Gizlilik Bildirimi ve KVKK Aydınlatma Metni

1. Veri sorumlusu ve roller

Organizatör hesabı verileri (e-posta, ad, ödeme kayıtları, kullanım verileri) bakımından veri sorumlusu MCA Technologies (Vlinder 14, 5508 SE Veldhoven, Hollanda; KVK 42083426, BTW NL005481530B18; [email protected])’dir.

Misafirlerin yüklediği fotoğraf, video ve isim gibi veriler bakımından veri sorumlusu etkinliğin Organizatörüdür; JShare bu veriler için Organizatör adına hareket eden veri işleyen konumundadır ve içeriği yalnızca hizmeti sunmak amacıyla işler. Organizatör, misafirlerini aydınlatmakla ve gerekli hallerde rıza almakla yükümlüdür; JShare misafir akışında standart bir aydınlatma ve rıza metni sunarak bu yükümlülüğe yardımcı olur.

Bu metin 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") madde 10 ve Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR") madde 13–14 kapsamında hazırlanmıştır.

2. İşlenen veriler

Organizatör: e-posta adresi, ad, kimlik sağlayıcı kimliği (Firebase UID), telefon (isteğe bağlı), etkinlik bilgileri (ad, tarih, mekan, davetli sayısı), sipariş ve ödeme durumu (kart verileri Revolut’ta kalır, bize ulaşmaz), giriş zamanları, IP adresi ve tarayıcı bilgisi.

Misafir: isteğe bağlı ad, yüklenen fotoğraf ve videolar ile bunların teknik üst verileri (çekim zamanı, çözünürlük, dosya adı), cihaz tanımlayıcı çerezi, IP adresi, katılım ve rıza zamanı.

Teknik: sunucu günlükleri, hata kayıtları (Sentry), performans ölçümleri. Analitik araçlar kullanılıyorsa Çerez Politikası’nda belirtilir.

Yüz eşleştirme (isteğe bağlı; yalnızca Organizatör açarsa): etkinlik fotoğraflarındaki yüzlerden türetilen sayısal yüz vektörleri (biyometrik veri) ve küçük yüz kesitleri. Misafirin "Beni bul" için gönderdiği selfie yalnızca karşılaştırma anında işlenir ve saklanmaz.

3. Amaçlar ve hukuki dayanaklar

Hizmetin sunulması ve sözleşmenin ifası (KVKK m.5/2-c; GDPR m.6/1-b): hesap, etkinlik, albüm, yükleme, indirme, ödeme ve faturalama.

Meşru menfaat (KVKK m.5/2-f; GDPR m.6/1-f): güvenlik, kötüye kullanımın önlenmesi, hata takibi, hizmet iyileştirme, kota ve süre bildirimleri.

Hukuki yükümlülük (KVKK m.5/2-ç; GDPR m.6/1-c): mali kayıtların saklanması, yetkili makam talepleri.

Açık rıza (KVKK m.5/1; GDPR m.6/1-a): yurt dışına aktarım gerektiren haller ve pazarlama iletişimi yalnızca ayrıca alınan rızaya dayanır. Rıza dilediğiniz zaman geri alınabilir; geri alma, öncesindeki işlemenin hukuka uygunluğunu etkilemez.

Yüz eşleştirme için açık rıza (KVKK m.6/2; GDPR m.9/2-a): yüz vektörleri yalnızca Organizatörün bu özelliği açtığı etkinlikte işlenir; misafir karşılama ekranında özelliğin açık olduğu bildirilir ve her arama öncesi misafir açık rıza kutusunu işaretler. Vektörler etkinlikler arasında birleştirilmez, kimlik tespiti, profilleme veya reklam için kullanılmaz; rıza dilediğiniz zaman geri alınabilir.

4. Aktarım ve alt işleyenler

Verileriniz, hizmetin sunulması için gerekli olduğu ölçüde şu alt işleyenlere aktarılır: Hetzner Online GmbH (sunucu barındırma, Almanya/Finlandiya), Cloudflare Inc. (ağ güvenliği, DNS, medya nesne depolama – AB bölgesi), Google LLC / Firebase (kimlik doğrulama), Revolut Bank UAB (ödeme), Resend (işlem e-postaları), Functional Software Inc. / Sentry (hata takibi).

Bazı sağlayıcıların merkezi Avrupa Ekonomik Alanı dışında olabilir; bu durumda aktarım standart sözleşme maddeleri ve/veya yeterlilik kararlarına dayanır. Türkiye’den yurt dışına aktarım KVKK m.9 çerçevesinde açık rızanıza dayanır (bkz. Açık Rıza Metni).

Verileriniz üçüncü kişilere satılmaz, reklam amacıyla paylaşılmaz.

5. Saklama süreleri

Etkinlik içeriği: paket saklama süresi + bekleme süresi sonunda kalıcı olarak silinir (bkz. Kullanım Şartları m.5). Misafir kayıtları içerikle birlikte silinir.

Hesap verileri: hesap açık olduğu sürece; kapanıştan sonra en fazla 12 ay. Sipariş ve fatura kayıtları: mevzuatın öngördüğü süre (Hollanda vergi mevzuatı 7 yıl).

Günlük ve hata kayıtları: en fazla 90 gün. Yedekler: en fazla 30 gün.

Yüz vektörleri ve yüz kesitleri: fotoğraf silindiğinde anında, aksi halde etkinlik içeriğiyle birlikte silinir; Organizatör "Yüz verilerini sil" ile dilediği zaman tamamını siler. "Beni bul" sonuç listeleri 1 saat içinde kendiliğinden silinir; selfie hiç saklanmaz.

6. Güvenlik

İletim TLS ile şifrelenir; medya, etkinliğe özel anahtar önekleriyle ve süreli imzalı bağlantılarla sunulur. Erişim rol tabanlıdır, yönetim erişimi kayıt altındadır. Ödeme kart verileri PCI-DSS uyumlu ödeme sağlayıcısında tutulur.

Veri ihlali halinde mevzuatın öngördüğü süre içinde ilgili kurum ve kişiler bilgilendirilir.

7. Haklarınız

KVKK m.11 ve GDPR m.15–22 kapsamında: verilerinize erişme, düzeltme, silme, işlemeyi kısıtlama, itiraz, taşınabilirlik ve rızayı geri alma haklarına sahipsiniz.

Başvurular için [email protected] adresine yazabilirsiniz; talepler en geç 30 gün içinde yanıtlanır. Misafir olarak yüklediğiniz içerikle ilgili talepler öncelikle etkinlik Organizatörüne iletilir; JShare gerekli teknik desteği sağlar. Ayrıca Kişisel Verileri Koruma Kurulu’na veya Hollanda Veri Koruma Otoritesi’ne (Autoriteit Persoonsgegevens) şikâyette bulunma hakkınız saklıdır.

8. Çocuklar

Hizmet 16 yaşından küçüklere yönelik değildir. Etkinliklerde çocukların görüntülerinin paylaşılmasından Organizatör ve yükleyen misafir sorumludur.