Yürürlük tarihi: 15 Eylül 2026 (15.09.2026)
1. Biz kimiz?
DEKINNexus Etap (“Uygulama”), Cezayir'de faaliyet gösteren inşaat yüklenicisi SARL DEK IN SAN (“Şirket”, “biz”) tarafından işletilen ve etap.dekinnexus.com adresinden erişilen bir iş takip uygulamasıdır. Projelerin, idari onay süreçlerinin, sözleşme ve iş emirlerinin (ODS), satın alma ve taşeron hakedişlerinin takibi için kullanılır. Uygulamada işlenen kişisel verilerin veri sorumlusu Şirket'tir. Sorularınız için: etap@dekinnexus.com
2. Kapsam
Uygulama bir şirket içi iş aracıdır ve kamuya açık kayıt yoktur: hesaplar yalnızca Şirket yöneticileri tarafından çalışanlar ve yetkilendirilmiş iş ortakları için açılır. Bu politika hesap sahiplerinin ve uygulamaya kaydedilen tedarikçi, taşeron, kurum ve şantiye irtibat kişilerinin verilerine uygulanır. Esas alınan hukuk, başta kişisel verilerin işlenmesinde gerçek kişilerin korunmasına ilişkin 10 Haziran 2018 tarihli ve 18-07 sayılı Kanun olmak üzere Cezayir hukukudur. Uygulamanın kullanım kuralları Kullanım Koşulları'nda açıklanmıştır.
3. İşlediğimiz veriler
- Hesap verileri: kullanıcı adı, ad soyad, unvan, telefon, e-posta, rol (ve süper admin yetkisi), hesabın etkin/pasif durumu, oluşturulma zamanı, bağlı şantiye/birimler; dil, not rengi, bildirim tercihleri ve tanıtım turunun görülüp görülmediği.
- Güvenlik bilgileri: şifrenin yalnızca geri döndürülemez bcrypt özeti (şifre düz metin saklanmaz), son 5 eski şifre özeti, son şifre değişikliği zamanı, ilk şifre durumu, giriş sayacı; 60 dakika geçerli, tek kullanımlık şifre sıfırlama bağlantısının yalnızca SHA-256 özeti.
- İş verileri: proje ve sözleşme bilgileri (idare, sözleşme no ve tarihleri, bedel, banka bilgileri, iş emirleri, teminat mektupları, sigorta poliçeleri); süreç adımları, notlar ve belgeler; satın alma talepleri, teklifler, onaylar, siparişler, teslimatlar, faturalar, ödemeler ve yazışmalar; taşeron sözleşmeleri ve hakedişleri.
- Üçüncü kişi irtibat bilgileri: tedarikçi, taşeron, kurum ve şantiye kayıtlarındaki firma adı, NIF/RC/NIS/AI numaraları, adres, telefon, e-posta, yetkili kişi ve notlar.
- Diğer: kişisel hatırlatmalar (yalnızca sahibi görür), duyurular, uygulama içi bildirimler, WhatsApp kişi listesi ve 6. bölümde açıklanan kullanım kayıtları.
4. Verileri nasıl elde ediyoruz?
Hesap bilgileri hesabınızı açan yöneticilerden; profil bilgileri, kayıtlar, notlar ve belgeler sizden; tedarikçi, taşeron ve kurum bilgileri iş süreçlerinde çalışma arkadaşlarınızdan; oturum ve işlem kayıtları ise uygulamayı kullanırken otomatik olarak elde edilir. Sözleşme/ODS kayıtlarının bir kısmı, bağlı teminat, sigorta ve belge kayıtlarıyla birlikte Şirket'in diğer bir iç uygulamasından (hr.dekinnexus.com) aktarılmıştır. İsteğe bağlı yapay zekâ özelliği açıksa bazı form alanları, yüklenen sözleşme belgesinden okunarak önerilir (8. bölüm).
