Gizlilik politikası

Bu metin, taslak.dev sitesinin, Taslak panelinin, API’sinin, komut satırı aracının ve Taslak’ta yayımlanan sitelerin (taslak.page adresleri ve bağlanan alan adları) kişisel verileri nasıl işlediğini anlatır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 10. maddesi kapsamındaki aydınlatma metnimizdir.

Kısaca

• Taslak bir dosyayı, klasörü ya da statik siteyi yayına alan bir barındırma hizmetidir.
• Reklam yok, reklam takibi yok; taslak.dev ve panelde üçüncü taraf analiz aracı yok. Verilerinizi satmayız.
• Sitelerin ziyaretçi istatistiklerini ham IP adresi saklamadan, her gün değişen takma bir kimlikle tutarız.

Veri sorumlusu

Hesabınıza ilişkin veriler için veri sorumlusu Taslak’tır (taslak.dev). Bu metinle ya da verilerinizle ilgili her soru için: help@taslak.dev.

Sitenizdeki veriler: kim sorumlu

Taslak’ta yayımladığınız dosyalar ve sitenizin ziyaretçilerinden topladığınız veriler (davet ettiğiniz kişilerin e-posta adresleri, erişim istekleri, yorumlar, sitenizin veritabanına yazılan satırlar, ziyaretçilerin yüklediği dosyalar) sizindir. Bu veriler için veri sorumlusu siteyi yayımlayan kişi ya da takımdır; Taslak bu verileri yalnız sizin adınıza ve hizmeti sunmak için işleyen veri işleyendir. Sitenize Google Analytics gibi bir araç eklerseniz o aracın işlediği veriler de sizin sorumluluğunuzdadır. Bir sitedeki verileriniz için önce o sitenin sahibine başvurun; talebinizi bize iletirseniz sahibine yönlendiririz.

Hangi verileri işliyoruz

Hesap açtığınızda

• Hesap bilgileri: e-posta adresiniz ve hesabın açıldığı zaman; girişte kullanmak için eklediğiniz diğer adresler (en fazla 10) ve her birinin eklendiği ve doğrulandığı zaman. Şifre belirlerseniz yalnız tek yönlü özeti (PBKDF2-SHA256) saklanır. İki adımlı girişi açarsanız doğrulayıcı uygulamanın gizli anahtarı ve yedek kodlarınızın özetleri saklanır.
• Sızmış şifre denetimi: şifre belirlediğinizde ya da değiştirdiğinizde, şifrenin SHA-1 özetinin yalnız ilk beş karakterini Have I Been Pwned’ın Pwned Passwords hizmetine göndeririz; şifre bilinen bir sızıntıda geçiyorsa kabul etmeyiz. Şifreniz, tam özeti ve e-posta adresiniz gönderilmez.
• GitHub: GitHub ile giriş yaparsanız GitHub hesabınızın birincil e-posta adresini alırız. GitHub hesabınızı bağlarsanız GitHub kullanıcı adınızı ve verdiğiniz erişim anahtarını şifreli olarak saklarız; bunu yalnız seçtiğiniz depolara yayın, eşitleme ve derleme için kullanırız.
• Oturum ve güvenlik kayıtları: oturumlarınızın IP adresi, tarayıcı bilgisi (user agent) ve kullanım zamanları; API anahtarlarınızın adı, kapsamı ve son kullanım zamanı. Giriş kodları 10 dakika geçerlidir. Bir tarayıcının girişin ikinci adımını atlamasına izin verirseniz, o tarayıcıyı tanıyıp unutturabilmeniz için tarayıcı bilgisini, IP adresini ve son kullanım zamanını saklarız.
• Takım ve etkinlik: üye olduğunuz takımlar ve rolleriniz, gönderdiğiniz davetler, kimin ne zaman ne yaptığını gösteren etkinlik kaydı (yapan kişinin e-posta adresi dahil).
• Bildirim tercihleri: hangi e-postaları almak istemediğiniz.
• Gelen kutusu: takımlarınız ve sitelerinizle ilgili bildirimler; onay istekleri, erişim istekleri, yorumlar, veritabanına eklenen satırlar, site devirleri ve eklendiğiniz takımlar gibi. Her birinde kimin yaptığı, hangi site ya da takım olduğu, bir bağlantı ve içeriğin (örneğin yorumun ya da satırın) en fazla 1.000 karakteri bulunur.

