Gizlilik Politikası

1. Kapsam ve rollerimiz

Hesap, iletişim, fatura ve güvenlik kayıtları bakımından veri sorumlusuyuz. Müşterilerimizin alan adları üzerinden iletilen e-postaların içerikleri, karantina ve arşiv kopyaları ile barındırılan posta kutuları bakımından ise müşterimiz adına veri işleyen konumundayız: bu verileri yalnızca müşterimizin talimatları ve hizmet sözleşmesi doğrultusunda, Hizmeti sunmak için işleriz.

Hizmeti bir bayi (hosting firması) markasıyla kullanıyorsanız, bayinin kendi gizlilik politikası da geçerli olabilir.

2. Topladığımız bilgiler

• Sizin verdiğiniz bilgiler: kayıt ve sipariş sırasında şirket adı, ad soyad, iş e-postası, telefon, alan adları, posta sunucusu bilgileri, sipariş notları; destek yazışmaları.
• Hizmetin kullanımıyla oluşan bilgiler: oturum ve giriş kayıtları, IP adresi, tarayıcı bilgisi, paneldeki işlemlerin denetim kayıtları, API anahtarı kullanımı, bildirim tercihleri.
• E-posta trafiği bilgileri (müşterimiz adına): iletilerin üst verileri (gönderen, alıcı, konu, boyut, zaman, bağlantı kuran sunucunun IP adresi, teslim sonucu), filtre değerlendirmeleri ve karantinaya alınan ya da arşivlenen iletilerin kopyaları.
• Fatura bilgileri: unvan, vergi dairesi ve numarası, fatura adresi, ödeme kayıtları.

3. Bilgileri nasıl kullanıyoruz

• Hesabınızı oluşturmak, kimliğinizi doğrulamak ve Hizmeti sunmak,
• E-postaları spam, virüs, zararlı ek ve oltalamaya karşı otomatik olarak denetlemek, teslim etmek, karantinaya almak ve arşivlemek,
• Hesabınızı ve diğer müşterilerimizi kötüye kullanıma karşı korumak (ör. ele geçirilmiş bir hesabın spam göndermesini algılayıp durdurmak),
• Paket bitişi, güvenlik olayı, karantina özeti, sipariş durumu gibi hizmet bildirimlerini göndermek,
• Faturalandırma ve yasal yükümlülükleri yerine getirmek,
• Hizmeti iyileştirmek (anonim ve toplulaştırılmış istatistiklerle).

E-posta içerikleri otomatik sistemlerce yalnızca güvenlik denetimi ve teslim amacıyla işlenir. Çalışanlarımız iletilerin içeriğini rutin olarak okumaz; bir içeriğe yalnızca müşterimizin talebi veya onayıyla bir teslim ya da güvenlik sorununu çözmek için, ya da yasal bir zorunluluk bulunduğunda ve gerekli olduğu ölçüde erişilir. Karantinadaki iletileri müşterinin yetkili kullanıcıları ve iletinin alıcısı görüntüleyebilir. İletilerinizin içeriğini reklam, profil çıkarma veya yapay zekâ modeli eğitimi amacıyla kullanmayız. Spam filtresinin sizin “spam değil / spam” geri bildirimlerinizden öğrenmesi yalnızca kendi hesabınızın filtre kurallarını etkiler.

4. Bilgilerin paylaşılması

Bilgilerinizi satmayız. Bilgiler yalnızca Hizmetin sunulması için gerekli olan hizmet sağlayıcılarımızla (barındırma ve altyapı, Cloudflare içerik dağıtım ve güvenlik ağı, e-posta altyapısı, ödeme kuruluşları), hesabınızı yöneten bayi ile ve yasal zorunluluk hâlinde yetkili mercilerle paylaşılır. Hizmet sağlayıcılarımız bilgileri yalnızca bizim adımıza ve sözleşmeyle belirlenen güvenlik yükümlülükleri altında işler. Alıcı grupları ve yurt dışına aktarım koşulları KVKK Aydınlatma Metni sayfasında ayrıntılı olarak açıklanmıştır.

5. Güvenlik önlemlerimiz

Bilgilerinizi korumak için KVKK md. 12 kapsamında aldığımız başlıca teknik ve idari tedbirler:

• Aktarımda şifreleme: web sitesi, panel ve API yalnızca HTTPS (TLS) üzerinden sunulur; posta sunucularıyla bağlantılarda karşı taraf destekliyorsa TLS (STARTTLS) kullanılır.
• Saklamada şifreleme: e-posta arşivi kopyaları ile posta sunucusu parolaları, bildirim kanalı anahtarları gibi gizli bilgiler AES-256-GCM ile şifreli saklanır; yedekler şifrelenerek ayrı bir konuma kopyalanır.
• Parolalar: panel parolaları yalnızca güçlü, tuzlanmış özet (scrypt) olarak saklanır; parolanın kendisi hiçbir zaman saklanmaz veya loglanmaz.
• İki adımlı doğrulama: tüm kullanıcılar için doğrulama uygulamasıyla (TOTP) iki adımlı doğrulama ve tek kullanımlık kurtarma kodları; yöneticiler için zorunlu tutulabilir.
• Oturum güvenliği: oturum çerezi HttpOnly, Secure ve SameSite özellikleriyle korunur, 12 saat sonra sona erer; istekler CSRF korumasından geçer; açık oturumlarınızı panelden görüp kapatabilirsiniz.
• Erişim denetimi: rol tabanlı yetkilendirme, hesaplar (kiracılar) arasında katı veri ayrımı, yetki kapsamı sınırlı ve süresi ayarlanabilir API anahtarları.
• Erişim ve işlem kayıtları: paneldeki işlemler denetim kaydına ve etkinlik günlüğüne kim, ne zaman, hangi IP adresinden bilgisiyle yazılır.
• Kötüye kullanım önleme: giriş ve kayıt uçlarında oran sınırlaması, giden postada gönderim limitleri ve anomali tespiti, şüpheli gönderimlerin otomatik bekletilmesi; isteğe bağlı müşteriye özel (izole) IP adresi ile diğer gönderenlerin itibarından etkilenmeme.
• Süreklilik: düzenli ve şifreli yedekleme, servis sağlık izleme ve herkese açık durum sayfası (/durum).

