Bu sitenin gizliliği

Profilleme çerezi yok, davranış analitiği yok, reklam yok, üçüncü taraf betikleri yükleyen sosyal medya düğmeleri yok.

Tanıtım sayfaları ve harita ne hesap ister ne de oluşturur. Erişimi kısıtlı tek bölüm, defibrilatörlerden sorumlu kuruluşlar için olan SOS DAE Yönetim’dir: onu kullanmıyorsan burada senin için hiçbir şey değişmez.

Siteyi barındıran sağlayıcı, isteği IP adresinle birlikte teknik ve güvenlik nedenleriyle kaydeder. Bu bir günlük verisidir; sınırlı bir süre tutulur ve seni profillemek için kullanılmaz.

Tanıtım sayfaları statik dosyalardır: onları oluşturmak için sunucuda kod çalışmaz ve hiçbir veritabanı okunmaz.

Bu siteden ulaşılan harita, uygulamadakiyle aynı uygulamadır ve aynı şekilde davranır: konumun, izin verirsen, tarayıcıda kalır ve çevrendeki defibrilatörlere olan mesafeyi hesaplamak için kullanılır. Yalnızca gezinme için cihazdan asla çıkmaz.

Harita arka planı, harici bir karo sağlayıcısı olan CARTO’dan gelir; her karoyu sunarken baktığın alanı ve IP adresini alır. Adres araması, kullanırsan, OpenStreetMap Foundation’daki Nominatim üzerinden geçer; defibrilatör verileri ise OpenAEDMap’ten ve OpenStreetMap API’lerinden gelir.

Bunlar tarayıcının doğrudan o servislere yaptığı isteklerdir: onlarsız harita çizilemez, dolayısıyla hukuki dayanak, haritayı çalıştırmaktaki meşru menfaatimizdir. Onlarla temas etmemeyi tercih edersen, harita sitede bunu yapan tek sayfadır — diğerleri hiçbir dış istek yapmaz.

Servis servis tüm ayrıntı, uygulamanın içindeki metindedir.

Sitenin bizim bir sunucumuza gerçekten gönderdiği tek şey budur ve tam olarak anlatmaya değer. Bir OED’yi doğrulamak, dolabın boş olduğunu söylemek veya yenisini önermek yerinde olmayı gerektirir: uygulama konumunu ölçer ve mesafenin makul olduğunu denetlemek için defibrilatörünkiyle birlikte iletir.

Sunucu konumundan hiçbir şey tutmaz. Konum, seni OED’den kaç metre ayırdığını hesaplamak için bir anlığına gerekir ve yalnızca o sayı, metreye yuvarlanmış olarak, GPS doğruluğuyla birlikte saklanır. Koordinatlar hiçbir tabloya girmez: bu, veritabanı şemasına yazılmış bir tercihtir, bir vaat değil.

Onunla birlikte rastgele bir cihaz tanımlayıcısı yolculuk eder: uygulamanın ürettiği, telefondan türetilmeyen ve sana ait hiçbir şey içermeyen bir sayı. Aynı kişiyi üç kez saymak yerine üç farklı kişiyi saymaya yarar, çünkü bir düzeltme ancak birbirinden bağımsız birkaç cihaz aynı fikirde olduğunda herkese açılır.

Yayımlamak için — bir OED önermek, doğrulamak, durumunu bildirmek — ayrıca bir hesap gerekir ve gözlem ona bağlı kalır. Bir defibrilatör aramak, ona koşmak, check-in yapmak veya eğitim almak için hiçbir şey gerekmez: bunlar hiçbir şey istemez ve hesap oluşturmaz. Apple veya Google ile giriş bize bir e-posta adresi bırakır; hiçbir yerde görünmez. Sağlayıcı seçmeden yayımlayan, e-postasız ve adsız, anonim bir giriş alır. Bir takma ad seçersen herkese açıktır ve eklediğin OED’lerin yanında görünür.

Hukuki dayanak, başkalarının acil durumda kullanacağı bir haritayı doğru tutmaktaki meşru menfaatimizdir. Gözlemler en fazla iki yıl tutulur; sonrasında ağırlıkları kalmaz ve silinirler. Bağı istediğin an koparabilirsin: uygulamanın içindeki «Bu cihazı unut» tanımlayıcıyı sıfırlar ve o andan itibaren eski gözlemler artık telefonuna bağlanamaz.

