Veri Koruma Beyanı

Sorumlu kim?

Purple Digital UG (haftungsbeschränkt) yasal temsilcisi: Müdür Christoph Sterkel Eifflerstraße 43 22769 Hamburg E-posta: datenschutz@halloamt.de

Bir veri koruma görevlisi atamadık.

Burada konu nedir

HalloAmt, resmi kurum formlarını doldurmakta yardım eder. Bunun için çok kişisel olan bilgileri işliyoruz: ad ve adres, gelir, aile durumu, vatandaşlık, oturum durumu ve hangi sosyal yardımı aldığınız.

Bunun ne anlama geldiğini biliyoruz. Bu yüzden bu beyan size tam olarak şunu anlatır: hangi verileri işliyoruz, ne için, bizden başka kim onları görüyor, ne kadar süre saklıyoruz ve hangi haklarınız var.

Hangi verileri işliyoruz ve neden

1. Hesabınız — e-posta adresi ve şifre; Google üzerinden giriş yaparsanız oradaki kimlik ve e-posta adresi. Ne için: Giriş yapabilmeniz ve başvurularınızı tekrar bulabilmeniz için. Hukuki dayanak: Sözleşmenin yerine getirilmesi (DSGVO Madde 6 Fıkra 1 harf b). Ne kadar süre: Hesabınızı silene kadar. Kayıt olmadan oluşturulan hesapları 30 gün sonra otomatik olarak siliyoruz.

2. Sohbetteki bilgileriniz — bir formun doldurulabilmesi için girdiğiniz her şey: ad, doğum tarihi ve doğum yeri, adres, vatandaşlık, medeni durum, çocuklar ve eş hakkında bilgiler, banka bilgileri (IBAN), vergi kimlik numarası, iş ve gelir hakkında bilgiler, oturum durumu ve aldığınız sosyal yardımın türü. Ayrıca sohbetin akışı. Ne için: Formu doğru doldurmak için ve bir sonraki başvuruda her şeyi yeniden girmek zorunda kalmamanız için. Hukuki dayanak: Sözleşmenin yerine getirilmesi (DSGVO Madde 6 Fıkra 1 harf b). Ne kadar süre: Başvuruyu veya hesabınızı silene kadar.

3. Tamamlanmış formunuz — doldurulmuş PDF. Hukuki dayanak: Sözleşmenin yerine getirilmesi. Ne kadar süre: Ücretsiz ön izlemeleri 7 gün sonra siliyoruz. Tamamlanmış, ödemesi yapılmış PDF size aittir ve siz onu, ona ait başvuruyu veya hesabınızı silene kadar kalır. Bir başvuruyu sildiğinizde bizde içeriği olmayan bir kayıt kalır: tarih, durum ve formu indirmeden önce kontrol ettiğinize dair onay. Bu kayıt sizin bilgilerinizden hiçbirini içermez ve abonelik kotanızı doğru saymak için ve anlaşmazlık durumunda formun göndermeden önce size sunulduğunu kanıtlamak için ona ihtiyacımız var.

4. Ödemeniz — ödeme durumu, abonelik verileri, Stripe'daki müşteri numarası. Kart bilgilerinizi hiçbir zaman görmüyoruz — onları doğrudan Stripe'a giriyorsunuz. Hukuki dayanak: Sözleşmenin yerine getirilmesi; faturalar için ek olarak yasal saklama yükümlülükleri (DSGVO Madde 6 Fıkra 1 harf c). Ne kadar süre: Abonelik verileri hesap silinene kadar; muhasebe belgeleri yasanın gerektirdiği süre kadar.

5. Kötüye kullanıma karşı koruma — IP adresinizin şifrelenmiş bir kimliği (IP adresinin kendisi değil), kullanım sayacı ve her sorgunun maliyeti. Ne için: Kimse hizmeti otomatik olarak kötüye kullanmasın ve bize karşılayamayacağımız maliyetler doğmasın diye. Hukuki dayanak: Meşru menfaat (DSGVO Madde 6 Fıkra 1 harf f). Ne kadar süre: 90 gün.

6. Geri bildirimleriniz — bildirim veya geri bildirim formu üzerinden bize yazdıklarınız. Buna metin, bulunduğunuz sayfa, arayüzün sürümü ve „Android'de Chrome" gibi kaba bir cihaz bilgisi dahildir. Geri dönüş için bir e-posta adresi vermek isteğe bağlıdır. Hukuki dayanak: Meşru menfaat (DSGVO Madde 6 Fıkra 1 harf f); isteğe bağlı e-posta adresi için onayınız (DSGVO Madde 6 Fıkra 1 harf a), bunu her zaman geri alabilirsiniz. Ne kadar süre: İşleme alınana kadar; hesap silindiğinde bildirimlerinizi de siliyoruz.

