Gizlilik Politikası

Kanun, bilgilerin hangi amaçla toplanacağını ve bunlarla ne yapılacağını belirleyen kişi ("veri tabanı sorumlusu") ile bilgileri onun adına işleyen kişi ("veri tutucu") arasında ayrım yapar. Bizde iki durum söz konusudur:

• Salonun gelinleri, müşterileri, çalışanları ve tedarikçileri hakkındaki bilgiler: Veri sorumlusu salondur. Neyin girileceğine, kimlere erişim verileceğine ve ne zaman silineceğine salon karar verir ve bilgilerin ilgili olduğu kişilerin muhatabı salondur. Biz veri tutucuyuz: bilgileri saklar, yedekler ve sistemi salonun talimatlarına ve Kullanım Koşulları içindeki veri işleme bölümüne uygun olarak işletiriz; bu bilgileri kendi amaçlarımızdan hiçbiri için kullanmayız.
• Salon ve bize başvuran kişiler hakkındaki bilgiler: kayıt bilgileri, kullanıcılar, faturalandırma, web sitesi üzerinden yapılan başvurular ve destek. Burada veri sorumlusu biziz.

GDPR açısından (UK GDPR ve AB GDPR): birinci tür bilgiler için veri sorumlusu salondur; biz ise bu bilgileri yalnızca salonun talimatlarıyla ve veri işleme sözleşmesine göre işleyen veri işleyeniz. İkinci tür bilgiler için veri sorumlusu biziz. Aboneliği Merchant of Record olarak satan Paddle, topladığı ödeme bilgilerinin bağımsız veri sorumlusudur.

İkinci türdeki bilgilerin veri sorumlusu: Nerya Cohen, Nerya ERP ticari adıyla, support@sewingerp.com. Gizlilikle ilgili başvurularınızda mesajın konu satırına "Gizlilik" yazın.

Bu durumların hiçbirinde bilgileri bize vermek için yasal bir zorunluluk yoktur. Bilgilerin verilmesi sizin isteğinize ve onayınıza bağlıdır; bunlar olmadan her türün yanında açıklananları sağlayamayız.

• Web sitesindeki "Uygunluk kontrolü" formu: ad, işletme adı, e-posta, telefon (isteğe bağlı) ve mesaj. Size geri dönüş yapmak ve bir görüşme ayarlamak için kullanılır. Ad ve e-posta olmadan size geri dönemeyiz. Sizinle iletişimi sürdürmek için gerektiği sürece saklanır ve talep ettiğinizde silinir.
• Siteye nasıl ulaştığınız: iletişim formunu gönderdiğinizde, gönderildiği sayfa, ziyaretinizin ilk sayfası, geldiğiniz web sitesinin adı (tam adres değil) ve varsa bağlantıdaki kampanya etiketleri (utm) de birlikte kaydedilir. Kayıt olduğunuzda ilk sayfa, web sitesinin adı ve kampanya etiketleri, kayıt diliyle birlikte yeni işletmeyle kaydedilir. Bir form gönderene kadar bu bilgiler yalnızca tarayıcınızda, sekme kapanana kadar kalır ve hiçbir yere gönderilmez. Hangi kanalların talep ve müşteri getirdiğini bilmek için kullanılır.
• Pazarlama sitesindeki istatistikler: yalnızca banner'da onay verdiyseniz, Google Analytics hangi sayfaların görüntülendiğini, hangi kanaldan geldiğinizi, yaklaşık ülke ve şehri, cihaz ve tarayıcı türünü ve bir çerezdeki rastgele bir kimliği toplar. Ad, telefon veya e-posta toplanmaz ve Google IP adresini saklamaz. Siteyi iyileştirmek ve hangi kanalların işe yaradığını görmek için kullanılır. Sistemin içinde (oturum açtıktan sonra) Google Analytics yoktur.
• Kayıt ve hesap: işletme adı, e-posta ve parola (yalnızca hash olarak saklanır) veya Google hesabı (ad ve e-posta), seçilen paket ve işletmenin eklediği kullanıcılar (ad, e-posta, rol). Hesabın açılması, giriş yapılması ve yetkilerin yönetimi için kullanılır. E-posta olmadan hesap açılamaz.
• Faturalandırma: Ödeme, siparişin resmi satıcısı (Merchant of Record) olan Paddle üzerinden yapılır. Ödeme sayfasında ödeme bilgilerinizi, işletme adını, e-postayı, ülkeyi ve (varsa) KDV veya işletme numarasını doğrudan Paddle'a verirsiniz. Kart bilgileri bize hiç ulaşmaz. Aboneliği etkinleştirmek ve yönetmek için Paddle'dan işletme adını, e-postayı, paketi, abonelik durumunu, ödeme geçmişini ve ülkeyi alırız. Faturalandırma bilgileri olmadan ücretli abonelik etkinleştirilemez.
• Destek ve yazışmalar: yanıt verilmesi ve hizmetin iyileştirilmesi amacıyla e-postayla yaptığınız başvuruların içeriği.
• Kullanım ve güvenlik kayıtları: sisteme girişler, IP adresi, tarayıcı türü ve denetim kaydına işlenen işlemler. Güvenlik, arızaların tespiti ve kötüye kullanımın önlenmesi için kullanılır ve kullanım sırasında otomatik olarak toplanır.