Hesap açma formundaki zorunlu alanlar olmadan hesap açılamaz. Telefon ve e-posta gibi isteğe bağlı alanlar boş bırakılırsa ilgili bildirim kanalı, giriş bilgisinin WhatsApp ile gönderimi veya şifre sıfırlama bağlantısı kullanılamaz.
5. Amaçlar ve hukuki dayanaklar
- Hesap yönetimi ve kimlik doğrulama — sizinle aramızdaki iş veya ticari sözleşmenin yürütülmesi.
- Proje, sözleşme, satın alma ve taşeron işlerinin yürütülmesi; belgelerin saklanması — sözleşmelerin ifası ve Şirket'in yasal yükümlülükleri.
- Tedarikçi, taşeron, kurum ve şantiye irtibat kişilerinin verileri (teklif isteme, sipariş, hakediş ve resmi yazışmaların yürütülmesi) — Şirket ile bu kişilerin bağlı olduğu kuruluş arasındaki sözleşmenin yürütülmesi ve Şirket'in meşru menfaati.
- Bildirimler (uygulama içi, e-posta, WhatsApp) — iş süreçlerinin zamanında yürütülmesi; kanalları profilinizden sınırlayabilirsiniz.
- Güvenlik, kötüye kullanımın önlenmesi, denetim izi ve kullanım istatistikleri — Şirket'in meşru menfaati ve yasal yükümlülükleri.
- Hakların korunması ve yetkili makamların talepleri — yasal yükümlülükler.
6. Etkinlik ve güvenlik kayıtları
Açık olmak isteriz: uygulamadaki etkinlikleriniz kayıt altına alınır.
- İşlem denetim günlüğü: oturum açmış kullanıcıların istekleri için (statik dosyalar, sistem yoklamaları, kılavuz sayfaları ve otomatik yoklama istekleri hariç; giriş yapılmamış istekler için aşağıdaki sınır geçerlidir) kullanıcı kimliği ve adı, rol, işlem türü (işlem, sayfa görüntüleme, belge açma, Excel/PDF dışa aktarma, giriş, çıkış, reddedilen istek), ekran yolu, sonuç kodu, kısa özet, ilgili kayıt, gizlilik kurallarına göre ayıklanmış parametreler (ör. kayıt numarası, durum, tarih veya tutar, arama terimi, kayıt adı veya başlığı, giriş denemesindeki kullanıcı adı), IP adresi, tam tarayıcı bilgisi (sayfa görüntülemelerinde saklanmaz), dil ve işlem süresi.
- Oturum geçmişi: giriş, son etkinlik ve çıkış zamanları, oturum süresi, oturumun nasıl kapandığı, IP adresi ve kısa tarayıcı özeti (örneğin “Chrome · Windows”). Başarısız giriş denemeleri denenen kullanıcı adı, IP, tarayıcı özeti ve neden koduyla kaydedilir.
- Değişiklik günlükleri: süreç, sözleşme/ODS, satın alma ve taşeron modüllerinde kimin, ne zaman, hangi değeri neye değiştirdiği.
- Teknik günlükler: uygulama günlükleri, belirli bir dosya boyutuna ulaşıldığında en eski kayıtlar silinerek döngüsel olarak tutulur; bazı satırlarda kullanıcı adı, e-posta adresi veya istenen adres yer alabilir. Ayrıca sunucunun web sunucusu (ters vekil) her istek için IP adresi, zaman, istenen adres (sorgu parametreleri dahil), yönlendiren sayfa ve tarayıcı bilgisini erişim günlüklerine yazar; bu günlükler sunucunun günlük yönetimine göre saklanır.
Denetim ve oturum kayıtlarında kaydedilmeyenler: şifreler (başarısız denemelerdeki şifre dahil), erişim anahtarları, oturum çerezi ve belge içerikleri. Form içerikleri olduğu gibi saklanmaz: şifre benzeri alanlar “***” olarak yazılır; açıklama, not, gerekçe, adres, telefon ve e-posta alanları atılır; yüklenen dosyalardan yalnızca ad ve boyut kalır. Giriş yapılmamış isteklerde yalnızca reddedilen istekler ve giriş/çıkış denemeleri kaydedilir.
