Gizlilik Politikası ve KVKK Aydınlatma Metni

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m.10 kapsamında aydınlatma yükümlülüğünün yerine getirilmesi ve YeGez kullanıcılarının gizlilik konusunda eksiksiz bilgilendirilmesi amacıyla hazırlanmıştır.

Veri sorumlusu: Mustafa Emir (bireysel uygulama geliştiricisi) İletişim: m.emirofficial@gmail.com

1. İşlenen veriler, amaçları ve ayrıntıları

a) Yalnızca cihazında tutulan veriler. Onboarding tercihlerin (ör. helal‑öncelikli sıralama), kendine verdiğin ad ve seçtiğin avatar, kaydettiğin lezzet, mekan ve şehirler, oluşturduğun rotalar, girdiğin gezi tarihleri, önizleme hakların, dil tercihin ve abonelik durumun uygulamanın kendi deposunda (cihazındaki AsyncStorage) tutulur. Bu kayıtlar için bir sunucu hesabı yoktur; uygulamayı silersen bu veriler de silinir. Profil ekranındaki “Sıfırla” seçeneği hepsini tek seferde temizler.

b) Kullanım ölçümü (Google Analytics 4 / Firebase). Görüntülenen ekranlar, ekranda geçirilen süre, oturum ve etkileşim olayları (ör. bir paywall görme, plan seçme, satın alma tamamlanması, rota üretme) ile o sırada gezilen şehir kırılımı işlenir. Ölçüm iki katmandan biriyle yapılır:

• Firebase (Google Analytics for Firebase) SDK’sı — güncel sürümlerde çalışan katman. SDK, olaylara ek olarak cihazda üretilen bir uygulama örneği kimliği (app instance ID), cihaz modeli ve işletim sistemi sürümü, uygulama sürümü, dil/ülke ayarı ve IP adresinden türetilen yaklaşık konum (genellikle ülke/şehir düzeyi) bilgisini de işler. Google, IP adresini konumu türettikten sonra saklamaz. İzin verdiysen cihazın reklam tanımlayıcısı da bu ölçüme dâhil olabilir.
• Measurement Protocol (yedek) — Firebase’in bulunmadığı eski sürümlerde çalışır; cihazda üretilen rastgele bir tanımlayıcıya (client_id) bağlı olay verisi gönderir.

Her iki katman da adını, e‑posta adresini ya da gerçek kimliğini içermez; ancak cihaz/uygulama düzeyindeki tanımlayıcılar KVKK anlamında kişisel veri sayılabilir. Veriler Google’a iletilir ve Google’ın politikalarına tabidir.

c) Reklamlar (Google AdMob). Aboneliği olmayan kullanıcılara uygulama içinde banner ve geçiş reklamları, kilitli içerikte ise yalnızca istersen izlediğin ödüllü reklamlar gösterilir. Reklam gösterimi için Google’ın reklam SDK’sı cihaz bilgisi, IP adresi ve reklam etkileşim verilerini işler:

• Kişiselleştirilmiş reklam, yalnızca hem Google’ın onay akışında (UMP) hem de iOS Uygulama Takibi Şeffaflığı (ATT) isteminde açık izin verirsen gösterilir; bu durumda cihazın reklam tanımlayıcısı (iOS’ta IDFA, Android’de Reklam Kimliği) kullanılır.
• İzin vermezsen reklamlar kişiselleştirilmeden gösterilir; reklam tanımlayıcısı kullanılmaz.
• İzni istediğin an geri çekebilirsin: iOS’ta Ayarlar → Gizlilik ve Güvenlik → Takip, Android’de Ayarlar → Google → Reklamlar.
• Google’ın reklam ortaklarının veriyi nasıl kullandığını ve seçeneklerini policies.google.com/technologies/partner-sites adresinde bulabilirsin.
• Abonelik satın alan kullanıcı hiç reklam görmez; reklam altyapısı ve izin istemleri abonelerde hiç başlatılmaz.

d) Uygulama tanıtımı ölçümü (Meta). Uygulamanın Meta (Facebook/Instagram) üzerindeki tanıtım kampanyalarının işe yarayıp yaramadığını ölçmek için Meta’nın ölçüm SDK’sı kullanılır. Bu SDK uygulamada reklam göstermez; yalnızca kurulum, uygulama açılışı ve tamamlanan satın alma gibi olayları (satın almada tutar ve para birimiyle birlikte) Meta’ya iletir ve cihaz/uygulama bilgisini işler. Cihazın reklam tanımlayıcısıyla ilişkilendirme yalnızca ATT isteminde izin verirsen açılır; izin vermezsen ölçüm Apple’ın SKAdNetwork altyapısı üzerinden toplu ve anonim biçimde sürer. Meta’nın veri işlemesi kendi politikalarına tabidir.

