Gizlilik politikası

1. Veri sorumlusu

Bu web sitesindeki veri işlemenin sorumlusu:
Tim Schneider
TradeDay&Night (Einzelunternehmen)
Cranachstr. 2
64546 Mörfelden-Walldorf
Almanya
kontakt@tradedaynight.de

Bir veri koruma görevlisi atanmamıştır. § 38 BDSG (Alman Federal Veri Koruma Kanunu) kapsamındaki yasal eşiklere ulaşılmamaktadır.

2. Hangi verileri işliyoruz

Platformun işletilmesi sırasında şu veriler işlenir:

• Hesap verileri: E-posta adresi, kullanıcı adı, parola (yalnızca hash değeri olarak saklanır), kayıt ve giriş zamanları. Kullanıcı adını kayıt sırasında kendin seçersin (3 ile 20 karakter, en fazla 30 günde bir değiştirilebilir). Herkese açık görünür – örneğin masanda, değerlendirmelerde ve sohbette –, bu yüzden ne tam adını ne de iletişim bilgilerini içermelidir. Doğum tarihini kayıt sırasında yalnızca reşit olup olmadığını kontrol etmek için sorarız; yalnızca bu onayın zamanını kaydederiz, tarihi değil.
• Google veya Apple ile giriş: Google hesabınla giriş yaparsan Google bize e-posta adresini, adını ve Google hesabının bir tanımlayıcısını iletir; bunlarla hesabını oluştururuz veya girişini yaparız. Google'daki şifreni öğrenmeyiz. Sağlayıcı Google Ireland Limited'dir (İrlanda); Google LLC'ye (ABD) aktarım mümkündür. Apple ile girişi (Apple Distribution International Ltd., İrlanda) etkinleştirilir etkinleştirilmez sunacağız; orada e-posta adresini gizleyebilirsin. Hukuki dayanak, kullanım sözleşmesinin ifasıdır (GDPR m. 6/1 (b)).
• Profil verileri: Satıcı durumu, üyelik durumu, değerlendirmeler.
• İçerikler: İlanlar, ürün görselleri, sohbet mesajları, kullanıcılar arasındaki fiyat ve takas teklifleri. Biri bir kartın fiyatını değiştirir, yeni bir kart ekler ya da bir kartı silerse, kartın adını, fiyatı – değişiklikte eski ve yeni fiyatı, silinen kartta son fiyatı –, bunu kimin ve ne zaman yaptığını kaydederiz; bunu yalnızca masa sahibi görebilir. Bu kayıtları on iki ay sonra otomatik olarak sileriz.
• Sohbetler ve saklanmaları: Bir talebin sohbetindeki mesajları, teklifleri ve görselleri yalnızca ilgili taraflar görür – satıcı tarafında onun yetkilendirdiği çalışanlar da. “Benim için gizle” ile biten bir sohbeti listenden çıkarırsın. Ödenmiş satın alma olmayan sohbetleri, ilgili herkes gizlediği anda, aksi hâlde bitişlerinden yedi gün sonra sileriz. Ödenmiş bir satın almada sohbetin içeriğini (mesajlar ve görseller) siparişteki son değişiklikten on iki ay sonra sileriz; talep, sipariş, değerlendirme ve kabul edilen teklifin yer aldığı satır belge olarak kalır. Bir sorun veya uyuşmazlık açık olduğu ya da sohbetle ilgili bir şikâyet henüz karara bağlanmadığı sürece hiçbir şey silmeyiz. Hukuki dayanak GDPR m. 6/1 (b) (işlemin yürütülmesi) ve (f) (ters ibrazlarda ve satın almadan doğan taleplerde kanıt) hükümleridir. İçinde 30 gün boyunca hiçbir şey olmayan, satın alma içermeyen bir sohbet de bitmiş sayılır; silme işlemini önceden sohbette duyururuz. Sohbetteki yeni mesajlar, teklifler ve talepler hakkında seni ayrıca e-postayla bilgilendiririz. Bu e-postalardan istediğin zaman çıkabilirsin – “Hesabım” → “Bildirimler” bölümünden ya da bu e-postaların her birindeki bağlantı üzerinden; bunun için her hesap için rastgele bir kimlik saklarız ve bunu hesapla birlikte sileriz. Uygulamadaki bildirimler bundan etkilenmez; siparişler, ödemeler, süreler ve hesabının güvenliğiyle ilgili e-postaları almaya devam edersin.
• Fotoğraflar ve videolar: Yükleme sırasında fotoğrafları küçültür ve kamera, çekim zamanı ve çekim yeri gibi gömülü bilgileri kaldırırız; videolarda çekim yerini kaldırırız. Kartlarının fotoğrafları ve videoları, kart satışta olduğu sürece herkese açık görünür.
• Teslimat adresi: Ad, soyad, sokak, bina numarası, posta kodu, yer ve ülke. Bu veriler karşı sözleşme tarafına ancak bir anlaşma bağlayıcı olarak onaylanıp ödendiğinde gösterilir – öncesinde karşı taraf bunları göremez. Kargo etiketi sunmadığımız sürece telefon numarası istemez ve kaydetmeyiz; daha önce isteğe bağlı olarak verilen numaraları sildik.
• Sipariş ve ödeme verileri: Sipariş numarası, tutar, kargo ücreti, komisyon oranı, siparişin durumu, ödeme, gönderim ve teslim onayı zamanları ile ödemenin ödeme hizmeti sağlayıcısındaki tanımlayıcısı. Kredi kartı, banka hesabı ve kimlik verileri bizim tarafımızdan değil, yalnızca ödeme hizmeti sağlayıcısı Stripe tarafından işlenir; bunları hiçbir zaman görmeyiz.
