1Verilerinizden kim sorumludur
1.1Veri sorumlusu: Manuroute platformunu ("Platform") işleten İtalyan serbest meslek sahibi Antonio Sasso, KDV numarası IT04607290717, adres Via Giuseppe di Vittorio 171/B, 71043 Manfredonia (FG), Italia. Bu metinde veri sorumlusu "İşletmeci" veya "biz" olarak anılır.
1.2Gizlilikle ilgili her türlü soru veya talep için iletişim: hello@manuroute.com.
1.3Müşteriler ve üreticiler. Bir sipariş atandığında üretici, siparişi üretmek ve göndermek için gereken müşteri verilerini (ad, teslimat adresi, kargo şirketinin gerektirdiği durumlarda telefon numarası ve dosya) alır. Bu veriler bakımından üretici bağımsız veri sorumlusu olarak hareket eder: paketin nasıl paketlenip gönderileceğine kendisi karar verir ve kargo şirketiyle kendi sözleşmesini yapar. Üretici, üretici koşulları uyarınca bu verileri yalnızca o siparişi yerine getirmek için kullanmakla, gizli tutmakla, başka hiçbir amaçla (pazarlama veya müşteriyle iş sohbeti dışında iletişime geçme dahil) yeniden kullanmamakla ve sipariş tamamlandıktan 30 gün sonra dosyayla birlikte silmekle yükümlüdür. Platformun kendisinde işlenen tüm veriler için veri sorumlusu biz olmaya devam ederiz.
2Topladığımız veriler
2.1Hesap verileri. Ad, e-posta adresi, telefon numarası (üreticiler için, doğrulama amacıyla), parola veya üçüncü taraf bir sağlayıcı (örneğin Google veya GitHub) üzerinden giriş, dil, ülke, rol (müşteri, üretici veya her ikisi), 18 yaşında veya daha büyük olduğunuza ilişkin onayınız ve pazarlama e-postası tercihiniz (izin durumu ve çift onay (double opt-in) teyidinin tarihi).
2.2Üretici doğrulaması (KYC/KYB). Üreticiler kimliklerini ve daha yüksek güven seviyelerinde işletmelerini Stripe Connect aracılığıyla doğrular. Kimlik belgeleri ve banka bilgileri Stripe tarafından toplanır ve işlenir; biz doğrulama durumunu ve Stripe'ın platformlara sağladığı bilgileri (ad, adres, ödeme hesabı bilgileri gibi) alırız. Ayrıca makine verilerini, makine doğrulama fotoğraflarını (seri numarası ve test baskısı fotoğrafları dahil), malzemeleri ve üreticilerin gönderim yaptığı ülkeleri de toplarız.
2.3DAC7 vergi verileri. Üreticiler için, 2021/514 sayılı (AB) Konsey Direktifi ("DAC7") ve İtalyan uygulama kuralları uyarınca: ad, ikamet adresi, vergi kimlik numarası veya KDV numarası, gerçek kişiler için doğum tarihi, ödeme hesabı tanımlayıcısı ve her raporlama döneminde ödenen toplam bedel ile işlem sayısı.
2.4Sipariş verileri. Yüklenen baskı dosyaları ve bunlardan çıkarılan veriler (yazıcı modeli, nozul, filamentler, ağırlık, süre, tabla önizlemeleri), parçanın beyan edilen kullanımı, kabul kriterleri, fiyatlar, ücretler, ödeme durumu, sipariş geçmişi ve olaylar.
2.5Ödeme verileri. Ödemeler Stripe tarafından işlenir. Tam kart numaralarını saklamayız; ödeme tanımlayıcılarını ve ödeme durumunu alırız.
2.6Fotoğraflar. Üreticiler (baskı tablası, parça, terazi üzerindeki parça, paket) ve müşteriler (uyuşmazlık durumunda) tarafından yüklenen fotoğraflar.
2.7Gönderim verileri. Müşterinin teslimat adresi, pakette yer aldığı durumlarda üreticinin gönderici adresi, kargo şirketi ve takip numarası.
2.8İletişimler. İş sohbetindeki mesajlar, uyuşmazlık beyanları ve kanıtları, destek talepleri, değerlendirmeler.
