Gizlilik Politikası

Manvera, firmaların müşteri, satış, teklif, proje ve fatura süreçlerini yönettiği, internet üzerinden sunulan bir müşteri ilişkileri yönetimi (CRM) hizmetidir. Bu politika, Manvera'yı kullanırken kişisel verilerinizin nasıl işlendiğini, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) çerçevesinde açıklar. KVKK'nın öngördüğü aydınlatma ayrıca KVKK Aydınlatma Metni'nde yer alır.

1. Roller: kim veri sorumlusu?

Hizmet Sağlayıcı olarak veri sorumlusu: Kullanıcı hesapları, giriş ve güvenlik kayıtları, platform yönetimi, yasal metin onayları, faturalama ve sizinle iletişim bakımından veri sorumlusu Manvera'yı işleten şirkettir (aşağıda "biz").
Firma adına veri işleyen: Firmaların Manvera'ya girdiği müşteri, ilgili kişi, not, teklif, proje, fatura, dosya ve benzeri kayıtlar ("Müşteri Verisi") bakımından veri sorumlusu kaydı giren firmadır. Biz bu verileri yalnızca firma adına, onun talimatıyla ve Veri İşleme Sözleşmesi'ne göre işleriz. Müşteri Verisi'nde yer alan kişiler haklarını öncelikle ilgili firmaya karşı kullanmalıdır; bize gelen başvuruları gecikmeksizin firmaya iletiriz.

2. Hizmet Sağlayıcı

Unvan:

Adres:

MERSİS no: · KEP:

Gizlilik ve KVKK başvuruları: · Genel iletişim:

GDPR m.27 AB temsilcisi:

3. Veri sorumlusu olarak işlediğimiz veriler

Kayıt ve hesap verileri: firma adı, ad soyad, e-posta adresi, kullanıcı rolü ve sayfa yetkileri, hesap durumu (onay bekliyor / aktif / devre dışı), dil tercihi, davet eden yönetici, son giriş zamanı.
Kimlik doğrulama verileri: parolanın geri döndürülemez özeti (Firebase Authentication'da tutulur; biz göremeyiz); iki adımlı doğrulamayı açarsanız cep telefonu numarası ve SMS doğrulama kayıtları.
Güvenlik ve kullanım kayıtları: IP adresi, tarayıcı ve cihaz bilgisi, oturum zamanları; uygulama doğrulaması (App Check) ve reCAPTCHA Enterprise sinyalleri; denetim izi (hangi kaydı kimin ne zaman oluşturduğu, değiştirdiği, sildiği ve değişen alanların adları); hata kayıtları (hata mesajı, sayfa, tarayıcı bilgisi, e-postanız ve firmanız); sunucu günlükleri.
Onay kayıtları: Kullanım Koşulları, Gizlilik Politikası ve (firma yöneticileri için) Veri İşleme Sözleşmesi'nin hangi sürümünün, ne zaman, hangi IP adresinden ve hangi tarayıcıyla kabul edildiği; kayıt sırasında KVKK Aydınlatma Metni'nin hangi sürümünün sunulduğu.
İletişim: bize gönderdiğiniz e-postalar ve başvurular.

4. Firma adına işlediğimiz veriler (Müşteri Verisi)

Firmanın kullanıcıları Manvera'ya müşteri ve potansiyel müşteri (lead) firmaları, bu firmalardaki ilgili kişileri (ad, unvan, e-posta, telefon), notları ve planlanan aktiviteleri, fırsatları, teklifleri ve teklif dosyalarını, projeleri, fatura ve masrafları, tahminleri ve SAP hedef firma kayıtlarını girer. Bu veriler firmanındır; biz onları hizmeti sunmak dışında hiçbir amaçla kullanmayız, yapay zekâ modellerinin eğitiminde kullanmayız ve satmayız. Ayrıntılar Veri İşleme Sözleşmesi'ndedir.

5. Amaçlar ve hukuki sebepler

Hesabın açılması, girişin sağlanması ve hizmetin sunulması — KVKK m.5/2-c (sözleşmenin kurulması ve ifası); GDPR m.6/1-b.
Bilgi güvenliği: iki adımlı doğrulama, oturum süresi politikaları, App Check ve reCAPTCHA ile kötüye kullanımın önlenmesi, denetim izi, hata kayıtları — KVKK m.5/2-f (meşru menfaat); GDPR m.6/1-f. Firmanın kendi verisinin güvenliği bakımından aynı zamanda sözleşmenin ifası.
İşlem e-postaları (davet, kayıt onayı, parola belirleme, takip ve aktivite hatırlatmaları, vadesi geçen fatura bildirimi) — KVKK m.5/2-c; GDPR m.6/1-b.
Yasal metin onaylarının ispatı ve hakların korunması — KVKK m.5/2-e; GDPR m.6/1-f ve m.6/1-c.
Mevzuattan doğan yükümlülükler ve yetkili makam talepleri — KVKK m.5/2-ç; GDPR m.6/1-c.

