Gizlilik Politikası

Son güncelleme: 18 May 2026 · Sürüm: 1.0

1. Biz kimiz

Workio Android uygulaması ve workio-app.com adresindeki web sitesi ile bağlantılı olarak işlenen kişisel veriler için veri sorumlusu (KVKK kapsamında veri sorumlusu / GDPR'a göre data controller):

Innovatek di Cafaro Carmelina
P.IVA / KDV No: 06424410659
E-posta: privacy@workio-app.com

Bulut özelliklerini işletmek için tuttuğumuz sınırlı kimlik ve abonelik verileri için veri sorumlusu olarak hareket ederiz. Workio ile oluşturduğunuz iş belgeleri (teklifler, faturalar, müşteri kayıtları vb.) yalnızca sizin kontrolünüzde, cihazınızda kalır — bu veriler için veri sorumlusu veya veri işleyen olarak hareket etmiyoruz.

2. Bu politika ne zaman geçerlidir

Bu politika şunları kapsar:

• workio-app.com web sitesi
• Google Play'de bulunan Workio Android uygulaması
• Kullanmayı seçtiğinizde Workio bulut hizmetleri (hesap, paylaşım, yedekleme, abonelik doğrulama)

Workio ile oluşturduğunuz belgeleri dağıtabileceğiniz üçüncü taraf hizmetlerini (örneğin Android'in paylaşım menüsünden kullandığınız e-posta sağlayıcıları, mesajlaşma uygulamaları veya bulut sürücüleri) kapsamaz. "Paylaş"a dokunup bir hedef seçtiğinizde, o hedefin gizlilik politikası geçerli olur.

3. Hangi verileri işliyoruz

3.1 Herhangi bir bulut özelliği olmadan (varsayılan)

Ücretsiz, yalnızca yerel deneyimi kullanıyorsanız ve hiç giriş yapmıyorsanız, Workio şunları toplar:

• Tanı verileri (Firebase Crashlytics): çökme yığın izleri, cihaz modeli, işletim sistemi sürümü ve anonim bir kurulum tanımlayıcısı. Yalnızca hataları düzeltmek için kullanılır.
• Anonim kullanım verileri (Firebase Analytics): kişisel tanımlayıcı içermeyen özellik düzeyinde olaylar. Uygulama içinden devre dışı bırakabilirsiniz.

Şunları toplamıyoruz: müşterileriniz, belgeleriniz, ürünleriniz, logonuz veya işletme profiliniz. Bunlar uygulamanın yerel veritabanında yaşar ve asla iletilmez.

3.1bis Web sitesi analitiği (yalnızca açık rızanızla)

Yalnızca ve yalnızca workio-app.com üzerindeki çerez bildiriminde analitik seçeneğini kabul ederseniz, web sitesi toplam sayfa görüntülemelerini, gezinme yollarını ve şehir düzeyinde çözünürlükte ülkeyi ölçmek için Google Analytics 4 yükler. IP adresleri herhangi bir ileri işlemden önce anonimleştirilir. Kabul edene kadar GA4 Consent Mode v2'de çalışır: yalnızca çerezsiz, tanımlayıcısız bir ping gönderilir. Seçiminizi Çerez Politikası sayfasından istediğiniz zaman değiştirebilirsiniz. İlgili çerezlerin tam listesi için Çerez Politikasına bakın.

3.2 Giriş yaptığınızda (Pro abonelik, bulut paylaşımı veya yedekleme)

Google Sign-In aracılığıyla Google'dan şunları alırız:

• E-posta adresiniz (Google tarafından doğrulanmış)
• Görünen adınız
• Yerel ayarınız (dil tercihiniz)
• Google özne tanımlayıcısı — gelecekteki girişlerde hesabınızı yeniden bağlamak için kullanılan kararlı, anlamsız bir dize

Google şifrenizi, profil fotoğrafınızı veya kişi listenizi almayız.

3.3 Bulut paylaşımını kullandığınızda

Bir belge için paylaşılabilir bir bağlantı oluşturduğunuzda, oluşturulan PDF AB'deki Azure Blob Storage'a yüklenir. Bağlantı anlamsız bir simgeye işaret eder; görüntüleme sayısını ve müşteriniz imzalarsa imza görüntüsünü kaydederiz. Bir bağlantıyı istediğiniz zaman iptal edebilirsiniz.

3.4 Şifrelenmiş yedeklemeyi kullandığınızda (Pro)

Yerel veritabanınız cihazda şifrelenir ve elde edilen ikili nesne AB'deki Azure Blob Storage'a yüklenir. Nesneyi, boyutunu ve onu üreten uygulama sürümünü saklarız. Yedeklerinizin içeriğini okuyamayız; şifreleme anahtarı cihazınızdan asla çıkmaz.