Site yayımladığınızda

Yüklediğiniz dosyalar, sürümler ve sürüm notları, sitenizin git deposu, derleme kayıtları, ayarlarınız (erişim, alan adları, yönlendirmeler, görünüm), bağladığınız alan adları ve webhook adresleri. Derleme için gönderilen kaynak kodu derleme bitince silinir. Yüklenen her dosya kendi sunucumuzda çalışan ClamAV ile zararlı yazılım taramasından geçer; zararlı bulunan dosyayı kullanan siteler kaldırılır.

Hesapsız yayımladığınızda

Yayın geçmişinde hangi IP adresinden yayımlandığı 30 gün tutulur, sonra adres silinir. Hesapsız siteler son yayından 33 saat 20 dakika sonra yayından kalkar; sahiplenilmezse bu metindeki silinmiş site süreleri uygulanır. Kötüye kullanımı önlemek için IP adresiniz istek sınırlamasında da kullanılır.

Taslak’ta yayımlanan bir siteyi ziyaret ettiğinizde

• İstatistik: her istek için sitenin kimliği, istenen adres ve yol, ülke, durum kodu, aktarılan bayt, isteğin insandan mı, arama motorundan mı yoksa bir yapay zekâ aracından mı geldiği ve ziyaretçi sayısını hesaplamak için bir takma kimlik. Bu kimlik IP adresiniz ve tarayıcı bilginizden, gizli bir anahtar ve o günün tarihiyle üretilen tek yönlü bir özettir; her gün değişir ve günler arasında sizi izlemeye yaramaz. Ham IP adresi istatistikte saklanmaz.
• İstek kayıtları: her isteğin HTTP yöntemi ve tarayıcınızın ya da kullandığınız aracın gönderdiği tarayıcı bilgisinin (user agent: adı ve sürümü) ilk 256 karakteri de saklanır. Sitenin takımı bunları yukarıdaki bilgilerle birlikte sitenin istek kayıtlarında görür; kırık bağlantıları bulmak ve botları ayırt etmek için kullanır.
• Erişimi kısıtlı siteler: şifreyle, davetle ya da paylaşım linkiyle açılan sitelerde oturumunuzu sürdürmek için __taslak adlı tek bir çerez kullanılır (7 gün, önizlemelerde 12 saat). E-posta koduyla girdiyseniz e-posta adresiniz bu imzalı çerezin içindedir. Giriş kodu istediğinizde ya da erişim isteği gönderdiğinizde e-posta adresiniz ve mesajınız sitenin sahibine iletilir.
• İzleme kodları ve izin tercihi: site sahibi sitenin sayfalarına analiz ve reklam izleme kodları (Google Analytics ya da Meta Pixel gibi) ekleyebilir. Bu kodlar verileri kendi sağlayıcılarına gönderir; bundan biz değil site sahibi sorumludur. Site sahibi izin istiyorsa tercihiniz, ziyaret ettiğiniz adreste tarayıcınızda taslak_consent adlı bir çerezde tutulur: içinde yalnız kabul ettiğiniz kategoriler (örneğin analytics) ya da none bulunur, sizi tanıtan bir kimlik yoktur. Çerez, site sahibinin belirlediği süre boyunca kalır (değiştirmediyse 180 gün, en fazla 395 gün). Tarayıcınız bu çerezi o siteye her istekte gönderir; biz yalnız izin verdiğiniz kodları sayfaya eklemek için okuruz, saklamayız. Site sahibi yalnız AEA, Birleşik Krallık ve İsviçre’deki ziyaretçilere sormayı seçtiyse, size sorulup sorulmayacağını Cloudflare’in her istekte bildirdiği ülkeniz belirler.
• İzleme kodu önizlemesi: sitenin takımından biri izleme kodu önizleme bağlantısını açtığında tarayıcısına, yalnız önizlemenin kimliğini taşıyan taslak_tags adlı bir çerez yazılır; önizleme bitene kadar (en fazla 24 saat) kalır.
• Yorumlar: site sahibi yorumları açtıysa yazdığınız yorum, adınız ve yorumun sayfadaki yeri saklanır. E-posta adresi verirseniz o da saklanır; yanıt geldiğinde ve konu çözüldüğünde ya da yeniden açıldığında size e-posta gönderilir, adresi sitenin takımı da görür. Adınız ve adresiniz bir dahaki sefer için tarayıcınızda tutulur. Giriş yapmadan bıraktığınız tepki, geri alabilmeniz için IP adresinizden ve siteden tek yönlü olarak türetilen bir değerle saklanır.
• Form ve yüklemeler: site sahibinin izin verdiği ölçüde sitenin veritabanına yazdığınız bilgiler ve yüklediğiniz dosyalar saklanır. Robot denetimini Cloudflare Turnstile yapar.
• Kötüye kullanımı önleme: IP adresiniz giriş kodu, erişim isteği, yükleme ve veritabanı istekleri için istek sınırlamasında en fazla 24 saat kullanılır.

