1. Controller

Viakur

Fatih Kaplan

c/o IP-Management #10029

Ludwig-Erhard-Str. 18

20459 Hamburg

Germany

Email: info@viakur.de

2. Overview of Processing Activities

The following overview summarises the categories of data processed, the purposes of processing, and the categories of data subjects concerned.

Categories of Personal Data Processed

• Master data (e.g. name, address, date of birth)
• Contact data (e.g. email address, telephone number)
• Content data (e.g. text messages, documents, evidence of qualifications)
• Usage data (e.g. page views, time spent on site, click paths)
• Meta, communication, and procedural data (e.g. IP addresses, timestamps)
• Log data (e.g. log files relating to logins or access times)
• Application data (e.g. professional qualifications, language skills, work experience)

Categories of Data Subjects

• Users (e.g. website visitors)
• Applicants and candidates (international healthcare professionals)
• Employers and business partners (German clinics and hospitals)
• Communication partners

Purposes of Processing

• Provision of our online offering and user experience
• Placement of healthcare professionals with German employers
• Communication and handling of enquiries
• Web analytics and reach measurement
• Security measures
• Organisational and administrative procedures
• Information technology infrastructure

3. Applicable Legal Bases

Applicable legal bases under the GDPR: The following provides an overview of the legal bases under the GDPR on which we process personal data. Please note that, in addition to the provisions of the GDPR, national data protection requirements may apply in your country or our country of residence or establishment. Where more specific legal bases apply in individual cases, we will inform you of these in this Privacy Policy.

• Consent (Art. 6(1)(a) GDPR) — The data subject has given consent to the processing of their personal data for one or more specific purposes.
• Performance of a contract and pre-contractual enquiries (Art. 6(1)(b) GDPR) — Processing is necessary for the performance of a contract to which the data subject is party, or in order to take steps at the request of the data subject prior to entering into a contract.
• Legitimate interests (Art. 6(1)(f) GDPR) — Processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject.

National data protection provisions in Germany: In addition to the data protection provisions of the GDPR, national data protection rules apply in Germany. These include, in particular, the Act on Protection against the Misuse of Personal Data in Data Processing (Federal Data Protection Act — BDSG). The BDSG contains specific provisions on the right of access, the right to erasure, the right to object, the processing of special categories of personal data, processing for other purposes, transmission and automated individual decision-making, including profiling. State data protection acts of the individual federal states may also apply.

4. Security Measures

In accordance with statutory requirements and taking into account the state of the art, implementation costs, the nature, scope, context, and purposes of processing, as well as the varying likelihood and severity of risks to the rights and freedoms of natural persons, we implement appropriate technical and organisational measures to ensure a level of protection commensurate with the risk.

These measures include, in particular, safeguarding the confidentiality, integrity, and availability of data by controlling physical and electronic access to the data and the access, input, disclosure, availability, and separation of data related thereto. We have also established procedures to ensure the exercise of data subjects’ rights, the deletion of data, and responses to threats to data. Furthermore, we take the protection of personal data into account at the development or selection stage of hardware, software, and procedures, in accordance with the principle of privacy by design and privacy-by-default settings.

Securing Online Connections via TLS/SSL Encryption Technology (HTTPS)

To protect the data of users transmitted via our online services from unauthorised access, we employ TLS/SSL encryption technology. Secure Sockets Layer (SSL) and Transport Layer Security (TLS) are the cornerstones of secure data transmission on the internet. These technologies encrypt the information transmitted between the website or app and the user’s browser (or between two servers), thereby protecting the data from unauthorised access. TLS, as the more advanced and secure version of SSL, ensures that all data transmissions meet the highest security standards. When a website is secured with an SSL/TLS certificate, this is signalled by the display of HTTPS in the URL, serving as an indicator to users that their data is being transmitted securely and in encrypted form.

5. Transfer of Personal Data

In the course of processing personal data, it may be transferred to, or disclosed to, other bodies, companies, legally independent organisational units, or individuals. Recipients of such data may include, for example, service providers entrusted with IT tasks, or providers of services and content integrated into a website. In such cases, we comply with statutory requirements and enter into appropriate contracts or agreements serving to protect your data with the recipients of your data.

6. International Data Transfers

Processing in third countries: Where we transfer data to a third country (i.e. outside the European Union (EU) or the European Economic Area (EEA)), or where this occurs in the context of using third-party services or the disclosure or transfer of data to other persons, bodies, or companies, this is done solely in accordance with statutory requirements.

For data transfers to the United States, we rely primarily on the Data Privacy Framework (DPF), which was recognised as a secure legal framework by an adequacy decision of the EU Commission dated 10 July 2023. In addition, we have entered into Standard Contractual Clauses with the respective providers, which comply with the requirements of the EU Commission and set out contractual obligations for the protection of your data.

This dual safeguard ensures comprehensive protection of your data: the DPF constitutes the primary layer of protection, while the Standard Contractual Clauses serve as an additional safeguard. Should any changes occur to the DPF framework, the Standard Contractual Clauses will operate as a reliable fallback.

Further information on the DPF and a list of certified companies can be found on the website of the U.S. Department of Commerce at https://www.dataprivacyframework.gov/ (in English).

7. General Information on Data Retention and Deletion

We delete personal data that we process in accordance with statutory requirements, once the underlying consents are revoked or no further legal bases for processing exist. This applies to cases where the original processing purpose no longer applies or where the data is no longer required. Exceptions apply where statutory obligations or particular interests require longer retention or archiving of data.

In particular, data that must be retained for commercial or tax law reasons, or whose storage is necessary for the pursuit of legal claims or the protection of the rights of other natural or legal persons, must be archived accordingly.