• Satın almada ödeme yöntemleri: Ödeme, Stripe'ın ödeme sayfasında yapılır. Orada hangi ödeme yöntemlerinin görüneceği ülkene, tutara ve cihazına bağlıdır: kart, Apple Pay, Google Pay, Link (Stripe'ta kayıtlı ödeme bilgileri), banka havalesi, iDEAL, Bancontact, EPS, Przelewy24, Revolut Pay, Amazon Pay, MobilePay, MB WAY, Multibanco ve Satispay. Ödeme bilgilerini doğrudan Stripe'a veya ilgili hizmete girersin; biz yalnızca tutarı, zamanı, ödeme yöntemini ve ödemenin kimliğini görürüz. Ödeme yöntemine göre ayrıca kendi sorumluluklarında veri işler: kart kuruluşları ve bankan; cihazındaki onay için Apple veya Google (Apple Pay, Google Pay); Revolut Pay, Amazon Pay, MobilePay, MB WAY ve Satispay'de ilgili sağlayıcı; iDEAL, Bancontact, EPS, Przelewy24, Multibanco ve banka havalesinde bankan ve sistemin işletmecisi. Bunların gizlilik bildirimleri geçerlidir. Hukuki dayanak GDPR md. 6 f. 1 bent b'dir. Stripe sana PayPal sunarsa, PayPal (Europe) S.à r.l. et Cie, S.C.A. (Lüksemburg) da verilerini kendi sorumluluğunda işler.
• Ters ibrazlar: Bir alıcı bankası üzerinden bir ödemeyi ters ibrazla geri aldırırsa, ödeme hizmeti sağlayıcısı Stripe'a siparişteki kanıtları iletiriz; Stripe bunları alıcının bankasına aktarır: sipariş numarası, sipariş türü ve kartların adları, bireysel mi yoksa ticari olarak mı satış yapıldığı bilgisiyle birlikte masanın adı, satıcının ve alıcının TradeDay&Night'taki kullanıcı adları, ödemenin tutarı ve zamanı, kargo firması, takip numarası ve gönderim tarihi, teslimat adresinin posta kodu ve ülkesi, teslimin onaylanıp onaylanmadığı ve ne zaman onaylandığı ve siparişin geçmişi (ödeme, gönderim, teslim, bildirilen sorunlar, iadeler). Bu yeterli olmazsa, tek tek durumlarda siparişten başka kanıtlar da ekleriz, örneğin siparişin sohbetinden bir alıntı. Hukuki dayanak, haksız ters ibrazlara karşı korunmaya yönelik bizim ve satıcının meşru menfaatidir (GDPR m. 6/1 (f)).
• Satıcıların ödeme hesaplarındaki bakiyeler: Günde bir kez Stripe'tan her satıcının ödeme hesabındaki bakiyeyi – tutarı, para birimini ve eksi bakiye için doğrudan borçlandırmanın kurulu olup olmadığını – okur ve satıcının hesabında yalnızca en son durumu saklarız; bunu yalnızca biz görebiliriz. Böylece örneğin bir ters ibrazdan sonra oluşan eksi bakiyeyi fark eder ve açık tutarları talep edebiliriz. Ödeme hesabının mutabakatında ayrıca bağlı banka hesabının ülkesini ve para birimini, ayrıca Stripe'ın eksi bakiyeyi doğrudan borçlandırmayla kapatıp kapatamayacağını saklarız; ödeme aktarımı öncesi bekleme süresi (7 veya 30 gün) buna bağlıdır. Hukuki dayanak: GDPR m. 6/1 (b) ve (f).
• Satıcılar için asgari yaş: Bir satıcının ödeme hesabını her eşleştirdiğimizde, Stripe'ın hesap sahibini reşit olmayan biri olarak kaydedip kaydetmediğini kontrol ederiz – Stripe bize ilettiği ölçüde doğum tarihine ve Stripe'ın bir yasal vasi isteyip istemediğine ya da kaydedip kaydetmediğine bakarak. Doğum tarihini değil, yalnızca sonucu saklarız. Hesap sahibi 18 yaşından küçükse masa açmak ve satış yapmak engelli kalır, çünkü TradeDay&Night ancak 18 yaşından itibaren kullanılabilir. Hukuki dayanak: GDPR m. 6/1 (b) ve (f).
• Açık alacaklar ve tahsilat: Bir kullanıcı bir ters ibrazdan sonra bize bir tutar borçluysa, alacağı hesap, sipariş, tutar, ücret, neden ve durum bilgisiyle birlikte kaydederiz. Alacak ödenmeden kalırsa, bunun için gerekli bilgilerle – ad, adres, e-posta adresi, sipariş ve tutar – bir tahsilat şirketine devredebiliriz; bu yalnızca açık bir alacak varsa olur. Hukuki dayanak, alacaklarımızı tahsil etmeye yönelik meşru menfaatimizdir (GDPR m. 6/1 (f)). Alacağa ilişkin bilgileri diğer sipariş ve ödeme verileri gibi saklarız (bölüm 6).
• Kısmi takasta suç duyurusu için bilgiler: Bir satıcı kısmi takasta alıcının kartlarını süresi içinde geri göndermezse, alıcıya suç duyurusu için bilgiler sunarız. Bu bilgiler, sipariş bilgilerinin yanı sıra satıcının adını ve adresini – kısmi takas için alıcıya zaten açılmış olan teslimat adresini – ve ticari satıcılarda satıcı bilgilerini içerir. Hukuki dayanak, alıcının kartlarını geri isteme ve olayı ihbar etme yönündeki meşru menfaatidir (GDPR m. 6/1 (f)). Soruşturma makamlarına bu bilgileri talep üzerine veririz (GDPR m. 6/1 (c) veya (f)).