Kim görebilir? Denetim günlüğü ve kullanım istatistikleri ekranları yalnızca süper admin hesaplarına açıktır; yönetici (admin) rolü tek başına yetmez. Bu ekranlarda neyin kaydedildiği açıklanır. Değişiklik günlüklerine erişim 11. bölümdeki rol ve kapsam kurallarına tabidir.
7. Google kullanıcı verileri
Yüklenen belgeler Şirket'e ait bir Google hesabının Google Drive alanında saklanabilir. Bağlantı bir Şirket yöneticisi tarafından, Şirket'in kendi Google hesabı için Google OAuth ile kurulur; Google onay ekranında uygulama “ETAP Drive” adıyla görünür. Çalışanların kişisel Google hesapları bağlanmaz.
- drive.file: Uygulama yalnızca kendisinin oluşturduğu dosya ve klasörlere ve bir kullanıcının açıkça bu uygulamayla açtığı veya paylaştığı dosyalara erişebilir; Drive'daki diğer dosyaları göremez. Bu izin; yüklenen iş belgelerini “DEKINNexus Etap Belgeleri” klasörüne kaydetmek, yetkili kullanıcılara uygulama içinde sunmak ve belge kalıcı olarak silindiğinde Drive'dan da kaldırmak için kullanılır. Geri alınabilir biçimde silinen satın alma belgelerinin dosyası Drive'da kalır; Drive bağlantısı kaldırılmışsa dosyalar uygulama tarafından Drive'dan silinemez.
- userinfo.email: bağlanan hesabın e-posta adresi; hangi hesabın bağlı olduğunu yöneticilere göstermek ve yeniden bağlanıldığında aynı hesabın bağlanıp bağlanmadığını anlayarak kayıtlı belge klasörünün kullanılıp kullanılmayacağına karar vermek için saklanır.
- Saklama: bağlantının yenileme anahtarı (refresh token) AES-256-GCM ile şifreli saklanır; belgeler Şirket'in Drive'ında durur ve belge kayıtlarında her dosyanın Drive dosya kimliği ile bağlantısı tutulur. Bağlantı uygulamadan kaldırıldığında yenileme anahtarı silinir; aynı hesap yeniden bağlandığında belgelerin tek klasörde kalması için bağlı hesabın e-posta adresi ve belge klasörünün kimliği saklanmaya devam eder. Uygulamadan kaldırma, Google tarafında verilen izni kendiliğinden iptal etmez; izni tamamen kaldırmak için Şirket'in Google hesabı ayarlarındaki üçüncü taraf erişimleri bölümünden (myaccount.google.com/permissions) “ETAP Drive” erişimi kaldırılmalıdır.
Sınırlı kullanım taahhüdü: Google API'lerinden alınan veriler satılmaz, reklam amacıyla kullanılmaz, kredi değerliliğini belirlemek veya kredi verme amacıyla kullanılmaz ve genelleştirilmiş yapay zekâ veya makine öğrenmesi modellerini geliştirmek ya da eğitmek için kullanılmaz (isteğe bağlı Gemini özelliği Drive'dan veri okumaz, yalnızca kullanıcının formda seçtiği belgeyi işler). Google API'lerinden alınan veriler yalnızca uygulamanın kullanıcıya görünen belge saklama ve görüntüleme özelliğini sağlamak veya iyileştirmek, güvenliği korumak ya da hukuka uymak için gerektiği ölçüde aktarılır; reklam platformlarına, veri simsarlarına veya bilgi satıcılarına aktarılmaz.
Google API'lerinden alınan verileri, belgeleri uygulama içinde görüntüleme yetkisi olan kullanıcılar dışında hiçbir kişi okumaz. Bunun istisnaları yalnızca şunlardır: (a) ilgili kullanıcının belirli belgeler için verdiği açık izin, (b) kötüye kullanımın araştırılması gibi güvenlik amaçları, (c) yürürlükteki hukuka uyma zorunluluğu, (d) veriler toplulaştırılmış ve anonimleştirilmiş olmak kaydıyla iç operasyonlar.
