Gizlilik politikası

Tarih: 27.03.2026 Sürüm: 2.0

Dil sürümüne ilişkin not: Bu Almanca metin, hukuken bağlayıcı ve esas alınacak sürümdür. Olası İngilizce çeviriler yalnızca bilgilendirme amaçlıdır; çelişki durumunda Almanca sürüm geçerlidir.

Bu gizlilik politikası, Etzensperger Informatik AG'nin (“biz”, “bize”) şu durumlarda kişisel verileri nasıl işlediğini açıklar: (a) web sitelerimizi ve online hizmetlerimizi kullandığınızda, (b) bir müşteri hesabı (SaaS hesabı) oluşturduğunuzda veya yönettiğinizde, (c) son kullanıcı/katılımcı olarak müşterilerimizden biri aracılığıyla platformumuza veri girdiğinizde, (d) bizimle iletişim kurduğunuzda (destek, satış, pazarlama), (e) bize iş başvurusunda bulunduğunuzda veya bizimle bir istihdam ilişkisi içinde olduğunuzda.

Özellikle İsviçre Veri Koruma Kanunu'nu (DSG) ve uygulanabildiği durumlarda AB Genel Veri Koruma Tüzüğü'nü (GDPR) dikkate alırız.

1. Veri sorumlusu (Controller) ve iletişim

DSG kapsamında veri işlemeden sorumlu olan ve uygulanabildiği ölçüde GDPR kapsamında veri sorumlusu:

Etzensperger Informatik AG Kirchweg 24 CH-3366 Bettenhausen İsviçre E-posta: support@edoobox.com Telefon: +41 43 434 65 91 Ticaret sicili/UID: CHE-107.413.131

2. Veri koruma irtibatı / veri koruma danışmanı / veri koruma görevlisi (DPO)

Veri koruma konularında bize ulaşabilirsiniz: Veri koruma iletişimi: support@edoobox.com Etzensperger Informatik AG Kirchweg 24 CH-3366 Bettenhausen İsviçre

Not: Geçerli hukuk uyarınca bir veri koruma görevlisi atamamız gerekirse veya gönüllü olarak atarsak, kendisine yukarıdaki iletişim bilgileri üzerinden ulaşılabilir.

3. SaaS rol modeli (müşteri verileri ile kendi ticari faaliyetlerimize ilişkin veriler)

3.1 Müşteri verileri (“Customer Content”) – veri işleyen olarak biz

Müşterilerimiz SaaS platformumuzu kullanırken son kullanıcıların/katılımcıların kişisel verilerini (örneğin katılım, rezervasyon/etkinlik verileri) platforma girebilir. Bu müşteri verilerini müşterinin adına ve talimatlarına göre işlediğimiz ölçüde roller şöyledir:

• Müşteri = veri sorumlusu (Controller),
• biz = veri işleyen (Processor).

Bu durumlarda, talimatla veri işlemeyi müşteriyle yapılan ayrı bir veri işleme sözleşmesinde (AVV/DPA) düzenleriz.

3.2 Kendi ticari verilerimiz – veri sorumlusu olarak biz

Kişisel verileri hesap yönetimi, sözleşme/faturalandırma, güvenlik, ürün geliştirme, pazarlama (izin verildiği ölçüde) ve mevzuata uyum gibi kendi amaçlarımız için de işleriz. Bu işleme faaliyetlerinde veri sorumlusu biziz.