2.9Teknik veriler ve kayıt verileri. IP adresi, cihaz ve tarayıcı bilgileri, giriş olayları, dosya indirme kayıtları, güvenlik ve denetim kayıtları, hata raporları. Otomatik kötüye kullanımı giriş bağlantısından, bekleme listesinden ve hesap olmadan alınan fiyat tekliflerinden uzak tutmak için bu formlar Cloudflare Turnstile kullanır: Turnstile, insanları botlardan ayırt etmek için tarayıcınızdan ve bağlantısından gelen sinyalleri (IP adresi, tarayıcı özellikleri ve sayfanın nasıl kullanıldığı gibi) izleme çerezleri kullanmadan kontrol eder ve sunucumuzun Cloudflare ile doğruladığı tek kullanımlık bir belirteç döndürür. Hız sınırları yalnızca IP ve e-posta adreslerinin tuzlanmış karmalarını (hash) ve reddedilen taleplerin sayılarını saklar, adreslerin kendisini asla saklamaz.
2.9.1Okuyamadığımız dosyalar. Bir yükleme reddedildiğinde (örneğin bir STL veya henüz okuyamadığımız bir dilimleyiciden gelen bir dosya), yalnızca dosyanın türünü, ilk satırlarında adı geçen dilimleyiciyi, boyutunu, günü, bağlantınızın geldiği ülkeyi ve ne basmak istediğinizi söylemeyi seçerseniz verdiğiniz yanıtı saklarız. Dosyanın kendisi derhal silinir veya tarayıcınızdan hiç çıkmaz. Bu kayıtlar hesabınızla ilişkilendirilmez.
2.10Analiz verileri. Ürün kullanım olayları, yalnızca rıza vermeniz halinde (bölüm 8).
2.11Bekleme listesi verileri. E-posta adresi, müşteri olarak mı yoksa üretici olarak mı katıldığınız, belirtilmişse dil ve ülke ve adresi onayladığınız tarih. Bekleme listesine katılım çift onayla teyit edilir: size bir onay bağlantısı içeren bir e-posta göndeririz ve lansman hakkında size ancak onay verdikten sonra yazarız.
2.12Geri bildirim ve yardım talepleri. Yardım ve geri bildirim panelinde yazdıklarınız veya bir adımda durduğunuzda (örneğin sipariş vermediğiniz bir fiyat teklifinde) kısa bir soruya verdiğiniz yanıt, gönderildiği sayfa, dil, pencere boyutu ve tarayıcı, eklerseniz bir ekran görüntüsü ve giriş yapmamışsanız size yanıt verebilmemiz için bıraktığınız e-posta adresi. Hesap olmadan gönderilen bir yardım talebi için bu adres gereklidir.
2.13Katalog hesapları ve alıcıları. Kataloğu olan bir müşteri (bir tacir) kendi alıcılarından biri için sipariş verdiğinde, o siparişi üretmek ve göndermek amacıyla tacir tarafından verilen alıcının adını, teslimat adresini ve telefon numarasını işler ve bunları siparişle birlikte saklarız. Alıcıyı bu konuda bilgilendiren tacirdir; alıcıyla asla iletişime geçmeyiz. Tacirin kendisi için ayrıca ticaret unvanını, isteğe bağlı şirket adını ve KDV numarasını, katalog ürünlerini, API anahtarlarını (karma olarak saklanır), webhook uç noktasını ve ona gönderilen olayların kaydını ve Stripe'tan alınan kayıtlı kartın tanımlayıcılarını saklarız. Hesap verilerinin JSON indirmesi (bölüm 7.1) katalog profilini, ürünleri, anahtarları (karmaları olmadan) ve siparişleri içerir.
