Gizlilik Politikası ve Kişisel Verilerin Korunması Aydınlatma Metni

Yürürlük tarihi: [YÜRÜRLÜK TARİHİ] · Sürüm: [SÜRÜM]

Bu metin, Carbonity'nin tanıtım sitesini ziyaret ettiğinizde, demo talebinde bulunduğunuzda, Carbonity uygulamasını bir müşteri hesabının kullanıcısı olarak kullandığınızda ya da tedarikçi portalı üzerinden veri girdiğinizde kişisel verilerinizin nasıl işlendiğini açıklar. 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") md. 10 ile, uygulandığı ölçüde, (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü ("GDPR") md. 13 ve 14 kapsamındaki bilgilendirmeyi birlikte içerir.

1. Biz kimiz ve bize nasıl ulaşırsınız#

Bir veri koruma görevlisi atanmamıştır. Kişisel verilerinizle ilgili her konuda info@carbonity.ai adresine yazabilirsiniz.

2. Bu metin kimleri kapsar ve Carbonity'nin rolü nedir#

Carbonity, CBAM kapsamındaki girdilerle ürün üreten şirketlerin ürün bazında gömülü emisyon hesabı yapmasını sağlayan kurumsal (B2B) bir yazılım hizmetidir. Kişisel veri işlemedeki rolümüz, kim olduğunuza göre değişir:

Veri işleyen olduğumuz durumlarda haklarınıza ilişkin taleplerinizi öncelikle ilgili müşterimize (işvereninize ya da sizden veri talep eden şirkete) iletmenizi öneririz; bize ulaşan talepleri ilgili müşterimize yönlendiririz.

3. Hangi kişisel verileri işliyoruz#

3.1. Tanıtım sitesi ve demo talebi#

• Demo talebi formu: ad soyad, şirket adı, iş e-postası (bu üçü zorunlu); telefon, ülke, hesap yapılacak ürün sayısı aralığı ve serbest metin notunuz (isteğe bağlı); formu gönderdiğiniz arayüz dili ve gönderim zamanı. Talebiniz üzerinde çalışan yetkilimiz kayda bir durum (yeni / iletişime geçildi / kapatıldı) ve iç not ekleyebilir.
• IP adresiniz kaydedilmez. Kötüye kullanımı önlemek için aynı IP adresinden gelen istek sayısı sınırlanır; bu amaçla IP adresi yalnızca sunucunun belleğindeki bir sayaçta, sayım penceresi boyunca (en çok bir saat) tutulur; veritabanına ya da demo talebi kaydına yazılmaz.
• Formda otomatik gönderimleri ayırt etmeye yarayan gizli bir alan ve formun doldurulma süresi denetimi bulunur. Bunlar kaydedilmez. Üçüncü taraf bir doğrulama hizmeti (CAPTCHA) kullanılmaz.
• Tanıtım sitesinde analitik, reklam ya da izleme aracı kullanılmaz; ziyaretiniz hakkında profil oluşturulmaz.

3.2. Müşteri hesabı kullanıcıları#

• Kimlik ve hesap bilgileri: ad soyad, e-posta adresi, rol (müşteri yöneticisi / analist / izleyici), hesabın etkin olup olmadığı, bağlı olduğunuz müşteri hesabı.
• Kimlik doğrulama verileri: parolanızın geri döndürülemeyen özeti (parolanın kendisi saklanmaz); iki adımlı doğrulama kullanıyorsanız kimlik doğrulama uygulamanızla eşleşen gizli anahtar, hatalı doğrulama denemesi sayısı ve geçici kilit süresi; oturum yenileme anahtarlarının özetleri, veriliş ve bitiş zamanları.
• Tercihler: arayüz dili, e-posta bildirim tercihi, başlangıç rehberinin gösterilme ve tamamlanma durumu.
• İşlem kayıtları (denetim kaydı): uygulamada yaptığınız ekleme, değiştirme ve silme işlemleri; adınız, işlemin zamanı, ilgili kaydın türü ve değişen alanların önceki ve sonraki değerleri ile birlikte kaydedilir. Yüklediğiniz dosyalarda ve verdiğiniz kararlarda (ör. bir tedarikçi gönderiminin kabulü ya da reddi, bir hesaplamanın kesinleştirilmesi) sizi tanımlayan kullanıcı kimliği tutulur.
• Bildirimler ve e-postalar: size gösterilen uygulama içi bildirimler; size gönderilen e-postaların alıcı adresi, konusu, içeriği, dili, gönderim durumu ve zamanı.
• Teknik kayıtlar: sunucu günlüklerinde istek yöntemi, istek adresi (yol), yanıt kodu ve süre yer alır. Uygulamanın kendi istek günlüklerine IP adresi yazılmaz. [BARINDIRMA SAĞLAYICISI VE ÜLKESİ] altyapısının kendi erişim kayıtları (IP adresi içerebilir) bunun dışındadır.

