KVKK Aydınlatma Metni

KİŞİSEL VERİLERİN KORUNMASI HAKKINDA AYDINLATMA METNİ (GİZLİLİK POLİTİKASI) Son güncelleme: [TARİH] 1. Veri Sorumlusu 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca, "Fırça" markası altında işletilen mobil uygulama ve ilgili sistemlerin ("Platform") veri sorumlusu: Onur Uluçay (gerçek kişi) Adres: [ADRES] E-posta: [E-POSTA] 2. İşlenen Kişisel Veriler Platform üzerinden aşağıdaki kişisel veri kategorileri işlenmektedir: - Kimlik Bilgisi: Ad, soyad. - İletişim Bilgisi: E-posta adresi; hesabı telefon numarasıyla oluşturulmuş kullanıcılarda telefon numarası. - Müşteri İşlem Bilgisi: Sipariş geçmişi, sipariş tutarı ve durumu, değerlendirme/yorum içerikleri, iptal/iade kayıtları. - Finansal Bilgi: Ödeme tutarı ve işlem durumu. Kart numarası, son kullanma tarihi, CVV gibi kart bilgileri Platform sunucularında HİÇBİR ZAMAN saklanmaz; ödeme, PCI-DSS uyumlu bir ödeme kuruluşunun (PayTR) güvenli altyapısı üzerinden gerçekleştirilir. - Konum Bilgisi: Cihazınızda konum iznini verdiğinizde, yakınınızdaki işletme, otopark, lastik ve yetkili servis aramaları ile bulunduğunuz il ve adresin tespiti için cihazınızın o anki konumu. Arama için gönderilen bu konum Platform veritabanında saklanmaz ve sunucu kayıtlarında (loglarda) maskelenir; il ve adres tespiti, otopark ve yetkili servis araması ile harita görüntüleme sırasında konumun iletildiği üçüncü taraf hizmet 4.1. maddede açıklanmıştır. "Mobil hizmet" (adrese gelen hizmet) sipariş türü seçildiğinde ise hizmetin verileceği konum bilgisi siparişle birlikte saklanır. - İşletme Çalışanı Konum Bilgisi: Bir işletmenin ekibine katılan çalışanın, YALNIZCA kendisine atanmış bir mobil hizmet siparişi sürerken (sipariş işletme tarafından onaylandıktan sonra, hizmet başlayana kadar) ve YALNIZCA çalışanın uygulama içinde konum paylaşımını açık olarak başlatmasıyla alınan anlık konumu. Bu veri, siparişi veren müşteriye ekibin nerede olduğunu göstermek amacıyla, açık rızaya dayanarak işlenir. Rıza, çalışanın işletme ekibine katılım onayı sırasında; işletme sahibinden ise konum paylaşımını ilk kez başlatırken alınır. Konumun yalnızca EN SON değeri tutulur, rota/hareket geçmişi BİRİKTİRİLMEZ ve veri, hizmet başladığında veya sipariş iptal edildiğinde silinir. Çalışan paylaşımı istediği an kapatabilir. - Araç Bilgisi: Araç marka/model/sınıfı ve plaka bilgisi (plaka, ilgili işletme dışındaki ekranlarda maskelenerek gösterilir). - İşlem Güvenliği Bilgisi: Şifrenizin geri döndürülemez özeti (şifrenin kendisi saklanmaz), e-posta doğrulama ve şifre sıfırlama kodu kayıtları, Google/Apple ile girişte bu hizmetlerin verdiği kullanıcı kimliği, oturum/cihaz bilgisi (cihaz kimliği, IP adresi). 3. Kişisel Verilerin İşlenme Amaçları Kişisel verileriniz; - Kimlik doğrulama ve hesap oluşturma (e-posta ve şifre ile giriş, e-posta adresine doğrulama/şifre sıfırlama kodu gönderimi, tercih etmeniz hâlinde Google veya Apple hesabıyla giriş), - Sipariş oluşturma, işletmeye iletme ve sipariş sürecinin yönetilmesi, - Konum izni verdiğinizde size yakın işletme, otopark ve servislerin listelenmesi ve haritada gösterilmesi, - Ödeme işlemlerinin gerçekleştirilmesi ve muhasebeleştirilmesi, - Müşteri destek taleplerinin karşılanması, - Değerlendirme/yorum sisteminin işletilmesi, - Yasal yükümlülüklerin (fatura düzenleme, tüketici hakları mevzuatı, talep halinde yetkili kamu kurumlarına bilgi verilmesi) yerine getirilmesi, - Hizmet kalitesinin ölçülmesi, hata/dolandırıcılık tespiti ve önlenmesi, amaçlarıyla, KVKK'nın 5. maddesinde belirtilen "bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması", "hukuki yükümlülüğün yerine getirilmesi", "veri sorumlusunun meşru menfaati" ve gerekli hallerde "açık rıza" hukuki sebeplerine dayanılarak işlenmektedir. 