Gizlilik Politikası

Bu Gizlilik Politikası, Mitves’in (Astalyne Studios, sahibi Oguzhan Günel, Günzburger Str. 37, 89340 Leipheim, Almanya) Mitves web sitesi, web yönetim paneli, mobil uygulama ve API (birlikte “Hizmet”) ile bağlantılı olarak kişisel verileri nasıl işlediğini açıklar.

Mitves iki farklı rolde hareket eder. Web sitemizi ziyaret edenler ile bizimle iletişime geçen veya deneme, demo ya da teklif talep eden kişiler (“potansiyel müşteriler”) bakımından Mitves veri sorumlusudur ve bu politika doğrudan uygulanır.

Mitves’i devam kaydı için kullanan müşteri şirketlerin çalışanları bakımından veri sorumlusu müşteri şirket (işveren), veri işleyen ise bir veri işleme sözleşmesi çerçevesinde müşterinin yazılı talimatlarıyla hareket eden Mitves’tir. Çalışanlar, verilerinin neden işlendiğine ilişkin sorularını işverenlerine yöneltmelidir; bu politika Mitves’in söz konusu verileri işveren adına nasıl işlediğini açıklar.

Mitves kişisel verileri satmaz ve müşteri verilerini reklam amacıyla kullanmaz.

• Kimlik verileri: ad, soyad, personel numarası, unvan, departman, şube veya ekip ataması.

• İletişim verileri: e-posta adresi ve cep telefonu numarası (telefon numarası parola sıfırlama SMS’leri için kullanılır).

• İstihdam ve planlama verileri: Hizmet içindeki rol (yönetici, müdür, çalışan), vardiyalar, çalışma planları, izin bakiyeleri, izin ve mazeret talepleri, mola kayıtları.

• Devam olayları: olay türü (giriş veya çıkış, mola başlangıcı veya bitişi), damga zamanı, seçilen lokasyon ve damga anında alınan GPS koordinatları, yetkili lokasyona uzaklık, yetkilendirilmiş cihaz tanımlayıcısı (cihaz UUID’si), okutulan QR belirteç kimliği ve kaydın inceleme durumu.

• Teknik veriler: IP adresi, tarayıcı/istemci bilgisi (user agent), uygulama sürümü, işletim sistemi, kimlik doğrulama belirteçleri ve denetim günlüğü kayıtları.

• Bordro belgeleri: işverenin yükleyip çalışanlara yayımladığı dosyalar (örneğin ücret pusulaları). Mitves bu belgeleri saklar ve iletir; bordro hesaplamaz ve içeriklerini analiz etmez.

• Özel nitelikli veriler (GDPR 9. madde): hastalık izni türündeki bir izin (türü, tarihleri ve varsa notu) sağlık verisidir; ücret pusulaları ise genellikle dolaylı olarak dini aidiyeti ortaya koyan kilise vergisi bilgisini gösterir (ABAD, C-184/20). Mitves bunları yalnızca işveren adına saklar ve gösterir: hastalık izni ayrıntılarını yalnızca çalışanın kendisine ve izin yetki alanı onu kapsayan yöneticilere ve sorumlulara, ücret pusulasını yalnızca çalışanın kendisine ve bordro yetki alanına sahip olanlara. Hukuki dayanağı veri sorumlusu olarak işveren belirler; iş ilişkisindeki sağlık verileri için bu genellikle GDPR 9(2)(b) ile ulusal iş hukukudur (Almanya’da BDSG § 26(3)).

• Web sitesi potansiyel müşteri verileri: web sitesi formları aracılığıyla iletilen şirket adı, ilgili kişi adı, e-posta adresi, telefon numarası, şirket büyüklüğü, mesaj ve talep türü (deneme, demo, teklif veya iletişim).

• Entegrasyon verileri: müşteri yöneticisi tarafından yapılandırılan API belirteçleri ve webhook adresleri.

Web sitesi ziyaretçileri ve potansiyel müşteriler (veri sorumlusu olarak Mitves): taleplerin yanıtlanması ile deneme, demo ve teklif sunulması (sözleşme öncesi adımlar), web sitesinin işletilmesi ve güvenliğinin sağlanması (meşru menfaat) ve kanunen tutulması gereken kayıtların tutulması (hukuki yükümlülük).

Müşteri çalışanları (veri işleyen olarak Mitves): Mitves devam verilerini yalnızca Hizmeti işverene sunmak amacıyla işler. Hukuki sebebi işveren belirler; bu sebep genellikle iş sözleşmesinin ifası, işverenin çalışma sürelerini kayıt altına alma yükümlülüğü ve işverenin devam kayıtlarının doğruluğunu sağlamaya yönelik meşru menfaatidir.

