Gizlilik Politikası ve KVKK Aydınlatma Metni

1. Veri sorumlusu

GDPR bakımından veri sorumlusu ve KVKK bakımından veri sorumlusu, Künye (Impressum) sayfasında belirtilen hizmet sağlayıcıdır:

OpSolid - Hasan Dönmez (Inhaber, Einzelunternehmen)
Stolte Ley 12, 59759 Arnsberg, Deutschland
İletişim: info@opsolid.de

GDPR kapsamında bir veri koruma görevlisi atamadık; diğer ülkelerin hukukunun öngördüğü görevliler için madde 12’ye bakın. Gizlilik soruları ve haklarınızı kullanma talepleri için info@opsolid.de adresine yazabilirsiniz.

OpSo’yu ticari amaçla kullanıp içinde üçüncü kişilerin kişisel verilerini saklıyorsanız (örneğin bir fuarda tanıştığınız kişiler), bu işlemenin amaç ve araçlarına siz karar verirsiniz ve bundan bizzat sorumlusunuz; biz teknik platformu sağlar ve bu kapsamda verileri sizin adınıza işleriz. GDPR m. 28 uyarınca bir veri işleme sözleşmesine ihtiyacınız varsa bize ulaşın.

2. Genel bakış: neleri işliyoruz

Yalnızca ilgili özelliğin gerektirdiği verileri işleriz. Veri satmayız, reklam göstermeyiz, reklam ağı, veri simsarı veya izleme çerezi kullanmayız; üçüncü taraf web analitiği veya çökme raporlama hizmeti kullanmayız. İstisnalar: Android ve iPhone uygulamalarındaki Google bileşenlerinin 3.12 numaralı maddede açıklanan teknik tanılama verileri ile güncelleme işlevinin başarısız açılış ve güncellemelerle ilgili olarak Expo’ya gönderdiği bilgilerdir (madde 3.21). Aşağıdaki maddeler her işleme faaliyeti için amacı, verileri, hukuki sebebi, saklama süresini ve alıcıları belirtir.

3. İşleme faaliyetleri

3.1 Web sitelerimizi ziyaret (sunucu günlükleri). card.opsolid.de, opso.cc veya bir kart sayfası çağrıldığında sunucumuz teknik olarak IP adresinizi, tarih ve saati, istenen URL’yi, durum kodunu, veri hacmini, yönlendiren sayfayı ve kullanıcı aracısını işler. Amaç: sayfanın sunulması, güvenlik, hata analizi ve kötüye kullanımın önlenmesi. Hukuki sebep: GDPR m. 6/1-f (güvenli işletimde meşru menfaat); KVKK m. 5/2-f. Saklama: kısa süreli, genellikle 14 gün. Alıcı: barındırma sağlayıcımız (madde 4).

3.2 Hesap ve e-posta koduyla giriş. Hesap oluşturmak ve kullanmak için e-posta adresinizi işleriz. Parola yoktur: adresinize altı haneli tek kullanımlık bir kod göndeririz; yalnızca kısa ömürlü, anahtarlı bir doğrulama değeri saklanır ve talep 15 dakika sonra sona erer. Giriş güvenliği için cihaz türü, IP adresi ve geçerlilik süresiyle etkin oturumları saklarız; oturumları uygulamadan sonlandırabilirsiniz ve bir oturum en geç girişten 180 gün sonra sona erer. Bir güvenlik kaydı; girişleri (giriş yöntemiyle), sonlandırılan oturumları, yeniden kullanılan bir giriş belirtecini ve silme taleplerini zaman, IP adresi ve cihaz türüyle birlikte tutar. Bir adrese gönderilen kod sayısını sınırlamak için kod talebini, talep eden ağın anahtarlı bir özet değeriyle (IP adresinin kendisiyle değil) saklarız. İsteğe bağlı olarak ad, telefon numarası, avatar ve dil ekleyebilirsiniz. Hukuki sebep: GDPR m. 6/1-b (kullanım sözleşmesi) ve f (güvenlik); KVKK m. 5/2-c ve f. Saklama: hesap silinene kadar (madde 6); süresi dolan veya sonlandırılan oturumlar düzenli olarak temizlenir; güvenlik kaydı girdileri 90 gün, kod talepleri 2 gün sonra silinir. Alıcılar: barındırma sağlayıcısı ve e-posta gönderim hizmeti (madde 4).

3.3 Google ve Apple ile giriş. “Google ile giriş yap”ı seçerseniz Google kimliğinizi doğrular; doğrulanmış bir e-posta adresi ve varsa profil adınızı alır, giriş belirtecini sunucuda doğrularız. Hukuki sebep: GDPR m. 6/1-b; KVKK m. 5/2-c. Google, kendi gizlilik politikası uyarınca bağımsız veri sorumlusu olarak veri işler (policies.google.com/privacy). Google ile giriş isteğe bağlıdır; e-posta ile giriş eşdeğer şekilde mevcuttur.

Apple ile giriş. “Apple ile giriş yap”ı seçerseniz Apple kimliğinizi doğrular; Apple’ın kararlı (değişmeyen) kullanıcı tanımlayıcısını, doğrulanmış bir e-posta adresini (seçiminize göre gerçek adresiniz ya da Apple’ın sağladığı bir yönlendirme adresi) ve ilk girişte paylaştığınız adı alırız. Giriş belirtecini sunucuda doğrularız. Ayrıca adresin bir yönlendirme adresi olup olmadığını saklarız ve adı yalnızca giriş yeni bir hesap oluşturduğunda hesap adı olarak kullanırız. Hukuki sebep: GDPR m. 6/1-b; KVKK m. 5/2-c. Apple, kendi gizlilik politikası uyarınca bağımsız veri sorumlusu olarak veri işler (apple.com/legal/privacy). Apple ile giriş isteğe bağlıdır; e-posta ile giriş eşdeğer şekilde mevcuttur.

