Gizlilik Politikası ve Aydınlatma Metni

1. Veri Sorumlusunun Kimliği ve Başvuru Usulü

Müşterek Veri Sorumluları: Baran Emre Güreş ve Barış Halil İnal (epicurIST Adi Ortaklığı). Tebligat Adresi: Metro, Emniyetevleri Sapphire B4 Katı, 4.Levent, 34415 Kağıthane/İstanbul, Türkiye. İletişim E-posta: social@epicurist.app

KVKK Madde 10 ve GDPR Madde 13/14 uyarınca, kişisel verileriniz Müşterek Veri Sorumluları sıfatıyla Baran Emre Güreş ve Barış Halil İnal (epicurIST Adi Ortaklığı) (“epicurIST”) tarafından müteselsilen işlenmektedir. Müşterek veri sorumluları arasındaki görev, yetki ve sorumluluk dağılımı GDPR Madde 26 çerçevesinde belirlenmiştir.

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca, kullanıcılarımız sistemimizde kayıtlı bulunan e-posta adresleri üzerinden social@epicurist.app adresine başvurarak KVKK m. 11 ve GDPR m. 15-22 kapsamındaki haklarını kullanabilirler. Kayıtlı e-posta adresi üzerinden yapılan başvurularda Ad-Soyad ve talep konusunun belirtilmesi yeterli olup T.C. Kimlik Numarası istenmemektedir. Sistemde kayıtlı olmayan e-posta adreslerinden yapılan başvurularda veya yazılı taleplerde ise kimlik doğrulaması amacıyla T.C. Kimlik No (yabancılar için Pasaport No) talep edilebilir.

2. İşlenen Kişisel Veriler, Toplama Yöntemleri ve Hukuki Sebepleri

Kişisel verileriniz, Uygulama’yı cihazınıza indirmeniz, hesap oluşturmanız, içerik paylaşmanız ve uygulama içi özellikleri kullanmanız sırasında otomatik veya kısmen otomatik elektronik yöntemlerle toplanmaktadır.

Hesap ve Profil Bilgileri — E-posta adresi, kullanıcı adı, profil fotoğrafı, isteğe bağlı meslek ve sosyal medya bağlantıları (Ad-soyad zorunlu olarak talep edilmez). Toplama yöntemi: Kullanıcı tarafından form aracılığıyla doğrudan girdi sağlanması. KVKK hukuki sebebi: m. 5/2-(c) Kullanıcı üyelik sözleşmesinin kurulması ve ifası. GDPR hukuki sebebi: Art. 6(1)(b) Performance of Contract.

Anlık ve Yaklaşık Konum Verisi — Anlık GPS koordinatları (Yalnızca konum izni verdiyseniz; "Yakınımdaki Mekanlar" özelliği kullanıldığında ve harita ekranında kendi konumunuzu göstermek için anlık işlenir; arka planda takip yapılmaz, veritabanına kaydedilmez ve üçüncü taraflara gönderilmez). Toplama yöntemi: Cihaz Konum Servisleri (Location Services). KVKK hukuki sebebi: m. 5/1 Açık Rıza (Cihaz seviyesinde isteğe bağlı opt-in izin). GDPR hukuki sebebi: Art. 6(1)(a) Explicit Consent.

Görsel Veriler (Fotoğraf / Galeri) — Yalnızca Kullanıcı tarafından gönderiye veya profile eklenmek üzere seçilen fotoğraf dosyaları. Toplama yöntemi: Sistem Görsel Seçicisi (PHPickerViewController / Android Activity Result). KVKK hukuki sebebi: m. 5/1 Açık Rıza (İsteğe bağlı cihaz izni). GDPR hukuki sebebi: Art. 6(1)(a) Explicit Consent.

Teknik Veriler ve Güvenlik — Oturum anahtarları (JWT Tokens), Cihaz Bildirim Anahtarı (Push Token), cihaz modeli, OS versiyonu, çökme logları. Toplama yöntemi: Arka plan istemci-sunucu iletişimi ve cihaz bildirim servisleri. KVKK hukuki sebebi: m. 5/2-(f) Meşru menfaat & m. 5/2-(ç) Veri güvenliği sağlama yükümlülüğü. GDPR hukuki sebebi: Art. 6(1)(f) Legitimate Interests & Art. 6(1)(c) Legal Obligation.