4. Kişisel Verilerin Aktarılması Kişisel verileriniz, yukarıdaki amaçlarla sınırlı olarak; - Sipariş verdiğiniz işletmeye (yalnızca siparişin ifası için gerekli bilgiler — ad, plaka, araç sınıfı, konum vb.), - E-posta ile doğrulama kodu ve bildirim gönderimi için e-posta hizmet sağlayıcısına (Resend — Plus Five Five, Inc., ABD; ayrıntısı 4.1. maddede), - Ödeme özelliği etkinleştirildiğinde, ödeme işlemlerinin yürütülmesi için ödeme kuruluşuna (PayTR, Türkiye). Ücretsiz dönemde Platform üzerinden ödeme alınmadığı için bu aktarım gerçekleşmemektedir, - Yetkili kamu kurum ve kuruluşlarına (yasal talep halinde), aktarılabilir. 4.1. Yurt Dışına Aktarım Platform'un teknik altyapısı gereği kişisel verileriniz yurt dışına aktarılmaktadır. Aktarımın gerçekleştiği hizmetler ve ülkeler: - Sunucu ve veritabanı barındırma: Hetzner Online GmbH (Almanya). Hesap, sipariş, araç ve destek verilerinin tamamı Almanya'daki veri merkezlerinde barındırılmaktadır. Almanya, Avrupa Birliği üyesi olup AB Genel Veri Koruma Tüzüğü (GDPR) kapsamındadır. - Anlık bildirim (push) gönderimi: Google Firebase Cloud Messaging — Google Ireland Limited / Google LLC. Bu hizmete yalnızca cihazınızın bildirim kimliği (token) ile bildirim başlığı ve metni iletilir; ad, e-posta, telefon, plaka gibi bilgiler gönderilmez. - Harita, yer araması ve adres çözme: Google Maps Platform — Google LLC (ABD) / Google Ireland Limited. Harita görüntüleme (web, Android ve iOS uygulaması ile işletme panelindeki konum seçme haritası): bir harita gösterildiğinde harita Google sunucularından yüklenir; bu sırada IP adresiniz, cihaz/tarayıcı bilgileriniz ve haritada gösterilen bölgenin koordinatları (örneğin bulunduğunuz konumun, seçtiğiniz hizmet adresinin veya işletmenin çevresi) Google'a iletilir. İşletme panelinde seçilen il ve ilçenin haritada bulunması için il/ilçe adı da tarayıcıdan Google'a (Google Geocoding API) iletilir. Yakındaki otopark ve yetkili servis araması (Google Places API) ile konumunuzdan il ve adres bilgisinin bulunması (Google Geocoding API) ise sunucularımız tarafından yapılır: bu isteklerde Google'a yalnızca konumunuzun yuvarlanmış koordinatı (yaklaşık 10 m – 1 km hassasiyetinde) ve yetkili servis aramasında aracınızın marka adı iletilir; IP adresiniz ve cihaz bilgileriniz bu isteklerle Google'a gönderilmez, Google'dan gelen sonuçlar Platform tarafından saklanmaz. Ad, telefon numarası ve plaka gibi bilgileriniz bu hizmete Platform tarafından gönderilmez. Google bu verileri kendi gizlilik politikası (https://policies.google.com/privacy) kapsamında işler. - Google ile giriş (tercih etmeniz hâlinde): Google LLC (ABD) / Google Ireland Limited. "Google ile devam et" seçildiğinde giriş Google'ın penceresinde yapılır ve Google'dan Platform'a adınız, e-posta adresiniz ve Google hesap kimliğiniz gelir; bu sırada IP adresiniz ve cihaz/tarayıcı bilgileriniz Google'a iletilir. Web uygulamasında Google'ın giriş bileşeni (accounts.google.com) uygulama açılırken, işletme panelinde ise giriş ekranı açıldığında yüklenir; bu yükleme sırasında da IP adresiniz ve tarayıcı bilgileriniz Google'a ulaşır. Google bu verileri kendi gizlilik politikası (https://policies.google.com/privacy) kapsamında işler. - Apple ile giriş (tercih etmeniz hâlinde): Apple Inc. (ABD) / Apple Distribution International Ltd. (İrlanda). "Apple ile devam et" seçildiğinde giriş Apple'ın penceresinde yapılır ve Apple'dan Platform'a Apple kullanıcı kimliğiniz, e-posta adresiniz — "E-postamı gizle" seçeneğini kullanırsanız Apple'ın verdiği aktarım adresi — ve yalnızca ilk girişte adınız gelir. Aktarım adresine gönderdiğimiz e-postalar size Apple üzerinden iletilir. Web uygulamasında ve işletme panelinde Apple'ın giriş kütüphanesi (appleid.cdn-apple.com) yalnızca giriş ekranı açıldığında yüklenir. Apple bu verileri kendi gizlilik politikası (https://www.apple.com/legal/privacy/) kapsamında işler. - E-posta gönderimi: Resend — Plus Five Five, Inc. (ABD). Kayıt doğrulama kodu, şifre sıfırlama kodu, çalışan daveti ve hesap güvenliği bildirimleri (ör. "şifren değişti") bu hizmet üzerinden gönderilir; e-postalar AB (İrlanda) bölgesindeki sunuculardan çıkar. Hizmete yalnızca alıcı e-posta adresi ile e-postanın konusu ve içeriği (kod, işletme adı gibi) iletilir. Resend bu verileri kendi gizlilik politikası (https://resend.com/legal/privacy-policy) kapsamında işler. - Hata izleme: Sentry — Functional Software, Inc. (ABD); veriler AB (Almanya) bölgesindeki sunucularda saklanır. Sunucularımızda, işletme panelinde veya yönetim panelinde teknik bir hata oluştuğunda hatanın teknik ayrıntıları (hata mesajı, hatanın oluştuğu ekran veya adres, tarayıcı/cihaz türü, zaman) bu hizmete iletilir. Hata kaydına adınız, çerezleriniz ve gönderdiğiniz form içerikleri eklenmez; hata metinlerinde geçebilecek telefon numarası ve e-posta adresi gönderilmeden önce maskelenir. Panellerden gönderilen kayıtlarda bağlantı gereği IP adresiniz Sentry'ye ulaşır ancak saklanmaz. Sentry bu verileri kendi gizlilik politikası (https://sentry.io/privacy/) kapsamında işler. Bu aktarımlar, hizmetin sunulabilmesi için teknik olarak zorunludur ve KVKK'nın 9. maddesi kapsamında, açık rızanız ile veya Kanun'da öngörülen diğer şartlara dayanılarak gerçekleştirilir. Sağlayıcılarla veri işleme/gizlilik taahhütleri geçerlidir ve verilere erişim şifreli bağlantılar üzerinden sınırlı biçimde yapılmaktadır. Plaka ve hizmet başlatma kodu gibi hassas alanlar veritabanında şifrelenmiş olarak saklanmaktadır. [TASLAK NOTU — avukat kontrolünde bakılmalı: Giriş ve kayıt ekranlarındaki "Devam ederek Kullanım Koşulları ve Gizlilik Politikası'nı kabul etmiş olursunuz." yazısı KVKK anlamında açık rıza DEĞİLDİR; açık rızaya dayanan işlemeler için ayrıca alınmalıdır. 7499 sayılı Kanun ile değişen KVKK 9. madde sonrası yurt dışı aktarımların hukuki dayanağı (standart sözleşme, bildirim vb.) gözden geçirilmelidir.] Yeni bir üçüncü taraf hizmet devreye alındığında bu bölüm güncellenir ve güncel metin uygulama içinde ve fircaapp.com adresinde yayımlanır. 5. Kişisel Veri Toplamanın Yöntemi ve Hukuki Sebebi Kişisel verileriniz, mobil uygulama üzerinden elektronik ortamda, doğrudan sizin tarafınızdan girilen bilgiler ile otomatik/yarı otomatik yollarla (cihaz/oturum bilgisi gibi) toplanmaktadır. 6. KVKK'nın 11. Maddesi Kapsamındaki Haklarınız KVKK'nın 11. maddesi uyarınca herkes, veri sorumlusuna başvurarak kendisiyle ilgili; a) Kişisel veri işlenip işlenmediğini öğrenme, b) İşlenmişse buna ilişkin bilgi talep etme, c) İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme, d) Eksik/yanlış işlenmişse düzeltilmesini isteme, e) KVKK'nın 7. maddesindeki şartlar çerçevesinde silinmesini/yok edilmesini isteme, f) (d) ve (e) kapsamında yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) İşlenen verilerin münhasıran otomatik sistemler ile analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme, ğ) Kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme, haklarına sahiptir. 7. Başvuru Yöntemi Yukarıdaki haklarınızı kullanmak için taleplerinizi [E-POSTA] adresine veya [ADRES] adresine yazılı olarak iletebilirsiniz. Başvurunuz, niteliğine göre en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılacaktır. (e) bendindeki silme talebinizi, ayrıca uygulama içinden Profil > Hesabımı Sil adımıyla doğrudan ve anında kullanabilirsiniz. Bu durumda ad, telefon numarası, e-posta, şifre özetiniz ve Google/Apple bağlantınız ile araç bilgileriniz silinir; sipariş ve ödeme kayıtlarınız ise 5. bölümde belirtilen yasal saklama süresi boyunca kimliğinizle ilişkilendirilmeden saklanır. --- Not: Bu metin taslak niteliğindedir; yayına alınmadan önce bir KVKK danışmanı/avukat tarafından işletmenizin gerçek veri işleme süreçlerine göre gözden geçirilmelidir.