Gizlilik Politikası

• Telefon numaranı hiçbir zaman istemeyiz ve saklamayız. SMS kullanmayız.
• QR'ı okutan kişi senin adını, e-postanı ya da plakanı görmez; en fazla aracına verdiğin takma adı görür. Sen de okutan kişinin kimliğini görmezsin.
• E-posta adresin ve (girersen) plakan veritabanında şifreli tutulur.
• Mesajlar 30 gün sonra otomatik silinir. Hesabını sildiğinde bütün verin kalıcı olarak silinir.
• Reklam, analiz ya da izleme (tracking) aracı kullanmayız; verini satmayız.

Kişisel verilerin, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında veri sorumlusu sıfatıyla Kornasız (iletişim: aatakanakman@gmail.com) tarafından işlenir.

KVKK kapsamındaki ayrıntılı bilgilendirme için KVKK Aydınlatma Metni'ne bakabilirsin.

E-posta adresi

Nasıl saklanır: AES-256-GCM ile şifreli. Giriş sırasında bulunabilmesi için ayrıca anahtarlı özeti (HMAC) tutulur.

Neden: Hesabını tanımak, giriş kodu göndermek.

Apple / Google hesap kimliği

Nasıl saklanır: Sadece anahtarlı özeti (HMAC) tutulur; kimliğin kendisi saklanmaz.

Neden: Apple veya Google ile girişte seni tanımak.

Görünen ad (isteğe bağlı)

Nasıl saklanır: Düz metin. Apple ile ilk girişte verdiğin ad, Google hesabındaki adın ya da ayarlardan yazdığın ad.

Neden: Uygulamada sana hitap etmek. Okutan kişiye gösterilmez.

Araç takma adı ve rengi

Nasıl saklanır: Düz metin (ör. "Beyaz Clio").

Neden: Aracını tanımlamak. Takma ad, QR sayfasında okutan kişiye gösterilir.

Plaka (isteğe bağlı)

Nasıl saklanır: AES-256-GCM ile şifreli.

Neden: Sadece sana gösterilir; hiç kimseyle paylaşılmaz.

QR kodu ve durumu

Nasıl saklanır: Rastgele 10 karakterlik kod; aracınla eşleşmesi.

Neden: Mesajların sana ulaşması.

Aldığın mesajlar ve yanıtların

Nasıl saklanır: Sebep, isteğe bağlı kısa not, iletim/okunma zamanları, hazır yanıtın.

Neden: Mesajı sana iletmek ve okutana durum göstermek.

Bildirim (push) token'ı ve platform

Nasıl saklanır: Expo push token'ı ve cihazın iOS / Android olduğu bilgisi, son görülme zamanı.

Neden: Telefonuna bildirim göndermek.

Bildirim tercihleri

Nasıl saklanır: Sessiz saatler, saat dilimi, bildirimlerin açık/kapalı olması.

Neden: "Rahatsız etme" saatlerini uygulamak.

Engellediğin gönderenler

Nasıl saklanır: Okutanın anonim cihaz özeti, mesajın sebebi, aracın takma adı, engelin bitiş zamanı.

Neden: Engellediğin cihazdan gelen mesajları durdurmak.

Oturumlar

Nasıl saklanır: Yenileme token'ının SHA-256 özeti ve geçerlilik tarihleri; token'ın kendisi saklanmaz.

Neden: Oturumunu açık tutmak, çalınan token'ı tespit etmek.

Uygulama, sadece QR etiketini okutup aracınla eşleştirmek için ve sen izin verirsen kameranı kullanır; kamera görüntüsü sunucuya gönderilmez. Bildirim izni de senin onayınla istenir.

QR'ı okutan kişi hiçbir uygulama indirmez, hesap açmaz ve kişisel bilgi girmez. Mesajın iletilmesi ve kötüye kullanımın önlenmesi için yalnızca şunlar işlenir:

• Mesajın kendisi: seçilen sebep ve isteğe bağlı en fazla 140 karakterlik not. Notta link ve telefon numarası paylaşımı engellenir; lütfen nota kişisel bilgi yazma.
• Anonim cihaz kimliği: tarayıcıda rastgele üretilen bir kimlik. Sunucuda yalnızca anahtarlı özeti (HMAC) mesajla birlikte tutulur. Araç sahibinin gönderen cihazı engelleyebilmesi ve mesaj limitleri için kullanılır; bir kişiyle eşleştirilmez.
• Durum anahtarı: mesajın iletildi/okundu durumunu sadece gönderen görebilsin diye üretilen rastgele bir anahtar. Sunucuda yalnızca SHA-256 özeti tutulur.
• IP adresi: açık hâliyle veritabanına ve uygulama loglarına yazılmaz. Spam ve saldırı önleme için yalnızca geri çevrilemeyen anahtarlı özeti (HMAC) kullanılır: kısa ömürlü sayaçlar olarak önbellekte (Redis) en geç 24 saat, araç sahibinin engelleme yapabilmesi için mesajla birlikte en fazla 30 gün tutulur ve mesajla birlikte silinir.
• Doğrulama (captcha): aynı bağlantıdan kısa sürede çok sayıda farklı QR'a mesaj gönderilirse görünmez bir doğrulama (Cloudflare Turnstile) gösterilir. Bu durumda doğrulama sonucu ve IP adresi Cloudflare'e iletilir.

