KVKK / GDPR / UU PDP Gizlilik ve Veri Koruma Sözleşmesi

Sürüm 1.0

1. Taraflar ve Tanımlar

1.1 Veri Sorumlusu (Pengendali Data Pribadi): PT Balivizem Balikeys Group ("Balivizem" veya "Şirket"), Endonezya Cumhuriyeti kanunlarına göre kurulmuş yabancı sermayeli (PT PMA) şirket.

Adres: Jalan Gunung Soputan No. 1A, Pemecutan Kelod, Denpasar Barat, Kota Denpasar, Bali 80119, Endonezya

NIB: 0403260107415

• AHU: AHU-0018660.AH.01.01.Tahun 2026
• Vergi No. (NPWP): 1000000008553076
• E-posta / veri koruma iletişimi: [email protected]
• Telefon: 089666424300

1.2 Tanımlar:

• Kullanıcı: Balivizem web sitesi, uygulaması veya mağazasını kullanan her gerçek kişi.

• Müşteri: Vize, KITAS, şirket kurulumu veya diğer hizmetleri satın alan ya da başvuru yapan kişi.

• Danışman: Balivizem adına başvuruları yöneten çalışan veya sözleşmeli kişi.

• Partner: Başvurunun resmi işlemlerini yürüten avukat, noter, sponsor veya ajans.

• Bayi: Balivizem hizmetlerini kendi müşterilerine kendi fiyatıyla yeniden satan iş ortağı.

• B2B Hesap: Admin onayıyla aktifleşen kurumsal alıcı hesabı.

• Panel Kullanıcısı: Danışman, Partner, Bayi, B2B ve Mağaza yöneticisi hesaplarının ortak adı.

• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her bilgi.

• Özel Nitelikli / Spesifik Veri: Sağlık, biyometrik, adli sicil, çocuklara ait ve kişisel finansal veriler (UU PDP m.4, KVKK m.6, GDPR m.9–10).

2. Kapsam ve Uygulanacak Mevzuat

Bu metin; balivizem.com, Balivizem uygulaması (web ve mobil), mağaza, e-posta, WhatsApp ve ofiste toplanan tüm kişisel verileri kapsar.

UU PDP – Endonezya Kişisel Verilerin Korunması Kanunu No. 27/2022 — Her zaman; şirketin asıl bağlı olduğu kanun

KVKK – 6698 sayılı Kişisel Verilerin Korunması Kanunu — Türkiye'de bulunan kişilerin verileri işlendiğinde

GDPR – AB Genel Veri Koruma Tüzüğü 2016/679 — AB'de bulunan kişilere hizmet sunulduğunda

Mevzuatlar arasında fark olduğunda, veri sahibine daha fazla koruma sağlayan hüküm uygulanır.

3. İşlenen Kişisel Veriler

Kimlik — Ad-soyad, doğum tarihi ve yeri, uyruk, cinsiyet, medeni hal — Müşteri, bayi, B2B

Pasaport ve seyahat — Pasaport bilgisi ve kopyası, vesikalık fotoğraf, giriş-çıkış damgaları, uçuş bileti — Müşteri

Vize ve ikamet — Vize/KITAS/KITAP türü, başvuru ve onay numaraları, geçerlilik tarihleri, Endonezya adresi — Müşteri, resmi kurumlar

İletişim — Telefon, e-posta, WhatsApp, adres — Tüm kullanıcılar

Mesleki ve kurumsal — Şirket bilgileri, pay oranları, görev, diploma, CV, iş teklifi — Müşteri, B2B

Sponsor ve aile — Eş ve çocuk bilgileri, evlilik ve doğum belgeleri, sponsor bilgileri — Müşteri

Finansal — Fatura bilgisi, ödeme kaydı, banka hesap özeti (bakiye ispatı), vergi numarası — Müşteri, bayi, B2B

İşlem ve müşteri ilişkisi — Başvuru durumu, eksik evrak notları, teklifler, yazışmalar, şikayetler — Sistem, danışman

Dijital — Hesap bilgileri, IP, cihaz ve tarayıcı bilgisi, oturum ve onay logları, çerezler — Sistem

Pazarlama — Kampanya tercihleri, reklam etkileşimleri (Meta vb.) — Kullanıcı izniyle

