Gizlilik Politikası

Badal Umrah, İsveç'in Stockholm şehrinden yürütülen, yalnızca çevrim içi çalışan bir hizmettir. Adını verdiğiniz bir kişi adına Mekke'de umre — rezervasyon yapıldıysa hac bedeli — ifa edilmesini organize eder ve ifanın kanıtını size dijital olarak teslim ederiz. Bu politikada tanımlanan kişisel veriler bakımından veri sorumlusu biziz; yani verilerin neden ve nasıl işleneceğine biz karar veririz.

Zorunlu olmadığımız için bir Veri Koruma Görevlisi atamadık. Gizlilik soruları doğrudan hizmeti yürüten kişiler tarafından ele alınır; aşağıdaki bilgilerden e-posta veya posta yoluyla onlara ulaşabilirsiniz.

Bu politika; web sitemiz, rezervasyon ve ödeme akışımız, müşteri hesapları, e-posta ve mesaj yazışmalarımız, partner başvuru formumuz ile fotoğraf, video ve tamamlama sertifikalarının teslimi yoluyla işlediğimiz kişisel verileri kapsar. Nerede yaşadığınızdan bağımsız olarak geçerlidir. Avrupa Birliği, Avrupa Ekonomik Alanı, Birleşik Krallık veya İsviçre'de bulunuyorsanız GDPR'a atıf yapan bölümler size uygulanır. Amerika Birleşik Devletleri'nde bulunuyorsanız aşağıdaki ABD gizlilik hakları bölümünü de okuyunuz.

Yalnızca rezervasyonunuzu kabul etmek, hizmeti ifa etmek, ifa edildiğini kanıtlamak ve yasal yükümlülüklerimizi yerine getirmek için gereken verileri toplarız. Siteyi nasıl kullandığınıza bağlı olarak bunlar şunları içerebilir:

• Müşteri iletişim bilgileri — adınız, e-posta adresiniz ve dilerseniz telefon veya WhatsApp numaranız ile bize gönderdiğiniz mesajlar.
• Bedelde bulunulan kişiye ait bilgiler — umrenin veya haccın adına ifa edildiği kişinin adı, durumu (örneğin vefat etmiş, yaşlı veya ağır hasta), sizinle yakınlık derecesi, yazdığınız dua metni veya özel dilekler, isteğe bağlı bir fotoğraf ve dikkate almamızı istediğiniz bir tarih.
• Hesap bilgileri — e-posta adresiniz ve yalnızca tuzlanmış kriptografik özet olarak saklanan, hiçbir zaman okunabilir biçimde tutulmayan parolanız ile hesabınıza bağlı rezervasyonlar.
• Sipariş ve ödeme bilgileri — seçtiğiniz paket ve ek hizmetler, görüntüleme para biriminiz, tahsil edilen tutar, rezervasyon referansı ve ödeme durumu. Kart numaraları, son kullanma tarihleri ve güvenlik kodları doğrudan Stripe'a girilir ve hiçbir zaman sunucularımıza ulaşmaz.
• Teslim edilen materyaller — rezervasyonunuz için üretilen fotoğraflar, video klipler ve tamamlama sertifikası ile bunları görüntülemenizi ve indirmenizi sağlayan özel teslim bağlantısı.
• Partner başvuru verileri — bizim adımıza ifa etmek için başvurursanız yüklediğiniz kimlik, ikamet ve yeterlilik belgeleri ile başvuru formundaki bilgiler.
• Zorunlu çerezler ve teknik veriler — oturum açtığınız sürece geçerli bir oturum çerezi, dil tercihiniz, görüntüleme para birimi tercihiniz ve güvenlik ile sorun giderme amacıyla tutulan standart sunucu kayıtları (IP adresi, tarayıcı türü, istek zamanı).
• Yazışma ve destek geçmişi — talebinizi gereği gibi takip edebilmemiz için bizimle paylaştığınız e-postalar, iletişim formu mesajları ve sohbet mesajları.

