmesi; ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla.
Saklamayı gerektiren sebeplerin tamamı ortadan kalktığında veri, bir sonraki periyodik imha döneminde veya ilgili kişinin talebi üzerine imha edilir.
4. Saklama süreleri
(a) Hesap sahipleri ve kullanıcılar (veri sorumlusu: Alastyr)
| Veri | Süre | Dayanak |
|---|---|---|
| Kimlik ve iletişim: ad, e-posta, telefon, şirket adı; hesap ayarları, kampanyalar, şablonlar, destek yazışmaları | Hesap açık olduğu sürece; kapatma talebinden itibaren 30 gün içinde silinir veya anonimleştirilir | Sözleşmenin ifası (KVKK m.5/2-c) |
| Sözleşme kabul kayıtları: kabul edilen belge sürümü, zaman damgası, IP adresi | Sözleşme süresince + 10 yıl | Hakkın korunması, zamanaşımı (KVKK m.5/2-e; TBK, TTK) |
| Fatura bilgileri (unvan/ad, vergi no veya TCKN, adres), satın alma ve ödeme kayıtları, e-Arşiv faturalar | 10 yıl | Hukuki yükümlülük (KVKK m.5/2-ç; VUK, TTK) |
| Giriş geçmişi: IP adresi, cihaz/tarayıcı, zaman | 24 ay | Meşru menfaat — hesap güvenliği (KVKK m.5/2-f) |
| İşlem kayıtları (activity log): panelde yapılan değişikliklerin kim, ne zaman kaydı | 24 ay | Meşru menfaat — hesap verebilirlik, kötüye kullanım incelemesi |
| Şifre (hash), iki faktörlü doğrulama sırları, API anahtarları, SMTP kimlik bilgileri (şifreli) | Hesap açık olduğu sürece; kullanıcı silince veya anahtar iptal edilince anında | Sözleşmenin ifası, veri güvenliği (KVKK m.12) |
| SenderTR tanıtım e-postası izni (isteğe bağlı) | İzin geri alınana veya hesap kapanana kadar | Açık rıza (KVKK m.5/1); 6563 |
(b) Müşteri adına işlenen alıcı verileri (veri sorumlusu: müşteri)
| Veri | Süre | Dayanak |
|---|---|---|
| Kişi listeleri: e-posta adresi, ad-soyad, müşterinin eklediği alanlar, segmentler | Müşteri hesabı açık olduğu sürece; müşteri panelden dilediği zaman siler; hesap kapanışından itibaren 30 gün | Müşterinin talimatı (Veri İşleme Sözleşmesi) |
| Onay ve ret kayıtları: onay kaynağı, tarih, IP; abonelikten çıkma kayıtları | 36 ay | 6563 sayılı Kanun ve Yönetmelik — onayın ispatı için 3 yıl |
| Gönderim, teslimat, geri dönme (bounce) ve şikâyet olayları; SMTP yanıt kodları; gönderim karar kayıtları | 24 ay | Meşru menfaat — gönderici itibarı, raporlama; 5651 (SMTP bağlantı kayıtları) |
| Geri dönme bildirimleri (DSN): alıcı sunucudan gelen bildirimin ayrıştırılmış alanları (alıcı adresi, durum kodu, neden, zaman) ve ham bildirim | Ayrıştırılmış alanlar 24 ay; ham bildirim 7 gün | Meşru menfaat — teslim edilebilirlik, adresin engellenmesi; ham bildirim yalnızca ayrıştırma hatalarının incelenmesi için |
| İşlemsel e-posta içeriği: API ile gönderilen dosya ekleri | API ile gönderilen ekler gönderim tamamlanınca silinir, en fazla 48 saat | Müşterinin talimatı (Veri İşleme Sözleşmesi) — yalnızca iletinin teslimi için |
| İçerik denetiminde işaretlenen veya engellenen iletilerin içeriği: konu, gönderen adı, metin ve HTML gövde, bağlantılar, ek adları (eklerin kendisi saklanmaz); e-posta adresleri maskelenir, içerik şifreli saklanır | 30 gün; her gün otomatik silme (logs:prune) | Meşru menfaat — hizmetin güvenliği, kimlik avı ve kötüye kullanımın önlenmesi (KVKK m.5/2-f); Kabul Edilebilir Kullanım Politikası 7. madde. Yalnızca yetkili personel erişir; her erişim kayıt altına alınır |
| Açılma ve tıklama olayları: zaman, IP, user agent, cihaz türü, ülke/şehir tahmini | 24 ay | Müşterinin talimatı (kampanya e-postalarında her zaman; işlemsel e-postalarda müşterinin izleme ayarına göre); raporlama |
| Engelleme listesi kayıtları (abonelikten çıkan ve şikâyet eden adresler) | Müşteri hesabı açık olduğu sürece; tekrar gönderimi önlemek amacıyla | Ret hakkına uyum (6563; KVKK m.5/2-ç) |
| E-posta doğrulama sonuçları (adres geçerli / geçersiz) | Müşteri hesabı açık olduğu sürece | Müşterinin talimatı |
Müşteri hesabı kapandığında bu tablodaki veriler, 36 aylık onay/ret kanıtları ve 5651 trafik kayıtları hariç, 30 gün içinde silinir veya anonim hâle getirilir; ayrıntı Veri İşleme Sözleşmesi 13. maddededir.
