Gizlilik Politikası

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 10. maddesi ve Avrupa Birliği Genel Veri Koruma Tüzüğü'nün (GDPR) 13. maddesi uyarınca yapılan aydınlatmadır. Nora uygulamasının hangi kişisel verileri topladığını, bu verilerin bize hangi yöntemle ulaştığını, hangi amaçla ve hangi hukuki sebebe dayanılarak işlendiğini, kimlere aktarıldığını, ne kadar süreyle saklandığını ve haklarınızı açıklar.

Veri sorumlusunun kimliği: Nora, veri sorumlusu sıfatıyla Aydin Emre Iskender ("biz") tarafından işletilir. Politikayla ilgili her soru ve 8. bölümdeki hakların kullanımı için support@iskae.dev adresine yazabilirsiniz.

1. İşlenen veriler, amaçları ve hukuki sebepleri

Hesap bilgileri — e-posta adresiniz, parolanızın tuzlanmış karma (hash) değeri ve kullandığınız giriş yöntemi. Google ile giriş yaparsanız parola yerine Google'ın verdiği hesap kimliğini saklarız.

• Amaç — hesabınızı oluşturmak, e-posta adresinizi doğrulamak, girişinizi sağlamak ve hesabın güvenliğini korumak.
• Hukuki sebep — KVKK m.5/2(c): bir sözleşmenin kurulması ve ifasıyla doğrudan doğruya ilgili olması. GDPR m.6(1)(b): sözleşmenin ifası.

Görünen adınız — uygulamanın size seslenirken kullandığı ad. Kayıt formundaki bu alan boş bırakılabilir. Boş bırakırsanız uygulama, dilinize göre standart bir sözcüğü — Türkçede "Arkadaş", İngilizcede "Friend" — ad yerine gönderir; bu nedenle hesabınızda her hâlükârda bir görünen ad saklanır. Google ile giriş yeni bir hesap oluşturuyorsa Google hesabınızdaki adı, o hesapta ad yoksa e-posta adresinizi saklarız; aynı e-posta adresiyle zaten bir Nora hesabınız varsa o hesabın mevcut görünen adı korunur.

• Amaç — uygulama içinde size hitap etmek.
• Hukuki sebep — KVKK m.5/2(c); GDPR m.6(1)(b).

Sorularınız ve yorumlarınız — sorduğunuz soru, Nora'nın ürettiği yorum, aynı görüşmedeki devam soruları ve bir yoruma verdiğiniz puan ile varsa yazdığınız görüş.

• Amaç — yorumu üretmek, geçmişinizde size yeniden göstermek ve hangi yorumların işe yaradığını görmek.
• Hukuki sebep — yorumun üretilmesi ve saklanması için KVKK m.5/2(c) ve GDPR m.6(1)(b); puanlar için, Nora'yı geliştirmeye yönelik meşru menfaatimiz kapsamında KVKK m.5/2(f) ve GDPR m.6(1)(f).

Haritanın kurulduğu yer — bir horar haritası ancak bir yer ve bir an için kurulabilir; bu yüzden Nora, siz soru sormadan önce bir konum belirler. Bunu üç yoldan biriyle yapar ve siz değiştirmedikçe ilk yol geçerlidir:

• Cihazınızın saat dilimi ayarından; izin almadan ve size sormadan. Soru ekranını açtığınızda henüz bir konum belirlenmemişse Nora, cihazınızın ayarlı olduğu saat dilimi kimliğini (örneğin Europe/Istanbul) okur, içindeki şehir adını alır ve bu şehri kendi sunucumuzdaki çevrimdışı yer veri kümesinde arar. Sonuç, yaklaşık olarak işaretlenmiş şehir düzeyinde bir konumdur. Bu yol hiçbir konum izni gerektirmez, hiçbir izin penceresi göstermez ve sizden hiçbir işlem beklemez. Varsayılan yol budur.
• Yazdığınız bir yerden. Konum ekranında bir şehir ararsanız yazdığınız metin sunucumuza gönderilir ve aynı çevrimdışı yer veri kümesiyle eşleştirilir.
• Cihazınızın konum servisinden; yalnızca siz seçerseniz. Konum ekranını açıp yaklaşık konum (coarse location) iznini verirseniz Nora, Android'den yaklaşık konumunuzu ister. Bu koordinatlar daha sonra bir şehir adına çevrilmek üzere sunucumuza gönderilir. Bu yol, siz başlatmadıkça ve izni vermedikçe hiç çalışmaz.

