Gizlilik Politikası

Bu belge birden fazla dilde yayımlanmaktadır. Dil sürümleri arasında herhangi bir uyuşmazlık olması halinde Lehçe sürüm bağlayıcıdır.

Sürüm 2.3 · Son güncelleme: 29 Ekim 2026

Bu politika, formexposed tarafından hangi kişisel verilerin, ne amaçla, hangi hukuki dayanakla işlendiğini, kime gönderildiğini ve ne zaman silindiğini açıklar. Yalnızca Hizmetin gerçekten yaptıklarını yazarız; belirttiğimiz saklama süreleri silme işlemlerimizin uyguladığı sürelerle aynıdır ve henüz sabit süre bulunmayan yerlerde bunu söyleriz. Geliştirilmiş ancak açılmamış işlevler bu şekilde belirtilir. Hizmet birden fazla insan grubunu etkilediğinden her bölüm kime yönelik olduğunu belirterek başlar:

• formexposed.com veya form.exposed ziyaretçisisiniz: bölüm 3, 4 ve 5.
• Ana sayfada bir alan adını kontrol ettirdiniz: bölüm 6.
• Web siteniz tarayıcı robotumuz tarafından kontrol edildi: bölüm 7 – bu aynı zamanda Art. 14 GDPR kapsamındaki bilgilendirmemizdir.
• Hesabınız var veya bir ekibe davet edildiniz: bölüm 8–18.
• Müşterilerimizden birinin web sitesini ziyaret ediyorsunuz (rozet, eklenti veya gönderim kontrolü bulunan): bölüm 20.
• Bir hakkınızı kullanmak veya şikâyette bulunmak istiyorsunuz: bölüm 26–28.

1. Veri sorumlusu ve iletişim

Bir müşteri adına hareket etmediğimiz ölçüde (bölüm 2), formexposed.com ve form.exposed üzerindeki ve formexposed hizmetindeki kişisel verilerin işlenmesinden sorumlu veri sorumlusu:

LW IT Solutions Company Lukas Wójcik
Sahibi: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Poland
NIP (Polonya vergi kimlik numarası) 7252266190 · KDV kimlik numarası PL7252266190
E-posta: contact@lukaswojcik.com

Bize ulaşmanın diğer yolları destek penceresi (gezinme menüsündeki soru işareti) ve iletişim sayfasıdır. Güvenlik açıklarını lütfen güvenlik açığı bildirim sayfamızdan bildirin.

Veri koruma görevlisi: Atamadık. Bir şahıs işletmesiyiz; temel faaliyetimiz bireyleri büyük ölçekte izlemek veya özel nitelikli veri kategorilerini işlemek değil, web sitelerini ve formları kontrol etmektir (Art. 37(1) GDPR). Gerekçeler İşleme Faaliyetleri Kayıtlarında açıklanmıştır. Veri korumayla ilgili sorularınızı lütfen yukarıdaki e-posta adresine gönderin; doğrudan işletme sahibine ulaşır.

2. Konu ve hangi sıfatla hareket ettiğimiz

formexposed web sitelerinin iletişim formlarını kontrol eder: spam ve kötüye kullanıma karşı korunup korunmadıklarını, taleplerin ulaşıp ulaşmadığını, form doldurulurken hangi üçüncü taraf hizmetlerin yazılanları okuyabildiğini ve bunlardan herhangi birinin değişip değişmediğini. Bunu yaparken kişisel verileri üç sıfatla işleriz. Bu ayrım şekli bir husus değildir: bir taleple kime başvurmanız gerektiğini belirler.

• Veri sorumlusu olarak: kendi web sitelerimizin ziyaretçilerinin, müşterilerimizin ve ekip üyelerinin verileri; faturalandırma ve destek; müşteri hesabına ait olmayan web sitelerinin (ücretsiz kontrol, araştırma, potansiyel müşteri kontrolü) veya müşterinin alan adını henüz doğrulamadığı sitelerin kontrolü bakımından. Bu politika bunu konu alır.
• Veri işleyen olarak: müşterilerimizin Hizmet aracılığıyla işlettiği üçüncü taraf verileri; gönderim kontrolündeki form e-postası kopyaları (bölüm 15), müşteri portalı aboneleri (bölüm 14), kendileri müşteri olmayan uyarı alıcıları (bölüm 10), giriş gerektiren kontrol için test hesapları (bölüm 9) ve alan adı müşteri tarafından doğrulanmış web sitesinde görülebilen kişiler (bölüm 7) bakımından. Bu durumlarda müşteri veri sorumlusudur; her müşterinin kayıt sırasında akdettiği Veri İşleme Sözleşmesi uygulanır.
• Hiçbir sıfatla değil: WordPress eklentimizin ve TYPO3 uzantımızın müşterinin web sitesinde sakladığı ve o siteden çıkmayan veriler bakımından (bölüm 13). O web sitesinin işletmecisi veri sorumlusudur; bizim bunlara erişimimiz yoktur.

Bu politikada “müşteri”, formexposed hesabının sahibini ifade eder. Hesaplar yalnızca işletmelere sunulur; ücretsiz kontrolü herkes hesap olmadan kullanabilir. Hizmet çocuklara yönelik değildir.

3. Sunucular, günlükler ve yedekler

Web sitelerimizi ziyaret eden veya Hizmeti kullanan herkes için.

formexposed hizmetini Polonya'daki kendi sunucularımızda işletiyoruz: veri tabanının bulunduğu web sunucusu ile tarayıcı robotunun ve dil modelinin çalıştığı tarama sunucusu. İkisi aynı dahili ağdadır. Harici barındırma veya bulut sağlayıcısı yoktur. Sunuculara yalnızca işletme sahibi erişebilir.

3.1 Web sunucusu günlüğü

Web sunucusu her istek için IP adresini, tarih ve saati, istenen adresi, durum kodunu, aktarılan veri miktarını, daha önce ziyaret edilen sayfayı (referrer) ve tarayıcı kimliğini (user agent) saklar. Bu, müşteri sayfalarından rozet için yapılan isteklere de uygulanır (bölüm 12). Günlükler günlük olarak döndürülür ve 14 gün sonra silinir.

3.2 Sayfa görüntüleme günlüğü

Ayrıca uygulama her sayfa görüntülemesini kaydeder; arka plan isteklerini, arayüzleri veya rozeti kaydetmez: IP adresi, bundan türetilen ülke, istenen adres ve referrer (rapor veya portal bağlantılarındaki gibi erişim token'larını saklamadan önce maskeleriz), tarayıcı kimliği ve bundan türetilen cihaz türü, işletim sistemi ve tarayıcı bilgileri, dil ve – giriş yaptıysanız – hesap numaranız. Ülkeyi kendi sunucumuzdaki veri tabanıyla belirleriz; bu amaçla IP adresi sunucudan çıkmaz. Destek birimimiz hesabınızı görüntülerse (bölüm 8.5) bu sayfa görüntülemeleri hesabınıza atfedilmez. Kayıtları 60 gün sonra sileriz.

3.3 Hata günlüğü ve hata uyarısı

Teknik hataları zaman, düzey, kaynak, mesaj, teknik bağlam ve varsa hesap numaranızla kaydeder ve 90 gün sonra sileriz. Yeni hata türü oluşursa Hizmet işletme sahibine mesajın ham metnini içeren e-posta (en fazla 400 karakter, temizlenmemiş) ve Telegram üzerinden kısa bildirim gönderir; hatalar birikirse yalnızca bildirim gönderilir; ayrıca hata türlerinin günlük özeti e-postayla iletilir. Telegram mesajı hatanın içeriğini, adres veya kişilerle ilgili bilgi içermeyen sabit bir cümledir. Her hata türü için mesajın bir örneğini, şu anda sabit saklama süresi olmadan tutarız; bir silme süresi belirleyip burada açıklayacağız. Hata mesajlarının kişisel veri içermemesi gerekir; ancak örneğin mesaj girilen bir adresi tekrar ediyorsa bunu dışlayamayız.

3.4 Yedekler

Veri tabanı silme işlemi tamamlandıktan sonra her gece yedeklenir; dolayısıyla yedek, bu saklama sürelerine göre zaten silinmiş olması gereken hiçbir şeyi içermez. Yedekler şu anda veri tabanıyla aynı konumda tutulur ve ayrıca şifrelenmez; ikinci konumda şifreli kopya planlanmaktadır. 14 gün sonra süreleri dolar. Canlı sistemde sildiklerimiz o zamana kadar yedeklerde kalır. Yedekten seçici olarak hiçbir şey çıkarılmaz; yalnızca kayıptan sonra geri yükleme amacı taşır.

Amaç ve hukuki dayanak: Hizmetin işletilmesi ve güvenliği, saldırılara ve kötüye kullanıma karşı savunma, sorun giderme, geri yükleme ve kullanım sayıları. Sonuncusu için yalnızca günlük toplamları (örneğin günlük kayıtlar) kaydederiz; kişiler hakkında bir şey kaydetmeyiz; analiz veya izleme hizmeti kullanmayız. Hukuki dayanak Art. 6(1)(f) GDPR'dır; meşru menfaatimiz güvenli ve istikrarlı işletimdir.

4. Çerezler ve tarayıcıda saklama

Web sitelerimizin ziyaretçileri ve Hizmetin kullanıcıları için.

Ad	Tür	Amaç	Süre
bpid	çerez	Oturum: oturumunuzu açık tutar, formları sahte isteklere (CSRF) karşı korur ve ücretsiz kontrol için oturum başına sınırları sayar	tarayıcıyı kapatana kadar
bp_remember	çerez	yalnızca giriş yaparken “Oturumumu açık tut” seçerseniz: oturumunuzu açık tutar	30 gün
bp_theme	yerel depolama	açık veya koyu temayı seçip seçmediğiniz; giriş yapmış kullanıcılar için seçim hesapta da saklanır	tarayıcı verilerinizi silene kadar

Bu saklama, açıkça talep ettiğiniz Hizmetin çalışması için kesinlikle gereklidir; rıza gerekmez (ulusal hukuka aktarıldığı biçimiyle 2002/58/EC sayılı Direktif Art. 5(3); Almanya'da Telekomünikasyon Dijital Hizmetler Veri Koruma Yasası (TDDDG) § 25(2) no. 2; Polonya'da Elektronik İletişim Yasası, Prawo komunikacji elektronicznej Art. 399). Bağlantılı işlemenin hukuki dayanağı giriş yaptıysanız Art. 6(1)(b) GDPR, aksi halde Art. 6(1)(f) GDPR'dır; bu durumda meşru menfaatimiz formlarımızı sahte isteklere karşı korumak, ücretsiz kontrol sınırlarını uygulamak ve seçtiğiniz görünümü göstermektir.

Reklam veya kitle ölçümü için çerez yerleştirmeyiz. İş ortaklığı programından gelen yönlendirme kodu (bölüm 18) kayda kadar adres içinde taşınır, çerezde değil. Google reCAPTCHA, form gönderildiğinde kendi çerezlerini kullanabilir (bölüm 5).

5. Google reCAPTCHA ve kendi form korumamız

Formlarımızdan birini gönderen herkes için.

Ücretsiz kontrol, başlık aracı, alan adını hariç tutma (opt-out), giriş, kayıt, yeni parola isteme ve belirleme ile destek ve iletişim formlarını Google reCAPTCHA v3 kullanarak otomatik saldırılara karşı koruruz. Sağlayıcı Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland'dır.