4. Kişisel veri kategorileri

Bağlama göre özellikle şu kategorileri işleriz:

A) Hesap ve sözleşme verileri

• Soyadı, adı, şirket/kuruluş, rol/pozisyon
• Oturum açma/kimlik verileri (ör. kullanıcı adı), parola özeti
• İletişim bilgileri (e-posta, telefon, adres)
• Sözleşme ve plan/abonelik bilgileri, lisans kapsamı

B) Faturalandırma ve ödeme verileri

• Fatura adresi, KDV bilgileri
• Ödeme durumu, işlem ve referans verileri (ödeme sağlayıcısı bunları doğrudan işliyorsa tam kart/banka bilgileri hariç)

C) Kullanım ve cihaz verileri

• Platform içindeki kullanım verileri (ör. özellik kullanımı, uygulamadaki tıklama yolları)
• Cihaz/tarayıcı verileri, işletim sistemi, uygulama sürümü
• IP adresi, zaman damgası, yaklaşık konum verileri (türetilmiş), dil/saat dilimi

D) İletişim ve destek verileri

• Destek talepleri, e-posta/sohbet içerikleri, ekler
• Görüşme notları, destek talepleri, durum ve işlem geçmişi

E) Günlük, güvenlik ve meta veriler

• Sistem ve erişim günlükleri (ör. giriş denemeleri, yönetici eylemleri)
• Denetim kayıtları, hata/çökme raporları
• Yedeklemeler/geri yükleme noktaları (veri kopyaları dahil)

F) Pazarlama ve etkinlik verileri

• Bültene katılma/ayrılma, rıza durumu
• Kampanya parametreleri (ör. UTM), potansiyel müşteri bilgileri

G) İş başvurusu ve çalışan verileri

• Başvuru belgeleri, iletişim içerikleri, insan kaynakları yönetimi (ayrı bilgilendirme yapılabilir)

5. İşleme amaçları ve hukuki dayanaklar

Kişisel verileri amaçla sınırlılık, orantılılık ve veri minimizasyonu ilkelerine göre işleriz. Amaç için artık gerekli olmadıklarında verileri imha eder veya anonimleştiririz (yasal saklama yükümlülükleri ve meşru arşivleme menfaatleri saklıdır).

GDPR'nin geçerli olduğu ölçüde, işleme faaliyetlerimizi özellikle şu hukuki dayanaklara dayandırırız:

• Sözleşmenin ifası/sözleşme öncesi önlemler (GDPR madde 6, fıkra 1, bent b),
• Hukuki yükümlülük (GDPR madde 6, fıkra 1, bent c),
• meşru menfaatler (GDPR madde 6 fıkra 1 bent f),
• Rıza (GDPR madde 6, fıkra 1, bent a): Örneğin gerekli olduğu durumlarda bülten/pazarlama veya zorunlu olmayan çerezler için,
• istisnai durumlarda: hayati menfaatlerin korunması veya kamu görevi (GDPR Madde 6 paragraf 1 bent d/e).

Başlıca amaçlar:

5.1 SaaS platformunun işletilmesi ve işlevlerin sunulması

• Hesap oluşturma, giriş, yetkiler, işlevlerin sunulması
• Destek, olay yönetimi, geliştirme, kalite güvencesi

5.2 Sözleşme, faturalandırma, idare

• Sözleşmenin kurulması/yönetimi, faturalandırma, ödeme, ödeme hatırlatma yönetimi
• Finansal muhasebe, belgelendirme, kurum içi yönetim

5.3 Güvenlik ve kötüye kullanımın önlenmesi

• BT güvenliği, erişim kontrolleri, günlük tutma, dolandırıcılık/kötüye kullanım tespiti
• Genel işlem koşullarının uygulanması, hakların korunması, hukuki talepler

5.4 İletişim

• Hizmet bildirimleri (ör. güvenlikle ilgili açıklamalar, sistem durumu)
• Destek iletişimi
• Pazarlama iletişimi yalnızca izin verildiğinde veya rıza alındığında

5.5 Web sitesinin işletilmesi ve çerezler

Web sitesini ve platformu teknik olarak sunmak için gerekli çerezleri/teknolojileri kullanırız. Gerekli olmayan çerezler/teknolojiler (ör. erişim ölçümü, pazarlama, sosyal medya) için, yürürlükteki hukukun gerektirdiği durumlarda rıza yönetimi kullanırız. Web sitemizin alt bilgisindeki çerez ayarlarından rızanızı istediğiniz zaman geri alabilir veya değiştirebilirsiniz.

