Kişisel Verilerin Korunması Aydınlatma Metni

2. Tanımlar ve kavramlar

Bu metinde geçen kavramlar, KVKK m. 3'te tanımlandığı şekliyle kullanılır:

Kişisel veri: Kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

Özel nitelikli kişisel veri: KVKK m. 6'da sayılan; sağlık, biyometrik, genetik, cinsel hayat, ceza mahkûmiyeti gibi hassasiyetli verilerdir.

İlgili kişi: Kişisel verisi işlenen gerçek kişi (poliçe sahibi, sigortalı, lehtar, başvuru sahibi, web sitesi ziyaretçisi vb.).

Veri sorumlusu: Kişisel verilerin işleme amacını ve yöntemini belirleyen, veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu olan tüzel kişidir.

Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.

SBM: Sigorta Bilgi ve Gözetim Merkezi (5684 sayılı Kanun m. 31/B).

SEDDK: Sigortacılık ve Özel Emeklilik Düzenleme ve Denetleme Kurumu.

TARSİM: Tarım Sigortaları Havuzu (5363 sayılı Tarım Sigortaları Kanunu).

DASK: Doğal Afet Sigortaları Kurumu (6305 sayılı Afet Sigortaları Kanunu).

3. İşlediğimiz kişisel veriler

Aşağıdaki veri kategorileri, talep ettiğiniz ürüne ya da gerçekleştirdiğiniz işleme bağlı olarak işlenir. Bu kategorilerin tamamı her zaman birlikte işlenmez; yalnızca somut hizmet için gerekli olan veriler talep edilir.

Kimlik ve iletişim: Ad, soyadı, T.C. kimlik numarası (sigorta sözleşmesinin kuruluşu için zorunlu), yabancı uyruklular için pasaport ya da YKN, telefon, e-posta, adres, doğum tarihi.

Sigortalanan değere ilişkin veriler: Araç sigortalarında plaka, ruhsat, motor ve şasi numarası, marka-model, hasarsızlık basamağı; konut ve iş yeri sigortalarında yapı adresi, tapu bilgileri, brüt metrekare, yapı türü; tarım sigortalarında parsel ve ada bilgisi, ekim alanı; sağlık sigortalarında beyan edilen sağlık durumu (özel nitelikli), tıbbi rapor, kullanılan ilaçlar; yabancı sağlık sigortasında pasaport ve ikamet bilgisi.

Finansal veriler: Prim ödemesine ait yöntem bilgisi ve bankadan dönen işlem referansı. Kart bilgileri tarafımızca saklanmaz; ödemeler PCI-DSS uyumlu altyapılar üzerinden gerçekleşir.

Hasar süreç verileri: Hasar tarihi ve türü, eksper raporu, fatura, fotoğraf, polis tutanağı, görgü tanığı beyanı; sağlık hasarlarında epikriz, reçete ve tetkik raporu (yalnızca açık rızanızla).

İşitsel ve görsel kayıtlar: WhatsApp üzerinden gerçekleşen yazılı görüşmelerin metinleri (teklif ve talep takibi için tutulur). Telefon görüşmelerinin sesli kaydı tutulmaz.

Web sitesi ve teknik veriler: Geri çevrilemez biçimde özetlenmiş IP adresi ve tarayıcı imzası, ziyaret edilen sayfa, ziyaret süresi, yönlendiren site, dil tercihi, oturum tanımlayıcı.

4. İşleme amaçları

Kişisel verileriniz, KVKK m. 4'te düzenlenen genel ilkelere (hukuka ve dürüstlük kurallarına uygunluk, doğru ve güncel olma, belirli, açık ve meşru amaçlar için işleme, ölçülülük ve gereklilikle sınırlılık) uygun olarak aşağıdaki amaçlarla işlenir:

Sigorta poliçesinin kurulması: Birden çok sigorta şirketinden teklif alınması, en uygun teminatın belirlenmesi, poliçenin düzenlenmesi ve primin tahsil edilmesi.

Tarafsız aracılık: Yetkili acentesi olduğumuz şirketlerin tekliflerinin karşılaştırmalı olarak sunulması.

