1. Veri sorumlusu ve kapsam

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında Excelxtr’ın çevrimiçi hesap, destek ve dosya saklama faaliyetlerinin veri sorumlusu aşağıda belirtilen gerçek kişidir.

2. İşlenen veriler ve amaçlar

• Kimlik ve iletişim: e-posta adresi, görünen ad, doğrulama durumu; hesap oluşturma, oturum açma ve kullanıcıyla iletişim.
• Hesap ve güvenlik: parola özeti, oturum belirteci, IP ve sınırlı istek/güvenlik kaydı; hesabı koruma, kötüye kullanımı önleme ve olay inceleme.
• Çalışma kitabı: kullanıcının hesabına kaydetmeyi seçtiği dosya içeriği, ad, sürüm ve değişiklik zamanı; kaydetme, açma, sürümleme ve silme.
• Destek: destek talebindeki iletişim bilgileri ve kullanıcının ilettiği içerik; talebi yanıtlamak ve uyuşmazlıkları yönetmek.
• Tercihler: dil, çerez seçimi ve cihazdaki misafir kayıtları; arayüzü ve kullanıcı tercihini sürdürmek.

3. Hukuki sebepler

Veri kategorisi ile hukuki sebep ayrı değerlendirilir:

• Hesap ve hesaba kaydedilen çalışma kitabı verileri, Kanun’un 5/2-c bendindeki sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma şartına dayanır.
• Oturum, güvenlik ve kötüye kullanım kayıtları, temel haklara zarar vermemek kaydıyla 5/2-f bendindeki meşru menfaat ile; gerektiğinde 5/2-ç bendindeki hukuki yükümlülük şartına dayanır.
• Destek ve uyuşmazlık kayıtları, 5/2-e bendindeki bir hakkın tesisi, kullanılması veya korunması ve ilgili talebin yerine getirilmesi kapsamında işlenir.
• Analitik, kişiselleştirilmiş reklam veya reklam çerezleri kullanılırsa 5/1 kapsamında açık rıza alınır ve rıza geri çekilebilir; kişiselleştirilmemiş reklam gösterimi meşru menfaate (5/2-f) dayanır.

4. Toplama yöntemi

Veriler; kayıt ve hesap formları, Google OAuth yönlendirmesi, dosyayı hesabına kaydetme eylemi, destek iletişimi, güvenlik günlükleri ve tarayıcı tercihleri üzerinden elektronik ve kısmen otomatik yollarla elde edilir. Misafir dosyaları, açıkça hesaba kaydetmediğin sürece tarayıcı tarafında işlenir.

5. Alıcı grupları ve aktarım

Veriler; barındırma, e-posta teslimi ve Google kimlik doğrulaması gibi hizmetleri sunan veri işleyenlerle yalnız gerekli kapsamda; hukuken zorunluysa yetkili kamu kurumlarıyla paylaşılabilir. Kişisel veriler satılmaz.

Reklamlı sayfalarda reklam gösterimi için IP adresin, tarayıcı bilgilerin ve ziyaret ettiğin sayfa Google’ın AdSense hizmetine iletilir. Kişiselleştirilmemiş reklam gösterimi, hizmetin ücretsiz sunulmasına yönelik meşru menfaatimize (m. 5/2-f) dayanır; kişiselleştirilmiş reklam ve reklam çerezleri yalnızca açık rızanla (m. 5/1) kullanılır ve rızanı “Çerezler” düğmesinden istediğin zaman geri alabilirsin.

Yurt dışına aktarım söz konusu olduğunda Kanun’un 9. maddesindeki aktarım şartları ve uygun güvenceler uygulanır. Güncel hizmet sağlayıcı ve aktarım bilgisi talep üzerine açıklanır.

6. İlgili kişi hakları ve başvuru

Kanun’un 11. maddesi kapsamında verinin işlenip işlenmediğini öğrenme, bilgi isteme, amacına uygun kullanımı sorgulama, aktarılan üçüncü kişileri öğrenme, düzeltme, silme/yok etme, bildirimi isteme, otomatik sonuçlara itiraz ve zararın giderilmesini talep etme haklarına sahipsin.