Google'ın betiğini sayfa açılır açılmaz değil, yalnızca bu formlardan birini gönderdiğinizde yükleriz. Betik ardından tarayıcı, cihaz ve sayfanın kullanımı hakkında bilgileri okur; IP adresiniz ve varsa Google çerezleriyle birlikte Google'a iletir. Google, formu insanın gönderip göndermediğini değerlendirir. Biz yalnızca bu değerlendirmeyi, geçerli olduğu işlemle birlikte puan olarak alırız. Puan eşiğimizin altındaysa, başka forma aitse veya Google üç saniye içinde yanıt vermezse gönderimi reddederiz; puanı saklamayız. Yeniden deneyebilir veya bize e-postayla yazabilirsiniz. Google verileri ABD'deki Google LLC'ye aktarabilir (bölüm 22) ve ne kadar saklayacağına kendisi karar verir; ayrıntılar Google'ın gizlilik politikasındadır.

Ayrıca bu formlar – yeni parola belirleme formu hariç – üçüncü taraf olmadan kendi korumamızı içerir: insanlara görünmeyen tuzak alan ve çok hızlı gönderilen formların tanınmasını sağlayan imzalı zaman damgası.

Ücretsiz kontrol, kayıt, giriş ve yeni parola isteme formlarını ayrıca, yine üçüncü taraf olmadan çalışan kendi form korumamız formconfirmed ile koruruz. Sayfa açıldığında küçük bir betik sunucumuzdan imzalı bir görev alır; formu kullanmaya başladığınız anda tarayıcınız bu görevi arka planda çözer (iş kanıtı). Sonuç, tek kullanımlık doğrulama belirteci olarak formla birlikte bize ulaşır ve gönderim sırasında bunu kontrol ederiz. Bu sırada IP adresinizi, formun bulunduğu sayfanın adresini, zaman bilgilerini ve insanlara görünmeyen bir alanın doldurulup doldurulmadığını işleriz. Tekrarlanan istekleri tanımak amacıyla IP adresini yalnızca kısaltılmış olarak (IPv4'te son bayt olmadan, IPv6'da yalnızca ilk 48 bit) ve her gün değişen bir anahtarla oluşturulan karma değer (hash) olarak saklarız; bu değer bir saat sonra, kullanılmış doğrulama belirteci ise en geç on bir dakika sonra silinir. Form koruması bu formların içeriğini değerlendirmez. Çerez kullanmaz, tarayıcınızda hiçbir şey saklamaz ve cihazınızın parmak izini oluşturmaz. Geçerli bir doğrulama belirteci yoksa gönderimi reddederiz; hizmetimize görev için erişilemediyse gönderime izin veririz.

Hukuki dayanak: Art. 6(1)(f) GDPR; meşru menfaatimiz bu formları programların kötüye kullanımından, özellikle toplu parola tahminlerinden, otomatik oluşturulan hesaplardan ve ücretsiz kontrolün üçüncü taraf web sitelerine karşı araç olarak kullanılmasından korumaktır. Google'ın betiği yalnızca formu gönderdiğinizde yüklendiği ve yalnızca o gönderime hizmet ettiği için cihazınızdan bilgilerin okunmasını, formu göndererek açıkça talep ettiğiniz hizmeti sunmak bakımından kesinlikle gerekli görüyoruz (§ 25(2) no. 2 TDDDG, Art. 399 Prawo komunikacji elektronicznej). Aynısı kendi form korumamız için de geçerlidir: tarayıcıda yalnızca kullandığınız formun gönderilmesi için gerekli olanı işler. Uzun vadede reCAPTCHA'nın yerini alması amaçlanmaktadır. Gereklilik: reCAPTCHA ve kendi form korumamız olmadan form gönderilemez; sorular için e-posta kullanılabilir.

6. Hesap olmadan ücretsiz kontroller

Ana sayfada bir alan adını kontrol eden veya başlık aracını kullanan herkes için.

6.1 Ücretsiz kontrol

Ana sayfada hesap olmadan bir alan adını kontrol ettirebilirsiniz. Bunun için şunları işleriz:

• girilen alan adı ve kontrolün sonucu (rapor; tarayıcı robotunun bu sırada topladıkları bölüm 7'de açıklanmıştır);
• sınırları uygulamak (adres ve oturum başına günde yalnızca birkaç kontrol; son birkaç gün içinde zaten kontrol edilmiş alan adına yeni kontrol yerine aynı rapor verilir) ve kötüye kullanımı tespit etmek için IP adresiniz, ülkesi, oturumunuzun hash değeri (oturumun kendisi değil), zaman ve isteğin kabul edilip edilmediği. Bu kayıtları 7 gün sonra sileriz;
• tek bir adresten çok sayıda farklı alan adı istenmesi gibi şüpheli davranışlarda IP adresini veya oturumun hash değerini içeren işaret. Durumu inceleyene kadar ve sonrasında 90 gün tutulur. İşletme sahibi bununla ilgili alan adını ve IP adresini içermeyen Telegram bildirimi alır.

Raporun rastgele bağlantısını verdiğiniz herkes rapora erişebilir; arama motorlarının dizine almaması amaçlanır. Raporu, kontrol verileri ve ekran görüntüleriyle birlikte 30 gün sonra sileriz. Ücretsiz rapor bir bölümü gösterir; test gönderimleri olmadan, hesaptakiyle aynı şeyler kontrol edilir.

6.2 Başlık aracı

Güvenlik başlığı aracı alan adının ana sayfasını iki kez (https ve http üzerinden) alıp yanıtı değerlendirir. Alan adını, sonucu ve notu 90 gün saklarız; sınırlar için kontrolle aynı günlük geçerlidir (7 gün). Hariç tutulan alan adı (bölüm 19) burada da kontrol edilmez.

Hukuki dayanak: talep ettiğiniz kontrol için Art. 6(1)(b) GDPR; sınırlar ve kötüye kullanımın önlenmesi için Art. 6(1)(f) GDPR. Meşru menfaatimiz Hizmetin başkalarının web sitelerine karşı araç olarak kötüye kullanılmamasıdır. Gereklilik: alan adı olmadan kontrol yoktur; IP adresi olmadan sunucu size yanıt veremez.

6.3 Rapora ilişkin geri bildirim

Hesaplı veya hesapsız, raporun altındaki “Bu raporda yanlış bir şey mi var?” seçeneğini kullanan herkes için.

Tamamlanmış her raporun altından bir formun eksik olduğunu, yanlış sınıflandırıldığını veya tek bir kontrolün sonucunun yanlış olduğunu bize bildirebilirsiniz. Bunun için şunları işleriz:

• girdikleriniz: seçtiğiniz kategori, isterseniz ilgili kontrol, bir sayfanın adresi ve en fazla 1.000 karakterlik metin;
• geri bildirimin ilişkili olduğu rapor (bağlantı, kontrol ve alan adının kimliği), sayfanın dili ve zaman;
• giriş yaptıysanız hesap kimliğiniz; bu durumda geri bildirimin yanında hesabın e-posta adresini görürüz;
• bir adresten yalnızca az sayıda bildirim gelmesini sağlamak için IP adresinizin tek yönlü sağlama toplamı (gizli anahtarla oluşturulur; saatte 5, günde 20). IP adresinin kendisini geri bildirimle saklamayız; sağlama toplamını 2 gün sonra temizleriz.

E-posta adresi istemeyiz ve geri bildirimlere yanıt vermeyiz. Yanıt isterseniz lütfen desteğe yazın (bölüm 17). Lütfen metne kişisel veri girmeyin. Geri bildirimi okur, sınıflandırır ve yararlı olduğu durumlarda raporun kontrol verilerini (form alanları, gerekçeler ve bulgular; ekran görüntüleri olmadan) tespit sistemimiz için test örneği olarak alırız; bu test örneği sizi değil, kontrol edilen web sitesini açıklar. Geri bildirim raporu değiştirmez.

Hukuki dayanak: Art. 6(1)(f) GDPR; meşru menfaatimiz tespit sistemimizdeki hataları bulup düzeltmektir ve sınır kötüye kullanıma karşı korur. Gereklilik: geri bildirim gönüllüdür. Saklama: 24 ay; hesabınızla birlikte derhal silinir.

7. Tarayıcı robotumuzla web sitelerinin kontrolü – Art. 14 GDPR kapsamında bilgilendirme

Kontrol edilen web sitelerinin işletmecileri ve bilgileri kontrol edilen bir web sitesinde görünen kişiler için. Bu verileri bize siz vermediniz; bu nedenle burada sizi bilgilendiriyoruz.

7.1 Tarayıcı robotunun yaptıkları

Tarayıcı robotumuz FormExposedBot, kontrol başına bir web sitesinin en fazla sekiz herkese açık sayfasını, tarayıcı kullanan ziyaretçi gibi, sırayla alır. Ayrıca çerez banner'ında “Reddet” seçeneğine tıklamak için yeniden yüklediği en fazla üç sayfa, telefon görünümünde en fazla üç sayfa, doğrulanmış alan adlarında test gönderimleri (bölüm 7.3) ve giriş sonrasında en fazla beş sayfa (bölüm 9.4) olabilir. Kontrolden önce robots.txt dosyasını okur: FormExposedBot veya tüm programlar için Disallow ana sayfayı dışlıyorsa kontrol etmez. Şu anda engellenmiş alt yolları tek tek dikkate almaz. Tarayıcı kimliğinde kendisini FormExposedBot olarak tanıtır. Formları inceler ve şunları saklar:

• kontrol edilen sayfaların adresleri ve başlıkları, formların yapısı (alan adları, alan türleri, etiketler, zorunluluk ve görünürlük öznitelikleri; değerler yoktur; önceden doldurulmuş gizli alanların ve data özniteliklerinin başlangıçlarını yalnızca kontrol sırasında okur, saklamaz) ve bulunan koruma önlemleri;
• sayfaların teknik özellikleri: kullanılan CAPTCHA ve spam koruma hizmetleri, üçüncü taraf sağlayıcıların gömülü betikleri (adres ve sağlama toplamı), sayfanın içerik yüklediği ana bilgisayarlar, yerleştirilen çerezlerin adları, güvenlik başlıkları, form erişilebilirliği göstergeleri, çerez banner'ının ret sonrası davranışı ve reklam piksellerinin veya oturum kaydının formlara bağlı olup olmadığı;
• ilk sayfanın görünür alanının ve bulunan her formun ekran görüntüsü; test gönderiminden sonra ayrıca yanıt sayfasının görüntüsü. Bu ekran görüntüleri sansürlenmez; sayfada görülebilenleri gösterir.

Bir form alıcı adresi içeriyorsa yalnızca alan adını saklarız, adresin kendisini asla saklamayız. Sayfaların başka içeriğini saklamayız. Yine de sayfada veya ekran görüntüsünde görülebiliyorsa, örneğin formun yanındaki iletişim kişisinin adı ve fotoğrafı gibi, kişisel veriler etkilenebilir. Kategoriler: işletmecinin kendisinin yayımladığı adlar, görevler, iletişim bilgileri ve görseller. Özel nitelikli veri kategorilerini aramayız ve analiz etmeyiz.

Formları sabit kurallarla sınıflandırırız (örneğin “iletişim” veya “bülten”). Yalnızca kurallar sonuç üretmezse kendi tarama sunucumuzda çalışan dil modeli yardımcı olur; bu şekilde sınıflandırılan formlar asla gönderilmez ve puana veya değerlendirmeye dahil edilmez. Bu süreçte üçüncü taraflara veri gönderilmez ve model bu verilerle eğitilmez. Ayrıntılar: AB Yapay Zekâ Yasası: formexposed AI'ı Nasıl Kullanıyor?.

