KVKK Aydınlatma Metni

1. İşlediğimiz veriler, amaçları ve hukuki sebepleri

Kimlik ve profil: ad, soyad, kullanıcı adı, doğum tarihi, cinsiyet (isteğe bağlı), profil fotoğrafı, hakkında yazısı, ilgi alanları ve Instagram kullanıcı adı (isteğe bağlı). Amaç: hesabının açılması ve profilinin gösterilmesi; 18 yaş sınırının uygulanması (5651 sayılı Kanun ek 4. madde). Hukuki sebep: sözleşmenin kurulması ve ifası (m.5/2-c), hukuki yükümlülük (m.5/2-ç).

İletişim: telefon numarası ve e-posta adresi. Amaç: giriş ve doğrulama kodlarının gönderilmesi, hesabın ve işlemlerinle ilgili bildirimler, destek taleplerinin yanıtlanması. Hukuki sebep: m.5/2-c.

Konum: cihazının anlık konumu; yalnızca izin verdiğinde ve uygulamayı kullanırken, arka planda hiçbir zaman. Amaç: yakınındaki mekanları göstermek ve check-in’in mekanda yapıldığını doğrulamak. Konum koordinatların sunucularımızda saklanmaz; yalnızca check-in yaptığın mekan ve zamanı kaydedilir. Arkadaşlarının, gizlilik ayarlarına göre, yalnızca hangi mekanda olduğunu görmesi de bu kapsamdadır; hayalet mod ile bunu tamamen kapatabilirsin. Hukuki sebep: m.5/2-c.

Uygulama içi etkileşimler (müşteri işlem): check-in’ler, beğeniler, kaydettiğin mekanlar ve listeler, yorumlar ve puanlar, paylaştığın fotoğraflar, arkadaşlıklar, engellemeler, profil ziyaretleri ve bildirimler. Amaç: Zivvy’nin sosyal ve keşif özelliklerini sunmak. Hukuki sebep: m.5/2-c.

Mesajlar: yazıştığın mesajların içeriği, gönderen, alıcı ve zaman bilgisi, mesaj istekleri, mesaj ve mekanda sohbet ayarların, kısıtladığın kişiler ve mekanda sohbetin başladığı mekan. Amaç: kullanıcılar arası mesajlaşmanın ve (açman hâlinde) mekanda sohbetin sunulması; tacizin, istenmeyen mesajların ve kötüye kullanımın önlenmesi; bildirilen mesajların incelenmesi; yetkili adli ve idari makamların kanuna uygun taleplerinin karşılanması. Hukuki sebep: sözleşmenin ifası (m.5/2-c), hukuki yükümlülük (m.5/2-ç), bir hakkın tesisi, kullanılması veya korunması (m.5/2-e) ve meşru menfaat (m.5/2-f).

İşlem güvenliği ve trafik bilgileri: oturum açma, yenileme ve kapanma zamanları, IP adresi, uygulama ve cihaz bilgisi (user agent), mesaj gönderme, check-in, yorum ve fotoğraf yükleme gibi işlemlerin türü ve zamanı (içerikleri değil), cihazının bildirim anahtarı (push token) ve hesap işlem kayıtları. Amaç: hesap güvenliği, kötüye kullanımın ve dolandırıcılığın önlenmesi, bildirimlerin cihazına iletilmesi ve 5651 sayılı Kanun m.5/3 uyarınca yer sağlayıcı olarak trafik bilgisinin saklanması. Hukuki sebep: hukuki yükümlülük (m.5/2-ç), meşru menfaat (m.5/2-f).

Şikayet ve moderasyon kayıtları: yaptığın veya hakkında yapılan bildirimler, şikayet konusu içerik ve alınan önlemler. Amaç: topluluk kurallarının uygulanması, hukuka aykırı içeriğin kaldırılması ve yetkili mercilerin taleplerinin karşılanması. Hukuki sebep: m.5/2-ç, bir hakkın tesisi, kullanılması veya korunması (m.5/2-e), m.5/2-f.

