Gizlilik Politikası
1. Veri Sorumlusu
GDPR Md. 4/7 ve KVKK Md. 3 uyarınca veri sorumlusu:
- İsim: Onur Kağan (bireysel işletmeci, "Soraka" markası altında)
- E-posta: onurkagaan@gmail.com [datenschutz@soraka.de ile değiştirilecek]
- Adres: [Almanya'da işletme kaydı tamamlanınca]
- Telefon: [eklenecek]
2. Veri İşleme Prensipleri
2.1 Yasal Dayanak
- GDPR Md. 6/1/b (Sözleşmenin İfası): Ön sipariş, uygulama teslimi, OBD-II adaptörü, isteğe bağlı bulut senkronizasyonu.
- GDPR Md. 6/1/a (Açık Rıza): Topluluk özellikleri, opt-in çöküş ve analitik raporları.
- GDPR Md. 6/1/f (Meşru Menfaat): BT güvenliği, sahtecilik tespiti, uygulama istikrarı, hata analizi.
2.2 Saklama ve Silme
Kişisel veriler yalnızca ilgili amaç için gerekli olduğu sürece ya da yasal saklama yükümlülükleri (örn. § 257 HGB, 7 yıl) gereğince saklanır. Amaç sona erince veya itiraz halinde veriler silinir.
3. İşlenen Veri Kategorileri
3.1 Ön Sipariş Formu (www.soraka.de/pricing)
Veriler: e-posta (zorunlu), ülke (ISO 3166-1), kaynak (UTM veya "organic"), IP adresi (SHA-256 hash), User-Agent (hash). Amaç: sözleşme öncesi işlem (GDPR Md. 6/1/b).
Saklama:
- Aktif ön sipariş: siparişe dönüşene kadar
- Tamamlanmış sipariş: 7 yıl (§ 257 HGB)
- Süresi dolan / iptal edilen: durum değişikliğinden 6 ay sonra silme
3.2 Soraka Uygulaması (iOS / Android)
3.2.1 Hesap ve Profil (isteğe bağlı)
Veriler: cihaz UUID (yerel), kullanıcı adı (isteğe bağlı, toplulukta görünür), e-posta (hesap bağlıysa). Amaç: hesap oluşturma, cihaz eşleştirme, bulut senkronizasyonu (Md. 6/1/b). Saklama: hesap silene kadar + 30 gün arşiv.
3.2.2 OBD-II Sensör Verileri
Veriler: motor verileri (RPM, soğutma sıvısı sıcaklığı, MAF, turbo basıncı, DPF vb.), VIN yalnızca SHA-256 hash olarak, hata kodları (DTC, ISO 14229), seyahat kayıtları. Amaç: tanılama, sağlık puanı (Md. 6/1/b). Saklama: cihazda süresiz; bulutta (sync açıksa) kullanıcı silişine kadar + 30 gün. VIN asla açık metin saklanmaz.
3.2.3 Çöküş ve Hata Logları
Veriler: stack trace (sınıf adları, satır numaraları, cihaz bilgisi), zaman damgası, uygulama ve OS sürümü. Amaç: istikrar ve hata teşhisi (Md. 6/1/f). Saklama: 90 gün, sonra otomatik silme.
3.2.4 Topluluk Özellikleri (Leaderboard, Sağlık Profili)
Veriler (sadece etkinleştirilirse): kullanıcı adı (herkese açık), toplu sensör istatistikleri, araç modeli (hash VIN), sıralama. Amaç: topluluk katılımı, kıyaslama (Md. 6/1/a, açık rıza). Ham veri paylaşılmaz. Plakalar cihazda bulanıklaştırılır. Saklama: profil aktif olduğu sürece; hesap silindikten 30 gün içinde anonimleştirilir veya silinir.
3.2.5 Bluetooth / BLE Bağlantısı
Veriler: OBD adaptörü MAC adresi (yerel), bağlantı mesajları. Amaç: cihaz eşleştirme (Md. 6/1/b). Arka uca aktarılmaz.
3.2.6 Çöküş Raporları ve Kullanım Analitiği (OPT-IN)
Veriler: Sentry stack trace'leri (kaynak kod YOK), Aptabase kullanım metrikleri (ziyaret edilen sayfalar, oturum süresi, cihaz OS), anonim UUID. Yasal dayanak: GDPR Md. 6/1/a (açık rıza).