3.3. Tedarikçi irtibat kişileri ve tedarikçi portalı kullanıcıları#

• Müşterimizin girdiği iletişim bilgileri: tedarikçi şirketin adı, vergi numarası ve adresi ile birlikte yetkili kişinin adı, e-posta adresi ve telefonu; veri talebinin gönderildiği e-posta adresi.
• Portal kullanımı: size özel bağlantının açıldığı bilgisi ve zamanı; bağlantı üzerinden yapılan gönderimler ve zamanları; gönderimin hangi e-posta adresine verilen bağlantıyla yapıldığı. Portalda hesap açılmaz ve parola istenmez.
• Girdiğiniz veriler: tesis ve ürün (CN kodu) bazında emisyon değerleri, verinin yılı, üretim yolu; doğrulayıcının adı, akreditasyon numarası ve geçerlilik tarihi, doğrulama raporunun numarası, tarihi ve görüşü; yüklediğiniz doğrulama raporu dosyası (dosyanın içindeki adlar ve imzalar dahil). Bunlar esas olarak şirketinize ait ticari verilerdir; içlerinde kişisel veri bulunduğu ölçüde bu metin kapsamındadır.
• Paylaşım izni: daha önce girdiğiniz bir kaydı başka bir müşterimizle paylaşmayı onayladığınızda, onayın hangi e-posta adresine verilen bağlantıyla ve ne zaman verildiği kaydedilir.
• Size gönderilen e-postalar: veri talebi, hatırlatma, kabul ve ret bildirimlerinin alıcı adresi, içeriği, gönderim durumu ve zamanı.

3.4. İşlemediğimiz veriler#

Özel nitelikli kişisel veri (sağlık, biyometrik veri vb.) talep etmiyor ve işlemiyoruz. Hizmet kurumsal kullanıcılara yöneliktir; serbest metin alanlarına ve yüklenen dosyalara özel nitelikli ya da gereksiz kişisel veri yazılmamasını rica ederiz. Yalnızca otomatik işlemeye dayanan ve hakkınızda hukuki sonuç doğuran bir karar verilmez; profil oluşturulmaz.

4. Verilerinizi hangi amaçla ve hangi hukuki sebeple işliyoruz#

Açık rızaya dayalı bir işleme yapmıyoruz. Demo talebi bilgilerinizi size pazarlama iletisi göndermek için kullanmıyoruz. Meşru menfaate dayandığımız durumlarda menfaatimiz, hizmeti güvenli biçimde sunmak, talebinize yanıt vermek ve hesaplamaların denetlenebilir kalmasını sağlamaktır.

Zorunlu olarak işaretlenen bilgileri vermezseniz ilgili işlem yapılamaz (ör. iş e-postası olmadan demo talebi alınamaz; e-posta ve parola olmadan hesaba girilemez).

5. Verilerinizi nereden elde ediyoruz#

• Doğrudan sizden: demo talebi formu, giriş ve hesap ekranları, tedarikçi portalı; tamamen otomatik yollarla (elektronik form ve uygulama).
• Müşterimizden (dolaylı toplama): müşteri hesabı kullanıcılarının adı, e-postası ve rolü hesabı açan yönetici tarafından; tedarikçi irtibat kişisinin adı, e-postası ve telefonu ise sizden veri talep eden müşterimizin kullanıcıları tarafından girilir ya da dosyayla yüklenir. Bu durumda veriniz bize ilgili şirketten ulaşır; kamuya açık kaynaklardan veri toplamayız.

6. Verilerinizi kimlerle paylaşıyoruz#

Kişisel verilerinizi satmayız ve reklam amacıyla kimseyle paylaşmayız. Veriler yalnızca aşağıdaki alıcılara ve belirtilen amaçla aktarılır:

Ortak tesis ve emisyon kaydı hakkında not. Kaynak tesislerin tanımlayıcı bilgileri (tesis kodu, adı, adresi, ülkesi, işletmecinin adı, varsa CBAM kayıt numarası, üretim yolu) Carbonity müşterilerinin ortak kullandığı bir kayıtta tutulur ve bütün müşteriler tarafından aranabilir; bir tesisi başka hangi müşterilerin kullandığı gösterilmez. Bir tesisin emisyon kaydı ve doğrulama belgesi ise yalnızca o kaydı giren ya da tedarikçinin paylaşmayı onayladığı müşteriler tarafından görülebilir. Kaydın hangi e-posta adresine verilen bağlantıyla gönderildiği bilgisi, o kaydı görebilen müşterilere gösterilir.

