Gizlilik Politikası

1. Veri sorumlusu

bspmarket.de üzerindeki veri işleme faaliyetlerinin sorumlusu:

Veri korumaya ilişkin talepler, “Datenschutz / bspmarket.de” konu satırıyla e-posta yoluyla iletilebilir.

2. İşlemenin ilkeleri

Kişisel verileri yalnızca platformun işletilmesi, kullanıcı hesaplarının sunulması, satın alma ve indirme işlemlerinin yürütülmesi, Creator işlevlerinin yerine getirilmesi, iletişim, güvenlik, hukuki yükümlülüklerin yerine getirilmesi veya meşru menfaatlerin korunması için gerekli olduğu ölçüde işleriz.

Hukuki dayanaklar özellikle şunlardır: sözleşmenin ifası ve sözleşme öncesi tedbirler için AB Genel Veri Koruma Tüzüğü (GDPR) m. 6/1-b, hukuki yükümlülükler için GDPR m. 6/1-c, meşru menfaatler için GDPR m. 6/1-f ve rızalar için GDPR m. 6/1-a.

3. Barındırma, web sitesine erişim ve sunucu günlükleri

bspmarket.de, Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Almanya) tarafından Almanya'daki bir veri merkezinde bizim için sağlanan, bize ait bir sanal sunucuda işletilmektedir. Hetzner, sunucuda saklanan verileri yalnızca bizim adımıza işler (GDPR m. 28). Veritabanı, e-posta gönderimi ve tüm arka plan süreçleri bu sunucuda çalışır; içerik dağıtım ağı (CDN) veya harici web barındırma kullanmıyoruz.

Yüklenen dosyaları (satın alma dosyaları, kişiye özel işaretlenmiş alıcı kopyaları, BSP Vault'taki dosyalar ile BSP Protection sonuçları ve paketleri) kontrolden sonra aynı Hetzner Online GmbH'nin Falkenstein (Almanya) veri merkezindeki “Hetzner Object Storage” nesne depolama hizmetinde, yine yalnızca bizim adımıza (GDPR m. 28) saklarız. Yükleme, virüs taraması, hazırlama ve teslim sırasında dosyalar geçici olarak sunucumuzda da bulunur. Depolama alanı herkese açık değildir; ona giden doğrudan bağlantılar yoktur. İndirmeler, giriş ve yetki kontrol edildikten sonra yalnızca sunucumuz üzerinden gerçekleşir. Dosyalar orada kullanıcı adları, dosya adları veya IP adresleri altında değil, rastgele tanımlayıcılar altında saklanır; BSP Vault'taki dosyalar ve diğer korumalı dosyalar ayrıca tarafımızca şifrelenmiş olarak kalır.

Web sitesi açıldığında teknik olarak gerekli erişim verileri işlenir. Bunlar arasında IP adresi, erişimin tarihi ve saati, istenen URL, yönlendiren (referrer), User-Agent, tarayıcı/cihaz bilgileri, HTTP durumu, aktarılan veri miktarı ve güvenlik olayları bulunabilir.

Amaçlar; web sitesinin sunulması, kararlılık, hata analizi, saldırı tespiti, kötüye kullanımın önlenmesi ve teknik işlemlerin kanıtlanmasıdır. Hukuki dayanak GDPR m. 6/1-f'dir. Meşru menfaatimiz, platformun güvenli ve güvenilir biçimde işletilmesidir.

Tekil sayfa görüntülemeleri web sunucusu tarafından erişim günlüklerine kaydedilmez. Sistem ve uygulama günlükleri (ör. hata mesajları, sunucuya giriş denemeleri, posta sunucusunun gönderim günlükleri) en geç 30 gün sonra otomatik olarak silinir. Hesaptaki güvenlikle ilgili olayları (ör. girişler, yetki değişiklikleri), her gün değişen bir anahtarla hash'lenen ve açık metin olarak saklanmayan bir IP adresiyle birlikte bir denetim günlüğünde 180 gün boyunca saklarız. Daha uzun süreli saklama yalnızca somut olaylar, saldırılar, dolandırıcılık şüphesi veya hukuki talepler bunu gerektirdiğinde yapılır.

3a. Çerezsiz erişim ölçümü

bspmarket.de'nin nasıl kullanıldığını anlamak için (ör. hangi sayfaların ve ürünlerin görüntülendiği, ziyaretçilerin bize hangi yollardan ulaştığı ve kaç ziyaretin bir satın almayla sonuçlandığı) kendi istatistiksel değerlendirmemizi yapıyoruz. Bu değerlendirme tamamen kendi sunucumuzda çalışır; harici bir analiz hizmeti entegre edilmemiştir ve üçüncü kişilere veri aktarılmaz.

Bunun için çerez kullanmıyor ve cihazınıza herhangi bir tanımlayıcı yerleştirmiyoruz. Bir sayfa açıldığında tarayıcınız; açılan sayfayı, varsa geldiğiniz web sitesinin ana makine adını (hostname), bağlantıdaki kampanya parametrelerini (utm_source, utm_medium, utm_campaign) ve aktif kalma süresini iletir. IP adresi ve tarayıcı kimliğinden (User-Agent), her gün değişen ve ardından silinen rastgele bir anahtarla, bir ziyarete ait birden fazla sayfa görüntülemesini bir gün içinde bir araya getirmek için bir tanımlayıcı hesaplarız. IP adresi ve tarayıcı kimliğinin kendisi bunun için saklanmaz; tanımlayıcı, gün değiştikten sonra artık hiçbir IP adresiyle ilişkilendirilemez ve birden fazla gün boyunca veya başka web sitelerinde yeniden tanımaya imkân vermez. Ayrıca bir sayfa açıldığında IP adresinden erişimin yapıldığı ülkeyi belirleriz. Bu eşleştirme yalnızca kendi sunucumuzda, orada saklanan bir ülke listesiyle (DB-IP'nin “IP to Country Lite” veritabanı) yapılır; IP adresi bunun için saklanmaz ve listenin sağlayıcısına veya başka üçüncü kişilere iletilmez.