7. Bir form talep ettiğinizde — formun adı, kurum, bulunduğunuz yer, e-posta adresiniz ve bir dosya yüklerseniz o dosya. Ne için: Formu sisteme eklemek ve size yanıt verebilmek için. Hukuki dayanak: Sözleşmenin yerine getirilmesi ve meşru menfaat. Ne kadar süre: Yüklenen dosyaları, formu tanır tanımaz, en geç 30 gün sonra siliyoruz.

Verilerinizi bizden başka kim görüyor

Hizmet sağlayıcılarla çalışıyoruz. Bunların iki türü var ve aradaki fark sizin için önemli:

• Bizim adımıza demek: Sağlayıcı verilerinizle yalnızca bizim söylediğimizi yapabilir. Sorumluluk bizde kalır ve buradaki bu beyan geçerlidir.
• Kendi sorumluluğunda demek: Sağlayıcı verilerle ne yapacağına kendisi karar verir. Bunun için bizimki değil, onun kendi veri koruma beyanı geçerlidir.

Bizim adımıza (veri işleyenler, talimatlarımıza bağlı)

Kim	Ne için	Nerede
Supabase	Hesap, veritabanı, bilgilerinizin ve PDF'lerinizin saklanması	Veri merkezi Frankfurt am Main
Anthropic	Sohbeti yürüten ve formu dolduran yapay zeka	ABD
Cloudflare	Web sitesinin sunulması	Dünya genelinde, AB lokasyonları
Resend	E-postalarımızın gönderimi — adres, konu ve içerik	ABD
Stripe	Ödemenin işleme alınması	AB merkezli şirket, ABD'deki grup şirketi

Bu beş sağlayıcının her biriyle GDPR'nin 28. maddesi uyarınca bir veri işleme sözleşmesi bulunmaktadır.

Kendi sorumluluğunda hareket eden alıcılar

Kim	Ne için	Nerede
Google	Sadece „Google ile giriş yap" kullanırsanız	ABD
Stripe	Ödeme	AB şirketi, holding ABD'de
Resend	kimin ne zaman hangi adrese yazdığı	ABD
easybell	telefon hattımız ve anons	Almanya

Google bizim adımıza çalışmıyor: „Google ile giriş yap" seçeneğini kullanırsanız, Google'a giriş yapmış olursunuz — bundan Google kendisi sorumludur ve Google'ın kendi veri koruma beyanı geçerlidir. Bu yolu kullanmazsanız, Google sizin hakkınızda hiçbir şey öğrenmez.

Stripe'ın her iki rolü de vardır ve bu, sözleşmemizde böyle yazılıdır: Ödemeyi Stripe bizim adımıza yürütür; kendi amaçları için, özellikle dolandırıcılığın tespiti için Stripe kendisi karar verir. Bu nedenle Stripe her iki listede de yer alır.

Resend'in de iki rolü vardır ve bu da sözleşmemizde böyle yer almaktadır: E-postanızın gönderilmesini — adres, konu ve içerik — Resend bizim adımıza üstlenir. Trafik verilerini, yani kimin ne zaman hangi adrese yazdığını, Resend bunun ötesinde kendi amaçları için işler ve buna kendisi karar verir. Bu nedenle Resend her iki listede de yer almaktadır.

Bir e-postayı açıp açmadığınızı veya tıklayıp tıklamadığınızı ölçmüyoruz. Resend bunu sunabilir; biz bunu kurmadık. Sayaç pikseli ve yeniden yazılmış bağlantılar bulunmamaktadır.

Bunun dışında hiçbir şeyi başkasına vermiyoruz — özellikle kurumlara, işverenlere, kiraya verenlere veya kredi bilgi kuruluşlarına vermiyoruz. Başvurularınızı kendiniz teslim ediyorsunuz.

Bizi aradığınızda

Telefon numaramızda bir anons çalar. Bir görüşme gerçekleşmez — kimse telefonu açmaz ve mesaj da bırakamazsınız.

Telefon sağlayıcımız easybell, bir arama sonrasında bize bir e-posta gönderir. Bu e-postada, birinin bizi aradığını görebilmemiz için telefon numaranız ve aramanın zamanı yer alır. Hiçbir kayıt yapılmaz: easybell bu tür aramaları depolamaz, bunun yerine doğrudan e-posta yoluyla bize iletir.

