Peel, ekibinin yazdıklarını bizim okuyamayacağımız şekilde tasarlanmış bir retro board'dur. Bu metin, işlediğimiz az sayıdaki veriyi, neden işlediğimizi ve haklarını anlatır. Peel web sitesi, web uygulaması ile Slack ve Microsoft Teams uygulamalarını (birlikte “Peel”) kapsar. 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) md. 10 uyarınca aydınlatma metni niteliğindedir ve AB/AEA ile Birleşik Krallık Genel Veri Koruma Tüzüğü'ne (“GDPR”) uygun olarak hazırlanmıştır.
1. Veri sorumlusu
Peel, 1801 Labs (İstanbul, Türkiye) (“biz”) tarafından işletilir. Hesap, abonelik durumu, entegrasyon ve destek verileri bakımından veri sorumlusu biziz. İletişim: [email protected].
2. Kısaca
- Katılımcılar hiçbir zaman hesap açmaz. Linki açar, bir isim ve hayvan avatarı seçer.
- Board içeriği uçtan uca şifrelidir. Kart metinleri, isimler, board başlıkları, oylar ve etiketler tarayıcında, linkin “#” işaretinden sonraki kısmında duran bir anahtarla şifrelenir. Tarayıcılar bu kısmı sunuculara hiç göndermez. Biz yalnızca okuyamadığımız şifreli veriyi saklar ve iletiriz.
- Analitik yok, reklam yok, takip çerezi yok. Ödeme sayfasındaki Paddle betiği dışında hiçbir üçüncü taraf betiği çalışmaz.
- Sahiplenilmemiş board'lar son ziyaretten 60 gün sonra silinir.
3. Hangi verileri, hangi amaçla ve hangi hukuki sebeple işliyoruz
3.1 Board'lar (herkes)
Şifreli içerik (kartlar, GIF seçimleri, board'da görünen isim ve avatarlar, board adı, özel şablon başlıkları, oylar, tepkiler, etiketler, aksiyonlar, check-in'ler): board'un gerçek zamanlı çalışması için bir Cloudflare Durable Object'te şifreli olarak saklanır. Bu veriyi çözemeyiz, anahtarlar bizde değildir.
Şifresiz meta veri: her işlemin türü (ör. “kart eklendi”), boyutu ve sunucu zaman damgası, board aşaması, katılımcı ve kart sayıları, katalog şablon kimliği (özel başlık asla), kilit bilgisi, oluşturulma ve silinme zamanları. Amaç: board'u çalıştırmak, limitler ve kötüye kullanımın önlenmesi, Slack/Teams canlı durum mesajları ve hiçbir tanımlayıcı içermeyen günlük sayaçlar (ör. “oluşturulan board sayısı”). Hukuki sebep: sözleşmenin kurulması ve ifası (KVKK md. 5/2-c; GDPR md. 6/1-b) ve güvenli bir hizmet sunmaya ilişkin meşru menfaatimiz (KVKK md. 5/2-f; GDPR md. 6/1-f).
3.2 Ağ verileri
Her web sitesinde olduğu gibi, bağlandığında IP adresin ve tarayıcı bilgilerin Cloudflare ağına ulaşır. Bunlar trafiği iletmek, hız limitlerini uygulamak ve kötüye kullanımı durdurmak için geçici olarak kullanılır. IP adreslerini veritabanlarımızda saklamayızve seni tanımak için kullanmayız. Hukuki sebep: meşru menfaat (güvenlik ve erişilebilirlik).
3.3 Kolaylaştırıcı hesapları (isteğe bağlı)
Google, Apple veya (Teams üzerinden) Microsoft Entra ID ile giriş yaparsan, sağlayıcının hesap kimliğini, adını ve sağlayıcı paylaşırsa e-posta adresini, bağladığın sağlayıcıları ve hesabın oluşturulma tarihini saklarız. Ayrıca tarayıcının, passkey'inden veya kurtarma kodundan türetilen bir anahtarla şifrelediği bir anahtar paketi saklarız; elimizde yalnızca şifreli hâli bulunur. Bir oturum çerezi kullanırız (bkz. §5). Amaç: board'ları 60 günden uzun saklamak, cihazlar arasında eşitlemek, ekip alanları ve ücretli özellikler. Hukuki sebep: sözleşmenin ifası.
3.4 Ödemeler
Ücretli planlar, kayıtlı satıcımız (merchant of record) Paddle.com Market Ltd (“Paddle”) tarafından satılır. Ödeme bilgilerini, fatura adresini ve vergi bilgilerini Paddle toplar ve kendi gizlilik bildirimi kapsamında bağımsız veri sorumlusu olarak işler. Biz planını, abonelik durumunu ve dönemini, Paddle müşteri ve abonelik kimliklerini ve ülkeni alırız. Kart numaranı hiçbir zaman görmeyiz. Hukuki sebep: sözleşmenin ifası; saklamakla yükümlü olduğumuz kayıtlar için hukuki yükümlülük (KVKK md. 5/2-ç).
3.5 Slack ve Microsoft Teams (bir çalışma alanı Peel'i kurduğunda)
Çalışma alanı veya tenant kimliğini, kanal veya konuşma kimliğini, canlı durum güncellemeleri için mesaj zaman damgalarını ve (şifreli olarak) bot token'ını saklarız. Gönderdiğimiz mesajlar board linkini ve meta veriyi (başlık, aşama, sayılar) içerir. Kart metinleri Slack veya Teams'e yalnızca kolaylaştırıcı bir onay penceresinden sonra özeti açıkça paylaştığında gider. Ekip etiketlemeyi açarsa, aksiyon sahiplerini etiketlemek için üye kimliklerine bakarız. Hukuki sebep: kurulumu yapan kuruluşla sözleşme; meşru menfaat.