Hangi yolla belirlenmiş olursa olsun, koordinatlar ve saat dilimi kimliği, harita hesaplanabilsin diye sorunuzla birlikte sunucumuza gönderilir ve okumayla birlikte saklanır: kaydedilen harita, kurulduğu enlem ve boylamı içerir. Bunlar, hesabınızı sildiğinizde okumayla birlikte silinir.

Yukarıdaki türetme kendiliğinden gerçekleşir; ancak bu yolla belirlenen konum yaklaşık olarak işaretlenir ve siz onaylayana veya değiştirene kadar uygulama ilk haritanızı kurmaz. Konumu onaylamak veya değiştirmek sizin işleminizdir; konumun türetilmesi ve sunucumuzda aranması değildir.

• Amaç — sorduğunuz soru için haritayı kurmak.
• Hukuki sebep — yer olmadan harita üretilemediği için sözleşmenin ifası: KVKK m.5/2(c); GDPR m.6(1)(b). Konum iznini verdiyseniz, cihazın konum servisinin okunması açık rızanıza dayanır: KVKK m.5/1; GDPR m.6(1)(a). Bu rızayı Android'in uygulama ayarlarından dilediğiniz an geri alabilirsiniz.

Doğum bilgileri — doğum haritası özelliğini kullanırsanız girdiğiniz ad, doğum tarihi, saati ve yeri. Bu bilgiler harita hesaplanmak üzere sunucumuza gönderilir ve size geri döner. Bunları saklamayız: veritabanımızda doğum verisi bulunmaz.

• Amaç — istediğiniz doğum haritasını hesaplamak.
• Hukuki sebep — KVKK m.5/2(c); GDPR m.6(1)(b).

Satın almalar — satın aldığınız her yorum paketi için Google Play satın alma belirteci, sipariş kimliği ve ürün kimliği ile kullandığınız yorumların kaydı.

• Amaç — bedelini ödediğiniz yorumları size sunmak, bakiyenizi tutmak ve aynı satın almanın iki kez talep edilmesini engellemek.
• Hukuki sebep — KVKK m.5/2(c) ve GDPR m.6(1)(b); ödeme dolandırıcılığını önlemeye yönelik meşru menfaatimiz kapsamında KVKK m.5/2(f) ve GDPR m.6(1)(f).

Cihaz ve kurulum kimlikleri — isteklerinizle birlikte sunucumuza iki kimlik ulaşır: Firebase'in uygulamanın bu kurulumu için ürettiği Firebase kurulum kimliği ve uygulamaya özgü Android cihaz kimliği (Settings.Secure.ANDROID_ID değeri). Ayrıca ücretsiz yorumu vermeden önce uygulamanın ve cihazın gerçek olup olmadığına dair Google Play Integrity servisinden bir değerlendirme isteriz.

• Amaç — hesap açmadan önce yaptığınız yorumları doğru kuruluma bağlamak, giriş yaptığınızda bunları hesabınıza aktarmak ve ücretsiz yorumun tekrar tekrar talep edilmesini engellemek.
• Hukuki sebep — ücretsiz yorumun kötüye kullanılmasını önlemeye ve hesap açmadan önce yaptığınız yorumları size geri vermeye yönelik meşru menfaatimiz: KVKK m.5/2(f); GDPR m.6(1)(f).

Çökme raporları ve uygulama kullanım olayları — uygulamadan gelen çökme raporları ile hangi ekranları açtığınızı ve uygulama içinde hangi işlemleri yaptığınızı (örneğin bir satın alma başlatmanız veya bir yorumu puanlamanız) kaydeden olaylar. Bu olaylardaki her değer sabit bir kod sözcüğü, bir enum adı veya bir sayıdır. Sorunuzun metni, yorumun metni, e-posta adresiniz ve hesap kimliğiniz bunlara hiçbir zaman dahil edilmez; analitik servisinde kullanıcı kimliği veya kullanıcı özelliği tanımlamayız. Sunucu tarafında beklenmeyen hatalar Sentry'ye, kişisel veri gönderimi kapalı ve istek gövdesi, başlıkları ile çerezleri temizlenmiş olarak bildirilir.

• Amaç — uygulamayı kararlı tutmak ve nasıl kullanıldığını anlamak.
• Hukuki sebep — çalışan ve gelişen bir ürüne ilişkin meşru menfaatimiz: KVKK m.5/2(f); GDPR m.6(1)(f).