Bu politika kapsamındaki işlemeler için açık rızaya dayanmıyoruz. Pazarlama, profil çıkarma veya reklam amacıyla veri işlemiyoruz.

6. Yapay zekâ ve kişi arama özellikleri

SAP hedef firma araştırması (Anthropic, ABD): Kullanıcı "AI ile Ara"yı başlattığında araştırma ölçütleri (sektör, şehir, sonuç sayısı) ve tekrarı önlemek için firmanın CRM'de zaten kayıtlı hedef ve müşteri firma adları Anthropic'e gönderilir; model internette arama yaparak sonuçları ve kanıt bağlantılarını döndürür. Sonuçlar 14 gün süreyle önbellekte tutulur ve firma başına aylık harcama sınırı uygulanır.
Bakım Tabloları çeviri önerileri (Anthropic, ABD): Durum, tür ve şablon adları gibi etiket metinleri İngilizce ve Almanca öneri için gönderilir.
RocketReach ile kişi arama (RocketReach, ABD): Hedef firmanın adı ve web alan adı gönderilir; o firmada çalışan kişilerin adı, unvanı, iş e-postası ve LinkedIn adresi döner. Bu kişiler Manvera kullanıcısı değildir; bu verileri kaydeden firma, onlar bakımından veri sorumlusudur ve kişileri bilgilendirmek (KVKK m.10, GDPR m.14) ile ticari ileti göndermeden önce gerekli izinleri almak (6563 sayılı Kanun) onun sorumluluğundadır.

Bu özelliklere kişi adı, e-posta veya telefon numarası gönderilmez; ancak firma adları gerçek kişi adı içerebilir. Yapay zekâ çıktıları hatalı olabilir; kullanıcı tarafından doğrulanmalıdır. Hiçbir özellik, kişiler hakkında yalnızca otomatik işlemeye dayalı hukuki sonuç doğuran bir karar vermez.

7. Firmanın yönlendirdiği aktarımlar

Aşağıdaki aktarımları firma kendisi açar ve alıcıyı kendisi belirler; bunlar firmanın talimatıdır:

Webhook: kayıt oluşturulduğunda veya değiştiğinde kayıt verisi firmanın tanımladığı adrese imzalı olarak gönderilir.
Google E-Tablo senkronizasyonu: firmanın kendi tablosundaki fatura ve masraf satırları salt okunur yetkiyle Manvera'ya aktarılır.
Takvim aboneliği (ICS): kullanıcının kişisel abonelik adresi; aktivite, hatırlatma ve fatura vadesi başlıkları ile açıklamalarını içerir. Adres Google Takvim, Outlook veya Apple Takvim'e eklendiğinde bu sağlayıcılar akışı kendi sunucularında işler. Adresi bilen herkes akışı okuyabilir; kullanıcı adresi istediği zaman yenileyerek eskisini geçersiz kılabilir.
Excel ve JSON dışa aktarma: kullanıcının kendi cihazına indirilir.

Döviz kurları Türkiye Cumhuriyet Merkez Bankası'nın yayımladığı dosyadan alınır; bu sırada kişisel veri gönderilmez.

8. Hizmet sağlayıcılar ve yurt dışına aktarım

E-posta gönderim sağlayıcısı:

Veritabanı, dosyalar ve sunucu işlemleri Google Cloud'un europe-west1 (Belçika) bölgesindedir. Giriş altyapısı (Firebase Authentication), web sayfalarının dağıtımı (Firebase Hosting) ve reCAPTCHA Google'ın küresel altyapısında, yapay zekâ ve kişi arama özellikleri ABD'de işlenir. KVKK m.9 bakımından bu aktarımlar Kurul'un ilan ettiği standart sözleşmelere (imzadan itibaren beş iş günü içinde Kurul'a bildirilir), GDPR bakımından AB Komisyonu'nun Standart Sözleşme Maddeleri'ne veya AB-ABD Veri Gizliliği Çerçevesi'ne dayanır. Türkiye'deki işletmeci olarak AB'deki firmaların verisine erişimimiz de GDPR m.46 kapsamında Standart Sözleşme Maddeleri'ne dayanır (bkz. Veri İşleme Sözleşmesi).

