Veri Koruma Beyanı

1. Veri sorumlusu

Genel Veri Koruma Tüzüğü (GDPR) ve Federal Veri Koruma Kanunu (BDSG) anlamında sorumlu:

Booklera UG (haftungsbeschränkt)
temsil eden die Geschäftsführerin Nadine Glamngiw
Landsberger Straße 155, Haus 1, 80687 München
Almanya
E-posta: n.glamngiw@booklera.de

Booklera; zanaatkâr, fitness, doğal tedavi uzmanı, tatil evi kiralama ve e-ticaret (çevrimiçi mağazalar) sektörlerindeki ticari sağlayıcılara yönelik bir SaaS platformudur. Kişisel verilerin işlenmesi ya kendi veri sorumlusu sıfatıyla (kayıt, sözleşmenin yürütülmesi, teknik günlükler) ya da kayıtlı kiracılar adına veri işleyen sıfatıyla (kiracıların son müşteri ve çalışan verileri) gerçekleşir.

2. Kişisel verilerin toplanması ve işlenmesi

2.1 Kayıt ve kullanıcı hesabı

booklera.de üzerinde kayıt sırasında şu verileri topluyoruz: ad, e-posta adresi, parola (bcrypt ile rounds = 12 olarak şifrelenmiş biçimde saklanır, hiçbir zaman düz metin olarak değil), firma adı, seçilen alt alan adı kısaltması ve seçilen dikey alan (zanaatkâr, fitness, doğal tedavi uzmanı, tatil evi veya e-ticaret). Bu veriler SaaS hizmetimizin sunulması ve sözleşmenin ifası için gereklidir. Hukuki dayanak: GDPR md. 6/1-b (sözleşmenin ifası). Kullanıcı hesabınız ve buna ait veriler, sözleşme devam ettiği sürece saklanır. Fesihten sonra veriler, yasal saklama yükümlülükleri buna engel olmadığı sürece 30 gün içinde silinir (bkz. Bölüm 10).

Kötüye kullanım amaçlı kayıtları önlemek için (örn. spam hesaplar veya başkasına ait e-posta adresleriyle yapılan kayıtlar) kayıt sırasında ek olarak kaydolan cihazın IP adresini ve tarayıcı tanımlayıcısını (User-Agent) saklıyoruz. Hukuki dayanak: GDPR md. 6/1-f (hizmetin güvenliğine ve kötüye kullanımın önlenmesine yönelik meşru menfaat). Bu bilgiler başka veri kaynaklarıyla birleştirilmez, reklam veya profil oluşturma amacıyla kullanılmaz ve kullanıcı hesabıyla birlikte silinir. Kötüye kullanımın erken tespiti için platform işletmecisi her yeni kayıt hakkında dahili olarak e-posta ile bilgilendirilir. Kayıt sırasında oluşturulan kiracı e-posta kutusu, ancak e-posta adresi doğrulandıktan sonra (çift onay) gönderime açılır.

2.2 Son müşteri, çalışan ve iş emri verileri (veri işleyen sıfatıyla)

Booklera, bir SaaS platformu olarak verileri kayıtlı kiracılar adına işler. Kiracıların son müşterileri, ilgili kiracı web sitesi üzerinden randevu ya da kurs rezervasyonu yapar veya iş hizmetleri hakkında talep iletir. Bu sırada son müşterilerin kişisel verileri (ad, e-posta adresi, telefon, adres, rezervasyon ayrıntıları, varsa ödeme verileri) ve — zanaatkâr kiracılarında — çalışan verileri (bkz. Bölüm 2.4) toplanır ve işlenir.

Bu ilişkide ilgili kiracı GDPR anlamında veri sorumlusudur ve Booklera, GDPR md. 28 uyarınca veri işleyen olarak hareket eder. İşleme yalnızca kiracının talimatı üzerine ve bir veri işleme sözleşmesi (AVV) çerçevesinde gerçekleşir. Hukuki dayanak: GDPR md. 28 ile bağlantılı olarak GDPR md. 6/1-b (son müşteri ile kiracı arasındaki sözleşmenin ifası).

2.3 Sunucu günlük dosyaları

Web sitemiz çağrıldığında teknik erişim verileri otomatik olarak sunucu günlük dosyalarında saklanır. Bunlara şunlar dahildir: IP adresi, erişimin tarihi ve saati, çağrılan sayfa, kullanılan tarayıcı ve işletim sistemi, yönlendiren adres (Referrer-URL). Bu veriler başka veri kaynaklarıyla birleştirilmez ve yalnızca işletimin teknik olarak güvence altına alınmasına ve kötüye kullanımın tespitine hizmet eder. Hukuki dayanak: GDPR md. 6/1-f (hizmetin güvenliğine yönelik meşru menfaat). Günlük dosyaları en geç 7 gün sonra otomatik olarak silinir.

