Vardify Məxfilik Siyasəti

1. Məqsəd və əhatə dairəsi

Bu Məxfilik Siyasəti Nivorbit Teknoloji Limited Şirketi ("Nivorbit") tərəfindən Vardify veb paneli, mobil tətbiqi, kiosk ekranı və vardify.com vebsaytı (birlikdə "Xidmət") vasitəsilə operator qismində (4(7) maddə) emal edilən fərdi məlumatlar barədə (Aİ) 2016/679 saylı Ümumi Məlumatların Mühafizəsi Reqlamentinin ("GDPR") 13 və 14-cü maddələrinin tələb etdiyi məlumatı verir. O aşağıdakıları əhatə edir:

• Vardify hesabını açan və istifadə edən şəxslərin hesab, abunəlik və dəstək məlumatları;
• Xidmətin təhlükəsizliyini təmin etmək, xətaları izləmək və onu təkmilləşdirmək üçün Xidmətdən istifadə edən hər kəsdən (işçilər də daxil olmaqla) toplanan texniki və istifadə məlumatları;
• vebsayta daxil olan və onun formalarını dolduran şəxslərin məlumatları.

Abunə olan bizneslərin işçilərinin məlumatları, məsələn, növbələr, iş vaxtı cədvəlləri, məzuniyyət, əmək haqqı, kadr sənədləri və giriş-çıxış göstəriciləri ("Biznes Məlumatları") barədə operator işəgötürəndir; Nivorbit bu məlumatları yalnız işəgötürənin sənədləşdirilmiş göstərişləri əsasında, Məlumatların Emalı Müqaviləsinə uyğun olaraq, məlumat emalçısı qismində (4(8) maddə, 28-ci maddə) emal edir. İşçilərin bu məlumatlar barədə məlumatlandırılması və onların sorğularının cavablandırılması işəgötürənin məsuliyyətidir. Bu mövzuda Nivorbit-ə edilən sorğular işəgötürənə ötürülür və Nivorbit işəgötürənə onların cavablandırılmasında kömək edir (28(3)(e) maddə).

2. Operator

• Ad: Nivorbit Teknoloji Limited Şirketi
• Ünvan: Sarıcaeli Köyü, Sarıcaeli Küme Evleri No: 29 İç Kapı No: 109, 17100 Merkez / Çanakkale, Türkiye
• Ticarət reyestri (MERSİS): 0631151313600001
• Məxfilik üzrə əlaqə: kvkk@vardify.com
• Əlaqə şəxsi: hələ göstərilməyib
• İttifaqdakı nümayəndə (27-ci maddə): hələ göstərilməyib

Nivorbit Türkiyədə təsis edilib; 27-ci maddənin tətbiq olunduğu hallarda onun İttifaqdakı nümayəndəsi yuxarıda adı çəkilən şəxsdir.

3. Fərdi məlumatların kateqoriyaları

• Kimlik və əlaqə: ad və soyad, e-poçt ünvanı, telefon nömrəsi, biznesin adı.
• Autentifikasiya: daxil olduğunuz provayder (Google və ya Apple) və onun bildirdiyi hesab identifikatoru, ad və e-poçt ünvanı; sessiya və giriş qeydləri.
• Abunəlik: plan, dövr və abunəlik statusu. Ödəniş və hesab-faktura rəsmi satıcı qismində Paddle tərəfindən aparılır (6.3-cü bənd); Nivorbit kart məlumatlarını nə görür, nə də saxlayır.
• Müqavilə və razılıq qeydləri: qəbul etdiyiniz və ya oxuduğunuz hər mətnin versiyası, vaxt, IP ünvanı və cihaz məlumatları; kommersiya mesajları və kuki seçimləriniz.
• Dəstək və əlaqə: bizə göndərdiyiniz mesajlar və əlavələr; vebsaytın əlaqə, xəbər bülleteni və pilot müraciət formalarına daxil etdikləriniz.
• Əməliyyat təhlükəsizliyi: IP ünvanı, brauzer və cihaz məlumatları, sorğu və audit qeydləri.
• Mobil tətbiq və cihaz: cihaz modeli və əməliyyat sistemi, tətbiq versiyası, tətbiqin cihaza bağlanma üçün yaratdığı təsadüfi quraşdırma açarı, bildiriş (push) tokeni.
• Xəta qeydləri: tətbiq və ya server xətası baş verdikdə xətanın növü, stek izi, tətbiq və cihaz versiyası və xətadan dərhal əvvəlki səhifə keçidləri və sorğu ünvanları.
• İstifadə məlumatları: baxılan ekranlar və səhifələr; növbə sorğusu, məzuniyyət sorğusu və ya planın dərc edilməsi kimi tamamlanan əməliyyatların adları; hesabın qeyri-şəxsi Vardify identifikatoru, rolu və biznesin identifikatoru. Bunun üçün ad, e-poçt ünvanı və sərbəst mətn göndərilmir. Bu məlumatlar yalnız siz icazə verdikdə toplanır: veb paneldə və vebsaytda kuki seçimləriniz, mobil tətbiqdə isə tətbiqin sualına verdiyiniz cavab və ya onun parametrləri vasitəsilə.
• Marketinq ölçülməsi: yalnız marketinq kukilərinə icazə verdiyiniz halda, reklam kampaniyasından gəlişinizi ölçən kuki və piksel məlumatları, eləcə də qeydiyyat və abunəlik kimi konversiya hadisələri.

