[ LEGAL ]
Privacy Policy
Last updated: 29 September 2026
1. Controller
Volkan Çatak — Galzura Intelligence
Bayraktar Mah. Koza 1 Cad. Sağıroğlu Apt. No: 138, İç Kapı: 9, 06490 Çankaya / Ankara, Türkiye
E-mail: privacy@galzura.com · Phone: +90 553 591 04 71
2. Representative in the European Union (Art. 27 GDPR)
Appointment in progress. Because the controller is not established in the Union, a representative in the Union will be designated under Art. 27 GDPR. Their name and address will be published here once the appointment is completed. Until then, please send data-protection requests to privacy@galzura.com.
3. Scope and applicable law
This policy applies to the website galzura.com and to the Galzura Fleet platform (web panel and mobile application).
Where individuals are located in the European Union or the EEA, the GDPR applies and the rights described in section 9 arise from it. Where other data-protection regimes apply to a given individual — for example the UK GDPR, or the data-protection law of the individual's own country — we grant the equivalent rights available under that regime.1 Statutory obligations of our business customers under their own national law take precedence over our deletion periods (section 8).
4. Allocation of roles
Website and contact enquiries: Galzura acts as controller within the meaning of Art. 4(7) GDPR.
Fleet application: data relating to drivers and employees are processed exclusively on behalf of the respective business customer. That customer is the controller; Galzura acts as processor under Art. 28 GDPR. Requests from data subjects concerning this data are to be addressed to the employer; we forward them without delay.
5. Data processed
a) Website: server log data (IP address, timestamp, resource requested, user agent); contact-form entries (name, e-mail, message).
b) Fleet — user account: phone number, PIN (stored as a hash only), name, role, assignment to vehicle and fleet.
c) Fleet — operational data: vehicle location (GPS); vehicle telemetry (ignition, speed, odometer, fuel, fault codes); shift start and end, breaks, idling periods; alarm events (acceleration, braking, cornering, speed); parcels delivered and returned; time spent in defined customer zones.
d) Personnel records (optional, maintained by the customer): driving-licence and residence-permit data including expiry dates; leave and absence periods.
e) Fleet — mobile application: photos, the drawn signature, the recipient’s name and a note recorded as proof of delivery; the device’s location at the moment a proof of delivery is recorded (only then, and only with the user’s permission); tachograph files uploaded through the app; in-app messages; the push-notification token and device name (only if notifications are allowed).
6. Purposes and legal bases
| Purpose | Legal basis |
|---|---|
| Operation and security of the website | Art. 6(1)(f) GDPR |
| Responding to contact enquiries | Art. 6(1)(b) GDPR |
| Provision of the Fleet service | Art. 6(1)(b) GDPR vis-à-vis the customer; processing on behalf under Art. 28 GDPR |
| Compliance with applicable working-time law2 | Art. 6(1)(c) GDPR — obligation of the employer |
| Dispatch; evidence of services performed | Art. 6(1)(f) GDPR — legitimate interest of the customer |
| Fault diagnosis and system security | Art. 6(1)(f) GDPR |
7. Recipients and processors
| Service provider | Purpose | Location |
|---|---|---|
| Vercel Inc. | Hosting, delivery of the application | Frankfurt region (fra1) |
| Supabase (AWS) | Database, authentication | eu-west-1 (Ireland) and eu-central-1 (Frankfurt) — depending on customer instance |
| Gurtam / flespi | Collection of telematics data from the vehicle units | EU |
| Hetzner Online GmbH | Server infrastructure | Nuremberg, Germany |
| Cloudflare | DNS, security, e-mail forwarding | EU / global |
Access from a third country: administration and maintenance are performed by the controller from Türkiye. There is no adequacy decision of the European Commission for Türkiye; the legal basis for the transfer (standard contractual clauses or Art. 49 GDPR) is being determined with legal counsel and will be stated here once determined.