2.3a Çerezsiz erişim ölçümü

Herkese açık sayfalarımızda (booklera.de, booklera.com) hangi sayfaların ziyaret edildiğini ve ziyaretçilerin nereden geldiğini öğrenmek için sayfa görüntülemelerini sayıyoruz. Yalnızca günlük sayaçlar saklanır: tarih, ziyaret edilen sayfa, yönlendiren web sitesi, adresteki kampanya parametreleri, IP adresinden türetilen ülke, cihaz türü ve tarayıcı dili. IP adresinin kendisi saklanmaz; tekil ziyaretçileri saymak için geçerli gün için IP adresi ve tarayıcı tanımlayıcısından her gün değişen rastgele bir değerle bir hash oluşturulur ve gün sonunda silinir. Çerez yerleştirilmez ve harici analiz hizmetleri kullanılmaz. Hukuki dayanak GDPR Madde 6(1)(f)’dir (web sitemizin erişimini ölçmede meşru menfaat).

2.4 Çalışan ve alt yüklenici verileri (zanaatkâr kiracıları)

Zanaatkâr kiracılarında Booklera, veri işleyen sıfatıyla aşağıdaki çalışan verilerini işler — bu veriler bakımından veri sorumlusu kiracıdır ve öyle kalır; işlemenin hukuka uygunluğunu kiracı sağlamak zorundadır (örn. çalışanların bilgilendirilmesi, gerekiyorsa işyeri sözleşmesi):

• Planlama tahtası verileri: Çalışan başına günlük atamalar (tarih, iş emri, saat, süre, notlar, hava durumu meta verileri).
• Zaman kaydı: Çalışan başına çalışma saatleri (tarih, saat ücreti, iş emri ataması), puantaj kartı zaman damgaları.
• GPS konum verisi puantaj işlemlerinde, yalnızca çalışan önceden açık bir tarayıcı iletişim kutusunda onay vermişse (GDPR md. 6/1-a). Onay olmadan hiçbir GPS koordinatı saklanmaz; puantaj işlemi GPS olmadan da çalışır.
• Devamsızlıklar: Çalışan başına izin, hastalık, resmî tatil, izinli gün ve eğitim kayıtları, tarih aralığıyla birlikte.
• Araç günlüğü: araç işlevinin (Business) kullanılması hâlinde: tarih, kilometre durumu, amaç (iş / özel / işe gidiş-geliş), iş emri ataması. Özel yolculuklar iş yolculuklarından ayrı tutulur; hangi verilerin kaydedileceğine kiracı karar verir.
• Ücret verileri: Çalışan başına ücret saat oranı, ay bazında ücret hesabı (yalnızca Pro ve üzeri).

Bu veriler kiracı bazında yalıtılmış olarak saklanır (bkz. Bölüm 7) ve yalnızca ilgili kiracı tarafından görüntülenebilir. Saklama, yasal yükümlülüklere tabidir (ücretle ilgili veriler için kural olarak §§ 257 HGB uyarınca 6 yıl, vergisel açıdan önemli veya GoBD kapsamındaki veriler için daha uzun süreler — bkz. Bölüm 10).

2.4a Mağaza müşteri ve sipariş verileri (e-ticaret kiracıları)

Bir kiracı çevrimiçi mağaza işletiyorsa, Booklera veri işleyen sıfatıyla bu mağazanın son müşterilerine ait verileri işler. GDPR anlamında veri sorumlusu mağaza işletmecisidir ve öyle kalır; müşterilerini bilgilendirmek ve mağazası için kendi veri koruma beyanını sunmak zorundadır. İşlenen veriler:

• Müşteri hesabı: Ad, e-posta adresi, parola (yalnızca kriptografik özet olarak), müşteri tipi (bireysel veya kurumsal müşteri), kurumsal müşterilerde ek olarak firma adı, katma değer vergisi kimlik numarası ve onay durumu. Mağaza müşteri hesabı, Booklera kullanıcılarının hesaplarından teknik olarak tamamen ayrıdır.
• Adresler: Müşterinin kaydettiği veya sipariş sürecinde belirttiği teslimat ve fatura adresleri — müşteri hesabı olmadan misafir olarak da.
• Sipariş verileri: sipariş edilen ürünler, miktarlar, fiyatlar, vergi tutarları, gönderim türü, sipariş durumu, kargo takip numaraları, iadeler ve alacak dekontları. Teslimat ve fatura adresi, faturalar sonradan değiştirilemeyeceği için (GoBD) sipariş anında değiştirilemez biçimde saklanır.
• Faturalar ve alacak dekontları elektronik fatura biçimleri dahil; bunlar yasal saklama yükümlülüğüne tabidir (kural olarak 10 yıl, bkz. Bölüm 10) ve bu nedenle bir silme talebinden sonra da hemen kaldırılamaz.
• Ürün değerlendirmeleri: Müşteri bir değerlendirme yaparsa değerlendirme metni, yıldız puanı ve görüntülenen ad. Değerlendirmeler ancak mağaza işletmecisinin onayından sonra herkese açık olarak görünür.
• Mağaza kullanım verileri: Anonim satış istatistikleri oluşturmak amacıyla sayfa görüntülemeleri ve sepet olayları. Bu değerlendirme yalnızca sağlayıcının sunucusunda gerçekleşir; harici analiz hizmetleri (örn. Google Analytics) kullanılmaz.

