Gizlilik Bildirimi

Bu web sitesindeki veri işlemeden sorumlu olan:

Xellux Sahibi: Can Yigit Bgm.-Reuter-Str. 10 28327 Bremen Almanya E-posta: info@xellux.com

2.1 Web sitemizi ziyaret ettiğinde

Web sitemizi açtığında cihazının tarayıcısı otomatik olarak sunucumuza bilgi gönderir. Bu bilgiler geçici olarak bir günlük dosyasında (log) saklanır:

• İsteği yapan cihazın IP adresi • Erişimin tarihi ve saati • Açılan dosyanın adı ve URL'si • Referrer URL • Kullanılan tarayıcı ve işletim sistemi

2.2 İletişim formunu kullandığında

Formla bizimle iletişime geçtiğinde talebini eşleştirip yanıtlayabilmemiz için geçerli bir e-posta adresi gereklidir. Diğer bilgiler isteğe bağlıdır.

Kişisel verilerin, aşağıdaki durumlar dışında üçüncü taraflarla paylaşılmaz:

• Açıkça onay verdiysen • Paylaşım, hukuki taleplerin ileri sürülmesi, kullanılması veya savunulması için gerekliyse • Paylaşım yasal olarak zorunluysa • Sözleşme ilişkilerinin yürütülmesi için gerekliyse

Web sitesi ve ürünlerin işletilmesi için aşağıdaki hizmet sağlayıcıları veri işleyici olarak (GDPR Madde 28) kullanıyoruz:

• Hetzner Online GmbH, Almanya: Uygulama ve veritabanlarının Almanya’daki sunucularda barındırılması • Cloudflare, Inc., ABD: Web sitemizin önünde ağ ve güvenlik hizmeti (proxy/CDN), bu sırada IP adresi gibi bağlantı verileri işlenir • Stripe: Ödemelerin işlenmesi, kart bilgilerini doğrudan Stripe’a girersin, sunucularımızda saklanmaz • Resend, ABD: Xellux ID’nin sistem e-postalarının gönderilmesi, örneğin e-posta adresini onaylamak için, ve “Xellux Haberler” bültenin gönderilmesi • Google Ireland Limited, İrlanda: E-posta kutusu ve takvim (Google Workspace), örneğin sohbet veya bir rezervasyon sayfası üzerinden aldığın randevular için • Anthropic, PBC, ABD: Web sitemizdeki sohbet asistanı için dil modeli (bölüm 7), aktarımın dayanağı standart sözleşme hükümleridir (GDPR Madde 46 fıkra 2 bent c)

Bu kapsamda veriler ABD’ye aktarılıyorsa, bu aktarım AB-ABD Veri Gizliliği Çerçevesi’ne ilişkin yeterlilik kararına (GDPR Madde 45) dayanır, bu sağlayıcılar bu çerçeve kapsamında sertifikalıdır, buna ek olarak standart sözleşme hükümlerine (GDPR Madde 46 fıkra 2 bent c) dayanır. Anthropic için yalnızca standart sözleşme hükümleri geçerlidir.

Web sitemizde çerezler kullanıyoruz. Bunlar, sayfamızı ziyaret ettiğinde tarayıcının otomatik olarak oluşturduğu ve cihazında sakladığı küçük dosyalardır. Kullandığımız çerezlerin çoğu, ziyaretinden sonra otomatik olarak silinen oturum çerezleridir. Diğer çerezler ise sen silene kadar cihazında kalır; özellikle oturum açma ve oturum yönetimi için teknik olarak gerekli çerezler (ör. Xellux ID Session-Token). Teknik olarak gerekli çerezler için yasal dayanak, TDDDG § 25 Abs. 2 Nr. 2 ile birlikte DSGVO Art. 6 Abs. 1 lit. b ve f'dir.

unami.xellux.com alt alan adında kendi altyapımızda işlettiğimiz Umami web analiz yazılımını kullanıyoruz. Umami çerezsiz ve cihazlar arası takip olmadan çalışır, yalnızca toplulaştırılmış kullanım istatistikleri toplar (örneğin görüntülenen sayfalar, yönlendiren siteler, tarayıcı ve cihaz türü, ülke). Hiçbir veri üçüncü taraflara aktarılmaz ve tam IP adresleri kalıcı olarak saklanmaz; tek tek ziyaretçilerin tanımlanması mümkün değildir.

