Gizlilik Politikası

Son güncelleme: 9 Mayıs 2026 · v3.0 · Hemen geçerli

1. Biz Kimiz

YARDtwin™, İrlanda'da kayıtlı YARDtwin Ltd ("biz", "bize", "bizim") tarafından işletilen bir saha yönetimi platformudur. Rıhtım çizelgeleme, kapı otomasyonu, treyler takibi ve analitik dahil saha operasyonlarını yönetmek için bulut tabanlı yazılım sunuyoruz.

Veri Sorumlusu iletişim bilgileri: admin@yardtwin.com. Ayrıca talebinizi Veri Sahibi Talep Portalı

2. Topladığımız Veriler

Aşağıdaki kişisel veri kategorilerini topluyoruz:

Hesap Verileri: Ad, e-posta adresi, telefon numarası, pozisyon/iş unvanı, şirket adı ve adresi (sokak, şehir, ülke) — hesap kaydı sırasında sağlanır.

Kimlik Doğrulama Verileri: Karma parolalar (bcrypt, 12 tur), oturum belirteçleri, JWT yenileme belirteçleri, oturum açma zaman damgaları ve IP adresleri. Bu sağlayıcılarla oturum açan kullanıcılar için Google ve Microsoft SSO tanımlayıcıları.

Operasyonel Veriler: Platform'un normal kullanımı sırasında oluşturulan randevu detayları, taşıyıcı bilgileri, dok atamaları, treyler hareketleri, denetim kayıtları, belgeler ve görev atamaları.

Sürücü Verileri: İsimler, telefon numaraları, e-posta adresleri, ehliyet numaraları, ehliyet fotoğrafları ve (müşteri tarafından etkinleştirildiğinde) kapıda biyometrik doğrulama için yüz görüntüleri. GDPR Madde 9 kapsamında özel kategori veri — kapıda açık rıza alınarak toplanır. Biyometrik veriler için 30 gün, genel KBB için 90 gün saklama süresi, site bazında yapılandırılabilir.

Denetim Verileri: Uyumluluk ve güvenlik amaçlı kullanıcı eylemleri, zaman damgaları, IP adresleri ve kullanıcı aracısı dizeleri. GMP/Part 11 uyumluluğu için olaydan itibaren 6 yıl saklanır.

Bülten Verileri: Bültenimize abone olurken sağlanan e-posta adresi ve şirket adı; rıza zaman damgası ve IP adresi ile birlikte.

Teknik Veriler: Güvenlik ve performans amacıyla otomatik olarak toplanan tarayıcı türü, cihaz bilgisi ve erişim kayıtları.

3. Verilerinizi Nasıl Kullanıyoruz

Hizmet Sunumu: Randevuların işlenmesi, dok yönetimi, treyler takibi, analitik oluşturma ve abone olduğunuz tüm platform özelliklerinin sağlanması.

Smart Slots Önerileri: Smart Slots aracılığıyla rezervasyon önerileri oluşturmak için rezervasyon zamanları, taşıyıcı kimliği, dok atamaları, yapılandırılmış mola pencereleri ve geçmiş varış örüntüleri dahil operasyonel verileri işliyoruz. Bu işleme yalnızca sizin kiracınız üzerinde gerçekleştirilir ve Faz 1'de çapraz müşteri model eğitimi için kullanılmaz. Sürücü kişisel verileri (isim, telefon, fotoğraf) hiçbir zaman Smart Slots girdisi olarak kullanılmaz — motor, sürücü kimliği değil taşıyıcı kimliğini kullanır. Faz 2 yeniden eğitimi (tanıtıldığında) varsayılan olarak kiracı başınadır; çapraz kiracı eğitimi, Site Yapılandırması aracılığıyla açık katılım ve ayrı bir DPA eki gerektirir. Ayrıntılar için Smart Slots sayfasına bakın.

Hesap Yönetimi: Kullanıcı kimlik doğrulama, rol tabanlı erişim kontrolü, abonelik faturalandırması ve kiracı izolasyonu.