Veriler Supabase’e, Frankfurt veri merkezine düşer. Hiçbir tablo dışarıdan okunamaz: her şey, seferde tek bildirim kabul eden ve kimin neyi bildirdiğinin listesini asla döndürmeyen fonksiyonlardan geçer.

Site çerez kullanmaz. Harita, tarayıcının yerel depolamasına (`localStorage`) birkaç şey kaydeder; bu farklı bir konudur: asla bir sunucuya gönderilmez — ne bizimkine ne başkasınınkine — ve site verilerini silene kadar cihazında kalır.

Orada seçtiğin dil, defibrilatörlerin son indirilen kopyası — haritayı bağlantısız çalıştıran budur — ve uygulamayı kullanıyorsan eğitim ilerlemen ile açtığın OED’ler tutulur.

Bunların hepsi, istediğin hizmet için kesinlikle gerekli bilgilerdir. Bir onay bandı görmemenin nedeni budur: yasa onu takip için ister; bir sitenin, okumak istediğin dili hatırlaması için değil. Gereksiz bir şeyimiz olsaydı o bant orada olurdu.

Bizim adımıza veri işleyen sağlayıcılar, veri işleyen olarak atanmış ve sözleşmeyle bağlanmıştır: siteyi barındıran ve teknik günlüklerini tutan Vercel; veritabanı, hesaplar ve özel alan için Supabase (Frankfurt veri merkezi); yönetim servisinin kişilerine süre uyarısı e-postalarını ileten Resend. Resend’in merkezi Amerika Birleşik Devletleri’ndedir: bu aktarım, kendi politikasında belirtilen GDPR Bölüm V güvencelerine dayanır. Alt işleyenlerin eksiksiz ve güncel listesi veri işleme sözleşmesine eklidir ve aşağıdaki adrese yazılarak edinilebilir.

Tarayıcının temas ettiği bazı servislerin merkezi Avrupa Ekonomik Alanı dışındadır ve isteği alırken IP adresini görürler: harita arka planı için CARTO; yol tarifi için «Git»e dokunursan Google Maps — o, seçilen defibrilatörün koordinatlarını da alır, seninkileri değil. Bunlar bizim adımıza işlem yapan işleyenler değildir: tarayıcının doğrudan çağırdığı, her biri kendi politikasına sahip servislerdir; bağlantıları uygulamanın içindeki hukuki sayfadadır.

Bir OED’nin durumunu OpenStreetMap notları üzerinden bildirirsen, o bildirim OSM haritasında metniyle birlikte herkese açık olur. OpenStreetMap böyle çalışır ve yazmadan önce bilmekte fayda var: oraya, herkesin okumasını istemeyeceğin hiçbir şey koyma.

Veri satmayız, reklam aracılarına aktarmayız ve otomatik sistemleri eğitmek için kullanmayız. Seninle ilgili profilleme de otomatik karar verme de yapmayız.

Yönetim servisiyle ilgili talepler e-postayla gelir. Yazdıklarını yalnızca yanıtlamak için ve müşteri olursan ilişkiyi yürütmek için kullanırız.

Bize bir kez yazdı diye kimseyi bültene kaydetmeyiz.

Verileri kim işler: bu sayfanın altında adı geçen veri sorumlusu. Ne işlenir: hesabının e-postası ve şifresi (şifreyi asla görmeyiz, sağlayıcıya zaten karma alınmış hâlde ulaşır), kuruluş adı, tesisler, marka ve modeliyle cihazlar, son kullanma tarihleri ve bakım kaydı.

Neden: istediğin hizmeti sunmak için — bir sözleşmenin ifası. Seni profillemek için değil, başka bir şey satmak için değil, veriyi kimseye aktarmak için değil.

Nerede: Supabase’te, Avrupa Birliği’ndeki bir veri merkezinde (Frankfurt). Her kuruluş yalnızca kendi verilerini görür ve ayrım veritabanı tarafından dayatılır: arayüze bağlı değildir.