Retention and Deletion of Data

The following general retention and archiving periods apply under German law:

• 10 years — Retention period for books and records, annual financial statements, inventories, management reports, opening balance sheets, and the operating instructions and other organisational documents necessary for their understanding (§ 147(1) no. 1 in conjunction with (3) AO, § 14b(1) UStG, § 257(1) no. 1 in conjunction with (4) HGB).
• 8 years — Accounting vouchers, such as invoices and cost receipts (§ 147(1) nos. 4 and 4a in conjunction with (3)(1) AO and § 257(1) no. 4 in conjunction with (4) HGB).
• 6 years — Other business documents: received commercial or business letters, copies of dispatched commercial or business letters, and other documents insofar as they are relevant for taxation (§ 147(1) nos. 2, 3, 5 in conjunction with (3) AO, § 257(1) nos. 2 and 3 in conjunction with (4) HGB).
• 3 years — Data required to take into account potential warranty and damages claims, or similar contractual claims and rights, are retained for the duration of the standard statutory limitation period of three years (§§ 195, 199 BGB).

Where multiple retention periods or deletion deadlines apply to a particular item of data, the longest period shall prevail.

8. Rights of Data Subjects

As a data subject, you have the following rights under the GDPR, arising in particular from Arts. 15 to 21 GDPR:

• Right to object: You have the right, on grounds relating to your particular situation, to object at any time to the processing of personal data concerning you which is carried out on the basis of Art. 6(1)(e) or (f) GDPR; this also applies to profiling based on those provisions. Where personal data concerning you is processed for the purposes of direct marketing, you have the right to object at any time to the processing of such data for that purpose; this includes profiling to the extent that it is related to such direct marketing.
• Right to withdraw consent: You have the right to withdraw any consent you have given at any time.
• Right of access: You have the right to obtain confirmation as to whether data concerning you is being processed and to access such data, along with further information and a copy of the data, in accordance with statutory requirements.
• Right to rectification: In accordance with statutory requirements, you have the right to request the completion of data concerning you or the rectification of inaccurate data concerning you.
• Right to erasure and restriction of processing: In accordance with statutory requirements, you have the right to request the immediate erasure of data concerning you, or alternatively to request the restriction of processing of such data.
• Right to data portability: You have the right to receive personal data concerning you that you have provided to us in a structured, commonly used, and machine-readable format, or to request its transmission to another controller, in accordance with statutory requirements.
• Right to lodge a complaint with a supervisory authority: Without prejudice to any other administrative or judicial remedy, you have the right to lodge a complaint with a supervisory authority, in particular in the Member State of your habitual residence, your place of work, or the place of the alleged infringement, if you consider that the processing of personal data relating to you infringes the provisions of the GDPR.

9. Provision of the Online Offering and Web Hosting

We process users’ data in order to provide our online services. For this purpose, we process the user’s IP address, which is necessary to transmit the content and functions of our online services to the user’s browser or device.

• Categories of data processed: Usage data (e.g. page views and time on site, click paths, intensity and frequency of use, device types and operating systems used, interactions with content and functions); meta, communication, and procedural data (e.g. IP addresses, timestamps, identification numbers); log data (e.g. log files relating to logins or data retrieval or access times).
• Data subjects: Users (e.g. website visitors, users of online services).
• Purposes of processing: Provision of our online offering and user experience; information technology infrastructure; security measures.
• Legal bases: Legitimate interests (Art. 6(1)(f) GDPR).

Web Hosting by Vercel

We use the services of the hosting provider Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, to provide our online offering. Every time our website is accessed, information (so-called server log files) is automatically collected and processed on Vercel’s servers. This information includes in particular: the address and name of the web page accessed, the date and time of access, the volume of data transferred, a message confirming successful retrieval, browser type and version, the user’s operating system, the referrer URL, the IP address, and the requesting provider.

Server log files are retained for security purposes (e.g. to detect overloads or malicious attacks) for a maximum period of 30 days and are then deleted or anonymised.

Vercel is certified under the EU-US Data Privacy Framework (DPF). In addition, Standard Contractual Clauses pursuant to Art. 46(2)(c) GDPR have been agreed.

• Service provider: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA
• Legal bases: Legitimate interests (Art. 6(1)(f) GDPR)
• Website: https://vercel.com
• Privacy policy: https://vercel.com/legal/privacy-policy
• Basis for third-country transfer: EU-US Data Privacy Framework (DPF), Standard Contractual Clauses

10. Use of Cookies

The term “cookies” refers to functions that store and read information on users’ devices. Cookies may also be used for various purposes, such as ensuring the functionality, security, and convenience of online offerings, and for generating analyses of visitor flows. We use cookies in accordance with statutory requirements. Where necessary, we obtain users’ prior consent. Where consent is not required, we rely on our legitimate interests. This applies where the storage and retrieval of information is essential to provide content and functions that have been explicitly requested, such as saving settings and ensuring the functionality and security of our online offering. Consent may be withdrawn at any time. We provide clear information on the scope of consent and the cookies used.

Notes on the applicable legal bases: Whether we process personal data using cookies depends on whether consent has been obtained. If consent has been given, it serves as the legal basis. Without consent, we rely on our legitimate interests, as explained above in this section and in the context of the respective services and procedures.

Retention Period

With regard to the retention period, the following types of cookies are distinguished:

• Temporary cookies (session cookies): Temporary cookies are deleted at the latest once a user has left the online offering and closed their device.
• Persistent cookies: Persistent cookies remain stored even after the device is closed. This allows, for example, the login status to be saved and preferred content to be displayed directly when the user revisits a website.

General information on withdrawal and objection (opt-out): Users may withdraw any consent they have given at any time and may also object to processing in accordance with statutory requirements, including through the privacy settings of their browser.

• Categories of data processed: Meta, communication, and procedural data (e.g. IP addresses, timestamps, identification numbers).
• Data subjects: Users (e.g. website visitors, users of online services).
• Legal bases: Legitimate interests (Art. 6(1)(f) GDPR); Consent (Art. 6(1)(a) GDPR).

Proprietary Cookie Consent Solution

We use a proprietary consent management solution (cookie banner) to obtain users’ consent to the use of cookies. The banner distinguishes between two categories:

• Essential cookies: Store the user’s cookie preference for 12 months in the browser’s local storage (localStorage). These cookies are necessary for the website to function and cannot be disabled. Legal basis: Legitimate interests (Art. 6(1)(f) GDPR).
• Statistics cookies: Loaded only if the user has given their consent. Statistics cookies are disabled by default. Legal basis: Consent (Art. 6(1)(a) GDPR).

