Açık Rıza Metni

Sürüm: 0 · Durum: TASLAK — avukat onayı bekliyor · Yürürlük tarihi: [YÜRÜRLÜK TARİHİ]

Bu metin bir taslaktır ve hukuki danışmanlık değildir. Yayından önce avukat tarafından incelenip onaylanacaktır. Köşeli parantez içindeki yer tutucular doldurulmadan ve sondaki "Avukatın incelemesi gereken noktalar" bölümü kaldırılmadan yayınlanmaz.

Bu metin, kişisel verilerinin yurt dışına aktarılması için senden istediğimiz açık rızayı açıklar. Rızayı, uygulamayı şahsı adına yayınlayan veri sorumlusu [VERİ SORUMLUSU ADI SOYADI] ("biz") adına istiyoruz.

Açık rıza vermek isteğe bağlıdır. Kayıt sırasında gösterilen ayrı kutuyu işaretlemezsen de uygulamayı kullanabilirsin. [AVUKAT: rızanın isteğe bağlı kalıp kalmayacağı T-6.5'te netleşecek — EXPLICIT_CONSENT_REQUIRED, S33.]

Verilerinin hangi amaçla işlendiğini, kimlerle paylaşıldığını ve ne kadar saklandığını KVKK Aydınlatma Metni'nde bulabilirsin; bu metni onunla birlikte oku.

1. Hangi verilerin nereye aktarılır?

Uygulama, Google'ın Firebase altyapısını ve bildirimler için Expo'nun hizmetini kullanır. Bu hizmetlerin sunucuları Türkiye dışındadır:

• Avrupa Birliği (Belçika): Profil bilgilerin (ad soyad, telefon), kayıtlı adreslerin ve konumları, siparişlerin, bildirim anahtarların, bildirim kutun, favorilerin, destek taleplerin ve onay kayıtların; esnafsan dükkan, personel ve abonelik bilgilerin; varsa hesap engelleme kaydın; yöneticiler için yönetici hesabı ve işlem kaydı (IP adresi ve tarayıcı bilgisi dahil) Google'ın Belçika'daki sunucularında saklanır ve işlenir.
• Google'ın dünya genelindeki altyapısı: E-posta adresin ve giriş bilgilerin Firebase Authentication hizmetinde tutulur. E-posta doğrulama ve şifre sıfırlama e-postaları da bu hizmetle gönderilir. Web sitesi Google'ın Firebase Hosting hizmetiyle sunulur; web sitesini kullandığında IP adresin ve tarayıcı bilgin bu hizmetin erişim kayıtlarında tutulur. Web sitesi, isteklerin gerçek web sitemizden geldiğini doğrulamak için Google'ın reCAPTCHA Enterprise hizmetini kullanır; bunun için IP adresin, tarayıcı ve cihaz bilgilerin ve sayfadaki kullanım sinyallerin Google'a gönderilir.
• Uygulama mağazaları (esnaf aboneliği): Esnafın aboneliği Google Play (ileride App Store) üzerinden satın alınır; satın alma kimliği doğrulama için Google'a (ileride Apple'a) gönderilir.
• ABD (bildirimler): Telefonunun bildirim anahtarı ve bildirimlerin içeriği Expo'nun ABD'deki bildirim hizmetine, oradan telefonuna ulaştırılmak üzere Apple'ın (iPhone) ya da Google'ın (Android) bildirim sistemlerine iletilir. Bildirimler sipariş numarası, tutar ve dükkan adı gibi bilgiler içerir; esnafa giden yeni sipariş bildirimi ayrıca ürün sayısını ve müşterinin mahallesini içerir.

Bilgi için: Dükkan logoları ve ürün fotoğrafları Google'ın Avrupa Birliği'ndeki (Belçika) sunucularında saklanır. Bu görseller kişisel veri içermez; bu yüzden esnafın da kişisel bilgi içeren fotoğraf yüklememesi gerekir.

2. Aktarımın amacı

Aktarım, uygulamanın çalışması için gereken altyapı içindir: hesabının açılması ve girişin, verilerinin saklanması, siparişlerin dükkana iletilmesi ve sana bildirim gönderilmesi.

3. Olası riskler

[AVUKAT: KVKK m. 9 (2024 değişikliği) uyarınca açık rızaya dayalı aktarımda olası risklerin anlatılması gerekiyor; bu bölüm doğrulanmalı.]

• Verilerinin bulunduğu ülkelerde kişisel verilerin korunmasına ilişkin kurallar Türkiye'dekinden farklı olabilir; Kişisel Verileri Koruma Kurulu bu ülkeler için yeterlilik kararı vermemiş olabilir.
• Bu ülkelerin yetkili makamları, kendi mevzuatlarına göre hizmet sağlayıcılardan verilerine erişim isteyebilir.
• Haklarını yurt dışındaki hizmet sağlayıcılara karşı kullanman, Türkiye'dekine göre daha zor olabilir.

