Gizlilik Politikası
Son güncelleme: 17 Ekim 2026 · v3.4 · v3.4'teki değişiklikler: bölüm 2, 5 ve 6 — sözleşme sonunda müşteriye, denetim izi silinmeden önce eksiksiz bir dışa aktarım yapılır; müşterinin bunu yazılı olarak reddetmesi veya makul girişimlerin ardından kendisine ulaşılamaması hâli hariç. YARDtwin ardından denetim kayıtlarını yalnızca müşterinin yazılı talimatı üzerine saklar; yedekler kendi programlarına göre sona erene kadar ve devir teslim kaydı hariç.
1. Biz Kimiz
YARDtwin™, İrlanda'da kayıtlı YARDtwin Ltd ("biz", "bize", "bizim") tarafından işletilen bir saha yönetimi platformudur. Rıhtım çizelgeleme, kapı otomasyonu, treyler takibi ve analitik dahil saha operasyonlarını yönetmek için bulut tabanlı yazılım sunuyoruz.
Veri Sorumlusu iletişim bilgileri: admin@yardtwin.com. Talebinizi ayrıca şu kanal üzerinden de iletebilirsiniz: Veri Sahibi Talep Portalı
2. Topladığımız Veriler
Aşağıdaki kişisel veri kategorilerini topluyoruz:
3. Verilerinizi Nasıl Kullanıyoruz
Hizmet Sunumu: Randevuların işlenmesi, dok yönetimi, treyler takibi, analitik oluşturma ve abone olduğunuz tüm platform özelliklerinin sağlanması.
Smart Slots Önerileri: Smart Slots aracılığıyla rezervasyon önerileri oluşturmak için rezervasyon zamanları, taşıyıcı kimliği, dok atamaları, yapılandırılmış mola pencereleri ve geçmiş varış örüntüleri dahil operasyonel verileri işliyoruz. Bu işleme yalnızca sizin kiracınız üzerinde gerçekleştirilir ve Faz 1'de çapraz müşteri model eğitimi için kullanılmaz. Sürücü kişisel verileri (isim, telefon, fotoğraf) hiçbir zaman Smart Slots girdisi olarak kullanılmaz — motor, sürücü kimliği değil taşıyıcı kimliğini kullanır. Faz 2 yeniden eğitimi (tanıtıldığında) varsayılan olarak kiracı başınadır; çapraz kiracı eğitimi, Site Yapılandırması aracılığıyla açık katılım ve ayrı bir DPA eki gerektirir. Ayrıntılar için Smart Slots sayfasına bakın.
Hesap Yönetimi: Kullanıcı kimlik doğrulama, rol tabanlı erişim kontrolü, abonelik faturalandırması ve kiracı izolasyonu.
Güvenlik ve Uyumluluk: GMP uyumluluğu (21 CFR Part 11, AB Annex 11) için denetim izlerinin tutulması, dolandırıcılık tespiti ve güvenlik izleme.
İletişim: Aylık bülten gönderimi (açık katılım onayıyla), sistem bildirimleri ve hizmet güncellemeleri.
İyileştirme: Platform performansını ve özelliklerini geliştirmek için toplanmış, anonimleştirilmiş analitik veriler.
4. İşlemenin Hukuki Dayanakları
Sözleşmenin İfası (GDPR Madde 6(1)(b)): Aboneliğinizde kararlaştırıldığı şekilde YARDtwin hizmetini sunmak için gerekli işleme.
Meşru Menfaat (GDPR Madde 6(1)(f)): Menfaatimizin haklarınızın önüne geçmediği durumlarda güvenlik kaydı, dolandırıcılık önleme ve platform iyileştirme.
Rıza (GDPR Madde 6(1)(a)): İstediğiniz zaman geri çekebileceğiniz bülten abonelikleri ve pazarlama iletişimleri.
Hukuki Yükümlülük (GDPR Madde 6(1)(c)): Farmasötik düzenleyici gereksinimlere (GMP/GDP) uymak için denetim verilerinin saklanması.
