Gizlilik Politikası
Last updated: 28 Ağustos 2026
Bu çeviri anlaşılmayı kolaylaştırmak içindir. Bağlayıcı olan İngilizce sürümdür; farklılık olması durumunda İngilizce metin geçerlidir.
Bu politika, costdown.org'un hangi kişisel verileri, neden, ne kadar süreyle, kimlerle paylaşarak topladığını ve bu konuda ne yapabileceğinizi açıklar. Bu, AB Genel Veri Koruma Tüzüğü'nün (GDPR) 13. ve 14. maddelerinin gerektirdiği bilgilendirme bildirimidir.
Bu belge, hizmetin bugün gerçekte ne yaptığını anlatır. Çalışan sistemle doğrulanamayan bir ifade bu belgede yer almaz.
1. Sorumlu kim (veri sorumlusu)
costdown.org bir şirket tarafından değil, bir birey tarafından işletilir. O birey, GDPR Madde 4(7) anlamında veri sorumlusudur.
Sorumlu için genel bir e-posta adresi yayınlanmaz. 10. bölümde açıklanan her talep dahil tüm iletişim İletişim üzerinden yürütülür. Oraya gönderilen mesajlar saklanır, ve size hemen bir referans numarası verilir, bu yüzden bir talep sessizce kaybolamaz.
Tek istisna, güvenlik açığı bildirimi için ayrılmış bir adres olan ve ayrıca /.well-known/security.txt adresinde yayınlanan [email protected]'dur. Bu, bir açık bulan birinin bunu göndereceği belirgin bir yer olması için vardır, ve 10. bölümdeki talepler için bir kanal değildir — bunlar, mesajınızı saklayan ve size bir referans numarası veren iletişim formu üzerinden yürütülür.
2. Veri Koruma Görevlisi
Bir Veri Koruma Görevlisi atanmamıştır. GDPR Madde 37(1), bunu yalnızca ana faaliyetin bireylerin büyük ölçekli düzenli izlenmesini veya özel kategori verilerin büyük ölçekli işlenmesini içermesi durumunda gerektirir. costdown.org ikisini de yapmaz: işletme maliyet düşürme verilerini işler, ve elinde tuttuğu kişisel veriler 4. bölümde listelenenlerle sınırlıdır.
3. Kimliğiniz sorulmaz
Bu, çoğu gizlilik politikasının söyleyemediği kısımdır, bu yüzden tablodan önce gelir. costdown.org'a kaydolmak dört şey ister: bir e-posta adresi, bir şifre, uzman mı yatırımcı mı olduğunuz, ve ülkeniz. Hepsi bu.
Gerçek adınız asla sorulmaz, ve telefon numarası girecek bir yer yoktur. Platformda, sistemin sizin için oluşturduğu kısa bir kodla tanımlanırsınız — 2E gibi — ve yayınladığınız her şeyin yanında görünen şey bir ad değil, o koddur.
E-posta adresiniz yine de kişisel veridir: sizi tanımlar, biz onu tutarız, ve bu politikadaki her şey ona uygulanır. Giriş yapmanız ve hesap e-postası gönderilmesi için kullanılır. Diğer kullanıcılara asla gösterilmez.
