Veri İşleme Sözleşmesi

"Denetleyici", Clavitor kasanızdaki verileri oluşturan ve sahip olan gerçek kişiyi ifade eder. Her zaman kendi kimlik bilgilerinizin ve kişisel verilerinizin Denetleyicisi sizsiniz.

"İşleyici", Denetleyici adına barındırma altyapısı, şifreleme düzenlemesi ve veri depolama hizmetleri sağlayan kuruluş olan Clavitor.ai'yi ifade eder.

"Veri Sahibi", işlenen kişisel verilerin gerçek kişisini ifade eder — bu siz (Denetleyici) veya kasanızda depoladığınız başkalarının (aile üyeleri, çalışanlar, müşteriler) verileri olabilir.

"Kişisel Veri", kasanızda depolanan tanımlanmış veya tanımlanabilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder, ancak bunlarla sınırlı olmamak üzere: kimlik bilgileri, parolalar, API anahtarları, ödeme kartı verileri, kimlik belgeleri ve iletişim bilgileri.

"İşleme", toplama, depolama, şifreleme, iletim, yedekleme ve silme dahil olmak üzere Kişisel Veriler üzerinde gerçekleştirilen herhangi bir işlemi ifade eder.

3.1 Yalnızca belgelenmiş talimatlar üzerine işleyin. Clavitor, Kişisel Verileri yalnızca Hizmet Koşullarımızda belirtilen kasa hizmetini sağlamak için işler. Verileri kendi amaçlarımız için kullanmayız, yapay zeka modellerini eğitmez, içgörüler türetmeyiz veya abonelik ücretleri dışında para kazanmayız.

3.2 Gizliliği sağlayın. Altyapıya potansiyel erişimi olan tüm Clavitor personeli gizlilik sözleşmeleri ile bağlıdır. Erişim, en az ayrıcalık ilkesine göre verilir ve kaydedilir.

3.3 Güvenlik önlemleri uygulayın. Aşağıdakileri uyguluyoruz:

• Uçtan uca şifreleme: Veriler hem depolama hem de iletim sırasında şifrelenir
• Katmanlı şifreleme (L2/L3): Kimlik alanları, cihazınızdan türetilen anahtarlarla şifrelenir (WebAuthn PRF) — bizim tarafımızdan çözülemez
• Sıfır bilgi mimarisi: Kasa içeriklerini çözemeyiz; yalnızca meta veriler (giriş kimlikleri, türleri, zaman damgaları) okunabilir
• Cihaz tabanlı kimlik doğrulama (WebAuthn): Sunucu tarafında parola saklanmaz
• Coğrafi dağıtım: Şifrelenmiş çoğaltma ile 21 Nokta (POPs)
• Olay müdahalesi: 7/24 izleme, otomatik uyarılar, belgelenmiş ihlal prosedürleri

3.4 Alt işlemci şeffaflığı. Yalnızca Alt İşlemci Listemizde listelenen alt işlemcileri kullanırız. Herhangi bir yeni alt işlemci eklemeden 30 gün önce abonelere bildirimde bulunuruz.

3.5 Veri Sahibi haklarına yardımcı olun. Talebiniz üzerine, Veri Sahiplerinin GDPR/FADP (erişim, düzeltme, silme, taşınabilirlik, kısıtlama, itiraz) kapsamındaki haklarını kullanmalarına yanıt vermenizde size yardımcı olacağız. Not: Şifreleme mimarisi nedeniyle, şifrelenmiş kasa içeriklerine erişemeyiz veya bunları değiştiremeyiz; yardım hesap düzeyindeki işlemlere sınırlıdır.

3.6 Güvenlik yükümlülüklerine yardımcı olun. Güvenlik belgeleri, sızma testi özetleri (ayrıntılar için NDA gereklidir) ve talep üzerine denetim günlükleri sağlıyoruz.

3.7 Verileri silin veya iade edin. Abonelik feshedildiğinde, kasalarınız 30 gün boyunca salt okunur hale gelir. 30 gün sonra kasa verileri kalıcı olarak silinir. Uyumluluk yedekleri silindikten 30 gün sonra imha edilir. Ödeme yapılmaması nedeniyle askıya alınan hesaplar için veriler askıya alındıktan 30 gün sonra silinir ve yedekler 60 gün sonra rotasyona tabi tutulur. İstendiğinde herhangi bir zamanda anında silme mevcuttur. Veriler şifresi çözülmüş biçimde iade edilemez (anahtarlarımız yok). Tüm ayrıntılar Hizmet Koşullarımızda mevcuttur.

