Kişisel verilerinizin korunmasını çok ciddiye alıyoruz. Aşağıda, Genel Veri Koruma Yönetmeliği (GDPR/DSGVO) uyarınca Solobuch platformunu kullanırken verilerinizin nasıl işlendiği hakkında sizi ayrıntılı olarak bilgilendiriyoruz. Son güncelleme: 27 Eylül 2026
1. Veri Sorumlusu
GDPR Madde 4 Paragraf 7 uyarınca bu web sitesinde veri işlemeden sorumlu olan veri sorumlusu: mcarrow software UG (haftungsbeschränkt) Bornstraße 19, 58762 Altena, Almanya E-Posta: [email protected] Telefon: +49 160 91470380
2. Barındırma ve Altyapı (Hetzner)
Platformumuz Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Almanya) sunucularında barındırılmaktadır. Sunucular fiziksel olarak Almanya'dadır (AB). Hetzner kullanımı, GDPR Madde 6 Paragraf 1 Bent f uyarınca (çevrimiçi hizmetimizin güvenli, hızlı ve verimli bir şekilde sunulmasındaki meşru menfaatimiz) gerçekleştirilmektedir. Hetzner'ın kullanıcılarımızın verilerini yalnızca bizim talimatlarımız doğrultusunda ve GDPR'ye uygun olarak işlemesini garanti eden bir Veri İşleme Sözleşmesi (DPA) imzaladık.
3. Sunucu Günlükleri, Güvenlik ve Kötüye Kullanımın Önlenmesi
Web sitemize her erişimde web sunucumuz teknik verileri otomatik olarak işler: IP adresi, tarih ve saat, istenen adres (URL), HTTP durum kodu, aktarılan veri miktarı, yönlendiren sayfa ve tarayıcı tanımlayıcısı (User-Agent). Uygulamamız ayrıca istekleri saldırılara ve botlara karşı otomatik olarak denetler (Web Application Firewall) ve IP adresi veya kullanıcı hesabı başına istek sayısını sınırlar (rate limiting). Bunun için IP adresi veya kullanıcı kimliği içeren sayaçları Almanya’daki sunucularımızda bir Redis deposunda tutarız; bunlar zaman penceresi sona erdiğinde otomatik olarak silinir (işleve göre 1 ila 10 dakika). Sunucu günlükleri, belirli bir güvenlik olayının incelenmesi için daha uzun süre gerekmedikçe 14 gün sonra silinir. Hukuki dayanak, güvenli ve istikrarlı işletim ile saldırıların önlenmesindeki meşru menfaatimizdir (GDPR Madde 6 Paragraf 1 Bent f).
4. Kayıt ve Giriş (Google)
Solobuch’a Google hesabınızla giriş yaparsınız (Google OAuth; Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, İrlanda). Google bize e-posta adresinizi, adınızı ve profil fotoğrafınızı iletir; bunları veritabanımızda saklarız. Oturumunuz süresince bir oturum çerezi ayarlarız (Bölüm 10); oturumlar 30 gün sonra sona erer. Hukuki dayanak GDPR Madde 6 Paragraf 1 Bent b’dir (kullanım sözleşmesinin ifası). Google verileri ABD’de de işler; Google LLC, AB-ABD Veri Gizliliği Çerçevesi (DPF) kapsamında sertifikalıdır (yeterlilik kararı, GDPR Madde 45). Hesap verilerinizi hesabınız var olduğu sürece saklarız. Hesabınızı istediğiniz zaman profil ayarlarındaki “Hesabı sil” bölümünden kendiniz silebilirsiniz. Bu durumda hesabınız ve ilgili tüm veriler (faturalar, müşteriler, giderler, fişler, ayarlar) hemen silinir ve aktif abonelik iptal edilir. Aboneliğiniz için size kestiğimiz faturaları yasal yükümlülükler nedeniyle 8 veya 10 yıl saklarız (§ 147 AO, § 257 HGB; GDPR Madde 6 Paragraf 1 Bent c).