Bağlantı verileri konusunda easybell kendisi sorumludur — bir telefon sağlayıcısı, hukuki duruma göre telekomünikasyonun koşulları bakımından her zaman bu sorumluluğu taşır. Bu nedenle easybell yukarıdaki listede yer almakta olup veri işleyenler arasında sayılmamaktadır ve bu nedenle bunun için bir veri işleme sözleşmesi de bulunmamaktadır.

Arama e-postası posta kutumuza düşer ve işlemi tamamlandığında elle silinir. Hukuki dayanak, ulaşılabilir olmaya yönelik meşru menfaatimizdir (Art. 6 Abs. 1 lit. f DSGVO).

ABD'ye aktarım — bilmeniz gerekenler

Yapay zekanın başvurunuzu doldurabilmesi için sohbet metinleriniz Anthropic'e ABD'ye aktarılır ve orada işlenir. Bu, yukarıda 2. maddede yazan bilgileri kapsar.

Bu konuda geçerli olanlar:

• Bilgileriniz yapay zekanın eğitimi için kullanılmaz.
• İşlemenin sadece ABD'de yapılmasını, değişen ülkelerde yapılmamasını belirledik.
• Verileriniz Frankfurt am Main'de saklanır, ABD'de değil.
• Aktarılmayanlar: hesabınız, ödeme verileriniz ve tamamlanmış PDF — bu, yapay zeka olmadan Frankfurt'taki sunucumuzda oluşur.

ABD, veri koruma seviyesini Avrupa Komisyonu'nun genel olarak eşdeğer kabul ettiği bir ülke değildir. Bu nedenle her aktarımı, DSGVO'nun bunun için öngördüğü güvencelerden birine dayandırıyoruz:

Alıcı	Aktarımı neye dayandırıyoruz
Anthropic — sohbet metinleriniz	AB Komisyonu'nun standart sözleşme maddeleri (Uygulama Kararı (AB) 2021/914, Modül 2 ve 3). Bunlar, Anthropic ile aramızdaki veri işleme sözleşmesinin bir parçasıdır.
Stripe — ödeme	Sözleşme tarafımız İrlanda'daki Stripe Payments Europe, Ltd. şirketidir. Stripe grubu içindeki aktarımlar için standart sözleşme maddeleri ve EU-US Data Privacy Framework kapsamındaki sertifikasyon geçerlidir.
Google — sadece „Google ile giriş yap" durumunda	Google LLC, EU-US Data Privacy Framework kapsamında sertifikalıdır. Bu aktarım için böylece Avrupa Komisyonu'nun yeterlilik kararı geçerlidir — ek bir güvenceye ihtiyaç duymaz.
Cloudflare — web sitesinin sunulması	AB Komisyonu'nun standart sözleşme maddeleri (Uygulama Kararı (AB) 2021/914). Bunlar, Cloudflare ile kullanım sözleşmemizin kapsadığı veri işleme sözleşmesinin bir parçasıdır.
Supabase — hesap, veritabanı, saklama	AB Komisyonu'nun standart sözleşme maddeleri (Uygulama Kararı (AB) 2021/914). Verileriniz Frankfurt am Main'de saklanır; aktarım, ABD'deki ana şirketin erişimini kapsar.
Resend — E-postalarımızın gönderimi	Sözleşme ortağımız San Francisco'daki Plus Five Five, Inc.'dir. Aktarım, AB Komisyonu'nun standart sözleşme maddelerine (Uygulama Kararı (AB) 2021/914, Modül 2) ve ayrıca EU-US Data Privacy Framework sertifikasyonuna dayanmaktadır. Sözleşmeye göre işleme ağırlıklı olarak ABD'de gerçekleşmektedir.

Bu güvencelerin bir kopyasını bizden isteyebilirsiniz. datenschutz@halloamt.de adresine yazın, size gönderelim.

Anthropic metinlerinizi ne kadar süre saklıyor. Bilgileriniz kalıcı olarak yalnızca bizde, Frankfurt am Main'de saklanır (yukarıya bakınız). Bunun ötesinde aktarılan metin Anthropic'te 30 güne kadar kalır; ardından Anthropic onu siler. Bu süre içinde Anthropic, güvenlik ve kötüye kullanımı önleme amacıyla metne bakabilir.

Anthropic'in otomatik kötüye kullanım tespiti bir işlemi işaretlerse, Anthropic girdi ve çıktıları iki yıla kadar saklayabilir. Bu, diğer her şeyden bağımsız olarak geçerlidir ve bizim elimizde değildir.