Güvenlik ve Uyumluluk: GMP uyumluluğu (21 CFR Part 11, AB Annex 11) için denetim izlerinin tutulması, dolandırıcılık tespiti ve güvenlik izleme.

İletişim: Aylık bülten gönderimi (açık katılım onayıyla), sistem bildirimleri ve hizmet güncellemeleri.

İyileştirme: Platform performansını ve özelliklerini geliştirmek için toplanmış, anonimleştirilmiş analitik veriler.

4. İşlemenin Hukuki Dayanakları

Sözleşmenin İfası (GDPR Madde 6(1)(b)): Aboneliğinizde kararlaştırıldığı şekilde YARDtwin hizmetini sunmak için gerekli işleme.

Meşru Menfaat (GDPR Madde 6(1)(f)): Menfaatimizin haklarınızın önüne geçmediği durumlarda güvenlik kaydı, dolandırıcılık önleme ve platform iyileştirme.

Rıza (GDPR Madde 6(1)(a)): İstediğiniz zaman geri çekebileceğiniz bülten abonelikleri ve pazarlama iletişimleri.

Hukuki Yükümlülük (GDPR Madde 6(1)(c)): Farmasötik düzenleyici gereksinimlere (GMP/GDP) uymak için denetim verilerinin saklanması.

5. Veri Güvenliği

İletimde Şifreleme: TLS 1.2+ (HTTPS) üzerinden iletilen tüm veriler. TLS sertifikaları Microsoft Azure (DigiCert) tarafından yönetilir.

Depolamada Şifreleme: Şeffaf veri şifrelemeli Azure PostgreSQL Flexible Server. Belgeler ve görüntüler için Azure Blob Storage şifrelemesi. Biyometrik veriler (sürücü ehliyet görüntüleri, imzalar) için Azure Key Vault'ta saklanan anahtarlarla alan düzeyinde şifreleme (AES-256-GCM). Parolalar bcrypt ile hashlenir (12 tur).

Çok Kiracılı İzolasyon: Her müşterinin verileri kiracı ID'leri kullanılarak mantıksal olarak izole edilir. API ara yazılımı her istekte kiracı sınırlarını zorlar. Her sürümde otomatik 25 testlik çapraz kiracı denetimiyle doğrulanır.

Rol Tabanlı Erişim Kontrolü: Rota düzeyinde izinlere sahip altı farklı kullanıcı rolü (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin). Google ve Microsoft üzerinden SSO desteklenir.

Hız Sınırlama: Tüm rotalarda API hız sınırlaması; kimlik doğrulama uç noktalarında daha sıkı limitler. Tüm yanıtlarda Helmet tarzı güvenlik başlıkları.

Oturum Güvenliği: 1 saatlik sona erme süreli JWT erişim token'ları. 7 günlük sona erme süreli ve kullanımda döndürülen yenileme token'ları. IP bağlantılı oturum takibi.

Denetim Kaydı: Kullanıcı, zaman damgası, IP adresi ve eski/yeni değerlerle birlikte kaydedilen her önemli eylem. GMP ile ilgili olaylar ayrıca işaretlenir. Uygulama katmanında yalnızca ekleme yapılabilir; 6 yıl saklama süresi.

Sürekli İzleme: Şema kayması uyarısına sahip Azure Application Insights (Postgres "column / relation does not exist" → 15 dakika içinde tetiklenir). Uçtan uca /health/db-write probu, uygulamanın her dağıtımda yazıp okuyabildiğini doğrular.

Altyapı: İsveç Merkezi + Norveç Doğu (AEA) konumundaki Microsoft Azure üzerinde barındırılmaktadır. Hazırlama yuvası değiştirme deseniyle Azure Container Registry aracılığıyla konteyner tabanlı dağıtım. Gizli bilgiler Azure Key Vault'ta tutulmakta ve yönetilen kimlik aracılığıyla erişilmektedir. Postgres üzerinde günlük yedekleme + 7 günlük anlık kurtarma.

