Gizlilik Politikası

Sürüm: 0 · Durum: TASLAK — avukat onayı bekliyor · Yürürlük tarihi: [YÜRÜRLÜK TARİHİ]

Bu metin bir taslaktır ve hukuki danışmanlık değildir. Yayından önce avukat tarafından incelenip onaylanacaktır. Köşeli parantez içindeki yer tutucular doldurulmadan ve sondaki "Avukatın incelemesi gereken noktalar" bölümü kaldırılmadan yayınlanmaz.

Bu politika, Eldo-Pak'ı kullanırken bilgilerini nasıl işlediğimizi sade bir dille anlatır. Yasal ayrıntılar ve hakların KVKK Aydınlatma Metni'ndedir; iki metin aynı bilgilere dayanır. Bu politikayı onaylaman istenmez; güncel hâli uygulamada ve esnafkapinda-prod.web.app/gizlilik adresinde yayındadır.

Kısaca

• Uygulama müşteriler için ücretsizdir; siparişlerden komisyon alınmaz. Esnaf, dükkanının listelenmesi için uygulama mağazası üzerinden yıllık abonelik öder.
• Uygulamayı telefondan ya da web sitesinden kullanabilirsin; iki yerde de aynı hesap ve aynı kurallar geçerlidir.
• Ödeme kapıda esnafa yapılır. Uygulama paranı görmez, kart bilgini istemez.
• Yalnızca uygulamanın çalışması için gereken bilgileri isteriz.
• Esnaf adını, telefonunu ve adresini yalnızca kendi dükkanına verdiğin siparişlerde görür ve bunları yalnızca teslimat için kullanabilir.
• Siparişlerdeki kişisel bilgilerin, sipariş kapandıktan 30 gün sonra kendiliğinden silinir.
• Kişisel verilerini satmayız; reklam ya da pazarlama için kullanmayız.
• Hesabını istediğin zaman uygulamanın içinden silebilirsin.

Kim sorumlu?

Uygulamayı şahsı adına [VERİ SORUMLUSU ADI SOYADI] yayınlar ve kişisel verilerinin veri sorumlusudur ("biz").

• Adres: [VERİ SORUMLUSU ADRESİ — T-6.5]
• E-posta: [DESTEK E-POSTASI — S23]

Hangi bilgileri topluyoruz ve neden?

• Hesap bilgileri (ad soyad, telefon, e-posta): Hesabını açmak, seninle iletişim kurmak ve siparişlerini teslim ettirebilmek için.
• Adres ve konum (müşteriler): Siparişini teslim ettirmek ve adresine teslimat yapan dükkanları bulmak için.
• Sipariş bilgileri (ürünler, tutarlar, ödeme yöntemi, esnafa notun, siparişin durumu): Siparişini dükkana iletmek, takip etmeni sağlamak, geçmiş siparişlerini göstermek ve tekrar sipariş verebilmen için.
• Bildirim anahtarı: Siparişlerin ve dükkanınla ilgili bildirim gönderebilmek için.
• Dükkan ve esnaf bilgileri (esnaf): Dükkanını vitrinde göstermek ve dükkan başvurunu doğrulamak için. Bunlar dükkanın adı, türü, açıklaması, telefonu, logosu, konumu ve açık adresi, çalışma saatleri, teslimat kuralları, ödeme yöntemleri (kapıda nakit, kapıda kart) ve ürünleri; dükkan sahibinin ad soyadı, telefonu ve e-posta adresidir. Banka hesabı ya da IBAN bilgisi istemeyiz.
• Bildirim kutusu ve tercihlerin: Bildirimlerini uygulama içinde de görebilmen ve tercihlerine (ör. duyuruları kapatma) uymak için. Bildirim kutusundaki kayıtlar 30 gün tutulur.
• Favori dükkanların: Favori dükkanlarına kolay ulaşman için; yalnızca sen görürsün.
• Destek talepleri ve şikayetler: Sana destek verebilmek ve kötüye kullanımı önlemek için.
• Dükkan personeli (esnaf): Dükkan sahibinin davet için yazdığı e-posta adresi ve daveti kabul eden personelin ad soyadı; dükkanı birden çok kişiyle yönetebilmen için.
• Yöneticilerin açtığı dükkan (esnaf): Yöneticiler dükkanını senin adına açarsa, girdikleri ad soyad ve telefon ilk girişinde profilini kendin oluşturana kadar ayrı bir ön kayıtta tutulur, sonra silinir.
• Abonelik bilgileri (esnaf): Satın almanın yapıldığı mağaza, mağazanın satın alma kimliği ve aboneliğin tarihleri; aboneliği mağazayla doğrulamak için. Kart bilgin mağazada kalır, biz göremeyiz.
• Web sitesi: Web sitesinin erişim kayıtları (IP adresi, tarayıcı bilgisi) ve tarayıcında tutulan oturum, sepet, seçili adres ve son aramalar; siteyi sunmak ve oturumunu sürdürmek için.
• Yönetici bilgileri (yalnızca yöneticiler): Yönetici hesabı ve yöneticilerin yaptığı işlemlerin kaydı (IP adresi ve tarayıcı bilgisi dahil); yönetim işlemlerinin hesabını verebilmek ve kötüye kullanımı önlemek için.
• Hesap engelleme kaydı (yalnızca yöneticilerin engellediği hesaplar): Engellenen hesapla giriş yapılmasını ve aynı e-posta ya da telefonla yeniden hesap açılmasını önlemek için. E-posta ve telefonun kendisi değil, gizli bir anahtarla alınmış özetleri tutulur; ayrıntılar KVKK Aydınlatma Metni'nin 2.7. bölümündedir.
• Onay kayıtları (onayladığın metinlerin sürümü ve zamanı): Hukuki yükümlülüklerimizi yerine getirmek ve hangi metni ne zaman onayladığını ispat edebilmek için.