5. Veri Güvenliği
İletimde Şifreleme: TLS 1.2+ (HTTPS) üzerinden iletilen tüm veriler. TLS sertifikaları Microsoft Azure (DigiCert) tarafından yönetilir.
Depolamada Şifreleme: Şeffaf veri şifrelemeli Azure PostgreSQL Flexible Server. Belgeler ve görüntüler için Azure Blob Storage şifrelemesi. Sürücü belgesi görselleri ve imzalar, Azure Storage ve Azure Database for PostgreSQL tarafından bekleme sırasında AES-256 ile şifrelenir (Microsoft tarafından yönetilen anahtarlar) ve bunlara erişim role ve kuruluşa göre sınırlandırılır. Parolalar bcrypt ile hashlenir (12 tur).
Çok Kiracılı İzolasyon: Her müşterinin verileri, sunucu tarafında zorunlu kılınan kiracı kapsamıyla kiracı ID'leri kullanılarak mantıksal olarak yalıtılmaktadır. Kiracı yalıtımı, her sürüm öncesinde otomatik olarak test edilmektedir: sürüm geçiş kontrolündeki çapraz kiracı taraması, API'yi bir kuruluş olarak başka bir kuruluşun kayıt ID'leriyle çağırır ve söz konusu kuruluşun verilerinden herhangi biri okunabilir ya da değiştirilebilirse sürüm engellenir.
Rol Tabanlı Erişim Kontrolü: Kimlik doğrulamalı rotalarda rol tabanlı izinler, sunucu tarafında zorunlu kiracı kapsamı ile uygulanır. SSO, SAML 2.0, Google ve Microsoft aracılığıyla desteklenmektedir.
Hız Sınırlama: Tüm rotalarda API hız sınırlaması; kimlik doğrulama uç noktalarında daha sıkı limitler. Tüm yanıtlarda Helmet tarzı güvenlik başlıkları.
Oturum Güvenliği: 1 saatlik geçerlilik süresiyle JWT erişim token'ları. Yenileme token'ları 7 gün sonra sona erer, her kullanımda yenilenir ve oturumu 30 günün ötesine uzatmaz. Oturum açma adresi her oturumla birlikte kaydedilir.
Denetim Kaydı: Her önemli işlem; kullanıcı, zaman damgası, IP adresi ve eski/yeni değerlerle birlikte kaydedilir. GMP ile ilgili olaylar ayrıca işaretlenir. Değiştirme kanıtı sağlayan ve yalnızca eklemeye izin veren yapı veritabanında zorunlu kılınmıştır; GMP ile ilgili kayıtlar hizmet sözleşmesi devam ettiği sürece en az 7 yıl, diğer denetim kayıtları ise 365 gün saklanır; sözleşme sonunda denetim izi müşteriye dışa aktarılır (yazılı olarak reddetmesi veya makul girişimlerin ardından kendisine ulaşılamaması hâli hariç) ve ardından silinir.
Sürekli İzleme: Şema kayması uyarısına sahip Azure Application Insights (Postgres "column / relation does not exist" → 15 dakika içinde tetiklenir). Uçtan uca /health/db-write probu, uygulamanın her dağıtımda yazıp okuyabildiğini doğrular.
Altyapı: Microsoft Azure üzerinde İsveç Orta + Norveç Doğu (AEA) bölgelerinde barındırılır. Azure Container Registry aracılığıyla hazırlama yuvası değiştirme düzeniyle konteyner tabanlı dağıtım yapılır. Gizli bilgiler Azure Key Vault'ta tutulur ve yönetilen kimlik aracılığıyla erişilir. Postgres üzerinde 7 günlük anlık kurtarma, ek olarak silme ve üzerine yazmayı engelleyen zaman tabanlı değişmezlik politikasıyla (politika henüz kilitlenmemiştir) 7 yıla kadar saklanan aylık şifreli yedeklemeler. Her gece tam bir veritabanı yedeği de alınmakta ve EEA içindeki ayrı şifreli depolama alanında (Sweden Central, coğrafi olarak Sweden South'a çoğaltılmış) 35 gün boyunca saklanmaktadır; canlı hizmetten silinen veriler, süresi dolana kadar bu yedeklerde kullanılamaz şekilde kalmaya devam eder.