DEKINNexus Etap'ın Google API'lerinden alınan bilgileri kullanması ve başka herhangi bir uygulamaya aktarması, Sınırlı Kullanım (Limited Use) gereklilikleri de dahil olmak üzere Google API Hizmetleri Kullanıcı Verileri Politikası'na uygun olacaktır.
DEKINNexus Etap's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
8. Üçüncü taraf hizmetler
- Google Drive: yüklenen belgeler (7. bölüm). Drive bağlantısı yoksa ya da Drive'a yükleme başarısız olursa belgeler, yapılandırılmışsa Şirket'in Google hizmet hesabına, değilse sunucunun kendi diskine kaydedilir. Hizmet hesabı kullanılırsa uygulama o hesabın Drive alanına tam Drive izniyle erişir ve belgeler, yapılandırmada açıkça etkinleştirilmedikçe herkese açık bağlantıyla paylaşılmaz.
- Google Gemini (yalnızca etkinleştirilmişse): varsayılan olarak kapalıdır; yönetici belgelerin Google'a gönderilmesine açıkça izin verirse çalışır. Yazma yetkisi olan kullanıcı “Belgeden Oku (AI)” ile PDF veya resim seçtiğinde, seçilen resim dosyası bütünüyle, PDF dosyasının ise yalnızca ilk sayfaları (sözleşmelerde 3, taşeron sözleşmelerinde 4) alan çıkarma talimatıyla Google'a gönderilir. Sonuç uygulamada yalnızca formu doldurur, otomatik kaydedilmez. Gönderilen belge Google tarafından Gemini API koşullarına göre işlenir ve saklanabilir; ücretsiz Gemini API kullanımında bu koşullar, gönderilen içeriğin Google ürünlerinin geliştirilmesinde kullanılmasına ve insan incelemesine izin verebilir.
- WhatsApp: bildirimler Şirket'in QR kodla bağladığı WhatsApp hesabı üzerinden, tercihlerinize göre telefon numaranıza ve yöneticilerin tanımladığı grup/kişilere gider. Mesajlar proje, adım, kurum, tedarikçi, tutar, tarih, kişi adları, açıklama ve bağlantı içerebilir; her gönderim içerik, durum ve telefon numarasıyla kaydedilir. “Giriş bilgisi gönder” özelliği ad, uygulama adresi, kullanıcı adı ve o anda üretilen yeni ilk şifreyi iletir; önceki şifre geçersiz olur, şifre kayıtlarda maskelenir.
- E-posta: yöneticinin tanımladığı SMTP sunucusu üzerinden olay bildirimleri (tercihlerinize göre), şifre sıfırlama bağlantıları ve günlük özetler.
- Tedarikçilere teklif isteği: e-posta veya WhatsApp ile şirket bilgileri, talep kalemleri, tedarikçinin yetkili adı ile gönderen çalışanın adı, e-postası ve telefonu.
- Webhook (yalnızca yapılandırılmışsa): bildirim başlığı, mesajı, bağlantısı ve alıcıların telefon numaraları.
Bu hizmetler kendi koşullarına ve gizlilik politikalarına tabidir (örneğin Google Gizlilik Politikası). Uygulamada analiz, reklam veya izleme aracı yoktur; PDF belgeler sunucuda, harici bir hizmete gönderilmeden üretilir.
9. Çerezler ve tarayıcı depolama
Uygulama yalnızca zorunlu bir oturum çerezi (connect.sid) kullanır: JavaScript ile okunamaz (httpOnly), siteler arası isteklere karşı sınırlıdır (SameSite=Lax), üretimde varsayılan olarak yalnızca şifreli bağlantıda gönderilir ve 8 saat geçerlidir. Girişte veya dil seçildiğinde oluşur; oturum bilgisi sunucudaki veritabanında tutulur. Reklam veya izleme çerezi yoktur.
