OnetraX – Gizlilik Politikası (KVKK & GDPR)

Son güncelleme: 7 Ağustos 2026

Bu metnin bir İngilizce çevirisi de mevcuttur ("Privacy Policy"). İki dil arasında bir tutarsızlık olması hâlinde bu Türkçe metin esas alınır.

Bu Gizlilik Politikası, OnetraX'i ("biz", "Site", "Hizmet") ziyaret eden veya kullanan kişilerin kişisel verilerinin nasıl işlendiğini açıklar. Türkiye'deki kullanıcılar için 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), Avrupa Birliği'ndeki kullanıcılar için Genel Veri Koruma Tüzüğü ("GDPR") esas alınmıştır.

1. Veri Sorumlusu / Data Controller


Ticari Marka	OnetraX
İşletme Sahibi	Mustafa Ece (gerçek kişi)
Adres	Talep hâlinde e-posta yoluyla bildirilir
E-posta	info@onetrax.net

KVKK anlamında "veri sorumlusu", GDPR anlamında "data controller" sıfatıyla hareket eden taraf yukarıdaki gerçek kişidir. OnetraX şu an bir şahıs şirketi çatısı altında değildir; şahıs şirketi kurulduğunda bu bölüm ticaret unvanı, vergi dairesi ve vergi numarasıyla güncellenecektir.

Filonuza ait operasyonel veriler (araç, sürücü, sevkiyat vb.) bu politikanın kapsamı dışındadır — bkz. Bölüm 2, alt not.

2. Topladığımız Kişisel Veriler

Kategori	Örnekler	Kaynak
Kimlik / İletişim	Ad soyad, e-posta, telefon	Deneme kaydı, iletişim formu, destek
Hesap / Firma	Firma adı, yetkili kişi, filo büyüklüğü, şifre (hash)	Ücretsiz deneme kaydı
Teknik / Kullanım	IP adresi, oturum bilgisi, tarayıcı/cihaz bilgisi, giriş zaman damgası	Site ve uygulama kullanımı
Fatura / Ödeme	Fatura unvanı, adres, vergi no, ödeme işlem kaydı	Abonelik satın alma (Bölüm 5)
Pazarlama	E-posta, tercih	Yalnızca açık rıza ile
Çerezler	Zorunlu/teknik çerezler; varsa analiz çerezleri	Site ziyareti — bkz. Çerez Politikası

Kapsam dışı: Uygulama içinde sizin (müşterimizin) girdiği araç, dorse, sevkiyat, sürücü kimlik/maaş bilgisi gibi operasyonel veriler bu politikanın kapsamında değildir. Bu veriler bakımından siz veri sorumlususunuz (data controller), biz aramızdaki hizmet sözleşmesi çerçevesinde veri işleyen (data processor) sıfatıyla hareket ederiz. Bu ilişki ayrı bir Veri İşleme Sözleşmesi (DPA) ile düzenlenir.

3. Verileri Neden ve Hangi Hukuki Dayanakla İşliyoruz?

Amaç	KVKK m.5	GDPR Madde 6
Hesap oluşturma, hizmetin sunulması	Sözleşmenin ifası	6(1)(b) Sözleşmenin ifası
Faturalandırma, tahsilat	Hukuki yükümlülük	6(1)(c) Hukuki yükümlülük
Destek taleplerinin yanıtlanması	Meşru menfaat	6(1)(f) Meşru menfaat
Güvenlik, kötüye kullanımın önlenmesi	Meşru menfaat	6(1)(f) Meşru menfaat
Vergi/muhasebe yükümlülükleri	Hukuki yükümlülük	6(1)(c) Hukuki yükümlülük
Pazarlama e-postaları	Açık rıza	6(1)(a) Rıza

Rızaya dayalı işleme faaliyetleri için rızanızı dilediğiniz zaman, sonraki işlemlerin hukuka uygunluğunu etkilemeksizin geri çekebilirsiniz.

4. Verilerinizi Kimlerle Paylaşıyoruz?

4.1. Yurt İçi Aktarım

Yetkili kamu kurum ve kuruluşları: Gelir İdaresi Başkanlığı, Sosyal Güvenlik Kurumu, Kişisel Verileri Koruma Kurumu, mahkemeler ve mevzuat uyarınca bilgi talep etmeye yetkili diğer kamu kurumları — yalnızca yasal zorunluluk hâlinde ve talep edilen kapsamla sınırlı olarak.
Mali müşavir / muhasebe hizmeti sağlayıcısı: Vergi, muhasebe ve ticari mevzuattan doğan yükümlülüklerin yerine getirilmesi amacıyla; fatura ve ödeme kayıtlarıyla sınırlı olarak.