7.2 Kontrolü kim başlatır?

• ana sayfada alan adı giren biri (bölüm 6);
• kendi web sitesi için WordPress eklentimiz veya TYPO3 uzantımız, hesap olmadan da (bölüm 13);
• hesabındaki alan adı için müşteri (bölüm 9);
• potansiyel müşterinin web sitesi için, test gönderimi olmadan, ajans (bölüm 14);
• iletişim formlarının korunmasına ilişkin araştırma için biz; bu araştırmadan yalnızca web sitesi adları olmadan toplu sayılar yayımlarız.

7.3 Tarayıcı robotunun yapmadıkları

Başkalarının web sitelerini yalnızca pasif kontrol eder: hiçbir form göndermez, giriş bilgilerini denemez ve hiçbir şeye saldırmaz. Test gönderimlerini yalnızca müşterinin hesabında, sahibi olarak veya sahibi adına DNS kaydı, meta etiketi, dosya ya da eklentiyle kontrol etme yetkisini kanıtladığı alan adlarının iletişim formlarına yapar: kişisel veri içermeyen, açıkça işaretlenmiş test mesajları; kontrol başına en fazla beş tane. Böyle bir kanıt olmadan yalnızca kendi test ve demo alan adlarımızın dahili kontrollerinde gönderim yapar. Açık dosya arama, sürüm okuma ve giriş gerektiren kontrol de yalnızca doğrulanmış alan adlarında kullanılabilir (bölüm 9).

7.4 Saklama süresi

Hesapsız kontroller 30 gün; potansiyel müşterinin web sitesi kontrolleri 90 gün; araştırma kontrolleri sonuçları yayımlanana kadar; müşteri hesabındaki alan adı kontrolleri en fazla 13 ay – en yenisi alan adı hesapta olduğu sürece tutulur – ve hiçbir zaman alan adının hesapta bulunduğu süreden uzun değil.

7.5 Hukuki dayanak ve kaynak

Hukuki dayanak Art. 6(1)(f) GDPR'dır. Meşru menfaat, web sitesi işletmecilerine ve hizmet sağlayıcılarına formlarındaki zayıflıkları spam veya kötüye kullanım için kullanılmadan önce göstermek, kontrolü isteyen kişinin sonuca yönelik menfaati ve araştırma durumunda form korumasının durumu hakkında açıklama yapmaktır. Veriler herkese açık kaynaklardan, yani kontrol edilen web sitesinin kendisinden gelir. Alıcılar kontrolü başlatan kişi ve o kişinin rapor bağlantısını verdiği herkes; potansiyel müşteri kontrolünde ayrıca ajanstır. Araştırmadan yalnızca toplu sayılar yayımlarız. Müşteri hesabında doğruladığı alan adını kontrol ederse onun adına hareket ederiz (bölüm 2); doğrulama olmadığı sürece veri sorumlusu kendimiziz. Görünen her kişiye ayrı yazmak yerine bu bilgileri burada ve FormExposedBot sayfasında yayımlarız; özellikle kişiler hakkında yalnızca sayfada bulunanları bildiğimiz için, her birine yazmak imkânsız veya orantısız olacaktır (Art. 14(5)(b) GDPR).

İtiraz ve hariç tutma: Web sitesi işletmecisi olarak alan adınızın daha sonraki kontrollerini robots.txt üzerinden veya kontrol dışında kalma sayfamızdan hariç tutabilirsiniz (bölüm 19). Kontrol edilen sayfada görünen kişiler bölüm 27 uyarınca işlemeye itiraz edebilir ve raporun veya ekran görüntüsünün silinmesini isteyebilir.

8. Müşteri hesabınız

Müşteriler ve davet edilen ekip üyeleri için.

8.1 Kayıt ve hesap

Hesap için e-posta adresinizi ve parolanızı (yalnızca hash olarak; parolanın kendisini bilmeyiz), adınızı ve – sağladığınız ölçüde – soyadınızı ve şirketinizi, ayrıca dili, temayı, para birimini, planı, kayıt ve son giriş zamanlarını ve son girişin IP adresini işleriz. E-posta adresinizi 72 saat geçerli bağlantıyla doğrularsınız; hiç doğrulanmamış hesapları 30 gün sonra sileriz. E-posta adresinizi değiştirirseniz yenisi yalnızca o adrese gönderilen bağlantıyla onaylandıktan sonra geçerli olur.

Hukuki dayanak: Art. 6(1)(b) GDPR (sözleşme); son girişin IP adresi için Art. 6(1)(f) GDPR (hesabınızın korunması, bölüm 8.2). Gereklilik: sözleşmenin kurulması için e-posta adresi, ad ve parola gereklidir; fatura adresinizi ve KDV kimlik numaranızı yalnızca ücretli planlar için Stripe'a sağlarsınız (bölüm 18).

8.2 Giriş ve güvenlik

• parola tahminine karşı e-posta adresi, IP adresi ve sonuçla giriş denemeleri: 7 gün; ayrıca hesap başına (bilinmeyen adres için girilen adres başına), hesap ve IP adresi başına ve IP adresi başına giriş denemeleri; hesap başına iki faktörlü doğrulama denemeleri ve parola onayları; e-posta adresi başına parola sıfırlama e-postaları; IP adresi başına kayıtlar ve portal ile IP adresi başına müşteri portalı parolası denemeleri için sayaçlar. Bunları yalnızca takma adlı anahtar (HMAC) altında, e-posta veya IP adresini açık metin olarak tutmadan saklarız; zaman aralıkları dolunca sona ererler (şu anda 15 dakika; parola sıfırlama ve kayıtlar için bir saat);
• ayarlarda görebilmeniz ve oturumlarını kapatabilmeniz için IP adresi, tarayıcı, işletim sistemi ve cihaz türüyle giriş yapmış cihazlar: son kullanımdan sonra en fazla 90 gün;
• iki faktörlü giriş açıksa bunun gizli anahtarı (şifreli) ve kurtarma kodlarınız (yalnızca hash olarak);
• parola sıfırlama bağlantıları bir saat geçerlidir;
• “alan adı oluşturuldu”, “uyarı ayarlandı” veya “ayarlar değiştirildi” gibi önemli işlemlerin zaman, işlemi yapan hesap, IP adresi ve ülkeyle etkinlik günlüğü: 365 gün.

Hukuki dayanak: Art. 6(1)(f) GDPR; meşru menfaatimiz hesabınızı ve Hizmeti korumak ve birden fazla kişinin çalıştığı çalışma alanındaki değişikliklerin izlenebilirliğidir.

8.3 Sözleşmenin kurulmasına ilişkin kayıt

Kayıt sırasında Hizmet Koşullarının ve Veri İşleme Sözleşmesinin hangi sürümünü kabul ettiğinizi ve bu Gizlilik Politikasının hangi sürümü hakkında bilgi edindiğinizi kaydederiz – her birinde tam metin, hash değeri, zaman, IP adresi ve tarayıcı kimliğiyle birlikte. Bu, sözleşmenin kurulmasının kanıtı olarak kullanılır (Art. 6(1)(b) ve (f) GDPR). Bu kaydı hesap var olduğu sürece tutarız. Hesap silindikten sonra onayın üzerinden dört yıl geçtiğinde kaydı sileriz; çünkü sözleşmenin kurulmasına ilişkin sorular genellikle özellikle sona erdikten sonra ortaya çıkar.

8.4 Çalışma alanları, ekip ve davetler

Hesap bir veya daha fazla çalışma alanında çalışır. Birini davet ederseniz o kişiye çalışma alanının adını (varsayılan olarak şirket adınız veya adınız) ve kabul bağlantısını içeren e-posta göndeririz; davet için ayrıca amaçlanan rolü ve daveti göndereni saklarız. Çalışma alanının üyeleri kimin hangi rolle üye olduğunu görür. Davet edilen kişiyseniz e-posta adresinizi sizi davet eden üyeden aldık (Art. 14(2)(f) GDPR). Kabul edilmeyen davetleri 14 gün sonra süreleri dolduğunda, kabul edilenleri kabulden 30 gün sonra sileriz. İzlenen forma ekipten sorumlu kişi ve düzeltme son tarihi atanabilir; bunun için yalnızca hesaba atamayı ve son tarihi saklarız. Hukuki dayanak: müşteri bakımından Art. 6(1)(b) GDPR; davet edilen kişi bakımından Art. 6(1)(f) GDPR (müşteri o kişiyle çalışmak istiyor).

8.5 Destek birimimizin yardımı

Bir sorunda yardımcı olmak için destek birimimiz hesabınızı sizin gördüğünüz gibi görüntüleyebilir. Böyle her erişim etkinlik günlüğüne kaydedilir ve veri dışa aktarımınızda görünür. Hukuki dayanak: yardım istediyseniz Art. 6(1)(b) GDPR, aksi halde Art. 6(1)(f) GDPR (sorun giderme).

8.6 Dışa aktarma ve silme

Ayarlar altında hesabınız için saklanan verileri JSON dosyası olarak indirebilirsiniz – parola hash'leri, gizli değerler ve diğer üyelerin verileri olmadan. Bu dosya kontrol sonuçlarını, bulguları ve olayları içermez (yalnızca uyarı hedefi başına üst kademeye iletme teslimat denemelerini içerir); bunlar hesapta rapor olarak ve istek üzerine dosya olarak sunulur. Buradan hesabınızı kendiniz de silebilirsiniz; e-posta gerekmez. Devam eden ücretli abonelik, kural olarak iade yapılmadan hemen sona erer (istisnalar Hizmet Koşullarında açıklanmıştır); önce ödenmiş süreyi kullanmak isteyenler Faturalandırma bölümünden dönem sonundan itibaren geçerli olacak şekilde iptal eder. Hesabınıza ilişkin sözleşme başka şekilde, örneğin bizim feshetmemizle sona ererse verilerinizi sözleşme sonuna kadar dışa aktarabilirsiniz; hesabı sözleşme sonundan en geç 30 gün sonra sileriz. Hesapla birlikte çalışma alanlarınızı ve bunlara bağlı verileri derhal sileriz: alan adları, kontrol sonuçları ve ekran görüntüleri, uyarılar, olaylar, kanıt günlükleri, marka ayarları, aboneleri dahil müşteri portalları, potansiyel müşteri kontrollerinizin listesi (bunların raporları 90 günlük süre dolana kadar erişilebilir kalır), API anahtarları, toplu kurulum kodları ve test girişleri. Çalışma alanlarınızdan birinde başka biri çalışmaya devam ediyorsa o çalışma alanı silinmek yerine başka üyeye geçer – önce yöneticilere, aralarından en uzun süredir üye olana. Şunlar kendi saklama süreleri dolana kadar kalır: eski hesap numaranızla etkinlik günlüğü ve sayfa görüntüleme günlüğü, gönderilen e-postalar (30 gün, bölüm 11), sözleşmenin kurulmasına ilişkin kayıt (8.3), destek talepleri (bölüm 17), vergi hukukunun gerektirdiği süre boyunca fatura verileri, şu anda saklama süresi bulunmayan komisyon verileri ve kullanılmış etkinleştirme kodları (bölüm 18) ve yedekler (3.4).

