Gizlilik Politikası ve KVKK Aydınlatma Metni

1.Kısaca

2.Veri sorumlusu ve rolümüz

Thuval hesabınız ve hizmetin işletilmesiyle ilgili kişisel verileriniz bakımından veri sorumlusu Abow Creative'dır ("Thuval", "biz").

• E-posta: destek@thuval.com

Ajansların girdiği veriler bakımından

Thuval'ı kullanan her ajans, çalışma alanına girdiği kişisel veriler bakımından kendi başına veri sorumlusudur. Örneğin müşterilerinin yetkili kişileri ve iletişim bilgileri, içerikler, teklifler, muhasebe kayıtları ve şifre kasasına kaydedilen hesap bilgileri bu kapsamdadır. Bu verileri yalnızca hizmeti sunmak amacıyla, ajans adına ve onun talimatları doğrultusunda veri işleyen sıfatıyla işleriz.

Bir ajansın müşterisi ya da çalışanıysanız ve bilgileriniz o ajansın çalışma alanında yer alıyorsa, talepleriniz için öncelikle ilgili ajansa başvurmanızı öneririz. Bize ulaşan bu tür talepleri ajansa iletir, yanıtlanmasına yardımcı oluruz. Ajansların, girdikleri kişisel veriler için ilgili kişileri aydınlatması ve gerektiğinde açık rızalarını alması kendi sorumluluklarındadır.

3.İşlediğimiz kişisel veriler

• Kimlik ve iletişim bilgileri: adınız ve soyadınız, e-posta adresiniz; isteğe bağlı olarak telefon numaranız, unvanınız ve profil fotoğrafınız.
• Hesap ve güvenlik bilgileri: şifreniz (yalnızca geri döndürülemez biçimde), iki adımlı doğrulama anahtarınız (şifrelenmiş olarak) ve kurtarma kodlarınızın geri döndürülemez özetleri, rolünüz ve yetkileriniz, oturum bilgileriniz, görünüm ve bildirim tercihleriniz.
• Ajans bilgileri: ajans adı, müşterilerin ajansa ulaşacağı telefon ve e-posta, ödeme bilgisi (ör. IBAN), vergi profili ve mesai saatleri.
• Çalışma alanı içeriği: müşteri kayıtları (firma adı, yetkili kişi, e-posta, telefon, web sitesi, vergi numarası ve dairesi, notlar, marka bilgileri), görevler, projeler, yorumlar, mesajlar, içerik takvimi, teklifler, gelir-gider ve tahsilat kayıtları, zaman kayıtları, yüklenen dosyalar ve şifre kasasındaki hesap bilgileri. Bu veriler ajans adına işlenir.
• Müşteri paneli kullanıcılarının bilgileri: ajansın davet ettiği kişinin adı ve e-posta adresi, erişim yetkisi, panele son giriş zamanı; verdiği onaylar, revize istekleri ve yorumları.
• İşlem ve güvenlik kayıtları: çalışma alanındaki önemli işlemlerin kaydı (kimin neyi ne zaman yaptığı), onay kuyruğu kayıtları ve şifre kasası erişim kayıtları. Kasada görüntülenen şifrenin kendisi hiçbir kayda yazılmaz.
• Cihaz ve teknik bilgiler: anlık bildirimleri açtığınız cihazın bildirim adresi ve tarayıcı bilgisi. IP adresiniz, deneme sınırları için yalnızca kısa süreliğine sunucu belleğinde kullanılır ve veritabanımıza yazılmaz; barındırma sağlayıcımız ise hizmetin işletilmesi için teknik istek kayıtları tutar.

Ödeme kartı bilgisi toplamıyoruz. Thuval, sağlık ya da biyometrik veri gibi özel nitelikli kişisel verilerin işlenmesi için tasarlanmamıştır; bu tür verileri Thuval'a girmemenizi rica ederiz.