4. Mənbələr

Məlumatların əksəriyyəti sizdən gəlir: veb paneldə, mobil tətbiqdə, kioskda və vebsaytda daxil etdikləriniz. Kimlik provayderiniz (Google və ya Apple) onunla daxil olduğunuz zaman hesab identifikatorunuzu, adınızı və e-poçt ünvanınızı bildirir. Paddle abunəliyinizin statusunu bildirir. Texniki, xəta və istifadə məlumatları Xidmətdən istifadə zamanı avtomatik yaranır.

5. Məqsədlər və hüquqi əsaslar

• Hesabın açılması, autentifikasiya və Xidmətin göstərilməsi: müqavilənin icrası (6(1)(b) maddə).
• Abunəliyin idarə edilməsi: müqavilənin icrası (6(1)(b) maddə).
• Kommersiya və vergi qeydlərinin saxlanması: hüquqi öhdəlik (6(1)(c) maddə).
• Müqavilə qəbullarının sübut edilməsi və hüquqi tələblərin müdafiəsi: qanuni maraq (6(1)(f) maddə).
• Dəstək sorğularının və form göndərişlərinin cavablandırılması: müqavilənin icrası və ya müqavilə bağlamazdan əvvəlki addımlar (6(1)(b) maddə), əks halda qanuni maraq (6(1)(f) maddə).
• Bildirişlərin və əməliyyat e-poçtlarının çatdırılması: müqavilənin icrası (6(1)(b) maddə).
• Məlumat təhlükəsizliyi, sui-istifadə və saxtakarlığın qarşısının alınması: qanuni maraq (6(1)(f) maddə).
• Xətaların izlənməsi və aradan qaldırılması: qanuni maraq (6(1)(f) maddə).
• Mobil tətbiqdə istifadənin ölçülməsi (Google Analytics for Firebase): razılıq (6(1)(a) maddə; ePrivacy Direktivi, 5(3) maddə); yalnız tətbiq soruşduqda və ya tətbiqin parametrlərində istifadənin ölçülməsinə icazə verdiyiniz halda. İcazə verənədək ölçmə söndürülüdür və tətbiqin hər funksiyası əlçatan qalır. İstifadə olunan məlumatlar 3-cü bənddə sadalananlarla məhdudlaşır və ad, e-poçt ünvanı və ya sərbəst mətn daşımır.
• Veb paneldə və vebsaytda istifadənin ölçülməsi (Google Analytics): razılıq (6(1)(a) maddə; ePrivacy Direktivi, 5(3) maddə); yalnız kuki seçimlərinizdə analitikaya icazə verdiyiniz halda.
• Reklam kampaniyalarının ölçülməsi (Meta Pixel): razılıq (6(1)(a) maddə; ePrivacy Direktivi, 5(3) maddə); yalnız kuki seçimlərinizdə marketinqə icazə verdiyiniz halda.
• Kommersiya xarakterli elektron mesajların göndərilməsi: razılıq (6(1)(a) maddə); qeydiyyat zamanı ayrıca və könüllü olaraq alınır.

Qanuni maraqlarımız təhlükəsiz və işləyən xidməti təmin etmək, razılaşdırılanların sübutunu saxlamaq, eləcə də xətaları tapıb aradan qaldırmaqdır. Emalın qanuni marağa əsaslandığı hallarda istənilən vaxt etiraz edə bilərsiniz (21-ci maddə); bu halda, maraqlarınızdan üstün gələn zəruri qanuni əsaslar olmadıqca və ya emal hüquqi tələblər üçün lazım olmadıqca, emalı dayandırırıq.