3.8 Denetim ve inceleme. 30 gün yazılı bildirimde bulunarak, bu DPA'ya uyumumuzu denetleyebilirsiniz. Denetimler Zürih merkezimizde veya sanal olarak yürütülür. İlgili belgeleri sağlıyoruz; doğrudan altyapı erişimi güvenlik izni gerektirir.

3.9 İhlalleri bildirin. Kişisel Verilerinizi etkileyen herhangi bir ihlali keşfettikten sonra 24 saat içinde size bildirimde bulunuruz. Bildirimi soruşturma veya yasal inceleme için asla geciktirmeyeceğiz.

3.10 İşleme faaliyetlerini belgeleyin. İşleme faaliyetlerinin kayıtlarını tutarız ve özetleri talep üzerine sunarız.

Aşağıdakileri garanti edersiniz:

• Kasanızdaki Kişisel Verileri işlemek için yasal dayanağınız var
• Depoladığınız verilerin Veri Sahiplerine uygun gizlilik bildirimlerini sağladınız
• Yürürlükteki yasaları ihlal edecek şekilde veri depolamayacaksınız
• Herhangi bir Veri Sahibi talebini veya düzenleyici sorgusunu derhal bize bildireceksiniz

Kasa verileriniz, erişim deseninize en yakın coğrafi Konum Noktasında (POP) şifreli olarak saklanır. Birincil ve yedek POP'lar dayanıklılık için farklı bölgelerdedir. Şehirler, sağlayıcılar ve uyumluluk sertifikaları ile birlikte 21 POP'un tam listesi POP veritabanımızda tutulmaktadır.

POP'lar için kullanılan altyapı sağlayıcıları şunlardır: Amazon Web Services (17 POP, çoğu bölge için birincil sağlayıcı), ISHosting (İstanbul, Almatı, Bogotá) ve HostAfrica (Lagos). Zürih merkez operasyonları (faturalandırma, idari) Hostkey kullanır.

Tüm POP'lar şunlardan biridir:

• Yeterlilik kararları olan yargı bölgelerinde (AB, AEA, İsviçre, Birleşik Krallık, Kanada vb.)
• Yeterlilik kararı bulunmayan yerlerde Standart Sözleşme Maddeleri (SCC'ler) ile bağlı

Şifreleme mimarimiz (sıfır bilgi) nedeniyle, yeterli olmayan yargı bölgelerinde depolanan veriler bile teknik olarak korunmaktadır. Biz çözemeyiz; yerel yetkililer de çözemez. DNS çözünürlüğü Cloudflare tarafından yönetilir; hiçbir kasa verisi ağlarından geçmez.

Depolama sırasında verileri biz çözemeyiz. Kasa dosyası şifrelenmiştir ve şifreleme anahtarı sunucuda saklanmaz. Bir aracının veya kullanıcının bağlandığı zaman, L1 anahtarını kendisi taşır — teknik olarak iletim sırasında yakalayabiliriz (yapmasak da ve TLS üçüncü tarafların bunu yapmasını engellese de). L1 ile bile yalnızca meta veriler görünür. Kimlik bilgileri ve kimlik alanları kapalı kalır.

• L1 (Kasa şifrelemesi): Kasa, depolama sırasında AES-256-GCM ile şifrelenir. 8 baytlık L1 anahtarı, her istekte aracının veya kullanıcının yanında taşınır — sunucuda saklanmaz. L1 ile giriş başlıkları, türleri ve zaman damgaları görünür. Bu, istekleri sunmak için gereken operasyonel minimumdur.
• L2 (Kimlik bilgileri alanları): Parolalar, API anahtarları, TOTP tohumları, OAuth belirteçleri — alan başına 16 baytlık bir anahtarla şifrelenir ve bu anahtar sunucuda asla bulunmaz. L2 yalnızca kullanıcının tarayıcısı ve kayıtlı aracılarında bulunur. Kimlik bilgileri alanlarını çözemeyiz ve hiçbir sunucu tarafı işlem hiçbir zaman L2'ye erişemez.
• "sarılarak korunur" — "wrapping" context ok; check apostrophes — none on kasa here, ok

DPA ile ilgili sorularınız için:

Veri Koruma Görevlisi (DPO) Clavitor LLC c/o Johan Jongsma

Bu DPA, aboneliğinizin başlangıç tarihinde geçerlidir ve feshedilene kadar geçerliliğini korur. Değişiklikler 30 gün önceden bildirilir. Devam eden kullanım kabul anlamına gelir.

Son güncelleme: 25 Mayıs 2026 · Sürüm 1.1