Gizlilik ve güvenlik

Şifreli aktarım

Evylla ile iletişim HTTPS/TLS üzerinden yürür.

IMAP uygulama ve kutu parolaları ile OAuth belirteçleri AES-256-GCM ile şifreli saklanır. Evylla hesap parolan yalnızca geri döndürülemez bir özet olarak tutulur.

En az yetki ilkesiyle erişim

Evylla yalnızca ilgili işlev için gerekli verilere erişmelidir.

İç erişim hakları en az yetki ilkesine göre verilir.

Kayıtlı verilerin korunması

Kişisel veriler ve korunması gereken diğer veriler teknik ve organizasyonel önlemlerle korunur. Veri türüne göre buna özellikle şunlar girer:

• TLS encryption for every connection to the application
• AES-256-GCM for stored credentials of connected accounts
• Password hashing according to the current state of the art
• CSRF protection, session hardening and server-side permission checks on every request
• Separate roles and permissions for regular accounts and administration
• Regular backups with limited retention
• Logging of security-relevant events with short retention

Hangi önlemlerin kullanılacağı, işlemenin türüne, kapsamına ve riskine bağlıdır.

Evylla, veri korumasının bir işlevin tasarımında baştan dikkate alınacağı şekilde geliştirilir.

Bu örneğin şunu ifade eder:

Privacy by design
New features are designed from the outset to work with as little personal data as possible.

Privacy by default
The data-minimising setting is the default. Additional processing only happens when you actively trigger it.

Purpose limitation
Data collected for your purchase history is not reused for other purposes.

Deletability
Every kind of data that is created must also be removable – individually or completely.

Transparency
You should not have to guess what happens. That is why this page exists.

This follows the principle of “data protection by design and by default” in Art. 25 GDPR.

Bu, kullandığın işlevlere bağlıdır.

Kullanıcı hesabı

Evylla hesabın için örneğin şu veriler işlenebilir:

• First and last name
• Username and email address
• Country and – if provided – phone number
• Password hash as well as session and security attributes
• Plan, payment status and billing identifiers
• Timestamps such as registration, last sign-in or verification

E-posta bağlantıları

Bir e-posta hesabı bağlarsan Evylla, izin verdiğin iletileri satın alma bilgilerini tanımak için işleyebilir.

Buna örneğin şunlar girebilir:

• IMAP server, port and username of the connection
• Encrypted app password used for retrieval
• Sender, subject, date and identifiers of the recognised emails
• Recognised order data: merchant, order number, items, amounts, currency, status
• Time and result of the last synchronisation

Evylla, ilgili işlev için gerekli bilgileri işlemeye ve fazlasını işlememeye çalışır.

Ödeme ve finans hizmetleri

Daha sonra bir ödeme veya finans hizmeti bağlarsan, sağlayıcıya ve verdiğin izinlere göre örneğin şu bilgiler işlenebilir:

• Customer and subscription identifiers of the payment provider
• Status of payment and term
• References to invoices and receipts

Somut kapsam sağlayıcıya ve bağlantıya bağlıdır.

🤖 Yapay zekâ ve otomatik işleme

Evylla, verilerindeki bilgileri tanımak ve yapılandırmak için otomatik ve gerekirse yapay zekâ destekli yöntemler kullanabilir.

Örneğin bir satın alma onayı otomatik tanınabilir:

« Satıcı X’te sipariş – 14.09.2026 – 79,99 € – ürün Y »

Otomatik işleme, istediğin Evylla işlevleri için bilgileri hazırlamaya yarar.

Otomatik bir değerlendirme, senin hakkında hukuken önemli otomatik bir karar verildiği anlamına gelmez.

Evylla, GDPR md. 22 anlamında otomatik karar veya profilleme kullanan işlevler eklerse, gerekli bilgiler ayrıca verilir.

🧠 Verilerin başka amaçlar için kullanılmaz

Sağladığın veriler ilke olarak Evylla’yı kullandığın amaçlar için işlenir.

