Bu politika, Crewla'nın kişisel verilerinizi nasıl işlediğini anlatır. Crewla küresel bir hizmettir; bu yüzden Avrupa Birliği Genel Veri Koruma Tüzüğü'nü (GDPR) temel alıyor, Türkiye'deki işler için 6698 sayılı Kişisel Verilerin Korunması Kanunu'nu (KVKK) da birlikte uyguluyoruz. KVKK'nın istediği kısa bilgilendirme KVKK Aydınlatma Metni'ndedir; bu politika onu tamamlar.
1. Kısaca
- Verilerinizi satmıyor, reklam için kullanmıyor, reklam profili çıkarmıyoruz.
- Kart bilgileriniz Crewla'ya hiç gelmez; ödemeyi sağlayıcının kendi sayfasında yaparsınız.
- Telefon numaranız karşı tarafa gösterilmez; iletişim uygulama içinden yürür.
- Konumunuz yalnızca işe giriş ve çıkışta, buluşma noktasına uzaklığı ölçmek için bir kez okunur; konumun kendisi saklanmaz.
- Vergi numaranız ve IBAN'ınız şifrelenerek saklanır.
- Hesabınızı kısıtlama ya da kapatma kararını hiçbir zaman otomatik sistem vermez.
- Hesabınızı istediğiniz zaman silebilir, verilerinizin bir kopyasını indirebilirsiniz.
2. Veri sorumlusu kim?
Crewla'da her rezervasyonun satışını, işin yapıldığı pazara göre bir Crewla şirketi yapar ve o işin verilerinden o şirket sorumludur:
| Durum | Veri sorumlusu |
|---|---|
| Hizmet Türkiye'de ve çalışan Türkiye'de | Nivorbit Teknoloji Limited Şirketi (MERSİS 0631151313600001, VKN 6311513136, Çanakkale Ticaret Sicili 9575; Sarıcaeli Köyü, Sarıcaeli Küme Evleri No: 29 İç Kapı No: 109, Merkez / Çanakkale 17100, Türkiye) |
| Diğer tüm işler | [YER TUTUCU: AB şirketi (Estonya OÜ önerisi) — kurulunca unvan, sicil no ve adres eklenecek] |
Hesabınız, girişiniz ve rıza kayıtlarınız için veri sorumlusu, ikamet ülkenize göre bu şirketlerden biridir. Bir rezervasyonun hangi şirketle yapıldığı rezervasyon özetinde ve faturada yazar.
- Veri koruma görevlisi (DPO): [YER TUTUCU: atanınca adı ve iletişim bilgisi]
- AB temsilcisi (GDPR md. 27): [YER TUTUCU: gerekiyorsa atanınca]
- İletişim: [YER TUTUCU: privacy@crewla.app — adres açılınca]
