Gizlilik ve KVKK / GDPR aydınlatma metni
5 Kasım 2026
Veri sorumlusu ve roller
OrigoPass işletmecisi Mücahit Güneş; Çitliköy, Maden, Elazığ, Türkiye; gunesmucahid@gmail.com. Hesap yönetimi ve hizmet güvenliği için veri sorumlusudur. Müşteri adına yüklenen ürün ve tedarikçi içeriğinde müşterinin talimatıyla veri işleyendir. Bu metin, AB temsilcisi atandığını veya DPA ve aktarım işlemlerinin tamamlandığını beyan etmez.
Veriler ve kaynakları
Sizden veya sizi davet eden kuruluştan ad, e-posta, firma ve iş iletişim bilgileri; parola özeti, şifreli 2FA anahtarı, oturum, davet, denetim ve hak başvurusu kayıtları alınır. Yüklenen belgelerde çalışan/tedarikçi bilgileri bulunabilir. Altyapı IP ve erişim kayıtları işleyebilir. Oran sınırlayıcıya ham IP yerine süreli HMAC özeti gönderilir; bu anonim veri değildir. Özel nitelikli veri, kimlik belgesi ve tüketici kişisel verisi yüklemeyin.
Amaç ve hukuki sebepler
Hizmet ve hesap: uygun olduğu ölçüde GDPR 6(1)(b), KVKK 5(2)(c). Kuruluş çalışanlarının hesabı, güvenlik ve kötüye kullanım önleme: menfaat dengesiyle GDPR 6(1)(f), KVKK 5(2)(f). Somut kanuni yükümlülükler: GDPR 6(1)(c), KVKK 5(2)(ç). Müşteri içeriğinin dayanağını müşteri belirler. Zorunlu hesap bilgileri olmadan hizmet sunulamaz; telefon ve AI kullanımı isteğe bağlıdır. Pazarlama veya hukuki/benzer önemli sonuç doğuran yalnız otomatik karar verme yapılmaz.
Pasaport ve çerezler
Ürün ve gerekli üretici iletişim alanları herkese açık olabilir; iş iletişim bilgilerini kullanın. Tüketici profili veya reklam takibi oluşturulmaz; toplam tarama sayısı ve altyapı erişim kayıtları işlenebilir. Gerekli origopass_session çerezi 7 gün, 2FA bekleyen giriş çerezi 5 dakika sürer. Tüketici kişisel verisinin pasaporta eklenmesi hizmet kapsamında değildir.
Saklama
Hesap verileri aktif kullanım boyunca; doğrulanmış kapanışta gerekli olmayan veriler için silme hedefi 30 gündür. Ortak kayıtlar, yasal saklama ve hukuki koruma ayrıca incelenir. Günlük temizlik süresi biten oturumları, kullanılmış/iptal edilmiş/süresi bitmiş bağlantıları 24 saatlik ek süre sonrası, içe aktarma kopyalarını 30 gün sonra temizler. İşlemler sonraki günlük çalışmaya kalabilir. İmha kayıtları en az 3 yıl saklanır. DPP saklaması ürün mevzuatı/yaşam döngüsüne bağlıdır; süresiz genel saklama yoktur. Uygulama yedek hedefi 30 gün, sağlayıcı süreleri ayrıdır. Bu sürümdeki otomasyon üretimde etkinleşmeden çalışıyor sayılmaz.
Alıcılar ve yurt dışına aktarım
Yetkili kuruluş kullanıcıları, açık alanlarda ziyaretçiler ve gerektiğinde yetkili makamlar alıcıdır. Teknik hizmetler: DigitalOcean uygulama barındırma (Frankfurt, Almanya), Vercel Blob belge depolama ve Vercel yedek dağıtımları, Neon veritabanı, Resend işlem e-postaları, GitHub Actions şifreli yedekleri. SMTP/S3, Upstash, Sentry ve Anthropic ancak yapılandırma ve sağlayıcı incelemesiyle kullanılır. İşletmecinin Gmail iletişim kutusu ayrı bir alıcıdır. Vercel uluslararası çalışır; Resend verileri ABD’de saklar. Neon veritabanı ABD Ohio bölgesindedir (21.10.2026 hesap kontrolü). Destek/yedek erişim ülkeleri ve geçerli aktarım güvenceleri henüz doğrulanmamıştır. AB SCC/DPA, KVKK m.9 güvencesinin kendiliğinden yerine geçmez; rutin bulut aktarımı genel açık rızaya bağlanmaz. Güvence bilgisi/kopyası için iletişim adresimize başvurun.
Haklar ve başvuru
KVKK m.11 ve uygulanabildiğinde GDPR m.15–22 kapsamındaki erişim, düzeltme, silme, kısıtlama, itiraz ve taşınabilirlik talepleri: gunesmucahid@gmail.com. Rızaya dayalı işlem varsa rızanızı ileriye etkili geri alabilirsiniz. Güvenlik sayfasında hesap kopyası indirme ve silme talebi vardır; kapsamlı başvuru e-postayla yapılabilir. Kimlik ölçülü doğrulanır; parola/2FA kodu göndermeyin. KVKK yanıtı en geç 30 gün, GDPR yanıtı bir ay; kanuni uzatma gerekçesi bildirilir. KVKK Kuruluna veya yetkili AB denetim makamına şikâyet edebilirsiniz. Veri işleyen olduğumuz başvurularda ilgili veri sorumlusuna yardımcı oluruz.