3Verilerinizi neden ve hangi hukuki dayanakla kullanıyoruz
| Amaç | Veriler | Hukuki dayanak (Genel Veri Koruma Tüzüğü (GDPR) md. 6(1)) |
|---|---|---|
| Hesabınızın oluşturulması ve yönetilmesi | Hesap verileri | Sözleşme (b) |
| Siparişlerin fiyatlandırılması, eşleştirilmesi, üretilmesi, gönderilmesi ve tamamlanması | Sipariş, gönderim, fotoğraflar, iletişimler | Sözleşme (b) |
| Stripe aracılığıyla ödemelerin tutulması, iadeler ve üreticilere yapılan ödemeler | Ödeme verileri, üretici ödeme verileri | Sözleşme (b) |
| Üretici doğrulaması ve güven seviyeleri | KYC/KYB durumu, makine verileri, doğrulama fotoğrafları | Sözleşme (b); güvenli bir pazar yerine ilişkin meşru menfaat (f) |
| Kabul ve uyuşmazlıkların yönetimi | Fotoğraflar, iletişimler, sipariş geçmişi | Sözleşme (b); uyuşmazlıkların adil şekilde çözülmesine ilişkin meşru menfaat (f) |
| Dolandırıcılığın önlenmesi (örneğin IP veya adres üzerinden şüpheli müşteri-üretici çiftlerinin tespiti), güvenlik, indirme kayıtları | Teknik veriler ve kayıt verileri, hesap ve sipariş verileri | Kullanıcıların ve Platformun korunmasına ilişkin meşru menfaat (f) |
| Agenzia delle Entrate'ye DAC7 raporlaması | DAC7 vergi verileri | Hukuki yükümlülük (c) |
| Platform ücretinin faturalandırılması, KDV ve muhasebe | Hesap, sipariş ve ödeme verileri | Hukuki yükümlülük (c) |
| Fikri mülkiyet bildirimlerinin ele alınması | Bildirim verileri, sipariş ve dosya verileri | Meşru menfaat (f); uygulanabilir olduğu durumlarda hukuki yükümlülük (c) |
| İşlemsel e-postalar (sipariş güncellemeleri, iş teklifleri, ödemeler) | E-posta, sipariş verileri | Sözleşme (b) |
| Yardım taleplerinin yanıtlanması ve geri bildirimlerin incelenmesi, bir adımda durduğunuzda sorulan kısa sorular dahil | Geri bildirim verileri (2.12) | Çalışan bir hizmete ve size yanıt vermeye ilişkin meşru menfaat (f); hesabınız veya siparişinizle ilgili bir yardım talebi için sözleşme (b) |
| Ödemediğiniz bir fiyat teklifi hakkında, tekliften 24 saat sonra gönderilen, bu hatırlatmaları durdurma bağlantısı içeren tek bir hatırlatma e-postası | E-posta, fiyat teklifi verileri | Başlattığınız bir siparişin tamamlanmasına ilişkin meşru menfaat (f) |
| Hata izleme | Teknik veriler | Çalışan bir hizmete ilişkin meşru menfaat (f) |
| PostHog ile ürün analizi | Kullanım olayları, cihaz verileri | Rıza (a) |
| Bekleme listesi ve lansman güncellemeleri | Bekleme listesi verileri | Rıza (a) |
| Pazarlama e-postaları (haberler, özellikler, kampanyalar) | E-posta, rol, dil | Rıza (a), çift onayla teyit edilen ayrı izin |
Pazarlama e-postaları. Pazarlama e-postalarını yalnızca bunlar için hesap kaydından ve işlemsel e-postalardan ayrı, açık bir izin vermiş kişilere göndeririz. Her izin çift onayla teyit edilir: bir onay e-postası alırsınız ve pazarlama listesine ancak içindeki bağlantıya tıkladıktan sonra eklenirsiniz. Bu kural her ülkede herkes için geçerlidir. Her pazarlama e-postası tek tıklamayla çalışan bir abonelikten çıkma bağlantısı içerir; abonelikten çıkmak pazarlama e-postalarını durdurur, ancak siparişlerinizi ve hesabınızı yürütmek için gereken işlemsel e-postaları durdurmaz.
Otomatik işleme. Bir siparişin bir üreticiyle eşleştirilmesi, güven seviyeleri, sipariş limitleri ve güvenilirlik puanı, Hizmet Koşulları'nda açıklanan kriterlere göre otomatik olarak hesaplanır.
4Verilerinizi kimler alır
4.1Diğer kullanıcılar. Atanan üretici, dosyayı ve siparişi üretmek ve göndermek için gereken verileri alır. Müşteri, üreticinin güven seviyesini görür ve paketin üzerinde üreticinin gönderici bilgilerini görebilir. İletişim yalnızca iş sohbeti üzerinden gerçekleşir.