5. Faturalandırma Sırasında Veri İşleme
Platformumuzda fatura oluşturduğunuzda girdiğiniz verileri (gönderen verileri, müşteri verileri, fatura tutarları, vergi numaraları, mal/hizmet açıklamaları, banka bilgileri) işleriz. Bu veriler sözleşme yükümlülüklerimizin ifası (GDPR Madde 6 Paragraf 1 Bent b) ve yasal Alman ticari ve vergi saklama yükümlülüklerine (GoBD) uyum için gereklidir (GDPR Madde 6 Paragraf 1 Bent c). Fatura belgeleri ve gömülü XML meta verileri (ZUGFeRD/XRechnung), AB sunucularındaki veritabanımızda ve nesne depolama alanımızda (MinIO) güvenli bir şekilde saklanır.
6. Vergi Danışmanı Erişimi ve Herkese Açık Bağlantılar
Vergi danışmanınıza kişisel bir erişim bağlantısıyla faturalarınıza, giderlerinize, fişlerinize ve DATEV dışa aktarımlarınıza okuma erişimi verebilir, faturalar veya ödeme hatırlatmaları için herkese açık bağlantılar oluşturabilirsiniz. Bağlantılar tahmin edilemeyen rastgele bir belirteç içerir ve arama motorları tarafından dizine eklenmez. Bağlantıyı bilen herkes paylaşılan verileri görüntüleyebilir. Her erişim için belirteci, verdiğiniz adı, isteğe bağlı bitiş tarihini ve durumu saklarız. Erişim bağlantılarını ayarlardan istediğiniz zaman iptal edebilirsiniz; en geç hesabınızla birlikte silinirler. Hukuki dayanak GDPR Madde 6 Paragraf 1 Bent b’dir.
7. Stripe ile Ödeme İşlemleri
Ödemeleri ve abonelikleri işlemek için Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, İrlanda) ödeme hizmetini kullanıyoruz. Bir abonelik başlattığınızda, ödeme bilgileriniz (örneğin kredi kartı bilgileri, fatura adresi) doğrudan Stripe'a aktarılır. Tam kredi kartı bilgilerini kendi sunucularımızda saklamıyoruz. Veri aktarımı GDPR Madde 6 Paragraf 1 Bent b uyarınca gerçekleşir. Stripe Inc. verileri ABD'de işlediğinden, yeterli düzeyde veri koruması sağlamak amacıyla AB-ABD Veri Gizliliği Çerçevesi (DPF) kapsamında sertifikalandırılmıştır. Daha fazla ayrıntı için Stripe'ın gizlilik politikasına (https://stripe.com/privacy) başvurabilirsiniz.
8. Resend ile E-Posta Gönderimi
Sistem e-postaları (örneğin hesabınız, aboneliğiniz ve vergi son tarihleriyle ilgili bildirimler) göndermek ve müşterilerinize isteğe bağlı doğrudan fatura gönderimi için Resend (Resend Labs Inc., 315 Montgomery St, San Francisco, CA 94104, ABD) hizmetini kullanıyoruz. Bu işlemde e-posta adresleri ve fatura verileri Resend'e aktarılır. Hizmetin kullanımı sözleşmenin ifası (GDPR Madde 6 Paragraf 1 Bent b) ve güvenilir e-posta teslimatındaki meşru menfaatimiz (GDPR Madde 6 Paragraf 1 Bent f) doğrultusundadır. Resend Labs Inc. AB-ABD Veri Gizliliği Çerçevesi (DPF) kapsamında sertifikalandırılmıştır ve yeterli veri koruma düzeyini güvence altına almak için Standart Sözleşme Maddeleri (SCC) imzaladık.
9. Sentry ile Hata Analizi
Uygulamanın kararlılığını artırmak ve hataları gidermek için Functional Software Inc. (Sentry, 45 Fremont Street, San Francisco, CA 94105, ABD) tarafından sağlanan Sentry hizmetini kullanıyoruz. Bir hata oluştuğunda Sentry; tarayıcı türü, işletim sistemi, hata zamanı, hata mesajı, açılan URL ve varsa dahili kullanıcı kimliğiniz gibi teknik verileri iletir. Ayrıca sayfa görüntülemelerinin yaklaşık %10'u için performans verileri (ör. yükleme süreleri) toplanır. IP adresleri, çerezler, adlar ve e-posta adresleri iletimden önce kaldırılır; dolayısıyla veriler anonim değil, takma adlandırılmıştır. Sentry (Functional Software Inc.) AB-ABD Veri Gizliliği Çerçevesi (DPF) kapsamında sertifikalandırılmıştır. Yasal dayanak, hizmetimizin istikrarlı ve hatasız çalışmasındaki meşru menfaatimizdir (GDPR Madde 6 Paragraf 1 Bent f).