4. Hangi veriler toplanır
| Veri | Nereden geldiği | Neden |
|---|---|---|
| E-posta adresi ve şifre (sadece hash olarak saklanır) | Kayıt olurken sizden | Hesabınızı oluşturmak ve güvence altına almak için |
| Ülke | Kayıt olurken sizden | Karşılaştırmalar sadece tek bir ülke içindeki rakamları kıyaslar, bu yüzden gereklidir |
| Hesap kodu, rol, dil tercihi, doğrulama ve askıya alma durumu | Hizmet tarafından oluşturulur | Hesap kodu buradaki kamuya açık kimliğinizdir; geri kalanı hesabı işletir |
| Kısa biyografi | İsteğe bağlı olarak sizden | Bir tane yazarsanız kamuya açık profilinizde gösterilir; boş bırakırsanız hiçbir şey gösterilmez |
| Sizi bir meslektaş grubuna bağlayan bir katılım kodu — anahtarlı bir hash olarak saklanır, kodun kendisi asla değil | Siz veya bir meslektaşınız bir grup oluşturduğunda hizmet tarafından oluşturulur | Meslektaşların dahili malzeme kodlarını paylaşıp işvereni belirtmeden birlikte karşılaştırılabilmesi için. Bu tablonun altındaki notlara bakın. |
| Grup adı, sektör, ülke, büyüklük | İsteğe bağlı olarak Şirket sayfasında sizden | Sadece doldurmayı seçerseniz. Sektör ve ülke rakamlarınızı doğru karşılaştırma grubuna yerleştirir; ad, sistemin ihtiyaç duyduğu hiçbir şey için kullanılmaz. |
| Yazdığınız vaka çalışmaları, maliyet rakamları, iş birlikleri, doğrulamalar ve yorumlar | Sizden | Bu, hizmetin içeriğidir; yayınlanan öğeler herkese görünür |
| Vaka çalışması görüntülemeleriyle kaydedilen IP adresi | Tarayıcınızdan | Görüntülemeleri saymak ve kötüye kullanımı tespit etmek için |
| İstekleri oran sınırlarken geçici olarak tutulan IP adresi | Tarayıcınızdan | Kayıt, şifre sıfırlama ve iletişim formunun otomatik kötüye kullanımını durdurmak için |
| Tasarruf, yatırım, doğrulama, durum ve role yapılan düzenlemelerin değişiklik kaydı — eski değer, yeni değer, hangi hesap, ne zaman | Hizmet tarafından oluşturulur | Hesap verebilirlik: bir karşılaştırma platformu, ancak rakamların sessizce değiştirilemeyeceği güvencesi kadar değerlidir |
| İletişim formundan yazdığınız ad, e-posta, mesaj ve IP adresi | Sizden | Size cevap vermek ve formun kötüye kullanımını durdurmak için |
Meslektaşlar nasıl gruplanır. İşvereninizi belirterek değil. Sistem, meslektaşlarınıza verdiğiniz rastgele bir katılım kodu oluşturur — 7KQ2M-XB49P gibi bir şey; onu giren herkes sizinle aynı gruba düşer. Gruplama için gereken tek şey budur, bu yüzden şirketin kendisi asla belirtilmez.
Katılım kodu saklanmaz. Veritabanının tuttuğu şey, sunucudaki bir dosyada yaşayan bir gizli anahtarla anahtarlanmış kodun HMAC-SHA256'sıdır — kodun kendisi değil. Sıradan bir hash burada yeterli olmazdı: on karakterli bir kod yaklaşık 10^15 kombinasyondur, ve bir ekran kartı bunu dakikalar içinde tarar. Sunucu anahtarı karıştığında, veritabanının tek başına bir kopyası herhangi bir kodu kurtarmak için işe yaramaz.
Açıkça söylüyoruz, çünkü bunu abartmak hiçbir şey söylememekten daha kötü olurdu: sunucuyu işleten kişi hem veritabanını hem o anahtarı tutar, bu yüzden kodun herkesin ulaşamayacağı bir yerde olduğunu iddia etmiyoruz. Doğru olan şu: kod hiçbir zaman okunabilir biçimde saklanmaz, günlüklere hiç yazılmaz, ve size tam olarak bir kez gösterilir — oluşturduğunuz anda. Kaybederseniz, bir yönetici dahil kimse sizin için kurtaramaz; bunun yerine yeni bir kod oluşturursunuz ve eskisini iptal edersiniz.
Gruba ad vermek de mümkündür, ve yine isteğe bağlıdır. Bunun için bir alan vardır, katılım kodlarından önceki zamandan kalma ve bir etiket isteyen gruplar için tutulan. Doldurursanız, ad tam olarak yazdığınız gibi saklanır ve yöneticiler tarafından okunabilir. Boş bırakırsanız — varsayılan — her özellik aynı şekilde çalışır.