(c) Sistem ve trafik kayıtları
| Veri | Süre | Dayanak |
|---|---|---|
| 5651 trafik kayıtları: HTTP erişim logları (IP, zaman, istek, yanıt kodu, user agent) ve SMTP bağlantı logları (IP, zaman, kimlik, işlem) | En az 1 yıl, en çok 2 yıl | Hukuki yükümlülük — 5651 sayılı Kanun |
| Log bütünlük kayıtları (günlük özet değeri ve zaman damgası) | İlgili log dosyasıyla aynı süre | 5651 — doğruluğun ve bütünlüğün sağlanması |
| Servis sağlık kontrolleri (yanıt süresi, durum) | 1 ay | Operasyonel; kişisel veri içermez |
| Kara liste (IP/alan adı itibar) kontrolleri | 6 ay | Operasyonel — teslim edilebilirlik; kişisel veri içermez |
| Gönderici alan adı kayıt kontrolleri (SPF, DKIM, DMARC), ısınma günlük kayıtları, posta sunucusu sağlık olayları | 12 ay | Operasyonel — teslim edilebilirlik; kişisel veri içermez |
(d) Yedekler
| Veri | Süre | Dayanak |
|---|---|---|
| Şifreli (gpg) gece veritabanı yedeği — yukarıdaki tüm veritabanı verilerinin kopyası | 30 gün; sonra otomatik silinir | Meşru menfaat — iş sürekliliği, felaket kurtarma (KVKK m.12) |
Bir kayıt canlı veritabanından silindikten sonra en fazla 30 gün daha yedeklerde kalır ve bu süre sonunda yedeğin silinmesiyle kendiliğinden düşer. Yedekler yalnızca felaket kurtarma amacıyla geri yüklenir; bu durumda arada silinmiş kayıtlar geri yüklemeden hemen sonra yeniden silinir.
(e) Site ziyaretçileri ve telefon görüşmeleri (veri sorumlusu: Alastyr)
| Veri | Süre | Dayanak |
|---|---|---|
| Çağrı ses kayıtları: 0850 850 4678 hattındaki görüşmenin ses kaydı, arayan numara, tarih-saat, süre | 3 ay; sonra Alastyr santralinde otomatik olarak silinir | Sözleşmenin ifası, hakkın tesisi ve korunması, meşru menfaat (KVKK m.5/2-c, e, f) |
Çerez onay kayıtları (cookie_consents): rastgele onay kimliği, seçimler, karar türü, bant sürümü, IP adresi, tarayıcı bilgisi, sayfa yolu, zaman | 24 ay; her gün otomatik silme (logs:prune) | Rızanın ispatı (KVKK m.5/2-ç, e) |
sendertr_consent çerezi (ziyaretçinin tarayıcısında): çerez tercihi ve onay kimliği | 180 gün; süre dolunca tarayıcı siler ve tercih yeniden sorulur | Zorunlu çerez — tercihin hatırlanması |
| Google Analytics 4 verisi (Google LLC sunucularında; yalnızca ziyaretçi analitik rızası verirse) | Google Analytics'te olay verisi saklama süresi 14 ay olarak ayarlanır | Açık rıza (KVKK m.5/1) |
5. İmha yöntemleri
Silme
Veritabanı kayıtları, saklama süresi dolduğunda veya ilgili kişi/müşteri talebiyle satır bazında kalıcı olarak silinir. Otomatik silme logs:prune komutu ile 5.000'lik gruplar hâlinde yapılır; aylık bölümlenmiş yüksek hacimli tablolarda (gönderim ve SMTP kayıtları) süresi dolan ay bölümü bütün olarak düşürülür. Silinen kayıt, en fazla 30 gün sonra yedeklerden de düşer. Sunucu log dosyaları, saklama süresi sonunda rotasyonla silinir. Telefon görüşmelerinin ses kayıtları, santral sisteminde 3 aylık süre dolduğunda otomatik olarak silinir.
