Gizlilik Politikası ve KVKK Aydınlatma Metni

1. Hangi verileri işliyoruz?

• Hesap verileri (organizatörler): ad, e-posta adresi, saat dilimi, çalışma alanı adı ve görünüm ayarları. Parolanız yalnızca geri döndürülemez bir özet (hash) olarak saklanır; bizim tarafımızdan okunamaz.
• Randevu verileri: randevu alan kişinin (davetli) adı, e-posta adresi, saat dilimi, randevu sorularına verdiği yanıtlar ve notları, randevu tarihi ve saati.
• Google Takvim verileri (yalnızca takviminizi bağlarsanız): müsaitlik bilgisi (meşgul/boş zaman aralıkları) ve Tarihal'ın sizin adınıza oluşturduğu randevu etkinlikleri. Ayrıntı 2. bölümde.
• Teknik veriler: oturum çerezi, güvenlik ve hata günlükleri. İstek sayısını sınırlamak için IP adresiniz, geri döndürülemez anahtarlı bir özete çevrilerek kısa süreli kullanılır.
• E-posta gönderim kayıtları: doğrulama, şifre sıfırlama, davet ve randevu bildirimlerinin teslim durumu.

2. Google kullanıcı verileri

Takvim bağlantısını siz başlatırsanız Tarihal, Google hesabınız için şu izinleri ister: kimliğinizi ve e-posta adresinizi görmek (openid, e-posta), takviminizdeki müsaitlik bilgisini görmek (calendar.freebusy) ve randevular için takviminizde etkinlik oluşturmak, güncellemek ve silmek (calendar.events).

Bu verileri yalnızca şu amaçlarla kullanırız: boş saatlerinizi hesaplamak, çakışan randevuları engellemek ve onaylanan, ertelenen ya da iptal edilen randevuları takviminize yansıtmak. Çakışmaları bulmak için takviminizdeki etkinliklerin yalnızca saatlerini, durumunu ve meşgul/boş işaretini isteriz; etkinlik başlıklarını, açıklamalarını, katılımcılarını veya konumlarını Google'dan istemeyiz ve saklamayız. Müsaitlik bilgisi yalnızca hesaplama sırasında bellekte kullanılır ve saklanmaz. Sakladığımız tek etkinlik bilgisi, Tarihal'ın sizin için oluşturduğu randevu etkinliklerinin kimliği ve sürüm etiketidir.

Google erişim anahtarlarınız (token) şifrelenerek saklanır. Google kullanıcı verilerini satmayız, reklam için kullanmayız, yapay zekâ modellerini eğitmek için kullanmayız ve üçüncü taraflarla paylaşmayız. Takvim bağlantısını Tarihal'daki Entegrasyonlar sayfasından ya da Google hesabınızın güvenlik ayarlarından istediğiniz an kaldırabilirsiniz. Bağlantıyı Tarihal'dan kaldırdığınızda erişimi Google'da iptal eder, ardından saklanan erişim anahtarlarını sileriz.

Tarihal, Google Workspace API'leri (Google Takvim API'si dâhil) aracılığıyla elde edilen verileri genelleştirilmiş yapay zekâ ve/veya makine öğrenimi modellerini geliştirmek, iyileştirmek veya eğitmek için kullanmaz ve bu amaçla saklamaz.

Tarihal'ın Google API'lerinden aldığı bilgileri kullanması ve başkalarına aktarması, Sınırlı Kullanım gereklilikleri dâhil olmak üzere Google API Hizmetleri Kullanıcı Verileri Politikası'na uygundur.

3. Verilerinizi nasıl koruyoruz?

Google erişim anahtarları ve kişisel veriler dâhil tüm hassas verileri şu teknik ve idari önlemlerle koruruz:

• Aktarım sırasında şifreleme: tarihal.com'a yapılan tüm bağlantılar HTTPS (TLS) ile şifrelenir ve tarayıcılar HSTS ile yalnızca HTTPS kullanmaya zorlanır. Google API'leriyle ve e-posta sağlayıcımızla iletişim de TLS ile şifrelidir. Uygulama ile veritabanı arasındaki bağlantı, sertifika doğrulamalı TLS kullanır.
• Depolamada şifreleme: Google erişim ve yenileme anahtarları (token), veritabanına yazılmadan önce AES-256-GCM ile şifrelenir; şifreleme anahtarı veritabanından ayrı tutulur. Parolalar yalnızca tuzlanmış scrypt özeti olarak saklanır. Veritabanı yedekleri sunucudan çıkmadan önce AES-256 ile şifrelenir.
• Erişim denetimi: her çalışma alanının verisi, veritabanı düzeyinde satır güvenliği (row-level security) ile diğer hesaplardan ayrılır; uygulama yalnızca gerekli yetkilere sahip ayrı veritabanı rolleriyle çalışır. Veritabanı internete açık değildir.
• Sunucu güvenliği: sunuculara yalnızca hizmetin işletmecisi, parola girişi kapalı SSH anahtarlarıyla erişebilir; uzaktan root girişi kapalıdır. Uygulama gizli anahtarları, kaynak kodun dışında, kısıtlı dosyalarda tutulur.
• Uygulama güvenliği: oturum çerezleri HttpOnly, Secure ve SameSite olarak ayarlanır; tarayıcıda içerik güvenlik politikası (CSP) uygulanır; giriş ve randevu uçlarında istek sınırlaması vardır.
• Veri en aza indirme: Google'dan yalnızca hizmet için gereken en dar izinleri ister, takviminizdeki etkinliklerin içeriğini almayız (bkz. 2. bölüm).
• Olay müdahalesi: verilerinizi etkileyen bir güvenlik ihlali fark edersek etkilenen kullanıcıları ve yasaların gerektirdiği makamları gecikmeden bilgilendiririz.

4. İşleme amaçları ve hukuki sebepler

• Hesabınızı oluşturmak, randevu sayfalarını yayınlamak ve randevuları yönetmek: sözleşmenin kurulması ve ifası (KVKK m.5/2-c).
• Hesap güvenliği, kötüye kullanımın ve aşırı isteklerin önlenmesi: meşru menfaat (KVKK m.5/2-f).
• Yasal yükümlülüklerin yerine getirilmesi: kanuni yükümlülük (KVKK m.5/2-ç).
• Takvim bağlantısı: açık rızanıza dayanır; bağlantıyı kaldırarak rızanızı geri çekebilirsiniz.

5. Verilerin aktarıldığı taraflar

Verilerinizi satmayız ve reklam amacıyla kullanmayız. Hizmetin çalışması için şu hizmet sağlayıcılarla çalışırız:

• Barındırma: Hetzner altyapısındaki bir sunucu (Avrupa).
• E-posta gönderimi: Resend (AWS altyapısı, İrlanda bölgesi) – doğrulama, davet ve randevu e-postaları.
• Yedekleme: şifrelenmiş veritabanı yedeklerinin kopyaları, hizmetin işletmecisinin kontrolündeki bir yedekleme sunucusunda (ABD) ve Cloudflare R2 depolamasında, şifreli yedek arşivlerinde saklanır.
• Google: yalnızca takvim bağlantısını kullanırsanız.

6. Yurt dışına aktarım

Sunucularımız ve e-posta altyapımız Türkiye dışındadır; dolayısıyla verileriniz yurt dışında işlenir. Aktarım, KVKK m.9 kapsamında ve gerekli güvenlik önlemleriyle yapılır.

7. Saklama süresi ve silme

• Hesap ve randevu verileri, hesabınız açık olduğu sürece saklanır. Silme talebinizi bize ilettiğinizde hesabınız ve ilişkili verileriniz silinir.
• Şifrelenmiş yedekler ana sunucuda en fazla 14 gün, şifreli yedek kopyaları ise en fazla 6 ay saklanır; silinen veriler bu süre içinde yedeklerden de çıkar. Yedekler yalnızca geri yükleme için kullanılır.
• Oturum çerezi, oturum süresi dolduğunda geçersiz olur.

8. Çerezler

Yalnızca zorunlu çerezler kullanırız: oturum çerezi (giriş durumunuz), randevu yönetimi için güvenlik çerezleri ve dil tercihiniz. Analitik, reklam veya izleme çerezi kullanmayız.

9. Haklarınız (KVKK m.11)

Kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı tarafları bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, otomatik sistemlerle analiz sonucu aleyhinize bir sonuca itiraz etme ve zarara uğramanız hâlinde tazminat talep etme haklarına sahipsiniz. Başvurularınızı destek@tarihal.com adresine iletebilirsiniz.

10. Değişiklikler

Bu metni gerektiğinde güncelleriz. Önemli değişiklikleri hizmet içinde veya e-posta ile duyururuz; güncel sürüm her zaman bu sayfadadır.