Gizlilik bildirimi
1. Veri sorumlusu
ProjectXY
Leipziger str. 22
04109 Leipzig
info@Projectxy.de
2. Hangi verileri işliyoruz
Hesap: E-posta adresi, ad, parola (yalnızca özet değeri olarak saklanır), tercih edilen dil, kayıt ve giriş zamanları, isteğe bağlı olarak iki adımlı doğrulama gizli anahtarı.
Şirket verileri: Firma bilgileri, vergi numaraları, banka bilgileri, logo, müşteri ve tedarikçi verileri, belgeler, ödemeler, yüklenen dosyalar. Bu verileri kullanıcı olarak siz girersiniz; yalnızca uygulamanın sağlanması amacıyla işlenirler.
Kayıtlar: Güvenlik ve izlenebilirlik için girişleri (başarısız olanları da) IP adresiyle, ayrıca önemli değişiklikleri (örneğin bir faturanın kesinleştirilmesi, silme işlemleri) kullanıcı ve zaman bilgisiyle kaydediyoruz. Başarısız giriş denemeleri 15 dakika sonra silinir.
Sunucu kayıtları: Her çağrıda barındırma sağlayıcımızın web sunucusu IP adresini, zamanı, çağrılan adresi ve tarayıcı kimliğini bir erişim kaydına yazar. Bu, işletim, hata arama ve saldırılara karşı savunma içindir (GDPR md. 6/1-f); başka verilerle birleştirme yapılmaz. Barındırma sağlayıcısı bu kayıtları [YER TUTUCU – Barındırma sağlayıcısındaki sunucu kayıtlarının saklama süresi (ör. „7 gün“)] sonra siler.
Bulunamayan adresler: Hatalı bağlantıları bulmak için istenen adresi, yönlendiren sayfayı, çağrı sayısını ve zamanı kaydediyoruz – IP adresi ve ziyaretçi tanımı olmadan. Kayıtlar 90 gün sonra silinir.
E-postalar: Gönderdiğiniz belgeler ve sistem iletileri, alıcı, konu ve metinle birlikte giden kutusunda kaydedilir.
İletişim formu: Talebi yanıtlamak için ad, e-posta adresi, mesaj ve IP adresi. Belirttiğiniz adrese, mesaj metniniz olmadan otomatik bir alındı onayı gönderiyoruz; kötüye kullanımı önlemek için bu onayları adres başına bir gün boyunca sayıyoruz, adresin kendisini saklamıyoruz.
Ücretsiz fatura oluşturucu: Formdaki bilgileri yalnızca PDF’i oluşturmak için kullanırız: kendi bilgilerinizi talebinizi yerine getirmek için (GVKT md. 6 fıkra 1 b), müşterinize ilişkin bilgileri ise istenen faturayı oluşturmaya yönelik meşru menfaat temelinde (GVKT md. 6 fıkra 1 f). Bundan biz sorumluyuz; ücretsiz fatura oluşturucu için bir veri işleme sözleşmesi yoktur. Bilgiler saklanmaz ve teslimden sonra silinir. Ücretsiz kullanımı günde beş faturayla sınırlamak için IP adresinizi ve oluşturulan her faturanın zamanını kaydederiz (GVKT md. 6 fıkra 1 f) ve her ikisini en geç 30 gün sonra sileriz.
3. Amaçlar ve hukuki dayanaklar
Sözleşmeyle kararlaştırılan hizmetin sağlanması (GDPR md. 6/1-b), sistemin güvenliği ve kötüye kullanımın önlenmesi (GDPR md. 6/1-f), yasal saklama yükümlülüklerinin yerine getirilmesi (GDPR md. 6/1-c). Müşterilerinizin ve tedarikçilerinizin verilerini işlediğiniz ölçüde veri sorumlusu sizsiniz; biz şu sözleşmeye dayanarak veri işleyen olarak hareket ederiz: veri işleme sözleşmesi.
