🔐 GİZLİLİK POLİTİKASI

1. GİRİŞ

Sormali ("biz", "bizim", "uygulama") olarak kullanıcılarımızın ("siz", "sizin") gizliliğini korumayı en üst düzeyde önemsiyoruz. Bu Gizlilik Politikası, kişisel bilgilerinizi nasıl topladığımızı, kullandığımızı, sakladığımızı ve koruduğumuzu açıklamaktadır.

2. TOPLANAN KİŞİSEL BİLGİLER

Aşağıdaki kişisel bilgilerinizi topluyoruz:

📱 Hesap Bilgileri:

• Ad, soyad
• E-posta adresi
• Telefon numarası
• Doğum tarihi (18+ yaş kontrolü için)
• Kullanıcı adı

👤 Profil Bilgileri:

• Profil fotoğrafları (maksimum 6 adet)
• Biyografi/Hakkımda metni
• Cinsiyet ve ilgilenilen cinsiyet
• Eğitim bilgileri (üniversite, bölüm)
• İlgi alanları ve hobiler
• Kişilik testi sonuçları

📍 Konum Bilgileri:

• GPS konumu (yakındaki kullanıcıları bulmak için)
• Şehir ve ülke bilgisi
• Konum geçmişi (opsiyonel)

💬 Kullanım Verileri:

• Uygulama kullanım istatistikleri
• Etkileşimler (beğeniler, eşleşmeler)
• Soru-cevap oturumu verileri
• Mesajlaşma meta verileri (içerik değil!)
• Arama geçmişi ve filtreler

📱 Cihaz Bilgileri:

• Cihaz modeli ve üreticisi
• İşletim sistemi versiyonu
• Uygulama versiyonu
• IP adresi
• Dil tercihi

3. KİŞİSEL BİLGİLERİN KULLANIM AMAÇLARI

Topladığımız bilgileri aşağıdaki amaçlarla kullanırız:

✅ Hizmet Sunumu:

• Profil oluşturma ve yönetme
• Eşleşme algoritması çalıştırma
• Uyumluluk puanı hesaplama
• Soru-cevap oturumları düzenleme

🔍 Eşleşme ve Keşfet:

• Yakınınızdaki kullanıcıları gösterme
• İlgi alanlarınıza göre öneri
• Kişilik testine göre eşleştirme
• Uyumluluk analizi yapma

🔒 Güvenlik:

• Kimlik doğrulama
• Sahte profil tespiti
• Dolandırıcılık önleme
• Taciz ve spam engelleme

4. KİŞİSEL BİLGİLERİN PAYLAŞILMASI

🔧 Üçüncü Parti Hizmet Sağlayıcılar:

Kişisel verileriniz aşağıdaki hizmet sağlayıcılarla, hizmet sunumu amacıyla paylaşılabilir:

• Google Firebase (ABD): Veritabanı (Firestore), dosya depolama (Storage), kimlik doğrulama (Auth), bulut işlevleri ve push bildirimleri. Topladığımız profil ve konum verileri, mesajlarınız (içerik ve meta veriler) Firebase altyapısında işlenir ve ABD sunucularında saklanabilir.
• Agora.io (Singapur): Görüntülü ve sesli arama altyapısı. Arama sırasında ses ve video verileriniz şifreli kanallar üzerinden işlenir; hizmet kalitesi için geçici işleme Agora sunucularında yapılır.
• Google Maps: Konum servisleri ve harita gösterimi. Konum bilginiz yakındaki kullanıcıları gösterme ve eşleşme özellikleri için kullanılır.
• Google Analytics / Firebase Analytics: Uygulama kullanım istatistikleri (anonim/özet veri).
• Firebase Crashlytics: Hata ve çökme raporlama (anonim teknik veri).
• Google AdMob: Uygulama içi reklam gösterimi. Reklam kimliği (Advertising ID), cihaz bilgisi ve kullanım verileri kişiselleştirilmiş reklamlar için işlenebilir. Detaylar için aşağıdaki "Reklamlar" bölümüne bakınız.
• Anthropic (ABD): Uygulama içindeki AI Asistanı özelliği Anthropic'in Claude API'si üzerinden çalışır. Asistana yazdığınız mesajlar ve asistanın isteğinizi yanıtlamak için eriştiği profil bilgileri — ad, kullanıcı adı, yaş, cinsiyet, şehir/ilçe, biyografi, ilgi alanları, meslek, eğitim, profil fotoğrafı bağlantısı; hem sizin hem de size önerilen kullanıcıların profilleri — yanıt üretmek amacıyla Anthropic sunucularına gönderilir ve orada işlenir. ⚠️ Özel mesajlarınızın (DM) içeriği AI Asistanı'na GÖNDERİLMEZ. AI Asistanı'nı kullanmak istemiyorsanız özelliği hiç açmayabilirsiniz.
• Google Cloud Vision (ABD): Yüklediğiniz profil ve hikaye fotoğrafları, çıplaklık ve şiddet gibi uygunsuz içeriğin otomatik tespiti için Google Cloud Vision (SafeSearch) ile analiz edilir. Fotoğraflar yalnızca bu moderasyon kararı için işlenir; yüz tanıma yapılmaz ve reklam amacıyla kullanılmaz.
• Resend (ABD): E-posta doğrulama iletilerinin gönderimi. Bu amaçla yalnızca e-posta adresiniz ve görünen adınız işlenir.

