Thông báo về quyền riêng tư theo GDPR (Khu vực Kinh tế Châu Âu và Thụy Sĩ)

Thông báo này được công bố bằng tiếng Thổ Nhĩ Kỳ và tiếng Anh với nội dung giống nhau. Bản tiếng Việt này là bản dịch được cung cấp nhằm thuận tiện cho việc tham khảo; bản tiếng Anh và bản tiếng Thổ Nhĩ Kỳ được ưu tiên áp dụng so với bản tiếng Việt. Nếu Quý vị ở ngoài Türkiye, bản tiếng Anh là bản có giá trị quyết định đối với Quý vị (xem Mục 19).

Thông tin về bên kiểm soát dữ liệu

• Bên kiểm soát dữ liệu: Mobiza Teknoloji
• Thương hiệu / dịch vụ: Planfly
• Liên hệ bảo vệ dữ liệu: legal@planfly.com.tr
• Hỗ trợ khách hàng: destek@planfly.com.tr
• Điện thoại: +90 850 307 90 23
• Địa chỉ: Ovaakça Santral Mah. Ovaakça Fatih Sultan Mehmet Cad. No: 86/2, 16335 Osmangazi, Bursa, Türkiye
• Trang web: planfly.com.tr

1. Mục đích và phạm vi của Thông báo này

Thông báo GDPR này ("Thông báo") giải thích cách Mobiza Teknoloji ("chúng tôi"), đơn vị vận hành nền tảng đặt lịch trực tuyến Planfly, xử lý dữ liệu cá nhân của những người ở Khu vực Kinh tế Châu Âu ("EEA": các quốc gia thành viên Liên minh Châu Âu, Iceland, Liechtenstein và Na Uy) và ở Thụy Sĩ. Thông báo cung cấp thông tin theo yêu cầu của Điều 13 và Điều 14 Quy định (EU) 2016/679 (Quy định chung về bảo vệ dữ liệu, "GDPR") và, đối với Thụy Sĩ, theo Điều 19 Đạo luật Liên bang về Bảo vệ Dữ liệu ngày 25 tháng 9 năm 2020 (Federal Act on Data Protection, "FADP"). Vì chúng tôi cung cấp Planfly cho doanh nghiệp và cá nhân tại EEA và, nếu Quý vị đồng ý, đo lường việc sử dụng các trang tiếp thị của chúng tôi, GDPR áp dụng đối với hoạt động xử lý được mô tả trong Thông báo này (Điều 3(2) GDPR).

Thông báo này bao gồm các hoạt động xử lý mà chúng tôi là bên kiểm soát, đặc biệt khi Quý vị:

• truy cập planfly.com.tr hoặc bất kỳ tên miền phụ nào của trang này,
• tạo tài khoản doanh nghiệp, hoặc sử dụng bảng điều khiển dành cho doanh nghiệp hoặc ứng dụng di động Planfly với tư cách chủ doanh nghiệp, người quản lý hoặc người dùng được ủy quyền,
• được doanh nghiệp mời vào nhóm của họ và sử dụng tài khoản người dùng Planfly của riêng Quý vị,
• yêu cầu thông tin, bản demo hoặc báo giá, hoặc liên hệ với chúng tôi qua email, điện thoại, biểu mẫu hỗ trợ hoặc trợ lý trò chuyện trên trang web của chúng tôi,
• mua, gia hạn hoặc hủy gói đăng ký hoặc tiện ích bổ sung,
• nhận thông điệp dịch vụ hoặc tiếp thị từ chúng tôi,
• đăng ký thông qua liên kết giới thiệu của đối tác hoặc tham gia chương trình đối tác của chúng tôi (đối với đối tác, Thông báo về quyền riêng tư dành cho đối tác cũng được áp dụng).

Lịch hẹn được đặt với doanh nghiệp: Nếu Quý vị đặt lịch hẹn thông qua trang đặt lịch hoặc tiện ích đặt lịch của doanh nghiệp, hoặc nếu doanh nghiệp ghi nhận Quý vị là khách hàng của họ, thì doanh nghiệp đó là bên kiểm soát dữ liệu lịch hẹn của Quý vị, và chúng tôi chỉ xử lý dữ liệu này thay mặt doanh nghiệp (Mục 3.2).

Mối quan hệ với các tài liệu khác: Thông báo này bổ sung cho Chính sách quyền riêng tư, trong đó mô tả chi tiết hơn các hoạt động xử lý của chúng tôi và áp dụng cho mọi người sử dụng Planfly. Nếu Quý vị ở EEA hoặc Thụy Sĩ và Thông báo này khác với Chính sách quyền riêng tư, Thông báo này được ưu tiên áp dụng. Là công ty được thành lập tại Türkiye, chúng tôi cũng chịu sự điều chỉnh của Luật số 6698 về Bảo vệ Dữ liệu Cá nhân (Kişisel Verilerin Korunması Kanunu, KVKK), được mô tả trong Thông báo về quyền riêng tư KVKK; điều này không giới hạn các quyền mà Quý vị có theo Thông báo này. Người ở Vương quốc Anh nên đọc Thông báo về quyền riêng tư tại Vương quốc Anh, còn cư dân Hoa Kỳ nên đọc Thông báo về quyền riêng tư tại Hoa Kỳ.

