Gizlilik Politikası ve KVKK Aydınlatma Metni

2.1. Pastacım (müşteri uygulaması)

• Kimlik & iletişim: ad-soyad, e-posta, telefon (opsiyonel).
• Konum: yakındaki pastacıları eşleştirmek için cihaz konumu (sadece uygulama açıkken).
• Sipariş verileri: ürün, kişi sayısı, teslim tarihi, açıklama, eklenen görseller.
• İletişim: uygulama içi mesajlaşma içerikleri.

2.2. Pastacım Pro (üretici uygulaması)

• Dükkan profili: dükkan adı, sosyal medya hesapları, konum.
• Teklif ve sipariş geçmişi.
• Uygulama içi mesajlaşma.

2.3. ipekciapp.com (web)

Public sayfalar pazarlama veya takip amaçlı üçüncü taraf çerez kullanmaz. Yalnızca temel oturum gereksinimleri için teknik çerezler kullanılabilir. Workspace alanı sadece veri sorumlusu (Soner İpekci) tarafından kullanılır; üçüncü kişi verisi işlenmez.

• Hizmetin sunulması (eşleştirme, teklif, sipariş, mesajlaşma).
• Kullanıcı hesabının oluşturulması ve güvenliğin sağlanması.
• Hukuki yükümlülüklerin yerine getirilmesi.
• İstatistiksel ve teknik analiz (kişisel veri içermez).
• Kullanıcı talepleri ile geri bildirimlerin değerlendirilmesi.

Hizmetin sağlanması için aşağıdaki altyapı sağlayıcıları kullanılır. Bu sağlayıcılar GDPR / Standard Contractual Clauses çerçevesinde sözleşmeli işleyicilerdir:

• Supabase (veritabanı + kimlik) — sunucu bölgesi: EU-West (Ireland).
• Vercel (uygulama hosting) — global edge network (Avrupa edge bölgeleri öncelikli).
• Cloudflare (DNS) — küresel anycast (sadece DNS, içerik proxy edilmez).
• Apple App Store / Google Play (uygulama dağıtımı, ödeme altyapısı kullanıldığında).
• Brevo (transactional e-posta, planlı).

Yurt dışına aktarım, KVKK m.9 ve ilgili Kurul kararları çerçevesinde gerçekleştirilir. Workspace alanındaki kişisel notlar üçüncü tarafla paylaşılmaz; yalnızca veri sorumlusunun erişimi vardır.

• Hesap verileri: hesap aktif olduğu sürece; kapatma talebinden itibaren en geç 30 gün içinde silinir.
• Sipariş & mesaj geçmişi: hukuki saklama yükümlülüğü süresince (azami 10 yıl), sonra anonimleştirilir.
• Konum: oturum kapanır kapanmaz silinir; sunucuda kalıcı kayıt tutulmaz.
• Audit log (workspace): veri sorumlusunun kendisine ait olup süresizdir.

İlgili kişi (kullanıcı), veri sorumlusuna başvurarak kendisi hakkında:

• Kişisel veri işlenip işlenmediğini öğrenme.
• İşlenmişse buna ilişkin bilgi talep etme.
• İşleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde / yurt dışında verilerin aktarıldığı üçüncü kişileri bilme.
• Eksik / yanlış işlenmişse düzeltilmesini isteme.
• Silinmesini veya yok edilmesini isteme.
• Düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• Otomatik sistemlerle analiz edilmesi suretiyle aleyhe sonuç doğmasına itiraz etme.
• Kanuna aykırı işleme nedeniyle zararın giderilmesini isteme.

Talepleriniz için info@ipekciapp.com adresine ulaşabilirsiniz. KVKK kapsamındaki başvurular 30 gün içinde ücretsiz olarak yanıtlanır.

• Auth cookies: workspace giriş oturumu için (yalnızca veri sorumlusu kullanır).
• SameSite Lax + Secure bayrakları aktif; sadece HTTPS üzerinden gönderilir.

• Tüm trafik HTTPS üzerinden, HSTS ile zorlanır (2 yıl).
• Hesap verileri Postgres üzerinde RLS ile izole edilir.
• Workspace girişi Magic Link + TOTP zorunlu 2FA ile korunur.
• Tüm hassas işlemler audit log'a yazılır; immutable (değiştirilemez) tutulur.
• Secret değerler Vercel "Sensitive" env panelinde tutulur, kaynak kodda bulunmaz.