Reklam gösteriminden farklı olarak bu ölçüm abonelerde de çalışır: reklam göstermediği, yalnızca hangi tanıtımın kurulum ve satın almaya dönüştüğünü ölçtüğü için abonelik bu katmanı kapatmaz. Reklam tanımlayıcısıyla ilişkilendirmeyi kapatmak istersen ATT/Takip iznini geri çekmen yeterlidir.

e) Konum. “Yakındaki mekanlar” ve yürüme mesafesi özellikleri için, izin diyaloğunda onay verirsen cihazının konumu kullanılır. Konum cihazında işlenir; sunucularımıza gönderilmez, saklanmaz, üçüncü taraflarla paylaşılmaz. İzni cihaz ayarlarından her an kapatabilirsin; özellik onsuz da çalışır (mesafe gösterilmez).

f) Bildirimler. Bir şehir için gezi tarihi kaydedersen, gezinden önce ve gezi sabahı hatırlatma göndermeyi teklif ederiz. Bildirim izni bu sırada istenir. Hatırlatmalar cihazında planlanır; bildirim içeriği ve gezi tarihlerin sunucularımıza gönderilmez. Tarihi silersen hatırlatmalar iptal edilir; izni cihaz ayarlarından her an kapatabilirsin.

g) Satın almalar. Abonelikler App Store ve Google Play üzerinden satılır ve RevenueCat altyapısıyla yönetilir. Ödeme ve kart bilgilerini biz görmeyiz; bunları Apple ve Google işler. RevenueCat, aboneliğin cihazlar arasında tanınabilmesi için uygulama tarafından üretilen anonim bir kullanıcı kimliği ve işlem/cihaz bilgisi işler.

h) Mekan bilgileri ve Google yorumları (üçüncü kişilere ait içerik). Mekanların puanı, yorum sayısı, çalışma saatleri, fotoğrafı ve son yorumları Google Places’ten alınır ve sunucumuzda (Supabase) önbelleklenir. Yorumlar, yazarının Google’da herkese açık görünen adı, profil fotoğrafı ve profil bağlantısıyla birlikte, değiştirilmeden ve Google’a atıfla gösterilir. Bu içerik 30 günden uzun süre saklanmaz; tazelenmezse uygulamada gösterilmesi durur. Kendi yorumunun uygulamada görünmesini istemiyorsan m.emirofficial@gmail.com adresine yaz, kaldıralım — yorumu Google üzerinden de silebilirsin.

i) Şehir isteği. Bir şehri öne almak için “iste” dediğinde yalnızca hangi şehrin istendiği anonim olarak kaydedilir; e‑posta, cihaz kimliği veya başka kişisel veri tutulmaz.

j) Mekan önerisi. Uygulamadan mekan önerdiğinde yalnızca yazdığın alanlar (mekan adı, isteğe bağlı not ve bağlantı, bağlamdaki şehir) kaydedilir. Bu alanlara kişisel veri yazmamanı rica ederiz; yanlışlıkla yazdıysan e‑postayla bildir, silelim.

k) Geri bildirim ve bize gönderdiğin mesajlar. Uygulama içindeki geri bildirim ve “Bize ulaşın” akışlarında yazdığın serbest metin, mesajın olumlu/olumsuz olduğu bilgisi, uygulama sürümü, platform (iOS/Android), arayüz dili ve o sırada baktığın şehir sunucumuza (Supabase) kaydedilir. Mesajlar anonimdir: kim gönderdi bilgisini tutmayız, bu yüzden uygulama içinden gönderilen mesaja cevap yazamayız — cevap istiyorsan e‑posta yolunu kullan. Bu alana ad, telefon, adres gibi kişisel veri yazma. Yanlışlıkla yazdıysan e‑postayla bildir, silelim.

l) Paylaştığın rota. Bir rotayı “bağlantı olarak paylaş” dediğinde, o rotanın kamuya açık bir anlık görüntüsü sunucumuza kaydedilir ve herkesin bağlantıyla açabileceği bir web sayfasında yayımlanır. Yayımlanan içerik yalnızca şehir, durak satırları, tahmini yürüyüş/gün istatistikleri ve uygulama sürümüdür; adın, cihaz kimliğin ya da başka kişisel verin bu kayda girmez. Paylaşımı sen başlatırsın; bağlantıyı kimseye vermezsen sayfa pratikte erişilemez kalır ve arama motorlarına kapalıdır. Bir paylaşımın kaldırılmasını istersen bağlantıyla birlikte e‑posta at.