AB dışına yapılan teslimatlarda gümrük makamlarına aktarım: Bir mağaza işletmecisi Avrupa Birliği dışındaki bir ülkeye mal gönderirse, platform bir ticari fatura ve bir gümrük içerik beyanı (CN23 formu) oluşturur. Bu belgeler alıcının adını ve adresini, gönderinin içeriğini, değerini ve gerekiyorsa gümrük tarife numarasını ve menşe ülkesini içerir. Belgeler pakete eklenir ve gönderi ile varış ülkesinin gümrük makamlarına sunulur. Bu aktarım, gümrük ve ihracat mevzuatının yerine getirilmesi için yasal olarak zorunludur (GDPR md. 6/1-c) ve yurt dışına yapılan bir teslimatta kaçınılamaz.

2.5 Özel nitelikli kişisel veriler (GDPR md. 9) — BG bildirimleri

Zanaatkâr kiracılarında sistem, § 193 SGB VII (“Meslek birliğine iş kazası bildirim yükümlülüğü”) uyarınca özel nitelikli kişisel verileri, özellikle şunları işleyebilir:

• Kaza verileri: Kazanın tarihi, yeri, oluş şekli, ağırlığı (hafif/orta/ağır/ölüm), iş göremezlik günleri, tedaviyi yapan hekim, etkilenen kişi.
• Sağlık verileri: yalnızca BG bildirimi için gerekli olduğu ölçüde (örn. yaralanma türü, hastalık günleri).

Bu işlemenin hukuki dayanağı, § 193 SGB VII ile bağlantılı olarak GDPR md. 9/2-b hükmüdür (işverenin sosyal hukuktan doğan bildirim yükümlülüklerinin yerine getirilmesi). Resmî BG kaza bildirimi PDF olarak oluşturulur ve kiracı tarafından yetkili meslek birliğine gönderilebilir — gönderimin kendisi kiracının kendi sorumluluğunda gerçekleşir. Kaza dosyası 10 yıl saklanır (GoBD §§ 146, 147 AO ile BG iç saklama yükümlülükleri) — bkz. Bölüm 10.

2.6 Çerezler ve benzer teknolojiler (GDPR md. 7 uyarınca ayrıntılı onay)

Booklera ayrıntılı bir çerez onay sistemi kullanır. Web sitesinin ilk ziyaretinde (hem booklera.de hem de her kiracı alt alan adı için) kullanıcının çerez kategorisi bazında karar verebileceği bir pencere gösterilir. Onay bir denetim izinde kayıt altına alınır (tarayıcı kimliği, IP, User-Agent, sayfa, zaman damgası) ve alt bilgideki “Çerez ayarları” bağlantısı üzerinden istenildiği zaman değiştirilebilir veya geri alınabilir.

Teknik olarak zorunlu çerezler (her zaman etkin, § 25 Abs. 2 Nr. 2 TTDSG uyarınca onay gerekmez):

• bl_session — Oturum açma çerezi (HttpOnly, Secure, SameSite=Lax).
• bl_csrf — CSRF koruma jetonu.
• bl_platform_session — Platform yöneticisi oturumu (yalnızca dahili).
• bl_cookie_consent — Çerez onaylarının kendisinin saklanması (süre: 365 gün).
• bl_force_lang_* — Dil geçersiz kılma (yalnızca kullanıcı tarafından etkin olarak seçilmişse).
• bl_2fa_dismiss — 2FA öneri afişi için geçici atlama (süre: 7 gün).

Onay gerektiren çerezler (varsayılan KAPALI, yalnızca etkin onaydan sonra):

• __stripe_mid, __stripe_sid — Çevrimiçi ödemeler ve dolandırıcılığın önlenmesi için Stripe çerezleri. Sağlayıcı: Stripe Payments Europe Ltd., Dublin. Yalnızca kullanıcı bir çevrimiçi ödeme yaparsa ve önceden “Stripe çerezleri” için onay vermişse kullanılır. Onay olmadan çevrimiçi ödeme mümkün değildir; alternatif olarak yerinde ödeme sunulabilir.