Bedel rezervasyonu doğası gereği sizden başka birine ilişkindir. Bize bir kişinin adını, durumunu, yakınlık derecesini, fotoğrafını veya duasını verdiğinizde üçüncü bir kişiye ait kişisel veri vermiş olursunuz. Bu bilgiyi bu amaçla bizimle paylaşmaya yetkili olduğunuzu ve kişi hayattaysa ve durumu anlayabiliyorsa rezervasyondan haberdar olup buna rıza gösterdiğini beyan edersiniz.

GDPR uyarınca vefat etmiş bir kişiye ilişkin bilgi, o kişinin kişisel verisi sayılmaz. Buna rağmen ailesine saygı gereği ve genellikle hayatta olan sizinle ilişkilendirildiği için bu bilgileri aynı gizlilik ve aynı güvenlik önlemleriyle ele alırız. Adı verilen ve hayatta olan bir kişinin hasta veya güçsüz olduğu bilgisi sağlık verisi niteliği taşıyabilir. Bu durumda rezervasyonu gönderirken verdiğiniz açık rızanıza dayanırız ve bu bilgiyi yalnızca talep ettiğiniz hizmeti düzenlemek ve ifa etmek için kullanırız.

Lütfen bize rezervasyon formunun istediğinden fazla bilgi göndermeyin. Özellikle kişiye ait tıbbi kayıt, resmî kimlik belgesi veya mali belge göndermeyin — bunlara ihtiyacımız yoktur ve bize ulaşan bu tür içerikleri sileriz.

GDPR'ın uygulandığı hâllerde şu hukuki dayanaklara dayanırız:

• Sözleşmenin ifası, madde 6(1)(b) — rezervasyonunuzu kabul edip onaylamak, ödemeyi tahsil etmek, umre veya haccı organize edip ifa etmek, fotoğraf, video ve sertifikanızı teslim etmek, iptal ve iadeleri yürütmek için.
• Hukuki yükümlülüğe uyum, madde 6(1)(c) — İsveç Muhasebe Kanunu uyarınca muhasebe kayıtlarını tutmak ve vergi, tüketici hukuku ile dolandırıcılıkla mücadele gerekliliklerini karşılamak için.
• Meşru menfaat, madde 6(1)(f) — siteyi ve hesapları güvende tutmak, dolandırıcılık ve kötüye kullanımı önlemek, destek taleplerini yanıtlamak, partner başvurularını değerlendirmek ve olası bir uyuşmazlık ya da ödeme itirazına karşı neyi teslim ettiğimizin kaydını saklamak için. Bu menfaatleri haklarınızla tartar ve yalnızca sizin haklarınız ağır basmadığında devam ederiz.
• Rıza, madde 6(1)(a) — sağlıkla ilgili bilgiler için madde 9(2)(a) — isteğe bağlı fotoğraf, hayatta olan kişinin hasta olduğu bilgisi, rezervasyonunuzla bağlantılı materyalin herhangi bir kamuya açık kullanımı ve bültenimiz için. Rızanızı istediğiniz zaman geri çekebilirsiniz; bu, geri çekmeden önce gerçekleşen işlemenin hukuka uygunluğunu etkilemez.
• Hayati menfaat veya kamu görevi dayanaklarına başvurmayız ve sizin bakımınızdan hukuki ya da benzer ölçüde önemli sonuçlar doğuran otomatik karar verme veya profilleme yapmayız.

Kişisel verilerinizi yalnızca şu amaçlarla kullanırız:

• Rezervasyonunuzu kabul etmek, onaylamak ve yönetmek; onay ve durum bildirimleri göndermek.
• Ödemeyi tahsil etmek; makbuz, iade ve gerektiğinde fatura düzenlemek.
• Mekke'deki ifa edeni yönlendirerek ibadetin doğru kişi için, doğru niyetle ve sizin duanızla yerine getirilmesini sağlamak.
• Fotoğraf, video ve tamamlama sertifikanızı üretmek ve teslim etmek.
• Sorularınızı yanıtlamak; şikâyet, iptal ve iadeleri yürütmek.
• Defterlerimizi tutmak, yasal yükümlülüklerimizi yerine getirmek ve hizmeti dolandırıcılık ile kötüye kullanıma karşı korumak.