Verilerinizi nasıl koruyoruz

• Veriler hem aktarım sırasında hem de saklanırken şifrelenir.
• Her kişi yalnızca kendi verilerini görür; bu, sadece arayüzde değil, veri tabanında teknik olarak zorunlu kılınmıştır.
• Yönetim bölümümüz sizi yalnızca bir kimlik numarası ile gösterir, adınızla değil. Gerçek adları görmek isteyen kişi iki faktörlü giriş yapmak zorundadır ve bu tür her erişim kayda geçirilir. Bu kaydı 730 gün saklıyoruz.
• IP adresinizi yalnızca şifreli olarak saklıyoruz.
• Çizdiğiniz imza, PDF'e eklendikten sonra silinir ve saklanmaz.

Haklarınız

Bizden her zaman şunları isteyebilirsiniz:

• Hakkınızda hangi verilere sahip olduğumuz konusunda bilgi (Art. 15 DSGVO)
• Bir şey yanlışsa düzeltme (Art. 16)
• Verilerinizin silinmesi (Art. 17)
• İşlemenin kısıtlanması (Art. 18)
• Verilerinizin aktarılabilir bir biçimde verilmesi (Art. 20)
• Meşru menfaate dayanan işlemelere itiraz (Art. 21)

Bunun için datenschutz@halloamt.de adresine yazın. Bir ay içinde yanıt veriyoruz.

Silme işlemini kendiniz yapabilirsiniz, hem de iki aşamalı olarak. Tek bir başvuruyu „Formularlarım" → „Başvuruyu sil" altında silersiniz: Böylece sohbet geçmişi, ara kayıtlarınız ve bu başvuruya ait PDF'ler kaybolur — kaydedilmiş bilgileriniz kalır ve „Verilerim" altında tek tek değiştirilebilir veya kaldırılabilir. Hesabınızı ve tüm verilerinizi „Hesabı sil" altında silersiniz; bu, bilgilerinizi, formularlarınızı ve devam eden bir aboneliği kaldırır.

Hesap silme işlemi neyi kaldırmaz — ve nedeni

Bir şey kalır, ve bunu saklamak yerine size açıkça söylüyoruz: Bizden satın aldıysanız, bu satın alma işlemine dair küçük bir kanıtı saklarız — hesap silindikten sonra bile. Bu kanıtta e-posta adresiniz düz metin olarak, satın alınan ürün, fiyat, tarih ve onaylarınızın, indirmeden önceki doğrulamanızın, ayrıca bir fesih veya cayma işleminin zaman damgaları yer alır.

Neden: Bir satın alma konusunda anlaşmazlık çıkarsa, her iki taraf da neyin ne zaman kararlaştırıldığını kanıtlayabilmelidir. Adresiniz olmadan bu kanıt her iki taraf için de değersiz olurdu — sadece birinin onay verdiğini gösterirdi. Bu yüzden adres orada düz metin olarak durur, okunaksız bir sağlama toplamı (checksum) olarak değil: Bir sağlama toplamı, onu bilmeyen hiç kimseye hiçbir şey kanıtlamaz.

Hukuki dayanak: Art. 17 Abs. 3 lit. b und lit. e DSGVO — silme hakkı, veriler yasal bir yükümlülüğün yerine getirilmesi veya hukuki taleplerin ileri sürülmesi ve savunulması için gerekliyse geçerli değildir.

Ne kadar süreyle: dört yıla kadar (talebin doğduğu yılın sonundan itibaren üç yıl, §§ 195, 199 BGB). Aynı zamanda fatura verisi niteliği taşıyan bilgiler için daha uzun vergi süreleri geçerli olabilir. Bu sürenin ardından kanıt silinir.

Kimler görebilir: uygulama üzerinden kimse. Bu veriler teknik olarak öyle saklanır ki ne kullanıcı alanında ne de yönetim alanında erişilebilir — yalnızca gerçekten böyle bir kanıta ihtiyaç duyulduğunda ortaya çıkarılırlar.

Hiç bir şey satın almadıysanız, bu kanıt zaten oluşmaz.

Ayrıca bir veri koruma denetim kurumuna şikâyette bulunabilirsiniz. Bizim için yetkili olan kurum: Hamburg Veri Koruma ve Bilgi Edinme Özgürlüğü Görevlisi (Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit).

Ludwig-Erhard-Str. 22, 20459 Hamburg
Tel. (040) 428 54 – 4040 · Fax (040) 428 54 – 4000
mailbox@datenschutz.hamburg.de · datenschutz.hamburg.de

Bu verileri vermek zorunda mısınız?

Hayır. Ne girdiğinize siz karar verirsiniz. Ancak ilgili formularda istenen bilgiler olmadan formuları doldurabilmemiz mümkün değildir — hizmetin amacı budur.

