Kişisel Verilerin Korunması ve İşlenmesi Politikası

1. Amaç ve Kapsam

1.1.6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK" veya "Kanun"), kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumayı ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerini düzenlemeyi amaçlamaktadır.

1.2.İşbu Politika, FarmLabs Tarım Teknolojileri ve ARGE A.Ş.'nin ("FarmLabs") www.farmlabs.io internet sitesi, AGRO4 web ve mobil uygulamaları, AGRO4-API ve FarmLabs donanımları ("Platform") aracılığıyla yürüttüğü kişisel veri işleme faaliyetlerine ilişkin ilke, usul ve esasları açıklar.

1.3.Politika; Platform kullanıcıları, müşteriler, potansiyel müşteriler, ziyaretçiler ve bunların yetkilileri ile FarmLabs'ın hizmet verdiği kurumların çalışanlarına ilişkin kişisel verileri kapsar. Çalışan ve çalışan adaylarının kişisel verileri ayrı bir politika ile düzenlenir.

1.4.Politika'nın birinci kısmında uyduğumuz ilkeler, hukuki sebepler, güvenlik tedbirleri ve ilgili kişi hakları; ikinci kısmında ise veri işleme süreçlerimiz yer almaktadır. Belirli bir hizmete ilişkin ayrıntılı bilgilendirme, Müşteri Kişisel Verileri Aydınlatma Metni'nde yapılmaktadır.

2. Veri Sorumlusu

3. Kişisel Veri İşleme İlkeleri

FarmLabs, Kanun'un 4. maddesi uyarınca kişisel verileri aşağıdaki ilkelere uygun olarak işler:

• Hukuka ve dürüstlük kurallarına uygunluk: Veri işleme faaliyetleri ilgili mevzuata ve iyi niyet kurallarına uygun şekilde yürütülür.
• Doğru ve gerektiğinde güncel olma: Verilerin doğruluğu ve güncelliği için gerekli tedbirler alınır; ilgili kişilere verilerini güncelleme imkânı sağlanır.
• Belirli, açık ve meşru amaçlar için işleme: İşleme amaçları, faaliyete başlanmadan önce aydınlatma metinleriyle açıkça bildirilir.
• Amaçla bağlantılı, sınırlı ve ölçülü olma: Amacın gerçekleştirilmesi için gerekli olmayan veriler işlenmez; veri minimizasyonu esas alınır.
• Gerekli süre kadar muhafaza etme: Veriler, mevzuatta öngörülen veya işleme amacının gerektirdiği süre kadar saklanır.

4. Kişisel Veri İşlemenin Hukuki Sebepleri

4.1.FarmLabs, kişisel verileri Kanun'un 5. maddesinde sayılan aşağıdaki hukuki sebeplerden en az birine dayanarak işler:

• Kanunlarda açıkça öngörülmesi,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için zorunlu olması,
• Yukarıdaki sebeplerin bulunmadığı hallerde ilgili kişinin açık rızası.

4.2.Meşru menfaate dayalı işlemelerde FarmLabs, Kurul'un 25.03.2019 tarihli ve 2019/78 sayılı kararındaki kriterleri esas alarak, ilgili kişinin temel hak ve özgürlükleri ile FarmLabs'ın meşru menfaati arasında denge testi yapar.

4.3.Kanun'da yer alan diğer hukuki sebeplerden biri bulunduğu hallerde ilgili kişiden ayrıca açık rıza talep edilmez. Açık rıza, hizmetin sunulması şartına bağlanmaz.

4.4. Özel nitelikli kişisel veriler:FarmLabs, faaliyetleri kapsamında Kanun'un 6. maddesinde sayılan özel nitelikli kişisel verileri (sağlık, biyometrik, din, etnik köken vb.) işlemeyi amaçlamaz. Kullanıcıların serbest metin alanlarına bu tür veri girmemeleri tavsiye edilir; bu yolla iletilen özel nitelikli veriler tespit edildiğinde silinir.

5. Açık Rıza Alınırken Dikkate Alınan Unsurlar

Açık rıza, "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza"dır. FarmLabs açık rıza alırken:

• Belirli bir konuya ilişkin olma: Rızayı her bir işleme faaliyeti (konum, pazarlama iletisi, çerez kategorisi vb.) için ayrı ayrı talep eder; genel ve belirsiz rıza almaz.
• Bilgilendirmeye dayanma: Rıza metnini aydınlatma metni ile birlikte ancak ayrı bir onay olarak sunar.
• Özgür irade: Rızayı ürün veya hizmetin sunulması şartına bağlamaz; önceden işaretlenmiş onay kutusu kullanmaz.
• Geri alınabilirlik: Rızanın, verildiği kadar kolay bir yolla her zaman geri alınabilmesini sağlar.