Teknik istek verileri — IP adresiniz, barındırma katmanı tarafından sunucumuza iletilir ve istek hız sınırlarını uygulamak için bellekte kullanılır. İstekler ayrıca sunucumuzun işletim günlüklerine yazılır.

• Amaç — hizmetin erişilebilir kalmasını sağlamak ve kötüye kullanıma karşı korumak.
• Hukuki sebep — hizmetin güvenliğine ve erişilebilirliğine ilişkin meşru menfaatimiz: KVKK m.5/2(f); GDPR m.6(1)(f).

Reklam göstermiyoruz, reklam kimliği kullanmıyoruz ve sizi profilleyip hakkınızda hukuki sonuç doğuran veya benzer biçimde önemli etki yaratan otomatik kararlar almıyoruz. Sizden özel nitelikli kişisel veri istemeyiz; yalnızca şunu belirtelim: sorunuz serbest metindir, bu nedenle içine yazmayı seçtiğiniz her şey yazdığınız hâliyle saklanır.

2. Hesap açmadan önce Nora'yı kullanmak

Kayıt olmadan da soru sorabilirsiniz. Bunu yaptığınızda soru ve yorum, bir hesaba değil kurulum kimliğinize bağlı olarak sunucumuza hemen kaydedilir. Yani veri, ortada bir hesap olmadan önce toplanır ve saklanır. Daha sonra aynı kurulumda giriş yaparsanız bu yorumlar hesabınıza aktarılır ve geçmişinizde görünür. Aktarım, e-posta ile veya Google ile giriş yaptığınızda ve yalnızca uygulama o istekle birlikte kurulum kimliğini bize gönderirse gerçekleşir; yeni bir hesap açmak tek başına bu aktarımı yapmaz.

Hiç giriş yapmazsanız bu yorumlar sunucumuzda kurulum kimliğine bağlı olarak kalır. Bir hesaba hiç bağlanmadıkları için hesap silme işlemi bunları kaldırmaz; kurulum kimliğini bize vermediğiniz sürece bunları sizinle ilişkilendirip talebinizi yerine getirmemiz de mümkün olmaz.

3. Verilerin toplanma yöntemi

Kişisel verileri, Nora mobil uygulaması ve sunucumuz aracılığıyla otomatik yollarla şu şekillerde toplarız:

• Doğrudan sizden, siz yazdığınızda — e-posta adresiniz, parolanız, görünen adınız, sorunuz, puanınız, aradığınız yerin adı ve ilgili özelliği kullanıyorsanız doğum bilgileriniz.
• Cihazınızdan otomatik olarak — konumunuzun türetildiği saat dilimi ayarı, kurulum ve cihaz kimlikleri, çökme raporları ve kullanım olayları ile IP adresiniz. 1. bölümde anlatılan konum izni dışında bunların hiçbirinde size bir soru sorulmaz.
• Cihazınızın konum servisinden, siz talep eder ve yaklaşık konum iznini verirseniz.
• Google'dan — Google ile giriş yaparsanız Google hesap kimliğiniz, e-posta adresiniz ve adınız; yorum satın aldığınızda Google Play'den gelen satın alma doğrulamaları; ve Play Integrity'den gelen bütünlük değerlendirmesi.

4. Verilerin aktarıldığı alıcı grupları ve aktarım amacı

Nora'yı çalıştırmak için az sayıda hizmet sağlayıcı kullanırız. Kişisel verilerinizi satmayız ve reklam amacıyla paylaşmayız.

• OpenAI — yorumu üretmek için OpenAI'ye sorunuzun metnini ve hesaplanan haritayı, yani gezegen konumları, evler, açılar ve asaletlerden oluşan listeyi göndeririz. Devam sorusunda ayrıca o görüşmenin önceki mesajlarını da göndeririz. OpenAI'ye adınızı, e-posta adresinizi, hesap kimliğinizi, cihaz kimliklerinizi, satın alma verilerinizi, doğum bilgilerinizi veya haritanın kurulduğu koordinatları göndermeyiz. OpenAI sistemlerinde tutulan verilere erişemez ve bunları silemeyiz.
• Google Firebase — çökme raporları için Crashlytics, kullanım olayları için Google Analytics for Firebase, kurulum kimliği için Firebase Installations.
• Google Play Billing ve Play Integrity — satın almalarınızı doğrulamak ve uygulamanın ve cihazın gerçek olduğunu denetlemek için.
• Google ile Giriş — Google ile giriş yapmayı seçerseniz.
• Resend — e-posta doğrulama iletinizi ve hesap güvenliği bildirimlerinizi ulaştırmak için e-posta adresinizi alır.
• Sentry — sunucu hata raporlarını alır. Kişisel veri gönderimi kapalıdır ve istek gövdesi, başlıkları ile çerezleri çıkarılır; ancak rapor, hataya giden son sunucu günlük satırlarını da taşır ve bu satırlar hesap, görüşme ve kurulum kimliklerini içerebilir.
• Cloudflare — uygulamadan gelen her istek sunucumuza Cloudflare üzerinden ulaşır; Cloudflare şifreli bağlantıyı sonlandırır ve isteği iletir. Bu nedenle bize gönderdiğiniz her şeyi, sorunuz, e-posta adresiniz ve parolanız dâhil, o da işler.
• Barındırma — sunucumuz Google Cloud Run üzerinde çalışır ve verileri bir Neon PostgreSQL veritabanında saklar.

