Gizlilik Politikası ve Veri Koruma Bildirimi

CBBDigital LLC, 30 N Gould St, Sheridan, WY 82801, ABD; info@cbbdigital.us. Salon; randevu müşterisi, personel ve hizmet verilerinin veri sorumlusudur; CBBDigital belgelenmiş talimatlarla veri işleyen olarak çalışır. CBBDigital kendi işletme hesabı/iletişim, kimlik doğrulama, fatura, destek ve platform güvenliği işlemlerinde ayrı veri sorumlusudur. Rol, yalnız sözleşmedeki etikete değil gerçek işleme göre belirlenir.

İşletme/personel iletişim bilgileri, roller ve parola özetleri; hizmet/fiyat kataloğu, çalışma/izin takvimi; müşteri ad-soyadı, telefonu ve isteğe bağlı e-posta, hizmet/personel seçimi, randevu zamanı/durumu, operasyonel notlar, tahsilat tutarı/yöntemi ve raporlar; tercihler, doğrulama, teslim ve durdurma kayıtları; cihaz/tarayıcı/oturum/IP güvenlik metaverisi; sipariş, fatura ve sözleşme kabul delili işlenebilir. Entegrasyonlar Meta/WABA/telefon tanımlayıcıları, korunan erişim anahtarları ve takvim bağlantılarını içerebilir. İşleme yalnız OTP’den ibaret değildir. Kart bilgileri Stripe sayfasında girilir.

Kendi veri sorumlusu süreçlerimiz, uygulanabilir olduğu ölçüde sözleşmenin kurulması/ifası, hukuki yükümlülük ve dengelenmiş meşru menfaat (Eğer ülkeniz Türkiye ise 6698 sayılı KVKK m. 5/2-c, m. 5/2-ç, m. 5/2-f; Eğer ülkeniz AB/AEA veya Birleşik Krallık ise GDPR/UK GDPR Madde 6(1)(b), (c), (f)) hükümlerine; isteğe bağlı kanallar ise ayrı açık rızaya dayanır. Gizlilik bildirimi genel rıza yerine geçmez. Salon kendi işleme sebeplerini belirler ve işletme ülkesine göre son müşterisine yalnızca o ülkenin kanunlarını (Türkiye'deki salonlar için yalnızca 6698 sayılı KVKK) sunar. Sağlık verisi, özel nitelikli veri, kimlik belgesi kopyası ve kart/PAN/CVV bilgisi standart alanlara girilmemelidir. Tespit edilen istenmeyen hassas içerik kısıtlanır ve silinir/anonimleştirilir; kusursuz otomatik filtre taahhüt edilmez.

Seçili barındırma altyapısı Helsinki, Finlandiya’daki Hetzner Online GmbH sunucularıdır. Cloudflare, Inc. CDN/ağ güvenliği; Google LLC Workspace kurumsal e-posta sağlar. Bu sağlayıcılarla ilgili hesap süreçlerinde kabul edilen geçerli veri işleme şartları erişimi kısıtlı arşivde saklanır; kamuya açık DPA bağlantıları, amaçlar ve roller Sağlayıcılar sayfasında açıklanır. Stripe ödeme işlemine göre veri işleyen veya dolandırıcılık önleme/mevzuat amaçlarında bağımsız veri sorumlusudur. Meta/WhatsApp ve isteğe bağlı takvim bağlantıları kendi şartlarına tabidir. Eğer ülkeniz / işletme merkeziniz Türkiye (TR) ise: Verilerin Finlandiya (Hetzner) ve ABD (Cloudflare, Meta, Google, Stripe) üzerinden geçmesi ve yurt dışına aktarımı, 6698 sayılı KVKK Madde 9 (son müşteriler için salon tarafından alınan açık rıza veya KVKK m.9 kapsamındaki arızi/sözleşme ifası istisnaları ve standart sözleşme güvenceleri) hukuki sebebine dayanır.