Users may withdraw or change their consent at any time via the “Cookie Settings” link in the footer of our website. The consent declaration is stored in the browser’s local storage (localStorage) and contains the time of consent and the scope of the consent granted.

11. Web Analytics and Reach Measurement

Google Analytics 4

We use Google Analytics 4 (hereinafter “Google Analytics”), a web analytics service provided by Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (hereinafter “Google”). Google Analytics uses cookies and similar technologies that enable analysis of how our website is used. The information generated by these technologies about your use of our website is generally transmitted to a server of Google and stored there.

IP anonymisation: We use Google Analytics with IP anonymisation enabled. As a result, your IP address is truncated by Google within Member States of the European Union or in other contracting states to the Agreement on the European Economic Area prior to transmission.

Consent requirement: Google Analytics is loaded and activated on our website only if you have given your express consent via our cookie banner. Without your consent, no data is transmitted to Google and no analytics cookies are set.

Purpose of processing: On our behalf, Google will use the information collected to evaluate the use of our website, compile reports on website activity, and provide us with other services related to website usage.

Withdrawal of consent: You may withdraw your consent at any time via the “Cookie Settings” link in the footer of our website. In addition, you can prevent data collection by Google Analytics by downloading and installing the browser plug-in available at: https://tools.google.com/dlpage/gaoptout

• Service provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (parent company: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA)
• Categories of data processed: Usage data (e.g. page views, time on site, click paths); meta, communication, and procedural data (e.g. IP addresses, timestamps, device and browser information)
• Data subjects: Users (e.g. website visitors)
• Legal bases: Consent (Art. 6(1)(a) GDPR)
• Website: https://marketingplatform.google.com/intl/de/about/analytics/
• Privacy policy: https://policies.google.com/privacy
• Data processing agreement: https://business.safety.google/adsprocessorterms/
• Basis for third-country transfer: EU-US Data Privacy Framework (DPF) — Google LLC is DPF-certified
• Opt-out: https://tools.google.com/dlpage/gaoptout
• Retention period: Up to 14 months (depending on configuration); IP addresses are automatically anonymised

12. External Resources and Content

We integrate external resources into our online offering to provide content and functions. For each retrieval of these resources, the user’s IP address is technically transmitted to the respective provider.

Tailwind CSS — CSS Framework

We use the CSS framework Tailwind CSS, which is loaded from an external server (CDN). When this resource is accessed, your IP address is transmitted to the CDN provider.

• Service provider: Tailwind Labs Inc., USA
• Categories of data processed: Meta and communication data (e.g. IP addresses)
• Legal bases: Legitimate interests (Art. 6(1)(f) GDPR)
• Website: https://tailwindcss.com

Supabase — Backend Infrastructure and Authentication

We use the Supabase service to provide backend functions, including user authentication and file uploads. Personal data (e.g. email address, password hash, uploaded documents) is processed on Supabase’s servers in connection with this service.

• Service provider: Supabase Inc., San Francisco, CA, USA
• Categories of data processed: Master data (e.g. email address), content data (e.g. uploaded documents), meta and communication data (e.g. IP addresses)
• Legal bases: Performance of a contract and pre-contractual enquiries (Art. 6(1)(b) GDPR)
• Website: https://supabase.com
• Privacy policy: https://supabase.com/privacy
• Basis for third-country transfer: Standard Contractual Clauses

13. Application and Placement Process

Viakur places international healthcare professionals with German clinics and hospitals. In the course of this placement process, we process personal data of applicants submitted to us via our application form, by email, or through other channels.

Categories of Data Processed

• Master data (name, date of birth, nationality)
• Contact data (email address, telephone number, address)
• Application data (professional qualification, educational certificates, language skills, work experience, curriculum vitae)
• Documents (diplomas, certificates, passport photographs, visa documents where applicable)

Purposes of Processing

• Conducting the placement process (matching with potential employers)
• Coordination of language courses, recognition procedures, and visa processes
• Communication with applicants and potential employers

Legal Bases

• Performance of a contract and pre-contractual enquiries (Art. 6(1)(b) GDPR) — Processing is necessary for the performance of pre-contractual measures taken at the request of the data subject (application, placement).
• Consent (Art. 6(1)(a) GDPR) — Where special categories of personal data are processed (e.g. health data related to the exercise of a profession in the care sector), this is done on the basis of the data subject’s explicit consent pursuant to Art. 9(2)(a) GDPR.

Disclosure of data: In the course of the placement process, application data may be disclosed to potential employers (German clinics and hospitals). Such disclosure takes place only with the applicant’s express consent and only to the extent necessary for the placement.

Retention and deletion: Application data will be deleted upon completion of the placement process, provided there are no statutory retention obligations and no legitimate interest in continued storage. In the event of a successful placement, data will be retained for the duration of the ongoing contractual relationship. Applicants may request the deletion of their data at any time.

14. Contact and Enquiry Management

When you contact us (e.g. by post, contact form, email, telephone, or via social media) and in the context of existing user and business relationships, the information provided by the enquiring parties is processed to the extent necessary to respond to contact enquiries and any requested measures.

• Categories of data processed: Contact data (e.g. postal and email addresses or telephone numbers); content data (e.g. text or image messages and posts and the information relating to them); meta, communication, and procedural data (e.g. IP addresses, timestamps).
• Data subjects: Communication partners.
• Purposes of processing: Communication; organisational and administrative procedures; feedback; provision of our online offering and user experience.
• Legal bases: Legitimate interests (Art. 6(1)(f) GDPR); performance of a contract and pre-contractual enquiries (Art. 6(1)(b) GDPR).

When contact is made via our contact form, by email, or through other communication channels, we process the personal data transmitted to us in order to respond to and handle the respective enquiry. This generally includes details such as name, contact information, and any further information communicated to us that is necessary for appropriate handling of the matter. We use such data exclusively for the stated purpose of establishing and maintaining contact and communication.