İzleme çerezleri, analiz çerezleri veya pazarlama çerezleri kullanmıyoruz. Üçüncü kişilerce kullanıcı izlemesi yapılmaz. Onayların denetim izi, GDPR md. 7/1 (ispat yükümlülüğü) uyarınca en fazla 3 yıl saklanır; geri alma hâlinde eski kayıt geri alma zamanıyla işaretlenir ve güncel değerlerle yeni bir kayıt oluşturulur, böylece geçmiş kesintisiz biçimde izlenebilir kalır.

2.7 Denetim günlüğü (uyumluluk, değiştirilemez)

Güvenlik ve uyumluluk açısından önemli işlemler (oturum açma, oturum kapatma, parola değişikliği, 2FA etkinleştirme/devre dışı bırakma, şantiye günlüğü ve SiGe belgelerinin kesinleştirilmesi, iptaller, geriye dönük tarihleme denemeleri) aşağıdaki verilerle bir denetim günlüğünde kayıt altına alınır: kiracı kimliği, kullanıcı kimliği, işlem, eski değer, yeni değer, gerekçe, IP adresi, User-Agent, zaman damgası.

Denetim günlüğü GoBD § 146 AO uyarınca değiştirilemez — veritabanı tetikleyicileri denetim tablosunda UPDATE ve DELETE işlemlerini engeller. Saklama: § 147 AO uyarınca 10 yıl (bkz. Bölüm 10). Hukuki dayanak: GDPR md. 6/1-c (hukuki yükümlülük — vergi ve uyumluluk yükümlülükleri) ve GDPR md. 6/1-f (güvenliğe ve kötüye kullanımın tespitine yönelik meşru menfaat).

3. Yapay zekâ destekli işlevler

Booklera sekiz yapay zekâ destekli işlev sunar. Bunlar, tamamen Almanya'daki kendi sunucumuzda (Hetzner Online GmbH) çalıştırılan, açık kaynaklı yerel bir yapay zekâ dil modeline dayanır. OpenAI, Google, Anthropic, Microsoft gibi harici yapay zekâ sağlayıcılarına veya başka üçüncü kişilere hiçbir veri aktarılmaz. Kullanılan model şu anda qwen2.5:14b sürümüdür (durum: Nisan 2026, Apache-2.0 lisansı). Model, dahili bir 3 aylık yeniden değerlendirme yöntemine göre düzenli olarak teknolojinin güncel durumu bakımından incelenir ve belirgin biçimde daha iyi bir model mevcut olduğunda güncellenir.

Tüm yapay zekâ işlevleri, yönetim panelinde EU AI Act md. 52 uyarınca bu şekilde işaretlenmiştir (mor “KI” rozeti), sonuç uyarıları içerir ve araç bilgi kayıtlarında açıklanmıştır (yapay zekânın ne yaptığı, nerede çalıştığı, hangi modelin kullanıldığı).

3.1 Yapay zekâ asistanı (yönetim paneli)

Kiracı sahipleri için yönetim panelinde kullanım yardımı sohbet botu. Talepler plan başına aylık bir kontenjanla sınırlandırılır (Basic: 20 / Pro: 200 / Business: ∞ / Enterprise: ∞). Kullanım anonimleştirilmiş olarak sayılır (bağlam, zaman damgası, kiracı kimliği). Taleplerin içeriği düz metin olarak saklanmaz; 22 kalıptan oluşan bir istem enjeksiyonu filtresi (DE+EN) açık manipülasyon girişimlerini engeller.

3.2 Yapay zekâ müşteri sohbeti (kiracı web sitesindeki SSS botu)

Kiracı web sitesinde son müşterilerin hizmetler, fiyatlar, rezervasyonlar veya talepler hakkındaki sorularını yanıtlar (Pro planından itibaren). Kontenjanlar: Basic 0 (kullanılamaz) / Pro 500 / Business ∞ / Enterprise ∞. Müşteri soruları düz metin olarak saklanmaz. Güvenlik değerlendirmesi için yalnızca talebin anonimleştirilmiş bir özeti (SHA-256) IP adresiyle birlikte en fazla 60 dakika saklanır. Ham veriler kayıt altına alınmaz ve modelin eğitimi için kullanılmaz.

3.3 Yapay zekâ fatura tarayıcısı (Business)

Gelen faturaların fotoğraflarını veya PDF dosyalarını işler. Metin tanıma Tesseract OCR ile (açık kaynak, yerel) yapılır. Ardından yerel dil modeli ilgili alanları (tedarikçi, tutar, tarih, kategori) çıkarır. Yüklenen belgeler sunucumuzda kiracı bazında yalıtılmış bir klasörde kalıcı olarak saklanır (§§ 147 AO, 257 HGB uyarınca saklama yükümlülüğü). Fatura verilerinin üçüncü kişilere aktarımı söz konusu değildir — tüm işleme yerel olarak gerçekleşir.