Microsoft Advertising (Universal Event Tracking) Analiz ve pazarlama için rıza verdikten sonra ziyaretleri ve başarılı kayıtları reklamlarımızla ilişkilendirmek için Microsoft'un Microsoft Advertising hizmetini kullanırız. Bu sırada özellikle ziyaret edilen URL, teknik tarayıcı ve cihaz verileri, IP adresi, çerez ve reklam tıklama kimlikleri (MSCLKID) Microsoft'a iletilebilir. Kendi kaydettiğimiz Microsoft tıklama kimliği, ilişkilendirme için en fazla 90 gün saklanır. app2.edoobox.com üzerindeki kayıt işlemine geçerken bu kimliği yalnızca pazarlama rızası varsa aktarırız. Rızanızı geri aldığınızda UET olaylarını durdurur ve erişebildiğimiz ilgili pazarlama kimliklerini kaldırırız. Microsoft verileri kendi reklam amaçları için de işleyebilir; daha fazla bilgi Microsoft gizlilik politikasında bulunur.

6. Alıcılar, hizmet sağlayıcılar ve alt veri işleyenler

Kişisel verileri yalnızca belirtilen amaçlar için gerekli olduğunda, bunu yapmakla yükümlü olduğumuzda veya rıza verdiğinizde paylaşırız.

Alıcı kategorileri şunlar olabilir:

• Barındırma/bulut sağlayıcıları (işletim, depolama, yedekleme, izleme)
• İletişim hizmeti sağlayıcıları (e-posta, SMS, telefon)
• Ödeme hizmeti sağlayıcıları (ödeme işleme, fatura/abonelik yönetimi)
• Analiz/performans/güvenlik hizmet sağlayıcıları (örneğin hata takibi, APM, CDN/WAF)
• CRM/destek sistemleri (destek talepleri, sohbet, bilgi tabanı)
• Gerektiğinde profesyonel danışmanlar (hukuk danışmanlığı, denetim), bankalar/tahsilat kuruluşları
• yasal olarak gerekli olduğunda resmî makamlar/mahkemeler

Alt veri işleyenler: Alt veri işleyenlerimizin amaç, merkez, veri kategorileri ve aktarım dayanaklarını içeren güncel listesini burada bulabilirsiniz: https://www.edoobox.com/tr/dsg-ve-gdpr-uyumlu-2/

7. Verilerin yurt dışında işlenmesi / sınır ötesi aktarımlar

Temel platform verileri esas olarak İsviçre'de saklanır ve işlenir. Kullanılan hizmet sağlayıcıya bağlı olarak işleme, AB/AEA içinde veya diğer ülkelerde de gerçekleştirilebilir. Biz veya hizmet sağlayıcılarımız kişisel verileri İsviçre ya da AEA dışında işlediğimizde, özellikle aşağıdaki yöntemlerle yeterli veri korumasını güvence altına alırız:

• yeterlilik kararları (İsviçre: yeterli koruma sağlayan devletler/kuruluşlar; AB: yeterlilik kararları),
• Gerektiğinde standart sözleşme hükümleri/standart veri koruma hükümleri (SCC) ve ek önlemler,
• uygulanabilir olduğu ve alıcının uygun şekilde sertifikalandırıldığı durumlarda ilgili Veri Gizliliği Çerçeveleri (ör. Swiss‑U.S. DPF veya EU‑U.S. DPF),
• veya yasada öngörülen diğer güvenceler/istisnai olarak uygulanabilen aktarım gerekçeleri.

8. Saklama, silme ve hizmetten ayrılma

Saklama sürelerini bilmesi ve saklaması gerekenle sınırlı olma ilkesine göre belirleriz.