• Yaklaşık konum: Bir sayfayı açtığında barındırma sağlayıcımız Vercel, IP adresinden ülkeni ve yaklaşık bir konumu (kabaca şehir düzeyinde) belirler ve ikisini de sunucularımıza iletir. Bu bilgileri yalnızca fuarları ve satıcı masalarını yakınlık sırasına göre göstermek ve bir masanın ülkene gönderim yapıp yapmadığını sana söylemek için kullanırız. Giriş yapmışsan ve kayıtlı bir teslimat adresin varsa bunun yerine bu adresin ülkesini kullanırız. Bu bilgiler saklanmaz, hesabınla ilişkilendirilmez ve üçüncü kişilere aktarılmaz; hiçbir şey fazladan gösterilmez ya da gizlenmez, yalnızca sıralama değişir. Hukuki dayanak, anlaşılır ve sana uygun bir sunuma ilişkin meşru menfaatimizdir (GDPR m. 6/1 (f)). Ayrıca dil belirtilmeyen bir adresi açtığında ve ne daha önce seçtiğin bir dil ne de tarayıcının dil ayarı dillerimizden birine uyuyorsa, dili bu ülkeye göre seçeriz.
• Satıcıların vergi bilgileri: Satıcılar ad, adres, doğum tarihi ya da ticaret sicil numarası, vergi kimlik numarası, varsa KDV kimlik numarası ve isteğe bağlı olarak banka bilgilerini girer. Platform işletmecileri, Almanya'nın Platform Vergi Şeffaflığı Kanunu (Plattformen-Steuertransparenzgesetz, AB Direktifi DAC7) uyarınca yılda bir kez satıcıları, satış sayılarını, cirolarını ve kesilen ücretleri Almanya Federal Merkezi Vergi Dairesi'ne (BZSt) bildirmek zorundadır; BZSt bu verileri diğer AB ülkelerinin vergi makamlarına iletebilir. Yalnızca yasal eşiklere ulaşanlar bildirilir (yılda 30 satış veya 2.000 €'dan fazla). Bir satıcı bildirim yükümlülüğü altına girdiğinde bilgiler eksikse bunları talep eder ve iki kez hatırlatırız (20 ve 40 gün sonra); 60 gün sonra hâlâ yoksa yeni satışlar, bilgiler gelene kadar askıya alınır (§ 22 PStTG). Belirtilen KDV kimlik numarasını – satıcıların ve bir şirket adına yapılan alımlarda alıcıların da – Avrupa Komisyonu'nun KDV bilgi değişim sisteminde (VIES) kontrol ediyoruz; oraya yalnızca numara gönderilir, yanıtta numaranın geçerli olup olmadığı ve varsa kayıtlı ad bildirilir. Hukuki dayanak GDPR m. 6/1 (c)'dir. Bilgiler, yasanın öngördüğü şekilde on yıl saklanır. Vergi bilgileri olmayan satıcılar, komisyon belgelerinin bir belge numarası alması için ödeme hesabında isteğe bağlı olarak bir fatura adresi (ad veya firma ve adres) girebilir (GDPR m. 6/1 (b)); bu adres istenildiği zaman kaldırılabilir ve hesapla birlikte silinir, daha önce düzenlenmiş belgeler ise faturalar gibi saklanır.
• Bireysel satıcılar – sayım, inceleme molası ve öz beyan: Bireysel olarak yürütülen masalar için her takvim yılında ödenmiş satışları ve toplamlarını sayarız. 20 satıştan veya 1.500 €'dan itibaren bunu belirtiriz; 30 satıştan veya 2.000 €'dan itibaren, satıcı vergi bilgilerini eksiksiz girip bir öz beyanı yanıtlayana kadar yeni satışlar askıya alınır (örneğin: Özellikle yeniden satmak için mi satın alıyorsun? Yeni ürün mü satıyorsun?). Bunun için satıcının masasındaki kartları da değerlendiririz – aynı kartın ne sıklıkla yer aldığını ve ne kadar mühürlü ürün bulunduğunu. Yanıtlarda dikkat çeken bir şey yoksa mola otomatik olarak sona erer; aksi hâlde durumu bir insan inceler. Mola otomatik olarak oluşur ve geçicidir; bir engellemeye her zaman bir insan karar verir. İletişim formu üzerinden istediğin zaman durumun bir insan tarafından incelenmesini talep edebilirsin. Sayımı, yanıtları ve kararı ilgili takvim yılını izleyen üçüncü yılın sonuna kadar saklarız. Bununla bağlantılı olarak vergi dairesine hiçbir bildirim yapılmaz. Hukuki dayanak, ticari faaliyette bulunan kimsenin kendini bireysel olarak göstermemesine ilişkin bizim ve alıcıların meşru menfaatidir (GDPR m. 6/1 (f)).
• Alman KDV Kanunu § 22f'e göre kayıtlar: TradeDay&Night üzerinden yapılan her satış için Alman Katma Değer Vergisi Kanunu'nun (UStG) § 22f maddesinin gerektirdiklerini kaydediyoruz: satıcının adı ve adresi (bireysel satıcılarda doğum tarihi, ticari satıcılarda e-posta adresi ve KDV kimlik numarası da), biliniyorsa vergi numarası ve banka bilgileri, gönderim ülkesi, teslimatın ülkesi, posta kodu ve şehri, zaman ve tutar, satılan kartlar ve sipariş numarası. Bir satıcı satıcı bilgilerini veya vergi bilgilerini değiştirirse ya da hesabını silerse, önceki satışlar ihtiyaç duyduğu ölçüde önceki sürümü saklarız. Bu kayıtları on yıl saklar ve talep üzerine vergi dairesine elektronik olarak veririz (§ 22f fıkra 4 UStG; GDPR md. 6(1)(c)). Almanya'nın Platform Vergi Şeffaflığı Kanunu kapsamında bildirilen kişi, bildirdiklerimizi en geç bir sonraki yılın 31 Ocak tarihine kadar e-postayla ve satıcı alanında öğrenir. Satıcılar satışlarını tablo olarak indirebilir; tabloda alıcının kullanıcı adı ile gönderim için zaten aldıkları teslimat ülkesi, posta kodu ve şehri yer alır.