m) Görseller yapay zekâ ile üretilmiştir. Uygulamadaki ve sitedeki lezzet, şehir ve gezilecek yer görselleri yapay zekâ ile üretilmiş temsilî görsellerdir; belirli bir restoranın, tabağın ya da anın fotoğrafı değildir. Mekan kartlarında ayrıca Google Places kaynaklı gerçek mekan fotoğrafları gösterilebilir; bunlar kaynağına atıfla sunulur.

n) Uygulama güncellemeleri. Uygulama, hata düzeltmelerini uygulama içi güncelleme (Expo Application Services / EAS Update) ile alabilir; bu sırada sürüm ve temel cihaz bilgisi (platform, uygulama sürümü) EAS sunucularına iletilir.

o) Kamera ve menü taraması. “Tara” ekranını açtığında ve yalnız o ekranda kamera kullanılır; izin ilk kullanımda senden istenir ve vermezsen uygulamanın geri kalanı aynen çalışır. Kamera karesi cihazın kendi geçici deposuna yazılır, metin tanıma telefonun içinde yapılır (iOS’ta Apple Vision, Android’de Google ML Kit’in uygulamayla birlikte gelen modeli) ve kare işlendiği anda silinir. Görüntü hiçbir sunucuya yüklenmez, tarafımıza ya da üçüncü bir tarafa iletilmez, saklanmaz. Menüden okunan metin de gönderilmez. Tarama sonucunda yalnızca olayın gerçekleştiği bilgisi (kaç satır tanındı, kaç eşleşme bulundu gibi sayılar) (b) maddesindeki kullanım ölçümüne girer; menü metni ya da görüntüsü bu ölçüme girmez.

ö) Cihaz üstü çeviri modeli. Menüyü kendi dilinde okumak istersen, çeviri de telefonun içinde yapılır. Kullanılan çeviri motoru işletim sistemine göre değişir: iOS’ta Apple Translation (iOS 18 ve üzeri), Android’de Google ML Kit. Her iki durumda da dil paketi bir kez indirilir — iOS’ta Apple’dan, Android’de Google’dan; indirme yalnız sen onayladıktan sonra başlar ve bu sırada ilgili sağlayıcıya yapılan istek IP adresini içerir. Çevrilen metin sağlayıcıya gönderilmez; model indikten sonra çeviri internetsiz çalışır.

p) Çevrimdışı paket. Bir şehrin paketini indirmeyi seçersen lezzet, şehir ve gezilecek yer görselleri ile okunuş ses dosyaları içerik sunucumuzdan (Supabase) indirilip cihazının uygulama klasörüne yazılır; böylece yurt dışında internetsiz çalışır. Bu dosyalar cihazından çıkmaz; uygulamayı silersen onlar da silinir.

2. İşlemenin hukuki sebepleri (KVKK m.5)

• İçeriğin sunulması, abonelik ve satın almaların yürütülmesi, paylaştığın rotanın yayımlanması — sözleşmenin kurulması ve ifası (m.5/2‑c)
• Kullanım ölçümü, hata ayıklama, şehir istek sayımı, mekan önerisi ve geri bildirimlerin değerlendirilmesi — meşru menfaat (m.5/2‑f), temel hak ve özgürlüklere zarar vermemek kaydıyla
• Kişiselleştirilmiş reklam ve reklam tanımlayıcısıyla ilişkilendirilen tanıtım ölçümü — açık rıza (m.5/1); ATT ve UMP istemlerinde ayrıca alınır
• Konum kullanımı — açık rıza (m.5/1); işletim sisteminin izin diyaloğunda alınır
• Bildirim gönderimi — açık rıza (m.5/1); bildirim izni isteminde alınır
• Yasal yükümlülüklerin yerine getirilmesi — m.5/2‑a ve m.5/2‑ç

3. Aktarım ve yurt dışına aktarım (KVKK m.9)

Yukarıda sayılan işlemeler için veriler, ilgili hizmet sağlayıcılarına aktarılır. Bu sağlayıcıların sunucuları yurt dışında bulunabilir:

• Google (ABD/AB) — Analytics ve Firebase (kullanım ölçümü), AdMob (reklam), Places (mekan verisi), Play (Android satın almaları), Android’de ML Kit çeviri dil paketinin indirilmesi (bkz. 1‑ö; çevrilen metin gönderilmez)
• Apple (ABD/AB) — App Store ödemeleri, uygulama dağıtımı, iOS’ta Apple Translation dil paketinin indirilmesi (bkz. 1‑ö; çevrilen metin gönderilmez)
• Meta Platforms (ABD/AB) — uygulama tanıtımı ölçümü
• RevenueCat (ABD) — abonelik yönetimi
• Supabase (AB) — içerik barındırma, şehir istekleri, mekan önerileri, geri bildirimler, paylaşılan rotalar
• Expo / EAS (ABD) — uygulama içi güncellemeler
• Vercel (ABD/AB) — web sitesinin barındırılması

