Gizlilik Politikası

1. Veri sorumlusu ve kapsam

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında veri sorumlusu Burak Altıntaş (Antalya, Türkiye) olup, iletişim adresleri burak.altintas@yahoo.com.tr ve info@bankaci.app adresleridir.

Bu politika aşağıdaki ürünler için geçerlidir:

• Bankacı mobil uygulaması (iOS ve Android)
• bankaci.app ve aynı içeriği sunan Bankacı web alanları

Bankacı bağımsız bir profesyonel yardımcı araçtır; banka veya finans kuruluşu değildir, kredi kullandırmaz ve finansal danışmanlık garantisi vermez.

Talep linki: Premium bir bankacı, kendi paylaştığı bağlantı üzerinden müşterilerinden üyelik gerektirmeyen kredi talebi toplayabilir. Bu formu dolduran müşterinin kişisel verileri bakımından, müşteriyle ilişkiyi kuran ve talebi kendi işi için kullanan ilgili bankacı bağımsız veri sorumlusudur; Bankacı ise formun teknik olarak sunulması ve talebin yalnızca doğru bankacıya iletilmesi bakımından hizmet sağlayıcı/aracı konumundadır. Talep formu bu Gizlilik Politikası'na bağlantı verir; formu gönderen müşteri bu metinle bilgilendirilmiş sayılır. Uygulamada, bankaci.app'te ve KrediBul'da bankaların öne çıkan kampanyaları gösterilir. Bunlar bankaların teklifleridir; koşullar ve başvuru bankanın kendi sitesindedir. Kampanya bildirimleri ve kampanya sayımı için bölüm 2 ve 10'a bakın. Başka yeni bir özellik için bu politika ve uygulama içi aydınlatmalar önceden güncellenir.

2. İşlediğimiz veriler, amaçlar ve hukuki sebepler

OTP kodunun kendisi düz metin saklanmaz; salt ve HMAC özeti tutulur. Oturum tokenının da yalnız tek yönlü özeti saklanır. Hesaplama olaylarına ad, e-posta, telefon, profil veya RevenueCat kimliği eklenmez ve bu olaylar üyelik hesabıyla ilişkilendirilmez; yalnızca hesaplamayı yapanın bankacı mı kredi arayan mı olduğu ve Premium kullanıp kullanmadığı — kimliğe bağlanmadan — eklenir. Ancak takma kimlikli veriler, ek bilgilerle eşleştirilebilme ihtimali nedeniyle tamamen anonim veri olarak değerlendirilmez. Öne çıkan bir kampanyanın açılması ve "Detaylar"a basılması yalnız kampanya, gün, yüzey (uygulama, bankaci.app, KrediBul) ve işlem başına bir sayı olarak tutulur. Kimin bastığı, hesap, cihaz, IP adresi ya da çerez bu sayıya girmez.

3. Cihazınızda kalan veriler

Hesaplama girişlerinin ve geçmişinin uygulama içindeki yerel kopyası, tercihler ve cihazda üretilen PDF'ler cihazınızda tutulur. PDF'ye eklediğiniz müşteri bilgilerini kiminle paylaşacağınıza siz karar verirsiniz; Bankacı bunları PDF üretimi amacıyla sunucuya yüklemez. Uygulamayı silmek cihazdaki yerel verileri siler; üyelik hesabını ve sunucudaki verileri tek başına silmez.

Ana ekran widget'ı yalnız cihazınızda saklanan bir özetten beslenir; sunucuya hiçbir şey göndermez. Ana ekran başkalarının da görebildiği bir yüzey olduğu için widget'a yalnız seçtiğiniz kısayolların adları ile son hesaplamanızın tutarı, vadesi ve kredi türü geçer. Aylık taksit, müşteri adı, telefon ve oran hiç geçmez; dilerseniz tutarı da gizleyebilirsiniz.