Girdiğiniz yer adları kendi sunucumuzda çevrimdışı bir veri kümesiyle koordinat ve saat dilimine çevrilir; herhangi bir coğrafi kodlama hizmetine gönderilmez.

Ayrıca kanunun gerektirdiği hâllerde veya bir hakkın tesisi, kullanılması ya da korunması için zorunlu olduğunda verileri açıklayabiliriz (KVKK m.5/2(ç) ve m.5/2(e); GDPR m.6(1)(c) ve m.6(1)(f)).

5. Yurt dışına aktarım

Verileriniz 4. bölümde adı geçen barındırma sağlayıcılarında saklanır ve sunucumuz tarafından işlenir. Bir yorum üretildiğinde, 4. bölümde tarif edilen soru ve harita, bunları Amerika Birleşik Devletleri'nde işleyen OpenAI'ye aktarılır. İstekler, dünya genelinde çalışan Cloudflare ağından geçer; bu nedenle bir istek bize ulaşmadan önce Avrupa Birliği ve Türkiye dışında işlenebilir. Firebase, Google Play, Resend ve Sentry de verileri Avrupa Birliği ve Türkiye dışında işleyebilir. Bu aktarımlarda, adı geçen sağlayıcıların sunduğu veri koruma şartlarına ve güvencelerine dayanırız.

6. Saklama süresi

• Hesabınız ve ona bağlı her şey — hesabınız var olduğu sürece saklanır. Hesabınızı sildiğinizde hesap kaydınız, görüşmeleriniz, sorularınız, yorumlarınız ve içlerindeki haritalar, puanlarınız, satın alma kayıtlarınız, bakiyeniz ve oturum belirteçleriniz, aşağıda sayılanlar dışında, derhâl silinir. Bkz. hesabınızı nasıl silersiniz.
• Satın alma belirteçleri — silme işleminden sonra, aynı satın almanın ikinci kez talep edilememesi için kullanılmış satın alma belirteçlerinin bir kaydını tutarız. Bu kayıt; satın alma belirtecini, ürünü ve kullanılma zamanını içerir, hesabınızla hiçbir bağı yoktur ve süresiz saklanır. Anonim değildir: Google Play bir satın alma belirtecini hâlâ alıcıya bağlayabilir.
• Ücretsiz yorum kullandıysanız cihaz kimliğiniz — ücretsiz yorumun ikinci kez alınamaması için, cihazın ücretsiz yorumunu kullandığı kaydı, hesap silindikten sonra da cihaz kimliğine bağlı olarak tutulur.
• Yorum yanıtının kısa ömürlü kopyaları — bir yeniden deneme sizden iki kez ücret almasın diye uygulama bir istek anahtarı gönderdiğinde, o isteğin yanıtını anahtara bağlı olarak 24 saat saklarız. Bu kopya yorumu ve haritayı içerir. Aynı anahtar bir sonraki kez sunulduğunda kaldırılır; hesabınızı sildiğinizde kaldırılmaz.
• Hesap açmadan önce yapılan ve hiç devralınmamış yorumlar — bunlar sunucumuzda kurulum kimliğine bağlı olarak kalır. Bir hesaba hiç bağlanmadıkları için hesap silme işlemi bunları kaldırmaz.
• Bağlantıyla paylaştığınız bir yorum — bağlantının arkasındaki kopya, bağlantı kapatılana ya da yorum veya hesabınız silinene kadar saklanır. Bkz. 10. bölüm.
• Doğum bilgileri — hiç saklanmaz.
• Çökme raporları, kullanım olayları ve sunucu günlükleri — 4. bölümde adı geçen sağlayıcılarda, kendi düzenlemeleri uyarınca tutulur.

