Gizlilik politikası

1. Veri sorumlusu

GDPR (AB Genel Veri Koruma Yönetmeliği) madde 4 bent 7 anlamında kişisel verilerin işlenmesinden sorumlu olan:

Event Paradies Nimaro GmbH
Eibenweg 23
15827 Blankenfelde-Mahlow, Almanya
Telefon: +49 155 611 020 74
E-posta: info@event-paradies.de

Diğer bilgiler künyede yer almaktadır. Veri korumaya ilişkin sorularınız için info@event-paradies.de adresine bir mesaj göndermeniz yeterlidir.

2. Rol dağılımı

Hizmet, kutlamasının fotoğraflarını toplamak isteyen bir ev sahibi tarafından satın alınır. Kutlama özel nitelikteyse, misafirlerin fotoğrafları için GDPR madde 2 fıkra 2 bent c’deki ev içi faaliyet istisnası uygulanır. Ev sahibi hizmeti yalnızca özel amaçla değil de örneğin bir şirket kutlaması için, bir otel ya da bir dernek olarak kullanıyorsa, bu veriler bakımından veri sorumlusu kendisidir; işletmeci ise onun adına GDPR madde 28 anlamında veri işleyen olarak hareket eder. Bu durumda geçerli kurallar veri işleme sözleşmesinde (Almanca) yer alır. Ev sahibinin kendi müşteri verileri — hesap, sipariş, fatura — bakımından ise veri sorumlusu işletmecinin kendisidir.

3. Veriler nerede saklanır

Fotoğraflar, videolar ve bunlara ait tüm bilgiler Amazon Web Services’in Almanya’daki bir veri merkezinde saklanır ve orada sunucu tarafında şifrelenir. Aktarım şifreli olarak gerçekleşir. Veriler yalnızca bu veri merkezinde saklanır ve işlenir; üçüncü ülkelere hiçbir veri aktarmıyoruz.

Sözleşme ortağımız, merkezi Lüksemburg’da bulunan Amazon Web Services EMEA SARL’dır. Bu şirketin ana şirketi Amerika Birleşik Devletleri’nde yerleşiktir. Oradan erişim, veri işleme sözleşmesi uyarınca yasaktır ve teknik olarak öngörülmemiştir; ancak ana şirketi ABD’de bulunan her sağlayıcıda olduğu gibi, bu erişim kesin olarak dışlanamaz. Veriler depolandıkları yerde şifreli olduğu, Almanya’da kaldığı ve belirtilen sürelerin sonunda silindiği için bunu makul buluyoruz. Bu kalan riski üstlenmek istemeyenlerin hizmeti kullanmaması gerekir.

4. Misafir verileri

Bir galeriyi bağlantı veya QR kod üzerinden açan kişi bir kez adını girer. İşlenen veriler şunlardır:

• Girilen ad. Kimden geldikleri anlaşılsın diye yüklenen fotoğrafların yanında ve fotoğraf görevlerinin sıralama tablosunda görünür.
• Yüklenen fotoğraflar ve videolar, yükleme zamanı ve görsel verilerindeki çekim zamanı ile birlikte. Görsel verilerinin geri kalanını değerlendirmiyor ve veritabanımızda saklamıyoruz. Özgün dosyanın kendisi değiştirilmeden saklanır — indirme sırasında tam kalitenin korunmasının tek yolu budur. Bu nedenle kameranın yazdığı bilgileri, çekim yeri dahil, hâlâ içerebilir. Galeride gösterilen önizleme ve görüntüleme görselleri yeniden hesaplanır ve bu bilgileri taşımaz; videolarda görüntüleme sürümünde korunur. Çekim yerini paylaşmak istemeyenler, telefonlarının kamera uygulamasında bu ayarı kapatabilir.
• Verilen kalpler ve tamamlanan fotoğraf görevleri, ilgili kanıt fotoğrafı ve zamanı ile birlikte.
• Anı defteri kayıtları (ev sahibi bu özelliği açtıysa): yazılan metin, imza olarak misafirin adı, zaman ve en fazla üç ekli fotoğraf veya video. Ekli dosyalar diğer tüm galeri görselleri gibi saklanır ve silinir. Kayıtlar, galeriyi açma yetkisi olan herkes tarafından görülebilir. Misafir kendi kaydını istediği zaman kaldırabilir; ev sahibi ise kaydı gizleyebilir veya silebilir ve kayıtla birlikte ekleri de kaybolur. Ev sahibi görünür kayıtları fotoğraflarıyla birlikte yazdırmak üzere PDF olarak indirebilir. Bu dosya her istekte yeniden oluşturulur ve tarafımızca saklanmaz.
• Cihazın tarayıcısında rastgele bir tanımlayıcı; böylece misafir galeriyi yeniden açtığında tanınır, adını yalnızca bir kez girmesi yeterli olur ve ilerlemesi korunur.
• Onayın zamanı ve metin sürümü; misafir bu onayı galeriye katılırken verir.

