Gizlilik Politikası ve KVKK Aydınlatma Metni

Son güncelleme: 4 Ekim 2026

0. Veri Sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında, kişisel verileriniz aşağıda bilgileri yer alan veri sorumlusu tarafından işlenmektedir:

• Ad / Unvan: bitimsiz
• E-posta: [email protected]
• Gizlilik İletişim Noktası: [email protected]

1. Giriş

bitimsiz, kullanıcılarının gizliliğini korumaya kararlı bir platformdur. Bu Gizlilik Politikası ve Aydınlatma Metni, kişisel verilerinizin hangi amaçlarla, hangi hukuki sebeplere dayalı olarak işlendiğini, kimlerle paylaşıldığını, nasıl saklandığını ve korunduğunu; ayrıca KVKK Madde 11 kapsamında sahip olduğunuz hakları açıklamaktadır.

Uygulamamızı kullanarak bu politikayı kabul etmiş sayılırsınız. Hizmetlerimiz, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 2016/679 sayılı AB Genel Veri Koruma Tüzüğü (GDPR) ve ilgili mevzuata uygun olarak sunulmaktadır.

2. Toplanan Veriler

Cihaz izinlerinin (kamera, konum, rehber, bildirim …) tek tek neden alındığını, ne zaman sorulduğunu ve reddedilirse ne olacağını Uygulama İzinleri sayfasında bulabilirsiniz.

Hesap Bilgileri

• Telefon numarası (zorunlu — birincil kimlik ve giriş yöntemi; SMS tek kullanımlık kod (OTP) ile doğrulanır)
• Kullanıcı adı (bir kez belirlenir, kalıcıdır) ve görüntü adı
• Profil fotoğrafı ve biyografi
• Doğum tarihi (yaş doğrulama için)

Kullanım Verileri

• Uygulama içi etkileşimler (beğeniler, yorumlar, paylaşımlar)
• Oturum süreleri ve kullanım sıklığı
• Tercih edilen dil ve bildirim ayarları

Cihaz Bilgileri

• Cihaz modeli ve işletim sistemi versiyonu
• Uygulama versiyonu
• Benzersiz cihaz tanımlayıcısı (push bildirimler için)

2.1 Modül Bazında Toplanan Veri Kategorileri

bitimsiz birden fazla modülden oluşur. Her modülün topladığı veri kategorileri:

• Sosyal (feed, yorumlar, hashtag): Paylaşımlarınız, yorumlar, beğeniler, hashtag'ler, story'ler
• Mesajlaşma (E2EE): Şifrelenmiş mesaj blob'ları, metadata (gönderim zamanı, alıcı sayısı), anahtar değişim metadata'sı. Mesaj içeriği sunucuda PLAINTEXT OLARAK SAKLANMAZ.
• E-posta (@bitimsiz.com): Kullanıcı adına bağlı e-posta adresi, gönderilen ve alınan e-posta içerikleri, başlıklar ve ek dosyalar. İçerikler sunucuda AES-256-GCM ile şifreli (at-rest) saklanır. E-posta açık bir standart olduğu için mesajlaşmadan farklı olarak uçtan uca şifreli DEĞİLDİR. Gelen kutusu 100 MB, ek dosya başına 10 MB ile sınırlıdır.
• Tanışma (Dating): Cinsiyet tercihi, yaş aralığı, konum (yaklaşık), fotoğraf, bio, yaşam tarzı seçenekleri. Özel nitelikli kişisel veri: Cinsiyet tercihi açık rıza ile işlenir (KVKK Madde 6).
• Yatırım (Portföy): Portföy varlık listesi (tip, miktar), alım tarihi, işlem notları. Finansal hesap bilgisi veya kart bilgisi ASLA toplanmaz. Sunucu sadece agregasyon için anonim fiyat verisi çağırır.
• Araç (Vehicle): Garaj bilgisi (marka, model, yıl, plaka), bakım kayıtları, yakıt tüketimi, masraflar, fotoğraf. Pazar Yeri: İlan fotoğrafları, fiyat bilgisi, araç teknik özellikleri, konum (il bazlı arama için), görüntülenme sayacı, alıcı/satıcı iletişim (sorgulama sistemi).
• Video: Yüklenen videolar, küçük resimler, açıklamalar, izlenme metrikleri.
• Rehber Eşlemesi (Contacts): Telefon numarası hash'leri (orijinal numara sunucuya gönderilmez, yalnızca SHA-256 hash üzerinden eşleşme yapılır).
• Abonelik (Subscription): Abonelik durumu, Apple/Google IAP transaction tanımlayıcıları (anonim — kart bilgisi DEĞİL). Ödeme işlemleri Apple App Store / Google Play üzerinden yürütülür; bitimsiz kart bilgisine erişemez.

