Gizlilik Politikası

1. Giriş ve Amaç

ÇİM ("Şirket", "biz", "bizim") olarak, Çim mobil uygulaması ve cimde.com.tr web sitesi (birlikte "Platform") aracılığıyla sunulan hizmetlerin kullanımı sırasında toplanan kişisel verilerin korunmasına azami özen göstermekteyiz.

Bu Gizlilik Politikası; hangi kişisel verileri topladığımızı, bu verileri ne amaçla ve hangi hukuki dayanakla işlediğimizi, kimlerle paylaştığımızı, ne kadar süreyle sakladığımızı, nasıl koruduğumuzu ve veri sahiplerinin haklarını kapsamlı biçimde açıklamak amacıyla hazırlanmıştır.

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), uygulanabildiği durumlarda Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR") ve ilgili ikincil mevzuat çerçevesinde hazırlanan bu politika, Platformu kullanmadan önce dikkatlice okunmalıdır.

Platformu kullanmaya devam ederek bu politikayı okuduğunuzu ve anladığınızı kabul etmiş olursunuz. Kabul etmiyorsanız lütfen Platformu kullanmayınız.

2. Veri Sorumlusunun Kimliği ve İletişim Bilgileri

KVKK kapsamında veri sorumlusu sıfatını taşıyan kuruluş:

3. İşlenen Kişisel Veri Kategorileri

Platformu kullanımınız çerçevesinde aşağıdaki kategorilerdeki kişisel veriler işlenebilir:

3.1 Kimlik ve İletişim Bilgileri

• Ad ve soyad
• Kullanıcı adı / takma ad
• E-posta adresi
• Telefon numarası
• Profil fotoğrafı (isteğe bağlı)
• Doğum tarihi (yaş doğrulama amacıyla, isteğe bağlı)

3.2 Konum Verileri

• Yakınındaki kurumları ve kampanyaları listeleyebilmek için yaklaşık veya hassas GPS konum bilgisi — yalnızca açık izniniz alındığında ve uygulama ön planda olduğu sürece
• IP adresinden türetilen yaklaşık şehir/bölge bilgisi

3.3 Hesap ve İşlem Verileri

• Hesap oluşturma tarihi ve saati
• Takip edilen kurumlar, katılınan kampanyalar, verilen yorumlar ve puanlar
• Platform içi mesajlaşma içerikleri (şifreli olarak)
• Bildirim ve iletişim tercihleri
• Favori ve kaydetme listeleri

3.4 Kullanım ve Davranışsal Veriler

• Görüntülenen sayfalar, tıklanan içerikler, arama sorguları
• Uygulama içi navigasyon yolları ve oturum süreleri
• Hata raporları ve çökme kayıtları (crash logs)
• A/B test grubu atamaları

3.5 Teknik ve Cihaz Verileri

• IP adresi
• Cihaz türü, modeli, markası
• İşletim sistemi ve sürümü
• Tarayıcı türü ve sürümü
• Uygulama sürümü
• Benzersiz cihaz tanımlayıcıları (IDFA/GAID — yalnızca açık izninizle)
• Ağ bağlantı türü (WiFi, mobil veri)
• Çerezler ve benzeri izleme teknolojileri aracılığıyla elde edilen veriler

3.6 İletişim ve Destek Verileri

• Müşteri hizmetleriyle gerçekleştirilen yazışmalar ve konuşmalar
• Şikayet ve geri bildirim kayıtları
• Anket yanıtları

4. Kişisel Verilerin İşlenme Amaçları

4.1 Hizmetin Sunulması

• Kullanıcı hesabının oluşturulması, kimlik doğrulama ve güvenli oturum yönetimi
• Konuma dayalı kurum ve kampanya listesinin oluşturulması
• Kişiselleştirilmiş içerik ve öneri sunulması
• Bildirim gönderilmesi (anlık bildirim, e-posta, SMS — tercihinize göre)
• Platform içi iletişim araçlarının işletilmesi

4.2 Güvenlik ve Doğrulama

• Yetkisiz erişim, sahtekarlık ve kötüye kullanımın tespiti ve önlenmesi
• Hesap güvenliğinin sağlanması (iki faktörlü doğrulama dahil)
• Şüpheli işlem ve anomali tespiti
• Platform bütünlüğünün ve tüm kullanıcıların güvenliğinin korunması

4.3 Hizmet Geliştirme ve Analiz

• Hizmet kalitesinin ölçülmesi ve iyileştirilmesi
• Kullanım istatistiklerinin oluşturulması (anonim veya toplu veri)
• Yeni özellik geliştirme ve mevcut özelliklerin optimize edilmesi
• Teknik sorunların tespiti ve giderilmesi
• A/B testleri ve ürün denemeleri