Kişisel verilerinizi davranışsal reklamcılıkta kullanmayız, hakkınızda pazarlama profili oluşturmayız ve verilerinizi kimseye satmaz veya kiralamayız.

Ödemeler Stripe tarafından işlenir. Ödeme yaptığınızda kart veya cüzdan bilgileriniz Stripe'ın barındırdığı bir alanda ya da ödeme sayfasında toplanır ve doğrudan Stripe'a iletilir. Tam kart numaranızı, son kullanma tarihinizi veya güvenlik kodunuzu hiçbir zaman görmez, saklamaz ve işlemeyiz. Stripe, kart ödemelerinde en yüksek güvenlik sertifikasyon düzeyi olan PCI-DSS Seviye 1 sertifikasına sahiptir.

Stripe bize yalnızca rezervasyonu yürütmek için gerekli olanı iletir: ödemenin başarılı olup olmadığı, tutar ve para birimi, kartın markası ile son dört hanesi ve bir ödeme referansı. Stripe ayrıca kendi dolandırıcılık önleme ve mevzuat amaçları için bazı verilerinizi bağımsız veri sorumlusu sıfatıyla, okumanızı tavsiye ettiğimiz kendi gizlilik politikası kapsamında işler.

Rezervasyonunuz için ürettiğimiz materyaller barındırma altyapımızda saklanır ve uzun, tahmin edilemez bir belirteç içeren özel bir teslim bağlantısıyla size sunulur. Bağlantıya sahip olan herkes dosyaları görüntüleyebilir; bu nedenle bağlantıyı yalnızca görmesini istediğiniz kişilerle paylaşın.

Kimliği belirlenebilir bir rezervasyonla bağlantılı materyalleri — örneğin site galerimizde veya sosyal medyada — o kullanım için ayrı ve açık bir rızanız olmadıkça asla yayımlamayız. Bu rızayı istediğiniz zaman geri çekebilirsiniz; materyali kendi kanallarımızdan makul olan en kısa sürede kaldırırız.

Bize ifa eden olarak katılmak için başvurursanız; kimliğinizi, Suudi Arabistan'daki ikamet durumunuzu ve bedel ifa etmeye dinî ehliyetinizi doğrulamak amacıyla başvuru formunuzu ve yüklediğiniz belgeleri işleriz. Bu belgelere erişim, başvuruları değerlendiren kişilerle sınırlıdır. Sonuçlanmayan başvuruları, koşullar değişirse yeniden değerlendirebilmek için en fazla on iki ay saklar, ardından sileriz. Başvurunuzun daha erken silinmesini istediğiniz zaman talep edebilirsiniz.

Yalnızca sitenin çalışması için kesinlikle gerekli olan çerezleri kullanırız. Reklam, yeniden hedefleme veya siteler arası izleme çerezleri kullanmaz; sizi siteler arasında profilleyen üçüncü taraf analiz araçları gömmeyiz.

• Yalnızca oturum açtığınızda oluşturulan ve hesabınızda oturumunuzu açık tutan bir oturum çerezi.
• Sitenin seçtiğiniz dilde açılmasını sağlayan bir dil tercihi çerezi.
• Fiyatların seçtiğiniz para biriminde görünmesini sağlayan bir görüntüleme para birimi çerezi.

Bu çerezler talep ettiğiniz bir hizmeti sunmak için kesinlikle gerekli olduğundan AB e-gizlilik kuralları uyarınca rıza gerektirmez; bu nedenle çerez bandı göstermeyiz. Yine de tarayıcı ayarlarınızdan çerezleri engelleyebilir veya silebilirsiniz; ancak bu durumda site oturumunuzu açık tutamayabilir ya da dil ve para birimi tercihinizi hatırlayamayabilir.