Özel nitelikli / spesifik veriler yalnızca başvurulan hizmet bunu gerektirdiğinde ve açık rıza ya da kanuni zorunluluk varsa işlenir:

• • Adli sicil kaydı (SKCK veya menşe ülke sabıka kaydı)
• • Sağlık sigortası ve gerektiğinde sağlık raporu

• Biyometrik fotoğraf (parmak izi gibi biyometrik veri alımı Balivizem tarafından değil, doğrudan imigrasyon tarafından yapılır)

• 18 yaş altı çocukların verileri (yalnızca veli veya vasi tarafından verilir)

• Kişisel finansal veriler (banka özeti, gelir belgesi)

Kullanıcı, başkasına (eş, çocuk, sponsor, çalışan) ait veri yüklediğinde o kişiyi bilgilendirdiğini ve gerekli izni aldığını kabul eder.

4. İşleme Amaçları ve Hukuki Sebepler

Balivizem kişisel verileri yalnızca aşağıdaki amaçlarla ve her amaç için belirtilen hukuki sebebe dayanarak işler. (Amaç — UU PDP m.20 — KVKK m.5–6 — GDPR m.6–9)

Vize, KITAS, şirket kurulumu başvurusunun hazırlanması ve resmi kurumlara sunulması — Sözleşmenin ifası — Sözleşmenin kurulması ve ifası (m.5/2-c) — m.6/1-b

Adli sicil, sağlık, çocuk verisi gibi özel verilerin işlenmesi — Açık rıza / kanuni yükümlülük — Açık rıza veya hakkın tesisi (m.6/3) — m.9/2-a ve m.10

Hesap açma, kimlik doğrulama, panel erişimi — Sözleşmenin ifası — m.5/2-c — m.6/1-b

Faturalandırma, ödeme, muhasebe, vergi kayıtları — Kanuni yükümlülük — Kanuni yükümlülük (m.5/2-ç) — m.6/1-c

Bayi, B2B ve partner mutabakatı, komisyon ve hakediş hesabı — Sözleşmenin ifası — m.5/2-c — m.6/1-b

Başvuru durumu, eksik evrak, vize bitiş hatırlatmaları — Sözleşmenin ifası — m.5/2-c — m.6/1-b

Onay ve işlem loglarının tutulması, uyuşmazlıkta delil — Meşru menfaat — Hakkın tesisi ve korunması (m.5/2-e), meşru menfaat (m.5/2-f) — m.6/1-f

Dolandırıcılık ve sahte belge önleme, sistem güvenliği — Meşru menfaat — m.5/2-f — m.6/1-f

Resmi kurum talepleri ve yasal bildirimler — Kanuni yükümlülük — m.5/2-ç — m.6/1-c

Teklif, kampanya, bülten, yeniden hedefleme reklamları — Açık rıza — Açık rıza (m.5/1) — m.6/1-a

Hizmet kalitesi ve memnuniyet analizi — Meşru menfaat — m.5/2-f — m.6/1-f

Pazarlama izni hiçbir hizmetin ön koşulu değildir; reddedilmesi hizmet alımını etkilemez.

5. Verilerin Aktarılması

Balivizem kişisel verileri satmaz ve kiralamaz; yalnızca hizmetin yapılması için gereken kadarını aşağıdaki alıcılarla paylaşır. (Alıcı — Neden — Statü)

Direktorat Jenderal Imigrasi, Kemenkumham/AHU, OSS-BKPM, vergi idaresi ve diğer resmi kurumlar — Başvurunun sunulması, kanuni bildirim — Bağımsız kamu kurumu

Partner avukat, noter, sponsor şirket — Resmi işlemin yürütülmesi — Veri işleyen veya bağımsız veri sorumlusu (meslek sırrı ile)

Bayi ve B2B hesap — Kendi getirdiği müşterinin başvuru durumunu takip — Veri işleyen

Danışmanlar — Başvurunun yönetimi — Balivizem adına yetkili kişi

Bulut, uygulama ve e-posta altyapısı (Bubble.io, AWS, Google Workspace vb.) — Barındırma, bildirim gönderme — Veri işleyen

Ödeme kuruluşları ve bankalar — Tahsilat ve iade — Bağımsız veri sorumlusu

Mali müşavir ve hukuk danışmanları — Muhasebe, denetim, uyuşmazlık — Meslek sırrı ile bağlı

Reklam platformları (Meta vb.) — Yalnızca pazarlama izni varsa — Veri işleyen veya ortak sorumlu

Yurt dışına aktarım. Veriler Endonezya'da işlenir ve hizmet sağlayıcılarının sunucuları ABD, AB veya Singapur'da bulunabilir.