3.5 Workio Pro'ya abone olduğunuzda

Abonelikler Google Play Billing tarafından yönetilir. Google'dan webhook'lar aracılığıyla abonelik durumu güncellemeleri (aktif, süresi dolmuş, beklemede, iade edilmiş) alırız. Kart bilgilerinizi görmeyiz — bunlar Google'da kalır.

3.6 Operasyonel veriler

Güvenlik ve kötüye kullanımı önlemek için şunları saklarız:

• Refresh token'lar: SHA-256 karma değeri olarak, ihraç ve sona erme zaman damgaları ve cihaz tanımlayıcısı (model, işletim sistemi sürümü) ile.
• Rıza günlüğü: bu politikayı veya şartları kabul ettiğinizde, rıza türünü, politika sürümünü, zaman damgasını ve IP adresinizin karma biçimini kaydederiz.

4. Amaçlar ve hukuki dayanaklar

Veri	Amaç	Hukuki dayanak (GDPR Md. 6)
E-posta, ad, Google özne kimliği	Hesap oluşturma, giriş, müşteri desteği	Sözleşmenin ifası
Abonelik durumu	Pro özellikleri açma	Sözleşmenin ifası
Şifrelenmiş yedekleme nesnesi	Yeni bir cihazda verilerinizi geri yükleme	Sözleşmenin ifası
Paylaşılan belge nesnesi ve imza	Belgeyi alıcınıza gösterme	Sözleşmenin ifası / açık rızanız
Refresh token karması, cihaz tanımlayıcısı	Oturum güvenliği, kötüye kullanımı önleme	Meşru menfaat
Crashlytics çökme raporları	Hataları tespit etme ve düzeltme	Meşru menfaat
Firebase Analytics olayları (uygulama)	Özellik kullanımını anlama	Açık rızanız (opt-in)
Google Analytics 4 olayları (web sitesi)	Toplam web sitesi trafiğini ölçme	Açık rızanız (çerez bildirimi)
Rıza günlüğü	GDPR Md. 7'ye uyumun gösterilmesi	Yasal yükümlülük

5. Alt veri işleyenler

Hizmeti işletmek için aşağıdaki sağlayıcılara güveniyoruz. Her biri yazılı bir veri işleme sözleşmesi kapsamında hareket eder.

Sağlayıcı	Rol	Konum
Microsoft Ireland Operations Ltd. (Azure)	Bulut işlevleri, veritabanı, depolama ve anahtar kasası barındırma	AB (İtalya / Batı Avrupa)
Google LLC / Google Ireland Ltd.	Sign-In, Play Billing, Crashlytics, Analytics	AB + ABD (SCC'ler kapsamında)

6. Uluslararası aktarımlar

Ana hizmet (hesap, paylaşım, yedekleme) tamamen Avrupa Birliği'nde barındırılır. Bazı Google alt veri işleyenleri verileri Amerika Birleşik Devletleri'ne aktarır; bu durumlarda aktarımlar Avrupa Komisyonu'nun Standart Sözleşme Maddeleri'ne (SCC) ve Google'ın Veri İşleme Ek'ine dayanır. Uygulanan güvencelerin bir kopyasını privacy@workio-app.com adresine yazarak talep edebilirsiniz.

7. Verilerinizi ne kadar süre saklıyoruz

• Hesap verileri: hesabınız var olduğu sürece. Hesabı uygulamadan veya bize yazarak sildiğinizde, kimlik verileri 30 gün içinde kaldırılır; ancak yasaların gerektirdiği kayıtlar (örn. abonelik için faturalama kayıtları) hariçtir.
• Paylaşılan belge nesneleri: belirlediğiniz bağlantı sona erme süresine veya bağlantıyı iptal edene kadar.
• Yedekler: bunları değiştirene veya hesabı silene kadar.
• Refresh token'lar: sona erme süresine kadar artı güvenlik denetimi için kısa bir tolerans süresi.
• Crashlytics raporları: 90 gün.
• Google Analytics 4 olayları: 14 ay (varsayılan GA4 saklama süresi).
• Rıza günlüğü: 10 yıl (yasal yükümlülük).

7-bis. Doğrulanmış imza (Workio v1.3+)

v1.3'ten itibaren Pro sahibi, paylaşılan bir belgeye beklenen imzacı e-postasını bağlayabilir. Alıcı paylaşımı açtığında, imzalamadan önce şunları toplarız:

• Yazdığı e-posta adresi. Sahibin önceden yapılandırdığıyla karşılaştırırız; girilmeden önce bir adresin „doğru" olup olmadığını ifşa etmez veya teyit etmeyiz.
• İmza için seçtiği isteğe bağlı görünen ad.
• IP adresinin sunucu tarafı anahtarıyla alınmış HMAC-SHA256 parmak izi. Ham IP asla saklanmaz.
• Dokunmatik ekranda çizdiği vektör imza (SVG yolu).

