Gizlilik Politikası

Bu politika, Solar Client (solarclient.de) tarafından hangi kişisel verilerin, hangi amaçla, hangi hukuki dayanakla, ne kadar süreyle işlendiğini, kimlere aktarıldığını ve haklarınızın neler olduğunu açıklar. Platformun gerçek işleyişine göre yazılmıştır: müşteriler bir güneş enerjisi hizmeti talebi yayımlar, doğrulanmış firmalar teklif verir ve iki taraf sözleşmeyi kendi aralarında kurar. Web sitesi, müşteri/firma/yönetim panelleri, gönderdiğimiz e-postalar ve aynı hesap ve verileri kullanan (yayımlanacak) mobil uygulama için geçerlidir.

1. Veri sorumlusu ve iletişim

⟨işletmeci unvanı — Ayarlar'da doldurulacak⟩
⟨işletmeci adresi — Ayarlar'da doldurulacak⟩
Temsilci: ⟨yetkili / müdür — Ayarlar'da doldurulacak⟩
Ticaret sicili: ⟨ticaret sicili / sicil no — Ayarlar'da doldurulacak⟩ · KDV kimlik no: ⟨KDV kimlik no — Ayarlar'da doldurulacak⟩

Veri koruma iletişimi: datenschutz@solarclient.de · Veri koruma görevlisi: ⟨veri koruma görevlisi — Ayarlar'da doldurulacak⟩
Genel destek: info@solarclient.de

Bizden sorumlu denetim makamı: ⟨yetkili veri koruma denetim makamı — Ayarlar'da doldurulacak⟩. Bu makama veya herhangi bir AB denetim makamına istediğiniz zaman şikâyette bulunabilirsiniz.

2. Kim neden sorumlu

Solar Client bir pazaryeridir. Güneş enerjisi hizmetine ihtiyaç duyan kişiyi (müşteri) bu hizmeti sunan işletmelerle (firmalar) buluştururuz. İşi biz yapmayız ve müşteri ile firma arasında kurulan sözleşmenin tarafı değiliz.

• Platform üzerinde olan her şey (hesaplar, talepler, eşleştirme, teklifler, mesajlar, randevular, iş takibi, değerlendirmeler, üyelikler, faturalar, güvenlik ve moderasyon) için veri sorumlusu biziz.
• Müşteri bir firmanın teklifini kabul edip iletişim bilgileri açıldığında, firma kendi işlemesi için bağımsız veri sorumlusu olur (keşif, ifa, kendi faturası ve muhasebesi). Firma, firma şartlarımız gereği verileri yalnızca o iş için kullanmak, gizli tutmak ve GDPR'a kendisi uymakla yükümlüdür.
• Talep açan müşteriler özel amaçla hareket eder ve veri sorumlusu değildir.

3. Hangi verileri, nereden, neden işliyoruz

3.1 Hesap (müşteriler ve firmalar)

Veriler: ad, soyad, e-posta, şifre (yalnızca bcrypt özeti olarak), telefon, ülke, bölge, posta kodu, açık adres, dil, saat dilimi, hesap türü, durum, kabul edilen şartların tarihi ve sürümü, iki adımlı doğrulama ayarı, kayıt anındaki IP ve zaman, son giriş zamanı ve IP'si, son etkinlik zamanı.
Kaynak: siz — kayıt ve profil.
Amaç: hesabı sağlamak, giriş, servis e-postaları (doğrulama kodu, 2FA kodu, şifre sıfırlama, bildirimler), eşleştirme için konum, kötüye kullanımın önlenmesi.
Hukuki dayanak: GDPR Md. 6(1)(b) (platform kullanım sözleşmesi) ve Md. 6(1)(f) (güvenlik — güvenilir bir pazaryeri işletme meşru menfaatimiz).

