CloudCell PDKS Gizlilik Politikası ve Aydınlatma Metni

İşbu Gizlilik Politikası ve Aydınlatma Metni; Google Play’de “CloudCell PDKS” adıyla yayımlanan Android uygulamasını (paket adı: tr.com.cloudcell.pdks) ve uygulamanın bağlandığı CloudCell personel devam kontrol sistemi (“PDKS” veya “Hizmet”) hizmetini kapsar. Metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK” veya “Kanun”) 10 uncu maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ kapsamında ve Google Play kullanıcı verileri politikası doğrultusunda hazırlanmıştır.

Uygulama, çalışanların iş yerindeki mesai başlangıç ve bitiş kayıtlarını oluşturmak, bu kayıtların ilgili çalışan tarafından, onaylı bir cihazdan ve iş yerinde yapıldığını doğrulamak, geçmiş kayıtları ve geç kalmaları göstermek ve mazeret bildirimi almak için kullanılır.

Uygulama yalnızca işvereni tarafından hesabı tanımlanmış çalışanlar içindir. Uygulama içinden hesap açılamaz; hesaplar işveren tarafından açılır ve kapatılır.

CloudCell çalışanları bakımından

Kişisel verileriniz bakımından veri sorumlusu:

PDKS hizmetini kullanan diğer şirketlerin çalışanları bakımından

CloudCell, PDKS hizmetini başka şirketlere de sunar. Bu durumda çalışanın bağlı olduğu işveren şirket veri sorumlusudur. CloudCell Telekomünikasyon A.Ş. (“CloudCell” veya “Şirket”), işveren adına ve işverenin talimatları doğrultusunda hizmet sağlayıcı olarak veri işleyen sıfatıyla hareket eder. İşvereniniz, kişisel verilerinizin işlenmesine ilişkin olarak sizi ayrıca bilgilendirmekle yükümlüdür.

Uygulama yalnızca aşağıdaki izinleri ve cihaz özelliklerini, belirtilen amaçla kullanır:

İnternet

PDKS sunucusuyla şifreli (HTTPS) bağlantı kurmak için. Uygulama şifresiz bağlantı kurmaz.

Kamera

Yalnızca iş yerindeki ekranda gösterilen QR kodu okutmak için. Kamera görüntüsü cihaz üzerinde işlenir; fotoğraf veya video kaydedilmez, saklanmaz ve sunucuya gönderilmez. Sunucuya yalnızca okunan QR kodunun metin içeriği iletilir.

Bildirimler

Mazeret taleplerine verilen kararları ve yönetici notlarını size bildirmek için. Uygulama, yeni bildirim olup olmadığını arka planda yaklaşık 15 dakikada bir sunucuya sorar.

Bluetooth

İş yerindeki istasyona yakın olduğunuzu doğrulamak için. Telefonunuz, sunucunun ürettiği kısa ömürlü ve rastgele bir kodu Bluetooth ile yayınlar; iş yerindeki istasyon bu kodu algılar. Telefonunuz çevredeki cihazları taramaz ve Bluetooth üzerinden başka bir bilgi paylaşmaz.

Kullanılmayanlar

• Konum (GPS) izni istenmez; konum verisi toplanmaz. İş yerinde bulunduğunuz yalnızca QR kodu, iş yeri ağı ve Bluetooth yakınlığı ile doğrulanır.
• Rehber, fotoğraf galerisi, dosyalar, mikrofon, SMS ve arama kayıtlarına erişilmez.
• Biyometrik veri (parmak izi, yüz vb.) toplanmaz.
• Reklam kimliği kullanılmaz; uygulamada reklam, analitik veya izleme amaçlı üçüncü taraf yazılım bulunmaz.

Hizmetin kullanımına bağlı olarak aşağıdaki kişisel verilerinizin tamamı veya bir kısmı işlenebilmektedir.

Kimlik ve Çalışan Bilgileri

Ad, soyad, personel numarası, bağlı olunan şirket, iş yeri (ofis/lokasyon), departman, yönetici, işe giriş tarihi, kullanıcı rolü ve yetkileri.

İletişim Bilgileri

Oturum açma kimliği olarak kullanılan kurumsal e-posta adresi.

