Gizlilik Politikası ve KVKK Aydınlatma Metni

1. Veri sorumlusu kimdir

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca veri sorumlusu:

Bu politika yalnızca İkimiz uygulaması ve joyari.studio alan adı üzerindeki sayfalar için geçerlidir.

2. Hangi kişisel verileri işliyoruz

Yalnızca uygulamanın çalışması için gerekli olanı topluyoruz. Aşağıdaki tablo eksiksizdir; burada yazmayan bir veriyi toplamıyoruz.

2.1. Hesap verileri

2.2. Apple veya Google ile giriş yaparsanız

Bu yolu seçerseniz sağlayıcıdan yalnızca kullanıcı kimliğiniz, adınız ve e-posta adresiniz gelir. Apple ile girişte Apple’ın gizli yönlendirme adresini kullanmayı seçerseniz gerçek e-postanızı biz hiç görmeyiz. Sağlayıcıya parolanız, kişi listeniz veya başka hiçbir bilginiz sorulmaz.

2.3. İlişki verileri

2.4. Defterinize yazdıklarınız

Anılar (başlık, tarih, yer, not, ruh hali, fotoğraf), hayaller, “bir bakış” fotoğrafları, özel günler, karar çarkları, çift testi ve görev sonuçları, günün sorusu cevapları, barış kartları ve mühürlü mektuplar (metin ve ses).

Bu içerik size ve eşinize aittir. Reklam için kullanılmaz, üçüncü kişilere satılmaz, başka kullanıcılara gösterilmez, yapay zekâ eğitiminde kullanılmaz.

2.5. İşlemediğimiz veriler

• Konum verisi (anıya yazdığınız yer adı serbest metindir; telefonun konumu okunmaz)
• Kişi listesi, takvim, sağlık verisi
• Reklam kimliği (IDFA) ve her türlü izleme tanımlayıcısı
• Analitik, kullanım istatistiği, çökme raporu toplayan üçüncü taraf araçlar
• Ödeme bilgisi — uygulama ücretsizdir, uygulama içi satın alma yoktur

Uygulamada çerez kullanılmaz. joyari.studio üzerindeki bu yasal sayfalar da çerez kullanmaz ve dışarıdan hiçbir kaynak yüklemez.

2.6. Altyapı kayıtları

Kullandığımız barındırma sağlayıcıları, güvenlik ve hata takibi için IP adresi, istek zamanı ve cihaz/tarayıcı türü gibi teknik kayıtları kısa süreli tutar. Bu kayıtlara biz rutin olarak bakmayız; yalnızca bir kötüye kullanım veya arıza incelemesinde kullanılır.

3. Şifreleme: neyi korur, neyi korumaz

Mektup metinleri, fotoğraflar ve ses kayıtları telefonunuzda AES-256-GCM ile şifrelenir ve sunucuya şifreli hâlde gider. Veritabanı ya da dosya deposu tek başına ele geçse içerik okunamaz.

Ancak dürüst olmak gerekir: şifreleme anahtarı, ilişkiye bağlı bir satırda sunucuda da tutulur. Bu satırı yalnızca ilişkinin iki üyesi okuyabilir (veritabanı satır düzeyi güvenlik kuralları). Yine de teknik olarak, veritabanının yöneticisi (yani biz) anahtarı şifreli içeriğin yanında görebilecek konumdadır. Bunu yapmıyoruz ve yapmayacağız, ama “kimse okuyamaz” demek doğru olmazdı.

Bu tasarım tercihinin sebebi şudur: anahtar yalnızca cihazlarda tutulduğunda, telefonunu kaybeden veya değiştiren kullanıcı kendi mektuplarını bir daha hiç açamıyordu. Gerçek uçtan uca şifrelemeye (anahtarın hiç sunucuya uğramadığı modele) geçmeyi planlıyoruz; o gün geldiğinde bu metni günceller ve uygulama içinde duyururuz.

4. Verileri hangi amaçla ve hangi hukuki sebeple işliyoruz

Kişisel verileriniz otomatik sistemlerle analiz edilerek hakkınızda bir profil çıkarılmaz; sizin aleyhinize sonuç doğuran otomatik bir karar alınmaz.

5. Özel nitelikli veriler

KVKK m.6 anlamında özel nitelikli kişisel veri (sağlık, cinsel hayat, inanç, üyelik vb.) toplamayı amaçlamıyoruz ve uygulamada bunları soran hiçbir alan yok. Defterinize yazdığınız serbest metin ve fotoğraflar niteliği gereği her şeyi içerebilir; bu içerik şifreli saklanır ve tarafımızca okunmaz, taranmaz, sınıflandırılmaz.

6. Kimlerle paylaşıyoruz

Kişisel verilerinizi satmıyoruz ve pazarlama amacıyla kimseyle paylaşmıyoruz. Yalnızca uygulamanın çalışması için zorunlu olan hizmet sağlayıcıları (veri işleyenler) kullanıyoruz:

Bu sağlayıcılar verileri yalnızca bizim talimatımızla ve yalnızca hizmeti sunmak için işler. Kendi amaçları için kullanamazlar.

Ayrıca kanunen yetkili kamu kurum ve kuruluşlarına, yalnızca usulüne uygun ve yazılı bir talep geldiğinde ve yalnızca talebin kapsamıyla sınırlı olarak aktarım yapılabilir.

7. Yurt dışına aktarım

Yukarıdaki sağlayıcıların tamamı Türkiye dışında bulunduğundan, kişisel verileriniz KVKK m.9 anlamında yurt dışına aktarılmaktadır.

Verileriniz fiilen Avrupa Birliği içinde saklanmaktadır: veritabanı Frankfurt’ta (Almanya), dosya deposu Doğu Avrupa bölgesindedir. Doğrulama postalarını gönderen sağlayıcı Amerika Birleşik Devletleri’ndedir ve yalnızca e-posta adresinizi ile gönderilen postanın içeriğini görür.

Aktarımın hukuki dayanağı açık rızanızdır. Hesap açarken bu konuda ayrı bir onay veriyorsunuz; genel gizlilik onayının içine gömülmemiştir, çünkü açık rıza ayrı, özgür iradeyle ve bilgilendirilmiş olarak verilmelidir. Onay vermezseniz hesap açılamaz, çünkü uygulamanın çalışması bu sağlayıcılara bağlıdır.

Rızanızı her zaman geri alabilirsiniz. Geri aldığınızda hesabınızı sürdürmemiz teknik olarak mümkün olmadığından hesabınız kapatılır; dilerseniz bunu uygulamanın içinden kendiniz de yapabilirsiniz (Profil → Hesap → “Hesabımı sil”).

Türkiye’nin hangi ülkeler için yeterlilik kararı verdiği ve sağlayıcılarla standart sözleşme imzalama imkânı zaman içinde değişebilir. Dayanağımızı standart sözleşmeye taşıdığımızda bu metni günceller ve değişikliği uygulama içinde duyururuz.

8. Ne kadar süre saklıyoruz

Saklama süresi dolan veriler silinir, yok edilir veya anonim hâle getirilir.

9. İlişkiden ayrılmak, ilişkiyi bitirmek, hesabı silmek

Bu üçü farklı şeylerdir; ne olduğunu açıkça yazıyoruz.

İlişkiden ayrılmak

Siz çıkarsınız, eşinizin defteri yerinde kalır. Ortak kayıtlar sunucuda durur ama siz artık onları okuyamazsınız. Telefonunuzdaki yerel kopya silinir.

İlişkiyi bitirmek

İkiniz de çıkarsınız. Kayıtlar sunucuda kalır ama artık hiçbir üye olmadığı için kimse okuyamaz. İki telefondaki yerel kopyalar silinir.

Hesabı silmek

Profil → Hesap → “Hesabımı sil”. Hesabınız, profiliniz ve giriş kimliğiniz kalıcı olarak silinir.

• Eşiniz hâlâ ilişkideyse ortak defteriniz ona kalır — o kayıtlar iki kişinindir ve birinin hesabını kapatması diğerinin anılarını silme hakkı vermez. Yalnızca sizin kimliğiniz kayıtlardan düşer.
• İlişkide kimse kalmazsa ilişki ve ona bağlı bütün kayıtlar, mektuplar ve şifreleme anahtarı silinir.
• Nesne deposundaki şifreli fotoğraf ve ses dosyaları bir süre daha fiziksel olarak durabilir; şifreleme anahtarı yok edildiği için hiçbir şekilde çözülemez ve rutin temizlikle kaldırılır.

Hesap silmek için bize yazmanıza gerek yoktur; isterseniz yine de yazabilirsiniz.

10. Haklarınız

KVKK m.11 uyarınca veri sorumlusuna başvurarak şunları talep edebilirsiniz:

• Kişisel verinizin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmişse düzeltilmesini isteme
• KVKK m.7’deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme
• Düzeltme, silme ve yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç çıkmasına itiraz etme
• Kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

Nasıl başvurursunuz

Başvurunuzu Türkçe olarak, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun şekilde iletebilirsiniz:

• Yazılı olarak yukarıdaki adrese ıslak imzalı dilekçeyle
• Güvenli elektronik imza veya mobil imza ile imzalayıp support@joyari.studio adresine göndererek
• Hesabınızda kayıtlı e-posta adresinizden support@joyari.studio adresine yazarak

Başvurunuzda ad soyad, T.C. kimlik numarası (yabancılar için uyruk ve pasaport/kimlik numarası), tebligata esas adres, varsa telefon ve e-posta ile talebinizin konusu yer almalıdır.

Başvurunuzu en geç otuz gün içinde ücretsiz olarak sonuçlandırırız. İşlem ayrıca bir maliyet gerektirirse Kurul’un belirlediği tarifedeki ücret alınabilir. Sonuçtan memnun kalmazsanız ya da süresinde cevap alamazsanız Kişisel Verileri Koruma Kurulu’na şikâyette bulunma hakkınız saklıdır.

11. Güvenlik

• Bütün bağlantılar TLS ile şifrelenir.
• Parolalar geri çevrilemez özet (hash) olarak saklanır.
• Mektup, fotoğraf ve ses kayıtları cihazda AES-256-GCM ile şifrelenir.
• Veritabanında satır düzeyi güvenlik kuralları vardır: bir kullanıcı yalnızca kendi ilişkisine ait satırları okuyabilir. Bu kurallar otomatik testlerle sürekli sınanır.
• Fotoğraf ve ses dosyalarına erişim yalnızca beş dakika geçerli, imzalı ve kullanıcının ilişkisine göre sınırlanmış adreslerle verilir.
• Doğrulama kodu istekleri sınırlandırılır.

Hiçbir sistem mutlak güvenli değildir. Veri ihlali yaşanırsa KVKK uyarınca Kurul’a ve etkilenen kullanıcılara en kısa sürede bildiririz.

12. Çocuklar

İkimiz 18 yaşından küçükler için tasarlanmamıştır ve 18 yaşından küçüklerin kullanımına açık değildir. 18 yaşından küçük birine ait kişisel veri işlediğimizi fark edersek hesabı ve verileri sileriz. Böyle bir durumu fark ederseniz lütfen bize yazın.

13. Bu metindeki değişiklikler

Politikayı güncellersek bu sayfadaki yürürlük tarihini değiştiririz. Önemli bir değişiklik olursa uygulama içinde ayrıca duyururuz.

14. İletişim

Her türlü soru, talep ve şikâyet için: support@joyari.studio