Müşteri hizmetleri: Poliçe yenileme hatırlatması, teminat değişikliği talepleri, soruların yanıtlanması.

Hasar süreç yönetimi: Sigorta şirketi nezdinde hasar dosyasının açılması, takibi ve lehtara ödeme yapılması.

Yasal yükümlülüklerin yerine getirilmesi: Sigortacılık Kanunu, vergi mevzuatı, Türk Ticaret Kanunu, KVKK ve MASAK düzenlemeleri kapsamındaki bildirim, saklama, denetim ve raporlama yükümlülükleri.

Yetkili kurumlara raporlama: SEDDK, SBM, TARSİM, DASK ve diğer kamu otoritelerinin talep ettiği bilgilerin sağlanması.

İletişim ve bilgilendirme: Yalnızca açık rızanız çerçevesinde, poliçe yenileme hatırlatması ve hizmet duyurularının iletilmesi.

Web sitesi performansının ölçümü: Anonim ziyaret istatistikleri (tekil ziyaretçi, sayfa görüntülenmesi), ağ trafiğinin izlenmesi ve kötüye kullanım girişimlerinin engellenmesi.

5. Hukuki sebep

Kişisel verileriniz, KVKK m. 5 ve m. 6 hükümlerinde sayılan aşağıdaki hukuki sebeplere dayanılarak işlenir:

Sözleşmenin kurulması veya ifası (m. 5/2-c): Sigorta poliçesinin düzenlenmesi, primin tahsil edilmesi, teminatın sağlanması ve hasarın karşılanması.

Kanunlarda açıkça öngörülmesi (m. 5/2-a): 5684 sayılı Sigortacılık Kanunu, 6102 sayılı Türk Ticaret Kanunu, 213 sayılı Vergi Usul Kanunu, 6305 sayılı Afet Sigortaları Kanunu, 5363 sayılı Tarım Sigortaları Kanunu ve 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun hükümleri.

Hukuki yükümlülüğün yerine getirilmesi (m. 5/2-ç): SEDDK düzenlemeleri, Sigorta Acenteleri Yönetmeliği, Sigortacılık Verilerinin Toplanması, Saklanması ve Paylaşılmasına Dair Yönetmelik (18.10.2022, RG 31987).

Bir hakkın tesisi, kullanılması veya korunması (m. 5/2-e): Hasar uyuşmazlıkları, sigorta tahkim, hukuki süreçler.

Veri sorumlusunun meşru menfaati (m. 5/2-f): Web sitesinin güvenliği, sahtekarlığın önlenmesi ve hizmet kalitesinin ölçümü; ilgili kişinin temel hak ve özgürlüklerine zarar vermemek koşuluyla.

Açık rıza (m. 5/1 ve m. 6/2): Sağlık verisi gibi özel nitelikli verilerin işlenmesi ve doğrudan pazarlama amaçlı iletişim açık rızanıza tabidir; rızanızı her zaman geri çekebilirsiniz.

6. Aktarım: kimlere, hangi koşulda

Yurt içi aktarım: Yetkili acentesi olduğumuz sigorta ve emeklilik şirketlerine (teklif sunumu, poliçe düzenleme ve hasar süreci için); SBM'ye (5684 sayılı Kanun m. 31/B ile Sigortacılık Verilerinin Toplanması, Saklanması ve Paylaşılması Yönetmeliği gereği zorunlu); DASK'a (zorunlu deprem sigortası kapsamında); TARSİM'e (tarım sigortaları kapsamında); SEDDK ile Hazine ve Maliye Bakanlığı'na (denetim ve raporlama); reasürans şirketlerine (sigorta şirketleri aracılığıyla); mali müşavir, denetçi ve hukuk müşavirimize (sözleşme ve sır saklama yükümlülüğü altında); bilgi işlem altyapısı sağlayıcılarına (veri işleyen sıfatıyla, sözleşme kapsamında); yetkili kamu kurumlarına (mahkeme, savcılık, kolluk, vergi dairesi gibi yasal talepler üzerine).