Siri ile hesaplama (iOS 17 ve sonrası, Premium): Sesinizi Apple'ın Siri'si işler; uygulama mikrofon izni istemez ve sesinizi almaz, yalnız Siri'nin anladığı tutar, vade ve faiz oranı gelir. Hesap cihazınızda yapılır; bu değerler sunucumuza gönderilmez ve hesaplama kullanım verisine eklenmez. Siri'nin Premium üyeliğinizi bilebilmesi için uygulama, cihazdaki paylaşılan alana Premium durumunu, bitiş tarihini ve en son ne zaman doğrulandığını, özelliğin açık olup olmadığını ve sunucu adresini yazar; bu kayıt cihazdan çıkmaz. Siri, önerebileceği ortalama faizi herkese açık bir istekle sunucumuzdan alır; bu isteğe hesap veya kişi bilgisi eklenmez.

Banka/kart bilgisi, T.C. kimlik numarası, kesin konum, rehber, mikrofon veya mesaj içeriği istemeyiz. KrediBul yazışmasında bir bankacının istediği belgeyi (ör. kimlik kartı) göndermek sizin kararınızdır: belge yalnız iletişim bilgilerinizi paylaştığınız bankacıya açılır ve yüklendikten 60 gün sonra silinir. Fotoğraf erişimi yalnız sizin seçtiğiniz profil/feed görselini ya da göndereceğiniz belgeyi yüklemek için kullanılır; fotoğraftaki konum bilgisi yüklenirken kaldırılır.

4. Toplama yöntemi

Veriler; mobil uygulama ve web formları, sizin yükleme/paylaşma işlemleriniz, cihaz ve işletim sistemi API'leri, Apple/Google mağaza kayıtları, RevenueCat webhookları, Expo bildirim altyapısı, web sitesinde yalnız izin verdiğinizde Microsoft Clarity ve hizmet güvenliği için otomatik teknik kayıtlar yoluyla elektronik ortamda elde edilir. Aydınlatma, açık rıza gereken işlemlerden ayrıdır; politika metnini okumak her işlem için açık rıza verdiğiniz anlamına gelmez.

5. Hizmet sağlayıcılar ve alıcı grupları

Aşağıdaki hizmet sağlayıcılar, yukarıdaki amaçlarla sınırlı olarak veri işler:

• Google LLC ve grup şirketleri — Google Cloud Run, PostgreSQL/GCS altyapısı, Google Play, Firebase/FCM ve Google AdMob dağıtım, barındırma, medya, bildirim, ödeme ve reklam hizmetleri. Google'ın veri kullanımı · Gizlilik politikası
• Anthropic, PBC (ABD) — yalnız AI Asistan kullanıldığında, girilen finansman senaryosunun öneriye çevrilmesi. Gönderilen alanlar ürünün kendi senaryo şemasıyla sınırlıdır; ad, T.C. kimlik numarası, telefon, hesap veya kart bilgisi sorulmaz. Not alanına yazılırsa T.C. kimlik numarası, vergi kimlik numarası, telefon, IBAN, kart numarası ve e-posta gönderilmeden önce maskelenir; ad maskelenmez, bu yüzden not alanına kimsenin adını yazmayın. Aynı sohbette daha önce yazdıklarınız yeni mesajla birlikte gönderilir; geçmişteki diğer sohbetler, ödeme planı satırları ve müşteri kayıtları gönderilmez. Bankaların oranlarını her hafta okurken de Anthropic'in modeli kullanılır; bu okumaya yalnız bankaların herkese açık sayfalarının metni gider, kişisel veri gitmez. Anthropic verileri ABD'de saklar; model, verileri Anthropic'in dünyanın farklı bölgelerindeki altyapısında işleyebilir. Gizlilik politikası
• RevenueCat, Inc. (ABD) — abonelik durumunun doğrulanması ve yönetimi; doğrulanmış hesap e-postasının destek sırasında abonelik kaydıyla eşleştirilmesi. Gizlilik politikası
• Apple Inc. ve grup şirketleri — App Store dağıtımı, ödeme, abonelik, APNs bildirim altyapısı ve Siri. Gizlilik politikası
• Microsoft Corporation (ABD) — yalnız web sitesinde "Kabul et" dediyseniz, Microsoft Clarity ile oturum kaydı ve ısı haritası (bkz. bölüm 11). Clarity'nin kullanım koşullarına göre Microsoft bu veriler bakımından bizim adımıza işleyen bir hizmet sağlayıcı değil, bizden bağımsız bir veri sorumlusudur: veriyi Microsoft Gizlilik Bildirimi'ne göre hizmeti sunmanın yanında kendi ürünlerini geliştirmek ve reklam dahil kendi amaçları için de kullanabilir. Bu listede amacı yukarıdakilerle sınırlı olmayan tek alıcı budur. Formlara yazdıklarınız ve maskelenen alanlar Microsoft'a gönderilmez. Microsoft Gizlilik Bildirimi
• Expo / 650 Industries, Inc. — push tokenı, bildirim gönderimi ve teslimat sonucu.
• E-posta hizmet sağlayıcısı — OTP, yeni hesap hoş geldin ve haftalık oran e-postalarının teslimi.
• Yetkili kamu kurumları ve hukuki danışmanlar — yalnız kanuni zorunluluk, hak tesisi veya yetkili talep hâlinde.