Sistem, salonun girdiği veya sistem aracılığıyla topladığı bilgileri saklar. Genellikle:

• Gelinler ve müşteriler: ad, telefon, e-posta, adres, etkinlik tarihi ve yeri, yönlendirme kaynağı, tercih edilen dil, stil notları, durum, takipler ve iletişim kaydı.
• Beden ölçüleri: dikim ve tadilat amacıyla, ölçü alınma tarihi ve önceki tüm sürümleriyle birlikte çevre ve boy ölçüleri.
• Fotoğraflar ve dosyalar: karta, bir gelinliğe, bir iş emrine veya bir tadilata eklenen ilham görselleri, prova ve kıyafet fotoğrafları ile belgeler.
• Dijital imza (salon etkinleştirmişse): kimin neyi imzaladığının ispatlanabilmesi için imzalanan belge, ad, imza görüntüsü, imza zamanı, IP adresi ve cihaz türü.
• Çevrim içi randevu ve gelin portalı (salon etkinleştirmişse): gelinin kendisinin girdiği ad, telefon, etkinlik tarihi ve not; portal, geline gelinliğin durumunu, randevuları ve ödenecek kalan bakiyeyi gösterir.
• Hatırlatmalar (salon etkinleştirmişse): bir randevu veya teslimattan önce salon adına geline gönderilen e-posta. Her gelin, salondan bu hatırlatmaların kendisine gönderilmesinin durdurulmasını talep edebilir.
• Finans: fiyatlar, kaporalar, ödemeler ve iadeler, ödeme aracının türü ve dekontlar. Gelinlerin kart numaraları saklanmaz.
• Salonun çalışanları: iletişim bilgileri, görev, devam durumu ve çalışma saatleri ile salonun tercihine bağlı olarak ücret tarifeleri.
• Operasyon: gelinlikler, iş aşamaları, görevler, stok, tedarikçiler, mağazalar ve iş emirleri.

Bilgilerin toplanması sırasında gelini bilgilendirme yükümlülüğü (Kanunun 11. maddesi uyarınca) salona aittir. Randevu alma ve uzaktan imza gibi gelinin kendisinin doldurduğu sayfalarda sistem salon adına kısa bir bildirim gösterir; ancak bu bildirim, salonun kendisinin yaptığı bilgilendirmenin yerini tutmaz.

Birleşik Krallık'ta veya AB'de bulunan bir salon GDPR kapsamında da veri sorumlusudur: toplamanın hukuki dayanağını belirler, gelinlere GDPR'ın 13. ve 14. maddelerinde öngörülen bilgilendirmeyi yapar ve taleplerini karşılar. Biz de veri işleme sözleşmesine göre ona yardımcı oluruz.

Beden ölçüleri, provalarda çekilen beden fotoğrafları ve imzalar, her bir unsur 13 No'lu Değişiklik'teki "özel hassasiyete sahip bilgi" tanımına girmese de hassas olarak ele aldığımız bilgilerdir. Bu nedenle sistemin geri kalanıyla aynı veya daha yüksek güvenlik düzeyinde saklanır: dosyalar özel bir klasörde tutulur, bir saat geçerli imzalı bağlantılar kullanılır ve hiçbir zaman tedarikçi portalında yer almaz.