Hukuki dayanak GDPR Madde 6 Fıkra 1 bent f’dir. Meşru menfaatimiz, sitemizin kullanımını veri gizliliğine duyarlı ve sınırlı kapsamda analiz ederek hizmetimizi geliştirmektir. Kişisel profiller oluşturulmadığı ve çerez kullanılmadığı için TDDDG § 25 uyarınca rıza gerekmez.

Ürünlerimiz yapay zeka işlevleri içerdiği ölçüde, bu işlevler kişisel verileri yalnızca ilgili işlevin sunulması için gerekli olduğu ölçüde (GDPR Madde 6 Fıkra 1 bent b) veya işlevin sunulması ve geliştirilmesinde meşru menfaat bulunduğu ölçüde (GDPR Madde 6 Fıkra 1 bent f) işler. Yapay zeka işlevleri bu şekilde işaretlenir (bkz. (AB) 2024/1689 sayılı Tüzük Madde 50).

Kullanıcılarımızın kişisel verilerini kendi yapay zeka modellerimizi eğitmek için kullanmıyoruz. Dış yapay zeka sağlayıcıları veri işleyen olarak kullanıldığında, bu GDPR Madde 28 uyarınca yapılan sözleşmelere dayanır; kullanılan sağlayıcılar ilgili üründe şeffaf şekilde belirtilir.

Sana karşı hukuki etki doğuran veya seni benzer şekilde önemli ölçüde etkileyen, yalnızca otomatik işlemeye (profilleme dahil) dayalı bir karar alma süreci (GDPR Madde 22) uygulanmaz.

Web sitemizde bir sohbet asistanı sunuyoruz (Xellux Chatbot). Bu asistan, kullanım için onayladığımız içeriklerden yararlanan bir yapay zeka sistemiyle soruları yanıtlar ve istersen talebini ekibimize iletir. Bir sayfa yüklendiğinde xellux.com üzerinden sadece sohbet düğmesini çizen küçük bir betik çağrılır; bu sırada sunucumuz teknik nedenlerle IP adresini işler. Sohbet penceresini açana kadar konuşma, ayarları ve metinleri yüklenmez.

İşlenen veriler: sohbette yazdığın mesajların, parametresiz sayfa adresinin, dilin, ziyaretçi ve konuşma için rastgele kimliklerin yanı sıra formlarda veya kartlarda kendin ilettiğin bilgiler, örneğin ad, e-posta adresi, telefon numarası veya randevu talebi. IP adresini yalnızca kötüye kullanımı önlemek için her gün değişen bir hash değeri olarak saklıyoruz. Konuşma başladığında sohbet, sayfa yeniden yüklendiğinde konuşmanın kaybolmaması için bu kimlikleri tarayıcının oturum belleğine kaydeder; sekme kapatıldığında bunlar silinir (§ 25 fıkra 2 no. 2 TDDDG). Sohbet çerez veya izleme kullanmaz.

Amaç, talebini yanıtlamak ve istersen ekibimize iletmek, bir randevu oluşturmak veya geri arama sağlamaktır. Hukuki dayanak, talebin bir sözleşmeyle veya sözleşme öncesi süreçle ilgiliyse GDPR Madde 6 fıkra 1 bent b’dir; diğer durumlarda talepleri hızlı yanıtlamadaki meşru menfaatimizdir (GDPR Madde 6 fıkra 1 bent f).

Sağlık gibi açıkça özel koruma gerektiren bilgiler içeren mesajları sohbet, yapay zeka sistemine iletmez ve saklamaz. Lütfen bu tür bilgileri sohbete yazma.