Razılığı istənilən vaxt geri götürə bilərsiniz, bu, geri götürülməyə qədərki emalın qanuniliyinə təsir etmir (7(3) maddə): kuki seçimlərinizi vebsaytdakı və ya paneldəki kuki parametrlərində, mobil tətbiqdə istifadənin ölçülməsinə razılığınızı tətbiqin parametrlərində, kommersiya mesajlarına razılığınızı isə mesajdakı bağlantı vasitəsilə və ya kvkk@vardify.com ünvanına yazmaqla dəyişə bilərsiniz. Razılığın geri götürülməsi Xidmətə çıxışınıza təsir etmir.

Kimlik, əlaqə və autentifikasiya məlumatlarının təqdim edilməsi müqavilənin bağlanması üçün zəruridir; onlarsız hesab açıla bilməz. Qalan hər şey könüllüdür və ya Xidmətdən istifadə nəticəsində yaranır.

6. Alıcılar və ötürmələr

6.1 Alıcılar

Fərdi məlumatlarınız zəruri həddə Nivorbit adından onları emal edən xidmət təchizatçılarına (28-ci maddə), mühasiblərimizə, auditorlarımıza və hüquqi məsləhətçilərimizə, qanunun tələb etdiyi hallarda isə səlahiyyətli dövlət orqanlarına açıqlanır. Xidmət təchizatçılarının, onların emal etdiyi məlumatların, yerlərinin və ötürmə mexanizmlərinin tam siyahısı Alt operatorların siyahısındadır.

6.2 Aİ/İƏZ-dən kənara ötürmələr

Vardify-ın serverləri və fayl saxlama yeri Avropa İttifaqındadır (Hetzner, Falkenştayn, Almaniya). Buna baxmayaraq, İttifaqdan kənara aşağıdakı ötürmələr baş verir:

• Nivorbit-in Türkiyədən öz çıxışı, Xidməti idarə etmək və dəstəkləmək üçün. Avropa Komissiyası Türkiyə üçün adekvatlıq qərarı qəbul etməyib, buna görə ötürmə əlavə tədbirlərlə Standart Müqavilə Bəndlərinə (46(2)(c) maddə, (Aİ) 2021/914 saylı Qərar) əsasən həyata keçirilir.
• Baş ofisi Birləşmiş Ştatlarda olan xidmət təchizatçıları (Google, Resend, Sentry, Cloudflare), bildirişlərin çatdırılması, e-poçt göndərilməsi, xətaların izlənməsi, istifadənin ölçülməsi və daxil olan e-poçtun yönləndirilməsi üçün, Standart Müqavilə Bəndlərinə və provayder sertifikatlaşdırılıbsa, Aİ–ABŞ Məlumat Məxfiliyi Çərçivəsinə (45-ci maddə) əsasən.

Məlumatlar ötürülmə zamanı TLS ilə qorunur və diskdə şifrələnir (verilənlər bazası və ehtiyat nüsxələr də daxil olmaqla). 9-cu maddə üzrə xüsusi kateqoriyalı məlumatlar əlavə olaraq sütun səviyyəsində şifrələnir. Şifrələmə təhlükəsizlik tədbiridir, ötürmə mexanizmi deyil; bunlar ayrıca təmin edilir. Təminatların surətini kvkk@vardify.com ünvanına yazmaqla ala bilərsiniz.

6.3 Operator qismində çıxış edən üçüncü tərəflər

Aşağıdakı tərəflər göstərdikləri xidmət baxımından müstəqil operatorlardır və öz məxfilik siyasətlərinə tabedirlər:

• Google və Apple: daxil olmaq üçün seçdiyiniz tərəf kimliyinizi öz hesabınız vasitəsilə yoxlayır.
• Paddle.com Market Ltd: abunəliyi öz adından satan rəsmi satıcı (Merchant of Record); ödəniş və hesab-faktura məlumatlarını özü emal edir.
• Meta Platforms Ireland Ltd.: marketinq kukilərinə icazə vermisinizsə, Meta Pixel məlumatlarını emal edir.
• Xəritə və ünvan axtarışı xidmətləri: veb paneldə filialın yeri təyin edildikdə brauzeriniz birbaşa Google Maps, OpenStreetMap xəritə serverləri və ya Photon ünvan axtarışı (komoot GmbH) ilə əlaqə qurur; bu xidmətlər IP ünvanınızı və axtarış və ya xəritə sorğunuzu qəbul edir.

