Data Processing Agreement

Veri İşleme Sözleşmesi, sürüm 1

Etkili 2026-09-20. AstroWay API, api.astroway.info.

1. Biz kimiz ve bu neyi kapsar

Bu sözleşme, sen, Müşteri, veri sorumlusu olarak hareket eden ve Maksym Burkhan, bireysel girişimci (ФОП), Ukrayna, api.astroway.info adresini veri işleyiciniz olarak yöneten arasında yapılmıştır (GDPR Madde 28).

Hesabın var olduğu ve API’ye istek gönderdiğin sürece geçerlidir ve yalnızca API üzerinden gönderdiğin verileri kapsar. Kendi hesap bilgilerin ayrı bir konudur; bu konuda biz sorumlu olup gizlilik politikamız geçerlidir.

2. Ne işliyoruz ve neden

Konu ve amaç. Doğum verilerini API’ye gönderirsin: tarih, saat, saat dilimi ya da offset ve koordinatlar. Astrologik bir sonuç hesaplayıp geri döneriz. Bu, tek amaçtır ve API çağrısı senin talimatındır.

Veri sahipleri kategorileri. Senin son kullanıcıların ya da doğum anını gönderdiğin herkes.

Veri türleri. Doğum tarihi ve saati, koordinatlar ve isteğe bağlı name ve city alanları. name ve city asla depolanmaz: istek süresince bellekte tutulur ve hiçbir yere yazılmaz.

Süre. Hesabının ömrü boyunca, 9. bölüme tabi.

Kişi yerine çağrı hakkında kaydettiğimiz şeyler. Endpoint, method, status, latency, byte sayıları, arayanın IP adresinin tuzlu geri döndürülemez özeti ve bu adresin ilk 16 biti, User-Agent, origin ve kaba bir ülke, şehir ve ağ operatörü. Bunları 30 gün saklarız.

3. Üstlendiğimiz sorumluluklar

• Verilerini sadece belgelenmiş talimatların doğrultusunda işleriz; bu talimatlar senin yaptığın API çağrıları ve gönderdiğin yazılı talimatlardır, AB ya da üye devlet yasası aksi gerektirmedikçe. Böyle bir yasa varsa, işlemeye başlamadan önce seni bilgilendiririz; yasa bunu yasaklıyorsa işlemeyiz.
• Bir talimat bize yasa dışı gelirse, hemen bunu bildiririz ve sessizce yerine getirmeyiz.
• Hizmet tek bir kişi tarafından işletilir, bu kişi gizlilik yükümlülüğü altındadır ve tek yönetimsel erişime sahiptir.
• 5. bölüme ait güvenlik önlemlerini uygularız.
• Veri sahibi talebine yanıt vermene yardımcı olur ve Madde 32‑36 kapsamındaki yükümlülüklerinde, mümkün olduğu ve elimizdeki verilere göre destek veririz. Bu sınırlama yasanın kendisinden gelir; somut olarak, ad, e‑posta ya da kimlik bilgisi saklamıyoruz, bu yüzden genellikle tek bir kişinin satırlarını bulamıyoruz. Kendi kayıtların üzerinden ve DELETE /v1/me/account ile hesabın için tuttuğumuz her şeyi silebilirsin.
• Verilerini kendi amaçlarımız için kullanmaz, satmayız ve modelleri eğitmek için kullanmayız.

4. Alt işleyiciler

İki tane var ve bunlar altyapıyı sağlıyor:

Alt‑işleyici	Rol	Konum
Hetzner Online GmbH	hesaplama, veritabanı ve dosya depolama	Nuremberg, Almanya
Cloudflare, Inc.	CDN, DNS ve DDoS koruması, AB bölgesi önbellek kurallarıyla	ABD şirketi, AB uç noktaları AB trafiği hizmeti verir

Onlara da burada taşıdığımız veri koruma yükümlülüklerini uyguluyor ve senin karşılığında tamamen sorumlu kalıyoruz.

Bu iki alt işleyiciye genel yetki verirsin. Birini eklemeden ya da değiştirmeden önce e‑posta ile seni bilgilendiririz ve makul veri koruma gerekçeleriyle itiraz edebilirsin; itirazı çözemediğimiz takdirde hizmeti kullanmayı bırakabilir ve ödenen sürenin kullanılmayan kısmını geri alabilirsin.

Ödeme ve e‑posta sağlayıcılarımız kasıtlı olarak bu tabloda yer almıyor, çünkü bu sağlayıcılar bu sözleşme kapsamındaki verileri hiç görmez. Brevo senin için işlem e‑postaları gönderir, Monobank kart ödemelerini alır, LiqPay ise Ekim 2026’da eklendi. Hepsi senin hesabınla ilgili, son kullanıcılarınla değil; bu yüzden gizlilik politikamızda adları geçer.