• Hizmeti sunmak (hesap, araç, QR, mesaj iletimi, bildirim): sözleşmenin kurulması ve ifası (KVKK md. 5/2-c).
• Güvenlik ve kötüye kullanımı önlemek (mesaj limitleri, captcha, engelleme, oturum güvenliği): meşru menfaat (KVKK md. 5/2-f).
• Yasal yükümlülükler ve olası uyuşmazlıklarda hakların korunması: KVKK md. 5/2-ç ve 5/2-e.
• Yurt dışındaki hizmet sağlayıcılara aktarım (aşağıda): KVKK md. 9 kapsamında, Açık Rıza Metni'nde anlatıldığı şekilde.

Verileri reklam, profilleme ya da pazarlama amacıyla kullanmayız ve satmayız.

Mesajlar (sebep, not, anonim cihaz özeti dahil)

30 gün; saatlik çalışan bir işle otomatik silinir.

Hesap, araç, plaka, QR eşleşmesi, tercihler, push token'ı

Hesabını silene kadar.

Geçici engeller

Süresi dolunca (24 saat) silinir. Kalıcı engeller sen kaldırana ya da hesabını silene kadar.

Oturumlar

En fazla 30 gün geçerli; süresi dolduktan 1 gün sonra silinir. Çıkış yapınca geçersiz olur.

E-posta giriş kodu

Kodun kendisi saklanmaz; özeti en fazla 10 dakika tutulur, en fazla 5 deneme.

IP ve e-posta özetli hız sınırı sayaçları

Kurala göre 30 saniye ile 24 saat arası; sonra kendiliğinden silinir.

Mesajla birlikte saklanan IP özeti (engelleme için)

Mesajla birlikte 30 gün; engel kayıtlarında 24 saat.

Yedekler

En fazla 14 gün (şifreli veritabanı yedekleri)

Verileri yalnızca hizmetin çalışması için gereken hizmet sağlayıcılarla, gereken kadarıyla paylaşırız:

• Resend (e-posta gönderimi): giriş kodunun gönderileceği e-posta adresi ve kod.
• Expo (bildirim servisi) ve onun üzerinden Apple Push Notification service ile Google Firebase Cloud Messaging: push token'ı ve bildirim içeriği (mesajın sebebi, aracın takma adı ve varsa not).
• Cloudflare (Turnstile): sadece doğrulama gösterildiğinde, doğrulama sonucu ve IP adresi.
• Apple ve Google: bu yöntemlerle giriş yaparsan girişi onlar doğrular; bize yalnızca doğrulanmış kimlik ve e-posta bilgisi gelir.
• Barındırma sağlayıcısı: sunucular ve veritabanı Almanya (Avrupa Birliği) konumunda barındırılır.

Resend, Expo, Apple, Google ve Cloudflare'in sunucuları yurt dışında (ağırlıklı olarak ABD'de) olabilir; bu nedenle bu paylaşımlar yurt dışına aktarım sayılabilir. Ayrıntılar Açık Rıza Metni'ndedir. Yetkili kamu kurumlarının hukuka uygun talepleri dışında verileri başka hiç kimseyle paylaşmayız.

• Tüm trafik HTTPS ile şifrelenir.
• E-posta ve plaka veritabanında AES-256-GCM ile şifreli tutulur; aranması gereken değerler anahtarlı özetle (HMAC) tutulur.
• Giriş kısa ömürlü (15 dk) erişim anahtarı ve telefonda güvenli depoda saklanan, her kullanımda yenilenen bir anahtarla yapılır.
• Uygulama logları e-posta, kod, token, plaka, IP adresi ya da istek içeriği içermez.

KVKK md. 11 kapsamındaki haklarını (bilgi talep etme, düzeltme, silme, itiraz vb.) şöyle kullanabilirsin:

• Verilerini indirme: uygulamada Ayarlar → "Verilerimi indir". Hesabın, araçların, plakan, QR kodların, son 30 günün mesajları, engellerin, cihazların ve oturumların JSON dosyası olarak iner.
• Düzeltme: görünen adını, araç bilgilerini ve tercihlerini uygulamadan değiştirebilirsin.
• Hesabı silme: uygulamada Ayarlar → "Hesabı sil" ya da uygulamaya erişemiyorsan kornasiz web sitesindeki hesap silme sayfası. Silme anında ve kalıcıdır.
• Diğer talepler için: aatakanakman@gmail.com. Ayrıntılar Aydınlatma Metni'nde.

Web sitemiz çerez kullanmaz; reklam ya da analiz aracı yoktur. QR sayfasında tarayıcına yalnızca şunlar yazılır:

• kz_device_id (localStorage): yukarıda anlatılan anonim cihaz kimliği. Tarayıcı verilerini silerek kaldırabilirsin.
• kz_msg_… (sessionStorage): gönderdiğin mesajın durumunu görebilmen için durum anahtarı. Sekme kapanınca silinir.

Hesap silme sayfası girişte aldığı anahtarı yalnızca sayfanın belleğinde tutar; tarayıcıya yazmaz. Yazı tipleri sitemizden sunulur, üçüncü taraf sunuculardan yüklenmez. Doğrulama gösterildiğinde Cloudflare Turnstile kendi betiğini yükler; bu durumda Cloudflare'in gizlilik politikası geçerlidir.

Araç sahibi hesabı 18 yaşını doldurmuş kişiler içindir. 18 yaşından küçük birine ait hesap olduğunu fark edersen bize yaz; hesabı sileriz. QR'ı okutan kişiden yaşına bakılmaksızın kişisel veri istenmez.

Bu politikayı güncelleyebiliriz. Önemli değişiklikleri uygulama içinde duyururuz; sayfanın başındaki tarih son güncellemeyi gösterir.

Kornasız (iletişim: aatakanakman@gmail.com)