3.4 Dijital kartınız. Kartınıza girdiğiniz içerikleri (ad, unvan, şirket, e-posta, telefon, kısa tanıtım, profil fotoğrafı, bağlantılar, galeri, tasarım) kartı sunmak için saklarız. Kartın herkese açık, listelenmeyen, özel veya yalnızca etkinliğe özel olup olmadığını ve e-posta ile telefonun gösterilip gösterilmeyeceğini siz belirlersiniz. Herkese açık bir kart bilerek bağlantıya sahip herkesin erişimine açıktır; arama motorları, alıcılar ve diğer platformlar geri çağıramayacağımız kopyalar oluşturabilir. Hukuki sebep: GDPR m. 6/1-b; KVKK m. 5/2-c. Saklama: kart veya hesap silinene kadar. Bir hesap silindiğinde, yalnızca bir kez bile yayınlanmış her kartın bağlantı adı (slug) sizinle hiçbir bağ kurulmadan 90 gün boyunca ayrılmış tutulur; böylece başkası bu adla basılmış QR kodlarını veya NFC etiketlerini ele geçiremez. Bağlantı adı adınızı içerebilir. Bu tutmanın hukuki sebebi: GDPR m. 6/1-f, KVKK m. 5/2-f (kimlik taklidinin önlenmesi).

3.5 Kart görüntülemeleri. Herkese açık bir kart açıldığında, kart sahibi görüntülenme sayılarını görebilsin diye zaman, yönlendiren sayfa, kullanıcı aracısı ve kısaltılmış bir IP adresiyle (IPv4: son sekizli 0 yapılır, IPv6: yalnızca ilk 48 bit) bir olay kaydı saklarız. Tam IP adresi burada saklanmaz; kısa süreli kötüye kullanım sınırlaması (istek limitleri) için yalnızca geçici olarak bellekte tutulur, veritabanına yazılmaz. Hukuki sebep: GDPR m. 6/1-f; KVKK m. 5/2-f. Saklama: kart veya hesap silinene kadar; daha önce saklanan tam adresler kısaltılmıştır. Sunucu günlük dosyaları (madde 3.1) bundan ayrıdır ve en geç 14 gün sonra silinir. Madde 7 uyarınca itiraz edebilirsiniz.

3.6 Kişiler, kartvizit tarama ve notlar (mini CRM). Tanıştığınız birini kaydettiğinizde girdiğiniz bilgileri saklarız: ad, e-posta, telefon, şirket, unvan, notlar, etiketler, satış hattı aşaması, isteğe bağlı değer ve eklenen fotoğraflar. Tarama sırasında metin, kod ve yüz tanıma cihazınızda çalışır (madde 3.12); yalnızca kabul ettikleriniz saklanır. Bu kişilerin saklanmasının hukuka uygunluğundan siz sorumlusunuz (madde 1 ve Kullanım Şartları). Bizim hukuki sebebimiz: GDPR m. 6/1-b (kullandığınız hizmetin işletilmesi); KVKK m. 5/2-c. Saklama: kişiyi veya hesabınızı silene kadar. Uygulamada CSV veya vCard olarak dışa aktarabilirsiniz. Bir kişiye takip hatırlatması tarihi koyabilirsiniz; bu tarih kişiyle birlikte saklanır ve kişiyle birlikte silinir, hatırlatmanın kendisi cihazınızda planlanan bir bildirimdir. “Telefona kaydet”e dokunduğunuzda uygulama telefonunuzun rehberine erişim ister ve rehberi yalnızca cihazınızda kullanır: aynı telefon numarası veya e-postayla kayıtlı bir kişi arar, ardından o kaydı oluşturur ya da günceller. Rehberiniz OpSo’ya gönderilmez ve OpSo’da saklanmaz; izni istediğiniz zaman telefonunuzun ayarlarından geri alabilirsiniz.

3.7 Herkese açık kartta iletişim formu. Bir ziyaretçi bilgilerini (ad, e-posta, telefon, şirket, mesaj) girdiğinde bunları saklar ve kart sahibinin çalışma alanındaki yetkili üyelere iletiriz. Kanıt olarak gösterilen metnin sürümünü ve özetini (hash), dili, zamanı ve alıcı kapsamını kaydederiz; bunun için IP adresi veya cihaz parmak izi saklanmaz. Hukuki sebep: açık rıza, GDPR m. 6/1-a; KVKK m. 5/1, gösterilen metne bağlıdır. Rızayı istediğiniz zaman ileriye dönük geri çekebilirsiniz (info@opsolid.de); silmeyi verinin ulaştığı çalışma alanıyla koordine ederiz. Saklama: geri çekmeye veya kart sahibinin kişiyi silmesine kadar.

3.8 Bağlantılar, mesajlar ve çevrimiçi durum. Bir bağlantı isteğini kabul ederseniz yayımlanmış profil kartı karşı tarafın çalışma alanına kişi olarak eklenebilir; bekleyen istekler özel e-posta ve telefon alanlarını açıklamaz. Mesajları (metin, görsel, video, belge, kart) iki tarafın cihazlar arasında okuyabilmesi için saklarız; katılımcı ve bağlantı kimlikleri, zaman damgaları, iletilme ve okunma durumu ile tepkiler dahildir. Çevrimiçi durum ve son etkinlik yalnızca durum paylaşımını açtığınız sürece kaydedilir ve yalnızca karşılıklı gösterilir; kapattığınızda kayıt durur ve değer silinir. Hukuki sebep: GDPR m. 6/1-b; KVKK m. 5/2-c. Saklama: hesap ve bağlantı var olduğu sürece; tek tek silinen mesaj gizlenir ve bir sonraki hesap veya temizlik silmesinde kaldırılır. Alıcı, aldığı içeriği kaydedebilir veya paylaşabilir.

