Gizlilik politikası ve KVKK aydınlatma metni

1. Veri sorumlusu ve iletişim

Veri sorumlusu QRVesta'dır. Gizlilikle ilgili her soru ve talep için info@qrvesta.com adresine yazabilir ya da iletişim formunu kullanabilirsiniz.

2. İki rolümüz

Veri sorumlusu olarak bu sitenin ziyaretçilerine, iletişim formuna yazanlara ve panel hesaplarının giriş ve güvenlik bilgilerine ilişkin verileri işleriz.

Veri işleyen olarak müşterilerimizin çalışma alanlarına girdiği içeriği (QR kodları, hedefleri, kartvizit bilgileri, logolar) ve kodlarının tarama istatistiklerini, o müşterinin talimatıyla ve yalnızca hizmeti sunmak için işleriz. Bu veriler için veri sorumlusu ilgili müşteridir; şartlar veri işleme sözleşmesinde yazılıdır. Böyle bir veriyle ilgili talebinizi bize iletirseniz ilgili müşteriye yönlendiririz.

3. Hangi verileri işliyoruz

• QR kodu tarayanlar: Dinamik bir kod tarandığında yalnızca tarama zamanı, ülke, cihaz türü (mobil, tablet, masaüstü, diğer) ve işletim sistemi kaydedilir. Ülkeyi Cloudflare bağlantıdan belirler; cihaz türü ve işletim sistemi tarayıcının gönderdiği tanıtım bilgisinden (user agent) çıkarılır. IP adresi ve tanıtım bilgisinin kendisi kaydedilmez; bu kayıtlar bir kişiyi tanımlamaz. Aynı ağdan aynı kod için dakikada en fazla bir tarama sayılır; bu sınır Cloudflare'in hız sınırlayıcısında tutulur, veritabanına yazılmaz.
• Taramadan sonra gidilen yerler: Web sitesi kodları tarayan kişiyi müşterinin belirlediği adrese, konum kodları Google Haritalar'a (Google LLC) yönlendirir. Bu durumda tarayıcınız o siteye doğrudan bağlanır ve o site IP adresiniz gibi bağlantı bilgilerini kendi gizlilik politikasına göre işler. Biz bu sitelere veri göndermeyiz ve hangi sayfadan gelindiğini (referrer) iletmeyiz.
• Panel kullanıcıları: kullanıcı adı, görünen ad, şifrenin geri çevrilemez özeti (şifrenin kendisi saklanmaz), çalışma alanı üyelikleri ve rolleri, son giriş zamanı; oturumlar (başlangıç, son etkinlik ve bitiş zamanı) ve güvenilen cihazlar. Telefon numarası istemeyiz. E-posta adresi isteğe bağlıdır: kullanıcılar bildirimleri e-postayla almak için profillerine ekleyebilir. Adres ancak sahibi ona gönderdiğimiz bağlantıyla onayladıktan sonra ve yalnızca bu bildirimler ile onay için kullanılır (asla pazarlama için değil). Bu e-postalar e-posta gönderim sağlayıcımız üzerinden gönderilir.
• Etkinlik kaydı: Çalışma alanında kimin ne zaman ne yaptığı (ör. kod oluşturma, düzenleme, kullanıcı ekleme), işlemi yapanın o anki görünen adı ve ilgili kaydın o anki adı. Bazı kayıtlar kullanıcı adlarını ve önceki görünen adları da içerir (ör. kullanıcı ekleme, silme, yeniden adlandırma). Bu adlar, kullanıcı ya da kayıt silinse bile kaydın saklama süresi dolana kadar etkinlik kaydında kalır. Giriş ve çıkış olaylarında ayrıca kısaltılmış IP adresi (IPv4 adresinin son bölümü sıfırlanır, IPv6 adresinin yalnızca /48 öneki tutulur) ve ülke kaydedilir; başarısız girişlerde yazılan kullanıcı adı da kaydedilir (yalnızca o hesap varsa).
• Giriş denemesi sayaçları: Şifre tahminini sınırlamak için kullanıcı adına (var olmayan adlar dahil), ağ adresine (tam IPv4 adresi ya da IPv6 /64 öneki) veya cihaza bağlı kısa ömürlü sayaçlar; en fazla yaklaşık 24 saat tutulur.
• Bağlantı önizlemesi: Panelde bir web sitesi kodunun telefon önizlemesini açtığınızda sunucumuz hedef sayfayı ve önizleme görselini kendisi indirir; tarayıcınız o siteye bağlanmaz. Sayfa başlığı, açıklaması ve görseli Cloudflare'in önbelleğinde en fazla bir saat tutulur.
• Çalışma alanı içeriği: QR kodları ve hedefleri, kodlara yazılan içerik (ör. kartvizitteki ad, telefon, e-posta), klasörler, projeler, logolar ve marka renkleri. Bunları müşterilerimiz girer.
• İletişim formu: ad, e-posta adresi, isteğe bağlı firma adı, konu ve mesaj. Mesaj bize e-posta olarak iletilir, sitede saklanmaz. Kötüye kullanımı önlemek için IP adresiniz Cloudflare'in hız sınırlayıcısında ve Cloudflare Turnstile doğrulamasında kısa süreli kullanılır; biz kaydetmeyiz.
• Site ziyaretçileri: Analiz, reklam ya da izleme aracı kullanmayız. Siteyi sunmak ve korumak için Cloudflare bağlantı bilgilerini (ör. IP adresi, istenen adres) işler. Sunucu kayıtlarımız (Cloudflare Workers Logs) yalnızca uygulamanın yazdığı hata ve bakım iletilerini tutar; istek başına otomatik kayıtlar (IP adresi ve tarayıcı bilgisi dahil) kapalıdır. Bu iletilerin saklama süresini Cloudflare belirler (birkaç gün).