3.4 Evrensel tarama (Pro ve üzeri)

Fişler, faturalar ve irsaliyeler için OCR işlevi. Fatura tarayıcısıyla aynı teknoloji altyapısı, daha geniş kullanım alanı. Kontenjanlar: Basic 0 / Pro 50 / Business 300 / Enterprise ∞.

3.5 Yapay zekâ teklif oluşturucu (Pro ve üzeri, zanaatkâr)

Bir zanaat projesinin serbest metin veya sesli açıklamasını eksiksiz bir hizmet listesine (pozisyonlar, miktarlar, açıklamalar) dönüştürür. Kontenjanlar: Basic 0 / Pro 30 / Business 200 / Enterprise ∞. Ses girişi tarayıcıda yerel olarak Web Speech API üzerinden yapılır; yazıya dökülen giriş yerel yapay zekâ modeline gönderilir.

3.6 Yapay zekâ sesli ölçüm (Pro ve üzeri, zanaatkâr)

Ölçüm değerleri mikrofonla dikte edilebilir; yapay zekâ ölçüleri çıkarır ve alanları hesaplar. Web Speech API tarayıcıda yerel çalışır; sunucu tarafındaki yapay zekâ işlemesi de yereldir. Kontenjanlar: Basic 0 / Pro 30 / Business 200 / Enterprise ∞.

3.7 Yapay zekâ zaman kaydı (Pro ve üzeri, zanaatkâr)

Çalışanlar iş gününü sözlü olarak özetleyebilir; yapay zekâ, mevcut iş emirleriyle bulanık eşleştirme yaparak yapılandırılmış zaman kayıtları (iş emri, tarih, saat, açıklama) çıkarır. Toplu işlem başına en fazla 10 kayıt. Kontenjanlar: Basic 0 / Pro 50 / Business 300 / Enterprise ∞.

3.8 Şantiye dokümantasyonu otomatik pilotu (Pro ve üzeri, zanaatkâr)

Sesli ve fotoğraflı notları şantiye ilerleme raporlarına dönüştürür. Kontenjanlar: Basic 0 / Pro 50 / Business 300 / Enterprise ∞.

3.9 Çevrimiçi mağazadaki yapay zekâ işlevleri (Pro ve üzeri, e-ticaret)

Mağaza kiracıları için, yine yalnızca sağlayıcının yerel dil modelinde çalışan ek yapay zekâ işlevleri sunulur: ürün açıklamaları ve arama motoru kısa metinlerinin oluşturulması, ürünlerin kategorilere atanmasına ilişkin öneriler ile gümrük tarife numaraları ve menşe ülkeleri için öneriler. Bu sırada yalnızca kiracının ürün verileri işlenir — müşteri veya sipariş verileri işlenmez.

Mal kabulünde irsaliyeler fotoğraf veya PDF olarak okutulabilir. Bu sırada ürünleri ve miktarları kaydetmek için görüntü içeriği ve tanınan metin işlenir. Böyle bir belge tedarikçiye ait kişisel bilgiler (örneğin bir irtibat kişisinin adı) içeriyorsa bunlar da işlenir; işleme, sağlayıcının sunucusunda yerel olarak gerçekleşir. Yapay zekânın tüm önerileri kullanıcıya denetim için sunulur ve ancak onun onayından sonra devralınır.

Tüm yapay zekâ işlevlerinin hukuki dayanağı GDPR md. 6/1-b (sözleşmenin ifası) ile GDPR md. 6/1-f (kötüye kullanımın önlenmesine ve görevlerin verimli biçimde yerine getirilmesine yönelik meşru menfaat) hükümleridir.

4. Ödeme işlemleri (Stripe)

Ödemelerin işlenmesi için (SaaS abonelikleri ile Stripe Connect üzerinden son müşteri ödemeleri, Stripe Terminal üzerinden yerinde kart ödemeleri dahil) Stripe hizmetini kullanıyoruz.