Yurt dışı aktarım: Kişisel verileriniz kural olarak yurt dışına aktarılmaz; sunucularımız Türkiye'de barındırılır. Yurt dışında gerçekleşen seyahat sağlık olayı gibi zorunlu durumlarda, KVKK m. 9 (1.6.2024 itibarıyla 7499 sayılı Kanun ile değişik) uyarınca açık rızanız alınır ya da Kurul tarafından ilan edilen uygun güvencelerle (yeterli korumaya sahip ülkelere aktarım, standart sözleşme veya bağlayıcı şirket kuralları) işlem yapılır.

Üçüncü taraf gömülü içerikler: İletişim sayfasında kullanılan Google Maps haritası gibi gömülü içeriklerde, ilgili sağlayıcının kendi gizlilik politikaları geçerlidir.

7. Saklama süresi

Kişisel verileriniz, işlenme amacının gerektirdiği süre boyunca ve ilgili mevzuatın öngördüğü asgari sürelere uygun olarak saklanır:

Süre sonunda veriler, KVKK m. 7 ve "Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik" uyarınca silinir, yok edilir veya anonim hale getirilir.

8. Veri güvenliği önlemleri

KVKK m. 12 uyarınca, işlenen kişisel verilerin hukuka aykırı erişimini, hatalı veya yetkisiz değiştirilmesini ve kaybolmasını önlemek amacıyla gerekli teknik ve idari tedbirleri alırız.

8.1. Teknik tedbirler

• Sunucu ve veri tabanlarına erişimin parola ve çok faktörlü kimlik doğrulamayla sınırlandırılması.
• Tüm iletişimin TLS 1.2 ve üzeri ile şifrelenmesi (Let's Encrypt sertifikası).
• Parolaların argon2id, kimlik özetlerinin SHA-256 gibi modern algoritmalarla saklanması.
• Web sitesi ziyaret kayıtlarında IP adresi ile tarayıcı imzasının günlük olarak rotasyona tabi tuzla SHA-256 ile özetlenmesi; ham IP saklanmaz.
• HTTP başlıklarında HSTS, Content-Security-Policy, X-Frame-Options ve Referrer-Policy gibi güvenlik kontrollerinin etkin tutulması.
• İstek hız sınırlama (rate-limit) ile kötüye kullanım girişimlerinin engellenmesi.
• Düzenli yedekleme, felaket kurtarma planı ve yedeklerin de aynı seviyede şifrelenmesi.
• Yazılım bağımlılıklarının güncel tutulması ve güvenlik yamalarının zamanında uygulanması.

8.2. İdari tedbirler

• Personelin kişisel veri koruma eğitiminden geçirilmesi ve gizlilik taahhütnamesi imzalaması.
• Erişim yetkilerinin "bilmesi gereken" ilkesine göre düzenlenmesi.
• Tedarikçilerle yapılan sözleşmelerde KVKK uyumluluk maddelerinin yer alması.
• Kişisel veri envanteri, saklama-imha takvimi ve kurumsal politikaların güncel tutulması.

9. Çerezler ve web teknolojileri

Web sitemizde, kullanıcı deneyimini iyileştirmek ve hizmetin güvenliğini sağlamak amacıyla sınırlı sayıda çerez ve benzeri teknoloji kullanılır.

Üçüncü taraf reklam veya takip çerezi kullanılmaz; sosyal medya eklentilerimiz bulunmaz. Yalnızca iletişim sayfasında Google Maps haritası iframe olarak gömülüdür; haritanın yüklenmesi Google'ın politikalarına tabidir. Tarayıcı ayarlarınızdan çerezleri reddedebilirsiniz; bu durumda dil tercihi gibi kişiselleştirilmiş özellikler kısıtlanır, sitenin temel işlevleri çalışmaya devam eder.

10. Sigorta aracılığına özgü düzenlemeler

Sigorta aracılık faaliyeti, KVKK'nın yanı sıra aşağıdaki özel mevzuata da tabidir:

5684 sayılı Sigortacılık Kanunu m. 31/A (sır saklama yükümlülüğü): Sigorta sözleşmesinin kuruluşu, devamı ya da sonlandırılması sırasında öğrenilen sırların üçüncü kişilerle paylaşılması yasaktır; bu yükümlülük görev sona erse de devam eder.