3. Hangi verileri işliyoruz?
| Kategori | Örnekler | Kimden |
|---|---|---|
| Hesap ve kimlik | Telefon numarası (kayıtta bir kez SMS ile doğrulanır), ad veya görünen ad, dil, ikamet ülkesi; Google ya da Apple ile girişte e-posta adresi | Herkes |
| Giriş ve güvenlik | Passkey'in açık anahtarı (biyometrik veriniz cihazınızda kalır), isteğe bağlı doğrulama uygulaması kaydı, oturumlar, giriş denemeleri, güvenlik kayıtları | Herkes |
| Rıza kanıtı | Onaylanan ya da reddedilen metin ve sürümü, zaman, dil, IP adresi, tarayıcı/uygulama bilgisi | Herkes |
| Mesajlar ve aramalar | Yazışmalar, istenen çeviriler, maskeli arama kayıtları, gizlenen iletişim bilgisi kayıtları | Herkes |
| Puanlar ve güvenilirlik | Verilen ve alınan puan ve yorumlar; tamamlama, gelmeme, geç iptal, zamanında giriş kayıtları | Herkes |
| Bildirimler | Cihazın bildirim anahtarı, bildirim tercihleri | Herkes |
| Sorunlar ve anlaşmazlıklar | Sorun bildirimleri, açıklamalar, kanıtlar, kararlar | Herkes |
| Rezervasyon ve ilan | İşin yeri, saatleri, buluşma noktası ve notu, ilan açıklaması, istenen kıyafet ve ekipman | Müşteri, işletme |
| Ödeme | Tutar, ödeme/iade durumu, sağlayıcının işlem numarası (kart bilgisi asla) | Müşteri, işletme |
| Fatura ve işletme | Fatura adı/unvanı, vergi no, vergi dairesi (Türkiye), adres, proje adı; işletmenin doğrulama bilgisi, ekip üyeleri ve rolleri | Müşteri, işletme |
| Çalışan profili | Fotoğraf, tanıtım, deneyim, kategoriler, diller, saatlik ücret, müsaitlik, kıyafet ve ekipman | Çalışan |
| Hizmet bölgesi | Merkez ve yarıçap; aramada gerçek merkezden gizli bir sapmayla kaydırılmış bir nokta gösterilir | Çalışan |
| Beden ölçüleri (isteğe bağlı) | Kıyafet bedeni, ayakkabı numarası; yalnızca kesinleşmiş rezervasyonun müşterisine, üniforma için | Çalışan |
| Kimlik doğrulaması | Sonuç ve sağlayıcının referansı; belge ve selfie sağlayıcıda kalır | Çalışan |
| Lisans belgesi | Lisanslı kategoriler için yüklenen belge ve inceleme kararı | Çalışan |
| Vergi profili | T.C. kimlik no veya vergi no (şifreli), mükellefiyet durumu, belge düzenleme onayı | Çalışan |
| Ödeme hesabı ve hakediş | IBAN (şifreli), hesap sahibinin adı, banka doğrulaması; kazanç kalemleri, ödemeler, gider pusulası ve stopaj | Çalışan, tedarikçi ajans |
| İşe giriş ve çıkış | Buluşma noktasına uzaklık ve yarıçap içinde olup olmadığı (konumun kendisi değil) | Çalışan |
| Ajans üyeliği | Bağlı olunan ajans, ajans sayfasında görünme tercihi | Çalışan |
Özel nitelikli veri (sağlık, din, etnik köken gibi) istemiyoruz. Kimlik doğrulamasındaki yüz eşleştirmesi sağlayıcıda yapılır ve biyometrik veri sayılabilir.
4. Neden ve hangi hukuki dayanakla?
| Amaç | GDPR dayanağı | KVKK dayanağı |
|---|---|---|
| Hesap, giriş, telefon doğrulaması | Sözleşme (md. 6/1-b) | 5/2-c |
| Arama, ilan, başvuru, teklif, rezervasyon | Sözleşme (6/1-b) | 5/2-c |
| Ödeme, iptal, iade, müşteriye fatura | Sözleşme (6/1-b), hukuki yükümlülük (6/1-c) | 5/2-c, 5/2-ç |
| Hakediş ödemesi, gider pusulası, öz faturalama, stopaj | Sözleşme (6/1-b), hukuki yükümlülük (6/1-c) | 5/2-c, 5/2-ç |
| Kimlik, lisans, işletme ve banka doğrulaması | Sözleşme (6/1-b), meşru menfaat (6/1-f) | 5/2-c, 5/2-f |
| Yedek araması, hazırda bekleyen kişi, bildirimler | Sözleşme (6/1-b) | 5/2-c |
| Mesajlaşma, çeviri, maskeli arama, iletişim bilgisinin gizlenmesi | Sözleşme (6/1-b), meşru menfaat (6/1-f) | 5/2-c, 5/2-f |
| Puan, rozet, güvenilirlik, sıralama | Sözleşme (6/1-b), meşru menfaat (6/1-f) | 5/2-c, 5/2-f |
| Anlaşmazlık ve şikâyet incelemesi | Sözleşme (6/1-b), meşru menfaat (6/1-f) | 5/2-c, 5/2-e |
| Rıza kanıtı, ticari defterler, vergi kayıtları | Hukuki yükümlülük (6/1-c) | 5/2-ç, 5/2-e |
| Güvenlik, dolandırıcılığın önlenmesi, hata kayıtları | Meşru menfaat (6/1-f) | 5/2-f |
| Ticari ileti | Rıza (6/1-a) | Açık rıza (5/1) |
| Analitik ölçüm | Rıza (6/1-a) | Açık rıza (5/1) |
Meşru menfaate dayandığımız işlemlere her zaman itiraz edebilirsiniz (GDPR md. 21). Rızanızı istediğiniz zaman geri alabilirsiniz; geri almak, ondan önceki işlemeyi hukuka aykırı yapmaz ve hizmeti kullanmanızı engellemez. Ticari ileti için bkz. Ticari Elektronik İleti İzni (İYS); ölçüm için bkz. Analitik Çerez ve Ölçüm İzni.