Verilerinizi satmayız veya kiralamayız. Hizmet sağlayıcılara yalnız ilgili hizmet için gerekli veri kategorileri aktarılır.

6. Ödemeler, Premium ve reklamlar

Abonelik ödemeleri tamamen Apple App Store veya Google Play üzerinden gerçekleşir. Kart bilgilerinizi görmüyor, işlemiyor ve saklamıyoruz. RevenueCat mağaza makbuzu, entitlement durumu, takma kullanıcı kimliği ve destek sırasında hesabı bulabilmek için doğrulanmış hesap e-postasını işler. E-posta, RevenueCat'te ana entitlement kimliği veya reklam takibi amacıyla kullanılmaz. İptal ve iade ilgili mağazanın kurallarına tabidir. Hesabı silmek mağaza aboneliğini otomatik iptal etmez; ayrıca App Store veya Google Play abonelik ayarından iptal etmeniz gerekir.

Premium kullanıcıya reklam gösterilmez ve reklam kaldırma kontrolü sunulmaz. Premium olmayan kullanımda AdMob veri işleyebilir. iOS uygulamalar arası izleme ve mevzuatın gerektirdiği reklam kişiselleştirme tercihleri ayrı izin mekanizmalarıyla yönetilir.

7. Yurt dışına aktarım

Google, Apple, RevenueCat, Expo, Anthropic, Microsoft ve e-posta sağlayıcısının altyapısı Türkiye dışında veya küresel olarak çalışabilir. Bu nedenle ilgili veri kategorileri yurt dışına aktarılabilir.

Microsoft Clarity: web sitesindeki kullanım kaydı Microsoft Corporation'a (ABD) gider ve Microsoft'un bulut altyapısında saklanır. Bu aktarım yalnız sitedeki bantta "Kabul et" ile verdiğiniz açık rızayla başlar; rıza vermezseniz Microsoft'a Clarity için hiçbir veri gitmez. Türkiye dışındaki bir alıcıda kişisel verilerin korunma düzeyi ve başvuru yolları Türkiye'dekiyle aynı olmayabilir. Rıza vermemek ya da rızayı geri almak sitenin kullanımını değiştirmez.

Aktarımlar KVKK m.9'daki yürürlükteki mekanizmalardan uygulanabilir olanına; yeterlilik kararı, uygun güvence (örneğin Kurulca ilan edilen standart sözleşme) veya kanundaki arızi hâllerden birine dayanılarak gerçekleştirilir. Açık rıza gereken bir aktarım varsa bu rıza aydınlatmadan ayrı şekilde istenir. Avrupa Ekonomik Alanı kullanıcıları için uygulanabildiği ölçüde GDPR Bölüm V mekanizmaları kullanılır.

