Gizlilik politikası

01

Biz kimiz

Burada açıklanan verilerin veri sorumlusu, Romanya ülkesinde kayıtlı bir şirket olan TDACRM SOLUTIONS SRL şirketidir. Kayıtlı adresi ve sicil numarası, bize ulaşan adresle birlikte bu sayfanın altında yer alır.

Veriyle ilgili her konu için tek bir iletişim yolu vardır: aynı adres. Neyi sakladığımızı sormak, bir şeyi düzelttirmek ya da sildirmek için oraya yazın. İngilizce, Fransızca veya İtalyanca olarak, talepten itibaren bir ay içinde yanıtlıyoruz; talep basitse daha erken.

02

Veri sorumlusu mu, veri işleyen mi — hangisiyiz ve ne zaman

Bu politikada iki rol iç içe geçer ve bu tür belgeler genellikle bu ikisi karıştırıldığı için yanlışa düşer. Uygulamadan geçen yazışma bakımından — çalışanlarınızın yazdığı iletiler, gelen yanıtlar, ekler — veri sorumlusu müşteridir, biz veri işleyeniz. Bu içeriği, müşterinin portalı uygulamadan göndermesini ve toplamasını istediği için tutuyoruz ve müşterinin talimatlarıyla hareket ediyoruz.

Kendi işletmemize ait olan kısımda — hesap, abonelik, destek talepleri, denetim kaydı, hizmetin güvenliği — veri sorumlusu biziz. Aşağıdaki hukuki sebeplerin müşterinin değil bizim olduğu kısım da budur.

Bu politika, lisans sözleşmesiyle birlikte okunduğunda; işlemenin konusunu ve süresini, niteliğini ve amacını, veri türlerini ve ilgili kişi kategorilerini ve yükümlülüklerimizi ortaya koyar. Bunlar, GDPR (AB Genel Veri Koruma Tüzüğü) madde 28 uyarınca veri sorumlusu ile veri işleyenin yazılı olarak kararlaştırması gereken hususlardır. Kuruluşunuzun bu şartları kendi metni üzerinde istemesi hâlinde bize yazın, bir veri işleme sözleşmesi imzalayalım.

03

Uygulama posta kutunuzdan neyi alır

Uygulama portal başına tek bir posta kutusuna bağlanır: göndermek için SMTP, okumak için IMAP. Teknik olarak o kutudaki her şeyi görebilirdi. Görmüyor; bunu söyleyebilmemizi sağlayan da uygulamanın kuruluş biçimi. Her tarama turunda sunucunuzdan yalnızca ileti başlıkları istenir: kimin yazdığı, konunun ne olduğu, hangi iletiye yanıt verildiği.

Bir gövde, ancak bu başlıklar iletinin bir anlaşmadan veya potansiyel müşteri kaydından başlatılmış bir yazışmaya ait olduğunu kanıtladığında indirilir. Böyle bir yazışma için sakladıklarımız şunlardır:

• Uygulamadan gönderilen iletiler: alıcılar, konu, gövde ve ekler — meslektaşınızın yazdığı ileti.
• Bir yazışmayla eşleşen yanıtlar: gönderen, konu, gövde ve ekler — istediğiniz cevap.
• Yönlendirme başlıkları: Message-ID, In-Reply-To ve References. Bunlar olmadan bir yanıt doğru kayda bağlanamaz.
• Posta kutusundaki diğer her ileti için: iletinin teknik kimliği, posta kutusundaki sıra numarası ve onu geçerken gördüğümüz an. Gönderen yok, konu yok, gövde yok, kopya yok. Bu kayıtlar otuz gün sonra kendiliğinden silinir.

Bir yöneticinin başıboş bir yanıtı elle iliştirebildiği ekran, bu başlıkları sayfa açıldığı anda sunucunuzdan canlı olarak ister. Yönetici iletiyi iliştirirse, ileti bize ancak o anda ulaşır. İliştirmezse, o ileti hiçbir zaman elimizde olmaz.

04

Hiçbir zaman toplamadıklarımız

Aşağıdakilerin her biri, uygulamanın hâlihazırda bulunduğu yerden kolayca toplanabilirdi; bilerek toplanmıyor.