Ne kadar süreyle: hesap etkin olduğu sürece. Hizmet bitince veriler talep üzerine silinir; bakım kaydı, yalnızca uyumu kanıtlamak için gerekliyse daha uzun tutulabilir ve o durumda sana söyleriz.

Ödemeler: fiyat listesi yayımlandığında tahsilat sertifikalı harici bir sağlayıcı üzerinden geçecek. Hiçbir kart verisi sistemlerimizden geçmez ve sistemlerimizde kalmaz: yalnızca aboneliğin etkin olduğunu ve ne zamana kadar olduğunu kaydederiz.

Cihazlarından biri herkese açık haritaya bağlıysa, topluluğun o OED hakkında yaptığı bildirimleri alırsın. Olguyu alırsın — «iki kişi dolabı boş buldu» — bildireni asla: o insanlar bizim için de anonimdir.

Hesabı olan herkes onu uygulamadan silebilir; kimseye yazmadan ve izin istemeden. Hesap, gözlemler ve oylar, henüz kimsenin doğrulamadığı öneriler — hepsi kaybolur. Zaten doğrulanmış öneriler haritada kalır ama yazarını kaybeder: bunlar başkalarının teyit ettiği noktalardır ve kaldırmak, defibrilatör arayana zarar verirdi — yasanın koruduğu şey olan seninle bağ ise zaten kaybolur.

Bir istisna var ve yalnızca askıya alınmış olanları ilgilendirir. Haritaya yayımlamak, başkalarının acil durumda okuyacağı bir yazımdır; onu bir şehri var olmayan noktalarla doldurmak için kullanan, tekrarında uzayan bir süreyle otomatik olarak askıya alınır. O kişi hesabı silip geri dönseydi temiz başlardı: silme, engeli kaldırmanın en kolay yolu hâline gelirdi.

Bunu önlemek için Google veya Apple’daki kimliğin tek yönlü karma alınmış bir parmak izini tutarız — e-postayı değil, adı değil, içeriği değil. Hiçbir kişiye geri götürülemeyen bir koddur: yalnızca o kimliğin yürürlükte bir askısı olduğunu tanımaya yarar. İki yıl tutulur, sonra kendini siler.

Hiç askıya alınmadıysan silme geriye kesinlikle hiçbir şey bırakmaz — normal durum da budur.

GDPR’nin 15 ila 22. maddeleri sana şu hakları verir: seni ilgilendiren verilere erişmek ve bir kopyasını almak, yanlışsa düzelttirmek, silinmesini istemek, bir itiraz açıkken işlemenin kısıtlanmasını istemek, verileri makine tarafından okunabilir bir biçimde alıp başka bir sağlayıcıya taşıtmak ve meşru menfaate dayalı işlemeye itiraz etmek.

İşleme rızaya dayandığında — bugün yalnızca, tarayıcıya verdiğin konum için — rızayı istediğin an geri çekebilirsin; geri çekmek, öncesinde olanı hukuka aykırı yapmaz. Konum için bu, bize uğramadan tarayıcı veya telefon ayarlarından yapılır.

Kullanmak için sayfanın altında verilen veri sorumlusu iletişim adresi privacy@sosdae.com’a yaz. Bir ay içinde yanıtlarız; talep karmaşıksa üç aya uzar — o durumda ilk ay içinde, nedenini açıklayarak sana söyleriz. Ücret almayız ve seni başka bir yoldan tanıyabiliyorsak kimlik belgesi istemeyiz.

Bir şeylerin yanlış olduğunu düşünüyorsan, yaşadığın ülkenin veri koruma otoritesine — Türkiye’de Kişisel Verileri Koruma Kurumu, KVKK (kvkk.gov.tr), İtalya’da Garante per la protezione dei dati personali — şikâyette bulunabilir ve her hâlükârda mahkemeye gidebilirsin.

Üstteki tarih, son değişikliğin tarihidir. Bir değişiklik esaslı bir şeye dokunuyorsa — yeni bir amaç, yeni bir sağlayıcı, daha önce olmayan bir aktarım — yalnızca tarihi değiştirmekle kalmayız: değişiklik yürürlüğe girmeden önce görünür biçimde duyururuz.