4.İşleme amaçları

• Hesabınızı oluşturmak, kimliğinizi doğrulamak ve hizmeti sunmak: çalışma alanı, ekip, müşteri paneli ve paylaşım bağlantıları.
• Hizmetle ilgili e-postaları göndermek: davet, şifre sıfırlama ve şifresiz giriş bağlantıları, güvenlik uyarıları; tercihinize bağlı olarak sabah ve haftalık özetler; ajansınızın gönderdiği teklif, rapor ve ödeme hatırlatması gibi müşteri e-postaları.
• Uygulama içi bildirimler ve yalnızca açtığınız cihazlara anlık bildirim göndermek.
• Hesapların ve verilerin güvenliğini sağlamak; yetkisiz erişimi ve kötüye kullanımı önlemek.
• Destek taleplerinizi yanıtlamak. Bir sorunu çözmek için gerekirse yetkili personelimiz hesabı sizin gördüğünüz biçimde görüntüleyebilir; bu erişim en fazla 8 saat sürer, şifre kasasındaki bilgileri açamaz ve ajansın işlem kaydına yazılır.
• Hizmetin çalışmasını sürdürmek, hataları tespit edip gidermek.
• Yasal yükümlülüklerimizi yerine getirmek ve hukuki haklarımızı korumak.

Kişisel verilerinizi reklam, pazarlama profili çıkarma ya da satış amacıyla kullanmayız. Size pazarlama amaçlı ticari elektronik ileti göndermeyiz; gönderdiğimiz e-postalar hizmetin işleyişiyle ilgilidir.

5.Hukuki sebepler ve toplama yöntemi

Kişisel verileriniz KVKK'nın 5. maddesinin 2. fıkrasındaki şu hukuki sebeplere dayanılarak işlenir:

• Sözleşmenin kurulması ve ifası (m.5/2-c): hesabınızın açılması, hizmetin sunulması, hizmet e-postaları, bildirimler ve destek.
• Hukuki yükümlülüğün yerine getirilmesi (m.5/2-ç): mevzuattan doğan saklama ve bildirim yükümlülükleri, yetkili kurumların talepleri.
• Bir hakkın tesisi, kullanılması veya korunması (m.5/2-e): olası uyuşmazlıklarda gerekebilecek kayıtlar.
• Meşru menfaat (m.5/2-f): hizmetin ve hesapların güvenliği, kötüye kullanımın önlenmesi, işlem ve erişim kayıtlarının tutulması — temel hak ve özgürlüklerinize zarar vermemek kaydıyla.

Anlık bildirimler yalnızca siz cihazınızda izin verdiğinizde gönderilir; bu izni Ayarlar › Bildirimler'den ya da cihazınızın ayarlarından istediğiniz zaman geri alabilirsiniz. Sabah ve haftalık özet e-postaları da tercihinize bağlıdır.

Toplama yöntemi

Kişisel veriler; kayıt, davet ve profil formlarına sizin ya da ajansınızın girdiği bilgilerden, uygulamanın kullanımı sırasında otomatik yollarla (oturum çerezleri, işlem kayıtları) ve bize gönderdiğiniz e-postalardan, elektronik ortamda toplanır.

6.Verileri kimlerle paylaşıyoruz

Kişisel verilerinizi yalnızca aşağıdaki durumlarda ve hizmetin gerektirdiği ölçüde paylaşırız.

Hizmet sağlayıcılarımız

Thuval'ın çalışması için aşağıdaki altyapı hizmetlerinden yararlanırız. Bu sağlayıcılar verileri yalnızca bize hizmet vermek için işler.

• Vercel

  Sunucu işlemleri: Frankfurt, Almanya (AB)

  Uygulamanın barındırılması ve sunucu işlemleri, alan adı ve güvenlik altyapısı.

  İşlenen veriler: Uygulamayı kullanırken gönderilen istekler ve bunların teknik kayıtları (IP adresi, tarayıcı bilgisi, zaman).

• Neon

  Frankfurt, Almanya (AB)

  Veritabanı.

  İşlenen veriler: Hesap bilgileri ve çalışma alanına girilen tüm kayıtlar.