Hukuki dayanak GDPR madde 6 fıkra 1 bent b’dir — işleme, misafirin galeriyi açarak yararlandığı hizmetin sunulması için gereklidir.

5. Katılım sırasında verilen onay

Galeriyi ilk kez açan her misafir şunu onaylar: “Yalnızca hakkına sahip olduğum fotoğraf ve videoları yüklüyorum; görüntülerde yer alan kişiler de buna onay vermiştir.” Bu onay, yüklenen görseller üzerindeki haklarla, özellikle de görsellerde yer alan kişilerin kişilik haklarıyla ilgilidir. Başkalarının tanınabildiği görseller yükleyen kişinin, bu kişilerin iznini alması gerekir.

6. Ev sahibi verileri

• E-posta adresi ve ad; giriş yapmak ve galeriyi yönetmek için. Giriş şifresiz, e-postayla gönderilen ve süreyle sınırlı bir bağlantı üzerinden yapılır.
• Fatura adresi, kurumsal müşterilerde ek olarak şirket unvanı ve KDV kimlik numarası, isteğe bağlı olarak da sorular için bir telefon numarası. Bu bilgiler yalnızca ücretli paketlerde alınır.
• Sipariş verileri: paket, tutar, ödeme durumu ve sipariş anındaki fatura adresinin bir anlık kopyası. İndirim kodu kullanıldıysa kod ve indirim tutarı da buna dahildir — her ikisi de belgede yer almalıdır ve aynı kodun aynı hesaptan birden fazla kez kullanılmasını önlemek için de gereklidir. Ücretli siparişlerde ayrıca müşterinin hizmetin hemen başlamasını ne zaman onayladığı ve bu sırada metnin hangi sürümünün geçerli olduğu kaydedilir — bu, cayma hakkı bakımından ispat için gereklidir.
• Genel İşlem Şartları’nın kabul edildiği zaman ve sürüm; ev sahibi bu kabulü sipariş verirken beyan eder. Bu kayıt olmadan, sözleşmesine hangi şartların uygulandığı sonradan kanıtlanamazdı.
• Galeri için bir kapak görseli (ev sahibi yüklerse). Misafirlerin görselleriyle tamamen aynı şekilde saklanır, yalnızca galeri bağlantısı üzerinden erişilebilir ve bağlantı paylaşılırken asla önizleme görseli olarak kullanılmaz. Görselde kişiler tanınabiliyorsa, yüklenen tüm görsellerde olduğu gibi ev sahibinin bu kişilerin iznini alması gerekir.
• Gönderilen süre sonu hatırlatmalarının zamanları. Ücretli paketlerde ev sahiplerine, kararlaştırılan saklama süresinin bitiminden on dört gün ve üç gün önce, görsellerini indirmelerini hatırlatan bir e-posta gönderilir. Tekrarlanmamaları için yalnızca bu bildirimlerin ne zaman gönderildiği saklanır.

Hukuki dayanak, sözleşmenin ifası için GDPR madde 6 fıkra 1 bent b’dir — kararlaştırılan tarihte silme sözleşmenin bir parçası olduğundan süre sonu hatırlatmaları da buna dahildir — ve ticaret ve vergi mevzuatının zorunlu kıldığı fatura verilerinin saklanması için GDPR madde 6 fıkra 1 bent c’dir. Bunlar mevcut sözleşmeye ilişkin hizmet bildirimleridir, reklam değildir.

7. Çerezler

Yalnızca teknik olarak zorunlu çerezler kullanılır. Analiz veya reklam çerezleri kullanılmaz, erişim ölçümü ve takip yapılmaz. Bu nedenle bir çerez onay banner’ı gerekli değildir. Üçüncü taraf sunuculardan da hiçbir içerik yüklenmez — yazı tipleri, simgeler ve betikler kendi sunucumuzda bulunur; böylece bir sayfa açıldığında üçüncü kişilerle hiçbir bağlantı kurulmaz.