6. Kişisel Veri Güvenliği

FarmLabs, Kanun'un 12. maddesi uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak amacıyla aşağıdaki tedbirleri alır:

6.1. Teknik Tedbirler

• Platform ile kullanıcılar arasındaki tüm iletişimin SSL/TLS ile şifrelenmesi,
• Veri tabanlarında ve yedeklerde şifreleme (encryption at rest), parolaların geri döndürülemez özet (hash) fonksiyonlarıyla saklanması,
• Rol bazlı erişim yetkilendirmesi, en az yetki prensibi ve yönetici hesaplarında çok faktörlü kimlik doğrulama,
• Erişim ve işlem kayıtlarının (log) tutulması ve düzenli izlenmesi,
• Güvenlik duvarı, saldırı tespit ve güncel yama yönetimi,
• Düzenli ve şifreli yedekleme, felaket kurtarma planı,
• Ödeme kartı verilerinin FarmLabs sistemlerinde hiçbir şekilde işlenmemesi; ödemelerin PCI-DSS uyumlu lisanslı ödeme kuruluşu (iyzico) üzerinden alınması,
• Geliştirme ve test ortamlarında gerçek kişisel veri yerine anonim veya sentetik veri kullanılması.

6.2. İdari Tedbirler

• Çalışanlarla gizlilik taahhütnameleri imzalanması ve düzenli KVKK farkındalık eğitimleri,
• Veri işleyenlerle (bulut, SMS, kargo, e-fatura sağlayıcıları vb.) veri koruma hükümlerini içeren sözleşmeler yapılması,
• Kişisel veri envanteri ile saklama ve imha politikasının hazırlanması ve güncel tutulması,
• Periyodik iç denetimler.

6.3. Veri İhlali Bildirimi

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde FarmLabs, durumu Kurul kararlarında öngörülen süre içinde (en geç 72 saat) Kişisel Verileri Koruma Kurulu'na ve makul en kısa sürede etkilenen ilgili kişilere bildirir.

7. Kişisel Verilerin Aktarılması

7.1. Yurt İçine Aktarım

Kişisel veriler, Kanun'un 8. maddesi uyarınca 5. ve 6. maddelerde belirtilen şartlardan birinin bulunması halinde yurt içindeki üçüncü kişilere aktarılabilir. Başlıca alıcı grupları: ödeme kuruluşu (iyzico), kargo ve lojistik firmaları, yetkili servis ve kurulum ekipleri, e-fatura entegratörü ve mali müşavir, SMS ve e-posta hizmet sağlayıcıları, hukuk danışmanları, yetkili kamu kurum ve kuruluşları ile — yalnızca ilgili kişinin talebi veya onayı doğrultusunda — sözleşmeli üretim firmaları, kooperatifler ve proje ortaklarıdır.

7.2. Yurt Dışına Aktarım

7.2.1.Kişisel veriler, Kanun'un 9. maddesi ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca, 5. ve 6. maddelerdeki şartlardan birinin varlığı halinde;

• Aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunması,
• Yeterlilik kararı bulunmaması halinde, ilgili kişinin haklarını kullanma ve etkili kanun yollarına başvurma imkânının da bulunması kaydıyla, Kurul tarafından ilan edilen standart sözleşme, bağlayıcı şirket kuralları veya Kurul izniyle taahhütname gibi uygun güvencelerden birinin sağlanması,
• Bunların hiçbirinin bulunmaması halinde, yalnızca arızi olmak kaydıyla Kanun'un 9/6. maddesinde sayılan istisnai hallerden birinin varlığı,

durumunda yurt dışına aktarılabilir.

7.2.2.FarmLabs, Platform'un barındırılması için Google Cloud altyapısını ve aydınlatma metninde belirtilen diğer yurt dışı hizmet sağlayıcıları kullanmaktadır. Bu aktarımlar standart sözleşme ile güvence altına alınır; standart sözleşmeler, imzalanmalarından itibaren 5 iş günüiçinde Kişisel Verileri Koruma Kurumu'na bildirilir. Alıcıların güncel listesi Müşteri Kişisel Verileri Aydınlatma Metni'nde yer almaktadır.