Hesap Güvenliği Bilgileri

Şifreniz sunucuda açık hâliyle tutulmaz; yalnızca Argon2id algoritmasıyla geri döndürülemez şekilde özetlenmiş hâli saklanır. Bunun yanında oturum kayıtları (oturum anahtarı kimlikleri, geçerlilik ve iptal zamanları), başarısız giriş denemesi sayısı, geçici hesap kilidi ve şifre değiştirme gerekliliği bilgisi işlenir.

Cihaz Bilgileri

Telefon modeli (cihaz adı olarak), işletim sistemi türü, Android’in bu uygulamaya ve cihaza özel ürettiği tanımlayıcı (Android kimliği; cihaz fabrika ayarlarına döndürüldüğünde değişir), cihazda üretilen imza anahtarının açık anahtarı, cihaz onay durumu, onay ve iptal tarihleri, cihazı onaylayan yetkili ve cihazın sunucuya son bağlandığı zaman. İmza anahtarının gizli kısmı telefonun güvenli anahtar deposunda (Android Keystore) üretilir ve cihazdan hiçbir zaman çıkmaz.

Giriş-Çıkış Kayıtları

İşlem türü (mesai başlangıcı veya bitişi), tarih ve saat, sonuç (kabul veya ret) ve ret nedeni, okutulan QR kodunun içeriği (iş yeri ekranına ait kod ve geçerlilik bilgisi), istasyon ve iş yeri bilgisi, bağlantının geldiği IP adresi ve iş yeri ağı kontrolünün sonucu, Bluetooth yakınlık doğrulamasının sonucu, cihaz imzası doğrulamasının sonucu, uygulanan kural sürümü ve aynı işlemin tekrar kaydedilmesini önleyen işlem kimliği.

Çalışma Süresi ve Puantaj Bilgileri

Size atanan çalışma takvimi, planlanan başlangıç ve bitiş saatleri, günün ilk giriş ve son çıkış saatleri, geç kalma süresi, çalışılan süre, günlük devam durumu ve resmi tatiller. Yetkili kişilerin kayıtlar üzerinde yaptığı düzeltmeler; düzeltmeyi yapan kişi, gerekçe ile eski ve yeni değerle birlikte ayrıca kaydedilir. Asıl giriş-çıkış kaydı değiştirilmez veya silinmez.

Mazeret ve Onay Bilgileri

Geç kalma veya gün mazereti olarak yazdığınız metin, talebin durumu, talebi karara bağlayan yöneticinin kararı ve notu ile ilgili tarihler.

Bildirim Bilgileri

Size gönderilen bildirimlerin içeriği ve okunma zamanı.

İşlem Güvenliği Bilgileri

Sunucu erişim kayıtları (IP adresi, tarih ve saat, erişilen adres, yanıt kodu, uygulama veya tarayıcı bilgisi) ile yönetim işlemlerine ait denetim kayıtları (yapılan işlem, işlemi yapan kullanıcı, IP adresi ve zamanı).

Özel Nitelikli Kişisel Veriler

Hizmet kapsamında özel nitelikli kişisel veri (sağlık, biyometrik veri vb.) talep edilmez. Mazeret metinlerine sağlık bilgisi gibi özel nitelikli veri yazmamanızı öneririz; böyle bir belge gerekiyorsa işvereninizin belirlediği kanal üzerinden iletiniz.

Kişisel verileriniz;

• Hesabınızı açan işvereniniz ve yetkili kullanıcıları (insan kaynakları, yönetici veya sistem yöneticisi) tarafından PDKS yönetim paneline girilen bilgiler,
• Uygulamaya girdiğiniz bilgiler ve uygulamanın işlem sırasında otomatik olarak ilettiği teknik bilgiler,
• İş yerindeki QR ekranı ve Bluetooth istasyonu,
• PDKS sunucuları, erişim ve işlem güvenliği kayıtları

aracılığıyla tamamen veya kısmen otomatik yollarla toplanmaktadır.

Kişisel verileriniz, bağlantılı, sınırlı ve ölçülü olmak kaydıyla aşağıdaki amaçlarla işlenmektedir:

• Mesai başlangıç ve bitiş kayıtlarının oluşturulması,
• Kaydın ilgili çalışan tarafından, onaylı cihazdan ve iş yerinde yapıldığının doğrulanması; başkası adına veya iş yeri dışından yapılan sahte kayıtların önlenmesi,
• Çalışma süresi, geç kalma ve devamsızlığın hesaplanması ile puantaj kayıtlarının tutulması,
• Mazeret, onay ve bildirim süreçlerinin yürütülmesi,
• Kullanıcı hesaplarının ve cihaz onaylarının yönetilmesi,
• Bilgi güvenliğinin sağlanması, yetkisiz erişim ve kötüye kullanımın tespit edilmesi ve önlenmesi, denetim izinin tutulması,
• 4857 sayılı İş Kanunu ve ilgili mevzuattan doğan çalışma süresi kayıt yükümlülüklerinin yerine getirilmesi,
• Hukuki uyuşmazlıkların önlenmesi ve yönetilmesi, bir hakkın tesisi, kullanılması veya korunması,
• Teknik destek, arıza ve talep süreçlerinin yürütülmesi.