8. Retention periods
| Type of data | Retention |
|---|---|
| Raw location data (GPS trace) and raw telemetry | 90 days, then deleted |
| Derived metrics — distance, fuel consumption, idling, safety score, CO₂, time spent in customer zones — without coordinates | 12 months |
| Shift and working-time data | 3 years (evidence under employment law) |
| Alarm events | 12 months |
| User account | contract term + 30 days |
| Server log data | 30 days |
We keep the raw route trace for a short period only. Longer-term reporting is based on values derived from it, which no longer contain coordinates.
Statutory retention obligations of our business customers take precedence over these periods.
9. Your rights
Subject to the applicable regime (section 3), you have the right of access, rectification, erasure, restriction of processing, data portability and objection, and the right to withdraw consent with effect for the future.
You also have the right to lodge a complaint with a supervisory authority — in the EU/EEA, the authority of your habitual residence, place of work or the place of the alleged infringement.
For data processed within the Fleet application, please address requests to your employer as controller; we support the employer in responding and forward requests received directly to us without delay.
10. Deletion of a user account
Fleet accounts are created by the employer, not by the individual. To have an account deleted, please contact your employer or write to privacy@galzura.com; we will act on the controller's instruction.
The steps and the retention periods that apply are set out at galzura.com/hesap-silme.
11. No automated decision-making
We do not use automated decision-making producing legal effects, and we do not carry out profiling within the meaning of Art. 22 GDPR. Analyses provided in the platform (for example safety scores) are aids for the employer and do not by themselves produce any legal effect.
12. Contact for data-protection matters
13. Language
This policy is published in English, German and Turkish. In case of discrepancy, the English version prevails.
- Examples: European Union / EEA — GDPR (Regulation (EU) 2016/679); United Kingdom — UK GDPR and Data Protection Act 2018; Türkiye — KVKK (Law No. 6698). The rights actually available follow from the regime applicable to the individual concerned. ↩
- Examples of the rules meant here: Austria — Arbeitszeitgesetz (AZG); Germany — Arbeitszeitgesetz (ArbZG); EU — Regulation (EC) 561/2006 on driving times, where applicable. The applicable rules are those of the customer's country and operation. ↩
[ RECHTLICHES ]
Datenschutzerklärung
Stand: 29. September 2026
1. Verantwortlicher
Volkan Çatak — Galzura Intelligence
Bayraktar Mah. Koza 1 Cad. Sağıroğlu Apt. No: 138, İç Kapı: 9, 06490 Çankaya / Ankara, Türkei
E-Mail: privacy@galzura.com · Telefon: +90 553 591 04 71
2. Vertreter in der Union (Art. 27 DSGVO)
Benennung läuft. Da der Verantwortliche nicht in der Union niedergelassen ist, wird nach Art. 27 DSGVO ein Vertreter in der Union benannt. Name und Anschrift werden hier veröffentlicht, sobald die Benennung abgeschlossen ist. Bis dahin richten Sie Datenschutzanfragen bitte an privacy@galzura.com.
3. Geltungsbereich und anwendbares Recht
Diese Erklärung gilt für die Website galzura.com und für die Plattform Galzura Fleet (Web-Panel und mobile Anwendung).
Befinden sich betroffene Personen in der Europäischen Union oder im EWR, gilt die DSGVO; die in Abschnitt 9 beschriebenen Rechte ergeben sich aus ihr. Gelten für eine betroffene Person andere Datenschutzregime — etwa die UK GDPR oder das Datenschutzrecht ihres eigenen Landes —, gewähren wir die nach dem jeweiligen Regime gleichwertigen Rechte.1 Gesetzliche Pflichten unserer Geschäftskunden nach ihrem nationalen Recht gehen unseren Löschfristen (Abschnitt 8) vor.
4. Rollenverteilung
Website und Kontaktanfragen: Galzura ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.