• Vercel Blob

  Vercel bulut altyapısı

  Dosya depolama.

  İşlenen veriler: Yüklenen dosya ekleri ve profil fotoğrafları.

• Resend

  İrlanda (AB)

  Hizmet e-postalarının gönderimi (davet, şifre sıfırlama, bildirim, özet).

  İşlenen veriler: Alıcının e-posta adresi, adı ve e-postanın içeriği.

• Tarayıcı ve cihaz bildirim hizmetleri (Apple, Google, Mozilla vb.)

  İlgili sağlayıcının altyapısı

  Anlık bildirimlerin cihazınıza iletilmesi — yalnızca siz açarsanız.

  İşlenen veriler: Cihazınıza özel bildirim adresi ve şifreli bildirim içeriği.

Ajansınız ve ajansın paylaştıkları

Bir ajansın ekibindeyseniz, ajansın sahibi ve yöneticileri çalışma alanındaki işlemlerinizi görebilir. Ajansın davet ettiği müşteri kullanıcıları ve ajansın paylaştığı bağlantıları (müşteri paneli, teklif, hesap ekstresi, aylık rapor) açan kişiler, yalnızca ajansın kendilerine açtığı bilgileri görür.

Yasal zorunluluklar

Mahkemelerin ya da yetkili kamu kurum ve kuruluşlarının hukuka uygun talepleri üzerine, ilgili mevzuatın gerektirdiği ölçüde.

Sizin başlattığınız paylaşımlar

Bir bağlantıyı WhatsApp gibi bir uygulamayla paylaştığınızda ya da takvim uygulamanıza (Google Takvim, Apple Takvim vb.) Thuval takvim aboneliği eklediğinizde, ilgili bilgiler sizin seçiminizle o hizmete iletilir ve o hizmetin kendi gizlilik koşullarına tabi olur.

7.Yurt dışına aktarım

Thuval'ın veritabanı ve sunucu işlemleri Almanya'da (Frankfurt), e-posta gönderim altyapısı İrlanda'da bulunur. Hizmet sağlayıcılarımızın merkezi Amerika Birleşik Devletleri'ndedir ve bakım ya da destek amacıyla verilere bu ülkeden erişilebilir. Bu nedenle kişisel verileriniz, hizmetin sunulabilmesi için yurt dışına aktarılır.

Yurt dışına aktarım KVKK'nın 9. maddesine uygun olarak, başta Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeler olmak üzere kanunda öngörülen uygun güvencelerden biri sağlanarak yapılır. Veriler aktarım sırasında şifreli bağlantılarla (TLS) korunur.

8.Saklama süreleri

Kişisel verileri, işlendikleri amaç için gerekli olan süre boyunca saklarız:

• Hesap bilgileri: hesabınız açık olduğu sürece. Hesabınızı sildiğinizde kişisel bilgileriniz silinir ya da anonim hâle getirilir (madde 13).
• Çalışma alanı verileri: ajansın hesabı açık olduğu sürece; ajans bunları istediği zaman silebilir. Silinen görev, müşteri, proje, içerik ve kayıtlar 30 gün çöp kutusunda bekler, ardından kalıcı olarak silinir.
• Silinen ajanslar: silme talebinden 30 gün sonra bütün verileriyle birlikte kalıcı olarak silinir.
• Şifre kasası: silinen kayıtlar 30 gün sonra kalıcı olarak silinir; erişim kayıtları 1 yıl saklanır.
• Oturum ve bağlantılar: giriş oturumu en fazla 30 gün geçerlidir. Şifre sıfırlama bağlantıları 60 dakika, şifresiz giriş bağlantıları 15 dakika geçerlidir ve tek kullanımlıktır.
• Yedekler: veritabanı sağlayıcımızın geri yükleme penceresi en fazla 7 gündür; buna ek olarak haftada bir, şifrelenmiş bir dış yedek alınır ve en fazla 90 gün saklanır. Silinen veriler bu süreler dolunca yedeklerden de kendiliğinden kalkar. Yedekler canlı sisteme yalnızca bir felaket kurtarması gerektiğinde geri yüklenir; silinen veriler başka hiçbir amaçla yedekten geri getirilmez.
• Yasal yükümlülükler: mevzuat daha uzun bir saklama süresi öngörüyorsa, ilgili veriler yalnızca bu amaçla ve bu süre boyunca saklanır.