Kişisel verileriniz reklam, pazarlama veya profilleme amacıyla kullanılmaz ve satılmaz.

Kişisel verileriniz, gerçekleştirilen işleme göre KVKK’nın 5 inci maddesinde düzenlenen aşağıdaki hukuki sebeplerden bir veya birkaçına dayanılarak işlenmektedir:

Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması

İş sözleşmesi kapsamında mesai kayıtlarının tutulması, çalışma süresinin hesaplanması ve mazeret süreçlerinin yürütülmesi bakımından.

Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması

İş mevzuatı kapsamında çalışma sürelerine ilişkin kayıtların tutulması ve yetkili kurumlara bilgi verilmesi bakımından.

Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması

Giriş-çıkış, puantaj ve onay kayıtlarının olası uyuşmazlıklarda delil olarak saklanması bakımından.

İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması

Cihaz, QR, iş yeri ağı ve Bluetooth doğrulamalarıyla sahte kayıtların önlenmesi, bilgi sistemlerinin güvenliğinin sağlanması ve işlem kayıtlarının tutulması bakımından.

Bir kişisel veri işleme faaliyetinin açık rıza şartına dayanmasının gerektiği durumlarda, açık rıza işbu metinden ayrı olarak ve özgür iradenize dayalı şekilde alınır.

Bir giriş-çıkış kaydının kabul veya reddedilmesi, işvereninizin belirlediği kurallara göre cihaz, QR kodu, iş yeri ağı ve Bluetooth doğrulamalarının sonucuna bakılarak otomatik olarak belirlenir. Geç kalma süresi de çalışma takviminize göre otomatik hesaplanır.

Reddedilen bir kayıt veya hesaplanan bir geç kalma için uygulama üzerinden mazeret bildirebilir ya da yöneticinize başvurabilirsiniz. Kayıtlar üzerindeki düzeltmeler yetkili kişiler tarafından yapılır. KVKK’nın 11 inci maddesi uyarınca, münhasıran otomatik sistemlerle yapılan analiz sonucunda aleyhinize bir sonuç çıkmasına itiraz etme hakkınız saklıdır.

Kişisel verileriniz, KVKK’nın 8 inci maddesinde belirtilen şartlara uygun olarak, yalnızca gerekli olduğu ölçüde ve belirtilen amaçlarla aşağıdaki alıcı gruplarıyla paylaşılabilmektedir.

İşvereniniz ve Yetkili Kullanıcıları

Hesabınızın bağlı olduğu şirketin insan kaynakları, yönetici ve sistem yöneticisi rolündeki yetkili kullanıcıları; yalnızca rollerinin izin verdiği ölçüde giriş-çıkış, puantaj, mazeret ve cihaz bilgilerinizi görüntüleyebilir. Başka bir şirketin kullanıcıları verilerinizi göremez.

Hizmet Sağlayıcı

PDKS hizmetini başka bir şirket üzerinden kullanıyorsanız, hizmetin sunulması, barındırılması ve teknik desteği amacıyla CloudCell.

Yetkili Kamu Kurum ve Kuruluşları

Mahkemeler, savcılıklar, Sosyal Güvenlik Kurumu, çalışma ve iş denetimi birimleri ile kanunen bilgi talep etmeye yetkili diğer kamu kurum ve kuruluşlarına; yasal yükümlülüklerin yerine getirilmesi ve resmi taleplerin karşılanması amacıyla.

Hukuk ve Denetim Hizmeti Sağlayıcıları

Hukuki süreçlerin yürütülmesi ve denetim yükümlülüklerinin yerine getirilmesi amacıyla, gerekli olduğu ölçüde.

Her bir alıcı grubuna yalnızca ilgili işlem için gerekli olan kişisel veriler aktarılır. Kişisel verileriniz reklam amacıyla üçüncü kişilerle paylaşılmaz ve satılmaz.

