Gizlilik Politikası

1. Veri Sorumlusu

Bu politika; AB Genel Veri Koruma Tüzüğü (GDPR / DSGVO) ve Türkiye 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında hazırlanmıştır.

2. Hangi Verileri Topluyoruz?

2.1 Üyelik Verileri

• Ad, soyad, kullanıcı adı
• E-posta adresi
• Telefon numarası / cep telefonu (hizmet sunumu kapsamındaki iletişim için)
• Şifre (bcrypt ile hash'lenerek saklanır, düz metin asla tutulmaz)
• Hesap oluşturma tarihi ve IP adresi
• Meslek, uzmanlık, tercih edilen şehir (onboarding formundan)

Hukuki dayanak: GDPR Madde 6(1)(b) — sözleşmenin ifası. KVKK Madde 5(2)(c).

2.2 Göç Analizi Formu Verileri

• Doğum yılı, cinsiyet, medeni durum
• Eğitim ve mesleki geçmiş
• Dil seviyeleri
• Mali durum (genel düzey)
• Göç hedefleri ve motivasyon
• Yüklenen belgeler (CV, diplomalar)

Hukuki dayanak: GDPR Madde 6(1)(b); Madde 6(1)(a) — açık rıza. KVKK Madde 5(1).

2.3 İş Başvurusu Verileri

• CV (dosya yükleme)
• Kapak mektubu
• Hedef meslek alanı ve şehir

Hukuki dayanak: GDPR Madde 6(1)(b). KVKK Madde 5(2)(c).

2.4 İşveren Verileri

• Şirket adı, sektör, lokasyon
• Pozisyon bilgileri ve gereksinimler
• İlgili kişinin adı, e-posta ve telefonu

Hukuki dayanak: GDPR Madde 6(1)(b). KVKK Madde 5(2)(c).

2.5 Ödeme Bilgileri

Ödemeler Stripe (Stripe, Inc., ABD) üzerinden işlenir. Kart veya banka bilgileri sistemlerimizde saklanmaz; yalnızca Stripe'ta kalır.

Hukuki dayanak: GDPR Madde 6(1)(b). KVKK Madde 5(2)(c).

2.6 Teknik Veriler

IP adresi, tarayıcı türü, işletim sistemi, ziyaret tarihi/saati. Yalnızca IT güvenliği için gerekli olduğu süre boyunca işlenir.

Hukuki dayanak: GDPR Madde 6(1)(f) — meşru menfaat. KVKK Madde 5(2)(f).

2.7 Otomatik Hatırlatma E-postaları

Bir başvuru süreci başlatıp (örneğin denklik formu veya iş başvurusu) tamamlamadığınız durumlarda, girdiğiniz e-posta adresine tek seferlik bir hatırlatma e-postası gönderilebilir (2–72 saat içinde). Bu e-posta, başvuruyu tamamlamanızı hatırlatmak amacıyla gönderilir; başka hatırlatma gönderilmez.

Bu işlemeye itiraz etmek için info@euvisawork.com adresine e-posta gönderebilirsiniz. Hatırlatma e-postalarında da itiraz hakkınıza ilişkin bilgi yer alır.

Hukuki dayanak: GDPR Madde 6(1)(f) — meşru menfaat (kullanıcı tarafından başlatılan işlemin tamamlanması). KVKK Madde 5(2)(f). Alman hukuku: § 7 Abs. 3 UWG.

