1. Biz kimiz

Shiftino, Ata Sarp Etikan tarafından geliştirilen ve sunulan bir vardiya kontrol listesi uygulamasıdır (Ankara, Türkiye). İletişim: info@shiftino.net.

Yönetici hesapları ve abonelikler için Shiftino veri sorumlusudur. İşletmelerin çalışanlarına ait veriler (ad, giriş-çıkış saatleri, form kayıtları, fotoğraflar) için veri sorumlusu Shiftino'yu kullanan işletmedir; Shiftino bu verileri işletme adına ve onun talimatıyla işleyen veri işleyendir. Çalışanlar bu verilerle ilgili taleplerini öncelikle işverenlerine iletmelidir; bize gelen talepleri ilgili işletmeye yönlendiririz.

2. Hangi verileri işliyoruz

• Yönetici hesabı: e-posta adresi, şifre (şifrelenmiş biçimde saklanır), işletme ve şube adları, saat dilimi, rapor alıcılarının e-posta adresleri, dil tercihi.
• Personel hesabı: ad soyad, kullanıcı adı, PIN (şifrelenmiş biçimde saklanır), çalıştığı şubeler ve rolü.
• Çalışma kayıtları: giriş ve çıkış saatleri, vardiya planları, tamamlanan form maddeleri, notlar, devir notları, şef istekleri ve raporlar.
• Fotoğraflar: uygulama içindeki kamerayla çekilen form, giriş ve çıkış fotoğrafları; üzerlerine tarih ve saat işlenir. Shiftino kişisel özçekim istemez; fotoğraflar yapılan işi göstermek içindir.
• Abonelik: plan, başlangıç ve bitiş tarihleri, mağaza işlem kayıtları. Ödeme bilgilerin Apple ya da Google'da kalır; kart bilgilerini görmeyiz.
• Cihaz: bildirim gönderebilmek için cihazın bildirim anahtarı (push token) ve platformu (iOS ya da Android).
• Teknik kayıtlar: hizmet sağlayıcılarımızın güvenlik ve işletim için tuttuğu sınırlı kayıtlar (örneğin IP adresi ve istek zamanı).

Konum, rehber ya da reklam kimliği toplamayız. Uygulamada reklam, üçüncü taraf analitik ya da izleme yoktur.

3. Amaçlar ve hukuki sebepler (KVKK m. 5)

• Hesap, form, rapor ve bildirim hizmetini sunmak: sözleşmenin kurulması ve ifası (m. 5/2-c).
• Aboneliği yönetmek ve yasal kayıt yükümlülüklerini yerine getirmek: sözleşme ve hukuki yükümlülük (m. 5/2-c ve 5/2-ç).
• Hizmetin güvenliğini sağlamak ve kötüye kullanımı önlemek: meşru menfaat (m. 5/2-f).
• Destek taleplerini cevaplamak: sözleşme ve meşru menfaat.
• Hukuki talepler: bir hakkın tesisi, kullanılması ve korunması (m. 5/2-e).

İşletme adına işlenen çalışan verileri için amaç ve hukuki sebebi işveren belirler.

4. Verileri kimler görür ve kimlerle paylaşırız

İşletme içinde yönetici tüm şubelerin verilerini, şef atandığı şubelerin verilerini, personel kendi kayıtlarını ve o günkü formu görür. Rapor e-postaları yöneticinin girdiği adreslere gider.

Hizmeti sunmak için şu sağlayıcıları kullanırız:

• Supabase: veritabanı, dosya depolama ve oturum açma; sunucular Frankfurt, Almanya'da.
• Resend: rapor ve doğrulama e-postalarının gönderimi (ABD merkezli).
• RevenueCat: aboneliklerin takibi (ABD merkezli); yalnızca işletme kimliği ve satın alma kayıtlarını alır.
• Expo, Apple ve Google: bildirimlerin telefonlara iletilmesi.
• Apple App Store ve Google Play: ödeme ve abonelik.

Verilerini satmayız ve reklam için kimseyle paylaşmayız. Yasal bir zorunluluk olduğunda yetkili kurumlarla paylaşılabilir.

5. Yurt dışına aktarım (KVKK m. 9)

Sağlayıcılarımızın sunucuları Avrupa Birliği'nde ve ABD'dedir. Kişisel veriler bu sağlayıcılara, Kişisel Verileri Koruma Kurulu'nun yayımladığı standart sözleşmeler imzalanarak ve Kurul'a bildirilerek aktarılır.

6. Ne kadar süre saklarız

• Fotoğraflar: çekildikten 45 gün sonra otomatik silinir. Yönetici silinmeden önce ZIP olarak indirebilir.
• ZIP dosyaları: 7 gün sonra silinir.
• Yazılı kayıtlar (form, giriş-çıkış, notlar, planlar, raporlar): işletme hesabı silinene ya da işletme bunları silene kadar.
• Kapatılan personel hesabı: giriş engellenir; adı ve geçmiş kayıtları işletmenin kayıtlarında kalır.
• Bildirim anahtarı: çıkış yapıldığında ya da uygulama silindiğinde.
• Hesap silme: Yönetici uygulamadaki "Hesabı sil" ile işletmeyi sildiğinde şubeler, personel hesapları, kayıtlar ve fotoğraflar silinir; kalan dosyalar en geç 24 saat içinde temizlenir. Hizmet sağlayıcıların yedeklerinde kısa bir süre daha kalabilir.

Yasal saklama yükümlülükleri saklıdır.