Kişisel verileri yalnızca hizmeti yürütmek için ihtiyaç duyduğumuz sağlayıcılarla paylaşırız. Her biri yazılı bir veri işleme sözleşmesi kapsamında veri işleyen sıfatıyla hareket eder, verileri yalnızca belgelenmiş talimatlarımız doğrultusunda kullanabilir ve kendi amaçları için kullanamaz:

• Stripe — ödeme işleme, dolandırıcılık önleme, iadeler ve ödeme itirazlarının yönetimi.
• E-posta ve SMTP sağlayıcımız — rezervasyon onayları, durum bildirimleri ve teslim bağlantılarının gönderimi.
• Barındırma ve depolama sağlayıcımız — web sitesinin, veritabanının ve medya dosyalarının çalıştırılması.
• Mekke'deki ifa edenlerimiz ve koordinatörlerimiz — ibadetin doğru kişi için doğru şekilde yerine getirilebilmesi amacıyla yalnızca kişinin adını ve durumunu, sizinle yakınlığını ve duanız ile özel dileklerinizi alırlar; bundan fazlasını değil.
• Profesyonel danışmanlarımız — muhasebeciler ve gerektiğinde avukatlar; tamamı sır saklama yükümlülüğü altındadır.

Ayrıca kanun, mahkeme veya yetkili bir makam gerektirdiğinde ya da bir hukuki talebin tesisi, kullanılması veya savunulması için gerekli olduğunda verileri açıklayabiliriz. İşletmemiz bir gün başka bir sahibe devredilirse kişisel veriler de devredilebilir; bu gerçekleşmeden önce sizi bilgilendirir ve yeni sahibi bu politikayla bağlı oluruz.

Kişisel verileri satmayız, kiralamayız ve bağlamlar arası davranışsal reklamcılık için paylaşmayız.

İsveç merkezliyiz ve temel kayıtlarımızı Avrupa Ekonomik Alanı içinde tutarız. Bu hizmetin doğasında bulunan iki aktarım AEA dışına yapılır. Birincisi, ibadetin ifası için gereken kişi bilgileri, Avrupa Komisyonu'nun yeterli koruma düzeyi sağladığını kabul etmediği Suudi Arabistan Krallığı'ndaki ifa edenlerimize ve koordinatörlerimize aktarılır. İkincisi, Stripe dâhil bazı sağlayıcılarımız verileri Amerika Birleşik Devletleri'nde işleyebilir.

Bu aktarımlarda Avrupa Komisyonu'nun Standart Sözleşme Hükümlerine dayanır; uygun olduğunda sıkı veri minimizasyonu, aktarım sırasında şifreleme, erişim denetimleri ve gizlilik taahhütleri gibi ek teknik ve idari önlemlerle destekleriz. Suudi Arabistan'a aktarım, yerine getirmemizi istediğiniz sözleşmenin ifası için kesinlikle gerekli olduğunda ayrıca GDPR madde 49(1)(b)'ye dayanabiliriz. Kullandığımız güvencelerin bir kopyasını bu politikanın sonundaki adrese yazarak talep edebilirsiniz.

Kişisel verileri yalnızca ihtiyaç duyduğumuz süre boyunca saklar, ardından siler veya geri döndürülemez şekilde anonimleştiririz:

• Rezervasyon ve ödeme kayıtları — İsveç muhasebe mevzuatı gereği, rezervasyonun yapıldığı mali yılın bitiminden itibaren yedi yıl.
• Kişi bilgileri ve dua metni — hizmet düzenlenip teslim edilirken rezervasyon kaydıyla birlikte saklanır, sonrasında muhasebe kaydının gerektirdiği ölçüye indirilir.
• Teslim edilen fotoğraf, video ve sertifikalar — daha erken silinmesini veya daha uzun saklanmasını istemediğiniz sürece teslim bağlantınız üzerinden yirmi dört ay boyunca erişilebilir kalır.
• Hesap verileri — hesabınız açık kaldığı sürece. Hesabınızı kapatırsanız hesabı sileriz ve yalnızca muhasebe kaydının gerektirdiğini saklarız.
• Destek yazışmaları — konu kapandıktan sonra en fazla yirmi dört ay. Sonuçlanmayan partner başvuruları — en fazla on iki ay. Sunucu güvenlik kayıtları — en fazla on iki ay.