5. Konum
Konum, en dikkatli kullandığımız veridir:
- Çalışanın hizmet bölgesi: çalışanın seçtiği merkez ve yarıçap. Aramada gösterilen merkez, gerçek merkezden gizli bir sapmayla kaydırılmış bir noktadır; gerçek merkez kimseye gösterilmez.
- İşe giriş ve çıkış: çalışan işe girerken ve çıkarken, izin verdiyse, telefonun konumu bir kez okunur ve buluşma noktasına uzaklık ölçülür. Saklanan yalnızca bu uzaklık ve belirlenen yarıçap içinde olup olmadığıdır. Uzakta yapılan giriş de geçerlidir, yalnızca "doğrulanmamış" sayılır.
- İşin yeri: müşterinin belirlediği buluşma noktası. Rezervasyonun saklama süresi dolunca adres silinir ve konum yaklaşık 1 km'ye yuvarlanır.
- Harita araması: müşteri harita aramasında kendi konumunu kullanmayı seçebilir; bu konum aramayı yapmak için kullanılır.
Crewla kimseyi işin dışında takip etmez.
6. Verilerinizi kimlerle paylaşıyoruz?
- Rezervasyonun karşı tarafı: yalnızca işi yapmak için gereken bilgiler (profil, puan, işin yeri ve saati, buluşma bilgisi; kesinleşmiş rezervasyonda gerekiyorsa beden ölçüleri). Telefon numaraları paylaşılmaz.
- Tedarikçi ajans ve işletme ekibi: ajans kendi kadrosunun ajans işlerini; işletme ekibi işletmenin ilanlarını, rezervasyonlarını ve faturalarını görür.
- Veri işleyenler: bizim adımıza ve talimatımızla çalışan, sözleşmeyle bağlı hizmet sağlayıcılar (aşağıdaki tablo).
- Kamu kurumları: vergi idaresi, mahkemeler ve kanunen yetkili kurumlar, yalnızca hukuki bir yükümlülük olduğunda.
- Şirket devri: Crewla'nın işi devredilirse veriler, bu politikadaki güvencelerle yeni sahibine geçebilir; size önceden bildiririz.