9. Alan adları, kontroller ve izleme

Müşteriler için. Üçüncü tarafların kişisel verileri etkilendiği ölçüde müşteri adına hareket ederiz.

9.1 Alan adları ve doğrulama

Hesabınızdaki her alan adı için adını, yetkinizin kanıtını (DNS kaydı, meta etiketi, dosya veya eklenti), kontrol sonuçlarını ve sıklık, bakım aralığı, notlar, müşteri etiketi ve bir talebin tahmini değeri gibi ayarlarınızı saklarız. Sıklık planınıza bağlıdır ve günlük kontrollere kadar çıkar.

9.2 Herkese açık bilgilerin izlenmesi

Kontroller arasında alan adınız hakkında herkese açık bilgileri sorgularız:

• DNS kayıtları (SPF, DMARC, MX), TLS sertifikası ve güvenlik başlıkları;
• alan adının sona erme tarihi, sorumlu kayıt kuruluşunun RDAP hizmeti üzerinden; yalnızca alan adı iletilir;
• form sayfalarınızın kullanılabilirliği (form nabzı, plana göre 10, 15 veya 30 dakikada bir);
• web sitenizin kullandığı CAPTCHA ve e-posta hizmetlerinin herkese açık durum sayfaları; bu sırada sizinle ilgili hiçbir şey iletmeyiz;
• form, CAPTCHA ve e-posta eklentilerindeki; doğrulanmış alan adlarında haftalık olarak ayrıca CMS, eklentiler ve temadaki bilinen güvenlik açıkları. Sürümlerini ana sayfanızdan dışarıdan okuruz. Karşılaştırma açık WPVulnerability veri tabanıyla yapılır; yalnızca eklenti veya temanın tanımlayıcısı (sürüm olmadan) ve WordPress sürümü iletilir, alan adınız iletilmez;
• günlük olarak, web sunucunuzun adreslerinin, son form e-postanızın geldiği sunucunun adresinin (gönderim kontrolünden) veya alan adınızın ve o e-postanın gönderen alan adının spam için DNS engelleme listelerinde (SpamCop, PSBL, Mailspike, SURBL) bulunup bulunmadığı; yalnızca alan adları ve sunucuların IP adresleri sorgulanır, ziyaretçi verisi sorgulanmaz;
• ayarlanmışsa Google Web Risk'in ana sayfanızı kötü amaçlı yazılım veya kimlik avı sayfası olarak listeleyip listelemediği; yalnızca ana sayfanın adresi iletilir;
• doğrulanmış alan adlarında haftalık olarak, asla herkese açık olmaması gereken dosyaların (örneğin yapılandırma yedeği veya veri tabanı dökümü) açıkta olup olmadığı. Bunu yaparken dosyayı tanımak için en fazla ilk 8 KB'yi okur; yalnızca bulgunun yolunu, türünü ve önem derecesini saklarız, içeriğini asla saklamayız.

9.3 Form akışları ve tarayıcı kontrolleri

İzlenen formlar için form adreslerini, seçicileri, önceki tıklamaları ve sentetik kontrol adımlarını, kontrol tarayıcısı seçimini, sorumluluğu ve son tarihi saklarız. Tarayıcı kontrolleri formu en fazla gönderim öncesi noktaya kadar doldurur; hiçbir şey göndermez, sipariş veya ödeme başlatmaz. Sonuçlar durum, teknik hata kategorileri, temizlenmiş hata mesajları ve sürelerden oluşur; girdi alanlarının maskelendiği küçük form görselini içerebilir. Bu maskeleme yalnızca tarayıcı kontrollerinde vardır; tarayıcı robotunun tam kontrol ekran görüntüleri sansürlenmez (bölüm 7.1). Kontrol tarayıcılarımızdan alınan ölçümler ziyaretçilerinizin ölçümleri değildir.

Sonuçları doğrulayan ikinci bağımsız sonda öngörülmüştür ancak şu anda kurulmamıştır. Yalnızca alan adını, temizlenmiş yapılandırmayı ve iş kimliğini alacaktır; giriş bilgilerini, ekran görüntülerini veya ziyaretçi verilerini asla almayacaktır. İşletmecisini önceden Alt Veri İşleyenler listesinde belirteceğiz.

9.4 Giriş gerektiren kontrol

Ücretli planlarda çalışma alanının sahipleri ve yöneticileri, tarayıcı robotunun giriş sonrasındaki formları okuyabilmesi için doğrulanmış alan adında kendi web sitelerine ait bir test hesabı kaydedebilir. Şunlar geçerlidir:

• Kullanıcı adı ve parola web sunucusunda yalnızca tarama sunucusunun açabileceği anahtarla şifrelenir; web sunucusu, veri tabanı ve yedekler bunları yalnızca şifreli biçimde içerir. Bunlar asla görüntülenmez, günlüğe kaydedilmez veya arayüz üzerinden verilmez; kullanıcı arayüzü yalnızca kullanıcı adının ilk karakterini ve uzunluğunu gösterir. Kontrol işine eklenen şifreli kopya çalıştırmadan sonra, en geç bir saat sonra temizlenir.
• Test hesabı yalnızca tarayıcı robotunun tam kontrolünde kullanılır, tarayıcı kontrollerinde kullanılmaz (9.3).
• Giriş sonrasında tarayıcı robotu belirtilen en fazla beş sayfayı okur. Hiçbir şey göndermez, burada ekran görüntüsü almaz (hesap verileri gösterilebilir) ve çıkış, silme veya iptal bağlantılarını izlemez.
• Giriş bilgisini silerseniz şifreli değerin üzerine yazar ve kaldırırız; alan adıyla birlikte de kaybolur.

Yalnızca bu amaçla özel olarak oluşturulmuş, gerçek müşteri verisi içermeyen test hesabı kullanın. Tarayıcı robotunun giriş sonrasında gördüklerini sizin adınıza işleriz.

9.5 Diğer işlevler

Betik envanteri: Açarsanız form sayfalarınızdaki betikleri adres ve sağlama toplamıyla listeler, yeni veya değişenleri bildirir ve biri onaylandığında kimin, ne zaman ve hangi gerekçeyle onayladığını saklarız. Erişilebilirlik: Son kontrolden Hizmet, formlarınız için erişilebilirlik bilgileri taslağı oluşturabilir; bunun için girdiğiniz şirket bilgileri tarayıcınızda kalır. Karşılaştırmalar: Sektör karşılaştırması için tüm müşterilerin sonuçlarını yalnızca toplu biçimde değerlendiririz; tekil web siteleri görünmez.

Bölüm 9 için hukuki dayanak: Art. 6(1)(b) GDPR; kontrol sırasında görünür hale gelen üçüncü taraf kişisel verileri için Veri İşleme Sözleşmesi kapsamındaki talimatlarınız. Saklama süresi: alan adı, doğrulama, ayarlar, form akışları ve test girişi; bunları, alan adını veya hesabınızı silene kadar; betik envanteri ve değişiklikleri alan adını veya hesabınızı silene kadar (bunlar için ayrı saklama süresi yoktur); kontrol sonuçları, tarayıcı kontrolü sonuçları ve süreler en fazla 13 ay (en son kontrol, alan adı hesapta olduğu sürece tutulur).

10. Bildirimler

Müşteriler ve girdikleri alıcılar için.

Uyarıları ve raporları ayarladığınız hedeflere göndeririz: e-posta adresleri, kendi webhook adresleriniz, Slack, Discord, Microsoft Teams, Google Chat veya Telegram. Sohbet kanalları ve webhook'lar Pro ve Business planlarında kullanılabilir. Mesaj alan adını, olayı, kısa açıklamayı ve hesabınıza bağlantıyı; kontrol uyarılarında giriş yapmadan sonuçlara ve ekran görüntülerine erişilebilen rapor bağlantısını içerir (Telegram yalnızca hesabınızdaki giriş gerektiren alan adı sayfasının bağlantısını alır); form e-postalarının içeriğini içermez. Şunları saklarız:

• hedefler (e-posta adresi, webhook veya sohbet adresi; webhook'larda imzalama için gizli anahtar), bunları veya alan adını silene kadar;
• zaman, olay ve sonuçla gönderim günlüğü: 90 gün;
• günlük ve haftalık raporlar için biriktirilen bildirimler: gönderimden sonra en fazla 30 gün;
• üstlenme bağlantılı olaylar: çözülmemişken, ardından çözümden sonra 180 gün. Olayı üstlenen kişi girilen ad veya e-posta adresiyle kaydedilir. Üstlenilmemiş olaylar ek hedeflere iletilebilir; bunun için hedef başına teslimat denemelerinin sayısını ve zamanlarını (en fazla beş), teslimatın başarılı olup olmadığını ve varsa hatayı olay var olduğu sürece saklarız. Olay yalnızca sorun çözüldüğünde kapatılır; yalnızca üstlenmek olayı sona erdirmez.

Telegram: Telegram için kendi botumuzu işletiyoruz. Botu 30 dakika geçerli tek kullanımlık kod içeren bağlantıyla bağlarsınız; botta “Start” düğmesine bastığınızda sunucumuz bu mesajı Telegram'dan alır ve sohbetinizin kimliğini (chat ID) uyarı hedefi olarak saklar. Telegram bu sırada Telegram adınızı da sağlar; bunu saklamayız. Kodun kendisini en erken bir gün sonra, başka kod oluşturulur oluşturulmaz sileriz. Sohbet kimliği uyarıyı veya alan adını silene kadar tutulur.

Sohbet hizmetleri mesajları kendi koşulları ve onlarla yaptığınız sözleşme uyarınca işler; bazıları AB dışındadır (bölüm 22). Kendileri müşteri olmayan alıcılar için sizin adınıza hareket ederiz; lütfen onları bilgilendirin.

Hukuki dayanak: Art. 6(1)(b) GDPR; müşteri olmayan alıcılar için talimatlarınız. Gereklilik: hedef olmadan uyarı yoktur; kontroller yine de çalışır.

11. Bizden gelen e-postalar

Müşteriler ve yazıştığımız herkes için.

Adresinizi doğrulamak, parolanızı sıfırlamak, davetler, uyarılar ve raporlar, destek taleplerinin alındığını bildirmek ve hesabınızla faturalandırmanız hakkında bilgi vermek için e-posta göndeririz. E-postalarımızın gönderilmesi ve alınması Namecheap, Inc. (Private Email), Phoenix, Arizona, USA tarafından yürütülür. Alan adımız ve DNS kayıtları Namecheap, Inc., Phoenix, Arizona, USA tarafından yönetilir; Namecheap, Inc. (Private Email), Phoenix, Arizona, USA posta kutusu kurulana kadar Namecheap alan adımızdaki adreslere gelen genel e-postaları da yönlendirir. Gönderim kontrolünün kontrol kopyaları buradan geçmez. Teslimat sorunlarını çözebilmek için gönderilen e-postaları alıcı, konu ve içerikle birlikte 30 gün saklarız; geçerli onay ve sıfırlama bağlantıları da içerdikleri için daha uzun saklamayız.

Açık talebiniz olmadan üç e-posta gönderilir:

• Aylık rapor: ay başında alan adlarınızın kontrolleri ve bildirimlerinin özeti. Ayarlardan abonelikten çıkabilirsiniz.
• Kurulum hatırlatması: hesabınız onaylanmış ancak henüz doğrulanmış alan adı yoksa kayıttan iki ila on dört gün sonra tek e-posta – teklif, fiyat veya yükseltme içermeden “Web sitesi ekleyin” veya “Alan adını doğrulayın”. Tekrar gönderilmez.
• Deneme sonu: deneme sona ermeden üç gün önce sonrasında ne olacağına ilişkin bildirim.