• KVKK m.9: Türkiye'den Endonezya'ya ve diğer ülkelere aktarım, Kurul'un ilan ettiği standart sözleşmeler veya ihtiyari aktarım koşulları (başvuru için zorunlu olması gibi) üzerinden yapılır. Standart sözleşme imzalandığında 5 iş günü içinde Kurul'a bildirilir.

• GDPR: AB'den doğrudan toplanan veriler için Standart Sözleşme Maddeleri (SCC) veya m.49 istisnaları kullanılır.

• UU PDP m.56: Endonezya dışına aktarımda alıcı ülkenin eşdeğer koruma seviyesi, yoksa yeterli güvenceler, yoksa veri sahibinin onayı aranır.

6. Saklama ve İmha Süreleri

Veriler, işlenme amacı sona erene ve kanuni saklama süresi dolana kadar saklanır; sonra silinir, yok edilir veya anonim hale getirilir. (Veri — Süre — Dayanak)

Fatura, ödeme, muhasebe kayıtları — 10 yıl — Endonezya vergi usul kanunu (UU KUP), Türk Ticaret Kanunu

Hizmet sözleşmesi, onay ve işlem logları — Sözleşme sonundan itibaren 10 yıl — Zamanaşımı, delil ihtiyacı

Pasaport, vize, sponsor ve aile belgeleri — Vize/KITAS geçerliliği + 2 yıl — Yenileme ve olası resmi sorgu

Adli sicil ve sağlık belgeleri — Başvuru sonuçlandıktan sonra 1 yıl — Veri minimizasyonu

Reddedilen veya yarım kalan başvurular — Son işlemden itibaren 2 yıl — Uyuşmazlık ihtimali

• Pazarlama izinleri ve listeler — İzin geri alınana kadar — Açık rıza
• Sistem ve güvenlik logları — 2 yıl — Güvenlik, meşru menfaat
• Pasif hesaplar — Son girişten itibaren 3 yıl — Hesabın kapatılması

Balivizem, imha işlemlerini 6 ayda bir periyodik olarak yapar ve kayıt altına alır. Bir uyuşmazlık veya resmi soruşturma sürerken ilgili veriler sonuçlanana kadar saklanır.

7. Veri Sahibinin Hakları ve Başvuru Usulü

Her veri sahibi aşağıdaki hakları ücretsiz olarak kullanabilir:

1. Kişisel verisinin işlenip işlenmediğini öğrenme ve bilgi talep etme

2. İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme

3. Verilerin aktarıldığı üçüncü kişileri bilme

4. Eksik veya yanlış verilerin düzeltilmesini isteme

5. Kanuni saklama yükümlülüğü yoksa silinmesini veya yok edilmesini isteme

6. Düzeltme ve silme işlemlerinin aktarılan taraflara bildirilmesini isteme

7. Yalnızca otomatik sistemlerle yapılan analiz sonucu aleyhine bir sonuca itiraz etme

8. Kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme

9. Açık rızayı her zaman geri alma (geri alma, önceki işlemlerin hukuka uygunluğunu etkilemez)

10. Verilerin yaygın bir formatta alınması ve taşınması (UU PDP m.13, GDPR m.20)

11. İşlemenin kısıtlanmasını ve meşru menfaate dayalı işlemeye itiraz etme (UU PDP m.11, GDPR m.18–21)

Başvuru: Talep, kimlik doğrulamasına imkan verecek şekilde [email protected] adresine, uygulamadaki "Profil > Gizlilik" bölümünden veya şirket adresine yazılı olarak gönderilir. Balivizem en geç 30 gün içinde, UU PDP kapsamındaki düzeltme ve erişim taleplerinde ise kanunun öngördüğü daha kısa sürelerde (3 × 24 saat) yanıt verir.