Her ziyaret için şunlar saklanır: zaman, açılan sayfalar ve kalma süresi, geliş kanalı ve yönlendiren web sitesinin ana makine adı (asla tam adresi değil), kampanya parametreleri, kaba cihaz sınıfı, tarayıcı ve işletim sistemi ailesi, sayfa dili ve tarayıcıda ayarlı dil, erişimin yapıldığı ülke (yalnızca ülke kodu olarak; bölge veya şehir olmadan), ziyaretin giriş yapılmış olarak gerçekleşip gerçekleşmediği (bir hesapla ilişkilendirilmeden), katalog aramasındaki arama terimleri, çerez bildiriminin gösterilip gösterilmediği ve onaylanıp onaylanmadığı (Bölüm 4'te açıklanan, teknik olarak zorunlu çerez seçimi kaydından türetilir; yalnızca bu evet veya hayır bilgisi sayılır) ile bir ürünün sepete eklenip eklenmediği, bir ödeme adımının (checkout) başlatılıp başlatılmadığı, bir satın almanın tamamlanıp tamamlanmadığı veya bir hesap oluşturulup oluşturulmadığı. Bir satın almanın doğru ziyarete atfedilebilmesi için sipariş geçici olarak ziyaretle ilişkilendirilir; bu ilişki, ödeme tamamlandığında veya iptal edildiğinde, en geç üç gün sonra silinir. Bundan sonra istatistik verileri bir hesapla veya bir siparişle hiçbir bağlantı içermez.

IP adresi ve tarayıcı kimliğinin kısa süreli işlenmesinin hukuki dayanağı GDPR m. 6/1-f'dir. Meşru menfaatimiz, ziyaretçileri tanımlamadan veya profil oluşturmadan sunduğumuz hizmeti ihtiyaca uygun biçimde tasarlamak ve erişimini ölçmektir. Bunun için cihazınıza çerez veya benzeri tanımlayıcılar kaydedilmediği ve oradan okunmadığı için § 25 Abs. 1 TDDDG uyarınca rıza almıyoruz.

İtiraz: Tarayıcınızda “Do Not Track” veya “Global Privacy Control” özelliğini etkinleştirerek ölçüme dilediğiniz zaman itiraz edebilirsiniz. Bu sinyali taşıyan ziyaretler sayılmaz. Ekibimizin ziyaretleri ve tespit edilebilir otomatik erişimler de kaydedilmez. İstatistik verileri 400 gün sonra silinir.

4. Çerezler ve yerel depolama

bspmarket.de şu anda yalnızca giriş, sepet, güvenlik, çerez tercihi ve platformun kullanılabilirliği için gerekli olan, teknik açıdan zorunlu çerezleri ve yerel depolamaları kullanmaktadır. Pazarlama, izleme veya analiz çerezleri şu anda etkin olarak entegre edilmemiştir. Erişim ölçümü (Bölüm 3a) çerez ve yerel depolama olmadan çalışır.

Teknik açıdan zorunlu çerezlerin ve benzeri depolamaların hukuki dayanağı § 25 Abs. 2 TDDDG'dir. Kişisel verilerin sonraki işlenmesi, amaca göre GDPR m. 6/1-b, GDPR m. 6/1-c veya GDPR m. 6/1-f temelinde gerçekleşir.

Çerez bandı bu zorunlu depolamalar hakkında bilgi verir. Şu anda isteğe bağlı analiz veya pazarlama çerezleri etkin olmadığından, ayrı bir izleme rızası alınmaz. İleride isteğe bağlı hizmetler entegre edilirse, bunlar etkinleştirilmeden önce çerez bandında ve bu Gizlilik Politikası'nda açıklanacaktır.

Gömülü YouTube videoları: Creator'lar ürün sayfalarına YouTube videoları ekleyebilir. Bunlar ancak ilgili videoya tıkladığınızda yüklenir; öncesinde YouTube'a bağlantı kurulmaz ve YouTube'dan önizleme görseli yüklenmez. Tıklamadan sonra video youtube-nocookie.com üzerinden gömülür. Bu sırada tarayıcınız özellikle IP adresinizi ve teknik verileri Google Ireland Limited'e (Gordon House, Barrow Street, Dublin 4, İrlanda) iletir; YouTube kendi çerezlerini veya benzeri depolamaları yerleştirebilir ve verileri ABD'deki Google LLC'ye de aktarabilir. Hukuki dayanak, tıklamayla verdiğiniz rızadır (GDPR m. 6/1-a, § 25 Abs. 1 TDDDG). Daha fazla bilgi: https://policies.google.com/privacy.

Stripe üzerinden yapılan ödeme işlemlerinde, Stripe'ın sayfalarında veya sistemlerinde Stripe'a ait çerezler veya benzeri teknolojiler kullanılabilir. Bunlar doğrudan kontrolümüzün dışındadır ve Stripe'ın gizlilik ve çerez bildirimlerine tabidir.

5. Kullanıcı hesabı ve Discord ile giriş

Giriş şu anda Discord OAuth üzerinden yapılmaktadır. Giriş sırasında Discord tarafından sağlanan verileri, özellikle Discord kimliğini (ID), kullanıcı adını, avatar URL'sini ve teknik OAuth verilerini işleriz. OAuth token'larının saklanması gerektiği ölçüde, bunlar teknik olarak korunarak saklanır.

Amaçlar; kayıt, giriş, hesap eşleştirme, kötüye kullanıma karşı koruma, profilin görüntülenmesi, satın alma ve indirme yönetimi, Creator işlevleri ve destektir. Hukuki dayanak GDPR m. 6/1-b ile güvenlik ve kötüye kullanıma karşı koruma için GDPR m. 6/1-f'dir.

Discord ile giriş üzerinden e-posta adresi almayız. Bir e-posta adresini yalnızca bildirimler için kendiniz kaydettiğinizde işleriz (Bölüm 6).

Discord harici bir hizmettir. Discord ile giriş kullanıldığında ayrıca Discord'un gizlilik bilgileri geçerlidir. Bu kapsamda Avrupa Birliği veya Avrupa Ekonomik Alanı dışında veri işleme gerçekleşebilir.

6. E-posta adresi ve e-posta bildirimleri

Hesap ayarlarınızda bildirimler için bir e-posta adresi kaydedebilirsiniz. Alıcılar için bu isteğe bağlıdır. Creator'lar için ise onaylanmış bir adres başvurunun ön koşuludur; böylece onaylar, hakediş ödemeleri ve özellikle sızıntı tespitleri konusunda kendilerine güvenilir biçimde ulaşabiliriz.

