Bu politika, PARTA BİLGİ TEKNOLOJİLERİ YAZILIM VE DANIŞMANLIK LİMİTED ŞİRKETİ (“Parta”, “biz”) tarafından geliştirilen Parta Token uygulamasının (iOS, macOS, Android ve Windows) ve uygulamanın bağlandığı Parta Token hizmetinin kişisel verileri nasıl işlediğini açıklar.
Parta Token, kurumların güvenli erişim sistemlerinde giriş isteklerini onaylamak için kullanılan bir çok faktörlü kimlik doğrulama (MFA) uygulamasıdır. Uygulamayı yalnızca Parta veya Targitas güvenli erişim çözümlerini kullanan bir kurumda (işvereniniz veya hizmet aldığınız kurum, “Kurum”) hesabınız varsa kullanabilirsiniz.
1. Veri sorumlusu ve rollerimiz
Hesabınız ve giriş onaylarınızla ilgili veriler için veri sorumlusu, sizi sisteme kaydeden Kurum’dur. Kurum, kendi sunucusunda çalışan Controller yazılımıyla hesabınızı ve cihazınızı yönetir.
Parta, uygulamayı geliştirir ve uygulama ile Kurum arasında mesajları ileten Parta Token hizmetini (token.parta.com.tr) Kurum adına işletir. Bu hizmet için Parta, Kurum’un talimatıyla hareket eden veri işleyendir. Kişisel verilerinizle ilgili taleplerinizi öncelikle Kurum’a iletmenizi öneririz; bize ulaşırsanız talebinizi ilgili Kurum’a yönlendiririz.
2. Hangi verileri işliyoruz?
Cihaz kaydı sırasında
Kurum portalından indirdiğiniz QR kodu okuttuğunuzda uygulama aşağıdaki bilgileri, yalnızca Kurum’un açabileceği şekilde şifreleyerek gönderir. Parta Token hizmeti bu paketi açamaz; yalnızca Kurum’a ulaşana kadar saklar.
- Cihazınızda oluşturulan anahtarın açık (public) kısmı
- Cihaz adı, işletim sistemi ve sürümü (ör. “iPhone · iOS 26.0”), platform
- Bildirim gönderebilmek için push bildirim kimliği (FCM token)
- Uygulama dili
- QR koddaki tek kullanımlık kayıt bilgileri
Kayıt tamamlandığında Kurum, uygulamaya kullanıcı adınızı, görünen adınızı ve cihaz kimliğinizi içeren imzalı bir sonuç gönderir. Bu sonuç Parta Token hizmeti üzerinden iletilir.
Giriş onayı sırasında
Kurum’un sistemine giriş yapmaya çalıştığınızda Kurum, Parta Token hizmeti üzerinden imzalı bir giriş isteği gönderir. İstek; giriş yapılan uygulamanın adını, kullanıcı adınızı, girişin yapıldığı IP adresini ve cihaz bilgisini, isteğin oluşturulma ve bitiş zamanını ve seçmeniz için üç sayıyı içerir. Verdiğiniz karar (onay veya ret), seçtiğiniz sayı ve kararın cihazınızdaki anahtarla atılmış imzası Kurum’a iletilir.
Bildirimler
Giriş isteklerini size bildirmek için Google Firebase Cloud Messaging (FCM) ve iOS/macOS’ta ayrıca Apple Push Notification service (APNs) kullanılır. Bildirim; uygulama adı içeren bir başlık ile cihaz ve işlem kimliklerini taşır. Parta Token hizmeti push bildirim kimliğinizi bildirimi göndermek için anlık olarak kullanır ve kalıcı olarak saklamaz. Windows uygulaması push bildirimi kullanmaz.
Sunucu kayıtları
Parta Token hizmeti, güvenlik ve hizmetin işletilmesi amacıyla isteklerin zamanını, yolunu, sonucunu ve bağlantının geldiği IP adresini teknik kayıtlarda (log) tutar.