Bu riskleri azaltmak için aldığımız önlemler (erişim kuralları, yalnızca gereken verinin istenmesi, siparişlerdeki kişisel bilgilerin 30 gün sonra silinmesi) Gizlilik Politikası'nda anlatılır.

4. Rıza vermezsen ya da geri alırsan

• Açık rıza vermemen ya da sonradan geri alman, uygulamayı kullanmana engel değildir.
• [AVUKAT: Rıza verilmediğinde de uygulama aynı altyapıyla çalışır. Bu durumda aktarımın hangi hukuki dayanakla (ör. KVKK m. 9 kapsamında standart sözleşme) yapıldığı burada açıkça yazılmalı — S21, S33.]
• Rızanı istediğin zaman geri alabilirsin. Bunun için uygulamada kayıtlı e-posta adresinden [DESTEK E-POSTASI — S23] adresine yazman yeterlidir. [T-6.5: geri alma yolu netleşecek.]
• Rızanı geri alman sonraki işlemler için geçerlidir; geri almadan önce yapılan aktarımları etkilemez.

5. Onay

Kayıt sırasında gösterilen "Kişisel verilerimin yurt dışına aktarılmasına açık rıza veriyorum." kutusunu işaretleyerek, bu metni okuduğunu ve yukarıda açıklanan verilerinin, açıklanan amaçla ve olası risklerin farkında olarak yurt dışına aktarılmasına özgür iradenle açık rıza verdiğini beyan edersin. Verdiğin rızanın sürüm numarası ve zamanı kaydedilir.

Bu metin değişirse ve daha önce rıza verdiysen, uygulamayı bir sonraki açışında yeni metni görürsün ve rızanı yenileyip yenilemeyeceğini seçersin.

Avukatın incelemesi gereken noktalar

Bu bölüm yalnızca taslakta bulunur; yayından önce kaldırılır.

1. Aktarımın dayanağı (KVKK m. 9, 2024 değişikliği): Aktarım sürekli ve düzenli (tüm veriler Belçika'da; giriş bilgileri Google'ın küresel altyapısında; bildirimler ABD üzerinden). Açık rıza yalnızca arızi aktarımlarda dayanak olabiliyorsa standart sözleşme ve Kurum'a bildirim gerekir mi? 3. bölümdeki risk bilgilendirmesi yeterli mi?
2. Rıza verilmeyen durum (S33): Uygulama rıza verilmese de aynı altyapıyla çalışıyor; 4. bölümdeki yer tutucu doldurulmalı. Rıza zorunlu yapılacaksa (EXPLICIT_CONSENT_REQUIRED = true), 08'deki "ayrı ve hizmet şartına bağlanmamış kutu" ilkesiyle nasıl bağdaşacağı değerlendirilmeli.
3. Geri alma yolu: Uygulamada rızayı geri alma ekranı yok. Sunucu (acceptConsents) rızayı "verilmedi" olarak kaydedebiliyor ama bunu yapan bir arayüz yok. Taslakta destek e-postası yazıldı.
4. Kapsam: AB (Belçika) de yurt dışı sayıldığı için metne alındı. Görseller 08'e göre kişisel veri içermediği için yalnızca bilgi olarak yazıldı; görseller herkese açık bağlantılarla sunuluyor.
5. Alıcılar: Google, Expo ve Apple metinde genel adlarıyla geçiyor; tüzel kişi unvanları ve ülkeleri yazılmalı mı?
6. Bildirim içerikleri 08'deki veri tablosunda yok (yalnızca bildirim anahtarı var); içerik 06 § A14'teki bildirim metinlerinden alındı. 08'e eklenmesi önerilir.
7. Kutu metni: Kayıt ekranındaki kutu metni ("Kişisel verilerimin yurt dışına aktarılmasına açık rıza veriyorum.") ile bu metin uyumlu mu; rızanın "belirli konuya ilişkin ve bilgilendirilmeye dayanan" olma şartı karşılanıyor mu?
8. Hitap: Metin uygulamanın "sen" diliyle yazıldı.
9. Faz 8 eklemeleri (2026-10-01): Web sitesinin erişim kayıtları (Firebase Hosting), abonelik doğrulaması (Google Play) ve yönetici işlem kaydı 1. bölüme eklendi; bu aktarımların da açık rızaya mı yoksa başka bir dayanağa mı bağlanacağı (KVKK m. 9) incelenmeli.
10. Faz 9 eklemeleri (2026-10-11, K36): Web sitesinde Firebase App Check için Google reCAPTCHA Enterprise (IP adresi, tarayıcı/cihaz bilgisi ve kullanım sinyalleri Google'a) 1. bölüme eklendi; görseller artık AB'de (Belçika) saklanıyor. reCAPTCHA aktarımının dayanağı (açık rıza verilmeyen ziyaretçide de çalışıyor) KVKK Aydınlatma Metni soru 24 ile birlikte incelenmeli.