10. Çerezler, Yerel Depolama ve Onay Yönetimi
Çerezler ve benzeri teknolojiler (tarayıcının yerel deposu) kullanıyoruz. Teknik olarak zorunlu depolama onay olmadan yapılır (TDDDG § 25 Paragraf 2 No. 2), diğer her şey yalnızca onayınızla (TDDDG § 25 Paragraf 1). Teknik olarak zorunlu: - authjs.session-token ve diğer authjs.* çerezleri: oturum açma ve kötüye kullanıma karşı koruma (CSRF), 30 güne kadar - cookie-consent (yerel depo): çerez tercihiniz, 12 ay - referred_by_code: yalnızca bir ortaklık bağlantısını açtığınızda, kaydınızı ortağa bağlamak için (en son açılan ortaklık bağlantısı geçerlidir), 60 gün - affiliate_invite_token, promo_invite_token: yalnızca bir davet veya promosyon bağlantısını açtığınızda, kaydınızı davete veya teklife bağlamak için, 30 gün - Tarayıcının yerel veritabanı (IndexedDB): cihazınızdaki uygulama taslakları ve çevrimdışı veriler Yalnızca onayla: - İstatistik: Google Analytics 4 ve Google Tag Manager (Bölüm 11) - Pazarlama: Meta Pixel ve Google reklam sinyalleri (Bölüm 12) Kayıttan sonra 2 dakikalığına just_registered çerezini ayarlarız. Bu çerez, tamamlanan kaydı ölçmek için yalnızca “İstatistik” için onay verdiyseniz değerlendirilir. Onayı kanıtlayabilmek için tercihinizi ayrıca bir onay kaydında saklarız (GDPR Madde 7 Paragraf 1, Madde 6 Paragraf 1 Bent c). Kayıt yalnızca rastgele bir kimlik, banner sürümü, tercihiniz ve zamanı içerir; IP adresi ve kullanıcı kimliği içermez. Kayıtlar 3 yıl sonra silinir. Tercihinizi istediğiniz zaman alt bilgideki “Çerez ayarları” üzerinden değiştirebilir veya geri alabilirsiniz.
11. Google Analytics 4 ve Google Tag Manager ile Web Analizi
“İstatistik” için onay vermeniz halinde Google Ireland Limited’e (Gordon House, Barrow Street, Dublin 4, İrlanda) ait Google Analytics 4 (GA4) ve Google Tag Manager’ı (GTM) kullanırız. Onayınızdan önce bu hizmetler yüklenmez ve Google’a veri aktarılmaz. GA4; görüntülenen sayfalar, kalma süresi, yaklaşık bölge, cihaz ve tarayıcı bilgileri ile olaylar (ör. tamamlanan kayıt) gibi takma adlı kullanım verilerini toplar ve bunun için çerezler ayarlar (_ga, _ga_*, 2 yıla kadar). GA4 IP adreslerini saklamaz. Google verileri ABD’de de işler; Google LLC, AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalıdır (GDPR Madde 45). Analiz verileri en geç 14 ay sonra silinir. Hukuki dayanak onayınızdır (GDPR Madde 6 Paragraf 1 Bent a, TDDDG § 25 Paragraf 1). Onayınızı istediğiniz zaman alt bilgideki “Çerez ayarları” üzerinden ileriye dönük olarak geri alabilirsiniz. Google gizlilik politikası: https://policies.google.com/privacy
12. Meta Pixel ve Google Reklam Sinyalleri (Pazarlama)
“Pazarlama” için onay vermeniz halinde Meta Platforms Ireland Limited’e (Merrion Road, Dublin 4, D04 X2K5, İrlanda) ait Meta Pixel’i kullanırız. Piksel hangi sayfaları ziyaret ettiğinizi ve hangi işlemleri yaptığınızı (ör. kayıt) kaydeder ve bunun için çerezler ayarlar (_fbp, 90 güne kadar). Meta bu bilgileri Facebook veya Instagram hesabınızla ilişkilendirebilir ve kendi amaçları için kullanabilir. Bu verilerin web sitemizde toplanmasından ve Meta’ya aktarılmasından Meta ile birlikte ortak sorumluyuz (GDPR Madde 26). Anlaşmaya https://www.facebook.com/legal/controller_addendum adresinden ulaşabilirsiniz. Buna