Gizlilik Politikası

1. Bu politika hakkında#

Bu politika, Erelsis Yazılım Teknolojileri Limited Şirketi (“Şirket”, “biz”) tarafından sunulan SignFlow hizmetinde (https://signflow.me ve https://app.signflow.me) verilerin nasıl ele alındığını sade bir dille anlatır. Kanuni aydınlatma metnimiz KVKK Aydınlatma Metni sayfasındadır; iki metin birbirini tamamlar.

SignFlow, tabela ve reklam ürünleri üreten işletmeler için sipariş, tasarım onayı, üretim, montaj, stok ve satın alma süreçlerini yöneten bir iş yazılımıdır. Hizmeti satın alan işletmeye “Müşteri”, Müşteri’nin davet ettiği çalışanlara “Kullanıcı” diyoruz.

2. Kimin verisinden sorumluyuz#

Hesap, güvenlik, abonelik, ödeme ve faturalama verileri bakımından veri sorumlusu biziz.

Müşteri’nin hizmete girdiği iş verileri (kendi müşterileri, siparişler, montaj bilgileri, fotoğraflar, dosyalar, stok, tedarikçiler ve benzerleri) bakımından veri sorumlusu Müşteri’dir; biz bu verileri yalnızca Müşteri adına ve hizmeti sunmak için işleriz. Bu verileri kendi amaçlarımız için kullanmayız, satmayız, reklam için kullanmayız.

3. Topladığımız veriler#

• Kayıt bilgileri: ad soyad, e-posta, cep telefonu, şirket adı ve parola. Telefon SMS ile gönderilen tek kullanımlık kodla, e-posta bir bağlantıyla doğrulanır.
• Onay kayıtları: kabul ettiğiniz metnin sürümü, zaman, IP adresi ve tarayıcı bilgisi.
• Hesap ve oturum bilgileri: dil tercihi, giriş zamanları, hatalı giriş sayaçları, oturum kayıtları (IP adresi, tarayıcı bilgisi, zaman).
• Denetim kayıtları: uygulamada kimin, neyi, ne zaman yaptığı.
• Fatura bilgileri: unvan veya ad soyad, VKN ve vergi dairesi ya da bireyler için TCKN, adres, fatura e-postası, telefon; abonelik, ödeme ve fatura kayıtları.
• Kart bilgileri: kart numarası bize ulaşmaz. PayTR’nin verdiği kart belirteci ile yalnızca son 4 hane, son kullanma ay/yılı, banka, marka ve kart tipi saklanır.
• Destek yazışmaları: bize gönderdiğiniz e-postalar.
• İş verileri: Müşteri’nin ve Kullanıcılarının hizmete girdiği her türlü kayıt ve yüklediği dosyalar.
• Mobil uygulama: bildirim gönderebilmek için cihazınızın bildirim belirteci, cihaz platformu (iOS veya Android) ve uygulama sürümü. Kamera ve fotoğraf galerisine yalnızca siz bir siparişe ya da montaja fotoğraf eklediğinizde, izninizle erişilir; seçtiğiniz fotoğraf siparişin dosyası olarak saklanır. Uygulama konum bilgisi toplamaz, reklam ve analiz aracı kullanmaz, sizi başka uygulama ve sitelerde izlemez.

Tanıtım sitemizde analiz aracı, reklam veya takip çerezi ve üçüncü taraf izleyici kullanmıyoruz.

4. Verileri nasıl kullanıyoruz#

• Hesabınızı açmak, kimliğinizi doğrulamak ve hizmeti sunmak.
• Aboneliği yönetmek, ödemeleri almak ve fatura düzenlemek.
• Hizmeti ve hesapları yetkisiz erişime ve kötüye kullanıma karşı korumak.
• Destek taleplerini yanıtlamak ve hizmetle ilgili zorunlu bildirimleri göndermek.
• Yasal yükümlülükleri yerine getirmek ve haklarımızı korumak.

Hizmet e-postaları; e-posta doğrulama, parola sıfırlama, davetler, bildirimler, deneme süresinin bitmesinden 3 gün ve 1 gün önce hatırlatma, ödeme ve faturalama bildirimleri ile dışa aktarma hazır bildirimlerinden oluşur. Bildirim e-postalarını her bildirim türü için ayrı ayrı açıp kapatabilirsiniz. Ticari elektronik ileti yalnızca ayrıca onay verilirse gönderilebilir; bugün böyle bir onay toplamıyor ve ticari ileti göndermiyoruz.

