Gizlilik bildirimi
Son güncelleme: 23 Ekim 2026
Bu bildirim; dpphost.eu adresini ziyaret ettiğinizde, id.dpphost.eu üzerinde bir ürün pasaportunu açtığınızda, bize yazdığınızda, app.dpphost.eu adresindeki paneli, API’yi veya MCP sunucusunu kullandığınızda ya da forms.dpphost.eu üzerinde bir tedarikçi talebini yanıtladığınızda DPP Host’un hangi kişisel verileri neden ve ne kadar süreyle işlediğini açıklar. Bu verilerin bir kısmından DPP Host’u kullanan marka sorumludur ve biz bu verileri markanın adına işleriz; bunun hangi veriler için geçerli olduğu aşağıdaki bölümlerde belirtilmiştir.
Veri sorumlusu
Veri sorumlusu, DPP Host’u işleten Qubites ApS’dir (Ulsøparken 49, 2. 2660 Brøndby Strand, Danimarka; CVR 37061026). Kişisel verilerinizle ilgili konularda privacy@dpphost.eu adresine, diğer tüm konularda hello@dpphost.eu adresine yazın.
Markanın sorumlu olduğu durumlar
Markalar, yani DPP Host’u kullanan işletmeler, DPP Host ile ürün pasaportu yayımlar, tedarikçilerinden ürün verisi ister ve Premium planda ürünlerinin sahiplerine hizmet sunar. Bu faaliyetlerdeki kişisel veriler bakımından veri sorumlusu marka, veri işleyen ise DPP Host’tur. Bu veriler şunlardır: markanın pasaportlarına ve sayfalarına eklediği içerik, tedarikçilerinin iletişim bilgileri ve yanıtları ile ürün sahibi hizmetlerindeki veriler. Bu verileri yalnızca markanın talimatları doğrultusunda kullanırız. Bu verilerle ilgili sorular ile verilere erişim, düzeltme veya silme talepleri markaya yöneltilir. Bu soru ve talepleri bize gönderirseniz markaya iletiriz.
Teknik veriler
Sitelerimizden herhangi birini açtığınızda veya API’yi kullandığınızda, bunları sunan Cloudflare, hizmeti sunmak ve kötüye kullanıma karşı korumak için IP adresinizi ve her isteğe ilişkin teknik verileri (örneğin istenen adres, saat ve tarayıcınız) işler. Veritabanımıza ulaşan istekler Supabase tarafından da kayda alınır. API, MCP sunucusu ve tedarikçi formları, bir IP adresinin bir dakika içinde yapabileceği istek sayısını sınırlar; Cloudflare bu sayımı yalnızca içinde bulunulan dakika için yapar ve biz adresi saklamayız. Sağlayıcılar bu kayıtları kısa bir süre sonra siler. Hukuki dayanak, güvenli bir hizmet işletme konusundaki meşru menfaatimizdir (GDPR md. 6(1)(f)).
Panelin oturum açtığınız, hesap oluşturduğunuz veya parolanızı sıfırladığınız sayfalarında (bir markanın ürün sahibi hizmetlerinde oturum açma dahil) ve hassas bir işlemden önce yeniden oturum açtığınızda Cloudflare Turnstile, isteği otomatik bir programın değil bir insanın yaptığını kontrol eder; çoğu kişi bu kontrolü fark etmez. Bunun için Cloudflare, veri işleyenimiz sıfatıyla IP adresinizi ve tarayıcınızdan ve cihazınızdan gelen teknik sinyalleri işler. Hukuki dayanak, hesapları ve oturum açma işlemlerini otomatik kötüye kullanıma karşı koruma konusundaki meşru menfaatimizdir (GDPR md. 6(1)(f)). Aynı kontrol, bulduğunuz bir ürünün sahibine mesaj gönderme formunu da korur.
Ürün pasaportları
id.dpphost.eu üzerindeki her ürün pasaportunu, üründen sorumlu marka yayımlar ve pasaportta neyin gösterileceğine marka karar verir. Her yeni pasaport sürümü ayrıca markanın doğrulanmış yasal adını ve ülkesini, şirketlerde de doğrulanmış KDV veya sicil numarasını gösterir. Şahıs işletmelerinde yasal ad, işletme sahibinin kendi adıdır. Bir pasaportta kişisel veri yer alıyorsa bundan marka sorumludur ve biz bu veriyi markanın adına yayımlarız. Yayımlanan pasaportlar, AB kurallarının gerektirdiği süre boyunca yayında kalır; bu süre uzun yıllar olabilir. Bir pasaporttaki kişisel verilerin kaldırılmasını istiyorsanız pasaportta adı geçen markaya veya bize başvurun. Bir pasaportu açmak için hesap gerekmez. Pasaportların kaç kez açıldığını kişisel veri kullanmadan sayarız: gün, ürün (seri numarası olmadan), dil, ülke ve güncel sürümün mü yoksa önceki bir sürümün mü açıldığı bazında. IP adreslerini, tarayıcı bilgilerini, çerezleri veya geldiğiniz sayfayı kaydetmeyiz. Premium plandaki markalar kendi ürünlerine ait bu günlük toplamları görebilir. Cloudflare sayımları 3 ay, veritabanımız ise günlük toplamları 25 ay saklar.
Bir marka pasaport sayfasında YouTube’dan veya Vimeo’dan bir video gösteriyorsa sayfa önce kendi sunucularımızdan gelen sabit bir görsel gösterir; siz oynat düğmesine basana kadar YouTube’dan veya Vimeo’dan hiçbir şey yüklenmez. Bastığınızda video, YouTube’dan (Google) gelişmiş gizlilik modunda ya da Vimeo’dan “Do Not Track” ayarıyla oynatılır; ilgili sağlayıcı, kendi gizlilik koşulları kapsamında IP adresinizi ve tarayıcınıza ilişkin bilgileri alır ve tarayıcınızda bilgi saklayabilir. Pasaport sayfasındaki bağlantılar (örneğin belgelere veya bir sertifika doğrulamasına giden bağlantılar) başka web sitelerini yalnızca tıkladığınızda açar.