Hukuki dayanak: aylık rapor ve deneme bildirimi dahil sözleşmenin parçası olan e-postalar için Art. 6(1)(b) GDPR; kurulum hatırlatması için Art. 6(1)(f) GDPR, çünkü alan adı bulunmayan hesap Hizmeti kullanamaz ve birçok müşteri kurulumu unutur. Reklam göndermeyiz.

12. Rozet ve kanıt günlüğü

Rozeti veya kanıt günlüğünü kullanan müşteriler ve rozet bulunan web sitelerinin ziyaretçileri için.

Rozet: Rozetimizi sitenize eklerseniz o sayfanın her ziyaretçisinin tarayıcısı rozet görselini sunucumuzdan yükler. Bu sırada olağan bağlantı verilerini alırız – IP adresi, zaman, tarayıcı kimliği ve rozetin göründüğü sayfa. Bunlar yalnızca web sunucusu günlüğüne girer (14 gün, bölüm 3.1), sayfa görüntüleme günlüğüne girmez. Rozet çerez yerleştirmez, oturum başlatmaz ve betik içermez. Herkese açık onay sayfası alan adını, düzeyi ve son kontrolün tarihini gösterir; tekil bulguları göstermez. Açan herkes web sitemizin ziyaretçisidir (bölüm 3 ve 4). Hukuki dayanak Art. 6(1)(f) GDPR'dır; meşru menfaatimiz müşterinin eklediği rozeti sunmaktır. Müşteri bunu kendi gizlilik politikasında belirtir (metin şablonları).

Kanıt günlüğü: Ücretli planlarda her alan adı ve her ay için kontrollerin günlüğünü oluşturabilirsiniz. Doğrulama numarası üzerinden herkese açık sayfa alan adını, dönemi ve temel sayıları ayrıntı olmadan onaylar. Daha sonra günlüğün değiştirilip değiştirilmediğinin belirlenebilmesi için zaman damgası otoritesine imzalatırız. Otoriteye yalnızca içeriğin geri elde edilemeyeceği hash değerini iletiriz; şu anda bunlar Certum (Asseco Data Systems S.A., Poland) ve yedek olarak DigiCert, Inc. (USA) hizmetleridir. Günlükler alan adını silene kadar tutulur. Hukuki dayanak Art. 6(1)(b) GDPR'dır.

13. WordPress eklentisi ve TYPO3 uzantısı

Eklenti veya uzantıyı kullanan müşteriler ve web sitelerinin ziyaretçileri için.

13.1 Müşterinin web sitesinde kalanlar

WordPress eklentimiz ve TYPO3 uzantımız müşterinin sunucusunda çalışır. WordPress eklentisinin orada sakladıkları o web sitesinde kalır; bunlara erişimimiz yoktur ve veri sorumlusu sitenin işletmecisidir:

• Karantina: koruma katmanının spam olarak tuttuğu gönderimler; alan içerikleri ve yanıt adresi dahil, en fazla 14 gün. Böylece yanlışlıkla tutulan mesaj tek tıklamayla iletilebilir;
• Güvenlik ağı: gönderilemeyen form e-postalarının kopyaları (alıcı, konu, metin ve yanıt adresi gibi başlık satırları; eklerin yalnızca adları), yeniden gönderilebilmeleri için en fazla 30 gün;
• Hesaplama bulmacası: ziyaretçinin tarayıcısı web sitesinin kendisinin belirlediği küçük görevi çözer; çerez yoktur, üçüncü taraf hizmet yoktur;
• Saklama süresi: istek üzerine eklenti belirli form eklentilerinin sakladığı talepleri 90, 180 veya 365 gün sonra siler;
• Form sayıları (varsayılan olarak kapalı): form başına görüntülemeler, başlatmalar, doğrulama hataları ve gönderim denemeleri; ayrıca ayrı olarak açılırsa alan konumu başına hata kategorileri – girdiler, alan adları, çerezler veya kalıcı ziyaretçi kimlikleri olmadan, web sitesinde en fazla 14 gün. İstekleri sınırlamak için IP adresinden türetilen tanımlayıcı bir dakika sonra sona erer ve bize gönderilmez;
• Ziyaretçi yardımı (ayrı açılabilir): gönderim hatasından sonra bildirim, hâlâ açık olan forma geri yönlendirir ve istenirse e-posta adresi belirtir; girdileri okumaz, taslak saklamaz ve kendiliğinden hiçbir şeyi yeniden göndermez;
• yeni spam kuralları hiçbir şeyi tutmadan yedi gün yerel sayım yapabilir.

WordPress eklentisi WordPress gizlilik politikası kılavuzuna uygun paragrafları kendisi ekler; ek metinler Web Siteniz İçin Gizlilik Politikası Metni sayfasındadır. TYPO3 uzantısı form içeriği saklamaz; alan adını doğrulamak için her sayfaya meta etiketi ekler ve sayım yapar.

13.2 Kayıt aracı

Kayıt aracıyla giriş yapmış WordPress yöneticisi kendi web sitesinde bir forma giden yolu kaydeder. Teknik seçicileri ve gezinme adımlarını tarayıcısının oturum depolamasında en fazla 15 dakika tutar ve seçilen yapılandırmayı bağlı hesaba aktarır. Hiçbir girdiyi okumaz. Kayıt aracı ziyaretçiler için asla yüklenmez.

13.3 Bize gönderilenler

Eklenti ve uzantı işlevine bağlı olarak ve – kişinin kendi web sitesini hesap olmadan kontrol etmesi hariç – yalnızca web sitesi hesaba bağlıyken bize şunları iletir:

• ana bilgisayar adı, web sitesinin kendisini tanıttığı açık anahtar ve gizli değer, eklenti ve CMS sürümleri ve dil;
• günlük sayılar: nedene göre engellenen gönderimler, kabul edilen gönderimler, gönderilen ve hata türüyle başarısız e-postalar, reCAPTCHA yanıtları ve otomatik silinen taleplerle ilgili sayılar; sayımlar açıksa bunların günlük sayıları;
• kaç formun ziyaretçinin adresini gönderen olarak kullandığı gibi form ayarlarının sayısal özellikleri ve sabit listedeki belirli form, CAPTCHA ve e-posta eklentilerinin sürümleri;
• adları ve sürümleriyle eklenti, tema ve CMS güncellemeleri, etkinleştirmeleri ve devre dışı bırakmaları; bakım modu ve form e-postasının başarısızlığı (yalnızca hata türü);
• kayıt aracıyla seçilen form akışının yapılandırması;
• sürü koruması için (varsayılan olarak açık), engellenen mesajlardaki bağlantıların alan adları. Birçok web sitesinden gelen bildirimler tüm bağlı eklentilerin aldığı spam alan adları listesini oluşturur. Bunun için gönderenlerin IP adreslerini veya ağlarını iletmeyiz.

Eklenti ve uzantı bu bağlantı alan adları dışında hiçbir form içeriğini, ziyaretçilerin e-posta adreslerini, adlarını veya IP adreslerini iletmez. Günlük sayıları ve değişiklik bildirimlerini 13 ay, sürü koruması sinyallerini 30 gün sonra sileriz; hesaptaki hiçbir alan adına ait olmayan web sitesinin bilgilerini 90 gün bağlantı kurulmadıktan sonra sileriz.

Hukuki dayanak: Art. 6(1)(b) GDPR; sürü koruması için Art. 6(1)(f) GDPR (birçok web sitesinde spam'e karşı ortak savunma). Bu bilgiler yalnızca istisnai durumlarda, örneğin ana bilgisayar adı bir kişinin adını içeriyorsa kişisel veridir.

14. Ajanslar için işlevler

Ajanslar ve portallarıyla ve raporlarıyla temas eden kişiler için.

• Müşteri portalı: Ajans, müşterilerine alan adlarının sonuçlarını içeren portala erişim verebilir. Burada aylık rapora abone olan kişi e-posta adresini sağlar ve bağlantıyla doğrular (çift onay). Adresi, dili, aboneliğin zamanını ve IP adresini, onay zamanını ve son gönderim ayını saklarız. Onaylanmamış abonelikleri 30 gün sonra sileriz. Her e-postadaki bağlantıyla istenildiği zaman abonelikten çıkılabilir; ardından abonelik kaydını üç yıl daha, ancak en fazla ajansın çalışma alanı silinene kadar tutarız. Ajans yalnızca portalı iptal ederse aboneler saklanmaya devam eder. Portal ve raporlar ajansın adı altında görünür; ajans veri sorumlusudur, biz onun adına hareket ederiz. Ajansın hukuki dayanağı abonenin rızasıdır.
• Kendi markası: ajansın kaydettiği şirket adı, web sitesi, iletişim bilgileri, renkler ve logo, bunları değiştirene veya silene kadar raporlarında ve portalda görünür.
• Kendi alan adı: Business planında ajans portalı ve raporları kendi alt alan adı altında gösterebilir. Bunun için DNS kayıtlarını günlük kontrol ederiz. Bu işlev şu anda etkin değildir.
• Potansiyel müşteri kontrolü: Ajans potansiyel müşterinin web sitesini test gönderimi olmadan kontrol ettirebilir (bölüm 7). Kısa bulguların bağlantısını kendisi iletir; biz kimseye yazmayız. Kontrolü 90 gün sonra sileriz. Potansiyel müşteriyle iletişime geçmekten yalnızca ajans sorumludur.
• API anahtarları ve toplu kurulum kodları: Bunları yalnızca kısa önekle birlikte hash olarak, etiketleri, son kullanım zamanı (API anahtarları) veya kullanım sayısı (toplu kurulum kodları) ve dakika başına çağrı sayısıyla birlikte saklarız (en az bir gün; sonraki çağrılarda silinir).

Hukuki dayanak: ajans bakımından Art. 6(1)(b) GDPR; aboneler ve potansiyel müşteriler için yukarıya bakın.

15. Gönderim kontrolü

Etkinleştiren müşteriler ve web sitelerinin ziyaretçileri için. Ziyaretçi verileri bakımından müşterinin veri işleyeniyiz.

İsteğe bağlı gönderim kontrolü, iletişim formundan e-postanın gerçekten gönderilip gönderilmediği sorusunu yanıtlar. Bunun için müşteri formunun e-posta ayarlarına kontrol adreslerimizden birini gizli kopya (BCC) olarak girer. Bunun sonucunda yalnızca kendi test gönderimimizi değil, ziyaretçilerin adları, adresleri ve mesajlarıyla gerçek talepleri dahil her form e-postasının kopyasını alırız.

Bunlarla yaptığımız ve yalnızca yaptığımız şudur: otomatik alma işlemi başlıkları ve metnin en fazla ilk 8 KB'sini okur, kontrol adresi üzerinden e-postayı alan adına ve varsa test gönderimine atar; SPF, DKIM ve DMARC gerçeklik özelliklerini kontrol eder. Başarıyla işlendikten sonra e-posta silinir. Alma veya silme başarısız olursa e-posta sonraki başarılı çalıştırmaya kadar posta kutusunda kalabilir; posta kutusu e-posta hizmet sağlayıcımızda (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) barındırılır. Kopyalar yalnızca otomatik değerlendirilir.