15. Changes and Updates

We ask you to inform yourself regularly about the content of our Privacy Policy. We update the Privacy Policy as and when changes to the data processing activities we carry out make this necessary. We will notify you as soon as any such changes require an action on your part (e.g. giving consent) or any other individual notification.

Where we provide addresses and contact details of companies and organisations in this Privacy Policy, please note that these may change over time and we ask you to verify the details before making contact.

16. Definitions

This section provides an overview of the terms used in this Privacy Policy. Where terms are defined by law, their statutory definitions shall apply. The explanations below are intended primarily to aid understanding.

• Personal data: “Personal data” means any information relating to an identified or identifiable natural person; an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier, or one or more factors specific to the physical, physiological, genetic, mental, economic, cultural, or social identity of that natural person.
• Controller: “Controller” means the natural or legal person, public authority, agency, or other body which, alone or jointly with others, determines the purposes and means of the processing of personal data.
• Processing: “Processing” means any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means. The term has a broad meaning and covers virtually any handling of data, including collection, evaluation, storage, transmission, or deletion.
• Application data: Information provided by applicants in the course of an application or placement process, including evidence of qualifications, work experience, language skills, and personal documents.

1. Veri Sorumlusu (Verantwortlicher)

Viakur

Fatih Kaplan

c/o IP-Management #10029

Ludwig-Erhard-Str. 18

20459 Hamburg

Almanya

E-posta: info@viakur.de

2. İşlenen Verilere Genel Bakış

Aşağıdaki özet, işlenen veri türlerini ve işleme amaçlarını özetleyerek ilgili kişilere atıfta bulunmaktadır.

İşlenen Veri Türleri

• Kimlik verileri (ör. ad, adres, doğum tarihi)
• İletişim verileri (ör. e-posta adresi, telefon numarası)
• İçerik verileri (ör. metin mesajları, belgeler, yeterlilik kanıtları)
• Kullanım verileri (ör. sayfa görüntülemeleri, oturum süresi, tıklama yolları)
• Meta, iletişim ve işlem verileri (ör. IP adresleri, zaman bilgileri)
• Log verileri (ör. oturum açma veya erişim sürelerine ilişkin log dosyaları)
• Başvuru verileri (ör. mesleki nitelikler, dil becerileri, iş deneyimi)

İlgili Kişi Kategorileri

• Kullanıcılar (ör. web sitesi ziyaretçileri)
• Başvuru sahipleri ve adaylar (uluslararası sağlık profesyonelleri)
• İşverenler ve iş ortakları (Alman klinikler ve hastaneler)
• İletişim partnerleri

İşleme Amaçları

• Çevrimiçi hizmetimizin sunulması ve kullanıcı dostu hale getirilmesi
• Sağlık profesyonellerinin Alman işverenlerle eşleştirilmesi
• İletişim ve taleplerin yanıtlanması
• Web analizi ve erişim ölçümü
• Güvenlik önlemleri
• Organizasyon ve idari prosedürler
• Bilgi teknolojisi altyapısı

3. Geçerli Hukuki Dayanaklar (Rechtsgrundlagen)

GDPR kapsamındaki geçerli hukuki dayanaklar: Aşağıda, kişisel verileri işlediğimiz GDPR hukuki dayanaklarına ilişkin bir genel bakış sunulmaktadır. GDPR hükümlerine ek olarak, ikamet ettiğiniz veya yerleşik olduğumuz ülkedeki ulusal veri koruma düzenlemelerinin de geçerli olabileceğini lütfen dikkate alınız. Bireysel durumlarda daha özel hukuki dayanakların geçerli olması halinde, bunlar Gizlilik Politikasında ayrıca belirtilecektir.

• Rıza (Einwilligung) (Art. 6 Abs. 1 S. 1 lit. a) DSGVO) — Veri sahibi (Betroffene Person), kendisiyle ilgili kişisel verilerin belirli bir amaç veya birden fazla belirli amaç doğrultusunda işlenmesine onay vermiştir.
• Sözleşmenin İfası ve Sözleşme Öncesi Talepler (Art. 6 Abs. 1 S. 1 lit. b) DSGVO) — İşleme, veri sahibinin taraf olduğu bir sözleşmenin ifası için veya veri sahibinin talebi üzerine gerçekleştirilen sözleşme öncesi önlemlerin alınması için gereklidir.
• Meşru Menfaatler (Berechtigte Interessen) (Art. 6 Abs. 1 S. 1 lit. f) DSGVO) — Veri sahibinin kişisel verilerin korunmasını gerektiren menfaatlerinin, temel haklarının ve temel özgürlüklerinin, veri sorumlusunun veya üçüncü bir tarafın meşru menfaatlerini geçmemesi koşuluyla, işleme bu meşru menfaatlerin korunması için zorunludur.

Almanya’daki Ulusal Veri Koruma Düzenlemeleri: GDPR’ın veri koruma hükümlerine ek olarak, Almanya’da ulusal veri koruma düzenlemeleri de geçerlidir. Bu kapsamda özellikle Kişisel Verilerin İşlenmesinde Kötüye Kullanıma Karşı Koruma Kanunu (Bundesdatenschutzgesetz — BDSG) sayılabilir. BDSG, bilgi edinme hakkı, silme hakkı, itiraz hakkı, özel kategori kişisel verilerin işlenmesi, başka amaçlarla işleme ve aktarım ile bireysel durumlarda otomatik karar verme (profil oluşturma dahil) konularında özel düzenlemeler içermektedir. Bunlara ek olarak, bireysel federal eyaletlerin veri koruma kanunları da uygulanabilir.

4. Güvenlik Önlemleri

Yasal gerekliliklere uygun olarak, teknolojinin mevcut durumunu, uygulama maliyetlerini ve işlemenin niteliğini, kapsamını, koşullarını ve amaçlarını dikkate alarak, gerçek kişilerin haklarına ve özgürlüklerine yönelik tehdit olasılıklarını ve boyutlarını göz önünde bulundurarak riske uygun bir koruma düzeyi sağlamak amacıyla uygun teknik ve organizasyonel önlemleri alıyoruz.

