Gizlilik Politikası ve KVKK Aydınlatma Metni

PUNCH, AVM çalışanlarının molasını, vardiyasını ve vardiya takası ilanlarını birbirine duyurduğu bir uygulamadır. Çalışması için senden bazı bilgiler alıyoruz. Bu metin, hangi bilgileri aldığımızı, neden aldığımızı, nerede tuttuğumuzu ve bu konuda ne yapabileceğini anlatır.

• Aldığımız bilgiler: e-posta adresin, şifren, görünen adın, çalıştığın mağaza, istersen profil fotoğrafın ve uygulamada ürettiğin her şey — gönderiler, yorumlar, beğeniler, takip ilişkileri.
• Veriler Almanya’nın Frankfurt şehrindeki sunucularda tutulur. Yani yurt dışına aktarılır; 7. maddede açıkladık.
• Reklam çerezi kullanmıyoruz, davranışını izlemiyoruz, verilerini kimseye satmıyoruz.
• Anonim gönderi tamamen anonim değildir. Diğer kullanıcılar adını göremez ama yazar kimliği veritabanında durur. Bunu 5. maddede dürüstçe anlattık; okumadan anonim paylaşma.

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) anlamında veri sorumlusu:

• Unvan: [DOLDURULACAK: şirket / işletme tam unvanı]
• Adres: [DOLDURULACAK: açık adres]
• Vergi dairesi ve numarası: [DOLDURULACAK: vergi dairesi + vergi no]
• MERSİS numarası: [DOLDURULACAK: MERSİS no (şirketse)]
• KEP adresi: [DOLDURULACAK: KEP adresi (varsa)]
• VERBİS kaydı: [DOLDURULACAK: VERBİS kayıt numarası — kayıt yükümlülüğü varsa]
• E-posta: [DOLDURULACAK: iletişim ve başvuru e-posta adresi]
• Uygulama adresi: punchtr.com

Uygulamanın veritabanında tutulan veriler şunlardır:

Hesap

• E-posta adresi ve şifre. Kimlik doğrulama altyapımız Supabase Auth’tur. Şifren bize okunabilir biçimde ulaşmaz; geri döndürülemeyecek şekilde saklanır.
• Hesabın açılış tarihi ve hesap durumu (aktif / askıya alınmış).

Profil

• Görünen adın (2–40 karakter, kendi seçtiğin ad).
• Çalıştığın mağaza. Bu seçim üzerinden hangi AVM’de ve hangi katta olduğun da belli olur; gönderilerinin yanında bu bilgi görünür.
• Profil fotoğrafın. İsteğe bağlıdır, yüklemek zorunda değilsin.
• Hesap görünürlüğü tercihin (açık hesap / gizli hesap).

Paylaştıkların

• Gönderiler: metin (en fazla 1000 karakter), gönderi türü (yazı, mola, vardiya, vardiya takası), varsa yüklediğin görsel, gönderinin anonim olup olmadığı, oluşturulma ve yayına girme zamanı.
• Yorumlar (en fazla 500 karakter) ve yazılma zamanı.
• Beğeniler: hangi gönderiyi beğendiğin.
• Yüklediğin görseller (gönderi görselleri ve profil fotoğrafı).

Takip ve engelleme

• Kimi takip ettiğin, kimlerin seni takip ettiği, gönderdiğin ve aldığın takip istekleri, isteğin durumu ve yanıtlanma zamanı.
• Kimi engellediğin ve engelin ne zaman konduğu. Engel listeni yalnızca sen görürsün; karşı tarafa “seni şu kişi engelledi” bilgisi gösterilmez.

Şikâyet ve moderasyon

• Gönderdiğin şikâyetler: neyi şikâyet ettiğin (gönderi, yorum veya profil), gerekçen (Reklam, Taciz, Alakasız, Diğer) ve varsa notun.
• Hakkında gelen şikâyetler, gönderilerine verilen moderasyon kararları ve red gerekçeleri.

Bildirimler

• Uygulama içi bildirimlerin (gönderin onaylandı, gönderin reddedildi, yeni yorum, takip isteği, yeni takipçi, takip isteğin kabul edildi) ve bunları okuyup okumadığın.
• Bildirim aboneliğin: tarayıcıda web push adresi ve şifreleme anahtarları; mobil uygulamada cihazın bildirim belirteci ve platform bilgisi (web, iOS, Android). Bunları yalnızca bildirim izni verdiysen kaydederiz.