4.2. Fiilen Yurt Dışına Aktarım Yapılan Alıcılar ve Ülkeler

Aşağıdaki alıcılara yapılan aktarımlar fiilen ve süreklilik arz edecek şekilde gerçekleşmektedir:

Alıcı	Hizmet	Aktarılan Veri	Ülke
Google Cloud EMEA Limited Velasco, Clanwilliam Place, Dublin 2, İrlanda	Firebase Authentication, Cloud Firestore, Firebase Hosting — barındırma ve kimlik doğrulama	Hesap verileri, kimlik doğrulama bilgileri, işlem güvenliği kayıtları, uygulamaya girdiğiniz operasyonel veriler	Almanya — Frankfurt (`europe-west3`), AB
Google Commerce Limited Gordon House, Barrow Street, Dublin 4, İrlanda	Google Workspace — kurumsal e-posta (`info@onetrax.net`)	E-posta yazışmalarının içeriği, gönderen/alıcı bilgileri, destek talepleri	İrlanda — AB (sözleşme tarafı). Posta kutusu içeriğinin fiziksel saklama konumu Google Workspace abonelik planına bağlıdır.
Ruul Inc.	Merchant of Record — AB müşterileri için faturalandırma ve tahsilat	Fatura unvanı/adresi, vergi kimlik numarası, ödeme işlem kaydı	Estonya — AB
Tailwind Labs Inc. / içerik dağıtım ağı	`cdn.tailwindcss.com` — arayüz stil kütüphanesi (yalnızca tanıtım sitesi)	Siteyi ziyaret ettiğinizde tarayıcınızın IP adresi ve tarayıcı bilgisi	ABD / küresel CDN

Ödeme kartı bilgileri: Kredi/banka kartı bilgileriniz tarafımızca hiçbir aşamada görülmez, işlenmez veya saklanmaz.

Türkiye'deki müşteriler için ödeme altyapısı: Bu politikanın yayımlandığı tarih itibarıyla yerli bir ödeme kuruluşu ile çalışılmamaktadır; böyle bir kuruluşla çalışılmaya başlandığında bu bölüm güncellenecektir.

Yukarıda sayılanlar dışında verileriniz üçüncü taraflarla paylaşılmaz; hiçbir koşulda reklam amacıyla satılmaz veya kiralanmaz.

5. Yurt Dışına Veri Aktarımının Hukuki Dayanağı (KVKK m.9)

4.2'de gösterildiği üzere kişisel verileriniz yurt dışına aktarılmaktadır. Bu aktarım ihtimal dâhilinde değil, fiilen ve sürekli olarak gerçekleşmektedir; hizmetin çalışması için teknik bir zorunluluktur.

7499 sayılı Kanun ile değişik KVKK m.9, yurt dışı aktarım için kademeli bir sıra öngörür:

Yeterlilik kararı (m.9/1) — Kurul'un ilgili ülke veya sektör hakkında verdiği karar.
Uygun güvenceler (m.9/2) — yeterlilik kararı yoksa; standart sözleşme, bağlayıcı şirket kuralları veya taahhütname.
Arızi hâller (m.9/6) — yalnızca süreklilik arz etmeyen, tek seferlik aktarımlar için istisnai durumlar.

Bu politikanın yayımlandığı tarih itibarıyla Kurul tarafından hakkında yeterlilik kararı verilmiş herhangi bir ülke bulunmamaktadır; Almanya, İrlanda, Estonya ve diğer AB üyesi ülkeler de bu kapsamda değildir. Aktarım bu nedenle birinci kademeye dayandırılamamaktadır.

⚠ DOLDURULACAK ALAN — HUKUKİ İNCELEME GEREKTİRİR. Aşağıdaki paragraf, aktarımın hangi mekanizmaya dayandırıldığına göre bir avukat tarafından kesinleştirilmelidir. Açık rıza yolu seçilirse, kayıt akışında Kullanım Koşulları onayından ayrı ve işaretlenmesi zorunlu olmayan bir açık rıza adımı bulunmalıdır; böyle bir adım uygulamada yoksa bu beyan gerçeği yansıtmaz. Standart sözleşme yolu seçilirse, sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kuruma bildirilmesi zorunludur. Bu belge, Aydınlatma Metni'nin 6. bölümüyle birebir tutarlı tutulmalıdır.