Adres, ancak kendisine gönderilen e-postadaki onay düğmesine tıklamanızdan sonra etkinleşir (double opt-in). Onaylanmamış adresler ve onay bağlantıları 48 saat sonra silinir. Bu adrese yalnızca hesabınızla ilgili bildirimler göndeririz; özellikle sızıntı vakaları ve izleme tespitleri, ürün ve sürüm onayları, Creator kararları, hakediş ödemeleri, dosyaların saklama süreleri ve silinmeleri, Server-Exclusive lisanslarına ilişkin uyarılar ile yalnızca kendiniz etkinleştirdiyseniz istek listenizdeki fiyat alarmları ve abone olduğunuz ürünlerin yeni sürümlerine ilişkin bilgilendirmeler. Reklam veya bülten göndermiyoruz. Her bildirim e-postası, tek tıklamayla bildirimlerden çıkabileceğiniz bir bağlantı içerir.

İşlenen veriler şunlardır: e-posta adresi (şifrelenmiş olarak saklanır), onay zamanı ve kısaltılmış alıcı e-posta adresini, konuyu, zamanı ve teslim durumunu içeren bir gönderim günlüğü. E-postaları kendi sunucumuzdan noreply@bspmarket.de gönderen adresiyle göndeririz; harici bir e-posta hizmet sağlayıcısı kullanılmaz. Yanıtlarınızı ve sorularınızı kontakt@bspmarket.de adresine gönderebilirsiniz. Sağlayıcınızın posta sunucusuna aktarım, sağlayıcınız destekliyorsa şifreli olarak gerçekleşir.

Hukuki dayanak, Creator'lar için GDPR m. 6/1-b (Creator sözleşmesinin ifası), alıcılar için ise GDPR m. 6/1-a uyarınca rızanızdır. Adresi dilediğiniz zaman hesap ayarlarından kaldırabilirsiniz; bundan sonra e-posta almazsınız. Gönderim günlüğü 30 gün sonra silinir.

7. İsteğe bağlı Steam bağlantısı

Kullanıcılar isteğe bağlı olarak bir Steam profili bağlayabilir. Bu kapsamda özellikle SteamID64, profil adı, avatar URL'si, profil URL'si ve teknik bağlantı verileri işlenebilir.

Amaçlar; profilin görüntülenmesi, lisans ve hesap eşleştirme, Creator/alıcı doğrulaması, kötüye kullanımın önlenmesi, hesap güvenliği ve belirli harita, Scanner veya koruma işlevlerinin kullanılmasıdır. Hukuki dayanaklar GDPR m. 6/1-b, isteğe bağlı bağlantıda GDPR m. 6/1-a ve güvenlik ile ispat menfaatleri için GDPR m. 6/1-f'dir.

Steam bağlantısı, ağır basan hukuki, sözleşmesel veya güvenlikle ilgili nedenler engel olmadığı sürece hesaptan kaldırılabilir.

8. Satın almalar, siparişler, faturalar ve indirmeler

Satın alma ve indirmelerde kullanıcı hesabı, ürün, sipariş numarası, satın alma zamanı, ödeme durumu, fiyat, para birimi, vergi bilgileri, indirme zamanları, indirme durumu, lisans eşleştirmesi, ürün sürümü, hash değerleri ve teknik indirme günlükleri gibi verileri işleriz.

Amaçlar; siparişin işlenmesi, ödemenin eşleştirilmesi, dijital içeriklerin sunulması, lisans kanıtı, destek, ayıptan sorumluluk, cayma, kötüye kullanımın önlenmesi, dolandırıcılığın önlenmesi ve yasal saklamadır. Hukuki dayanaklar GDPR m. 6/1-b, 6/1-c ve 6/1-f'dir.

İndirme ve lisans verileri, lisans süresi boyunca ve bunun ötesinde yasal zamanaşımı, ispat ve saklama süreleri çerçevesinde saklanabilir.

Devam ettirilebilir indirmeler: Satın aldığınız bir dosyayı indirdiğinizde, 24 saat geçerli olan ve hesabınıza bağlı bir indirme izni oluştururuz. Böylece yarıda kesilen bir indirmeyi, yeni bir kopya oluşturulmadan sürdürebilirsiniz. Bunun için hesap kimliğinizi, ürünü, sürümü ve satın almayı, zamanları (oluşturma, hazır hale getirme, ilk ve son erişim, sona erme), erişim sayısını ve aktarılan veri miktarını saklarız; IP adresi ve tarayıcı verileri bunun için saklanmaz, bağlantının kendisi ise yalnızca hash değeri olarak saklanır. Yalnızca bu izin için oluşturulan dosya kopyaları süre dolduğunda, izin verileri ise süre dolduktan yedi gün sonra silinir. Hukuki dayanak GDPR m. 6/1-b'dir.

Ürünleri istek listenize eklediğinizde, bir fiyat alarmı etkinleştirdiğinizde veya bir ürünün güncellemelerine abone olduğunuzda, bu seçimi hesabınızla birlikte, fiyat alarmında ayrıca etkinleştirme anındaki fiyatı saklarız. Fiyat düşerse 24 saatte en fazla bir kez bildirim alırsınız; abonelikte ise yeni bir sürüm onaylandığında bildirim alırsınız. Hukuki dayanak GDPR m. 6/1-b'dir (sizin talep ettiğiniz işlev). Veriler, siz işlevi devre dışı bırakana veya hesabınız silinene kadar saklanır.

E-posta ile sözleşme onayı: Ödenen her siparişten, kiralamadan veya abonelikten sonra size; sipariş numarasını, kalemleri ve fiyatları, ödeme adımında (checkout) verilen onayı, süre ve iptale ilişkin bilgileri, cayma hakkı bilgilendirmesini ve Genel Şartlar ve Koşullarımızı içeren bir sözleşme onayı göndeririz (§ 312f BGB). Onay, Stripe ödeme sayfasında (checkout) belirttiğiniz e-posta adresine, bu yoksa onaylanmış bildirim adresinize gönderilir. Bunun için adresi başarılı gönderime kadar şifrelenmiş olarak, sonrasında yalnızca kısaltılmış biçimde gönderim kanıtı olarak saklarız; ayrıca onayın sizin dilinizde ulaşması için sipariş sırasında en son kullanılan arayüz dilini de saklarız. Hukuki dayanak GDPR m. 6/1-b ve 6/1-c'dir (sözleşmenin ifası ve yasal bilgilendirme yükümlülüğü). Gönderim kanıtı üç yıl sonra, gönderim günlüğü 30 gün sonra silinir.