göre Meta’da saklanan verilerle ilgili ilgili kişi haklarının yerine getirilmesinden Meta sorumludur; bize de başvurabilirsiniz. Meta’daki sonraki işlemler yalnızca Meta’nın sorumluluğundadır. Meta verileri ABD’de de işler; Meta Platforms Inc., AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalıdır. Aynı onayla, Google’ın reklamların başarısını ölçebilmesi ve reklamları kişiselleştirebilmesi için Google Consent Mode üzerinden Google’a reklam sinyallerini (ad_storage, ad_user_data, ad_personalization) açarız. Hukuki dayanak, “Çerez ayarları” üzerinden istediğiniz zaman geri alabileceğiniz onayınızdır (GDPR Madde 6 Paragraf 1 Bent a, TDDDG § 25 Paragraf 1). Meta gizlilik politikası: https://www.facebook.com/privacy/policy
13. Anlık Bildirimler
Uygulamada anlık bildirimleri (ör. vergi son tarihleri için) etkinleştirirseniz, tarayıcınız anahtarlarla birlikte bir bildirim adresi (endpoint) oluşturur ve bunu kullanıcı kimliğinizle birlikte saklarız. Bildirimler, tarayıcı sağlayıcınızın bildirim hizmeti üzerinden şifreli olarak iletilir (ör. Google Firebase Cloud Messaging, Apple Push Notification Service, Mozilla Push Service). Bu sağlayıcılar IP adresinizi ve teslim zamanını ABD dahil olmak üzere işler. Hukuki dayanak onayınızdır (GDPR Madde 6 Paragraf 1 Bent a, TDDDG § 25 Paragraf 1). Bildirimleri uygulamada veya tarayıcı ayarlarında kapatarak onayınızı geri alabilirsiniz; bildirim adresi bu durumda, en geç hesabınızla birlikte silinir.
14. Ortaklık Programı, Davet ve Promosyon Bağlantıları
Ortaklık programımıza başvurursanız, başvuruyu değerlendirmek ve sizinle iletişime geçmek için bilgilerinizi (ad, telefon numarası, e-posta adresi, şirket adı, girişimci statüsü, vergi numarası veya KDV kimlik no. (şifreli saklanır), ülke, tanıtım kanalları bilgisi) işleriz (GDPR Madde 6 Paragraf 1 Bent b ve f). Başvuru hesabınıza bağlı olarak saklanır ve ayrıca bize Resend üzerinden e-posta ile iletilir (Bölüm 8). Ortak olarak ortaklık kodunuzu, komisyon bakiyenizi, komisyon kayıtlarını ve ödeme bilgilerinizi (IBAN veya PayPal adresi, şifreli olarak saklanır) hesaplaşma için saklarız (GDPR Madde 6 Paragraf 1 Bent b). Muhasebe ve ödeme belgelerini § 147 AO ve § 257 HGB uyarınca saklarız (GDPR Madde 6 Paragraf 1 Bent c). Biri ortaklık bağlantısı üzerinden kaydolursa, ortaklık koduyla ilişkiyi saklar ve komisyonu abonelik ödemelerinden hesaplarız. Ortak, panelinde yalnızca kısmen maskelenmiş bir e-posta adresi (ör. a***[email protected]) ve kayıt tarihini görür; fatura veya hesap verilerini görmez. Bir davet veya promosyon bağlantısını açarsanız, kodu bir çerezde saklar (Bölüm 10) ve teklifi sunabilmek için kayıttan sonra hesabınıza bağlarız (GDPR Madde 6 Paragraf 1 Bent b).
15. Geri Bildirim ve İletişim Formu
Bize geri bildirim formu üzerinden yazarsanız, talebinizi yanıtlamak için adınızı, e-posta adresinizi, seçtiğiniz kategoriyi, puanınızı ve mesajınızı işleriz (GDPR Madde 6 Paragraf 1 Bent b veya f). Mesaj bize Resend üzerinden e-posta ile iletilir (Bölüm 8) ve veritabanımızda saklanmaz. Spam’e karşı istekleri otomatik olarak denetler ve IP adresi başına sayısını sınırlarız (Bölüm 3). Talep tamamen sonuçlandığında ve yasal saklama yükümlülüğü bulunmadığında mesajı sileriz.