Uygun güvence mekanizmalarının kurulmasına yönelik çalışmalar sürdürülmektedir; süreç tamamlandığında bu politika güncellenecek ve değişiklik tarafınıza bildirilecektir. Bu aşamada aktarım, tarafınızdan alınan açık rızaya dayanılarak gerçekleştirilmektedir.

Rızanızı geri çekme hakkınız: Açık rızanızı dilediğiniz zaman info@onetrax.net adresine bildirerek geri çekebilirsiniz. Verilerin yurt dışındaki sunucularda barındırılması hizmetin çalışması için teknik bir zorunluluk olduğundan, rızanın geri çekilmesi hâlinde Hizmet'i sunmamız mümkün olmayacak; hesabınız kapatılarak verileriniz 7. bölümde belirtilen süreler dâhilinde silinecektir.

AB'deki ilgili kişiler bakımından: GDPR kendi coğrafi kapsamı içinde doğrudan uygulanır. Barındırma AB sınırları içinde (Frankfurt) gerçekleştiğinden bu veriler bakımından GDPR anlamında üçüncü ülkeye aktarım söz konusu değildir; ancak Google Workspace ve Ruul üzerinden gerçekleşen aktarımlar bakımından GDPR m.44 ve devamı hükümleri uygulanır.

6. Veri Güvenliği

Tüm trafik TLS ile şifrelenir; disk üzerinde veriler AES-256 ile şifreli tutulur.
Şu an itibarıyla kişisel verilere erişimi olan tek kişi işletme sahibidir — ayrı bir çalışan/ekip erişimi bulunmamaktadır.
Veriler Google Cloud altyapısında, bölge içindeki birden fazla erişilebilirlik alanına çoğaltılarak saklanır.
Her müşterinin verisi izole tutulur; sunucu tarafında zorunlu kılınan bir ayrımdır.

7. Saklama Süreleri

Veriler, ilgili amaç için gerekli olan süre ve ilgili mevzuatın (Vergi Usul Kanunu, Türk Ticaret Kanunu vb.) öngördüğü zamanaşımı süresince saklanır. Hesap/abonelik sona erdikten sonra veriler 30 gün süreyle saklanır ve bu sürenin sonunda kalıcı olarak silinir; fatura ve muhasebe kayıtları yasal saklama süresi boyunca muhafaza edilir.

8. Çerezler

Site, temel işlevsellik için zorunlu/teknik çerezler kullanır; kullanılıyorsa analiz/istatistik çerezleri hakkında ayrıntılı bilgi ayrı bir Çerez Politikası'nda yer alır.

9. Haklarınız

KVKK Madde 11 (Türkiye'deki ilgili kişiler için)

Bize başvurarak; verinizin işlenip işlenmediğini öğrenme, işlenme amacını sorma, yurt içi/dışı aktarıldığı üçüncü kişileri öğrenme, eksik/yanlış verinin düzeltilmesini isteme, silinmesini/yok edilmesini isteme, bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, otomatik analiz sonucu aleyhinize sonuç çıkmasına itiraz etme ve zararın giderilmesini talep etme haklarına sahipsiniz. Şikayetlerinizi Kişisel Verileri Koruma Kurumu'na iletebilirsiniz.

GDPR Madde 15–22 (AB'deki ilgili kişiler için)

Erişim, düzeltme, silme ("unutulma hakkı"), işlemenin kısıtlanması, veri taşınabilirliği ve itiraz hakkına sahipsiniz; rızaya dayalı işlemede rızanızı geri çekebilirsiniz. Bulunduğunuz AB üye ülkesinin veri koruma otoritesine şikayette bulunma hakkınız saklıdır.

10. AB'de Yerleşiklik / Temsilci Notu

Şu an OnetraX'in AB içinde yerleşik bir kuruluşu bulunmamaktadır. AB'deki müşterilere hizmet sunulduğu için, GDPR Madde 27 kapsamında bir AB temsilcisi atama yükümlülüğünün doğup doğmadığının değerlendirilmesi gerekir; bu değerlendirme bu politikanın kapsamı dışındadır ve ayrıca ele alınmalıdır.

11. Çocukların Verileri

Hizmet, işletmelere yönelik (B2B) bir SaaS ürünüdür ve 18 yaşından küçük bireylere yönelik değildir; bu kişilerden bilerek veri toplanmaz.