7. Saxlama müddətləri

Fərdi məlumatlar emal məqsədinin tələb etdiyi və qanunun nəzərdə tutduğu müddət ərzində saxlanılır; həmin müddət bitdikdə silinir və ya anonimləşdirilir.

• Hesab və əlaqə məlumatları: abunəlik və tətbiq olunan qanunun ümumi iddia müddəti, ən çox 10 il (hüquqi tələblərin müdafiəsi).
• Kommersiya və vergi qeydləri: 10 il (kommersiya və vergi qeydlərinin aparılması qanunvericiliyi).
• Sessiya və giriş qeydləri: 2 il (təhlükəsizlik).
• Audit qeydləri: 5 il (hesabatlılıq, 5(2) maddə).
• Dəstək yazışmaları və form göndərişləri: 3 il (mübahisə ehtimalı).
• Kommersiya mesajlarına razılıq: geri götürülənə qədər və ondan sonra 3 il (sübut yükü, 7(1) maddə).
• Müqavilə qəbul qeydləri: abunəlik və ümumi iddia müddəti (sübut yükü).
• Xəta qeydləri: xətaların izlənməsi xidmətində ən çox 90 gün.
• İstifadənin ölçülməsi məlumatları: Google Analytics-in saxlama parametrində müəyyən edilmiş müddət, ən çox 14 ay.
• Kuki seçimi: 6 ay; bundan sonra sizdən yenidən soruşulur.
• Ehtiyat nüsxələr: silinmiş və ya saxlama müddəti bitmiş məlumatlar şifrələnmiş ehtiyat nüsxələrdə ən çox 6 ay (180 gün) qalır və həmin nüsxə ilə birlikdə silinir.

Biznes Məlumatlarının saxlanması Məlumatların Emalı Müqaviləsi ilə tənzimlənir: müqavilə bitdikdən sonra 30 günlük ixrac pəncərəsi, sonra məhv edilmə.

8. Hüquqlarınız

15–22-ci maddələrə əsasən məlumatlara çıxış; düzəliş; silinmə; emalın məhdudlaşdırılması; məlumatların daşınması; etiraz; eləcə də sizinlə bağlı hüquqi nəticələr doğuran və ya sizə eyni dərəcədə əhəmiyyətli təsir edən, yalnız avtomatlaşdırılmış emala əsaslanan qərara tabe olmamaq hüquqlarınız var. Nivorbit hesab sahibləri barədə belə avtomatlaşdırılmış qərarlar qəbul etmir. Emalın razılığa əsaslandığı hallarda onu istənilən vaxt geri götürə bilərsiniz (5-ci bənd).

Silinmə hüququnu məhsulun daxilində həyata keçirə bilərsiniz: öz hesabınızı veb paneldə Parametrlər → Təhlükəsizlik bölməsində, mobil tətbiqdə Profil → Hesabımı sil bölməsində; bütün biznesi Parametrlər → Biznes bölməsində. Biznesin silinməsi 30 gündən sonra qüvvəyə minir və bu müddət ərzində geri qaytarıla bilər.

Sorğuları kvkk@vardify.com ünvanına göndərin. Onlar bir ay ərzində cavablandırılır; sorğu mürəkkəb və ya çoxsaylı olduqda daha iki ay uzadıla bilər, bu halda ilk ay ərzində sizə məlumat verilir (12(3) maddə). Kimliyinizi təsdiq etmək üçün məlumat istəyə bilərik. Nəzarət orqanına, xüsusilə daimi yaşayış yeriniz, iş yeriniz və ya iddia edilən pozuntunun baş verdiyi yer üzrə Üzv Dövlətdə şikayət verə bilərsiniz (77-ci maddə).

9. Mobil tətbiq və icazələr

Mobil tətbiq aşağıdakı cihaz icazələrini yalnız əlaqədar funksiyadan istifadə edildikdə istəyir. İcazədən imtina yalnız həmin funksiyaya təsir edir və icazələri cihaz parametrlərində istənilən vaxt geri götürə bilərsiniz.