Teknik kayıtlar

• Oturumunu açık tutan oturum çerezi (9. madde).
• Altyapı kayıtları: IP adresi, tarayıcı veya cihaz bilgisi, istek zamanı. Bunlar uygulamayı barındıran ve veritabanını çalıştıran servislerde güvenlik ve hata takibi amacıyla tutulur.

Toplamadıklarımız

• Telefon numarası, T.C. kimlik numarası, ev adresi, konum bilgisi, maaş veya işveren belgesi istemiyoruz.
• Reklam ve davranış izleme çerezi kullanmıyoruz.
• Verilerini reklam ağlarına veya veri satan şirketlere aktarmıyoruz.

KVKK madde 5’e göre her veri işleme faaliyetinin bir hukuki sebebi olmak zorundadır. Bizimkiler şunlar:

• Hesabını açmak ve hizmeti sunmak — e-posta, şifre, görünen ad, mağaza bilgisi. Hukuki sebep: sözleşmenin kurulması ve ifası (m. 5/2-c). Bu veriler olmadan uygulama çalışmaz.
• Akışın, ilanların ve takip ilişkilerinin çalışması — gönderiler, yorumlar, beğeniler, takipler. Hukuki sebep: sözleşmenin ifası (m. 5/2-c).
• Moderasyon, şikâyet incelemesi, sahte hesap ve spam ile mücadele, uygulamanın güvenliği — şikâyet kayıtları, moderasyon kararları, teknik kayıtlar. Hukuki sebep: veri sorumlusunun meşru menfaati (m. 5/2-f) ve bir hakkın tesisi, kullanılması veya korunması (m. 5/2-e).
• Bildirim göndermek — web push adresi veya cihaz bildirim belirteci. Hukuki sebep: açık rızan (m. 5/1). Bildirim iznini tarayıcıdan veya telefonun ayarlarından istediğin an geri alabilirsin.
• Profil fotoğrafını göstermek — isteğe bağlıdır. Hukuki sebep: açık rızan (m. 5/1). Fotoğrafı silmen rızayı geri almak anlamına gelir.
• Yasal taleplere cevap vermek — mahkeme, savcılık veya yetkili kurum talebi. Hukuki sebep: hukuki yükümlülüğümüzü yerine getirmek (m. 5/2-ç).

Verilerini yukarıda saydığımız amaçların dışında kullanmayız; kullanmamız gerekirse önce seni bilgilendirir, gerekiyorsa rızanı isteriz.

Bir gönderiyi anonim paylaştığında, diğer kullanıcılar senin adını, mağazanı, AVM’ni, katını ve profil fotoğrafını göremez. Gönderi akışta “Anonim Kullanıcı” olarak görünür. Bu gizleme sadece arayüzde değil, veritabanının okuma katmanında yapılır: uygulamanın akış sorgusu anonim satırlarda yazar alanlarını boş döndürür ve doğrudan veritabanına sorgu atmayı deneyen bir kullanıcı da bu alanlara ulaşamaz.

Anonimlik engellemeden de güçlüdür: birini engellediğinde onun isimli paylaşımları sana kapanır ama anonim gönderileri akışında kalır. Bu bilinçli bir tercih — gönderinin engelden sonra kaybolması, yazarının kim olduğunu ele verirdi.

Ayrıca şunu da bil: anonim bir gönderiye gelen yorumun bildirimi yine sana gelir, çünkü anonimlik okuma katmanındadır. Bir de metnin kendisi seni ele verebilir — yalnızca birkaç kişinin bildiği bir olayı anlatırsan, kim olduğun tahmin edilebilir. Anonimlik senin ne yazdığını değil, adının görünmemesini sağlar.