Fleet-Anwendung: Daten von Fahrern und Mitarbeitern werden ausschließlich im Auftrag des jeweiligen Geschäftskunden verarbeitet. Dieser Kunde ist Verantwortlicher; Galzura ist Auftragsverarbeiter nach Art. 28 DSGVO. Anfragen betroffener Personen zu diesen Daten sind an den Arbeitgeber zu richten; wir leiten sie unverzüglich weiter.
5. Verarbeitete Daten
a) Website: Server-Logdaten (IP-Adresse, Zeitpunkt, abgerufene Ressource, User-Agent); Angaben aus dem Kontaktformular (Name, E-Mail, Nachricht).
b) Fleet — Nutzerkonto: Telefonnummer, PIN (ausschließlich als Hash gespeichert), Name, Rolle, Zuordnung zu Fahrzeug und Flotte.
c) Fleet — Betriebsdaten: Standortdaten des Fahrzeugs (GPS); Fahrzeugtelemetrie (Zündung, Geschwindigkeit, Kilometerstand, Kraftstoff, Fehlercodes); Schichtbeginn und -ende, Pausen, Leerlaufzeiten; Alarmereignisse (Beschleunigung, Bremsen, Kurvenverhalten, Geschwindigkeit); zugestellte und zurückgebrachte Sendungen; Aufenthaltsdauer in definierten Kundenzonen.
d) Personalunterlagen (optional, vom Kunden gepflegt): Führerschein- und Aufenthaltstiteldaten samt Ablaufdaten; Urlaubs- und Abwesenheitszeiten.
e) Fleet — mobile Anwendung: Fotos, die gezeichnete Unterschrift, der Name des Empfängers und eine Notiz als Liefernachweis; der Standort des Geräts im Moment der Erfassung eines Liefernachweises (nur dann und nur mit Zustimmung der nutzenden Person); über die App hochgeladene Tachographendateien; Nachrichten in der App; Push-Token und Gerätename (nur wenn Benachrichtigungen erlaubt sind).
6. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Betrieb und Sicherheit der Website | Art. 6 Abs. 1 lit. f DSGVO |
| Beantwortung von Kontaktanfragen | Art. 6 Abs. 1 lit. b DSGVO |
| Erbringung der Fleet-Dienstleistung | Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Kunden; Verarbeitung im Auftrag nach Art. 28 DSGVO |
| Einhaltung des anwendbaren Arbeitszeitrechts2 | Art. 6 Abs. 1 lit. c DSGVO — Pflicht des Arbeitgebers |
| Disposition; Nachweis erbrachter Leistungen | Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Kunden |
| Fehlerdiagnose und Systemsicherheit | Art. 6 Abs. 1 lit. f DSGVO |
7. Empfänger und Auftragsverarbeiter
| Dienstleister | Zweck | Ort |
|---|---|---|
| Vercel Inc. | Hosting, Auslieferung der Anwendung | Region Frankfurt (fra1) |
| Supabase (AWS) | Datenbank, Authentifizierung | eu-west-1 (Irland) und eu-central-1 (Frankfurt) — je nach Kundeninstanz |
| Gurtam / flespi | Erfassung der Telematikdaten der Fahrzeugeinheiten | EU |
| Hetzner Online GmbH | Serverinfrastruktur | Nürnberg, Deutschland |
| Cloudflare | DNS, Sicherheit, E-Mail-Weiterleitung | EU / global |
Zugriff aus einem Drittland: Administration und Wartung erfolgen durch den Verantwortlichen aus der Türkei. Für die Türkei liegt kein Angemessenheitsbeschluss der Europäischen Kommission vor; die Rechtsgrundlage der Übermittlung (Standardvertragsklauseln oder Art. 49 DSGVO) wird derzeit rechtlich festgelegt und hier angegeben, sobald sie feststeht.