4.2Veri işleyenler. Veri işleme sözleşmeleri kapsamında bizim adımıza veri işleyen aşağıdaki sağlayıcıları kullanıyoruz:
| Sağlayıcı | Hizmet |
|---|---|
| Stripe | Ödemeler, fonların tutulması, üretici kimlik doğrulaması (KYC/KYB), üreticilere yapılan ödemeler |
| Vercel | Web uygulamasının barındırılması |
| Neon | Veritabanı (Postgres) |
| Cloudflare | Dosya depolama (R2), Turnstile bot kontrolü dahil ağ ve güvenlik hizmetleri |
| Resend | İşlemsel e-posta |
| Sentry | Hata izleme |
| PostHog | Ürün analizi (yalnızca rıza ile) |
| Inngest | Arka plan iş akışları ve zamanlayıcılar |
4.3Giriş sağlayıcıları. Google veya GitHub ile giriş yaparsanız, ilgili sağlayıcı temel profil verilerini kendi gizlilik politikası kapsamında bizimle paylaşır.
4.4Resmi makamlar. Agenzia delle Entrate (DAC7 raporlaması ve vergi) ve kanunun gerektirdiği durumlarda diğer makamlar veya mahkemeler.
4.5Danışmanlar. Gerektiğinde, meslek sırrı yükümlülüğüne tabi olan muhasebecimiz ve avukatımız.
4.6Kişisel verileri satmayız ve yüklenen dosyaları sipariş dışında hiçbir amaçla kullanmayız.
4.7Bir tacirin alıcıları. Bir tacirin alıcısı için verdiği bir siparişte, atanan üretici ve kargo şirketi, her siparişte olduğu gibi (4.1), siparişi üretmek ve göndermek için alıcının adını, adresini ve telefon numarasını alır; tacir bunları kendi siparişleriyle birlikte görür. Tacirin webhook uç noktası siparişlerinin durumunu ve takip bilgilerini alır, alıcının adresini asla almaz.
5Uluslararası aktarımlar
5.1Bazı veri işleyenler Avrupa Ekonomik Alanı (AEA) dışındaki ülkelerde, özellikle Amerika Birleşik Devletleri'nde yerleşiktir veya bu ülkelerden verilere erişebilir. Bu durumda aktarımlar, her sağlayıcının veri işleme sözleşmesinde belirtildiği şekilde, bir yeterlilik kararına (örneğin, bu çerçeve kapsamında sertifikalı sağlayıcılar için AB-ABD Veri Gizliliği Çerçevesi) veya Avrupa Komisyonu'nun standart sözleşme maddelerine dayanır.
5.2Siparişler, AEA dışında (örneğin Birleşik Krallık'ta veya Amerika Birleşik Devletleri'nde) bulunan üreticileri de içerebilir. Böyle bir üretici yalnızca siparişi yerine getirmek için gereken gönderim verilerini (ad, teslimat adresi, kargo şirketinin gerektirdiği durumlarda telefon numarası ve dosya) alır ve müşteri hakkında başka hiçbir şey almaz. Aktarım, Avrupa Komisyonu'nun standart sözleşme maddelerine dayanır; bu maddeler, bölüm 1.3'te açıklanan gizlilik, yeniden kullanmama ve 30 gün sonra silme yükümlülükleriyle birlikte, her üreticinin kabul ettiği üretici koşullarına dahil edilmiştir. Birleşik Krallık'taki üreticiler için aktarım, Komisyonun Birleşik Krallık hakkında verdiği yeterlilik kararına da dayanabilir.
5.3Barındırma bölgeleri. Platformun kontrol ettiği her şey Avrupa Birliği'nde barındırılır: veritabanı Neon'da bir AB bölgesinde, dosya depolama AB yargı yetkisine tabi olarak Cloudflare R2'de, ürün analizi PostHog'un AB bulutunda ve web uygulamasının sunucu fonksiyonları Vercel'de bir AB bölgesinde bulunur. Bu nedenle AEA dışına aktarımlar, bölüm 5.1 ve 5.2'deki durumlarla, esas olarak Amerika Birleşik Devletleri'nde yerleşik sağlayıcılar tarafından yürütülen destek, güvenlik ve hesap düzeyindeki işlemelerle sınırlıdır.