Verileri elektronik ortamda; siteyi, paneli, kısa bağlantıları ve iletişim formunu kullanmanız sırasında otomatik ya da sizin girişinizle toplarız.

4. Amaçlar ve hukuki sebepler

Verilerinizi satmayız, reklam için kullanmayız ve profil çıkarmayız.

5. Saklama süreleri

Süreler kodda tanımlıdır ve her gün çalışan otomatik temizlik ile uygulanır:

• Taramalar: 366 gün; ardından silinir. Bir kodun toplam tarama sayısı ve son tarama zamanı kod durdukça kalır.
• Etkinlik kaydı: 365 gün; giriş, çıkış, başarısız ve engellenen giriş kayıtları (kısaltılmış IP adresiyle) 90 gün. Silinen kullanıcıların ve kayıtların adları bu süreler dolana kadar etkinlik kaydında kalır.
• Giriş denemesi sayaçları: 24 saat kullanılmazsa silinir.
• Oturumlar: Tarayıcı kapanınca, en geç 12 saat sonra biter; "beni hatırla" ile en fazla 30 gün. 7 gün kullanılmayan oturum sona erer.
• Güvenilen cihazlar: 365 gün girişte kullanılmazsa unutulur.
• Kullanılmayan logolar: 24 saat sonra silinir.
• Hesaplar ve çalışma alanı içeriği: Hizmet sürdükçe; müşteri sildiğinde ya da çalışma alanı silindiğinde silinir.
• Bildirim e-posta adresi: Kullanıcı kaldırana ya da hesap silinene kadar. Onay bağlantısı 24 saat geçerlidir. Gönderdiğimiz e-postaların kopyaları (alıcı, konu, metin) sorun gidermek için 14 gün tutulur, sonra silinir.
• İletişim mesajları: Yazışma için gerektiği sürece e-posta kutumuzda kalır, sonra silinir.
• Yedekler: Veritabanı her gece otomatik olarak yedeklenir. Her yedek, anahtarı yalnızca işletmecide bulunan AES-256 şifrelemesiyle şifrelenir (hizmetin kendisi yedekleri okuyamaz) ve Cloudflare R2'de, Avrupa Birliği yetki alanında saklanır; yalnızca en yeni 14 yedek tutulur, her yeni yedek en eskisini siler. Ayrıca Cloudflare D1'in zamanda geri dönüş (Time Travel) özelliği veritabanının geçmiş hâllerini, hesabın planına göre Cloudflare'in belirlediği süre boyunca (en fazla 7 gün) tutar. Silinen veriler yedeklerde en fazla 14 gün, Time Travel'da en fazla 7 gün kalabilir.

6. Verilerin bulunduğu yer ve aktarım

Hizmet Cloudflare, Inc. (ABD) altyapısında çalışır. Veritabanı Cloudflare D1'de, Batı Avrupa konum tercihiyle tutulur. İstekler size en yakın Cloudflare veri merkezinde karşılandığından veriler Türkiye ve Avrupa Ekonomik Alanı dışında da işlenebilir. İletişim formu mesajları işletmecinin Google (Gmail) e-posta kutusuna gelir. Kullanıcılara giden bildirim ve onay e-postaları e-posta gönderim sağlayıcımız üzerinden gönderilir; bu sağlayıcı, e-posta gönderimi açıldığında alt işleyenler sayfasında listelenir. Şifreli veritabanı yedekleri Cloudflare R2'de, Avrupa Birliği yetki alanında saklanır.