Talebini kimliğini doğrulamaya elverişli bilgiler ve talep konusuyla birlikte destek@excelxtr.com adresine iletebilirsin. Başvurular mümkün olan en kısa sürede ve en geç 30 gün içinde yanıtlanır. Resmî gereklilikler için KVKK Aydınlatma Yükümlülüğü sayfasını inceleyebilirsin.

7. Saklama ve imha politikası

Veriler amaç için gerekli süre, sözleşme ilişkisi ve uygulanabilir zamanaşımı süreleriyle sınırlı tutulur. Oturumlar 1–168 saat, tek kullanımlı hesap belirteçleri 30 dakika, Google OAuth güvenlik kaydı 10 dakika ve hız sınırlama kayıtları 30 dakikalık teknik pencere boyunca tutulur. Hesap ve kitap sürümleri hizmet ilişkisi sürdükçe; silme talebinden sonra 30 günlük geri alma süresi boyunca saklanır.

Süre sonunda kayıtlar sistemin niteliğine göre silinir, yok edilir veya anonim hâle getirilir. Hesap kaydının silinmesi ilişkili oturum, OAuth kimliği, kitap, sürüm ve güvenlik olaylarının veritabanı ilişkileri üzerinden silinmesini kapsar. Kanunen saklanması gereken ayrıştırılmış kayıtlar yalnız ilgili yükümlülük süresince korunabilir.

8. Veri güvenliği ve ihlal yönetimi

• HTTPS, güvenli/HttpOnly/SameSite oturum çerezleri, CSRF ve kaynak kontrolleri uygulanır.
• Parolalar düz metin değil, kaynak yoğun tek yönlü özet biçiminde tutulur.
• Her kitap isteğinde hesap sahipliği doğrulanır; istek ve dosya boyutu kotaları uygulanır.
• Giriş, parola değişikliği ve benzeri güvenlik olayları içerik kaydetmeden sınırlı olay adı ve zamanıyla izlenebilir.
• Yetkisiz erişim şüphesinde oturumlar iptal edilebilir, hesap erişimi sınırlandırılabilir ve olay kayıtları korunabilir.

Bir kişisel veri ihlali tespit edilirse risk değerlendirilir, gerekli teknik/idari tedbirler alınır ve Kanun’un öngördüğü durumlarda Kurul ile etkilenen kişilere bildirim yapılır.

9. Başvuru içeriği ve cevap usulü

Başvuruda ad-soyad, hesabınla ilişkili e-posta, talebin açık konusu, varsa işlem tarihi ve tercih ettiğin cevap yöntemi bulunmalıdır. Başkasının verisini açıklamamak için hesap oturumu, kayıtlı e-posta veya ölçülü ek bilgiyle kimlik doğrulaması yapılabilir. Parola, tam kimlik belgesi veya dosya içeriği göndermemelisin; zorunlu hâlde güvenli yöntem ayrıca bildirilir.

Başvuru ücretsiz sonuçlandırılır; işlemin ayrıca maliyet gerektirmesi hâlinde yalnız mevzuatın izin verdiği ücret istenebilir. Talep kabul edilir veya gerekçesi açıklanarak reddedilir ve cevap yazılı ya da elektronik ortamda bildirilir. Veri sorumlusuna başvuru yapılmadan doğrudan Kurula şikâyet yoluna gidilemeyen hâller ile şikâyet süreleri için güncel KVKK kuralları geçerlidir.

10. Yurt dışı aktarım güvenceleri

Google AdSense’e iletilen veriler yurt dışındaki sunucularda işlenebilir; bu aktarım Kanun’un 9. maddesindeki şartlara göre değerlendirilir.

Google kimlik doğrulama, barındırma veya e-posta hizmetinin yurt dışındaki altyapıyı kullanması hâlinde aktarım; Kanun’un 9. maddesindeki yeterlilik kararı, uygun güvence veya arızi hâl şartlarından uygulanabilir olana dayanmalıdır. Uygun güvence gerektiğinde Kurulun yayımladığı standart sözleşme veya onaylı başka bir mekanizma kullanılır ve gerekli bildirimler yapılır.

Aktarım değerlendirmesinde veri kategorisi, amaç, alıcı, ülke, sıklık, saklama süresi ve teknik/idari tedbirler dikkate alınır. Güncel alıcı ve aktarım mekanizmasına ilişkin bilgi ilgili kişi başvurusu üzerine sağlanır.