Sistem; tıbbi bilgiler, tam kimlik numaraları veya reşit olmayan müşterilere ilişkin, dikim için gerekenin ötesindeki bilgiler için tasarlanmamıştır. Bu tür bilgileri giren salon, bunların hukuki dayanağından sorumludur.

GDPR'a göre ölçüler ve fotoğraflar, sağlıkla ilgili bilgi açığa çıkarmadıkça tek başlarına "özel nitelikli" veri (madde 9) sayılmaz. Bu nedenle, dikim için önemli görünse bile sisteme sağlık bilgisi girilmemelidir.

• Salona hizmet sunulması: gelinlerin, ölçülerin, gelinliklerin, randevuların, imzaların ve ödemelerin yönetimi.
• Salonun birlikte çalıştığı dikim atölyesi veya fabrikayla asgari düzeyde paylaşım: iş numarası, model, kıyafet ölçüleri, renk ve salonun açıkça paylaşım için işaretlediği fotoğraflar. Gelinin adı, telefonu veya etkinlik tarihi paylaşılmaz.
• Yedekleme, güvenlik, arızaların önlenmesi ve teknik destek.
• Salonun faturalandırılması ve salonla iletişim.

Yapmadıklarımız: bilgileri satmayız, reklam için kullanmayız, profil oluşturmayız, bu bilgilerle yapay zekâ modelleri eğitmeyiz ve kendi adımıza gelinlerle iletişime geçmeyiz. Salona pazarlama iletileri yalnızca onayla gönderilir ve bu tür her ileti, listeden çıkma imkânı içerir.

GDPR kapsamında hukuki dayanak (veri sorumlusu olduğumuz bilgiler için):

• Kayıt, hesap, kullanıcılar ve destek: sizinle yapılan sözleşmenin ifası (md. 6(1)(b)).
• Faturalandırma ve mali kayıtlar: sözleşmenin ifası ve vergi mevzuatı uyarınca kayıt tutma yükümlülüğü (md. 6(1)(b) ve 6(1)(c)).
• "Uygunluk kontrolü" formu ve web sitesinden gelen talepler: talebiniz üzerine sözleşme öncesi adımlar ve bir talebe yanıt vermedeki meşru menfaat (md. 6(1)(b) ve 6(1)(f)).
• Kullanım ve güvenlik kayıtları: sistemi ve verileri koruma, arızaları tespit etme ve kötüye kullanımı önleme konusundaki meşru menfaat (md. 6(1)(f)).
• Site istatistikleri (Google Analytics): açık rıza (md. 6(1)(a)); "Çerez ayarları"ndan istediğiniz zaman geri çekebilirsiniz.
• Salona pazarlama e-postaları: her an geri alınabilen açık rıza (md. 6(1)(a)).
• Salonun girdiği bilgiler: hukuki dayanağı salon belirler; biz bu bilgileri salonun talimatlarına göre işleriz (md. 28).

Her hesap için bilgileri bizim adımıza saklayan veya ileten sağlayıcılar (alt işleyenler):

• Supabase: veri tabanı, kimlik doğrulama ve dosya depolama. Frankfurt, Almanya.
• Hetzner Online GmbH: uygulama sunucusu. Almanya.
• Cloudflare: küresel bir ağ üzerinden web sitesinin korunması, DNS ve trafik şifrelemesi. Ayrıca şifreli bir yedek kopya, Kuzey Amerika bölgesinde Cloudflare R2'de saklanır.
• Brevo: operasyonel e-postaların ve salonun etkinleştirdiği hatırlatmaların gönderimi. Avrupa Birliği.
• Google Ireland Limited (Google Analytics), yalnızca istatistiklere onay veren pazarlama sitesi ziyaretçileri için: ad veya iletişim bilgisi olmadan site kullanım verileri. Google bu bilgileri, EU-US Data Privacy Framework ve veri işleme şartlarındaki standart sözleşme maddelerine dayanarak Amerika Birleşik Devletleri'nde de işleyebilir.
• YouTube (Google): ana sayfadaki hikâyemiz videosu youtube-nocookie.com üzerinden gömülüdür ve yalnızca oynat düğmesine tıkladıktan sonra yüklenir. O andan itibaren Google'ın gizlilik politikası geçerlidir.
• Paddle.com Market Limited (Birleşik Krallık) ve bağlı şirketleri, ücretli işletmeler için: abonelik ödemesinin işlenmesi, faturalar, vergi, dolandırıcılık önleme ve iadeler. Paddle, ödeme sayfasında topladığı ödeme bilgileri bakımından kendi gizlilik politikasına (paddle.com/legal/privacy) göre bağımsız veri sorumlusudur.