8.1 Genel süreler

• Hesap/müşteri verileri: Sözleşme süresi + geçiş ve sözleşmenin ifası için makul bir ek süre
• Destek talepleri: Destek, izlenebilirlik ve uyumluluk için gerektiği sürece
• Güvenlik/erişim günlükleri: Güvenlik ve uyumluluk gerekliliklerimize göre
• Yedeklemeler: Döngüsel yedekleme takvimimize göre (silme gecikmeli gerçekleşebilir)
• Pazarlama amaçlı potansiyel müşteri verileri: Rızanın geri alınmasına, vazgeçmeye veya amacın ortadan kalkmasına kadar
• Muhasebe/fatura belgeleri: Uygulanabildiği ölçüde yasal saklama yükümlülüklerine göre (genellikle 10 yıla kadar)

8.2 Müşterilerin hizmete başlaması/hizmetten ayrılması

• Sözleşme süresince: hizmetin sunulması için işleme.
• Fesih/sözleşmenin sona ermesinden sonra: (i) Gerektiğinde müşteri verilerinin iadesi/dışa aktarımı, (ii) hesabın engellenmesi, (iii) bir sonraki üzerine yazma işlemine kadar yedeklerdeki veri kopyaları hariç, saklama sürelerinin sonunda silme/anonimleştirme.
• Yasal yükümlülükler veya ağır basan menfaatler engel teşkil etmiyorsa talep üzerine müşteri verilerinin daha erken silinmesi değerlendirilebilir.

9. Veri güvenliği (teknik ve organizasyonel önlemler)

Riski dikkate alarak uygun teknik ve organizasyonel önlemleri (TOM) alırız; özellikle:

Not: Mutlak güvenlik garanti edilemez.

• Aktarımda (TLS) ve uygun olduğunda depolamada şifreleme (Encryption at Rest)
• Rol ve yetkilendirme yaklaşımları (asgari yetki), ortamların ayrılması
• Teknik olarak öngörüldüğü ölçüde, yönetici erişimleri ve hassas dahili sistemler için çok faktörlü kimlik doğrulama
• Güvenlikle ilgili eylemlerin günlüğe kaydedilmesi/denetlenmesi
• Düzenli yamalar/güncellemeler, güvenlik açığı yönetimi
• Yedeklemeler, geri yükleme ve acil durum planları
• Çalışanların eğitimi/taahhüt altına alınması (gizlilik)

10. İlgili kişilerin hakları

10.1 İsviçre Veri Koruma Kanunu (DSG) kapsamındaki haklar

Duruma ve yasal sınırlamalara bağlı olarak özellikle şu haklara sahipsiniz:

• Amaç, saklama süresi/ölçütleri, alıcılar ve otomatik bireysel kararlar hakkındaki bilgiler dâhil, bilgi alma hakkı,
• Yanlış verilerin düzeltilmesini isteme hakkı,
• İzin verildiği ölçüde silme/imha isteme hakkı,
• Yasal koşullar altında verilerin teslimini/aktarılmasını isteme hakkı (taşınabilirlik),
• Otomatik bireysel kararlarla ilgili haklar (bkz. madde 11).

10.2 GDPR kapsamındaki haklar (uygulanabildiği ölçüde)

Duruma bağlı olarak özellikle şu haklara sahipsiniz:

• erişim, düzeltme, silme, işlemenin kısıtlanması,
• Veri taşınabilirliği,
• Meşru menfaatlere dayanan işlemelere itiraz,
• Rızayı geleceğe yönelik olarak geri alma,
• bir denetim makamına şikâyette bulunma hakkı.

10.3 Hakların kullanılması

Taleplerinizi lütfen support@edoobox.com adresine iletin. Kimlik doğrulaması için makul kanıtlar talep edebiliriz.