PDKS sunucuları ve veritabanı, CloudCell’in Türkiye’deki veri merkezinde bulunur. Yukarıda sayılan kişisel veriler Türkiye’de işlenir ve saklanır.

Google ML Kit (QR kodu okuma)

Uygulama, QR kodunu okumak için Google LLC’nin ML Kit barkod tarama kütüphanesini kullanır. Kamera görüntüsü bu kütüphane tarafından cihaz üzerinde işlenir; kamera görüntüsü ve QR kodunun içeriği Google’a gönderilmez. Google’ın açıkladığı üzere ML Kit, kütüphanenin çalışması ve iyileştirilmesi amacıyla aşağıdaki teknik bilgileri şifreli bağlantı (HTTPS) üzerinden Google’a iletir:

• Cihaz bilgileri (üretici, model, işletim sistemi sürümü, kullanılabilir donanım hızlandırıcıları),
• Uygulama bilgileri (paket adı ve sürümü),
• Kullanıcıyı veya fiziksel cihazı tanımlamaya yönelik olmayan, kuruluma özel tanımlayıcı,
• Performans ölçümleri (ör. işlem süresi), kütüphane yapılandırması, olay türü ve hata kodları.

Bu bilgiler adınız, e-posta adresiniz veya giriş-çıkış kayıtlarınızla ilişkilendirilmez. Google, bu verileri üçüncü taraflara aktarmadığını belirtmektedir. Google’ın sunucuları yurt dışında bulunabileceğinden bu aktarım, KVKK’nın 9 uncu maddesindeki şartlara uygun olarak gerçekleştirilir. Ayrıntılı bilgi için Google’ın ML Kit veri açıklamasına ve Gizlilik Politikası’na bakabilirsiniz.

Google Play

Uygulama Google Play üzerinden dağıtılır. Uygulamanın indirilmesi ve güncellenmesi sırasında Google Play’in işlediği veriler Google’ın kendi gizlilik politikasına tabidir.

Bunların dışında kişisel verileriniz yurt dışına aktarılmaz.

Kişisel verileriniz, işlendikleri amaç için gerekli olan süre boyunca ve ilgili mevzuatta öngörülen sürelere uygun olarak saklanır:

• Hesap, cihaz, giriş-çıkış, puantaj, mazeret, bildirim ve denetim kayıtları: iş ilişkisinin veya kullanıcı hesabının sona ermesinden (hangisi daha geç ise) itibaren 10 yıl.
• Sunucu erişim kayıtları: 14 gün. Sunucunun teknik işletim kayıtları, ayrılan disk alanı dolduğunda en eskisinden başlayarak otomatik olarak silinir.
• İptal edilen cihaz kayıtları ile reddedilen giriş-çıkış denemeleri, delil niteliği nedeniyle yukarıdaki süre boyunca saklanır.

Saklama süresinin sona ermesi ve kişisel verinin işlenmesini gerektiren hukuki sebeplerin ortadan kalkması hâlinde kişisel veriler, KVKK ve ilgili mevzuat hükümlerine uygun olarak silinir, yok edilir veya anonim hâle getirilir.

Telefonunuzda Tutulan Veriler

Oturum bilgileriniz, telefonun güvenli anahtar deposundaki bir anahtarla şifrelenerek yalnızca uygulamanın erişebildiği alanda tutulur. Uygulama verileri telefonun bulut yedeklemesine dahil edilmez. Uygulamadan çıkış yaptığınızda oturum bilgileriniz silinir; uygulamayı kaldırdığınızda imza anahtarı dahil uygulamanın telefonunuzdaki tüm verileri silinir.

Uygulama içinden hesap açılamadığı gibi hesap da silinemez; hesaplar işvereniniz tarafından yönetilir. Hesabınızın ve kişisel verilerinizin silinmesini işvereninizden veya doğrudan CloudCell’den talep edebilirsiniz.

CloudCell’e iletilecek taleplerde, PDKS hesabınıza kayıtlı e-posta adresinizden [email protected] adresine “PDKS veri silme talebi” konulu bir e-posta göndermeniz ve bağlı olduğunuz şirketin adını belirtmeniz yeterlidir.