Yalnızca salon bunları ayarlardan kendisi bağlarsa, ilgili bilgiler ayrıca şunlara aktarılır:

• Morning (Green Invoice), iCount, Sumit: fatura veya makbuz düzenlenmesi amacıyla müşterinin adı ve tutar.
• UPS: gönderim için ad ve adres.
• Webhook veya API: salonun tanımladığı adres ve araçlar.

İsrail dışına aktarım. Bilgilerin büyük bölümü, İsrail'de yeterli koruma düzeyine sahip olarak tanınan Avrupa Birliği'nde saklanır. Kuzey Amerika'daki yedek kopya sunucudan çıkmadan önce şifrelenir ve sağlayıcı, sözleşme gereği bu kopyayı korumakla yükümlüdür. Aktarım, Gizliliğin Korunması Yönetmeliği (Bilgilerin Yurt Dışındaki Veri Tabanlarına Aktarılması), 5761-2001 uyarınca gerçekleştirilir.

GDPR kapsamında aktarımlar. Birleşik Krallık'tan ve AB'den gelen bilgiler, AB'nin yeterli koruma düzeyi sağladığını kabul ettiği İsrail'deki bize ulaşır (Komisyon'un 2011/61/EU sayılı kararı, Ocak 2024 incelemesinde yeniden teyit edildi); Birleşik Krallık veri koruma mevzuatı da aynı şekilde kabul eder (Data Protection Act 2018, Ek 21). Bilgilerin çoğu AB içinde, Almanya'da saklanır. Kuzey Amerika'daki Cloudflare R2 üzerindeki şifreli yedek kopya, Cloudflare'in veri işleme sözleşmesinde yer alan AB Standart Sözleşme Hükümleri (SCCs) ve Birleşik Krallık uluslararası veri aktarımı eki (IDTA / UK Addendum) temelinde aktarılır. Bu güvencelerin bir kopyasını bizden isteyebilirsiniz.

Faturalandırma bilgileri Paddle tarafından Birleşik Krallık'ta ve gerektiğinde ABD'de ve faaliyet gösterdiği diğer ülkelerde, kendi gizlilik politikasına ve kendisine uygulanan veri koruma mevzuatına göre işlenir.

Bunun dışında bilgiler yalnızca hukuken zorunlu olduğunda (örneğin bir mahkeme kararı veya yetkili bir makamın talebi üzerine) verilir. Yeni bir alt işleyeni salonlara 30 gün önceden bildirir ve buradaki listeyi güncelleriz.

Salon adına bilgileri hangi koşullarla işlediğimiz, alt işleyenlerin listesi ve konumları dahil, veri işleme sözleşmesinde (DPA) yer alır.

• Salon verileri: hesap aktif olduğu sürece. Kapatıldıktan sonra: her şeyin dışa aktarılabileceği 30 gün, ardından silme.
• Yedekler: sunucuda 14 gün ve harici kopyada 60 gün; bu sürelerin sonunda otomatik olarak silinir. Ayrıca her aydan bir şifreli kopya 12 ay saklanır. Sistemde silinen bilgiler, yedeklerin süresi dolana kadar yedeklerde bulunmaya devam eder.
• Mali kayıtlar (ödemeler, giderler, faturalar): defter tutma gereklilikleri uyarınca, kart silindikten sonra da 7 yıl.
• İmzalı belgeler: kart var olduğu sürece. Gelinin kalıcı olarak silinmesi bu belgeleri de siler.
• Hesap ve kullanıcılar (veri sorumlusu biz olduğumuzda): hesap aktif olduğu sürece. Kapatmadan 30 gün sonra, sistemde başka işletmesi olmayan kullanıcılar silinir; işletme adı, fatura bilgileri ve salona kestiğimiz faturalar muhasebe amacıyla saklanır.
• Denetim kaydı: 12 ay; ödemeler, giderler, imzalar, işletme hesabı, kullanıcılar ve yetkilerle ilgili işlemler için 24 ay; ardından otomatik olarak silinir. Bir gelin kalıcı olarak silindiğinde kayıttaki girdilerinin içeriği boşaltılır (tarih ve işlem kalır).
• Entegrasyon kaydı: 90 gün. Atölyeden gelen iş raporları: 3 yıl.