3. Verilerin Saklanma Süresi

• Üyelik verileri: Hesap silinene kadar. Hesabınıza 24 ay boyunca hiç giriş yapılmazsa hesap ve verileri otomatik silinir — kullanılmamış krediniz ya da devam eden bir işleminiz varsa silinmez.
• CV dosyaları (yüklediğiniz dosya ile CV oluşturucudaki PDF ve fotoğraf): son kullanımdan (son gönderim, son yükleme ya da son düzenleme) 2 ay sonra otomatik silinir; devam eden başvurunuz varken silinmez. CV oluşturucuda hazırladığınız CV'nin metni hesabınız durdukça saklanır, PDF'i dilediğiniz zaman yeniden oluşturabilirsiniz.
• Denklik (Anerkennung) verileri: Başvuru tamamlandıktan 10 ay sonra belgeleriyle birlikte otomatik silinir
• Analiz formu verileri: Hizmet tamamlandıktan 12 ay sonra otomatik silinir
• Başvuru verileri (ad soyad, iletişim ve meslek bilgileri): 24 ay sonra otomatik silinir
• İşveren verileri: En geç son güncellemeden 24 ay sonra silinir (bkz. 8.7)
• Ödeme kayıtları: Alman vergi mevzuatı uyarınca 8 yıl (§ 147 AO, § 14b UStG)
• Teknik log verileri: IT güvenliği için gerekli olduğu süre boyunca
• Çerez onay kaydı: 3 yıl (ispat yükümlülüğü)
• AI Vize Danışmanı oturumları: 12 ay sonra otomatik silinir
• Instagram/WhatsApp mesaj kayıtları: 12 ay sonra otomatik silinir

4. Verilerinizi Kimlerle Paylaşıyoruz?

Kişisel verileriniz ticari amaçla satılmaz. Yalnızca şu taraflarla paylaşılabilir:

• Supabase (veritabanı ve kimlik doğrulama, AB bölgesi — GDPR uyumlu, SCC Art. 46)
• Vercel (hosting, ABD — SCC Art. 46)
• Stripe (ödeme işleme, ABD — SCC Art. 46)
• Resend (e-posta gönderimi, ABD — SCC Art. 46)
• Anthropic (AI Vize Danışmanı ve belge ön kontrolü için yapay zekâ işleme, ABD — SCC Art. 46; API'ye gönderilen veriler model eğitiminde kullanılmaz)
• Meta Platforms (yalnızca bize Instagram veya WhatsApp üzerinden ulaşırsanız — mesaj içerikleri Meta'nın gizlilik politikasına göre işlenir; mesajlarınız otomatik (yapay zekâ destekli) yanıtlanabilir)
• Onaylı işverenler: Yalnızca CV ve kapak mektubunuz — açık rızanızla
• Yetkili makamlar: Yasal zorunluluk halinde

5. Çerezler (Cookies)

İki kategori çerez kullanıyoruz:

• Zorunlu çerezler: Oturum yönetimi ve kimlik doğrulama — daima aktif, onay gerekmez
• Analitik çerezler: Anonim kullanım istatistikleri (Google Analytics, Google LLC, ABD — SCC Art. 46) — yalnızca açık rızanızla. Onay vermezseniz Google Analytics yüklenmez.

Onayınızı istediğiniz zaman sayfanın altındaki çerez paneli üzerinden geri çekebilirsiniz.

6. Haklarınız — GDPR (Madde 15–22)

• Erişim hakkı (Art. 15): Hangi verilerinizin tutulduğunu öğrenme
• Düzeltme hakkı (Art. 16): Hatalı verilerin düzeltilmesini isteme
• Silme hakkı (Art. 17): Hesap ayarlarınızdan kendiniz silebilir veya talep edebilirsiniz
• Kısıtlama hakkı (Art. 18): İşlemenin sınırlandırılması
• Taşınabilirlik hakkı (Art. 20): Verilerinizi makine okunabilir formatta alma
• İtiraz hakkı (Art. 21): Meşru menfaate dayanan işlemeye itiraz
• Rızayı geri çekme: Her zaman geçerli, geriye dönük etki doğurmaz

Talepler: info@euvisawork.com — 30 gün içinde yanıt.

Yetkili denetim makamı — Baden-Württemberg'de yerleşik özel bir işletme olduğumuz için Baden-Württemberg Eyalet Veri Koruma ve Bilgi Edinme Özgürlüğü Görevlisi (LfDI BW): baden-wuerttemberg.datenschutz.de

7. KVKK Kapsamındaki Haklarınız (Türkiye)

6698 Sayılı KVKK'nın 11. maddesi uyarınca aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• Verilerin işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde/dışında aktarıldığı üçüncü kişileri bilme
• Eksik/yanlış işlenmiş verilerin düzeltilmesini isteme
• KVKK Madde 7 uyarınca silinmesini veya yok edilmesini isteme
• İşlemenin otomatik sistemlerle analiz edilmesi durumunda aleyhte sonuca itiraz etme
• Zararın giderilmesini talep etme

Yurt dışına veri aktarımı: Supabase, Stripe ve Resend ABD merkezli şirketlerdir. Bu şirketlerle veri paylaşımı, GDPR Madde 46 kapsamında Standart Sözleşme Maddeleri (SCC) güvencesiyle gerçekleştirilmektedir. Türk kullanıcılar için bu aktarım KVKK Madde 9 uyarınca açık rızanıza dayanmaktadır (kayıt sırasında alınmaktadır).