Satın alma ve hesap verilerin gelişigüzel başka amaçlar için kullanılmamalıdır.

Ek amaçlar için kullanım, örneğin belirli analiz, pazarlama veya eğitim, yalnızca hukuki dayanak varsa ve veri koruma şartları yerine geliyorsa olur.

🚫 Kişisel verilerin satılmaz

Evylla, kullanıcılarının kişisel verilerini satmaz.

Evylla’yı işleten hizmet sağlayıcılar varsa veya yasal bir yükümlülük varsa aktarım gerekebilir.

Bu sağlayıcılar yalnızca görevleri için gerekli erişimi alır.

Evylla farklı harici hizmetleri destekleyebilir.

Buna örneğin şunlar girebilir:

• Email accounts via IMAP (active)
• Sign-in via OAuth without an app password (in preparation)
• PayPal receipts (in preparation)
• Bank and card transactions (in preparation)

Bir hizmet bağlarken bu bağlantı için gereken izinler sana gösterilir.

Bağlantıyı kesmek yeni alımları durdurur; kayıtlı satın almalar kalır. E-posta hesabını kaldırmak bağlantıyı, iletileri ve ilgili satın almaları siler.

Yalnızca bir bağlantının içe aktarılan verilerini de silebilirsin; bağlantının kendisi durur.

🗑️ Verilerini silmek

Hesapta, Gizlilik ve güvenlik altında tam olarak neyin silineceğini seçersin.

Silmede yasal saklama yükümlülükleri veya gerekli yedekler, bazı verilerin tüm sistemlerden hemen kaybolmamasına yol açabilir.

Bu veriler saklama veya yedek süreleri bitince silinir ya da anonimleştirilir; başka bir hukuki dayanak saklamayı gerektirmedikçe.

Somut silme süreleri:

• Account data: until the account is deleted
• Order and mail data: until you delete it or remove the account
• Server logs: as a rule up to 14 days
• Administrative SQL backups: a maximum of 20 versions, older ones are pruned automatically – with regular backups typically up to about 90 days
• Invoices and payment records: as long as statutory retention obligations apply

📦 Veri dışa aktarma

Taşınabilirlik şartları yerine geliyorsa kişisel verilerini yapılandırılmış, yaygın ve makinece okunabilir biçimde alma hakkın vardır.

Evylla bunun için bir dışa aktarma işlevi sunabilir.

Veri taşınabilirliği hakkı GDPR md. 20’de düzenlenir.

Yasal şartlara göre özellikle şu hakların vardır:

Bilgi edinme

Hakkında hangi kişisel verileri işlediğimizi sorabilirsin.

Düzeltme

Yanlış kişisel verilerin düzeltilmesini isteyebilirsin.

Silme

Yasal şartlar varsa kişisel verilerinin silinmesini isteyebilirsin.

İşlemenin kısıtlanması

Belirli şartlarda verilerinin işlenmesinin kısıtlanmasını isteyebilirsin.

İtiraz

Yasal şartlar varsa bir işlemeye itiraz edebilirsin.

Taşınabilirlik

Yasal şartlar varsa verdiğin kişisel verileri yapılandırılmış, yaygın ve makinece okunabilir biçimde alabilirsin.

Rızanın geri alınması

Bir işleme rızana dayanıyorsa bu rızayı geleceğe yönelik her zaman geri alabilirsin. Geri almaya kadar yapılan işlemenin hukuka uygunluğu bundan etkilenmez.

⚖️ Evylla verileri hangi dayanakla işler

Somut hukuki dayanak, ilgili işleme bağlıdır.

İşleve göre özellikle şu dayanaklar geçerli olabilir:

GDPR md. 6 fıkra 1 bent a
Rıza.

GDPR md. 6 fıkra 1 bent b
Bir sözleşmenin ifası veya sözleşme öncesi adımlar için gerekli işleme.

GDPR md. 6 fıkra 1 bent c
Hukuki bir yükümlülüğü yerine getirmek için işleme.

