Vardify Gizlilik Politikası

1. Amaç ve kapsam

Bu Gizlilik Politikası, Vardify web paneli, mobil uygulaması, kiosk ekranı ve vardify.com web sitesi (birlikte "Hizmet") aracılığıyla Nivorbit Teknoloji Limited Şirketi ("Nivorbit") tarafından veri sorumlusu sıfatıyla işlenen kişisel verileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca açıklar. Bu politika kapsamındaki veriler şunlardır:

• Vardify hesabı açan ve kullanan kişilerin hesap, abonelik, ödeme ve destek verileri;
• Hizmet'in güvenliği, hata takibi ve iyileştirilmesi için Hizmet'i kullanan herkesten (çalışanlar dâhil) toplanan teknik veriler ve kullanım verileri;
• web sitesini ziyaret eden ve web sitesindeki formları dolduran kişilerin verileri.

Abone işletmelerin çalışanlarına ilişkin vardiya, puantaj, izin, ücret, özlük belgesi ve giriş-çıkış okuması gibi veriler ("İşletme Verisi") bakımından veri sorumlusu işverendir; Nivorbit bu verileri yalnızca işverenin talimatıyla ve Veri İşleyen Sözleşmesi çerçevesinde veri işleyen sıfatıyla işler. Çalışanların bu verilere ilişkin aydınlatılması ve başvuruları işverenin sorumluluğundadır. Nivorbit'e bu konuda yapılan başvurular işverene iletilir ve Nivorbit işverene gereken desteği sağlar.

2. Veri sorumlusu

• Unvan: Nivorbit Teknoloji Limited Şirketi
• Adres: Sarıcaeli Köyü, Sarıcaeli Küme Evleri No: 29 İç Kapı No: 109, 17100 Merkez / Çanakkale, Türkiye
• MERSİS numarası: 0631151313600001
• VERBİS kaydı: henüz belirtilmedi
• E-posta: kvkk@vardify.com
• KEP adresi: henüz belirtilmedi

3. İşlenen kişisel veri kategorileri

• Kimlik ve iletişim: ad soyad, e-posta adresi, telefon numarası, işletme adı.
• Kimlik doğrulama: giriş için kullandığınız sağlayıcı (Google veya Apple) ve bu sağlayıcının bildirdiği hesap kimliği, ad ve e-posta adresi; oturum ve giriş kayıtları.
• Abonelik, fatura ve ödeme: plan, dönem, fatura unvanı ve adresi, vergi kimlik numarası, fatura ve ödeme sonucu. Kart bilgileri Nivorbit tarafından görülmez ve saklanmaz.
• Sözleşme ve onay kayıtları: kabul ettiğiniz veya okuduğunuz metnin sürümü, zamanı, IP adresi ve cihaz bilgisi; ticari elektronik ileti ve çerez tercihleriniz.
• Destek ve iletişim: bize yazdığınız mesajlar ve ekleri; web sitesindeki iletişim, bülten ve pilot başvuru formlarına girdiğiniz bilgiler.
• İşlem güvenliği: IP adresi, tarayıcı ve cihaz bilgisi, istek ve denetim kayıtları.
• Mobil uygulama ve cihaz: cihaz modeli ve işletim sistemi, uygulama sürümü, cihaz bağlama için uygulamanın ürettiği rastgele kurulum anahtarı, bildirim belirteci (push token).
• Hata kayıtları: uygulama veya sunucu hatası oluştuğunda hata türü, hata yığını, uygulama ve cihaz sürümü, hatadan hemen önceki sayfa geçişleri ve istek adresleri.
• Kullanım verileri: görüntülenen ekranlar ve sayfalar; vardiya isteği, izin talebi veya plan yayımlama gibi tamamlanmış işlemlerin adı; hesabın Vardify'daki anlamsız (opak) kimliği, rolü ve bağlı olduğu işletmenin kimliği. Ad, e-posta ve serbest metin bu kapsamda gönderilmez. Bu veriler yalnızca izin verdiyseniz toplanır: web paneli ve web sitesinde çerez tercihlerinizle, mobil uygulamada uygulamanın sorusuna verdiğiniz yanıt veya uygulama ayarlarıyla.
• Pazarlama ölçümü: yalnızca pazarlama çerezlerine izin verdiyseniz, reklam kampanyasından gelişinizi ve kayıt, abonelik gibi dönüşüm olaylarını ölçen çerez ve piksel verileri.