Talebiniz üzerine:

• Hesabınızın erişimi kapatılır ve kayıtlı cihazınızın onayı iptal edilir,
• Saklanması için yasal bir yükümlülük veya hukuki sebep bulunmayan kişisel verileriniz silinir,
• Giriş-çıkış, puantaj ve onay kayıtları, iş mevzuatı ve olası uyuşmazlıklar nedeniyle 10 uncu bölümde belirtilen süre sonuna kadar erişime kapalı olarak saklanır ve bu sürenin sonunda silinir veya anonim hâle getirilir.

Talebiniz en geç otuz gün içinde sonuçlandırılır ve sonucu size bildirilir. Hizmeti başka bir şirket üzerinden kullanıyorsanız talebiniz veri sorumlusu olan işvereninize iletilir ve işvereninizin talimatıyla yerine getirilir.

Kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun teknik ve idari tedbirler alınmaktadır. Başlıca tedbirler şunlardır:

• Uygulama ile sunucu arasındaki tüm iletişim şifrelidir (HTTPS/TLS); uygulama şifresiz bağlantıya izin vermez.
• Şifreler yalnızca Argon2id ile geri döndürülemez şekilde özetlenerek saklanır; art arda başarısız denemelerde hesap geçici olarak kilitlenir.
• Her giriş-çıkış işlemi, telefonun güvenli anahtar deposundaki ve cihazdan çıkmayan anahtarla imzalanır; yalnızca yetkili tarafından onaylanmış cihazlar kabul edilir.
• İş yerindeki QR kodları sunucu tarafından imzalanır, kısa sürede yenilenir ve bir kez kullanıldıktan sonra geçersiz olur.
• Oturum anahtarları kısa ömürlüdür ve düzenli olarak yenilenir.
• Uygulama kayıtlarına (log) şifre, oturum anahtarı veya QR kodu içeriği yazılmaz.
• Yönetim paneline erişim rol bazlı yetkilendirmeyle sınırlandırılmıştır; yönetim işlemleri silinemeyen denetim kayıtlarıyla izlenir.
• Sunucular, CloudCell’in fiziksel ve ağ erişimi kısıtlı veri merkezinde barındırılır.

Uygulama çocuklara yönelik değildir. Uygulamayı yalnızca işvereni tarafından hesabı tanımlanmış çalışanlar kullanabilir; çocuklardan bilerek kişisel veri toplanmaz.

KVKK’nın 11 inci maddesi uyarınca, kişisel verilerinizle ilgili olarak;

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Kişisel verilerinizin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• KVKK’nın 7 nci maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
• Düzeltme, silme veya yok etme işlemlerinin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen kişisel verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerinizin Kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz.

KVKK kapsamındaki haklarınıza ilişkin taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ hükümlerine uygun şekilde veri sorumlusuna iletebilirsiniz. CloudCell çalışanları için veri sorumlusu CloudCell’dir; hizmeti başka bir şirket üzerinden kullanıyorsanız başvurunuzu işvereninize yapabilir veya CloudCell’e iletebilirsiniz. CloudCell’e ulaşan bu tür başvurular gecikmeksizin ilgili işverene iletilir.

Başvurular;

• Yazılı olarak Şirketimizin yukarıdaki adresine,
• Noter aracılığıyla,
• Güvenli elektronik imza veya mobil imza ile,
• Varsa Şirketimizin Kayıtlı Elektronik Posta (KEP) adresi üzerinden,
• Daha önce Şirketimize bildirilen ve Şirketimiz sistemlerinde kayıtlı bulunan elektronik posta adresi kullanılarak [email protected] adresine,
• Mevzuatın izin verdiği diğer yöntemlerle

iletilebilir.

Başvuruda, kimliğinizin belirlenmesine imkân sağlayan bilgiler ile talebinizin açık ve anlaşılır şekilde belirtilmesi gerekmektedir. Başvurular, talebin niteliğine göre mümkün olan en kısa sürede ve her hâlükârda en geç otuz gün içinde sonuçlandırılır.

İşbu Gizlilik Politikası ve Aydınlatma Metni; mevzuattaki değişiklikler ile uygulamada veya Hizmette meydana gelebilecek değişiklikler doğrultusunda güncellenebilir. Kişisel veri işleme biçimini esaslı olarak değiştiren güncellemeler ayrıca uygulama veya işvereniniz aracılığıyla duyurulur.

Güncel metin, CloudCell internet sitesinde;

https://cloudcell.com.tr/kvkk/pdks-gizlilik-politikasi.html

adresinde yayımlanır.

Son Güncelleme Tarihi: 28.09.2026