• Ticari satıcıların satıcı bilgileri: Ticari satıcılar alıcılara adlarını veya unvanlarını, adreslerini ve iletişim bilgilerini bildirmek zorundadır (§ 312l BGB, EGBGB m. 246d). Bu bilgiler masanın ayrı bir sayfasında yer alır. E-posta adresi ancak bir tıklamadan sonra görünür; bunun için ziyaretçi başına görüntülemeleri sayarız – giriş yapılmışsa kullanıcı tanımlayıcısına göre, aksi hâlde IP adresinden türetilen geri döndürülemez bir anahtara göre – ve kimse adresleri otomatik olarak toplamasın diye bu sayımı iki gün sonra sileriz. Telefon numarasını yalnızca satıcı açıkça izin verdiyse gösteririz. Her siparişte bilgileri satın alma anında geçerli oldukları hâliyle kaydederiz. Hukuki dayanak GDPR m. 6/1 (c), görüntüleme sınırı için (f) bendidir.
• Diğer ülkeler için bekleme listesi: Satıcı hesaplarının henüz mümkün olmadığı bir ülke için bekleme listesine yazılırsan, hesabına ülkeyi, sayfanın dilini ve zamanı kaydederiz. Orada satıcı hesapları mümkün olur olmaz hesabının adresine bir e-posta göndeririz; bu e-postadan 30 gün sonra kaydı sileriz. Bekleme listesinden istediğin zaman aynı yerden çıkabilirsin; hesabınla birlikte kayıt da silinir. Hukuki dayanak, bekleme listesinden çıkarak geri aldığın rızandır (GDPR m. 6/1 (a)).
• Açılış listesi: Açılıştan önce açılış listesine kaydolursan e-posta adresini, sayfanın dilini, onay metninin sürümünü ve kayıt ile onay zamanlarını rızana dayanarak saklarız (GDPR m. 6/1-a). Önce onay için bir e-posta alırsın; onay olmazsa kaydı 7 gün sonra sileriz. Açılışta sana tam olarak bir e-posta gönderir, ardından adresi sileriz. Onay e-postasındaki bağlantıyla istediğin zaman listeden çıkabilirsin; böylece rızanı geri almış olursun. Kötüye kullanımı önlemek için kayıtları, kötüye kullanıma karşı sınırlarda anlatıldığı gibi adres ve IP adresi başına sayarız. E-postalar Resend üzerinden gönderilir.
• Adres önerileri ve adres kontrolü: Teslimat adresini girerken sana uygun adresler öneririz ve kaydederken adresin var olup olmadığını kontrol ederiz. Bunun için sunucumuz girilen adres metnini – adın ve IP adresin olmadan – komoot GmbH'nin (Almanya) OpenStreetMap'in açık harita verilerine dayanan adres hizmeti Photon'a gönderir. Bu sorguları saklamayız. Hukuki dayanak, teslim edilebilir bir adresi gerektiren sözleşmenin ifasıdır (GDPR m. 6/1 (b)) ve hatasız gönderilere ilişkin meşru menfaatimizdir (GDPR m. 6/1 (f)).
• Otomatik isteklere karşı koruma: Giriş yapma, kayıt olma, şifre sıfırlama, iletişim, kupon kullanma, öneri gönderme ve sözleşme feshetme formlarında barındırma sağlayıcımız Vercel (BotID), formları bir insanın gönderip göndermediğini kontrol eder. Bunun için tarayıcının teknik özellikleri ve IP adresin değerlendirilir; bu sırada reklam veya analiz amaçlı çerez oluşturulmaz. Hukuki dayanak, platformu ve kullanıcılarını toplu giriş denemeleri ve spam gibi kötüye kullanımlara karşı koruma konusundaki meşru menfaatimizdir (GDPR m. 6/1 (f)). Giriş yapma, kayıt olma, şifre sıfırlama, iletişim ve içerik şikâyet etme formlarında ek olarak Cloudflare Turnstile kullanıyoruz (bkz. bölüm 4). Tıklanacak bir kutu yalnızca otomatik bir istekten şüphelendiğimizde görünür – örneğin çok sayıda başarısız denemeden sonra.
• Kötüye kullanıma karşı sayı sınırları: Hesapları ve posta kutularını toplu denemelere karşı korumak için başarısız girişleri, kayıtları, şifre sıfırlama taleplerini, iletişim mesajlarını, hesapsız şikâyetleri ve kupon kullanımlarını – her biri için e-posta adresi veya hesap başına ve IP adresi başına – sayarız. Bunun için ne adresi ne de IP adresinin kendisini saklarız; yalnızca anahtarımızla oluşturulan ve bu anahtar olmadan geri hesaplanamayan bir kontrol değeri (HMAC) saklanır; bu değer en geç bir gün sonra, bir adrese ait başarısız denemeler ise bir sonraki başarılı girişte silinir. Bir sınıra ulaşılırsa kısa bir onay veya biraz sabır isteriz. Hukuki dayanak, platformu ve kullanıcılarını kötüye kullanıma karşı koruma konusundaki meşru menfaatimizdir (GDPR m. 6/1 (f)).
• Otomatik sohbet filtresi ve uyarılar: Sohbet, mesajları gönderilmeden önce telefon numaraları, e-posta adresleri, posta adresleri, başka hizmetlerdeki iletişim bilgileri ve dış bağlantılar açısından otomatik olarak kontrol eder – böylece alıcıları ve satıcıları platform dışındaki dolandırıcılığa karşı koruruz. Açık durumlar iletilmez ve bir uyarıya yol açar; belirsiz durumlar yalnızca iletilmez. 30 gün içinde üç uyarıdan sonra sohbet 30 gün boyunca kilitlenir; göz atmak, satın almak ve devam eden siparişler mümkün olmaya devam eder. Uyarı, zamanı ve nedeni saklanır. Bu kilit otomatik olarak oluşur: İletişim formu üzerinden istediğin zaman bir insanın kilidi incelemesini talep edebilir, görüşünü açıklayabilir ve kilide itiraz edebilirsin; kilit haklı değilse kaldırırız. Hukuki dayanak, platformun güvenli ve kötüye kullanımdan uzak biçimde işletilmesine ilişkin meşru menfaatimizdir (GDPR m. 6/1 (f)).