Sigorta Acenteleri Yönetmeliği: SEDDK denetimine tabi olma, müşterilere yönelik bilgilendirme yükümlülükleri ve mesleki sorumluluk sigortasını zorunlu kılar; 22.01.2025'te yapılan değişikliklerle internet sayfasında acente unvanına yer verme ve TOBB üzerinden uygunluk belgesi alma süreçleri güncellenmiştir.

Sigortacılık Verilerinin Toplanması, Saklanması ve Paylaşılmasına Dair Yönetmelik (18.10.2022, RG 31987): Acente ve sigorta şirketlerinin SBM ile veri paylaşımı zorunluluğunu ve usul ile esaslarını düzenler.

6305 sayılı Afet Sigortaları Kanunu: Zorunlu deprem sigortasında DASK'a aktarımın hukuki dayanağıdır.

5363 sayılı Tarım Sigortaları Kanunu: TARSİM ile veri paylaşımı zorunluluğunu düzenler.

5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun: Sigorta acenteleri, yönetmelikle belirlenen sınırlar dahilinde yükümlü kapsamındadır; bu çerçevede müşteri tanıma (KYC) yükümlülükleri yerine getirilir.

Söz konusu mevzuat kapsamında, sigortalanan değer ve sigortalı hakkında öğrenilen veriler, KVKK hükümlerine uygun olarak ilgili kurumlarla paylaşılır.

11. İlgili kişi haklarınız (KVKK m. 11)

İlgili kişi sıfatıyla, Suprem Sigorta'ya başvurarak aşağıdaki haklarınızı kullanabilirsiniz:

Kişisel verinizin işlenip işlenmediğini öğrenme; işlenmişse buna ilişkin bilgi talep etme.

İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.

Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme.

Eksik veya yanlış işlenmiş ise düzeltilmesini isteme; düzeltme işleminin verilerin aktarıldığı üçüncü kişilere bildirilmesini talep etme.

KVKK m. 7 çerçevesinde verilerin silinmesini, yok edilmesini veya anonim hale getirilmesini isteme; bu işlemin de aktarıldığı üçüncü kişilere bildirilmesini talep etme.

Otomatik sistemlerle yapılan analizler sonucunda aleyhinize bir sonuç doğması halinde buna itiraz etme.

Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde tazminat talep etme.

12. Başvuru yöntemi

Yukarıdaki haklarınızı kullanmak için başvurunuzu, "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ" uyarınca aşağıdaki kanallardan birini kullanarak iletebilirsiniz:

Yazılı başvuru (ıslak imzalı): Kayıtlı adresimize elden teslim veya iadeli taahhütlü posta yoluyla.

E-posta: Sistemde kayıtlı bulunan e-posta adresinizden, info@supremsigorta.com.tr adresine.

Başvurunuzda kimlik bilgileriniz, talep konusunuz ve gerekiyorsa destekleyici belgeleri açıkça belirtmelisiniz. Başvurunuz, KVKK m. 13 uyarınca en geç 30 gün içinde sonuçlandırılır. Kurul'un belirlediği hallerde ücret talep edilebilir.

Başvurunuzun reddi, verilen yanıtın yetersiz bulunması veya süresi içinde yanıt verilmemesi halinde Kişisel Verileri Koruma Kurulu'na şikayette bulunma hakkınız saklıdır (kvkk.gov.tr).

13. Veri ihlali süreçleri

KVKK m. 12/5 uyarınca, işlenen kişisel verilerinizin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, ihlali en kısa sürede tespit ederiz; bunu izleyen 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildiririz ve etkilenen ilgili kişilere de en kısa sürede haber veririz. Bildirimde ihlalin niteliği, etkilenen veri kategorileri ile alınan ve alınacak tedbirler yer alır.

14. Değişiklikler ve yürürlük

İşbu Aydınlatma Metni, mevzuat değişiklikleri, hizmetlerimizin kapsamında veya teknik altyapımızda yapılan güncellemelere bağlı olarak yenilenebilir. Güncel metin her zaman bu sayfada yayımlanır; önemli değişikliklerde kayıtlı iletişim kanalları üzerinden bilgilendirme yapılır.