Siteye gelen ve siteden giden tüm trafiği şifreleriz (HTTPS), parolaları yalnızca tuzlanmış özet olarak saklarız, rezervasyon ve medya verilerine erişimi gerçekten ihtiyaç duyan kişilerle sınırlarız, teslim bağlantılarını uzun rastgele belirteçlerle koruruz ve sistemlerimizi güncel tutarız. Hiçbir çevrim içi hizmet kusursuz güvenlik vaat edemez; ancak haklarınız ve özgürlükleriniz bakımından risk doğurması muhtemel bir kişisel veri ihlali yaşanırsa İsveç denetim makamına 72 saat içinde bildirimde bulunur ve kanunun gerektirdiği hâllerde gecikmeksizin doğrudan sizi bilgilendiririz.

GDPR size uygulanıyorsa kişisel verileriniz üzerinde şu haklara sahipsiniz:

• Erişim — hakkınızda veri işleyip işlemediğimizi öğrenmek ve verilerin bir kopyasını, nasıl ve neden kullandığımıza dair bilgilerle birlikte almak.
• Düzeltme — yanlış verilerin düzeltilmesini, eksik verilerin tamamlanmasını istemek.
• Silme — verileri saklamak için hukuka uygun bir sebebimiz kalmadığında silinmesini istemek. Bu hak, muhasebe kayıtları gibi kanunen saklamakla yükümlü olduğumuz kayıtları kapsamaz.
• Kısıtlama — bir itiraz değerlendirilirken veya doğruluk sorusu çözülürken işlemenin durdurulmasını istemek.
• Taşınabilirlik — bize verdiğiniz verileri yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir bir biçimde almak ve teknik olarak mümkün olduğunda başka bir veri sorumlusuna aktarılmasını istemek.
• İtiraz — meşru menfaatimize dayanan işlemeye her zaman itiraz etmek ve doğrudan pazarlamaya koşulsuz itiraz etmek.
• Rızanın geri alınması — verdiğiniz herhangi bir rızayı, geri almadan önce gerçekleşen işlemenin hukuka uygunluğunu etkilemeksizin istediğiniz zaman geri almak.

Bu haklardan herhangi birini kullanmak için bize şu adresten yazın:

Talebinizi aldıktan sonra bir ay içinde yanıt veririz. Verilerinizi başka birine açıklamamak için harekete geçmeden önce kimliğinizi doğrulamamızı sağlayacak bilgiler isteyebiliriz. Haklarınızı kullanmak, talep açıkça dayanaksız veya aşırı olmadıkça ücretsizdir.

Verilerinizi hukuka aykırı biçimde işlediğimizi düşünüyorsanız İsveç Gizliliği Koruma Kurumu'na — Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, İsveç, imy@imy.se — ya da yaşadığınız, çalıştığınız veya iddia edilen ihlalin gerçekleştiği AB veya AEA ülkesinin denetim makamına şikâyette bulunabilirsiniz.

Amerika Birleşik Devletleri'nde ikamet ediyorsanız bu bölüm politikanın geri kalanına ek olarak uygulanır. Bölüm, California Gizlilik Hakları Yasası ile değişik California Tüketici Gizliliği Yasası (CCPA/CPRA) esas alınarak yazılmıştır ve eyaletin kendi kapsamlı gizlilik yasasını çıkarıp çıkarmadığına bakılmaksızın aynı hakları tüm eyalet sakinlerine gönüllü olarak tanırız.