8. Saklama süreleri

• OTP: kod 30 dakika geçerli ve tek kullanımlıktır; güvenlik/rate-limit kayıtları amaca uygun teknik temizlik süresine kadar tutulur.
• Session: 90 gün sonra geçersiz olur veya logout ile iptal edilir; güvenlik kayıtları periyodik temizliğe kadar sınırlı erişimle tutulabilir.
• Hesap/profil/feed: hesap silinene veya ilgili içerik silinene kadar; rapor/moderasyon ve hukuki uyuşmazlık kayıtları gerekli süre boyunca sınırlı tutulabilir.
• AI Asistan: senaryo ve üretilen öneri, geçmişten yeniden açılabilsin diye hesabınıza bağlı olarak saklanır ve en geç 180 gün sonra silinir; hesabınızı silerseniz aynı anda silinir. Geçmiş en yeni 20 sohbeti gösterir; daha eskileri de 180 güne kadar saklanır. Geçmişten devam ettirdiğiniz sohbet yeni bir sohbet olarak kaydedilir ve süresi o andan başlar. Günlük kullanım sayacı yalnız o gün için tutulur, ertesi gün silinir. Anthropic'e gönderilen metni ve ürettiği cevabı Anthropic, API verileri için belgelediği kurala göre 30 gün içinde siler; Kullanım Politikası'na aykırı diye işaretlenen içeriği 2 yıla kadar, kanunun gerektirdiği hâllerde de gerektiği kadar tutabilir (Anthropic'in saklama kuralı).
• Kredi talepleri: formda iletilen ad, telefon, isteğe bağlı e-posta, müşteri notu ve belgeler talep linkinin sahibi bankacı tarafından takip edilir; hizmet, güvenlik ve hukuki yükümlülükler için gerekli süreden uzun tutulmaz. Formla gönderilen belgeler yüklendikten 60 gün sonra silinir. İletişim verileri anonim ürün analitiğine dahil edilmez.
• KrediBul: talepler, kapandıktan (süresi dolduktan, geri çekildikten ya da kapatıldıktan) 180 gün sonra yazışmalarıyla birlikte silinir. Yazışmada gönderilen belgeler yüklendikten 60 gün sonra silinir; gönderen daha önce de silebilir, hesabını silerse belgeleri de silinir. Bankacı beyanları bankacının hesabı silinene kadar saklanır.
• Premium avantaj kod kayıtları: ilgili avantaj yayında olduğu ve hesabınız açık kaldığı sürece tutulur; avantaj kaldırıldıktan veya hesabınız silindikten sonra yalnızca raporlama için gereken toplulaştırılmış/sınırlı kayıtlar saklanabilir.
• Hesaplama analitiği: ham takma kimlikli olaylar en fazla 180 gün; dış raporlar yalnız toplulaştırılmış ve en az 20 farklı kurulum eşiğini sağlayan gruplardan üretilir.
• Paylaş ve PDF kullanımı: en fazla 180 gün. Kayıtlar hesabınıza bağlı değildir; her biri yalnız bir sayımdır.
• Push tokenı: logout, cihaz kaydının kapatılması, sağlayıcının geçersiz bildirmesi veya hesap silme işlemine kadar.
• Kampanya bildirimi tercihi: push tokenıyla birlikte, cihaz kaydı silinene kadar. Kampanya sayıları kimseye bağlı olmadığı için kampanya kaydıyla birlikte tutulur.
• Satın alma ve reklam kayıtları: Apple, Google, RevenueCat ve reklam sağlayıcısının kendi saklama süreleri ile yasal zorunluluklar boyunca.
• Destek/KVKK başvuruları: talebin sonuçlanması ve olası uyuşmazlık zamanaşımı için gerekli süre boyunca.
• Haftalık oran e-postası: e-posta adresi ve dil, abone olduğunuz sürece; abonelikten çıktığınızda hemen silinir. Onaylanmayan kayıtlar en geç 9 gün içinde silinir.
• Yedekler: veritabanının günlük yedekleri erişimi kısıtlı ve şifreli olarak saklanır ve en geç 30 gün sonra silinir; hesabınızı ya da bir veriyi sildiğinizde o veri yedeklerden de en geç bu sürede çıkar.
• Web sitesi kullanım kaydı (Microsoft Clarity): kayıtlar Microsoft'ta, Microsoft'un Clarity saklama süreleri boyunca tutulur. Banttaki cevabınız yalnız tarayıcınızda, siz değiştirene ya da tarayıcınızın site verilerini silene kadar durur.

9. Veri güvenliği

HTTPS/TLS, tek yönlü token özetleri, OTP HMAC, erişim kontrolleri, Google Cloud IAM, dosya türü/boyut doğrulaması, rate limit ve yapılandırılmış güvenlik logları kullanılır. Hiçbir sistem için mutlak güvenlik garanti edilemez.