Kullanıcılar tarafından yüklenen profil fotoğrafları veya mekan görselleri üzerinden kesinlikle biyometrik veri işleme, yüz tanıma veya kişisel profilleme analizi yapılmamaktadır. Söz konusu görseller, kullanıcının kendi iradesiyle sisteme yüklenmesi suretiyle alenileştirilmiş (KVKK m. 5/2-(d)) kabul edilir ve yalnızca uygulamanın sosyal işlevselliğinin sağlanması amacıyla işlenir. Hassas konum verisi cihaz seviyesinde kullanıcı izin verirse anlık işlenir; konum izni istenmeden önce uygulama ekranında belirgin bir bilgilendirme (in-app disclosure) sunulur.

3. Kullanıcı İçeriği, Kamuoyuna Açık ve Özel Veriler

Public (Herkese Açık) Veriler: Uygulama üzerinde tüm kullanıcıların erişimine açık olacak şekilde paylaştığınız yorumlar, mekan puanlamaları, kamuya açık listeler ve yüklediğiniz fotoğraflar; KVKK m. 5/2-(d) uyarınca tarafınızca alenileştirilmiş veri kapsamında ve KVKK m. 5/2-(c) / GDPR Art. 6(1)(b) uyarınca üyelik sözleşmesinin ifası amacıyla işlenir.

Özel / Gizli Veriler ve Şikayetler: Sadece sizin görebildiğiniz özel listeler ile platform içi şikayet, raporlama ve destek talepleriniz kamuya açık alenileştirilmiş veri sayılmaz; bu veriler KVKK m. 5/2-(c) ve KVKK m. 5/2-(f) hukuki sebeplerine dayanılarak işlenir.

İçerik Moderasyonu: Platform güvenliği ve topluluk kurallarının korunması amacıyla spam, yanıltıcı veya hukuka aykırı içerikler moderasyon süzgecinden geçirilebilir.

4. Oturum Güvenliği, Şifreleme ve Teknik Tedbirler

Oturum verilerinizin güvenliği KVKK Madde 12 ve GDPR Madde 32 uyarınca üst düzey teknik tedbirlerle korunmaktadır:

Oturum anahtarlarınız (Access ve Refresh Token'lar), iOS cihazlarda izolasyonlu Anahtar Zinciri (iOS Keychain) ve Android cihazlarda donanım tabanlı EncryptedSharedPreferences altyapısında şifrelenerek saklanır.

Uygulama ile sunucular arasındaki tüm veri akışı TLS 1.2 ve üzeri şifreleme protokolleri ile yürütülür.

Veritabanımızdaki veriler Satır Düzeyinde Erişim Denetimi (Row Level Security - RLS) ile korunur.

Oturum kapatıldığında veya hesap silindiğinde lokal token'lar silinir ve sunucu altyapısındaki oturum kimlikleri derhal geçersiz kılınır (invalidation).

5. Harita Servisleri: Google Maps API ve Server-Side Proxy Mimarisi

Uygulama içerisinde harita gösterimi ve mekan arama işlevleri için Google Maps ve Google Places API servisleri kullanılmaktadır.

Mekan Arama: Gizliliğinizi korumak amacıyla mekan arama sorgularınız cihazınızdan doğrudan Google sunucularına gönderilmez; epicurIST'in kendi kontrolündeki Server-Side Proxy (Sunucu Tarafı Vekil Sunucu) üzerinden geçirilir. Bu işlem esnasında IP adresiniz, cihaz kimliğiniz ve Kullanıcı ID'niz Google'a iletilmez (anonymization); konum koordinatlarınız Google'a hiç gönderilmez, arama yalnızca İstanbul sınırlarıyla daraltılır. Böylelikle Google servislerinin arama sorgularınız üzerinden gerçek IP adresinizi veya bireysel kimliğinizi profillemesi ve takip etmesi (tracking) engellenir.