4. Kişisel verilerin toplanma yöntemi

Kişisel verileriniz; web paneli, mobil uygulama, kiosk ve web sitesi üzerinden sizin girmeniz, kimlik sağlayıcınızın (Google, Apple) bildirmesi, ödeme kuruluşunun işlem sonucunu iletmesi ve Hizmet'in kullanımı sırasında otomatik olarak oluşan kayıtlar yoluyla, kısmen otomatik ve otomatik yollarla elektronik ortamda toplanır.

5. İşleme amaçları ve hukuki sebepler

• Hesabın açılması, kimlik doğrulama ve Hizmet'in sunulması: sözleşmenin kurulması ve ifası (KVKK m.5/2-c).
• Abonelik, ücretlendirme, faturalandırma ve tahsilat: sözleşmenin ifası (m.5/2-c) ve hukuki yükümlülük (m.5/2-ç).
• Fatura, e-fatura ve ticari defterlerin düzenlenmesi ve saklanması: hukuki yükümlülük (m.5/2-ç; Vergi Usul Kanunu, Türk Ticaret Kanunu).
• Sözleşme kabullerinin ispatı ve hukuki taleplere karşı savunma: bir hakkın tesisi, kullanılması veya korunması (m.5/2-e).
• Destek taleplerinin ve form başvurularının yanıtlanması: sözleşmenin ifası (m.5/2-c) ve meşru menfaat (m.5/2-f).
• Bildirim ve işlem e-postalarının iletilmesi: sözleşmenin ifası (m.5/2-c).
• Bilgi güvenliği, kötüye kullanım ve dolandırıcılığın önlenmesi: meşru menfaat (m.5/2-f).
• Hata takibi ve giderilmesi: meşru menfaat (m.5/2-f).
• Mobil uygulamada kullanım ölçümü (Google Analytics for Firebase): açık rıza (m.5/1); yalnızca uygulamanın sorusunda veya uygulama ayarlarında kullanım ölçümüne izin verdiyseniz. İzin vermediğiniz sürece ölçüm kapalıdır ve uygulamanın bütün özellikleri kullanılabilir.
• Web paneli ve web sitesinde kullanım ölçümü (Google Analytics): açık rıza (m.5/1); yalnızca çerez tercihlerinde analitiğe izin verdiyseniz.
• Reklam kampanyalarının ölçümü (Meta Pikseli): açık rıza (m.5/1); yalnızca çerez tercihlerinde pazarlamaya izin verdiyseniz.
• Ticari elektronik ileti gönderilmesi: açık rıza (m.5/1; 6563 sayılı Kanun); kayıt sırasında ayrıca ve isteğe bağlı olarak alınır.

Açık rızanızı dilediğiniz zaman geri alabilirsiniz: çerez tercihlerinizi web sitesindeki veya paneldeki çerez ayarlarından, mobil uygulamadaki kullanım ölçümü iznini uygulama ayarlarından, ticari ileti iznini iletideki bağlantıdan veya kvkk@vardify.com adresine yazarak değiştirebilirsiniz. Rızanın geri alınması Hizmet'e erişiminizi etkilemez.

6. Kişisel verilerin aktarılması

6.1 Yurt içine aktarım

Kişisel verileriniz, yukarıdaki amaçlarla ve gerektiği ölçüde; ödeme kuruluşu iyzico Ödeme Hizmetleri A.Ş.'ye, e-fatura ve e-arşiv fatura düzenleyen entegratör Paraşüt'e, mali müşavir, denetçi ve hukuk danışmanlarımıza ve talep hâlinde yetkili kamu kurum ve kuruluşlarına aktarılabilir.

6.2 Yurt dışına aktarım

Vardify'ın sunucuları ve dosya depolaması Avrupa Birliği'nde (Hetzner, Falkenstein, Almanya) bulunur. Hesap verileriniz ve İşletme Verisi bu nedenle Türkiye dışında tutulur. Bunun yanında bildirim iletimi, e-posta gönderimi, hata takibi, kullanım ölçümü ve gelen e-postaların yönlendirilmesi için yurt dışında yerleşik hizmet sağlayıcılar kullanılır.

Kişisel Verileri Koruma Kurulu'nun bu ülkeler için verilmiş bir yeterlilik kararı bulunmadığından, aktarım KVKK m.9 uyarınca standart sözleşme ile yapılır ve standart sözleşme imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilir. Sürekli barındırma ve hizmet alımı arızi bir aktarım olmadığından açık rızaya dayandırılmaz.

Veriler aktarım sırasında TLS ile, disk üzerinde (veritabanı ve yedekler dâhil) şifrelenmiş olarak korunur. Şifreleme bir güvenlik tedbiridir; aktarımın hukuki dayanağı ayrıca sağlanır.