Veri tabanımızda yalnızca zamanı, alan adı atamasını ve varsa test gönderiminin kimliğini 180 gün; en son alınan e-postanın teknik gerçeklik sonucunu (SPF, DKIM, DMARC) ise sonraki e-posta onun yerini alana veya alan adı silinene kadar saklarız. Bu gerçeklik sonucu gönderen sunucunun IP adresini ve gönderenin e-posta alan adını içerir; bu alan adı müşteriye gönderilen uyarıda yalnızca web sitesine ait değilse belirtilir. Form ziyaretçinin adresini gönderen olarak kullanıyorsa bu, ziyaretçinin e-posta sağlayıcısının alan adıdır. E-postaların içeriğini veya tam gönderen adreslerini saklamayız. Test gönderiminden sonraki birkaç saat içinde kopya ulaşmazsa bunu müşteriye bildiririz.

Alındı bilgisi yalnızca atanmış kopyanın kontrol posta kutumuza ulaştığını kanıtlar – gerçek alıcının aldığı veya CRM kaydı oluşturulduğu anlamına gelmez. Özel nitelikli kişisel veri kategorilerinin (sağlık bilgileri gibi) geçtiği formlar gönderim kontrolüne bağlanmamalıdır. Müşteri ziyaretçilerini bu veri akışı hakkında bilgilendirir; bunun için metin Web Siteniz İçin Gizlilik Politikası Metni sayfasındadır. Yapılandırılmış kontrol posta kutusu olmadan kontrol kullanılamaz.

Hukuki dayanak: müşteri için tipik olarak Art. 6(1)(f) GDPR (taleplerin güvenilir biçimde alınması); biz talimatları uyarınca işleriz (Art. 28 GDPR).

16. Kendi sunucumuzdaki dil modeli ve “Fix it for me”

Müşteriler ve ücretsiz kontrol kullanıcıları için.

Dil modeli AI sağlayıcısında değil, kendi tarama sunucumuzda çalışır. Formları sınıflandırmaya yardımcı olur (bölüm 7), tarama bulgularını ücretli hesaplar için önceliklendirilmiş eylem planı olarak özetler ve “Fix it for me” ile yapıştırdığınız form koduna koruma ekler. Yapıştırılan kod yalnızca bu istek için işlenir, saklanmaz ve eğitim için kullanılmaz; etkinlik günlüğünde yalnızca işlevin kullanıldığını, programlama dilini, kodun uzunluğunu ve sonucu kaydederiz (günlük kota için de). Lütfen giriş bilgilerini veya kişisel verileri yapıştırmayın. “Fix it for me” web sitenize erişmeden çalışır; kodu kendiniz eklersiniz. Ayrıntılar: AB Yapay Zekâ Yasası: formexposed AI'ı Nasıl Kullanıyor?. Hukuki dayanak: Art. 6(1)(b) GDPR.

Ücretli raporlardaki eylem planları. Ücretli hesaplardaki alan adlarının uygun kontrolleri için aynı yerel model ayrıca ana bilgisayar adı, genel sonuç ve puan, CMS, ilgili form türü ve sayfa adresi, varsa tanımlanan eklenti ve seçilen başarısız veya belirsiz bulgulardan kısa, önceliklendirilmiş eylem planı yazar. Bu amaçla ekran görüntülerini veya gönderilen form değerlerini almaz. Plan AI özeti olarak işaretlenir; tekil bulgular esas alınmaya devam eder. Web sitesini veya tarama sonucunu değiştirmez. İstek dahili iş kuyruğumuzda geçici olarak saklanır. Sonuç alındıktan sonra kuyruk kaydı silinir; planlı temizlik de bir saatten eski kuyruk kayıtlarını siler. Üretilen metin, dil, durum ve zaman damgası tarama sonucuyla birlikte saklanır ve her alan adı için son tamamlanan kontrolün tutulması ve alan adı silindiğinde silinmesi dahil onun saklama süresine tabidir.

Eylem planı için roller. Temel alınan kontrolle aynı ayrım geçerlidir. Müşterinin doğrulanmış alan adını talimatları doğrultusunda kontrol ettiğimizde eylem planı aşaması onun adına yapılan bu işlemenin parçasıdır; ajans kendi müşterisi adına hareket ettiğinde mevcut veri sorumlusu, veri işleyen ve alt veri işleyen zinciri geçerlidir. Kendimizin veri sorumlusu olduğu doğrulanmamış alan adlarının pasif kontrollerinde bu rol devam eder. Ücretli rapora uygunluk tek başına alan adı üzerinde kontrolü kanıtlamaz veya veri koruma rolünü değiştirmez. Yukarıdaki Art. 6(1)(b) atfı talep edilen işlevin hesap sahibine sunulmasıyla ilgilidir; başka kişilerin tesadüfen bulunan kişisel verileri için genel hukuki dayanak değildir. Veri sorumlusu olduğumuz pasif kontroller için Art. 6(1)(f) dahil bölüm 7'de açıklanan dayanak, meşru menfaat değerlendirmesi ve itiraz seçenekleri geçerlidir. Müşteri talimatlarıyla hareket ettiğimizde müşteri veya diğer veri sorumlusu kendi geçerli hukuki dayanağını belirlemelidir. Ana bilgisayar adları, sayfa adresleri ve bulgu notları tesadüfen kişisel veri içerebilir; yerel üretim bunları anonim hale getirmez.

17. Destek, iletişim ve güvenlik açığı bildirimleri

Bize yazan herkes için.

Destek penceresi veya iletişim sayfası üzerinden yazarsanız talebinizi yanıtlamak ve formun kötüye kullanımını önlemek için e-posta adresinizi, mesajınızı, seçilen konuyu, yazdığınız sayfayı, dili, IP adresinizi, ülkesini, tarayıcı kimliğini ve – giriş yaptıysanız – hesap numaranızı işleriz. Sağladığınız adrese e-postayla alındı onayı gelir; giriş yaptıysanız mesajınızın başlangıcını tekrar eder (en fazla 2.000 karakter), aksi halde metninizi içermez. Gönderilen her e-posta gibi 30 gün tutulur (bölüm 11). İçerik veya sizinle ilgili bilgi içermeyen Telegram sinyali yeni talepleri bize bildirir. Bize e-posta gönderirseniz adresinizi ve mesajınızı işleriz. Güvenlik açığı bildirimlerini aynı şekilde ele alırız. Talepleri, hesabınızı daha önce silseniz bile, alındıktan 24 ay sonra sileriz; ne sorulduğunu ve ne yanıtlandığını belgelerler.

Hukuki dayanak: talep bizimle yapılan sözleşmeyle ilgiliyse Art. 6(1)(b) GDPR, aksi halde Art. 6(1)(f) GDPR (yanıtlama, kötüye kullanımı önleme, kanıt). Gereklilik: e-posta adresi olmadan yanıt veremeyiz.

18. Ödemeler, deneme ve iş ortaklığı programı

Ücretli planı olan müşteriler ve iş ortakları için.

Ücretli planları Stripe üzerinden faturalandırırız. Sağlayıcı Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland'dır. Ödeme bilgilerinizi doğrudan Stripe'a girersiniz; biz görmeyiz. Stripe e-posta adresinizi ve adınızı, ödeme sırasında fatura adresinizi ve varsa KDV kimlik numaranızı alır ve faturaları düzenler. Biz yalnızca Stripe'taki müşteri ve abonelik kimliklerini, planı, durumu, fatura döneminin bitişini ve Stripe'ın bize bildirdiği olayların kimlikleriyle türlerini tutarız.

Kart olmadan deneme başlatabilirsiniz; ödeme yöntemi olmadan otomatik sona erer. Barındırma sağlayıcısı veya iş ortağı etkinleştirme kodu verdiyse hangi hesabın ne zaman kullandığını ve planın ne zamana kadar geçerli olduğunu saklarız.

Stripe, örneğin dolandırıcılığı önlemek ve yasal yükümlülüklere uymak için verileri bağımsız veri sorumlusu olarak da işler ve ABD'deki Stripe, Inc. şirketine aktarabilir (bölüm 22). Ayrıntılar Stripe'ın gizlilik politikasındadır.

İş ortaklığı programı: Program geliştirilmiştir ancak şu anda etkin değildir. Etkinleştirilirse şunlar geçerlidir: her hesabın yönlendirme kodu vardır. Yönlendirme bağlantısıyla kayıt olan kişi sınırlı sayıda ay için iş ortağına atanır; atamayı ve zamanını, her ödenen fatura için net tutarı ve komisyonu saklarız. İş ortağı yalnızca sayıları görür – kaç hesabın kayıt olduğunu, kaçının ödeme yaptığını ve toplam komisyonlarını – adları veya adresleri görmez. İş Ortaklığı Koşulları geçerlidir. Şu anda iş ortaklarının verilerini, atamaları ve komisyonları, ayrıca kullanılmış etkinleştirme kodlarına ilişkin bilgileri sabit saklama süresi olmadan tutuyoruz; silme süresi belirleyip burada açıklayacağız.

Hukuki dayanak: Art. 6(1)(b) GDPR; fatura verilerinin ve vergi amacıyla gerektiğinde komisyon verilerinin tutulması için Art. 6(1)(c) GDPR; iş ortağına atama için Art. 6(1)(f) GDPR (komisyonun hesaplanması). Fatura verilerini vergi hukukunun gerektirdiği süre boyunca tutarız; Polonya hukukunda (Polonya Vergi Usul Yasası, Ordynacja podatkowa Art. 86 ile bağlantılı Art. 70), kural olarak verginin vadesinin geldiği takvim yılının sonundan itibaren beş yıl geçene kadar. Gereklilik: ödeme bilgileri olmadan ücretli plan yoktur; ücretsiz plan kullanılabilir kalır.

19. Alan adını hariç tutma (opt-out)

Tarafımızdan kontrol edilmek istemeyen web sitesi işletmecileri için.

Kontrol dışında kalma sayfasından bir alan adını sonraki kontrollerden hariç tutabilirsiniz. Hariç tutma alan adı ve www sürümü için geçerlidir, diğer alt alan adları için geçerli değildir; alan adını doğrulamış ödeme yapan müşterilere karşı da geçerlidir. Devam eden izleme bir sonraki planlı kontrolde sona erer. Yalnızca biz, talep üzerine ve alan adını kontrol ettiğinizi kanıtladığınızda kaldırabiliriz. Alan adını, gönüllü verilen gerekçeyi, IP adresinizi, ülkesini ve tarayıcı kimliğini saklarız. IP adresini, ülkeyi ve tarayıcı kimliğini 12 ay sonra sileriz; hariç tutmanın kendisi kalıcı kalır, aksi halde alan adı yeniden kontrol edilirdi. İsteğinizi kalıcı uygulamak ve birinin başkalarının alan adlarını kötüye kullanarak hariç tutup tutmadığını belirlemek için bu bilgilere ihtiyacımız vardır. Hukuki dayanak: Art. 6(1)(f) GDPR; meşru menfaatimiz isteğinizi kalıcı uygulamak ve formun kötüye kullanımını belirlemektir. Hariç tutmayı Art. 21 GDPR kapsamında itiraz olarak amaçlıyorsanız bu şekilde uygularız.

20. Müşterilerimizin web sitelerinin ziyaretçileri için

İşletmecisi formexposed kullanan web sitesini ziyaret eden veya orada form gönderen kişiler için.