10. Sosyal akış, bildirimler ve görünürlük

Feed okumak public olabilir. Profilinizde ve feed'de paylaştığınız görünen ad, fotoğraf, biyografi, meslek/banka bilgisi ve içerikler diğer kullanıcılarca görülebilir. Özel nitelikli kişisel veri, müşteri sırrı, banka sırrı, üçüncü kişiye ait finansal/iletişim bilgisi veya paylaşma yetkiniz olmayan içerikleri yüklemeyin.

Bildirim izni işletim sistemi tarafından istenir ve cihaz ayarlarından kapatılabilir. Bildirim payload'ına yorum metni, e-posta veya yorum yapan kişinin adı konulmaz. Kampanya bildirimleri ayrıca sizin onayınıza bağlıdır ve başlangıçta kapalıdır. Yeni sürümü ilk açtığınızda bir kez sorulur; cevabınızı Profil’de Ayarlar’daki "Kampanya bildirimleri" anahtarından istediğiniz zaman değiştirebilirsiniz. Kampanya bildiriminde bankanın adı ve kampanyanın başlığı bulunur, kişisel bilginiz bulunmaz.

11. Web sitesinde çerezler ve Microsoft Clarity

bankaci.app tanıtım ve hukuki bilgi sayfalarının yanında, bankacının paylaştığı bağlantı üzerinden üyelik gerektirmeyen kredi talep formu sunabilir. Form verileri açık onayla ilgili bankacıya iletilir; web üzerinden ödeme yapılmaz. bankaci.app ayrıca okuduğunuz dili hatırlamak için NEXT_LOCALE adlı, bir yıl geçerli bir çerez kullanır; bu çerez yalnız dili (tr ya da en) taşır.

Microsoft Clarity: bankaci.app ve kredibul.bankaci.app, siteyi nasıl kullandığınızı anlamak için yalnız izin verirseniz Microsoft Clarity'yi kullanır. Clarity gezdiğiniz sayfaları, tıklama, kaydırma, fare ve dokunma hareketlerinizi oturum kaydı ve ısı haritası olarak kaydeder; cihaz ve tarayıcı bilgilerini ve IP adresinizi de alır (Microsoft yaklaşık konumu bundan çıkarır). Formlara yazdıklarınız ve kişisel bilgi gösteren alanlar (talep formları, oran e-postası kaydı, hesaplama kutuları) tarayıcınızda maskelenir ve Clarity'ye gönderilmez. Bu kayıtların veri sorumlusu bölüm 1'de adı geçen veri sorumlusudur; Microsoft aynı veriler bakımından bizden bağımsız bir veri sorumlusudur (bkz. bölüm 5 ve 7).

Sayfanın altındaki bantta eşit iki seçenek vardır: "Kabul et" ve "Reddet". Siz seçene kadar Clarity yüklenmez, çerezi yerleşmez ve Microsoft'a bir şey gitmez; seçim yapmamak ret sayılır. "Reddet" dediğinizde de Clarity hiç yüklenmez ve cevabınız hatırlanır. Kararınızı her sayfanın altındaki "Çerez tercihleri" bağlantısından istediğiniz zaman değiştirebilirsiniz. Rızanızı geri aldığınızda Clarity o sayfada hemen durdurulur (sayfa yenilenir; Clarity'nin çalıştığı başka açık sekmeler de yenilenir) ve sitedeki _clck/_clsk çerezleri silinir; Microsoft'un kendi alan adlarındaki çerezleri tarayıcınızın ayarlarından silebilirsiniz. Giriş gerektiren portal (/premium), yönetim sayfaları ve talep linki formları (/r/) bankaci.app adresinde açılsa da Clarity yüklemez; kredibul.bankaci.app'te e-postadaki bağlantıyla açılan talep yanıtı ve yazışma sayfaları da yüklemez.