| Veriler | Amaç | Hukuki dayanak |
|---|---|---|
| Hesap ve sözleşme verileri | Hesabın yönetimi, uygulamanın sağlanması, tarifenin faturalandırılması | GDPR md. 6/1-b |
| Girdiğiniz şirket, müşteri ve belge verileri | Belgelerinizi oluşturma, gönderme ve yönetme – sizin adınıza veri işleyen olarak | GDPR md. 6/1-b, veri işleme sözleşmesi |
| İletişim formu | Talebinizin yanıtlanması | Sözleşmeye ilişkin sorularda GDPR md. 6/1-b, aksi hâlde bent f (taleplere yanıt verme menfaatimiz) |
| Sistem e-postaları (adres onayı, parola sıfırlama, davetler, hesapla ilgili bildirimler) | Sözleşmenin ifası | GDPR md. 6/1-b |
| Oturum açma kaydı ve giriş sınırlaması | Hesapların güvenliği, kötüye kullanımın önlenmesi | GDPR md. 6/1-f |
| Barındırma sağlayıcısının sunucu kayıtları | Web sitesinin işletimi, hata araması ve güvenliği | GDPR md. 6/1-f |
| Ziyaretçi istatistikleri | Web sitesinin erişimini ölçme | Rıza – GDPR md. 6/1-a |
| İlgili kişilere bülten | Bültenin gönderilmesi, onayın kanıtı | Onay – GDPR md. 6/1 a; kanıt: c ve f |
| Müşterilere tanıtım e-postaları | Kendi benzer hizmetlerimize dair bilgiler | GDPR md. 6/1 f, UWG § 7/3 |
| Engel listesi ve tıklama sayımı | Abonelikten çıkışlara kalıcı olarak uymak, tanıtım e-postalarının etkisini ölçmek | GDPR md. 6/1-f |
| Belgelerin ve ilgili kayıtların saklanması | Yasal saklama yükümlülükleri (§ 147 AO, § 257 HGB) | GDPR md. 6/1-c |
4. Çerezler, tarayıcı depolaması ve istatistikler
Oturum açma, güvenlik ve kendi ayarlarınız için gerekli olanları onay olmadan saklarız (TDDDG § 25/2-2). Ziyaretçi istatistikleri yalnızca onay verirseniz çalışır (GDPR md. 6/1-a). Onayınızı istediğiniz zaman ileriye dönük olarak geri alabilirsiniz (GDPR md. 7/3) – burada, verdiğiniz kadar kolayca. İzleme, reklam çerezleri ve üçüncü taraf betik veya yazı tipi yoktur.
| Ad | Tür ve amaç | Saklama süresi | Hukuki dayanak |
|---|---|---|---|
__Host-pxy_sess | Çerez. Oturumunuzu açık tutar ve formları dışarıdan gönderimlere karşı korur. | tarayıcı kapatılana kadar | gerekli – TDDDG § 25/2-2; GDPR md. 6/1-b ve f |
pxy_remember | Çerez, yalnızca „Oturumum açık kalsın“ seçeneğini seçerseniz. Bu cihazda otomatik olarak oturum açar. | 30 gün | gerekli – TDDDG § 25/2-2; GDPR md. 6/1-b |
pxy_lang | Çerez. Seçilen dili hatırlar. | 1 yıl | gerekli – TDDDG § 25/2-2; GDPR md. 6/1-f |
pxy_consent | Çerez. Her ziyarette yeniden sormamak için gizlilik ayarlarınızı saklar. | 1 yıl | gerekli – TDDDG § 25/2-2; GDPR md. 7/1 |
pxy_theme, pxy_nav, pxy_preview | Tarayıcı depolaması (localStorage). Kendi ayarladıklarınızı hatırlar: açık veya koyu görünüm, daraltılmış menü, belge düzenleyicide önizleme. | siz değiştirene veya tarayıcı verilerini silene kadar | gerekli – TDDDG § 25/2-2 |
sw.js | Service Worker (tarayıcıdaki betik). projectxy’nin ana ekrana eklenmesini sağlar ve bağlantı yokken bir bilgi sayfası gösterir; sayfa veya veri saklamaz. | tarayıcı verilerini silene kadar | gerekli – TDDDG § 25/2-2 |
Ziyaretçi istatistikleri | Cihazınızda hiçbir şey saklanmaz. Sayfa, dil ve yönlendiren site sayılır. İkinci bir ziyaretin iki kez sayılmaması için IP adresi ve tarayıcı tanımından, her gün değişen rastgele bir değerle kısa bir kod oluşturulur; IP adresinin kendisi saklanmaz. | 90 gün | yalnızca onayla – GDPR md. 6/1-a |
Ziyaretçi istatistikleri: IP adresi, tarayıcı tanımlayıcısı ve her gün değişen rastgele bir değerden geri çevrilemeyen bir kısa kod oluşturuyoruz. IP adresinin kendisini bunun için saklamıyoruz ve ertesi gün hiçbir ziyaret önceki bir ziyaretle ilişkilendirilemez. Rakamları yalnızca işletmeci toplu olarak görür; üçüncü kişilere aktarılmaz.