“Sözleşmeleri buradan iptal et” üzerinden iptaller: Bir sözleşmeyi iptal düğmesi üzerinden iptal ederseniz; iptal beyanınızdaki bilgileri (iptal türü, varsa neden, ad, e-posta adresi, Discord adı, hesap kimliği, sipariş veya belge numarası gibi belirttiğiniz eşleştirme bilgileri, sözleşme ve istenen zaman), beyanın bize ulaştığı zamanı, giriş yapılmışsa hesabınızı, kötüye kullanıma karşı koruma amacıyla IP adresinizin her gün değişen bir hash değerini (IP adresinin kendisi saklanmaz), kısaltılmış bir tarayıcı kimliğini ve işlem günlüğünü işleriz. Amaçlar; iptalin gerçekleştirilmesi, e-posta ile alındı onayı ve ispattır. Hukuki dayanaklar GDPR m. 6/1-b ve 6/1-c (§ 312k BGB) ile kötüye kullanıma karşı koruma ve ispat için GDPR m. 6/1-f'dir. Veriler, bize ulaşmalarından üç yıl sonra silinir.

9. Stripe üzerinden ödeme işlemleri

Ücretli satın almalar, Coin paketleri, Protection Pass'ler, abonelikler ve diğer ücretli hizmetler için ödeme hizmeti sağlayıcısı olarak Stripe'ı kullanıyoruz. Sağlayıcı özellikle Stripe Payments Europe, Limited (İrlanda) ile ilgili ödeme işlemi, dolandırıcılığın önlenmesi, güvenlik, faturalandırma veya teknik sunum için gerekli oldukları ölçüde bağlı Stripe şirketleridir.

Bir ödeme adımı (checkout) başlatıldığında, ödeme işlemi için gerekli bilgileri Stripe'a iletiriz veya Stripe bunları doğrudan ödeme sayfasında toplar. Bunlar arasında özellikle şunlar bulunabilir: e-posta adresi, müşteri/hesap referansı, sipariş veya checkout kimliği, ürün veya paket adı, tutar, para birimi, ödeme durumu, fatura ve vergi bilgileri, ödeme yöntemi, kısaltılmış ödeme referansları, işlem ve dolandırıcılık önleme verileri, IP adresi, cihaz/tarayıcı verileri, zamanlar ve teknik güvenlik bilgileri.

Sunucularımızda eksiksiz kredi kartı veya ödeme aracı verileri saklamıyoruz. Eksiksiz ödeme verileri Stripe tarafından işlenir. Yalnızca sipariş, lisans, hesaba tanımlama, destek, ispat, muhasebe ve yasal saklama için gerekli ödeme ve durum bilgilerini saklarız; örneğin Stripe Checkout Session kimliği, Payment Intent kimliği, ödeme durumu, tutar, para birimi, sipariş numarası ve webhook olayları.

İşlemenin amaçları; ödeme işlemi, sözleşmenin ifası, dijital içeriklerin sunulması, BSP Credits veya Protection Pass'lerin hesaba tanımlanması, abonelik yönetimi, fatura ve muhasebe, dolandırıcılığın önlenmesi, kötüye kullanımla mücadele, destek, iadeler, ters ibrazlar (chargeback) ve hukuki ispattır.

Hukuki dayanaklar; ödeme işlemi ve sözleşmenin ifası için GDPR m. 6/1-b, yasal saklama, vergi ve muhasebe yükümlülükleri için GDPR m. 6/1-c ile güvenli ödeme işlemi, dolandırıcılığın önlenmesi, kötüye kullanımla mücadele ve hukuki savunma için GDPR m. 6/1-f'dir.

Stripe verileri kendi sorumluluğunda da işleyebilir ve hizmet sağlayıcılar, alt veri işleyenler veya bağlı şirketler kullanabilir. Bu kapsamda AB veya AEA dışındaki ülkelere aktarım gerçekleşebilir. Stripe, kendi beyanına göre bu tür aktarımları standart sözleşme maddeleri, yeterlilik kararları veya kanunda öngörülen diğer mekanizmalar gibi uygun güvencelere dayandırmaktadır.

Stripe daha fazla bilgiyi https://stripe.com/de/privacy adresinde, Veri İşleme Sözleşmesi'ne (Data Processing Agreement) ilişkin bilgileri https://stripe.com/legal/dpa adresinde ve hizmet sağlayıcılara/alt işleyenlere ilişkin bilgileri https://stripe.com/legal/service-providers adresinde sunmaktadır.

10. Creator işlevleri, yüklemeler ve ürün yönetimi

Creator işlevlerinde özellikle başvuru verilerini, Creator durumunu, profil bilgilerini, ödeme/hakediş ödemesi verilerini, vergi bilgilerini, ürün verilerini, yüklemeleri, dosya adlarını, hash değerlerini, tarama sonuçlarını, onay kararlarını, yönetici yorumlarını, ürün sürümlerini, satış verilerini, hakediş ödemesi verilerini ve destek/iletişim verilerini işleriz.

Amaçlar; Creator'ların incelenmesi ve onaylanması, ürün yayını, hak ve güvenlik incelemesi, satış, hakediş ödemesi, hesaplaşma, kötüye kullanımın önlenmesi, yasal yükümlülüklere uyum ve platformun işletilmesidir. Hukuki dayanaklar GDPR m. 6/1-b, 6/1-c ve 6/1-f'dir.

Yasal olarak gerekli olduğu ölçüde, vergi açısından önem taşıyan Creator verileri saklanabilir veya yetkili makamlara iletilebilir.