📢 Reklamlar (Google AdMob):

Uygulama içinde reklam gösteriyoruz. Bu kapsamda:

• Reklam kimliği (Advertising ID): Cihazınızın reklam tanımlayıcısı, reklam kişiselleştirme ve ölçüm için kullanılabilir.
• Toplanan veriler: Reklam gösterimi, tıklama ve etkileşim verileri; cihaz türü, dil ve kabaca konum (ülke/bölge) reklam ağları tarafından işlenebilir.
• Tercihler: Kişiselleştirilmiş reklamları Android ayarlarından (Reklamlar → Reklam kişiselleştirmesini kapat) kapatabilirsiniz. Bu, reklamları durdurmaz, yalnızca kişiselleştirmeyi sınırlar.

Google reklam politikaları: Google Ads Gizlilik.

5. VERİ GÜVENLİĞİ VE KORUMA ÖNLEMLERİ

🔐 Şifreleme:

• Tüm veri aktarımı SSL/TLS ile şifrelenir
• Mesajlar ve diğer veriler Google Cloud sunucularında AES-256 ile şifreli saklanır (encryption at rest)
• Uygulama içinde mesajlara yalnızca sohbetin tarafları erişebilir; erişim sunucu tarafı güvenlik kurallarıyla denetlenir
• Sormalı ekibi mesaj içeriğine yalnızca şikâyet incelemesi veya yasal yükümlülük hâlinde erişir
• Şifreler Firebase Authentication tarafından tek yönlü (scrypt) hash'lenerek saklanır

Şeffaflık notu: Mesajlaşma uçtan uca (end-to-end) şifreli değildir. Uçtan uca şifreleme, mesajı yalnızca gönderen ve alıcının çözebildiği anlamına gelir — Sormalı bunu sunmamaktadır.

🛡️ Güvenlik Duvarları:

• Firebase Security Rules (sıkı erişim kontrolü)
• DDoS koruması
• Rate limiting (spam önleme)
• Input validation (XSS, injection koruması)

6. KULLANICI HAKLARI (KVKK ve GDPR)

🇹🇷 KVKK (6698 Sayılı Kişisel Verilerin Korunması Kanunu)

Türkiye’de ikamet eden kullanıcılarımız aşağıdaki haklara sahiptir:

• Bilgi edinme: Kişisel verilerinizin işlenip işlenmediğini, işlenme amacını ve ilgili bilgileri öğrenme
• Düzeltme: Eksik veya yanlış verilerin düzeltilmesini veya profil bilgilerinizi güncellemeyi isteme
• Silme / Unutulma: Verilerinizin silinmesini isteme; hesabı silme ile tüm veriler 30 gün içinde silinir
• İtiraz ve rızayı geri alma: Verilerin işlenmesine veya otomatik profillemeye itiraz etme; açık rızaya dayanan her işlemede (tüm kullanıcılar için) rızanızı istediğiniz an geri alma. Uygulamada: Ayarlar → Gizlilik → Konum Paylaşımı, AI Asistanı ve Reklam Tercihleri; bildirim, kamera ve mikrofon izinleri cihazınızın ayarlarından. Rızanın geri alınması, öncesindeki işlemenin hukuka uygunluğunu etkilemez.