• Sağlayıcı: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, İrlanda; ana şirket: Stripe Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, ABD.
• Amaç: SaaS abonelik ödemelerinin (Basic, Pro, Business, Enterprise) güvenli biçimde işlenmesi, Stripe Connect üzerinden son müşteri ödemeleri ile Stripe Terminal (POS) üzerinden yerinde kart ödemeleri.
• İşlenen veriler: Ad, e-posta adresi, ödeme verileri (kredi kartı verileri, SEPA otomatik ödeme, POS'ta banka kartı verileri). Ödeme verileriniz doğrudan Stripe'a aktarılır ve sunucularımızda saklanmaz. POS ödemelerinde kart verileri yalnızca Stripe kart okuyucusu tarafından işlenir — ne Booklera ne de kiracı kart numarasına erişebilir.
• Stripe Terminal (POS): Yerinde kart ödemelerinde kart okuyucu doğrudan Stripe ile iletişim kurar. İşlem verileri (tutar, zaman damgası, terminal kimliği) ödeme belgeleri ve muhasebe kayıtları oluşturmak için sistemimizde saklanır. Talep hâlinde son müşteriye e-posta ile bir ödeme belgesi gönderilir.
• Platform ücreti: Stripe Connect üzerinden yapılan ödemelerde (çevrimiçi ve POS) Booklera, işlem tutarının % 1,5 oranında bir platform ücreti alır; bu ücret Stripe tarafından otomatik olarak kesilir.
• Hukuki dayanak: GDPR md. 6/1-b (sözleşmenin ifası).
• Üçüncü ülkeye aktarım: ABD'ye veri aktarımı gerçekleşebilir. Stripe, EU-US Data Privacy Framework kapsamına katılmıştır ve tamamlayıcı olarak GDPR md. 46/2-c uyarınca standart sözleşme hükümleri (SCC) uygular.
• Webhook güvenilirliği: Stripe webhook olayları dahili bir yeniden deneme işleyicisiyle işlenir (bekleme: 5 dk → 15 dk → 1 sa → 6 sa → 24 sa, event_id üzerinden tekrarsızlık); böylece geçici Stripe kesintilerinde veri kaybı önlenir.
• Çerezler: Stripe, çerezleri yalnızca kullanıcı çerez onay penceresinde “Stripe çerezleri” seçeneğine etkin biçimde onay vermişse yerleştirir (bkz. Bölüm 2.6).
• Stripe veri koruma bilgileri: stripe.com/de/privacy

5. Video yerleştirme ve yükleme

5.1 YouTube yerleştirme

Kiracı web sitelerine YouTube videoları yerleştirilebilir. Genişletilmiş veri koruma modunu (youtube-nocookie.com) kullanıyoruz; bu modda YouTube çerezleri ancak kullanıcı videoyu etkin olarak oynattığında yerleştirir.

• Sağlayıcı: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, İrlanda
• Hukuki dayanak: GDPR md. 6/1-f (video içeriklerinin gösterilmesine yönelik meşru menfaat)
• Veri koruma bilgileri: policies.google.com/privacy

5.2 Vimeo yerleştirme

Alternatif olarak Vimeo videoları yerleştirilebilir. dnt=1 parametresini (Do Not Track) kullanıyoruz.

• Sağlayıcı: Vimeo Inc., 555 West 18th Street, New York, NY 10011, ABD
• Hukuki dayanak: GDPR md. 6/1-f
• Veri koruma bilgileri: vimeo.com/privacy

5.3 Video yükleme

Business planından itibaren kiracılar kendi videolarını (MP4, WebM, dosya başına 100 MB'a kadar) doğrudan platforma yükleyebilir. Bu videolar yalnızca Almanya'daki sunucumuzda (Hetzner) saklanır ve üçüncü kişilere aktarılmaz. Depolama sınırları: Pro 2 GB / Business 10 GB.

6. Barındırma ve özel alan adları (Hetzner)

Bu web sitesi ve SaaS platformu, Hetzner Online GmbH şirketinin (Industriestr. 25, 91710 Gunzenhausen, Almanya) özel bir sunucusunda barındırılmaktadır. Sunucu Almanya'da bulunmaktadır. Tüm veriler (veritabanı, dosyalar, e-postalar, yapay zekâ modeli, yedekler) yalnızca Almanya'da saklanır ve işlenir. Hetzner, GDPR md. 28 uyarınca veri işleyen olarak sözleşmeyle bağlıdır. hetzner.com/de/legal/privacy-policy

İsteğe bağlı özel alan adı işlevi için (Pro planından itibaren) Hetzner DNS API kullanıyoruz: kiracı, DNS kayıtlarını kendi alan adı sağlayıcısında girer ve otomatik bir işleyici DNS yapılandırmasını her 30 dakikada bir denetler. SSL sertifikaları Let's Encrypt üzerinden oluşturulur ve otomatik olarak yenilenir.

Yedekleme konsepti: 4 bağımsız katman (her 15 dakikada bir Restic ile harici depolamaya, her dakika PostgreSQL WAL arşivi, günlük harici döküm, günde iki kez çevrimdışı kopya). Tüm yedekler şifrelenmiştir (Restic AES-256, ayrı ana anahtar).