Veritabanında var olan ama hiçbir şey tarafından hiç doldurulmayan iki alan vardır: bir telefon numarası ve bir zaman dilimi. Sitede hiçbir şey bunlara yazmaz ve hiçbir hesabın ikisinde de bir değeri yoktur. Bunlar burada sadece bu belgenin bir şeyi sessizce atlamak yerine veritabanıyla tam olarak eşleşmesi için listelenmiştir.
Sizi başka web sitelerinde takip etme, reklam profillemesi, veya GDPR Madde 22 anlamında hukuki etki doğuran otomatik karar verme ya da profilleme yoktur.
5. Çerezler ve tarayıcı depolama
Giriş yapmadığınız sürece, costdown.org hiçbir çerez ayarlamaz, ve tarayıcınızın yerel veya oturum depolamasında hiçbir şey saklamaz. Bu, canlı sitede doğrulanmıştır.
Giriş yaptıktan sonra, imzalı bir oturum belirteci tutan tek bir çerez ayarlanır — user_id. Sizi giriş yapmış tutmak için kesinlikle gereklidir, bu yüzden ePrivacy Direktifi kapsamında bunun için bir onay banner'ı gerekmez. Çıkış yapmak onu siler.
Trafik ölçümü, çerezsiz olan Cloudflare Web Analytics'i kullanır: tarayıcınızda bir tanımlayıcı ayarlamaz ve sizi başka sitelere takip etmez.
6. İşleme için hukuki dayanak
| İşleme | Hukuki dayanak |
|---|---|
| Hesabınızı oluşturma ve işletme; gönderdiğiniz içeriği yayınlama | Madde 6(1)(b) — sizinle yapılan bir sözleşmenin ifası |
| Oturum çerezi, şifre hash'leme, giriş denemesi sınırları, IP oran sınırlaması | Madde 6(1)(f) — hizmeti ve kullanıcılarını güvende tutmakta meşru menfaat |
| Görüntülenme sayıları ve toplu trafik ölçümü | Madde 6(1)(f) — hizmetin kullanılıp kullanılmadığını bilmekte meşru menfaat |
| Finansal ve doğrulama rakamlarının değiştirilemez değişiklik kaydı | Madde 6(1)(f) — güvenilebilir veride meşru menfaat, ki bu platformun tüm amacıdır |
| İletişim formu üzerinden gönderdiğiniz mesajları işleme | Hizmetle ilgili olduğunda Madde 6(1)(b); Madde 15-22 kapsamında bir talep olduğunda Madde 6(1)(c) — hukuki yükümlülük |
| İşlemsel e-posta (doğrulama, şifre sıfırlama, hesap bildirimleri) | Madde 6(1)(b) — hesabı sağlamak için gerekli |
Bunlardan hiçbirini vermek zorunda değilsiniz. Ama bir e-posta adresi, bir şifre ve bir ülke olmadan bir hesap var olamaz, bu yüzden bunları reddetmek hizmetin sağlanamayacağı anlamına gelir. 3. bölümde isteğe bağlı olarak işaretlenen her şey, hiçbir işlev kaybı olmadan boş bırakılabilir.
7. Veriyi kimler başka alır
| Alıcı | Ne gördükleri | Rol |
|---|---|---|
| Hetzner Online GmbH (Nürnberg, Almanya) | Hizmet tarafından saklanan her şey — sunucuyu ve veritabanını onlar barındırır | İşleyici |
| Cloudflare, Inc. | Sitenin önündeki ağ olarak IP adresiniz, kullanıcı aracınız ve istenen URL'ler; artı çerezsiz trafik ölçümü | İşleyici |
| Resend (İrlanda'da Amazon Web Services üzerinde çalışır) | Size gönderilen işlemsel e-postanın alıcı adresi ve içeriği - hesap doğrulama, şifre sıfırlama, hesap bildirimleri | İşleyici |
| costdown.org'un diğer kullanıcıları | Yayınladığınız her şey: vaka çalışmaları, maliyet rakamları, yorumlar, ve doldurduğunuz profil alanları | İşleyici değil — yayınlama zaten amaçtır |
Kişisel veri satılmaz, ve reklamcılarla veya veri komisyoncularıyla paylaşılmaz. Sadece yasanın gerektirdiği yerlerde kamu makamlarına açıklanır.