Yalnızca cihazınızda kalan veriler
- Cihaz anahtarı: Destekleyen cihazlarda donanım güvenlik biriminde oluşturulur (iOS/macOS’ta Secure Enclave, Android’de Android Keystore, Windows’ta TPM); bu durumda gizli anahtar dışarı aktarılamaz. Böyle bir birimi olmayan cihazlarda anahtar işletim sisteminin şifreli deposunda tutulur. Gizli anahtar hiçbir zaman cihazınızdan gönderilmez.
- Hesap bilgileri ve son onay geçmişi: Cihazın güvenli deposunda (Keychain, Android Keystore ile şifrelenmiş depo, Windows DPAPI) tutulur.
- Biyometrik veriler: Face ID, Touch ID, parmak izi ve Windows Hello doğrulamasını işletim sistemi yapar. Uygulama biyometrik verilerinize erişmez, yalnızca doğrulamanın başarılı olup olmadığını öğrenir.
- Kamera: Yalnızca kayıt QR kodunu okumak için kullanılır. Görüntüler kaydedilmez ve hiçbir yere gönderilmez.
Toplamadığımız veriler
Uygulama reklam göstermez, sizi uygulamalar veya web siteleri arasında izlemez, analiz (analytics) veya reklam SDK’sı içermez. Konumunuza, rehberinize, fotoğraflarınıza veya mesajlarınıza erişmez.
3. Verileri hangi amaçlarla işliyoruz?
- Cihazınızı Kurum’daki hesabınıza güvenli şekilde bağlamak
- Giriş isteklerini size iletmek ve kararınızı Kurum’a ulaştırmak
- Size giriş isteği bildirimi göndermek
- Hizmetin güvenliğini sağlamak, kötüye kullanımı önlemek ve hataları gidermek
Verileriniz bu amaçlar dışında kullanılmaz, satılmaz ve pazarlama amacıyla işlenmez.
4. Hukuki sebep
Veriler; Kurum ile aranızdaki ilişkinin (ör. iş sözleşmesi) ve Kurum’un bilgi güvenliği yükümlülüklerinin gereği olarak, Kurum’un meşru menfaati (yetkisiz erişimin önlenmesi) kapsamında ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile uygulanabildiği ölçüde Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) çerçevesinde işlenir.
5. Veriler kimlerle paylaşılır?
| Alıcı | Paylaşılan veri | Amaç |
|---|
| Kurum (Controller) | Kayıt bilgileri, giriş isteklerine verdiğiniz kararlar | Hesabınızı yönetmek ve girişleri onaylamak |
| Google (Firebase Cloud Messaging) | Push bildirim kimliği, bildirim içeriği | Bildirim göndermek |
| Apple (APNs) | Push bildirim kimliği, bildirim içeriği | iOS ve macOS’a bildirim iletmek |
| Barındırma hizmet sağlayıcımız | Parta Token hizmetinde tutulan veriler ve kayıtlar | Hizmetin çalıştığı sunucuyu işletmek |
Google ve Apple’ın bildirim hizmetleri yurt dışında bulunan sunucular kullanabilir; bu nedenle bildirim kimliği ve bildirim içeriği yurt dışına aktarılabilir. Bunun dışında verileriniz, yasal bir zorunluluk olmadıkça üçüncü kişilerle paylaşılmaz.
6. Saklama süresi
Parta Token hizmetinde tutulan kayıt paketleri, kayıt sonuçları ve giriş istekleri, yalnızca Kurum’a iletilene ve ilgili işlem tamamlanana kadar gerekli olan süre boyunca ve Kurum’un belirlediği süreler içinde saklanır. Teknik kayıtlar güvenlik amacıyla sınırlı bir süre tutulur. Kurum’daki hesap ve cihaz kayıtlarınızın saklanma süresini Kurum belirler.