16. exali AG Mesleki Sorumluluk Sigortası Rozeti
Künye (Impressum) sayfamızda, mesleki sorumluluk sigortamızın kanıtı olarak exali AG sigorta rozetini gösteriyoruz (DL-InfoV Madde 2 Paragraf 1 No. 11). Görsel kendi sunucumuzdan sunulur; sayfa açıldığında exali AG'ye hiçbir veri aktarılmaz. Yalnızca rozete tıkladığınızda sitemizden ayrılır ve exali AG'nin web sitesine yönlendirilirsiniz; orada exali AG'nin gizlilik politikası geçerlidir (https://www.exali.de/Ueber-exali/Rechtliches/Datenschutzerklaerung,100401.php).
17. GDPR Madde 21 Uyarınca İtiraz Hakkı
Kişisel verileri meşru menfaatlere dayanarak işlediğimiz durumlarda (GDPR Madde 6 Paragraf 1 Bent f), özel durumunuzdan kaynaklanan nedenlerle bu işleme her zaman itiraz etme hakkına sahipsiniz. Bu durumda, çıkarlarınız, haklarınız ve özgürlüklerinizden daha ağır basan zorlayıcı meşru gerekçeler kanıtlayamadıkça veya işleme hukuki taleplerin tesisi, kullanılması veya savunulmasına hizmet etmedikçe verileri artık işlemeyiz. İtirazınızı herhangi bir şekle bağlı olmaksızın, örneğin [email protected] adresine e-posta ile iletebilirsiniz.
18. İlgili Kişi Olarak Haklarınız
GDPR uyarınca aşağıdaki haklara sahipsiniz: - Bilgi alma hakkı (Madde 15) - Düzeltme hakkı (Madde 16) - Silme hakkı ('unutulma hakkı', Madde 17) - İşlemeyi kısıtlama hakkı (Madde 18) - Veri taşınabilirliği hakkı (Madde 20) - İtiraz hakkı (Madde 21) - Onayı geri çekme hakkı (Madde 7 Paragraf 3) - Bir denetim makamına şikayette bulunma hakkı (Madde 77) Yetkili Denetim Makamı: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2-4, 40213 Düsseldorf, Almanya. Bu haklarınızı kullanmak için [email protected] adresinden bizimle her zaman iletişime geçebilirsiniz. Verilerinizin sağlanması yasal veya sözleşmesel bir zorunluluk değildir. Ancak e-posta adresi ve ad (Google hesabınız üzerinden) olmadan size hesap sağlayamayız. GDPR Madde 22 anlamında profil oluşturma dahil otomatik karar verme yapılmaz. § 38 BDSG koşulları oluşmadığından bir veri koruma görevlisi atamadık.
19. Telegram bildirimleri
Vergi son tarihi hatırlatıcılarını Telegram üzerinden etkinleştirirseniz Telegram sohbetinizi Solobuch’a bağlarsınız. Bunun için sohbet kimliğini (şifreli) ve bağlantı zamanını saklarız; Telegram kullanıcı adınızı ve adınızı saklamayız. Telegram botumuz aracılığıyla size profilinizin adını, vergi son tarihinin türünü, dönemi, son tarihi ve uygulamaya bir bağlantıyı içeren mesajlar göndeririz; vergi numaraları, KDV kimlikleri, tutarlar ile fatura ve müşteri verileri iletilmez. Alıcı Telegram’dır (Telegram Messenger Inc. veya Telegram FZ-LLC, Dubai, Birleşik Arap Emirlikleri). İşleme AB/AEA dışında da gerçekleşir; bu aktarım için yeterlilik kararı yoktur ve botlarla yapılan sohbetlerdeki mesajlar uçtan uca şifreli değildir. Hukuki dayanak açık rızanızdır (GDPR m. 6/1-a, m. 49/1-a). Rızanızı, ayarlardan veya sohbette /stop ile bağlantıyı keserek istediğiniz zaman gelecek için geri alabilirsiniz; sohbet kimliği bu durumda silinir. İşlevin çalıştığını kanıtlamak için iletim kayıtlarını (zaman, kanal, durum – mesaj içeriği olmadan) üç yıl veya hesabınız silinene kadar saklarız (GDPR m. 6/1-f, zamanaşımı süreleri).