Tarayıcınızın doğrudan bağlandığı kaynaklar: Uygulama açılırken yazı tipleri Google Fonts'tan (fonts.googleapis.com, fonts.gstatic.com), simge seti ve Excel kütüphanesi jsDelivr'den (cdn.jsdelivr.net), Firebase kütüphaneleri Google'dan (www.gstatic.com) yüklenir. Bu istekler sırasında IP adresiniz ve tarayıcı bilginiz ilgili sağlayıcıya iletilir. Bu sağlayıcılar tarafımızca çerez yerleştirilmesine aracılık etmez.

9. Saklama süreleri

Süre sona erdiğinde veriler silinir, yok edilir veya anonim hâle getirilir. Silinen veriler, yedeklerden yukarıdaki yedek saklama süresi sonunda kendiliğinden çıkar.

10. Güvenlik

Firmaların verileri birbirinden güvenlik kurallarıyla ayrılır; her kayıt firmasına bağlıdır ve başka firmanın kullanıcısı tarafından okunamaz. Rol ve sayfa yetkileri sunucu tarafında uygulanır; iki adımlı doğrulama ve oturum süresi politikaları firma tarafından zorunlu kılınabilir; bütün bağlantılar şifrelidir (HTTPS/TLS) ve veriler Google altyapısında şifreli saklanır; değişiklikler değiştirilemez bir denetim izine yazılır; her gece yedek alınır; servis anahtarları kaynak kodda değil gizli anahtar yöneticisinde tutulur. Ayrıntılar Veri İşleme Sözleşmesi'nin ekindedir.

11. Haklarınız

KVKK m.11: verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, amacını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltme, silme veya yok etme isteme, bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, yalnızca otomatik analiz sonucuna itiraz etme ve zararın giderilmesini talep etme haklarına sahipsiniz.

GDPR (AB'deki kişiler için): erişim (m.15), düzeltme (m.16), silme (m.17), işlemenin kısıtlanması (m.18), veri taşınabilirliği (m.20), meşru menfaate dayalı işlemeye itiraz (m.21) ve bulunduğunuz ülkedeki denetim makamına şikâyet (m.77) haklarına sahipsiniz.

Başvurularınızı adresine veya KEP adresimize iletebilirsiniz; başvuru usulü KVKK Aydınlatma Metni'nde açıklanmıştır. Başvurular en geç 30 gün içinde yanıtlanır. Firmanızın verisine ilişkin dışa aktarma ve silme işlemleri firma yöneticisi ve platform yöneticisi tarafından uygulama içinden de yapılabilir.

12. Çerezler ve tarayıcı depolaması

Yalnızca hizmetin çalışması için zorunlu depolama kullanıyoruz; analitik, reklam veya sosyal medya çerezi kullanmıyoruz. Ayrıntılar Çerez Politikası'ndadır.

13. E-postalar ve ticari elektronik ileti

Gönderdiğimiz e-postalar hizmetin kullanımına ilişkin işlem bildirimleridir (davet, onay, parola, hatırlatma); 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamında ticari elektronik ileti değildir. Pazarlama amaçlı ileti göndermiyoruz; ileride gönderirsek önceden onayınızı alır ve İleti Yönetim Sistemi (İYS) kurallarına uyarız.

14. Çocuklar

Manvera işletmelere yönelik bir hizmettir; 18 yaşından küçükler tarafından kullanılmak üzere tasarlanmamıştır.

15. Değişiklikler

Bu politikayı işleme faaliyetlerimiz değiştikçe güncelleriz. Esaslı değişikliklerde kullanıcılardan girişte güncel metni onaylamaları istenir. Güncel sürüm ve yürürlük tarihi sayfanın başındadır.

Privacy Policy

Manvera is an online customer relationship management (CRM) service that companies use to manage their customer, sales, quote, project and invoicing processes. This policy explains how your personal data is processed when you use Manvera, under the Turkish Personal Data Protection Law No. 6698 (KVKK) and the EU General Data Protection Regulation (GDPR). The information required by KVKK is also provided in the KVKK Information Notice.