2. Bên kiểm soát, đại diện và thông tin liên hệ

Bên kiểm soát đối với hoạt động xử lý được mô tả trong Thông báo này là Mobiza Teknoloji, được thành lập tại Türkiye, với thông tin liên hệ được nêu ở đầu Thông báo này. Chúng tôi không có cơ sở hoạt động tại EEA hoặc Thụy Sĩ.

Chúng tôi chưa chỉ định nhân viên bảo vệ dữ liệu. Vui lòng gửi câu hỏi về việc xử lý dữ liệu cá nhân của Quý vị và yêu cầu thực hiện quyền của Quý vị đến legal@planfly.com.tr; Quý vị cũng có thể gửi câu hỏi về tài khoản hoặc dịch vụ đến destek@planfly.com.tr.

3. Vai trò của chúng tôi và vai trò của doanh nghiệp

3.1. Hoạt động xử lý mà chúng tôi là bên kiểm soát

Chúng tôi xác định mục đích và phương tiện xử lý, do đó là bên kiểm soát, đối với hoạt động xử lý liên quan đến trang web, tài khoản doanh nghiệp và người dùng bảng điều khiển, tài khoản ứng dụng di động Planfly, gói đăng ký và giao dịch mua, lập hóa đơn, hỗ trợ khách hàng và trợ lý trò chuyện, bảo mật thông tin, phân tích sản phẩm, truyền thông tiếp thị của riêng chúng tôi, chương trình đối tác và việc tuân thủ các luật áp dụng đối với chúng tôi.

3.2. Trang đặt lịch: Doanh nghiệp là bên kiểm soát

Các doanh nghiệp sử dụng Planfly, như tiệm làm tóc, trung tâm làm đẹp, nhà tâm lý, chuyên gia dinh dưỡng, phòng khám, chuyên gia vật lý trị liệu và studio, là bên kiểm soát dữ liệu cá nhân của khách hàng của họ (khách hàng, bệnh nhân, thành viên, học viên và tương tự) mà họ thu thập qua trang đặt lịch, tiện ích đặt lịch, bảng điều khiển hoặc ứng dụng di động Planfly, hoặc do chính họ nhập vào Planfly. Điều tương tự áp dụng cho hồ sơ nhân viên mà doanh nghiệp tạo cho đội ngũ của mình (họ tên, chức danh, ảnh, giờ làm việc và dịch vụ được cung cấp).

Đối với dữ liệu này, chúng tôi hành động với tư cách bên xử lý dữ liệu của doanh nghiệp theo nghĩa Điều 28 GDPR: chúng tôi chỉ xử lý dữ liệu theo chỉ dẫn được lập thành văn bản của doanh nghiệp, chỉ để cung cấp dịch vụ Planfly và theo Thỏa thuận xử lý dữ liệu giữa doanh nghiệp và chúng tôi. Trang đặt lịch của mỗi doanh nghiệp đều có liên kết đến thông báo quyền riêng tư của chính doanh nghiệp đó hoặc đến thông báo mà Planfly soạn thay mặt doanh nghiệp dựa trên thông tin của doanh nghiệp; thông báo này giải thích cách doanh nghiệp sử dụng dữ liệu của Quý vị và cách Quý vị có thể thực hiện quyền của mình. Nếu Quý vị gửi cho chúng tôi yêu cầu liên quan đến dữ liệu lịch hẹn, chúng tôi sẽ chuyển yêu cầu đến doanh nghiệp mà không chậm trễ và thông báo cho Quý vị.

3.3. Thanh toán và giao dịch mua

• Giao dịch mua bằng lira Thổ Nhĩ Kỳ: Gói đăng ký và tiện ích bổ sung thanh toán bằng lira Thổ Nhĩ Kỳ do Mobiza Teknoloji bán, và việc thanh toán được xử lý bởi iyzico Ödeme Hizmetleri A.Ş. ("iyzico"). Thông tin thẻ được truyền qua kết nối mã hóa trực tiếp đến hạ tầng của iyzico và không được lưu trong hệ thống của chúng tôi; chúng tôi chỉ nhận dữ liệu thanh toán hạn chế, chẳng hạn như trạng thái thanh toán, mã tham chiếu giao dịch, loại thẻ và bốn số cuối đã được che của thẻ (Mục 4.6 của Chính sách quyền riêng tư). iyzico cũng xử lý một số dữ liệu với tư cách bên kiểm soát độc lập, ví dụ để ngăn ngừa gian lận và thực hiện các nghĩa vụ pháp lý của chính mình.
• Đơn hàng bằng tiền tệ khác (Paddle): Quy trình đặt hàng của chúng tôi được thực hiện bởi đơn vị bán lại trực tuyến của chúng tôi là Paddle.com. Paddle.com là bên bán hàng chịu trách nhiệm pháp lý (Merchant of Record) đối với tất cả đơn hàng thanh toán bằng tiền tệ khác lira Thổ Nhĩ Kỳ trên trang web của chúng tôi. Paddle cung cấp dịch vụ khách hàng cho các thắc mắc về thanh toán và hóa đơn, đồng thời xử lý việc hoàn trả và hoàn tiền cho các đơn hàng này. Paddle.com Market Limited (số công ty 08172165, 30 Old Bailey, London EC4M 7AU, Vương quốc Anh) và các công ty thuộc tập đoàn Paddle được nêu trong điều khoản người mua của Paddle ("Paddle") mua gói đăng ký từ chúng tôi và bán lại cho Quý vị; Paddle thu tiền thanh toán, tính và nộp VAT hoặc thuế bán hàng, và phát hành hóa đơn hoặc biên lai. Paddle xử lý dữ liệu thanh toán của Quý vị với tư cách bên kiểm soát độc lập theo thông báo quyền riêng tư của riêng Paddle. Chúng tôi không nhận thông tin thẻ của Quý vị; Paddle chỉ gửi cho chúng tôi dữ liệu đơn hàng cần thiết để cung cấp dịch vụ: mã đơn hàng và mã đăng ký, gói dịch vụ, số tiền, tiền tệ, quốc gia, tình trạng thuế, họ tên và địa chỉ email của Quý vị, trạng thái thanh toán và bất kỳ trạng thái hoàn tiền hoặc truy hoàn giao dịch nào.
• App Store và Google Play: Nếu Quý vị mua gói đăng ký trong ứng dụng di động Planfly, Apple hoặc Google là bên bán và xử lý dữ liệu thanh toán của Quý vị với tư cách bên kiểm soát độc lập. Để kích hoạt gói đăng ký của Quý vị, chúng tôi chỉ nhận từ các bên này thông tin giao dịch về tình trạng mua, gia hạn, hủy và hoàn tiền.