Açık rızaya dayanan işlemelerdeki (kişiselleştirilmiş reklam, tanıtım ölçümü, konum, bildirim) yurt dışı aktarımlar aynı rıza kapsamında gerçekleşir. Diğer aktarımlar, KVKK m.9 uyarınca hizmetin ifası için zorunlu olan asgari veriyle sınırlı tutulur ve ilgili sağlayıcıların standart sözleşme/taahhüt metinleri ile yürütülür. Her sağlayıcı kendi gizlilik politikasına tabidir.

4. Saklama süreleri

• Uygulama içi veriler: uygulamayı silene (ya da Profil → Sıfırla’ya basana) kadar, cihazında.
• Google Analytics / Firebase olay verileri: Google’ın saklama ayarlarına tabidir (kullanıcı düzeyi veriler en fazla 14 ay).
• Google Places kaynaklı mekan verisi ve yorumlar: en fazla 30 gün (tazelenmezse gösterim durur).
• Şehir istekleri ve mekan önerileri: istatistik ve içerik planlaması amacıyla süresiz.
• Geri bildirim ve iletişim mesajları: ürün geliştirme amacıyla süresiz; talep üzerine silinir.
• Paylaşılan rotalar: paylaşan silinmesini isteyene kadar.
• Sunucularımızda seni tanımlayan bir hesap/profil kaydı tutulmaz.

5. Hakların (KVKK m.11 ve GDPR)

KVKK m.11 uyarınca; kişisel verinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya dışında aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhine çıkan sonuçlara itiraz etme ve zarara uğrarsan zararın giderilmesini talep etme haklarına sahipsin. AB’de bulunuyorsan GDPR kapsamındaki erişim, düzeltme, silme, kısıtlama, taşınabilirlik ve itiraz hakların saklıdır.

Başvuru: Taleplerini m.emirofficial@gmail.com adresine iletebilirsin (Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak). Başvurular en geç 30 gün içinde ücretsiz sonuçlandırılır. Başvurunun reddedilmesi hâlinde Kişisel Verileri Koruma Kurulu’na şikâyet hakkın vardır.

Pratik notlar: uygulama içi ölçüm seni tanımlayan bir hesaba bağlı olmadığı için, bir talebi karşılarken hangi kaydın sana ait olduğunu ancak senin vereceğin bilgiyle (ör. paylaşım bağlantısı, mesajın tarihi ve içeriği) eşleştirebiliriz. Ölçümü tamamen durdurmanın en kesin yolu uygulamayı silmektir. Reklam kişiselleştirmesini iOS’ta Ayarlar → Gizlilik ve Güvenlik → Takip, Android’de Ayarlar → Google → Reklamlar üzerinden kapatabilirsin.

6. Çocuklar

YeGez çocuklara yönelik değildir ve bilerek çocuklardan veri toplamaz. Reklam yapılandırmamız çocuklara yönelik işaretlenmemiştir.

7. Güvenlik

Veriler aktarım sırasında şifrelenir (HTTPS). Sunucumuzda kişisel hesap verisi tutulmadığı için sızıntı hâlinde kimliğini açığa çıkaracak bir veri kümesi bulunmaz; üçüncü taraf sağlayıcılar kendi güvenlik sertifikasyonlarına tabidir.

8. Web sitesi

Web sitemiz çerez kullanmaz ve analitik çalıştırmaz; ziyaretin ölçülmez. Yazı tipleri sitenin kendisinden yüklenir. Şehir ve lezzet görselleri içerik depomuzdan (Supabase Storage) yüklenir; bu istek sırasında tarayıcının IP adresi ve tarayıcı bilgisi ilgili barındırma sağlayıcısına ulaşır. Barındırma sağlayıcıları, hizmetin doğası gereği erişim günlüklerinde IP adresini kısa süreli işleyebilir.

9. Değişiklikler

Bu metni güncelleyebiliriz; önemli değişikliklerde uygulama içinde bilgilendiririz. Güncel sürüm her zaman uygulamadaki Profil → Gizlilik bağlantısının gösterdiği adreste yayındadır.

10. İletişim

Veri sorumlusu: Mustafa Emir · m.emirofficial@gmail.com