3.2 Hizmet talepleri (müşteriler)

Veriler: seçilen hizmet ve alt hizmet, kategoriye özel soruların cevapları (çatı tipi, sistem gücü, panel sayısı, zaman planı, bütçe aralığı vb.), serbest metin açıklama, yüklediğiniz fotoğraf ve belgeler, posta kodu, bölge, açık adres, posta kodundan türetilen yaklaşık koordinatlar, talep referansı, durum ve tarihler.
Amaç: talebi uygun firmalarla eşleştirmek ve teklif almalarını sağlamak; kayıt tutmak.
Hukuki dayanak: GDPR Md. 6(1)(b).
Bir teklifi kabul etmeden önce firmalar ne görür: hizmet ayrıntıları, cevaplar, açıklama, fotoğraflar, posta kodu ve bölge, adınız yalnızca baş harfleriyle (profilde "tam adımı göster"i açmadıysanız). Açık adres, telefon ve e-posta bu aşamada gösterilmez.
Teklifini kabul ettiğiniz firma ne görür: tam adınız, açık adresiniz, telefonunuz ve e-postanız — işi yapabilmesi için. Bu açılış kayda geçer.
Lütfen serbest metin açıklamaya iletişim bilgisi yazmayın; platform, telefon numarası veya e-posta içeren açıklamaları sizi korumak için reddeder.

3.3 Eşleştirme

Bir talep yayımlandığında platform hangi firmaların görebileceğini otomatik belirler. Ölçütler: firmanın kayıtlı olduğu hizmet kategorisi ve tesis türü; firmanın hizmet bölgesinin (posta kodu ön ekleri veya bir merkez posta koduna yarıçap) talep posta koduyla karşılaştırılması; o kategori için o ülkede yasal olarak gereken belgelere sahip olup olmadığı; üyeliğinin aktif olup olmadığı; doğrulanmış ve onaylanmış olup olmadığı. Eşleşen firmalara bildirim gider. Bu, alıcıların otomatik seçimidir; size karşı hukuki sonuç doğurmaz ve sizi kişi olarak değerlendirmez; GDPR Md. 22 uygulanmaz. Firmaların talep listesinde talepler yayım tarihine göre sıralanır; bir pazarlama kampanyası kodu kullanan müşterilerin talepleri süreli olarak önce gösterilir ("öne çıkan"/"öncelikli"). Hiçbir firma talebinizi daha erken görmek için ödeme yapamaz.

3.4 Teklifler, sözleşmeler, randevular ve iş takibi

Veriler: teklif içeriği (fiyat, kapsam, koşullar, geçerlilik), kararlarınız (kısa liste, kabul), kabulde üretilen hizmet sözleşmesi (adınızı, iş adresini, firma bilgilerini ve teklifi içeren metin; fark edilmeden değiştirilemesin diye özetiyle saklanır), kabulünüz (ad, zaman damgası, IP), cayma bilgileri ve erken başlama istediyseniz onayınız, randevu tarih-saatleri, firmaya verdiğiniz erişim notları, iş aşamaları ve firmanın yüklediği fotoğraflar, nihai tutar.
Amaç: sizinle firma arasındaki anlaşmanın kurulması, belgelenmesi ve ifası; uyuşmazlıkta delil.
Hukuki dayanak: GDPR Md. 6(1)(b); sözleşme metninin saklanması Md. 6(1)(c) ve (f) (yasal saklama ve delil).

3.5 Mesajlar

Veriler: müşteri ile firma arasındaki mesaj metinleri, ekler, gönderim ve okunma zamanı, yazıldığı dil ve — yalnızca bir platform yöneticisi destek amacıyla hesabınıza erişirken mesaj yazdıysa — bunu belirten bir işaret.
Amaç: iki tarafın talep ve iş hakkında iletişimi.
Hukuki dayanak: GDPR Md. 6(1)(b).
Otomatik çeviri: okuyanın dili yazanınkinden farklıysa mesaj metni çeviri için DeepL SE'ye (Köln, Almanya) gönderilir ve çeviri özgün metnin yanında önbelleğe alınır. DeepL, veri işleme sözleşmesi (GDPR Md. 28) kapsamında veri işleyenimizdir; metni yalnızca çeviriyi döndürmek için işler ve model eğitiminde kullanmaz. Mesaj gövdeleri, önizlemeler ve çeviriler veritabanımızda şifreli saklanır (bkz. 8).