Süresi dolan veriler silinir, yok edilir ya da anonim hâle getirilir. Ajansların kendi yasal saklama yükümlülükleri (ör. ticari defter ve belgeler) için ihtiyaç duyacakları kayıtları silmeden önce dışa aktarmaları kendi sorumluluklarındadır.

9.Çerezler ve cihazınızda saklananlar

Thuval yalnızca hizmetin çalışması için zorunlu çerezleri kullanır. Analitik, reklam ya da üçüncü taraf izleme çerezi kullanmadığımız için çerez onayı istemiyoruz.

• Oturum thuval_session

  En fazla 30 gün

  Giriş yaptığınızı hatırlar. Şifreniz değiştiğinde ya da çıkış yaptığınızda geçersiz olur.

• İki adımlı giriş thuval_2fa

  5 dakika

  Şifrenizi doğruladıktan sonra, doğrulama kodunu girene kadar giriş adımını tutar.

• Şifre kasası kilidi thuval_vault

  Tarayıcı kapanana kadar, en fazla 8 saat

  Şifre kasasını bu cihazda açtığınızı hatırlar.

• Destek oturumu thuval_impersonator

  En fazla 8 saat

  Yalnızca yetkili Thuval personeli destek amacıyla bir hesabı görüntülerken, personelin kendi tarayıcısında kullanılır.

Bu çerezler sayfadaki betikler tarafından okunamaz, yalnızca şifreli bağlantı üzerinden gönderilir ve değiştirilmelerine karşı imzalıdır.

Cihazınızda saklananlar

Bazı tercihler ve kolaylıklar sunucuya gönderilmeden yalnızca cihazınızda (tarayıcı depolamasında) tutulur: tema seçiminiz, son açtığınız müşteriler, çalışan zamanlayıcı, internet yokken yazdığınız ve bağlantı gelince gönderilecek kayıtlar ile küçük arayüz ipuçları. Çevrimdışı ekranı ve değişmeyen uygulama dosyaları (simgeler, yazı tipleri, kod dosyaları) hız için cihazınızda önbelleğe alınır; bu önbellekte kişisel veri bulunmaz. Bunların tümünü tarayıcınızın site verilerini silerek temizleyebilirsiniz.

10.Güvenlik önlemleri

• Tüm bağlantılar HTTPS (TLS) ile şifrelenir; tarayıcılar yalnızca güvenli bağlantı kullanmaya yönlendirilir.
• Şifreler geri döndürülemez biçimde saklanır; şifrenizi biz dahil kimse göremez.
• İki adımlı doğrulama (doğrulama uygulaması kodu) ve tek kullanımlık kurtarma kodları sunulur. Şifre kasasını kullanmak için iki adımlı doğrulama zorunludur.
• Şifre kasasındaki şifreler, notlar ve doğrulama anahtarları AES-256-GCM ile şifrelenir; şifreleme anahtarı veritabanından ayrı tutulur. Kasayı yalnızca ajans sahibi ve yöneticileri açabilir; açmak için şifre ve doğrulama kodu yeniden istenir, kasa en fazla 8 saat sonra kendiliğinden kilitlenir ve her görüntüleme ile kopyalama kayda geçer.
• Her ajansın verileri diğerlerinden ayrı tutulur. Erişim rol bazlıdır; müşteri kullanıcıları yalnızca ajansın kendilerine açtığı bilgileri görür.
• Dosya ekleri herkese açık olmayan bir depoda tutulur ve her indirme yetki kontrolünden geçer. Profil fotoğrafları ise uygulamada gösterilebilmesi için tahmin edilmesi güç, ancak bağlantıyı bilen herkesin açabileceği bir adreste saklanır.
• Giriş ve şifre sıfırlama gibi işlemlerde deneme sınırları uygulanır. Yeni yönetici eklenmesi, iki adımlı doğrulamanın kapatılması ya da kasada art arda hatalı deneme gibi durumlarda e-postayla uyarı gönderilir.
• Şifreniz değiştiğinde açık oturumlarınız sonlandırılır. Tarayıcı tarafında içerik güvenlik politikası (CSP) gibi ek korumalar kullanılır.