Otomatik PII filtresi: e-posta, VIN, plaka, telefon, şifre, API anahtarı, adres içeren alanlar gönderim öncesi otomatik kaldırılır.
Veri işleyenler / saklama yeri:
- Sentry GmbH (Frankfurt, Almanya) — çöküş raporları, 90 gün sonra silme. Md. 28 uyarınca AVV imzalı.
- Aptabase (AB veri merkezleri) — metrikler, 120 gün sonra toplam halinde anonimleştirilir. Md. 28 uyarınca AVV imzalı.
Geri çekme: Ayarlar → Gizlilik → Çöküş Raporları / Analitik bölümünden istediğiniz zaman kapatabilirsiniz.
3.3 Arka Uç Sunucusu (api.soraka.de)
Veri işleyen: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Almanya (Md. 28 AVV imzalı).
Kategoriler: ön sipariş verileri, bulut sensör verileri (etkinse), topluluk profili, hata logları, erişim logları.
Konum: Frankfurt am Main, Almanya. Veriler AB'yi terk etmez.
3.4 Cloudflare (Ters Proxy, isteğe bağlı)
3.5 Google Fonts (CDN)
Site, fonts.googleapis.com üzerinden Google Ireland Ltd.'ten yazı tipi yükler; bu sırada IP adresiniz Google'a iletilir. Yasal dayanak: GDPR Md. 6/1/f. [Planlandı: self-host yazı tipleri, bu aktarımın kaldırılması].
3.6 Üçüncü Ülke Transferleri
Apple Inc. (ABD, App Store) ve Google LLC (ABD, Play Store) uygulamanın dağıtımı kapsamında verilerinizi alır. Aktarım, EU-US Data Privacy Framework ve Standart Sözleşme Şartları (Md. 46) ile yapılır. Ek bilgi: Apple Gizlilik, Google Gizlilik.
4. Haklarınız
- Erişim (Md. 15): hakkınızda saklanan verileri öğrenme.
- Düzeltme (Md. 16): yanlış verileri düzelttirme.
- Silme (Md. 17): "unutulma hakkı", saklama yükümlülüğü olmadıkça.
- Sınırlandırma (Md. 18): işlemeyi kısıtlama.
- Taşınabilirlik (Md. 20): yapılandırılmış, makine-okunur formatta dışa aktarma.
- İtiraz (Md. 21): meşru menfaate dayanan işlemeye itiraz.
- Rıza geri çekme (Md. 7/3): ileriye dönük olarak istediğiniz zaman.
- Şikâyet (Md. 77): denetim makamına başvuru.
Hak kullanımı: onurkagaan@gmail.com.
5. Güvenlik Önlemleri
- Uygulama-sunucu arası tüm trafik için TLS 1.2+ (HTTPS).
- Hassas tanıtıcılar (VIN, IP) SHA-256 ile geri döndürülemez şekilde hashlenir.
- Erişim kontrolü: arka uç veritabanına yalnızca yetkili kişi (şu an Onur Kağan) erişebilir.
- Günlük şifrelenmiş yedekler, 30 gün saklama.
6. Çerezler ve İzleme
Web: yalnızca teknik olarak zorunlu çerezler (oturum, dil). Google Analytics, piksel izleme, profilleme YOK.
Uygulama: çerez yok. Yerel veriler cihazda kalır.
Reklam kimlikleri: uygulama Android AAID veya iOS IDFA talep etmez.
7. Kullanıcı Yaşı
Soraka 16 yaş altı çocuklar için tasarlanmamıştır. Ebeveyn rızası olmadan 16 yaş altı kişilerin verilerini bilerek işlemeyiz. Böyle bir veri tespit ederseniz lütfen bizimle hemen iletişime geçin.
8. Değişiklikler
Önemli değişiklikler (yeni veri kategorisi, yeni işleyen) en az 30 gün öncesinden duyurulur. Eski sürümler arşivlenir.
9. Şikâyet Hakkı
Almanya'da yetkili denetim makamına başvurabilirsiniz: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) — www.bfdi.bund.de. Türkiye'de yerleşikseniz ek olarak Kişisel Verileri Koruma Kurulu (KVKK) — www.kvkk.gov.tr — kanalını kullanabilirsiniz.