KVKK aydınlatma metni

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’e göre, Kartopu mobil uygulamasını (“Kartopu”, “uygulama”) kullanan kişileri (“sen”) kişisel verilerin hakkında bilgilendirmek için hazırlandı.

1. Veri sorumlusu

Veri sorumlusu	Hakan Eren
Adres	Gültepe Mah. Eğri Sok. Küçükçekmece/İstanbul
E-posta	destek@kartopu.app
İnternet sitesi	https://kartopu.app

2. Önce bilmen gereken: kayıtların bize gelmez

Kartopu’nun bir sunucusu yoktur ve uygulama bir hesap açmanı istemez. Uygulamaya girdiğin bilgiler yalnızca telefonunda, uygulamanın kendi depolama alanında tutulur:

• varlıkların, gelir ve giderlerin, borç ve alacakların;
• hedeflerin ve planların;
• değerlendirme cevapların ve değişiklik geçmişi;
• ayarların ve isteğe bağlı olarak girdiğin adın.

Bu bilgiler bize ya da bir üçüncü kişiye gönderilmez. Biz bunlara erişemeyiz, onları göremeyiz ve saklamayız. Telefonundaki bu bilgileri istediğin zaman uygulamadan silebilir ya da dışa aktarabilirsin. Uygulamayı kaldırdığında da silinirler.

Bu metnin geri kalanı, bize ya da hizmet sağlayıcılarımıza ulaşan sınırlı verileri anlatır.

3. İşlenen kişisel veriler, amaçları ve hukuki sebepleri

3.1 Ürün analitiği (yalnızca açık rızanla)

• Ne zaman: Yalnızca kurulumda ya da Ayarlar → Gizlilik’te “Ürün analitiği”ni açarsan. Açmazsan hiçbir analitik olayı üretilmez ve gönderilmez.
• Veri kategorisi: işlem güvenliği ve kullanım verisi.
• İşlenen veriler:
  • Takma adlı kurulum kimliği: izin ilk kez açıldığında rastgele üretilen bir kimlik. Adınla, cihazınla ya da destek kimliğinle bağlantısı yoktur.
  • Olay adı: sabit bir listeden, örneğin “kayıt oluşturuldu”, “plan oluşturuldu”, “hedefe ulaşıldı”.
  • Olay parametreleri: sabit değerler; örneğin kayıt türü, hedef kategorisi, planın peşin mi kredili mi olduğu.
  • Olayın zamanı.
  • Teknik bilgiler: uygulama sürümü, işletim sistemi (Android/iOS), mağaza, uygulama dili.
• Amaç: Hangi özelliklerin kullanıldığını ve nerede zorlanıldığını anlamak, uygulamayı geliştirmek.
• Hukuki sebep: Açık rıza (KVKK m. 5/1).
• İşlenmeyenler: Tutarlar, bakiyeler, oranlar, adın, kayıtlarının adları ve notları, Karto’ya yazdıkların, destek kimliğin, rehberin, konumun, reklam kimliğin. Kişi profili oluşturulmaz.

3.2 Hata raporları (yalnızca açık rızanla)

• Ne zaman: Yalnızca “Hata raporları”nı açarsan. Açmazsan hata raporu toplama hiç başlatılmaz.
• Veri kategorisi: işlem güvenliği.
• İşlenen veriler: takma adlı kurulum kimliği; hata türü ve hatanın kodda nerede oluştuğu (stack trace); uygulama sürümü, cihaz türü ve işletim sistemi; hatanın zamanı.
• Cihazda silinenler: Uygulamanın kendi hata mesajlarındaki 3 haneden uzun sayılar, para birimli tutarlar ve e-posta adresleri gönderilmeden önce cihazda silinir.
• Hiç alınmayanlar: Ekran görüntüsü ve ekran yapısı alınmaz.
• Amaç: Uygulamadaki hataları ve çökmeleri bulup düzeltmek.
• Hukuki sebep: Açık rıza (KVKK m. 5/1).

