BIRDSings

Gizlilik Politikası

BirdSings'in kişisel verilerinizi nasıl topladığı, işlediği ve koruduğu — dünya genelinde geçerlidir; AB/AEA, Birleşik Krallık, İsviçre, Kaliforniya, Brezilya ve diğer ülkelerde ek haklar tanınır.

1. Biz kimiz

BirdSings («biz»), https://birdsings.com adresindeki mağazayı işletir. Veri sorumlusu: privacy@birdsings.com. AB/UK temsilcisi ve veri koruma yetkilisine yapılacak başvurular da aynı adresi kullanır.

2. Topladığımız veriler

• Sipariş verileri: e-posta, fatura adı, ülke, satın alınan ses ID'leri, işlem ID. Yasal dayanak: sözleşmenin ifası (GDPR md. 6(1)(b); KVKK md. 5(2)(c)).
• Operasyonel veriler: dil, tema, sepet (tarayıcınızın localStorage'unda, oturum açmadıkça sunucumuzda değil). Yasal dayanak: meşru menfaat (md. 6(1)(f); KVKK md. 5(2)(f)).
• Bülten: e-posta ve açık rıza. Yasal dayanak: açık rıza. İstediğiniz an geri alabilirsiniz.
• Analytics (yalnızca tüm çerezleri kabul ederseniz): Google Analytics 4 üzerinden takma adlı sayfa görüntülemeleri; IP anonimleştirme açık (anonymizeIp: true). Demografi yok, reklam kişiselleştirme yok.
• Dolandırıcılık önleme sinyalleri: hash'lenmiş IP, IP'den türetilen ülke, ödeme anındaki User-Agent. Yasal dayanak: dolandırıcılığın önlenmesinde meşru menfaat (GDPR Giriş 47).

3. Toplamadığımız veriler

• Kart verisi tutmuyoruz — Stripe tüm kart işlemlerini kendi PCI-DSS Seviye 1 ortamında yürütür.
• Verinizi satmıyor, kiralamıyor ya da takas etmiyoruz. (Kaliforniya için: CCPA/CPRA anlamında «sale» veya «share» yok.)
• Başka sitelerde sizi izlemiyor, reklam izleyicisi kullanmıyoruz.
• Bilerek 16 yaş altından veri toplamıyoruz. Toplanmışsa silmek için bize yazın.

4. Çerezler

Üç kategori:

• Zorunlu (her zaman açık): sepet, dil, tema. Site bunlarsız çalışmaz — devre dışı bırakılamaz.
• Analytics (opt-in): IP anonimleştirmeli GA4. AB/AEA, Birleşik Krallık ve İsviçre'de varsayılan kapalı.
• Pazarlama: şimdilik yok. Eklenirse açık rıza gerekecek.

Tercihinizi onay çerezini silerek ya da bize yazarak istediğiniz an değiştirebilirsiniz.

5. Korsanlık önleme jetonları

Her satın almada siparişinize bağlı bir indirme jetonu üretiriz. Jeton başarılı ilk indirmenin IP adresini ve User-Agent'ını kaydeder; bu hesap paylaşımını önlemek içindir. IP yalnızca dolandırıcılık önleme için işlenir ve jetonun süresi dolduktan 30 gün sonra silinir.

6. Haklarınız

AB, AEA, Birleşik Krallık veya İsviçre'de ikamet ediyorsanız (GDPR / UK GDPR / FADP):

• Erişim — verinizin bir kopyası.
• Düzeltme.
• Silme («unutulma hakkı»).
• Veri taşınabilirliği.
• Meşru menfaate dayalı işleme için kısıtlama ve itiraz.
• Bülten rızasını istediğiniz an geri alma.
• Yalnızca otomatik karara tabi tutulmama (uygulamıyoruz).

Türkiye'de ikamet ediyorsanız (KVKK md. 11): kişisel verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, amaca uygun kullanımı sorgulama, düzeltme, silinme, üçüncü kişilere bildirim, otomatik analizlere itiraz ve zarar halinde tazminat hakları.

Kaliforniya'da ikamet ediyorsanız (CCPA/CPRA): bilme, silme, düzeltme, satıştan/paylaşımdan vazgeçme (satmıyor/paylaşmıyoruz) ve ayrımcılığa uğramama hakkı.

Brezilya'da ikamet ediyorsanız (LGPD) veya benzer mevzuata tabi başka bir ülkedeyseniz, erişim, düzeltme, silme, taşınabilirlik ve itiraz haklarınız bulunur.

Talepleri privacy@birdsings.com adresine iletin. 30 gün içinde yanıtlarız (Kaliforniya'da uzatmaya izin verilen hallerde 45 gün).

7. Saklama

• Sipariş kayıtları: 10 yıl (sevkiyat yaptığımız ülkelerin vergi mevzuatları içindeki en uzun süre; yerel asgari süreler daha kısa). Süre sonunda silinir veya anonimleştirilir.
• İndirme jetonları: 12 saat aktif + 30 gün denetim kaydı.
• Bülten aboneleri: aboneliğiniz sona erinceye kadar, ardından anonimleştirme.
• Dolandırıcılık önleme sinyalleri: 90 gün; teyitli chargeback uyuşmazlığında 24 ay.

8. Uluslararası aktarımlar

Verileriniz, ABD dahil ülkeniz dışında işlenebilir. AB Standart Sözleşme Maddeleri (2021/914), UK Uluslararası Veri Aktarım Eki, İsviçre FDPIC maddeleri ve sertifikalı ABD alıcıları için EU-US Data Privacy Framework'e dayanırız. Stripe, Resend, Netlify ve Google DPF sertifikalıdır.

9. Veri işleyenler

• Stripe (ödeme) — İrlanda/ABD. SCC + DPF.
• Cloudflare R2 (dosya depolama) — AB bölgesi.
• Resend (işlemsel e-posta) — ABD. SCC + DPF.
• Netlify (barındırma) — ABD. SCC + DPF.
• Google Analytics 4 (isteğe bağlı) — IP anonimleştirmeli, yeniden hedefleme yok. DPF.

10. Güvenlik

Aktarımda TLS 1.3, beklemede AES-256. Stripe kart verilerini yönetir. Üretim sistemlerine erişim yazılı gizlilikle yükümlü yetkili personelle sınırlıdır. Gerekli olduğunda, kişisel veri ihlalinden haberdar olmamızı izleyen 72 saat içinde ilgililere ve yetkili otoriteye bildirim yaparız.

11. Şikâyet

Yerel denetim otoritenize başvurabilirsiniz. Örnekler:

• Türkiye — KVKK (kvkk.gov.tr).
• AB/AEA — ikamet ülkenizin denetim otoritesi (liste: edpb.europa.eu).
• Birleşik Krallık — ICO (ico.org.uk).
• İsviçre — FDPIC (edoeb.admin.ch).
• Kaliforniya — Attorney General (oag.ca.gov/privacy).
• Brezilya — ANPD (gov.br/anpd).

12. Değişiklikler

Politikayı güncelleyebiliriz. Esaslı değişiklikleri yürürlüğe girmeden en az 30 gün önce site bandında duyururuz; kanun daha kısa süre öngörmedikçe.