1. Roles: who is the controller?

Controller as Service Provider: For user accounts, sign-in and security records, platform administration, acceptance of legal texts, invoicing and communication with you, the controller is the company operating Manvera ("we").
Processor on behalf of the company: For customer, contact, note, quote, project, invoice, file and similar records that companies enter into Manvera ("Customer Data"), the controller is the company entering them. We process this data only on the company's behalf, on its instructions and in accordance with the Data Processing Agreement. Individuals contained in Customer Data should exercise their rights primarily against the respective company; we forward any requests we receive to the company without delay.

2. Service Provider

Company name:

Address:

MERSIS no.: · KEP:

Privacy and KVKK requests: · General contact:

EU representative under Art. 27 GDPR:

3. Data we process as controller

Registration and account data: company name, first and last name, email address, user role and page permissions, account status (pending / active / disabled), language preference, inviting administrator, time of last sign-in.
Authentication data: an irreversible hash of the password (kept in Firebase Authentication; we cannot see it); if you enable two-step verification, your mobile number and SMS verification records.
Security and usage records: IP address, browser and device information, session times; app verification (App Check) and reCAPTCHA Enterprise signals; audit trail (who created, changed or deleted which record and when, and the names of the fields changed); error logs (error message, page, browser information, your email and company); server logs.
Acceptance records: which version of the Terms of Service, the Privacy Policy and (for company administrators) the Data Processing Agreement was accepted, when, from which IP address and with which browser; which version of the KVKK Information Notice was presented at registration.
Communication: emails and requests you send us.

4. Data we process on behalf of the company (Customer Data)

The company's users enter customer and prospect (lead) companies, contacts at those companies (name, job title, email, phone), notes and planned activities, opportunities, quotes and quote files, projects, invoices and expenses, forecasts and SAP target company records into Manvera. This data belongs to the company; we do not use it for any purpose other than providing the service, we do not use it to train artificial intelligence models and we do not sell it. Details are set out in the Data Processing Agreement.

5. Purposes and legal bases

Opening the account, enabling sign-in and providing the service — KVKK Art. 5(2)(c) (conclusion and performance of a contract); GDPR Art. 6(1)(b).
Information security: two-step verification, session duration policies, prevention of abuse with App Check and reCAPTCHA, audit trail, error logs — KVKK Art. 5(2)(f) (legitimate interest); GDPR Art. 6(1)(f). Regarding the security of the company's own data, also performance of the contract.
Transactional emails (invitations, registration approval, password setup, follow-up and activity reminders, overdue invoice notifications) — KVKK Art. 5(2)(c); GDPR Art. 6(1)(b).
Proof of acceptance of legal texts and protection of rights — KVKK Art. 5(2)(e); GDPR Art. 6(1)(f) and Art. 6(1)(c).
Legal obligations and requests of competent authorities — KVKK Art. 5(2)(ç); GDPR Art. 6(1)(c).

We do not rely on consent for the processing covered by this policy. We do not process data for marketing, profiling or advertising.

6. Artificial intelligence and people search features

SAP target company research (Anthropic, USA): When a user starts "Search with AI", the research criteria (sector, city, number of results) and, to avoid duplicates, the names of target and customer companies already recorded in the company's CRM are sent to Anthropic; the model searches the internet and returns results with evidence links. Results are cached for 14 days and a monthly spending limit applies per company.
Translation suggestions for maintenance tables (Anthropic, USA): Label texts such as status, type and template names are sent for English and German suggestions.
People search with RocketReach (RocketReach, USA): The target company's name and web domain are sent; the names, job titles, business emails and LinkedIn addresses of people working at that company are returned. These people are not Manvera users; the company saving this data is the controller for them and is responsible for informing them (KVKK Art. 10, GDPR Art. 14) and for obtaining the required permissions before sending commercial messages (Law No. 6563).

No names of persons, emails or phone numbers are sent to these features; company names may, however, contain names of individuals. AI output may be inaccurate and must be verified by the user. No feature makes a decision about individuals based solely on automated processing that produces legal effects.

7. Transfers directed by the company

The company itself enables the following transfers and determines the recipient; they are the company's instructions:

Webhook: when a record is created or changed, the record data is sent, signed, to the address defined by the company.
Google Sheets synchronisation: invoice and expense rows from the company's own spreadsheet are imported into Manvera with read-only access.
Calendar subscription (ICS): the user's personal subscription address; it contains titles and descriptions of activities, reminders and invoice due dates. When the address is added to Google Calendar, Outlook or Apple Calendar, these providers process the feed on their own servers. Anyone who knows the address can read the feed; the user can renew the address at any time to invalidate the old one.
Excel and JSON export: downloaded to the user's own device.