8. Speicherdauer
| Datenart | Speicherdauer |
|---|---|
| Rohe Standortdaten (GPS-Spur) und Rohtelemetrie | 90 Tage, danach Löschung |
| Abgeleitete Kennzahlen — Fahrstrecke, Kraftstoffverbrauch, Leerlauf, Sicherheitsbewertung, CO₂, Aufenthaltsdauer in Kundenzonen — ohne Koordinaten | 12 Monate |
| Schicht- und Arbeitszeitdaten | 3 Jahre (arbeitsrechtliche Nachweisführung) |
| Alarmereignisse | 12 Monate |
| Nutzerkonto | Vertragsdauer + 30 Tage |
| Server-Logdaten | 30 Tage |
Die rohe Fahrspur wird nur kurz aufbewahrt. Längerfristige Auswertungen beruhen auf daraus abgeleiteten Werten, die keine Koordinaten mehr enthalten.
Gesetzliche Aufbewahrungspflichten unserer Geschäftskunden gehen diesen Fristen vor.
9. Ihre Rechte
Nach Maßgabe des anwendbaren Regimes (Abschnitt 3) haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine Einwilligung mit Wirkung für die Zukunft zu widerrufen.
Sie haben ferner das Recht, sich bei einer Aufsichtsbehörde zu beschweren — in der EU/im EWR bei der Behörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.
Für Daten, die innerhalb der Fleet-Anwendung verarbeitet werden, richten Sie Ihre Anfragen bitte an Ihren Arbeitgeber als Verantwortlichen; wir unterstützen den Arbeitgeber bei der Beantwortung und leiten unmittelbar bei uns eingehende Anfragen unverzüglich weiter.
10. Löschung eines Nutzerkontos
Fleet-Konten werden vom Arbeitgeber angelegt, nicht von der betroffenen Person. Für die Löschung eines Kontos wenden Sie sich bitte an Ihren Arbeitgeber oder schreiben Sie an privacy@galzura.com; wir handeln auf Weisung des Verantwortlichen.
Die einzelnen Schritte und die geltenden Speicherfristen sind unter galzura.com/hesap-silme beschrieben.
11. Keine automatisierte Entscheidungsfindung
Wir setzen keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung ein und führen kein Profiling im Sinne des Art. 22 DSGVO durch. In der Plattform bereitgestellte Auswertungen (etwa Sicherheitsbewertungen) sind Hilfsmittel für den Arbeitgeber und entfalten für sich genommen keine rechtliche Wirkung.
12. Kontakt in Datenschutzfragen
13. Sprache
Diese Erklärung wird auf Englisch, Deutsch und Türkisch veröffentlicht. Bei Abweichungen gilt die englische Fassung.
- Beispiele: Europäische Union / EWR — DSGVO (Verordnung (EU) 2016/679); Vereinigtes Königreich — UK GDPR und Data Protection Act 2018; Türkei — KVKK (Gesetz Nr. 6698). Die tatsächlich bestehenden Rechte ergeben sich aus dem für die betroffene Person geltenden Regime. ↩
- Beispiele der hier gemeinten Vorschriften: Österreich — Arbeitszeitgesetz (AZG); Deutschland — Arbeitszeitgesetz (ArbZG); EU — Verordnung (EG) 561/2006 über Lenkzeiten, soweit anwendbar. Maßgeblich sind die Vorschriften des Landes und des Betriebs des Kunden. ↩
[ YASAL ]
Gizlilik Politikası
Yürürlük: 29 Eylül 2026
1. Veri sorumlusu
Volkan Çatak — Galzura Intelligence
Bayraktar Mah. Koza 1 Cad. Sağıroğlu Apt. No: 138, İç Kapı: 9, 06490 Çankaya / Ankara, Türkiye
E-posta: privacy@galzura.com · Telefon: +90 553 591 04 71
2. Avrupa Birliği temsilcisi (GDPR m. 27)
Atanma sürecinde. Veri sorumlusu Birlik’te yerleşik olmadığından GDPR m. 27 uyarınca Birlik’te bir temsilci atanacaktır. Temsilcinin adı ve adresi atama tamamlandığında burada yayımlanacaktır. O zamana kadar veri koruma taleplerinizi privacy@galzura.com adresine iletebilirsiniz.