• Erişim (Kanunun 13. maddesi): hakkınızda saklanan bilgileri edinme.
• Düzeltme ve silme (14. madde): doğru, eksiksiz, açık veya güncel olmayan bilgilerin düzeltilmesini ya da silinmesini talep etme.
• Pazarlama iletilerinden çıkma (Kanunun 17F maddesi ve İletişim Kanunu'nun 30A maddesi): pazarlama iletilerini almayı istediğiniz an durdurma.
• Dışa aktarma: hesap sahipleri, salonun tüm verilerini istedikleri zaman CSV dosyaları olarak indirebilir.
• GDPR kapsamında ek haklar (Birleşik Krallık'ta veya AB'de bulunanlar için): erişim, düzeltme ve silmenin yanı sıra işlemenin kısıtlanması, veri taşınabilirliği, meşru menfaate dayalı işlemeye (ve her zaman doğrudan pazarlamaya) itiraz ve rızanın her an geri alınması. Hakkınızda, hukuki veya benzer şekilde önemli sonuçlar doğuran, yalnızca otomatik işlemeye dayalı kararlar almayız.

Salon iseniz veya bize web sitesi üzerinden başvurduysanız: support@sewingerp.com adresine yazın. 30 gün içinde yanıt veririz; öncesinde kimliğinizi doğrulamamız gerekirse yalnızca gereken asgari bilgiyi isteriz.

GDPR kapsamında bir ay içinde yanıt veririz. Karmaşık bir talepte veya birden fazla talepte bu süre iki ay daha uzatılabilir; bunu size ilk ay içinde bildiririz. Hakların kullanılması ücretsizdir.

Bir salonun gelini veya müşterisiyseniz: bilgilerinizin veri sorumlusu salondur; bu nedenle talep salona yöneltilir. Salonun sistemde tüm araçları vardır: kartın tamamının görüntülenmesi, düzenleme, dışa aktarma ve "Kalıcı olarak sil" (kartı, ölçüleri, randevuları, ödemeleri, imzaları, fotoğrafları ve iletişim kaydını siler ve sistem kayıtlarında sizinle ilgili girişlerin içeriğini boşaltır). Doğrudan bize başvurduysanız, talebi 5 iş günü içinde salona iletir ve sizi bilgilendiririz.

Haklarının ihlal edildiğini düşünen kişi, Adalet Bakanlığı bünyesindeki Gizliliğin Korunması Kurumu'na da başvurabilir.

Birleşik Krallık'ta bulunanlar Information Commissioner's Office'e (ico.org.uk), AB'de bulunanlar ise yaşadıkları veya çalıştıkları ya da ihlalin gerçekleştiği ülkenin veri koruma denetim makamına şikâyette bulunabilir. Konuyu çözmeye çalışabilmemiz için önce bize başvurmanızı rica ederiz.

• Veri tabanı düzeyinde işletmeler arası ayrım (Row Level Security) ve işletmeler arasında hiçbir satırın geçmediğini doğrulayan otomatik bir test.
• Her bağlantıda aktarım sırasında şifreleme (TLS); depolama sağlayıcılarında depolama sırasında şifreleme; yedekler sunucudan çıkmadan önce şifrelenir.
• Parolalar ve API anahtarları yalnızca hash olarak saklanır; entegrasyon gizli anahtarları veri tabanında şifrelenir.
• Her işletme içinde roller ve yetkiler ile her değişikliğin denetim kaydı.
• Gelinlerin kimliğini belirleyici bilgiler içermeyen tedarikçi portalları; dosyalara yalnızca kısa süreli imzalı bir bağlantı üzerinden erişilebilir.
• Destek ekibimizin işletme verilerine erişimi yalnızca görüntüleme modunda gerçekleşir ve işletmenin denetim kaydına işlenir.
• Güvenlik duvarı, giriş denemelerine karşı istek sınırlaması, 5 dakikada bir sağlık kontrolü ve periyodik yedekten geri yükleme tatbikatı.