3.9 Yüklenen medya. Görselleri ve videoları (profil fotoğrafı, galeri, toplantı fotoğrafları, mesaj ekleri) Cloudflare nesne depolamasında (R2) özel olarak saklar ve erişim denetimli bir adres üzerinden sunarız. Hukuki sebep: GDPR m. 6/1-b; KVKK m. 5/2-c. Saklama: öğe veya hesap silinene kadar. Bir kartı arşivlemek veya silmek bizden yapılacak erişimi engeller; zaten indirilmiş kopyalara ulaşamayız.

3.10 Anlık bildirimler. Bildirimlere izin verirseniz cihazınızın verdiği push belirtecini saklar ve yeni kişiler, bağlantı istekleri ve mesajlar hakkında Expo push hizmeti (ve oradan, cihazınıza göre, Android’de Google Firebase Cloud Messaging, iPhone’da Apple Push Notification service) üzerinden bildirim göndeririz. Belirteç, gönderen adı, kısaltılmış önizleme veya medya/kart göstergesi ve konuşma kimliği iletilir. Hukuki sebep: açık rıza, GDPR m. 6/1-a, KVKK m. 5/1 ve TDDDG § 25/1 (sistem izni); cihaz ayarlarından veya uygulamadan istediğiniz an geri çekebilirsiniz. Saklama: geri çekme, çıkış, oturumun sona ermesi (başka bir cihazdan sonlandırılsa da) veya hesap silinmesine kadar.

3.11 E-posta gönderimi. Giriş kodlarını ve bildirimleri bir e-posta gönderim hizmeti üzerinden göndeririz (madde 4). Alıcı adresi, gönderen adı, içerik ve iletim üst verileri işlenir. Hukuki sebep: GDPR m. 6/1-b; KVKK m. 5/2-c. Pazarlama e-postası göndermeyiz.

3.12 Tarama özellikleri ve teknik tanılama verileri (Android ve iPhone). Kod, metin, yüz ve belge taraması Google ML Kit’i (Android’de ayrıca Play hizmetlerini) kullanır. Tanıma cihazınızda çalışır. Ancak SDK’lar, tanılama ve kullanım istatistiği için cihaz ve uygulama bilgileri, kurulum tanımlayıcıları, özellik olayları, hata kodları ve performans ölçümlerini Google’a iletir. Android uygulamasında ayrıca güncellemeler için Google ile iletişime geçerler ve bildirim iletimi Firebase kurulum tanımlayıcılarını kullanır. Bunlar taranan içerikten ayrı teknik verilerdir. Google bunları kendi gizlilik politikası uyarınca işler (ML Kit Android, ML Kit iPhone, Firebase, Android). Hukuki sebep: GDPR m. 6/1-b ve f; KVKK m. 5/2-c ve f; cihaza erişim, istediğiniz hizmeti sunmak için kesinlikle gerekli olduğu ölçüde TDDDG § 25/2 no. 2’ye dayanır.

3.13 Güvenlik, engelleme, şikâyet ve moderasyon. Kullanıcıları, kartları veya mesajları engeller ya da bildirirseniz; sınırları uygulamak, kötüye kullanımı incelemek ve kararları belgelemek için ilgili kimlikleri, bildirim nedenini ve ayrıntılarını, durumu, zamanları, işlemleri ve iç notları işleriz. Ayrıca Kullanım Şartları’nın kabulünü (hesap, belge türü, sürüm, SHA-256 özeti, dil, zaman, uygulama sürümü) IP adresi olmadan sözleşme kanıtı olarak saklarız. Hukuki sebep: GDPR m. 6/1-b ve f, münferit durumlarda c veya hukuki taleplerin tesisi, kullanılması ya da savunulması; KVKK m. 5/2-c, ç, e, f. Saklama: uygulama, belgeleme, itiraz veya yasal yükümlülükler için gerektiği sürece; kabul kayıtları kesin hesap silinmesine kadar.

3.14 Fuarlar ve etkinlikler. Fuar kataloğu (ad, tarih, yer, organizatör) kişisel veri içermez. Fuarları takip eder veya kişileri fuara atarsanız bu ilişkiyi hesabınızda saklarız. Bir katılımcı listesine katılırsanız katılımınız ve profil bilgileriniz (ad, unvan, şirket, avatar, kart bağlantısı) listeden ayrılana kadar giriş yapmış diğer katılımcılara görünür. Hukuki sebep: GDPR m. 6/1-b; KVKK m. 5/2-c.

3.15 Kartlardaki gömülü medya. Bir kart sahibi YouTube veya Vimeo videosu ya da harici barındırılan bir görsel gömebilir. Videolar yalnızca “Videoyu yükle” düğmesine tıkladıktan sonra yüklenir: o ana kadar YouTube veya Vimeo ile hiçbir bağlantı kurulmaz. Tıkladıktan sonra tarayıcınız sağlayıcıya (YouTube için youtube-nocookie.com, Vimeo için “Do Not Track” parametreli player.vimeo.com) bağlanır; sağlayıcı IP adresini, kullanıcı aracısını ve istenen adresi alır. Harici barındırılan görseller ise kart açılırken doğrudan ilgili sunucudan yüklenir. Hukuki sebep: videolar için tıklamayla verdiğiniz açık rıza, GDPR m. 6/1-a, KVKK m. 5/1 ve TDDDG § 25/1; görseller için GDPR m. 6/1-f; KVKK m. 5/2-f. Gömmeden kart sahibi sorumludur. Sağlayıcılar verileri kendi gizlilik politikalarına göre işler.