3. Kapsam ve uygulanacak hukuk
Bu politika galzura.com web sitesi ile Galzura Fleet platformu (web paneli ve mobil uygulama) için geçerlidir.
İlgili kişiler Avrupa Birliği veya AEA'da bulunuyorsa GDPR uygulanır ve 9. bölümde tanımlanan haklar ondan doğar. Bir ilgili kişiye başka bir veri koruma rejimi uygulanıyorsa — örneğin UK GDPR ya da kişinin kendi ülkesinin veri koruma hukuku — o rejim kapsamında sağlanan eşdeğer hakları tanırız.1 Ticari müşterilerimizin kendi ulusal hukuklarından doğan yasal yükümlülükleri, silme sürelerimizin (8. bölüm) önünde gelir.
4. Rol dağılımı
Site ve iletişim talepleri: Galzura, GDPR m. 4(7) anlamında veri sorumlusudur.
Fleet uygulaması: şoför ve çalışan verileri yalnızca ilgili ticari müşteri adına işlenir. Veri sorumlusu o müşteridir; Galzura, GDPR m. 28 uyarınca veri işleyendir. Bu verilere ilişkin ilgili kişi talepleri işverene yöneltilir; bize ulaşanları gecikmeksizin iletiriz.
5. İşlenen veriler
a) Site: sunucu kayıtları (IP adresi, zaman, istenen kaynak, tarayıcı bilgisi); iletişim formu (ad, e-posta, mesaj).
b) Fleet — kullanıcı hesabı: telefon numarası, PIN (yalnızca özet/hash olarak saklanır), ad, rol, araç ve filo eşlemesi.
c) Fleet — operasyon verileri: araç konumu (GPS); araç telemetrisi (kontak, hız, kilometre, yakıt, arıza kodları); vardiya başlangıç ve bitişi, molalar, rölanti süreleri; alarm olayları (hızlanma, fren, viraj, hız); teslim edilen ve geri getirilen gönderiler; tanımlı müşteri bölgelerinde geçirilen süre.
d) Personel dosyası (isteğe bağlı, müşteri tarafından doldurulur): ehliyet ve oturum izni bilgileri ile bitiş tarihleri; izin ve devamsızlık süreleri.
e) Fleet — mobil uygulama: teslimat kanıtı olarak kaydedilen fotoğraflar, çizilen imza, alıcının adı ve not; teslimat kanıtının kaydedildiği andaki cihaz konumu (yalnız o anda ve kullanıcının izniyle); uygulama üzerinden yüklenen takograf dosyaları; uygulama içi mesajlar; bildirim jetonu ve cihaz adı (yalnız bildirimlere izin verilmişse).
6. Amaçlar ve hukuki dayanaklar
| Amaç | Hukuki dayanak |
|---|---|
| Sitenin işletilmesi ve güvenliği | GDPR m. 6(1)(f) |
| İletişim taleplerinin yanıtlanması | GDPR m. 6(1)(b) |
| Fleet hizmetinin sunulması | Müşteriye karşı GDPR m. 6(1)(b); m. 28 uyarınca adına işleme |
| Yürürlükteki çalışma süresi mevzuatına uyum2 | GDPR m. 6(1)(c) — işverenin yükümlülüğü |
| Sevkiyat; verilen hizmetin kanıtlanması | GDPR m. 6(1)(f) — müşterinin meşru menfaati |
| Hata teşhisi ve sistem güvenliği | GDPR m. 6(1)(f) |
7. Alıcılar ve veri işleyenler
| Hizmet sağlayıcı | Amaç | Yer |
|---|---|---|
| Vercel Inc. | Barındırma, uygulamanın sunulması | Frankfurt bölgesi (fra1) |
| Supabase (AWS) | Veritabanı, kimlik doğrulama | eu-west-1 (İrlanda) ve eu-central-1 (Frankfurt) — müşteri örneğine göre |
| Gurtam / flespi | Araç ünitelerinin telematik verisinin toplanması | AB |
| Hetzner Online GmbH | Sunucu altyapısı | Nürnberg, Almanya |
| Cloudflare | DNS, güvenlik, e-posta yönlendirme | AB / küresel |
Üçüncü ülkeden erişim: yönetim ve bakım, veri sorumlusu tarafından Türkiye'den yapılır. Türkiye için Avrupa Komisyonunun yeterlilik kararı yoktur; aktarımın hukuki dayanağı (standart sözleşme maddeleri ya da GDPR m. 49) belirlenme sürecindedir ve belirlendiğinde burada yer alacaktır.