Harita Görüntüsü: Haritanın kendisi (harita karoları ve mekan sayfasındaki harita görseli) cihazınızda doğrudan harita sağlayıcısından yüklenir: Google Maps, Apple Haritalar veya Mapbox. Bu yükleme sırasında cihazınızın IP adresi ve haritada görüntülediğiniz bölge ilgili sağlayıcıya ulaşır; epicurIST hesap bilgileriniz bu sağlayıcılara iletilmez.

Mekan Fotoğrafları: Mekan sayfasındaki Google fotoğrafları cihazınıza doğrudan Google'dan yüklenir; bu sırada IP adresiniz ve görüntülenen mekan Google'a ulaşır.

6. Veri Aktarımı ve Uluslararası Veri Transferi (Cross-Border Data Transfers)

Kişisel verileriniz; sizin açık rızanız alınmadıkça politikalarımız gereği reklam, pazarlama, profilleme veya veri satışı amacıyla kesinlikle üçüncü kişilere aktarılmaz ve satılmaz.

Mekan aramalarında Server-Side Proxy kullanıldığı için arama sorgularınız kimliğinizle birlikte Google'a aktarılmaz; harita görüntüsü yüklenirken IP adresinizin harita sağlayıcısına ulaşması 5. maddede açıklanmıştır. Ayrıca mobil bildirimlerin iletilebilmesi amacıyla cihaz bildirim anahtarınız (Push Token) Apple APNs (Apple Inc.) ve Google FCM (Google LLC) altyapılarına iletilmektedir. Sunucu ve veritabanı altyapımızın yurt dışında yer alan güvenli bulut veri merkezlerinde barındırılması durumunda; kişisel verileriniz, 6698 sayılı KVKK'nın 7499 sayılı Kanun ile değişik 9. maddesi (Standart Sözleşmeler / Standard Contractual Clauses) ve GDPR Chapter V hükümleri uyarınca gerekli idari ve teknik tedbirler temin edilerek yurt dışına aktarılmaktadır. Sunucu ve veritabanımız güncel olarak Türkiye Cumhuriyeti sınırlarında ilgili KVKK maddelerine uygun bir biçimde depolanmaktadır.

7. App Store ve Google Play Store Uyum Beyanları ve Hesap/Veri Silme Kanalları

epicurIST, Apple App Store Review Guidelines (Guideline 5.1.1) ve Google Play Store User Data Policies uyarınca tüm veri şeffaflığı gereksinimlerini karşılamaktadır:

Apple Privacy Manifest ve Required Reason APIs: Uygulamamız iOS 17 ve üzeri sürümler için zorunlu kılınan Gizlilik Bildirim Dosyası mimarisini bünyesinde barındırmaktadır. Kullanıcı oturum güvenliğini ve donanım tabanlı anahtar saklama işlevlerini yürütmek amacıyla kullanılan sistem API'leri yalnızca uygulamanın temel oturum fonksiyonlarını yürütmek amacıyla ve Apple tarafından izin verilen yasal gerekçelerle sınırlı olarak kullanılmaktadır. Kullanıcı cihazı üzerinde kesinlikle parmak izi çıkarma (fingerprinting) veya izleme (tracking) faaliyeti yürütülmemektedir.

Hesap ve Veri Silme Kanalları:

1. Uygulama İçi Silme: Profil → Ayarlar → Hesabı Yönet → Hesabımı Sil adımları takip edilerek tüm veriler anında silinebilir.

2. Harici Web Sayfası Üzerinden Silme: Uygulama cihazdan silinmiş olsa dahi https://epicurist.app/delete-account adresi üzerinden Web Hesap Silme Formu ile talep oluşturulabilir.

Silme Süreçleri ve Veri İmhası: Silme talebi ulaştığında veriler ana veritabanından derhal silinir, sistem yedeklerinde en geç 30 gün içinde imha edilir. Yasal zorunluluk kapsamındaki loglar en fazla 2 yıl süreyle saklanır.

Takip (Tracking) ve ATT Beyanı: Reklam kimliği (IDFA/GAID) toplanmaz, veri satışı yapılmaz, App Tracking Transparency (ATT) kapsamında izleme yürütülmez.