7. Kiracı ayrımı (çok kiracılı yalıtım)

Booklera çok kiracılı bir platformdur. Kiracı ayrımına yönelik teknik önlemler:

• Row-Level-Security (RLS) — FORCE ile 22'den fazla veritabanı tablosunda. Her veritabanı sorgusu otomatik olarak kiracıya göre filtrelenir; başka kiracıların verilerine erişim teknik olarak imkânsızdır.
• Ayrı veritabanı rolleri: Uygulama, BYPASS-RLS yetkisi olmayan sınırlı bir rol kullanır; yalnızca bakım işlemleri sahip rolünü kullanır.
• İstek başına kiracı bağlamı: Uygulama, kiracı bağlamını kimlik denetiminde otomatik olarak ayarlar; ardından RLS koşulu filtrelemeyi yapar.
• Webhook'lar: Stripe webhook'ları ve harici olarak tetiklenen diğer işlemler de her veritabanı işleminden önce kiracı bağlamını ayarlar.

Her kiracı, kayıttan hemen sonra GDPR md. 28 uyarınca bir veri işleme sözleşmesini (AVV) otomatik olarak e-posta ile alır. AVV ayrıca yönetim panelinde Ayarlar → AVV / Veri koruma altından istenildiği zaman görüntülenebilir ve oradan yeniden gönderilebilir. Veri korumayla ilgili sorularınız için lütfen şu adrese başvurun info@booklera.de.

8. SSL/TLS şifrelemesi ve iki faktörlü kimlik doğrulama

Bu web sitesi ve tüm kiracı alt alan adları SSL/TLS şifrelemesi kullanır (HTTPS, en az TLS 1.2, HTTP/2 desteklenir). Şifreli bir bağlantıyı, tarayıcının adres satırının “http://” yerine “https://” ile başlamasından anlayabilirsiniz. Bize ilettiğiniz hiçbir veri üçüncü kişilerce okunamaz. Ayrıca HSTS (HTTP Strict Transport Security) bir yıl süreyle etkindir.

Yönetim paneline erişim için iki faktörlü kimlik doğrulama (2FA, RFC 6238 uyarınca TOTP) kullanılabilir — platform yöneticileri için (Booklera dahili erişim) zorunlu, kiracı sahipleri için yumuşak bir hatırlatmayla isteğe bağlıdır. Kurulum sırasında tek kullanımlık on kurtarma kodu oluşturulur; TOTP gizli anahtarları veritabanında şifrelenmiş olarak saklanır.

9. Kiracılar arası işlevler (meslek havuzu ve nakliye pazar yeri)

Zanaatkâr kiracılarında Booklera, kiracılar arası bir ağ sunar (meslek havuzu ve nakliye pazar yeri; Pro planından itibaren okuma, Business planından itibaren paylaşım). Bir kiracı bu işlevleri etkin olarak kullandığında belirli veriler platformun diğer kullanıcılarına görünür hâle gelir:

• Meslek havuzu — bağlantılar: Kiracı başka bir zanaat işletmesini davet ettiğinde veya bir daveti kabul ettiğinde, her iki taraf da diğerinin firma adını, iş kolunu ve e-posta adresini görür.
• Meslek havuzu — sinyaller (arıyorum/veriyorum): Bir sinyal paylaşıldığında firma adı, iş kolu ve sinyalin içeriği (açıklama, aciliyet, belirtilmişse adres, zaman aralığı) bağlantılı zanaat işletmelerine gösterilir.
• Meslek havuzu — ilgi bildirimleri: Bir ilgi bildiriminde, teklif verenin firma adı ve iletişim bilgileri sinyali paylaşan tarafa e-posta ile gönderilir.
• Nakliye pazarı: Bir nakliye talebi paylaşıldığında temel bilgiler (güzergâh, malzeme, zaman aralığı) akışta diğer kiracılara gösterilir; teklif verilmesi hâlinde teklif verenin iletişim bilgileri açıklanır.

Verilerin görünürlüğü kendi ağıyla (kabul edilmiş bağlantılar) veya bir paylaşımın alıcılarıyla sınırlıdır. Kiracılar arasında otomatik veri paylaşımı yapılmaz — tüm veri aktarımları ancak kullanıcının etkin bir işleminden sonra gerçekleşir (davet gönderme / kabul etme, sinyal paylaşma, ilgi bildirme, nakliye teklifi verme).

Hukuki dayanak: GDPR md. 6/1-b (sözleşmenin ifası — kiracılar arası ağ, satın alınan plan işlevlerinin bir parçasıdır) ile GDPR md. 6/1-a (kullanıcının özelliği etkin biçimde kullanarak verdiği onay). Kullanıcı bir bağlantıyı istediği zaman kesebilir, kendi sinyalini silebilir veya bir ilgi bildirimini geri alabilir — ardından ilgili veriler ağdan kaldırılır.