• İçerik şikâyetleri: “Bildir” üzerinden bir içeriği bildiren kişi bize nedeni, bir açıklamayı, isteğe bağlı olarak bir e-posta adresini ve – giriş yapmışsa – kanıt olarak en fazla beş görseli iletir; giriş yapmış birinin bildirimi onun hesabıyla ilişkilendirilir; bir sohbetten yapılan bildirimde ilgili sohbet geçmişini inceleriz. Bildirim hakkında karar verir ve kararı gerekçesiyle birlikte bildirimde bulunana ve ilgili kişiye iletiriz (Digital Services Act md. 16 ve 17). Bildirimi kararın kanıtı olarak saklarız; görselleri karardan altı ay sonra, şikâyet süresi dolduğunda sileriz. Hukuki dayanak, Digital Services Act ile bağlantılı olarak GDPR md. 6 f. 1 bent c ve güvenli bir platforma ilişkin meşru menfaatimizdir (bent f).
• Engelleme: Bir hesabı engellersen, aranızda yeni talepler ve mesajlar oluşmasın diye kimin kimi engellediğini saklarız. Devam eden siparişler yine de yürütülür. Engelleme, sen kaldırana veya hesaplardan biri silinene kadar geçerlidir. Hukuki dayanak GDPR m. 6/1 (b) ve (f)'dir.
• İletişim formu ve e-posta: Bize iletişim formu üzerinden yazarsan, yanıt verebilmek için adını, e-posta adresini ve mesajını işleriz. Mesaj bize e-posta gönderim hizmetimiz (Resend) aracılığıyla Google'daki (Gmail) posta kutumuza e-posta olarak ulaşır. Yazışmaları talebin için gerekli olduğu sürece, bunun ötesinde ise yalnızca yasal bir saklama yükümlülüğü varsa saklarız (örneğin Alman Ticaret Kanunu § 257 HGB uyarınca ticari mektuplar için). Hukuki dayanak GDPR m. 6/1 (b) veya (f)'dir.
• “Sözleşmeleri buradan feshet” üzerinden fesih: Fesih düğmesi (§ 312k BGB) üzerinden yapılan bir fesih için adını, e-posta adresini, feshedilen sözleşmeyi, feshin türünü, varsa nedenini ve zamanını işler ve feshi e-postayla onaylarız. Feshi, sözleşmeden doğan talepler zamanaşımına uğrayana kadar (feshin yapıldığı yılın sonundan itibaren üç yıl) kanıt olarak saklarız. Hukuki dayanak, § 312k BGB ile bağlantılı olarak GDPR m. 6/1 (c)'dir.
• Uygulama ve bildirimler: Android ve iOS için uygulamamızda web sitesindeki kurallarla aynı kurallar geçerlidir. Bildirimlere izin verirsen, sana örneğin yeni mesajları veya gelen ödemeleri bildirmek için cihaz başına bir bildirim tanımlayıcısı (push token), işletim sistemini ve uygulamanın dilini saklarız. Bildirimler Google'ın Firebase Cloud Messaging hizmeti üzerinden gönderilir (Google Ireland Limited; ABD'de işleme mümkündür). Tanımlayıcıyı, oturumu kapattığında, Google onu geçersiz olarak bildirdiğinde veya hesabını sildiğinde sileriz. Hukuki dayanak, cihaz ayarlarından istediğin zaman geri alabileceğin rızandır (GDPR m. 6/1 (a), TDDDG § 25/1). Uygulamada üyelik satmıyoruz. Uygulamada bir hata olursa ya da uygulama çökerse, bunu hata kaydımıza bildirir – yalnızca uygulama sürümü, işletim sistemi, ilgili ekran ve hata mesajıyla; hesabın ve içerikler olmadan. Bunun için uygulama, en son düzgün kapatılıp kapatılmadığını cihazında hatırlar. Hukuki dayanak, hatasız bir uygulamaya ilişkin meşru menfaatimizdir (GDPR m. 6/1 (f), TDDDG § 25/2 no. 2).
• Amazon'a öneri bağlantıları: Fuar ekipmanına yönelik bazı öneriler, ortaklık kodumuzla Amazon'a bağlantı verir. Böyle bir bağlantıya tıklamadan önce Amazon bizden hiçbir veri almaz. Tıkladıktan sonra Amazon'un gizlilik bildirimi ve çerezleri geçerli olur; orada alışveriş yaparsan, kimin satın aldığını öğrenmeden bir komisyon alırız. Hukuki dayanak, platformun finansmanına ilişkin meşru menfaatimizdir (GDPR m. 6/1 (f)).
• Yedekler ve kayıtlar: Veritabanımızı her gün, veritabanı sağlayıcımız Supabase'in AB'deki herkese açık olmayan depolama alanına yedekleriz; her yedeği 14 gün sonra sileriz. Barındırma sağlayıcımız Vercel, sayfalar açıldığında güvenli işletim ve hata ayıklama için teknik verileri (IP adresi, zaman, açılan adres, tarayıcı tanımlayıcısı) kaydeder ve kısa süre sonra siler. Sunucularımızdaki hataları, gidermek için kendi hata kaydımıza kaydederiz – IP adresi ve form içerikleri olmadan, yalnızca hatanın adresi, türü ve mesajı. Giderilen bir hatayı, giderilmesinden 90 gün sonra kayıttan sileriz. Hukuki dayanak, güvenli ve erişilebilir bir işletime ilişkin meşru menfaatimizdir (GDPR m. 6/1 (f)). [Vercel'deki sunucu kayıtlarının silinme süresini (tarifeye bağlı) girin]

