Gizlilik Politikası

CartCrew ("biz", "uygulama") olarak gizliliğinize önem veriyoruz. Bu politika; mobil uygulamamızı, web sitemizi ve ilgili servisleri ("Hizmet") kullandığınızda hangi kişisel verileri topladığımızı, bunları nasıl işlediğimizi, kimlerle paylaştığımızı ve hangi haklara sahip olduğunuzu açıklar.

Bu politika; 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR), Apple App Store ve Google Play Store gereksinimleri çerçevesinde hazırlanmıştır.

1. Veri Sorumlusu

Hizmet'in veri sorumlusu CartCrew geliştirme ekibidir. Bu politika kapsamındaki tüm talep ve sorularınızı aşağıdaki kanaldan iletebilirsiniz:

• E-posta: [email protected]
• Web: https://cartcrew.app

2. Topladığımız Veriler

2.1 Hesap ve profil bilgileri

• E-posta adresi, görünen ad (display name) ve isteğe bağlı profil fotoğrafı
• Şifre (yalnızca tek yönlü hash'lenmiş biçimde saklanır; düz metin olarak tutulmaz)
• Google veya Apple ile giriş yaptığınızda ilgili sağlayıcıdan alınan kimlik token'ı (id_token); saklanmaz, yalnızca doğrulama sırasında kullanılır
• Apple "E-postamı Gizle" seçilirse @privaterelay.appleid.com proxy e-postası

2.2 Uygulama içi içerik

• Oluşturduğunuz alışveriş listeleri, liste isimleri, emoji ikonları
• Eklediğiniz ürünler (ad, adet, birim, not), barkod taramaları ve ürün fotoğrafları
• Satın alma kayıtları (ödenen tutar, satın alan üye, tarih)
• Tüketim/israf durumu (tüketildi, son kullanma geçti, bozuldu, unutuldu vb.) ve israf nedeni
• Liste üyelik ilişkileri, davetler, davet kodları
• Diyet tercihleri (vegan, vegetarian, halal vb.) ve alerjen tercihleri (gluten, laktoz vb.)

2.3 Cihaz ve teknik veriler

• Push bildirimleri için Firebase Cloud Messaging (FCM) token'ı, cihaz platformu (iOS/Android/Web) ve isteğe bağlı cihaz adı
• IP adresi, kullanıcı aracı (user agent), uygulama sürümü, oturum süresi gibi teknik kayıtlar (sunucu log'larında en fazla 30 gün)
• Şifre sıfırlama, e-posta doğrulama gibi işlemler için üretilen tek kullanımlık token'lar

2.4 Abonelik verileri

• Premium abonelik durumu, satın aldığınız ürün kimliği, platform (App Store, Play Store, Stripe), satın alma tarihi, yenileme/bitiş tarihi
• RevenueCat üzerinden gelen işlem kimlikleri ve abonelik olayları (yenileme, iptal, fatura sorunu)
• Kredi kartı numarası, CVV gibi ödeme bilgilerini hiçbir zaman görmüyor veya saklamıyoruz; ödemeler doğrudan Apple, Google veya Stripe altyapısı üzerinden gerçekleşir.

2.5 Toplamadığımız veriler

• Hassas sağlık verileri, biyometrik veriler, finansal hesap bilgileri
• Reklam izleme kimlikleri (IDFA/AAID) — uygulamada reklam SDK'sı bulunmaz
• Konum verileri (uygulama konum izni talep etmez)
• Rehber, takvim, fotoğraf galerisi içeriği (yalnızca avatar yüklerken seçtiğiniz tek görsele erişiriz)

3. Verileri Kullanma Amaçlarımız

• Hesap oluşturma, giriş yapma ve kimlik doğrulama (JWT ve refresh token akışı)
• Paylaşımlı listeleri gerçek zamanlı senkronize etmek (SignalR üzerinden)
• Liste üyelerine yeni öğe, satın alma, üye katılımı gibi olaylarda push bildirim göndermek
• Barkod taramasıyla ürünleri tanımak ve diyet/alerjen uyumluluğunu hesaplamak
• Premium abonelik haklarınızı doğrulamak ve free tier limitlerini uygulamak
• Haftalık/aylık israf raporlarını üretmek
• Hizmet'in güvenliğini sağlamak, kötüye kullanımı önlemek, hata ayıklamak
• Yasal yükümlülükleri yerine getirmek

4. Hukuki Dayanaklar (GDPR / KVKK)

• Sözleşmenin ifası: Hesap, listeler, abonelik gibi temel hizmetlerin sağlanması için zorunlu veriler.
• Açık rıza: Push bildirimleri, isteğe bağlı diyet/alerjen tercihleri, AI tabanlı içerik analizi.
• Meşru menfaat: Güvenlik kayıtları, kötüye kullanım tespiti, hizmet iyileştirme.
• Yasal yükümlülük: Yetkili mercilerin kanuna uygun talepleri.