4. Dữ liệu cá nhân chúng tôi xử lý và nguồn gốc của dữ liệu

4.1. Các loại dữ liệu cá nhân

Tùy thuộc vào cách Quý vị tương tác với Planfly, chúng tôi xử lý các loại dữ liệu cá nhân sau; danh sách chi tiết có trong Mục 4 của Chính sách quyền riêng tư:

• Khách truy cập trang web: địa chỉ IP, thông tin thiết bị, trình duyệt và hệ điều hành, thời gian truy cập và nhật ký, trang giới thiệu và thông tin chiến dịch (UTM), dữ liệu cookie và, nếu Quý vị đồng ý, dữ liệu đo lường Google Analytics 4.
• Khách hàng tiềm năng và những người liên hệ với chúng tôi: tên, họ, địa chỉ email, số điện thoại, tên và ngành nghề của doanh nghiệp, nội dung tin nhắn, yêu cầu hỗ trợ và nội dung cuộc trò chuyện với trợ lý trò chuyện của Quý vị, tệp đính kèm và lịch sử liên lạc.
• Chủ tài khoản doanh nghiệp và người dùng bảng điều khiển: họ, tên, địa chỉ email, số điện thoại, định danh tài khoản, mật khẩu đã băm và cài đặt xác thực hai bước, mã định danh tài khoản Google hoặc Apple nếu quý vị đăng nhập bằng Google hoặc Apple, dữ liệu kết nối Google Calendar nếu quý vị kết nối, thông tin doanh nghiệp (tên, ngành nghề, địa chỉ, thông tin liên hệ, logo và ảnh bìa), thông tin thanh toán, các bản ghi về gói đăng ký, đơn hàng, thanh toán và hóa đơn, vai trò và quyền hạn, nhật ký phiên, thiết bị và bảo mật, mã thiết bị dùng cho thông báo đẩy trong ứng dụng di động, và dữ liệu sử dụng bảng điều khiển.
• Thành viên nhóm có tài khoản người dùng riêng: họ, tên, địa chỉ email, số điện thoại, vai trò và quyền hạn, bản ghi đăng nhập và bảo mật.
• Người mua hàng: dữ liệu đơn hàng nhận từ Paddle, thông tin giao dịch nhận từ Apple hoặc Google và dữ liệu thanh toán hạn chế nhận từ iyzico (Mục 3.3).
• Chương trình đối tác: mã đối tác được sử dụng khi đăng ký, phiên bản đã che một phần của tên doanh nghiệp, gói dịch vụ và trạng thái đăng ký.

4.2. Nguồn dữ liệu

Chúng tôi thu thập dữ liệu cá nhân:

• trực tiếp từ quý vị, khi quý vị điền biểu mẫu, sử dụng tài khoản, gửi tin nhắn cho chúng tôi hoặc sử dụng trợ lý trò chuyện,
• tự động từ thiết bị và trình duyệt của quý vị khi quý vị sử dụng trang web, bảng điều khiển hoặc ứng dụng của chúng tôi (và, nếu quý vị đồng ý, thông qua cookie phân tích),
• từ doanh nghiệp mời quý vị vào nhóm của họ (họ tên, địa chỉ email và vai trò của quý vị),
• từ Google hoặc Apple, nếu quý vị chọn đăng nhập bằng các dịch vụ này, và từ Google, nếu quý vị kết nối Google Calendar (Mục 16 của Chính sách quyền riêng tư),
• từ Paddle, Apple, Google và iyzico liên quan đến các giao dịch mua của quý vị,
• từ đối tác có liên kết giới thiệu mà quý vị đã sử dụng (chỉ mã đối tác).

5. Mục đích và cơ sở pháp lý

5.1. Lợi ích hợp pháp của chúng tôi

Khi chúng tôi dựa vào lợi ích hợp pháp, lợi ích của chúng tôi bao gồm: cung cấp dịch vụ an toàn và đáng tin cậy, ngăn chặn gian lận và lạm dụng; hiểu cách dịch vụ được sử dụng để có thể cải thiện dịch vụ; trả lời các thắc mắc và thông báo cho khách hàng doanh nghiệp của chúng tôi; vận hành chương trình đối tác; tuân thủ pháp luật áp dụng đối với chúng tôi với tư cách là công ty được thành lập tại Türkiye; và thiết lập, thực thi hoặc bảo vệ các yêu sách pháp lý. Chúng tôi chỉ sử dụng dữ liệu cần thiết cho các lợi ích này và cân nhắc chúng với lợi ích, quyền và tự do cơ bản của quý vị. Quý vị có thể yêu cầu chúng tôi cung cấp thông tin về phép thử cân bằng lợi ích này, và quý vị có thể phản đối việc xử lý dựa trên lợi ích hợp pháp vào bất kỳ lúc nào (Mục 11).