O web sitesinin veri sorumlusu biz değil, işletmecisidir. Hangi işlevleri kullanacağına işletmeci karar verir ve kendi gizlilik politikasında sizi bunlar hakkında bilgilendirmelidir. Bize şunlar ulaşabilir:

• Rozet: görsel yüklenirken tarayıcınızın bağlantı verileri; çerez olmadan web sunucusu günlüğünde 14 gün. Burada görselin sunulması bakımından veri sorumlusuyuz (bölüm 12).
• Gönderim kontrolü: form e-postanızın otomatik değerlendirilen ve silinen kopyası; veri işleyeniz (bölüm 15).
• WordPress eklentisi ve TYPO3 uzantısı: sizinle bağlantı içermeyen günlük sayılar ve sürü koruması için engellenen mesajlardaki bağlantıların alan adları; karantina ve güvenlik ağı web sitesinde kalır (bölüm 13).
• Müşteri portalı: orada rapora abone olursanız e-posta adresiniz; ajansın veri işleyeniyiz (bölüm 14).
• Form koruması (formconfirmed): işletmeci kullanıyorsa tarayıcınız sayfa açıldığında sunucumuzdan bir görev alır ve bunu arka planda çözer; gönderim sırasında işletmecinin sunucusu sonucu bize kontrol ettirir. IP adresiniz (yalnızca kısaltılmış ve karma değer olarak, en fazla bir saat saklanır; her istek gibi web sunucusu günlüğünde 14 gün), sayfanın adresi, doldurma süresi, görünmeyen bir alanın doldurulup doldurulmadığı ve – yalnızca işletmeci içerik kontrolünü etkinleştirirse – mesajınızın metni işlenir; metni kendi sunucumuzdaki bir dil modeli bellekte değerlendirir ve saklamaz. Çerez yok, tarayıcıda saklama yok, parmak izi yok. İşletmecinin veri işleyeniyiz (Veri İşleme Sözleşmesi, Ek 1 bent 10).

Haklarınızı en iyi web sitesinin işletmecisine yönelterek kullanabilirsiniz; işletmeci bağlamı bilir ve bize talimat verebilir. Bizimle iletişime geçerseniz talebinizi işletmeciye iletir veya veri sorumlusu olduğumuz ölçüde kendimiz ele alırız. Bu sırada neleri bulabildiğimiz ve bulamadığımız Erişim, Silme ve Diğer Haklarınız sayfasında açıklanmıştır.

21. Alıcılar

Kişisel verileri yalnızca bu politikada belirtildiğinde aktarırız. Verileri satmayız, kiralamayız veya değiş tokuş etmeyiz. Alıcı kategorileri:

Alıcı (merkez)	Kategori	Amaç
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	veri işleyen; işleme yeri henüz doğrulanacak	e-postalarımızın gönderilmesi ve alınması; gönderim kontrolünün kontrol posta kutusu
Namecheap, Inc. (USA)	veri işleyen	alan adı, DNS; posta kutusu kurulana kadar alan adımıza gelen genel e-postaların yönlendirilmesi (gönderim kontrolünün kontrol kopyaları değil)
Stripe Payments Europe, Ltd. (Ireland), Stripe, Inc. (USA)	büyük ölçüde bağımsız veri sorumlusu; rollerin kesin dağılımını hâlâ inceliyoruz	ödemeler ve faturalar
Google Ireland Ltd., Google LLC (USA)	bağımsız veri sorumlusu	reCAPTCHA
Telegram (AEA dışında)	müşterinin seçtiği hedef; mesajı botumuz üzerinden göndeririz. Bizim için ayrıca bildirim kanalı	Telegram seçerseniz uyarılar; kişisel veri içermeyen işletim sinyalleri
Slack, Discord, Microsoft (Teams), Google (Chat), webhook'larınız (kısmen USA)	müşterinin seçtiği hedefler	uyarılar
Kamu	–	rapor bağlantıları, onay sayfaları, araştırma sonuçları (yalnızca toplu)
Çalışma alanınızın üyeleri	aynı hesabın kullanıcıları	role göre işbirliği
Yetkili makamlar, mahkemeler, CERT Polska, danışmanlar	bağımsız veri sorumluları	yalnızca yasal yükümlülük varsa; hukuki taleplerin tesisi, kullanılması veya savunulması için; Hizmetimizin kötüye kullanılması veya üçüncü taraflara saldırı durumlarında (Art. 6(1)(c) veya (f) GDPR)

Şunlar kişisel veri almaz: IANA dizininden bulunan kayıt kuruluşlarının RDAP hizmetleri ve ücretsiz kontrolde alan adı yaşı için rdap.org aktarma hizmeti (yalnızca alan adları); wpvulnerability.net üzerindeki WPVulnerability (yalnızca sürümsüz eklenti tanımlayıcısı, tema tanımlayıcısı veya WordPress sürümü); CAPTCHA ve e-posta hizmetlerinin durum sayfaları (isteğin kendisi dışında bir şey değil); zaman damgası otoriteleri Certum ve DigiCert (yalnızca hash değerleri); DNS engelleme listeleri SpamCop, PSBL, Mailspike ve SURBL (yalnızca alan adları ve sunucuların IP adresleri); ayarlanmışsa Google Web Risk (yalnızca ana sayfanın adresi) ve sürü korumasındaki diğer bağlı eklentiler (yalnızca spam alan adları). Veri işleyenlerimizin merkezleri ve aktarım dayanaklarıyla tam, güncel listesi Alt Veri İşleyenler sayfasındadır; değişiklikleri müşterilere 30 gün önceden duyururuz.

22. Üçüncü ülkelere aktarımlar

Alıcı Avrupa Ekonomik Alanı dışındaysa verileri yalnızca Art. 44 ve devamı GDPR koşulları karşılandığında aktarırız:

• ABD: alıcının kapsamında sertifikalı olması ölçüsünde Avrupa Komisyonunun AB–ABD Veri Gizliliği Çerçevesine ilişkin yeterlilik kararı temelinde (Uygulama Kararı (EU) 2023/1795, Art. 45 GDPR). Google, Stripe ve Namecheap'in ilgili hizmetler için sertifikalı olup olmadığını bu sürüm için hâlâ doğruluyoruz; dolayısıyla bunu iddia etmiyoruz. Sertifikasyon yoksa Avrupa Komisyonunun standart sözleşme maddeleri temelinde (Uygulama Kararı (EU) 2021/914, Art. 46(2)(c) GDPR).
• E-posta hizmet sağlayıcımız: Namecheap, Inc. (Private Email), Phoenix, Arizona, USA verileri nerede işliyor ve hangi dayanakla üçüncü ülkeye aktarılabilir, hâlâ doğruluyoruz. Güncel durum Alt Veri İşleyenler sayfasında belirtilir.
• Kendiniz seçtiğiniz sohbet hizmetleri ve webhook'lar: Slack, Discord, Microsoft Teams, Google Chat ve webhook'lar uyarılarınızı o hizmetteki hesabınızda oluşturduğunuz adres üzerinden alır; sağlayıcıyla sözleşme ilişkisi ve üçüncü ülkeye aktarım için gerekli dayanak sizin sorumluluğunuzdadır.
• Telegram: müşterinin seçtiği hedef; mesajı botumuz üzerinden göndeririz. Telegram AEA dışında, yeterlilik kararı bulunmayan ülkede kuruludur ve Telegram ile standart sözleşme maddelerimiz yoktur. Şu anda bu aktarımın Art. 44 ve devamı GDPR kapsamında hangi dayanağa oturduğunu inceletiyoruz – kanalı kendiniz seçtiğiniz için Art. 49(1)(b) GDPR değerlendirilmektedir. Telegram'ı yalnızca bu sizin için yeterliyse seçin; e-posta her zaman alternatif olarak kullanılabilir.

Bölüm 1'deki adresten istek üzerine aktarımı dayandırdığımız güvencelerin kopyasını ücretsiz alabilirsiniz. Yeterlilik kararı ve standart sözleşme maddeleri AB Resmî Gazetesi'nde (eur-lex.europa.eu), Veri Gizliliği Çerçevesi kapsamında sertifikalı şirketler listesi dataprivacyframework.gov adresinde de bulunabilir. Kendi sunucularımız Polonya'dadır; adı geçen alıcıların hiçbirinin almadığı veriler AB dışına çıkmaz.

23. Bir bakışta saklama süreleri

Saklama süreleri gece çalışan işlemle; web sunucusu günlüğü için günlük döndürmeyle uygulanır. “Alan adıyla birlikte” yazan yerlerde alan adını veya hesabınızı sildiğinizde veriler derhal kaybolur. Ardından yedeklerde en fazla 14 gün kalır (bölüm 3.4).

Veri	Silinme
Web sunucusu günlüğü (rozet istekleri dahil)	14 gün sonra
Sayfa görüntüleme günlüğü	60 gün sonra
Hata günlüğü	90 gün sonra
Etkinlik günlüğü	365 gün sonra
Giriş denemeleri; ücretsiz kontrol ve başlık aracı sınırları	7 gün sonra
Şüpheli davranış işaretleri (ücretsiz kontrol)	durum çözüldükten 90 gün sonra
Giriş yapmış cihazlar	son kullanımdan 90 gün sonra
“Oturumumu açık tut”; hiç doğrulanmamış hesaplar; kabul edilmiş davetler (kabul edilmemişler süreleri dolduğunda)	30 gün sonra
Ekran görüntüleri dahil hesapsız rapor	30 gün sonra
Önbellekte raporun PDF sürümü	7 gün sonra
Başlık aracı sonuçları; potansiyel müşterinin web sitesinin kontrolü	90 gün sonra
Araştırma kontrolleri	sonuçları yayımlandığında
Hesaptaki alan adının kontrol sonuçları, tarayıcı kontrolleri ve süreleri	13 ay sonra (en son kontrol alan adı hesapta olduğu sürece)
Alan adı, ayarlar, form akışları, kanıt günlükleri, uyarı hedefleri, son form e-postasının gerçeklik sonucu	alan adıyla birlikte
Betik envanteri ve değişiklikleri	alan adıyla birlikte (ayrı saklama süresi yoktur)
Giriş gerektiren kontrolün test girişi	sildiğinizde, alan adıyla birlikte; kontrol işine eklenen kopya çalıştırmadan sonra, en geç bir saat sonra
Eklenti ve uzantının günlük sayıları ve değişiklik bildirimleri, form sayıları	13 ay sonra
Hiçbir hesaba ait olmayan, eklenti kullanan web sitesinin bilgileri	son bağlantıdan 90 gün sonra
Sürü koruması sinyalleri; günlük ve haftalık raporlar için biriktirilen bildirimler (gönderimden itibaren)	30 gün sonra
API çağrısı sayımı; Telegram tek kullanımlık kodları	en erken bir gün sonra, bu türün sonraki çağrısında veya kodunda
Uyarı gönderim günlüğü	90 gün sonra
Gönderim kontrolü atamaları; üstlenme ve üst kademeye iletme teslimat denemeleriyle olaylar (çözülmemişler tutulur)	180 gün sonra; olaylarda çözülmelerinden itibaren
Kontrol posta kutusundaki form e-postası kopyaları	işlemeden sonra; hata durumunda sonraki başarılı çalıştırmada
Gönderilen e-postalar	30 gün sonra
Destek talepleri	24 ay sonra
Rapora ilişkin geri bildirim	24 ay sonra; hesapla birlikte derhal; IP adresinin sağlama toplamı 2 gün sonra
Hariç tutmaya ilişkin IP adresi, ülke ve tarayıcı kimliği	12 ay sonra (alan adı hariç kalır)
Müşteri portalındaki onaylanmamış aylık rapor abonelikleri	30 gün sonra
İptal edilmiş aboneliğin kaydı	abonelikten çıkıldıktan üç yıl sonra
Hesap ve kişisel bilgiler	sildiğinizde
Sözleşmenin kurulmasına ilişkin kayıt	hesap var olduğu sürece; silindikten sonra onayın üzerinden dört yıl geçtiğinde
Fatura verileri	vergi saklama süresi dolduğunda
İş ortaklığı programı atamaları ve komisyonları; kullanılmış etkinleştirme kodları	şu anda sabit süre yok
Hata türü örneği	şu anda sabit saklama süresi olmadan
Veri tabanı yedekleri	14 gün sonra
Form koruması: tekrarlanan istekleri tanımak için kısaltılmış ve karma değere dönüştürülmüş IP adresi; kullanılmış doğrulama belirteçleri; IP adresi ve metin içermeyen kontrol sonuçları (eylem, puan, gerekçeler, alan adı); kişiyle ilişkilendirilmeyen günlük sayılar	bir saat sonra; en geç on bir dakika sonra; 30 gün sonra; 400 gün sonra

