Gizlilik Politikası

Bu belgenin amacı

OtoTasdik, araç sahipleri ile bağımsız servisleri buluşturan bir dijital araç geçmişi cüzdanıdır. Bu belge, OtoTasdik mobil uygulaması (Android · iOS) ve web paneli üzerinden hangi verileri topladığımızı, bunları neden topladığımızı, kimlerle paylaştığımızı ve nasıl silebileceğinizi açıklar. Hukuki çerçevenin tamamı için KVKK Aydınlatma Metni sayfamıza göz atın.

Topladığımız veri kategorileri

Uygulamayı kullandığınızda aşağıdaki veri tiplerini toplarız:

• Hesap bilgileri. Telefon numarası (OTP doğrulaması için), e-posta, ad-soyad, rol (bireysel / özel servis).
• Hesap silme geri bildirimi. Hesabınızı silerken listeden seçtiğiniz ayrılma nedeni ve varsa yazdığınız açıklama. İkisi de isteğe bağlıdır — hiçbirini doldurmadan da hesabınızı silebilirsiniz. Yalnızca ürünü iyileştirmek için okunur.
• Araç bilgileri. VIN, plaka, ruhsat sahibi adı, model yılı, kilometre, sigorta bilgileri (yalnızca kendi eklediğiniz araçlar için).
• Servis kayıtları. Bakım tarihleri, parça numaraları, ekspertiz raporları, TÜVTÜRK belgeleri, kaporta hasar fotoğrafları (varsa).
• Konum. Hassas konum izni istemiyoruz. Kaba konum yalnızca harita üzerinde size yakın servisleri göstermek için, opsiyonel olarak kullanılır.
• Cihaz ve uygulama olayları. Uygulama sürümü, kullanılan cihaz modeli, OS sürümü, hata kayıtları (Firebase Crashlytics; kayıtlara adınız, e-postanız ya da hesap kimliğiniz eklenmez).
• Bildirim tokenı. Firebase Cloud Messaging tarafından verilen rastgele cihaz tokenı; istek bildirimleri için kullanılır.

Toplamadığımız. Pozisyon takibi, mikrofon kaydı, kişi rehberi, takvim, ödeme kartı verisi. Reklam kimliği (AAID / IDFA) kullanmayız.

Neden topluyoruz

• Cüzdanınızda saklanan araç geçmişini sunmak (bakım, ekspertiz, TÜVTÜRK, odometre).
• QR kod ile servis fişi devralma ve araç satışında alıcıya güvenli link paylaşımı.
• Servis seçerken konum tabanlı listeleme (yalnızca opsiyonel olarak paylaşırsanız).
• Hata düzeltme ve performans iyileştirme (Firebase Crashlytics; kayıtlara hesap bilginiz eklenmez).
• KVKK ve Türk Ticaret Kanunu kapsamında zorunlu kayıt tutma yükümlülükleri.

Verilerinizi kimlerle paylaşırız

• Cüzdana paylaştığınız özel servis. Bir servis size QR ile servis işlem dökümü gönderdiğinde, o servis ad-soyad ve telefon numaranızı görür.
• Satışta alıcıya paylaştığınız link. Sadece sizin tetiklediğiniz paylaşım linkleri üzerinden, sizin onayladığınız alanlar gösterilir. Link süresi bitince veya tek-tıkla iptal ettiğinizde erişim sona erer.
• Altyapı sağlayıcılarımız. Sunucularımız AWS Frankfurt (eu-central-1) bölgesinde barınır. Firebase Cloud Messaging (bildirim) ve Firebase Crashlytics (hata kayıtları) Google LLC (ABD) tarafından işletilir. Bir belgeyi fotoğrafla okuttuğunuzda fotoğraf, yalnızca açık rızanızla, Google LLC'nin (ABD) Gemini API'sine gönderilir. Üçüncü tarafa pazarlama amacıyla veri satılmaz, paylaşılmaz.
• Yasal merciler. Mahkeme kararı veya KVKK Kurulu'nun yazılı talebi olması durumunda, yalnızca talep edilen kapsamda paylaşım yapılır.

Saklama süreleri

• Aktif hesap verisi. Hesabınız aktif olduğu sürece saklanır.
• Servis kayıtları (cüzdandan ayrılan). Cüzdanınızdan bir aracı çıkardığınızda VIN'e bağlı geçmiş kayıtlar, araç geçmişinin bütünlüğü için hesabınızla bağı kesilerek tutulur. Bakım ve kilometre kayıtlarına yazdığınız notlar bu kayıtlarda kalır; yüklediğiniz fotoğraf ve belgeler ile kaza kayıtlarındaki karşı tarafın bilgileri silinir. Aracın geçmişi, aracı sonradan cüzdanına ekleyen sahibe gösterilir.
• Denetim ve oturum kayıtları. KVKK m.12 kapsamında tutulan denetim (audit) kayıtları ve oturum kayıtları (IP adresi, tarayıcı ya da uygulama bilgisi) belirli bir süre sonunda otomatik olarak silinmez. Uygulamayı hangi günler kullandığınızı gösteren kullanım kaydı 1 yıl sonra otomatik silinir.
• Hesap silme kaydı. KVKK Yönetmelik m.7(3) her silme, yok etme ve anonim hale getirme işleminin kayda geçirilmesini ve bu kaydın en az 3 yıl saklanmasını zorunlu kılar. Bu kayıt silmenin kimin talebiyle, hangi kapıdan ve ne zaman yapıldığını, varsa belirttiğiniz gerekçeyi ve — kaydın kimi anlattığını söyleyebilmesi için — ad ve e-postanızı içerir. Aşağıdaki “Hesabınızı silmek” bölümü bunun ne anlama geldiğini ayrıntılandırıyor.
• Crashlytics olayları. Google bu kayıtları 90 gün tutar, ardından silmeye başlar.