12. Politika Değişiklikleri

Bu politika, mevzuat veya Hizmet kapsamındaki değişikliklere göre güncellenebilir; güncel hâli her zaman bu sayfada yayımlanır.

13. İletişim

Sorularınız için info@onetrax.net adresinden bize ulaşabilirsiniz.

OnetraX – Privacy Policy (KVKK & GDPR)

Last updated: August 7, 2026

This is an English translation of our Turkish-language Privacy Policy ("Gizlilik Politikası"). In case of any inconsistency between the two versions, the Turkish original prevails.

This Privacy Policy explains how personal data is processed for visitors and users of OnetraX ("we", "Site", "Service"). For users in Turkey, Law No. 6698 on the Protection of Personal Data ("KVKK") applies; for users in the European Union, the General Data Protection Regulation ("GDPR") applies.

1. Data Controller


Trade name	OnetraX
Business owner	Mustafa Ece (natural person)
Address	Provided upon request by email
Email	info@onetrax.net

The above natural person acts as "veri sorumlusu" under KVKK and "data controller" under GDPR. OnetraX does not currently operate under a registered sole proprietorship; once one is registered, this section will be updated with the trade name, tax office and tax number.

Operational data belonging to your fleet (vehicles, drivers, shipments, etc.) is out of scope of this policy — see Section 2, note.

2. Personal Data We Collect

Category	Examples	Source
Identity / Contact	Name, email, phone	Trial sign-up, contact form, support
Account / Company	Company name, authorized contact, fleet size, password (hashed)	Free trial registration
Technical / Usage	IP address, session data, browser/device info, login timestamp	Site and app usage
Billing / Payment	Invoice name, address, tax number, payment transaction record	Subscription purchase (Section 5)
Marketing	Email, preference	Only with explicit consent
Cookies	Strictly necessary/technical cookies; analytics cookies if used	Site visits — see Cookie Policy

Out of scope: Operational data you enter into the app (vehicles, trailers, shipments, driver ID/salary data, etc.) is not covered by this policy. For that data, you are the data controller, and we act as data processor under our service agreement, which is separately governed by a Data Processing Agreement (DPA).

3. Why and On What Legal Basis We Process Data

Purpose	KVKK Art. 5	GDPR Art. 6
Account creation, service delivery	Performance of a contract	6(1)(b) Performance of a contract
Billing, collection	Legal obligation	6(1)(c) Legal obligation
Responding to support requests	Legitimate interest	6(1)(f) Legitimate interest
Security, misuse prevention	Legitimate interest	6(1)(f) Legitimate interest
Tax/accounting obligations	Legal obligation	6(1)(c) Legal obligation
Marketing emails	Explicit consent	6(1)(a) Consent

You may withdraw consent-based processing at any time, without affecting the lawfulness of prior processing.

4. Who We Share Your Data With

4.1. Domestic Recipients (Türkiye)

Competent public authorities: the Turkish Revenue Administration, the Social Security Institution, the Personal Data Protection Authority, courts and other public bodies empowered by law to request information — only where legally required and limited to the scope requested.
Accounting / tax advisor: for compliance with tax, accounting and commercial law obligations; limited to invoicing and payment records.

4.2. Recipients and Countries of Actual Cross-Border Transfers

Transfers to the recipients below take place in practice and on a recurring basis:

Recipient	Service	Data Transferred	Country
Google Cloud EMEA Limited Velasco, Clanwilliam Place, Dublin 2, Ireland	Firebase Authentication, Cloud Firestore, Firebase Hosting — hosting and authentication	Account data, authentication credentials, security logs, operational data you enter into the app	Germany — Frankfurt (`europe-west3`), EU
Google Commerce Limited Gordon House, Barrow Street, Dublin 4, Ireland	Google Workspace — business email (`info@onetrax.net`)	Content of email correspondence, sender/recipient details, support requests	Ireland — EU (contracting entity). The physical storage location of mailbox content depends on the Google Workspace subscription plan.
Ruul Inc.	Merchant of Record — invoicing and collection for EU customers	Invoice name/address, tax ID, payment transaction record	Estonia — EU
Tailwind Labs Inc. / content delivery network	`cdn.tailwindcss.com` — UI stylesheet library (marketing site only)	Your browser's IP address and user-agent when you visit the Site	US / global CDN

Payment card details: Your credit/debit card details are never seen, processed or stored by us at any stage.