8. Saklama süreleri
| Veri türü | Saklama |
|---|---|
| Ham konum verisi (GPS izi) ve ham telemetri | 90 gün, sonra silinir |
| Türetilmiş metrikler — mesafe, yakıt tüketimi, rölanti, güvenlik skoru, CO₂, müşteri bölgelerinde geçirilen süre — koordinat içermez | 12 ay |
| Vardiya ve çalışma süresi verileri | 3 yıl (iş hukuku kanıtı) |
| Alarm olayları | 12 ay |
| Kullanıcı hesabı | sözleşme süresi + 30 gün |
| Sunucu kayıtları | 30 gün |
Ham rota izi yalnızca kısa süre saklanır. Uzun vadeli raporlama, ondan türetilen ve artık koordinat içermeyen değerlere dayanır.
Ticari müşterilerimizin yasal saklama yükümlülükleri bu sürelerin önünde gelir.
9. Haklarınız
Uygulanan rejime bağlı olarak (3. bölüm), erişim, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği ve itiraz haklarına; ayrıca verdiğiniz açık rızayı geleceğe etkili olarak geri alma hakkına sahipsiniz.
Ayrıca bir denetim makamına şikâyette bulunma hakkınız vardır — AB/AEA'da mutat meskeniniz, iş yeriniz veya iddia edilen ihlalin gerçekleştiği yerdeki makam.
Fleet uygulaması içinde işlenen veriler için lütfen taleplerinizi veri sorumlusu sıfatıyla işvereninize iletin; işverene yanıt vermesinde destek olur, doğrudan bize ulaşan talepleri gecikmeksizin iletiriz.
10. Kullanıcı hesabının silinmesi
Fleet hesapları ilgili kişi tarafından değil, işveren tarafından açılır. Bir hesabın silinmesi için lütfen işvereninize başvurun ya da privacy@galzura.com adresine yazın; veri sorumlusunun talimatı üzerine hareket ederiz.
Adımlar ve uygulanan saklama süreleri galzura.com/hesap-silme sayfasında yer alır.
11. Otomatik karar verme yoktur
Hukuki sonuç doğuran otomatik karar verme kullanmıyoruz ve GDPR m. 22 anlamında profilleme yapmıyoruz. Platformda sunulan analizler (örneğin güvenlik skoru) işveren için yardımcı araçtır ve tek başlarına hukuki sonuç doğurmaz.
12. Veri koruma iletişimi
13. Dil
Bu politika İngilizce, Almanca ve Türkçe olarak yayımlanır. Farklılık hâlinde İngilizce metin esastır.
- Örnekler: Avrupa Birliği / AEA — GDPR ((AB) 2016/679 sayılı Tüzük); Birleşik Krallık — UK GDPR ve Data Protection Act 2018; Türkiye — KVKK (6698 sayılı Kanun). Fiilen mevcut haklar, ilgili kişiye uygulanan rejimden doğar. ↩
- Burada kastedilen kuralların örnekleri: Avusturya — Arbeitszeitgesetz (AZG); Almanya — Arbeitszeitgesetz (ArbZG); AB — sürüş sürelerine ilişkin (EC) 561/2006 sayılı Tüzük, uygulandığı ölçüde. Uygulanacak kurallar müşterinin ülkesinin ve işletmesinin kurallarıdır. ↩