Vardify Gizlilik Politikası

0. Önce şu ayrım: Vardify'da iki ayrı veri yığını var

Bu politikayı anlaşılır kılan tek şey bu ayrımdır ve baştan söylenmesi gerekir.

Hesap verisi

• Kimin? — Vardify hesabını açan ve kullanan kişinin
• Ne? — Ad, e-posta, giriş kayıtları, abonelik ve fatura, destek yazışması
• Nivorbit'in sıfatı — veri sorumlusu
• Kim karar verir? — Nivorbit
• Hangi belge? — bu politika

Çalışan verisi

• Kimin? — Abone'nin çalışanlarının
• Ne? — Vardiya, puantaj, izin, ücret, özlük belgeleri, konum okuması
• Nivorbit'in sıfatı — veri işleyen
• Kim karar verir? — işveren (Abone)
• Hangi belge? — Veri İşleyen Sözleşmesi

Yani: çalışanların verisiyle ne yapılacağına Nivorbit karar vermez, işveren karar verir. Nivorbit onun talimatıyla işler. Bir çalışan kendi verisi hakkında Nivorbit'e başvurursa, Nivorbit onu işverenine yönlendirir ve işverene yardım eder — kendi başına silmez, düzeltmez, vermez.

Bu politika hesap verisini anlatır.

1. Veri sorumlusu

Nivorbit Teknoloji Limited Şirketi ("Nivorbit"), Sarıcaeli Köyü, Sarıcaeli Küme Evleri No: 29 İç Kapı No: 109, 17100 Merkez / Çanakkale, Türkiye. MERSİS 0631151313600001. VERBİS kaydı: henüz belirtilmedi. İletişim: kvkk@vardify.com · KEP henüz belirtilmedi.

2. İşlediğimiz hesap verileri

• Kimlik ve iletişim — Örnek: Ad soyad, e-posta, telefon, işletme adı · Nereden gelir: Sizden
• Kimlik doğrulama — Örnek: Sağlayıcı (Google/Apple/Microsoft), oturum ve giriş kayıtları · Nereden gelir: Sizden ve kimlik sağlayıcıdan
• Abonelik ve ödeme — Örnek: Plan, dönem, fatura bilgisi, ödeme sonucu · Nereden gelir: Sizden ve iyzico'dan
• Destek — Örnek: Bize yazdığınız mesajlar ve ekleri · Nereden gelir: Sizden
• Teknik kayıt — Örnek: IP adresi, cihaz/tarayıcı bilgisi, hata ve denetim kayıtları · Nereden gelir: Otomatik

Kart bilgilerinizi görmeyiz ve saklamayız. Ödeme iyzico altyapısında alınır; bize yalnızca işlemin sonucu döner.

3. İşleme amaçları ve hukuki sebepleri

• Hesabı açmak, Hizmet'i sunmak — Sözleşmenin ifası (m.5/2-c)
• Ücretlendirme, fatura, tahsilat — Sözleşmenin ifası + hukuki yükümlülük (m.5/2-ç)
• Fatura ve ticari defterlerin saklanması — Hukuki yükümlülük (VUK, TTK)
• Güvenlik, kötüye kullanım ve dolandırıcılık tespiti — Meşru menfaat (m.5/2-f)
• Destek taleplerini yanıtlamak — Sözleşmenin ifası
• Hizmet'i geliştirmek (toplulaştırılmış ölçüm) — Meşru menfaat (m.5/2-f)
• Ticari elektronik ileti göndermek — Açık rıza — ayrıca alınır, reddedebilirsiniz

Ticari ileti dışında hiçbir işleme açık rızaya dayanmaz; dolayısıyla rızanızı geri almanız Hizmet'e erişiminizi etkilemez.

4. Aktarım

4.1 Yurt içi

Mali müşavir ve denetçilerimize, hukuk danışmanlarımıza, ödeme kuruluşuna (iyzico) ve talep hâlinde yetkili kamu kurumlarına, yalnızca gerektiği ölçüde.

4.2 Yurt dışı — açıkça söylüyoruz

Vardify'ın sunucuları Avrupa Birliği'nde (Falkenstein, Almanya) barındırılır. Yani hesap verileriniz ve İşletme Verisi Türkiye dışında tutulur. Veriler:

• aktarım sırasında TLS ile,
• disk üzerinde (veritabanı ve yedekler dâhil) şifreli olarak

saklanır. KVKK m.6 kapsamındaki özel nitelikli veriler (kan grubu, engellilik derecesi, sendika üyeliği) ayrıca sütun düzeyinde şifrelenir.