8. Saklama ve İmha

8.1. Kişisel veriler, ilgili mevzuatta öngörülen veya işleme amacının gerektirdiği süre kadar saklanır. Saklama süreleri Aydınlatma Metni'nde ve FarmLabs Kişisel Veri Saklama ve İmha Politikası'nda belirtilmiştir.

8.2.İşleme şartlarının tamamı ortadan kalktığında kişisel veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca re'sen veya ilgili kişinin talebi üzerine; ilk periyodik imha işleminde ve her halde en geç 6 ay içinde silinir, yok edilir veya anonim hale getirilir. İlgili kişinin silme talebi en geç 30 gün içinde sonuçlandırılır.

8.3. Tarım verileri, ilgili kişi ile ilişkilendirilemeyecek şekilde anonim hale getirildikten sonra model geliştirme ve istatistiksel analiz amacıyla saklanmaya devam edebilir; anonim veriler kişisel veri niteliği taşımaz.

9. İlgili Kişilerin Hakları ve Başvuru

9.1.Kanun'un 11. maddesi uyarınca ilgili kişiler; kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içi veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, Kanun'un 7. maddesi çerçevesinde silinmesini veya yok edilmesini isteme, düzeltme ve silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhine bir sonuç çıkmasına itiraz etme ve kanuna aykırı işleme sebebiyle zarara uğraması halinde zararın giderilmesini talep etme haklarına sahiptir.

9.2. Başvurular; kayıtlı e-posta adresinden info@farmlabs.io adresine, KEP ile farmlabs@hs01.kep.tradresine, güvenli elektronik imza veya mobil imza ile ya da ıslak imzalı dilekçe ile şirket adresine yapılabilir. Başvurular en geç 30 gün içinde ücretsiz sonuçlandırılır. Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde ilgili kişi, Kanun'un 14. maddesi uyarınca Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilir.

10. Örnek Veri İşleme Süreçleri

11. İşlenen Kişisel Veri Kategorileri

12. Kişisel Veri Toplama Yöntemleri

Kişisel veriler; Platform'daki formlar ve uygulama kullanımı, FarmLabs donanımlarının Platform'a bağlanması, çerez ve benzeri teknolojiler, müşteri hizmetleri (telefon, e-posta, WhatsApp), internet sitesindeki iletişim formları, saha kurulum ve servis ziyaretleri, sosyal medya hesaplarımız ile ilgili kişinin talebi doğrultusunda iş ortağı kurumlardan otomatik veya kısmen otomatik yollarla toplanır.

13. Kişisel Veri İşleme Amaçları

• Üyelik kaydının oluşturulması ve hesap güvenliğinin sağlanması,
• Dijital hizmetlerin (tarla izleme, analiz, rapor, uyarı, reçete) sunulması,
• Sipariş, ödeme, teslimat, kurulum, garanti ve servis süreçlerinin yürütülmesi,
• Mesafeli satış mevzuatından doğan bilgilendirme ve kayıt saklama yükümlülüklerinin yerine getirilmesi,
• Faturalandırma, finans ve muhasebe işlerinin yürütülmesi,
• Müşteri ilişkilerinin yönetimi, talep ve şikâyetlerin sonuçlandırılması,
• Ürün ve hizmetlerin geliştirilmesi, modellerin kalibrasyonu (anonimleştirilmiş veriler üzerinden),
• Bilgi güvenliğinin sağlanması, dolandırıcılık ve kötüye kullanımın önlenmesi,
• İzin verilmesi halinde pazarlama ve tanıtım faaliyetlerinin yürütülmesi,
• Yetkili kurumlara bilgi verilmesi ve hukuki süreçlerin yürütülmesi.

14. Tanımlama Teknolojileri (Çerezler)

FarmLabs, Platform'un çalışması için zorunlu çerezleri; onay vermeniz halinde ise işlevsel, analitik ve pazarlama çerezlerini kullanır. Çerez türleri, amaçları ve tercih yönetimine ilişkin ayrıntılar Gizlilik Sözleşmesi ve Çerez Politikası'nda yer almaktadır. Zorunlu çerezler dışındaki çerezler, çerez yönetim panelinde açıkça onay verilmedikçe çalıştırılmaz.

15. Terimler

16. Yürürlük ve Güncelleme

İşbu Politika 19/10/2026 tarihinde yürürlüğe girmiş olup 07.12.2022 tarihli önceki sürümün yerini alır. FarmLabs, mevzuat değişiklikleri ve faaliyetlerindeki gelişmeler doğrultusunda Politika'yı güncelleyebilir; güncel sürüm her zaman www.farmlabs.io/personal-data-protection-law adresinde yayımlanır.