Yazılım Tedarik Zinciri: Her pull request birleştirilmeden önce npm audit (bağımlılık güvenlik açıkları), Semgrep (statik analiz) ve gitleaks (gizli tarama) aşamalarından geçmek zorundadır; ayrıca Trivy konteyner imajı taraması tavsiye amaçlı bir kontrol olarak uygulanır. Bu kontroller, her master'a push işleminde ve her gece, üretim sitesinin tavsiye amaçlı OWASP ZAP temel taramasıyla (dinamik test) birlikte çalıştırılır.
6. Veri Saklama
Hesap Verileri: Abonelik süresi boyunca saklanır ve abonelik sona erdikten sonra 30 gün içinde silinir. Madde 17 kapsamında silme talebi geldiğinde, denetim referanslarının bütünlüğünü korumak amacıyla hesap takma adla tanımlanır.
Operasyonel Veriler: Abonelik süreniz boyunca saklanır. Silinmeden önce talep üzerine tarafınıza dışa aktarılır. Abonelik sona erdiğinde, müşteri Veri İşleme Sözleşmesi kapsamında saklanır veya iade edilir.
Sürücü fotoğrafları (ehliyet fotoğrafları, yüz görüntüleri): Ehliyet ve yüz fotoğrafları, saha için belirlenen sürenin sonunda otomatik olarak silinir: 2–14 gün, varsayılan 14 gün.
Genel sürücü kişisel verileri (ad, telefon, e-posta, ehliyet numarası): Kapatılmış bir rezervasyondaki ad, telefon, e-posta ve ehliyet bilgileri 365 gün sonra anonimleştirilir (rezervasyon kaydı saklanır); kapı sürücü günlüğü kimlik alanlarını 90 gün boyunca tutar. Her ikisi de müşteri saklama programını etkinleştirdikten sonra uygulanır.
Denetim Verileri: GMP ile ilgili denetim kayıtları, ilaç sektörü mevzuatı gerekliliklerini (GMP / 21 CFR Part 11) karşılamak amacıyla, hizmet sözleşmesi devam ettiği sürece olaydan itibaren en az 7 yıl saklanır; diğer denetim kayıtları ise 365 gün saklanır. Veri sahibi silme talebinde (Art. 17(3)(b) yasal yükümlülük istisnası) takma adlı hâle getirilir — silinmez. Sözleşmenin sona ermesi üzerine müşteriye, kendi kayıt saklama süresi için denetim izinin eksiksiz bir dışa aktarımı yapılır (müşterinin bunu yazılı olarak reddetmesi veya makul girişimlerin ardından kendisine ulaşılamaması hâli hariç); YARDtwin ardından denetim izini siler. YARDtwin, denetim izini yalnızca müşterinin yazılı talimatı üzerine daha uzun süre saklar; yedekler kendi programlarına göre sona erene kadar ve devir teslim kaydı hariç.
Bülten Verileri: Abonelikten çıkana kadar saklanır. Sonrasında adres, abonelikten çıkma işlemini onurlandırmak amacıyla yalnızca abonelikten çıkıldı olarak işaretlenerek tutulur; 30 gün sonra otomatik kaldırılması planlanmaktadır.
Oturum Verileri: Erişim belirteçleri 1 saat sonra sona erer. Yenileme belirteci 7 gün sonra sona erer (bir oturum açma en fazla 30 gün sürer) ve çıkış yapıldığında iptal edilir; süresi dolmuş belirteç kayıtlarının otomatik olarak kaldırılması planlanmaktadır.