3. Verilerin Kullanımı

Toplanan veriler aşağıdaki amaçlarla ve hukuki sebeplere dayalı olarak işlenir:

• Hizmet sunumu: Hesap oluşturma, profil yönetimi ve temel uygulama özelliklerinin sağlanması. (Hukuki sebep: KVKK Madde 5/2-c — sözleşmenin kurulması ve ifası.)
• İyileştirme: Uygulama performansının ve kullanıcı deneyiminin geliştirilmesi. (Hukuki sebep: KVKK Madde 5/2-f — meşru menfaat.)
• Güvenlik: Hesap güvenliği, dolandırıcılık önleme ve içerik denetimi. (Hukuki sebep: KVKK Madde 5/2-f — meşru menfaat; Madde 5/2-c — sözleşmenin ifası.)
• Bildirimler: Push bildirimler, uygulama içi uyarılar ve hizmet güncellemeleri. (Hukuki sebep: KVKK Madde 5/2-c — sözleşmenin ifası.)
• Özel nitelikli veri işlemesi (Dating modülü): Cinsiyet tercihi gibi özel nitelikli veriler sadece açık rızanız ile ve yalnızca eşleştirme amacı ile işlenir. (Hukuki sebep: KVKK Madde 6/3-a — açık rıza.)
• Yasal yükümlülükler: Yasal süreçlere uyum ve düzenleyici gereksinimlerin karşılanması. (Hukuki sebep: KVKK Madde 5/2-ç — yasal yükümlülük.)

4. Veri Paylaşımı ve Yurt Dışı Aktarım

Kişisel verileriniz aşağıdaki durumlar dışında üçüncü taraflarla paylaşılmaz:

• Hizmet sağlayıcılar (yurt dışı aktarım dahil):
  • Google Cloud (Firebase, GCS) — ABD/AB sunucular; push bildirim, bulut depolama, authentication
  • Cloudflare — Global ağ; CDN, DNS, DDoS koruma, tunnel ingress
  • Apple App Store / Google Play Store — ABD/global; uygulama dağıtımı, IAP abonelik işlemleri (ödeme bilgileri Apple/Google üzerinden yürütülür, bitimsiz'e kart bilgisi AKTARILMAZ), analitik (opsiyonel ATT ile kısıtlanır)
  Yurt dışı aktarımlar için KVKK Madde 9 kapsamında alıcı bazında uygun hukuki mekanizma gereklidir. Standart bir hizmet sağlayıcı DPA'sı tek başına bu mekanizmanın yerine geçmez.
• Yasal zorunluluk: Mahkeme kararı veya yasal süreç gerektirdiği durumlarda yetkili makamlarla (KVKK Madde 8/2).
• Güvenlik: Dolandırıcılık, güvenlik ihlali veya hizmet şartlarının ihlali durumlarında (meşru menfaat).

Verilerinizi reklam amacıyla üçüncü taraflara satmıyoruz veya kiraya vermiyoruz. bitimsiz içinde reklam gösterilmez ve kullanım analitiği SDK'sı bulunmaz. Firebase Crashlytics hata raporlaması ayrı bir veri işleme faaliyetidir.

5. Uçtan Uca Şifreleme (E2EE)

bitimsiz mesajlaşma hizmeti, uçtan uca şifreleme ile korunmaktadır. Bu, mesajlarınızın yalnızca siz ve alıcılarınız tarafından okunabileceği anlamına gelir.

• Mesajlar cihazınızda şifrelenir ve yalnızca alıcının cihazında çözülür
• Sunucularımız yalnızca şifreli veriyi (ciphertext) taşır ve saklar; mesaj içeriğine erişim imkanımız yoktur
• Şifreleme anahtarları yalnızca cihazınızda saklanır
• Anahtar yedeklemesi, PIN ile şifrelenmiş olarak isteğinize bağlı olarak yapılabilir

6. Veri Saklama Süreleri

Verileriniz gerekli olduğu sürece ve yasal yükümlülüklerimizi yerine getirmek için saklanır:

• Hesap bilgileri: Hesap aktif olduğu sürece; hesap kapatma talebinden sonraki 30 günlük bekleme süresini izleyen temizlikte silinir; yasal olarak saklanması gereken kayıtlar ve yedek kopyalar ayrı değerlendirilir. Bu 30 günlük süre, Veri İhracatı (export) talebinizin tamamlanması için sağlanan hak penceresidir.
• Sosyal paylaşımlar (post, story, yorum): Siz silene veya hesap silinene kadar; sonrasında 30 günlük grace period, ardından hard delete.
• Mesajlar (şifreli queue): Teslim edildiğinde otomatik silinir. Teslim edilmemiş mesajlar 30 gün sonra MongoDB TTL index ile otomatik silinir.
• Tanışma eşleşmesi (matches): Unmatch durumunda veya hesap silindiğinde; hesap silme grace period'undan sonra hard delete.
• Yatırım portföy kayıtları: Hesap silindiğinde cascade delete.
• Sistem (operasyonel) log'ları: Merkezi operasyonel log deposunda saklama süresi 30 gün olarak yapılandırılmıştır. Yerel dosyaların dönüşümü boyuta bağlıdır; bu kopyalar için aynı süre garanti edilmez.
• Erişim/trafik kayıtları (5651): Seçilmiş güvenlik ve içerik olayları, IP dahil, ayrı ve erişimi kısıtlı bir depoda mevcut yapılandırmaya göre 365 gün tutulur. Bu süre, uygulanabilir yasal kapsam ve saklama değerlendirmesi tamamlanmadan kesin yasal süre olarak kabul edilmez.
• Yedekler: Yedekleme eşikleri günlük kopyalarda 30 gün, haftalık kopyalarda 12 hafta, aylık kopyalarda 360 gündür. Her türde en az 6 kopya korunduğundan, yedekleme durursa saklama daha uzun olabilir. Hesap silme işlemi yedekleri aynı anda kaldırmaz.
• Şifreli mesaj yedekleri: Hesap silindiğinde sunucularımızdan kaldırılır.
• Anonimleştirilmiş istatistiksel veriler: Hizmet iyileştirme amacıyla saklanabilir (sizinle ilişkilendirilemez).

Not: KVKK Madde 5/2-ç kapsamında bir yasal yükümlülük (vergi, ticari sicil, vb.) olduğu durumlarda belirli veriler daha uzun saklanabilir; bu durumlar aynı kategoride açıklanır.

7. Çerezler

bitimsiz web sitesinde yalnızca temel işlevsellik için gerekli çerezler kullanılır. Üçüncü taraf izleme çerezleri veya reklam çerezleri kullanılmamaktadır.

8. Veri Sahibi Hakları (KVKK Madde 11)

KVKK Madde 11 kapsamında, veri sahibi olarak aşağıdaki haklara sahipsiniz:

1. Kişisel verilerinin işlenip işlenmediğini öğrenme.
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme.
3. Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme.
4. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme.
5. Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme.
6. KVKK Madde 7'de öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme.
7. Düzeltme/silme işlemlerinin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme.
9. Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

Başvuru Kanalları

Haklarınıza ilişkin taleplerinizi aşağıdaki kanallar üzerinden iletebilirsiniz:

• Uygulama içi self-service:
  • Veri export (Madde 11/b — taşınabilirlik): Ayarlar → Hesap → Verilerimi İndir
  • Hesap silme (Madde 11/e — silme): Ayarlar → Hesap → Hesabı Sil
  • Profil güncelleme (Madde 11/d — düzeltme): Profil → Düzenle
• E-posta: [email protected] — Talebinizde ad-soyad, iletişim bilgileri, T.C. Kimlik No veya kullanıcı ID ve talep konusunu belirtmeniz, yanıtın azami 30 gün içinde verilmesini sağlar (KVKK Madde 13).
• Veri silme URL'si (Google Play Data Safety zorunluluğu): /hesap-silme

Talepler, veri sorumlusuna iletilmesinden itibaren en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde, KVK Kurulu'nca belirlenen tarifedeki ücret alınabilir.

9. Güvenlik

Verilerinizin güvenliğini sağlamak için aşağıdaki önlemleri uyguluyoruz:

• Tüm veri aktarımları SSL/TLS ile şifrelenir
• Hassas veriler sunucularda şifreli olarak saklanır
• İki faktörlü kimlik doğrulama (2FA) desteği
• Düzenli güvenlik denetimleri ve zafiyet taramaları
• Çalışanlara en düşük yetki ilkesiyle erişim kontrolü

10. İletişim

Gizlilik politikamız hakkında sorularınız veya talepleriniz için bizimle iletişime geçebilirsiniz:

• E-posta: [email protected]
• Uygulama içi: Ayarlar → Yardım & Destek