Gizlilik ve KVKK Aydınlatma Metni

Sürüm 0.6-taslak (2 Ekim 2026)

1. Veri sorumlusu

VaktiGelince uygulamasında işlenen kişisel verilerinin veri sorumlusu [ŞİRKET UNVANI] ("VaktiGelince", "biz"); adres: [ADRES]; MERSİS: [MERSİS NO]; e-posta: guvenlik@vaktigelince.com.tr.

Bu metin, kişisel verilerini nasıl işlediğimizi 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında sana anlatmak için hazırlandı.

2. Önce şunu bil: içeriğini biz de okuyamayız

Mektupların, kapsüllerin, günlük sayfaların ve iddia sözlerin telefonunda şifrelenir (uçtan uca şifreleme). Sunucularımızda yalnız şifreli hâlleri durur; anahtar sende olduğu için biz, çalışanlarımız ya da sunucuya erişen biri bunları okuyamaz.

Bu yüzden aşağıdaki listelerde "içerik" dediğimiz veriler, bizim tarafımızda yalnız okunamaz şifreli veri olarak işlenir.

3. Hangi verileri işliyoruz?

Kimlik ve profil: adın, @kullanıcı adın, isteğe bağlı profil fotoğrafın ve kısa tanıtım yazın (bio), doğum yılın.
Kimlik ve iletişim: e-posta adresin ve giriş kimliğin (Apple, Google ya da e-postayla girişte Firebase’in verdiği kullanıcı kimliği). E-posta sunucuda şifreli saklanır; aynı adresle ikinci hesap açılmasını önlemek için yalnız geri çevrilemeyen bir özeti kullanılır. Apple ile girişte adresini gizlemeyi seçersen Apple’ın yönlendirme adresi saklanır. Adın, Apple ya da Google’dan geliyorsa yalnız öneri olarak gösterilir; kaydetmek senin elinde.
Hesap güvenliği: cihaz kimliği, cihazının açık anahtarı, oturum kayıtları, uygulama bütünlüğü doğrulama sonucu, istek yaptığın IP adresi, iki adımlı doğrulama ayarın, giriş hizmetindeki (Firebase) kullanıcı kimliğin.
Rıza kayıtları: hangi rıza metninin hangi sürümünü, ne zaman, hangi IP adresinden ve hangi uygulamadan (iOS/Android) onayladığın ya da geri çektiğin.
Şifreli içerik: mektup, kapsül, günlük sayfası, iddia sözü ve ekleri (fotoğraf, ses, video). Biz okuyamayız.
İçeriğe ait bilgiler: bir mektubun kime gideceği, ne zaman açılacağı ve durumu; iddianın konusu, tarafları ve sonucu; günlük sayfasının yazıldığı gün.
Topluluk ve Arena: verdiğin oylar, açtığın anketler, puanın, takip ettiklerin ve takipçilerin, paylaşımların, yorumların, mühürlediğin paylaşımlar, engellediğin kişiler, yaptığın şikâyetler.
Rehber (yalnız izin verirsen): rehberindeki numaralar telefonundan çıkmaz; yalnız geri çevrilemeyen özetleri, arkadaşlarını bulmak için eşleştirilir ve saklanmaz.
Bildirim: bildirim gönderebilmek için cihazının bildirim adresi (push token).

4. Neden işliyoruz ve hukuki sebebimiz ne?

Hesabını açmak, girişini doğrulamak ve uygulamanın özelliklerini sunmak (mektup, kapsül, günlük, Arena, profil): sözleşmenin kurulması ve ifası için gerekli olması (KVKK m.5/2-c).
Hesabını ve verilerini korumak; sahte hesap, bot, dolandırıcılık ve kötüye kullanımı önlemek; hız sınırları ve güvenlik kayıtları: meşru menfaatimiz (m.5/2-f) ve veri güvenliği yükümlülüğümüz (m.12).
Yetkili kurumların talepleri, vergi ve ticaret mevzuatı: hukuki yükümlülüğümüzü yerine getirmek (m.5/2-ç).
Bir hakkın tesisi, kullanılması veya korunması (ör. uyuşmazlıkta denetim kayıtları): m.5/2-e.
Rehber eşleştirmesi, Hayat Kitabı için yapay zekâ ile metin düzenleme ve görsel üretimi: yalnız açık rızanla (m.5/1). Rıza vermezsen bu özellikler kapalı kalır, uygulamanın geri kalanını kullanmaya devam edersin; rızanı istediğin an Ayarlar’dan geri alabilirsin.
Kampanya ve yenilik bildirimleri: yalnız ayrıca verdiğin açık rızanla (m.5/1; ticari elektronik ileti mevzuatı). Kapalıyken yalnız hizmetin gerektirdiği bildirimler (vakti gelen mektup, güvenlik uyarısı) gönderilir.