Hediye işlemleri: ısmarladığın ürün, mekan, hediyeyi alan kişi, notun, tutar, tarih, ödemenin sonucu, kartının türü ve son dört hanesi (kart numaran Zivvy’ye ve mekana gelmez) ile ödeme kuruluşuna iletilen ad, soyad, e-posta, telefon ve IP adresi. Amaç: hediyenin satışı, teslimi ve iadesi, muhasebe ve vergi yükümlülükleri. Hukuki sebep: m.5/2-c, m.5/2-ç.

İkram işlemleri: gönderdiğin ya da aldığın ikramın ürünü, mekanı, göndereni ve alanı, notun, gönderim, son kullanım ve kullanım tarihleri ile bir günde reddedilen gönderim denemelerinin sayısı. Bir mekanın ikramını gönderip gönderemeyeceğini ya da alıp alamayacağını belirlemek için o mekandaki check-in kayıtların kullanılır (gönderen için farklı günlerde en az üç check-in, alan için daha önce check-in yapmamış olmak); check-in’lerini arkadaşlarından gizliyorsan sana ikram gönderilemez ve bir ikram gönderilemediğinde gönderene nedeni bildirilmez. Amaç: ikramın gönderilmesi, mekanda kullanılması ve kötüye kullanımın önlenmesi. Hukuki sebep: m.5/2-c, m.5/2-f.

İşletme hesapları: yetkili kişinin adı, soyadı ve iletişim bilgileri; ticari unvan, adres, vergi levhası, VKN veya TCKN, IBAN; abonelik ve ödeme kayıtları. Amaç: işletmenin doğrulanması, işletme panelinin sunulması, hediye bedellerinin mekana aktarılması, abonelik ve fatura işlemleri. Hukuki sebep: m.5/2-c, m.5/2-ç.

Web sitesi ziyaretçileri: IP adresinden barındırma sağlayıcımızca türetilen yaklaşık şehir bilgisi (ana sayfada şehrine uygun mekanları göstermek için kullanılır, saklanmaz), çalışması için zorunlu çerezler ve çerez kullanmayan ziyaret sayımı (sayfanın adresi, gelinen sayfa, yaklaşık konum, cihaz ve tarayıcı bilgisi; ziyaretçiyi tanımlamayan toplu istatistik olarak tutulur). Ayrıntılar Çerez Politikası’nda. Hukuki sebep: m.5/2-f.

Web sitesi ziyaret ölçümü (yalnızca sitedeki çerez penceresinde kabul edersen): tarayıcına verilen rastgele bir kimlik, baktığın sayfalar, siteye geldiğin sayfa, cihaz ve tarayıcı bilgin ile IP adresin ve bundan çıkarılan yaklaşık konumun. Amaç: sitenin nasıl kullanıldığını ölçmek ve siteyi geliştirmek. Hukuki sebep: açık rıza (m.5/1); rızanı Çerez Politikası’nda anlatıldığı gibi dilediğin an geri alabilirsin.

Hata kayıtları (web sitesi, İşletme Paneli ve uygulama): bir yazılım hatası oluştuğunda hatanın metni ve oluştuğu yer kaydedilir. Sitede buna sayfanın adresi (soru işaretinden sonraki kısmı olmadan) ve sitenin sürümü; uygulamada uygulamanın sürümü ve cihazının teknik bilgileri (modeli, işletim sistemi sürümü, ekran boyutu, bellek durumu, dil ayarı) eklenir. Bu kayda adın, hesabın, IP adresin, çerezlerin ve yaptıklarının izi eklenmez. Uygulamadaki hata raporu cihazından doğrudan sağlayıcıya gönderilir; bu sırada IP adresin iletilir ama kaydedilmez. Amaç: hataların bulunup giderilmesi, hizmetin güvenli ve kesintisiz çalışması. Hukuki sebep: m.5/2-f.

2. Verileri nasıl topluyoruz?

Kişisel verilerini; uygulama ve web sitesindeki formlardan, web sitesini ziyaret ettiğinde tarayıcından (kabul edersen analiz çerezleri aracılığıyla), bir yazılım hatası oluştuğunda uygulamadan ya da siteden, Google veya Apple ile giriş yaptığında bu hizmetlerden, izin verdiğinde cihazının konum servisinden, telefon doğrulaması sırasında, ödeme kuruluşundan dönen işlem sonuçlarından ve Zivvy+ aboneliğini uygulama içinden aldıysan Apple’dan (App Store) veya Google’dan (Google Play) aldığımız abonelik durumundan; otomatik ve kısmen otomatik yollarla, elektronik ortamda topluyoruz.