Uygulamada üçüncü taraf analitik, reklam, sosyal medya ya da hata izleme hizmeti kullanılmaz; yazı tipleri ve diğer arayüz dosyaları Carbonity'nin kendi sunucusundan yüklenir, tarayıcınız üçüncü taraf bir sunucuya istek göndermez.

7. Yurt dışına aktarım#

Verileriniz [BARINDIRMA SAĞLAYICISI VE ÜLKESİ] bünyesindeki sunucularda saklanır.

• Sunucuların Türkiye dışında bulunması hâlinde verileriniz yurt dışına aktarılmış olur. Bu aktarım KVKK md. 9 uyarınca; ilgili ülke hakkında yeterlilik kararı bulunması ya da bulunmaması hâlinde md. 9/4'te sayılan uygun güvencelerden birinin sağlanması (Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmenin imzalanması ve Kurul'a bildirilmesi gibi) yoluyla yapılır: [YURT DIŞI AKTARIM MEKANİZMASI].
• GDPR'ın uygulandığı durumlarda, Avrupa Ekonomik Alanı dışına (Türkiye dahil) yapılan aktarımlar GDPR Bölüm V'e uygun olarak, yeterlilik kararı bulunmayan ülkeler bakımından Avrupa Komisyonu'nun standart sözleşme maddeleri ya da md. 46'daki diğer uygun güvencelerle yapılır. Uygulanan güvencelerin bir örneğini info@carbonity.ai adresinden isteyebilirsiniz.
• Müşterimiz ya da tedarikçi irtibat kişisi başka bir ülkedeyse, veriler hizmetin doğası gereği o ülkedeki ilgili kullanıcılar tarafından da görüntülenir (ör. Türkiye'deki bir üreticinin AB'deki alıcısı ya da üçüncü ülkedeki tedarikçisi).

8. Verilerinizi ne kadar süre saklıyoruz#

Verilerinizi, işlendikleri amaç için gerekli olan süre ve ilgili mevzuatta öngörülen saklama ve zamanaşımı süreleri boyunca saklarız; süre dolduğunda siler, yok eder ya da anonim hâle getiririz.

9. Çerezler ve tarayıcı depolaması#

Carbonity yalnızca hizmetin çalışması için zorunlu olan çerez ve tarayıcı depolamasını kullanır. Analitik, reklam, sosyal medya ya da üçüncü taraf çerezi yoktur. Tanıtım sitesini yalnızca ziyaret ettiğinizde cihazınıza hiçbir çerez yazılmaz; dil seçerseniz seçiminiz tarayıcınızda saklanır.

Bunlar hizmetin sunulması için kesin olarak gerekli olduğundan ya da açıkça talep ettiğiniz bir tercihi hatırladığından onayınız alınmaz. Tarayıcı ayarlarınızdan çerezleri ve site verilerini silebilir ya da engelleyebilirsiniz; oturum çerezini engellerseniz uygulamaya giriş yapamazsınız.

10. Verilerinizi nasıl koruyoruz#

Uygulamada bugün yürürlükte olan teknik önlemler şunlardır:

• Parolalar yalnızca geri döndürülemeyen özet (PBKDF2) olarak saklanır; parola en az 12 karakter olmalıdır.
• Müşteri yöneticileri ve sistem yöneticileri için iki adımlı doğrulama (kimlik doğrulama uygulamasıyla tek kullanımlık kod) zorunludur; art arda beş hatalı denemede hesap 15 dakika kilitlenir.
• Erişim anahtarı kısa ömürlüdür (15 dakika) ve yalnızca tarayıcı belleğinde tutulur. Yenileme anahtarı tarayıcı betiklerinin okuyamadığı (HttpOnly) bir çerezde durur, her kullanımda değişir, veritabanında yalnızca özeti saklanır; kullanılmış bir anahtarın yeniden kullanıldığı fark edilirse o oturum zincirinin tamamı iptal edilir.
• Her müşterinin verisi diğerlerinden mantıksal olarak ayrılır: müşteriye özel kayıtlar yalnızca o müşterinin oturumunda sorgulanabilir. Yetkiler role göre sunucu tarafında denetlenir.
• Tedarikçi portalı bağlantısı rastgele üretilir, süreli ve yalnızca talepteki tesis ve ürün kodlarıyla sınırlıdır; veritabanında bağlantının özeti ve şifreli (AES-256-GCM) bir kopyası tutulur. Bağlantı, uygulama içinde hiçbir kullanıcıya yeniden gösterilmez.
• Giriş, oturum yenileme, tedarikçi portalı ve demo talebi uçlarında IP bazlı istek sınırı uygulanır.
• Ekleme, değiştirme ve silme işlemleri değiştirilemeyen bir denetim kaydına yazılır; parola özeti ve iki adımlı doğrulama anahtarı gibi gizli alanlar bu kayda yazılmaz.
• Yüklenen dosyalarda tür ve boyut sınırı uygulanır.