3.6 Firma doğrulama (KYB)

Veriler: unvan, ticari ad, hukuki şekil, kayıtlı adres, ticaret sicil numarası ve mahkemesi, KDV ve vergi numaraları, kuruluş yılı, çalışan aralığı, yetkili kişi ve görevi, iş telefonu, cep telefonu, iş e-postası, web sitesi, hizmet verilen kategori ve tesis türleri, hizmet bölgeleri, belge ve sertifikalar ile geçerlilik tarihleri, yüklenen belgeler (sicil kaydı, faaliyet belgesi, sigorta, sertifikalar) ve dosya özetleri, doğrulama sonuçları, ekip üyeleri (ad, görev, fotoğraf, e-posta, telefon, panel yetkileri), logo, kapak görseli, referans fotoğrafları, katalog dosyaları, paylaşımlar ve ürünler.
Amaç: pazaryerine yalnızca gerçek ve yetkili işletmeleri almak (Dijital Hizmetler Yasası Md. 30 — tacir izlenebilirliği), herkese açık firma profili, firma paneli.
Hukuki dayanak: GDPR Md. 6(1)(b) (firma sözleşmesi) ve Md. 6(1)(c) (DSA Md. 30). KDV numaraları Avrupa Komisyonu VIES servisinde doğrulanır; yalnızca numara ve ülke iletilir.
Herkese açık profil: DSA tacirlerin tanınabilir olmasını gerektirdiği için firmanın unvanı, adresi, sicil numarası ve iş e-postası giriş yapmış kullanıcılara gösterilir. Telefon, cep, ekip, sertifikalar, referanslar ve kataloğun herkese açık, takipçilere açık veya gizli olmasını firma seçer.

3.7 Üyelikler, ödemeler ve faturalar (firmalar)

Veriler: seçilen paket, dönem, fiyat, KDV, ödeme referansı, girdiğiniz havale bilgileri (gönderen adı, havale tarihi, IBAN'ın son dört hanesi), yüklediğiniz dekont, inceleme kararı, fatura verileri (numara, tarihler, tutarlar, KDV işlemi, alıcı), XRechnung/e-fatura XML'i, üyelik sözleşmesi metni ve elektronik kabulünüz (ad, zaman, IP).
Amaç: üyeliğin satışı ve yönetimi, faturalama, muhasebe, vergi uyumu.
Hukuki dayanak: GDPR Md. 6(1)(b) ve (c) (§ 14 UStG, §§ 146–147 AO, § 257 HGB). Kart veya otomatik ödeme işletmiyoruz; para bankadan bankaya aktarılır. Tam IBAN'ınız platformda hiçbir zaman saklanmaz; dekont özel depoda tutulur ve her yönetici görüntülemesi kayda geçer.

3.8 Değerlendirmeler

Veriler: tamamlanmış bir iş hakkında yazdığınız puan, başlık ve metin, firmanın cevabı, baş harfleriniz (veya seçtiyseniz tam adınız), avatar, şehir, tarih, moderasyon durumu.
Amaç: diğer müşterilerin firmaları değerlendirebilmesi; DSA'ya uygun moderasyon.
Hukuki dayanak: GDPR Md. 6(1)(b) ve (f). Değerlendirme yalnızca platformda takip edilen bir iş tamamlandıktan sonra yapılabilir ve moderasyondan sonra yayımlanır.

3.9 Bildirimler, e-posta ve push

Veriler: uygulama içi bildirimler (tür, kısa metin, bağlantı, okunma durumu), bildirim tercihleriniz, e-posta teslimi ve — yalnızca mobil uygulama için — kaydettiğiniz cihaz push jetonu.
Amaç: teklif, mesaj, randevu, iş aşaması, sözleşme adımı, moderasyon kararı ve üyelik bitişi hakkında bilgilendirme.
Hukuki dayanak: GDPR Md. 6(1)(b). Zorunlu olmayan her bildirimi tercihlerinizden kapatabilirsiniz. Mobil uygulama push mesajları Firebase Cloud Messaging (Google Ireland Ltd.) üzerinden iletilir; push jetonu, kısa başlık ve metin aktarılır. Google bu verileri AB-ABD Veri Gizliliği Çerçevesi ve standart sözleşme maddeleri kapsamında ABD'de işleyebilir. Cihaz kaydetmezseniz Google'a veri gitmez.

3.10 Güvenlik, günlükleme ve denetim izi

Veriler: sunucu erişim günlükleri (IP, zaman, istenen sayfa, tarayıcı kimliği, yanıt durumu), önemli işlemleri kaydeden uygulama denetim günlüğü (kim, ne zaman, hangi IP ve tarayıcıdan ne yaptı — girişler, şifre değişiklikleri, teklif kabulü, ödeme kararları, yönetici işlemleri, veri dışa aktarımları), hız sınırı sayaçları, oturum kayıtları, e-posta doğrulama ve 2FA kodları (özetlenmiş), rıza kayıtları (tür, sürüm, zaman, IP, tarayıcı).
Amaç: platform güvenliği, kötüye kullanımın tespiti ve soruşturulması, rıza/kabul ispatı, hesap verebilirlik (GDPR Md. 5(2)).
Hukuki dayanak: GDPR Md. 6(1)(f) (güvenlik ve delil) ve Md. 6(1)(c) (hesap verebilirlik, DSA kayıt yükümlülüğü).