Hiçbir sistem tamamen risksiz değildir. Bir veri ihlali fark edersek, KVKK md. 12/5 uyarınca ilgili kişilere ve Kişisel Verileri Koruma Kuruluna en kısa sürede bildirimde bulunur; müşterilerimiz adına işlediğimiz verilerde ihlali gecikmeksizin ilgili müşterimize bildiririz.

6. Saklama süreleri

Bilgileri yalnızca gerekli olduğu sürece saklarız: örneğin mail akışı kayıtları 180 gün, ham sunucu günlükleri 14 gün, panel istek kayıtları 90 gün sonra otomatik olarak silinir. Karantina ve arşiv süreleri müşterimizin ayarlarına bağlıdır. Tüm süreler KVKK Aydınlatma Metni sayfasındaki tabloda yer alır.

7. Haklarınız ve tercihleriniz

KVKK md. 11 kapsamındaki haklarınızı (bilgi talep etme, düzeltme, silme, itiraz ve diğerleri) KVKK Aydınlatma Metni sayfasındaki başvuru yöntemleriyle kullanabilirsiniz. Ad, e-posta, dil, bildirim ve güvenlik tercihlerinizi panelden doğrudan değiştirebilirsiniz. Pazarlama iletileri için verdiğiniz onayı dilediğiniz zaman geri alabilirsiniz; hizmetin işleyişi için zorunlu bildirimler (güvenlik, paket ve sipariş bildirimleri) bu kapsamda değildir.

Avrupa Ekonomik Alanı’nda bulunuyorsanız, Genel Veri Koruma Tüzüğü (GDPR) kapsamındaki erişim, düzeltme, silme, işlemeyi kısıtlama, veri taşınabilirliği ve itiraz haklarınızı da aynı kanallardan kullanabilir ve bulunduğunuz ülkenin denetim makamına şikâyette bulunabilirsiniz. Bu durumda verileriniz sözleşmenin ifası (GDPR md. 6/1-b), hukuki yükümlülük (md. 6/1-c) ve meşru menfaat (md. 6/1-f) hukuki sebeplerine dayanılarak işlenir.

8. Çerezler ve tarayıcı depolaması

Yalnızca oturumunuzu sürdürmek için zorunlu bir oturum çerezi ve tema/dil gibi tercihlerinizi hatırlamak için tarayıcınızın yerel depolamasını kullanırız. Reklam, izleme veya analitik çerezi ve üçüncü taraf analitik aracı kullanmayız. Ayrıntılar: Çerez Politikası.

9. Çocukların gizliliği

Hizmet kurumlara ve işletmelere yöneliktir; 18 yaşından küçüklere yönelik değildir ve bu kişilerden bilerek kişisel veri toplamayız. Böyle bir verinin bize iletildiğini fark ederseniz lütfen bizimle iletişime geçin.

10. Üçüncü taraf bağlantıları

Web sitemiz ve e-postalarımız üçüncü taraf sitelere bağlantılar içerebilir. Bu sitelerin gizlilik uygulamalarından sorumlu değiliz; ziyaret ettiğiniz sitelerin politikalarını incelemenizi öneririz.

11. Politikadaki değişiklikler

Bu politikayı hizmetimizdeki ve mevzuattaki değişikliklere göre güncelleyebiliriz. Güncel sürüm her zaman bu sayfada, “Son güncelleme” tarihiyle yayımlanır. Önemli değişiklikleri hesabınızdaki iletişim adresine e-posta ile veya panelde duyururuz.

12. İletişim

Gizlilikle ilgili sorularınız için [email protected] e-posta adresi, 0850 308 83 67 numaralı telefon veya Armağanevler Mah. Saka Sok. No:4 D:6, Ümraniye / İstanbul posta adresi üzerinden bize ulaşabilirsiniz.

Summary in English

ETERNAL GROUP DENİZCİLİK EĞİTİM MAKİNE DANIŞMANLIK DIŞ TİCARET LİMİTED ŞİRKETİ provides the MXZilla email security gateway and business email hosting services. We act as data controller for account, contact, billing and security data, and as data processor on behalf of our customers for email content, metadata, quarantined and archived messages and hosted mailboxes. Email content is processed automatically for security filtering and delivery only; it is never sold, used for advertising or used to train AI models.

Security measures include TLS in transit, AES-256-GCM encryption of archives and secrets, scrypt password hashing, TOTP two-factor authentication, HttpOnly/Secure session cookies, role-based access control with strict tenant isolation, audit logs, rate limiting, outbound abuse detection and encrypted backups. Mail flow records are deleted after 180 days, raw server logs after 14 days and request logs after 90 days. We use only a strictly necessary session cookie and local storage for preferences; no analytics or advertising cookies.

You may exercise your rights under the Turkish Personal Data Protection Law (KVKK) and, where applicable, the GDPR (access, rectification, erasure, restriction, portability, objection) via the contact details above. The Turkish version of this policy prevails.