3.6 GIF'ler
GIF aramaları sunucumuz üzerinden GIPHY'ye gider; böylece GIPHY katılımcıların IP adreslerini almaz. GIPHY yalnızca arama terimini ve dili görür. Görseller önbelleğimizden sunulur.
3.7 Destek ve güvenlik bildirimleri
Bize e-posta yazdığında, sana cevap verebilmek için e-posta adresini ve yazdıklarını işleriz. Hukuki sebep: meşru menfaat; aboneliğinle ilgiliyse sözleşmenin ifası.
4. Yapmadıklarımız
- Board içeriğini okumayız, analiz etmeyiz, model eğitiminde kullanmayız, satmayız. Zaten okuyamayız.
- Analitik SDK'sı, reklam, profilleme, parmak izi ya da üçüncü taraf takibi kullanmayız.
- Hakkında yalnızca otomatik işlemeye dayalı karar vermeyiz.
5. Çerezler ve yerel depolama
Giriş yapan kolaylaştırıcılar için tek bir zorunlu çerez kullanırız: peel_session (httpOnly, Secure, SameSite=Lax); oturumunun açık kalmasını sağlar. Tarayıcının yerel depolaması tema ve dil tercihlerini ve oluşturduğun board'ların anahtarlarını tutar; bunlar giriş yapmadığın sürece cihazından çıkmaz, giriş yaparsan da yalnızca şifreli anahtar paketinin içinde çıkar. Analitik, reklam veya başka zorunlu olmayan çerez kullanmadığımız için açık rıza gerekmez ve çerez bandı göstermeyiz. Ödeme sayfası Paddle'ı yükler; Paddle ödemeyi işlemek için gerekli çerezleri kullanabilir (Paddle'ın çerez politikasına bakınız).
6. Verilerin aktarıldığı taraflar
- Cloudflare, Inc. — barındırma, gerçek zamanlı sunucular, veritabanları ve depolama (veri işleyen). Peel yalnızca Cloudflare üzerinde çalışır.
- Paddle — ödeme, fatura ve vergi (bağımsız veri sorumlusu).
- Google, Apple, Microsoft — yalnızca o sağlayıcıyla giriş yapmayı seçersen.
- Slack, Microsoft — yalnızca kuruluşun entegrasyonu kurduğunda ve §3.5'te anlatılan kadarıyla.
- GIPHY — vekil sunucumuz üzerinden yalnızca arama terimleri.
- E-posta sağlayıcımız — destek yazışmaları (Cloudflare Email Routing).
- Kanunen zorunlu olduğunda yetkili kurumlar — bu durumda bile verebileceğimiz tek şey şifreli veri ve meta veridir.
7. Yurt dışına aktarım
Cloudflare ve Paddle verileri Türkiye ve AEA dışını da kapsayan küresel altyapılarda işler. Türkiye'den yapılan aktarımlarda KVKK md. 9 kapsamındaki standart sözleşmelere dayanır ve bunları mevzuatın öngördüğü süre içinde Kişisel Verileri Koruma Kurumu'na bildiririz; AB/AEA'dan yapılan aktarımlarda Avrupa Komisyonu'nun Standart Sözleşme Maddeleri'ne (ve alıcı sertifikalıysa AB–ABD Veri Gizliliği Çerçevesi'ne) dayanırız.
8. Saklama süreleri
- Hesapsız board'lar: son ziyaretten 60 gün sonra silinir (her ziyaret süreyi sıfırlar).
- Bir hesaba bağlanmış board'lar: sen silene ya da hesabını silene kadar. Hesabını silersen board'ların 60 günlük süresi geri gelir.
- Hesap ve anahtar paketi: hesabını silene kadar (“Board'larım” sayfasından kendin silebilirsin).
- Oturumlar: çıkış yapana veya oturum süresi dolana kadar.
- Entegrasyon verileri: uygulama kaldırılana veya token iptal edilene kadar.
- Abonelik kayıtları: vergi ve ticaret mevzuatının gerektirdiği süre boyunca (Türkiye'de 10 yıla kadar).
- Destek e-postaları: yazışma bittikten sonra en fazla 24 ay.
9. Hakların
KVKK md. 11 uyarınca kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini, KVKK md. 7 şartlarıyla silinmesini veya yok edilmesini ve bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhine bir sonuç çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğrarsan zararın giderilmesini talep etme haklarına sahipsin. GDPR kapsamındaysan erişim, düzeltme, silme, kısıtlama, taşınabilirlik ve itiraz hakların da vardır. Başvurunu [email protected] adresine iletebilirsin; en geç 30 gün içinde yanıtlarız. Kişisel Verileri Koruma Kurulu'na (veya AB'deki yerel denetim makamına) şikâyette bulunma hakkın saklıdır.
Board içeriği bizde olmayan anahtarlarla şifrelendiği için içinde adını arayamayız. Sahibi olduğunu kanıtlarsan bir board'u silebiliriz (bkz. Destek); linkin “#” sonrasındaki kısmını asla istemeyiz.
10. Çocuklar
Peel iş ve okul ekipleri için tasarlanmıştır; 16 yaşından küçüklere yönelik değildir. Kolaylaştırıcı hesabı açmak için en az 16 yaşında olmalısın.
11. Güvenlik
Uçtan uca şifreleme, her yerde TLS, sıkı bir İçerik Güvenliği Politikası ve en az yetki ilkesi. Ayrıntılar güvenlik sayfamızda.
12. Değişiklikler
Değişiklikleri bu sayfada yayımlar ve yukarıdaki tarihi güncelleriz. Önemli değişiklikleri sitede, hesap sahiplerine ise önceden e-postayla duyururuz.