Exchange rates are retrieved from the file published by the Central Bank of the Republic of Türkiye; no personal data is sent in the process.

8. Service providers and transfers abroad

Email delivery provider:

The database, files and server processing are located in Google Cloud's europe-west1 (Belgium) region. The sign-in infrastructure (Firebase Authentication), delivery of web pages (Firebase Hosting) and reCAPTCHA run on Google's global infrastructure; the artificial intelligence and people search features are processed in the USA. Under KVKK Art. 9 these transfers are based on the standard contracts announced by the Board (notified to the Board within five business days of signing), and under the GDPR on the European Commission's Standard Contractual Clauses or the EU-US Data Privacy Framework. Our access, as an operator established in Türkiye, to the data of companies in the EU is likewise based on Standard Contractual Clauses under Art. 46 GDPR (see the Data Processing Agreement).

Resources your browser connects to directly: When the application opens, fonts are loaded from Google Fonts (fonts.googleapis.com, fonts.gstatic.com), the icon set and the Excel library from jsDelivr (cdn.jsdelivr.net), and the Firebase libraries from Google (www.gstatic.com). During these requests your IP address and browser information are transmitted to the respective provider. We do not use these providers to set cookies.

9. Retention periods

When the period expires, the data is deleted, destroyed or anonymised. Deleted data disappears from backups automatically at the end of the backup retention period above.

10. Security

Companies' data is separated by security rules; every record is bound to its company and cannot be read by users of another company. Role and page permissions are enforced on the server; two-step verification and session duration policies can be made mandatory by the company; all connections are encrypted (HTTPS/TLS) and data is stored encrypted on Google's infrastructure; changes are written to an immutable audit trail; a backup is taken every night; service keys are kept in a secret manager, not in the source code. Details are in the annex to the Data Processing Agreement.

11. Your rights

KVKK Art. 11: you have the right to learn whether your data is processed, to request information, to learn the purpose, to know the third parties to whom it is transferred, to request rectification, erasure or destruction, to request that these actions be notified to the third parties to whom it was transferred, to object to a result based solely on automated analysis, and to claim compensation.

GDPR (for individuals in the EU): you have the rights of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20), objection to processing based on legitimate interests (Art. 21) and the right to lodge a complaint with the supervisory authority of your country (Art. 77).

You can send your requests to or to our KEP address; the procedure is described in the KVKK Information Notice. Requests are answered within 30 days at the latest. Export and deletion of your company's data can also be carried out in the application by the company administrator and the platform administrator.

12. Cookies and browser storage

We only use storage that is strictly necessary for the service to work; we do not use analytics, advertising or social media cookies. Details are in the Cookie Policy.

13. Emails and commercial electronic messages

The emails we send are transactional notifications about the use of the service (invitations, approvals, passwords, reminders); they are not commercial electronic messages within the meaning of Law No. 6563 on the Regulation of Electronic Commerce. We do not send marketing messages; if we do so in the future, we will obtain your prior consent and comply with the rules of the Message Management System (İYS).

14. Children

Manvera is a service for businesses and is not designed for use by persons under 18.

15. Changes

We update this policy as our processing activities change. For material changes, users are asked to accept the current text when signing in. The current version and effective date are shown at the top of the page.

Datenschutzerklärung

Manvera ist ein online bereitgestellter Dienst für Kundenbeziehungsmanagement (CRM), mit dem Firmen ihre Kunden-, Vertriebs-, Angebots-, Projekt- und Rechnungsprozesse verwalten. Diese Erklärung beschreibt, wie Ihre personenbezogenen Daten bei der Nutzung von Manvera verarbeitet werden — nach dem türkischen Datenschutzgesetz Nr. 6698 (KVKK) und der EU-Datenschutz-Grundverordnung (DSGVO). Die nach KVKK erforderlichen Informationen finden Sie zusätzlich in den Datenschutzhinweisen nach KVKK.