5.2. Sự đồng ý

Khi chúng tôi dựa vào sự đồng ý của quý vị, việc đồng ý là tự nguyện và quý vị có thể rút lại sự đồng ý vào bất kỳ lúc nào với hiệu lực từ thời điểm rút: đối với phân tích, thông qua liên kết “Tùy chọn cookie” trên các trang của chúng tôi; đối với thông điệp tiếp thị, thông qua liên kết hoặc hướng dẫn từ chối đăng ký có trong mỗi thông điệp hoặc bằng cách viết thư đến legal@planfly.com.tr. Việc rút sự đồng ý không ảnh hưởng đến tính hợp pháp của việc xử lý đã thực hiện trước khi rút.

6. Việc cung cấp dữ liệu của quý vị có bắt buộc không?

Quý vị không có nghĩa vụ theo luật định phải cung cấp dữ liệu cá nhân cho chúng tôi. Tuy nhiên, dữ liệu được đánh dấu là bắt buộc trên biểu mẫu của chúng tôi là cần thiết để giao kết và thực hiện hợp đồng với quý vị: nếu không có dữ liệu này, chúng tôi không thể mở tài khoản cho quý vị, cung cấp dịch vụ hoặc xử lý giao dịch mua. Đối với các giao dịch mua bằng lira Thổ Nhĩ Kỳ, thông tin thanh toán là bắt buộc để lập hóa đơn theo yêu cầu của luật thuế Türkiye. Việc đồng ý với cookie phân tích và thông điệp tiếp thị hoàn toàn tự nguyện, và việc từ chối không ảnh hưởng đến việc quý vị sử dụng Planfly.

7. Các loại dữ liệu cá nhân đặc biệt và dữ liệu sức khỏe

Chúng tôi không xử lý các loại dữ liệu cá nhân đặc biệt, chẳng hạn như dữ liệu sức khỏe, vì mục đích riêng của chúng tôi, và chúng tôi đề nghị quý vị không đưa các dữ liệu như vậy vào yêu cầu hỗ trợ hoặc các cuộc trò chuyện với trợ lý trò chuyện. Các doanh nghiệp trong lĩnh vực y tế có thể xử lý dữ liệu sức khỏe thông qua các câu hỏi tiếp nhận, ghi chú lịch hẹn và ghi chú khách hàng. Đối với dữ liệu này, doanh nghiệp là bên kiểm soát dữ liệu và xác định điều kiện theo Điều 9 GDPR mà doanh nghiệp dựa vào, đặc biệt là Điều 9(2)(h) và 9(3) đối với dịch vụ chăm sóc sức khỏe do người hành nghề y tế chịu nghĩa vụ bảo mật nghề nghiệp cung cấp hoặc dưới trách nhiệm của người đó, và Điều 9(2)(a) đối với sự đồng ý rõ ràng. Trên biểu mẫu đặt lịch của các doanh nghiệp ngoài Türkiye, sự đồng ý rõ ràng luôn là tùy chọn và việc đặt lịch hẹn trực tuyến không bao giờ được đặt điều kiện phải có sự đồng ý đó. Chúng tôi chỉ xử lý dữ liệu này với tư cách là bên xử lý dữ liệu của doanh nghiệp và với các biện pháp bảo vệ bổ sung: ghi chú riêng tư trên thẻ khách hàng được mã hóa trong cơ sở dữ liệu và chỉ hiển thị cho người dùng được ủy quyền của doanh nghiệp; doanh nghiệp có thể sử dụng tùy chọn tin nhắn kín đáo để các lời nhắc không hiển thị tên dịch vụ.

8. Bên nhận dữ liệu

Chúng tôi chỉ tiết lộ dữ liệu cá nhân trong phạm vi cần thiết cho các mục đích nêu trên, cho các nhóm bên nhận dữ liệu sau đây (xem thêm Mục 9 của Chính sách quyền riêng tư):