Uyuşmazlık hâlinde inceleme: Taraflardan biri ödemenin serbest bırakılmasından önce bir uyuşmazlık bildirirse, iade ya da serbest bırakma hakkında karar vermek için ilgili sohbet geçmişini ve sipariş verilerini inceleriz. Bildirilmiş bir uyuşmazlık olmadan sohbetleri okumayız. Hukuki dayanak: GDPR m. 6/1 (b) ve (f).

Eksik listesi: Bir eksik listesi oluşturursan, listenin adını ve içindeki kartları set, numara, dil, durum, adet, azami fiyatın, notun ve işaretleyip işaretlemediğin bilgisiyle birlikte hesabında saklarız; böylece web sitesi ve uygulama aynı listeyi gösterir (GDPR m. 6/1 (b)). Uygulama, listenin internet olmadan da çalışması için cihazında bir kopya tutar; oturumu kapattığında bu kopya oradan silinir. Bir okuma bağlantısı oluşturursan, bağlantıya sahip herkes listenin adını ve kartları görür – azami fiyat, not ve hesap görünmez. Bağlantıyı istediğin zaman geri çekebilirsin. Listeleri kendin silersin; hesabın silindiğinde tüm eksik listeleri de silinir.

3. Hukuki dayanaklar

Veri işleme, kullanım sözleşmesinin ifası için (GDPR m. 6/1 (b)), hukuki yükümlülüklerin yerine getirilmesi için (GDPR m. 6/1 (c)) ve güvenli bir platform işletimine ilişkin meşru menfaatimize dayanarak (GDPR m. 6/1 (f)) yapılır.