1. Rollen: Wer ist Verantwortlicher?

Verantwortlicher als Dienstanbieter: Für Benutzerkonten, Anmelde- und Sicherheitsaufzeichnungen, die Plattformverwaltung, die Annahme von Rechtstexten, die Rechnungsstellung und die Kommunikation mit Ihnen ist das Unternehmen verantwortlich, das Manvera betreibt („wir“).
Auftragsverarbeiter im Auftrag der Firma: Für Kunden-, Kontakt-, Notiz-, Angebots-, Projekt-, Rechnungs-, Datei- und ähnliche Datensätze, die Firmen in Manvera erfassen („Kundendaten“), ist die erfassende Firma Verantwortlicher. Wir verarbeiten diese Daten ausschließlich im Auftrag der Firma, nach ihren Weisungen und gemäß dem Auftragsverarbeitungsvertrag. Personen, deren Daten in den Kundendaten enthalten sind, sollten ihre Rechte vorrangig gegenüber der jeweiligen Firma geltend machen; bei uns eingehende Anfragen leiten wir unverzüglich an die Firma weiter.

2. Dienstanbieter

Firma:

Anschrift:

MERSIS-Nr.: · KEP:

Datenschutzanfragen: · Allgemeiner Kontakt:

Vertreter in der EU nach Art. 27 DSGVO:

3. Daten, die wir als Verantwortlicher verarbeiten

Registrierungs- und Kontodaten: Firmenname, Vor- und Nachname, E-Mail-Adresse, Benutzerrolle und Seitenberechtigungen, Kontostatus (Freigabe ausstehend / aktiv / deaktiviert), Spracheinstellung, einladender Administrator, Zeitpunkt der letzten Anmeldung.
Authentifizierungsdaten: ein nicht umkehrbarer Hash des Passworts (in Firebase Authentication gespeichert; wir können ihn nicht einsehen); bei aktivierter Zwei-Schritt-Verifizierung Ihre Mobilnummer und SMS-Verifizierungsaufzeichnungen.
Sicherheits- und Nutzungsaufzeichnungen: IP-Adresse, Browser- und Geräteinformationen, Sitzungszeiten; Signale der App-Verifizierung (App Check) und von reCAPTCHA Enterprise; Audit-Trail (wer welchen Datensatz wann angelegt, geändert oder gelöscht hat, und die Namen der geänderten Felder); Fehlerprotokolle (Fehlermeldung, Seite, Browserinformationen, Ihre E-Mail und Firma); Serverprotokolle.
Zustimmungsnachweise: welche Version der Nutzungsbedingungen, der Datenschutzerklärung und (für Firmenadministratoren) des Auftragsverarbeitungsvertrags wann, von welcher IP-Adresse und mit welchem Browser akzeptiert wurde; welche Version der Datenschutzhinweise nach KVKK bei der Registrierung angezeigt wurde.
Kommunikation: E-Mails und Anfragen, die Sie uns senden.

4. Daten, die wir im Auftrag der Firma verarbeiten (Kundendaten)

Die Benutzer der Firma erfassen in Manvera Kunden- und Interessentenfirmen (Leads), Ansprechpartner in diesen Firmen (Name, Position, E-Mail, Telefon), Notizen und geplante Aktivitäten, Opportunities, Angebote und Angebotsdateien, Projekte, Rechnungen und Ausgaben, Forecasts sowie SAP-Zielfirmen. Diese Daten gehören der Firma; wir verwenden sie zu keinem anderen Zweck als zur Bereitstellung des Dienstes, nutzen sie nicht zum Training von KI-Modellen und verkaufen sie nicht. Einzelheiten regelt der Auftragsverarbeitungsvertrag.

5. Zwecke und Rechtsgrundlagen

Einrichtung des Kontos, Ermöglichung der Anmeldung und Bereitstellung des Dienstes — Art. 5 Abs. 2 lit. c KVKK (Abschluss und Erfüllung eines Vertrags); Art. 6 Abs. 1 lit. b DSGVO.
Informationssicherheit: Zwei-Schritt-Verifizierung, Richtlinien zur Sitzungsdauer, Missbrauchsverhinderung mit App Check und reCAPTCHA, Audit-Trail, Fehlerprotokolle — Art. 5 Abs. 2 lit. f KVKK (berechtigtes Interesse); Art. 6 Abs. 1 lit. f DSGVO. Hinsichtlich der Sicherheit der eigenen Daten der Firma zugleich Vertragserfüllung.
Transaktions-E-Mails (Einladungen, Registrierungsfreigabe, Festlegen des Passworts, Wiedervorlage- und Aktivitätserinnerungen, Benachrichtigungen über überfällige Rechnungen) — Art. 5 Abs. 2 lit. c KVKK; Art. 6 Abs. 1 lit. b DSGVO.
Nachweis der Annahme von Rechtstexten und Wahrung von Rechten — Art. 5 Abs. 2 lit. e KVKK; Art. 6 Abs. 1 lit. f und lit. c DSGVO.
Gesetzliche Pflichten und Anfragen zuständiger Behörden — Art. 5 Abs. 2 lit. ç KVKK; Art. 6 Abs. 1 lit. c DSGVO.