CBBDigital ABD’de kurulmuş bir LLC’dir; birincil barındırmanın Finlandiya’da olması küresel sağlayıcı süreçlerini ve yetkilendirilmiş sınır ötesi teknik erişimi ortadan kaldırmaz. Uluslararası veri aktarımı kuralları işletme ülkesine göre kategorize edilir: Eğer ülkeniz / işletme merkeziniz Türkiye (TR) ise: Kişisel verilerin Finlandiya (Hetzner) ve ABD (Cloudflare, Meta, Google, Stripe) altyapılarına aktarımı 6698 sayılı Kişisel Verilerin Korunması Kanunu Madde 9 (KVKK Madde 9) hükümlerine tabidir; son müşteriler için online randevu formunda katmanlı aydınlatma yanında alınan önceden işaretlenmemiş açık rıza veya KVKK Madde 9 kapsamındaki arızi/sözleşme ifası istisnaları ve standart sözleşme güvenceleri uygulanır. Eğer ülkeniz / işletme merkeziniz Avrupa Ekonomik Alanı / AB (EU/EEA) ise: GDPR Bölüm V (2021/914 SCC Modül 2 ve gerekli TIA) uygulanır. Eğer ülkeniz / işletme merkeziniz Birleşik Krallık (GB/UK) ise: UK GDPR, UK Data Protection Act 2018 ve UK International Data Transfer Addendum (IDTA / UK Addendum) uygulanır. Eğer ülkeniz / işletme merkeziniz İsviçre (CH) ise: İsviçre FADP/DSG Madde 16/17 güvenceleri uygulanır. Eğer ülkeniz / işletme merkeziniz ABD (US) ise: Uygulanabilir ABD federal ve eyalet veri koruma kuralları uygulanır.

Eğer ülkeniz / işletme merkeziniz Türkiye (TR) ise: 6698 sayılı KVKK kapsamındaki veri sorumlusu ve VERBİS/temsilci yükümlülükleri rol ve kapsama göre değerlendirilir; şikâyet ve başvuru makamı Kişisel Verileri Koruma Kurumu (KVKK - https://www.kvkk.gov.tr/)’dur. Eğer ülkeniz / işletme merkeziniz AB/AEA veya Birleşik Krallık ise: AB/UK temsilcisi gerekliliği Madde 27 kapsamındaki bölgesel uygulama ve gerçek işleme faaliyetine göre değerlendirilir (Alman veri koruma makamları, Avusturya Datenschutzbehörde, UK ICO). Eğer ülkeniz / işletme merkeziniz İsviçre ise: İsviçre temsilcisi gerekliliği FADP Madde 14’e göre değerlendirilir (EDÖB/FDPIC). Gerçek yetkilendirme olmadan temsilci atanmış gibi beyanda bulunulmaz. İletişim: info@cbbdigital.us.

Paket WhatsApp entegrasyonu içerir; gerçek gönderim için kayıtlı/çalışır gönderici, uygun Meta onaylı şablonlar ve alıcının ayrı geçerli ön izni gerekir. OTP anlık kanal erişimini gösterir; resmî kimlik veya genel rıza değildir. Bildirim tercihi randevu iptal edilmeden geri alınabilir. SMS sunulmaz. Gelen metin yalnız belgelenmiş durdurma komutlarını algılamak için anlık bellekte işlenir; webhook günlüğüne metin kaydedilmez. Mesaj kimliği, gönderen, olay türü ve zaman; giden şablon parametreleri ve teslim durumları kaydedilebilir. Cloud API’nin tüm işlemleri için mutlak uçtan uca şifreleme vaadi verilmez. STOP, İPTAL, IPTAL, DURDUR, RET, UNSUBSCRIBE, ABMELDEN, STOPZETTEN, AFMELDEN, ARRET, ARRÊT, DESABONNER, DÉSABONNER. wa_id kanal gönderen tanımlayıcısıdır; kimlik veya genel rıza kanıtı değildir.

Erişim sınırları, korunan sırlar, TLS ve denetim kayıtları kullanılır. Sözleşme IP/User-Agent metaverisi ayrı 90 günlük sona erme/temizliğe tabidir. Tamamlanmış mesaj, webhook, sağlayıcı çağrısı ve Calendar operasyonel günlükleri yapılandırılan süreyle (varsayılan 90 gün) temizlenir; bu işlem randevu, personel, rıza, fatura ve sözleşme delilini otomatik silmez. Veriler amaç ve uygulanabilir yasal süre boyunca saklanır, sonra silme/iade için incelenir. Yeni yönetilen günlük yedekler 30 günlük rotasyona tabidir; en yeni iki geçerli kurtarma kopyası ve belgelenmiş yasal saklama işaretleri korunur. Önceki isimli arşivler bu otomatik rotasyonun dışındadır ve ayrıca gereklilik/silme incelemesine tabidir. Yedeklere erişim kısıtlıdır; ZIP sıkıştırması şifreleme değildir. Arşiv içinde anlık kayıt bazlı silme sözü verilmez. Geri yüklemeden önce güncel silme ve bildirimden çıkma kayıtları yeniden uygulanıp doğrulanır; ham SQL/ZIP geri yükleme bunu kendiliğinden yapmaz. Operasyonel günlük süresi 7–3650 gün arasında yapılandırılır; varsayılan 90 gündür.