• Các nhà cung cấp dịch vụ hoạt động với tư cách bên xử lý dữ liệu của chúng tôi: nhà cung cấp dịch vụ lưu trữ và cơ sở dữ liệu, Cloudflare (mạng phân phối nội dung, lưu trữ tệp, DNS và bảo mật mạng), nhà cung cấp dịch vụ gửi email, Netgsm İletişim ve Bilgi Teknolojileri A.Ş. và các nhà cung cấp SMS khác, Google (sao lưu được mã hóa trên Google Drive và thông báo đẩy trên ứng dụng di động thông qua Firebase Cloud Messaging) và các nhà cung cấp mô hình trí tuệ nhân tạo cho trợ lý trò chuyện trên trang web của chúng tôi; các bên xử lý dữ liệu phụ mà chúng tôi sử dụng đối với dữ liệu khách hàng của doanh nghiệp được liệt kê tại Phụ lục 3 của Thỏa thuận xử lý dữ liệu,
• Nhà cung cấp dịch vụ đăng nhập: Google và Apple, nếu Quý vị chọn đăng nhập bằng các tài khoản này,
• Đối tác thanh toán và mua hàng: iyzico và các ngân hàng đối với giao dịch mua bằng lira Thổ Nhĩ Kỳ, Paddle đối với đơn hàng thanh toán bằng các loại tiền tệ khác, và Apple cùng Google đối với giao dịch mua trong ứng dụng di động; những bên nhận này hoạt động với tư cách bên kiểm soát dữ liệu độc lập đối với việc xử lý của chính họ,
• Nhà cung cấp dịch vụ phân tích: Google (Google Analytics 4), chỉ khi Quý vị đồng ý, với các tính năng quảng cáo đã được tắt,
• Doanh nghiệp mà Quý vị làm việc cùng: nếu Quý vị là thành viên của nhóm, các người dùng được ủy quyền của doanh nghiệp có thể xem hồ sơ và hoạt động của Quý vị trên bảng điều khiển của doanh nghiệp,
• Cố vấn chuyên nghiệp: các nhà cung cấp dịch vụ kế toán, hóa đơn điện tử, pháp lý và kiểm toán,
• Cơ quan nhà nước có thẩm quyền: các cơ quan có thẩm quyền, tòa án và cơ quan thi hành án, trong trường hợp chúng tôi có nghĩa vụ pháp lý phải tiết lộ dữ liệu hoặc việc tiết lộ là cần thiết để thiết lập, thực hiện hoặc bảo vệ các yêu cầu pháp lý.

Chúng tôi không bán dữ liệu cá nhân của Quý vị và không sử dụng dữ liệu đó cho quảng cáo của bên thứ ba.

9. Chuyển dữ liệu cá nhân quốc tế

Chúng tôi được thành lập tại Türkiye, và Ủy ban châu Âu chưa thông qua quyết định công nhận mức độ bảo vệ dữ liệu đầy đủ đối với Türkiye. Dữ liệu cá nhân mà Quý vị gửi trực tiếp cho chúng tôi khi sử dụng Planfly được chúng tôi thu thập và xử lý tại Türkiye. Theo Hội đồng Bảo vệ Dữ liệu Châu Âu (Hướng dẫn 05/2021), việc thu thập trực tiếp từ Quý vị như vậy không phải là chuyển dữ liệu theo nghĩa của Chương V GDPR; tuy nhiên, GDPR vẫn áp dụng đối với việc xử lý của chúng tôi, và chúng tôi bảo vệ dữ liệu của Quý vị bằng các biện pháp được mô tả tại Mục 14.

Khi chuyển dữ liệu cá nhân cho các nhà cung cấp dịch vụ bên ngoài Türkiye, chúng tôi dựa trên:

• quyết định công nhận mức độ bảo vệ dữ liệu đầy đủ của Ủy ban châu Âu đối với quốc gia của bên nhận (ví dụ, đối với các quốc gia EEA và Vương quốc Anh) và, đối với các bên nhận tại Hoa Kỳ đã được chứng nhận theo Khuôn khổ Bảo vệ Quyền riêng tư Dữ liệu EU-Hoa Kỳ, Quyết định thi hành (EU) 2023/1795 của Ủy ban,
• trong trường hợp không có quyết định công nhận mức độ bảo vệ dữ liệu đầy đủ nào bao trùm việc chuyển dữ liệu, các điều khoản hợp đồng mẫu do Ủy ban châu Âu thông qua tại Quyết định thi hành (EU) 2021/914, cùng với các biện pháp bổ sung khi cần thiết.

Việc chuyển dữ liệu cá nhân của khách hàng doanh nghiệp từ các doanh nghiệp tại EEA cho chúng tôi dựa trên các điều khoản hợp đồng mẫu (Mô-đun Hai hoặc Mô-đun Ba) được đưa vào Thỏa thuận xử lý dữ liệu. Paddle thu thập trực tiếp từ Quý vị dữ liệu cần thiết cho đơn hàng bằng các loại tiền tệ khác với tư cách bên kiểm soát dữ liệu độc lập; Vương quốc Anh, nơi Paddle.com Market Limited được thành lập, thuộc phạm vi quyết định công nhận mức độ bảo vệ dữ liệu đầy đủ của Ủy ban châu Âu. Việc chuyển dữ liệu liên quan đến người ở Thụy Sĩ được mô tả tại Mục 17.2. Quý vị có thể yêu cầu một bản sao các biện pháp bảo vệ mà chúng tôi sử dụng tại legal@planfly.com.tr.

10. Lưu giữ

Chúng tôi chỉ lưu giữ dữ liệu cá nhân trong thời gian cần thiết cho các mục đích mà dữ liệu đó được xử lý. Để xác định thời hạn lưu giữ, chúng tôi sử dụng các tiêu chí sau: thời hạn của hợp đồng và tài khoản của Quý vị; thời gian cần thiết để xử lý yêu cầu hoặc hồ sơ hỗ trợ của Quý vị; thời hạn lưu giữ đối với hồ sơ hóa đơn, kế toán và thương mại theo pháp luật Türkiye (theo nguyên tắc, lên đến 10 năm) và đối với nhật ký lưu lượng theo Luật số 5651 (5651 sayılı Kanun); thời hiệu khởi kiện đối với các yêu cầu pháp lý có thể phát sinh; và khoảng thời gian chúng tôi phải có khả năng chứng minh các sự đồng ý và việc từ chối. Dữ liệu liên quan đến tài khoản của Quý vị được lưu giữ trong khi tài khoản còn hoạt động và, sau khi tài khoản bị xóa, chỉ cho các mục đích này và cho đến khi chu kỳ sao lưu hoàn tất; sau đó dữ liệu sẽ bị xóa hoặc được ẩn danh. Dữ liệu Google Analytics được lưu giữ tối đa 14 tháng, và cookie Google Analytics hết hạn sau tối đa 12 tháng. Thời hạn đối với từng loại được nêu tại Mục 12 của Chính sách quyền riêng tư. Dữ liệu khách hàng của doanh nghiệp được lưu giữ theo hướng dẫn của doanh nghiệp và Thỏa thuận xử lý dữ liệu.