Yok etme
Yedekler gpg ile şifrelidir; bir yedeğin yok edilmesi, dosyanın silinmesi ve gerektiğinde ilgili şifreleme anahtarının imha edilmesiyle sağlanır; anahtarı olmayan şifreli yedek geri getirilemez. Kullanım dışı kalan fiziksel depolama ortamları veri geri getirilemeyecek şekilde imha edilir.
Anonim hâle getirme
İstatistik amacıyla tutulmaya devam edilen kayıtlarda (örneğin hesap kapanışı sonrası toplu gönderim sayıları) e-posta adresi, ad, IP adresi ve diğer tanımlayıcı alanlar kaldırılır veya maskelenir; kalan veri, başka verilerle eşleştirilse dahi bir kişiyle ilişkilendirilemez. Anonim hâle getirilen veri Kanun kapsamında kişisel veri değildir.
Yöntem, verinin niteliğine ve saklamayı gerektiren sebebe göre seçilir; ilgili kişinin silme veya yok etme talebi Kanun'un 7. maddesi çerçevesinde öncelikle dikkate alınır.
6. Periyodik imha takvimi
Yönetmelik, periyodik imhanın en geç 6 ayda bir yapılmasını öngörür. SenderTR'de imha, aşağıdaki takvimle otomatik olarak ve daha sık yürütülür:
| İşlem | Sıklık | Yöntem |
|---|---|---|
Saklama süresi dolan veritabanı kayıtlarının silinmesi (giriş geçmişi, işlem kayıtları, onay/ret kanıtları, çerez onay kayıtları — cookie_consents —, içerik denetiminde saklanan ileti içerikleri ve 4. maddedeki diğer kayıtlar) | Her gün 04:00 | Otomatik (logs:prune); bölümlenmiş tablolarda süresi dolan ay bölümünün düşürülmesi |
| API ile gönderilen işlemsel e-posta eklerinin silinmesi | Gönderim tamamlanınca; kalanlar için 10 dakikada bir (48 saatten eskiler) | Otomatik (gönderim işi ve transactional:prune-attachments) |
| Çağrı ses kayıtlarının silinmesi | 3 aylık süresi dolan kayıtlar için | Otomatik (Alastyr santral sistemi) |
| Trafik kayıtlarının özet değeriyle mühürlenmesi | Her gün 02:00 | Otomatik (logs:hash) |
| Özet değeri doğrulaması | Her hafta Pazartesi 03:00 | Otomatik (logs:hash --verify); uyumsuzluk kaydedilir ve incelenir |
| Sunucu log dosyalarının rotasyonu ve silinmesi | Günlük / haftalık | Otomatik (logrotate) |
| Yedeklerin silinmesi | 30 günden eski yedekler her gün | Otomatik |
| Hesap kapatma imhası | Talepten itibaren 30 gün içinde | Teknik ekip, kayıt altında |
| Politika ve sürelerin gözden geçirilmesi | Yılda bir ve mevzuat değişikliğinde | KVKK sorumlusu ve teknik ekip |
7. Log bütünlüğü
5651 sayılı Kanun, trafik kayıtlarının doğruluğunun, bütünlüğünün ve gizliliğinin sağlanmasını ister. Bunun için trafik kayıtları her gün özet değeri (hash) ile mühürlenir ve özet değeri, zaman damgasıyla birlikte log dosyalarından ayrı bir veritabanı tablosunda saklanır. Haftalık otomatik doğrulama, saklanan özet değerlerini dosyalarla yeniden karşılaştırır; bir uyumsuzluk tespit edilirse olay kaydedilir ve teknik ekip tarafından incelenir. Log dosyalarına erişim yetkili personelle sınırlıdır ve kayıt altındadır.
8. Hesap kapatma akışı
Hesap kapatma, kayıtlı e-posta adresinden destek@sendertr.com veya kvkk@sendertr.com adresine gönderilen taleple başlar; talep hesap sahibi tarafından yapılmalıdır ve kimlik teyidi istenebilir. Akış şöyledir:
- Talep ve teyit: Talep alındığında hesap sahibine, kapanışın kalıcı olduğu ve verileri önce dışa aktarmasının gerektiği hatırlatılır. Kişi listeleri panelden CSV olarak, hesap verileri Ayarlar → "Verilerimi dışa aktar" ile JSON olarak alınabilir. Kullanılmamış krediler için İptal ve İade Koşulları uygulanır.
- Kapatma: Hesap kapatılır; giriş, API anahtarları ve SMTP kimlik bilgileri anında devre dışı kalır.