GDPR md. 6 fıkra 1 bent f
Yasal şartlar varsa meşru menfaate dayanan işleme.

Hangi işlem için hangi dayanağın geçerli olduğu tam gizlilik bildiriminde açıklanır.

🏢 Sorumlu

Kişisel verilerin işlenmesinden sorumlu olan:

URBAN
Friedensplatz 13
SAN-39164 Seehausen Börde
Deutschland

Temsil eden: Udo Urban

E-posta

…

🛡️ Veri koruma görevlisi

Yasal şartlar oluşmadığı için şu anda bir veri koruma görevlisi atanmamıştır.

🔧 İşleyenler ve teknik hizmet sağlayıcılar

Evylla’nın işletimi için teknik hizmet sağlayıcılar kullanılabilir.

Buna özellikle şunlar girebilir:

• Hosting and infrastructure providers for servers, database and backups
• Stripe as payment service provider for passes and subscriptions
• Mail delivery service for system emails such as confirmations and password links

Bu sağlayıcılar kişisel verileri bizim adımıza işliyorsa bu, gerekli veri koruma sözleşmelerine dayanır.

Sağlayıcıların ve işlemenin güncel özeti tam gizlilik bildiriminde yer alır.

🌍 Verilerin nerede işlenir

İşleme Avrupa Birliği veya Avrupa Ekonomik Alanı içinde yapılabilir.

AB veya AEA dışında veri işleyen hizmet sağlayıcılar varsa aktarım yalnızca geçerli veri koruma şartlarına uyularak yapılır.

Güncel saklama ve işleme yerleri:
Uygulama, veritabanı ve yedekler Almanya’da veya Avrupa Birliği’nde çalışır.

Üçüncü ülkeye aktarımlar:
Stripe (ABD) ödeme verilerini AB dışında işleyebilir ve uygun güvencelere, özellikle standart sözleşme maddelerine dayanır. Ayrıntı: https://stripe.com/privacy

💳 Ödeme verileri

Ücretli Evylla tarifelerinin ödemeleri harici ödeme sağlayıcıları üzerinden yapılabilir.

Ödeme verilerinin işlenmesi ilgili sağlayıcının koşullarına ve gizlilik kurallarına göre olur.

Evylla, işlev gerektirmediği ve teknik ödeme uzman bir sağlayıcı üzerinden yürüdüğü sürece tam kart numaralarını saklamaz.

Kullanılan ödeme sağlayıcıları:
Stripe Payments Europe, Ltd. ve bağlı grup şirketleri; ayrıntılar: stripe.com/privacy.

🔒 Teknik ve organizasyonel önlemler

Evylla, kişisel verileri kayıp, yok olma, değişiklik ve yetkisiz erişime karşı uygun teknik ve organizasyonel önlemlerle korur.

Buna özellikle şunlar girebilir:

• Encryption in transit (TLS) and for sensitive stored values (AES-256-GCM)
• Role and permission model with server-side checks on every access
• Protection against CSRF, brute-force attempts and session hijacking
• Separation of development and production environments
• Regular backups with a limited number of versions
• Updates of the components and dependencies in use
• Logging of security-relevant events with short retention

Önlemler tekniğin durumuna ve riske göre gözden geçirilir ve geliştirilir.

GDPR md. 32, tekniğin durumu, maliyet, işlemenin türü ve kapsamı ile kişilerin hak ve özgürlüklerine yönelik risk dikkate alınarak uygun teknik ve organizasyonel önlemler ister.

🚨 Güvenlik olayları

Kapsamlı güvenlik önlemlerine rağmen hiçbir internet hizmeti tamamen risksiz bir sistem garanti edemez.

Kişisel verilerin korunması ihlal edilirse Evylla olayı gecikmeden değerlendirir ve gerekli önlemleri alır.

Yasa gerektiriyorsa yetkili denetim makamları ve etkilenen kişiler yasal kurallara göre bilgilendirilir.