Şifreleme bir aktarım şartı değildir, güvenlik tedbiridir. Aktarımın hukuki dayanağı ayrıca kurulur: Kişisel Verileri Koruma Kurulu'nun bugün itibarıyla ilgili ülkeler için verilmiş bir yeterlilik kararı bulunmadığından, aktarım KVKK m.9 uyarınca standart sözleşme ile yapılır ve imzadan itibaren beş iş günü içinde Kurum'a bildirilir. Sürekli barındırma "arızi" bir aktarım olmadığı için açık rızaya dayandırılmaz.

Alt işleyenlerin tam listesi, ne işledikleri ve bulundukları ülke için: Alt İşleyen Listesi.

5. Saklama süreleri

• Hesap ve iletişim bilgisi — Süre: Abonelik süresi + 10 yıl · Gerekçe: TBK m.146 zamanaşımı
• Fatura ve mali kayıt — Süre: 10 yıl · Gerekçe: TTK m.82, VUK
• Oturum ve giriş kayıtları — Süre: 2 yıl · Gerekçe: Güvenlik, meşru menfaat
• Denetim kaydı (audit log) — Süre: 5 yıl · Gerekçe: Denetlenebilirlik
• Destek yazışması — Süre: 3 yıl · Gerekçe: Uyuşmazlık ihtimali
• Ticari ileti rızası — Süre: Rıza geri alınana kadar + 3 yıl · Gerekçe: İspat yükü
• Sözleşme kabul kaydı (kimlik, belge sürümü, zaman, IP, cihaz) — Süre: Abonelik süresi + 10 yıl · Gerekçe: İspat yükü, TBK m.146

İşletme Verisi'nin saklanması Veri İşleyen Sözleşmesi'ne tabidir: sözleşme sona erdikten sonra 30 günlük dışa aktarma penceresi, ardından imha.

6. Haklarınız (KVKK m.11)

Kişisel verilerinizin işlenip işlenmediğini öğrenme; işlenmişse buna ilişkin bilgi talep etme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmişse düzeltilmesini isteme; silinmesini veya yok edilmesini isteme; düzeltme/silme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme; kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Silme hakkını ürünün içinden kullanabilirsin: kendi hesabını Ayarlar → Güvenlik'ten (mobilde Profil → Hesabımı sil), işletmenin tamamını Ayarlar → İşletme'den silersin. İşletme silme 30 gün sonra işler ve o süre boyunca geri alınabilir.

Başvurularınızı kvkk@vardify.com veya henüz belirtilmedi üzerinden iletebilirsiniz; en geç 30 gün içinde yanıtlanır. Yanıttan memnun kalmazsanız Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

AB'de yerleşikseniz GDPR kapsamındaki haklarınız (erişim, düzeltme, silme, işlemenin kısıtlanması, taşınabilirlik, itiraz) ayrıca geçerlidir.

7. Çerezler

Panel, çalışması için gereken çerezleri ve tarayıcı depolamasını kullanır. Ayrıntı: Çerez Politikası.

8. Güvenlik

Kiracı (tenant) verileri veritabanı düzeyinde satır bazlı güvenlik (RLS) ile yalıtılır; erişim rol bazlıdır; ücret ve kimlik alanları rolüne göre maskelenir; işlemler denetim kaydına yazılır. Vardify biyometrik veri ve yüz tanıma kullanmaz. Konum yalnızca giriş-çıkış okutma anında ve rızaya bağlı olarak alınır; sürekli konum takibi yapılmaz.

Bir veri ihlâli hâlinde Kurul'a 72 saat içinde, ilgili kişilere ve etkilenen Abonelere gecikmeksizin bildirim yapılır.

9. Çocukların verisi

Vardify bir işletme ürünüdür ve 18 yaşından küçüklere doğrudan hizmet sunmaz. Genç işçi çalıştırılması hâlinde bu kişilerin verisi çalışan verisidir ve işverenin sorumluluğundadır.

10. Değişiklikler

Bu politika değişirse en az 30 gün önce bildirilir. Geçmiş sürümler erişilebilir tutulur.

11. İletişim

Nivorbit Teknoloji Limited Şirketi · Sarıcaeli Köyü, Sarıcaeli Küme Evleri No: 29 İç Kapı No: 109, 17100 Merkez / Çanakkale, Türkiye · kvkk@vardify.com · henüz belirtilmedi · İrtibat kişisi: henüz belirtilmedi