8. İlgili Kişinin Hakları ve Şikayet Yolları (KVKK m. 11 & GDPR Art. 15-22)

Kişisel veri sahibi olarak KVKK Madde 11 ve GDPR Madde 15-22 uyarınca aşağıdaki haklara sahipsiniz:

Kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme (Erişim Hakkı),

Eksik veya yanlış işlenmiş verilerinizin düzeltilmesini isteme (Düzeltme Hakkı),

KVKK m. 7 ve GDPR m. 17 (Unutulma Hakkı / Right to be Forgotten) çerçevesinde verilerinizin silinmesini isteme,

Veri işlemenin kısıtlanmasını talep etme (GDPR m. 18) ve işleme faaliyetine itiraz etme (GDPR m. 21),

Otomatik sistemlerle işlenen verilerinizin yapılandırılmış ve makinece okunabilir bir formatta kopyasını alma (Veri Taşınabilirliği Hakkı - GDPR m. 20) (Uygulama içi Profil → Ayarlar → Hesabı Yönet → Verilerimi İndir butonu üzerinden doğrudan kullanılabilir),

Yetkili Otoriteye Şikayet Hakkı: Veri koruma haklarınızın ihlal edildiği kanaatindeyseniz, Türkiye'de Kişisel Verileri Koruma Kurumu'na (KVK Kurumu) veya AB üyesi ülkelerdeki yetkili Veri Koruma Otoritesine (Data Protection Authority - DPA) şikayette bulunma hakkınız saklıdır (GDPR Art. 77).

Taleplerinizi social@epicurist.app e-posta adresine iletebilirsiniz.

9. Çocuk Gizliliği ve Yaş Sınırı (Children's Privacy)

epicurIST mobil uygulaması 18 yaşın altındaki çocuklara yönelik tasarlanmamıştır ve platformumuz aracılığıyla 18 yaşın altındaki bireylerden bilerek kişisel veri toplanmamaktadır. 18 yaşından küçük bir bireye ait kişisel verilerin ebeveyn veya vasinin rızası olmaksızın işlendiğinin tespit edilmesi halinde, söz konusu veriler ve ilişkili hesap derhal sistemlerimizden silinecektir.

10. Entegre Üçüncü Taraf SDK'lar, Çerezler ve Gizlilik Politikası Güncellemeleri

Uygulamamızda reklam veya üçüncü taraf takip çerezleri kesinlikle kullanılmaz. Mobil uygulamanın kesintisiz, güvenli ve performanslı çalışabilmesi amacıyla yalnızca aşağıdaki teknik ve altyapısal Yazılım Geliştirme Kitleri (SDK'lar) kullanılmaktadır:

Apple APNs (Apple Inc.) — Kullanım Amacı: iOS cihazlara anlık bildirim iletimi. Veri Türü: Cihaz Bildirim Anahtarı (Push Token). Güvenlik: Apple Privacy Standards.

Google FCM (Google LLC) — Kullanım Amacı: Android cihazlara anlık bildirim iletimi. Veri Türü: Cihaz Bildirim Anahtarı (Push Token). Güvenlik: Google Cloud Security.

Google Maps API (Google LLC) — Kullanım Amacı: Harita gösterimi, mekan arama ve mekan fotoğrafları. Veri Türü: Mekan arama sorgusu (kimliksiz); harita görüntüsü yüklenirken IP adresi; mekan fotoğrafları yüklenirken IP adresi ve görüntülenen mekan. Güvenlik: Aramada Server-Side Proxy (IP & ID Masking).

Dorukcloud (Doruknet) — Kullanım Amacı: Veritabanı ve bulut barındırma. Veri Türü: Hesap, İçerik ve İşlem Logları. Güvenlik: Encrypted at Rest & RLS / KVKK SCC.

epicurIST, mevzuat değişiklikleri veya platform politikası güncellemeleri doğrultusunda işbu Gizlilik Politikası'nı zaman zaman güncelleyebilir. Güncellenen metin Uygulama ve web sitesi üzerinden yayınlandığı tarihte yürürlüğe girer.