| Hizmet | Sağlayıcı | Konum |
|---|---|---|
| Barındırma ve veritabanı | Amazon Web Services | Almanya (Frankfurt) |
| Ödeme ve hakediş ödemesi (Türkiye) | iyzico | Türkiye |
| e-Arşiv / e-Fatura entegratörü (Türkiye) | Nilvera | Türkiye |
| SMS (Türk numaraları) | Netgsm | Türkiye |
| SMS (diğer numaralar) | Twilio | ABD |
| Uygulama bildirimleri | Google Firebase Cloud Messaging | ABD |
| Hata kayıtları (kişisel veriler gönderilmeden önce temizlenir) | Sentry | [YER TUTUCU: veri bölgesi] |
| Google / Apple ile giriş | Google, Apple | ABD |
| Kimlik doğrulama | [YER TUTUCU: seçilince] | [YER TUTUCU] |
| Mesaj çevirisi | [YER TUTUCU: planlanan DeepL] | [YER TUTUCU: AB içinde işleme planlanıyor] |
| Maskeli arama | [YER TUTUCU: seçilince] | [YER TUTUCU] |
| Ödeme ve hakediş (Türkiye dışı) | [YER TUTUCU: planlanan Stripe ve Wise, AB şirketiyle] | [YER TUTUCU] |
7. Yurt dışına aktarım
Sunucularımız AB'dedir (Frankfurt). Türkiye'den yapılan aktarımlarda KVKK md. 9'a göre Kişisel Verileri Koruma Kurulu'nun standart sözleşmelerini kullanır ve sözleşmeleri Kurul'a bildiririz. AB/AEA dışına (ör. ABD'ye) yapılan aktarımlarda Avrupa Komisyonu'nun yeterlilik kararına (ör. AB-ABD Veri Gizliliği Çerçevesi'ne katılan sağlayıcılar) ya da Avrupa Komisyonu'nun standart sözleşme maddelerine (SCC) ve gerektiğinde ek önlemlere dayanırız. Bu güvencelerin bir kopyasını isteyebilirsiniz.
8. Ne kadar saklıyoruz?
Hesabınızı sildiğinizde sizi adlandıran veriler hemen silinir. Aşağıdakiler yasal bir gerekçeyle kalır ve süresi dolunca gece çalışan işlerle temizlenir. Süreler avukat ve mali müşavir teyidine açıktır.
| Veri | Süre | Dayanak | Süre dolunca |
|---|---|---|---|
| Rezervasyon, ödeme, defter, itiraz kayıtları | Rezervasyonun bittiği yılın sonundan 10 yıl | TTK 82, VUK 253; AB'de HGB §257 / AO §147 | Adres silinir, konum yaklaşık 1 km'ye yuvarlanır, buluşma notu silinir; tutarlar kalır |
| Hakediş ödemeleri (IBAN'ın son 4 hanesi) | Rezervasyon kayıtlarıyla aynı (10 yıl) | TTK 82, VUK 253 | Hesap silinince IBAN'ın kendisi gider; ödeme kalemi kalır |
| Faturalar ve belgeler (satış faturası, gider pusulası) | Düzenlendiği yılın sonundan 10 yıl | TTK 82, VUK 253; belge değiştirilemez | Hesap silinse de kalır |
| Vergi profili (şifreli vergi no) | Hesap anonimleştikten 10 yıl | TTK 82, VUK 253 | Silinir |
| Kimlik doğrulama sonucu | Hesap anonimleştikten 5 yıl | Dolandırıcılık ve taleplere karşı savunma | Silinir |
| Rıza kanıtı (IP, tarayıcı bilgisi) | Hesap anonimleştikten 10 yıl | KVKK 5/2-e, GDPR 17(3)(e); TBK 146 | IP ve tarayıcı bilgisi silinir; hangi metnin hangi sürümünün onaylandığı kalır |
| Kapanmış ilan açıklaması | Son vardiyadan 2 yıl | Serbest metin kişi adı içerebilir | Açıklama silinir |
| İki tarafı da silinmiş sohbet | Sonraki silinmeden 2 yıl | Talep ve itiraz penceresi | Mesajlar, çeviriler ve sohbet silinir |
| Mesajda yakalanan iletişim bilgisi ihlalinin aslı | 180 gün | İnceleme süresi | Asıl metin silinir |
| SMS doğrulama kodu kayıtları | 1 gün | Kötüye kullanımın sınırlanması | Silinir |
| Denetim kaydı | 10 yıl | TTK 82 | Değiştirilemez kayıt; süre sonu ayrı karar |
Kimlik belgesi ve selfie görüntüleri kimlik doğrulama sağlayıcısında, onun saklama süresiyle tutulur.