5. Verileri nasıl topluyoruz?

Verilerini uygulamayı kullanırken senden ve cihazından elektronik ortamda, otomatik ve kısmen otomatik yollarla topluyoruz: kayıt ve profil formları, yazdıkların (şifreli), uygulama içi etkileşimlerin ve cihazının gönderdiği teknik bilgiler.

6. Kimlere aktarıyoruz?

Hizmet sağlayıcılarımız (alt işleyenler), yalnız hizmet için gereken kadar: sunucu, veritabanı, depolama ve anahtar yönetimi için Google Cloud (Almanya, Frankfurt); giriş doğrulaması için Google Firebase Authentication (e-posta adresin, giriş kimliğin); Apple ya da Google ile girersen kimliğini o şirket doğrular (Apple ile Giriş, Google ile Giriş); önbellek ve hız sınırı için Upstash (AB, Frankfurt; kısa ömürlü teknik veri); güvenlik alarmı e-postaları için Resend ve e-posta yazışmaları için Zoho Mail (kullanıcı verisi içermez, başvuru yazışmaları hariç); bildirim için bildirim adresin Apple/Google bildirim servislerine (bildirimlerde içerik yer almaz). Güncel liste bölüm 12’dedir.
Uygulama mağazaları: satın alma yaparsan ödeme işlemi Apple veya Google tarafından yürütülür; biz kart bilgini görmeyiz. Basılı kitap siparişinde ödeme ve teslimat için ödeme kuruluşuna ve kargo firmasına gerekli bilgiler aktarılır.
Yetkili kamu kurumları ve mahkemeler: yalnız hukuken zorunlu olduğunda. Uçtan uca şifreli içeriği okuyamadığımız için bu içeriği açık hâlde veremeyiz.
Diğer kullanıcılar: profilin herkese açıksa adın, @kullanıcı adın, fotoğrafın, bio’n, puanın ve paylaşımların; gizliyse yalnız onayladığın takipçiler. Mektuplarını yalnız seçtiğin alıcılar, vakti gelince okur.

7. Yurt dışına aktarım

Verilerin Türkiye dışında, Almanya’daki (Frankfurt, Google Cloud europe-west3) sunucularda saklanır ve işlenir. Giriş doğrulaması Google Firebase ile yapılır; bu hizmet e-posta adresini ve giriş kimliğini ABD dahil Google’ın başka ülkelerdeki sunucularında da işleyebilir. Önbellek hizmeti Upstash AB’de (Frankfurt) çalışır.

Aktarılan veriler: e-posta adresin, hesap ve profil bilgilerin, güvenlik kayıtların (IP adresi, cihaz bilgisi) ve şifreli içeriğin. Mektupların, günlüğün ve sözlerin uçtan uca şifrelidir; yurt dışındaki sunucularda da okunamaz hâldedir ve şifre çözme anahtarları sende kalır.

Aktarım KVKK m.9 uyarınca, her alt işleyenle imzalanan standart sözleşme ve sözleşmenin imzadan itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurulu’na bildirilmesiyle yapılır. Ayrıca kayıt sırasında senden ayrı bir açık rıza alınır; rızanı Ayarlar’dan geri çekebilirsin (geri çekersen hizmet sunulamaz; verilerini indirip hesabını silebilirsin).

Yapay zekâ işlemleri kendi sunucumuzda çalıştırılır; başka bir ülkeye ya da sağlayıcıya taşınırsa bu metni güncelleyerek sana bildiririz.

8. Ne kadar saklıyoruz?

Hesap, profil ve içerik verileri: hesabın açık olduğu sürece. Hesabını silince içeriklerin ve anahtar yedeklerin imha edilir.
Başkasına gönderdiğin ve henüz açılmamış mektuplar: hesabını silsen de alıcıya ulaşmaya devam eder, gönderen "Silinmiş kullanıcı" olarak görünür. Sadece kendine yazdıkların silinir.
Oturum kayıtları: 30 gün. Güvenlik ve denetim kayıtları (içerik içermez): 2 yıl. Şikâyet kayıtları: 2 yıl. Rıza kayıtları: hesap boyunca; hesabını silince IP adresi hemen silinir, rızanın sürümü ve tarihi ispat için 2 yıl saklanır.
Basılı kitap siparişinde teslimat adresi: teslimden 90 gün sonra silinir; fatura bilgileri vergi mevzuatındaki süre kadar saklanır.
Yapay zekâ istekleri: saklanmaz, yalnız işlem süresince bellekte tutulur.