8. Uluslararası aktarımlar
Sunucu ve veritabanı Almanya'da, AB içinde bulunur. Hizmetin günlük işleyişi bu yüzden verinizin AEA dışına aktarılmasını içermez.
Açıkça belirtilen iki istisna:
- Cloudflare, Inc. küresel bir ağ işleten bir ABD şirketidir. costdown.org'a giden trafik AEA dışındaki bir uç konumda işlenebilir. Cloudflare, Avrupa Komisyonu'nun Standart Sözleşme Maddelerine ve AB-ABD Veri Gizliliği Çerçevesi'ne dayanır.
- Şifrelenmiş veritabanı yedeklemeleri, barındırma sağlayıcısındaki bir arızanın tüm kopyaları aynı anda yok etmemesi için Alman sunucudan sorumlunun AEA dışındaki bir ülkede tuttuğu bir makineye kopyalanır. O ülke için Avrupa Komisyonu'nun bir yeterlilik kararı yoktur. Yedeklemeler sunucudan çıkmadan önce AES-256 ile şifrelenir, sadece barındırma sağlayıcısının sahip olmadığı bir parolayla okunabilir, ve sorumlu dışında kimse tarafından tutulmaz.
9. Veri ne kadar süre tutulur
| Veri | Saklama |
|---|---|
| Hesap ve profil verisi | Silme talep edene kadar. İletişim formu üzerinden isteyin, kaldırılır. |
| Yayınladığınız vaka çalışmaları ve diğer içerik | Siz silene veya bizden isteyene kadar. Zaten yayınlanmış bir karşılaştırmada kullanılan rakamların, hiçbir bireyin tanımlanamadığı toplu biçimde kalabileceğini unutmayın. |
| Finansal ve doğrulama rakamlarının değişiklik kaydı | Kaydın ömrü boyunca tutulur ve kasıtlı olarak erken düzenlenemez veya silinemez — bu, uygulama kodu tarafından değil, veritabanının kendisi tarafından uygulanır. Bu olmadan, bu platformdaki hiçbir rakama güvenilemezdi. Neyin değiştiğini ve hangi hesap tarafından değiştirildiğini kaydeder, kişisel ayrıntıları değil. |
| Vaka çalışması görüntülemeleriyle kaydedilen IP adresleri | Görüntülenme kaydıyla birlikte tutulur; vaka çalışması silindiğinde kaldırılır. |
| Oran sınırlaması için kullanılan IP adresleri | Sadece bellekte tutulur, ve oran sınırlama penceresi içinde (en fazla bir saat) otomatik olarak sona erer. |
| Katılım kodları (anahtarlı hash olarak) | Kod etkinken tutulur. Bir kodu iptal etmek, satırı silmek yerine iptal edilmiş olarak işaretler, böylece bir kod sessizce yeniden kullanıma alınamaz; satır bir hash tutar, kodu değil. |
| İletişim formu mesajları | Konu açıkken, ve sonrasında hukuki bir talebin zamanında yanıtlandığının kanıtı olarak tutulur; kapandıktan sonra talep üzerine silinir. |
| Şifrelenmiş yedeklemeler | Sunucudaki saatlik yedeklemeler 72 saat tutulur. Sorumlunun sunucu dışında tuttuğu günlük kopyalar 30 gün tutulur. Silinmesini istediğiniz veri, bu pencereler geçene kadar yedeklerde kalabilir. |
10. Veri sahibi olarak haklarınız
GDPR kapsamında, aşağıdaki hakları istediğiniz zaman ve ücretsiz olarak kullanabilirsiniz. Her biri aşağıda hem hukuki terimiyle hem de sade sözcüklerle adlandırılmıştır, çünkü bağlayıcı olan hukuki terimdir:
- Erişim hakkı (Madde 15) — hakkınızda hangi verinin tutulduğunu sorma ve bir kopyasını alma.