3.16 Özel alan adı. Kartınıza kendi alan adınızı bağlarsanız ana makine adını, sahiplik doğrulamasını ve DNS/TLS durumunu işleriz. Sertifikaları, ana makine adını alan sertifika otoritesi Let’s Encrypt (Internet Security Research Group, ABD) düzenler. Hukuki sebep: GDPR m. 6/1-b; KVKK m. 5/2-c.

3.17 NFC kart bekleme listesi. Fiziksel bir OpSo NFC kartı planlıyoruz. Henüz satışta değildir ve hiçbir ücret alınmaz; bekleme listesi yalnızca ilgiyi kaydeder. İsteklerinizi (malzeme, logo var/yok, adet, not), dili ve tarihi saklarız; web’de ayrıca girdiğiniz e-posta adresini ve rızanızı, uygulamada hesabınızla bağlantıyı. Amaç: erişilebilirlik ve ön sipariş hakkında bilgilendirme ve talep tahmini. Hukuki sebep: açık rıza, GDPR m. 6/1-a; KVKK m. 5/1. Silme: lansman e-postasından sonra, en geç kayıttan 12 ay sonra; uygulama içi kayıtlar ayrıca hesapla birlikte. Geri çekme: istediğiniz zaman info@opsolid.de adresine e-posta ile.

3.18 Yedekleme. Arızalardan kurtarma için veritabanını ve medyayı günlük yedekleriz. Yedekler tarafımızca şifrelenerek Almanya’daki ayrı bir sağlayıcıda (madde 4) saklanır; 14 günlük geri yükleme noktası ve yazmaya karşı korumalı iki günlük kopya tutulur. Hukuki sebep: GDPR m. 6/1-f (erişilebilirlik ve geri yüklenebilirlik, m. 32); KVKK m. 5/2-f ve m. 12. Silinen veriler bu nedenle kesin silmeden sonra en çok 14 gün erişime kapalı yedeklerde kalabilir; geri yükleme durumunda silmeleri yeniden uygularız.

3.19 Yapay zekâ özellikleri. Sunucuda harici bir yapay zekâ sağlayıcısıyla çalışan isteğe bağlı metin önerileri (kısa tanıtım, SEO metni, takip taslağı) bulunur. Bu özellikler şu an etkin değildir; hiçbir veri yapay zekâ sağlayıcısına gönderilmez. Etkinleştirmeden önce bu metni güncelleriz.

3.20 Satın almalar ve abonelikler (sunulursa). Bugün satın alma yapılamaz. Google Play üzerinden bir abonelik sunulur ve satın alınırsa Google’a anonim bir hesap tanımlayıcısı gönderir, satın alma belirtecini HTTPS ile sunucumuza iletir ve sunucumuz bunu Google ile doğrular. Belirteci şifreli olarak (ve özetini), ürün ve tarifeyi, durumu, onayı, yenileme göstergesini, doğrulama zamanlarını ve erişim tarihlerini çalışma alanınıza bağlı olarak saklarız. Amaç: erişim sağlamak, satın almaları geri yüklemek, değişiklikleri mutabık kılmak ve dolandırıcılığı önlemek; reklam yoktur. Hukuki sebep: GDPR m. 6/1-b ve f (dolandırıcılığı önleme); KVKK m. 5/2-c ve f. Saklama: çalışma alanı var olduğu sürece; tek üyeli bir çalışma alanı silinirse veriler de silinir, devam eden ortak bir çalışma alanında kalan üyeler için kalır; yasal saklama yükümlülükleri saklıdır. Ödeme kartı veya banka bilgisi almayız; Google ödeme verilerini bağımsız veri sorumlusu olarak işler. Hesabı silmek mağaza aboneliğini iptal etmez.