Yanıtları, veri işleyici olarak (GDPR Madde 28) kullandığımız Anthropic, PBC (ABD) şirketinin bir dil modeli üretir. Bunun için mesajın, aynı konuşmadaki önceki mesajların ve ilgili onaylı içeriklerin Anthropic’e aktarılması gerekir. Anthropic’in ticari koşullarına göre bu veriler modellerin eğitiminde kullanılmaz. ABD’ye aktarım, Anthropic ile yapılan veri işleme sözleşmesindeki AB Komisyonu standart sözleşme maddelerine dayanır (GDPR Madde 46 fıkra 2 bent c).

Konuşmaları, form bilgileri ve yüklenen dosyalarla birlikte son mesajdan 90 gün sonra sileriz. Sohbetten gelen iletişim bilgilerini 90 gün kullanılmadıysa sileriz. Sohbet talebini ekibimize iletirse müşteri hizmetlerimizde bir talep oluşur; bir randevu oluşturursan bu takvimimizde yer alır. Her ikisini de işlem tamamlanır tamamlanmaz ve yasal saklama süresi engel olmadığı sürece sileriz. Bölüm 10’daki hakların burada da geçerlidir.

7.1 Davet linkleri ve davet sayfası

Bir davet linki açtığında (örneğin xellux.com/app/r/… veya “?ref=” içeren bir link), davet avantajının ileride bir abonelik oluşturulduğunda sana tanınabilmesi için davet kodunu 90 gün boyunca ayrı bir çerezde (xlx_ref) saklarız. Çerez yalnızca kodu içerir. Bir linkin açılmasını kod, gün ve ziyaretçi başına bir kez sayarız; bunu yaparken ne IP adresini ne de tarayıcı kimliğini açık metin olarak saklarız, yalnızca bunlardan türetilen geri döndürülemez bir hash değeri tutarız. Çerez için hukuki dayanak § 25 Abs. 2 Nr. 2 TDDDG, sayım için ise Art. 6 Abs. 1 lit. f DSGVO’dur (doğru eşleştirme ve kötüye kullanıma karşı koruma konusundaki meşru menfaat).

Davet sayfasında yalnızca davet eden kişinin kendisinin paylaşmayı onayladığı bilgiler görünür (örneğin ad, şirket, fotoğraf). Bu onay, Art. 6 Abs. 1 lit. a DSGVO uyarınca rızadır ve istediği zaman ayarlardan geri alınabilir; e-posta adresi orada hiçbir zaman gösterilmez.

7.2 Davet üzerinden abonelik oluşturma

Bir davet üzerinden hesap veya abonelik oluşturduğunda, avantajı doğru eşleştirmek ve kötüye kullanımı önlemek için ödeme hizmet sağlayıcısı Stripe’a davet kodunu ve IP adresi ile cihaz bilgisinin hash değerlerini iletiriz. Davet eden kişi yalnızca kendi linki üzerinden bir şirketin başladığını öğrenir ve “davet edilen” ile “ödeme yapan” gibi sayıları görür, asla senin adını veya iletişim bilgilerini görmez. Hukuki dayanak Art. 6 Abs. 1 lit. b DSGVO’dur (avantajın ve alacağın sağlanması) ve ayrıca lit. f (kötüye kullanıma karşı koruma).

7.3 Partner programı

Partner programına katılım için başvurudaki bilgileri işleriz: şirket, ad, adres, ülke, KDV kimlik numarası veya vergi numarası, küçük işletme muafiyetine ilişkin bilgiler ve banka bilgileri. IBAN’ı şifrelenmiş olarak saklarız. Partnerler hiçbir müşteri verisi görmez, yalnızca isimsiz sayıları ve tutarları görür. Hukuki dayanak Art. 6 Abs. 1 lit. b DSGVO’dur (sözleşme) ve alacak dekontları gibi vergisel açıdan önemli belgeler için § 147 AO ile bağlantılı olarak Art. 6 Abs. 1 lit. c DSGVO’dur; bu belgeleri on yıl boyunca saklarız.