Yurt dışına aktarım KVKK m.9 ve GDPR'ın V. bölümündeki güvencelere (ör. standart sözleşme hükümleri ve hizmet sağlayıcıların veri işleme sözleşmeleri) dayanır. Hizmet sağlayıcılarımızın listesi alt işleyenler sayfasındadır. Verileri yalnızca hukuken zorunlu olduğunda yetkili makamlarla paylaşırız.

7. Güvenlik

• Bağlantılar yalnızca HTTPS ile kurulur.
• Şifreler tuzlanmış ve yavaşlatılmış bir özetle (PBKDF2) saklanır; şifre tahmini kullanıcı adı, ağ ve cihaz başına sınırlanır.
• Oturum çerezleri betiklerin okuyamadığı, yalnızca bu siteye gönderilen çerezlerdir.
• Panel girişi, robotlara karşı Cloudflare Turnstile ile korunur.
• Roller ve proje bazlı erişim, her kullanıcının yalnızca yetkili olduğu verileri görmesini sağlar; Wi-Fi şifreleri yalnızca kodları düzenleyebilen rollere gösterilir. Önemli işlemler etkinlik kaydına yazılır.
• Sayfalar sıkı bir içerik güvenliği politikasıyla sunulur; site ve panel dışarıdan betik yüklemez (iletişim sayfasındaki ve panel girişindeki Cloudflare Turnstile hariç). Panel başka sitelerden görsel de yüklemez; bağlantı önizlemelerinin görsellerini sunucumuz getirir.
• Veritabanı Cloudflare altyapısında tutulur; gecelik yedekleri, anahtarı yalnızca işletmecide bulunan bir şifrelemeyle şifrelenir, bu yüzden hizmetin kendisi onları okuyamaz. Operatör paneli çalışma alanlarının içeriğini göstermez. Operatör bir çalışma alanının verilerini yalnızca bir veri talebini karşılamak için (müşterinin isteğiyle veya hizmet sona erdiğinde) dışa aktarır; her dışa aktarım operatörün kendi etkinlik kaydına yazılır (müşterinin etkinlik kaydında görünmez). Veritabanına doğrudan erişim yalnızca bakım, yedekleme ve destek için ve gerektiği kadar kullanılır.

8. Haklarınız

KVKK m.11 uyarınca kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini, şartları oluştuğunda silinmesini veya yok edilmesini ve bu işlemlerin aktarılan kişilere bildirilmesini isteme, otomatik sistemlerle analiz sonucu aleyhinize bir sonuç çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz.

GDPR kapsamındaysanız ayrıca verilerinize erişme, düzeltme, silme, işlemeyi kısıtlama, veri taşınabilirliği ve itiraz haklarınız vardır.

Taleplerinizi info@qrvesta.com adresine iletin; en geç 30 gün içinde ücretsiz yanıtlarız. Kimliğinizi doğrulamak için ek bilgi isteyebiliriz. Ayrıca Kişisel Verileri Koruma Kurulu'na ya da AB'de bulunduğunuz ülkenin denetim makamına (Macaristan'da NAIH) şikâyette bulunabilirsiniz.

9. Kaliforniya sakinleri (CCPA/CPRA)

Kişisel bilgileri satmayız, bağlamlar arası davranışsal reklam için paylaşmayız ve hassas kişisel bilgileri çıkarım yapmak için kullanmayız. Topladığımız bilgi kategorileri ve amaçları yukarıda yazılıdır: tanımlayıcılar (kullanıcı adı; isteğe bağlı bildirim e-posta adresi; iletişim formunda ad ve e-posta; giriş olaylarında kısaltılmış IP adresi), internet etkinliği (kişiyi tanımlamayan tarama istatistikleri, etkinlik kaydı) ve formda yazdıklarınız.

Bilgilerinizi öğrenme, düzelttirme ve sildirme hakkına sahipsiniz; bu hakları kullandığınız için farklı muameleye maruz kalmazsınız. Talepleriniz için info@qrvesta.com adresine yazın.

10. Çocuklar

QRVesta işletmeler için bir hizmettir ve 16 yaşından küçüklere yönelik değildir. Bilerek çocuklardan veri toplamayız.

11. Değişiklikler

Bu metni hizmet değiştikçe güncelleriz; güncel tarih sayfanın başındadır. Önemli değişiklikleri bu sayfada duyururuz; çalışma alanı yöneticilerine ayrıca, bize bildirdikleri iletişim adresi üzerinden haber vermeye çalışırız. Çerezler için çerez politikasına bakın.