Sipariş notuna ve adres tarifine sağlık durumu gibi özel nitelikli bilgiler yazmamanı rica ederiz; teslimat için gerekmezler.

Kimler görür?

• Sipariş verdiğin dükkanın esnafı: Ad soyadını, telefonunu, siparişin teslimat adresini, adres tarifini, konumunu, notunu ve siparişin içeriğini görür; yalnızca kendi dükkanına verdiğin siparişlerde. Kişisel bilgilerin sipariş kapandıktan 30 gün sonra esnafın ekranından da silinir.
• Diğer kullanıcılar: Esnafsan dükkan bilgilerini uygulamaya giriş yapan kullanıcılar görür. Müşterilerin kişisel bilgileri başka müşterilere gösterilmez; kayıtlı adreslerini senden başka kimse göremez.
• Dükkanın personeli: Esnafın dükkanına davetle katılan personel, o dükkana verdiğin siparişlerdeki bilgilerini dükkan sahibi gibi görür ve aynı kurallara uyar.
• Yöneticiler: Web sitesindeki yönetim paneline ayrı yönetici hesaplarıyla ve iki adımlı doğrulamayla girerler; rolleri (Süper admin, Yönetici, Destek) neyi görüp neyi yapabileceklerini belirler. Dükkan başvurularını inceler; dükkan bilgilerini, dükkan sahibinin ve personelin adını, telefonunu ve e-posta adresini görürler. Destek ve sipariş sorunları için müşterilerin adını, maskeli telefonunu ve siparişlerini; rolüne göre e-posta adresini, son giriş zamanını ve kayıtlı adreslerin yalnızca başlıklarını ve mahalle/ilçe bilgisini görebilirler. Telefonunun açık hâlini yalnızca "Göster" diyerek görebilirler ve bu her seferinde kayda geçer. Yöneticilerin yaptığı her işlem, kimin ne zaman yaptığıyla birlikte değiştirilemez bir işlem kaydına yazılır. Bir hesabı engellediklerinde kişisel bilgileri değil yalnızca kısa kimliği (hesap kimliğinin ilk altı karakteri) görürler.
• Altyapı hizmetleri: Uygulama ve web sitesi Google'ın Firebase altyapısında çalışır; bildirimler Expo, Apple ve Google üzerinden iletilir. Esnafın abonelik satın alması Google Play (ileride App Store) üzerinden yapılır ve orada doğrulanır.

Bilgilerin nerede saklanır?