9. Hesap silme ve veri indirme
- Silme: Hesap bölümünden hesabınızı silebilirsiniz. Süren bir işiniz, ödenmemiş bir tutar, açık bir anlaşmazlık, açık bir ilanınız ya da henüz ödenmemiş hakedişiniz varsa, ya da ekibinde başka kişiler olan bir işletmenin sahibiyseniz, önce bunların bitmesi gerekir; uygulama nedenini söyler. Silmeden sonra kalan kayıtlar yukarıdaki tabloya göre saklanır.
- İndirme: Hesap bölümünden verilerinizin bir kopyasını makinece okunabilir (JSON) bir dosya olarak indirebilirsiniz (GDPR md. 20).
10. Güvenlik
- Bağlantılar TLS ile şifrelenir.
- Vergi numarası ve IBAN, veritabanında alan düzeyinde şifrelenir.
- Kayıtlarda (log) kişisel veriler maskelenir; ad, telefon, e-posta, IBAN ve konum kayıtlara yazılmaz. Hata raporları gönderilmeden önce kişisel verilerden temizlenir.
- Kart bilgileri sistemimize hiç girmez.
- Personel paneli ayrı bir giriş alanı ve zorunlu iki adımlı doğrulama ile korunur; her personel işlemi denetim kaydına yazılır.
- Bir veri ihlali olursa, kanunun öngördüğü sürede yetkili kuruma ve gerekiyorsa size bildiririz (GDPR md. 33–34, KVKK md. 12).
11. Otomatik kararlar
Arama sıralaması, rozetler ve güvenilirlik ölçütleri otomatik hesaplanır; kurallar şeffaftır ve çalışana gösterilir. Bazı anlaşmazlıklar açık kurallarla otomatik çözülür (ör. işe giriş kaydı ve konum kanıtı yoksa müşteriye iade). Hesap kısıtlama, askıya alma ve kapatma kararlarını hiçbir zaman otomatik sistem vermez: sistem yalnızca bir inceleme kaydı açar, kararı gerekçesiyle bir insan verir ve itiraz edebilirsiniz. Otomatik bir sonuca itiraz ederek insan incelemesi isteyebilirsiniz (GDPR md. 22, KVKK md. 11/1-g).
12. Çocuklar
Crewla 18 yaşından küçükler için değildir. 18 yaşından küçük birinin hesap açtığını öğrenirsek hesabı kapatırız.
13. Haklarınız
GDPR md. 15–22 ve KVKK md. 11 kapsamında şu haklara sahipsiniz: verilerinize erişim, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği, itiraz, rızayı geri alma ve yalnızca otomatik kararlara karşı insan incelemesi isteme. Birçoğunu uygulamadan kendiniz kullanabilirsiniz; diğerleri için bize yazın. Başvurunuza en geç bir ay içinde (KVKK'da 30 gün) ücretsiz yanıt veririz.
Ayrıca bir denetim makamına şikâyette bulunabilirsiniz: Türkiye'de Kişisel Verileri Koruma Kurulu'na, AB'de yaşadığınız ya da çalıştığınız ülkenin veri koruma makamına. Başvuru yolları için bkz. KVKK Aydınlatma Metni.
14. Değişiklikler
Bu politikayı değiştirdiğimizde yeni bir sürüm yayımlarız; eski sürüm değiştirilmez ve onayladığınız metin her zaman aynı kalır. Önemli değişiklikleri uygulamada bildiririz; gerekiyorsa yeniden onayınızı isteriz.
15. İletişim
[YER TUTUCU: privacy@crewla.app — adres açılınca]. Posta: Nivorbit Teknoloji Limited Şirketi, Sarıcaeli Köyü, Sarıcaeli Küme Evleri No: 29 İç Kapı No: 109, Merkez / Çanakkale 17100, Türkiye.