Yapay zekâ — ne yapar, ne yapmaz

Bir insanla değil, bir yapay zekâ ile konuşuyorsunuz. Sohbeti bir yapay zekâ dil modeli yürütür (Anthropic'in Claude'u). Soruları o sorar, yanıtlarınızı anlar ve bunları resmî formuların alanlarına yazar. Bunu size bildiriyoruz, çünkü AB'nin yapay zekâ tüzüğü (Verordnung (EU) 2024/1689, Art. 50) bunu gerektiriyor — ve kişisel bilgilerinizi vermeden önce bunu bilmeniz gerektiği için.

Yapay zekâ hiçbir karar vermez. O sadece doldurur. Başvurunuz hakkında yalnızca kurum karar verir. Art. 22 DSGVO anlamında otomatik bir karar verme söz konusu değildir: Bir şeye hak kazanıp kazanmadığınızın incelenmesi yok, kişiliğinizin değerlendirilmesi yok, ret yok, onay yok.

Lütfen sonucu kontrol edin. Bir yapay zekâ bir şeyi yanlış anlayabilir veya yanlış alana yazabilir. Bu yüzden indirmeden önce doldurulmuş formuların bir ön izlemesini size her zaman gösteriyoruz. Başvuruyu kuruma veren kişi sizsiniz — ve içinde ne yazdığını önceden okumuş olmanız gerekir.

Bunun için yapmadığımız şey: Doldurulmuş formularları „yapay zekâ tarafından oluşturuldu" olarak işaretlemiyoruz. İçlerinde sizin kendi bilgileriniz var, sadece doğru alanlara aktarılmış olarak — yapay zekânın uydurduğu bir içerik yok. Böyle bir not ayrıca kurumda, başvurunuza başka birinin müdahale ettiği gibi yanlış bir izlenim oluşturabilir.

Bu sırada hangi verilerin Anthropic'e gittiği ve orada bunlarla ne olduğu, yukarıda „Verilerinizi bizden başka kim görüyor" ve „ABD'ye aktarım" bölümlerinde yazılıdır.

Çerezler ve erişim ölçümü

Reklam veya analiz amaçlı çerez kullanmıyoruz ve davranışınızı ölçmüyoruz. Cihazınızda yalnızca hizmetin işleyişi için gerekli olan saklanır: girişiniz ve güncel başvurunuz. Bunun için § 25 Abs. 2 TDDDG uyarınca onaya ihtiyacımız yok.

Erişim sayımızı nasıl sayıyoruz. Sayfalarımıza kaç kişinin ulaştığını ve hangi sayfaların okunduğunu bilmek istiyoruz. Bunun için yabancı bir analiz aracı kullanmıyoruz — Google Analytics yok, Plausible yok, sayaç pikseli yok. Bunun yerine kendi sunucumuz sayar, hem de mümkün olduğunca tutumlu bir biçimde:

• Yalnızca günlük sayaçlar saklanır: „bu sayfa bugün şu kadar kez açıldı", „bugün şu kadar erişim bir arama motoru üzerinden geldi". Tek bir ziyarete ait bir kayıt yoktur.
• Bize hangi sayfa üzerinden geldiğinizden yalnızca internet sitesinin adını (örneğin google.com) saklıyoruz — asla arama sorgunuzu ve asla tam adresi.
• Açılan sayfanın adresinden soru işaretinden sonraki her şeyi kaldırıyoruz ve kimlik numaralarını (örneğin bir belgenin numarasını) birleştiriyoruz.
• Bir günün ziyaretçilerini iki kez saymamak için, IP adresinizden, tarayıcı tanımlayıcınızdan, gizli bir ekten ve bugünün tarihinden geri hesaplanamayan bir kontrol toplamı oluşturuyoruz. Tarih de içinde olduğu için yarın tamamen başka bir kontrol toplamı çıkar: Sizi birden fazla gün boyunca yeniden tanıyamayız — geriye dönük olarak da tanıyamayız. Bu kontrol toplamlarını iki gün sonra, günlük sayaçları 400 gün sonra siliyoruz.
• Sayım için cihazınızda hiçbir şey saklanmaz ve hiçbir şey okunmaz — çerez yok, tanımlayıcı yok. Bu yüzden bunun için ne onayınıza ne de bir çerez uyarısına ihtiyacımız var.

Hukuki dayanak, kendi hizmetimizin erişimini bilmeye yönelik meşru menfaatimizdir (Art. 6 Abs. 1 lit. f DSGVO).

Değişiklikler

Hizmet değiştiğinde bu açıklamayı da uyarlıyoruz. Yukarıda belirtilen tarihli sürüm geçerlidir.