- İmha (30 gün içinde): Kişi listeleri, kampanyalar, şablonlar, gönderim ve etkileşim kayıtları, hesap ve kullanıcı bilgileri silinir veya anonimleştirilir. Yalnızca 4. maddedeki yasal saklama süresine tabi kayıtlar (fatura ve ödeme kayıtları, sözleşme kabul kayıtları, onay/ret kanıtları, trafik kayıtları) süreleri dolana kadar ayrı tutulur ve başka amaçla kullanılmaz.
- Yedeklerden düşme: Silinen veriler en fazla 30 gün sonra yedeklerden kendiliğinden düşer.
- Teyit: İmha tamamlandığında hesap sahibine e-posta ile teyit gönderilir; talep hâlinde yazılı imha teyidi verilir.
Kanun'un 11. maddesi kapsamındaki silme talepleri (hesabı kapatmadan belirli bir verinin silinmesi) İlgili Kişi Başvuru Formu ile yapılır ve 30 gün içinde ücretsiz yanıtlanır.
9. Roller ve sorumluluklar
| Rol | Sorumluluk |
|---|---|
| KVKK sorumlusu | Politikanın hazırlanması, yıllık gözden geçirilmesi, ilgili kişi başvurularının yanıtlanması, ihlal bildirimleri, saklama sürelerinin mevzuata uygunluğunun izlenmesi. |
| Teknik ekip | Otomatik imha ve yedekleme işlerinin çalışır tutulması, hesap kapatma imhasının yürütülmesi ve kayıt altına alınması, log bütünlüğü uyarılarının incelenmesi, erişim yetkilerinin yönetimi. |
| Destek ekibi | Hesap kapatma ve veri taleplerinin alınması, kimlik teyidi, hesap sahibinin bilgilendirilmesi ve talebin ilgili ekibe iletilmesi. |
| Tüm personel | Bu politikaya ve gizlilik yükümlülüğüne uyum; saklama süresi dolduğu fark edilen verinin bildirilmesi. |
Müşteri, kendi alıcı verileri bakımından veri sorumlusu olarak kendi saklama sürelerini belirlemekten ve alıcılardan gelen talepleri karşılamaktan sorumludur; SenderTR bunun için panel araçlarını sağlar.
10. Veri konumu
SenderTR'nin uygulama, veritabanı, gönderim, izleme ve yedek sunucularının tamamı Türkiye'deki veri merkezlerinde bulunur. Yedekler de Türkiye'de tutulur. Alıcı verileri için yurt dışına aktarım yoktur; müşterinin kendi kararıyla açabileceği yapay zekâ özelliklerine ilişkin sınırlı istisna ve alıcı verisinin bu istisnanın dışında olduğu Veri İşleme Sözleşmesi 9. maddesinde ve Alt İşleyenler ve Veri Konumu sayfasında açıklanır. sendertr.com ziyaretçisi çerez bandında analitik izni verirse site kullanım verisi Google LLC'nin (ABD) sunucularında, 4(e) maddesindeki süreyle tutulur; bu veri müşteri veya alıcı verisi değildir.
11. Yürürlük ve sürüm
Bu politikanın 2.0 sürümü 29 Eylül 2026'da yayımlanarak yürürlüğe girmiş; 9 Mart 2026 tarihli önceki sürümün yerini almış ve saklama sürelerini sistemde uygulanan değerlerle uyumlu hâle getirmiştir. Aynı tarihli 2.1 sürümü; çağrı ses kayıtları, çerez onay kayıtları, sendertr_consent çerezi ve Google Analytics 4 verisi için saklama sürelerini ekler. 30 Eylül 2026 tarihli 2.2 sürümü, API ile gönderilen işlemsel e-posta eklerinin saklama süresini (en fazla 48 saat) ekler. 12 Ekim 2026 tarihli 2.5 sürümü, içerik denetiminde işaretlenen veya engellenen iletilerin içeriğinin yönetici incelemesi için 30 gün saklanmasını ekler; güncel sürüm budur. Politika yılda bir ve mevzuat ya da sistem değişikliğinde gözden geçirilir; değişiklikler bu sayfada yayımlanır, hesap sahiplerini etkileyen esaslı değişiklikler en az 15 gün önce e-posta ve panel duyurusuyla bildirilir. Önceki sürümleri destek@sendertr.com adresinden isteyebilirsiniz.
Veri sorumlusu: Alastyr Telekomünikasyon A.Ş., Meriç Mahallesi, 5747 Sokak No:84, 35090 Bornova / İzmir; telefon 0850 850 4678; KVKK başvuruları kvkk@sendertr.com. Bu belge bilgilendirme amaçlı özet içerir; bağlayıcı metin belgenin tamamıdır.
Bu belge Alastyr Telekomünikasyon A.Ş. tarafından işletilen SenderTR hizmeti için hazırlanmıştır. Sorularınız için kvkk@sendertr.com.