4. Kullandığımız hizmet sağlayıcılar

Aşağıdaki hizmet sağlayıcıları kullanıyoruz. Veri işleyenlerin her biriyle GDPR m. 28 uyarınca bir sözleşme bulunmaktadır.

• Vercel (Vercel Inc., ABD) – web sitesinin barındırılması. Bu projenin sunucu işlevleri Dublin, İrlanda bölgesinde (dub1) çalışır. Veri işleyen. [Veri işleme sözleşmesini onayla – Vercel panelinde Settings, Legal altında]
• Supabase (Supabase Inc., ABD) – veri tabanı, kullanıcı hesapları, dosya depolama ve sohbetin gerçek zamanlı güncellenmesi. Veriler eu-west-1 bölgesinde (İrlanda) tutulur. Veri işleyen. [Veri işleme sözleşmesini onayla – Supabase organizasyon ayarlarında]
• Resend (Resend, Inc., ABD) – bildirim e-postalarının gönderilmesi. E-posta adresi ve ilgili mesajın içeriği iletilir. Veri işleyen; işleme ABD'de gerçekleşir. [Veri işleme sözleşmesini onayla ve ABD'ye aktarımın dayanağını belirt – yeterlilik kararı (Data Privacy Framework) ya da standart sözleşme hükümleri]
• Cloudflare (Cloudflare, Inc., ABD) – Turnstile, giriş ve iletişim formlarında otomatik isteklere karşı bir kontrol. IP adresi ve tarayıcının teknik özellikleri işlenir. Veri işleyen; ABD'de işleme mümkündür. [Veri işleme sözleşmesini onayla (Cloudflare Data Processing Addendum) ve ABD'ye aktarımın dayanağını belirt – yeterlilik kararı (Data Privacy Framework) ya da standart sözleşme hükümleri]
• Stripe (Stripe Payments Europe, Limited, İrlanda, ve Stripe, Inc., ABD) – ücretli üyeliğin, kullanıcılar arasındaki ödemelerin ve satıcılara yapılan ödeme aktarımlarının yürütülmesi. Stripe, ödeme verilerini büyük ölçüde bağımsız bir veri sorumlusu olarak ve bizim adımıza değil, özellikle kendi düzenleyici yükümlülüklerini yerine getirmek için (kara para aklamanın önlenmesi, satıcıların kimlik doğrulaması) işler. Bu işleme için Stripe'ın gizlilik politikası geçerlidir. Stripe'ın hangi ödeme yöntemlerini sunduğu ve bunların arkasında hangi hizmetlerin bulunduğu, bölüm 2'de “Satın almada ödeme yöntemleri” başlığı altında yer alır.
• Google (Google Ireland Limited, İrlanda, ve Google LLC, ABD) – isteğin üzerine Google ile giriş, uygulamadaki bildirimler (Firebase Cloud Messaging) ve iletişim formundan gelen mesajların ulaştığı e-posta kutumuz (Gmail). Firebase Cloud Messaging ve posta kutusu için Google veri işleyendir; ABD'de işleme mümkündür. [Veri işleme sözleşmesini onaylayın (Firebase: Data Processing and Security Terms) ve ABD'ye aktarımın dayanağını belirtin; posta kutusu için veri işleme sözleşmesi olan bir hesap (Google Workspace) veya kendi alan adı altında bir posta kutusu seçin]
• YouTube (Google Ireland Limited, İrlanda, ve Google LLC, ABD) – satıcıların masa sayfalarındaki canlı yayınları. Oynatıcı yalnızca “Yayını yükle”ye dokunduğunda yüklenir; öncesinde YouTube ile hiçbir bağlantı yoktur. Ardından Google diğerlerinin yanı sıra IP adresini, tarayıcın ve cihazın hakkındaki bilgileri ve görüntülediğin sayfayı alır ve çerez yerleştirebilir; ABD'de işleme mümkündür (Data Privacy Framework). Gelişmiş gizlilik modunu kullanıyoruz (youtube-nocookie.com). Hukuki dayanak, tıklamayla verdiğin rızadır (GDPR md. 6/1-a, TDDDG § 25/1). YouTube'daki işleme için Google'ın gizlilik politikası geçerlidir.