Hiçbir sistem tamamen risksiz değildir. Bir veri ihlali olması hâlinde, KVKK'nın 12. maddesi uyarınca ilgili kişileri ve Kişisel Verileri Koruma Kurulu'nu mevzuatta öngörülen sürede bilgilendiririz. Hesabınızın güvenliği için iki adımlı doğrulamayı açmanızı ve Thuval şifrenizi başka hizmetlerde kullanmamanızı öneririz.

11.KVKK kapsamındaki haklarınız

KVKK'nın 11. maddesi uyarınca kişisel verilerinizle ilgili olarak şu haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme.
• İşlenmişse buna ilişkin bilgi talep etme.
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde ya da yurt dışında aktarıldığı üçüncü kişileri bilme.
• Eksik ya da yanlış işlenmişse düzeltilmesini isteme.
• KVKK'nın 7. maddesindeki şartlar çerçevesinde silinmesini ya da yok edilmesini isteme.
• Düzeltme, silme ya da yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• Münhasıran otomatik sistemlerle analiz edilmesi sonucunda aleyhinize bir sonuç çıkmasına itiraz etme.
• Kanuna aykırı işlenmesi nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Profil bilgilerinizi Ayarlar › Profil'den kendiniz düzeltebilir, hesabınızı Ayarlar › Hesap'tan silebilirsiniz.

12.Başvuru yolları

Haklarınızı kullanmak için başvurunuzu, Thuval'a kayıtlı e-posta adresinizden destek@thuval.com adresine gönderebilirsiniz. Başvurunuzda şunları belirtmeniz gerekir:

• adınız ve soyadınız,
• Türkiye Cumhuriyeti vatandaşıysanız T.C. kimlik numaranız; değilseniz uyruğunuz ve pasaport ya da kimlik numaranız,
• tebligata esas yerleşim yeri ya da iş yeri adresiniz,
• bildirime esas e-posta adresiniz ya da telefon numaranız,
• talebinizin konusu.

Kimliğinizi doğrulamak için ek bilgi isteyebiliriz. Başvurunuzu niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırırız; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'ca belirlenen tarifedeki ücret alınabilir.

Başvurunuzun reddedilmesi, verilen cevabı yetersiz bulmanız ya da süresinde cevap verilmemesi hâlinde; cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

Bir ajansın çalışma alanındaki verilerle ilgili talepler için önce ilgili ajansa başvurmanızı öneririz (madde 2).

13.Hesap ve ajans silme

Hesabınızı istediğiniz zaman Thuval içinden silebilirsiniz: ajans ekibindeyseniz Ayarlar › Hesap › Hesabımı sil, müşteri paneli kullanıcısıysanız panelin hesap bölümü. İşlemi onaylamak için şifreniz (iki adımlı doğrulama açıksa doğrulama kodunuz da) istenir. Hesap silme anında gerçekleşir ve geri alınamaz.