24. Veri sağlama yükümlülüğü

Bize veri sağlamak için yasal yükümlülüğünüz yoktur. Hesap için e-posta adresinize, adınıza ve parolaya ihtiyacımız vardır; bunlar olmadan sözleşme kurulamaz. Ücretli planlar için fatura bilgileri, gönderim kontrolü için kontrol posta kutusu, uyarılar için hedef gerekir. Diğer tüm bilgiler gönüllüdür. Günlüklerdeki bağlantı verileri teknik olarak her istekte oluşur; bunlar olmadan sunucu yanıt veremez. Bir şeyi sağlamazsanız neyin eksik kalacağı ilgili işleme bölümünde belirtilir.

25. Otomatik kararlar ve profilleme

Yalnızca otomatik işlemeye dayanarak hakkınızda hukuki sonuç doğuran veya sizi benzer ölçüde önemli biçimde etkileyen kararlar vermeyiz (Art. 22 GDPR). Bireylerin profillerini oluşturmayız. Değerlendirmelerimiz – risk düzeyi, başlık notu, rozetteki “korunuyor” – kişilerle değil, web siteleri ve formlarla ilgilidir.

Ancak insan incelemesi olmadan tekil istekleri reddedebilen koruma mekanizmaları otomatik çalışır: reCAPTCHA değerlendirmesi ve kendi form korumamız (bölüm 5), ücretsiz kontrol sınırları ve işaretleri (bölüm 6) ve çok fazla giriş denemesinden sonraki engelleme (bölüm 8.2). Yalnızca tekil gönderimi engellerler; reddedilmiş deneme daha sonra tekrarlanabilir ve her türlü talep için e-posta kullanılabilir. Reddin yanlış olduğunu düşünüyorsanız bize yazın; durumu bir kişi inceler. Kayıttan 30 gün sonra doğrulanmamış hesapları da otomatik sileriz.

26. Haklarınız

GDPR kapsamında aşağıdaki haklara sahipsiniz. Her biri için kullanmanın en hızlı yolunu belirtiriz. Aksi belirtilmedikçe contact@lukaswojcik.com adresine e-posta yeterlidir. Gereksiz gecikme olmadan, her durumda alındıktan sonra bir ay içinde yanıtlarız; karmaşık veya çok sayıda talepte süre iki ay uzatılabilir; bu durumda ilk ay içinde gerekçeleriyle sizi bilgilendiririz (Art. 12(3) GDPR). Haklarınızı kullanmanız ücretsizdir; yalnızca açıkça dayanaksız veya aşırı taleplerde makul ücret isteyebilir veya talep doğrultusunda işlem yapmayı reddedebiliriz; gerekçelerini bildiririz (Art. 12(5) GDPR). Başka birinin verilerini açıklamamak için talebi hesabınızın e-posta adresinden yapmanızı isteyebiliriz; ek kanıtı yalnızca kimliğiniz hakkında makul şüphemiz varsa ve yalnızca gerektiği ölçüde isteriz (Art. 12(6) GDPR).

• Erişim (Art. 15 GDPR): Hesabınız varsa Ayarlar altından veri dışa aktarımını indirin; hesap, çalışma alanı ve alan adı verilerini, girişlerinizi, etkinliklerinizi, destek taleplerinizi, gönderilen e-postaları ve rızalarınızı içerir. Kontrol sonuçlarını hesapta rapor olarak görebilirsiniz. Dışa aktarımın içermediği veriler (örneğin hata veya web sunucusu günlüğü kayıtları) dahil tam erişimi Art. 15(1) GDPR kapsamındaki bilgilerle birlikte e-postayla talep edebilirsiniz. Hesabınız yoksa – örneğin hariç tutma, destek talebi veya rapor bakımından – ilgili alan adını veya adresi ve yaklaşık zamanı belirterek e-postayla başvurabilirsiniz.
• Düzeltme (Art. 16): Adınızı, şirketinizi, dilinizi ve e-posta adresinizi Ayarlar altında; fatura adresinizi ve KDV kimlik numaranızı Faturalandırma altındaki Stripe müşteri portalında kendiniz değiştirebilirsiniz; diğer her şey e-postayla.
• Silme (Art. 17): Hesabınızı, alan adlarınızı, uyarı hedeflerinizi ve test girişlerinizi kendiniz silebilir; API anahtarlarını kendiniz iptal edebilirsiniz (hesapla birlikte silinirler). Müşteri portalının aylık raporundan her e-postadaki bağlantıyla çıkabilirsiniz. Raporun, ekran görüntüsünün veya başka verilerin silinmesini e-postayla isteyebilirsiniz. Hukuki nedenlerle tutmamız gerekenler bölüm 8.6'da açıklanmıştır.
• İşlemenin kısıtlanması (Art. 18): e-postayla; örneğin verilerin doğruluğuna itiraz ettiğiniz ve bizim bunu kontrol ettiğimiz durumda.
• Veri taşınabilirliği (Art. 20): Veri dışa aktarımı başka sağlayıcıya kendiniz verebileceğiniz, makinece okunabilir JSON dosyasıdır. Sağlayıcı değiştirmeyle ilgili ayrıntılar: AB Veri Yasası: Sağlayıcı Değiştirme ve Veri Dışa Aktarma.
• İtiraz (Art. 21): sonraki bölüme bakın.
• Rızayı geri çekme (Art. 7(3)): Kendi işlememizi rızaya dayandırmayız. Müşteri portalının aylık raporuna verdiğiniz rızayı her e-postadaki bağlantıyla geri çekebilirsiniz; geri çekme ileriye yönelik geçerli olur.

Müşteri adına işlediğimiz verilerde (bölüm 2) muhatabınız müşteridir. Yine de bize yazarsanız talebinizi müşteriye iletir ve yanıtlamasına yardımcı oluruz. Tüm yolları ve sınırlamaları içeren ayrıntılı rehber Erişim, Silme ve Diğer Haklarınız sayfasındadır.

27. Art. 21 GDPR kapsamında itiraz hakkı

Verileri meşru menfaatlere dayanarak işlediğimiz ölçüde (Art. 6(1)(f) GDPR), özel durumunuzla ilgili gerekçelerle istediğiniz zaman itiraz edebilirsiniz. Bu durumda menfaatlerinizi, haklarınızı ve özgürlüklerinizi aşan zorlayıcı meşru işleme gerekçeleri ortaya koyamadıkça veya işleme hukuki taleplerin tesisi, kullanılması ya da savunulmasına hizmet etmedikçe verileri artık işlemeyiz.

Bu özellikle tarayıcı robotumuzun web sitelerini kontrol etmesi (bölüm 7), günlükler (bölüm 3), reCAPTCHA (bölüm 5), ücretsiz kontrol sınırları (bölüm 6), kurulum hatırlatması (bölüm 11), rozet (bölüm 12) ve sürü koruması (bölüm 13) için geçerlidir.

İtiraz belirli bir şekle tabi değildir; contact@lukaswojcik.com adresine e-posta yeterlidir. Web sitesi işletmecisi olarak sonraki kontrolleri robots.txt veya kontrol dışında kalma sayfasından istediğiniz zaman kendiniz de hariç tutabilirsiniz. Gerekçe göstermeden itiraz edilebilecek e-posta reklamları göndermeyiz.

28. Denetim makamına şikâyet

Verilerinizi hukuka aykırı işlediğimizi düşünüyorsanız veri koruma denetim makamına şikâyette bulunabilirsiniz (Art. 77 GDPR). Bizim için yetkili makam:

Prezes Urzędu Ochrony Danych Osobowych (Kişisel Verileri Koruma Ofisi Başkanı, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Poland
uodo.gov.pl

Yaşadığınız veya çalıştığınız ya da iddia edilen ihlalin gerçekleştiği üye devletin makamına da başvurabilirsiniz – örneğin Almanya'da eyaletinizin veri koruma makamına. Bu makam gerekirse şikâyeti yetkili makama iletir. Endişenizi önceden doğrudan sizinle çözmekten memnuniyet duyarız; bu bir zorunluluk değildir.

29. Güvenlik

Hizmetimize tüm bağlantılar TLS ile şifrelenir; dahili ağımızdaki bağlantılar bütünüyle şifreli değildir. Parolaları, API anahtarlarını ve kurtarma kodlarını yalnızca hash olarak; iki faktörlü girişin gizli değerlerini ve test girişlerini yalnızca şifreli biçimde saklarız. Müşteri verileri çalışma alanına göre ayrılır; rolün haklarını yalnızca kullanıcı arayüzü değil, sunucu uygular. Sunuculara yalnızca işletme sahibi erişebilir; tarayıcı robotu yalıtılmış çalışır ve dahili ağdaki adreslere erişemez. Tam açıklama Teknik ve Organizasyonel Önlemler sayfasındadır. Kişisel veri ihlalinden haberdar olursak Art. 33 ve 34 GDPR uyarınca denetim makamına ve gerektiğinde size bildiririz; adına hareket ettiğimiz müşterileri gereksiz gecikme olmadan, mümkünse 48 saat içinde bilgilendiririz.

30. Diğer belgeler

Bu politika ilgili kişiler için özettir. Ayrıntılar İşleme Faaliyetleri Kayıtları, Alt Veri İşleyenler listesi, Teknik ve Organizasyonel Önlemler, Veri İşleme Sözleşmesi, Veri Koruma Etki Değerlendirmesi ve Erişim, Silme ve Diğer Haklarınız, AB Yapay Zekâ Yasası: formexposed AI'ı Nasıl Kullanıyor? ile Web Siteniz İçin Gizlilik Politikası Metni sayfalarındadır.

31. Değişiklikler

Hizmet veya hukuki durum değiştiğinde bu politikayı günceller ve bunu yeni işleme başlamadan önce yaparız. Burada yayımlanan sürüm geçerlidir; önceki sürümler ve değişenler Sözleşme Belgelerindeki Değişiklikler sayfasındadır. Kayıt olurken gördüğünüz sürüm veri dışa aktarımınızda gösterilir. Müşteri olarak verilerinizin işlenmesinde önemli bir şey değişirse sizi e-postayla da bilgilendiririz.

Bu politika Avrupa Birliği'nin tüm resmî dillerinde sunulur. Uyuşmazlık halinde Lehçe sürüm esas alınır.