5. Güvenlik

• İletişim sadece TLS üzerinden, düz HTTP yönlendirilir.
• Parolalar bcrypt ile hashlenir ve API anahtarları hashli olarak saklanır.
• IP adresleri sadece tuzlu SHA-256 olarak, satır yazılırken hesaplanır. Tuz sunucu ortamında bulunur, koda dahil edilmez.
• Veritabanı hesapları tüketici başına ayrılmıştır, en dar yetkiyle çalışır ve veritabanı sadece loopback üzerinden dinlenir.
• Yedekler makineden çıkmadan önce AES-256 ile şifrelenir.
• Yönetimsel erişim SSH anahtarıyla, tek kişi, ortak kimlik bilgileri yoktur.

Sahip olmadıklarımız, çünkü bunu söylemek, söylememekten daha kötüdür: SOC 2 raporumuz ve ISO 27001 sertifikamız yok. Hetzner, sunucularımızın bulunduğu veri merkezinde ISO/IEC 27001 sertifikasına sahiptir.

6. Transferler, sade bir dille

Verilerin Nuremberg, Almanya’daki sunucularda işlenir ve EEA dışına kopyalanmaz.

Yine de Ukrayna’da kuruluyuz; Ukrayna’nın Madde 45 kapsamında yeterlilik kararı yok. EDPB Kılavuzları 05/2021 bu durumu üçüncü ülke transferi olarak değerlendirir ve Ukrayna’dan Almanya sunucularına yapılan yönetimsel erişim de aynı şekilde sayılır, çünkü uzaktan erişim veri kopyalanmasa bile sayılır. Bu yüzden “sınır ötesi transfer yok” demeyiz; bir transfer vardır ve bu sözleşme onu kapsar.

AB Kararının (EU) 2021/914, Modül İki (sorumlu‑işleyici) standart sözleşme maddelerini kabul ediyoruz; bu maddeler referansla bu sözleşmeye dahil edilir ve çelişirse üstünlük sağlar. Bu sözleşmenin 2., 5. ve 4. bölümleri sırasıyla I, II ve III ekleri olarak hizmet eder. İki tarafı da adlandıran imzalı bir kopya legal@astroway.info adresinden talep üzerine temin edilebilir.

Pratikte transfer edilen şey, Almanya’daki sistemlere kimlik doğrulamalı yönetimsel erişimdir; bir veritabanı dışa aktarımı değildir.

7. Uyum sağladığımızı gösterme

Bu sözleşme ve yukarıdaki güvenlik açıklamasıyla Madde 28’e uyumu kanıtlamak için ihtiyacın olan bilgileri sana veririz ve her on iki ayda bir makul bir yazılı güvenlik anketini ücretsiz olarak tamamlarız.

Bu yeterli değilse, uzaktan, iş saatleri içinde, otuz günlük yazılı bildirimle, her on iki ayda bir sözleşmeye uyumu denetleyebilirsin; denetim sadece senin için yürüttüğümüz işleme kapsamına girer, başka bir müşterinin verisine dokunmaz. Denetim ve atadığın denetçi masrafları senin sorumluluğundadır. Bu sınırlama, bir denetleme otoritesinin denetim talep etmesi durumunda geçerli değildir.

8. Bir ihlal olduğunda

Senin için işlediğimiz kişisel veride bir ihlal fark ettiğimizde gereksiz gecikme olmadan e‑posta ile hesabının adresine bildiririz. İlk bildirim eksik olabilir, daha fazla bilgi edindikçe güncelleriz.

Son kullanıcıların iletişim bilgilerine sahip olmadığımız için, Madde 34 kapsamında onları bilgilendirme sorumluluğu tamamen senin üzerindedir.

9. Sözleşmenin sonlandırılması

Hesabın sona erdiğinde, tuttuğumuz verileri geri gönder ya da sil istediğini bize bildir, biz de uygularız. Hiçbir şey söylemezsen, verileri sileriz.

Tek istisna, vergi kanununun saklamamızı zorunlu kıldığı şeydir: ödeme kayıtları, Ukrayna Vergi Kanunu §44.3’e göre 1095 gün saklanır. Üç yıl, önceki taslakta söylenen yedi yıl değil. GDPR Madde 17(3)(b) yasal bir yükümlülük nedeniyle saklanan kayıtların silme hakkından muaf olduğunu belirtir; bu yüzden silme talebi bu kayıtlara ulaşmaz.

10. Bu sözleşmeyi kabul etme

Bunu kontrol panelinde kabul edersin ve kabul kaydı hesabını, sürümü ve zamanı içerir. Madde 28(9) sözleşmenin “yazılı, elektronik biçimde dahil” olmasını şart koşar; bu kayıt sözleşmedir ve bekleyecek bir şey yoktur. İndirilebilen PDF aynı kaydı taşır. İmzalı bir kağıt kopya talep üzerine temin edilebilir.

Metni maddi olarak değiştirirsek yeni bir sürüm olur ve sen yeni sürümü kabul etmeni isteriz; kabul ettiğin sürüm, anlaştığın sürüm olarak kalır.