Creator'lar için istatistik: Görüntülenme istatistiği için ürün ve gün başına yalnızca görüntülenme sayısını ve kaba bir kaynak kategorisini (ör. doğrudan, arama motoru, Discord, Steam) sayarız. Kategori, yönlendiren sayfanın ana makine adından türetilir; ana makine adının kendisi, IP adresleri, çerezler veya kullanıcı tanımlayıcıları bunun için saklanmaz. Creator'ın kendi ürününü görüntülemeleri ve tespit edilebilir botlar sayılmaz. Sayaçlar 400 gün sonra silinir. Hukuki dayanak GDPR m. 6/1-f'dir (Creator'lara satış değerlendirmelerinin sunulması).

Herkese açık Creator profili: Creator'lar bir profil banner'ı yükleyebilir ve Discord sunucularına, Steam profillerine ve web sitelerine giden bağlantılar yayınlayabilir. Yüklenen görsellerden (banner ve ürün görselleri), saklamadan önce konum bilgileri dahil EXIF verileri gibi gömülü meta verileri kaldırırız. Bağlantılar, izleme içermeyen olağan giden bağlantılardır.

Discord bildirimleri: Creator'lar, satışlar, değerlendirmeler, sürümler, hakediş ödemeleri ve sızıntı tespitlerine ilişkin bilgilendirmeleri kendi Discord sunucularında almak için isteğe bağlı olarak bir Discord webhook adresi kaydedebilir. Webhook adresini şifrelenmiş olarak saklarız. Bu kapsamda Discord'a (Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, ABD) yalnızca ürün başlığını, fiyatı veya Creator payını, yıldız puanlarını, durum bildirimlerini ve zamanları iletiriz; alıcıların veya değerlendirme yapanların adlarını, kullanıcı adlarını veya diğer verilerini asla iletmeyiz. Hukuki dayanak GDPR m. 6/1-b'dir (Creator'ın istediği işlev). Creator bu işlevi dilediği zaman kapatabilir.

Kendi sunucuları ve Workshop kayıtları: Creator'lar, sızıntı izlemesi için kendi sunucu adreslerini ve kendi Workshop kayıtlarını bilinen olarak kaydedebilir; böylece bunlar şüpheli vaka olarak bildirilmez. Bu kayıtlar, Creator bunları kaldırana veya ürün silinene kadar saklanır.

11. Koruma işlevleri, Fingerprint'ler, Obfuscation ve Scanner

Lisans koruması, ispat ve kötüye kullanımın önlenmesi için teknik koruma verileri işlenebilir. Bunlar arasında özellikle ürün kimliği, Creator kimliği, alıcı kimliği, sipariş kimliği, lisans kimliği, koruma kimliği, dosya hash'leri, ürün sürümü, indirme zamanı, Fingerprint/carrier meta verileri, inceleme sonuçları, kanıt (evidence) dosyaları, IP hash değerleri ve denetim günlükleri bulunur.

Alıcı Fingerprint'i etkinleştirildiğinde, teslim edilen bir dosyaya, daha sonra bir sipariş veya lisansla eşleştirmeyi mümkün kılabilecek, gizli ve herkese açık biçimde görünmeyen bir kanıt eklenebilir. Bu kanıt, kullanım davranışınızın gözlemlenmesine değil; lisans eşleştirmesine, dolandırıcılığın önlenmesine, hesap güvenliğine ve yetkisiz paylaşım durumunda delillerin güvence altına alınmasına hizmet eder. Yalnızca bir dosya bir sızıntı vakasında incelendiğinde değerlendirilir (Bölüm 12).

Hukuki dayanaklar, lisansa ilişkin sözleşmenin ifası için GDPR m. 6/1-b ile GDPR m. 6/1-f'dir. Meşru menfaatimiz; dijital içeriklerin korunması, dolandırıcılıkla mücadele, platformun güvenliği ve haklı taleplerin ileri sürülmesidir.

BSP Protection için yüklenen orijinal dosyaları yalnızca işleme için gerekli olduğu sürece saklarız: İş tamamlandıktan sonra (başarılı veya başarısız) orijinal dosyayı sunucumuzdan ve nesne depolamadan otomatik olarak sileriz. Günlükte yalnızca sağlama toplamı (SHA-256), dosya boyutu, zaman ve silme nedeni kalır; haritanın içeriği kalmaz. Yalnızca iş sırasında açıkça “Orijinali Re-Protect için sakla” seçeneğini seçerseniz, yeni bir yükleme olmadan yeniden korumayı mümkün kılmak için orijinal dosya 30 güne kadar saklanır; sonrasında o da otomatik olarak silinir. Korunan sonuç ve inceleme raporu, Bölüm 18'de belirtilen sürelere tabidir.

11a. Server-Exclusive lisansları, kiralık lisanslar ve lisans doğrulaması

Satın alma ve kiralama: Bir Server-Exclusive lisansı satın aldığınızda veya kiraladığınızda, sipariş verilerinin (Bölüm 8) yanı sıra belirttiğiniz sunucu adresini (portuyla birlikte genel IPv4 adresi) ve sunucu adını işleriz. Adresi şifrelenmiş olarak, ayrıca sunucu bağlaması için IP adresinin gizli bir anahtarla oluşturulmuş hash değeri (HMAC) olarak ve görüntüleme için maskelenmiş biçimde (ör. 45.13.x.x:27015) saklarız. Aynı bilgileri, bir lisans sepetinizde bulunduğu sürece de saklarız. Kiralık lisanslarda bunlara abonelik durumu, faturalandırma dönemleri, planlanmış iptal kayıtları ve ödenen her aylık fatura için fatura tanımlayıcısı, tutar, dönem ve ödeme zamanı eklenir. Bir sunucu değişikliği talep ederseniz, yeni adresi aynı biçimde, yeni sunucu adını, isteğe bağlı nedeninizi ve gerekçesiyle birlikte kararı işleriz. Her lisans için satın alma, teslim, sunucu değişikliği, iptal, sona erme veya engelleme gibi olayları, her biri zamanı, işlemi yapan rol ve teknik bilgilerle birlikte içeren bir lisans günlüğü tutarız.

Lisans doğrulaması: Her lisans doğrulamasında oyun sunucusu bspmarket.de'ye teknik veriler iletir. Bunun için zamanı, sonucu, lisans tanımlayıcısını, harita adını ve sağlama toplamını, ayrıca istekte bulunan IP adresinin, teknik bir sunucu Fingerprint'inin, User-Agent'ın ve isteğin tek kullanımlık tanımlayıcısının hash değerlerini saklarız. İstekte bulunan IP adresi yalnızca hash değeri olarak sunucu bağlamasıyla karşılaştırılır ve açık metin olarak saklanmaz. Doğrulamalar, bir haritayı geçerli lisans olmadan çalıştıran sunuculardan da gelebilir ve bu nedenle bu sunucuların işletmecileriyle ilgili olabilir.