Bize yazarsanız
Bize hello@dpphost.eu veya privacy@dpphost.eu adresine e-posta gönderirseniz (örneğin işletme doğrulaması için belge göndermek amacıyla), size yanıt vermek ve konuyu takip etmek için e-posta adresinizi, adınızı ve yazdıklarınızı işleriz. Hukuki dayanak, bizimle iletişime geçen kişilere yanıt verme konusundaki meşru menfaatimiz (GDPR md. 6(1)(f)), haklarınıza ilişkin taleplerde ise bu taleplere yanıt verme yönündeki yasal yükümlülüğümüzdür (GDPR md. 6(1)(c)). Bu e-postaları, size yanıt vermek ve konuyu takip etmek için gerektiği sürece, en fazla da son yazışmamızdan sonraki 2 yıl boyunca saklarız.
AB kuralları hakkında bildirimlere kaydolursanız
dpphost.eu üzerinden AB ürün kurallarıyla ilgili bildirimlere kaydolursanız e-posta adresinizi, belirttiğiniz şirket veya ürün web adresini, sayfanın dilini ve ne zaman kaydolup onay verdiğinizi saklarız. Önce bir onay e-postası göndeririz; bildirimleri ise yalnızca siz onayladıktan sonra göndeririz: sizinki gibi ürünler için bir pasaport kuralına tarih verildiğinde ve kural uygulanmaya başlamadan önce bir kez daha. Asla reklam göndermeyiz. Her e-postada bildirimleri durdurmak için bir bağlantı bulunur. Hukuki dayanak, bu bağlantıyla geri çekebileceğiniz rızanızdır (GDPR md. 6(1)(a)). 7 gün içinde onaylanmayan bir adres silinir; kaydınız ise bildirimleri durdurmanızdan 30 gün sonra silinir. Size gönderdiğimiz her e-postaya ilişkin kaydımız 30 gün sonra silinir. Formun kötüye kullanılmasını sınırlamak için IP adresinizin anahtarlı bir özetini (hash) sayaçlarımızda en fazla bir gün saklarız; adresin kendisini asla saklamayız.
Paneldeki hesaplar
app.dpphost.eu adresinde bir hesap oluşturduğunuzda adınızı, e-posta adresinizi, parola belirlediyseniz güvenli biçimde özetlenmiş (hash) parolanızı, dilinizi, üyesi olduğunuz kuruluşları ve her birindeki rolünüzü ve bu kuruluşlarda yaptığınız işlemlerin kaydını işleriz. Oturum açma sistemimizi işleten Supabase ayrıca oturumlarınızı ve oturum açma işlemlerinizi IP adresiniz ve tarayıcınızla birlikte kaydeder. Bu verilere, sizin veya kuruluşunuzun kaydolduğu hizmeti sunmak için ihtiyaç duyarız (GDPR md. 6(1)(b)); ad ve e-posta adresi olmadan hesabınız olamaz. Oturumunuz en fazla 90 gün, kullanılmadığında ise en fazla 30 gün açık kalır. Hesabınızı, siz Hesap sayfasından silene veya bizden silmemizi isteyene kadar saklarız. Hesap silindiğinde üyelikleriniz, oturum açma kaydınız ve oturum açma geçmişiniz hemen kaldırılır; kuruluşlarınızın işlem kayıtlarında orada yaptıklarınıza ilişkin girişler ise artık hesabınızla ilişkilendirilemeyen bir tanımlayıcıyla kalır. Hesabınızı silebilmeniz için önce tek sahibi olduğunuz ve başka üyeleri bulunan her kuruluşta başka bir üyeyi sahip yapmanız, tek üyesi olduğunuz her kuruluşu kapatmamız için bize yazmanız ve bir markada sahip olduğunuz her ürün sahibi hesabını silmeniz gerekir. Bir kuruluşun işlem kaydı, pasaportları kimin yayımladığını ve değiştirdiğini belgelediği için, kuruluşun yayımlanmış pasaportları erişilebilir olduğu sürece saklanır.
Google, Apple veya Microsoft ile de oturum açabilirsiniz. Bu durumda sağlayıcı, kendi gizlilik koşulları kapsamında kimliğinizi doğrular ve isteğiniz üzerine e-posta adresinizi, o sağlayıcıdaki kullanıcı kimliğinizi ve sağlıyorsa adınızı ve diğer temel profil bilgilerinizi bizimle paylaşır. Aynı yöntemle yeniden oturum açabilmeniz için bunları hesabınızla birlikte saklarız; sağlayıcı da DPP Host’ta oturum açtığınızı öğrenir. O sağlayıcıdaki parolanızı hiçbir zaman almayız. Apple’ın “E-postamı Gizle” özelliğini seçerseniz, e-postalarımızı size ileten bir Apple adresi alırız. İki adımlı oturum açmayı etkinleştirirseniz kimlik doğrulama uygulamanız için bir gizli anahtar hesabınızla birlikte saklanır (Supabase tarafından, Frankfurt’ta) ve bu yöntemi kullandığınız zamanlar kaydedilir; iki adımlı oturum açmayı Hesap sayfasından kapatabilirsiniz. Her ikisinin de hukuki dayanağı, sizinle veya kuruluşunuzla yapılan sözleşmedir (GDPR md. 6(1)(b)).