4.4 İletişim ve Pazarlama

• Hizmet bildirimleri ve önemli güncellemeler (sözleşme gereği)
• Açık rızanız dahilinde kampanya, yenilik ve promosyon bildirimleri
• Müşteri hizmetleri ve destek süreçleri

4.5 Hukuki Yükümlülükler

• Yasal düzenlemeler kapsamındaki yükümlülüklerin yerine getirilmesi
• Yetkili makam talepleri ve mahkeme kararlarına uyulması
• Muhasebe, vergi ve ticaret hukuku kayıt yükümlülükleri
• Uyuşmazlık çözüm süreçlerinde delil ve kayıt oluşturulması

5. Hukuki İşleme Dayanakları

Her işleme faaliyeti KVKK'nın 5. ve gerektiğinde 6. maddesi kapsamında aşağıdaki hukuki dayanakların birine ya da birkaçına dayandırılmaktadır:

6. Kişisel Verilerin Aktarılması

6.1 Yurt İçi Aktarımlar

Kişisel verileriniz, yalnızca gerekliliğe dayalı ve gizlilik taahhütleri kapsamında aşağıdaki kategorideki taraflarla paylaşılabilir:

• Altyapı ve bulut sağlayıcılar: Veri tabanı barındırma, sunucu ve CDN hizmetleri
• Analitik ve izleme araçları: Kullanım istatistikleri ve hata izleme sistemleri
• İletişim sağlayıcılar: E-posta, SMS ve anlık bildirim altyapısı
• Müşteri destek araçları: Destek talebi yönetim sistemleri
• Ödeme sağlayıcılar: Ödeme işlemlerinde ilgili banka ve ödeme kuruluşları
• Yetkili kamu kurumları: Mahkeme kararı veya yasal zorunluluk halinde
• Platform'daki kurumlar: Yalnızca açık rızanız dahilinde ve yalnızca ilgili etkileşime ait veriler

6.2 Yurt Dışı Aktarımlar

Hizmetlerimizin bir bölümü yurt dışında sunucu barındıran teknik altyapı sağlayıcıları aracılığıyla yürütülebilir. Bu aktarımlar yalnızca KVKK'nın 9. maddesi kapsamında; (i) ilgili ülkenin yeterli korumaya sahip olduğunun Kurul tarafından tespit edilmesi, veya (ii) veri sorumluları/işleyenler arasında yeterli korumanın yazılı taahhütle güvence altına alınması koşuluyla gerçekleştirilir.

Kişisel verileriniz hiçbir koşulda satılmaz, kiralanmaz veya ticari amaçla üçüncü taraflara devredilmez.

6.3 Şirket Birleşmesi veya Devri

Şirketin tamamının veya bir bölümünün başka bir kuruluşa devri, birleşme veya satın alma halinde kişisel verileriniz aktarılacak tarafa devredilebilir. Böyle bir gelişmede önceden bilgilendirileceksiniz ve yasal çerçevede haklarınız korunmaya devam edecektir.

7. Veri Saklama Süreleri

Saklama süreleri sona eren veriler silinir, yok edilir veya geri dönüştürülemez biçimde anonimleştirilir. Bu işlemler Şirketin Veri Saklama ve İmha Politikası çerçevesinde periyodik olarak gerçekleştirilir.

8. Veri Güvenliği Önlemleri

Kişisel verilerinizin yetkisiz erişim, değiştirme, ifşa veya imhaya karşı korunması için aşağıdaki teknik ve idari tedbirler uygulanmaktadır:

8.1 Teknik Tedbirler

• Tüm veri iletimi TLS 1.2+ protokolüyle şifrelenir
• Hassas veriler (şifre, erişim tokeni) bcrypt/Argon2 veya AES-256 ile şifrelenerek saklanır
• Güvenlik duvarları, DDoS koruma ve saldırı tespit/engelleme sistemleri (IDS/IPS)
• Yetki bazlı erişim kontrolü (RBAC) ve minimum yetki prensibi
• Çok faktörlü kimlik doğrulama (iç sistemler için zorunlu)
• Düzenli güvenlik açığı taramaları ve penetrasyon testleri
• Otomatik yedekleme ve iş sürekliliği/felaket kurtarma prosedürleri
• Merkezi log yönetimi ve anomali izleme/uyarı sistemleri
• Veritabanı şifrelemesi ve erişim denetimi

