Gizlilik Politikası
Bu politika, Rostalo'yu kullanırken kişisel verilerinizin nasıl işlendiğini sade bir dille anlatır. Yasal dayanaklar, veri kategorileri ve haklarınızın ayrıntısı için KVKK Aydınlatma Metni'ne bakınız; çelişki hâlinde aydınlatma metni esastır.
1. Kim veri işliyor?
Rostalo — gerçek kişi hizmet sağlayıcı: Burak Dündar
Adres: İstanbul / Sancaktepe · E-posta: [email protected]
Rostalo bir şirket değil, gerçek kişi tarafından sunulan bir hizmettir. Bu nedenle MERSİS numarası ve KEP adresi bulunmaz.
Adres hakkında dürüst not: yukarıdaki adres ilçe düzeyindedir ve yazılı başvuru için tebligata elverişli bir açık adresin yerini tam olarak tutmaz. Başvuru mevzuatı, sistemde kayıtlı e-posta adresi üzerinden yapılan başvuruyu da geçerli saydığı için işleyen ve garanti edilen kanal [email protected] adresidir; yazılı başvuru için tam adres talep üzerine bildirilir. Ayrıntı: Aydınlatma Metni §1.1.
2. Üç farklı kullanıcı, üç farklı veri
| Siz kimsiniz? | Hangi veriniz işleniyor? | Kim sorumlu? |
|---|---|---|
| Site ziyaretçisi rostalo.com'u geziyorsunuz | Site çerez kullanmıyor ve size bir kimlik atamıyor. Yalnızca kişiyi belirlenebilir kılmayan toplu kullanım sayımları (olay adı, sayfa yolu, ülke, cihaz sınıfı) kendi altyapımızda tutulur; ziyaretçi tanımlayıcısı oluşturulmaz ve ham IP adresi saklanmaz. Ayrıntı: §7. | Rostalo |
| Hesap sahibi / yönetici işletmeniz için hesap açtınız | Ad, e-posta, işletme adı, oturum kayıtları, abonelik durumu | Rostalo |
| Çalışan işvereniniz sizi sisteme ekledi | Personel kartı, vardiyalar, sertifikalar, görev doğrulama sonuçları | İşvereniniz. Rostalo yalnızca onun talimatıyla işleyen taraftır. |
3. Neyi işlemiyoruz
Bunlar politika sözü değil, sistemin yapısal sınırıdır — veri modelinde karşılıkları yoktur:
- Biyometrik veri yok. Parmak izi veya yüz tanımayla mesai takibi sunulmaz; böyle bir alan yoktur.
- Ham konum yok. Görev doğrulamada enlem/boylam kaydedilmez; yalnız "noktadaydı / değildi" sonucu tutulur ve o da 90 gün sonra silinir.
- T.C. kimlik numarası ham hâlde yok. Yalnızca geri döndürülemez özeti (HMAC-SHA256 + gizli anahtar) saklanır. Bu şifreleme değildir; geri çevrilemez.
- Ücret ve banka bilgisi yok. Bordro tarafında yalnızca çalışılan saat bilgisi tutulur.
- Kart bilgisi yok. Ödeme adımı Polar.sh üzerinde yürür; kart verisi Rostalo'ya hiç ulaşmaz.
- Reklam ve profilleme yok. Veriniz reklam amacıyla kullanılmaz, üçüncü taraflara satılmaz veya pazarlama için paylaşılmaz.
4. Verinizi nerede tutuyoruz
Rostalo, Cloudflare altyapısında çalışır. Veritabanları ve dosya deposu Avrupa Birliği bölgesinde oluşturulur (jurisdiction:'eu') ve bu bölge sonradan değiştirilemez. Her müşteri işletmenin verisi kendi ayrı veritabanındadır; işletmeler ortak bir tabloda karışmaz.
Bunun hukuki sonucu: Veri Türkiye dışında tutulduğu için KVKK m.9 yurt dışına aktarım rejimi uygulanır. Bu, "AB'de duruyor, o hâlde güvenli" demekle geçiştirilemez: Türkiye bakımından Avrupa Birliği için bir yeterlilik kararı bulunmamaktadır, dolayısıyla aktarımın Kanun'un öngördüğü uygun güvencelerden birine dayandırılması gerekir.
Bugün itibarıyla bu güvence henüz kurulmamıştır: alt işleyenlerle standart sözleşme imzalanmamış ve Kurum'a bildirim yapılmamıştır; süreç yürütülmektedir. Bunu size olduğu gibi bildiriyoruz. Mekanizma yürürlüğe girdiğinde bu bölüm güncellenir. Ayrıntı: Aydınlatma Metni §7.2.
Ayrıca dürüst bir not: verinin saklandığı bölge AB olarak sabittir, ancak isteklerin işlendiği sunucu konumu belirli bir ülkeye sabitlenmiş değildir. Daha önce iç dokümanlarda yer alan "işlem Türkiye'ye sabitlenmiştir" ifadesi doğru değildi ve düzeltilmiştir.
5. Kimlerle paylaşıyoruz
Verinizi satmıyoruz. Yalnızca hizmeti çalıştırmak için gereken sağlayıcılarla ve yasal zorunluluk hâlinde yetkili makamlarla paylaşırız.
| Sağlayıcı | Rolü |
|---|---|
| Cloudflare | Barındırma, veritabanı, dosya deposu, kuyruk, erişim kontrolü, bot koruması |
| Auth0 (Okta) | Yönetici girişinde kimlik doğrulama |
| Resend | İşlem e-postaları (giriş bağlantısı, uyarı, bildirim) |
| Polar Software, Inc. | Kayıtlı satıcı (Merchant of Record): paket satışı, fatura, ödeme |
Yazı tipleri: Tanıtım sitesinin yazı tipleri Rostalo'nun kendi alan adından sunulur. Tarayıcınız bu amaçla Google'a veya başka bir üçüncü tarafa bağlanmaz. Bu politikanın önceki sürümlerinde yer alan "yazı tipleri Google Fonts üzerinden yüklenir, IP adresiniz Google'a görünür" ifadesi artık geçerli değildir.
Analitik sağlayıcı yok: Kullanım istatistikleri üçüncü taraf bir analitik hizmetine gönderilmez; kendi altyapımızda tutulur (bkz. §7).
6. Ne kadar süre saklıyoruz
Fiilen uygulanan otomatik imha süreleri: görev doğrulama sonuçları 90 gün; olay bildirimlerinin serbest metni 2 yıl sonra anonimleştirilir; personel davet kayıtları ve bildirim okundu işaretleri 180 gün; denetim izi 3 yıl. Doğrulama kodları dakikalar içinde silinir.
Özlük niteliğindeki kayıtlar (personel kartı, sertifika, vardiya ve puantaj geçmişi) için otomatik imha bilinçli olarak kapalıdır: İş Kanunu, SGK ve vergi mevzuatı daha uzun saklama zorunluluğu getirebilir ve erken imha ücret uyuşmazlığında çalışanın aleyhine sonuç doğurur. Bu süreler avukat onayına bağlı açık bir kalemdir. Ayrıntı: Aydınlatma Metni §8.
Deneme hesabı: 14 günlük deneme sonunda hesap askıya alınır, veri 7 gün daha korunur, ardından kalıcı olarak silinir. Süreler ekranda ve e-postada bildirilir.
Hesap kapanışı: Bir işletmenin verisinin silinmesi, o işletmeye ait veritabanının tamamının kaldırılması, dosya deposundaki belgelerinin temizlenmesi ve kayıt anahtarlarının silinmesi demektir. İşlem tarih ve kapsamıyla kütüğe yazılır.
7. Çerezler ve kullanım ölçümü
Tanıtım sitesi (rostalo.com) hiç çerez kullanmaz. Uygulama tarafında yalnızca oturumun sürmesi için zorunlu olan çerezler kullanılır; analitik veya reklam çerezi yoktur. Ayrıntı: Çerez Politikası.
Tanıtım sitemizde çerez tabanlı analitik ve üçüncü taraf izleme araçları kullanılmaz. Sayfa kullanımına dair yalnızca kişiyi belirlenebilir kılmayan toplu sayımlar (olay adı, sayfa yolu, ülke, cihaz sınıfı) kendi altyapımızda tutulur; ziyaretçiye kimlik atanmaz ve IP adresi saklanmaz. IP adresi yalnızca isteğin geldiği an kötüye kullanımı sınırlamak için kullanılır, tek yönlü olarak özetlenir ve istatistik satırına yazılmaz. Bu sayımlar en fazla 90 gün saklanır. Bu nedenle bir çerez onay bandı da göstermiyoruz. Ayrıntı: Aydınlatma Metni §9.
8. Güvenlik
- Müşteri başına ayrı veritabanı (yanlış müşterinin verisine erişim yapısal olarak engellenir),
- Rol tabanlı yetkilendirme — saha personeli tüm personel listesini veya isimli sertifika uyarılarını göremez,
- Tüm trafik HTTPS; tarayıcı güvenlik başlıkları uygulanır,
- Gizli anahtarlar yalnızca sunucu tarafında; anahtar deposunda kişisel veri tutulmaz,
- Kritik işlemler için değiştirilemez denetim izi.
Hiçbir sistem mutlak güvenlik sağlamaz. Bir kişisel veri ihlali olduğunda, veri sorumlusu sıfatıyla sorumlu olduğumuz veriler bakımından Kurul'un belirlediği usul ve süreler içinde bildirim yapılır; işleyen sıfatıyla tuttuğumuz veriler bakımından ilgili müşteri işletme gecikmeksizin bilgilendirilir.
9. Çocuklara ilişkin
Rostalo bir iş yeri aracıdır ve 18 yaşından küçüklere yönelik değildir. Sisteme kendiliğinden kayıt olan bir kullanıcının 18 yaşından büyük olması beklenir. İşverenin sisteme eklediği çalışanların istihdam mevzuatına uygunluğu işverenin sorumluluğundadır.
10. Haklarınız
KVKK m.11 kapsamındaki haklarınızın tam listesi ve başvuru formu Aydınlatma Metni §11-12'dedir. Kısaca: verinizin işlenip işlenmediğini öğrenebilir, bilgi isteyebilir, düzeltilmesini veya silinmesini talep edebilir, aktarıldığı üçüncü kişileri sorabilir ve zararınızın giderilmesini isteyebilirsiniz. Başvurular 30 gün içinde sonuçlandırılır.
Bir işletmenin çalışanıysanız başvurunuzu işvereninize yapmanız gerekir; Rostalo o veriler bakımından işleyendir ve talebi işverene yönlendirir.
11. Değişiklikler
Bu politika güncellenebilir. Güncellemeler bu sayfada tarihiyle birlikte yayımlanır; önemli değişikliklerde hesap sahiplerine e-posta ile bilgi verilir. Her sürüm ayrı arşivlenir.
12. İletişim
Gizlilikle ilgili her soru için: [email protected]
Bu sürüm: v1.0 · 30 Ağustos 2026.