9. Haklarını nasıl kullanırsın?

KVKK m.11 uyarınca bize başvurarak şunları isteyebilirsin:

Verilerinin işlenip işlenmediğini öğrenmek ve işlendiyse bilgi istemek,
İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenmek,
Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilmek,
Eksik veya yanlış işlenmişse düzeltilmesini istemek,
KVKK m.7’deki şartlarla silinmesini veya yok edilmesini istemek,
Düzeltme ve silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini istemek,
Yalnız otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etmek,
Kanuna aykırı işleme nedeniyle zarara uğradıysan zararının giderilmesini istemek.

10. Başvuru

Verilerinin bir kopyasını Ayarlar > Verilerimi indir, hesabını ise Ayarlar > Hesabımı sil ile anında kendin alabilir veya silebilirsin.

Diğer talepler için guvenlik@vaktigelince.com.tr adresine hesabına kayıtlı e-posta adresinden ya da o adresi belirterek yazabilir ya da Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’de sayılan diğer yollarla başvurabilirsin. Başvurunu en geç 30 gün içinde ücretsiz sonuçlandırırız.

11. Çocuklar

VaktiGelince’yi 18 yaşından küçükler de kullanabilir. [AVUKATA SORULACAK: yurt dışı aktarım rızası 18 yaş altında veli onayı gerektirir mi?] 18 yaş altı hesaplar her zaman gizlidir, yapay zekâ özellikleri veli onayı olmadan açılmaz.

12. Alt işleyenler

Google Cloud (Google Cloud EMEA Ltd.): sunucu (Cloud Run), veritabanı (Cloud SQL), dosya deposu (Cloud Storage), anahtar yönetimi (Cloud KMS); yalnız rızanla Hayat Kitabı için yapay zekâ ile metin düzenleme (Vertex AI, Gemini; metin saklanmaz, model eğitiminde kullanılmaz). Konum: Almanya (Frankfurt).
Google Firebase Authentication: giriş doğrulaması (e-posta adresi, parola özeti yalnız Firebase’de, giriş hizmetindeki kullanıcı kimliği). Konum: ABD dahil Google’ın küresel altyapısı.
Apple (Apple ile Giriş) ve Google (Google ile Giriş): o yöntemi seçersen kimlik doğrulaması (Apple/Google hesap kimliği, e-posta adresi ya da Apple yönlendirme adresi, ilk girişte ad). Konum: ABD dahil küresel.
Upstash: önbellek ve hız sınırı sayaçları (kısa ömürlü teknik veri). Konum: AB (Frankfurt).
Resend: güvenlik alarmı e-postaları (ekibimize; kullanıcı verisi içermez). Konum: ABD / AB.
Zoho Mail: guvenlik@vaktigelince.com.tr posta kutusu (yalnız bize yazdığın başvurular). Konum: AB.
Apple ve Google bildirim servisleri: bildirim adresi (bildirimlerde içerik yer almaz).

Privacy Notice

Version 0.6-draft (2 October 2026). The Turkish text prevails.

1. Data controller

The data controller for personal data processed in the VaktiGelince app is [COMPANY NAME] ("VaktiGelince", "we"); address: [ADDRESS]; MERSIS: [MERSIS NO]; e-mail: guvenlik@vaktigelince.com.tr.

This notice explains how we process your personal data under the Turkish Personal Data Protection Law No. 6698 ("KVKK") and, where it applies, the EU General Data Protection Regulation ("GDPR").

2. First: we cannot read your content either

Your letters, capsules, journal pages and bets are encrypted on your phone (end-to-end encryption). Our servers only hold the encrypted form; since the key stays with you, neither we, our staff nor anyone with access to the servers can read them.

3. What data do we process?

Identity and profile: your name, @username, optional profile photo and short bio, year of birth.
Identity and contact: your email address and sign-in ID (the user ID Firebase issues when you sign in with Apple, Google or email). Your email is stored encrypted on the server; only a non-reversible hash is used to prevent a second account with the same address. If you hide your email with Sign in with Apple, Apple’s relay address is stored. A name from Apple or Google is only offered as a suggestion; saving it is up to you.
Account security: device ID, your device’s public key, session records, app integrity check result, IP address, two-step verification setting, your user ID at the sign-in service (Firebase).
Consent records: which version of which consent text you accepted or withdrew, when, from which IP address and which app (iOS/Android).
Encrypted content: letters, capsules, journal pages, bets and attachments. We cannot read them.
Content metadata: recipient, opening date and status of a letter; topic, parties and result of a bet; the date of a journal page.
Community and Arena: votes, polls, score, follows, posts, comments, blocks and reports.
Contacts (only with your permission): numbers never leave your phone; only non-reversible hashes are matched and not stored.
Notifications: your device’s push token.