Für die von dieser Erklärung erfassten Verarbeitungen stützen wir uns nicht auf eine Einwilligung. Wir verarbeiten keine Daten zu Marketing-, Profiling- oder Werbezwecken.

6. Funktionen der künstlichen Intelligenz und der Personensuche

SAP-Zielfirmen-Recherche (Anthropic, USA): Startet ein Benutzer „Mit KI suchen“, werden die Recherchekriterien (Branche, Stadt, Anzahl der Ergebnisse) und zur Vermeidung von Dubletten die Namen der bereits im CRM der Firma erfassten Ziel- und Kundenfirmen an Anthropic übermittelt; das Modell durchsucht das Internet und liefert Ergebnisse mit Belegquellen. Ergebnisse werden 14 Tage zwischengespeichert; pro Firma gilt eine monatliche Ausgabengrenze.
Übersetzungsvorschläge für Stammdatentabellen (Anthropic, USA): Bezeichnungen wie Status-, Typ- und Vorlagennamen werden für englische und deutsche Vorschläge übermittelt.
Personensuche mit RocketReach (RocketReach, USA): Name und Webdomain der Zielfirma werden übermittelt; zurück kommen Name, Position, geschäftliche E-Mail und LinkedIn-Adresse der dort tätigen Personen. Diese Personen sind keine Manvera-Benutzer; die Firma, die diese Daten speichert, ist ihnen gegenüber Verantwortlicher und muss sie informieren (Art. 10 KVKK, Art. 14 DSGVO) sowie vor dem Versand kommerzieller Nachrichten die erforderlichen Einwilligungen einholen (türkisches Gesetz Nr. 6563 bzw. das jeweils anwendbare Recht).

An diese Funktionen werden keine Personennamen, E-Mail-Adressen oder Telefonnummern übermittelt; Firmennamen können jedoch Namen natürlicher Personen enthalten. KI-Ergebnisse können fehlerhaft sein und müssen vom Benutzer geprüft werden. Keine Funktion trifft über Personen eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung mit rechtlicher Wirkung.

7. Von der Firma veranlasste Übermittlungen

Die folgenden Übermittlungen aktiviert die Firma selbst und bestimmt den Empfänger; sie sind Weisungen der Firma:

Webhook: Beim Anlegen oder Ändern eines Datensatzes werden die Datensatzdaten signiert an die von der Firma festgelegte Adresse gesendet.
Google-Sheets-Synchronisierung: Rechnungs- und Ausgabenzeilen aus der eigenen Tabelle der Firma werden mit Lesezugriff in Manvera übernommen.
Kalenderabonnement (ICS): die persönliche Abonnementadresse des Benutzers; sie enthält Titel und Beschreibungen von Aktivitäten, Erinnerungen und Rechnungsfälligkeiten. Wird die Adresse in Google Kalender, Outlook oder Apple Kalender eingetragen, verarbeiten diese Anbieter den Feed auf ihren eigenen Servern. Wer die Adresse kennt, kann den Feed lesen; der Benutzer kann die Adresse jederzeit erneuern und die alte damit ungültig machen.
Excel- und JSON-Export: wird auf das eigene Gerät des Benutzers heruntergeladen.

Wechselkurse werden aus der von der Zentralbank der Republik Türkei veröffentlichten Datei abgerufen; dabei werden keine personenbezogenen Daten übermittelt.

8. Dienstleister und Übermittlung ins Ausland

E-Mail-Versanddienstleister:

Datenbank, Dateien und serverseitige Verarbeitung befinden sich in der Google-Cloud-Region europe-west1 (Belgien). Die Anmeldeinfrastruktur (Firebase Authentication), die Auslieferung der Webseiten (Firebase Hosting) und reCAPTCHA laufen auf der globalen Infrastruktur von Google; die Funktionen der künstlichen Intelligenz und der Personensuche werden in den USA verarbeitet. Nach Art. 9 KVKK stützen sich diese Übermittlungen auf die von der Datenschutzbehörde bekanntgegebenen Standardverträge (Meldung an die Behörde innerhalb von fünf Arbeitstagen nach Unterzeichnung), nach der DSGVO auf die Standardvertragsklauseln der EU-Kommission oder das EU-US Data Privacy Framework. Auch unser Zugriff als in der Türkei ansässiger Betreiber auf Daten von Firmen in der EU stützt sich auf Standardvertragsklauseln nach Art. 46 DSGVO (siehe Auftragsverarbeitungsvertrag).