8.2 İdari Tedbirler

• Tüm çalışanlara gizlilik ve veri güvenliği eğitimi
• Veri işleme görev tanımları ve erişim politikaları
• Üçüncü taraf veri işleyenlerle Veri İşleme Sözleşmeleri (VİS/DPA)
• Yıllık iç denetim ve risk değerlendirmeleri
• Veri ihlali müdahale planı (72 saatlik Kurul bildirim yükümlülüğü dahil)
• Gizlilik ilkesiyle tasarım (Privacy by Design) ve varsayılan gizlilik (Privacy by Default)

Güvenlik ihlali tespit edilmesi halinde, ihlalden etkilenen kullanıcılar yasal süreler içinde bilgilendirilecektir.

9. Otomatik Karar Verme ve Profilleme

Platform, içerik kişiselleştirme amacıyla otomatik profil oluşturma mekanizmaları kullanmaktadır. Bu profilleme; size daha alakalı kurum ve kampanya önerileri sunmak amacıyla gerçekleştirilir, hukuki sonuç doğurmaz ve sizi önemli ölçüde etkileyen herhangi bir kararda tek başına belirleyici olarak kullanılmaz. KVKK'nın 11/g maddesi kapsamında otomatik işleme sonuçlarına itiraz etme hakkınız saklıdır.

10. Çocukların Gizliliği

Platform, 13 yaşın altındaki bireylere yönelik değildir ve bu yaş grubundan bilerek kişisel veri toplanmaz. 13–18 yaş arası kullanıcılar Platformu yalnızca ebeveyn veya yasal vasi izniyle kullanabilir. 13 yaş altına ait verinin farkında olmadan toplandığını tespit edersek söz konusu veri derhal silinir. Bu konuda bizi kvkk@cimde.com.tr adresinden bilgilendirebilirsiniz.

11. Üçüncü Taraf Hizmetler ve Bağlantılar

Platform; sosyal medya paylaşım butonları, üçüncü taraf oturum açma seçenekleri (Google, Apple gibi) veya harici web sitelerine yönlendiren bağlantılar içerebilir. Bu üçüncü tarafların veri işleme uygulamalarından Şirketimiz sorumlu değildir; kendi gizlilik politikalarını incelemenizi tavsiye ederiz.

12. Veri Sahiplerinin Hakları

KVKK'nın 11. maddesi ve uygulanabildiği ölçüde GDPR kapsamında aşağıdaki haklara sahipsiniz:

• Bilgi edinme: Kişisel verilerinizin işlenip işlenmediğini ve işleniyorsa buna ilişkin bilgi talep etme
• Erişim: İşlenen kişisel verilerinizin bir kopyasını talep etme
• Düzeltme: Yanlış veya eksik verilerin düzeltilmesini isteme
• Silme ("Unutulma hakkı"): Belirli koşullar altında verilerinizin silinmesini isteme
• İşlemenin kısıtlanması: Belirli koşullar altında veri işlemenin durdurulmasını talep etme
• Veri taşınabilirliği: Verilerinizi yapılandırılmış ve yaygın kullanılan formatta talep etme
• İtiraz: Meşru menfaate veya profillemeye dayalı işlemeye itiraz etme
• Rıza geri alma: Rızaya dayalı işlemlerde onayınızı her zaman geri çekme (geri çekme, önceki işlemlerin hukukiliğini etkilemez)
• Zararın giderilmesi: Kanuna aykırı işleme nedeniyle uğradığınız zararın tazminini talep etme
• Kuruma şikayet: Kişisel Verileri Koruma Kurumu'na şikayette bulunma

Başvurularınızı kimliğinizi doğrulayacak bilgilerle birlikte kvkk@cimde.com.tr adresine iletmeniz yeterlidir. Talepler, başvuru tarihinden itibaren en geç 30 takvim günü içinde ücretsiz olarak yanıtlanır.

13. Çerezler ve İzleme Teknolojileri

Platform'un çerez kullanımına ilişkin ayrıntılı bilgi için Çerez Politikamızı inceleyebilirsiniz.

14. Politika Değişiklikleri

Bu politikayı zaman zaman güncelleyebiliriz. Güncelleme tarihi her revizyonda revize edilir. Kullanıcıları önemli ölçüde etkileyen değişiklikler; Platform içi bildirim, e-posta veya uygulama içi uyarı yoluyla en az 15 gün önceden duyurulur. Değişikliğin yürürlüğe girmesinden sonra Platformu kullanmaya devam etmek, güncellenmiş politikayı kabul ettiğiniz anlamına gelir.

15. İletişim