Uygulanabilir hukuka göre erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz ve rızayı geri çekme hakları kullanılabilir. Salon verileri için salona; kendi veri sorumlusu işlemlerimiz için info@cbbdigital.us adresine veya Silme sayfasına başvurulabilir. Eğer ülkeniz / işletme merkeziniz Türkiye (TR) ise: 6698 sayılı KVKK Madde 11 kapsamındaki başvurular KVKK Madde 13 uyarınca en kısa sürede ve en geç 30 gün içinde ücretsiz sonuçlandırılır. Eğer ülkeniz / işletme merkeziniz AB/AEA veya Birleşik Krallık ise: GDPR/UK GDPR başvuruları gecikmeksizin ve kural olarak bir takvim ayı içinde yanıtlanır; kanuni uzatma ilk ay içinde açıklanır. Doğrulama orantılı yapılır; rutin kimlik kopyası istenmez.

Zorunlu oturum ve güvenlik verileri hizmeti çalıştırmak için kullanılır. Güvenliğiniz ve tekrarlayan randevularda SMS doğrulama (OTP) adımını kolaylaştırmak amacıyla tarayıcınızda 1 yıl süreli zorunlu doğrulama çerezi (HttpOnly) saklanmaktadır. İsteğe bağlı analiz/pazarlama depolaması ayrı tercih gerektirir. Yeni satışlar Türkiye (TR), ABD (US), Birleşik Krallık (GB), Almanya (DE), Avusturya (AT) ve İsviçre (CH) ile sınırlıdır. Dil seçeneği ile satışa açık ülke kapsamı ayrıdır; son müşteriye işletmenin bulunduğu ülkenin kanunları gösterilir.

Sözleşme delili kabul edilen tam metin, SHA-256 özeti, zaman ve HMAC oturum takma kimliğini (session pseudonym; kalıcı cihaz parmak izi değildir) içerir; ham IP/User-Agent metaverisi 90 gün sonunda sona erer. 6 yıllık sözleşmesel talep inceleme politikası ilk gözden geçirme eşiğidir, otomatik silme veya evrensel azami süre değildir. Aktif sözleşme, somut hukuki saklama ve talep süreleri ayrıca değerlendirilir. Sözleşme/makbuz: https://cbbdigital.us/account/contracts.php. Gelen WhatsApp metni durdurma kontrolü için bellekte işlenir.

Yeni yönetilen günlük yedekler 30 günlük rotasyona tabidir; en yeni iki geçerli kurtarma kopyası ve belgelenmiş yasal saklama işaretleri korunur. Önceki isimli arşivler bu otomatik rotasyonun dışındadır ve ayrıca gereklilik/silme incelemesine tabidir. Yedeklere erişim kısıtlıdır; ZIP sıkıştırması şifreleme değildir. Arşiv içinde anlık kayıt bazlı silme sözü verilmez. Geri yüklemeden önce güncel silme ve bildirimden çıkma kayıtları yeniden uygulanıp doğrulanır; ham SQL/ZIP geri yükleme bunu kendiliğinden yapmaz.

Kodla aynı tam komut listesi: STOP, İPTAL, IPTAL, DURDUR, RET, UNSUBSCRIBE, ABMELDEN, STOPZETTEN, AFMELDEN, ARRET, ARRÊT, DESABONNER, DÉSABONNER. Büyük/küçük harf ve kenar boşlukları normalleştirilir. Yalnız tam komut eşleşir; gelen mesaj metni bu denetim için anlık işlenir ve webhook günlüğünde saklanmaz.

ABD dışında çevrimiçi sipariş açılmadan önce ülke bazlı işletme ve vergi doğrulaması uygulanır. Eğer ülkeniz / işletme merkeziniz Türkiye (TR) ise: Türkiye satışlarında vergi numarasının 10 haneli VKN veya 11 haneli T.C. Kimlik Numarası (TCKN) algoritma (checksum) kontrolü ile doğrulanması yeterlidir (sadece Türkiye'ye özel). CBBDigital LLC ABD'de yerleşik bir şirket olup, Türkiye'deki vergi mükellefi işletmelere (B2B) sunulan yazılım aboneliklerinde Türkiye KDV'si tahsil etmez. Fatura kapsamında Türkiye'de doğabilecek Sorumlu Sıfatıyla KDV (KDV2) ve stopaj yükümlülükleri münhasıran Alıcı İşletme'ye aittir. Eğer ülkeniz / işletme merkeziniz AB/AEA, Birleşik Krallık, İsviçre veya Norveç ise: AB müşterileri için VIES VAT doğrulaması, İsviçre müşterileri için UID ve aktif MWST durumu, Birleşik Krallık müşterileri için UK VAT veya doğrulanmış şirket/HMRC kanıtı gerekir; UID veya CRN tek başına vergi statüsü ve reverse-charge hakkı kanıtı değildir.