Hiçbir yöntem mutlak güvenlik sağlamaz. Kişisel verilerinizi etkileyen bir ihlal hâlinde mevzuatın öngördüğü bildirimleri yaparız. Hesabınızın güvenliği için parolanızı ve size özel portal bağlantısını kimseyle paylaşmayın.

11. Haklarınız#

KVKK md. 11 uyarınca veri sorumlusuna başvurarak şunları talep edebilirsiniz: kişisel verilerinizin işlenip işlenmediğini öğrenme; işlenmişse buna ilişkin bilgi isteme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde ya da yurt dışında aktarıldığı üçüncü kişileri bilme; eksik ya da yanlış işlenmişse düzeltilmesini isteme; md. 7'deki şartlar çerçevesinde silinmesini ya da yok edilmesini isteme; düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme; işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkmasına itiraz etme; kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

GDPR'ın uygulandığı durumlarda ayrıca şu haklara sahipsiniz: erişim (md. 15), düzeltme (md. 16), silme (md. 17), işlemenin kısıtlanması (md. 18), veri taşınabilirliği (md. 20), meşru menfaate dayalı işlemeye itiraz (md. 21) ve yalnızca otomatik işlemeye dayalı kararlara tabi olmama (md. 22).

Silme taleplerinde bir sınır. Denetim kaydı, kesinleşmiş hesaplamalar, emisyon kayıtları ve doğrulama belgeleri, hesaplamaların sonradan doğrulanabilmesi için teknik olarak değiştirilemez ve silinemez biçimde tutulur. Bu kayıtlarda yer alan kişisel verilere (ör. işlemi yapan kullanıcının adı, bir gönderimin yapıldığı e-posta adresi) ilişkin silme talepleriniz, bu kayıtların tutulmasını gerektiren hukuki sebepler ve saklama süreleri çerçevesinde değerlendirilir; talebiniz karşılanamıyorsa gerekçesi size bildirilir.

Nasıl başvurursunuz#

Başvurunuzu, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak:

• [ADRES] adresine yazılı olarak (ıslak imzalı),
• [KEP ADRESİ] kayıtlı elektronik posta adresine,
• güvenli elektronik imza ya da mobil imza ile, ya da
• daha önce bize bildirdiğiniz ve sistemimizde kayıtlı e-posta adresinizden info@carbonity.ai adresine

iletebilirsiniz. Başvuruda adınız, soyadınız, (yazılı başvuruda) imzanız, T.C. kimlik numaranız (yabancılar için uyruk ve pasaport ya da kimlik numarası), tebligata esas yerleşim yeri ya da iş yeri adresiniz, varsa e-posta adresiniz ve telefon numaranız ile talep konunuz yer almalıdır. Kimliğinizi doğrulamak için ek bilgi isteyebiliriz.

Başvurunuzu en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırırız; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'un belirlediği tarifedeki ücret alınabilir. GDPR kapsamındaki talepler bir ay içinde yanıtlanır; talebin karmaşıklığına göre bu süre mevzuatın izin verdiği ölçüde uzatılabilir.

Veri işleyen olduğumuz verilere (müşteri hesabındaki kullanıcı ve tedarikçi irtibat bilgileri) ilişkin başvuruları ilgili müşterimize iletir ve yanıtlanmasına destek oluruz.

Şikâyet hakkı#

Başvurunuzun reddedilmesi, yanıtın yetersiz bulunması ya da süresinde yanıt verilmemesi hâlinde, yanıtı öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na (kvkk.gov.tr) şikâyette bulunabilirsiniz. GDPR'ın uygulandığı durumlarda mutat meskeninizin, iş yerinizin ya da ihlalin gerçekleştiğini düşündüğünüz yerin bulunduğu AB üye devletindeki veri koruma denetim otoritesine şikâyette bulunma hakkınız vardır.

12. Çocuklar#

Carbonity kurumsal kullanıcılara yönelik bir hizmettir; 18 yaşından küçüklere yönelik değildir ve bilerek 18 yaşından küçüklerin verisini toplamayız.

13. Bu metindeki değişiklikler#

Hizmette ya da mevzuatta değişiklik olduğunda bu metni güncelleriz. Güncel metin bu sayfada yürürlük tarihiyle yayımlanır. Önemli değişiklikleri müşteri hesabı kullanıcılarına uygulama içinden ya da e-postayla ayrıca duyururuz.

14. İletişim#

[ŞİRKET UNVANI] · [ADRES] · info@carbonity.ai