Amaçlar ve hukuki dayanaklar: Bu verileri; lisans paketini oluşturmak ve sunmak, lisansı sunucunuza bağlamak ve doğrulamak, kiralamaları faturalandırmak, sunucu değişikliklerini işleme almak, destek sağlamak, lisans işlemlerini kanıtlamak ve başkalarına ait sunucularda kullanım gibi kötüye kullanımları tespit edip önlemek için işleriz. Hukuki dayanaklar GDPR m. 6/1-b (lisans veya kira sözleşmesinin ifası), GDPR m. 6/1-f (haritanın yetkisiz kullanıma karşı korunmasına ve lisans işlemlerinin izlenebilirliğine ilişkin bizim ve Creator'ın meşru menfaati) ile faturalar ve muhasebe belgeleri için GDPR m. 6/1-c'dir.

Creator'ın gördükleri: Ürünün Creator'ı, her lisans için yalnızca takma adlı bir referansı (SXL-…), belirttiğiniz sunucu adını, durumu ve süreyi, sunucu değişikliği talebinde ise yeni sunucu adını ve nedeninizi görür. Canlı genel görünümünde yalnızca özet değerleri, örneğin etkin sunucu sayısını, tahmini harita başlatmalarını ve reddedilen doğrulamaları, ayrıca sunucu başına Fingerprint hash değerinin sekiz karakterlik bir kısaltmasını görür. Creator, alıcıların adını, kullanıcı adını, hesap verilerini, IP adreslerini veya IP hash değerlerini almaz. Bu nedenle sunucu adını ve sunucu değişikliği nedenini, Creator'ın görmesini istemediğiniz bilgiler içermeyecek şekilde seçiniz. bspmarket ekibi, destek, sunucu değişiklikleri ve kötüye kullanım vakaları için gerekli olduğu ölçüde alıcı hesabını ve sunucu adresini görür.

Veri alıcıları: Tek seferlik lisanslar diğer satın almalar gibi Stripe üzerinden ödenir (Bölüm 9). Kiralık lisansları bir Stripe aboneliği üzerinden faturalandırırız; bu kapsamda Stripe özellikle ürün adını, aylık fiyatı, kalem açıklamasının parçası olarak sunucu adını, lisansın, ürünün ve hesabın dahili tanımlayıcılarını, kaydettiyseniz e-posta adresinizi ve ödeme verilerini alır. Barındırma hizmeti sağlayıcımız (Bölüm 3) dışında bu verilerin başka alıcısı yoktur.

Saklama süresi: Lisans doğrulamalarının doğrulama günlüğünü 90 gün sonra otomatik olarak sileriz. Lisans verilerini, sunucu değişikliği taleplerini ve lisans günlüğünü lisans süresince ve sonrasında, yıl sonundan itibaren hesaplanan üç yıllık olağan zamanaşımı süresinin dolmasına kadar saklarız (§§ 195, 199 BGB, Alman Medeni Kanunu). Siparişleri ve kira faturalarını § 147 AO (Alman Vergi Usul Kanunu) ve § 257 HGB (Alman Ticaret Kanunu) uyarınca, belgeye göre sekiz veya on yıl saklarız. Hesabınızı silerseniz, öncesinde lisans verilerinden ve sunucu değişikliği taleplerinden sunucu adresini (şifrelenmiş ve maskelenmiş), sunucu adını ve değişiklik nedenini kaldırır, lisansları sepetten çıkarır ve devam eden kiralamaları Stripe'ta sonlandırırız. Daha önce ödenmiş bir lisansın çalışmaya devam edebilmesi için sunucu bağlamasının hash değeri, muhasebe açısından önemli bilgiler ve içinde sunucu adları kayıtlı olsa bile lisans günlüğü, her biri belirtilen sürelerin dolmasına kadar saklanmaya devam eder.

11b. Satılan Garry's Mod addon'larının lisans doğrulaması

Kendi Garry's Mod addon'larımızı GModStore pazar yeri üzerinden satarız (örneğin “Dossier F4”). Bir kopyanın hukuka uygun olarak edinilip edinilmediğini ve kaç sunucuda çalıştığını anlamak için bspmarket.de'de aşağıdaki verileri işleriz.

İndirme: Böyle bir addon'u GModStore üzerinden indirdiğinizde GModStore bize SteamID64'ünüzü, GModStore kullanıcı tanımlayıcınızı, ürün numarasını ve indirilen sürümün adını iletir. SteamID64 ayrıca kopyanıza kaydedilir.

Lisans doğrulaması: Addon'un çalıştığı bir sunucu, başlatıldıktan sonra ve ardından altı saatte bir bspmarket.de'ye bildirimde bulunur. Kopyaya kaydedilmiş olan alıcı SteamID64'ü, addon'un sürümü, sunucunun adresi (IP adresi ve port), sunucu adı ve oyun modu iletilir. Buna ek olarak bildirimin geldiği IP adresini, ilk ve son bildirimin zamanını, bildirimlerin sayısını ve doğrulamanın sonucunu saklarız. Bu sunuculardaki oyunculara ait veriler iletilmez. Hizmetimize ulaşılamıyorsa addon değişmeden çalışmaya devam eder.

Amaçlar ve hukuki dayanaklar: Bununla lisansı doğrular ve yazılımımızı yetkisiz paylaşıma ve kullanıma karşı koruruz. Hukuki dayanak GDPR m. 6/1-f'dir; meşru menfaatimiz, telif haklarımızın korunması ile hukuki taleplerin ileri sürülmesi, kullanılması ve savunulmasıdır. Alıcılar bakımından işlemeyi, lisans sözleşmesinin ifasına hizmet ettiği ölçüde ayrıca GDPR m. 6/1-b'ye dayandırırız.

Veri alıcıları: Bu verileri yalnızca bspmarket ekibi görür. Aynı SteamID64 bir bspmarket hesabıyla ilişkilendirilmişse ekip bu eşleştirmeyi de görür. Üçüncü kişilere aktarım yapılmaz; barındırma konusunda Bölüm 3'e bakınız.