3.21 Uygulama güncellemeleri. Güncelleme işlevi olan uygulama sürümlerinde uygulama, açılışta Expo’ya (650 Industries, Inc., ABD; “Expo Update” hizmeti, eski adıyla EAS Update) uygulama kodunun daha yeni bir sürümü olup olmadığını sorar ve varsa indirir. Bu yolla yalnızca hata düzeltmeleri, metin ve çeviri düzeltmeleri ile küçük arayüz düzeltmeleri gönderiyoruz; yeni özellikler size yalnızca App Store veya Google Play güncellemesiyle ulaşır. Uygulama bu isteklerde Expo’ya şunları iletir: platform (Android veya iOS), çalışma zamanı sürümü (yüklü uygulama sürümünün tanımlayıcısı), güncelleme kanalı, çalışan, uygulamayla gelen ve istenen güncellemenin ve son zamanlarda başarısız olan güncellemelerin tanımlayıcıları, bu kuruluma ait rastgele üretilmiş bir tanımlayıcı (istemci kimliği) ve varsa Expo’nun aşamalı dağıtım için uygulamaya daha önce verdiği teknik değerler. Bunlara olağan bağlantı verileri eklenir: IP adresi ve User-Agent; iPhone’da User-Agent ayrıca uygulama derlemesini ve işletim sistemi sürümünü içerir. Uygulama açılışta çökerse veya bir güncelleme yüklenemezse, uygulama teknik bir hata metnini (en çok 1024 karakter) bir sonraki isteğe kadar cihazda tutabilir ve ardından bir kez gönderebilir; bu metin serbest metin içerebilir. Bu süreçte hesap, kişi veya kart içeriğini bilerek göndermeyiz. Amaçlar ve roller: Expo güncellemeleri bizim adımıza sunar, istemci kimliğine göre önce kurulumların yalnızca bir kısmına açar ve güncelleme panelimiz için her güncellemede kurulum ve başarısız kurulum sayısını sayar; böylece hatalı güncellemeleri fark edip geri çekebiliriz. Bu kapsamda Expo veri işleyenimizdir (Expo kullanım koşullarındaki veri işleme hükümleri, AB Standart Sözleşme Hükümleri dâhil). Expo ayrıca istek verilerini kendi hizmetinin kullanımını ölçmek için (bize yaptığı faturalamanın temeli) kullanır ve gizlilik politikasında açıkladığı ölçüde, örneğin toplu biçimde hizmetlerini geliştirmek için, kendi amaçlarıyla işler; bundan Expo kendisi sorumludur (expo.dev/privacy). Hukuki sebep: GDPR m. 6/1-f; KVKK m. 5/2-f. Meşru menfaatimiz, hata ve güvenlik düzeltmelerini hızlı, aşamalı ve geri alınabilir biçimde ulaştırmak ve bunun için Expo’nun hizmetini kullanabilmektir. Madde 7’deki itiraz hakkınız saklıdır. ABD’ye aktarım: Expo, AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalıdır (GDPR m. 45); ayrıca Expo kullanım koşullarındaki AB Standart Sözleşme Hükümleri uygulanır (GDPR m. 46/2-c). Bunlar GDPR kapsamındaki güvencelerdir. Saklama: Expo istemci kimliğini ve IP adresini her istekle birlikte saklar. Expo’nun açıklamasına göre hata metni yalnızca üç gün sonra silinen ham istek kayıtlarında tutulur. Diğer istek verileri için Expo sabit bir süre yayımlamamıştır; kendi açıklamasına göre bunları yalnızca belirtilen amaçlar için gerekli olduğu sürece saklar. Expo Update’i kullanmayı bırakırsak Expo, bizim adımıza işlediği verileri Standart Sözleşme Hükümleri uyarınca silmek veya bize iade etmek zorundadır. Cihazınızda istemci kimliği ve uygulama kodu dosyaları, uygulamayı silene veya verilerini sıfırlayana kadar kalır; artık gerekmeyen güncellemeleri uygulama kendisi siler, hata metni ise gönderildikten sonra silinir. iPhone’da istemci kimliği, cihaz yedeğiyle yeni bir cihaza geçebilir. İstemci kimliğini kendimiz bir hesapla veya kişiyle eşleştiremeyiz (GDPR m. 11). Bu sorgu anlık bildirimlerden (madde 3.10) bağımsızdır ve bildirimlere izin vermemiş olsanız da çalışır.

4. Alıcılar ve veri işleyenler

İlgili özellik kullanıldığında aşağıdaki hizmet sağlayıcıları kullanırız. Veri işleyenlerle GDPR m. 28 uyarınca sözleşmeler bulunur.

• Hostinger International Ltd. – uygulama ve veritabanı için sunucu (VPS); konum Vilnius, Litvanya (AB).
• Cloudflare, Inc. (ABD, AB şirketiyle) – medya için özel R2 nesne depolama ve sunum; depolama konumunu Cloudflare belirler.
• Oracle Cloud Infrastructure – şifreli yedekler, Almanya Orta (Frankfurt) bölgesi. İçeriği aktarımdan önce biz şifreleriz; sağlayıcı yalnızca şifreli veri görür.
• Brevo (Sendinblue SAS, Fransa) – giriş kodlarının ve bildirimlerin e-posta ile gönderimi. Hizmeti değiştirirsek (ör. bir SMTP sağlayıcısına) bu metni güncelleriz.
• Expo (650 Industries, Inc., ABD) ve Google (Firebase Cloud Messaging) – anlık bildirimlerin iletimi; Expo ayrıca uygulama güncellemelerinin sunulması (madde 3.21).
• Google (Google Ireland Ltd. / Google LLC) – Google ile giriş, tarama bileşenleri (ML Kit; Android ve iPhone), Play hizmetleri (Android). Abonelikte ayrıca Google Play (satın alma doğrulaması).
• Apple (Apple Distribution International Ltd., İrlanda; verileri Standart Sözleşme Maddelerine dayanarak Apple Inc., ABD’ye aktarabilir) – Apple ile giriş; iPhone’da ayrıca Apple Push Notification service (APNs) üzerinden anlık bildirimlerin iletimi.
• Let’s Encrypt (ISRG, ABD) – alan adlarımız ve kullanılıyorsa kendi alan adınız için TLS sertifikaları.
• YouTube / Vimeo – yalnızca bir kart sahibi video gömdüğünde (madde 3.15).

Veriler ayrıca sizin yönlendirmeniz hâlinde diğer kullanıcılara (herkese açık kart, kabul edilen bağlantı, mesaj, katılımcı listesi) ve yasal yükümlülüğümüz olduğunda ya da hukuki taleplerin tesisi, kullanılması veya savunulması için gerektiğinde makam ve mahkemelere iletilir.