Bu önlemler arasında özellikle verilere fiziksel ve elektronik erişimin kontrolü ile bu verilere ilişkin erişim, giriş, iletim, kullanılabilirliğin sağlanması ve ayırt edilmesi yoluyla verilerin gizliliğinin, bütünlüğünün ve kullanılabilirliğinin güvence altına alınması yer almaktadır. Ayrıca, veri sahibi haklarının kullanılmasını, verilerin silinmesini ve veri ihlallerine müdahaleyi güvence altına alan prosedürler oluşturduk. Bunlara ek olarak, veri koruma ilkesini (Privacy by Design) ve varsayılan veri koruma (Privacy by Default) ilkelerini gözetmek suretiyle donanım, yazılım ve prosedürlerin geliştirilmesi veya seçilmesi aşamasından itibaren kişisel verilerin korunmasını dikkate alıyoruz.

TLS/SSL Şifreleme Teknolojisi ile Çevrimiçi Bağlantıların Güvence Altına Alınması (HTTPS)

Çevrimiçi hizmetlerimiz aracılığıyla iletilen kullanıcı verilerini yetkisiz erişime karşı korumak amacıyla TLS/SSL şifreleme teknolojisini kullanıyoruz. Güvenli Yuva Katmanı (SSL) ve Taşıma Katmanı Güvenliği (TLS), internet üzerinde güvenli veri iletiminin temel taşlarıdır. Bu teknolojiler, web sitesi veya uygulama ile kullanıcının tarayıcısı arasında iletilen bilgileri şifreleyerek verileri yetkisiz erişime karşı korur. TLS’nin daha gelişmiş ve güvenli versiyonu olan SSL, tüm veri iletimlerinin en yüksek güvenlik standartlarını karşılamasını sağlar. Bir web sitesi SSL/TLS sertifikası ile güvence altına alındığında, bu durum URL’de HTTPS görüntülenmesiyle belirtilir.

5. Kişisel Verilerin Aktarılması

Kişisel veri işleme faaliyetlerimiz kapsamında bu verilerin diğer kuruluşlara, şirketlere, hukuken bağımsız organizasyon birimlerine veya kişilere iletilmesi ya da bunlara ifşa edilmesi söz konusu olabilir. Bu veri alıcıları arasında örneğin BT görevleri üstlenmiş hizmet sağlayıcılar veya web sitesine entegre hizmet ve içerik sağlayıcılar yer alabilir. Bu tür durumlarda, yasal gerekliliklere uygun davranmakta ve özellikle veri alıcılarıyla verilerinizin korunmasına hizmet eden sözleşmeler ve anlaşmalar imzalamaktayız.

6. Uluslararası Veri Transferleri

Üçüncü ülkelerde veri işleme: Verileri bir üçüncü ülkeye (yani Avrupa Birliği (AB) veya Avrupa Ekonomik Alanı (AEA) dışına) aktarıyor olmamız ya da bunu üçüncü taraf hizmetlerinin kullanımı veya verilerin başka kişilere, kuruluşlara veya şirketlere ifşa edilmesi ya da iletilmesi kapsamında gerçekleştirmemiz durumunda, bu işlemler her zaman yasal gereklilikler çerçevesinde yürütülür.

ABD’ye yapılan veri transferlerinde öncelikli olarak, AB Komisyonu’nun 10.07.2023 tarihli yeterlilik kararıyla güvenli bir hukuki çerçeve olarak tanınan Data Privacy Framework’e (DPF) dayanmaktayız. Bunun yanı sıra, ilgili sağlayıcılarla AB Komisyonu gerekliliklerine uygun Standart Sözleşme Maddeleri (Standardvertragsklauseln) imzaladık.

Bu ikili güvence, verilerinizin kapsamlı biçimde korunmasını sağlamaktadır: DPF birincil koruma katmanını oluştururken, Standart Sözleşme Maddeleri ek bir güvenlik işlevi görmektedir.

DPF ve sertifikalı şirketlerin listesi hakkında daha fazla bilgiye ABD Ticaret Bakanlığı’nın web sitesinden ulaşabilirsiniz: https://www.dataprivacyframework.gov/ (İngilizce).

7. Veri Saklama ve Silme Hakkında Genel Bilgiler

İşlediğimiz kişisel verileri, yasal düzenlemeler çerçevesinde, temel rızalar geri alındığında veya işleme için başka hukuki dayanaklar kalmadığında siliyoruz. Yasal yükümlülüklerin veya özel menfaatlerin daha uzun süreli saklama ya da arşivleme gerektirmesi durumunda bu kurala istisnalar uygulanır.

Özellikle ticaret hukuku veya vergi hukuku gereği saklanması gereken ya da diğer gerçek veya tüzel kişilerin haklarının korunması için veya hukuki uyuşmazlıklarda kullanılmak amacıyla saklanması zorunlu olan veriler, ilgili mevzuat uyarınca arşivlenmek zorundadır.

Saklama ve Silme Süreleri

Almanya hukukuna göre saklama ve arşivleme için aşağıdaki genel süreler geçerlidir:

• 10 yıl — Defterlerin ve kayıtların, yıllık finansal tabloların, envanterlerin, faaliyet raporlarının, açılış bilançosunun saklama süresi (§ 147 Abs. 1 Nr. 1 i.V.m. Abs. 3 AO, § 14b Abs. 1 UStG, § 257 Abs. 1 Nr. 1 i.V.m. Abs. 4 HGB).
• 8 yıl — Muhasebe belgeleri, ör. faturalar ve maliyet makbuzları (§ 147 Abs. 1 Nr. 4 und 4a i.V.m. Abs. 3 Satz 1 AO ve § 257 Abs. 1 Nr. 4 i.V.m. Abs. 4 HGB).
• 6 yıl — Diğer ticari belgeler: alınan ticaret veya iş mektupları ve vergilendirme açısından önem taşıyan diğer belgeler (§ 147 Abs. 1 Nr. 2, 3, 5 i.V.m. Abs. 3 AO, § 257 Abs. 1 Nr. 2 u. 3 i.V.m. Abs. 4 HGB).
• 3 yıl — Olası garanti ve tazminat talepleri için gerekli veriler, üç yıllık olağan yasal zamanaşımı süresi boyunca saklanır (§§ 195, 199 BGB).