3.11 Yöneticinin hesabınıza erişimi ("kullanıcı olarak gör")

Teknik destek ve kötüye kullanım incelemeleri için en yüksek yetkili bir platform yöneticisi hesabınızı açıp sizin gördüğünüzü görebilir. Bu yalnızca yazılı gerekçeyle mümkündür, yöneticinin kimliği, zamanı ve IP'siyle denetim günlüğüne yazılır, 60 dakika sonra otomatik biter ve şifrenizi ya da e-postanızı değiştirmesi, hesabınızı silmesi veya ödeme başlatması teknik olarak engellenmiştir. Bu sırada yazılan mesajlar görünür bir "yönetici tarafından yazıldı" işareti taşır. Veri dışa aktarımınız (bölüm 9) her böyle erişimi listeler. Hukuki dayanak: GDPR Md. 6(1)(f) (destek ve platform bütünlüğü) ve destek istediğinizde Md. 6(1)(b).

3.12 İçerik bildirimleri ve moderasyon (Dijital Hizmetler Yasası)

Herkes içerik bildirebilir. Bildirimi (içeriğin türü ve referansı, sebep, açıklama, bildirenin isteğe bağlı e-postası, zaman), kararımızı ve gerekçesini saklar; içeriği paylaşan kişiye ve — adres verilmişse — bildirene bilgi veririz. Moderasyon kararlarına itirazlar aynı özenle saklanır. Hukuki dayanak: GDPR Md. 6(1)(c) (DSA Md. 16, 17, 20, 23, 24).

3.13 Basılı davet kampanyaları

Ticari adresi herkese açık olan güneş enerjisi firmalarına ve mülk sahiplerine kişisel kod ve QR kodlu davet mektupları göndeririz. Platformda yalnızca kod, kampanya ve — kod tarandığında veya kullanıldığında — o olayın zamanı, IP'si ve tarayıcısı saklanır; amaç kampanyayı ölçmek ve kod kötüye kullanımını önlemektir. Alıcı adres listesi platformda tutulmaz. Hukuki dayanak: GDPR Md. 6(1)(f) (işletmelere posta yoluyla doğrudan pazarlama; her zaman itiraz edebilirsiniz).

3.14 Çerezler

Yalnızca sitenin çalışması için zorunlu çerezleri kullanırız (oturum, CSRF koruması, çerez tercihi, dil, açık/koyu tema ve seçerseniz "beni hatırla"). Hiçbiri reklam, takip veya profilleme için kullanılmaz; üçüncü taraf çerezi yoktur. Ayrıntılar, süreler ve tercihinizi her zaman değiştirebileceğiniz sayfa: Çerez Bildirimi ve Çerez ayarları.

4. Alıcılar ve veri işleyenler

Kişisel veri satmayız ve reklamcılarla paylaşmayız. Sitedeki Unsplash görselleri bir kez indirilmiş olup kendi sunucumuzdan sunulur; gezinirken Unsplash'a istek gitmez.

5. AB/AEA dışına aktarım

Platform verileri AB'de saklanır. AB dışına aktarım yalnızca iki durumda olur: (a) mobil uygulama push bildirimleri için Google üzerinden (3.9), AB-ABD Veri Gizliliği Çerçevesi ve standart sözleşme maddeleriyle korunur; (b) Türkiye'de yerleşik bir firma (yeterlilik kararı olmayan ülke) talebinizle eşleşir veya işi alırsa — bu durumda aktarım talep ettiğiniz sözleşmenin ifası için gereklidir (GDPR Md. 49(1)(b)) ve firma sözleşmeyle GDPR'a eşdeğer yükümlülüklere bağlıdır. Talepte ülke seçerek talebinizi kendi ülkenizdeki firmalarla sınırlayabilirsiniz.

6. Saklama süreleri

Silme işlemleri her saat otomatik çalışır; son çalışma yöneticilere görünür. Yedekler 30 gün içinde üzerine yazılır.