Lokasyon ve cihaz kontrolleri yalnızca damganın yetkili bir yerde ve yetkili bir cihazdan yapıldığını doğrulamak için kullanılır. Çalışanları profillemek veya devamla ilgisi olmayan sonuçlar çıkarmak için kullanılmaz.

Hukuki sebebin çalışanın açık rızasını gerektirdiği hallerde bu rızanın alınması ve belgelenmesi işverenin sorumluluğundadır; Mitves bunu destekleyen araçlar sunar.

Mitves hiçbir türde biyometrik veri toplamaz, saklamaz veya işlemez. Hizmette parmak izi, yüz, iris veya ses tanıma bulunmaz.

Mitves konumu sürekli olarak takip etmez. GPS koordinatları yalnızca çalışanın giriş, çıkış veya mola işlemini bizzat gerçekleştirdiği anda, yalnızca işveren lokasyon doğrulamasını etkinleştirmişse ve işveren istiyorsa yalnızca çalışanın uygulamada her an geri alabileceği açık rızasıyla okunur.

Mitves çalışanın cihazındaki rehberi, fotoğrafları, mesajları veya diğer içerikleri okumaz. Kamera yalnızca damga sırasında QR kodu okutmak için kullanılır.

Mitves devam verilerinden davranış veya verimlilik profili oluşturmaz.

Potansiyel müşteri verileri, talebin karşılanması için gerekli süre boyunca ve bir müşteri ilişkisi kurulmadıkça son temastan itibaren en fazla 24 ay saklanır.

Müşteri ve çalışan verileri abonelik süresince saklanır. Sona ermenin ardından müşteri verilerini dışa aktarabilir; Mitves, kanunen daha uzun bir saklama süresi gerekmedikçe veya veri işleme sözleşmesinde kararlaştırılmadıkça müşteri verilerini sona ermeden itibaren 90 gün içinde siler veya anonim hale getirir.

Devam geçmişi, müşterinin yapılandırmasına göre işverene uygulanan yasal süre boyunca (örneğin iş mevzuatı uyarınca çalışma süresi kayıtları) saklanır. Bir düzeltme orijinal kaydı iz bırakmadan silmez: kimin neyi, ne zaman ve neden değiştirdiği önceki değerlerle birlikte kaydedilir.

Bir damganın GPS koordinatları yalnızca müşterinin belirlediği süre boyunca (1 ile 90 gün arası, değiştirilmedikçe 90 gün) kanıt olarak saklanır ve sonra silinir; konuma olan mesafe, GPS doğruluğu ve kontrol sonucu kayıtta kalır.

Şifreli yedekler yedekleme takvimine göre döndürülür ve döngü süresinin sonunda imha edilir.

Teknik günlükler güvenlik ve sorun giderme amacıyla en fazla 14 gün saklanır ve ardından silinir.

Mitves, Hizmeti Avrupa Birliği’nde (Hollanda) bulunan sanal özel sunucularda barındırır. Üretim veritabanı, dosya depolama alanı ve şifreli yedekler AB içinde kalır.

Mitves aşağıdaki kategorilerde alt veri işleyenler kullanır: barındırma ve altyapı sağlayıcısı (AB); DNS ve ters vekil (reverse proxy) uç koruması için Cloudflare (trafik Cloudflare’in küresel ağından geçer); tek kullanımlık parola sıfırlama kodları için bir SMS sağlayıcısı; hesap ve bildirim e-postaları için bir işlemsel e-posta sağlayıcısı; kendi posta kutularımız (örneğin [email protected]) için bir e-posta barındırma sağlayıcısı.

Harita karoları (OpenStreetMap): Web panelindeki konum formu ve kayıt sihirbazının konum adımı (“Haritayı göster”e tıklandıktan sonra), OpenStreetMap Foundation’a (Birleşik Krallık) ait OpenStreetMap karo sunucularından harita karoları gösterir. Tarayıcı karoları doğrudan oradan yükler; bu sırada her karo için IP adresini, olağan istek başlıklarını (User-Agent, dil ve yönlendiren Mitves sayfası gibi) ve görüntülenen harita bölgesini gönderir. Amaç, bir konumun merkezinin ve yarıçapının belirlenebilmesi için haritayı göstermektir. Adres araması tarayıcıdan değil Mitves sunucusundan Nominatim coğrafi kodlama hizmetine (varsayılan olarak yine OpenStreetMap Foundation tarafından işletilir) gönderilir: Bu hizmet arama metnini, genellikle bir adresi, alır ancak kullanıcının IP adresini almaz; sonuçlar bir gün önbellekte tutulur. Çalışanların konumları harita sağlayıcısına hiçbir zaman gönderilmez. OpenStreetMap Foundation gizlilik politikası: https://osmfoundation.org/wiki/Privacy_Policy Hukuki sebep, yöneticinin istediği haritayı göstermedeki meşru menfaatimizdir (GDPR 6(1)(f)); Birleşik Krallık’a aktarım, Avrupa Komisyonu’nun Birleşik Krallık için verdiği yeterlilik kararına dayanır.

