Gizlilik Politikası ve Aydınlatma Metni

1. Veri sorumlusu ve kapsam

Fındık: Para Yönetimi uygulamasının geliştiricisi, yayıncısı ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) anlamında veri sorumlusu Mulixo İnovasyon (Mustafa Özen)’dir. Mulixo İnovasyon (kısaca Mulixo), Mustafa Özen’in kullandığı marka adıdır. T.C. kimlik numarası veya vergi kimlik numarası bu metinde yayımlanmaz.

Adres: Devlet Mah. Şapka Devrimi Cad. No: 30/6 İç Kapı No: 10, Etimesgut/Ankara
KVKK başvuru e-postası: [email protected]

Bu metin, Fındık mobil uygulaması, destek hizmeti ve isteğe bağlı bağlantılarda kişisel verilerin hangi amaçlarla ve hangi hukuki dayanaklarla işlendiğini açıklar. Talepler için Fındık destek merkezi veya [email protected] kullanılabilir.

2. İşlenen veriler, amaçlar ve hukuki dayanak

Aşağıdaki tablo, v1.7’de açıklanan ve bu sürümde korunan işlemeleri KVKK md. 5 ve uygulanabildiği ölçüde GDPR md. 6 ile eşler. Finansal kayıtların doğruluğu kullanıcı tarafından belirlenir; içerikler kullanıcı hesabına göre izole edilir.

Bildirim istenirse Firebase Cloud Messaging için uygulama örneğine ait bildirim tokenı kullanılır. Token, bildirimi doğru cihaza ulaştırmak için tutulur; reklam profili oluşturmak amacıyla kullanılmaz.

Aboneliğinizi iptal ederseniz, uygulama içinde tek seferlik geri dönüş teklifi gösterebilmek için abonelik durumunuz mağaza sağlayıcımız RevenueCat üzerinden okunur; teklif tarihleri ve satın alımınızın tek yönlü özeti (hash) hesabınızla saklanır. İsteğe bağlı iptal anketi yanıtınız (neden, isteğe bağlı not, plan türü, mağaza ve gün) hesabınızla ilişkilendirilmeden anonim olarak saklanır. Bu amaçla e-posta veya bildirim gönderilmez.

Aboneliğiniz sona erdiğinde, hesabınızdaki e-posta adresine tanıtım veya teklif içermeyen, tek seferlik bir hizmet bilgilendirme e-postası gönderilir.

Yeni hesaplara ilk hafta içinde, uygulamayı en az 20 saattir kullanmadıysanız ve işlem bildirimleri açıksa en çok üç hizmet hatırlatması (kurulumu tamamlama ya da kayıt ekleme) bildirim olarak gönderilir; tanıtım veya teklif içermez. Hatırlatmaların işe yarayıp yaramadığını ölçebilmek için uygun hesapların bir bölümüne (kontrol grubu) hatırlatma gönderilmez. Bu hatırlatmaları uygulamadaki işlem bildirimleri ayarıyla kapatabilirsiniz.

3. İsteğe bağlı ürün analitiği

İlk kurulumda ayrı bir seçim sunulur ve izin verilmeden ürün analitiği açılmaz. İzin verilirse Firebase Analytics aracılığıyla sabit ekran/özellik kodları, öğenin görülmesi veya kullanılması, işlem akışının başlama-adım-tamamlama/iptal sonucu, uygulamanın ön planda kaldığı teknik süre ve uygulama/cihaz sürümü gibi ölçüm verileri işlenebilir. Firebase kurulum kimliği, cihaz türü ve yaklaşık ülke/bölge gibi sağlayıcı tarafından üretilen teknik bilgiler de oluşabilir.

Ürün analitiğine finansal tutar, bakiye, borç, banka veya kart ayrıntısı, işlem açıklaması, arama metni, OCR/belge içeriği, e-posta, ad-soyad, Directus kullanıcı kimliği ya da kesin konum eklemiyoruz. Reklam kimliği toplamayı, reklam kişiselleştirme sinyallerini, Google Ads/AdMob veri bağlantısını ve BigQuery dışa aktarımını bu amaçla açmıyoruz.

Ürün analitiğine izin verirseniz, uygulamayı hangi günlerde kullandığınız (gün ile o günün ilk ve son kullanım zamanı) sunucumuzda da kaydedilir. Bu kayıt yalnız toplu sayılarla raporlanır; uygulamayı daha kolay kullanılır hale getirmek ve kullanıcıların uygulamayı kullanmaya devam edip etmediğini anlamak için kullanılır. İzni geri çekerseniz bu kayıtlar en geç 10 dakika içinde silinir.