KVKK başvuruları için: info@euvisawork.com adresine yazılı olarak iletebilirsiniz. Kişisel Verileri Koruma Kurumu (KVKK): www.kvkk.gov.tr

8. İşveren Veritabanı ve Başvuru Aracılığı („İşveren Bul")

8.1 Hangi işveren verilerini işliyoruz?

„İşveren Bul" hizmetimizde Almanya'da personel arayan şirketlerin kurumsal iletişim bilgilerini işliyoruz: firma adı, sektör, konum, çalışan sayısı, web sitesi ile personelden sorumlu yetkilinin adı, görevi ve iş e-posta adresi. Özel/kişisel iletişim bilgileri işlenmez.

8.2 Verilerin kaynağı (GDPR Madde 14)

Bu veriler ilgili kişilerden değil, yalnızca kamuya açık kaynaklardan elde edilmektedir: yayınlanmış iş ilanları, şirketlerin kamuya açık web siteleri ve Impressum bilgileri ile herkesin erişebildiği arama sonuçları. Ek olarak, kamuya açık mesleki kaynakları derleyen B2B iş veritabanı Apollo.io (Apollo.io, San Francisco, ABD) kullanılmaktadır. Kamuya açık arama sonuçlarının teknik olarak değerlendirilmesinde veri işleyen olarak bir dış hizmet sağlayıcıdan yararlanılır; bu sırada kullanıcılarımıza ait hiçbir veri aktarılmaz.

8.3 Amaç ve hukuki dayanak

Amaç, uluslararası nitelikli iş gücünün başvurularını personel ihtiyacı olan işverenlere ulaştırmaktır. Hukuki dayanak, GDPR Madde 6/1-f uyarınca meşru menfaattir (hem bizim hem de nitelikli başvuru almak isteyen işverenlerin menfaati).

8.4 Başvuruyu kim gönderiyor?

Başvuru e-postası, başvuran kişinin kendi e-posta hesabından, onun açık talimatıyla ve onayladığı başvuru metniyle gönderilir. Hangi meslek alanında, hangi bölgede ve kaç işverene başvurulacağını başvuran kişi belirler ve gönderimi dilediği an durdurabilir. Bu ölçütlere göre tek tek işverenlerin seçilmesi ve metnin oluşturulması bize aittir. Alıcıların seçiminden veri koruma hukuku bakımından biz sorumluyuz; kendi beyanlarının ve başvurusunun içeriğinden başvuran kişi sorumludur.

8.5 Toplu e-postaya karşı koruma

• E-posta adresleri kullanıcılara hiçbir aşamada gösterilmez.
• Adreslerin toplu görüntülenmesi veya dışa aktarılması teknik olarak engellenmiştir.
• Bir işverene başvurulduğunda o kayıt tüm kullanıcılara 3 gün kapatılır.
• Aynı işverene aynı kullanıcı adına yalnızca bir kez başvurulur — yıllar sonra bile tekrarlanmaz.
• Gönderim zamana yayılır: hafta içi 08:00–18:00 arası, kullanıcı başına günde en fazla 20 başvuru.

8.6 İşverenler için itiraz hakkı (GDPR Madde 21)

8.7 Saklama süresi

İşveren verileri, belirtilen amaç için gerekli olmaktan çıktığında, en geç son güncellemeden 24 ay sonra silinir; 8.6 kapsamında itiraz halinde derhal kapatılır. Başvuru mektuplarınızın konu ve metni 24 ay sonra silinir. Aynı firmaya ikinci kez başvurulmaması ve kötüye kullanımın önlenmesi için yalnızca tarih ve başvurulan firma bilgisi hesabınız silinene kadar saklanır.