Hizmet sağlayıcıların tam listesi, işledikleri veriler, bulundukları ülkeler ve aktarım dayanakları Alt İşleyen Listesi'nde yer alır.

6.3 Kendi adına işleyen üçüncü taraflar

Aşağıdaki taraflar, sunduğu hizmet bakımından kendi gizlilik politikalarına tabi bağımsız veri sorumlusudur:

• Google ve Apple: giriş için hangisini seçerseniz, kimliğinizi kendi hesabınız üzerinden doğrular.
• Paddle.com Market Ltd: Türkiye dışındaki pazarlarda aboneliği kendi adına satan satıcı kaydıdır (Merchant of Record); ödeme ve fatura verilerini kendisi işler.
• Meta Platforms Ireland Ltd.: pazarlama çerezlerine izin verdiyseniz Meta Pikseli verilerini işler.
• Harita ve adres arama hizmetleri: web panelinde şube konumu belirlenirken tarayıcınız Google Maps, OpenStreetMap harita sunucuları veya Photon (komoot GmbH) adres arama hizmetine doğrudan bağlanır; bu hizmetler IP adresinizi ve arama veya harita isteğinizi alır.

7. Saklama süreleri

Kişisel veriler, işlendikleri amaç için gerekli olan ve ilgili mevzuatta öngörülen süre boyunca saklanır; süre sona erdiğinde silinir, yok edilir veya anonim hâle getirilir.

• Hesap ve iletişim bilgileri: abonelik süresi ve sona ermesinden itibaren 10 yıl (Türk Borçlar Kanunu m.146 zamanaşımı).
• Fatura ve mali kayıtlar: 10 yıl (Türk Ticaret Kanunu m.82, Vergi Usul Kanunu).
• Oturum ve giriş kayıtları: 2 yıl (güvenlik).
• Denetim kayıtları: 5 yıl (denetlenebilirlik).
• Destek yazışmaları ve form başvuruları: 3 yıl (uyuşmazlık ihtimali).
• Ticari elektronik ileti izni: izin geri alınana kadar ve sonrasında 3 yıl (ispat yükü).
• Sözleşme kabul kayıtları: abonelik süresi ve sona ermesinden itibaren 10 yıl (ispat yükü, Türk Borçlar Kanunu m.146).
• Hata kayıtları: hata takip hizmetinde en fazla 90 gün.
• Kullanım ölçümü verileri: Google Analytics'in saklama ayarında belirlenen süre, en fazla 14 ay.
• Çerez tercihi: 6 ay; süre sonunda tercihiniz yeniden sorulur.
• Yedekler: silinen veya saklama süresi dolan veriler şifreli yedeklerde en fazla 6 ay (180 gün) kalır ve o yedekle birlikte silinir.

İşletme Verisi'nin saklanması Veri İşleyen Sözleşmesi'ne tabidir: sözleşme sona erdikten sonra 30 günlük dışa aktarma süresi, ardından imha.

8. Haklarınız ve başvuru

KVKK m.11 uyarınca Nivorbit'e başvurarak:

• kişisel verilerinizin işlenip işlenmediğini öğrenme,
• işlenmişse buna ilişkin bilgi talep etme,
• işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• eksik veya yanlış işlenmişse düzeltilmesini isteme,
• KVKK m.7'deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• düzeltme, silme veya yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz.

Başvurunuzu, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca Türkçe ve yazılı olarak; ad soyad, imza (elektronik başvuruda güvenli elektronik imza veya sistemimizde kayıtlı e-posta adresiniz), T.C. kimlik numarası (yabancılar için uyruk ve pasaport veya kimlik numarası), tebligata esas adres, varsa e-posta ve telefon bilgisi ile talep konusunu belirterek; Sarıcaeli Köyü, Sarıcaeli Küme Evleri No: 29 İç Kapı No: 109, 17100 Merkez / Çanakkale, Türkiye adresine şahsen veya noter aracılığıyla, henüz belirtilmedi KEP adresine ya da Vardify'da kayıtlı e-posta adresinizden kvkk@vardify.com adresine iletebilirsiniz.

Başvurunuz, niteliğine göre en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'ca belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, verilen cevabı yetersiz bulmanız veya süresinde cevap verilmemesi hâlinde, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

Hesabınızı ürünün içinden de silebilirsiniz: kendi hesabınızı web panelinde Ayarlar → Güvenlik bölümünden, mobil uygulamada Profil → Hesabımı sil adımıyla; işletmenin tamamını Ayarlar → İşletme bölümünden. İşletmenin silinmesi 30 gün sonra gerçekleşir ve bu süre içinde geri alınabilir.