Yurt dışına aktarım. Alıcılar verileri AEA dışında (özellikle ABD: Cloudflare, Expo (anlık bildirim iletimi ve uygulama güncellemeleri), Google, Let’s Encrypt ve Apple Distribution International üzerinden Apple Inc.) işlediğinde, alıcı sertifikalıysa AB-ABD Veri Gizliliği Çerçevesi yeterlilik kararına, aksi hâlde AB Standart Sözleşme Hükümleri’ne (GDPR m. 46/2-c) dayanılır. Güvencelerin bir kopyasını info@opsolid.de adresinden isteyebilirsiniz. Bu paragrafta anılan güvenceler (AB-ABD Veri Gizliliği Çerçevesi, AB Standart Sözleşme Hükümleri) GDPR kapsamındadır. KVKK bakımından kişisel verilerin hangi ülkelerdeki hangi alıcı gruplarına ve hangi amaçla aktarıldığı madde 10’da belirtilmiştir. AB, AEA, Birleşik Krallık ve İsviçre dışındaki kişiler için ayrıca madde 12 geçerlidir.

5. Cihaz erişimleri, çerezler ve yerel depolama (TDDDG § 25)

• Web siteleri: Analiz, reklam veya izleme amaçlı çerez kullanmayız ve parmak izi almayız. Ana sayfada yalnızca seçtiğiniz dil tarayıcınızın yerel depolamasında tutulur. Bu, TDDDG § 25/2 no. 2 uyarınca rıza gerektirmez; bu yüzden çerez bandı göstermeyiz. Yazı tipleri Google Fonts’tan değil, bizden sunulur.
• Uygulama: Oturum verilerini cihazın güvenli depolamasında, ayrıca görünüm ve dil ayarlarını saklarız. Bu, istediğiniz hizmeti sunmak için kesinlikle gereklidir (TDDDG § 25/2 no. 2). Kamera, fotoğraf ve bildirim erişimini sistem pencereleriyle isteriz; kamerayı yalnızca tarama ve fotoğraf için kullanırız, izni sistem ayarlarından istediğiniz an geri alabilirsiniz. Uygulama güncellemeleri (madde 3.21) için uygulama ayrıca indirilen uygulama kodu dosyalarını, güncellemelerin ve açılış durumlarının dahili bir listesini ve başarısız bir açılıştan sonra bir sonraki sorguya kadar teknik bir hata metnini cihazda saklar; bu, kullandığınız uygulamayı sunmak için kesinlikle gereklidir (TDDDG § 25/2 no. 2). Ayrıca, güncellemelerin aşamalı olarak dağıtılabilmesi ve her güncellemede sayılabilmesi için güncelleme sorgusunda Expo’ya gönderilen, rastgele üretilmiş bir tanımlayıcı (istemci kimliği) saklar (madde 3.21).
• Üçüncü taraf gömülü içerik (madde 3.15) yüklenirken cihazınıza kendi erişimlerini tetikleyebilir; bundan ilgili sağlayıcı veya kart sahibi sorumludur.

6. Saklama süresi ve hesabınızı silme

Verileri hesabınız var olduğu sürece, bunun ötesinde yalnızca yasaların gerektirdiği veya hukuki taleplerin savunulması için gerekli olduğu ölçüde saklarız. Tekil süreler yukarıdaki işleme faaliyetlerinde belirtilmiştir.

Hesabınızı istediğiniz zaman uygulamada Ayarlar → Hesabı sil yolundan sonlandırabilirsiniz (uygulamasız talep ve yönergeler: Hesabı sil). Hesap hemen devre dışı bırakılır, tüm cihazlardan çıkış yapılır, herkese açık kartlar kapatılır; hesap, kartlar, kişiler, bağlantıyla ilgili mesajlar ve yüklenen medya 30 gün içinde kalıcı olarak silinir; yalnızca yayınlanmış kartların bağlantı adları 90 gün ayrılmış tutulur (madde 3.4). Sonrasında veriler en fazla şifreli yedeklerde (madde 3.18) ve yasal saklama süreleri dolana kadar kalır. Başka hesaplar hakkındaki bildirimler silmeden etkilenebilir veya kimliksizleştirilebilir; yasal bir yükümlülük ya da talep için gereken kayıtları yalnızca bu amaçla saklarız. Silme, varsa bir mağaza aboneliğini iptal etmez (madde 3.20); bugün satın alma yapılamaz.

Giriş kodları 15 dakika sonra geçersiz olur. NFC bekleme listesinin kendi süreleri vardır (madde 3.17).

7. Haklarınız

• Erişim (GDPR m. 15), düzeltme (m. 16), silme (m. 17), işlemenin kısıtlanması (m. 18) ve veri taşınabilirliği (m. 20). Uygulamada Ayarlar → “Verilerimi indir” altından makine tarafından okunabilir bir dışa aktarım alabilirsiniz; kendi mesajlarınızı ve tepkilerinizi içerir, karşı tarafın özel içeriğini içermez.
• İtiraz (m. 21): Verileri meşru menfaate (m. 6/1-f) dayanarak işlediğimizde, özel durumunuzdan kaynaklanan nedenlerle istediğiniz an itiraz edebilirsiniz. Menfaatlerinizi aşan zorlayıcı meşru nedenler göstermedikçe veya işleme hukuki taleplerin tesisine, kullanılmasına ya da savunulmasına hizmet etmedikçe işlemeyi durdururuz.
• Rızanın geri çekilmesi (m. 7/3) ileriye dönük etkilidir; o ana kadarki işlemenin hukuka uygunluğu etkilenmez.
• Şikâyet: Bir denetim otoritesine (m. 77), özellikle ikamet veya iş yeri olduğunuz üye devlette. Bizim için yetkili otorite Kuzey Ren-Vestfalya Eyaleti Veri Koruma ve Bilgi Özgürlüğü Komiserliği’dir (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Almanya (ldi.nrw.de). Türkiye’deki ilgili kişiler ayrıca Kişisel Verileri Koruma Kurulu’na başvurabilir. Madde 12’de sayılan ülkelerin makamları orada belirtilmiştir.