3.3 Destek talepleri

• Ne zaman: destek@kartopu.app adresine yazarsan.
• Veri kategorisi: iletişim ve müşteri işlem.
• İşlenen veriler: e-posta adresin, iletinin içeriği ve iletiye kendin eklediğin bilgiler. Eklemeyi seçersen destek kimliğin ya da kurulum kimliğin de bu kapsama girer.
• Amaç: Sorununu çözmek, talebini yanıtlamak, KVKK kapsamındaki başvurunu sonuçlandırmak.
• Hukuki sebep: bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması (m. 5/2-c); KVKK başvuruları için veri sorumlusunun hukuki yükümlülüğü (m. 5/2-ç); temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat (m. 5/2-f).
• Uygulamanın davranışı: Uygulama e-postana kendiliğinden ad, tutar ya da kayıt eklemez.

3.4 Uygulamanın internet istekleri (bize ulaşmaz)

İnternet varsa uygulama güncel döviz ve altın/gümüş fiyatlarını Türkiye Cumhuriyet Merkez Bankası gibi herkese açık kaynaklardan indirir ve uygulama parametrelerini (örneğin stopaj tablosu) herkese açık bir adresten okur.

Bu isteklerde senin hakkında hiçbir bilgi gönderilmez. Ancak her internet bağlantısında olduğu gibi, bu kaynaklar bağlantının IP adresini görebilir. Bu kaynaklar bizim adımıza veri işlemez; kendi politikalarına tabidir.

3.5 Uygulama mağazaları

Uygulamayı indirdiğin mağaza (Google Play, Apple App Store, Huawei AppGallery) indirme, ödeme ve cihaz bilgilerini kendi gizlilik politikalarına göre, kendi sorumluluğunda işler. Mağazaların bize sunduğu toplu istatistikler (örneğin indirme sayısı) seni tanımlamaz.

4. Kişisel verilerin toplanma yöntemi

• Ürün analitiği ve hata raporları: İzin verdiğin anda uygulama tarafından otomatik yollarla toplanır ve elektronik ortamda hizmet sağlayıcılarımıza gönderilir.
• Destek talepleri: Bize gönderdiğin e-postayla, yine elektronik ortamda.

5. Kişisel verilerin aktarılması

Alıcı	Rolü	Aktarılan	Konum
PostHog Inc.	Veri işleyen (analitik altyapısı)	3.1’deki veriler	AB veri merkezi (Frankfurt, Almanya)
Functional Software Inc. (Sentry)	Veri işleyen (hata raporu altyapısı)	3.2’deki veriler	AB veri merkezi (Frankfurt, Almanya)
Lark Technologies Pte. Ltd. (Lark)	Veri işleyen (e-posta altyapısı)	3.3’teki veriler	Yurt dışı
Yetkili kamu kurum ve kuruluşları	Kanunen yetkili alıcı	Talep edilen veriler	Türkiye

Yurt dışına aktarım. PostHog ve Sentry sunucuları Avrupa Birliği’nde, e-posta altyapımızı sağlayan Lark’ın sunucuları da Türkiye dışındadır. Bu nedenle 3.1, 3.2 ve 3.3’teki veriler yurt dışına aktarılır. Aktarım KVKK m. 9 kapsamında Kurul’ca ilan edilen standart sözleşme ile yapılır; standart sözleşme imzalandığı tarihten itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilir.

Sağlayıcılarda IP adresi: IP adresin bağlantı sırasında sağlayıcıya ulaşır, ancak sağlayıcılarda saklanmaz.

Kişisel verilerin satılmaz, reklam amacıyla kullanılmaz ve paylaşılmaz.

6. Saklama süresi

Veri	Süre
Ürün analitiği olayları	12 ay
Hata raporları	3 ay
Destek yazışmaları	3 ay
KVKK başvuruları ve yanıtları	3 ay
Telefondaki veriler	Sen silene ya da uygulamayı kaldırana kadar telefonunda kalır. Bize gelmez.