Kayıtta bot kontrolü (Cloudflare Turnstile): Ücretsiz deneme kaydının ilk adımı, otomatik kayıtların SMS kodu tetiklememesi ve hesap açamaması için Cloudflare, Inc.’in (Amerika Birleşik Devletleri) bir hizmeti olan Cloudflare Turnstile ile korunur. Ziyaretçinin tarayıcısı kontrolü Cloudflare’den yükler ve IP adresi, TLS parmak izi, User-Agent başlığı ile site anahtarı ve kaynağı gibi sinyaller gönderir; ardından Mitves sunucusu sonucu Cloudflare ile doğrular ve bu sırada ziyaretçinin IP adresini iletir. Mitves kontrol jetonunu saklamaz. Cloudflare’in Turnstile gizlilik eki: https://www.cloudflare.com/turnstile-privacy-policy/ Hukuki sebep, kaydı kötüye kullanıma karşı korumadaki meşru menfaatimizdir (GDPR 6(1)(f)). Cloudflare bu verileri bizim adımıza işler; Turnstile gizlilik eki uyarınca bot tespitini geliştirmek için bağımsız veri sorumlusu olarak da kullanabilir. Amerika Birleşik Devletleri’ne aktarım, Cloudflare’in sertifikalı olduğu AB–ABD Data Privacy Framework’e, yedek olarak AB standart sözleşme hükümlerine dayanır.

Mobil uygulamada çökme raporları ve anlık bildirimler (Google Firebase): Uygulama, Google’ın iki Firebase hizmetini kullanır. Firebase Crashlytics, uygulama çöktüğünde veya beklenmeyen bir hatayla karşılaştığında bir rapor alır: hata türü, yığın izi (uygulamadaki kod konumları), cihaz modeli, işletim sistemi ve uygulama sürümü, zaman ve Crashlytics’in oluşturduğu rastgele bir kurulum kimliği; telefon bağlantıyla birlikte IP adresini de gönderir. Rapor ad, kullanıcı kimliği, telefon numarası, hata mesajı, konum veya devam verisi içermez; geliştirme sürümleri rapor göndermez. Firebase Cloud Messaging anlık bildirimleri iletir: Uygulama, telefon için Mitves’e bir push token’ı kaydeder; Mitves sunucusu Firebase üzerinden bu token’a yalnızca bildirim türüne göre sabit bir başlık ve metin (örneğin “İncelenecek bir kayıt var”) ile bildirimin numarasını ve türünü gönderir; bir kişinin adı, bir yer, bir saat veya başka bir ayrıntı asla gönderilmez, uygulama bunları açıldıktan sonra Mitves’ten yükler; iPhone’larda Firebase bildirimi Apple’ın anlık bildirim hizmetine (APNs) iletir. Amaç, uygulamadaki hataları bulup gidermek ve bildirimleri iletmektir. Google bu verileri Amerika Birleşik Devletleri’nde işleyebilir. Firebase gizlilik bilgileri: https://firebase.google.com/support/privacy Google (Google Ireland Limited ve Google LLC), Firebase veri işleme ve güvenlik şartları kapsamında veri işleyendir. Hukuki sebep, çalışan bir uygulamaya ve bildirimlerin iletilmesine yönelik meşru menfaattir (GDPR 6(1)(f)). Amerika Birleşik Devletleri’ne aktarım, Google LLC’nin sertifikalı olduğu AB–ABD Data Privacy Framework’e, yedek olarak Google şartlarındaki standart sözleşme hükümlerine dayanır. iPhone’larda Apple Inc. (Amerika Birleşik Devletleri), bildirimi iletmek için push token’ını ve sabit metni alır.