Seçiminizin kaydı: Her seçimi çerezdeki rastgele tanımlayıcı ve zamanla birlikte saklarız – IP adresi olmadan ve hesabınızla bağlantı kurmadan. Bu kayıtları üç yıl sonra sileriz.
5. Alıcılar ve veri işleyenler
Barındırma: ProjectXY. Barındırma sağlayıcısı, uygulamanın ve veritabanının çalıştığı sunucuları işletir ve sunucu kayıtlarını tutar (bölüm 2). Bir veri işleme sözleşmesi temelinde veri işleyen olarak hareket eder.
E-posta gönderimi: Sistem mesajları ve gönderdiğiniz belgeler, işletmecinin kurduğu e-posta sunucusu üzerinden – veya ayarlarda girerseniz kendi sunucunuz üzerinden – gönderilir. Barındırma ve e-posta gönderimi için alt veri işleyenler, merkezleriyle birlikte şu belgede yer alır: veri işleme sözleşmesi.
Ödeme hizmeti: Yalnızca işletmecinin bir faturasını çevrimiçi öderseniz: Ödeme bağlantısı Mollie B.V., Amsterdam (Hollanda) ödeme sayfasına yönlendirir. Oraya tutarı, para birimini, fatura numarasını ve ödemeden sonra döneceğiniz adresi iletiriz. Ödeme sayfasında girdiklerinizi Mollie, kendi gizlilik bildirimine göre bağımsız veri sorumlusu olarak işler; çevrimiçi ödeme olmadan Mollie hiçbir şey almaz.
Hesap hareketlerinin alınması: Yalnızca banka mutabakatında bir banka hesabı bağlarsanız: Bankanıza giriş, BaFin onaylı bir hesap bilgi hizmeti olan finAPI GmbH, Münih (Almanya) formunda yapılır; banka erişim bilgilerinizi biz değil, yalnızca finAPI alır. finAPI bizim adımıza hesapları (ad, IBAN, hesap sahibi) ve hareketleri (tarih, tutar, açıklama, karşı tarafın adı) bir veri işleme sözleşmesine dayanarak veri işleyen sıfatıyla alır; hesap bilgilerinin alınmasına onayınızı formda finAPI’ye verirsiniz. Bağlantıyı keserseniz finAPI’deki bağlantıyı sileriz; daha önce alınan hareketler siz kaldırana kadar banka mutabakatında kalır.
Haritalar ve rotalar (rota planlama): Yalnızca rota planlamayı kullanıyorsanız: Harita karolarını tarayıcınız doğrudan MapTiler AG'den (Zürih, İsviçre) yükler; MapTiler bu sırada IP adresinizi ve görüntülenen harita bölümünü alır. Adres araması için bir durağın adresini MapTiler'a iletiriz; sonucu her seferinde yeniden aranmaması için kişide saklarız. Sürüş süreleri ve mesafe için yalnızca koordinatları – isim olmadan – HeiGIT gGmbH'nin (Heidelberg, Almanya) openrouteservice hizmetine iletiriz. Her ikisi de veri işleme sözleşmesi temelinde veri işleyen olarak hareket eder. Sürücülerin konumunu kaydetmeyiz: Yalnızca bir durağın varıldı, tamamlandı veya sorunlu olarak işaretlendiği zamanlar ve istenirse teslimat kanıtı olarak fotoğraf, imza ve alıcının adı saklanır.
Belge tanıma (YZ): Yalnızca şirketiniz belge tanımayı açtıysa: Yüklediğiniz veya belge posta kutunuza gönderdiğiniz gelen faturaların fotoğraflarını ve PDF’lerini analiz için Anthropic PBC, San Francisco (ABD) şirketine iletiriz; AEA’daki müşteriler için sözleşme tarafı Anthropic Ireland Limited, Dublin’dir. Anthropic bunlardan tedarikçiyi, tarihi, belge numarasını, tutarları, vergi oranını, vadeyi ve banka bilgilerini okur ve AB Komisyonunun standart sözleşme maddelerini içeren bir veri işleme sözleşmesi temelinde veri işleyen olarak hareket eder. İletilen belgeler Anthropic’te en geç 30 gün sonra silinir ve model eğitiminde kullanılmaz. Sonucu ve hizmetin yanıtını (görüntü olmadan) belgenin yanında saklarız ki bilgilerin kaynağı izlenebilir kalsın. Sahip belge tanımayı istediği zaman kapatabilir; belgeler her zaman elle de girilebilir.
