KVKK Aydınlatma Metni

1. Amaç ve kapsam#

Bu aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, SignFlow hizmetini (https://signflow.me ve https://app.signflow.me) kullanan kişilerin kişisel verilerinin nasıl işlendiğini açıklamak amacıyla hazırlanmıştır.

SignFlow, tabela ve reklam ürünleri üreten işletmelere abonelik usulüyle sunulan çok kiracılı bir iş yazılımıdır. Hizmeti satın alan işletme bu metinde “Müşteri”, Müşteri’nin davet ettiği çalışanlar “Kullanıcı” olarak anılır.

2. Veri sorumlusu#

Veri sorumlusu Erelsis Yazılım Teknolojileri Limited Şirketi’dir (“Şirket”).

VERBİS kayıt durumu: Şirket, Kişisel Verileri Koruma Kurulu’nun Veri Sorumluları Siciline kayıt yükümlülüğüne ilişkin kararlarında belirlenen yıllık çalışan sayısı ve yıllık mali bilanço eşiklerinin altında kaldığından şu an Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğü bulunmamaktadır. Bu eşiklerin aşılması halinde Şirket, süresi içinde VERBİS’e kayıt yaptırır ve bu metni günceller.

3. Şirket’in iki farklı rolü#

SignFlow hizmetinde Şirket, işlediği verinin türüne göre iki ayrı rolde bulunur. Bu ayrım, haklarınızı kime karşı kullanacağınızı belirler.

3.1 Veri sorumlusu olarak işlenen veriler#

Hesap, kimlik doğrulama, güvenlik, abonelik, ödeme ve faturalama verileri bakımından Şirket veri sorumlusudur. Bu verilerin işlenme amaçlarını ve araçlarını Şirket belirler. Bu metnin 4 ila 9. bölümleri bu verilere ilişkindir.

3.2 Veri işleyen olarak işlenen veriler#

Müşteri’nin hizmete kendi işi için girdiği veriler (Müşteri’nin kendi müşterileri, iletişim kişileri, siparişler, montaj adresleri ve takvimi, montaj fotoğrafları, tasarım dosyaları ve diğer yüklenen dosyalar, stok, tedarikçiler, satın alma talepleri, notlar, yorumlar ve bildirimler) bakımından veri sorumlusu Müşteri’dir; Şirket bu verileri yalnızca Müşteri adına ve onun talimatları doğrultusunda, hizmetin sunulması amacıyla işleyen veri işleyendir.

Bu verilerin hukuki sebebine dayanmak ve ilgili kişileri aydınlatmak Müşteri’nin yükümlülüğüdür. Şirket bu verileri kendi amaçları için kullanmaz. Şirket personelinin işletme verilerini gözden geçirebileceği bir ekran bulunmaz; bu verilere yalnızca Müşteri’nin talep ettiği destek, güvenlik veya yasal yükümlülük gerektirdiğinde ve gerektiği ölçüde erişilir. Veri işleyen sıfatıyla uyulan esaslar Kullanım Koşulları içinde düzenlenmiştir.

4. İşlenen kişisel veri kategorileri, amaçlar ve hukuki sebepler#

Aşağıdaki veriler KVKK m.5/2 kapsamındaki hukuki sebeplere dayanılarak işlenir. Temel hizmet işlemleri için açık rızaya dayanılmaz.

Kart numaraları Şirket sunucularına ulaşmaz: kart bilgileri, doğrudan PayTR’ye gönderilen bir form üzerinden girilir. TCKN ile PayTR kart ve kullanıcı belirteçleri AES-GCM ile şifrelenerek saklanır. Parolalar yalnızca Argon2 özeti olarak, tek kullanımlık kodlar ve e-posta bağlantı belirteçleri yalnızca anahtarlı özet olarak tutulur.

Ticari elektronik ileti yalnızca ayrıca alınmış onaya dayanılarak gönderilebilir; bugün böyle bir onay toplanmamakta ve ticari elektronik ileti gönderilmemektedir. Hizmetle ilgili bilgilendirme e-postaları (doğrulama, parola sıfırlama, davet, bildirim, deneme süresi hatırlatması, ödeme ve dışa aktarma bildirimleri) ticari ileti niteliğinde değildir.

5. Kişisel verilerin toplanma yöntemi#

Kişisel veriler aşağıdaki yollarla, tamamen veya kısmen otomatik yollarla toplanır:

• Siz veya Müşteri tarafından internet sitesi ve uygulamadaki formlara (kayıt, profil, fatura bilgileri, destek) girilmesi yoluyla.
• Hizmetin kullanımı sırasında otomatik olarak oluşan oturum ve denetim kayıtları ile zorunlu çerezler yoluyla.
• Sizi davet eden Müşteri yetkilisinin davet sırasında girdiği bilgiler (ad, e-posta) yoluyla.
• Ödeme sonucuna ilişkin bilgilerin PayTR’den bildirilmesi yoluyla.
• Destek amacıyla tarafımıza gönderdiğiniz e-postalar yoluyla.

Çerezlere ilişkin ayrıntılar Çerez Politikası içinde yer alır.