Verilerini yalnızca hizmetin çalışması için gereken taraflarla paylaşırız:

• Diğer kullanıcılar. Görünen adın, mağazan, AVM’n, katın, profil fotoğrafın, gönderilerin, yorumların ve beğenilerin uygulamaya giriş yapmış diğer kullanıcılara görünür. Hesabını “gizli” yaparsan isimli sosyal paylaşımlarını yalnızca onayladığın takipçiler görür; mola, vardiya ve vardiya takası ilanların ise gizli hesapta da herkese açık kalır — ilanların amacı zaten duyurulmaktır.
• Supabase — veritabanı, kimlik doğrulama ve dosya depolama altyapımız.
• Vercel — uygulamayı barındıran altyapı.
• Bildirim kanalları. Tarayıcı bildirimi için tarayıcı üreticisinin push servisi (Google, Mozilla, Apple); mobil uygulama bildirimi için Expo ile Apple (APNs) ve Google (FCM). Bu kanallara giden şey bildirim metni ve cihaz belirtecidir.
• Moderatörler. Şikâyetleri ve onay bekleyen gönderileri inceleyen, PUNCH adına çalışan kişilerdir; gizlilik yükümlülüğü altındadırlar.
• Yetkili kamu kurum ve kuruluşları — yalnızca usulüne uygun, yazılı ve yasal dayanağı olan bir talep geldiğinde.

Bunların dışında hiçbir üçüncü tarafa veri aktarmıyoruz. Verilerini satmıyoruz, kiralamıyoruz, reklam amacıyla paylaşmıyoruz.

Bunu açıkça yazmamız gerekiyor: verilerin Türkiye’de değil, Almanya’nın Frankfurt şehrindeki sunucularda tutuluyor. Veritabanı, hesap bilgileri ve yüklediğin görseller Supabase üzerinden Amazon Web Services’in Frankfurt bölgesinde saklanır. Uygulamayı çalıştıran Vercel altyapısı da yurt dışındadır ve isteğin sana en yakın bölgeden yanıtlanabilir.

Bu, KVKK madde 9 anlamında yurt dışına veri aktarımıdır. Kişisel Verileri Koruma Kurulu’nun bu ülkeler için verilmiş bir yeterlilik kararı bulunmadığından aktarım, hesap oluştururken verdiğin açık rızaya ve mümkün olduğu ölçüde uygun güvencelere (standart sözleşme hükümleri gibi) dayanır.

Rızanı geri almak istersen hesabını kapatabilirsin. Hizmet tamamen bu altyapı üzerinde çalıştığı için, aktarım olmadan hesabını sürdürmemiz mümkün değil; bunu saklamak yerine açıkça söylüyoruz.

• Hesabın açık olduğu sürece profilin, gönderilerin ve paylaşımların saklanır.
• Gönderi, yorum ve beğenilerini istediğin an kendin silebilirsin. Silinen kayıt veritabanından kalkar.
• Hesabını uygulamanın içinden kendin silebilirsin: Profil → Profili düzenle → Hesabımı sil. Sildiğinde profilin, gönderilerin, yorumların, beğenilerin, takip ilişkilerin, engel listen, şikâyetlerin, bildirimlerin ve bildirim aboneliklerin birlikte silinir; yüklediğin görseller de depolamadan kaldırılır. İşlem geri alınamaz.
• Silinen veriler [DOLDURULACAK: yedek saklama süresi — Supabase planına göre, örn. 7 gün] süreyle yedeklerde kalabilir; bu süre sonunda yedekler de döner.
• Moderasyon ve şikâyet kayıtları, aynı ihlalin tekrarını önlemek ve olası bir uyuşmazlıkta savunma hakkını kullanabilmek için [DOLDURULACAK: moderasyon kaydı saklama süresi] süreyle saklanabilir.
• Kanunen belirli bir süre saklanması gereken kayıtlar, o sürenin sonuna kadar saklanır.

PUNCH’ta reklam veya izleme çerezi yoktur. Kullandıklarımız hizmetin çalışması için zorunlu olanlardır:

• Oturum çerezi (Supabase). Giriş yaptığında tarayıcına yazılır ve her sayfa isteğinde “bu kişi giriş yapmış” bilgisini taşır. Olmazsa her sayfada tekrar giriş yapman gerekirdi. Çerezi silersen oturumun kapanır.
• Service worker ve tarayıcı deposu. Uygulamanın telefona kurulabilmesi (ana ekrana ekleme) ve bildirimlerin çalışması için tarayıcıda küçük bir servis kaydı tutulur.

Bu kayıtları tarayıcının ayarlarından temizleyebilirsin; uygulamadan çıkış yapmakla aynı sonucu verir.