• Posta kutunuzun geri kalanı — faturalar, şirket içi yazışmalar, özel yazışmalar. Sunucunuzda kalır.
• Bitrix24 kişileriniz, takviminiz ve portalınızda kimsenin bir iletiye iliştirmediği dosyalar.
• Davranışsal analitik, siteler arası takip ve profilleme. Uygulamanın gönderdiği postada takip pikseli yok, açılma takibi yok, tıklama takibi yok.
• Özel nitelikli kişisel veriler. Uygulamada bunları isteyen hiçbir yer yok. Birinin yazdığı iletinin içinde yer alırlarsa, o iletinin geri kalanı gibi saklanır ve onun gibi silinirler.

05

Sizin kurduklarınız ve bizim kaydettiklerimiz

Elimizde tuttuğumuz geri kalan şey, girdiğiniz yapılandırma ve onunla ne yapıldığının kaydıdır.

• Posta kutusu bağlantısı: SMTP ve IMAP sunucu adı ile portu, kullanıcı adı ve parola, iletilerin gönderildiği adres.
• Tedarikçi listeniz: ad, şirket, adres, telefon ve notlar. Siz girersiniz; biz başka hiçbir kaynaktan zenginleştirmeyiz.
• Şablonlar, imzalar ve kalıcı gizli kopya kuralları.
• Her kullanıcının seçtiği arayüz dili.
• Bir denetim kaydı: hangi Bitrix24 kullanıcısı, hangi IP adresinden, ne zaman, ne yaptı. Bir yöneticinin er ya da geç sorduğu soruyu, yani o tedarikçiye kimin yazdığını yanıtlar.
• Bitrix24 yetkilendirme belirteçleri; uygulama bunlarla bir kaydın Timeline bölümüne yazabilir ve portalınıza dosya yükleyebilir.

06

Destek talepleri ve faturalandırma

Uygulamanın içindeki destek formu, talebinizi veritabanımızda şifreli olarak saklar ve orada kalır: hiçbir destek talebi sunucularımızdan çıkmaz. Birinin fark etmesi için uygulama, kendi destek posta kutumuza kısa bir bildirim gönderir; o bildirim iki numara taşır: talebin kendi numarası ve portalınızın dâhilî numarası. Ad yok, adres yok, konu yok, ileti yok. 7 Ağustos 2026 tarihine kadar bu bildirim, bunun yerine dışarıdaki bir sohbet servisine gidiyor ve talebin tamamını, metniyle birlikte taşıyordu. Artık hiçbir dış sohbet servisine gitmiyor ve talebin metnini de taşımıyor.

Ödeme Stripe tarafından tahsil edilir. Kart bilgileri hiçbir zaman sunucularımıza ulaşmaz: ödeme sayfası ve faturalandırma portalı Stripe'a aittir, fatura bilgilerinizi orada girersiniz. Tüm bunlara dair elimizde tuttuklarımız şunlardır:

• Destek talebinin kendisi: adınız, yanıt adresiniz, konu ve ileti. Dördü de beklemede şifrelenir ve hiçbiri sunucularımızın dışına gönderilmez.
• İsteğe bağlı tanılama bilgileri, yalnızca kutuyu işaretlerseniz: portal alan adınız, uygulama sürümü, posta kutusu sunucunuz ve portu, portalınızdan gönderilen son yirmi iletinin sonucu ve tarihi. Konu yok, gövde yok, alıcı adresi yok, posta kutusu kullanıcı adı veya parolası yok.
• Stripe müşteri ve abonelik kimlikleri, abonelik durumu ve ücretli döneminizin bitiş tarihi. Ödemeyle ilgili başka hiçbir şey.
• Bir portalın posta kutusu bağlantısı üst üste üç kez başarısız olduğunda yine aynı posta kutumuza giden bir operasyonel uyarı. Portalın dâhilî numarasını ve bağlantının başarısız olma nedenini taşır; o nedendeki her sunucu adı, posta adresi veya IP adresi gönderilmeden önce maskelenir. Yazışma yok; bir kişiyi veya posta kutusunu adlandıran hiçbir şey yok.

07

Beklemede ne şifreleniyor, ne şifrelenmiyor

Veritabanındaki her şey şifreli değil; aksini iddia eden bir politika yazmak daha kolay olurdu ama doğru olmazdı. Şu alanlar beklemede AES-256-GCM ile şifrelenir:

• İleti gövdeleri — düz metin, HTML ve alıntılanan kısımlar.
• İleti konuları, giderken ve dönerken.
• İletilerin içindeki gönderen ve alıcı adresleri.
• SMTP ve IMAP bağlantınızın kullanıcı adı ve parolası.
• Bir destek talebinin adı, yanıt adresi, konusu ve gövdesi.