Payment infrastructure for customers in Türkiye: As of the publication date of this policy, no local payment institution is in use; this section will be updated if that changes.

Your data is not shared with any third parties other than those listed above, and is never sold or rented for advertising purposes.

5. Legal Basis for Cross-Border Transfers (KVKK Art. 9)

As set out in 4.2, your personal data is transferred abroad. This transfer is not hypothetical — it occurs in practice and continuously, and is a technical necessity for the Service to operate.

KVKK Art. 9, as amended by Law No. 7499, sets out a tiered order for cross-border transfers:

Adequacy decision (Art. 9/1) — a decision by the Board regarding a country or sector.
Appropriate safeguards (Art. 9/2) — where no adequacy decision exists: standard contracts, binding corporate rules or undertakings.
Incidental cases (Art. 9/6) — exceptional circumstances, available only for non-recurring, one-off transfers.

As of the publication date of this policy, the Board has not issued an adequacy decision in respect of any country, including Germany, Ireland, Estonia and other EU member states. The transfer therefore cannot rely on the first tier.

⚠ TO BE COMPLETED — REQUIRES LEGAL REVIEW. The paragraph below must be finalised by a lawyer according to the mechanism actually relied upon. If explicit consent is chosen, the sign-up flow must include a separate and optional consent step, distinct from acceptance of the Terms of Use; if no such step exists in the application, this statement does not reflect reality. If a standard contract is chosen, it must be notified to the Board within 5 business days of signature. This document must be kept strictly consistent with Section 6 of the Information Notice.

Work to establish appropriate safeguard mechanisms is ongoing; this policy will be updated and you will be informed once complete. At this stage, the transfer is carried out on the basis of your explicit consent.

Your right to withdraw consent: You may withdraw your explicit consent at any time by writing to info@onetrax.net. Because hosting data on servers located abroad is a technical necessity for the Service to function, withdrawal means we will no longer be able to provide the Service; your account will be closed and your data deleted within the periods set out in Section 7.

For data subjects in the EU: GDPR applies directly within its own territorial scope. As hosting takes place within the EU (Frankfurt), no third-country transfer arises under GDPR in respect of that data; however, Art. 44 et seq. GDPR apply to transfers via Google Workspace and Ruul.

6. Data Security

All traffic is encrypted via TLS; data at rest is encrypted with AES-256.
At present, the business owner is the only person with access to personal data — there is no separate staff/team access.
Data is stored on Google Cloud infrastructure, replicated across multiple availability zones within the region.
Each customer's data is isolated; this separation is enforced server-side.

7. Retention Periods

Data is retained for as long as necessary for its purpose and, in any case, for the statutory retention periods (e.g. Turkish Tax Procedure Law, Turkish Commercial Code). After account/subscription closure, data is retained for 30 days and then permanently deleted; invoicing/accounting records are kept for the legally required period.

8. Cookies

The Site uses strictly necessary/technical cookies for core functionality; if analytics/statistics cookies are used, details are provided in a separate Cookie Policy.

9. Your Rights

Under KVKK Art. 11 (for data subjects in Turkey)

You may apply to us to learn whether your data is processed, request information about its purpose, learn the third parties it is transferred to domestically/abroad, request correction of inaccurate data, request deletion/destruction, request notification of these actions to third parties, object to a result arising solely from automated analysis, and claim compensation for damages arising from unlawful processing. You may lodge a complaint with the Turkish Data Protection Authority (KVKK Kurumu).

Under GDPR Art. 15–22 (for data subjects in the EU)

You have the right to access, rectify, erase ("right to be forgotten"), restrict processing, data portability, and object; you may withdraw consent for consent-based processing at any time. You retain the right to lodge a complaint with the data protection authority of your EU member state.

10. Note on EU Representation

OnetraX does not currently have an establishment within the EU. Because we provide services to customers in the EU, whether an obligation to appoint an EU representative under GDPR Art. 27 arises should be separately assessed; this evaluation is outside the scope of this policy.

11. Children's Data

The Service is a B2B SaaS product aimed at businesses and is not directed at individuals under the age of 18; we do not knowingly collect data from such individuals.

12. Changes to This Policy

This policy may be updated to reflect legal or Service changes; the current version is always published on this page.

13. Contact

For questions, you can reach us at info@onetrax.net.

⚠ Bu belge bir taslaktır ve yayına alınmadan önce köşeli parantezli alanların doldurulması ile hukuki inceleme gerektirir.