7. Güvenlik

Bağlantılar şifrelidir (HTTPS). Her işletme yalnızca kendi verisini görebilir; bu kural sunucuda uygulanır. Fotoğraflar herkese açık değildir ve süreli bağlantılarla gösterilir. Şifre ve PIN'ler düz metin olarak saklanmaz. Web sürümü (shiftino.net/app) oturum bilgisini yalnızca tarayıcının yerel deposunda tutar; çerez, reklam ya da izleme aracı kullanılmaz.

8. Hakların (KVKK m. 11)

Verilerinin işlenip işlenmediğini öğrenme, bilgi isteme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı kişileri bilme, eksik ya da yanlış verilerin düzeltilmesini, silinmesini ya da yok edilmesini ve bunların aktarılanlara bildirilmesini isteme, otomatik analiz sonucu aleyhine bir sonuca itiraz etme ve zararın giderilmesini isteme hakların vardır.

Başvurularını info@shiftino.net adresine gönderebilirsin; en geç 30 gün içinde ücretsiz cevap veririz. Cevabımızı yeterli bulmazsan Kişisel Verileri Koruma Kurulu'na şikayet hakkın vardır.

9. Çocuklar

Shiftino iş hayatı için tasarlanmıştır ve çocuklara yönelik değildir.

10. Değişiklikler

Bu metni güncellediğimizde yeni sürümü bu sayfada yayımlarız; önemli değişiklikleri uygulama içinde ya da e-postayla bildiririz.

1. Who we are

Shiftino is a shift checklist app developed and provided by Ata Sarp Etikan (Ankara, Türkiye). Contact: info@shiftino.net.

Shiftino is the data controller for manager accounts and subscriptions. For the data of a business's employees (names, check-in and check-out times, checklist records, photos), the controller is the business that uses Shiftino; Shiftino processes this data on the business's behalf and on its instructions, as a data processor. Employees should first send requests about this data to their employer; requests that reach us are forwarded to the business.

2. What we process

• Manager account: email address, password (stored hashed), business and branch names, time zone, the email addresses of report recipients, language.
• Staff account: full name, username, PIN (stored hashed), branches and role.
• Work records: check-in and check-out times, shift plans, completed checklist items, notes, handover notes, chef requests and reports.
• Photos: checklist, check-in and check-out photos taken with the camera inside the app, stamped with the date and time. Shiftino does not ask for selfies; photos show the work that was done.
• Subscription: plan, start and end dates, store transaction records. Your payment details stay with Apple or Google; we never see card details.
• Device: the device's push notification token and platform (iOS or Android), to send notifications.
• Technical logs: limited logs kept by our service providers for security and operation (for example IP address and request time).

We do not collect location, contacts or advertising identifiers. The app has no ads, third-party analytics or tracking.

3. Purposes and legal bases

• Providing accounts, checklists, reports and notifications: performance of the contract.
• Managing subscriptions and keeping required records: contract and legal obligation.
• Keeping the service secure and preventing misuse: legitimate interest.
• Answering support requests: contract and legitimate interest.
• Legal claims: establishing, exercising or defending a right.

For employee data processed on a business's behalf, the employer decides the purpose and legal basis.

4. Who sees the data and who we share it with

Inside a business, the manager sees all branches, a chef sees the branches they are assigned to, and staff see their own records and the day's checklist. Report emails go to the addresses the manager enters.

We use these providers to run the service:

• Supabase: database, file storage and sign-in; servers in Frankfurt, Germany.
• Resend: sending report and verification emails (based in the USA).
• RevenueCat: tracking subscriptions (based in the USA); it receives only the business ID and purchase records.
• Expo, Apple and Google: delivering notifications to phones.
• Apple App Store and Google Play: payments and subscriptions.

We do not sell your data or share it for advertising. Data may be disclosed to authorities when the law requires it.

5. International transfers

Our providers' servers are in the European Union and the USA. Personal data is transferred to them under the standard contracts published by the Turkish Personal Data Protection Board, signed and notified to the Board as Turkish law (KVKK Article 9) requires.

6. How long we keep data

• Photos: deleted automatically 45 days after they are taken. The manager can download them as a ZIP before then.
• ZIP files: deleted after 7 days.
• Written records (checklists, check-ins, notes, plans, reports): until the business account is deleted or the business deletes them.
• Closed staff accounts: sign-in is blocked; the name and past records stay in the business's records.
• Notification token: until you sign out or delete the app.
• Account deletion: when the manager deletes the business with "Delete account" in the app, its branches, staff accounts, records and photos are deleted, and remaining files are cleared within 24 hours. Copies may stay in providers' backups for a short time.

Legal retention obligations apply.

7. Security

Connections are encrypted (HTTPS). Each business can see only its own data, enforced on the server. Photos are never public and are shown through links that expire. Passwords and PINs are never stored in plain text. The web version (shiftino.net/app) keeps the sign-in session only in the browser's local storage; no cookies, ads or tracking tools are used.

8. Your rights

Under the Turkish Personal Data Protection Law (KVKK, Article 11) you can ask whether your data is processed and get information about it, learn the purpose and whether it is used for that purpose, know who it is transferred to, ask for incomplete or incorrect data to be corrected, ask for data to be deleted or destroyed and for this to be passed on to recipients, object to a result against you that comes from automated analysis, and claim compensation for damage.

Send requests to info@shiftino.net; we answer free of charge within 30 days. If you are not satisfied with our answer, you can complain to the Turkish Personal Data Protection Board.

9. Children

Shiftino is made for work and is not directed at children.

10. Changes

When we update this policy we publish the new version on this page, and we announce important changes in the app or by email.