7. Hesabınızı sildiğinizde ne olur

Hesabınızı profilinizden kendiniz silebilirsiniz (şifre gerekir). Kişisel verilerinizi bir ay içinde anonimleştiririz: ad, e-posta, telefon, adres, koordinatlar, fotoğraflar, cihaz jetonları, oturumlar ve rıza kayıtlarındaki IP verileri silinir veya takma adla değiştirilir. Yasal olarak saklamak zorunda olduğumuz kayıtlar (faturalar, kabul edilmiş sözleşmeler, tamamlanmış işler için yazdığınız değerlendirmeler) sizi artık tanımlamayan biçimde tutulur. Aktif ya da incelemedeki bir firmanın sahip hesabı, DSA tacir kimliğinin saklanmasını zorunlu kıldığı için firma varken anonimleştirilemez; önce firmayı devredin veya kapatın ya da bize yazın.

8. Güvenlik

• Tüm trafik şifrelidir (TLS); HTTP istekleri HTTPS'e yönlendirilir; HSTS açıktır.
• Şifreler yalnızca bcrypt özeti olarak saklanır; e-posta kodlu iki adımlı doğrulama herkese açık, yöneticiler için zorunludur.
• Özellikle hassas alanlar — mesaj metinleri, telefon numaraları, açık adresler, iş adresleri, erişim notları, gönderen adları, sözleşme metinleri — veritabanında şifreli saklanır (AES-256-CBC + HMAC-SHA256); anahtar veritabanında veya yedeklerde bulunmaz.
• Talep fotoğrafları, doğrulama belgeleri ve dekontlar web kökünün dışında tutulur ve yalnızca yetkili kullanıcılara akıtılır; her yönetici görüntülemesi kayda geçer.
• Müşteri iletişim bilgileri bir firmaya yalnızca teklifi kabul edildikten sonra açılır ve kayda geçer.
• Her önemli işlem denetim günlüğüne yazılır; yöneticilerin kullanıcı hesaplarına erişimi süreli ve kayıtlıdır.
• Hız sınırlama, bal küpü alanları ve güvenlik başlıkları kaba kuvvet, bot ve siteler arası saldırılara karşı korur.

9. Haklarınız

• Erişim ve taşınabilirlik (Md. 15, 20): profilinizden hesabınızın tüm verilerini makine tarafından okunabilir JSON dosyası olarak istediğiniz an indirebilirsiniz.
• Düzeltme (Md. 16): çoğu veriyi profilinizden düzeltebilirsiniz; gerisi için bize yazın.
• Silme (Md. 17): hesabınızı profilinizden silin (bölüm 7) veya bize yazın.
• Kısıtlama (Md. 18) ve itiraz (Md. 21): meşru menfaate dayanan işlemelere (örn. posta yoluyla davet kampanyası, zorunlu olmayan güvenlik günlükleri) her zaman itiraz edebilirsiniz; değerlendiririz.
• Rızayı geri alma (Md. 7(3)): çerez tercihleri Çerez ayarları'ndan, pazarlama rızaları bildirim tercihlerinden değiştirilir. Geri alma, önceki işlemeyi etkilemez.
• Şikâyet (Md. 77): bölüm 1'deki makama veya mutat ikametinizdeki makama.

Bir hakkı kullanmak için hesabınızın e-posta adresinden datenschutz@solarclient.de'e yazın. Bir ay içinde cevap veririz; karmaşık durumlarda süreyi iki ay uzatabilir ve sizi bilgilendiririz. Talepler süre takibi için veri sahibi talepleri kaydımıza işlenir.

10. Çocuklar

Platform yetişkinler içindir. 18 yaş altı kişilerin verilerini bilerek işlemeyiz; böyle bir kayıt olduğunu düşünüyorsanız bildirin, hesabı sileriz.

11. Veri verme zorunluluğu yoktur

Bize veri vermek yasal bir zorunluluk değildir. Hesapsız yalnızca herkese açık sayfalar gezilebilir; talep ayrıntıları olmadan talep eşleştirilemez; doğrulama belgeleri olmadan firma kabul edilemez. Zorunlu işaretli alanlar sözleşme için gereklidir; diğerleri isteğe bağlıdır.

12. Değişiklikler

Platform değiştikçe bu politikayı güncelleriz. Sürüm numarası ve tarih sayfanın üstündedir; kayıtlı kullanıcılara önemli değişiklikler en az 14 gün önce e-posta veya uygulama içi bildirimle duyurulur. Kabul ettiğiniz sürüm hesabınızla birlikte saklanır.

Sürüm: 1.0