Yazılım Tedarik Zinciri: Her çekme isteği; npm audit, Trivy (konteyner CVE'leri), Semgrep (SAST OWASP ilk on + Node.js + React + gizli bilgi kuralları), gitleaks (gizli bilgi geçmişi) ve OWASP ZAP (zamanlanmış olarak hazırlama ortamına yönelik dinamik tarama) tarafından taranmaktadır.

6. Veri Saklama

Hesap Verileri: Abonelik süresi boyunca ve ardından 6 yıl daha saklanır (denetim saklama). Art. 17 silme talebi üzerine takma adla anonimleştirilir.

Operasyonel Veriler: Abonelik süreniz boyunca saklanır. Silinmeden önce talep üzerine tarafınıza dışa aktarılır. Abonelik sona erdiğinde, müşteri Veri İşleme Sözleşmesi kapsamında saklanır veya iade edilir.

Sürücü biyometrik verileri (ehliyet fotoğrafları, yüz görüntüleri): Çıkıştan 30 gün sonra. Zamanlanmış temizleme işlemiyle otomatik olarak silinir.

Genel sürücü kişisel verileri (ad, telefon, e-posta, ehliyet numarası): Çıkıştan 90 gün sonra, sahaya göre yapılandırılabilir.

Denetim Verileri: İlaç sektörü düzenleyici gerekliliklerine (GMP / 21 CFR Part 11) uymak amacıyla olaydan itibaren 6 yıl saklanır. İlgili kişi silme talebinde (Art. 17(3)(b) yasal yükümlülük istisnası) silinmez; takma adla anonimleştirilir.

Bülten Verileri: Abonelikten çıkana kadar saklanır. Rıza kayıtları geri çekimden sonra 3 yıl daha tutulur.

Oturum Verileri: Erişim jetonları 1 saat sonra sona erer. Yenileme jetonları 7 gün sonra sona erer. Oturum satırları çıkış yapıldığında veya silme işleminde kalıcı olarak silinir.

7. Veri Paylaşımı ve Alt İşleyiciler

Kişisel verilerinizi satmıyoruz. Verileri yalnızca aşağıdaki alt işleyicilerle paylaşıyoruz; her biri bir Veri İşleme Sözleşmesi kapsamında ve (geçerli olduğunda) Standart Sözleşme Maddeleri çerçevesinde hareket etmektedir:

Microsoft Azure (İsveç Merkezi + Norveç Doğu, AEA) — bulut barındırma, depolama, Key Vault, Application Insights. Microsoft Çevrimiçi Hizmetler DPA + AB SCC'leri.

Stripe (Stripe Ireland, AEA) — abonelik faturalandırması. Stripe ödeme verilerini doğrudan işler; kredi kartı numaralarını saklamıyoruz. Stripe DPA + herhangi bir ABD aktarımı için SCC'ler.

Resend (ABD) — işlemsel e-posta (hoş geldiniz, deneme hatırlatıcıları, DSAR yanıtları). Resend DPA + SCC'ler.

Google Cloud Vision (AB bölgeleri) — müşterinin kapıda ehliyet fotoğrafı doğrulamasını etkinleştirdiği durumlarda sürücü ehliyeti OCR işlemi.

Google Workspace / Microsoft Entra ID — Google veya Microsoft hesabıyla giriş yapmayı tercih eden kullanıcılar için OAuth tek oturum açma.

Anthropic (ABD) — ürün içi yapay zeka asistanı ve ehliyet OCR metin ayrıştırma için Claude API. Anthropic DPA + sıfır saklama taahhüdü + SCC'ler.

Müşteri Referans Kullanımı: Şirket adınızı ve logonuzu pazarlama materyallerinde, müşteri listelerinde, vaka çalışmalarında ve web sitemizde YARDtwin müşterisi olarak gösterebiliriz. admin@yardtwin.com adresine e-posta göndererek vazgeçebilirsiniz — Hizmet Şartları §6a'ya bakınız.

Kuruluşunuz: Kiracı yöneticileri, normal platform işlevselliğinin bir parçası olarak kendi kuruluşlarındaki kullanıcı etkinliğini görebilir.

Yasal Gereklilikler: Yasal zorunluluk, mahkeme kararı veya yasal haklarımızı korumak amacıyla verileri ifşa edebiliriz.

