Gizlilik Sözleşmesi ve Kişisel Verilerin Korunmasına İlişkin Aydınlatma Metni

Madde 1 — Veri Sorumlusunun Kimliği

6698 sayılı Kanun'un 3. ve 10. maddeleri uyarınca veri sorumlusu sıfatıyla işlem yapan taraf, Fıstık uygulamasının geliştiricisi ve işleteni olan gerçek kişi girişimcidir ("Veri Sorumlusu"). Kişisel verilerinizin işlenmesine ilişkin her türlü soru, talep ve başvurunuz için aşağıdaki iletişim kanalı üzerinden Veri Sorumlusu'na ulaşabilirsiniz:

Madde 2 — Tanımlar

İşbu Metin'de geçen kavramlar aşağıdaki anlamlara gelir:

• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, kılık kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.
• Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
• Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişi.
• Veri İşleyen: Veri Sorumlusu'nun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi (örn. bulut barındırma, bildirim ve analiz hizmeti sağlayıcıları).
• KVKK: 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete'de yayımlanarak yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu.
• Kurul: Kişisel Verileri Koruma Kurulu.

Madde 3 — İşlenen Kişisel Veriler

Fıstık uygulamasını kullanmanız halinde, aşağıdaki kategorilerde kişisel verileriniz işlenebilir. Bu kategoriler, sunulan hizmetin niteliğine göre değişkenlik gösterebilir ve yalnızca hizmetin gerektirdiği ölçüde toplanır:

Önemli not: Uygulama, konum verinizi, ödeme kartı bilgilerinizi veya sağlık verinizi işlemez. Kamera ve mikrofon erişimi yalnızca aktif bir görüşme sırasında ve kullanıcı onayına bağlı olarak gerçekleşir; görüşme sona erdiğinde erişim otomatik olarak sonlandırılır.

Madde 4 — Kişisel Verilerin İşlenme Amaçları

Kişisel verileriniz, sınırlı ve ölçülü olmak kaydıyla aşağıdaki amaçlarla işlenir:

• Hesabınızın oluşturulması, doğrulanması ve kimlik teyidinin sağlanması,
• Görüntülü ve sesli görüşme hizmetinin teknik olarak gerçekleştirilmesi ve bağlantı kalitesinin sağlanması,
• Uygulamanın işlevlerinin (grup görüşmesi, ekran paylaşımı, bildirimler vb.) sunulması,
• Teknik arızaların, hataların ve güvenlik açıklarının tespiti ile giderilmesi,
• Kötüye kullanımın, dolandırıcılığın, yetkisiz erişimin ve hizmet kötüye kullanımının önlenmesi,
• Kullanıcı destek taleplerinin ve şikayetlerinin yanıtlanması,
• Yasal yükümlülüklerin yerine getirilmesi ve resmi makamların taleplerinin karşılanması,
• Uygulama performansının ölçülmesi ve iyileştirilmesi amacıyla anonim/istatistiksel analiz yapılması,
• Push bildirimleri aracılığıyla görüşme daveti, gelen çağrı ve sistem duyurularının iletilmesi.

Kişisel verileriniz, işbu Metin'de belirtilenler dışında herhangi bir ticari amaçla üçüncü kişilere satılmaz, kiralanmaz veya pazarlama listeleri oluşturmak üzere paylaşılmaz.

Madde 5 — İşlemenin Hukuki Sebepleri

Kişisel verileriniz, KVKK'nın 5. maddesinin 2. fıkrasında sayılan aşağıdaki hukuki sebeplerden bir veya birden fazlasına dayanılarak işlenmektedir:

• (a) Kanunlarda açıkça öngörülmesi (örn. karşı görüşme usulsüzlük bildirimlerinin ilgili mevzuata göre saklanması),
• (c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması (Uygulama Kullanım Sözleşmesi'nin ifası için gerekli verilerin işlenmesi),
• (ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• (e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• (f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması (örn. çökme günlüklerinin analizi ile hizmet güvenliğinin sağlanması).

Yukarıdaki hukuki sebeplerin kapsamadığı durumlarda, örneğin rehber erişiminin arkadaş davet özelliği için kullanılması gibi hallerde, işleme faaliyeti KVKK m.5/1 uyarınca yalnızca açık rızanızın alınması suretiyle gerçekleştirilir. Açık rızanızı istediğiniz zaman, gelecekte geçerli olmak üzere geri alabilirsiniz.