6. Kişisel verilerin aktarıldığı alıcılar#

Kişisel veriler, yalnızca yukarıdaki amaçlar için gerekli olduğu ölçüde ve KVKK m.8’e uygun olarak aşağıdaki alıcı gruplarına aktarılır:

Kayıtlı olduğunuz Müşteri’nin yetkili Kullanıcıları, rol ve yetkileri ölçüsünde sizin adınızı, e-posta adresinizi ve uygulama içindeki işlemlerinizi görebilir.

Yurt dışına aktarım#

[Taslak — bu bölüm hukuki inceleme bekliyor: aktarım dayanağı, standart sözleşmenin türü ve bildirim bilgileri avukat tarafından doğrulanacak.]

Hizmetin veritabanı, dosyaları ve iş kuyrukları, Şirket tarafından işletilen ve DigitalOcean, LLC tarafından Amerika Birleşik Devletleri’ndeki (New Jersey) bir veri merkezinde sağlanan sunucularda çalışır. Bu nedenle bu metinde sayılan kişisel verilerin tamamı, veri işleyen sıfatıyla DigitalOcean, LLC şirketine ve dolayısıyla yurt dışına aktarılır. Mobil uygulama kullanılıyorsa cihazın bildirim belirteci ile bildirimde yer alan sipariş numarası ve aşama adı, bildirimin iletilmesi için veri işleyen sıfatıyla Google LLC’ye (ABD) aktarılır.

Amerika Birleşik Devletleri için Kişisel Verileri Koruma Kurulu’nun verdiği bir yeterlilik kararı bulunmadığından aktarım, KVKK m.9/4 uyarınca uygun güvencelerden biri olan ve Kurul tarafından ilan edilen standart sözleşmeye (veri sorumlusundan veri işleyene aktarım) dayanılarak yapılır. Standart sözleşme [Standart sözleşmenin imza tarihi] tarihinde imzalanmış ve imzadan itibaren beş iş günü içinde, [Kurul’a bildirim tarihi] tarihinde Kurul’a bildirilmiştir.

Veriler tarayıcınız ile sunucular arasında şifreli bağlantılarla iletilir; kayıtlı kart belirteçleri ve T.C. kimlik numaraları ayrıca şifrelenerek saklanır. Diğer alıcıların yurt içinde veya yurt dışında bulunması bu bölümde belirtilir; yeni bir yurt dışı alıcı eklenmesi halinde bu metin önceden güncellenir.

7. Saklama süreleri#

Müşteri hesabını kapatma talebinde bulunduğunda veriler 30 gün boyunca erişilebilir kalır ve talep bu süre içinde geri alınabilir. 30 günlük sürenin dolmasını takiben makul süre içinde, yetkili Şirket personeli Müşteri’nin işletme verilerini, üyeliklerini, oturumlarını, fatura profilini ve kart belirteçlerini (PayTR nezdinde de) siler. Faturalar, ödeme kayıtları, denetim ve onay kayıtları ile bu kayıtlarda yer alan Müşteri unvanı yasal yükümlülükler nedeniyle saklanır. Başka bir Müşteri’ye bağlı olmayan Kullanıcı hesapları anonim hale getirilir.

Saklama süresi dolan veriler Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’e uygun olarak silinir, yok edilir veya anonim hale getirilir.

8. İlgili kişinin hakları (KVKK m.11)#

KVKK m.11 uyarınca veri sorumlusuna başvurarak:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
• Kişisel verileriniz eksik veya yanlış işlenmişse bunların düzeltilmesini isteme,
• KVKK m.7’de öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme

haklarına sahipsiniz.

9. Başvuru yöntemi#

Haklarınıza ilişkin taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca, kimliğinizi tespit etmeye yarayan bilgilerle birlikte aşağıdaki yollardan biriyle iletebilirsiniz:

• Islak imzalı dilekçe ile şahsen veya noter aracılığıyla Zafer Mah. 152 Cad. No: 35 Efeler / Aydın adresine,
• Hesabınızda kayıtlı e-posta adresinden destek@signflow.me adresine.

Başvurunuzda ad soyad, imza (yazılı başvuruda), T.C. kimlik numarası (yabancılar için uyruk ve pasaport ya da kimlik numarası), tebligata esas adres veya e-posta adresi ile talep konusunun bulunması gerekir.

Başvurular, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu’nca belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde Kişisel Verileri Koruma Kurulu’na şikayette bulunabilirsiniz.

Bir SignFlow Müşteri’sinin müşterisi, tedarikçisi veya iletişim kişisi iseniz ve verileriniz o işletme tarafından hizmete girilmişse, veri sorumlusu o işletmedir; başvurunuzu doğrudan o işletmeye yöneltmeniz gerekir. Şirket’e ulaşan bu tür başvurular ilgili Müşteri’ye iletilir.

10. Değişiklikler#

Bu metin, mevzuat veya veri işleme faaliyetlerinde değişiklik olduğunda güncellenir. Güncel metin her zaman bu sayfada yayımlanır. Daha geniş bilgi için Gizlilik Politikası sayfasını inceleyebilirsiniz.