GDPR Politikası

1. GDPR’a Genel Bakış ve Taahhüdümüz

Genel Veri Koruma Tüzüğü (GDPR), Avrupa Ekonomik Alanı (AEA) içindeki kişilerin kişisel verilerinin nasıl toplandığını, işlendiğini ve saklandığını düzenleyen kapsamlı bir veri koruma mevzuatıdır.

PrintedIn, GDPR’a uyum konusunda tam anlamıyla kararlıdır. Kişisel verileri hukuka uygun, adil ve şeffaf biçimde işleriz. Verileri yalnızca belirli, açık ve meşru amaçlarla toplar; bunların amaca uygun, ilgili ve gerekli olanla sınırlı olmasını sağlarız.

2. Veri Sorumlusu Bilgileri

GDPR kapsamında PrintedIn, kullanıcılarının kişisel verileri bakımından veri sorumlusu sıfatıyla hareket eder. Bu, işlemenin amaçlarını ve araçlarını bizim belirlediğimiz anlamına gelir.

3. İşlemenin Hukuki Sebepleri

GDPR’ın 6. maddesi uyarınca kişisel verileri aşağıdaki hukuki sebeplere dayanarak işleriz:

Hukuki sebep olarak açık rızaya dayandığımız hâllerde rızanızı istediğiniz zaman geri alabilirsiniz. Geri alma, o ana kadar yapılmış işlemenin hukuka uygunluğunu etkilemez.

4. Kişisel Veri Kategorileri

Aşağıdaki kişisel veri kategorilerini işliyoruz:

5. Veri Sahibi Hakları

GDPR kapsamında kişisel verilerinizle ilgili aşağıdaki haklara sahipsiniz. Geçerli tüm taleplere 30 gün içinde yanıt veririz (karmaşık taleplerde 60 gün uzatılabilir):

5.1 Erişim hakkı (m. 15)

Kişisel verilerinizin işlenip işlenmediğini öğrenme ve verilerinizin bir kopyasını yaygın kullanılan elektronik bir biçimde talep etme hakkına sahipsiniz.

5.2 Düzeltme hakkı (m. 16)

Yanlış kişisel verilerin düzeltilmesini veya eksik verilerin tamamlanmasını talep etme hakkınız vardır. Bilgilerin çoğunu doğrudan profil ayarlarınızdan güncelleyebilirsiniz.

5.3 Silme hakkı (m. 17)

Geçerli yasal yükümlülükler saklı kalmak kaydıyla (ör. saklanması zorunlu vergi kayıtları) kişisel verilerinizin silinmesini talep etme hakkınız vardır („unutulma hakkı“).

5.4 Kısıtlama hakkı (m. 18)

Verilerinizin doğruluğunu incelerken, meşru menfaatlerimizi değerlendirirken ya da işleme hukuka aykırı olduğu hâlde silmeye itiraz ettiğinizde işlemenin kısıtlanmasını talep edebilirsiniz.

5.5 Veri taşınabilirliği hakkı (m. 20)

Kişisel verilerinizi yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir bir biçimde (JSON veya CSV) alma ve başka bir veri sorumlusuna aktarma hakkına sahipsiniz.

5.6 İtiraz hakkı (m. 21)

Meşru menfaate dayanan işlemeye veya doğrudan pazarlama amaçlı işlemeye itiraz etme hakkınız vardır. Menfaatlerinizin üzerine çıkan zorlayıcı meşru sebepler ortaya koyamadığımız sürece işlemeyi durdururuz.

5.7 Otomatik karar vermeye ilişkin haklar (m. 22)

Hakkınızda hukuki sonuç doğuran veya sizi benzer şekilde önemli ölçüde etkileyen otomatik karar verme ya da profilleme kullanmıyoruz.

6. İşleme Faaliyetleri

GDPR’ın 30. maddesi gereğince bir İşleme Faaliyetleri Kaydı (ROPA) tutuyoruz. Başlıca işleme faaliyetlerimiz şunlardır:

• Kullanıcı kaydı: Hesap oluşturmak için ad, e-posta ve parolanın işlenmesi.
• Ürün tasarımı: Tasarım önizlemeleri oluşturmak için yüklenen görsel ve metinlerin işlenmesi.
• Siparişin yerine getirilmesi: Baskı ve kargo için adres ve ödeme verilerinin işlenmesi.
• Müşteri desteği: Talepleri çözmek için yazışmaların ve hesap verilerinin işlenmesi.
• Pazarlama: Bülten gönderimi için e-posta adreslerinin işlenmesi (rızaya dayalı).
• Analitik: Hizmetlerimizi iyileştirmek için kullanım verilerinin işlenmesi (meşru menfaat).

