Gizlilik ilkeleri

Orbicy’yi kullanırken bize emanet ettiğin bilgileri nasıl topladığımızı, ne için kullandığımızı, nerede sakladığımızı ve bunlar üzerindeki haklarını burada sade bir dille anlatıyoruz. Bu metin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) kapsamında aydınlatma metni yerine geçer.

1. Veri sorumlusu

Kişisel verilerin veri sorumlusu [Şirket unvanı] (“Orbicy”, “biz”), adres: [Şirket adresi]. Bu ilkelerle ilgili her soru ve talep için [iletişim e-postası] adresine yazabilirsin.

Bir workspace’e eklediğin içerik (müşterilerin, projelerin, görevlerin) söz konusu olduğunda o workspace’i yöneten ajans kendi müşterileri ve çalışanları için veri sorumlusudur; Orbicy bu içerik için ajans adına hizmet veren veri işleyendir.

2. Hangi bilgileri topluyoruz

• Hesap bilgileri: adın, e-posta adresin ve şifren. Şifren düz metin olarak değil, geri çözülemeyen bir özet (scrypt) olarak saklanır. Google ile giriş yaparsan Google’dan adını, e-posta adresini ve adresin doğrulanmış olup olmadığını alırız.
• Profil: eklersen profil fotoğrafın (küçültülmüş hâliyle), ünvanın, departmanın ve rolün.
• Workspace içeriği: sen ve ekibinin eklediği projeler, görevler, yorumlar, mesajlar, toplantı notları, fırsatlar, teklifler, faturalar, müşteri bilgileri ve yüklenen dosyalar.
• Bağladığın e-posta kutusu: e-postanı Orbicy’de okumak için bir hesap bağlarsan sunucu adresi, kullanıcı adı ve uygulama şifresi saklanır. Uygulama şifresi veritabanında şifrelenmiş olarak (AES-256-GCM) durur ve yalnızca senin e-posta sunucuna bağlanırken çözülür; uygulamada sana bile geri gösterilmez. E-postaların sen açtıkça e-posta sunucundan okunur. Bu bilgiler yalnızca sana aittir ve workspace’teki başka kimse göremez.
• Takvim abonelikleri: eklediğin takvim bağlantıları ve bu takvimlerden okunan etkinlikler; yalnızca sana görünür.
• Müşteri bağlantılarını açanlar: onay ya da teklif bağlantısını açan kişinin yazdığı ad, yorum ve kararı (onay, kabul, ret). Bu kişilerin hesap açması gerekmez.
• Teknik kayıtlar: oturumu sürdürmek için bir oturum çerezi, son giriş zamanın ve hata ayıklama için sunucunun kısa süre tuttuğu istek kayıtları.

Reklam ya da davranış takibi için çerez, analitik aracı veya üçüncü taraf izleme kodu kullanmıyoruz.

3. Bilgileri ne için kullanıyoruz

• Hesabını açmak, seni tanımak ve oturumunu güvenle sürdürmek (sözleşmenin kurulması ve ifası).
• Workspace’ini çalıştırmak: işleri göstermek, bildirim göndermek, ekibini ve müşterilerini işe dahil etmek (sözleşmenin ifası).
• Doğrulama, şifre sıfırlama ve davet e-postaları göndermek (sözleşmenin ifası).
• Hizmeti güvende tutmak, kötüye kullanımı ve hataları tespit etmek (meşru menfaat).
• Yasal yükümlülüklerimizi yerine getirmek (hukuki yükümlülük).

Verilerini satmayız, kiralamayız, reklam için kullanmayız ve senin içeriğinle yapay zekâ modeli eğitmeyiz.

4. Kimlerle paylaşıyoruz

Workspace içeriğin yalnızca o workspace’e davet edilmiş kişilere, rollerinin izin verdiği ölçüde görünür. Hizmeti sunabilmek için şu sağlayıcılarla çalışıyoruz; her biri yalnızca kendi işi için gereken veriyi işler:

• Vercel (uygulamanın barındırılması ve dosya depolama),
• Neon (veritabanı; Avrupa’da, Frankfurt bölgesinde),
• Mailgun (doğrulama, şifre sıfırlama ve davet e-postalarının gönderimi),
• Google (yalnızca Google ile giriş yapmayı seçersen).

Bu sağlayıcıların bir kısmı Türkiye dışında bulunduğundan verilerin yurt dışına aktarılabilir. Aktarımı KVKK’nın 9. maddesi ve GDPR’daki koşullara uygun güvencelerle yaparız. Yetkili bir kamu kurumunun hukuken bağlayıcı talebi dışında verilerini kimseyle paylaşmayız.

5. Ne kadar süre saklıyoruz

• Hesap ve workspace içeriği, hesabın ve workspace’in var olduğu sürece saklanır.
• Bir workspace’in sahibi workspace’i sildiğinde içindeki bütün içerik silinir.
• Oturumlar 30 gün sonra kendiliğinden sona erer; şifreni değiştirdiğinde ya da “tüm cihazlardan çık” dediğinde hemen kapanır.
• Müşteri onay bağlantıları belirli bir süre sonra kendiliğinden kapanır.
• Hesabının silinmesini istersen talebinden itibaren en geç 30 gün içinde hesabını ve sana ait verileri sileriz; yasal olarak saklamak zorunda olduklarımız bu sürenin dışındadır.

6. Güvenlik

Bağlantılar HTTPS ile şifrelenir, hesap şifreleri geri çözülemeyen biçimde saklanır, bağladığın e-posta kutusunun uygulama şifresi şifrelenmiş olarak (AES-256-GCM, anahtarı veritabanından ayrı tutulur) saklanır, oturum çerezi tarayıcıdaki betiklerin okuyamayacağı şekilde (HttpOnly) tutulur ve müşteri bağlantıları tahmin edilemeyecek kadar uzun rastgele anahtarlar içerir. Hiçbir sistem kusursuz değildir; bir güvenlik ihlali olursa yasaların öngördüğü sürede seni ve ilgili kurumu bilgilendiririz.

7. Hakların

KVKK’nın 11. maddesi ve GDPR kapsamında; verilerinin işlenip işlenmediğini öğrenme, bunlara erişme ve bir kopyasını alma, yanlışsa düzeltilmesini, gerekli değilse silinmesini isteme, işlenmesine itiraz etme, işlemeyi kısıtlatma ve verilerinin başka bir hizmete taşınmasını isteme hakkın var. Taleplerini [iletişim e-postası] adresine iletebilirsin; en geç 30 gün içinde yanıtlarız. Yanıtımızdan memnun kalmazsan Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsin.

Adın, fotoğrafın ve şifren gibi bilgilerin çoğunu Ayarlar → Hesabım bölümünden kendin değiştirebilirsin; bağladığın e-posta kutusunu ve takvimleri istediğin an kaldırabilirsin.

8. Çocuklar

Orbicy işletmeler ve çalışanları için tasarlanmıştır; 16 yaşından küçüklerin hesap açmasını amaçlamıyoruz.

9. Değişiklikler

Bu ilkeleri güncellediğimizde bu sayfadaki tarihi değiştiririz; önemli değişiklikleri ayrıca e-postayla ya da uygulama içinde duyururuz.