Yazıldığı gibi saklanan, yani şifrelenmeyenler: kendi tedarikçi listenizdeki adlar ve şirketler, şablonlarınızın ve imzalarınızın metni, bir yazışmanın etiketi, SMTP ve IMAP sunucu adı ile portu ve tanımlı gönderen adresi, bir de denetim kaydı — işlem, kullanıcı, IP adresi. Alan şifreleme anahtarları ile arama anahtarları ayrı ayrı türetilir ve aramada kullanılan adresler anahtarlı bir özet değerle dizinlenir; böylece hiçbir şeyin şifresi çözülmeden bir yazışma bulunabilir.

Üstünü örtmek yerine açıkça belirttiğimiz, bilinen bir sapma var: tedarikçi listenizde bulunmayan bir adresten yanıt geldiğinde, o yazışmanın etiketi adresi açık metin olarak tutar; oysa aynı adres başka her yerde şifrelidir. Bu bir karar değil, düzeltmeye niyetli olduğumuz bir tutarsızlıktır.

08

Neden işliyoruz ve hangi hukuki sebeple

GDPR uyarınca her amacın kendine ait bir hukuki sebebi olmalıdır; amaçları sıralayıp sebeplerini adlandırmayan bir politika ancak yarım yazılmıştır. Bizimkiler şunlar.

• Uygulamayı bir müşteri için çalıştırmak: gönderme, yanıtları toplama, yazışmayı saklama Müşteriyle sözleşmemizin ifası, GDPR madde 6(1)(b). Çalışanlarınızın yazdığı kişilerin kişisel verileri bakımından veri sorumlusu müşteridir ve hukuki sebebi o seçer — uygulamada bu, müşterinin işletmesinin meşru menfaatidir, GDPR madde 6(1)(f).
• Abonelik, faturalama ve bunlara eşlik eden kayıtlar Sözleşmenin ifası, GDPR madde 6(1)(b) ile muhasebe ve vergi mevzuatından doğan yükümlülüklerimiz, GDPR madde 6(1)(c).
• Denetim kaydı, kötüye kullanımın önlenmesi, hizmetin güvenli tutulması Yaptığının hesabını verebilen bir hizmet işletmekteki meşru menfaatlerimiz, GDPR madde 6(1)(f).
• Destek talepleri Sözleşmenin ifası, GDPR madde 6(1)(b) — yardım isteyen sizsiniz.

Hiçbiri için açık rızaya dayanmıyoruz; dolayısıyla geri alacağınız bir rıza da yok. Otomatik karar verme yok ve kimse için hukuki sonuç doğuran bir profilleme yok.

09

Başka kimler işliyor

Liste bundan ibaret. Verilerinizi başka kimse almıyor ve önce bu sayfa değişmeden listeye kimse eklenmiyor.

• Hetzner Online GmbH Nürnberg, Almanya — Avrupa Birliği Barındırma. Uygulama, veritabanı ve saklanan ekler, Hetzner'den kiralanan sunucularda çalışır. Verileriniz fiziksel olarak buradadır.
• Stripe İrlanda ve Amerika Birleşik Devletleri Ödemeler. Ödeme sayfası, faturalandırma portalı, faturalar ve aboneliğin kendisi. Fatura bilgilerinizi doğrudan Stripe'a verirsiniz; Stripe'a gönderdiğimiz tek şey seçtiğiniz plan, portalınızın kimliği ve arayüz dilinizdir.
• Cloudflare Amerika Birleşik Devletleri, dünya genelinde sunucularla Alan adlarımızın önündeki ağ. Şifreli bağlantıyı sonlandırır ve trafiği filtreler; bu nedenle bu siteye ve uygulamaya gelen her istek için bağlantı verilerini görür — IP adresi, tarayıcı, istenen adres.
• Zoho Avrupa veri merkezi Kendi posta kutumuz. Bu sayfanın altındaki adrese gönderdiğiniz e-postalar ve bizim yanıtlarımız, Zoho'nun posta hizmetiyle işlenir. Uygulamanın bize gönderdiği iki dâhilî bildirim de öyle — yeni bir destek talebi ve üst üste üç kez başarısız olan bir posta kutusu bağlantısı. Bu bildirimler dâhilî numaralar ve arıza için maskelenmiş bir neden taşır; bir kişiyi adlandıran hiçbir şey taşımaz.
• Bitrix24 Kendi portalınız Verilerinizi teslim ettiğimiz bir üçüncü taraf değil, kendi sisteminiz. Kurulumda verdiğiniz belirteçlerle uygulama, iletileri bir kaydın Timeline bölümüne yazar, ekleri portalınızın Drive'ına yükler ve sohbet bildirimleri gönderir. Oraya yazdığı şey, kendi portalınızda, Bitrix24 ile kendi sözleşmeniz kapsamında duran kendi yazışmanızdır.