4. İsteğe bağlı tanılama ve performans

Tanılama izni ayrıca alınır. İzin verilirse Firebase Crashlytics sınırlı hata sınıfını, uygulamaya ait temizlenmiş çağrı yığınını, çökme ve cihaz/uygulama sürümü gibi teknik bilgileri; Firebase Performance Monitoring ise açılış/işlem sürelerini, kişisel veri içermeyen kapalı teknik kodlarla sınırlı manuel ölçümleri işleyebilir. Ham hata mesajı, finansal içerik, kullanıcı metni ve kimlik bilgisi bilinçli olarak rapora eklenmez.

Google’ın resmi açıklamasına göre Crashlytics raporları ve ilişkili tanımlayıcılar 90 gün; Performance Monitoring IP ile ilişkili olayları 30 gün, kurulumla ilişkili ve kimlikten arındırılmış performans verilerini 60 gün sakladıktan sonra silme sürecini başlatır.

5. Seçim, geri çekme ve hukuki dayanak

Analitik ve tanılama birbirinden bağımsız ve isteğe bağlıdır. Reddetmek temel uygulama işlevlerini, hesabı veya aboneliği etkilemez. Kullanıcı olumlu seçim yapana kadar toplama kapalı kalır. Tercihler Ayarlar → Analitik ve tanılama bölümünden her zaman değiştirilebilir. Tercihinizi Menü → Gizlilik ve güvenlik’ten de görebilir veya geri çekebilirsiniz. Şimdi değil toplama kapalı bırakır ve tekrar sorulmaz. Tercih Fındık hesabınıza yazılır ve tüm cihazlarda geçerlidir. Geri çekme yeni toplamayı durdurur; daha önce hukuka uygun işlenmiş ve sağlayıcı saklama döngüsüne girmiş verileri anında geriye dönük silmeyebilir.

İsteğe bağlı ölçümler için dayanak kullanıcının belirli, bilgilendirilmiş ve özgür iradeyle verdiği açık rızadır (KVKK md. 5/1, GDPR md. 6(1)(a)). Kullanıcının seçim yapması, veri sorumlusunun kanuni yükümlülüklerini ortadan kaldırmaz.

6. Sağlayıcılar, ülkeler ve aktarım

Yalnız gerçekten kullanılan sağlayıcılar listelenir.

Yalnız etkinleştirilen hizmet için gerekli veri aktarılır. Sağlayıcılar kendi hizmet koşulları, veri işleme şartları ve saklama düzenlerine tabidir.

7. KVKK md. 9 yurt dışı aktarım

KVKK’nın 9. maddesi kapsamında yurt dışına aktarılan veriler aşağıdadır. Aktarım, ilgili sağlayıcıların kendi veri işleme ve koruma şartları kapsamında yapılır.

8. Reklamlar ve Apple takip tercihi

Ücretsiz kullanımda Google AdMob ile reklam sunulabilir. Google Mobile Ads SDK; yaklaşık konum çıkarımı için IP adresi, cihaz ve reklam kimlikleri, görüntülenen reklamlar ve reklam etkileşimleri ile SDK tanılama ve performans verilerini işleyebilir. Finansal kayıtlarınız reklam sağlayıcısına gönderilmez.

iOS’ta reklam kimliğinin diğer şirketlerin uygulama ve sitelerindeki verilerle ilişkilendirilmesine izin, Apple’ın AppTrackingTransparency sistem ekranından ayrıca istenir. Bu karar Google UMP veri işleme tercihinden ve Fındık ürün analitiği/tanılama rızasından ayrıdır. Takip izni verilmez veya kısıtlıysa reklamlar kişiselleştirilmemiş olarak istenir. Takip tercihi iOS Ayarlar → Gizlilik ve Güvenlik → Takip bölümünden değiştirilebilir. İzin vermemek temel finans özelliklerini veya aboneliğinizi engellemez.

Google UMP, gerektiği bölgelerde reklam verisi işleme tercihlerini sunar. Formun gerekli olduğu durumlarda tercihler uygulamadaki reklam gizlilik seçeneklerinden tekrar yönetilebilir. Ürün analitiği ve tanılama rızası reklam takibi yetkisi vermez; Firebase reklam depolama, reklam kullanıcı verisi ve reklam kişiselleştirme izinleri kapalıdır.