Saklama süresi: Sunucuların bildirimlerini son bildirimden 400 gün sonra otomatik olarak sileriz. Lisans kaydını (SteamID64, ürün, durum, indirmelerin zamanları) lisans var olduğu sürece saklarız.

12. Sızıntı koruması: bildirimler, değerlendirme ve vaka işlemleri

Creator'lar, bir ürünün yetkisiz olarak yayıldığını bildirebilir (“Sızıntı bildir”). Bu kapsamda bildirimdeki bilgileri (bulunduğu yere giden bağlantı, açıklama, bildiren Creator, zaman) ve varsa yüklenen bir harita dosyasını işleriz.

Yüklenen bir dosya, sunucumuzda alıcı Fingerprint'i ve teslim edilen kopyalarla eşleşme açısından otomatik olarak incelenir. İncelemenin hemen ardından dosya silinir; hash değeri, dosya adı, dosya boyutu ve inceleme sonucu saklanmaya devam eder. Dosya bir teslimatla eşleştirilebilirse, vakayı ilgili siparişle ve alıcı hesabıyla ilişkilendiririz.

Bildiren Creator yalnızca takma adlı bir referans ve eşleştirmenin kesinlik derecesini alır; alıcının adını, kullanıcı adını veya diğer verilerini almaz. Alıcı hesabıyla eşleştirmeyi yalnızca bspmarket ekibi görür. İlgili kopyanın sonraki indirmelerinin engellenmesi gibi önlemleri ekip kendi incelemesinin ardından alır; GDPR m. 22 anlamında otomatik karar verme gerçekleşmez. Şüphe doğrulanmazsa engel kaldırılabilir. Her vaka için durum değişikliklerini, mesajları ve dahili notları içeren bir günlük tutarız.

Creator'lar ayrıca daha önce onaylanmış eski bir ürün sürümünü geri yükleyebilir veya yeni indirmeleri geçici olarak duraklatabilir; bu işlemler zaman, neden ve işlemi yapan hesapla birlikte kaydedilir.

Hukuki dayanak GDPR m. 6/1-f'dir. Bizim ve Creator'ların meşru menfaatleri; dijital içeriklerin yetkisiz paylaşıma karşı korunması, lisans ihlallerinin aydınlatılması ve hukuki taleplerin ileri sürülmesi, kullanılması ve savunulmasıdır. Eşleştirme alıcıları ilgilendirdiği ölçüde, işleme aynı zamanda lisans sözleşmesinin ifası için gereklidir (GDPR m. 6/1-b).

Kapatılan vakalar, kapatıldıkları yılı izleyen üçüncü takvim yılının sona ermesiyle otomatik olarak silinir. Bu, olağan zamanaşımı süresine karşılık gelir.

13. Herkese açık kaynakların otomatik izlenmesi

Sızıntıları erken tespit etmek için, yayınlanmış ürünlerin harita adlarını düzenli olarak (şu anda altı saatte bir) herkese açık bilgilerle karşılaştırırız. Bunun için Valve Corporation'ın (10400 NE 4th St, Bellevue, WA 98004, ABD) Steam Web API'si üzerinden Garry's Mod sunucularının herkese açık listesini ve Steam Workshop'u sorgularız. Bu sorgularda yalnızca harita adlarını ve API anahtarımızı iletiriz; kullanıcılarımıza ait hiçbir veri iletmeyiz.

Sonuçlardan her tespit için şunları saklarız: sunucularda herkese açık sunucu adresi (IP adresi ve port), sunucu adı, oynanan harita ve oyuncu sayısı; Workshop kayıtlarında Workshop kimliği, başlık, bağlantı ve kaydı yayınlayan hesabın herkese açık Steam kimliği. Bu bilgiler sunucu işletmecileriyle veya Workshop yazarlarıyla ilgili olabilir. İlgili Creator, tespitleri hesabında görür ve bunlardan bir sızıntı vakası açabilir (Bölüm 12).

Hukuki dayanak GDPR m. 6/1-f'dir. Meşru menfaatimiz, bspmarket.de'de sunulan içeriklerin yetkisiz yayılmaya karşı korunmasıdır. Yalnızca ilgili kişilerin kendilerinin herkese açık hale getirdiği bilgileri işleriz. Tespitler, bir sızıntı vakasının parçası olmadıkları sürece son görülmeden on iki ay sonra otomatik olarak silinir; izleme çalıştırmalarının günlükleri ise 90 gün sonra silinir. İlgili kişiler GDPR m. 21 uyarınca işlemeye itiraz edebilir.

Alıcıların kayıtlı sunucuları: Alıcılar, kütüphanelerinde satın alınan bir ürün için en fazla üç adet kendi sunucu adresini (portuyla birlikte IP adresi veya ana makine adı) kaydedebilir. Bunları yalnızca, izlemenin bu sunuculardaki tespitlerini Creator için “Bir alıcı tarafından kendi sunucusu olarak bildirildi” notuyla işaretlemek amacıyla kullanırız. Creator yalnızca bu notu ve kaç alıcının aynı adresi belirttiğini görür; hangi alıcılar olduğunu görmez. Hukuki dayanak GDPR m. 6/1-b'dir (lisans sözleşmesine ilişkin isteğe bağlı işlev). Kayıtlar; siz bunları kaldırdığınızda, satın alma iade edildiğinde veya hesabınız silindiğinde silinir.

14. Değerlendirmeler, yorumlar, bildirimler ve DSA/kötüye kullanım prosedürleri

Kullanıcılar değerlendirme, yorum, bildirim veya başka içerikler paylaştığında; girilen içerikleri, hesap verilerini, zamanları, ilgili ürünleri, işlem durumunu, moderasyon kararlarını ve iletişim verilerini işleriz.

Amaçlar; platform iletişimi, kalite güvencesi, hukuka aykırı içeriklerin bildirilmesi ve incelenmesi, kötüye kullanımın önlenmesi, platform kurallarının uygulanması ve yasal yükümlülüklerin yerine getirilmesidir. Hukuki dayanaklar GDPR m. 6/1-b, 6/1-c ve 6/1-f'dir.