5. Üçüncü Taraflarla Paylaşım

Verilerinizi satmıyoruz ve pazarlama amacıyla üçüncü taraflarla paylaşmıyoruz. Hizmet'in çalışabilmesi için sınırlı veriyi aşağıdaki işleyenlerle paylaşırız:

Yukarıdaki işleyenlerin bir kısmı verilerinizi AB/Türkiye dışında işleyebilir. Bu durumlarda standart sözleşme hükümleri veya eşdeğer güvenceler uygulanır.

6. Veri Saklama Süreleri

• Hesap verileri: Hesabınız aktif olduğu sürece + hesap silindikten sonra anonimleştirilerek saklanır
• Liste ve öğe verileri: Liste sahibi silene kadar; listeyi terk ederseniz üyelik kaydınız silinir
• Sunucu erişim log'ları: En fazla 30 gün
• FCM cihaz token'ları: Geçersizleşene veya cihazı silene kadar
• Abonelik kayıtları: Yasal yükümlülük süresince (genellikle 10 yıl)
• Refresh token'lar: Süresi dolduğunda veya çıkış yapıldığında iptal edilir

7. Hesap Silme ve Veri Silme Hakkı

Hesabınızı dilediğiniz zaman uygulama içinden Profil → Hesabı Sil menüsünden silebilirsiniz. Silme işlemi gerçekleştiğinde:

• Hesabınız "soft delete" ile pasifleştirilir; e-posta ve kullanıcı adı anonimleştirilir
• Tüm refresh token'larınız iptal edilir, oturumlarınız kapatılır
• Kişisel verilerinizden ayrıştırılabilen liste/üyelik verileri kalıcı olarak silinir veya anonimleştirilir
• Yasal yükümlülük gereği saklanması gereken kayıtlar (örn. vergi/abonelik faturaları) ilgili süre boyunca tutulur

Alternatif olarak hesap silme talebinizi [email protected] adresine yazılı olarak iletebilirsiniz. Talepleri en geç 30 gün içinde işleme alırız.

8. Haklarınız

KVKK ve GDPR kapsamında aşağıdaki haklara sahipsiniz:

• Hangi verilerinizin işlendiğini öğrenme ve bunlara erişme
• Yanlış veya eksik verilerin düzeltilmesini isteme
• Verilerinizin silinmesini veya anonimleştirilmesini isteme
• İşlemenin sınırlandırılmasını talep etme
• Verilerinizin yapılandırılmış bir formatta size verilmesini (data portability) isteme
• Profil oluşturmaya veya otomatik karar verme süreçlerine itiraz etme
• Verdiğiniz açık rızayı dilediğiniz zaman geri çekme

Taleplerinizi [email protected] adresine gönderebilirsiniz. Kimlik doğrulaması yapıldıktan sonra en geç 30 gün içinde yanıtlanır.

9. Veri Güvenliği

• Tüm trafik HTTPS/TLS 1.2+ üzerinden şifrelenir
• Şifreler endüstri standardı hash algoritması (ASP.NET Identity, PBKDF2 + tuzlama) ile saklanır
• JWT erişim token'ları kısa ömürlüdür; refresh token rotasyonu uygulanır
• Veri tabanı ve dosya depolama erişim kontrolleri rol bazlı yapılandırılmıştır
• Düzenli yedekleme ve felaket kurtarma planları mevcuttur

Hiçbir internet hizmeti %100 güvenli değildir. Şüpheli bir durumu fark ederseniz lütfen bize bildirin.

10. Çocukların Gizliliği

Hizmet, 13 yaşın altındaki çocuklar için tasarlanmamıştır. Bilerek 13 yaşından küçük kullanıcıların kişisel verisini toplamayız. Bir ebeveyn veya vasi olarak çocuğunuzun bilgilerini paylaştığını düşünüyorsanız lütfen bizimle iletişime geçin; ilgili verileri silelim.

11. Çerezler ve Web Sitesi

https://cartcrew.app web sitesi yalnızca işlevsel çerezler kullanır (oturum, davet kodu önbelleği). Reklam veya izleme çerezi kullanılmaz.

12. Politikadaki Değişiklikler

Bu politikayı zaman zaman güncelleyebiliriz. Önemli değişiklikleri uygulama içi bildirim ya da e-posta aracılığıyla duyururuz. Güncel sürüm her zaman bu sayfada yayınlanır; geçerli olan sürüm sayfanın başında belirtilen tarihtir.

13. İletişim

Gizlilikle ilgili her türlü soru, talep veya şikâyet için: [email protected]