• Bilme hakkı — hakkınızda hangi kişisel bilgi kategorilerini ve hangi somut bilgileri topladığımızı, bunları nereden aldığımızı, hangi ticari amaçla topladığımızı ve hangi üçüncü taraf kategorilerine açıkladığımızı sorabilirsiniz.
• Silme hakkı — sizden topladığımız kişisel bilgilerin silinmesini, talep ettiğiniz bir işlemi tamamlamak veya yasal bir yükümlülüğe uymak için saklamamız gereken bilgiler gibi kanunun tanıdığı istisnalar saklı kalmak kaydıyla isteyebilirsiniz.
• Düzeltme hakkı — hakkınızda tuttuğumuz yanlış kişisel bilgilerin düzeltilmesini isteyebilirsiniz.
• Satış veya paylaşımdan çıkma hakkı — bir işletmeye kişisel bilgilerinizi satmamasını ve bağlamlar arası davranışsal reklamcılık için paylaşmamasını bildirebilirsiniz.
• Hassas kişisel bilgilerin kullanımını sınırlama hakkı — bir işletmeden hassas kişisel bilgileri yalnızca talep ettiğiniz hizmeti sunmak için gerekli olanla sınırlı kullanmasını ve açıklamasını isteyebilirsiniz.
• Ayrımcılığa uğramama hakkı — bir gizlilik hakkınızı kullandığınız için size hizmeti reddetmez, farklı bir fiyat uygulamaz veya daha düşük kalitede hizmet vermeyiz.

Kişisel bilgileri satmıyoruz ve son on iki ayda satmadık. Kişisel bilgileri bağlamlar arası davranışsal reklamcılık için paylaşmıyoruz. Hassas kişisel bilgileri, talep ettiğiniz hizmeti sunmak dışında hiçbir amaçla kullanmıyor veya açıklamıyoruz. Bu nedenlerle “Do Not Sell or Share My Personal Information” bağlantısı göstermiyoruz — çıkılacak bir işlem bulunmuyor.

Talepte bulunmak için bu politikanın sonundaki adrese “US privacy request” konu başlığıyla e-posta gönderin. Talebi aldığımızı on iş günü içinde teyit eder, kırk beş takvim günü içinde yanıtlarız; makul olarak gerekli olduğunda süreyi kırk beş gün daha uzatır ve bunu size bildiririz. Yetkili bir temsilci kullanabilirsiniz; bu durumda yetki belgesini ister ve kimliğinizi doğrudan bizimle doğrulamanızı talep edebiliriz.

On altı yaşından küçük çocukların kişisel bilgilerini bilerek toplamaz, satmaz ve paylaşmayız. Hizmetimiz yetişkinlere yöneliktir. Bir çocuğun bize kişisel bilgi verdiğini düşünüyorsanız bizimle iletişime geçin; bilgileri derhâl sileriz.

Toplama anında bildirim: topladığımız kişisel bilgi kategorileri yukarıdaki topladığımız kişisel veriler bölümünde, amaçlar nasıl kullandığımız bölümünde, alıcı kategorileri paylaşım bölümünde ve saklama sürelerimiz verileri ne kadar sakladığımız bölümünde belirtilmiştir. Bu bilgileri siteyi kullandığınızda, hizmet rezervasyonu yaptığınızda veya bizimle iletişime geçtiğinizde doğrudan sizden toplarız.

Hizmetimiz, sağlayıcılarımız veya mevzuat değiştikçe bu politikayı güncelleyebiliriz. Güncel sürüm her zaman bu sayfada, en üstte son güncelleme tarihiyle birlikte yayımlanır. Bir değişiklik kişisel verilerinizi kullanma şeklimizi esaslı biçimde etkiliyorsa yürürlüğe girmeden önce e-posta ile veya sitede açık bir duyuruyla size bildiririz.

Bu politika hakkında bir sorunuz varsa, bir hakkınızı kullanmak istiyorsanız veya verilerinizi ele alış şeklimizden memnun değilseniz önce bize yazın — durumu düzeltme fırsatını memnuniyetle karşılarız.