Uygulamayı cihazınızdan sildiğinizde veya hesabı uygulamadan kaldırdığınızda cihazınızdaki anahtar ve hesap bilgileri silinir. Cihazınızın Kurum’daki kaydının kapatılması için Kurum’a başvurabilirsiniz.
7. Güvenlik
- Uygulama ile Parta Token hizmeti arasındaki tüm iletişim HTTPS ile şifrelenir.
- Kayıt bilgileriniz uçtan uca şifrelenir; Parta Token hizmeti bu bilgileri okuyamaz.
- Her giriş isteği Kurum tarafından imzalanır; uygulama imzayı doğrulamadan isteği göstermez.
- Her karar, cihazınızdan gönderilmeyen anahtarla imzalanır.
8. Haklarınız
KVKK’nın 11. maddesi ve uygulanabildiği ölçüde GDPR kapsamında; verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini veya silinmesini isteme, işlemeye itiraz etme ve zararın giderilmesini talep etme haklarına sahipsiniz. Hesabınız Kurum tarafından yönetildiği için taleplerinizi öncelikle Kurum’a iletin. Bize ulaşırsanız talebinizi Kurum’a yönlendirir ve Parta Token hizmetiyle ilgili kısmını yanıtlarız.
9. Çocuklar
Parta Token, kurum hesapları için tasarlanmıştır ve 13 yaşından küçük çocuklara yönelik değildir.
10. Değişiklikler
Bu politikayı güncelleyebiliriz. Güncel sürüm her zaman bu sayfada yayımlanır ve yürürlük tarihi sayfanın başında belirtilir.
11. İletişim
PARTA BİLGİ TEKNOLOJİLERİ YAZILIM VE DANIŞMANLIK LİMİTED ŞİRKETİ
Adres: [ŞİRKET ADRESİ]
E-posta: [İLETİŞİM E-POSTASI]
Web: parta.com.tr
This policy explains how the Parta Token app (iOS, macOS, Android and Windows), developed by PARTA BİLGİ TEKNOLOJİLERİ YAZILIM VE DANIŞMANLIK LİMİTED ŞİRKETİ (“Parta”, “we”), and the Parta Token service the app connects to process personal data.
Parta Token is a multi-factor authentication (MFA) app used to approve sign-in requests in organizations’ secure access systems. You can use the app only if you have an account with an organization (your employer or the organization you receive services from, the “Organization”) that uses Parta or Targitas secure access.
1. Data controller and our role
The Organization that enrolled you is the data controller for data about your account and your sign-in approvals. The Organization manages your account and device with the Controller software running on its own servers.
Parta develops the app and operates the Parta Token service (token.parta.com.tr), which relays messages between the app and the Organization, on the Organization’s behalf. For this service Parta acts as a data processor following the Organization’s instructions. We recommend sending requests about your personal data to the Organization first; if you contact us, we will forward your request to the relevant Organization.
2. What data we process
During device enrollment
When you scan the QR code downloaded from your Organization’s portal, the app sends the following information encrypted so that only the Organization can open it. The Parta Token service cannot open this package; it only stores it until the Organization collects it.
- The public part of the key created on your device
- Device name, operating system and version (e.g. “iPhone · iOS 26.0”), platform
- Your push notification identifier (FCM token), so notifications can be sent
- App language
- The one-time enrollment details from the QR code
When enrollment is complete, the Organization sends the app a signed result containing your username, display name and device identifier. This result is relayed through the Parta Token service.
During sign-in approval
When you try to sign in to the Organization’s system, the Organization sends a signed sign-in request through the Parta Token service. The request contains the name of the app being signed in to, your username, the IP address and device information of the sign-in, the time the request was created and expires, and three numbers for you to choose from. Your decision (approve or deny), the number you chose and the signature made with your device key are delivered to the Organization.