SaaS'ta önemli rol ilkesi:

• Müşterilerimizin veri sorumlusu olarak yönettiği “Customer Content” için verileri doğrudan değiştirme veya silme yetkimiz olmayabilir. Bu durumda ilgili kişi taleplerini, izin verildiği ölçüde, ilgili müşteriye iletir veya müşteriyle doğrudan nasıl iletişim kurabileceğinizi bildiririz.

11. Otomatik bireysel kararlar ve profilleme

Sizin için hukuki sonuçlar doğuran veya sizi önemli ölçüde etkileyen otomatik bireysel kararlar kullanırsak sizi bilgilendiririz. Geçerli hukukta öngörüldüğü ölçüde, görüşünüzü açıklama ve gerçek bir kişi tarafından inceleme talep etme hakkınız vardır. Şu anda kural olarak ilgili kişiler için hukuki sonuç doğuran veya onları benzer şekilde önemli ölçüde etkileyen otomatik bireysel kararlar kullanmıyoruz.

12. Veri güvenliği ihlallerinin bildirimi (Data Breach)

Veri güvenliği ihlallerini tespit etme, inceleme, giderme ve belgeleme süreçlerimiz vardır. Yasal olarak gerekli olduğu ölçüde ilgili veri güvenliği ihlallerini yetkili denetim makamına bildirir ve etkilenen kişileri bilgilendiririz.

Veri işleyen sıfatıyla hareket ettiğimizde, müşteri verilerini etkileyen bir veri güvenliği ihlali tespit edersek müşterilerimizi gereksiz gecikme olmadan bilgilendiririz.

13. İş başvuruları ve çalışan verileri

Bize iş başvurusunda bulunursanız veya çalışanımızsanız kişisel verileri; başvuru veya iş ilişkisinin yürütülmesi, idare, ücret/sosyal sigorta, uyumluluk ve BT güvenliği için işleriz. Gerektiğinde veya başvuru sürecinde ayrıca bir İK veri koruma bilgilendirmesi sunarız.

14. Reşit olmayanlar

Hizmetlerimiz esas olarak işletmelere/yetişkinlere yöneliktir. Geçerli hukuk gerektiriyorsa 16 yaşından küçükler, yasal temsilcilerinin onayı olmadan hizmetlerimizi kullanmamalıdır.

15. Uyum, denetim ve sözleşmeler

• Yasal olarak gerekli veya organizasyon açısından uygun olduğu ölçüde işleme faaliyetlerinin kaydını tutar, güvenlik önlemlerini ve ilgili olayları belgeleriz. Müşteriye özel kanıtları, güvenlik soru formlarını, incelemeleri veya denetimleri önceden mutabakat sağlanarak ve yasal olarak zorunlu olmadıkça ya da bizim neden olduğumuz bir olaydan kaynaklanmadıkça ayrıca ücretlendirilmek üzere sunarız.
• Gerektiğinde müşterilerle veri işleme sözleşmesi (AVV/DPA) yaparız.
• Alt veri işleyenlerle, teknik ve organizasyonel önlemleri (TOM) ve gerektiğinde aktarım araçlarını (ör. SCC) içeren uygun sözleşmeler yaparız.

16. Bu gizlilik politikasındaki değişiklikler

Örneğin mevzuat değişiklikleri veya ürün uyarlamaları durumunda bu gizlilik politikasını güncelleyebiliriz. Güncel sürüm /tr/gizlilik-politikası/ adresinde yayımlanır. Önemli değişiklikleri uygun biçimde duyururuz.

17. Sorumluluğun hariç tutulması / sınırlandırılması (izin verildiği ölçüde)

Bu gizlilik politikası, veri işlemeyi bilgimiz dâhilinde en doğru biçimde açıklar. Harici hizmetlerin (ör. üçüncü taraf web siteleri, bağlantı verilen sağlayıcılar) her zaman aynı şekilde çalışacağına veya içeriklerinin değişmeden kalacağına dair garanti vermeyiz. Yasal sorumluluk hükümleri saklıdır.