• Rızanı geri alırsan: Rızaya dayanan veriler, saklanmalarını gerektiren başka bir sebep yoksa silinir. Ayrıntısı 7. bölümdedir.
• Süre dolunca: Veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’e göre imha edilir.

7. Açık rıza ve rızanı geri almak

Ürün analitiği ve hata raporları için iki ayrı açık rıza istenir. Rıza vermeden önce şunları bil:

• İsteğe bağlıdır. Rıza vermesen de uygulamanın tüm özelliklerini aynı şekilde kullanırsın.
• Ayrı ayrı verilir. Birine rıza verip diğerine vermeyebilirsin.
• Kapalı başlar. İki anahtar da kapalıdır; yalnızca sen açarsan rıza verilmiş olur.
• Kapsamı sınırlıdır. Tutarların, bakiyelerin, adın, kayıtların ve Karto’ya yazdıkların hiçbir rızanın kapsamında değildir; hiçbir zaman gönderilmez.

Rızalarını birbirinden bağımsız olarak, istediğin zaman Ayarlar → Gizlilik’ten geri alabilirsin. Geri almak, o ana kadar yapılan işlemenin hukuka uygunluğunu etkilemez ve uygulamanın hiçbir özelliğini kısıtlamaz. Geri aldığında:

• Gönderim durur. Telefonunda bekleyen, henüz gönderilmemiş olaylar ve hata raporları hemen silinir.
• Kurulum kimliği silinir. Bu yalnızca iki izin birden kapandığında olur. Yeniden açarsan yeni bir kimlik üretilir ve eski verilerle bağlantısı olmaz.
• Önceden gönderilenler 6. bölümdeki sürenin sonunda silinir. Kartopu’nun sunucusu olmadığı için rızanı geri aldığını biz kendiliğinden öğrenemeyiz. Bu sürenin sonunu beklemeden silinmesini istersen:
  1. İzni kapatmadan önce Ayarlar → Gizlilik’teki kurulum kimliğini kopyala.
  2. Kimliği destek@kartopu.app adresine gönder.
  3. O kimliğe ait veriler sağlayıcılardan silinir.

8. KVKK m. 11 kapsamındaki hakların

Veri sorumlusuna başvurarak şu haklarını kullanabilirsin:

• a) Kişisel verilerinin işlenip işlenmediğini öğrenmek.
• b) İşlenmişse buna ilişkin bilgi talep etmek.
• c) İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenmek.
• ç) Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilmek.
• d) Eksik veya yanlış işlenmişse düzeltilmesini istemek.
• e) KVKK m. 7’deki şartlar çerçevesinde silinmesini veya yok edilmesini istemek.
• f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, verilerin aktarıldığı üçüncü kişilere bildirilmesini istemek.
• g) İşlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etmek.
• ğ) Kanuna aykırı işleme sebebiyle zarara uğraman hâlinde zararın giderilmesini talep etmek.

9. Başvuru yolu

Başvurunu Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak yapabilirsin:

• yazılı olarak, 1. bölümdeki adrese;
• daha önce bize bildirdiğin ve sistemimizde kayıtlı e-posta adresinden destek@kartopu.app adresine.

Başvuruda bulunması gerekenler: adın soyadın, imzan (yazılı başvuruda), T.C. kimlik numaran (yabancıysan uyruğun ile pasaport ya da kimlik numaran), yazışma adresin ya da e-posta adresin ve talebin. Analitik ya da hata raporu verilerinle ilgili başvurularda kurulum kimliğini eklersen verilerini bulabiliriz. Kimlik olmadan bu verileri seninle eşleştiremeyiz, çünkü onları adınla tutmuyoruz.

Yanıt süresi. Başvurun en geç 30 gün içinde ücretsiz sonuçlandırılır; işlem ayrıca bir maliyet gerektirirse Kurul’un belirlediği tarifedeki ücret alınabilir. Başvurun reddedilirse, yanıtı yetersiz bulursan ya da süresinde yanıt verilmezse Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsin (KVKK m. 14).