7. Veri Paylaşımı ve Alt İşleyiciler
Kişisel verilerinizi satmıyoruz. Verileri aşağıdaki alt işleyicilerle paylaşıyoruz; her biri bir Veri İşleme Sözleşmesi kapsamında ve (geçerli olduğunda) Standart Sözleşme Maddeleri çerçevesinde hareket etmektedir:
| Sağlayıcı | Amaç | Konum | Transfer güvencesi |
|---|---|---|---|
| Microsoft Azure | Barındırma, veritabanı ve dosya depolama | AEA — İsveç Orta ve Norway East (yüklenen dosyaların Norway West'teki coğrafi yedek kopyası) | Microsoft Ürünleri ve Hizmetleri DPA; veriler AEA'da kalır |
| Anthropic | Sürücü ehliyetleri ve belgelerinin AI ile okunması (varsayılan olarak açık; bir site yöneticisi kapatabilir), sürücünün kapı fotoğrafının ehliyet veya kayıtlı sürücü fotoğrafıyla birebir karşılaştırılması (varsayılan olarak kapalı; bir site yöneticisi açıp kapatabilir) ve uygulama içi asistan | ABD | Standart Sözleşme Maddeleri ve bir aktarım etki değerlendirmesi (AB-ABD Veri Gizlilik Çerçevesi kapsamında sertifikalı değil); API verileri model eğitimi için kullanılmaz ve Anthropic'in standart ticari koşulları kapsamında 30 gün içinde silinir |
| Resend | İşlemsel e-posta | ABD | Standart Sözleşme Maddeleri (AB-ABD Veri Gizlilik Çerçevesi yeniden sertifikasyonu inceleme aşamasındadır) |
| Stripe | Faturalandırma iletişim ve ödeme verileri (YARDtwin kart numarası saklamaz) | AB / ABD | Standart Sözleşme Maddeleri; PCI DSS Seviye 1 |
| Twilio | SMS ve WhatsApp bildirimleri (yalnızca müşteri tarafından etkinleştirilmişse) | ABD | Standart Sözleşme Maddeleri |
| Google ve Microsoft | Oturum açma kimlik verileri (yalnızca müşteri bu oturum açma seçeneklerini kullanıyorsa) | AB / ABD | Standart Sözleşme Maddeleri / AB-ABD Veri Gizliliği Çerçevesi |
| ElevenLabs | İsteğe bağlı metinden sese dönüştürme: araç plakaları gibi operasyonel ayrıntılar içerebilen uygulama içi asistan yanıtlarını ve genel sayfalardaki sesi seslendirir | ABD | AB-ABD Veri Gizlilik Çerçevesi + Standart Sözleşme Maddeleri |
Yalnızca web sitesi hizmetleri (müşteri operasyonel verisi yok)
Bunlar yalnızca herkese açık web sitesinde çalışır. Hiçbir müşteri operasyonel verisi almaz ve bu verinin alt işleyicisi değildir; çerez kullananlar yalnızca onay ile yüklenir.
| Sağlayıcı | Amaç | Konum | Transfer güvencesi |
|---|---|---|---|
| LinkedIn Insight Tag | Herkese açık sayfalarda pazarlama ölçümü — yalnızca pazarlama çerezi onayından sonra yüklenir, uygulama içinde veya oturum açmış kullanıcılar için hiçbir zaman çalışmaz | AB / ABD | Onay; Standart Sözleşme Maddeleri ile LinkedIn DPA |
Uygulama içi asistan: Asistan komutları, kullanıcının yazdıklarını ve sahaya ait operasyonel bağlamı (örneğin araç plakaları) içerir; model eğitimi için kullanılmaz.
Müşteri Referans Kullanımı: Sizi müşteri olarak adlandırmak veya logonuzu kullanmak için yalnızca önceden yazılı onayınızla hareket ederiz — bkz. Hizmet Koşulları §6a.
Kuruluşunuz: Kiracı yöneticileri, normal platform işlevselliğinin bir parçası olarak kendi kuruluşlarındaki kullanıcı etkinliğini görebilir.