Bir veriye ilişkin birden fazla saklama veya silme süresi belirtilmesi halinde, her zaman en uzun süre esas alınır.

8. Veri Sahibinin (Betroffene Person) Hakları

GDPR uyarınca, başta Art. 15 ila 21 DSGVO olmak üzere çeşitli haklara sahipsiniz:

• İtiraz Hakkı (Widerspruchsrecht): Özel durumunuzdan kaynaklanan gerekçelerle, Art. 6 Abs. 1 lit. e veya f DSGVO uyarınca gerçekleştirilen kişisel veri işlemesine her zaman itiraz etme hakkınız bulunmaktadır. Kişisel verileriniz doğrudan pazarlama amacıyla işleniyorsa, bu amaçla işlenmesine her zaman itiraz etme hakkınız vardır.
• Rızayı Geri Alma Hakkı (Widerrufsrecht bei Einwilligungen): Vermiş olduğunuz rızaları her zaman geri alma hakkına sahipsiniz.
• Bilgi Edinme Hakkı (Auskunftsrecht): İlgili verilerin işlenip işlenmediğine ilişkin teyit talep etme ve bu veriler hakkında yasal düzenlemeler çerçevesinde bilgi alma hakkınız bulunmaktadır.
• Düzeltme Hakkı (Recht auf Berichtigung): Yasal düzenlemeler çerçevesinde, hakkınızdaki verilerin tamamlanmasını veya yanlış olan verilerin düzeltilmesini talep etme hakkınız bulunmaktadır.
• Silme ve İşlemenin Kısıtlanması Hakkı (Recht auf Löschung und Einschränkung der Verarbeitung): Yasal düzenlemeler çerçevesinde, hakkınızdaki verilerin derhal silinmesini ya da verilerin işlenmesinin kısıtlanmasını talep etme hakkınız bulunmaktadır.
• Veri Taşınabilirliği Hakkı (Recht auf Datenübertragbarkeit): Bize sağladığınız verilerinizi yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir bir biçimde alma ya da bunların başka bir veri sorumlusuna iletilmesini talep etme hakkınız bulunmaktadır.
• Denetim Makamına Şikayet Hakkı (Beschwerde bei Aufsichtsbehörde): Kişisel verilerinizin işlenmesinin GDPR hükümlerine aykırı olduğu kanısındaysanız, özellikle mutat ikametgahınızın, çalışma yerinizin veya ihlalinin gerçekleştiği yerin bulunduğu üye devletteki bir denetim makamına şikayette bulunma hakkınız mevcuttur.

9. Çevrimiçi Hizmetin Sunulması ve Web Barındırma

Çevrimiçi hizmetlerimizi kullanıcılara sunabilmek amacıyla kullanıcı verilerini işliyoruz. Bu doğrultuda, çevrimiçi hizmetlerimizin içerik ve işlevlerini kullanıcıların tarayıcısına veya cihazına iletmek için zorunlu olan IP adresini işliyoruz.

• İşlenen Veri Türleri: Kullanım verileri (ör. sayfa görüntülemeleri, oturum süresi, tıklama yolları); Meta, iletişim ve işlem verileri (ör. IP adresleri, zaman bilgileri, kimlik numaraları); Log verileri.
• İlgili Kişiler: Kullanıcılar (ör. web sitesi ziyaretçileri, çevrimiçi hizmet kullanıcıları).
• İşleme Amaçları: Çevrimiçi hizmetimizin sunulması ve kullanıcı dostu hale getirilmesi; Bilgi teknolojisi altyapısı; Güvenlik önlemleri.
• Hukuki Dayanaklar: Meşru Menfaatler (Berechtigte Interessen) (Art. 6 Abs. 1 S. 1 lit. f) DSGVO).

Vercel Aracılığıyla Web Barındırma

Çevrimiçi hizmetimizin sunulması için Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, ABD adresindeki barındırma sağlayıcısının hizmetlerinden yararlanıyoruz. Web sitemize her erişimde, sunucu log dosyaları otomatik olarak toplanmakta ve Vercel’in sunucularında işlenmektedir.

Sunucu log dosyaları güvenlik amaçlarıyla en fazla 30 gün süreyle saklanmakta, ardından silinmekte veya anonimleştirilmektedir. Vercel, AB-ABD Data Privacy Framework (DPF) kapsamında sertifikalandırılmıştır.

• Hizmet Sağlayıcı: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, ABD
• Hukuki Dayanaklar: Meşru Menfaatler (Art. 6 Abs. 1 S. 1 lit. f) DSGVO)
• Web Sitesi: https://vercel.com
• Gizlilik Politikası: https://vercel.com/legal/privacy-policy
• Üçüncü Ülke Transferinin Dayanağı: AB-ABD Data Privacy Framework (DPF), Standart Sözleşme Maddeleri

10. Çerez Kullanımı

“Çerezler” kavramı altında, kullanıcıların cihazlarında bilgi depolayan ve bu bilgileri okuyan işlevler anlaşılmaktadır. Çerezleri yasal düzenlemeler çerçevesinde kullanmaktayız; gerekli olduğu hallerde önceden kullanıcı onayı almaktayız. Onayın zorunlu olmadığı durumlarda meşru menfaatlerimize dayanmaktayız. Onay her zaman geri alınabilir.

Veri koruma hukuki dayanakları hakkında bilgi: Çerezler aracılığıyla kişisel veri işleyip işlemediğimiz, bir onaya bağlıdır. Onay mevcut ise bu onay hukuki dayanak olarak hizmet eder.

Saklama Süresi

Saklama süresi bakımından aşağıdaki çerez türleri ayırt edilmektedir:

• Geçici Çerezler (Oturum Çerezleri / Session-Cookies): Geçici çerezler, kullanıcının çevrimiçi hizmetten ayrılmasının ardından en geç silinir.
• Kalıcı Çerezler (Permanente Cookies): Kalıcı çerezler, cihazın kapatılmasından sonra da saklanmaya devam eder.