taslak.dev ve panel

taslak.dev sitesi analiz ya da reklam çerezi kullanmaz. Panel oturum anahtarınızı ve dil tercihinizi tarayıcınızda (localStorage) saklar.

Ödeme yaptığınızda

Go ve Plus planlarını satıcı sıfatıyla (merchant of record) Polar Software Inc. satar. Adınız, e-posta adresiniz, fatura adresiniz ve kart bilgileriniz doğrudan Polar’ın ödeme sayfasına girilir ve Polar’ın gizlilik politikasına göre işlenir; kart bilgileriniz bize hiç ulaşmaz. Bizde takımın planı, aboneliğin durumu ve dönem tarihleri ile Polar tarafındaki müşteri ve abonelik kimlikleri kalır.

Kötüye kullanım bildirdiğinizde

Bildirdiğiniz adres, kategori, açıklamanız, isteğe bağlı e-posta adresiniz ve IP adresiniz; bildirimi incelemek ve formun kötüye kullanılmasını önlemek için.

Bize e-posta gönderdiğinizde

E-posta adresiniz, adınız ve mesajınız; yalnız size yanıt vermek ve bildirdiğiniz sorunu çözmek için.

Neden ve hangi hukuki sebeple

Amaç	KVKK md. 5/2
Hesabınızı açmak, giriş yapmanızı sağlamak, sitelerinizi saklamak ve sunmak	(c) sözleşmenin ifası
Giriş kodu, davet, onay ve bildirim e-postaları göndermek	(c) sözleşmenin ifası
Site sahiplerine ziyaret istatistiği ve istek kayıtlarını göstermek	(f) meşru menfaat
Güvenlik, kötüye kullanımı önleme, hataları bulma, etkinlik kaydı	(f) meşru menfaat
Aboneliği ve planı yürütmek	(c) sözleşmenin ifası
Yetkili kamu kurumlarının hukuka uygun talepleri	(ç) hukuki yükümlülük
Destek, silme ve kötüye kullanım bildirimlerine yanıt vermek	(c) sözleşmenin ifası, (f) meşru menfaat

Verilerinizi pazarlama, profil çıkarma ya da reklam için kullanmayız ve satmayız.

Nerede saklanır, kimlere aktarılır

• Sunucularımız: API ve veritabanı, Hetzner Online GmbH’nin Finlandiya’daki (Helsinki) veri merkezinde, Avrupa Birliği içinde çalışır.
• Cloudflare, Inc. (ABD): yayımlanan siteleri dünya genelindeki ağından sunar; site dosyalarını, git depolarını, ziyaretçi yüklemelerini ve veritabanı yedeklerini Cloudflare R2’de, sitelerin veritabanlarını Cloudflare D1’de saklar; ziyaret istatistiklerini (Workers Analytics Engine) tutar; bulut derlemelerini çalıştırır; robot denetimini (Turnstile), alan adlarının DNS’ini ve sertifikalarını sağlar; taslak.dev ve api.taslak.dev trafiğini taşır.
• Amazon Web Services (Amazon SES): giriş kodu, davet ve bildirim e-postalarını AB’deki İrlanda bölgesinden (eu-west-1) gönderir; alıcı adresini ve e-postanın içeriğini işler.
• Polar Software Inc. (ABD): Go ve Plus aboneliklerini satıcı sıfatıyla satar ve ödemeyi alır. Ödeme bilgileri için Polar kendi gizlilik politikasına göre veri sorumlusudur.
• GitHub, Inc. (ABD): yalnız GitHub ile giriş yaparsanız ya da GitHub hesabınızı ve depolarınızı bağlarsanız.
• Have I Been Pwned: bilinen sızıntılarla karşılaştırmak için, belirlediğiniz şifrenin SHA-1 özetinin yalnız ilk beş karakterini sunucularımızdan alır.