Notifications
Google Firebase Cloud Messaging (FCM), and on iOS/macOS also Apple Push Notification service (APNs), are used to notify you of sign-in requests. A notification carries a title containing the app name, and device and transaction identifiers. The Parta Token service uses your push identifier only momentarily to send the notification and does not store it permanently. The Windows app does not use push notifications.
Server logs
For security and to operate the service, the Parta Token service records the time, path and result of requests and the IP address of the connection in technical logs.
Data that stays on your device
- Device key: on supported devices it is created in a hardware security module (the Secure Enclave on iOS/macOS, the Android Keystore on Android, the TPM on Windows), where the private key cannot be exported. On devices without such a module the key is kept in the operating system’s encrypted storage. The private key is never sent from your device.
- Account details and recent approval history: kept in the device’s secure storage (Keychain, storage encrypted with the Android Keystore, Windows DPAPI).
- Biometric data: Face ID, Touch ID, fingerprint and Windows Hello checks are performed by the operating system. The app never accesses your biometric data; it only learns whether the check succeeded.
- Camera: used only to scan the enrollment QR code. Images are not saved or sent anywhere.
Data we do not collect
The app shows no ads, does not track you across apps or websites, and contains no analytics or advertising SDKs. It does not access your location, contacts, photos or messages.
3. Why we process data
- To securely link your device to your account at the Organization
- To deliver sign-in requests to you and your decisions to the Organization
- To notify you of sign-in requests
- To keep the service secure, prevent abuse and fix errors
Your data is not used for any other purpose, is not sold and is not processed for marketing.
4. Legal basis
Data is processed as required by your relationship with the Organization (for example an employment contract) and the Organization’s information security obligations, on the basis of the Organization’s legitimate interest in preventing unauthorized access, under the Turkish Personal Data Protection Law No. 6698 (KVKK) and, where applicable, the EU General Data Protection Regulation (GDPR).
5. Who receives the data
| Recipient | Data | Purpose |
|---|
| The Organization (Controller) | Enrollment details, your decisions on sign-in requests | Managing your account and approving sign-ins |
| Google (Firebase Cloud Messaging) | Push identifier, notification content | Sending notifications |
| Apple (APNs) | Push identifier, notification content | Delivering notifications to iOS and macOS |
| Our hosting provider | Data and logs held by the Parta Token service | Running the server the service operates on |
Google’s and Apple’s notification services may use servers located abroad, so your push identifier and notification content may be transferred outside Türkiye. Otherwise your data is not shared with third parties unless required by law.
6. Retention
Enrollment packages, enrollment results and sign-in requests held by the Parta Token service are kept only as long as needed to deliver them to the Organization and complete the related operation, and within the periods set by the Organization. Technical logs are kept for a limited time for security. The Organization decides how long your account and device records are kept on its side.
When you delete the app or remove the account from it, the key and account details on your device are deleted. To have your device’s registration closed at the Organization, contact the Organization.
7. Security
- All communication between the app and the Parta Token service is encrypted with HTTPS.
- Your enrollment details are end-to-end encrypted; the Parta Token service cannot read them.
- Every sign-in request is signed by the Organization; the app does not show a request before verifying its signature.
- Every decision is signed with a key that is never sent from your device.
8. Your rights
Under Article 11 of KVKK and, where applicable, the GDPR, you have the right to learn whether your data is processed, request information, ask for correction or deletion, object to processing and claim compensation for damages. Because your account is managed by the Organization, please send requests to the Organization first. If you contact us, we will forward your request to the Organization and answer the part that concerns the Parta Token service.
9. Children
Parta Token is designed for organizational accounts and is not directed at children under 13.
10. Changes
We may update this policy. The current version is always published on this page, with its effective date at the top.
11. Contact
PARTA BİLGİ TEKNOLOJİLERİ YAZILIM VE DANIŞMANLIK LİMİTED ŞİRKETİ
Address: [COMPANY ADDRESS]
Email: [CONTACT EMAIL]
Web: parta.com.tr