Lisans ödemeleri ve KDV numarası kontrolü (veri sorumlusu olarak Mitves): Müşteri yöneticileri kart veya PayPal ile, ödeme verilerini bağımsız veri sorumlusu olarak işleyen Stripe (Stripe Payments Europe, Limited, İrlanda) veya PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Lüksemburg) ödeme sayfalarında öder; kart verileri Mitves’e hiçbir zaman ulaşmaz, Mitves yalnızca ödeme durumunu ve referansını alır. AB’deki bir işletmeye Alman KDV’si içermeyen bir fatura için Mitves, müşterinin KDV numarasını Avrupa Komisyonu’nun VIES hizmetiyle kontrol eder; bu sırada bu KDV numarasını ve kendi numarasını gönderir ve onayı siparişle birlikte saklar. Hukuki sebep, sözleşmenin ifası ve Mitves’in vergisel yükümlülükleridir (GDPR 6(1)(b) ve (c)); siparişler ve faturalar yasal saklama süresi boyunca saklanır (§ 147 AO, § 14b UStG). Gizlilik bilgileri: https://stripe.com/privacy ve https://www.paypal.com/privacy

İlk lisanstan önce şirket doğrulaması (veri sorumlusu olarak Mitves): Müşteri ilk lisansını satın almadan önce yöneticileri bir ticaret sicil kaydı, işyeri kayıt belgesi veya benzer resmi bir belge yükler. Mitves, hizmetin yalnızca işletmelere satıldığından ve faturaların doğru alıcıyı gösterdiğinden emin olmak için belgeyi fatura bilgileriyle karşılaştırır. Bu belgeler sahiplerin veya yöneticilerin adlarını, doğum tarihlerini ve adreslerini içerebilir. Belgeleri yalnızca doğrulamaları kontrol eden Mitves çalışanları açabilir; AB’de, müşteri hesabı var olduğu sürece saklanır ve ardından hesabın verileriyle birlikte silinir. Hukuki sebep, sözleşmenin ifası ve Mitves’in yalnızca işletmelere satış yapma ve dolandırıcılığı önleme konusundaki meşru menfaatidir (GDPR 6(1)(b) ve (f)).

İzin takvimi bağlantısı (kullanıcının seçtiği takvim sağlayıcısı): İşveren bu özelliği kapatmadıysa kullanıcı, izin takvimine özel bir bağlantı oluşturup kendi seçtiği bir takvim uygulamasında (örneğin Microsoft Outlook, Google Takvim veya Apple Takvim) abone olabilir. Takvim sağlayıcısı bağlantıyı Mitves sunucusundan yaklaşık saatte bir alır ve aldıklarını saklar: kullanıcının kendi onaylanmış izinleri ve yöneticiler ile adminler için izinlerini yönettikleri kişilerin onaylanmış izinleri, ad, tarihler ve izin türüyle birlikte; hastalık izni yalnızca kullanıcının Mitves’te de görebildiği durumlarda bu adla gösterilir. Mitves başka bir veri göndermez ve sağlayıcıyı seçmez: sağlayıcı Mitves’in alt veri işleyeni değildir; sakladığı veriler için, AB dışına olası aktarımlar dahil, sağlayıcının kendi gizlilik politikası geçerlidir. Mitves yalnızca bağlantının bir özetini (hash), oluşturulma zamanını ve bir takvimin onu en son ne zaman aldığını saklar. Bağlantıya sahip olan herkes bu kayıtları okuyabilir; bu nedenle bağlantı başkalarıyla paylaşılmamalıdır. Kullanıcı bağlantıyı istediği zaman yenileyebilir veya kaldırabilir; hesap pasifleştirildiğinde ya da silindiğinde bağlantı kaldırılır. Çalışanların takvim bağlantısı kullanıp kullanamayacağına ve hangi hukuki dayanakla kullanacağına veri sorumlusu olarak işveren karar verir; sağlık verileri için yukarıdaki özel nitelikli veri kuralları geçerlidir.

Alt veri işleyenlerin güncel listesi ve bulundukları yerler https://mitves.com/tr/legal/subprocessors adresinde yayımlanır ve yeni bir alt veri işleyen devreye alınmadan önce güncellenir. Müşteriler değişikliklerden haberdar edilir ve makul veri koruma gerekçeleriyle itiraz edebilir.

Tüm alt veri işleyenler, veri işleme sözleşmemizdekilerden daha az koruyucu olmayan veri koruma yükümlülükleri getiren yazılı sözleşmelerle bağlıdır.

• Aktarım sırasında şifreleme: web sitesi, panel, API ve mobil uygulamaya yapılan tüm bağlantılar TLS kullanır.