O listede reklam ağı yok, analitik sağlayıcı yok, veri simsarı yok, yapay zekâ satıcısı yok; çünkü üründe de yok. Yazışmalarınızla model eğitmiyoruz ve eğitecek kimseye vermiyoruz.

10

Verilerin Avrupa Birliği dışına çıkması

Verileriniz Avrupa Birliği içinde, Almanya'da durur; dolayısıyla barındırma hiçbir üçüncü ülkeye aktarım içermez. Yukarıdaki veri işleyenlerden ikisi ayrı bir konudur ve hangileri olduğunu söylemek, uygun güvenceler hakkındaki alışılmış cümleden daha yararlıdır.

Stripe ve Cloudflare, verileri Avrupa Ekonomik Alanı dışında işler. İkisi de kendi veri işleme şartlarının parçası olan Avrupa Komisyonu standart sözleşme maddelerine dayanır ve gördükleri şey dardır: Stripe'ta yazdığınız fatura bilgileri, Cloudflare'de bağlantı verileri.

Başka hiçbir şey dışarı çıkmaz. Kendi posta kutumuz Zoho'nun Avrupa veri merkezindedir; bu yüzden okuduğumuz destek talepleri ve uygulamanın bize gönderdiği dâhilî bildirimler de Avrupa Ekonomik Alanı içinde kalır. 7 Ağustos 2026 tarihine kadar bu bildirimler bu alanın dışındaki bir sohbet servisine gidiyordu; artık gitmiyor ve adlandırılacak üçüncü bir varış noktası kalmadı. Yine de uygulamadaki formu kullanmak istemezseniz, bu sayfanın altındaki e-posta adresi aynı kişilere ulaşır.

11

Ne kadar saklıyoruz

Farklı şeyler farklı sürelerle yaşar; dürüst özet şu ki çoğu, siz uygulamayı kaldırana kadar durur.

• Yazışmalar, iletiler ve ekler: uygulamayı kaldırana kadar ya da bir saklama süresi açtıysanız o sürenin sonuna kadar.
• Hiçbir yazışmaya ait olmayan iletilerin kütüğü: otuz gün, otomatik olarak.
• Destek talepleri ve denetim kaydı: bugün otomatik bir süre sonu yok. Uygulamayı kaldırdığınızda diğer her şeyle birlikte silinirler.
• Stripe'ta tutulan faturalandırma kayıtları: bizden bağımsız olarak, Stripe kendi kuralları ve kendisine uygulanan muhasebe mevzuatı uyarınca saklar.

Siz istemedikçe burada hiçbir şey süre dolduğu için silinmez: ileti içeriğini, uygulamayı kaldırana kadar saklarız. Saklama süresi, bunu değiştiren isteğe bağlı ayardır — bir süre seçersiniz, önerilen doksan gündür ve o sürenin sonunda ileti içeriğinin bizdeki kopyası silinir. Bu ayar içeriğin ne kadar saklanacağını kısaltır; ileride gelecek bir yanıtın kendi yazışmasını bulması için gereken az miktardaki üstveriye hiç dokunmaz.

12

Silme

Uygulamayı kaldırmak, portalınıza ait her şeyi siler: yazışmalar, iletiler, diskteki ek dosyaları, tedarikçiler, şablonlar, imzalar, gizli kopya kuralları, posta kutusu kimlik bilgileri ve yetkilendirme belirteçleri. Bu, veritabanında zincirleme olarak gerçekleşir; kimsenin hatırlaması gerekmez ve geride artık bir kopya kalmaz.

Bunu iki şey atlatır ve ikisi de sizindir. Uygulamanın Bitrix24 Timeline bölümüne ve portalınızın Drive'ına yazdığı her şey Bitrix24'ünüzde kalır — kaldırmak için portalınıza uzanmayız. Ayrıca uygulamayı kaldırmak Stripe aboneliğinizi iptal etmez: aboneliği faturalandırma portalından iptal edin, yoksa yenilenir.