• Profilin, adreslerin, siparişlerin, bildirim anahtarların, bildirim kutun, favorilerin, destek taleplerin ve onay kayıtların; esnafsan dükkan, personel ve abonelik bilgilerin; varsa hesap engelleme kaydın; yönetici bilgileri ve işlem kaydı Avrupa Birliği'nde, Belçika'daki sunucularda saklanır.
• Web sitesi ve hazır ürün kataloğu Google'ın Firebase Hosting hizmetiyle sunulur; erişim kayıtları orada tutulur.
• Web sitesi, isteklerin gerçek web sitemizden geldiğini doğrulamak için Google'ın reCAPTCHA Enterprise hizmetini kullanır; bunun için IP adresin, tarayıcı ve cihaz bilgilerin Google'a gönderilir.
• E-posta adresin ve giriş bilgilerin Google'ın dünya genelindeki altyapısındaki Firebase Authentication hizmetinde tutulur.
• Bildirimler Expo'nun ABD'deki hizmeti üzerinden Apple'a ve Google'a iletilir.
• Dükkan logoları ve ürün fotoğrafları Avrupa Birliği'nde, Belçika'daki sunucularda saklanır; bu görseller kişisel veri içermez.

Bu aktarımlar için isteğe bağlı açık rızanı ayrıca istiyoruz; ayrıntılar Açık Rıza Metni'ndedir.

Ne kadar saklıyoruz?

• Hesap bilgileri: Hesabını silene kadar.
• Kayıtlı adresler: Sen silene ya da hesabını silene kadar.
• Siparişlerdeki ad, telefon, adres, konum ve not: Sipariş kapandıktan 30 gün sonra silinir.
• Sipariş içeriği (ürünler, tutarlar, durumlar): Kişisel bilgilerden arındırılmış olarak süresiz.
• Bildirim anahtarı: Uygulamayı 60 gün açmazsan, çıkış yaptığında ya da hesabını sildiğinde silinir.
• Dükkan bilgileri: Hesabını silene kadar. Hesap silinince dükkanın adı, türü, konumu ve ürün kayıtları ticari kayıt olarak kalır ve yalnızca yöneticiler görebilir.
• Esnafın engel listesindeki adın: Hesabını silene ya da esnaf engeli kaldırana kadar.
• Hesap engelleme kaydı: Yöneticiler engeli kaldırana kadar; hesap silinse de kalır. [AVUKAT: üst süre — T-6.5.]
• Onay kayıtları: Hesabını silene kadar.
• Bildirim kutusu: 30 gün.
• Favoriler: Çıkarana ya da hesabını silene kadar.
• Personel daveti: 7 gün; personel üyeliği dükkandan çıkarılana, ayrılana ya da hesap silinene kadar.
• Yöneticilerin açtığı dükkan için ön kayıt: Profilini oluşturana ya da hesabını silene kadar.
• Abonelik bilgileri: Dükkan kaydıyla birlikte. [AVUKAT: mali kayıt süresi — T-6.5.]
• Yönetici işlem kaydı: 2 yıl. [AVUKAT: süre — T-6.5.]
• Destek talepleri ve şikayetler, yönetici notları, web erişim kayıtları: Belirlenecek. [AVUKAT: süreler — T-6.5.] Müşteri hakkındaki yönetici notları hesap silinince silinir.

Hesabını sildiğinde

Hesabını Hesabım (esnafsan Dükkanım) ekranındaki "Hesabımı sil" ile silebilirsin; güvenliğin için şifreni yeniden girmen istenir. Devam eden bir siparişin varsa önce kapanması gerekir. Profilin, adreslerin, favorilerin, bildirim kutun, bildirim anahtarların ve onay kayıtların silinir; personelsen dükkan üyeliğin kaldırılır; siparişlerindeki kişisel bilgiler silinir ve siparişler hesabınla bağlantısız kalır. Dükkan sahibiysen dükkanın kalıcı olarak yayından kalkar. Ayrıntılar KVKK Aydınlatma Metni'ndedir.

Telefon izinleri

İzinleri yalnızca gerektiği anda isteriz ve istediğin zaman telefonunun ayarlarından geri alabilirsin.