Google gizlilik politikası · AdMob veri açıklaması · Apple takip izni

9. ChatGPT bağlantısı ve OpenAI’ye giden veri

Bağlantı isteğe bağlıdır. findik.read verileri görüntüleme ve hesaplama; findik.write oluşturma, güncelleme, silme ve durum değişiklikleri içindir. Yazma veya silme ayrıca açık kullanıcı onayı ister. Fındık parolası ChatGPT ile paylaşılmaz.

Fındık’ı ChatGPT uygulaması veya bağlayıcısı içinden kullandığınızda, ChatGPT’ye yazdığınız metin ve Fındık araçlarının döndürdüğü yanıtlar OpenAI’nin kendi gizlilik politikasına tabidir. OpenAI bu kullanımda ayrı bir veri sorumlusudur; saklama süresini OpenAI belirler. Ayrıntı: OpenAI gizlilik politikası.

Kart numarası, banka şifresi veya Fındık parolası bu kanaldan gönderilmez.

Fındık tarafındaki saklama (v1.7’den): ChatGPT ekstre/toplu aktarım önizlemeleri 15 dakika geçerlidir ve süresi dolanlar 24 saat içinde temizlenir. MCP güvenlik ve denetim kayıtları ile sonuçlanmış kullanım rezervasyonları 30 gün, aylık sayaçlar 18 ay tutulur. Süresi dolan OAuth işlemleri bir gün sonra; iptal edilmiş veya süresi dolmuş token ve bağlantılar ilgili 30 günlük koşullar sağlandığında temizlenir.

10. Saklama, silme ve talepler

Finansal kayıtlar hesap açık olduğu sürece uygulama işlevleri için tutulur. Kayıtlar uygulamadan yönetilebilir; erişim, düzeltme, silme, işlemeyi kısıtlama veya rızayı geri çekme talepleri destek merkezine veya [email protected] adresine iletilebilir. KVKK’nın 11. maddesi ve uygulanabildiği ölçüde diğer veri koruma mevzuatındaki haklar kullanılabilir. KVKK başvuruları kural olarak 30 gün içinde yanıtlanır.

Silinen üretim veritabanı verilerinin zamanlanmış yedek kopyaları mevcut döngüde en geç 12 gün içinde sona erer; üçüncü taraf sağlayıcı saklama süreleri yukarıdaki ayrı kurallara tabidir.

Anonim iptal anketi yanıtları 24 ay saklanır ve sonra otomatik olarak silinir. Hesabınızı silerseniz geri dönüş teklifi kaydının hesabınızla bağlantısı kaldırılır; aynı satın alıma ikinci kez teklif verilmemesi için yalnız satın alım özeti (hash) kalır.

Abonelik sona erdi bilgilendirmesinin gönderim kaydı (hesap kimliği, satın alımın tek yönlü özeti ve gönderim durumu; e-posta adresi ve içerik saklanmaz) gönderimden 30 gün sonra otomatik olarak silinir; hesabınızı silerseniz hemen silinir.

Kullanım günü kayıtları 180 gün; ilk hafta hatırlatmalarının gönderim kayıtları (hesap kimliği, adım ve sonuç; bildirim içeriği ve cihaz tokenı saklanmaz) 30 gün saklanır ve sonra otomatik olarak silinir. Hesabınızı silerseniz bu kayıtlar en geç 10 dakika içinde silinir.

11. Yaş sınırı

Fındık 18 yaşını doldurmamış kişilere yönelik değildir. 18 yaşından küçük olduğunu bildiğimiz bir hesaptan veri toplamayız; böyle bir hesap tespit edilirse kapatılır ve ilgili veriler silinir. Yasal temsilci, çocuğunun izinsiz kayıt olduğunu düşünüyorsa [email protected] adresine yazmalıdır.

12. Değişiklik bildirimi ve sürüm geçmişi

Önemli değişiklikler bu sayfada yeni sürüm numarası ve tarihiyle yayımlanır. Gerektiğinde uygulama içinde yeniden bilgilendirme veya rıza istenir. Yalnız biçim veya açıklık düzeltmeleri için ayrıca bildirim zorunlu değildir. Önceki sürümün özü, aşağıdaki geçmişte tutulur.

13. Resmî bilgi kaynakları

KVKK açık rıza rehberi · Firebase gizlilik ve güvenlik · Firebase Analytics veri toplama kontrolleri · Crashlytics isteğe bağlı raporlama