Hesabınızı silmek (KVKK m.7)

Hesabınızı her zaman uygulama içinden kendiniz silebilirsiniz:

• Mobil uygulamada: Profil → Hesabımı sil → onay. Silme talebiniz anında işlenir.
• Web panelinde: Ayarlar → KVKK → Hesabımı sil.

Silme talebinde:

• Tüm araçlarınız ve servis kayıtlarınız hemen cüzdanınızdan kaldırılır.
• Kimlik bilgileriniz üründen kaldırılır: telefonunuz, şifreniz ve TC kimlik özetiniz silinir, adınızın yerine bir yer tutucu konur ve e-posta adresiniz serbest bırakılır — aynı adresle yeniden kayıt olabilirsiniz.
• Etkin oturumlarınız iptal edilir; varsa Apple ile giriş yetkiniz geri çekilir. Bildirim için kaydedilen cihaz tokenı ise hesapla birlikte silinmez.
• Paylaştığınız satış linkleri hesapla birlikte kapanmaz: süreli bir link süresi dolunca kapanır, süresiz bir link açık kalır. Silmeden önce linklerinizi uygulamadan iptal edin.
• Ad ve e-postanız silme kaydında kalır. Yukarıdaki saklama tablosundaki gerekçeyle: bir silme kaydının en az 3 yıl tutulması zorunlu ve kimin talebini yerine getirdiğini söyleyemeyen bir kayıt bu zorunluluğu karşılamaz. Bu kayda yalnızca platform yöneticileri erişir; üründe onu okuyan hiçbir yol yoktur — giriş, arama, bildirim ve pazarlama için kullanılmaz.
• Otomatik tam silme yoktur. Hesabın erişilemez hâle gelmesi KVKK Yönetmelik m.8 anlamında silmedir. Kaydın fiziksel olarak yok edilmesi, talep üzerine bir platform yöneticisinin elle yaptığı ve denetim kaydına geçen ayrı bir işlemdir; istiyorsanız kvkk@ototasdik.com adresine yazın.

Uygulamayı silmek hesabı silmez — yukarıdaki adımları kullanmanız gerekir. Doğrudan başvuru için kvkk@ototasdik.com adresine yazabilirsiniz; başvurunuz 30 gün içinde yanıtlanır.

KVKK haklarınız

KVKK m.11 kapsamında işlenen verilerinize ilişkin bilgi talep etme, düzeltme, silme, anonimleştirme ve işlenmesine itiraz etme haklarınız vardır. Tüm başvurularınızı kvkk@ototasdik.com adresine yazılı olarak iletebilirsiniz.

Çocuklar

OtoTasdik 18 yaş altı kullanıcılar için tasarlanmamıştır. Bilerek 18 yaş altı kullanıcılardan veri toplamayız. Çocuğunuza ait verinin sistemde olduğunu fark ederseniz lütfen kvkk@ototasdik.com adresine bildirin; veriyi 7 gün içinde sileriz.

Güvenlik

Uygulama ve panel bağlantıları HTTPS (TLS) ile şifrelenir ve HSTS ile korunur. Parolalar bcrypt ile özetlenerek saklanır; iki adımlı doğrulama anahtarları ve Apple ile giriş bilgileri AES-GCM ile şifrelenir. Kayıtlar AWS Frankfurt (eu-central-1) bölgesindeki sunucularda saklanır. Servis raporları Ed25519 dijital imza + SHA-256 zincir hash ile mühürlenir; bağımsız doğrulayıcılar bütünlüğü kontrol edebilir. Daha fazlası için security.txt.

Değişiklikler

Bu politikayı değiştirdiğimizde sayfa altındaki tarih güncellenir. Önemli değişiklikler için kayıtlı kullanıcılara e-posta ve uygulama içi bildirim gönderilir. Geriye dönük olarak veri kullanımını genişleten değişiklikler için ayrıca açık onayınız istenir.

İletişim

OtoTasdik (Ahmet Türkmen — gerçek kişi)
E-posta: kvkk@ototasdik.com
KVKK Veri Sorumlusu Temsilcisi: Ahmet Türkmen (kvkk@ototasdik.com)