Aldığımız başlıca önlemler:

• Uygulamaya tüm bağlantılar şifrelidir (HTTPS).
• Şifreler geri döndürülemeyecek biçimde saklanır; kimse okuyamaz.
• Veritabanında satır düzeyi güvenlik açıktır: hangi kaydı kimin görebileceği arayüzde değil, veritabanının kendi katmanında zorunlu tutulur. Uygulamayı atlayıp doğrudan veritabanına sorgu atmak, sana görünmeyen kayıtları göstermez.
• Onay bekleyen ve reddedilen gönderilerin görselleri kapalı bir alanda tutulur; yalnızca kısa ömürlü, imzalı bir adresle açılabilir.
• Anonim gönderilerin görselleri, yazarın kimliğini taşımayan rastgele dosya adlarıyla saklanır.

Buna rağmen hiçbir sistem yüzde yüz güvenli değildir. Bir veri ihlali yaşanırsa KVKK madde 12 uyarınca durumu en kısa sürede Kişisel Verileri Koruma Kurulu’na ve etkilenen kullanıcılara bildiririz.

Kanun sana şu hakları veriyor. Bize başvurarak şunları isteyebilirsin:

• Kişisel verinin işlenip işlenmediğini öğrenmek.
• İşlenmişse buna ilişkin bilgi talep etmek.
• İşlenme amacını ve verilerin amacına uygun kullanılıp kullanılmadığını öğrenmek.
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilmek.
• Eksik veya yanlış işlenmişse düzeltilmesini istemek.
• Kanundaki şartlar çerçevesinde silinmesini veya yok edilmesini istemek.
• Düzeltme veya silme işleminin, verilerin aktarıldığı üçüncü kişilere bildirilmesini istemek.
• Verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etmek.
• Kanuna aykırı işleme nedeniyle zarara uğrarsan zararının giderilmesini talep etmek.

Bunların bir kısmını başvuru beklemeden, uygulamanın içinden kendin yapabilirsin: profil bilgilerini düzenleyebilir, profil fotoğrafını değiştirebilir veya kaldırabilir, gönderi ve yorumlarını silebilir, beğenini geri alabilir, takipçini çıkarabilir, hesabını gizliye alabilir, seni rahatsız eden bir kullanıcıyı engelleyebilir, bildirimleri kapatabilir ve hesabını tamamen silebilirsin.

Başvurunu Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak şu yollardan biriyle iletebilirsin:

• Sistemimizde kayıtlı e-posta adresinden [DOLDURULACAK: iletişim ve başvuru e-posta adresi] adresine yazarak.
• Islak imzalı dilekçeyle, şahsen veya noter aracılığıyla [DOLDURULACAK: açık adres] adresine.
• Kayıtlı elektronik posta (KEP) adresinden [DOLDURULACAK: KEP adresi (varsa)] adresine.

Başvurunda adını, soyadını, iletişim bilgini ve talebini açıkça belirtmen gerekiyor. Talebini en geç 30 gün içinde sonuçlandırırız. Başvuru kural olarak ücretsizdir; işlemin ayrıca bir maliyeti olursa Kurul’un belirlediği tarifedeki ücreti isteyebiliriz.

Cevabımızı yetersiz bulursan ya da 30 gün içinde cevap alamazsan, cevabı öğrendiğin tarihten itibaren 30 ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsin.

Hesabını silmek için başvurmana gerek yok: Profil → Profili düzenle ekranındaki “Hesabımı sil” bölümünden kendin silebilirsin. Hesabınla birlikte paylaşımların ve görsellerin de silinir; bu geri alınamaz.

PUNCH 18 yaşını doldurmuş kişiler içindir. Bilerek 18 yaşından küçüklerin verisini işlemeyiz. Böyle bir hesabın varlığını öğrenirsek hesabı kapatır ve verileri sileriz. Çocuğunun izinsiz hesap açtığını düşünüyorsan [DOLDURULACAK: iletişim ve başvuru e-posta adresi] adresine yaz.

Uygulamaya yeni bir özellik eklendiğinde ya da altyapı değiştiğinde bu metni güncelleriz. Güncel sürüm her zaman bu sayfada yayımlanır ve en üstteki “Son güncelleme” tarihi değişir. Önemli bir değişiklik olursa uygulama içinden ayrıca haber veririz.

Uygulamayı kullanmaya devam etmen, güncel metni kabul ettiğin anlamına gelir. Kullanım kurallarını Kullanım Koşulları sayfasında bulabilirsin.