Madde 6 — Görüntülü ve Sesli İletişim Verilerinin Özel Statüsü

Uygulamanın temel işlevi görüntülü ve sesli iletişim olduğundan, görüşme sırasında kamera ve mikrofon aracılığıyla elde edilen görüntü ve ses akışı işlenmektedir. Bu veriler:

• Uçtan uca şifreleme teknolojisiyle yalnızca görüşmenin tarafları arasında iletilir; Veri Sorumlusu veya herhangi bir üçüncü taraf, görüşme içeriğine erişememektedir,
• Herhangi bir sunucuda kalıcı olarak kaydedilmez, saklanmaz veya arşivlenmez; veri, görüşme sona erdiğinde bağlantı hattından silinir,
• Bu görüntü ve ses akışları KVKK anlamında özel nitelikli kişisel veri (biyometrik veri) niteliği taşıyabilecek unsurlar içerebileceğinden, işleme yalnızca kullanıcının uygulamayı aktif olarak kullanması ve kamera/ mikrofon iznini vermesiyle ortaya çıkan açık rızaya dayanılarak gerçekleştirilir,
• Kullanıcı, cihaz ayarlarından kamera ve mikrofon erişimini dilediği zaman kısıtlayabilir veya tamamen kapatabilir; bu durumda ilgili işlevler kullanılamaz hâle gelir.

Bir görüşmeyi ekran görüntüsü alma veya kayıt yazılımlarıyla kaydetme, Uygulama'nın kontrolü dışında gerçekleşen bir eylem olup, karşı tarafın rızası olmaksızın yapılan kayıtların hukuki sorumluluğu bunu gerçekleştiren kullanıcıya aittir.

Madde 7 — Kişisel Verilerin Toplanma Yöntemi

Kişisel verileriniz; Uygulama'yı indirip kurmanız, hesap oluşturmanız, Uygulama'yı kullanmanız, destek talebinde bulunmanız ve Apple'ın sağladığı "Sign in with Apple" gibi kimlik doğrulama araçlarını kullanmanız sırasında, elektronik ortamda, otomatik yollarla toplanmaktadır. Ayrıca, cihazınızın işletim sistemi (iOS, iPadOS, macOS) tarafından sağlanan API'ler aracılığıyla kamera, mikrofon ve bildirim izinlerine ilişkin veriler elde edilir.

Madde 8 — Kişisel Verilerin Aktarılması

Kişisel verileriniz, KVKK'nın 8. maddesinde belirtilen şartlar çerçevesinde ve yalnızca hizmetin sunulabilmesi için gerekli olduğu ölçüde aşağıdaki kategorilerdeki alıcı gruplarına aktarılabilir:

• Bulut barındırma ve altyapı sağlayıcıları: Uygulamanın çalışması için gerekli sunucu, veritabanı ve içerik dağıtım hizmetlerini sunan tedarikçiler,
• Apple Inc.: App Store üzerinden dağıtım, "Sign in with Apple" kimlik doğrulaması ve Apple Push Notification service (APNs) aracılığıyla bildirim iletimi kapsamında,
• Hata izleme ve analiz hizmeti sağlayıcıları: Uygulama performansının ve kararlılığının izlenmesi amacıyla, mümkün olduğunca anonimleştirilmiş veya takma ad kullanılmış (pseudonymized) veriler üzerinden,
• Yetkili kamu kurum ve kuruluşları: Yasal bir yükümlülüğün yerine getirilmesi, adli veya idari bir talebin karşılanması amacıyla ve yalnızca mevzuatın öngördüğü ölçüde.

Bu aktarımlar, KVKK m.8'de öngörülen aktarım şartlarına (açık rıza ya da KVKK m.5/2'de sayılan istisnalardan birinin varlığı) uygun olarak gerçekleştirilir ve veri işleyenlerle yapılan sözleşmelerde veri güvenliğine ilişkin yükümlülükler açıkça düzenlenir.

Madde 9 — Yurt Dışına Veri Aktarımı

Kullanılan bazı alt yapı ve bulut hizmet sağlayıcılarının (ör. Apple Inc. ve barındırma hizmeti sunan tedarikçilerin) sunucuları Türkiye dışında bulunabilir. Bu kapsamda kişisel verileriniz, KVKK'nın 9. maddesi ve Kişisel Verileri Koruma Kurulu'nun yurt dışına veri aktarımına ilişkin güncel düzenlemeleri (yeterli korumaya sahip ülkeler listesi, Kurul onaylı taahhütname veya bağlayıcı şirket kuralları gibi uygun güvence mekanizmaları) uyarınca yurt dışına aktarılabilir. Veri Sorumlusu, yurt dışına aktarım söz konusu olduğunda KVKK'nın aradığı güvence şartlarının sağlanmasına azami özen göstermeyi taahhüt eder. Yurt dışına aktarımın hukuki sebebinin yalnızca açık rızanıza dayandığı hâllerde, bu rızayı vermemeniz durumunda ilgili işlevlerden (örn. Apple bulut servisleri üzerinden bildirim iletimi) yararlanamayabilirsiniz.

Madde 10 — Saklama Süreleri ve İmha

Kişisel verileriniz, işlenme amaçlarının gerektirdiği süre boyunca ve her hâlükârda ilgili mevzuatta öngörülen zamanaşımı süreleri saklı kalmak kaydıyla aşağıdaki esaslara göre saklanır:

• Görüntülü/sesli görüşme verisi: Kayıt altına alınmaz; görüşme süresince aktarılır ve görüşme sonlandığında hattan silinir.
• Hesap ve profil verileri: Hesabınız aktif olduğu sürece ve hesabınızı sildiğiniz tarihten itibaren, yasal saklama yükümlülükleri ve olası uyuşmazlıkların çözümü amacıyla azami 1 (bir) yıl süreyle saklanır.
• Teknik günlük (log) kayıtları: Bilgi güvenliği ve hukuki uyuşmazlıkların ispatı amacıyla azami 2 (iki) yıl saklanır.
• Destek talebi ve yazışma kayıtları: Talebin sonuçlandırılmasından itibaren 2 (iki) yıl süreyle saklanır.