6Verileri ne kadar süre saklıyoruz
| Veriler | Saklama süresi |
|---|---|
| Hesap verileri | Hesap aktif olduğu sürece; hesap kapatıldıktan 30 gün sonra silinir veya anonim hale getirilir, kanunen saklamamız gereken veriler hariç (aşağıdaki satırlara bakın). Bu 30 gün, açık siparişlerin ve uyuşmazlıkların sonuçlandırılmasına ve yanlışlıkla yapılan bir kapatmayı geri almanıza olanak tanır. |
| Üretici tarafındaki baskı dosyaları | Sipariş tamamlandıktan 30 gün sonra otomatik olarak silinir. İmzalı indirme bağlantılarının süresi 24 saat sonra dolar. Üretici, yerel kopyaları da aynı tarihe kadar silmek zorundadır. |
| Platform tarafındaki baskı dosyaları | Sipariş tamamlandıktan 30 gün sonra veya siparişte bir uyuşmazlık açılmışsa uyuşmazlık kapandıktan 90 gün sonra silinir. Üretimden önce iptal edilen veya iade edilen siparişlerin dosyaları, iptal veya iadeden 30 gün sonra silinir. Hiç ödenmemiş bir fiyat teklifinin dosyası, teklifin süresi dolduktan 30 gün sonra silinir. |
| Fotoğraflar ve uyuşmazlık kanıtları | Sipariş tamamlandıktan 12 ay sonra veya daha geç ise uyuşmazlık kapandıktan 12 ay sonra. |
| Sipariş kayıtları, faturalar ve ödeme kayıtları | İtalyan vergi ve muhasebe mevzuatının öngördüğü süre boyunca. |
| DAC7 vergi verileri | İtalya'da uygulandığı şekliyle DAC7 kurallarının öngördüğü süre boyunca. |
| Sipariş olay geçmişi | Sipariş olay kaydına yalnızca ekleme yapılabilir ve bütünlük için karma zinciriyle bağlanmıştır. Aynı siparişin sipariş kayıtları kadar saklanır (önceki satırlar). Olaylar kişilere hesap tanımlayıcısıyla atıfta bulunur; bir hesap silindiğinde veya anonim hale getirildiğinde, olayların işaret ettiği kimlik belirleyici veriler silinir veya anonim hale getirilir, olay zincirinin kendisi ise korunur. |
| Teknik, güvenlik ve indirme kayıtları | 90 gün, ardından silinir. Açık bir güvenlik soruşturmasının veya uyuşmazlığın parçası olan kayıtlar, bunlar kapanana kadar saklanır. Reddedilen taleplerin ve başarısız Turnstile kontrollerinin sayıları (adres veya tanımlayıcı olmadan) 30 gün; her gün kaç e-posta gönderildiğine ilişkin kayıt (yalnızca şablon) 62 gün saklanır. |
| Analiz verileri | PostHog'da saklama süresi olarak yapılandırılan 12 ay, ardından silinir. |
| Bekleme listesi verileri | Abonelikten çıkana veya bekleme listesi kapatılana kadar ve her halükârda listeye katılmanızdan itibaren en fazla 24 ay. Hiç onaylanmamış bir adres, son onay e-postasından 30 gün sonra silinir. |
| Hesap olmadan yüklenen dosyalar | Fiyat teklifi rezerve edilmezse yüklemeden 24 saat sonra silinir; rezerve edilen bir fiyat teklifi hesabınıza taşınır ve yukarıdaki satırlara tabi olur. Günlük gönderim bütçesi nedeniyle bekletilen bir e-posta, gönderilene kadar (normalde ertesi gün) saklanır ve ardından adresi kaldırılır. |
| Geri bildirim ve yardım talepleri | Ekran görüntüleri, kurucunun kararından veya yanıtından 90 gün sonra silinir. Bir ziyaretçinin bıraktığı e-posta adresi, yanıt veya karar bu adrese gönderildiğinde ya da hiçbiri gönderilmediyse mesajdan 12 ay sonra silinir. Bir hesaptan gönderilen mesaj, hesapla birlikte silinir veya anonim hale getirilir (ilk satır). Mesajın metni, adres olmadan geri bildirim listesinde kalır. Fiyat teklifi hatırlatmalarının reddi hesapla birlikte saklanır. |
| Veritabanı yedekleri | Günlük yedekler dönüşümlü olarak 7 gün saklanır, ardından üzerine yazılır. Canlı veritabanından silinen veriler aynı 7 gün içinde yedeklerden de kaybolur. |
7Haklarınız
7.1GDPR kapsamında aşağıdaki haklara sahipsiniz:
- verilerinize erişim ve bir kopyasını alma;
- yanlış verilerin düzeltilmesi;
- kanunen veya açık bir siparişi ya da uyuşmazlığı yönetmek için saklamamız gerekmedikçe verilerinizin silinmesi;
- kanunda belirlenen hallerde işlemenin kısıtlanması;
- veri taşınabilirliği: hesap verilerinizi hesap ayarlarınızdan JSON dosyası olarak indirebilirsiniz;
- meşru menfaate dayalı işlemeye itiraz;
- daha önceki işlemeyi etkilemeksizin, istediğiniz zaman rızanızı geri çekme (analiz, bekleme listesi ve pazarlama e-postaları için). Durdurabileceğiniz e-postalar tek tıklamayla abonelikten çıkma bağlantısı içerir ve bunu destekleyen e-posta programları kendi abonelikten çıkma düğmelerini gösterir.