E-postayla gönderdiğimiz tek kullanımlık kod yalnızca HMAC olarak saklanır; alıcının e-postası HKDF türevli AES-GCM anahtarı ile beklemede şifrelenir. Satırlar 10 dakika sonra geçersiz olur; tüketilmiş veya süresi dolmuş satırlar saklamayı sınırlamak için 24 saat sonra günlük bir Timer fonksiyonu tarafından silinir.

Hukuki dayanak: sahip ile imzacı arasındaki sözleşmenin ifası veya sözleşme öncesi tedbirler (GDPR md. 6.1.b); Workio, imzayı doğrulamak amacıyla sahip adına veri işleyen sıfatıyla hareket eder.

İmzacıya bilgi (md. 13): paylaşım görüntüleyici, e-posta alanının üstünde imzacının dilinde Workio'yu veri işleyen olarak gösteren, hukuki dayanağı belirten ve bu politikaya bağlantı veren bir bildirim sergiler.

Doğrulanmış imzaya özgü veri işleyenler:

Sağlayıcı	Rol	Konum
Microsoft Ireland Operations Ltd. (Azure Communication Services — Email)	Tek kullanımlık doğrulama kodunun imzacının gelen kutusuna teslimi	AB
Google LLC / Google Ireland Ltd. (Firebase Cloud Messaging)	Bir müşteri imzaladığında sahibe push bildirimleri. Yük opaktır (yalnızca share token) — ne belge adı ne de imzacı adı Google röle sunucusundan geçer.	AB + ABD (Standart Sözleşme Maddeleri)

İmzacılar için silme hakkı: bir imzacı, sahibe gitmeden kaydını sildirebilir. POST https://api.workio-app.com/privacy/signer-erasure ile {"email":"..."} o e-postayla imzalanmış her satırı anonimleştirir ve OTP kayıtlarını siler. Her zaman 202 yanıtlar — oracle sızıntısı yok. Veya privacy@workio-app.com adresine yazın.

8. Güvenlik

Riske uygun teknik ve organizasyonel önlemleri uygularız:

• Aktarılan tüm veriler için TLS 1.2+
• Azure Storage'da bekleyen verilerin şifrelenmesi
• Yedekler için istemci taraflı şifreleme: anahtar cihazınızdan asla çıkmaz
• Rol tabanlı erişimle Azure Key Vault'ta yönetilen gizli bilgiler
• Şifre yok — kimlik doğrulama Google'a devredilmiştir
• Karma (SHA-256) refresh token'lar, asla açık olarak saklanmaz

9. Haklarınız

GDPR (ve Türkiye'de KVKK) kapsamında şu haklara sahipsiniz:

• Hakkınızda tuttuğumuz kişisel verilere erişme (Md. 15)
• Yanlış verileri düzeltme (Md. 16)
• Verilerinizi silme — bu aynı zamanda hesabınızı da kapatır (Md. 17)
• Belirli işlemeleri kısıtlama veya bunlara itiraz etme (Md. 18, 21)
• Verilerinizi makinece okunabilir bir biçimde dışa aktarma (Md. 20)
• Geçmiş işlemeyi etkilemeksizin istediğiniz zaman rızanızı geri çekme (Md. 7.3)
• Yerel denetim makamınıza şikâyette bulunma — İtalya'da Garante per la Protezione dei Dati Personali (Türkiye'de Kişisel Verileri Koruma Kurumu — KVKK)

Bu hakların çoğunu doğrudan uygulamanın ayarlarından veya privacy@workio-app.com adresine yazarak kullanabilirsiniz. Bir ay içinde yanıt veririz.

10. Çocuklar

Workio, 16 yaşın altındaki çocuklara yönelik değildir. Bu yaşın altındaki kimseden bilerek veri toplamayız. Bir küçüğün bize kişisel veri sağladığını düşünüyorsanız, lütfen bizimle iletişime geçin; veriyi sileceğiz.

11. Bu politikadaki değişiklikler

Bu politikayı, üründeki veya yasadaki değişiklikleri yansıtmak için zaman zaman güncelleyebiliriz. Değişiklik önemli olduğunda sizi uygulamada veya e-posta ile bilgilendireceğiz ve bu sayfanın üst kısmındaki "son güncelleme" tarihi revize edilecektir. Önemli bir değişiklikten sonra Workio'yu kullanmaya devam etmek, güncellenmiş politikayı kabul ettiğiniz anlamına gelir.

12. İletişim

Sorular, şikâyetler veya hak talepleri:

Innovatek di Cafaro Carmelina
E-posta: privacy@workio-app.com
Genel iletişim: info@workio-app.com