Saklama süresinin sona ermesi veya işleme amacının ortadan kalkması hâlinde kişisel verileriniz, KVKK'nın 7. maddesi ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümleri uyarınca resen veya talebiniz üzerine silinir, yok edilir ya da anonim hâle getirilir.

Madde 11 — Veri Güvenliğine İlişkin Tedbirler

Veri Sorumlusu, KVKK'nın 12. maddesi uyarınca kişisel verilerinizin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alır. Bu tedbirler arasında iletişim akışlarının uçtan uca şifrelenmesi, aktarım sırasında ve durağan hâldeki verilerin şifrelenmesi, erişim yetkilerinin görev tanımına göre sınırlandırılması, düzenli güvenlik testleri ve güncellemeler, yetkisiz erişim girişimlerinin izlenmesi ve veri işleyenlerle yapılan sözleşmelerde gizlilik ve güvenlik yükümlülüklerinin düzenlenmesi yer alır.

Madde 12 — Çerezler ve Benzer Teknolojiler

Uygulama'nın mobil sürümü, geleneksel anlamda internet tarayıcısı çerezlerini kullanmaz. Ancak Uygulama ve bu tanıtım web sitesi; oturum yönetimi, güvenlik ve temel kullanım istatistikleri amacıyla benzeri işlevi gören yerel depolama (local storage), cihaz tanımlayıcıları ve push bildirim jetonlarını kullanabilir. Bu teknolojilerin kullanımı, hizmetin sunulabilmesi için zorunlu olan asgari veriyle sınırlıdır.

Madde 13 — Çocukların Kişisel Verileri

Fıstık uygulaması, 13 yaşından küçük çocuklara yönelik olarak tasarlanmamıştır ve bu yaş grubundaki bireylerden bilerek kişisel veri toplanmamaktadır. 13-18 yaş arasındaki kullanıcıların, KVKK'nın aradığı koşullara uygun şekilde veli veya yasal temsilcilerinin bilgisi ve onayı dâhilinde Uygulama'yı kullanması gerekmektedir. Bir çocuğa ait kişisel verinin veli onayı olmaksızın toplandığını fark etmemiz hâlinde, söz konusu veri gecikmeksizin silinir. Bir çocuğun izinsiz şekilde veri paylaştığını düşünüyorsanız lütfen Madde 15'te belirtilen iletişim kanalından bize ulaşınız.

Madde 14 — İlgili Kişinin Hakları (KVKK m.11)

KVKK'nın 11. maddesi uyarınca, Veri Sorumlusu'na başvurarak aşağıdaki haklarınızı kullanabilirsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme talepleriniz uyarınca yapılan işlemlerin, kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Madde 15 — Başvuru Usulü

Madde 14'te sayılan haklarınızı kullanmak amacıyla, talebinizi yazılı olarak veya Kişisel Verileri Koruma Kurulu tarafından belirlenen diğer yöntemlerle Veri Sorumlusu'na iletebilirsiniz. Talebinizi;

Başvurunuz, talebin niteliğine göre en kısa sürede ve her hâlükârda KVKK'nın 13. maddesinde öngörülen otuz (30) günlük yasal süre içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret talep edilebilir. Başvurunuzun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde, cevabı öğrendiğiniz tarihten itibaren otuz (30) gün ve her hâlde başvuru tarihinden itibaren altmış (60) gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız bulunmaktadır.

Madde 16 — Politikada Değişiklik

Veri Sorumlusu, mevzuatta meydana gelebilecek değişiklikler veya Uygulama'nın sunduğu hizmetlerdeki güncellemeler doğrultusunda işbu Metin'de değişiklik yapma hakkını saklı tutar. Metin'in güncel hâli her zaman Uygulama'nın tanıtım web sitesinde yayımlanır ve önemli değişiklikler, mümkün olduğu ölçüde Uygulama içi bildirim yoluyla kullanıcılara duyurulur. Değişiklik sonrası Uygulama'nın kullanılmaya devam edilmesi, güncel Metin'in kabul edildiği anlamına gelir.

Madde 17 — Yürürlük

İşbu Gizlilik Sözleşmesi ve Aydınlatma Metni, yukarıda belirtilen yürürlük tarihi itibarıyla geçerli olup, Fıstık uygulamasının indirilmesi, hesap oluşturulması veya kullanılmaya devam edilmesiyle birlikte taraflar arasında hüküm ve sonuç doğurur. İşbu Metin'in herhangi bir hükmünün yetkili bir mahkeme veya idari otorite tarafından geçersiz veya uygulanamaz bulunması, Metin'in geri kalan hükümlerinin geçerliliğini etkilemez.