8.8 Kredi ve ödeme

Ödemeler Stripe Payments Europe Ltd. (İrlanda) üzerinden alınır. Kredi kartı bilgileriniz tarafımızca toplanmaz ve saklanmaz; yalnızca ödeme referansı, tutar ve kredi adedi muhasebe amacıyla tutulur (Alman Vergi Usul Kanunu § 147 uyarınca 8 yıl saklama yükümlülüğü). Kredilerin süresi dolmaz.

8.9 Aday profiliniz

Bu bilgilerin bir kısmı — meslek alanı ve uzmanlık dalı, deneyim, Almanca seviyesi, denklik durumu, hedef bölge, ehliyet sınıfları ve mesleki belgeler (ör. Kod 95, forklift belgesi) — sunucularımızdaki üyelik profilinizde saklanır (Supabase, AB bölgesi); çünkü size uygun işverenlerin bulunması ve başvuru metninizin yazılması bu bilgilere dayanır. Hukuki dayanak, kullanım sözleşmesinin ifasıdır (GDPR Madde 6/1-b). Kalan bilgiler (telefon, başlangıç zamanı gibi) ayrıca kendi tarayıcınızda yerel olarak saklanır ve cihazınızdan çıkmaz. Profilinizi hesabınızdan dilediğiniz zaman değiştirebilirsiniz; hesabınızı silmeniz halinde tamamen silinir.

8.10 Google Hesabı ve Gmail Erişimi

Başvuru maillerinizin kendi Gmail hesabınızdan gönderilebilmesi için Google ile giriş yapmanızı isteriz. Bu sırada yalnızca şu izinleri talep ederiz: openid, email ve profile — giriş yapmanız ve adınızın görüntülenmesi için; gmail.send — yalnızca sizin onayladığınız başvuru maillerini hesabınızdan göndermek için.

Gelen kutunuz, mevcut e-postalarınız, taslaklarınız, etiketleriniz, kişileriniz ve takviminiz hiçbir şekilde okunmaz, aranmaz, değiştirilmez veya silinmez. Gönderim başlamadan önce gönderilecek mektubun tam metnini görür ve gönderimi kendiniz başlatırsınız. Başlattığınız anda alıcı firmaların eksiksiz listesi karşınıza gelir; ilk mail en erken sekiz dakika sonra çıkar. Mailler arka planda birer birer — hafta içi 08:00-18:00 arasında, aralarında sekiz ila yirmi dakika bırakılarak ve günlük bir üst sınır gözetilerek — gönderilir. Gönderimi dilediğiniz an durdurabilir ya da iptal edebilirsiniz; henüz gönderilmemiş başvurular gönderilmez.

İsteğe bağlı ek izin: gmail.metadata (Google onayladıktan sonra yeni bağlantılarda): Bu izni verirseniz, yalnızca bizim gönderdiğimiz başvuruların oluşturduğu konuşmalardaki mesajların başlık bilgilerini (gönderen, konu, tarih) okuruz. Bununla “Başvurularım” sayfasında firmanın cevap verip vermediğini gösterir, geçersiz adresleri tespit ederiz (krediniz otomatik iade edilir, adres sonraki başvurularda kullanılmaz). Mesaj içerikleri, ekler ve diğer konuşmalarınız hiçbir zaman açılmaz. Bu izni vermeseniz de gönderim aynen çalışır.

Google hesabınıza erişim için verilen yenileme anahtarı (refresh token) veritabanımızda şifreli olarak saklanır; şifreleme anahtarı veritabanından ayrı tutulur. Erişimi dilediğiniz an Google Hesap ayarlarınızdan geri alabilirsiniz. EUVisaWork hesabınızı sildiğinizde bu anahtar ve ondan türetilen tüm veriler kalıcı olarak silinir.

EUVisaWork’s use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

9. Veri Güvenliği & İhlal Bildirimi

Verileriniz SSL/TLS şifrelemesiyle iletilmekte ve güvenli sunucularda saklanmaktadır. Şifreler bcrypt algoritmasıyla hash'lenerek tutulmaktadır. Olası bir veri ihlali durumunda, etkilenen kullanıcılar ve yetkili denetim otoritesi GDPR Madde 33–34 uyarınca 72 saat içinde bilgilendirilecektir.

10. Politika Güncellemeleri

Önemli değişiklikler e-posta veya site bildirimi ile duyurulacaktır.