Yapay zekâ asistanı: Yalnızca firmanız yapay zekâ asistanını açtıysa (ilk kullanımda işletme sahibinin onayı): öneriler için – tek cümleden bir randevu, fatura, teklif, belge veya rota, gönderim ya da ihtar için bir metin, göstergelerinizle veya yardımla ilgili bir sorunun yanıtı ve haftalık vardiya önerisi – girdinizi ve yalnızca bunun için gerekli bilgileri Anthropic PBC, San Francisco’ya (ABD) iletiriz; AEA’daki müşteriler için sözleşme tarafı Anthropic Ireland Limited, Dublin’dir. İşleve göre bunlar bugünün tarihi, birimler, vergi oranları, şablonlar ve alanlar, bir belgenin türü, numarası, tutarları ve vadeleri, rakamlarınızla ilgili sorularda müşteri adları ve cirolarla birlikte firmanızın göstergeleri, haftalık öneride ise adlar, çalışma saatleri ve devamsızlık günleridir. Yanıttaki müşteri, ürün ve çalışan adlarını verilerinizle kendimiz eşleştiririz. Anthropic, AB Komisyonu’nun standart sözleşme maddelerine göre işleyen olarak hareket eder (GDPR md. 46 f. 2 bent c), verileri en geç 30 gün sonra siler ve modelleri eğitmek için kullanmaz. Yalnızca kontrol ettikten sonra kendiniz onayladığınız şey kaydedilir; faturalama için her istekte zamanı, amacı, token sayısını ve maliyeti içerik olmadan kaydederiz. İşletme sahibi yapay zekâ asistanını istediği zaman kapatabilir.
Dış mekân yedek kopyası: İşletmeci, veritabanı yedeğinin bir kopyasını kendi yönettiği bir posta kutusuna gönderebilir. Kopya yalnızca işletmecinin bildiği bir parolayla şifrelenir (AES-256-GCM); posta kutusu sağlayıcısı onu okuyamaz.
Üçüncü ülke: AB ve AEA dışındaki ülkelere aktarım yalnızca iki durumda gerçekleşir: Rota planlamasının harita ve adres araması için, AB Komisyonunun yeterlilik kararı bulunan (GDPR md. 45) İsviçre’deki MapTiler’ı kullanıyoruz. Belge tanıma için – yalnızca şirketiniz bunu açtıysa – belgeleri AB Komisyonunun standart sözleşme maddeleri (GDPR md. 46 f. 2 bent c) temelinde ABD’deki Anthropic’e iletiyoruz. Diğer veri işleyenlerimiz verileri bizimle yaptıkları sözleşmelere göre yalnızca AB içinde işler.
6. Saklama süresi
Hesap verileri hesap silinene kadar. Şirket verileri, şirket hesabını silene kadar; kendi yasal saklama sürelerinize dikkat edin (genellikle 8 veya 10 yıl). Silinen veriler 90 gün daha, işletmecinin geri getirebileceği bir geri dönüşüm kutusunda kalır – sonrasında kalıcı olarak silinir. Yedek kopyalar düzenli olarak üzerine yazılır. İletişim taleplerini işlendikten sonra, en geç 180 gün sonra sileriz; işlenmeden kalan talepleri en geç 360 gün sonra. Hesabınızı silerseniz taleplerinizdeki adı, e-posta adresini ve metni kaldırırız.
Ayrıntıda şu süreler geçerlidir; değerler, bunları her gün uygulayan programın kendisinden gelir.