3. Kimlere aktarıyoruz?

Diğer kullanıcılar: profilin, yorumların ve fotoğrafların; konumun ise yalnızca gizlilik ayarlarında seçtiğin kişilere ve yalnızca mekan düzeyinde gösterilir.

İşletmeler: yalnızca toplulaştırılmış ve anonim istatistikler (en az 5 kişilik gruplar halinde). Sana bir ikram ya da hediye gönderildiğinde veya sen gönderdiğinde, bunun bilgisi (ürün, gönderenin kullanıcı adı ve notu) kasada kullanılırken mekanla paylaşılır.

Hizmet sağlayıcılarımız (veri işleyenler): Supabase (veritabanı, giriş ve dosya depolama; sunucuları İrlanda’da), Vercel (web sitesi barındırma ve çerez kullanmayan ziyaret sayımı; ABD), Expo (uygulama bildirimleri ve uygulama güncellemelerinin kontrolü, bu sırada cihazının IP adresi iletilir; ABD), Google Firebase Cloud Messaging (Android bildirimlerinin iletilmesi; bu sırada bildirim anahtarı ve bildirim içeriği iletilir; ABD), Mapbox (haritalar; ABD), Resend (e-posta gönderimi; ABD), Sentry (Functional Software, Inc.; web sitesindeki ve uygulamadaki yazılım hatalarının kaydı; sunucuları Almanya’da), Meta Platforms Ireland Limited (WhatsApp ile doğrulama kodu gönderimi; İrlanda) ve, yalnızca sitede analiz çerezlerini kabul edersen, Google LLC (Google Analytics ile web sitesi ziyaret ölçümü; ABD); yalnızca hizmetin gerektirdiği ölçüde.

Ödeme kuruluşları: hediye ve işletme planı ödemeleri için Türkiye’de kurulu, lisanslı ödeme kuruluşu. Zivvy+ aboneliğini uygulama içinden alırsan ödeme iPhone’da Apple (App Store), Android’de Google (Google Play) üzerinden yapılır. Satın almayı hesabınla eşleştirmek için ilgili şirkete yalnızca Zivvy hesabının kimlik kodunu (rastgele üretilmiş bir kod) iletiriz; o şirketten de yalnızca aboneliğinin durumunu alırız.

Yetkili kamu kurum ve kuruluşları ile yargı mercileri: kanunen talep edilmesi hâlinde. Trafik bilgileri ve mevcut mesaj kayıtları yalnızca yetkili adli veya idari makamın kanuna uygun talebi üzerine, talep edilen kişi ve dönemle sınırlı olarak aktarılır; her aktarım kayıt altına alınır.

Bu aktarımlar m.5/2-c, ç, e ve f’deki hukuki sebeplere dayanır; Google Analytics için aktarım açık rızana (m.5/1) dayanır.

4. Sağlayıcılarımız ve verilerin işlendiği ülkeler

Hizmeti sunabilmek için yukarıda sayılan sağlayıcılardan hizmet alıyoruz; verilerin bu şirketlere iletilir ve belirtilen ülkelerde işlenir: Supabase (sunucuları İrlanda’da), Sentry (sunucuları Almanya’da), Vercel, Expo, Mapbox ve Resend (ABD).

Telefonunu doğrularken kod WhatsApp ile gönderilir: telefon numaran ve doğrulama kodun Meta Platforms Ireland Limited’a iletilir. Meta bu verileri İrlanda, ABD, Danimarka ve İsveç’teki veri merkezlerinde işleyebilir; mesajları en fazla 30 gün saklar. WhatsApp kullanmıyorsan e-postayla giriş yapabilirsin.

Sitede analiz çerezlerini kabul edersen ziyaret bilgilerin Google Analytics hizmeti için Google LLC’ye (ABD) iletilir; kabul etmezsen bu aktarım yapılmaz.

