Gizlilik Politikası

Kısaca

Sözümüz: Satmayız. Profilini çıkarmayız. İçeriğine bakmayız. Reklam gösterirsek herkese aynı reklamı gösteririz; kişiye özel hedefleme yapmayız ve verilerinizi reklam için kullanmayız. Topladığımız her şeyi burada açıkça yazıyoruz. Başka platformlar bunu ince yazıya gömer; biz gömmüyoruz.

Bu metin sade dille yazılmış genel bir özettir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki yasal Aydınlatma Metni için buraya, çerezlerin tam dökümü için Çerez Politikası sayfasına bakın.

1. Topladığımız veriler ve neden

Hesap açmak için zorunlu:

• Kullanıcı adı ve e-posta — Hesabınızı tanımlamak için. E-posta ile tam anonim olmak mümkün değil; bu bir ödünleşim ve bunu açıkça söylüyoruz. Takma ad e-posta veya geçici adres kullanabilirsiniz.
• Şifre — Argon2id algoritmasıyla özetlenerek saklanır (eski kayıtlar için scrypt ile uyumluluk korunur). Orijinal şifrenizi biz de göremeyiz, hiçbir zaman. Şifrenizi belirlerken, halka açık veri sızıntılarında geçip geçmediğini HIBP (Have I Been Pwned) hizmetiyle kontrol ederiz; bu kontrolde şifreniz hizmete gönderilmez, yalnızca SHA-1 özetinin ilk 5 karakteri sorgulanır (parolanın kendisi değil, yalnız binlerce parolayla ortak bir parçası gider).

Güvenlik için otomatik:

• IP adresi — Şüpheli girişleri tespit etmek, hesap ele geçirilmesini önlemek için. Oturumunuz açıkken IP adresiniz değişirse sizi uyarırız.
• Ülke bilgisi — Altyapı sağlayıcımız Cloudflare'in ağ katmanından gelen ülke bilgisi (örn. Türkiye) saklanır. Yeni bir cihazdan girişte size "hangi ülkeden" girildiğini gösterebilmek içindir. GPS veya sokak düzeyinde hassas konum toplamıyoruz; yalnızca ülke seviyesinde, IP'den türetilen kaba bir bilgidir ve bunun için dışarıdaki bir konum hizmetine çağrı yapmayız.
• Tarayıcı ve cihaz bilgisi (User-Agent) — Hangi cihazdan giriş yaptığınızı görebilmeniz ve yabancı cihazları fark edebilmeniz için.
• Giriş zamanları ve hesap etkinliği kayıtları — Hesabınızdaki güvenlik olaylarını size gösterebilmek için (panelden görebilirsiniz). Bu kayıtlar belirli bir süre sonra otomatik silinir; ayrıntı için Aydınlatma Metni'ndeki saklama sürelerine bakın.

Toplamadığımız veriler:

• GPS veya sokak düzeyinde hassas konum
• Reklam profili veya davranışsal takip
• Üçüncü taraf izleme pikselleri

2. İki faktörlü doğrulama (2FA) sırrı

İki faktörlü doğrulama etkinleştirdiyseniz TOTP sırrınız şifreli (ChaCha20/AES-GCM, hesap kimliğinize bağlı) olarak saklanır. Şifreleme anahtarı veritabanından ayrı tutulur.

3. Veriler nerede ve kimlerle paylaşılıyor

Veriler kendi sunucularımızda tutulur. Tek istisna felaket kurtarma yedeği: şifreli bir kopyası Google Cloud'da (yurt dışı) durur, çözme anahtarı bizdedir. Google içeriği okuyamaz. Hizmetin çalışması için ayrıca aşağıdaki hizmet sağlayıcıları (veri işleyenler) kullanılır:

• Cloudflare — Altyapı güvenliği, robot denetimi ve erişilebilirlik. Cloudflare Inc. (ABD) altyapısı kullanılır: tarayıcınızla aramızdaki bağlantı şifrelidir (HTTPS), ancak bu şifreleme Cloudflare'in sunucularında açılır; Cloudflare hizmeti sunmak için trafiği (IP adresi dahil) kendi sunucularında işler; ülke bilgisi de buradan gelir. Bu bir yurt dışı aktarımdır (aşağıya bakın).
• Google Cloud Storage — Yalnız felaket kurtarma yedeği: sunucu yedeğinin (veritabanı ve profil fotoğrafları dahil) AES-256 ile şifrelenmiş bir kopyası yurt dışında tutulur. Çözme parolası bulutta değil, yalnız bizdedir; Google içeriği okuyamaz. Bulutta en çok son 14 günün yedeği kalır, eskisi silinir.
• HIBP (Have I Been Pwned) — Yalnızca şifre güvenliği kontrolü için; şifreniz gönderilmez (parolanın kendisi değil, yalnız ortak bir parçası).
• E-posta gönderim sağlayıcısı — Doğrulama, şifre sıfırlama ve güvenlik uyarısı e-postalarını iletmek için e-posta adresiniz kullanılır. Pazarlama/bülten e-postası göndermiyoruz.
• MinIO (depolama) — Yüklerseniz profil fotoğrafınız (avatar) burada saklanır.

Bu sağlayıcıların bir kısmı yurt dışında bulunabilir. Yurt dışı aktarımı yalnızca KVKK md. 9'da öngörülen koşullar (uygun güvence/standart sözleşme veya açık rızanız) çerçevesinde yapılır. Ayrıntı: Aydınlatma Metni.

4. Veri satışı yapmıyoruz

Verilerinizi üçüncü taraflara satmıyoruz, kiralamıyoruz, pazarlama amacıyla paylaşmıyoruz. Yasal zorunluluk (mahkeme/idari makam kararı gibi) dışında kimseyle paylaşılmaz. Böyle bir talep gelirse, yasal olarak mümkünse sizi önceden bilgilendirmeye çalışırız.

5. Haklarınız (KVKK md. 11 / GDPR md. 15-20)

• Erişim: Hangi verilerinizin tutulduğunu öğrenebilir, panelden "Verilerimi indir" ile başka bir hizmete de aktarabileceğiniz bir dosya olarak kopyasını alabilirsiniz.
• Düzeltme: Yanlış bilgilerin düzeltilmesini isteyebilirsiniz.
• Silme: Hesabınızı sildiğinizde 30 günlük geri-alma süresinin ardından kişisel verileriniz sistemlerimizden kalıcı olarak kaldırılır. Güvenlik ve işlem kayıtları yasal zorunluluklar nedeniyle, ilgili saklama süresi boyunca tutulabilir.
• Taşınabilirlik: Verilerinizin başka bir hizmete aktarılabilir bir kopyasını panelden indirebilirsiniz.

Bu hakları kullanmak için: [email protected]

6. Çerezler

Yalnızca hizmetin çalışması için zorunlu çerezler ve oturum açmayı kolaylaştıran sınırlı sayıda işlevsel çerez kullanılır. Reklam veya takip amacıyla çerez kullanılmaz. Tam liste ve açıklamalar: Çerez Politikası.

7. Anonim performans ölçümü

Giriş, kayıt ve onay sayfalarının ne kadar hızlı açıldığını ve takılıp takılmadığını anlamak için kimliksiz ve toplu bir ölçüm yapılır (Metastaz Insights). Toplanan: sayfa açılış süreleri, 200 ms'den uzun takılmalar, aynı siteye giden isteklerin süresi, hatanın türü ve kişisel bilgiden arındırılmış kısa izi (dosya adı ve satır), platform, tarayıcı ailesi ve ana sürümü, ekran boyu sınıfı. Toplanmaz: kullanıcı adınız, e-postanız, parolanız, hesap numaranız, IP adresiniz, konumunuz, sayfa adresi, çerez, cihaz numarası; yazdığınız hiçbir şey.

Ölçüm bu sitenin kendi adresine (/_olcum) çerezsiz gönderilir; Metastaz'ın kendi sunucusunda yalnız toplam sayılar olarak tutulur (saatlik toplamlar 35 gün, sonra günlük; 400 günde silinir; hata izleri 90 gün). Hesabınıza bağlanmaz, kimseyle paylaşılmaz, reklam için kullanılmaz. Toplandığı anda anonim olduğundan KVKK anlamında kişisel veri değildir. Kapatmak için: tarayıcınızda Do Not Track / Global Privacy Control açıksa ölçüm baştan kapalıdır; ayrıntılar metastaz.org/gizlilik sayfasında, her Metastaz uygulamasının Ayarlar'ında da "Anonim ölçüm" anahtarı vardır.

8. Çocuklar

Bu hizmet 18 yaşından küçüklere yönelik değildir; 18 yaşından küçük kişiler kayıt olmamalıdır. 18 yaşından küçük birine ait olduğunu öğrendiğimiz hesapları kapatırız. (Avrupa Birliği'nde ikamet eden kullanıcılar için geçerli olabilecek yaş eşiği ve veli onayı koşulları için Aydınlatma Metni'ne bakın.)

9. Değişiklikler

Politika değiştiğinde bu sayfanın başındaki sürüm numarası ve tarih güncellenir, neyin değiştiği sürüm satırında kısaca yazar. Verilerinizi yeni bir amaçla işlemeye ya da yeni bir yere aktarmaya başlamadan önce bunu, Kullanım Koşulları güncellemesiyle birlikte, platforma girişte ayrıca onayınıza sunarız. Güncel sürüm her zaman bu sayfada yayınlanır.

10. İletişim

Veri sorumlusu kimliği ve iletişim bilgileri Aydınlatma Metni'nde yer alır. Genel gizlilik soruları: [email protected]