• Misafir oturumu — tanımlayıcıyı ve adı içerir, imzalıdır ve betikler tarafından okunamaz, süresi bir yıldır, her kutlama için ayrıdır.
• Ev sahibi oturumu — hesap tanımlayıcısını içerir, imzalıdır ve betikler tarafından okunamaz, süresi 30 gündür. Sonrasında bağlantı ile yeniden giriş yapmak gerekir.
• Devredilen yönetim erişimi — yalnızca bir müşteri tek bir kutlamanın yönetimini başka birine devrettiyse, örneğin bir otel kutlamayı yapan çifte. Yalnızca o tek kutlamanın tanımlayıcısını içerir, imzalıdır ve betikler tarafından okunamaz, süresi 90 gündür. Ne hesabı ne de başka kutlamaları açar ve istendiği zaman geri alınabilir.
• Erişim kanıtı — yalnızca erişim kodlu galerilerde, kodun girildiğini kaydeder. Aynı türden ikinci bir çerez, kullanılan projeksiyon kodunu hatırlar ve yalnızca büyük ekranı açar. Süresi her biri için 90 gündür.
• Dil seçimi — arayüzün hangi dilde gösterileceğini hatırlar. Yalnızca biri dil değiştiriciyi bizzat kullandığında oluşturulur, yalnızca seçilen dilin iki harfli kodunu (örneğin “de” veya “tr”) içerir ve hiçbir kişisel bağlantısı yoktur. Süresi bir yıldır.
• Açık veya koyu görünüm — çerez değil, kendi tarayıcınızın belleğinde (localStorage) bir kayıttır. Yalnızca biri web sitesinde açık görünümü seçtiğinde oluşturulur, yalnızca “hell” (Almanca “açık”) değerini içerir ve bize asla iletilmez. Koyu görünüme geri dönen kişi bu kaydı da silmiş olur.
• Yönetim paneli girişi — yalnızca işletmeci olarak bizi ilgilendirir; müşterileri veya misafirleri ilgilendirmez. Bir çerez oturum açılmış durumu tutar (süresi on iki saat), ikincisi giriş sırasındaki ara durumu (on dakika), üçüncüsü ise e-postadaki kodun her girişte gerekmemesi için onaylanmış bir cihazı hatırlar (30 gün). Üçü de imzalıdır ve betikler tarafından okunamaz.

8. Kötüye kullanıma karşı koruma

Kimsenin başkasının posta kutusunu giriş bağlantılarıyla doldurmaması, dört haneli bir erişim kodunu deneme yoluyla bulmaması veya bir galeriyi yüklemelerle doldurmaması için sunucu, aynı işlemin kısa süre içinde aynı yerden kaç kez geldiğini sayar. Bunun için isteğin IP adresi, zaman bilgileriyle birlikte yalnızca çalışma belleğinde tutulur ve en geç bir saat sonra silinir — ne bir veritabanına ne de kalıcı bir dosyaya yazılır ve başka verilerle birleştirilmez. Hukuki dayanak GDPR madde 6 fıkra 1 bent f’dir: hizmeti ve üçüncü kişilerin posta kutularını otomatik kötüye kullanıma karşı korumaya yönelik meşru menfaat.

Ayrıca formlar, sizin göremediğiniz iki giriş alanı ile sayfanın yüklenmesi ve formun gönderilmesi arasındaki sürenin ölçümünü içerir. Her ikisi de yalnızca insanı otomatik bir programdan ayırt etmeye yarar: Bir insan gizli alanları dolduramaz ve yazmak için birkaç saniyeye ihtiyaç duyar. Bu sırada hiçbir kişisel veri toplanmaz, çerez oluşturulmaz ve hiçbir şey saklanmaz — değerler form ile bir kez iletilir, kontrol edilir ve silinir. Davranışlarınız analiz edilmez ve hiçbir üçüncü taraf hizmeti dahil edilmez; bu nedenle bir bulmaca (“captcha”) çözmeniz gerekmez. Hukuki dayanak yine GDPR madde 6 fıkra 1 bent f’dir.