Yasal Gereklilikler: Yasal zorunluluk, mahkeme kararı veya yasal haklarımızı korumak amacıyla verileri ifşa edebiliriz.
8. Haklarınız
GDPR (ve İrlanda Veri Koruma Kanunu 2018) kapsamında aşağıdaki haklara sahipsiniz:
Herhangi bir hakkı kullanmak için Veri Sahibi Talebi portalı aracılığıyla talepte bulunun veya e-posta gönderin: admin@yardtwin.com. 30 gün içinde yanıt vereceğiz.
Dahili olarak talepler, yönetim ekibimiz tarafından iki uç nokta aracılığıyla karşılanır: POST /api/v1/dsar/export/by-email bir e-posta adresi için tuttuğumuz her kaydın makine tarafından okunabilir JSON belgesini üretir (Art. 15 / 20); POST /api/v1/dsar/erase/by-email doğrulanmış talep üzerine silme işlemini yürütür: kişinin seçilen müşteri hesaplarındaki kendi kullanıcı hesaplarını anonimleştirir ve oturumlarını, belirteçlerini, bildirimlerini, bekleyen davetlerini, bülten ve kayıt kayıtlarını ve kendi avatarını siler. Müşterinin tuttuğu operasyonel kayıtlar (rezervasyonlar, kapı ve ziyaret kayıtları, sürücü listesi, kişiler) veri sorumlusu olarak müşterinin kayıtlarıdır ve müşterinin gereğini yapabilmesi için listelenir; denetim izi, GMP bütünlüğü için işlemi yapana ilişkin anonimleştirilmiş bir referansı korur (Md. 17).
9. Çerezler
YARDtwin, oturum kimlik doğrulaması (JWT token'ları) için zorunlu çerezler ve localStorage kullanır. Çerez onay başlığı dört kategori sunar: zorunlu (her zaman açık), işlevsel (tercihler), analitik (şu an kullanılmıyor) ve pazarlama (yalnızca genel web sitesi sayfalarında LinkedIn Insight Tag — katılım gerektirir, uygulama içinde asla kullanılmaz). Ziyaretçiler Zorunlu olmayanları reddet / Özelleştir / Tümünü kabul et seçeneklerinden birini seçebilir. Tercihler sürüm damgasıyla yerel olarak saklanır; kategoriler değişirse başlık yeniden gösterilir. Ayrıntılı çerez envanteri şu adreste yer almaktadır: Çerez Politikası sayfasında yer almaktadır.
10. Uluslararası Transferler
Operasyonel verileriniz, Avrupa Ekonomik Alanı (AEA) dahilinde Microsoft Azure (Sweden Central ve Norway East) üzerinde depolanmaktadır. AEA dışında veri alan alt işleyiciler ve her birinin aldığı veriler bölüm 7'de listelenmiştir.
AEA dışına yapılan her aktarım için Standart Sözleşme Maddeleri (2021) geçerlidir; alıcının AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalı olması durumunda bu çerçeveye de dayanılmaktadır. Aktarım etki değerlendirmeleri tamamlanmaktadır (hedef: Kasım 2026).
11. Çocukların Gizliliği
YARDtwin, işletmeden işletmeye (B2B) yönelik bir platformdur. 16 yaşın altındaki kişilerden bilerek veri toplamıyoruz.
12. Bu Politikadaki Değişiklikler
Bu Gizlilik Politikasını zaman zaman güncelleyebiliriz. Önemli değişiklikler, hesap yöneticilerine e-posta yoluyla ve platform içinde bir bildirimle iletilecektir. Değişikliklerin ardından YARDtwin'i kullanmaya devam etmek, bu değişikliklerin kabul edildiği anlamına gelir.
13. İletişim ve Denetim Otoritesi
Veri Sorumlusu: YARDtwin Ltd · E-posta: admin@yardtwin.com
Veri koruma iletişim noktası: dpo@yardtwin.com
Denetim Otoritesi: Veri Koruma Komisyonu (DPC), İrlanda · www.dataprotection.ie