8. Haklarınız

GDPR (ve İrlanda Veri Koruma Kanunu 2018) kapsamında aşağıdaki haklara sahipsiniz:

✓Kişisel verilerinize erişim (Art. 15)

✓Hatalı verilerin düzeltilmesi (Art. 16)

✓Verilerinizin silinmesi (Art. 17)

✓İşlemenin kısıtlanması (Art. 18)

✓Veri taşınabilirliği (Art. 20)

✓İşlemeye itiraz (Art. 21)

✓Onayı istediğiniz zaman geri çekme

✓DPC'ye şikâyette bulunma

Herhangi bir hakkı kullanmak için Veri Sahibi Talebi portalı aracılığıyla talepte bulunun veya e-posta gönderin: admin@yardtwin.com. 30 gün içinde yanıt vereceğiz.

Dahili olarak talepler, yönetim ekibimiz tarafından iki uç nokta aracılığıyla karşılanır: POST /api/v1/dsar/export/by-email bir e-posta adresi için tuttuğumuz her kaydın makine tarafından okunabilir JSON belgesini üretir (Art. 15 / 20); POST /api/v1/dsar/erase/by-email Art. 17(3)(b) uyarınca denetim günlüğü bütünlüğünü korurken ilgili kişiyi tüm kişisel veri tablolarında takma adla anonimleştirir (Art. 17).

9. Çerezler

YARDtwin, oturum kimlik doğrulaması (JWT token'ları) için zorunlu çerezler ve localStorage kullanır. Çerez onay başlığı dört kategori sunar: zorunlu (her zaman açık), işlevsel (tercihler), analitik (şu an kullanılmıyor) ve pazarlama (şu an kullanılmıyor). Ziyaretçiler Zorunlu olmayanları reddet / Özelleştir / Tümünü kabul et seçeneklerinden birini tercih edebilir. Tercihler, sürüm damgasıyla birlikte yerel olarak saklanır; kategoriler değişirse başlık yeniden gösterilir. Ayrıntılı çerez envanteri Çerez Politikası sayfasında yer almaktadır.

10. Uluslararası Transferler

Operasyonel verileriniz, Avrupa Ekonomik Alanı (AEA) içinde Microsoft Azure (İsveç Merkezi + Norveç Doğu) üzerinde depolanmaktadır. AEA dışındaki alt işleyicilere yapılan aktarımlar:

Stripe: Stripe Ireland, sözleşme tarafıdır (AEA). ABD'deki bazı destek işlevleri SCC'ler kapsamındadır.
Resend: ABD merkezlidir. Transferler 2021 Standart Sözleşme Maddeleri kapsamında gerçekleştirilir.
Anthropic: ABD merkezlidir. SCC'ler uygulanmaktadır; Anthropic'in sıfır veri saklama taahhüdü geçerlidir. Chatbot istemleri kasıtlı olarak operasyonel KBB içermez; lisans-OCR JSON ayrıştırıcısı OCR metni göndermektedir.
Google: Vision OCR için AB bölgeleri; OAuth kimlik token'ları için Google Workspace küresel. Google Cloud DPA + AB SCC'leri.

Her ABD transferi için bir Transfer Etki Değerlendirmesi tutulmaktadır.

11. Çocukların Gizliliği

YARDtwin, işletmeden işletmeye (B2B) yönelik bir platformdur. 16 yaşın altındaki kişilerden bilerek veri toplamıyoruz.

12. Bu Politikadaki Değişiklikler

Bu Gizlilik Politikasını zaman zaman güncelleyebiliriz. Önemli değişiklikler, hesap yöneticilerine e-posta yoluyla ve platform içinde bir bildirimle iletilecektir. Değişikliklerin ardından YARDtwin'i kullanmaya devam etmek, bu değişikliklerin kabul edildiği anlamına gelir.

13. İletişim ve Denetim Otoritesi

Veri Sorumlusu: YARDtwin Ltd · E-posta: admin@yardtwin.com

Denetim Otoritesi: Veri Koruma Komisyonu (DPC), İrlanda · www.dataprotection.ie