7. Güvenlik

Veriler şifreli HTTPS bağlantıları üzerinden iletilir. Parolalar yalnızca tuzlanmış karma olarak, yenileme belirteçleri yalnızca karma olarak saklanır. Hesabınıza erişim geçerli bir oturum belirteci gerektirir ve isteklere hız sınırı uygulanır.

8. Haklarınız

KVKK'nın 11. maddesi uyarınca; kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında verilerinizin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, KVKK'nın 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme, düzeltme ile silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme ve verilerin kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz. Şikâyetlerinizi Kişisel Verileri Koruma Kurulu'na iletebilirsiniz.

GDPR kapsamında ayrıca; verilerinizin işlenip işlenmediğini öğrenme ve bir kopyasını alma, yanlış verilerin düzeltilmesini ve eksik verilerin tamamlanmasını isteme, silinmesini isteme, işlemenin kısıtlanmasını isteme, meşru menfaate dayanan işlemeye itiraz etme, veri taşınabilirliği ve verdiğiniz bir açık rızayı geri alma haklarına sahipsiniz; rızanın geri alınması, geri alınmadan önce yapılan işlemeyi etkilemez. Yaşadığınız veya çalıştığınız AB üye devletinin denetim makamına da şikâyette bulunabilirsiniz.

Uygulama bu denetimlerden yalnızca birini sunar: profil ekranından hesabınızı silebilirsiniz. Diğer haklarınız için — erişim, düzeltme, verilerinizin bir kopyası, kısıtlama, itiraz — support@iskae.dev adresine yazın. Talebiniz hesap açmadan önce yaptığınız yorumlarla ilgiliyse bunu belirtin; bu yorumları bulabilmek için kurulum kimliğine ihtiyacımız olabilir.

9. Çocuklar

Nora çocuklara yönelik değildir ve bilerek çocuklardan kişisel veri toplamayız. Bir çocuğun bize veri sağladığını düşünüyorsanız bizimle iletişime geçin; veriyi sileriz.

10. Bir yorumu bağlantıyla paylaşmak

Bir yorumu paylaşmayı seçebilirsiniz. Bunu yaptığınızda, tahmin edilemeyecek bir adrese sahip bir bağlantı oluşturur ve o yorumun bir kopyasını bu adrese bağlı olarak saklarız. Bağlantıya sahip olan herkes, hesap açmadan ve giriş yapmadan yorumu okuyabilir. Siz bağlantı istemeden hiçbir şey paylaşılmaz; hukuki sebep açık rızanızdır (KVKK madde 5(1); GDPR madde 6(1)(a)).

Paylaşılan sayfa; sorduğunuz soruyu, yanıtı, yanıtın güven düzeyini ve gerekçesini, ayrıca o yorumdaki her devam sorusunu ve yanıtını, paylaştığınız andaki hâliyle içerir. Adınızı, e-posta adresinizi, hesap kimliğinizi, kurulum kimliğinizi, verdiğiniz puanları, haritayı ve sorunun sorulduğu zaman ile yeri içermez. Şunu bilin ki yorumun metni, haritanın kurulduğu konumlardan söz edebilir ve soru sizin kendi serbest metninizdir.

Kopya dondurulmuştur. Sonradan sorduğunuz devam soruları, yorumu yeniden paylaşmadıkça sayfada görünmez; yeniden paylaşmak sayfayı günceller ve aynı bağlantıyı korur.

Sayfa, arama motorlarından dizine eklenmemeyi ister ve sitemizin hiçbir yerinde listelenmez. Ancak bir bağlantı, yalnızca onu gönderdiğiniz kişiler kadar özeldir: alan kişi bağlantıyı başkasına iletebilir.

Bağlantı, yorumu ya da hesabınızı sildiğinizde kaldırılır. Tek bir bağlantıyı kendi başına kapatmak için support@iskae.dev adresine bağlantıyla birlikte yazın, biz kaldıralım: saklanan kopya silinir ve adres anında çalışmaz olur. Bunun için hesabınızın olması gerekmez, çünkü işlem yaptığımız şey bağlantının kendisidir.

11. Bu politikadaki değişiklikler

Bu politikayı zaman zaman güncelleyebiliriz. Yukarıdaki "Son güncelleme" tarihi en güncel sürümü gösterir; önemli değişiklikler uygulama içinde bildirilir.