Kuruluşlar, işletme doğrulamaları ve GTIN’ler
Bir kuruluşun pasaport yayımlayabilmesi için önce işletme doğrulamasından geçmesi gerekir. AB KDV numaraları, Avrupa Komisyonu’nun ulusal vergi idareleriyle birlikte işlettiği ve kayıtlı adı ve adresi döndürebilen AB KDV bilgi değişim sistemi (VIES) üzerinden otomatik olarak kontrol edilir; VIES numarayı doğrulamazsa doğrulama reddedilir ve kuruluş, çalışanlarımızın elle yaptığı yeni bir doğrulama başlatabilir. Danimarka’nın CVR sicili gibi diğer sicilleri çalışanlarımız elle kontrol eder. Hiçbir sicilin işletmeyi doğrulayamadığı durumlarda (örneğin birçok şahıs işletmesi ve AB dışındaki işletmeler için) çalışanlarımız e-postayla sicil özeti veya işletme ruhsatı gibi belgeler ister ve doğrulama hakkında karar verilir verilmez bu e-postayı siler. Ülkeyi, numarayı, yasal adı ve sicil sağlıyorsa adresi, kuruluşun eklediği notu (varsa), sonucu ve doğrulamayı kimin talep ettiğini ve kararı kimin verdiğini saklarız. Çalışanlarımız yasal adı AB yaptırım listelerine göre de kontrol eder. Şahıs işletmelerinde bu kayıtlar kişisel veridir. Bu kayıtları şu amaçlarla kullanırız: yalnızca gerçek işletmelerin pasaport yayımlamasını sağlamak, her işletmenin yalnızca bir doğrulanmış kuruluşu olmasını sağlamak, doğrulanmış bilgileri işletmenin pasaportlarında göstermek (“Ürün pasaportları” bölümüne bakın; şahıs işletmesi yoluyla doğrulanan bir numara hiçbir zaman gösterilmez) ve pasaportların güvenilirliğini korumak. Hukuki dayanaklar; kuruluşunuzla yapılan sözleşme (GDPR md. 6(1)(b)), kötüye kullanımı önleme konusundaki meşru menfaatimiz (GDPR md. 6(1)(f)) ve yaptırım kontrolü için yasal yükümlülüğümüzdür (GDPR md. 6(1)(c)). Bu kayıtları, kuruluşa neden yayım izni verildiğini gösterdikleri için kuruluş DPP Host’ta var olduğu sürece saklarız.
Bir GTIN (barkod numarası) için pasaport yayımlamak isteyen bir kuruluşun o GTIN üzerinde bir talebi olması ya da talebin sahibi olan kuruluştan izin alması gerekir. Talebe, çalışanlarımızın elle kontrol ettiği bir kanıt eşlik eder; örneğin GS1 lisans sahibinin adı, kuruluşun web alan adı üzerinde bir kanıt veya bir GS1 Digital Link adresi. Talebi, lisans sahibinin adını, kanıtı, varsa notu veya itirazı ve talebi kimin yaptığını ve kararı kimin verdiğini saklarız. Bu kayıtlar yalnızca bir kişiyi (örneğin bir şahıs işletmesi sahibini) adıyla belirttiklerinde kişisel veridir. Bu kayıtları, işletme doğrulamasıyla aynı nedenlerle ve aynı hukuki dayanaklara göre, kuruluş var olduğu sürece saklarız. Bir web alan adını kontrol ettiğini kanıtlamak için kuruluş, alan adının DNS kayıtlarına bir kod ekler; bu kodu Cloudflare üzerinden sorgularız.
Ekipler, davetler ve iş ortakları
Bir kuruluşun üyeleri birbirlerinin adlarını, e-posta adreslerini ve rollerini, ne zamandan beri üye olduklarını ve iki adımlı oturum açma kullanıp kullanmadıklarını görür; yöneticiler ayrıca kuruluşun işlem kaydını görür. Yöneticiler birini, bir bağlantı oluşturup paylaşarak davet eder; davet e-postası göndermeyiz. Davet edilen e-posta adresini, davet kabul edilene kadar kuruluş ve rol bilgisiyle birlikte saklarız; davet kabul edilmezse adresi, davetin süresi dolduktan veya davet geri çekildikten sonraki 30 gün içinde sileriz. Hukuki dayanak, davet eden kuruluşun ekip üyelerini ekleme konusundaki meşru menfaatidir (GDPR md. 6(1)(f)). Bir kuruluş, ajans gibi başka bir işletmenin iş ortağı olarak kendi bünyesinde çalışmasına da izin verebilir. Bu durumda iş ortağının çalışanları aynı role sahip üyelerin gördüklerini görür, kuruluşun üyeleri bu çalışanların adlarını ve e-posta adreslerini görür ve yaptıkları işlemler işlem kaydına geçer. Hangi iş ortağının, kim tarafından ve ne zaman bağlandığına ilişkin kaydı kuruluşun kayıtlarıyla birlikte, işlem kaydı saklandığı sürece saklarız. Hukuki dayanak, kuruluşunuzla yapılan sözleşmedir (GDPR md. 6(1)(b)). Bir iş ortağı, henüz katılmamış bir marka için bir kuruluş da hazırlayabilir ve o markadaki bir iletişim kişisinin e-posta adresini girebilir; iş ortağının pasaport onay taleplerini bu kişiye göndeririz. Bu adresi ve e-postalarının dilini, iletişim kişisi kuruluşu devralana kadar saklarız; kişi kuruluşu hiç devralmazsa ikisini de, adresin girilmesinden veya son talebin süresinin dolmasından (hangisi daha sonraysa) 90 gün sonra sileriz. Orada talep gönderen iş ortağı çalışanları bu adresi görür. Her talep kuruluşun kayıtlarında kalır: hangi pasaportları kimin ne zaman gönderdiği, markanın kararı, kararı kimin verdiği ve varsa belirtilen gerekçe; bunları iş ortağının orada çalışan personeli görür. Hukuki dayanak, bir markanın, bir iş ortağının kendisi için hazırladığı pasaportları onaylayabilmesine ilişkin meşru menfaattir (GDPR md. 6(1)(f)). Ürün sahibi hizmetlerini kullanan bir marka, markanın ürünlerini mağazanın müşterileri adına kaydetmesi için bir mağazayı e-postayla da davet edebilir. Davet edilen adresi ve dilini davet kabul edilene veya geri çekilene kadar, aksi hâlde davetin süresi dolduktan sonraki 29 güne kadar saklarız; daveti açan kişi markanın adını ve bu adresi görür. Hukuki dayanak, markanın kendi ürünlerini satan mağazaları ekleme konusundaki meşru menfaatidir (GDPR md. 6(1)(f)). Bir mağaza daveti kabul ettiğinde, hangi kuruluşun Bayi Koşulları’nın hangi sürümünü kabul ettiğini, kimin ve ne zaman kabul ettiğini, o kuruluşla yapılan sözleşmeye dayanarak saklarız (GDPR md. 6(1)(b)). Bir marka, bir distribütörü onun hizmet verdiği ülkeler için de bağlayabilir; distribütör de bu durumda markanın ürünleri için bir mağazayı e-postayla davet edebilir. Bu daveti, bir markanın davetini sakladığımız şekilde, daveti gönderen distribütörle birlikte saklarız; daveti açan kişi distribütörün adını da görür ve marka, bir distribütörün eklediği her mağazayı görür. Hukuki dayanak, distribütörün ve markanın, markanın ürünlerini satan mağazaları ekleme konusundaki meşru menfaatidir (GDPR md. 6(1)(f)). Bir işletme bir markanın ürünlerini DPP Host üzerinden başka bir işletmeye gönderdiğinde veya elindeki ürünleri kayıp ya da çalıntı olarak işaretlediğinde, bunu hangi üyenin yaptığını ilgili işletmelerin ve markanın kayıtlarıyla birlikte, markanın kuruluşu var olduğu sürece veya o üyenin hesabı silinene kadar, bu kuruluşlarla yapılan sözleşmeye dayanarak kaydederiz (GDPR md. 6(1)(b)). Bir mağaza, fatura sisteminin her faturanın bir kopyasını mağazanın DPP Host adresine göndermesini sağlarsa, kopyadan kadro numaralarını, fatura numarasını ve tarihi okur, bunları mağazanın satış kayıtlarıyla birlikte 24 ay saklar ve kopyayı hemen sileriz (kopyada alıcının adı ve adresi bulunabilir; okuyamadığımız bir kopya, içeriği olmadan 7 gün boyunca not edilir); bunu Bayi Koşulları kapsamında mağazanın veri işleyeni olarak yaparız.
API anahtarları, yapay zekâ uygulamaları ve mağazalar
Bir yönetici API anahtarı oluşturduğunda anahtarın adını, onu kimin oluşturduğunu, izinlerini ve geçerlilik süresinin sonunu, ilk karakterlerini, en son ne zaman kullanıldığını ve anahtarlı bir özetini (hash) saklarız; anahtarın tamamı yalnızca bir kez gösterilir ve hiçbir zaman saklanmaz. Her kuruluşun isteklerini günlük olarak sayar ve bu sayımları 400 gün saklarız. Bir yapay zekâ uygulamasını, örneğin bir yapay zekâ asistanını, mcp.dpphost.eu adresindeki MCP sunucumuz aracılığıyla DPP Host’a bağlayabilirsiniz: oturum açar ve uygulamanın bir kuruluşta, seçtiğiniz ve en fazla 365 gün olan bir süre boyunca çalışmasına izin verirsiniz. Bağlantıya ilişkin şu bilgileri saklarız: kullanıcı kimliğiniz, kuruluş, uygulamanın adı ve web adresi, izinler, izni ne zaman verdiğiniz ve uygulamanın her gün ne kadar kullanıldığı; günlük kullanım bilgisini 400 gün saklarız. Bağlantı ayrıca, kısmen şifrelenmiş olarak, AB ile sınırlı olmayan Cloudflare Workers KV’de saklanır. Erişim her seferinde 1 saat geçerlidir; bağlantı ayrıca 30 gün kullanılmadığında ya da siz onu panelden sonlandırdığınızda sona erer. Kuruluşun yöneticileri hangi uygulamayı kimin bağladığını görür. Uygulama, verdiğiniz izinler dahilinde istediği pasaport, ürün ve taslak verilerini alır; üyelere veya ürün sahiplerine ilişkin bilgileri asla almaz. Uygulamanın sağlayıcısı bu verileri kendi koşullarına göre işler. Bir yapay zekâ uygulaması yayımlayamaz: her değişikliği bir insan onaylar. MCP sunucumuza kaydolan uygulamalar bize adlarını, web adreslerini ve isterlerse iletişim adreslerini verir; bunları uygulamanın son kullanılmasından sonra en fazla 90 gün saklarız. Bir yönetici bir Shopify veya WooCommerce mağazası bağladığında, mağazayı kimin bağladığını ve onayladığını ve mağazanın web adresini saklar, kuruluşun yöneticilerine e-postayla bilgi veririz; mağaza bize yalnızca ürün verisi gönderir, müşteri, sipariş veya ziyaretçi verisini asla göndermez. Anahtarlara, bağlantılara ve mağazalara ilişkin kayıtlar, bunlar sona erdikten sonra da kuruluşun kayıtlarıyla birlikte kalır. Hukuki dayanak, kuruluşunuzla yapılan sözleşmedir (GDPR md. 6(1)(b)).
“Yeni pasaport” bölümünde bir ürünle ilgili dosyaları (PDF dosyaları veya fotoğraflar) bırakabilir ya da ürünün sayfasının bağlantısını yapıştırabilirsiniz. Bunları bir kez Anthropic’e göndeririz; Anthropic’in Claude yapay zekâ modeli, pasaportun gerektirdiği değerleri ve her birinin nerede yazdığını bulmak üzere bunları okur; fotoğraflar konum ve kamera verileri olmadan gönderilir. Her değer, bir kişi onaylayana kadar öneri olarak kalır. Bir yönetici bir GTIN talebine GS1 lisans sertifikası veya üyelik faturası eklediğinde, belgede görünen şirket bilgilerini (belgeyi kimin düzenlediği, lisans sahibi, şirket önekleri ve tarihleri) okumak için bu belgeyi de aynı şekilde bir kez Anthropic’e göndeririz; talepte dosyayı değil, yalnızca bu bilgileri saklar ve talep hakkında karar vermek için kullanırız. Dosyaları ve sayfayı saklamayız: bellekte okunur ve istekle birlikte silinirler. Bulunan değerleri, her birini dosyanın adı ve nerede bulunduğunu gösteren kısa bir alıntıyla birlikte saklarız; aylık sınıra uyulması için her kuruluşun okuma sayısını da (kim, ne zaman ve kaç dosya; içerikleri olmadan) 400 gün saklarız. Anthropic dosyaları, AB’nin standart sözleşme hükümleri kapsamında Amerika Birleşik Devletleri’nde veya hizmetini sunduğu başka bir ülkede işler. Dosyaları ve yanıtı 30 gün içinde siler, model eğitmek için de kullanmaz; yalnızca otomatik kontrollerinin, kullanım politikasını ihlal ettiği için işaretlediği içerikler daha uzun süre, en fazla 2 yıl saklanabilir. Panelde yapay zekâ asistanı Rehber, kuruluşunuzun editörlerine pasaportlarını oluştururken yardımcı olur. Rehber’e yazdığınızda mesajınızı, konuşmadaki önceki mesajları ve yanıt için gereken kuruluş hesabı bilgilerini (plan, taslaklar ve eksikleri, fiyatlar ve yapay zekâ kredileri), Claude modeli yanıtı yazan Anthropic’e göndeririz; Rehber’de eklediğiniz bir dosya, “Yeni pasaport” bölümündeki gibi okunur. Rehber’in önerdiği değerler, bir kişi onaylayana kadar taslakta öneri olarak kalır. Yalnızca sizin görebildiğiniz konuşmayı son mesajından sonra 30 gün, her kişinin mesaj sayısını (kim, ne zaman ve kaç tane; içerik olmadan) ise saatlik sınır ve yapay zekâ kredileri için 400 gün saklarız. Anthropic bunları yukarıda açıklandığı gibi işler, 30 gün içinde siler ve model eğitmek için kullanmaz. Bunun dışında DPP Host verileriniz üzerinde hiçbir yapay zekâ modeli kullanmaz. Hukuki dayanak, kuruluşunuzla yapılan sözleşmedir (GDPR md. 6(1)(b)).
Gönderdiğimiz e-postalar
E-postalarımızı noreply@dpphost.eu adresinden, veri işleyenimiz Resend aracılığıyla göndeririz. Bunlar oturum açma kodları ve bağlantıları, adres doğrulama ve parola sıfırlama e-postaları ile kuruluşunuzun DPP Host kullanımına ilişkin e-postalardır; örneğin ödemeler ve başarısız ödemeler, plan değişiklikleri, işletme doğrulamaları ve GTIN talepleriyle ilgili kararlar, süresi dolmak üzere olan sertifikalar, hazır olan dışa aktarımlar, kaydedilmiş bir içe aktarmayla ilgili, istediğinizde gönderdiğimiz hatırlatma, tedarikçi taleplerine verilen yanıtlar, ürün sahiplerinin onarım talepleri, bir markanın veya bir distribütörün bir mağazaya gönderdiği davet, bir mağazanın müşterisine göndermemizi istediği bağlantı, bir işletmenin teslim aldığı veya geri alınan teslimatlar, bir markanın, bir işletmenin elindeki ürünlerle ilgili geri çağırmaları ve güvenlik uyarıları ile webhook’larla veya mağaza bağlantılarıyla ilgili sorunlar hakkındaki e-postalar. Bu e-postalar ilgili kişiye ya da çoğunlukla kuruluşun sahiplerine ve yöneticilerine gider; teslimatlar, geri çağırmalar ve güvenlik uyarılarıyla ilgili olanlar kuruluşun editörlerine de gönderilir. Bülten veya reklam göndermeyiz; e-postalarımızı açıp açmadığınızı veya içlerindeki bağlantılara tıklayıp tıklamadığınızı izlemeyiz. Resend e-postaları AB’den (İrlanda) gönderir ve her e-postanın bir kopyasını ve gönderim kaydını Amerika Birleşik Devletleri’nde 30 gün saklar. Neyin gönderildiğini gösterebilmek ve aynı e-postayı iki kez göndermemek için gönderdiğimiz her e-postanın kaydını, gönderildiği adresle birlikte tutarız; size gönderilen e-postaların kayıtları hesabınızla birlikte silinir, diğerleri ise ilgili oldukları kuruluş var olduğu sürece saklanır. Hukuki dayanak, sizinle veya kuruluşunuzla yapılan sözleşmedir (GDPR md. 6(1)(b)). Bu e-postaları yanıtlamayın; bunun yerine hello@dpphost.eu adresine yazın. Ürünü bulan biri, sahibinin kayıp veya çalıntı olarak işaretlediği bir ürün hakkında mesaj gönderdiğinde ürün sahibine bir mesaj geldiğini e-postayla bildiririz; bu e-postada bulan kişinin yazdıkları yer almaz. Kaydedilmiş bir içe aktarma için bizden yardım istediğinizde talebinizi (yazdıysanız mesajınızı, içe aktarmaya ait sayıları ve talebi kimin yaptığını) saklar, size yanıt verebilmek için e-posta adresinizle birlikte çalışanlarımıza göndeririz; kuruluşunuzun üyeleri yardım istediğinizi görür ve talebi kapattıktan 2 yıl sonra sileriz.
Ödemeler
Bir kuruluş DPP Host için ödeme yaptığında ödeme Stripe üzerinden gerçekleşir. Stripe’a kuruluşun adını, fatura e-posta adresini (veya satın alan kişinin e-posta adresini) ve dilini iletiriz. Stripe fatura adresini, varsa KDV numarasını (Stripe bunu kontrol eder) ve ödeme bilgilerini toplar; tam kart veya banka hesap numaralarını hiçbir zaman almayız. Stripe KDV’yi hesaplar, faturaları düzenler ve yöneticilerin faturaları görüp ödeme bilgilerini değiştirebildiği müşteri portalını işletir. Stripe müşteri referansını, fatura e-posta adresini, ülkeyi, KDV numarasını ve durumunu ve Stripe’ın ödemelerle ilgili bildirimlerini saklarız. Stripe, ödemeyi veri işleyenimiz olarak işler; dolandırıcılığı önlemek ve kara para aklamayla mücadele kuralları gibi kendi yasal yükümlülüklerini yerine getirmek içinse kendi gizlilik politikası kapsamında bağımsız bir veri sorumlusudur. Hukuki dayanaklar, kuruluşunuzla yapılan sözleşme (GDPR md. 6(1)(b)) ve muhasebe kaydı tutma yükümlülüğümüzdür (GDPR md. 6(1)(c)). Stripe’ın bildirimleri, biz bunları işledikten sonra, geldikleri tarihten 400 gün sonra silinir. Fatura bilgilerini kuruluş var olduğu sürece, faturaları ve diğer muhasebe belgelerini ise Danimarka Muhasebe Kanunu’nun (bogføringsloven) gerektirdiği süre boyunca, yani mali yılın sonundan itibaren 5 yıl saklarız. Stripe verileri Amerika Birleşik Devletleri’nde işleyebilir; bu aktarım AB-ABD Veri Gizliliği Çerçevesi ve Avrupa Komisyonu’nun standart sözleşme hükümleri kapsamındadır.
Bir tedarikçi talebini yanıtlarsanız
Bir marka, forms.dpphost.eu üzerindeki bir forma bağlantı vererek tedarikçilerinden ürün verisi isteyebilir; bağlantıyı ya marka kendisi gönderir ya da biz markanın adına, en fazla iki hatırlatmayla birlikte e-postayla göndeririz. Veri sorumlusu markadır, biz ise markanın veri işleyeniyiz. Marka bize adınız, e-posta adresiniz, ülkeniz ve diliniz gibi iletişim bilgilerinizi verir; yanıtlarınızı ve yüklediğiniz sertifika veya fotoğraf gibi dosyaları da marka alır. Fotoğrafları saklamadan önce içlerindeki konum ve kamera bilgilerini sileriz. İletişim bilgilerinizi ve yanıtlarınızı ne kadar süre saklayacağına marka karar verir. Markanın hiçbir pasaportta kullanmadığı dosyalar, talep sona erdikten (geri çekildiğinde veya bağlantısının süresi dolduğunda) 90 gün sonra silinir. Form hesap gerektirmez ve çerez yerleştirmez. Oradaki verilerinizle ilgili sorular, talebi gönderen markaya yöneltilir. “Bu talebi bildir” seçeneğini kullanırsanız, size bu markadan başka talep göndermemek için e-posta adresinizin bir özetini (hash) saklarız. Bu işlemde, kötüye kullanımı önleme konusundaki meşru menfaatimize dayanarak (GDPR md. 6(1)(f)) veri sorumlusu biziz ve bu özeti, kaldırmamızı isteyene kadar saklarız.
Bir markanın ürün sahibi hizmetlerini kullanırsanız
Bazı markalar, ürünlerinin sahiplerinin bu ürünleri app.dpphost.eu/owner/… adresinde kaydetmesine olanak tanır. Bu alanda veri sorumlusu markadır ve DPP Host verilerinizi marka adına işler; markanın kendi gizlilik bilgileri orada gösterilir ve oradaki ürünleriniz, talepleriniz veya verilerinizle ilgili sorular markaya yöneltilir. Birden fazla markada kullanabileceğiniz oturum açma kaydınızdan (e-posta adresiniz ve bu adresi ne zaman doğruladığınız) DPP Host sorumludur; istediğiniz oturum açma imkânını size sunabilmek için bu kayda ihtiyaç duyarız (GDPR md. 6(1)(b)). Ürün sahibi alanında Apple veya Google ile de oturum açabilirsiniz; bu sağlayıcının neleri paylaştığı ve bunlardan neleri sakladığımız “Paneldeki hesaplar” bölümünde açıklanmıştır. Ürün sahibinin kartı için girdiği ya da oturum açarken Apple veya Google’ın paylaştığı ad, o ürün sahibinin kendi kartında ve ürün sayfasında görünür; bir devirde karşı taraf yalnızca adı ve soyadının baş harfini görür, devirden sonra önceki sahibin kartında da yalnızca bunlar görünür; bir ürün sahibinin paylaştığı kayıt kanıtında ürün, seri numarası, ne zamandan beri kayıtlı olduğu ve ürün sahibinin baş harfleri ya da ürün sahibi tercih ederse tam adı görünür; ürün pasaportunda ad hiçbir zaman görünmez ve bunların hiçbirinde e-posta adresi, telefon numarası veya adres yer almaz. Markanın bağladığı bir mağaza size bir ürün teslim ederse, mağazanın adı ve satış tarihi kaydınızın ve garantinizin bir parçası olur; kartınızda ve ürün sayfanızda mağazanın adıyla birlikte “Satın alındığı yer” bilgisi görünür; mağaza, teslimden sonraki 30 güne kadar adınızı ve soyadınızın baş harfini görür, sizinle ilgili başka hiçbir şeyi görmez. Mağaza, bağlantının size bizim tarafımızdan e-postayla gönderilmesini isterse adresiniz yalnızca bu e-posta için kullanılır. Bir kayıt kanıtı açıldığında görüntülenme sayılır; sizinle ilgili hiçbir şey saklanmaz. Oturum açma kaydınızı, herhangi bir markada ürün sahibi hesabınız veya panelde bir hesabınız olduğu sürece saklarız. Bir oturum açma bağlantısı isteyip hiçbir zaman ürün sahibi hesabı açmazsanız ya da son ürün sahibi hesabınız silinirse, oturum açma kaydını 30 gün kullanılmadığında sileriz. Oturum açma kaydınızla ilgili sorular için: privacy@dpphost.eu.
Güvenlik uyarıları: Bir ürünün pasaport sayfasından, ürün sahibi hesabınız olmadan o ürünle ilgili güvenlik uyarıları isteyebilirsiniz. Bu durumda marka e-posta adresinizi, e-postaların dilini ve ürünü saklar ve bunları yalnızca sizi güvenlik uyarıları ve geri çağırmalar hakkında bilgilendirmek için kullanır (AB 2023/988 sayılı Tüzük md. 35); asla pazarlama amacıyla kullanmaz. Marka yalnızca kaç kişinin uyarı istediğini görür. Kayıtlı ürün sahipleri bu uyarıları hesaplarının adresine veya belirttikleri ayrı bir adrese alır. Her uyarıda, uyarıları durdurmak için bir bağlantı bulunur; uyarıları durdurduğunuzda adres silinir. 7 gün içinde doğrulanmayan ayrı bir adres de silinir. Adresinizi doğrulayan oturum açma kaydı, ürün sahibi hesabınız veya panelde bir hesabınız yoksa hemen ardından silinir.
Satın alma belgeleri: Markanın bağladığı bir mağaza, ürünü satın aldığınızda satın alma belgenizi eklediyse ve ürünü devralırken belgeyi sakladıysanız, belge kaydınızla birlikte tutulur ve yalnızca siz görüntüleyebilir veya indirebilirsiniz. Marka belgeyi yalnızca onu bir onarım veya garanti talebine eklerseniz ve yalnızca bu talep açık olduğu sürece görür. Belge, kaydınız sona erdiğinde (örneğin ürünü devrettiğinizde) veya belgeyi kaldırdığınızda silinir; sonraki sahip belgeyi hiçbir zaman görmez. Belge AB’de, Cloudflare’de saklanır ve hiçbir yedeğe dahil edilmez.
Bisikletler ve bataryalar: Bir bisiklet ve bataryası sizin adınıza kayıtlıysa, hangi bataryanın hangi bisiklete takılı olduğunu da kaydederiz; böylece her kartta diğer parça da belirtilir ve bir satış ikisini birden kapsayabilir. Marka bunu görmez; bu bağlantı, parçalardan biri tek başına satıldığında, kayıp veya çalıntı olarak işaretlendiğinde ya da tek başına geri dönüştürüldüğünde sona erer.
Kayıp veya çalıntı: Bir ürünü kayıp veya çalıntı olarak işaretler ve ürünü bulanların size mesaj göndermesine izin verirseniz, ürünün pasaport sayfasında sahibinin ürünü aradığı belirtilir ve size mesaj göndermek için bir düğme bulunur; sayfada adınız veya size nasıl ulaşılacağı hiçbir zaman gösterilmez. Bulan kişinin gönderdikleri yalnızca size ulaşır: ürün sayfanızda, cüzdan kartınızda ve bir mesaj geldiğini bildiren bir e-postada. Marka bunu görmez. Her mesaj 30 gün sonra, mesajı bildirdiğinizde veya kaydınız sona erdiğinde silinir.
Bulduğunuz bir ürünün sahibine mesaj gönderirseniz
Bir ürünün sahibi ürünü kayıp veya çalıntı olarak işaretlemiş ve bulanların kendisine mesaj göndermesine izin vermişse, ürünün pasaport sayfasında sahibine mesaj göndermek için bir düğme bulunur. app.dpphost.eu üzerindeki form ürünün nerede olduğunu sorar; ayrıca konumunuzu (yalnızca isterseniz ve tarayıcınız önce size sorduktan sonra), ürün sahibinin size nasıl ulaşabileceğini ve kısa bir mesaj ekleyebilirsiniz. Bunları yalnızca ürünün kayıtlı sahibine iletiriz: tamamını ürün sayfasında, yazdığınız yeri ise cüzdan kartında; ürün sahibine giden e-postada yalnızca bir mesaj geldiği belirtilir. Marka mesajınızı hiçbir zaman görmez ve mesajınız başka hiçbir amaçla kullanılmaz. Ürün sahibi hizmetlerinin veri sorumlusu markadır ve DPP Host mesajınızı marka adına işler (“Bir markanın ürün sahibi hizmetlerini kullanırsanız” bölümüne bakın); hukuki dayanak, ürünün sahibine geri dönmesi konusunda ürün sahibinin ve sizin meşru menfaatinizdir (GDPR md. 6(1)(f)). Mesajınız 30 gün sonra silinir; ürün sahibi mesajı bildirirse veya kaydı sona ererse daha önce silinir.
Ürün sahiplerini kötüye kullanıma karşı korumak için DPP Host, veri sorumlusu sıfatıyla, formu bir insanın gönderdiğini Cloudflare Turnstile ile kontrol eder ve bir ağ adresinden gönderilebilecek mesaj sayısını sınırlar. Bu sınırlar için IP adresinizin anahtarlı bir özetini (hash) saklarız, adresin kendisini asla saklamayız: sayaçlarımızda en fazla bir gün, mesajınızla birlikte ise mesaj saklandığı sürece. Ürün sahibi mesajınızı bildirirse mesaj silinir ve özeti aynı olan adresten gelen mesajlar 7 gün boyunca reddedilir. Mesajlarda bağlantıya izin verilmez. Form çerez yerleştirmez ve tarayıcınızda hiçbir şey saklamaz. Hukuki dayanak, güvenli bir hizmet sunma konusundaki meşru menfaatimizdir (GDPR md. 6(1)(f)). Mesajınızın daha önce silinmesini istiyorsanız ürünü ve mesajı gönderdiğiniz saati belirterek privacy@dpphost.eu adresine yazın.