Avrupa Birliği'nde yerleşikseniz, Genel Veri Koruma Tüzüğü (GDPR) kapsamındaki erişim, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği ve itiraz haklarınız ile bulunduğunuz ülkedeki denetim makamına şikâyet hakkınız ayrıca saklıdır.

9. Mobil uygulama ve izinler

Mobil uygulama aşağıdaki cihaz izinlerini, yalnızca ilgili özellik kullanıldığında ister. İzin vermemeniz yalnızca o özelliği etkiler ve izinleri cihaz ayarlarından her zaman geri alabilirsiniz.

• Kamera: giriş-çıkışta şube QR kodunu okutmak; devamsızlığa eklenecek rapor veya belgenin ve kontrol listesi fotoğrafının çekilmesi.
• Konum (yalnızca uygulama kullanılırken): giriş-çıkış okutması sırasında şubede bulunduğunuzun doğrulanması ve işletmenin şube Wi-Fi ağını gerektirdiği durumda ağ adının okunması (Android bunu konum izni olmadan vermez); işletme veya şube kurulumunda işletmenizi Google'da ararken sonuçların yakınınızdakilere göre sıralanması. İzin daha önce verilmişse uygulama açıkken şubede olup olmadığınız hatırlatmalar için cihazda hesaplanır; bu konum sunucuya gönderilmez. Arka planda konum alınmaz ve sürekli konum takibi yapılmaz.
• Bildirimler: vardiya hatırlatmaları, onay ve duyuru bildirimleri. Android'de hatırlatmaların zamanında gelmesi için ayrıca tam zamanlı alarm izni istenir.
• NFC: giriş-çıkışta şube etiketinin okunması; yöneticiler için etiket yazılması.
• Fotoğraflar ve dosyalar: yalnızca eklemek için sizin seçtiğiniz fotoğraf veya belgeye erişilir.

Giriş-çıkış okutmasında gönderilen konum ve ağ bilgisi İşletme Verisi'dir ve işverenin talimatıyla işlenir. Uygulama reklam göstermez, reklam kimliğini (Android Advertising ID, Apple IDFA) okumaz ve sizi başka şirketlerin uygulama veya sitelerinde izlemez. Kullanım ölçümü yalnızca uygulamanın sorusunda izin verirseniz açılır ve uygulama ayarlarından her zaman kapatılabilir. Mobil uygulamada çerez kullanılmaz; oturum bilgileri cihazın güvenli depolamasında tutulur.

10. Çerezler

Mobil uygulamada çerez kullanılmaz. Web paneli ve web sitesi zorunlu çerezleri ve tarayıcı depolamasını kullanır; analitik ve pazarlama çerezleri yalnızca izninizle yüklenir. Ayrıntılar Çerez Politikası'nda yer alır.

11. Güvenlik

Nivorbit, KVKK m.12 uyarınca kişisel verilerin güvenliği için uygun teknik ve idari tedbirleri alır. Başlıcaları:

• işletmelerin verileri veritabanı düzeyinde satır bazlı güvenlik (RLS) ile birbirinden yalıtılır;
• tüm bağlantılar TLS ile şifrelenir; veritabanı, yedekler ve belgeler disk üzerinde şifreli tutulur; özel nitelikli kişisel veriler ayrıca sütun düzeyinde şifrelenir;
• erişim rol bazlıdır; ücret ve kimlik alanları role göre maskelenir; işlemler denetim kaydına yazılır;
• hata ve kullanım ölçümüne ad, e-posta ve serbest metin gönderilmez.

Vardify biyometrik veri işlemez ve yüz tanıma kullanmaz. Bir kişisel veri ihlâli hâlinde Kurul'a en geç 72 saat içinde, etkilenen ilgili kişilere ve Abonelere gecikmeksizin bildirim yapılır.

12. Çocuklar

Hizmet işletmelere yöneliktir ve 18 yaşından küçüklere doğrudan sunulmaz. Genç işçi çalıştırılması hâlinde bu kişilerin verileri İşletme Verisi'dir ve işverenin sorumluluğundadır.

13. Değişiklikler

Bu politika değiştiğinde güncel sürüm yürürlük tarihiyle birlikte yayımlanır ve değişiklik en az 30 gün önce bildirilir. Önceki sürümler erişilebilir tutulur.

14. İletişim

Nivorbit Teknoloji Limited Şirketi · Sarıcaeli Köyü, Sarıcaeli Küme Evleri No: 29 İç Kapı No: 109, 17100 Merkez / Çanakkale, Türkiye · kvkk@vardify.com · KEP henüz belirtilmedi · İrtibat kişisi: henüz belirtilmedi