| Veriler | Saklama süresi |
|---|---|
| Barındırma sağlayıcısının sunucu kayıtları | [YER TUTUCU – Barındırma sağlayıcısındaki sunucu kayıtlarının saklama süresi (ör. „7 gün“)] |
| Uygulama kaydı (oturum açmalar, ayarlar, değişiklikler) | 2 yıl; içindeki IP adresi 90 gün |
| Belgeler, ödemeler ve giderlere ilişkin kayıt (vergisel açıdan önemli) | takvim yılının sonundan itibaren 10 yıl |
| Giden kutusu (gönderilen e-postalar) | Metin bir yıl; alıcı, konu ve zaman 2 yıl, arşivlenmiş belge dosyalarında dosya kadar |
| Başarısız oturum açma denemeleri (giriş sınırlaması) | kilit için 15 dakika, en geç 30 gün |
| İletişim talepleri | işlemden sonra, en geç 180 gün sonra; işlenmeyenler 360 gün sonra; IP adresi 90 gün sonra |
| Onaylanmamış e-posta adresli hesaplar (şirketsiz) | kayıttan 14 gün sonra, ardından otomatik silinir |
| Geri dönüşüm kutusu (silinen veriler, hesaplar ve şirketler) | 90 gün, ardından kalıcı olarak kaldırılır |
| Veritabanı ve belge dosyalarının yedekleri | en fazla 8 sürüm (haftalık yedeklemede yaklaşık iki ay); bir şirketin silinmesinden hemen önce alınan yedek en geç 30 gün; dış mekân kopyası yalnızca şifreli |
| Teslimat kanıtlı rotalar (durum zamanları, fotoğraflar, imzalar) | rotayı veya şirketi silene kadar; teslimat kanıtı olan bir rota, şirket silinene kadar korunur |
| Adres araması, sürüş süreleri ve mesafelerin önbelleği | 30 gün |
| Belge tanıma gelen kutusu (alınmamış belgeler, YZ sonuçları) | 90 gün; alınan sonuçlar gider kadar uzun |
| Gönderilen belge dosyaları (belge arşivi) | Faturalar, alacak dekontları ve ara ödeme faturaları 10 yıl, teklifler, sipariş onayları, irsaliyeler ve hatırlatmalar 6 yıl – her biri gönderim yılının sonundan itibaren |
| Onaylanmamış bülten kayıtları | 30 gün, sonra otomatik olarak silinir |
| Bülten onayının kanıtı | geri alınana kadar, ardından 3 yıl |
| Bir tanıtım e-postasının alıcı listeleri ve tıklamaları | gönderimden 2 yıl sonra |
| Abonelikten çıktıktan sonra engel listesi | kalıcı olarak, abonelikten çıkış geçerli kalsın diye |
7. Haklarınız
Bilgi edinme, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği ve itiraz haklarına (GDPR md. 15–21) ve bir denetim makamına şikâyette bulunma hakkına sahipsiniz. Verilerinizi istediğiniz zaman uygulamadan kendiniz dışa aktarabilirsiniz (CSV, PDF, ZIP); şirket hesabını Ayarlar → Veriler altında silersiniz.
İtiraz hakkı (GDPR md. 21): Verileri GDPR md. 6/1-f temelinde işlediğimiz ölçüde – sunucu kayıtları, oturum açma kaydı ve giriş sınırlaması, uygulama kaydı, sözleşmeyle ilgisi olmayan iletişim talepleri, ücretsiz fatura oluşturucudaki üçüncü kişilere ilişkin bilgiler – özel durumunuzdan kaynaklanan nedenlerle her zaman itiraz edebilirsiniz. Bu durumda, çıkarlarınıza, hak ve özgürlüklerinize ağır basan zorlayıcı meşru nedenleri kanıtlayamadığımız veya işleme hukuki taleplerin ileri sürülmesi, kullanılması ya da savunulmasına hizmet etmediği sürece verileri artık işlemeyiz. İtirazınızı 1. bölümde belirtilen adrese yöneltin.
Verilerinizin reklam amacıyla kullanılmasına istediğiniz zaman gerekçe göstermeden itiraz edebilir ve onayınızı geri alabilirsiniz – her tanıtım e-postasındaki bağlantıyla, profilinizde veya bize mesaj göndererek (GDPR md. 21/2 ve md. 7/3).
Veri sağlama yükümlülüğü: Bize veri sağlamakla ne yasal ne de sözleşmesel olarak yükümlüsünüz. Ancak e-posta adresi ve parola olmadan hesap yürütemeyiz, şirketinize ilişkin bilgiler olmadan belge oluşturamayız ve gönderen bilgileri olmadan bir talebi yanıtlayamayız (GDPR md. 13/2-e).
8. Güvenlik
Şifreli aktarım (HTTPS), parola özetleme, isteğe bağlı iki adımlı doğrulama, giriş kilitleri, Content-Security-Policy, şirket bazında ayrı saklama, erişim kayıtları ve düzenli yedekler.
Sürüm 13 · Tarih: 21.10.2026 (taslak)