Quellen, mit denen sich Ihr Browser direkt verbindet: Beim Öffnen der Anwendung werden Schriftarten von Google Fonts (fonts.googleapis.com, fonts.gstatic.com), der Symbolsatz und die Excel-Bibliothek von jsDelivr (cdn.jsdelivr.net) und die Firebase-Bibliotheken von Google (www.gstatic.com) geladen. Dabei werden Ihre IP-Adresse und Browserinformationen an den jeweiligen Anbieter übermittelt. Wir setzen über diese Anbieter keine Cookies.

9. Speicherdauer

Nach Ablauf der Frist werden die Daten gelöscht, vernichtet oder anonymisiert. Gelöschte Daten verschwinden mit Ablauf der oben genannten Aufbewahrungsfrist für Sicherungen automatisch auch aus den Sicherungen.

10. Sicherheit

Die Daten der Firmen sind durch Sicherheitsregeln voneinander getrennt; jeder Datensatz ist seiner Firma zugeordnet und kann von Benutzern anderer Firmen nicht gelesen werden. Rollen und Seitenberechtigungen werden serverseitig durchgesetzt; Zwei-Schritt-Verifizierung und Richtlinien zur Sitzungsdauer können von der Firma verpflichtend gemacht werden; alle Verbindungen sind verschlüsselt (HTTPS/TLS) und Daten werden auf der Google-Infrastruktur verschlüsselt gespeichert; Änderungen werden in einem unveränderbaren Audit-Trail protokolliert; jede Nacht wird eine Sicherung erstellt; Dienstschlüssel liegen in einem Secret Manager, nicht im Quellcode. Einzelheiten enthält die Anlage zum Auftragsverarbeitungsvertrag.

11. Ihre Rechte

Art. 11 KVKK: Sie haben das Recht zu erfahren, ob Ihre Daten verarbeitet werden, Auskunft zu verlangen, den Zweck zu erfahren, die Empfänger zu kennen, Berichtigung, Löschung oder Vernichtung zu verlangen, die Mitteilung dieser Maßnahmen an Empfänger zu verlangen, einem ausschließlich automatisiert ermittelten Ergebnis zu widersprechen und Schadensersatz zu verlangen.

DSGVO (für Personen in der EU): Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21) sowie auf Beschwerde bei der Aufsichtsbehörde Ihres Landes (Art. 77).

Anfragen richten Sie bitte an oder an unsere KEP-Adresse; das Verfahren ist in den Datenschutzhinweisen nach KVKK beschrieben. Anfragen werden spätestens innerhalb von 30 Tagen beantwortet. Export und Löschung der Daten Ihrer Firma können der Firmenadministrator und der Plattformadministrator auch in der Anwendung vornehmen.

12. Cookies und Browserspeicher

Wir verwenden nur Speicher, der für den Betrieb des Dienstes unbedingt erforderlich ist; Analyse-, Werbe- oder Social-Media-Cookies verwenden wir nicht. Einzelheiten finden Sie in der Cookie-Richtlinie.

13. E-Mails und kommerzielle elektronische Nachrichten

Unsere E-Mails sind Transaktionsbenachrichtigungen zur Nutzung des Dienstes (Einladungen, Freigaben, Passwörter, Erinnerungen); sie sind keine kommerziellen elektronischen Nachrichten im Sinne des türkischen Gesetzes Nr. 6563 über den elektronischen Handel. Wir versenden keine Werbenachrichten; sollten wir dies künftig tun, holen wir vorher Ihre Einwilligung ein und beachten die Regeln des türkischen Nachrichtenverwaltungssystems (İYS).

14. Kinder

Manvera ist ein Dienst für Unternehmen und nicht für die Nutzung durch Personen unter 18 Jahren bestimmt.

15. Änderungen

Wir aktualisieren diese Erklärung, wenn sich unsere Verarbeitungstätigkeiten ändern. Bei wesentlichen Änderungen werden Benutzer bei der Anmeldung gebeten, den aktuellen Text zu akzeptieren. Die aktuelle Version und das Gültigkeitsdatum stehen oben auf der Seite.