Hesabınızı sildiğinizde

• Bütün cihazlardaki oturumlarınız kapatılır ve hesabınızla bir daha giriş yapılamaz.
• Adınız, e-posta adresiniz, telefonunuz, unvanınız, profil fotoğrafınız, şifreniz, iki adımlı doğrulama bilgileriniz ve cihaz bildirim abonelikleriniz silinir. Kullanıcı kaydınız anonim hâle getirilir ve ajansın kayıtlarında "Silinmiş kullanıcı" olarak görünür.
• Ajansın çalışma alanında oluşturduğunuz iş kayıtları (görevler, yorumlar, dosyalar, zaman kayıtları vb.) ajansa ait olduğu için silinmez. Bu kayıtlarda adınız şu yerlerde "Silinmiş kullanıcı" ile değiştirilir: işin ya da kaydın kime ait olduğu, dosyayı yükleyen, yorum ve mesaj yazarı, içerik takvimi onayı ve ajansın etkinlik kaydı. Ajansta sizinle aynı adı taşıyan başka biri varsa, onun kayıtları karışmasın diye bu ad değişikliği yapılmaz.
• Serbest yazılmış metinlerde — görev açıklamaları, yorum ve not içerikleri, bildirim metinleri, ajansın kendi tuttuğu müşteri kayıtları — adınız geçiyorsa olduğu gibi kalabilir. Bu kayıtlardaki kişisel verileriniz için ajansınıza başvurabilirsiniz.

Ajans sahibiyseniz

Ajansın tek sahibiyseniz, hesabınızı silmeden önce Ayarlar › Hesap'tan sahipliği ekibinizdeki bir yönetici ya da üyeye devretmeniz ya da ajansı tamamen silmeniz gerekir. Ajansı silmeyi seçtiğinizde:

• Ajansa giriş, ekip ve müşteri paneli kullanıcıları için hemen kapanır; ajansın paylaştığı bağlantılar da çalışmaz olur. Ajansın sahipleri giriş yapabilir ama bu sürede hiçbir değişiklik yapılamaz.
• 30 gün boyunca ajansın herhangi bir sahibi giriş yaparak silme talebini geri alabilir. Sahiplere ulaşılamıyorsa destek@thuval.com adresine yazarak silmenin durdurulmasını isteyebilirsiniz.
• 30 günün sonunda ajansın bütün verileri — müşteriler, görevler, projeler, içerik takvimi, dosyalar, teklifler, finans kayıtları, şifre kasası, ekip ve müşteri paneli hesapları — kalıcı olarak silinir ve geri getirilemez.

Silmeden önce ihtiyaç duyduğunuz kayıtları dışa aktarmanızı öneririz.

Uygulamaya erişemiyorsanız

Hesabınıza giriş yapamıyorsanız silme talebinizi Thuval'a kayıtlı e-posta adresinizden destek@thuval.com adresine iletebilirsiniz. Kimliğinizi doğruladıktan sonra talebinizi en geç 30 gün içinde yerine getiririz. Müşteri paneli kullanıcılarının erişimini ajansları da istediği zaman kaldırabilir.

Silinen veriler yedeklerden de kendiliğinden kalkar: veritabanı geri yükleme penceresi en fazla 7 gün, haftalık şifreli dış yedekler en fazla 90 gün saklanır (madde 8). Yedekler canlı sisteme yalnızca bir felaket kurtarması gerektiğinde geri yüklenir.

14.Çocukların gizliliği

Thuval işletmelere yönelik bir hizmettir ve 18 yaşından küçüklerin kullanımına yönelik değildir. 18 yaşından küçüklere ait kişisel verileri bilerek toplamayız; böyle bir durumu fark edersek ilgili verileri sileriz. Fark ettiğiniz bir durum varsa lütfen bize yazın.

15.Bu metindeki değişiklikler

Bu metni hizmetteki ya da mevzuattaki değişikliklere göre güncelleyebiliriz. Güncel sürüm her zaman bu sayfada yayımlanır ve sayfanın başındaki tarih değişir. Önemli değişiklikleri, yürürlüğe girmeden önce e-postayla ya da uygulama içi bildirimle duyururuz.

16.İletişim

Bu metinle ya da kişisel verilerinizle ilgili her türlü soru için destek@thuval.com adresine yazabilirsiniz. Genel destek için Destek sayfasına, hizmetin kullanım şartları için Kullanım Koşulları'na bakabilirsiniz.