4. Why do we process it and on what legal basis?

To create your account, verify sign-in and provide the app’s features: performance of the contract (KVKK Art. 5/2-c; GDPR Art. 6(1)(b)).
To protect your account and data and prevent fake accounts, bots, fraud and abuse: our legitimate interest (KVKK Art. 5/2-f; GDPR Art. 6(1)(f)) and our data security obligation.
Legal obligations (tax, commercial law, requests by authorities): KVKK Art. 5/2-ç; GDPR Art. 6(1)(c).
Contact matching and AI text/image features for the Life Book: only with your explicit consent, which you can withdraw in Settings at any time.
Marketing notifications: only with separate consent.

5. How do we collect it?

Electronically, from you and your device while you use the app: sign-up and profile forms, what you write (encrypted), in-app interactions and technical data sent by your device.

6. Who do we share it with?

Our service providers (sub-processors), only as far as needed; see section 12.
App stores and payment providers, if you make a purchase. We never see your card details.
Competent authorities and courts, only where legally required. We cannot disclose end-to-end encrypted content in readable form.
Other users: if your profile is public, your name, @username, photo, bio, score and posts; if private, only approved followers. Only the recipients you choose read your letters, when the time comes.

7. Transfers abroad

Your data is stored and processed outside Türkiye, on servers in Germany (Frankfurt, Google Cloud europe-west3). Sign-in is verified with Google Firebase, which may also process your email address and sign-in ID on Google servers in other countries, including the United States. Our cache provider, Upstash, runs in the EU (Frankfurt).

Transferred data: email address, account and profile details, security records (IP address, device information) and encrypted content. Your letters, journal and bets remain end-to-end encrypted abroad and the decryption keys stay with you.

Transfers are made under KVKK Art. 9 on the basis of standard contractual clauses signed with each sub-processor and notified to the Personal Data Protection Board within 5 business days of signature; for transfers from the EU/EEA to third countries, under the European Commission’s standard contractual clauses or an adequacy decision. We additionally ask for your explicit consent at sign-up; you can withdraw it in Settings (the service cannot be provided afterwards; you can download your data and delete your account).

8. How long do we keep it?

Account, profile and content data: while your account is open. When you delete your account, your content and key backups are destroyed.
Letters sent to others that have not opened yet keep reaching the recipient after you delete your account; the sender appears as "Deleted user".
Session records: 30 days. Security and audit logs (no content): 2 years. Reports: 2 years. Consent records: for the life of the account; on deletion the IP address is erased at once, the version and date are kept for 2 years as proof.
Delivery address for printed books: deleted 90 days after delivery; invoices as required by tax law.
AI requests: not stored; held in memory only while processed.

9. Your rights

Under KVKK Art. 11 (and GDPR Arts. 15–22 where applicable) you may ask us to:

confirm whether your data is processed and give you information about it;
tell you the purpose of processing and whether it is used accordingly;
tell you the third parties in Türkiye or abroad to whom it is transferred;
correct incomplete or inaccurate data;
erase or destroy it;
notify corrections and erasures to those third parties;
object to a result against you arising solely from automated analysis;
compensate damage caused by unlawful processing.
Where the GDPR applies, you can also restrict processing, receive your data in a portable format and lodge a complaint with a supervisory authority.

10. How to apply

You can download your data (Settings › Download my data) and delete your account (Settings › Delete my account) yourself, instantly.

For other requests write to guvenlik@vaktigelince.com.tr, from the email address registered to your account or stating that address. We respond free of charge within 30 days at the latest.

11. Children

Users under 18 can use VaktiGelince. Accounts under 18 are always private, and AI features stay off without parental approval.

12. Sub-processors

Google Cloud (Google Cloud EMEA Ltd.): servers (Cloud Run), database (Cloud SQL), file storage (Cloud Storage), key management (Cloud KMS); only with your consent, AI text editing for the Life Book (Vertex AI, Gemini; text is not stored or used for model training). Location: Germany (Frankfurt).
Google Firebase Authentication: sign-in verification (email address, password hash held only by Firebase, sign-in user ID). Location: Google’s global infrastructure including the US.
Apple (Sign in with Apple) and Google (Google Sign-In): identity verification if you choose that method (Apple/Google account ID, email address or Apple relay address, name on first sign-in). Location: global, including the US.
Upstash: cache and rate-limit counters (short-lived technical data). Location: EU (Frankfurt).
Resend: security alert e-mails (to our team; no user data). Location: US / EU.
Zoho Mail: the guvenlik@vaktigelince.com.tr mailbox (only requests you send us). Location: EU.
Apple and Google push services: push token (notifications contain no content).