Bu hizmet sağlayıcıların bir kısmı Türkiye dışında olduğundan, bu aktarım KVKK’nın 9. maddesi kapsamında yurt dışına aktarımdır. Sağlayıcılar verileri yalnız bizim adımıza ve bu metindeki amaçlarla işler.

Ne kadar süre saklanır

Veri	Süre
Hesap bilgileri	Hesabınız var olduğu sürece
Oturumlar ve API anahtarları	Oturumlar en fazla 90 gün geçerlidir; süresi dolan ya da kapatılan oturum ve anahtarlar 30 gün sonra silinir
Eklediğiniz diğer e-posta adresleri	Siz kaldırana ya da hesabınızı silene kadar
Güvenilen tarayıcılar	30 gün; siz unutturursanız ya da doğrulayıcı uygulamayı kapatırsanız daha önce
Gelen kutusu kayıtları	180 gün
Siteler, sürümler ve dosyalar	Siz silene kadar
Silinen siteler	30 gün geri yüklenebilir; sonra dosyaları, sürümleri, git deposu, veritabanı ve ziyaretçi yüklemeleri silinir
Silinen sürümler	Adresi hemen kapanır; hiçbir sürümün kullanmadığı dosyalar 7 gün içinde silinir
Bitmemiş ya da başarısız yüklemeler	7 gün
Hesapsız yayınların IP adresi	30 gün
Etkinlik kaydı	1 yıl
Webhook gönderim kayıtları	30 gün
Ziyaret istatistikleri ve istek kayıtları	90 gün
İstek sınırlaması için IP adresleri	24 saat
Veritabanı yedeklerindeki kopyalar	En fazla 30 gün

Hesabınızı panelde Giriş ve güvenlik → Hesabımı sil ile silebilirsiniz. Hesap silindiğinde oturumlarınız, anahtarlarınız, eklediğiniz diğer e-posta adresleri, güvenilen tarayıcılar, gelen kutunuz, bağlı GitHub hesabınız ve yalnız size ait takımlar ile siteleri silinir; sitelerin dosyaları yukarıdaki sürelerle temizlenir. Başkalarıyla paylaştığınız bir takımın tek sahibiyseniz önce sahipliği devretmeniz, ücretli planı olan bir takımınız varsa önce aboneliği iptal etmeniz gerekir. Etkinlik kayıtlarında e-posta adresiniz 1 yıllık süre dolana kadar kalır.

Haklarınız

KVKK’nın 11. maddesine göre bize başvurarak şunları isteyebilirsiniz:

• kişisel verilerinizin işlenip işlenmediğini öğrenmek, işlenmişse bilgi istemek,
• işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenmek,
• yurt içinde ve yurt dışında aktarıldığı üçüncü kişileri bilmek,
• eksik ya da yanlış işlenmişse düzeltilmesini istemek,
• KVKK’nın 7. maddesindeki şartlarla silinmesini ya da yok edilmesini istemek,
• düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini istemek,
• yalnız otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etmek,
• kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini istemek.

Hesap verilerinizin bir kopyasını panelde Giriş ve güvenlik → Verilerimi indir ile JSON olarak alabilirsiniz. Diğer başvurularınızı hesabınızın e-posta adresinden help@taslak.dev adresine gönderin. En geç 30 gün içinde ücretsiz yanıtlarız. Yanıtımızdan memnun kalmazsanız Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz. Avrupa Ekonomik Alanı’ndaysanız GDPR’daki haklarınız da geçerlidir; bulunduğunuz ülkedeki denetim makamına başvurabilirsiniz.

Çocuklar

Taslak 18 yaşından küçüklere yönelik değildir.

Değişiklikler

Bu metni değiştirdiğimizde bu sayfadaki tarihi güncelleriz. Önemli değişiklikleri panelde ya da e-postayla duyururuz.