5. Çerezler ve yerel depolama

Yalnızca teknik olarak zorunlu çerezler ve yerel depolama kullanırız: olmadan hesabın kullanılamayacağı giriş çerezleri; en son seçilen dili içeren bir çerez (bir yıl); uygulamada, uygulama görünümünü işaretleyen bir çerez (30 dakika); dil önerisine verilen yanıtı içeren bir çerez (bir yıl); kodla giriş yaparken ve şifre sıfırlanırken, kodun eşleştirilebilmesi için girilen e-posta adresini içeren bir çerez (bir saat); 18 yaşından küçük bir doğum tarihi girildikten sonra kaydı engelleyen bir çerez (24 saat); lansmana kadar önizlemeye erişim sağlayan bir çerez (en fazla 180 gün); ve bir satıcının ekibine katılırken daveti içeren bir çerez (bir saat). Tarayıcının kendisinde (localStorage veya sessionStorage) en son kullanılan arama terimleri, açık ve koyu görünüm arasındaki seçim, talep sepetinin içeriği, kapatılmış bir değerlendirme hatırlatması ve oluşturulurken bir ürünün taslağı saklanır – bu kayıtlar cihazda kalır.

Analiz ya da pazarlama araçları kullanmıyoruz. Bu nedenle bir onay banner'ı gerekli değildir.

İşletmeci için not, kullanıcılar için değil: [Bir analiz ya da pazarlama aracı eklendiği anda bu noktada bir onay banner'ı zorunlu hâle gelir ve yukarıdaki paragrafın değiştirilmesi gerekir]

6. Saklama süresi

Hesap verilerini hesap var olduğu sürece saklarız. Yukarıda belirtilen adrese yapılan talep üzerine bir hesabı sileriz; saklamak zorunda olduğumuz ya da saklamamıza izin verilen veriler bunun dışındadır.

Hesabını istediğin zaman kendin silebilirsin: “Hesabım” → “Hesabı sil” altından. Bunun koşulu, devam eden hiçbir siparişin kalmamasıdır. Giriş bilgilerin, profilin, teslimat adresin, arama ilanların, kayıtlıların, favorilerin, eksik listelerin, bildirimlerin, oyların ve uyarıların hemen silinir; devam eden bir üyelik sona erer. Masan ve kartların katalogdan kaldırılır. Saklamak zorunda olduğumuz veriler – sipariş, ödeme ve fatura verileri ile satıcıların vergi bilgileri – yasal süre boyunca kilitli olarak saklanır; profilin ise bu durumda anonimleştirilir. Sohbet geçmişleri ve değerlendirmeler karşı taraf için okunabilir kalır; adının yerinde “Silinmiş hesap” yazar. Saklamanın hukuki dayanağı, § 147 AO (Alman Vergi Usul Kanunu) ve § 257 HGB (Alman Ticaret Kanunu) ile bağlantılı olarak GDPR m. 6/1 (c) hükmüdür; sohbetlerin gösterilmeye devam etmesinin dayanağı ise bizim ve karşı tarafın izlenebilir bir işleme ilişkin meşru menfaatidir (GDPR m. 6/1 (f)).

Sohbetleri ne kadar süre sakladığımız, bölüm 2'de “Sohbetler ve saklanmaları” başlığı altında yer alır. Tüm sürelere genel bakışı bu bölümün sonundaki tablo verir.

Sipariş, ödeme ve fatura verilerini ticaret ve vergi hukukunun kurallarına göre saklarız: § 147 Abgabenordnung (Alman Vergi Usul Kanunu) ve § 257 Handelsgesetzbuch (Alman Ticaret Kanunu) uyarınca, siparişin tamamlandığı takvim yılının sonundan itibaren hesaplanmak üzere on yıl. Bu süre boyunca veriler, başka herhangi bir işlemeye karşı kilitlidir.

Uyarıları ve kilitleme sürelerini, kötüye kullanımın önlenmesi için artık gerekli olmadıklarında sileriz.

Silme sürelerine genel bakış

Bu tablo hangi verileri ne kadar süre sakladığımızı özetler. Kilitli şu anlama gelir: Veriler yalnızca belirtilen amaç için saklanır ve başka şekilde işlenmez.

7. Hakların

Bilgi alma, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği ve itiraz haklarına sahipsin. Ayrıca bir veri koruma denetim makamına şikâyette bulunma hakkın vardır. Yetkili makam: Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

Otomatik kararlar: Bazı adımlar otomatik olarak işler: üç uyarıdan sonra sohbet kilidi, eşiğe ulaşan bireysel satıcılar için inceleme molası ve bir alıcı teslimi kendisi onayladıktan sonra bir ödemeyi ters ibrazla geri aldırırsa, bir satıcı kısmi takasta alıcının kartlarını süresi içinde geri göndermezse ya da bir satıcı 90 gün içinde kendi kusuruyla iki ters ibraz kaybederse hesabın kilitlenmesi. Bu adımların hepsi geçicidir. İstediğin zaman durumun bir insan tarafından incelenmesini talep edebilir, görüşünü açıklayabilir ve karara itiraz edebilirsin (GDPR m. 22/3) – en kolayı iletişim formu üzerinden. Hesabının veya satışlarının kalıcı olarak engellenmesine her zaman bir insan karar verir.