11. Quyền của Quý vị

Tùy thuộc vào các điều kiện và ngoại lệ trong GDPR, Quý vị có quyền:

• được xác nhận về việc chúng tôi có đang xử lý dữ liệu cá nhân của Quý vị hay không, và được truy cập dữ liệu cùng thông tin về việc xử lý (Điều 15),
• được yêu cầu chỉnh sửa dữ liệu không chính xác và bổ sung dữ liệu chưa đầy đủ (Điều 16),
• được yêu cầu xóa dữ liệu của mình (Điều 17),
• được yêu cầu hạn chế việc xử lý (Điều 18),
• được nhận dữ liệu mà Quý vị đã cung cấp cho chúng tôi, trong trường hợp dữ liệu được xử lý bằng phương tiện tự động trên cơ sở sự đồng ý hoặc hợp đồng của Quý vị, dưới dạng có cấu trúc, thường được sử dụng và có thể đọc được bằng máy, và được yêu cầu chuyển dữ liệu đó sang một bên kiểm soát dữ liệu khác (Điều 20),
• được phản đối bất cứ lúc nào, vì lý do liên quan đến hoàn cảnh cụ thể của Quý vị, đối với việc xử lý dựa trên lợi ích hợp pháp của chúng tôi, và được phản đối bất cứ lúc nào, mà không cần nêu lý do, đối với việc sử dụng dữ liệu của Quý vị cho mục đích tiếp thị trực tiếp (Điều 21),
• được rút lại sự đồng ý của mình bất cứ lúc nào, mà không ảnh hưởng đến tính hợp pháp của việc xử lý trước khi rút lại (Điều 7 khoản 3),
• được khiếu nại lên cơ quan giám sát (Điều 77; Mục 16).

Cách thực hiện quyền của Quý vị: Gửi yêu cầu đến legal@planfly.com.tr, tốt nhất từ địa chỉ email đã đăng ký với tài khoản Planfly của Quý vị. Quý vị cũng có thể xem và chỉnh sửa phần lớn dữ liệu của mình, và xóa tài khoản, trong phần cài đặt tài khoản. Yêu cầu được thực hiện miễn phí. Chúng tôi phản hồi không chậm trễ bất hợp lý và trong mọi trường hợp trong vòng một tháng kể từ khi nhận được yêu cầu; khi cần thiết, tính đến mức độ phức tạp và số lượng yêu cầu, chúng tôi có thể gia hạn thời hạn này thêm hai tháng, trong trường hợp đó chúng tôi sẽ thông báo cho Quý vị trong tháng đầu tiên và giải thích lý do. Chúng tôi chỉ yêu cầu thông tin cần thiết một cách hợp lý để xác minh danh tính của Quý vị; chúng tôi không yêu cầu số căn cước công dân Thổ Nhĩ Kỳ (T.C. kimlik numarası), số hộ chiếu hoặc đơn có chữ ký tay bằng bản cứng. Khi yêu cầu rõ ràng là vô căn cứ hoặc quá mức, chúng tôi có thể thu một khoản phí hợp lý hoặc từ chối xử lý yêu cầu, theo quy định tại khoản 5 Điều 12 GDPR. Chúng tôi thông báo cho các bên nhận mà dữ liệu của Quý vị đã được tiết lộ về mọi việc chỉnh sửa, xóa hoặc hạn chế, trừ khi việc này không thể thực hiện hoặc đòi hỏi nỗ lực không tương xứng (Điều 19).

Nếu yêu cầu của Quý vị liên quan đến dữ liệu lịch hẹn được xử lý thay mặt một doanh nghiệp, vui lòng gửi yêu cầu đó đến doanh nghiệp; nếu yêu cầu đến được chúng tôi, chúng tôi sẽ chuyển tiếp cho doanh nghiệp và hỗ trợ doanh nghiệp phản hồi.

12. Ra quyết định tự động

Chúng tôi không đưa ra quyết định liên quan đến Quý vị chỉ dựa trên xử lý tự động, kể cả lập hồ sơ, mà các quyết định đó tạo ra hệ quả pháp lý liên quan đến Quý vị hoặc tác động đáng kể tương tự đến Quý vị (Điều 22 GDPR). Trên bảng điều khiển, các doanh nghiệp có thể thấy huy hiệu xác suất đến theo lịch hẹn của khách hàng, được tính thay mặt doanh nghiệp từ lịch sử lịch hẹn của khách hàng; các huy hiệu này chỉ là chỉ dẫn dành cho doanh nghiệp, và việc chặn một khách hàng là hành động thủ công do chính doanh nghiệp thực hiện. Các biện pháp kiểm soát bảo mật tự động, chẳng hạn như giới hạn tần suất yêu cầu và kiểm tra bot, có thể hạn chế tạm thời các yêu cầu; nếu Quý vị cho rằng một biện pháp như vậy đã ảnh hưởng đến mình một cách không đúng, hãy liên hệ với chúng tôi và một thành viên trong nhóm của chúng tôi sẽ xem xét vấn đề.