Geri alma ve itiraz hakkına ilişkin genel bilgiler: Kullanıcılar, verdikleri onayları her zaman geri alabilir ve tarayıcılarının gizlilik ayarları aracılığıyla da işlemeye itiraz edebilir.

• İşlenen Veri Türleri: Meta, iletişim ve işlem verileri (ör. IP adresleri, zaman bilgileri, kimlik numaraları).
• İlgili Kişiler: Kullanıcılar (ör. web sitesi ziyaretçileri).
• Hukuki Dayanaklar: Meşru Menfaatler (Art. 6 Abs. 1 S. 1 lit. f) DSGVO); Rıza (Art. 6 Abs. 1 S. 1 lit. a) DSGVO).

Kendi Geliştirdiğimiz Çerez Onay Çözümü

Kullanıcıların çerez kullanımına ilişkin onayının alındığı kendi geliştirdiğimiz bir rıza yönetim çözümü (çerez banner’ı) kullanmaktayız. Banner iki kategori arasında ayrım yapmaktadır:

• Zorunlu Çerezler (Essenzielle Cookies): Kullanıcının çerez tercihini tarayıcının yerel deposunda (localStorage) 12 ay süreyle saklar. Hukuki Dayanak: Meşru Menfaatler (Art. 6 Abs. 1 S. 1 lit. f) DSGVO).
• İstatistik Çerezleri (Statistik-Cookies): Yalnızca kullanıcının onay vermesi halinde yüklenir. Varsayılan olarak devre dışıdır. Hukuki Dayanak: Rıza (Art. 6 Abs. 1 S. 1 lit. a) DSGVO).

Kullanıcı, web sitemizin alt bilgisindeki “Çerez Ayarları” bağlantısı aracılığıyla onayını her zaman geri alabilir veya değiştirebilir.

11. Web Analizi ve Erişim Ölçümü

Google Analytics 4

Google Analytics 4’ü (bundan böyle “Google Analytics” olarak anılacaktır) kullanmaktayız. Bu hizmet, Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, İrlanda’nın (bundan böyle “Google” olarak anılacaktır) bir web analiz hizmetidir. Google Analytics, web sitemizin kullanımına ilişkin analiz yapılmasına olanak tanıyan çerezler ve benzer teknolojiler kullanır.

IP Anonimleştirmesi: Google Analytics’i IP anonimleştirmesi etkinleştirilerek kullanıyoruz. Bu sayede IP adresiniz, Avrupa Birliği üye devletleri sınırları içinde kısaltılmaktadır.

Onay Zorunluluğu: Google Analytics, web sitemizde yalnızca çerez banner’ımız aracılığıyla açık onayınızı vermeniz halinde yüklenmekte ve etkinleştirilmektedir. Onayınız olmaksızın Google’a herhangi bir veri iletilmez.

Onayın Geri Alınması: Web sitemizin alt bilgisindeki “Çerez Ayarları” bağlantısı aracılığıyla onayınızı her zaman geri alabilirsiniz. Ayrıca şu bağlantıdan tarayıcı eklentisini indirerek Google Analytics veri kaydını engelleyebilirsiniz: https://tools.google.com/dlpage/gaoptout

• Hizmet Sağlayıcı: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, İrlanda (Ana şirket: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, ABD)
• İşlenen Veri Türleri: Kullanım verileri; Meta, iletişim ve işlem verileri
• İlgili Kişiler: Kullanıcılar (ör. web sitesi ziyaretçileri)
• Hukuki Dayanaklar: Rıza (Art. 6 Abs. 1 S. 1 lit. a) DSGVO)
• Web Sitesi: https://marketingplatform.google.com/intl/de/about/analytics/
• Gizlilik Politikası: https://policies.google.com/privacy
• Veri İşleme Sözleşmesi: https://business.safety.google/adsprocessorterms/
• Üçüncü Ülke Transferinin Dayanağı: AB-ABD Data Privacy Framework (DPF) — Google LLC DPF sertifikalıdır
• Çıkış Seçeneği: https://tools.google.com/dlpage/gaoptout
• Saklama Süresi: 14 aya kadar; IP adresleri otomatik olarak anonimleştirilir

12. Harici Kaynaklar ve İçerikler

İçerik ve işlevler sunmak amacıyla çevrimiçi hizmetimize harici kaynaklar entegre etmekteyiz. Bu kaynaklar her çağrıldığında, teknik nedenlerle kullanıcının IP adresi ilgili sağlayıcıya iletilmektedir.

Tailwind CSS — CSS Çerçevesi

Harici bir sunucudan (CDN) yüklenen Tailwind CSS adlı CSS çerçevesini kullanıyoruz. Bu kaynağın çağrılması sırasında IP adresiniz CDN sağlayıcısına iletilmektedir.

• Hizmet Sağlayıcı: Tailwind Labs Inc., ABD
• İşlenen Veri Türleri: Meta ve iletişim verileri (ör. IP adresleri)
• Hukuki Dayanaklar: Meşru Menfaatler (Art. 6 Abs. 1 S. 1 lit. f) DSGVO)
• Web Sitesi: https://tailwindcss.com

Supabase — Backend Altyapısı ve Kimlik Doğrulama

Kullanıcı kimlik doğrulama ve dosya yükleme dahil olmak üzere backend işlevlerinin sunulması amacıyla Supabase hizmetini kullanıyoruz.

• Hizmet Sağlayıcı: Supabase Inc., San Francisco, CA, ABD
• İşlenen Veri Türleri: Kimlik verileri (ör. e-posta adresi), İçerik verileri (ör. yüklenen belgeler), Meta ve iletişim verileri
• Hukuki Dayanaklar: Sözleşmenin İfası ve Sözleşme Öncesi Talepler (Art. 6 Abs. 1 S. 1 lit. b) DSGVO)
• Web Sitesi: https://supabase.com
• Gizlilik Politikası: https://supabase.com/privacy
• Üçüncü Ülke Transferinin Dayanağı: Standart Sözleşme Maddeleri (Standardvertragsklauseln)

13. Başvuru ve Aracılık Süreci

Viakur, uluslararası sağlık profesyonellerini Alman klinikler ve hastanelerle buluşturmaktadır. Bu aracılık süreci kapsamında, başvuru formu, e-posta veya diğer kanallar aracılığıyla bize iletilen adayların kişisel verilerini işlemekteyiz.

