Gizlilik ve GDPR

TRACIO, gizliliği temel bir mimari ilke olarak esas alacak şekilde tasarlanmıştır. Sistem, herhangi bir kişisel olarak tanımlanabilir bilgi (PII) toplamadan cihazları tanımlar. TRACIO, yönetilen bir bulut hizmetidir: verileri sizin adınıza seçtiğiniz bölgede (AB veya ABD) işler ve veri sorumlusu siz olmaya devam edersiniz.

Tasarım Gereği Gizlilik (Privacy by Design)

PII Toplanmaz

TRACIO yalnızca teknik tarayıcı sinyalleri toplar. 130'dan fazla sinyalin hiçbiri kişisel olarak tanımlanabilir bilgi içermez:

Ziyaretçi tanımlayıcısı (visitorId), cihaz özelliklerinden türetilen tek yönlü bir hash'tir. Orijinal sinyal değerlerini geri elde etmek için tersine çevrilemez.

Yalnızca Birinci Taraf Veri

TRACIO tamamen birinci taraf bir hizmet olarak çalışır:

• Üçüncü taraf çerez yok: _vid_t çerezi birinci taraf bir çerezdir (SameSite=Lax, HTTPS üzerinde Secure)
• Siteler arası izleme yok: Ziyaretçi kimlikleri workspace'inizle sınırlıdır. Farklı TRACIO müşterilerini ziyaret eden aynı cihaz farklı ziyaretçi kimlikleri alır.
• Veri paylaşımı yok: TRACIO verilerinizi üçüncü taraflara satmaz veya onlarla paylaşmaz. Reklam veya veri simsarı entegrasyonu yoktur.

Sorumlu / İşleyen

Veri sorumlusu sizsiniz; TRACIO, sizin talimatlarınıza göre hareket eden veri işleyendir. Veriler seçtiğiniz bölgede (AB veya ABD) işlenir ve bölgeler arasında çoğaltılmaz. Saklama süresi planınıza göre belirlenir; erişim, kontrol paneli aracılığıyla yönetilir (workspace rolleri).

GDPR Uyumluluğu

İşleme İçin Hukuki Dayanak

GDPR kapsamında, kişisel verileri işlemek için bir hukuki dayanağa ihtiyacınız vardır. Cihaz parmak izi (device fingerprinting), yargı bölgenize ve kullanım senaryonuza bağlı olarak kişisel veri işleme faaliyeti sayılabilir. Yaygın hukuki dayanaklar şunlardır:

Çerez Rızası

TRACIO, 365 günlük geçerlilik süresine sahip bir birinci taraf çerezi (_vid_t) yerleştirir. ePrivacy Direktifi ve GDPR kapsamında:

• Kesinlikle gerekli: TRACIO dolandırıcılık önleme veya güvenlik için kullanılıyorsa, çerez kesinlikle gerekli olarak sınıflandırılabilir ve rıza gerekliliğinden muaf tutulabilir. Hukuk ekibinize danışın.
• Rıza gerekli: TRACIO analitik veya genel izleme için kullanılıyorsa, tracio.getResult() çağrılmadan önce açık rıza alınmalıdır.

Çerez Rızası ile Uygulama

import { Tracio } from "@tracio/sdk"

// Only initialize TRACIO after consent is granted
if (hasConsent("fingerprinting")) {
  const tracio = Tracio.init({ publicKey: "5ca175fc..." })
  const result = await tracio.getResult()
}

Tanımlamayı Rıza Verilene Kadar Erteleme

Tanımlamayı, kullanıcı onay verene kadar erteleyebilirsiniz. Sinyal toplama daha sonra da çalışmaya devam eder; çerez tabanlı bir kısayol mevcut olmadığında geri dönen ziyaretçiler için güven düzeyi daha düşüktür:

import { Tracio } from "@tracio/sdk"

const tracio = Tracio.init({ publicKey: "5ca175fc..." })
// call getResult() only after consent is granted

Veri Sahibi Hakları

Veri sorumlusu siz olduğunuz için veri sahibi taleplerini siz karşılarsınız. TRACIO, bunları yerine getirmeniz için araçları sağlar:

Bir Ziyaretçinin Verilerini Bulma

Bir ziyaretçinin geçmişini kontrol panelinde (Ziyaretçiler) bulun veya workspace kapsamlı yönetim API'sini kullanın (kontrol paneli oturumunuzla kimlik doğrulaması yapılır — auth modeli için Webhooks bölümüne bakın):

curl https://app.tracio.ai/api/v1/workspaces/{workspaceId}/visitors/X7fh2Hg9LkMn3pQr \
  -H "Authorization: Bearer <clerk-session-jwt>"

Veri İşleme Sözleşmesi (DPA)

TRACIO, veri işleyeniniz olarak verileri seçtiğiniz bölgede (AB veya ABD) işler. Talep üzerine bir DPA sunulur; büyük ölçekte işlemeye başlamadan önce bir tane düzenlemek için bizimle iletişime geçin.

Veri Saklama

Saklama süresi plan katmanınıza göre sabittir: 7 gün (Free), 30 gün (Pro), 90 gün (Business), 365 gün (Enterprise). Planın süre penceresinden daha eski kayıtlar otomatik olarak temizlenir. Saklama süresini uzatmak için daha üst bir plana geçin.

Önerilen Saklama Süreleri

Güvenlik

Beklemede ve Aktarım Sırasındaki Veriler

• Tüm istemci–sunucu iletişimi TLS 1.2+ kullanır
• Sinyal payload'ları aktarımdan önce ek olarak gizlenir (obfuscate)
• _vid_t çerezi, opak, tersine çevrilemez bir UID tutar (PII yok)
• _vid_t çerezi SameSite=Lax ve (HTTPS üzerinde) Secure kullanır

Erişim Denetimi

• İstemci tarafı istekler public key'inizle kimlik doğrulaması yapar (tarayıcıda açığa çıkması güvenlidir)
• Kontrol paneli ve yönetim API'si erişimi, kontrol paneli oturumunuzla (Clerk) kimlik doğrulaması yapar ve workspace rolüne göre denetlenir (RBAC)
• Bağımsız bir API gizli anahtarı (secret) yoktur

Veri Bölgeleri

Veri yerleşimi (data residency) gereksinimleri için bölgenizi kayıt sırasında seçin:

Tarayıcının eşleşen bölgesel uç noktayla iletişim kurması için SDK region seçeneğini ("eu" veya "us") ayarlayın. Veriler seçtiğiniz bölge içinde işlenir ve bölgeler arasında çoğaltılmaz.

Uyumluluk Kontrol Listesi

• Parmak izi işleme için hukuki dayanağınızı belgeleyin
• Cihaz parmak izinden (device fingerprinting) bahsetmek için gizlilik politikanızı güncelleyin
• Hukuki dayanağınız gerektiriyorsa çerez rızası uygulayın
• Veri bölgenizi (AB veya ABD) seçin ve SDK region seçeneğini ayarlayın
• TRACIO ile bir DPA düzenleyin
• Planınızın saklama süresinin gereksinimlerinizi karşıladığını doğrulayın
• Büyük ölçekte işleme yapıyorsanız bir DPIA (Veri Koruma Etki Değerlendirmesi) gerçekleştirin
• İşleme faaliyetlerine ilişkin kayıtları tutun (Md. 30)