• Şifreli yedekler: veritabanı ve dosya yedekleri saklama sırasında şifrelenir ve üretim sistemlerinden ayrı tutulur.

• Erişim kapsamları: her kullanıcının bir rolü vardır (yönetici, müdür, çalışan) ve müdürler yalnızca kendilerine atanan şube ve ekipleri görür. API belirteçleri kapsamlıdır ve her zaman iptal edilebilir.

• Denetim izi: bir devam kaydının oluşturulması, düzeltilmesi veya silinmesinde bunu kimin, neyi, ne zaman ve neden yaptığı kaydedilir.

• Değiştirilemez ham geçmiş: orijinal damga verisi asla üzerine yazılmaz; düzeltmeler ayrı ve sorumlusu belli kayıtlar olarak saklanır.

• Cihaz yetkilendirmesi: çalışanlar yalnızca yöneticinin yetkilendirdiği cihazlardan damga yapabilir ve cihaz yetkileri iptal edilebilir.

• Operasyonel kontroller: en az yetki ilkesine dayalı sunucu erişimi, ayrılmış test ve üretim ortamları, bağımlılık güncellemeleri ve izleme.

Hiçbir sistem tamamen güvenli değildir. Müşteri verilerini etkileyen bir kişisel veri ihlalinden haberdar olursak, kendi bildirim yükümlülüklerini yerine getirebilmesi için etkilenen müşteriyi gecikmeksizin bilgilendiririz.

Size uygulanan mevzuata (GDPR, KVKK veya diğer) bağlı olarak kişisel verilerinize erişme, düzeltilmesini veya silinmesini isteme, işlenmesinin kısıtlanmasını isteme veya işlenmesine itiraz etme, veri taşınabilirliği ve denetim makamına şikâyette bulunma haklarına sahip olabilirsiniz.

Bir Mitves müşterisinin çalışanıysanız lütfen başvurunuzu veri sorumlusu olan işvereninize iletin. Mitves, Hizmetin dışa aktarma, düzeltme ve silme işlevleri aracılığıyla işverenlerin bu başvuruları yanıtlamasına yardımcı olur.

Web sitesi ziyaretçisi veya potansiyel müşteriyseniz [email protected] adresinden doğrudan Mitves ile iletişime geçebilirsiniz. Başvurunuzu işleme almadan önce kimliğinizi doğrulamanızı isteyebiliriz ve ilgili mevzuatın öngördüğü süre içinde yanıt veririz.

İşlemenin açık rızaya dayandığı hallerde rızanızı dilediğiniz zaman geri alabilirsiniz; geri alma, geri almadan önceki işlemenin hukuka uygunluğunu etkilemez.

Müşteri verileri AB içinde saklanır ve işlenir. Müşterinin AB dışında (örneğin Türkiye’de) yerleşik olduğu hallerde müşterinin tabi olduğu mevzuat, AB’de barındırmayı yurt dışına aktarım olarak değerlendirebilir. Bu durumda veri sorumlusu sıfatıyla müşteri, uygun bir hukuki mekanizmanın (Türkiye için ilgili kişinin rızası değil, KVKK’nın 9. maddesi uyarınca imzalanan ve imzadan itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilen standart sözleşme) bulunmasını sağlamakla yükümlüdür; Mitves bu sözleşmeyi müşteriyle imzalar ve süreci veri işleme sözleşmesi aracılığıyla destekler.

Cloudflare ve Google (Firebase) sınırlı teknik verileri Amerika Birleşik Devletleri’nde işleyebilir. Bu aktarımlar, her ikisinin de sertifikalı olduğu AB–ABD Data Privacy Framework’e, yedek olarak AB standart sözleşme hükümlerine dayanır. Hizmetin SMS’leri ve e-postaları Amazon Web Services üzerinden AB’deki Frankfurt bölgesinden gönderilir.

Mitves kişisel verileri kendi amaçları için üçüncü bir ülkeye aktarmaz.

Hizmet, alt veri işleyenlerimiz veya mevzuat değiştiğinde bu politikayı güncelleyebiliriz. En son sürümün tarihi sayfanın üst kısmında gösterilir. Önemli değişiklikler müşterilere e-posta ile veya panel üzerinden bildirilir.

Veri sorumlusu iletişim bilgileri: Astalyne Studios, sahibi Oguzhan Günel, Günzburger Str. 37, 89340 Leipheim, Almanya, e-posta [email protected].

Bir veri koruma görevlisi veya temsilci atanırsa iletişim bilgileri burada yayımlanacaktır.