5. Verileri nasıl koruyoruz#

• Müşteriler arasındaki ayrım uygulama katmanına bırakılmaz, veritabanında satır düzeyinde güvenlik kurallarıyla zorlanır.
• Parolalar yalnızca Argon2 özeti olarak, tek kullanımlık kodlar ve e-posta belirteçleri yalnızca anahtarlı özet olarak saklanır.
• TCKN ile PayTR kart ve kullanıcı belirteçleri AES-GCM ile şifrelenir.
• Kart bilgileri doğrudan PayTR’ye gönderilir; sunucularımıza ulaşmaz.
• Oturumlar sunucu tarafında tutulur; 7 gün hareketsizlikte ve en geç 30 günde sona erer. Tekrarlanan hatalı girişlerde hesap geçici olarak kilitlenir. Formlar CSRF korumasıyla gönderilir.
• Erişim rol ve yetkilere bağlıdır; kimse sahip olmadığı bir yetkiyi başkasına veremez.
• Önemli işlemler değiştirilemeyen bir denetim kaydına yazılır.
• Yüklenen dosyaların içerik türü kontrol edilir; uyuşmayan dosyalar karantinaya alınır ve sunulmaz. Dosyalara yalnızca 5 dakika geçerli imzalı bağlantılarla erişilir.
• Şirket personelinin Müşteri iş verilerini gözden geçirebileceği bir ekran yoktur; yönetim girişi iki aşamalı doğrulama (parola ve doğrulama uygulaması kodu) gerektirir.
• Veritabanı her gece yedeklenir.

Hiçbir sistem tam güvenlik garantisi veremez. Bir kişisel veri ihlali öğrenildiğinde KVKK’nın öngördüğü bildirimler yapılır.

6. Verilerin bulunduğu yer#

Veritabanı, dosyalar ve iş kuyrukları, Şirket tarafından işletilen ve DigitalOcean, LLC tarafından Amerika Birleşik Devletleri’ndeki (New Jersey) bir veri merkezinde sağlanan sunucularda çalışır. Bu, kişisel verilerin yurt dışına aktarılması anlamına gelir; aktarımın dayanağı ve güvenceleri KVKK Aydınlatma Metni içinde açıklanır. Yedekler aynı sağlayıcının ABD’deki veri merkezinde, erişimi sınırlı bir dizinde tutulur. Mobil uygulama bildirimleri Google LLC’nin Firebase Cloud Messaging hizmeti üzerinden iletilir; bildirimde yalnızca sipariş numarası, malzeme kodu ve aşama adı yer alır. Yurt dışında yeni bir hizmet sağlayıcıyla çalışılmadan önce bu politikayı ve aydınlatma metnini güncelleriz.

7. Hizmet sağlayıcılarımız#

Faturalar Vergi Usul Kanunu gereği Gelir İdaresi Başkanlığı ile paylaşılır. Yetkili kamu kurumlarının hukuka uygun talepleri karşılanır.

8. Saklama süreleri#

• Hesap ve Müşteri verileri, hesap ve abonelik sürdüğü müddetçe (salt okunur dönemler dahil) saklanır.
• Oturum kayıtları oturum sona erene veya kapatılana kadar tutulur, ardından planlı olarak silinir.
• Fatura ve ödeme kayıtları VUK uyarınca 5 yıl, TTK uyarınca 10 yıl saklanır.
• Denetim ve onay kayıtları hesap kapatıldıktan sonra da saklanır.
• Silinen veriler 30 gün içinde yedeklerden de çıkar.
• Uygulama günlükleri kısa süreli, boyut sınırlı dönen kayıtlardır; web erişim günlüğü tutulmaz.

9. Dışa aktarma ve hesabın kapatılması#

Müşteri, verilerinin tamamını istediği zaman (salt okunur moddayken de) dışa aktarabilir. Dışa aktarma arka planda hazırlanır; her varlık için bir CSV dosyası ve bir içerik listesi içeren bir ZIP arşivi oluşur. Arşiv uygulama üzerinden indirilir ve 7 gün saklanır.

Müşteri sahibi, uygulama içinden hesabın kapatılmasını talep edebilir. Talepten sonra veriler 30 gün boyunca erişilebilir kalır, bu sürede dışa aktarma yapılabilir ve talep geri alınabilir. 30 günlük sürenin dolmasını takiben makul süre içinde, yetkili personelimiz Müşteri’nin iş verilerini, dosyalarını, üyeliklerini, oturumlarını, fatura profilini ve kart belirteçlerini (PayTR nezdinde de) siler. Faturalar, ödeme kayıtları, denetim ve onay kayıtları yasal yükümlülük nedeniyle saklanır; başka bir Müşteri’ye bağlı olmayan Kullanıcı hesapları anonim hale getirilir.

10. Haklarınız#

KVKK m.11 kapsamındaki haklarınızı ve başvuru yollarını KVKK Aydınlatma Metni içinde bulabilirsiniz. Verileriniz bir SignFlow Müşteri’si tarafından girildiyse önce o işletmeye başvurmanız gerekir; bize ulaşan bu tür talepleri ilgili Müşteri’ye iletiriz.

11. Çocuklar#

SignFlow işletmelere yönelik bir hizmettir ve 18 yaşından küçüklerin kullanımına yönelik değildir. 18 yaşından küçüklerden bilerek veri toplamayız.

12. Çerezler#

Yalnızca hizmetin çalışması için zorunlu çerezleri kullanırız. Ayrıntılar Çerez Politikası sayfasındadır.

13. Değişiklikler ve iletişim#

Bu politikayı gerektiğinde güncelleriz; önemli değişiklikleri e-posta veya uygulama içi bildirimle duyururuz. Güncel sürüm her zaman bu sayfadadır.

Sorularınız için destek@signflow.me adresine yazabilir veya Zafer Mah. 152 Cad. No: 35 Efeler / Aydın adresine başvurabilirsiniz.