İşlenen Veri Türleri

• Kimlik verileri (ad, doğum tarihi, uyruk)
• İletişim verileri (e-posta adresi, telefon numarası, adres)
• Başvuru verileri (mesleki nitelik, eğitim belgeleri, dil becerileri, iş deneyimi, özgeçmiş)
• Belgeler (diplomalar, sertifikalar, vesikalık fotoğraflar, gerektiğinde vize belgeleri)

İşleme Amacı

• Aracılık sürecinin yürütülmesi (potansiyel işverenlerle eşleştirme)
• Dil kurslarının, tanıma süreçlerinin ve vize işlemlerinin koordinasyonu
• Adaylar ve potansiyel işverenlerle iletişim

Hukuki Dayanaklar

• Sözleşmenin İfası ve Sözleşme Öncesi Talepler (Art. 6 Abs. 1 S. 1 lit. b) DSGVO) — İşleme, ilgili kişinin talebi üzerine gerçekleştirilen sözleşme öncesi önlemlerin alınması için zorunludur.
• Rıza (Art. 6 Abs. 1 S. 1 lit. a) DSGVO) — Özel kategorideki kişisel verilerin işlenmesi söz konusu olduğunda, bu işlem Art. 9 Abs. 2 lit. a DSGVO uyarınca açık rızaya dayalı olarak gerçekleştirilir.

Veri Aktarımı: Aracılık süreci kapsamında başvuru verileri potansiyel işverenlere iletilmektedir. Bu aktarım yalnızca adayın açık onayı ile ve aracılık için gerekli olan ölçüde gerçekleştirilmektedir.

Saklama ve Silme: Başvuru verileri, aracılık sürecinin tamamlanmasının ardından, yasal saklama yükümlülükleri bulunmaması halinde silinmektedir. Başarılı bir aracılık durumunda veriler, devam eden sözleşme ilişkisi süresince saklanmaktadır. Adaylar, verilerinin silinmesini her zaman talep edebilir.

14. İletişim ve Talep Yönetimi

Tarafımızla iletişime geçilmesi halinde (ör. posta, iletişim formu, e-posta, telefon veya sosyal medya aracılığıyla), talep eden kişilerin bilgileri, iletişim taleplerine yanıt verilmesi için gerekli olduğu ölçüde işlenmektedir.

• İşlenen Veri Türleri: İletişim verileri (ör. posta ve e-posta adresleri veya telefon numaraları); İçerik verileri; Meta, iletişim ve işlem verileri.
• İlgili Kişiler: İletişim partnerleri.
• İşleme Amaçları: İletişim; Organizasyon ve idari prosedürler; Geri bildirim; Çevrimiçi hizmetimizin sunulması.
• Hukuki Dayanaklar: Meşru Menfaatler (Art. 6 Abs. 1 S. 1 lit. f) DSGVO); Sözleşmenin İfası ve Sözleşme Öncesi Talepler (Art. 6 Abs. 1 S. 1 lit. b) DSGVO).

İletişim formu, e-posta veya diğer iletişim kanalları aracılığıyla yapılan başvurularda, iletilen kişisel veriler ilgili talep ve konunun yanıtlanması ve işleme konulması amacıyla işlenmektedir. Bu verileri yalnızca belirtilen iletişim amacı doğrultusunda kullanmaktayız.

15. Değişiklik ve Güncelleme

Gizlilik Politikamızın içeriğini düzenli olarak incelemenizi rica ederiz. Gerçekleştirdiğimiz veri işlemlerindeki değişiklikler gerektirdiğinde Gizlilik Politikasını güncellemekteyiz. Değişiklikler, sizden bir eylem (ör. onay) gerektirdiğinde sizi bilgilendiriyoruz.

Bu Gizlilik Politikasında şirket ve kuruluşlara ait adres ve iletişim bilgilerine yer vermemiz halinde, bu adreslerin zaman içinde değişebileceğini ve iletişime geçmeden önce bilgilerin doğruluğunu kontrol etmenizi rica ederiz.

16. Kavram Tanımları

Bu bölümde Gizlilik Politikasında kullanılan kavramlara ilişkin bir genel bakış sunulmaktadır. Kavramların yasal tanımları mevcut ise bu yasal tanımlar geçerlidir.

• Kişisel Veriler (Personenbezogene Daten): “Kişisel veriler”, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi ifade eder; özellikle bir ad, kimlik numarası, konum verisi, çevrimiçi tanımlayıcı gibi bir tanımlayıcıya atıfla doğrudan veya dolaylı olarak tanımlanabilen kişi, belirlenebilir sayılır.
• Veri Sorumlusu (Verantwortlicher): “Veri sorumlusu”, kişisel verilerin işlenme amaçları ve yöntemleri hakkında tek başına veya başkalarıyla birlikte karar veren gerçek veya tüzel kişi, kamu kuruluşu, ajans veya diğer kuruluşu ifade eder.
• İşleme (Verarbeitung): “İşleme”, otomatik veya otomatik olmayan yöntemlerle kişisel veriler üzerinde gerçekleştirilen herhangi bir işlemi veya işlemler dizisini ifade eder. Kavram geniş kapsamlıdır ve toplama, değerlendirme, depolama, iletme veya silme dahil olmak üzere verilerle gerçekleştirilen her türlü işlemi kapsar.
• Başvuru Verileri (Bewerbungsdaten): Bir başvuru veya aracılık süreci kapsamında adaylar tarafından sağlanan ve yeterlilik belgeleri, iş deneyimi, dil becerileri ile kişisel belgeleri içeren bilgiler.