Gizlilik Politikası

BirdSings'in kişisel verilerinizi nasıl topladığı, işlediği ve koruduğu — dünya genelinde geçerlidir; AB/AEA, Birleşik Krallık, İsviçre, Kaliforniya, Brezilya ve diğer ülkelerde ek haklar tanınır.

1. Biz kimiz

BirdSings («biz»), https://birdsings.com adresindeki mağazayı işletir. Veri sorumlusu: privacy@birdsings.com. AB/UK temsilcisi ve veri koruma yetkilisine yapılacak başvurular da aynı adresi kullanır.

2. Topladığımız veriler

• Sipariş verileri: e-posta, fatura adı, ülke, satın alınan ses ID'leri, işlem ID. Yasal dayanak: sözleşmenin ifası (GDPR md. 6(1)(b); KVKK md. 5(2)(c)).
• Operasyonel veriler: dil, tema, sepet (tarayıcınızın localStorage'unda, oturum açmadıkça sunucumuzda değil). Yasal dayanak: meşru menfaat (md. 6(1)(f); KVKK md. 5(2)(f)).
• Bülten: e-posta ve açık rıza. Yasal dayanak: açık rıza. İstediğiniz an geri alabilirsiniz.
• Web analytics: şu anda etkin değil. Opsiyonel analiz eklenirse yalnızca opt-in ile ve bu politika güncellendikten sonra çalışır.
• Dolandırıcılık önleme sinyalleri: hash'lenmiş IP, IP'den türetilen ülke, ödeme anındaki User-Agent. Yasal dayanak: dolandırıcılığın önlenmesinde meşru menfaat (GDPR Giriş 47).

3. Toplamadığımız veriler

• Kart verisi tutmuyoruz — Stripe tüm kart işlemlerini kendi PCI-DSS Seviye 1 ortamında yürütür.
• Verinizi satmıyor, kiralamıyor ya da takas etmiyoruz. (Kaliforniya için: CCPA/CPRA anlamında «sale» veya «share» yok.)
• Başka sitelerde sizi izlemiyor, reklam izleyicisi kullanmıyoruz.
• Bilerek 16 yaş altından veri toplamıyoruz. Toplanmışsa silmek için bize yazın.

4. Çerezler

Üç kategori:

• Zorunlu (her zaman açık): sepet, dil, tema. Site bunlarsız çalışmaz — devre dışı bırakılamaz.
• Analytics: şu anda yüklenmiyor. Opsiyonel istatistik çerezi ayarlanmıyor.
• Pazarlama: şimdilik yok. Eklenirse açık rıza gerekecek.

Tercihinizi onay çerezini silerek ya da bize yazarak istediğiniz an değiştirebilirsiniz.

5. Korsanlık önleme jetonları

Her satın almada siparişinize bağlı bir indirme jetonu üretiriz. Jeton başarılı ilk indirmenin IP adresini ve User-Agent'ını kaydeder; bu hesap paylaşımını önlemek içindir. IP yalnızca dolandırıcılık önleme için işlenir ve jetonun süresi dolduktan 30 gün sonra silinir.

6. Haklarınız

AB, AEA, Birleşik Krallık veya İsviçre'de ikamet ediyorsanız (GDPR / UK GDPR / FADP):

• Erişim — verinizin bir kopyası.
• Düzeltme.
• Silme («unutulma hakkı»).
• Veri taşınabilirliği.
• Meşru menfaate dayalı işleme için kısıtlama ve itiraz.
• Bülten rızasını istediğiniz an geri alma.
• Yalnızca otomatik karara tabi tutulmama (uygulamıyoruz).

Türkiye'de ikamet ediyorsanız (KVKK md. 11): kişisel verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, amaca uygun kullanımı sorgulama, düzeltme, silinme, üçüncü kişilere bildirim, otomatik analizlere itiraz ve zarar halinde tazminat hakları.

Kaliforniya'da ikamet ediyorsanız (CCPA/CPRA): bilme, silme, düzeltme, satıştan/paylaşımdan vazgeçme (satmıyor/paylaşmıyoruz) ve ayrımcılığa uğramama hakkı.

Brezilya'da ikamet ediyorsanız (LGPD) veya benzer mevzuata tabi başka bir ülkedeyseniz, erişim, düzeltme, silme, taşınabilirlik ve itiraz haklarınız bulunur.

Talepleri privacy@birdsings.com adresine iletin. 30 gün içinde yanıtlarız (Kaliforniya'da uzatmaya izin verilen hallerde 45 gün).

7. Saklama

• Sipariş kayıtları: 10 yıl (sevkiyat yaptığımız ülkelerin vergi mevzuatları içindeki en uzun süre; yerel asgari süreler daha kısa). Süre sonunda silinir veya anonimleştirilir.
• İndirme jetonları: 12 saat aktif + 30 gün denetim kaydı.
• Bülten aboneleri: aboneliğiniz sona erinceye kadar, ardından anonimleştirme.
• Dolandırıcılık önleme sinyalleri: 90 gün; teyitli chargeback uyuşmazlığında 24 ay.

8. Uluslararası aktarımlar

Verileriniz, ABD dahil ülkeniz dışında işlenebilir. AB Standart Sözleşme Maddeleri (2021/914), UK Uluslararası Veri Aktarım Eki, İsviçre FDPIC maddeleri ve uygun olduğunda her sağlayıcının sertifikalı aktarım mekanizmalarına dayanırız.

9. Veri işleyenler

• Stripe (ödeme) — İrlanda/ABD. SCC + DPF.
• Cloudflare Workers / Static Assets / R2 (barındırma, edge dağıtımı ve dosya depolama).
• Resend (işlemsel e-posta) — ABD. SCC + DPF.

10. Güvenlik

Aktarımda TLS 1.3, beklemede AES-256. Stripe kart verilerini yönetir. Üretim sistemlerine erişim yazılı gizlilikle yükümlü yetkili personelle sınırlıdır. Gerekli olduğunda, kişisel veri ihlalinden haberdar olmamızı izleyen 72 saat içinde ilgililere ve yetkili otoriteye bildirim yaparız.

11. Şikâyet

Yerel denetim otoritenize başvurabilirsiniz. Örnekler:

• Türkiye — KVKK (kvkk.gov.tr).
• AB/AEA — ikamet ülkenizin denetim otoritesi (liste: edpb.europa.eu).
• Birleşik Krallık — ICO (ico.org.uk).
• İsviçre — FDPIC (edoeb.admin.ch).
• Kaliforniya — Attorney General (oag.ca.gov/privacy).
• Brezilya — ANPD (gov.br/anpd).

12. Değişiklikler

Politikayı güncelleyebiliriz. Esaslı değişiklikleri yürürlüğe girmeden en az 30 gün önce site bandında duyururuz; kanun daha kısa süre öngörmedikçe.