15. Destek ve iletişim

Kullanıcılar bizimle iletişime geçtiğinde; bildirilen verileri, iletişim bilgilerini, mesaj içeriklerini, ekleri, hesap verilerini, sipariş/ürün referanslarını ve işlem notlarını işleriz. Amaçlar; talebin işlenmesi, sözleşmenin ifası, ispat, kalite güvencesi ve kötüye kullanımın önlenmesidir.

Hukuki dayanaklar GDPR m. 6/1-b, GDPR m. 6/1-c ve GDPR m. 6/1-f'dir.

16. Veri alıcıları ve veri işleyenler

Kişisel veriler üçüncü kişilere yalnızca gerekli olduğunda veya yasal olarak izin verildiğinde aktarılır. Veri alıcıları özellikle barındırma hizmeti sağlayıcısı olarak Hetzner Online GmbH (veri işleyen, Bölüm 3), ödeme hizmeti sağlayıcısı olarak Stripe (Bölüm 9 ve 11a) ile harici giriş veya platform hizmetleri olarak Discord ve Valve'dır (Steam) (Bölüm 5, 7 ve 13). Discord ayrıca Creator'ın istediği webhook bildirimlerini, alıcılara ait veriler olmadan alır (Bölüm 10); Google/YouTube ise ancak gömülü bir videoyu başlattığınızda veri alır (Bölüm 4). Bunun ötesinde, yasal olarak zorunlu olduğu veya hukuki taleplerin ileri sürülmesi için gerekli olduğu ölçüde, münferit durumlarda mali müşavirler, hukuk danışmanları, resmî makamlar ve mahkemeler de veri alıcısı olabilir. E-postaları kendi sunucumuzdan kendimiz göndeririz; harici bir e-posta hizmet sağlayıcısı kullanmıyoruz. E-postalar, ilgili e-posta alıcısının posta sunucusuna teslim edilir.

Hizmet sağlayıcılar kişisel verileri bizim adımıza işlediği ölçüde, gerekli veri işleme sözleşmelerini akdederiz. Üçüncü kişiler kendi sorumluluklarında hareket ettiği ölçüde, ayrıca onların gizlilik bilgileri geçerlidir.

17. Üçüncü ülkelere aktarımlar

Özellikle Discord (Creator'lar için webhook bildirimleri dahil), Steam, Stripe ve YouTube gibi harici hizmetlerin kullanımında, Avrupa Birliği veya Avrupa Ekonomik Alanı dışındaki ülkelerde işleme gerçekleşebilir. Sızıntı izlemesi için yapılan Steam Web API sorgularında (Bölüm 13) kullanıcılarımızın kişisel verilerini ABD'ye aktarmayız. Gerekli olduğu ölçüde sağlayıcılar bu tür aktarımları yeterlilik kararlarına, standart sözleşme maddelerine veya kanunda öngörülen diğer güvencelere dayandırır.

18. Saklama süresi

Kişisel verileri yalnızca ilgili amaçlar için gerekli olduğu veya yasal yükümlülükler bulunduğu sürece saklarız. Belirleyici olanlar özellikle sözleşmenin ifası, lisans süresi, yasal saklama süreleri, vergi ve ticaret hukukundan doğan yükümlülükler, zamanaşımı süreleri, güvenlik menfaatleri ve devam eden uyuşmazlıklardır.

Hesap silme talepleri kural olarak 48 saat içinde incelenir ve işleme alınır. Yasal saklama yükümlülükleri, açık sözleşmeler, ödeme kanıtları, lisans kanıtları, güvenlik menfaatleri veya hukuki talepler engel olduğu ölçüde, tekil verilerin tamamen silinmesi mümkün olmayabilir.

19. İlgili kişilerin hakları

İlgili kişiler, yasal koşullar çerçevesinde aşağıdaki haklara sahiptir:

• işlenen kişisel veriler hakkında bilgi alma,
• yanlış verilerin düzeltilmesi,
• kişisel verilerin silinmesi,
• işlemenin kısıtlanması,
• veri taşınabilirliği,
• meşru menfaatlere dayanan işlemelere itiraz,
• verilen rızaların ileriye dönük olarak geri alınması,
• bir veri koruma denetim makamına şikâyet.

Bu hakları kullanmak için şu adrese bir mesaj göndermeniz yeterlidir: kontakt@bspmarket.de.

20. Denetim makamına şikâyet hakkı

İlgili kişiler bir veri koruma denetim makamına şikâyette bulunabilir. Bizim için yetkili makam muhtemelen şudur:

İlgili kişiler, yetkili başka herhangi bir veri koruma denetim makamına da başvurabilir.

21. Güvenlik

Kişisel verileri kayba, kötüye kullanıma, yetkisiz erişime, değiştirilmeye ve yetkisiz ifşaya karşı korumak için teknik ve organizasyonel önlemler alıyoruz. Bunlar arasında özellikle şunlar bulunur: yalnızca şifreli aktarım (HSTS'li HTTPS), e-posta adresleri, erişim ve hakediş ödemesi verileri gibi hassas bilgilerin şifrelenmiş olarak saklanması, günlüklerde hash'lenmiş IP adresleri, bir rol ve yetki konsepti, yüklenen dosyaların virüs taramasından geçirilmesi, indirmeler için kısa ömürlü tek kullanımlık bağlantılar, giriş saldırılarına karşı korumalı bir güvenlik duvarı, sunucunun otomatik güvenlik güncellemeleri, günlük veritabanı yedekleri, DKIM imzalı e-postalar ve yüklenen görsellerden meta verilerin kaldırılması.

22. Reşit olmayanlar

Platform özel olarak çocuklara yönelik değildir. Reşit olmayanlar platformu yalnızca hukuken izin verildiği ölçüde ve velilerinin gerekli onayı bulunduğunda kullanabilir. Kullanımın hukuka uygunluğu konusunda şüphe bulunması halinde hesapları engelleme veya kanıt talep etme hakkımızı saklı tutarız.

23. Bu Gizlilik Politikası'ndaki değişiklikler

Platform işlevleri, veri işleme faaliyetleri, hukuki durum veya teknik süreçler değiştiğinde bu Gizlilik Politikası'nı uyarlayabiliriz. Platformda o an erişilebilir olan sürüm geçerlidir.