9. Alıcılar ve hizmet sağlayıcılar

• Amazon Web Services EMEA SARL — fotoğrafların ve videoların saklanması, Almanya’da veri merkezi. Bir veri işleme sözleşmesi mevcuttur.
• goneo Internet GmbH, Minden — e-postalarımızın (giriş bağlantısı, sipariş onayı, süre sonu öncesi hatırlatma) orada tutulan posta kutusunun giden posta sunucusu üzerinden gönderilmesi. Sunucular Almanya’dadır.
• Stripe Payments Europe Ltd., Dublin — ücretli paketlerde ödemelerin gerçekleştirilmesi. Kart numaraları veya banka bilgileri gibi ödeme verileri yalnızca orada girilir ve işletmeci tarafından hiçbir zaman görülemez.
• PayPal (Europe) S.à r.l. et Cie, S.C.A., Lüksemburg — yalnızca ödeme sırasında ödeme yöntemi olarak PayPal’ı seçmeniz halinde. Bu durumda ödeme PayPal’da tamamlanır; bunun için gerekli bilgiler, özellikle tutar ve sipariş numarası iletilir. PayPal bu verileri kendi gizlilik politikası uyarınca bağımsız veri sorumlusu olarak işler. Hukuki dayanak GDPR madde 6 fıkra 1 bent b’dir.
• Klarna Bank AB (publ), Stockholm — yalnızca ödeme sırasında ödeme yöntemi olarak Klarna’yı seçmeniz halinde. Bunun için gerekli bilgiler, özellikle tutar ve sipariş numarası iletilir. Klarna bu verileri kendi gizlilik politikası uyarınca bağımsız veri sorumlusu olarak işler. Hukuki dayanak GDPR madde 6 fıkra 1 bent b’dir.
• Amazon Payments Europe s.c.a., Lüksemburg — yalnızca ödeme sırasında ödeme yöntemi olarak Amazon Pay’i seçmeniz halinde. Bunun için gerekli bilgiler, özellikle tutar ve sipariş numarası iletilir. Amazon Payments bu verileri kendi gizlilik politikası uyarınca bağımsız veri sorumlusu olarak işler. Hukuki dayanak GDPR madde 6 fıkra 1 bent b’dir.
• Barındırma hizmeti sağlayıcısı; uygulama onun sunucularında çalışır. Siteye erişildiğinde orada teknik gereklilik olarak, diğerlerinin yanı sıra IP adresi, zaman ve istenen adresi içeren günlük verileri oluşur.

Verilerin başka üçüncü kişilere aktarılması, satılması veya reklam amacıyla kullanılması söz konusu değildir.

10. Saklama süresi ve silme

• Fotoğraflar, videolar, misafir adları, anı defteri kayıtları, kalpler ve tamamlanan görevler ev sahibinin satın aldığı saklama süresi dolduğunda otomatik olarak ve eksiksiz biçimde silinir. Süre, ilk yüklenen görselle başlar, siparişle değil — içinde henüz hiçbir şey olmayan bir galeri süre harcamaz. Bir galeriye hiçbir şey yüklenmezse, girilen etkinlik tarihinden itibaren paket süresi dolduğunda galeriyi sileriz; tarih yoksa siparişten on iki ay sonrasından, deneme paketinde ise siparişin kendisinden itibaren. Etkinlik tarihi en fazla siparişten 24 ay sonrasına kadar dikkate alınır ve hiçbir galeri siparişten 30 günden önce silinmez. Silme tarihi ilgili galeride gösterilir. Ücretli paketlerde silme işlemi kimseyi hazırlıksız yakalamasın diye ev sahibine on dört gün ve üç gün önce e-postayla hatırlatma yaparız; kısa deneme paketinde bu hatırlatma yapılmaz.
• Ev sahibi her şeyi istediği zaman önceden silebilir; bunun için bizimle iletişime geçmesi gerekmez.
• Misafirler kendi görsellerini istedikleri zaman kendileri kaldırabilir.
• Galerinin kapak görseli fotoğraflar ve videolarla birlikte silinir. Aynı saklama süresine tabidir ve bu süreyi aşamaz. Ev sahibi görseli değiştirir veya kaldırırsa önceki görsel hemen silinir.
• İndirmeye hazır arşivler on dört gün sonra silinir.
• Giriş bağlantıları kısa bir süre sonra geçerliliğini yitirir ve ardından kimsenin girişini sağlamaz. İlgili kayıt 400 güne kadar saklanır — yalnızca bir sipariş onayındaki eski bir bağlantıyı tanıyıp size otomatik olarak yenisini gönderebilmemiz için. Zaten bağlantının kendisi değil, yalnızca geri döndürülemez bir kontrol değeri saklanır.
• Yarıda kalan yüklemeler — yani aktarımı başlayan ama hiç tamamlanmayan dosyalar — en geç iki saat sonra, dosyanın yine de ulaşmış olabilecek kısmıyla birlikte kaldırılır.
• Tamamlanmayan siparişleri otuz gün sonra eksiksiz sileriz: oluşturulmuş ama hiç etkinleştirilmemiş galeriyi, siparişi ve — başka hiçbir şey bağlı değilse — bu sırada oluşturulan ad ve adres bilgilerini içeren hesabı. Ödeme işlemini yarıda bırakan kişinin verileri bizde kalıcı olarak saklanmamalıdır.
• Hesap ve sipariş verileri, ticaret ve vergi mevzuatındaki saklama süreleri gerektirdiği sürece saklanır. Böyle bir yükümlülüğün bulunmadığı durumlarda — örneğin hiç ödeme yapılmamış bir deneme galerisi veya partner galerisinde — sipariş, etkinlikle birlikte eksiksiz silinir.
• Sunucu günlük verileri her istekte teknik gereklilik olarak oluşur: IP adresi, zaman, istenen adres, yanıt durumu, daha önce ziyaret edilen sayfa ve tarayıcınızın gönderdiği tanımlayıcı. Bu veriler en geç on beş gün sonra otomatik olarak silinir ve yalnızca hizmetin güvenli işletilmesine, hataların bulunmasına ve saldırıların önlenmesine yarar. Tek tek kişilerin davranışları analiz edilmez ve veriler başka verilerle birleştirilmez. Hukuki dayanak GDPR madde 6 fıkra 1 bent f’dir: işleyen ve saldırılara karşı korunan bir hizmete yönelik meşru menfaat.

