Gizlilik Politikası

Lyriot (“biz”, “bize”) gizliliğinizi korumayı taahhüt eder. Bu politika, Genel Veri Koruma Tüzüğü (GDPR) ve yürürlükteki Fransız mevzuatı uyarınca kişisel verilerinizi nasıl topladığımızı, kullandığımızı, paylaştığımızı ve koruduğumuzu açıklar.

Aşağıdaki veri kategorilerini topluyoruz:

• Kayıt verileri: ad soyad, e-posta adresi, şifrelenmiş parola (bcrypt), şehir, ülke, cinsiyet, doğum tarihi, telefon numarası (isteğe bağlı).
• Profil verileri: profil fotoğrafı (Cloudflare R2'de saklanır), tanıtım yazısı, ilgi alanları.
• Etkinlik verileri: oluşturduğunuz ve katıldığınız etkinlikler, bekleme listesi kayıtları, yayımlanan yorumlar, tepkiler, QR kodla giriş kayıtları, karşılıklı mesajlar (içerik ve tarih), arkadaşlıklar, mesajların okunma durumu (okundu bilgisi), kazanılan başarımlar, etkinlik serileri, davet kodu ve davet edilenlerin listesi.
• Oyunlaştırma verileri: kaynağına göre biriken puanlar, mevcut rütbe, sıralama geçmişi, etkin yükseltmeler ve bunların bitiş tarihi, puan cüzdanının bakiyesi ve geçmişi.
• Ödeme verileri: işlem geçmişi (abonelikler, ücretli etkinlikler, yükseltmeler), etkin abonelik ve yenileme tarihi. Banka ve kart verileri yalnızca Stripe tarafından işlenir; bunları asla saklamayız.
• Düzenleyici verileri (Stripe Connect): ödeme alan düzenleyiciler için kimlik doğrulama verilerini doğrudan Stripe toplar: kimlik (ad soyad, doğum tarihi, taranmış kimlik belgesi), tam posta adresi, banka bilgileri (IBAN veya hesap numarası) ve varsa şirket bilgileri (unvan, vergi numarası). Bu veriler Stripe'ın gizlilik politikasına tabidir.
• Konum verileri: haritayı göstermek ve yakınlık aramasını mümkün kılmak için bir etkinlik oluşturulurken girilen GPS koordinatları (enlem/boylam). Konumunuzu asla sürekli olarak toplamayız. Cihazınızda konum iznini daha önce verdiyseniz, yaklaşık on kilometreye yuvarlanan konumunuz şehir önerilerini sıralamak için de kullanılır; hesabınıza kaydedilmez.
• Başvuru verileri: /careers/apply üzerinden gönderilen ve Cloudflare R2'de (“resumes” kovası) saklanan özgeçmiş, ön yazı ve LinkedIn adresi. En fazla 2 yıl saklanır.
• İletişim verileri: /contact formu aracılığıyla gönderilen mesajların adı, e-posta adresi ve içeriği.
• Teknik veriler: IP adresi, tarayıcı türü, ziyaret edilen sayfalar, bağlantı tarihi ve saati, oturum tanımlayıcısı (NextAuth), anlık bildirim belirteçleri (Firebase).

Verileriniz şu amaçlarla kullanılır:

• Hizmetlerimizi sunmak, sürdürmek ve geliştirmek
• Kimliğinizi doğrulamak ve hesabınızı korumak (e-posta ve parolayla veya Google OAuth ile giriş)
• Sizi ilgilendiren etkinlikleri, profilleri ve sıralamaları göstermek
• Ödemeleri Stripe aracılığıyla işlemek (abonelikler, ücretli etkinlikler, yükseltmeler)
• Ücretli etkinlik düzenleyicilerine ödemeleri Stripe Connect üzerinden aktarmak
• Bildirim göndermek (Resend ile e-posta, Firebase ile anlık bildirim)
• Zamanlanmış görevlerle (cron) her 15 dakikada bir otomatik puan vermek
• Kullanıcı rütbelerini otomatik olarak hesaplamak ve güncellemek
• Yinelenen etkinliklerin tekrarlarını oluşturmak (haftalık, aylık vb.)
• Etkinlik ödemelerini tahsil etmek ve düzenleyicilere aktarmak
• Haftalık, aylık ve yıllık sıralamaları düzenli aralıklarla sıfırlamak
• Davet programının koşullarını doğrulamak (kötüye kullanımın önlenmesi)
• Çevrimiçi durumunuzu ve son etkinliğinizi arkadaşlarınıza göstermek
• İçerik denetimini ve şikâyetlerin ele alınmasını mümkün kılmak
• Dolandırıcılığı, kötüye kullanımı ve çoklu hesapları önlemek
• Yasal ve muhasebeye ilişkin yükümlülüklerimizi yerine getirmek

Verilerinizi aşağıdaki hukuki dayanaklarla işliyoruz:

• Sözleşmenin ifası: yararlandığınız Lyriot hizmetlerini sunabilmek için (hesap, etkinlikler, ödemeler, mesajlaşma)
• Meşru menfaat: platformu geliştirmek, dolandırıcılığı önlemek, güvenliği sağlamak, çevrimiçi durumu göstermek ve sıralamaları yürütmek için
• Açık rıza: anlık bildirimler için (ayarlardan istediğiniz zaman geri alınabilir) ve isteğe bağlı ticari iletiler için
• Hukuki yükümlülük: yürürlükteki mevzuata, özellikle muhasebe yükümlülüklerine (5 yıl saklama) ve adli makamların taleplerine uymak için

Kişisel verilerinizi asla satmayız. Yalnızca teknik hizmet sağlayıcılarımızla ve hizmeti sunmak için gereken ölçüde paylaşırız:

• Stripe: ödemelerin işlenmesi (abonelikler, ücretli etkinlikler, yükseltmeler) ve düzenleyicilere Stripe Connect üzerinden ödeme aktarımı — Stripe'ın politikası
• OVH: PostgreSQL veritabanının barındırılması (VPS, Fransa); Cloudflare R2: dosyaların saklanması (profil fotoğrafları, özgeçmişler)
• Resend: işlem e-postalarının gönderimi (kayıt onayı, parola sıfırlama, etkinlik bildirimleri)
• Mapbox: etkinlik konumu ve yakınlık araması için etkileşimli haritaların gösterimi
• Photon (komoot) ve Nominatim (OpenStreetMap Foundation, veriler Birleşik Krallık ve Hollanda'da): yazarken şehir önerileri; Nominatim yalnızca Photon yanıt vermezse kullanılır. Sunucularımız onlara yalnızca yazılan metni ve Photon için yaklaşık bir konumu iletir: ülkenizin merkezi veya konum iznini daha önce verdiyseniz yaklaşık on kilometreye yuvarlanan konumunuz. Adınız, IP adresiniz ve hesabınız onlara asla iletilmez.
• Firebase (Google): cihazlarınıza anlık bildirim gönderimi (etkinleştirdiyseniz)
• Google OAuth: Google ile girişi seçerseniz adınız, e-posta adresiniz ve Google profil fotoğrafınız Lyriot'ya aktarılır
• Yetkili makamlar: kanunun, bir mahkeme kararının ya da meşru haklarımızın savunulmasının gerektirdiği hâllerde

Bazı hizmet sağlayıcılar Avrupa Birliği dışında yerleşiktir (Amerika Birleşik Devletleri'nde Firebase/Google, Stripe). Bu aktarımlar şunlarla güvence altına alınmıştır:

• Avrupa Komisyonu tarafından kabul edilen Standart Sözleşme Hükümleri
• Komisyonun yeterlilik kararları (örneğin Stripe ve Google için AB-ABD Veri Gizliliği Çerçevesi)
• GDPR'ın 46. maddesinde öngörülen uygun güvenceler

Verilerinizi hesabınız etkin kaldığı sürece saklarız. Hesabınızı silerseniz, yasal bir yükümlülük engel olmadıkça veriler 30 gün içinde silinir:

• İşlem verileri: 5 yıl (Fransız muhasebe yükümlülüğü)
• Başvuru verileri (özgeçmişler, mektuplar): en fazla 2 yıl
• Teknik kayıtlar: 12 ay
• Denetim ve yaptırım geçmişi: süresiz (güvenlik ve kötüye kullanımın önlenmesi)
• Silinen özel mesajlar: üst veriler (tarih, katılımcılar) içerik silindikten sonra da saklanabilir

GDPR uyarınca aşağıdaki haklara sahipsiniz:

• Erişim hakkı: hakkınızda tuttuğumuz verileri görmek
• Düzeltme hakkı: hatalı verilerinizi düzeltmek (doğrudan Ayarlar'dan veya bizimle iletişime geçerek)
• Silme hakkı: hesabınızı Ayarlar → Hassas bölge üzerinden silmek (30 gün içinde işleme alınır)
• Veri taşınabilirliği hakkı: verilerinizin bir kopyasını yapılandırılmış bir biçimde almak
• İtiraz hakkı: belirli işlemlere itiraz etmek (örneğin ticari iletiler veya çevrimiçi durum)
• Kısıtlama hakkı: belirli hâllerde işlemenin durdurulmasını istemek
• Otomatik kararlara ilişkin haklar: otomatik işlemler (puan verilmesi, rütbe hesaplaması, davetlerin doğrulanması) hakkında bilgilendirilmek ve sonucuna itiraz etmek

Bu hakları kullanmak için: iletişim formu. Ayrıca CNIL nezdinde şikâyette bulunabilirsiniz.

Uygulanan teknik ve idari tedbirler:

• Aktarım hâlindeki tüm iletişimin şifrelenmesi (HTTPS/TLS)
• Parolaların bcrypt ile şifrelenmesi (asla açık metin olarak saklanmaz)
• Verilere erişimin en az yetki ilkesine göre sınırlandırılması
• Dosyaların Cloudflare R2'de güvenli saklanması (geçici imzalı bağlantı ile erişim)
• Tüm formlarda CSRF koruması (NextAuth belirteci)
• Yönetim işlemlerinin kayıt altına alınması
• Veritabanının düzenli yedeklenmesi
• Veri ihlali hâlinde ilgili kişiler, GDPR'ın öngördüğü üzere 72 saat içinde bilgilendirilir

Platformun çalışması için gerekli teknik çerezleri kullanıyoruz (kullanıcı oturumu, CSRF koruması). Ayrıca tercihlerinizi hatırlamak için tarayıcınızın yerel deposunu kullanıyoruz (açık veya koyu tema, görüntüleme para birimi, dil): bu veriler cihazınızdan asla çıkmaz. Ayrıntılar için çerez politikamıza bakın.

Lyriot, Fransız veri koruma kanununun 7-1. maddesi uyarınca 15 yaş ve üzeri kişilere açıktır. Mevzuatı farklı bir yaş belirleyen ülkelerde (örneğin COPPA uyarınca Amerika Birleşik Devletleri'nde 13 yaş veya bazı AB üye devletlerinde 16 yaş) daha koruyucu olan yaş uygulanır. Gerekli yaşa ulaşmamış küçüklerin verilerini bilerek toplamayız. Böyle bir küçüğün hesap açtığını düşünüyorsanız derhâl bizimle iletişime geçin.

Avrupa GDPR'ına ek olarak Lyriot, ikamet ettiğiniz ülkeye göre aşağıdaki veri koruma düzenlemelerine uyar:

• Kaliforniya (CCPA/CPRA): Kaliforniya'da ikamet ediyorsanız California Consumer Privacy Act ve California Privacy Rights Act uyarınca ek haklara sahipsiniz: hangi kişisel verilerin toplandığını öğrenme hakkı, silme hakkı, verilerin satışına itiraz hakkı (verilerinizi satmıyoruz) ve bu hakları kullandığınız için ayrımcılığa uğramama hakkı. Bunları kullanmak için bize contact@lyriot.com adresinden yazın.
• Birleşik Krallık (UK GDPR): Brexit sonrası Birleşik Krallık GDPR'ına uyuyoruz. Denetim makamı ICO'dur (Information Commissioner's Office). Haklarınız Avrupa GDPR'ındakilerle eşdeğerdir.
• Brezilya (LGPD): Lei Geral de Proteção de Dados Pessoais uyarınca erişim, düzeltme, silme, taşınabilirlik ve itiraz haklarına sahipsiniz. Yetkili makam ANPD'dir (Autoridade Nacional de Proteção de Dados).
• Kanada (PIPEDA + 25 sayılı Kanun): Kişisel Bilgilerin Korunması ve Elektronik Belgeler Kanunu'na (PIPEDA) ve Québec'te 25 sayılı Kanun'a (kişisel bilgilerin korunmasına ilişkin yasal hükümleri güncelleyen kanun) uyuyoruz. Makamlar: OPC (federal) ve CAI (Québec).
• Avustralya (Privacy Act 1988): Avustralya Gizlilik Kanunu'na ve Australian Privacy Principles'a uyuyoruz. Yetkili makam OAIC'dir (Office of the Australian Information Commissioner).
• Japonya (APPI): Kişisel Bilgilerin Korunması Kanunu (個人情報の保護に関する法律) uyarınca APPI yükümlülüklerini yerine getiriyoruz. Yetkili makam PPC'dir (Personal Information Protection Commission / 個人情報保護委員会).
• Çin (PIPL): Kişisel Bilgilerin Korunması Kanunu (个人信息保护法) uyarınca verilerinizi hukuka uygunluk, meşruiyet ve gereklilik ilkelerine göre işliyoruz. Yetkili makam CAC'tir (Cyberspace Administration of China / 国家互联网信息办公室).
• Güney Kore (PIPA): Kişisel Bilgilerin Korunması Kanunu (개인정보 보호법) uyarınca erişim, düzeltme, silme ve itiraz haklarına sahipsiniz. Yetkili makam PIPC'dir (Personal Information Protection Commission / 개인정보보호위원회).
• Hindistan (DPDP Act 2023): Digital Personal Data Protection Act 2023 uyarınca dijital kişisel verilerinize ilişkin bilgi edinme, düzeltme ve silme hakkına sahipsiniz. Yetkili kurul Data Protection Board of India'dır (MeitY tarafından kurulmaktadır).
• Türkiye (KVKK): 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca erişim, düzeltme ve silme haklarına sahipsiniz. Yetkili makam KVKK'dır (Kişisel Verileri Koruma Kurumu).
• Endonezya (UU PDP): 27/2022 sayılı Kişisel Verilerin Korunması Kanunu (Undang-Undang Perlindungan Data Pribadi) uyarınca haklarınız arasında erişim, düzeltme ve silme yer alır. Yetkili kurum Kementerian Komunikasi dan Informatika'dır.
• Tayland (PDPA): Personal Data Protection Act B.E. 2562 (2019) uyarınca erişim, taşınabilirlik, silme ve itiraz haklarına sahipsiniz. Yetkili kurul PDPC'dir (Personal Data Protection Committee).
• Suudi Arabistan (PDPL): Personal Data Protection Law (نظام حماية البيانات الشخصية) uyarınca erişim ve düzeltme haklarına sahipsiniz. Yetkili makam SDAIA'dır (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Ülkelere göre denetim otoriteleri :

Bu politikayı dilediğimiz zaman güncelleyebiliriz. Esaslı bir değişiklik olması hâlinde sizi e-postayla veya platformda bir bildirimle haberdar ederiz. Bu bildirimin ardından Lyriot'yu kullanmaya devam etmeniz değişiklikleri kabul ettiğiniz anlamına gelir.

Bu politika Fransızca olarak düzenlenmiştir. Diğer dillerdeki sürümler yalnızca bilgilendirme amacıyla sunulan çevirilerdir; herhangi bir farklılık hâlinde yalnızca Fransızca sürüm hukuken bağlayıcıdır.

Veri sorumlusu: Lyriot, Fransa.

Kişisel verilerinize ilişkin her türlü soru, GDPR haklarınızı kullanmak (erişim, düzeltme, silme, taşınabilirlik, itiraz, kısıtlama) veya verilerinizin işlenmesine ilişkin her türlü şikâyet için: iletişim formu ya da doğrudan contact@lyriot.com.

Ayrıca yetkili denetim makamına şikâyette bulunabilirsiniz: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Paris.