1. Controller and scope

Under Turkish Law No. 6698, the individual identified below is the data controller for Excelxtr’s online account, support, and file-storage activities.

2. Data and purposes

• Identity and contact: email, display name, and verification state for account access and communication.
• Account and security: password hash, session token, IP, and limited request/security records to protect accounts and investigate abuse.
• Workbooks: content, name, versions, and timestamps you choose to save to your account.
• Support: contact details and content you send to answer requests and manage disputes.
• Preferences: language, cookie choices, and on-device guest records.

3. Legal grounds

• Account and saved-workbook data: Article 5/2-c, necessity for forming or performing a contract.
• Session, security, and abuse-prevention records: Article 5/2-f legitimate interests without harming fundamental rights, and where applicable Article 5/2-ç legal obligations.
• Support and dispute records: Article 5/2-e establishment, exercise, or protection of a right and performance of the request.
• Analytics, personalised ads, or advertising cookies: explicit consent under Article 5/1, which may be withdrawn; non-personalised ads rely on legitimate interest (Article 5/2-f).

4. Collection method

Data is collected electronically and partly automatically through registration and account forms, Google OAuth, choosing to save a file, support communications, security logs, and browser preferences. Guest files remain browser-side unless you explicitly save them to an account.

5. Recipients and transfers

Data may be shared only as necessary with processors providing hosting, email delivery, or Google authentication, and with competent authorities when legally required. Personal data is not sold.

On pages with ads, your IP address, browser details and the page you visit are sent to Google’s AdSense service to show ads. Non-personalised ads rely on our legitimate interest in offering the service free of charge (Art. 5/2-f); personalised ads and advertising cookies are used only with your explicit consent (Art. 5/1), which you can withdraw at any time through the Cookies button.

Where an international transfer occurs, the conditions and appropriate safeguards under Article 9 apply. Current processor and transfer details are available on request.

6. Rights and requests

Article 11 provides rights to learn whether data is processed, request information, review purpose and recipients, request correction or deletion, request notice to recipients, object to automated outcomes, and seek compensation where applicable.

Send a request with sufficient identity and subject details to destek@excelxtr.com. Requests are answered as soon as possible and within 30 days at the latest.

7. Retention and disposal policy

Data is kept only for the purpose, service relationship, and applicable limitation periods. Sessions last 1–168 hours, single-use account tokens 30 minutes, Google OAuth security state 10 minutes, and rate-limit records a 30-minute technical window. Accounts and workbook versions remain while the service relationship continues and through the 30-day deletion recovery period.

At expiry, records are deleted, destroyed, or anonymized as appropriate. Deleting an account covers related sessions, OAuth identity, books, versions, and security events through database relationships. Isolated records required by law may remain only for the relevant period.

8. Data security and incident handling

• HTTPS, Secure/HttpOnly/SameSite cookies, CSRF checks, and origin controls are used.
• Passwords are stored as resource-intensive one-way hashes, not plain text.
• Account ownership is checked for every workbook request, with request and file-size quotas.
• Login and password events may be recorded by limited event name and time without workbook content.
• Sessions may be revoked and access limited where unauthorized use is suspected.

If a personal-data breach is identified, risk is assessed, technical and organizational measures are taken, and the Board and affected persons are notified where required by law.

9. Request content and response procedure

A request should include your name, account email, clear subject, relevant date if known, and preferred response method. We may verify identity through the account session, registered email, or proportionate additional information. Do not send a password, full identity document, or workbook content unless a secure method is specifically provided.

Requests are handled free of charge unless an additional cost permits a statutory fee. A request is accepted or refused with reasons, and the response is delivered in writing or electronically. Current KVKK rules govern prior application and complaint deadlines.

10. International-transfer safeguards

Data sent to Google AdSense may be processed on servers abroad; this transfer is assessed under the conditions of Article 9.

If Google authentication, hosting, or email infrastructure processes data abroad, the transfer must rely on an applicable adequacy decision, appropriate safeguard, or occasional-transfer condition under Article 9. Where required, a Board standard contract or another approved mechanism is used and mandatory filings are made.

The assessment considers data category, purpose, recipient, country, frequency, retention, and technical and organizational safeguards. Current recipient and transfer-mechanism information is supplied on a valid data-subject request.