Tarayıcıda yalnızca arayüz tercihleri saklanır. localStorage: yardım panellerinin açık/kapalı durumu (ak_…), son sözleşme sekmesi (marche_sekme), hakediş sıralaması (marche_hakedis_sira), menü durumu (sv_menu_kapali, sv_menu_gizli), son görülen bildirim numarası (sv_last_notif_id), kılavuzda kapatılan “çevrilmedi” uyarısı (kl_dil_not_…). sessionStorage: tanıtım turunu erteleme (etap_tur_sonra) ve menü kaydırma konumu (sv_menu_scroll).
10. Saklama süreleri
- Okunmuş/arşivlenmiş bildirimler 90 gün; WhatsApp mesaj kayıtları ve sayfa görüntüleme denetim kayıtları 180 gün; tamamlanmış WhatsApp gönderim kuyruğu satırları 30 gün sonra silinir. Gönderilen e-postalar veritabanında ayrıca kayıt altına alınmaz. Süresi dolan oturumlar günlük bakımda temizlenir.
- Otomatik silinmeyenler: oturum geçmişi, sayfa görüntüleme dışındaki denetim kayıtları ve değişiklik günlükleri (denetim izi olarak korunur); kullanılmış veya süresi dolmuş şifre sıfırlama kayıtları kullanıcı silinene kadar kalır.
- İş kayıtları ve belgeler otomatik silinmez; Şirket'in iş ve yasal saklama ihtiyaçlarına göre yöneticilerce yönetilir. Satın alma belgelerinin silinmesi geri alınabilir; bildirimleri “temizlemek” onları arşivler.
- Hesap silindiğinde şantiye bağlantıları, bildirimler, şifre geçmişi, sıfırlama kayıtları, kişisel hatırlatmalar ve bekleyen WhatsApp gönderimleri silinir; denetim kayıtları, oturum geçmişi, değişiklik günlükleri, WhatsApp kayıtları ve yorumlar kayıtlı adla birlikte korunur.
- Sunucu yedeklenebilir; silinen veriler, yedeklerin dönüşüm süresi dolana kadar yedeklerde kalabilir.
11. Güvenlik ve erişim denetimi
- Şifreli bağlantı (HTTPS); uygulama sunucusu ve veritabanı doğrudan internete açık değildir.
- Şifre politikası: en az 8 karakter, yaygın şifreler reddedilir; yeni şifre son iki şifreyle aynı olamaz; yöneticinin verdiği şifreyle 3. girişte ve 365 günde bir değişiklik zorunludur (sistemden kilitlenmeyi önlemek için süper admin hesapları bu iki zorunluluktan muaftır). Şifre değişince diğer oturumlar kapanır.
- Sabit süreli şifre karşılaştırması, giriş/şifre sıfırlama/silme denemelerinde hız sınırları, girişte oturum kimliğinin yenilenmesi; her istekte hesap doğrulanır ve pasifleştirilen hesap anında düşer.
- Silme gibi geri alınamaz işlemlerde şifrenin yeniden girilmesi; İçerik Güvenliği Politikası, güvenlik başlıkları ve siteler arası istek sahteciliğine (CSRF) karşı kaynak denetimi.
- SMTP şifresi, Gemini anahtarı ve Drive yenileme anahtarı AES-256-GCM ile şifreli saklanır; yüklemelerde dosya türü beyaz listesi uygulanır, belgeler yalıtılmış (sandbox) biçimde sunulur.
- Rol tabanlı erişim (yönetici, üst yönetim, sorumlu, satın alma, sözleşme/ODS sorumlusu): sorumlular yalnızca proje müdürü oldukları, şantiyesine atandıkları ya da bir süreç veya adımından sorumlu oldukları projeleri görür. Yetkiler her istekte sunucuda denetlenir.
Hiçbir sistem tamamen risksiz değildir; bir güvenlik sorunundan şüphelenirseniz bir yöneticiye veya etap@dekinnexus.com adresine bildirin.