8.1 Hizmet E-postaları

Hesabın için, sözleşmenin parçası olan e-postalar gönderiyoruz: adresinin onayı, bir hoş geldin e-postası, giriş ve güvenlik bildirimleri, faturalar ve aboneliğinle ilgili bilgiler ile Xellux içinde oluşan bildirimler (örneğin biri seni bir yorumda etiketlediğinde veya davet ettiğinde). Hukuki dayanak GDPR Madde 6(1)(b)'dir. Bu e-postalar reklam içermez, bu yüzden abonelikten çıkılamaz; bildirimleri ayarlardan yönetirsin.

Etiketlemelerde ve davetlerde, işlemi yapan kişinin profil fotoğrafını, çalışma alanında göründüğü şekilde gösteririz. Çalışma alanı dışındaki alıcılara giden e-postalarda (örneğin imzalanacak bir teklif) sadece düzenleyen firmanın simgesi görünür. Görsel, tüm alıcılar için aynı olan bir adres üzerinden yüklenir; bu sayede kimin bir e-postayı açtığını tespit edemeyiz.

8.2 “Xellux Haberleri” Bülteni

Xellux ile ilgili haberleri, ipuçlarını ve kampanyaları sana sadece açıkça talep ettiğinde gönderiyoruz: kayıt sırasında önceden işaretli olmayan gönüllü kutucuk üzerinden veya ayarlardaki “Pazarlama e-postaları” düğmesi üzerinden. Bunun ardından reklam içermeyen bir onay e-postası alırsın; içindeki bağlantıya tıkladığında kayıt tamamlanmış olur (çift onay). Hukuki dayanak senin rızandır (GDPR Madde 6(1)(a), UWG § 7(2)).

Rızanın kanıtı olarak e-posta adresini, rızanın metnini bir kontrol değeriyle birlikte, kaydın nereden geldiğini (kayıt veya ayarlar), kayıt ve onay zamanını ve bir form üzerinden kayıt durumunda IP adresinin geri döndürülemez bir hash değerini saklarız (GDPR Madde 7(1) ve Madde 6(1)(c)). Bültenin açılıp açılmadığını veya neye tıklandığını ölçmeyiz.

Bülten aboneliğini istediğin zaman iptal edebilirsin: her sayıdaki abonelikten çıkma bağlantısına tıklayarak, ayarlardaki düğme üzerinden veya info@xellux.com adresine e-posta göndererek. İptal hemen geçerli olur. Kaydı, sana yanlışlıkla tekrar yazmamak için kanıt ve engelleme amacıyla saklarız (GDPR Madde 6(1)(f)); talep etmen halinde sileriz. Bülten, Resend üzerinden gönderilir (bkz. bölüm 3).

Şu haklara sahipsin:

• İşlenen verilerin hakkında bilgi talep etme (Art. 15 DSGVO) • Yanlış verilerin düzeltilmesini talep etme (Art. 16 DSGVO) • Verilerinin silinmesini talep etme (Art. 17 DSGVO) • İşlemenin kısıtlanmasını talep etme (Art. 18 DSGVO) • Verilerini aktarılabilir bir biçimde alma (Art. 20 DSGVO) • İşlemeye itiraz etme (Art. 21 DSGVO) • Bir denetim makamına şikayette bulunma (Art. 77 DSGVO)

Web sitesi ziyaretlerinde verileri, tarayıcının desteklediği en yüksek şifreleme düzeyiyle TLS (Transport Layer Security) üzerinden şifreli olarak aktarırız. Şifreli aktarımı, tarayıcının adres çubuğundaki kilit simgesinden anlayabilirsin.

Bu gizlilik bildirimi Ekim 2026 tarihli durumu yansıtır. Web sitemizin geliştirilmesi veya değişen yasal ya da idari düzenlemeler nedeniyle bu gizlilik bildirimini güncellemek gerekebilir.