- Düzeltme hakkı (Madde 16) — hatalı verinin düzeltilmesini veya eksik verinin tamamlanmasını sağlama.
- Silme hakkı, unutulma hakkı olarak da bilinir (Madde 17) — verinizin silinmesini sağlama.
- İşlemenin kısıtlanması hakkı (Madde 18) — bir anlaşmazlık çözülene kadar işlemeyi dondurma.
- Veri taşınabilirliği hakkı (Madde 20) — verinizi yapılandırılmış, yaygın kullanılan, makine tarafından okunabilir bir biçimde alma, ve teknik olarak mümkün olan yerde başka bir sorumluya gönderilmesini sağlama.
- İtiraz hakkı (Madde 21) — meşru menfaate dayanan işlemeye, yukarıda anlatılan görüntülenme sayımı dahil, itiraz etme.
- Rızayı geri çekme hakkı (Madde 7(3)) — işleme rızaya dayandığında, önceden yasal olanı etkilemeden istediğiniz zaman geri çekme.
- Otomatik karar vermeye tabi olmama hakkı (Madde 22) — costdown.org hukuki veya benzer şekilde önemli etkiler doğuran otomatik kararlar almaz, bu yüzden bu hak devreye girmez.
İletişim kullanın ve Kişisel veri talebi seçeneğini işaretleyin. Hemen bir referans numarası alacaksınız, ve Madde 12(3)'ün gerektirdiği gibi bir ay içinde cevap alacaksınız. Talep karmaşıksa, bunu iki ay daha uzatabiliriz ve ilk ay bitmeden nedenini size söyleriz.
11. Denetim makamına şikayet hakkı
Verinizin hukuka aykırı işlendiğini düşünüyorsanız, bir veri koruma denetim makamına şikayette bulunabilirsiniz — ikamet ettiğiniz ülkedeki, çalıştığınız yerdeki, veya iddia edilen ihlalin gerçekleştiği yerdeki makamlara gidebilirsiniz (GDPR Madde 77). Önce bizimle iletişime geçmenize gerek yoktur, ama genellikle geçerseniz daha hızlı olur.
AB ve AEA makamlarının bir listesi Avrupa Veri Koruma Kurulu tarafından edpb.europa.eu adresinde yayınlanır. Sunucu Almanya'da olduğu için, Alman federal ve Bavyera eyalet makamları da yetkilidir.
12. Güvenlik
- Şifreler sadece hash olarak saklanır; okunabilir biçimde asla saklanmaz veya günlüklenmez.
- Tüm site HSTS ile HTTPS üzerinden sunulur.
- Tekrarlanan başarısız girişler hesabı geçici olarak kilitler, ve kayıt, şifre sıfırlama ve iletişim formuna yapılan istekler IP'ye göre oran sınırlıdır.
- Verinizin her okunması ve yazılması, sadece tarayıcıda değil sunucuda izinlerinize karşı kontrol edilir.
- Yedeklemeler AES-256 ile şifrelenir, ve bunlardan geri yükleme varsayılmak yerine test edilir.
Hiçbir sistem tamamen güvenli değildir. Bir güvenlik açığı bulursanız, lütfen kamuya açıklamadan önce [email protected]'a bildirin. Aynı adres, RFC 9116 biçiminde /.well-known/security.txt adresinde makine tarafından okunabilir biçimde yayınlanır. Tercih ederseniz iletişim formu da çalışır.
13. Çocuklar
costdown.org, üretimde çalışan insanlar için bir araçtır ve çocuklara yönelik değildir. 16 yaşın altındaki kimse için bilerek hesap oluşturulmaz. Bir çocuğun kayıt olduğunu düşünüyorsanız, bize iletişim formu üzerinden söyleyin, hesap kaldırılacaktır.
14. Bu politikadaki değişiklikler
Üstteki tarih, bu belge her değiştiğinde değişir. Bir değişiklik haklarınızı önemli ölçüde etkiliyorsa, kayıtlı kullanıcılar bunu kendileri fark etmek zorunda kalmak yerine e-posta ile bilgilendirilir.