Privacy notice
English (GDPR)
The controller is Bugra Omer Aydemir, who runs Carcha Seal under the Carcha Labs name. Contact: [email protected].
What is processed, why and for how long
| Data | Purpose | Legal basis | Kept |
|---|---|---|---|
| Trial or sandbox key; the device hash the app or page sends; operating system; app version; activation and check-in times | Issue the key, count its devices and sign its leases | Article 6(1)(b): needed to give you the trial you ask for | Until one day after the key expires, then deleted at the next hourly reset: at most 8 days for a trial key and 3 days for a sandbox key |
| IP address | Limit how many keys and requests one address can make | Article 6(1)(f): our legitimate interest is keeping the free demo available to everyone and stopping abuse | In the server's memory for at most one hour |
| The web server logs of each request: IP address, time, requested address, response status, referring page and browser identification | Run the server securely and find faults | Article 6(1)(f): our legitimate interest is keeping the service working and secure | Rotated daily and deleted after at most 15 days |
| For each request to the server: time, requested address without its query, response status and time, browser identification, and the IP address with its last part removed | See how the server performs and spot errors and abuse, in our own monitoring service | Article 6(1)(f): our legitimate interest is keeping the service working and secure | 7 days; per-minute totals, which hold none of these data, 30 days |
| Security events: console sign-ins and failed sign-ins, lockouts, wrong keys, a key's first use in an hour, refused permissions, rate-limit hits, request bodies that fail their checks (the field names, never what was typed), webhooks with a bad signature, API keys made or revoked, sign-ups, password resets and sign-outs. Each with the time, the account's id where there is one, the IP address with its last part removed, browser identification and the requested address without its query. Never a password, key, email address or request body | Detect and investigate attacks on accounts and on the service, in our own monitoring service | Article 6(1)(f): our legitimate interest is protecting accounts and the service | 90 days |
| For each page you open: IP address and browser identification, turned at once into a one-way code with a key that changes every day | Count daily visitors and page views. The live demo's buttons and its sign-up link add to a daily total too, with no address or browser identification. Only the day's totals are stored; no cookie is set | Article 6(1)(f): our legitimate interest is knowing how many people use the demo | The code and the day's key are kept only in the server's memory and dropped at the end of the day (UTC); the totals hold no personal data |
| Anything you type into the public demo console | Let you try the console. Everyone using the demo can see it | Article 6(1)(b) | Deleted at the next hourly reset |
| Only if you accept analytics cookies: the pages you view, how far you scroll, clicks on links to other sites, file downloads, your browser and device, your approximate location, and a random identifier kept in a cookie | See which pages of this website are used, with Google Analytics. Not on the console | Article 6(1)(a): your consent, which the cookies also need under Article 5(3) of the ePrivacy Directive. You can withdraw it at any time in Cookie settings | 2 months in Google Analytics; the cookies 13 months in your browser |
You do not have to provide these data. Without the device hash, a key cannot be activated.
Cookies
On your first visit this website asks whether you accept analytics cookies, with Accept and Reject as equal buttons and nothing switched on in advance. Until you accept, it does not load Google Tag Manager or Google Analytics and sends nothing to Google (Google's consent mode in its basic form). Advertising signals stay off whatever you choose: no remarketing, no personalised ads. Change your choice at any time with Cookie settings at the foot of each page; if you withdraw, the Google Analytics cookies are deleted and the page reloads without Google's code. The console, the stats page and the offline activation page never load Google Analytics.
| Cookie | Purpose | Kept | Type |
|---|---|---|---|
cl_consent |
Remembers whether you accepted or rejected analytics | 6 months, then you are asked again | Necessary, first-party |
__Host-seal_session |
Keeps you signed in to the console | Until you sign out, 12 hours at most | Necessary, first-party |
_ga |
Google Analytics: tells visits by the same browser apart | 13 months | Analytics, only with your consent |
_ga_K34HX9L6FR |
Google Analytics: keeps the state of the current visit | 13 months | Analytics, only with your consent |
Storage that is strictly necessary for a service you asked for, such as the first two, does not need consent.