13. Cookie và các công nghệ tương tự

Không yêu cầu sự đồng ý, chúng tôi chỉ sử dụng các cookie và công nghệ tương tự cần thiết tuyệt đối để trang web, bảng điều khiển và trang đặt lịch của chúng tôi hoạt động. Tất cả các cookie và công nghệ tương tự khác, đặc biệt là Google Analytics 4 trên các trang tiếp thị của chúng tôi, chỉ được sử dụng khi Quý vị đã đồng ý trước; Quý vị có thể đồng ý hoặc từ chối trong thông báo cookie và thay đổi bất cứ lúc nào thông qua liên kết “Tùy chọn cookie”. Google Analytics hoạt động với các tính năng quảng cáo và tín hiệu Google đã tắt, và sẽ không hoạt động khi trình duyệt của Quý vị gửi tín hiệu Do Not Track hoặc Global Privacy Control. Đối với lượt truy cập từ EEA và Thụy Sĩ, chúng tôi không đặt cookie giới thiệu đối tác (mã đối tác chỉ được lưu trong phiên của lượt truy cập đó), chúng tôi không lưu bất cứ thứ gì vào trình duyệt cho các thông báo thông tin bên cạnh nút trò chuyện, và chúng tôi không giữ thống kê lượt truy cập không dùng cookie trên các trang đặt lịch. Chi tiết, bao gồm danh sách đầy đủ các cookie và thời hạn của chúng, được nêu trong Chính sách cookie.

Khi quý vị mở trang thanh toán Paddle cho một đơn hàng bằng đơn vị tiền tệ khác lira Thổ Nhĩ Kỳ, Paddle có thể sử dụng cookie và các công nghệ tương tự cần thiết cho quy trình thanh toán và bảo mật thanh toán, theo Thông báo về quyền riêng tư của riêng Paddle.

14. Bảo mật

Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu cá nhân, bao gồm truyền tải được mã hóa (TLS) trên tất cả các kết nối, tách biệt dữ liệu doanh nghiệp và kiểm soát truy cập dựa trên vai trò, mật khẩu được băm và xác thực hai yếu tố tùy chọn, mã hóa trong cơ sở dữ liệu đối với ghi chú riêng tư của khách hàng và mã truy cập của bên thứ ba, giới hạn tần suất truy cập và phát hiện lạm dụng, ghi nhật ký, và sao lưu được mã hóa định kỳ (Mục 13 của Chính sách quyền riêng tư). Nếu xảy ra vi phạm dữ liệu cá nhân, chúng tôi thông báo cho cơ quan giám sát có thẩm quyền và những người bị ảnh hưởng trong trường hợp GDPR yêu cầu.

15. Trẻ em

Planfly dành cho doanh nghiệp và khách hàng của họ, không hướng tới trẻ em. Chúng tôi không thu thập dữ liệu cá nhân của trẻ em cho mục đích riêng của mình khi biết rõ đó là dữ liệu của trẻ em. Trường hợp doanh nghiệp nhận lịch hẹn cho trẻ em, lịch hẹn được kỳ vọng do cha mẹ hoặc người giám hộ hợp pháp đặt, và doanh nghiệp chịu trách nhiệm về việc xử lý với tư cách là bên kiểm soát dữ liệu (Mục 17 của Chính sách quyền riêng tư).

16. Quyền khiếu nại

Nếu quý vị cho rằng chúng tôi xử lý dữ liệu cá nhân của quý vị trái với GDPR, quý vị có thể khiếu nại với cơ quan giám sát của quốc gia EEA nơi quý vị có nơi cư trú thường xuyên, nơi làm việc hoặc nơi xảy ra hành vi bị cho là vi phạm. Thông tin liên hệ của tất cả các cơ quan giám sát EEA có trong danh sách thành viên của Hội đồng Bảo vệ Dữ liệu Châu Âu. Quý vị cũng có quyền được khắc phục bằng tư pháp một cách hiệu quả. Chúng tôi mong được có cơ hội giải quyết mối quan ngại của quý vị trước, vì vậy xin quý vị vui lòng liên hệ với chúng tôi tại legal@planfly.com.tr; đây không phải là điều kiện tiên quyết để khiếu nại.

17. Thông tin bổ sung dành cho người ở Thụy Sĩ

17.1. Luật áp dụng và liên hệ

Đối với người ở Thụy Sĩ, việc xử lý của chúng tôi chịu sự điều chỉnh của Đạo luật Bảo vệ Dữ liệu Liên bang Thụy Sĩ (Federal Act on Data Protection, "FADP"), có hiệu lực từ ngày 1 tháng 9 năm 2023, và Quy định Bảo vệ Dữ liệu ("DPO"). Thông báo này cung cấp thông tin theo yêu cầu của Điều 19 FADP; các mục trên cũng áp dụng đối với quý vị, cùng với các bổ sung trong mục này. Chúng tôi xử lý dữ liệu cá nhân của quý vị theo các nguyên tắc tại Điều 6 FADP (tính hợp pháp, thiện chí, tương xứng, giới hạn mục đích và minh bạch). Khi cần có căn cứ pháp lý, chúng tôi dựa vào sự đồng ý của quý vị, vào lợi ích tư có tính vượt trội của chúng tôi, tương ứng với lợi ích hợp pháp được mô tả tại Mục 5.1, hoặc vào quy định của pháp luật (Điều 31 FADP). Dữ liệu sức khỏe là dữ liệu cá nhân nhạy cảm theo FADP; đối với dữ liệu sức khỏe được xử lý thông qua trang đặt lịch của doanh nghiệp, doanh nghiệp là bên kiểm soát dữ liệu (Mục 7). Việc lưu trữ thông tin trên thiết bị của quý vị và đọc thông tin đó cũng chịu sự điều chỉnh của Điều 45c Đạo luật Viễn thông (Mục 13).