Tarayıcınızda tutulanlar: cevabınız tarayıcınızın yerel depolamasında (localStorage) bankaci-analytics-consent adıyla, "granted" (kabul) ya da "denied" (ret) değeri ve cevap tarihiyle tutulur. Çerez değildir, sunucumuza gönderilmez ve yalnız bandı yeniden göstermemek için okunur. Her site kendi cevabını tutar: bankaci.app ve kredibul.bankaci.app izni ayrı ayrı sorar, birinde verdiğiniz karar diğerine geçmez. Kabul ederseniz Clarity'nin çerezleri de yerleşir: _clck (Clarity'nin size verdiği kimlik ve tercihler) ve _clsk (aynı oturumdaki sayfaları tek kayıtta birleştirir). Clarity bu ikisini her sitenin kendi adresine değil, üst alan adına (.bankaci.app) yazar; bu yüzden iki sitede de kabul ettiyseniz iki site aynı çerezleri, dolayısıyla Clarity'de aynı takma kimliği kullanır ve birinde rızanızı geri aldığınızda bu ortak çerezler silinir (diğer sitedeki Clarity size yeni bir kimlik verir). Microsoft'un kendi alan adlarında ise Microsoft'un çerezleri yerleşir. Tam liste Clarity'nin çerezleri sayfasındadır. Başka bir analitik ya da reklam aracı eklenirse bu bölüm önceden güncellenir ve izniniz aynı bantla istenir.

12. Çocukların gizliliği

Bankacı profesyonellere yöneliktir ve 18 yaş altındaki kişilere yönelik değildir. Bir çocuğa ait verinin yetkisiz işlendiğini fark edersek doğrulama sonrasında silme ve gerekli koruma adımlarını uygularız.

13. Hesap silme ve KVKK hakları

KVKK m.11 kapsamında verilerinizin işlenip işlenmediğini öğrenme, bilgi isteme, amacına uygun kullanılıp kullanılmadığını öğrenme, aktarılan üçüncü kişileri bilme, eksik/yanlış verinin düzeltilmesini, şartları varsa silinmesini/yok edilmesini ve bu işlemlerin alıcılara bildirilmesini isteme, otomatik analiz aleyhinize sonuç doğurursa itiraz etme ve kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme haklarına sahipsiniz.

Hesabınızı mobil uygulamada Ayarlar sayfasının en altındaki “Hesabı sil” seçeneğinden, iki aşamalı onay sonrasında doğrudan silebilirsiniz. Diğer taleplerinizi konuya “Bankacı KVKK Başvurusu” yazarak aşağıdaki e-posta adresine iletebilirsiniz. Güvenlik için hesabın size ait olduğunu doğrulamamız istenebilir. Talepler en kısa sürede ve en geç 30 gün içinde; ayrıca maliyet doğarsa Kurul tarifesindeki koşullar saklı olmak üzere sonuçlandırılır.

Hesap silme; aktif sessionları, profil ve ilişkili verileri silme veya hukuken gerekli kayıtları anonimleştirme/sınırlama sürecini başlatır. Public feed içeriği de hukuken tutulması gerekmiyorsa silinir. Uygulamayı silmek hesabı silmez; hesabı silmek de Apple veya Google aboneliğini iptal etmez. Başvurular: info@bankaci.app.

Başvurunun reddi, cevabın yetersizliği veya süresinde cevap verilmemesi hâlinde cevabı öğrendiğiniz tarihten itibaren 30 ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyet hakkınız vardır. EEA kullanıcılarının uygulanabilir GDPR hakları ve yerel denetim makamına başvuru hakkı ayrıca saklıdır.

Resmî bilgi için KVKK aydınlatma yükümlülüğü ve ilgili kişi başvuruları sayfalarını inceleyebilirsiniz.

14. Değişiklikler

Bu politika zaman zaman güncellenebilir. Her güncellemede bu sayfadaki yürürlük tarihi ve sürüm numarası değişir. Haklarınızı önemli ölçüde etkileyen değişikliklerde, değişiklik yürürlüğe girmeden önce uygulama içinde bilgilendirme yapılır ve gerekiyorsa yeniden onayınız istenir.

15. İletişim

Veri sorumlusu: Burak Altıntaş — Antalya, Türkiye
E-posta: burak.altintas@yahoo.com.tr · info@bankaci.app
Web: burak-altintas.com