🇪🇺 GDPR (AB Genel Veri Koruma Tüzüğü)

AB/EEA’da ikamet eden kullanıcılarımız ayrıca aşağıdaki haklara sahiptir:

• Erişim: İşlenen kişisel verilerinizin kopyasını talep etme
• Düzeltme ve silme: Yanlış verilerin düzeltilmesi veya silinmesi
• İşlemenin kısıtlanması: Belirli koşullarda işlemenin durdurulması
• Veri taşınabilirliği: Verilerinizi yapılandırılmış, yaygın kullanılan bir formatta alma
• İtiraz: Meşru menfaate dayalı işleme ve doğrudan pazarlamaya itiraz
• Şikâyet: Yetkili veri koruma otoritesine (ör. Türkiye’de Kişisel Verileri Koruma Kurumu, AB’de ilgili ülke otoritesi) başvurma hakkı

Hukuki sebep (GDPR): Hizmet sunumu (sözleşmenin ifası), yasal yükümlülükler, meşru menfaat (güvenlik, analitik, reklam) ve gerektiğinde açık rızanız.

7. VERİ SAKLAMA SÜRESİ

• Aktif hesaplar: Hesabınız aktif olduğu sürece
• Silinmiş hesaplar: 30 gün içinde tamamen silinir
• Mesajlar: Sohbetin iki tarafı da sohbeti silene kadar saklanır. “Sohbeti Sil” dediğinizde mesajlar yalnızca sizin tarafınızda gizlenir; karşı taraf onları görmeye devam eder. İki taraf da sohbeti sildiğinde mesajlar, tarafların erişemediği bir sunucu arşivine taşınır ve 24 saatlik bekleme süresinin ardından kalıcı olarak silinir; bu bekleme, silmenin hemen ardından yapılan bir şikâyetin de incelenebilmesi içindir. Taraflardan biri hesabını sildiğinde bu bekleme süresi 1 saate iner. Sohbetin tarafları arasında bir şikâyet varsa ya da sohbet moderasyon incelemesindeyse arşivdeki mesajlar silinmez; şikâyete konu içeriğin incelenmesi ve olası hukuki taleplere karşı delil olarak (KVKK m. 5/2-e), inceleme ve buna bağlı hukuki süreçler için gerekli süre boyunca saklanır.
• Hikayeler: 24 saat otomatik silinir
• Log kayıtları: 90 gün (güvenlik için)
• Yasal yükümlülükler: Kanuni süre boyunca (6 yıl)

8. ÇOCUKLARIN GİZLİLİĞİ

9. ULUSLARARASI VERİ AKTARIMI

Verileriniz Google Firebase (ABD) ve Agora (Singapur) sunucularında saklanmaktadır. AI Asistanı'nı kullandığınızda ilgili veriler ayrıca Anthropic (ABD) sunucularında işlenir. Fotoğraf moderasyonu Google Cloud Vision (ABD), doğrulama e-postaları Resend (ABD) üzerinden yapılır. Bu şirketler GDPR ve KVKK uyumlu veri koruma önlemleri almaktadır.

10. POLİTİKA DEĞİŞİKLİKLERİ

Bu Gizlilik Politikasını zaman zaman güncelleyebiliriz. Önemli değişikliklerde size bildirim göndereceğiz. Değişiklikler yayınlandığı tarihte yürürlüğe girer.

11. İLETİŞİM

12. KVKK BAŞVURU SÜRECİ

Haklarınızı kullanmak için:

1. kvkk@sormali.app adresine e-posta gönderin
2. Kimliğinizi doğrulayın (TC Kimlik fotokopisi)
3. Talebinizi açıkça belirtin
4. 30 gün içinde yanıt vereceğiz
5. Olumsuz yanıt durumunda Kişisel Verileri Koruma Kurumu'na başvurabilirsiniz

13. VERİ SORUMLUSU