12. Veri paylaşımı
Kişisel verileriniz satılmaz ve reklam amacıyla paylaşılmaz. Kişisel veriler Şirket içinde ve hesabı bulunan yetkilendirilmiş iş ortaklarına rol ve kapsam kurallarına göre görünür; iletişim rehberinin ekip bölümü (ad, unvan, rol, telefon, e-posta) yalnızca yönetici, üst yönetim ve satın alma rollerine gösterilir ve bu roller tarafından Excel'e aktarılabilir. Şirket dışına veriler yalnızca şu alıcılara, ilgili amaç için gerektiği ölçüde aktarılır: uygulamanın barındırıldığı sunucu hizmet sağlayıcısı; yapılandırılmışsa sunucu dışı yedek depolama hedefi; 8. bölümdeki hizmet sağlayıcılar; yöneticilerin tanımladığı WhatsApp grupları ve kişileri; yapılandırılmışsa webhook alıcısı; teklif isteklerinde seçilen tedarikçiler ve yasal zorunluluk halinde yetkili makamlar.
13. Yurt dışına aktarım
Google (Drive ve etkinleştirilmişse Gemini), WhatsApp ve e-posta sağlayıcısı gibi hizmetlere gönderilen veriler ile, uygulamanın barındırma ve yedekleme hizmetleri Cezayir dışında bulunuyorsa bu hizmetlerdeki veriler, Cezayir dışındaki sunucularda işlenebilir. Bu aktarımlar ilgili özellik için gerekenlerle sınırlıdır ve 18-07 sayılı Kanun'un yurt dışına aktarıma ilişkin hükümlerinde öngörülen koşullara (ulusal otoritenin izni ve alıcı ülkede yeterli koruma düzeyi şartı dahil) tabidir.
14. Haklarınız
18-07 sayılı Kanun kapsamında verilerinizin kim tarafından ve hangi amaçla işlendiği konusunda bilgilendirilme, verilerinize erişim, yanlış veya eksik verilerin güncellenmesini ve düzeltilmesini isteme, meşru nedenlerle işlemeye itiraz etme ve gereksiz ya da hukuka aykırı işlenen verilerin silinmesini veya erişime kapatılmasını (kısıtlanmasını) isteme haklarına sahipsiniz. Denetim izi niteliğindeki kayıtlar ile yasal veya iş gereği saklanması gereken veriler, bu gereklilik sürdükçe silinmeyebilir.
Nasıl kullanırsınız? Ad soyad, telefon, şifre, not rengi, dil ve bildirim tercihlerinizi profilinizden kendiniz değiştirebilirsiniz. Kullanıcı adı, e-posta veya rol değişikliği ile erişim, silme ve itiraz talepleri için bir yöneticiye başvurun ya da etap@dekinnexus.com adresine yazın; uygulamada kendi hesabını silme veya veri dışa aktarma işlevi yoktur. Talebinizi işlemeden önce kimliğinizi doğrulamamız gerekebilir. Cezayir'in kişisel verilerin korunmasından sorumlu ulusal otoritesine (ANPDP) başvurma hakkınız saklıdır. Bilgileri uygulamada kayıtlı tedarikçi, taşeron veya kurum irtibat kişileri de aynı adrese yazabilir.
15. Çocuklar
Uygulama çalışanlar ve iş ortakları için bir iş aracıdır; reşit olmayan kişilere yönelik değildir ve bu kişiler için bilerek hesap açılmaz.
16. Politikadaki değişiklikler
Bu politikayı uygulamadaki veya mevzuattaki değişikliklere göre güncelleyebiliriz. Güncel metin bu sayfada yürürlük tarihiyle yayımlanır; önemli değişiklikler uygulama içinde duyurulur.
17. İletişim
SARL DEK IN SAN — DEKINNexus Etap. Gizlilikle ilgili soru ve talepleriniz için: etap@dekinnexus.com