Haklarınızı kullanmak için info@opsolid.de adresine yazın. Yasal süre içinde, genellikle bir ay içinde yanıt veririz. Kötüye kullanımı önlemek için kimliğinizi doğrulamanızı isteyebiliriz.

8. Veri sağlama zorunluluğu, otomatik karar

Hesap için bir e-posta adresi gereklidir; bu olmadan hizmeti sunamayız. Diğer tüm bilgiler isteğe bağlıdır. GDPR m. 22 anlamında profilleme dahil otomatik karar verme yapılmaz.

9. Çocuklar

OpSo, çalışanlara ve işletme sahiplerine yöneliktir. 16 yaşın altındaki kişilerden bilerek veri toplamayız.

10. KVKK Aydınlatma Metni (Türkiye)

Bu madde, 6698 sayılı Kanun’un 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ kapsamında Türkiye’deki ilgili kişileri bilgilendirir.

• Veri sorumlusu: Madde 1’de belirtilen OpSolid – Hasan Dönmez (Einzelunternehmen), Arnsberg, Almanya. İletişim: info@opsolid.de.
• İşlenen kişisel veriler, amaçlar ve hukuki sebepler: Madde 3’te sayılmıştır. İşleme; sözleşmenin kurulması ve ifası (KVKK m. 5/2-c), hukuki yükümlülük (m. 5/2-ç), bir hakkın tesisi, kullanılması veya korunması (m. 5/2-e), meşru menfaat (m. 5/2-f) ve belirtilen yerlerde açık rıza (m. 5/1) hukuki sebeplerine dayanır.
• Toplama yöntemi: Uygulama, web siteleri ve kart sayfaları üzerinden, tamamen veya kısmen otomatik yollarla, sizin girdiğiniz bilgilerden ve cihazınızın teknik verilerinden.
• Aktarım: Verileriniz, madde 3’te her işleme için belirtilen amaçlarla şu alıcı gruplarına aktarılır: barındırma, depolama ve yedekleme hizmeti sağlayıcıları (Litvanya, Almanya, ABD), e-posta gönderim hizmeti (Fransa), anlık bildirim ve uygulama güncelleme hizmeti (ABD), giriş ve platform hizmetleri (Google, Apple; İrlanda ve ABD), sertifika hizmeti (ABD), video yerleştirme hizmetleri (YouTube, Vimeo; ABD), sizin yönlendirdiğiniz diğer kullanıcılar ve yasal yükümlülük hâlinde yetkili makamlar ve mahkemeler. Ayrıntılar için madde 4’e bakın.
• KVKK m. 11 kapsamındaki haklarınız: verinin işlenip işlenmediğini öğrenme; işlenmişse bilgi talep etme; amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmişse düzeltilmesini isteme; KVKK m. 7 kapsamında silinmesini veya yok edilmesini isteme ve bunların aktarıldığı üçüncü kişilere bildirilmesini isteme; işlenen verilerin otomatik sistemlerle analiziyle aleyhinize bir sonuç çıkmasına itiraz etme; kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.
• Başvuru yöntemi: Taleplerinizi info@opsolid.de adresine yazılı olarak (e-posta ile) iletebilirsiniz. Başvurunuz niteliğine göre en geç otuz gün içinde sonuçlandırılır. Başvurunuzda kimliğinizi ve talebinizi açıkça belirtmeniz gerekir.

11. Değişiklikler

Özellikler, hizmet sağlayıcılar veya mevzuat değiştiğinde bu metni güncelleriz. Yayımlandığı andaki sürüm, yukarıdaki tarihle geçerlidir. Önemli değişiklikleri uygulamada duyururuz.

12. AB/AEA, Birleşik Krallık ve İsviçre dışındaki kullanıcılar

Bu madde, AB, AEA, Birleşik Krallık ve İsviçre dışındaki kullanıcılar ve diğer ilgili kişiler için diğer maddeleri tamamlar; bu, özellikle Avustralya, Yeni Zelanda, Singapur, İsrail, Güney Afrika, Birleşik Arap Emirlikleri ve Hong Kong’daki kişileri kapsar. Diğer maddeler de sizin için geçerlidir. Almanya’da yerleşik olduğumuz için GDPR, verileriniz dâhil tüm işleme faaliyetlerimize uygulanır (GDPR m. 3/1) ve AB’deki kullanıcılarla aynı haklara sahipsiniz. Ülkenizin hukuku size daha geniş haklar tanıyorsa, bize uygulandığı ölçüde bu hakları bize karşı da kullanabilirsiniz. Türkiye’deki kişiler için ayrıca madde 10 geçerlidir; KVKK kapsamında yurt dışına aktarıma ilişkin bilgiler bu maddede değil, madde 10’da yer alır.

Verilerinizin aktarıldığı yerler. OpSo’yu AB dışından kullandığınızda verileriniz AB’ye aktarılır: sunucu ve veritabanı Litvanya’da, şifreli yedekler Almanya’dadır; e-postaları Fransa merkezli bir hizmet sağlayıcı gönderir. İlgili özelliği kullandığınızda madde 4’te sayılan hizmet sağlayıcılar da veri alır. Bunların arasında ABD’deki (Cloudflare, Expo, Google, Apple, Let’s Encrypt) ve İrlanda’daki (Google, Apple) alıcılar bulunur. Medyanın saklandığı yeri Cloudflare belirler (madde 4). Diğer kullanıcılar verileri yalnızca sizin yönlendirmenizle alır (madde 4).