6.1 Alt işleyenler

Aşağıdaki alt işleyen kategorileriyle çalışıyoruz; tümüyle uygun Veri İşleme Sözleşmeleri (DPA) yapılmıştır:

7. Uluslararası Veri Aktarımları

Kişisel verileri esas olarak Avrupa Ekonomik Alanı (AEA) içinde saklıyor ve işliyoruz. AEA dışına aktarım gerektiğinde, yeterli korumayı şu yollarla sağlıyoruz:

• Yeterlilik kararları: AB yeterlilik kararı bulunan ülkelere aktarımlar.
• Standart Sözleşme Hükümleri (SCC): Eşdeğer veri korumasını güvence altına alan, AB tarafından onaylanmış sözleşme hükümleri.
• Tamamlayıcı önlemler: Gerektiğinde ek teknik ve idari tedbirler (şifreleme, takma adlaştırma).

8. Veri Koruma Önlemleri

GDPR’ın 32. maddesi uyarınca, riske uygun bir güvenlik düzeyi sağlamak için uygun teknik ve idari tedbirleri uygularız:

8.1 Teknik tedbirler

• aktarım hâlindeki tüm veriler için uçtan uca TLS 1.3 şifrelemesi
• saklanan kişisel veriler için AES-256 şifrelemesi
• uyarlanabilir maliyet katsayılı bcrypt parola özetleme
• düzenli otomatik güvenlik taramaları ve testleri
• ağ bölümlemesi ve güvenlik duvarı koruması
• veritabanı erişimlerinin kaydı ve izlenmesi

8.2 İdari tedbirler

• personel için veri koruma eğitimi ve farkındalık programları
• en az yetki ilkesine dayalı erişim denetimi
• tüm çalışan ve yüklenicilerle gizlilik sözleşmeleri
• yüksek riskli işlemeler için Veri Koruma Etki Değerlendirmeleri (DPIA)
• işleme faaliyetlerinin düzenli gözden geçirilmesi ve denetimi
• olaya müdahale prosedürleri ve yükseltme protokolleri

9. Veri İhlali Bildirimi

GDPR’ın 33. ve 34. maddeleri uyarınca veri ihlallerine müdahale prosedürleri oluşturduk:

• Denetim otoriteleri: Kişilerin hak ve özgürlükleri bakımından risk doğurması muhtemel bir kişisel veri ihlalini öğrendiğimizden itibaren 72 saat içinde yetkili denetim otoritesine bildiririz. Birleşik Krallık’taki veri sahipleri için bu, Information Commissioner’s Office’tir (ICO). Avrupa Ekonomik Alanı’ndaki veri sahipleri için ilgili Üye Devletin yetkili otoritesidir — AB’de yerleşik olmadığımızdan bildirim tek bir lider otorite üzerinden yapılmaz.
• Etkilenen kişiler: İhlalin hak ve özgürlükler bakımından yüksek risk doğurması muhtemelse, etkilenen veri sahiplerini gecikmeksizin bilgilendiririz.
• Belgelendirme: Tüm veri ihlalleri, ağırlığından bağımsız olarak; olgular, etkiler ve alınan düzeltici önlemlerle birlikte ihlal kaydımıza işlenir.

10. Veri Koruma Görevlisi

Kuruluş genelinde GDPR uyumunu gözeten bir Veri Koruma Görevlisi (DPO) atadık. Veri korumayla ilgili her türlü soru ve endişeniz için DPO’muza ulaşabilirsiniz:

11. Denetim Otoritesi ve Şikâyetler

Kişisel verilerinizi işlememizin veri koruma hukukunu ihlal ettiğini düşünüyorsanız, bir denetim otoritesine şikâyette bulunma hakkınız vardır (madde 77). Hangi otoritenin yetkili olduğu, bizim değil sizin nerede olduğunuza bağlıdır:

11.1 Avrupa Ekonomik Alanı’ndaysanız

Yaşadığınız, çalıştığınız ya da iddia edilen ihlalin gerçekleştiği Üye Devletin denetim otoritesine şikâyette bulunabilirsiniz. Birleşik Krallık’ta yerleşik olduğumuz ve Birlik’te yerleşik olmadığımız için hakkımızda lider otorite işlevi gören tek bir otorite yoktur — kendi ulusal otoriteniz yetkilidir. Avrupa Veri Koruma Kurulu, her ulusal otoritenin güncel iletişim bilgilerini yayımlar:

11.2 Birleşik Krallık’taysanız

Information Commissioner’s Office, Birleşik Krallık’ın denetim otoritesidir. Aşağıdaki bilgiler ICO’nun kendi bilgileridir — bizim iletişim bilgilerimiz değildir; bize ulaşmak için yukarıdaki Veri Koruma Görevlisi bölümüne bakın.

Bu hakkı kullanmak size hiçbir şeye mal olmaz ve önce bize başvurmuş olmanızı gerektirmez — yine de sorunu, siz bu yola başvurmak zorunda kalmadan çözmeyi tercih ederiz. privacy@printedin.com adresine yazarsanız 30 gün içinde yanıt veririz.