Bir salonun bilgilerini etkileyen bir güvenlik olayı tespit edilirse, salonu gecikmeksizin bilinenler, etkilenenler ve alınan önlemler hakkında bilgilendirir ve hukuken gerekli olduğunda Gizliliğin Korunması Kurumu'na yapılacak bildirimde salona yardımcı oluruz. Veri sorumlusu olduğumuz bilgileri etkileyen bir olayda, Bilgi Güvenliği Yönetmeliği uyarınca Kurum'a bildirimi kendimiz yaparız.

GDPR gerektirdiğinde, böyle bir olayı öğrendiğimiz andan itibaren 72 saat içinde yetkili denetim makamına bildiririz ve etkilenen kişiler için yüksek risk varsa onları da bilgilendiririz.

Ayrıntılar Güvenlik sayfasında.

Sistemin kendisi (oturum açtıktan sonra) yalnızca istediğiniz hizmeti sunmak için gereken çerezleri kullanır: oturum açmak, güvenli şekilde oturumda kalmak ve yaptığınız bir seçimi hatırlamak. Pazarlama web sitesinde (ana sayfa, fiyatlar, yasal sayfalar) ayrıca Google Analytics istatistik çerezleri bulunur ve bunlar yalnızca banner'da onay verdiyseniz çalışır. Reklam çerezi yoktur. Seçiminizi web sitesinin her sayfasının altındaki "Çerez ayarları" bağlantısından istediğiniz zaman değiştirebilirsiniz. Çerezler:

• Oturum açma (sb-…-auth-token, nco_activity): oturumunuzu açık tutar; 12 saat işlem yapılmadığında veya oturum açıldıktan 30 gün sonra oturumu kapatır. Tarayıcı ayrıca açık bırakılan bir ekranı kilitlemek için son etkinlik zamanınızı (nco_last_activity) saklar.
• Seçili işletme (nco_tenant): birden fazla işletmeniz varsa hangisine girdiğiniz. En fazla bir yıl.
• Dil ve görünüm (nco_lang, nco_theme): seçtiğiniz dil ve renk teması. En fazla bir yıl.
• Siteye erişim (nco_gate): yalnızca site kısıtlı erişimdeyken, erişim bağlantısıyla girenler için. En fazla 90 gün.
• İşlem sonrası mesaj (nco_flash): tek bir onay veya hata mesajı. Birkaç saniye.
• Atölye bildirimleri ve mesai saati (nco_worker, nco_worker_pin): atölyedeki ortak bir cihazda hangi çalışanın bildirim yaptığını hatırlar. En fazla 30 gün; kişisel kod onayı en fazla 12 saat.
• Banner'daki seçiminiz (nco_consent): istatistiklere onay verip vermediğinizi hatırlar, böylece tekrar sormayız. 180 gün. Ayrıca site, siteye nasıl geldiğinizi (nco_lead_source) çerezde değil tarayıcınızda sekme kapanana kadar saklar ve yalnızca iletişim formu ya da kayıt formuyla birlikte gönderir.
• Site istatistikleri (_ga, _ga_…): yalnızca banner'da onay verdikten sonra. Google Analytics ziyaretleri, sayfaları ve trafik kaynaklarını adınızla ilişkilendirmeden sayar. En fazla iki yıl veya onayınızı geri çekene kadar.
• Cloudflare (örneğin __cf_bm): kötü amaçlı trafiği tespit eden güvenlik çerezleri.

Ödeme sayfası Paddle tarafından işletilir; Paddle burada dolandırıcılığı önlemek ve ödemeyi tamamlamak için kendi politikasına göre kendi çerezlerini ve araçlarını kullanabilir.

Sistem işletmelere yöneliktir. 18 yaşından küçük bir müşteri (örneğin bir bat mitzvah elbisesi için) salon tarafından ebeveyninin onayıyla kaydedilir ve fotoğraflar dahil bundan salon sorumludur.

Politika değiştiğinde sayfanın altındaki tarih güncellenir ve esaslı değişiklikleri salonlara e-postayla bildiririz. Sorular ve talepler: support@sewingerp.com. Salon adına veri işlemeye ilişkin bölüm dahil kullanım koşullarına Kullanım Koşulları sayfasından ulaşabilirsiniz.