Carcha Seal accounts
When you sign up for Carcha Seal and use its console, these data about you are processed:
| Data | Purpose | Legal basis | Kept |
|---|---|---|---|
| Your name or company name, email address and password (stored only as a one-way scrypt hash); the plan and when the trial ends; when the account was created; the support address you may add in Settings; the date you asked for the account to be deleted | Create and run your account, sign you in, and send the emails the account needs: activation, password reset and the notice that the password was changed | Article 6(1)(b): needed for the account you ask for | While the account exists. Ask for it to be deleted under Settings in the console, or write to us; it is then deleted within one month |
| A sign-up that has not been activated yet: the same details and the activation link (stored as a one-way hash) | Check that the email address is yours before the account is created | Article 6(1)(b) | The link works for 24 hours; it is deleted when the account is activated, or within an hour after the link expires |
| A password-reset link (stored as a one-way hash) | Let you set a new password | Article 6(1)(b) | The link works for 60 minutes; it is deleted within an hour after that, or at once when used |
| Sign-in sessions: a random token (stored as a one-way hash, and in your browser as the console's only cookie) with the time it started and was last used | Keep you signed in | Article 6(1)(b) | Deleted at once when you sign out. Otherwise a session ends after 30 minutes without use or 12 hours at most, and is deleted within an hour after that |
| API keys you create: their name, last characters, and when they were created, last used and revoked; the key itself only as a one-way hash | Let your own systems call Carcha Seal | Article 6(1)(b) | Until the account is closed |
| The IP address and email address of failed sign-ins, and the IP address of sign-up and password-reset requests | Stop password guessing and limit how many sign-up and reset emails one address can trigger | Article 6(1)(f): our legitimate interest is protecting accounts and the email service from abuse | In the server's memory for at most one hour |
| An email address our email bounced from or that marked our email as spam | Stop sending to it (Amazon SES suppression list) | Article 6(1)(f): our legitimate interest is not sending email that is unwanted or cannot be delivered | Until the address is taken off the list |
A name, an email address and a password are needed to create an account; without them it cannot be created.
The license data of your own customers (their keys, devices, and the email addresses of buyers) is processed for you and on your instructions: for those data you are the controller and Carcha Seal is your processor.
Recipients
Amazon Web Services hosts the license server and sends its emails (Amazon SES), both in Frankfurt, Germany. Cloudflare, Inc. carries traffic to this website and sees IP addresses and requests. Cloudflare is in the United States and is certified under the EU-U.S. Data Privacy Framework, which the European Commission found adequate on 10 July 2023.
Only if you accept analytics cookies: Google LLC runs Google Analytics for us, in the United States, also certified under the EU-U.S. Data Privacy Framework. Google Analytics does not store IP addresses from the EU, Switzerland or the UK and uses them only for an approximate location. Its advertising features and data sharing with Google are switched off.
Your rights
You can ask for access to your data, rectification, erasure, restriction of processing and data portability, and ask for your account to be deleted (also under Settings in the console), by writing to [email protected]. You can lodge a complaint with a supervisory authority. You can withdraw your consent to analytics at any time in Cookie settings, as easily as you gave it; this does not affect what was processed before.
Your right to object: you can object at any time, on grounds relating to your particular situation, to the processing based on Article 6(1)(f): the rate limits, the web server logs, the request records, the security events, the visit counts and the suppression list.
Türkçe: KVKK aydınlatma metni
Veri sorumlusu: Carcha Seal'i Carcha Labs adıyla işleten Bugra Omer Aydemir. İletişim: [email protected].