• Kamera: giriş və çıxış zamanı filialın QR kodunu skan etmək; qeyibliyə əlavə etmək üçün xəstəlik vərəqəsini və ya sənədi, eləcə də yoxlama siyahısı fotosunu çəkmək.
• Məkan (yalnız tətbiqdən istifadə zamanı): giriş və ya çıxış edərkən filialda olduğunuzu təsdiqləmək və biznes filialın Wi-Fi şəbəkəsini tələb etdikdə şəbəkə adını oxumaq (Android bunu məkan icazəsi olmadan vermir); biznes və ya filial qurularkən Google-da biznesinizi axtararkən nəticələri yaxınlığa görə sıralamaq. İcazə artıq verilibsə, tətbiq açıq olarkən xatırlatmalar üçün filialda olub-olmadığınız cihazın özündə hesablanır; həmin məkan serverə göndərilmir. Məkan heç vaxt arxa planda götürülmür və fasiləsiz məkan izlənməsi yoxdur.
• Bildirişlər: növbə xatırlatmaları, təsdiq və elan bildirişləri. Android-də xatırlatmaların vaxtında çatması üçün dəqiq həyəcan icazəsi də istənilir.
• NFC: giriş və çıxış zamanı filialın etiketini oxumaq; menecerlər üçün etiket yazmaq.
• Fotolar və fayllar: yalnız əlavə etməyi seçdiyiniz foto və ya sənədə çıxış olunur.

Giriş-çıxış skanı zamanı göndərilən məkan və şəbəkə məlumatları Biznes Məlumatlarıdır və işəgötürənin göstərişləri ilə emal olunur. Tətbiq reklam göstərmir, reklam identifikatorunu (Android Advertising ID, Apple IDFA) oxumur və sizi digər şirkətlərin tətbiq və ya vebsaytları üzrə izləmir. İstifadənin ölçülməsi yalnız tətbiq soruşduqda icazə verdiyiniz halda aktivləşir və tətbiqin parametrlərində istənilən vaxt söndürülə bilər. Mobil tətbiq kukilərdən istifadə etmir; sessiya məlumatı cihazın təhlükəsiz yaddaşında saxlanılır.

10. Kukilər

Mobil tətbiq kukilərdən istifadə etmir. Veb panel və vebsayt mütləq zəruri kukilərdən və brauzer yaddaşından istifadə edir; analitik və marketinq kukiləri yalnız razılığınızla yüklənir. Təfərrüatlar Kuki Siyasətindədir.

11. Təhlükəsizlik

Nivorbit müvafiq texniki və təşkilati tədbirlər görür (32-ci maddə). Əsasları:

• bizneslərin məlumatları verilənlər bazası səviyyəsində sətir səviyyəli təhlükəsizliklə (RLS) bir-birindən təcrid olunur;
• bütün bağlantılar TLS ilə şifrələnir; verilənlər bazası, ehtiyat nüsxələr və sənədlər diskdə şifrələnir; xüsusi kateqoriyalı məlumatlar əlavə olaraq sütun səviyyəsində şifrələnir;
• çıxış rola əsaslanır; əmək haqqı və kimlik sahələri rola görə maskalanır; əməliyyatlar audit jurnalına yazılır;
• ad, e-poçt ünvanı və sərbəst mətn xətaların izlənməsinə və ya istifadənin ölçülməsinə göndərilmir.

Vardify biometrik məlumatları emal etmir və üzün tanınmasından istifadə etmir. Hesab məlumatlarına aid fərdi məlumatların pozulması halında, tələb olunduqda, səlahiyyətli nəzarət orqanı 72 saat ərzində (33-cü maddə), pozuntunun onlar üçün yüksək risk yaratma ehtimalı olduqda isə təsirə məruz qalan şəxslər əsassız gecikmə olmadan (34-cü maddə) məlumatlandırılır.

12. Uşaqlar

Xidmət bizneslər üçündür və 18 yaşdan kiçik şəxslərə birbaşa təklif olunmur. Gənc işçilərin işlədildiyi hallarda onların məlumatları Biznes Məlumatlarıdır və işəgötürənin məsuliyyətindədir.

13. Dəyişikliklər

Bu siyasət dəyişdikdə cari versiya qüvvəyə minmə tarixi ilə dərc edilir və dəyişiklik ən azı 30 gün əvvəl elan olunur. Əvvəlki versiyalar əlçatan saxlanılır.

14. Əlaqə

Nivorbit Teknoloji Limited Şirketi · Sarıcaeli Köyü, Sarıcaeli Küme Evleri No: 29 İç Kapı No: 109, 17100 Merkez / Çanakkale, Türkiye · kvkk@vardify.com · Əlaqə şəxsi: hələ göstərilməyib · İttifaqdakı nümayəndə: hələ göstərilməyib