• Konum: Adres eklerken "Konumumu kullan" dediğinde ya da yazdığın adresin haritadaki yerini bulmak için istenir; esnaf dükkanının konumunu belirlerken de kullanabilir. Konumun yalnızca uygulamayı kullanırken alınır, arka planda izlenmez. Anlık konumun kaydedilmez; yalnızca adresinle birlikte kaydettiğin konum saklanır. Dükkanlar adresinin konumuna göre bulunduğu için Android'de bu izni vermezsen adres kaydedilemez.
• Kamera ve fotoğraflar: Yalnızca esnaf dükkan logosu, kapak ya da ürün fotoğrafı eklerken ve ürün barkodu okuturken istenir. Barkod okuturken kamera görüntüsü kaydedilmez; yalnızca barkod numarası kullanılır. Mikrofon izni istenmez.
• Web sitesinde konum: Web sitesinde adres eklerken tarayıcın konum izni ister; vermezsen adresini mobil uygulamadan ekleyebilirsin.
• Bildirimler: Müşteriden ilk siparişini verirken, esnaftan dükkan kurulumunun sonunda istenir. İzin vermezsen uygulama çalışır ama gelişmeleri bildirim olarak alamazsın; esnafsan yeni siparişleri kaçırabilirsin.

Güvenlik

• E-posta doğrulaması zorunludur; doğrulanmamış hesaplar hiçbir veriye erişemez.
• Her bilgiyi yalnızca görmesi gereken kişi görebilir: müşteri yalnızca kendi siparişlerini ve adreslerini, esnaf yalnızca kendi dükkanına verilen siparişleri görür.
• Fiyatlar ve tutarlar uygulamada değil sunucuda hesaplanır; abonelik satın almaları sunucuda mağazayla doğrulanır.
• Yöneticiler ayrı hesaplarla ve iki adımlı doğrulamayla girer; yetkileri her işlemde sunucuda denetlenir ve her işlemleri değiştirilemez bir kayda yazılır.
• Web sitesi kendi betiklerinin dışında yalnızca Google reCAPTCHA'yı yükler (sahte ve otomatik istekleri engellemek için); reklam ve izleme aracı yoktur.
• Engellenen hesapların e-posta ve telefonları düz metin olarak tutulmaz; yalnızca gizli bir anahtarla alınmış özetleri saklanır ve bu liste uygulamadan kimseye gösterilmez.
• Sistem kayıtlarına (log) ad, telefon, adres, e-posta gibi kişisel bilgiler yazılmaz.
• Şifren Firebase Authentication tarafından saklanır; biz dahil kimse şifreni göremez.
• Oturum anahtarları kısa ömürlüdür; çıkış yaptığında o telefonun bildirim anahtarı silinir.

Hiçbir sistem tamamen güvenli değildir. Verilerinin yetkisiz kişilerin eline geçtiğini öğrenirsek seni ve Kişisel Verileri Koruma Kurulu'nu kanunda öngörülen şekilde bilgilendiririz. [AVUKAT: veri ihlali bildirimi — KVKK m. 12/5.]

Çerezler ve izleme

Mobil uygulama çerez kullanmaz; uygulamada reklam ya da davranış izleyen analitik araç yoktur. Yasal metinlerin yayınlandığı web sayfaları (esnafkapinda-prod.web.app) ve tanıtım sitesi de çerez kullanmaz. Web sitesi (sipariş, esnaf paneli ve yönetim paneli) kendisi çerez ve izleme betiği kullanmaz; isteklerin doğrulanması için yüklenen Google reCAPTCHA, Google'ın kendi çerezini kullanabilir. Oturumunu, sepetini, seçili adresini ve son aramalarını tarayıcının kendi depolamasında tutar. Bu bilgiler çıkış yaptığında silinir; "Bu bilgisayarda oturumumu açık tut" işaretli değilse oturum tarayıcı kapanınca biter. [T-6.6: web sayfalarının çerezsiz olduğu yayın sırasında doğrulanacak.]

18 yaş sınırı

Uygulamayı yalnızca 18 yaşını doldurmuş kişiler kullanabilir; kayıtta bunu beyan edersin.

Hakların

KVKK kapsamındaki hakların (bilgi isteme, düzeltme, silme, itiraz ve diğerleri) ve nasıl başvuracağın KVKK Aydınlatma Metni'nde anlatılır. Sorularını [DESTEK E-POSTASI — S23] adresine yazabilirsin.