İsteğe bağlı saklama süresi, seçtiğiniz sürenin ardından ileti gövdelerini ve ek dosyalarını veritabanımızdan siler. İçeriği yalnızca, tam olarak o içeriğin Bitrix24'ünüze ulaştığını kanıtlayabildiğimiz yerde siler: o iletinin gövdesini taşıyan tek bir HTML dosyası, portalınızın Bitrix24 Drive'ına yüklenmiş ve Bitrix24 tarafından bir dosya kimliği ve boyutuyla geri doğrulanmış olarak. Bu kanıtın bulunmadığı bir ileti, ne kadar eski olursa olsun asla silinmez; çünkü o ileti için elimizdeki kopya geriye kalan tek kopya olabilir.

13

Haklarınız

Kişisel verilerinizi işlediğimiz ölçüde GDPR size şu hakları verir ve bunları kullanmak hiçbir ücrete tabi değildir:

• Hakkınızda neyi sakladığımızı öğrenme ve bunun bir kopyasını alma.
• Yanlış olanı düzelttirme.
• Saklama yükümlülüğümüzün bulunmadığı hâllerde sildirme.
• Bir uyuşmazlık çözülene kadar işlemenin kısıtlanmasını isteme.
• Bize verdiklerinizi taşınabilir bir biçimde alma ve teknik olarak mümkün olan yerde başka bir yere gönderilmesini isteme.
• Meşru menfaatlerimize dayandırdığımız işlemeye itiraz etme.

Veri sorumlusu değil veri işleyen olduğumuz yerde — yani bir müşterinin portalındaki yazışmaya dair her konuda — talep, o yazışmanın veri sorumlusu olan müşteriye gider. Talep önce bize ulaşırsa, kendimiz yanıtlamak yerine müşteriye iletir ve yanıtlamasına yardım ederiz: başkasının kayıtlarından neyin verileceğine karar vermek bize düşmez.

Verilerinizi kötü yönettiğimizi düşünüyorsanız önce bize söyleyin; düzeltmeyi tercih ederiz. Ayrıca Romanya denetim makamına — Kişisel Verilerin İşlenmesini Denetleyen Ulusal Makam, ANSPDCP, dataprotection.ro — ya da yaşadığınız veya çalıştığınız ülkedeki veri koruma otoritesine şikâyette bulunma hakkınız da vardır.

14

Nasıl korunuyor

Uygulamadaki her sorgu tek bir portalla sınırlıdır; bu yüzden bir müşterinin verilerine başka bir müşterinin oturumu üzerinden erişilemez. Tarayıcınız, Bitrix24 portalınız ve sunucularımız arasındaki trafik aktarım sırasında şifrelenir. Üretim sistemlerine erişim, hizmeti işleten kişilerle sınırlıdır. Yukarıda sayılan alanlar beklemede şifrelenir; sayılmayanlar şifrelenmez.

Hiçbir sertifikamız, dış denetimimiz veya uygunluk standardımız olduğunu iddia etmiyoruz; çünkü yok. Bir ihlal verilerinizi etkilerse, gecikmeksizin bildiririz — veri işleyeni olarak müşteriye ve kanunun gerektirdiği yerde denetim makamına.

15

Yapmadıklarımız

Bunların bazıları apaçık. Yine de yazıyoruz, çünkü başka yerlerde sessizce doğru olmaktan çıkan şeyler tam da bunlar.

• Verilerinizi satmıyoruz, kiralamıyoruz ve yukarıda adı geçen veri işleyenlerin dışında kimseyle paylaşmıyoruz.
• Yazışmalarınızla makine öğrenimi modelleri eğitmiyoruz ve eğitecek kimseye vermiyoruz.
• Reklam yayınlamıyoruz, profilleme yapmıyoruz, siteler arası takip yapmıyoruz.
• Bu web sitesi çerez yerleştirmiyor ve analitik taşımıyor. Burada yaptığınız hiçbir şey ölçülmüyor.
• Uygulama ma_session adında tek bir çerez yerleştirir: zorunlu ve kısa ömürlü; Bitrix24 çerçevesi içinde hangi portalın ve hangi kullanıcının baktığını bilmesi için. Başka çerez ve izleyici yok.

16

Bu politikadaki değişiklikler

Bu sayfanın üstündeki tarih, metin değiştiğinde ve yalnızca o zaman değişir. Kaynak kodda metnin yanında tutulan bir sabittir; böylece sayfa, olmamış bir güncellemeyi iddia edemez.

Bir değişiklik, verilerinizi ele alışımızı esaslı biçimde etkiliyorsa — yeni bir veri işleyen, yeni bir amaç, daha uzun bir saklama süresi — yürürlüğe girmeden önce bunu bu sayfada belirtir ve neyin değiştiğini söyleriz.