7.2Hesabınızı hesap ayarlarınızdan kapatabilirsiniz. Açık siparişler, uyuşmazlıklar ve üreticilere yapılacak ödemeler önce tamamlanır veya çözülür. Oturumunuz derhal kapatılır ve 30 gün içinde giriş yaparak hesabı koruyabilirsiniz; bu sürenin ardından hesap verileri silinir veya anonim hale getirilir ve kanunen gerekli veriler yukarıdaki süreler boyunca saklanır.
7.3Haklarınızı kullanmak için hello@manuroute.com adresine yazın. Bir ay içinde yanıt veririz; bu süre kanunun izin verdiği durumlarda uzatılabilir. Kimliğinizi doğrulamanızı isteyebiliriz.
7.4İtalyan veri koruma otoritesine (Garante per la protezione dei dati personali, www.garanteprivacy.it) veya ikamet ettiğiniz ya da çalıştığınız ülkenin otoritesine şikâyette bulunma hakkına sahipsiniz.
9Güvenlik
9.1Verileri, aşağıdakiler dahil olmak üzere çeşitli önlemlerle koruyoruz: dosyaların depolama sırasında şifrelenmesi; yalnızca imzalı URL'ler üzerinden, 200 MB sınırıyla ve gerçek dosya türünün sunucu tarafında kontrolüyle yükleme; 24 saat sonra süresi dolan indirme bağlantıları; dosya erişiminin, sipariş kabul edilmiş veya üretimdeyken yalnızca atanan üreticiyle sınırlandırılması; her indirmenin kaydı; hız sınırlaması; herkese açık formlarda bot kontrolü (Cloudflare Turnstile); e-postalar için günlük sınır; gizli anahtarların kodun dışında tutulması; yöneticiler için iki faktörlü kimlik doğrulama; değiştirilemez bir denetim kaydı; günlük veritabanı yedekleri.
9.2Kişisel veri ihlali meydana gelirse, GDPR'ın gerektirdiği durumlarda yetkili otoriteyi ve etkilenen kullanıcıları bilgilendiririz.
10Çocuklar
Platform yalnızca yetişkinlere yöneliktir: hesap açmak için en az 18 yaşında olmanız gerekir ve bunu kayıt olurken onaylarsınız. Platform reşit olmayanlara yönelik değildir ve onların verilerini bilerek toplamayız. Bir hesap sahibinin 18 yaşından küçük olduğunu öğrenirsek, hesabı kapatır ve kanunen saklamamız gerekenler dışında verilerini sileriz. Bir reşit olmayanın bize kişisel veri verdiğini düşünüyorsanız hello@manuroute.com adresine yazın; bu verileri kaldırırız.
11Değişiklikler
Bu politikayı güncelleyebiliriz. Önemli değişiklikleri, yürürlüğe girmeden önce kayıtlı kullanıcılara e-posta yoluyla veya Platformda bildiririz.
12İletişim
Antonio Sasso, Via Giuseppe di Vittorio 171/B, 71043 Manfredonia (FG), Italia, hello@manuroute.com.