Kişisel verileriniz, bu sitenin sayfalarını açtığınızda, deneme veya sandbox anahtarı istediğinizde ve uygulama ya da sayfa lisans sunucusuna bağlandığında elektronik ortamda otomatik yollarla toplanır. Analiz verileri yalnızca analiz çerezlerini kabul etmeniz hâlinde, Google Analytics çerezleri ve betikleriyle toplanır; kabul etmezseniz Google'dan hiçbir şey yüklenmez. Kabul ve ret seçenekleri eşit sunulur ve hiçbiri önceden seçili değildir.
| Veri | Amaç | Hukuki sebep |
|---|---|---|
| Deneme veya sandbox anahtarı; uygulamanın ya da sayfanın gönderdiği cihaz özeti; işletim sistemi; uygulama sürümü; etkinleştirme ve bağlanma zamanları | Anahtarı vermek, cihazlarını saymak ve kiralamalarını imzalamak | Kanunun 5 inci maddesinin ikinci fıkrasının (c) bendi: sözleşmenin kurulması ve ifası |
| IP adresi | Bir adresin alabileceği anahtar ve yapabileceği istek sayısını sınırlamak, kötüye kullanımı önlemek | Aynı fıkranın (f) bendi: veri sorumlusunun meşru menfaati |
| Her isteğin sunucu kayıtları: IP adresi, zaman, istenen adres, yanıt durumu, yönlendiren sayfa ve tarayıcı bilgisi | Sunucuyu güvenli biçimde işletmek ve hataları bulmak | Aynı fıkranın (f) bendi |
| Sunucuya gelen her istek için zaman, sorgu kısmı olmadan istenen adres, yanıt durumu ve süresi, tarayıcı bilgisi ve son kısmı silinmiş IP adresi; 7 gün saklanır | Kendi izleme hizmetimizde sunucunun performansını görmek, hataları ve kötüye kullanımı fark etmek | Aynı fıkranın (f) bendi |
| Güvenlik olayları: konsolda başarılı ve başarısız oturum açma, kilitlenme, hatalı anahtar, bir anahtarın bir saat içindeki ilk kullanımı, reddedilen yetki, istek sınırının aşılması, kontrolden geçemeyen istek gövdeleri (yalnızca alan adları, yazılan değerler değil), imzası hatalı webhook'lar, oluşturulan veya iptal edilen API anahtarları, kayıt, parola sıfırlama ve oturum kapatma. Her biri zaman, varsa hesabın kimliği, son kısmı silinmiş IP adresi, tarayıcı bilgisi ve sorgu kısmı olmadan istenen adresle birlikte; parola, anahtar, e-posta adresi veya istek gövdesi hiçbir zaman kaydedilmez. 90 gün saklanır | Kendi izleme hizmetimizde hesaplara ve hizmete yönelik saldırıları tespit etmek ve incelemek | Aynı fıkranın (f) bendi |
| Açtığınız her sayfa için IP adresi ve tarayıcı bilgisi; her gün değişen bir anahtarla hemen tek yönlü bir koda çevrilir. Kod ve anahtar yalnızca sunucunun belleğinde tutulur, gün sonunda (UTC) silinir | Günlük ziyaretçi ve sayfa görüntüleme sayısını bulmak. Yalnızca günün toplamları saklanır; çerez kullanılmaz | Aynı fıkranın (f) bendi |
| Herkese açık demo konsoluna yazdıklarınız | Konsolu denemenizi sağlamak | Aynı fıkranın (c) bendi |
| Yalnızca analiz çerezlerini kabul ederseniz: görüntülediğiniz sayfalar, sayfa kaydırma, başka sitelere verilen bağlantılara tıklama, dosya indirme, tarayıcı, cihaz, yaklaşık konum ve çerezde tutulan rastgele bir tanımlayıcı. Google Analytics'te 2 ay, çerezler tarayıcınızda 13 ay saklanır | Google Analytics ile bu web sitesinin hangi sayfalarının kullanıldığını görmek (konsolda kullanılmaz) | Kanunun 5 inci maddesinin birinci fıkrası: açık rıza |
Carcha Seal hesapları
Carcha Seal'e kaydolduğunuzda ve konsolunu kullandığınızda, hesabınıza ilişkin kişisel verileriniz konsoldaki kayıt, oturum açma ve ayarlar formları aracılığıyla elektronik ortamda otomatik yollarla toplanır:
| Veri | Amaç | Hukuki sebep |
|---|---|---|
| Adınız veya şirket adınız, e-posta adresiniz ve parolanız (yalnızca tek yönlü scrypt özeti olarak saklanır); plan ve deneme süresinin bitişi; hesabın açıldığı zaman; Ayarlar'da ekleyebileceğiniz destek adresi; hesabın silinmesini istediğiniz tarih | Hesabınızı açmak ve işletmek, oturum açmanızı sağlamak ve hesabın gerektirdiği e-postaları (etkinleştirme, parola sıfırlama, parolanın değiştiği bildirimi) göndermek | Kanunun 5 inci maddesinin ikinci fıkrasının (c) bendi: sözleşmenin kurulması ve ifası |
| Henüz etkinleştirilmemiş kayıt: aynı bilgiler ve etkinleştirme bağlantısı (tek yönlü özet olarak) | Hesap açılmadan önce e-posta adresinin size ait olduğunu doğrulamak | Aynı fıkranın (c) bendi |
| Parola sıfırlama bağlantısı (tek yönlü özet olarak) | Yeni parola belirlemenizi sağlamak | Aynı fıkranın (c) bendi |
| Oturumlar: rastgele bir belirteç (tek yönlü özet olarak; tarayıcınızda da konsolun kullandığı tek çerez olarak) ve başladığı ile son kullanıldığı zaman | Oturumunuzu açık tutmak | Aynı fıkranın (c) bendi |
| Oluşturduğunuz API anahtarlarının adı, son karakterleri, oluşturulma, son kullanılma ve iptal zamanları; anahtarın kendisi yalnızca tek yönlü özet olarak | Kendi sistemlerinizin Carcha Seal'e bağlanmasını sağlamak | Aynı fıkranın (c) bendi |
| Başarısız oturum açma denemelerinin IP adresi ve e-posta adresi; kayıt ve parola sıfırlama isteklerinin IP adresi | Parola tahminini engellemek ve bir adresin tetikleyebileceği kayıt ve sıfırlama e-postalarını sınırlamak | Aynı fıkranın (f) bendi: veri sorumlusunun meşru menfaati |
| Gönderdiğimiz e-postanın geri döndüğü ya da e-postamızı istenmeyen olarak işaretleyen e-posta adresi | O adrese e-posta göndermeyi durdurmak (Amazon SES engelleme listesi) | Aynı fıkranın (f) bendi |
Kendi müşterilerinize ait lisans verilerini (anahtarları, cihazları ve alıcıların e-posta adreslerini) sizin adınıza ve talimatlarınız doğrultusunda işleriz: bu veriler için veri sorumlusu sizsiniz, Carcha Seal veri işleyendir.
Kişisel verileriniz, sunucunun barındırılması ve e-postaların gönderilmesi (Amazon SES) amacıyla Amazon Web Services'e (Almanya, Frankfurt) ve web sitesine gelen trafiğin iletilmesi ve korunması amacıyla Cloudflare, Inc.'e (Amerika Birleşik Devletleri) aktarılır. Analiz çerezlerini kabul etmeniz hâlinde, analiz verileri Google Analytics hizmetinin sağlanması amacıyla Google LLC'ye (Amerika Birleşik Devletleri) aktarılır.
Analiz çerezleri için verdiğiniz açık rızayı, her sayfanın altındaki Cookie settings (Çerez ayarları) düğmesinden istediğiniz zaman geri alabilirsiniz; geri alma, öncesinde yapılan işlemeyi etkilemez.
Kanunun 11 inci maddesi uyarınca veri sorumlusuna başvurarak:
- kişisel verilerinizin işlenip işlenmediğini öğrenme,
- işlenmişse buna ilişkin bilgi talep etme,
- işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
- yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
- eksik veya yanlış işlenmişse düzeltilmesini isteme,
- 7 nci maddede öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
- düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
- kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme
haklarına sahipsiniz.