İçerikle ilgili bildirimler
İçerik bildirme sayfasındaki formla bir içeriği bildirirseniz yazdıklarınızı, bildirdiğiniz web adresini, verdiyseniz adınızı ve e-posta adresinizi ve IP adresinizin anahtarlı bir özetini (hash) saklarız. Bildirimi, onu ele almak ve Dijital Hizmetler Yasası kapsamındaki yükümlülüklerimizi yerine getirmek için kullanırız (GDPR md. 6(1)(c)). İlgili kuruluş, bildirimi kimin gönderdiğini hiçbir zaman öğrenmez. IP özetini yalnızca formun kötüye kullanılmasını sınırlamak için kullanırız; bu, formu herkes için kullanılabilir tutma konusundaki meşru menfaatimizdir (GDPR md. 6(1)(f)). IP özetini 30 gün sonra sileriz. Kararımızdan 3 yıl sonra adınızı, e-posta adresinizi ve yazdıklarınızı sileriz; bildirimi nasıl ele aldığımızın kaydı olarak yalnızca referansı, tarihleri, kategoriyi, bildirilen web adresini ve kararı saklarız.
Veriler nerede saklanır ve kimlere aktarılır
Veritabanımız, oturum açma sistemimiz ve sunucu işlevlerimiz Supabase’te, Almanya’nın Frankfurt kentinde çalışır. Cloudflare sitelerimizi küresel ağı üzerinden size en yakın veri merkezinden sunar, sakladığımız dosyaları AB’de tutar ve hello@dpphost.eu ile privacy@dpphost.eu adreslerine gönderilen e-postaları Microsoft (Microsoft 365) ve Google (Gmail) üzerindeki posta kutularımıza iletir. Resend e-postalarımızı gönderir. Anthropic, “Yeni pasaport” bölümünde bıraktığınız dosyaları ve sayfaları, ayrıca GTIN taleplerine eklediğiniz GS1 belgelerini okur ve Rehber’in yanıtlarını yazar. Supabase, Cloudflare, Microsoft, Resend ve Anthropic veri işleyenlerimizdir. Stripe, yukarıda açıklandığı şekilde ödemeleri alır. Bu şirketlerin tümü ABD şirketidir veya ABD’li şirket gruplarının parçasıdır. Kişisel veriler Amerika Birleşik Devletleri’ne aktarıldığında veya verilere AB dışından erişildiğinde, veri işleyenlerimize ve Stripe’a yapılan aktarım, her sağlayıcının veri işleme sözleşmesinde yer alan Avrupa Komisyonu standart sözleşme hükümleri kapsamındadır; Cloudflare, Resend ve Stripe’a yapılan aktarımlar ayrıca AB-ABD Veri Gizliliği Çerçevesi kapsamındadır. Bu güvencelerin bir kopyasını privacy@dpphost.eu adresine yazarak isteyebilirsiniz. Alt veri işleyenlerimizin listesi, her yeni alt veri işleyenin başlangıç tarihiyle birlikte dpphost.eu/sub-processors adresindedir (İngilizce).
Diğer alıcılar: AB’nin VIES sistemi, doğrulanan bir kuruluşun KDV numarasını alır; Google, Apple ve Microsoft, kendileri aracılığıyla başlattığınız oturum açma işlemlerine bağımsız veri sorumluları olarak katılır; bağladığınız yapay zekâ uygulamalarının sağlayıcıları, uygulamanın sizin için okuduğu verileri alır; markalar, bu bildirimde görebilecekleri belirtilen verileri alır; yetkili makamlar ise kanunun gerektirdiği durumlarda (örneğin Dijital Hizmetler Yasası kapsamında polis) veri alır. Kişisel verileri satmayız.
Yedekler ve dışa aktarımlar
Pasaportların geri yüklenebilmesi için yayımlanan her pasaportu her gece Cloudflare’in AB’deki ayrı bir depolama alanına kopyalarız; kopya yalnızca pasaport sayfalarında gösterilenleri içerir. Her gecelik kopyayı 35 gün, ayda bir kopyayı ise 400 gün saklarız. Bir kuruluşun yöneticileri kuruluşun pasaportlarını, taslaklarını, tedarikçi dosyalarını, medyasını ve sayfalarını ZIP dosyaları olarak indirebilir; bu dosyaları 7 gün sonra sileriz. Bu tür bir dışa aktarım üye, ürün sahibi, anahtar veya fatura verisi içermez. Silinen veriler, üzerine yazılmadan önce veritabanının şifreli yedeklerinde en fazla 7 gün kalabilir.
Haklarınız
Verilerinize erişim, verilerinizin düzeltilmesi veya silinmesi, işlenmesinin kısıtlanması ya da makine tarafından okunabilir biçimde bir kopyasının verilmesi talebinde bulunabilir ve meşru menfaatimize dayanan işlemeye itiraz edebilirsiniz. Bunun için privacy@dpphost.eu adresine yazın. Bir ay içinde yanıt veririz ve kimliğinizi doğrulamanızı isteyebiliriz. Verilerinizden bir marka sorumluysa (“Markanın sorumlu olduğu durumlar” bölümüne bakın) markaya başvurun ya da bize yazın; talebinizi markaya iletiriz. Otomatik VIES kontrolü dışında (“Kuruluşlar, işletme doğrulamaları ve GTIN’ler” bölümüne bakın), hakkınızda yalnızca otomatik işlemeye dayanan ve sizinle ilgili hukuki sonuç doğuran ya da sizi benzer şekilde önemli ölçüde etkileyen kararlar vermeyiz. Danimarka Veri Koruma Kurumu’na (Datatilsynet, datatilsynet.dk) veya yaşadığınız ya da çalıştığınız ülkedeki veri koruma otoritesine de şikâyette bulunabilirsiniz.
Bu bildirimdeki değişiklikler
Kişisel verilerle ilgili uygulamalarımız değiştiğinde bu bildirimi güncelleriz. Sayfanın üstündeki tarih, bildirimi en son ne zaman değiştirdiğimizi gösterir.