Aktarımda koruma. Verileriniz, AB’deki kullanıcıların verileriyle aynı korumadan yararlanır. Veri işleyenlerimizle GDPR m. 28 uyarınca sözleşmeler bulunur; veri işleyen olarak hareket ettikleri ölçüde verileri yalnızca talimatımız doğrultusunda kullanabilirler. ABD’deki alıcılar için ayrıca madde 4’teki güvenceler geçerlidir: alıcı sertifikalıysa AB-ABD Veri Gizliliği Çerçevesi, aksi hâlde AB Standart Sözleşme Hükümleri. Google, Apple ve Expo bazı verileri kısmen bağımsız veri sorumlusu olarak işler (madde 3.3, 3.12 ve 3.21). Ülkenizin hukuku bize uygulanıyor ve yurt dışına aktarımlar ya da bunlara ilişkin güvenceler hakkında bilgi verilmesini gerektiriyorsa, bu bilgileri bu maddede ve madde 4’te bulabilirsiniz.

Gizlilik konularında yetkili kişi. Gizlilikten sorumlu kişi ve bu maddedeki tüm talepler için başvurulacak kişi, madde 1’de belirtilen işletme sahibidir. İşletme sahibi aynı zamanda Singapur’da PDPA bölüm 11 uyarınca Data Protection Officer ve Yeni Zelanda’da Privacy Act 2020 bölüm 201 uyarınca privacy officer’dır; info@opsolid.de adresinden ulaşılabilir. POPIA (Güney Afrika) kapsamındaki talepler de işletme sahibine iletilir. Bu, GDPR anlamında bir veri koruma görevlisi ataması değildir (madde 1).

Erişim ve düzeltme. Madde 7 uyarınca ve ülkenizin hukuku bize uygulanıyorsa o hukuk uyarınca da verilerinize erişim talep edebilir ve verilerinizin düzeltilmesini isteyebilirsiniz. info@opsolid.de adresine yazın. Talep ücretsizdir; kimliğinizi doğrulamanızı isteyebiliriz. Yasal süre içinde, genellikle bir ay içinde yanıt veririz (madde 7). Ülkenizin hukukundaki sürelere uyarız: Yeni Zelanda’da kararımızı 20 iş günü içinde bildiririz. Singapur’da 30 gün içinde yanıt veririz ya da bu süre içinde ne zaman yanıt vereceğimizi yazılı olarak bildiririz.

Veri ihlalleri. Verilerinizin güvenliği ihlal edilirse, uygulanacak hukukun gerektirdiği hâllerde ve öngördüğü süre içinde sizi ve yetkili makamı bilgilendiririz. GDPR m. 33 ve 34’ten doğan yükümlülüklerimiz saklıdır.

Şikâyetler. Verilerinizi nasıl işlediğimize dair şikâyetlerinizi info@opsolid.de adresine iletebilirsiniz; inceler ve genellikle bir ay içinde yazılı olarak yanıt veririz. Madde 7’de belirtilen Almanya’daki makama her zaman başvurabilirsiniz. Ülkenizin veri koruma makamına da başvurabilirsiniz. Makamın başvurunuzu inceleyip incelemeyeceği ve nasıl inceleyeceği o ülkenin hukukuna bağlıdır; bazı makamlar, örneğin Avustralya ve Singapur’dakiler, önce bize başvurmanızı bekler. Makamlar ve ilgili kanunlar:

• Avustralya: Office of the Australian Information Commissioner (OAIC), oaic.gov.au – Privacy Act 1988, APP 12 ve 13, Privacy Act’in bize uygulandığı ölçüde.
• Yeni Zelanda: Office of the Privacy Commissioner, privacy.org.nz – Privacy Act 2020, IPP 6 ve 7.
• Singapur: Personal Data Protection Commission (PDPC), pdpc.gov.sg – Personal Data Protection Act 2012, bölüm 21 ve 22.
• İsrail: Privacy Protection Authority, gov.il – Protection of Privacy Law 5741-1981, bölüm 13 ve 14.
• Güney Afrika: Information Regulator, Woodmead North Office Park, 54 Maxwell Drive, Woodmead, Johannesburg 2191, POPIAComplaints@inforegulator.org.za, inforegulator.org.za – 2013 tarihli ve 4 sayılı Protection of Personal Information Act (POPIA), bölüm 23 ve 24.
• Birleşik Arap Emirlikleri: PDPL kapsamında yetkili federal makam (resmî devlet portalında şu anda UAE Data Office belirtilmektedir), u.ae – 2021 tarihli ve 45 sayılı Federal Kanun Hükmünde Kararname (PDPL).
• Hong Kong: Office of the Privacy Commissioner for Personal Data (PCPD), pcpd.org.hk – Personal Data (Privacy) Ordinance (Cap. 486, PDPO), bölüm 18 ve 22.

Diğer kullanıcıların kaydettiği kişiler. Başka bir kullanıcı bilgilerinizi, örneğin kartvizitinizi tarayarak, kişi olarak kaydederse (madde 3.6), buna o kullanıcı karar verir ve bundan o sorumludur. Uygulanacak hukukun gerektirdiği hâllerde sizi bilgilendirmek de buna dâhildir (örneğin Yeni Zelanda’da IPP 3A). Bu verileri o kullanıcıya hizmeti sunmak için saklarız; kullanıcı OpSo’yu ticari amaçla kullanıyorsa bu kapsamda verileri onun adına işleriz (madde 1). Haklarınızı o kullanıcıya karşı kullanabilirsiniz. Bize yazarsanız yanıt vermesi için ona destek oluruz; veriler için kendimiz sorumlu olduğumuz ölçüde size doğrudan yanıt veririz.