Sınırlar: Kanuni saklama yükümlülüğü bulunan veriler, devam eden bir başvuruda resmi kuruma sunulmuş belgeler ve uyuşmazlıkta delil olarak gereken kayıtlar süre dolmadan silinmez. Devam eden başvuruda silme talebi, başvurunun yarıda kalması sonucunu doğurabilir; bu durumda Üyelik Sözleşmesi ve Hizmet Sözleşmesi hükümleri uygulanır.

Şikayet: Veri sahibi Endonezya'da Kişisel Veri Koruma Kurumu'na, Türkiye'de Kişisel Verileri Koruma Kurulu'na (önce Balivizem'e başvurmak şartıyla), AB'de bulunduğu ülkenin denetim makamına başvurabilir.

8. Veri Güvenliği ve İhlal Bildirimi

Balivizem, verileri yetkisiz erişime, kayba ve değiştirilmeye karşı makul teknik ve idari tedbirlerle korur.

• Rol bazlı erişim: Her panel kullanıcısı yalnızca kendi işiyle ilgili veriyi görür; bayi ve B2B yalnızca kendi müşterilerini, partner yalnızca kendisine atanan başvuruları görür.

• Şifreleme: Veri iletişiminde TLS/HTTPS; belgeler şifreli depolamada tutulur.

• Hesap güvenliği: Güçlü parola ve panel hesaplarında güvenlik önlemleri.

• Loglama: Belge görüntüleme, indirme, dışa aktarma ve yetki değişiklikleri kayıt altına alınır.

• Gizlilik taahhüdü: Çalışan, danışman ve partnerler gizlilik sözleşmesi imzalar.

• Veri minimizasyonu: Yalnızca başvuru türünün gerektirdiği belgeler istenir.

İhlal bildirimi: Bir veri ihlali tespit edildiğinde Balivizem

Etkilenen veri sahipleri ve Endonezya veri koruma kurumuna 3 × 24 saat içinde (UU PDP m.46)

Kişisel Verileri Koruma Kurulu'na 72 saat içinde, etkilenen kişilere en kısa sürede (KVKK m.12/5 ve Kurul kararı)

AB denetim makamına 72 saat içinde (GDPR m.33–34)

bildirim yapar.

İnternetin doğası gereği hiçbir sistem tam güvenli değildir. Balivizem, gerekli tedbirleri almış olmasına rağmen kendi kusuru olmadan gerçekleşen siber saldırılar ile kullanıcının parolasını, cihazını veya e-postasını koruyamamasından doğan zararlardan sorumlu değildir; kanunen sınırlandırılamayan sorumluluklar saklıdır.

9. Değişiklikler, Uyuşmazlık ve Yürürlük

9.1 Değişiklikler. Balivizem bu metni mevzuat veya hizmet değişikliklerine göre güncelleyebilir. Esaslı değişiklikler yürürlükten en az 15 gün önce e-posta ve uygulama bildirimiyle duyurulur; açık rıza gerektiren değişiklikler için yeniden onay alınır. Her sürüm numaralandırılır ve arşivlenir.

9.2 Uygulanacak hukuk. Bu metin Endonezya Cumhuriyeti hukukuna tabidir. Tüketicilerin kendi ülkelerindeki emredici koruma hükümleri (KVKK, GDPR, tüketici mevzuatı) saklıdır.

9.3 Uyuşmazlık çözümü. Taraflar önce 30 gün içinde dostane çözüm arar. Çözülemezse Denpasar Asliye Mahkemesi (Pengadilan Negeri Denpasar) yetkilidir. Tüketiciler kendi ülkelerindeki makamlara başvurma hakkını korur.

9.4 Dil. Metin Türkçe, İngilizce ve Endonezce hazırlanır. Endonezya'da resmi bir uyuşmazlıkta Endonezce metin esas alınır (UU No. 24/2009 m.31).

9.5 Kısmi geçersizlik. Bir hükmün geçersiz sayılması diğer hükümleri etkilemez; geçersiz hüküm amacına en yakın geçerli hükümle değiştirilmiş sayılır.

9.6 Yürürlük. Sürüm 1.0. Kullanıcının elektronik onayıyla yürürlüğe girer.