Bu politikadaki değişiklikler

Politikayı değiştirirsek sürüm numarası ve yürürlük tarihi değişir; güncel hâli uygulamada (Hesabım ya da Dükkanım ekranında "Yasal metinler") ve esnafkapinda-prod.web.app/gizlilik adresinde bulunur. Bu politika onaylatılmaz; kişisel verilerinin işlenmesini etkileyen değişiklikler KVKK Aydınlatma Metni'ne de yansıtılır ve orada yeniden onayın istenir.

Avukatın incelemesi gereken noktalar

Bu bölüm yalnızca taslakta bulunur; yayından önce kaldırılır.

1. İki metnin ilişkisi: Gizlilik politikası, aydınlatma metniyle aynı bilgileri sade dille tekrarlıyor (mağazalar herkese açık bir gizlilik politikası adresi istiyor — S22). İkisinin ayrı tutulması ve bu politikanın onaylatılmaması uygun mu?
2. Ürün taahhütleri: "Kişisel verilerini satmayız; reklam ya da pazarlama için kullanmayız" ve "reklam ya da davranış izleyen analitik araç yoktur" cümleleri dokümanlarda açıkça yazmıyor; 08'deki amaç listesinden ve bugünkü koddan türetildi. Bağlayıcı taahhüt olarak kalmalı mı?
3. Çerezler: 08'de çerez bölümü yok. Uygulama çerez kullanmıyor; Hosting sayfalarının çerezsiz olduğu T-6.6'da doğrulanmalı. Firebase Hosting'in erişim kayıtları (IP adresi gibi) ayrıca değerlendirilmeli.
4. Güvenlik bölümü: İfadeler garanti ya da taahhüt gibi okunmamalı; veri ihlali bildirimi cümlesi (KVKK m. 12/5) uygun mu?
5. Özel nitelikli veri uyarısı: Sipariş notu ve adres tarifi serbest metin; uyarı cümlesi yeterli mi?
6. Mağaza formları: Google Play "Veri güvenliği" ve App Store gizlilik bilgileri bu metinle tutarlı doldurulmalı (T-7.4).
7. 18 yaş: Yaş yalnızca beyanla alınıyor, doğrulanmıyor.
8. 08'de olmayan işlemeler: Telefonda tutulan bilgiler (sepet, seçili adres, mod, dükkan kurulum taslağı), telefonun adres bulma hizmeti (Google/Apple), şikayet kayıtları, engelleme notu, sorunlu müşteri uyarısı, bildirim içerikleri, sunucu kayıtları metne yazılmadı (ayrıntı: KVKK Aydınlatma Metni taslağındaki 6. madde). 08 güncellenirse bu politikaya da eklenmeli.
9. Hitap: Metin uygulamanın "sen" diliyle yazıldı.
10. Hesap engelleme (2026-09-30): Engel kaydı ve anahtarlı özetler bu politikaya ürün sahibinin isteğiyle hemen eklendi (KVKK Aydınlatma Metni 2.7); saklama üst süresi ve anlatımın yeterliliği incelenmeli. IBAN bölümleri, IBAN ödeme yöntemi kaldırıldığı için çıkarıldı.
11. Faz 8 eklemeleri (2026-10-01 – 2026-10-03): Web sitesi, abonelik, yönetici rolleri ve erişimi (maskeli telefon, "Göster"), işlem kaydı (IP ve tarayıcı bilgisi, 2 yıl), bildirim kutusu, favoriler, destek talepleri, personel ve davetler, yöneticilerin açtığı dükkan için ön kayıt ve barkod okutma bu politikaya eklendi; ayrıntılar KVKK Aydınlatma Metni 2.8–2.17. Anlatımın sadeliği ve tamlığı incelenmeli.
12. Tarayıcı depolaması: Web sitesi çerez kullanmıyor ama oturum, sepet ve tercihler tarayıcı depolamasında tutuluyor; "çerezler" bölümündeki anlatım ve ayrıca onay gerekip gerekmediği incelenmeli.
13. Google reCAPTCHA (2026-10-11, K36): Web sitesi Firebase App Check için reCAPTCHA Enterprise yüklüyor; Google'ın kendi çerezi ve verileri için çerez bölümündeki anlatım, onay gerekip gerekmediği ve Google'ın reCAPTCHA bilgisinin gösterilmesi incelenmeli (KVKK Aydınlatma Metni soru 24). Görseller artık AB'de saklanıyor.