10. Veri saklama ve silme süreleri

Kişisel veriler yalnızca ilgili işleme amacı için gerekli olduğu sürece veya yasal saklama yükümlülükleri bulunduğu sürece saklanır. Ayrıntılı olarak:

Veri kategorisi	Saklama süresi	Hukuki dayanak
Etkin kullanıcı hesabı	sözleşme süresince	Art. 6 Abs. 1 lit. b DSGVO
Fesihten sonra — kiracı verileri	veri dışa aktarımı için 30 gün geçici silme, ardından kalıcı silme	Art. 17 DSGVO
Sunucu günlük dosyaları	7 gün	Art. 6 Abs. 1 lit. f DSGVO
Yapay zekâ sohbet botu: anonimleştirilmiş özetler	60 dakika	Art. 6 Abs. 1 lit. f DSGVO
Çerez onayı denetimi	3 yıl	GDPR md. 7/1 (ispat yükümlülüğü)
Vergisel açıdan önemli veriler (faturalar, ödeme belgeleri)	10 yıl	§§ 147 AO, 257 HGB
Şantiye günlüğü, şantiye toplantı tutanağı, kabul tutanağı, SiGe belgeleri, SiGe kazaları	kesinleştirmeden sonra 10 yıl	§§ 146, 147 AO (GoBD)
Denetim günlüğü (değiştirilemez)	10 yıl, UPDATE/DELETE engellenmiş	§ 146 AO
Ücret ve maaş verileri	6 yıl	§ 257 HGB, § 147 AO
BG kaza dosyası (özel nitelikli veriler, md. 9)	10 yıl	§ 147 AO + BG iç saklama yükümlülükleri
Dahili hata takibi (giderilmiş hatalar)	30 gün	Art. 6 Abs. 1 lit. f DSGVO
Başarısız webhook denemeleri (giderilmiş)	30 gün	Art. 6 Abs. 1 lit. f DSGVO
Oturumlar (süresi dolmuş)	süresi dolduktan 7 gün sonra	Art. 6 Abs. 1 lit. f DSGVO
Alan adı durum günlüğü (giderilmiş)	30 gün	Art. 6 Abs. 1 lit. f DSGVO

11. Haklarınız

GDPR uyarınca kişisel verilerinizle ilgili olarak bize karşı aşağıdaki haklara sahipsiniz:

• Bilgi edinme hakkı (Art. 15 DSGVO): Bizde saklanan kişisel verileriniz hakkında istediğiniz zaman bilgi talep edebilirsiniz.
• Düzeltme hakkı (Art. 16 DSGVO): Yanlış verilerin düzeltilmesini veya eksik verilerin tamamlanmasını talep edebilirsiniz.
• Silme hakkı (Art. 17 DSGVO): Yasal saklama yükümlülükleri (bkz. Bölüm 10) veya haklı sebepler buna engel olmadığı sürece kişisel verilerinizin silinmesini talep edebilirsiniz.
• İşlemenin kısıtlanması hakkı (Art. 18 DSGVO): Verilerinizin işlenmesinin kısıtlanmasını talep edebilirsiniz, örn. verilerin doğruluğuna itiraz ettiğinizde.
• Veri taşınabilirliği hakkı (Art. 20 DSGVO): Verilerinizi yapılandırılmış, yaygın kullanılan ve makineyle okunabilir bir biçimde size sunmamızı talep edebilirsiniz. Booklera bunun için yönetim alanında bir GDPR dışa aktarma işlevi sunar (zanaatkârlar için ek olarak Business planından itibaren iş emri ZIP dışa aktarımı).
• İtiraz hakkı (Art. 21 DSGVO): Verilerinizin GDPR md. 6/1-f (meşru menfaat) temelinde işlenmesine istediğiniz zaman itiraz edebilirsiniz.
• Onayı geri alma hakkı: İşleme bir onaya dayandığı ölçüde (örn. çerez onayı, GPS konum verisi), bu onayı geleceğe etkili olacak şekilde istediğiniz zaman geri alabilirsiniz — örn. alt bilgideki “Çerez ayarları” bağlantısı üzerinden. Geri almaya kadar gerçekleşen işlemenin hukuka uygunluğu bundan etkilenmez.

Haklarınızı kullanmak için lütfen e-posta ile şu adrese başvurun n.glamngiw@booklera.de. Talebinizi gecikmeksizin, en geç bir ay içinde yanıtlayacağız.

12. Denetim makamına şikâyet hakkı

Kişisel verilerinizin işlenmesinin GDPR hükümlerine aykırı olduğu görüşündeyseniz, bir veri koruma denetim makamına şikâyette bulunma hakkına sahipsiniz. Bizim için yetkili denetim makamı:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
www.lda.bayern.de

Durum: Ağustos 2026