Quý vị có thể liên hệ trực tiếp với chúng tôi về bất kỳ vấn đề nào liên quan đến dữ liệu cá nhân của quý vị tại legal@planfly.com.tr.

17.2. Tiết lộ ra nước ngoài

Dữ liệu cá nhân của quý vị được xử lý tại Türkiye, nơi chúng tôi được thành lập, và có thể được tiết lộ cho các nhà cung cấp dịch vụ của chúng tôi tại Hoa Kỳ, các quốc gia EEA, Vương quốc Anh (Paddle) và các quốc gia khác được nêu trong cột địa điểm xử lý của danh sách bên xử lý dữ liệu phụ tại Phụ lục 3 của Thỏa thuận xử lý dữ liệu. Türkiye không nằm trong danh sách các quốc gia có mức độ bảo vệ dữ liệu đầy đủ tại Phụ lục 1 của DPO; các quốc gia EEA và Vương quốc Anh thì có. Đối với việc tiết lộ cho người nhận tại các quốc gia không có mức độ bảo vệ đầy đủ, đối với người nhận đã được chứng nhận tại Hoa Kỳ, chúng tôi dựa vào Khuôn khổ Quyền riêng tư Dữ liệu Thụy Sĩ-Hoa Kỳ (Swiss-U.S. Data Privacy Framework), được Hội đồng Liên bang công nhận có hiệu lực từ ngày 15 tháng 9 năm 2024, và trong các trường hợp khác dựa vào các điều khoản hợp đồng mẫu của Ủy ban Châu Âu được Ủy viên Bảo vệ Dữ liệu và Thông tin Liên bang ("FDPIC") công nhận, với các điều chỉnh cần thiết cho Thụy Sĩ (Điều 16(2)(d) FADP). Việc chuyển dữ liệu khách hàng của các doanh nghiệp tại Thụy Sĩ cho chúng tôi được điều chỉnh bởi Thỏa thuận xử lý dữ liệu. Quý vị có thể yêu cầu một bản sao của các biện pháp bảo đảm này tại legal@planfly.com.tr.

17.3. Quyền của quý vị tại Thụy Sĩ

Theo FADP, quý vị có quyền:

• yêu cầu thông tin về việc chúng tôi có xử lý dữ liệu cá nhân liên quan đến quý vị hay không và nếu có thì là những dữ liệu nào (Điều 25 FADP); chúng tôi cung cấp thông tin này miễn phí, theo nguyên tắc trong vòng 30 ngày, và nếu không thể thực hiện trong vòng 30 ngày, chúng tôi sẽ thông báo cho quý vị trong thời hạn đó về thời điểm quý vị sẽ nhận được thông tin,
• nhận dữ liệu cá nhân mà quý vị đã cung cấp cho chúng tôi dưới dạng điện tử thường dùng, hoặc yêu cầu chuyển dữ liệu đó cho một bên kiểm soát dữ liệu khác (Điều 28 FADP),
• yêu cầu chỉnh sửa dữ liệu cá nhân không chính xác (Điều 32(1) FADP), và yêu cầu dừng việc xử lý, không tiết lộ dữ liệu cho bên thứ ba, hoặc xóa hoặc hủy dữ liệu (Điều 32(2) FADP),
• rút lại sự đồng ý của quý vị bất cứ lúc nào, có hiệu lực từ thời điểm đó trở đi.

Chúng tôi không đưa ra các quyết định cá nhân tự động theo nghĩa của Điều 21 FADP. Nếu quý vị cho rằng chúng tôi xử lý dữ liệu cá nhân của quý vị một cách trái pháp luật, quý vị có thể báo cáo việc này với FDPIC, cơ quan có thể mở cuộc điều tra (Điều 49 FADP), và quý vị có thể đưa yêu cầu của mình ra tòa án dân sự (Điều 32 FADP). Chúng tôi mong được có cơ hội giải quyết mối quan ngại của quý vị trước tại legal@planfly.com.tr.

18. Thay đổi Thông báo này

Chúng tôi có thể cập nhật Thông báo này khi pháp luật, dịch vụ của chúng tôi hoặc nhà cung cấp dịch vụ của chúng tôi thay đổi. Phiên bản này được cập nhật lần cuối vào 10 tháng 10, 2026. Đối với những thay đổi quan trọng, chúng tôi cũng có thể thông báo cho người dùng doanh nghiệp qua email hoặc thông báo trên bảng điều khiển.

19. Ngôn ngữ của Thông báo này

Thông báo này được công bố bằng tiếng Thổ Nhĩ Kỳ và tiếng Anh với cùng nội dung. Đối với người đang ở bên ngoài Türkiye, bản tiếng Anh có giá trị quyết định.