11. Görselleri kimler görebilir

Yalnızca ilgili kutlamanın bağlantısına veya QR koduna sahip kişiler. Galeriler herkese açık değildir, arama motorları tarafından dizine eklenmez ve depolama alanına dışarıdan doğrudan erişilemez — her erişim kısa ömürlü, imzalı adresler üzerinden gerçekleşir. Ev sahibi ayrıca bir erişim kodu belirleyebilir ve tek tek görselleri gizleyebilir veya silebilir.

12. İlgili kişilerin hakları

Genel Veri Koruma Yönetmeliği uyarınca şu haklar bulunmaktadır:

• saklanan veriler hakkında bilgi alma (madde 15),
• yanlış verilerin düzeltilmesi (madde 16),
• silme (madde 17),
• işlemenin kısıtlanması (madde 18),
• veri taşınabilirliği (madde 20),
• işlemeye itiraz (madde 21).

Bu hakları kullanmak için info@event-paradies.de adresine bir mesaj göndermeniz yeterlidir. Bundan bağımsız olarak GDPR madde 77 uyarınca, özellikle kendi ikamet yerinizdeki makama olmak üzere, bir veri koruma denetim makamına şikâyette bulunma hakkı vardır.

13. İçerik bildirimleri

Hukuka aykırı olduğunu düşündüğü bir içeriği bize bildiren kişi, bu sırada bize adını, e-posta adresini ve bildirimin gerekçesini iletir. Bu bilgileri bildirimi incelemek, sonucu bildirmek ve süreci belgeleyebilmek için işleriz. Hukuki dayanak, dijital hizmetlere ilişkin (AB) 2022/2065 sayılı Tüzük’ün (Dijital Hizmetler Yasası) 16. ve 17. maddeleriyle bağlantılı olarak GDPR madde 6 fıkra 1 bent c’dir. İlgili müşteriye bir bildirim alındığını ve neyle ilgili olduğunu bildiririz; hukuki takip için gerekli olmadıkça bildirimde bulunan kişinin iletişim bilgilerini bu sırada paylaşmayız. Bir bildirime ilişkin belgeleri, bundan doğan taleplerin ileri sürülebileceği süre boyunca saklarız.

14. Otomatik karar alma yoktur

GDPR madde 22 anlamında otomatik karar alma veya profilleme yapılmaz. Görsel içeriklerin veya yüzlerin otomatik olarak tanınması kullanılmaz.

15. Değişiklikler

Bu açıklama, hizmet değiştiği anda güncellenir. Her zaman burada yayımlanan ve yukarıda tarihi belirtilen sürüm geçerlidir.