Bu aktarımlar yalnızca hizmetin gerektirdiği ölçüde yapılır.

Google veya Apple ile giriş yapmayı seçersen, giriş bu şirketlerin (ABD) hesabın üzerinden gerçekleşir.

Zivvy+ aboneliğini uygulama içinden alırsan satın alma, Apple’daki veya Google’daki (ABD) hesabın üzerinden bu şirketlerin kendi sistemlerinde gerçekleşir; Zivvy hesabının kimlik kodu da bu sistemlere iletilir.

Uygulama bildirimleri mesajlarının içeriğini taşımaz; yalnızca kimden geldiğini gösterir.

5. Saklama süreleri

Hesap ve profil verileri, check-in geçmişin, yorumların ve listelerin: hesabın açık olduğu sürece. Mesajlar: hesabın açık olduğu sürece ve gönderildikleri tarihten itibaren en fazla 1 yıl. Hesabını silmeyi istediğinde hepsi 30 gün içinde kalıcı olarak silinir.

Bildirimler: 180 gün (okunanlar 60 gün). Profil ziyaretleri: 60 gün. Kullanılmayan bildirim anahtarları: 120 gün. Yanıtlanmayan davetler: 30 gün.

E-posta gönderim kayıtları, uygulama içi işlem kayıtları ve şikâyet kayıtları: en fazla 2 yıl. Yönetici işlem kayıtları ve silme işlemlerine ait kayıtlar: 3 yıl. Hata kayıtları: en fazla 90 gün.

Trafik bilgileri (oturum ve işlem kayıtları, IP adresi ve zaman; içerik değil): 5651 sayılı Kanun m.5/3 uyarınca 1 yıl. Hesabını silersen bu kayıtlar ve hesabını tanımlayan bilgiler (kullanıcı adı, üye numarası, ad, soyad, telefon, e-posta) yalnızca bu süre dolana kadar erişimi kısıtlı olarak saklanır, sonra silinir.

Ödeme, hediye ve fatura kayıtları: ilgili mevzuatta öngörülen süre boyunca (Türk Ticaret Kanunu uyarınca 10 yıl); hesabın silinirse kimliğinle bağlantısı kesilerek. İkram kayıtları: hesabın açık olduğu sürece (aynı mekandan yalnızca bir kez ikram alınması kuralının uygulanabilmesi için); hesabını silersen kimliğinle bağlantısı kesilerek. Reddedilen gönderim denemelerinin günlük sayısı: 30 gün.

Süre dolduğunda veya işleme sebebi ortadan kalktığında verilerin silinir, yok edilir veya anonim hâle getirilir.

6. Hakların (KVKK m.11)

Kişisel verilerinin; a) işlenip işlenmediğini öğrenme, b) işlenmişse buna ilişkin bilgi talep etme, c) işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, ç) yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, d) eksik veya yanlış işlenmişse düzeltilmesini isteme, e) KVKK m.7’deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme, f) (d) ve (e) bentleri uyarınca yapılan işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme, ğ) kanuna aykırı olarak işlenmesi sebebiyle zarara uğraman hâlinde zararın giderilmesini talep etme haklarına sahipsin.

7. Başvuru

Başvurunu, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak; yazılı ve ıslak imzalı olarak Umurbey Mah. Tariş Cad. No: 5 C Konak / İzmir adresine posta veya elden teslimle, güvenli elektronik imza ya da mobil imza ile imzalayarak veya Zivvy hesabında kayıtlı e-posta adresinden kvkk@zivvy.live adresine ya da kendi KEP adresinden kontratakteknoloji@hs01.kep.tr adresine iletebilirsin. Başvurunda adın, soyadın, T.C. kimlik numaran (yabancıysan uyruğun ve pasaport numaran), adresin, iletişim bilgilerin ve talebin açıkça yer almalı.

Başvurunu en geç 30 gün içinde ücretsiz olarak sonuçlandırırız; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu’nca belirlenen tarifedeki ücret alınabilir. Başvurunun reddedilmesi, cevabı yetersiz bulman veya süresinde cevap verilmemesi hâlinde KVKK m.14 uyarınca Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsin.