UGY Gizlilik ve Kişisel Verilerin Korunması Politikası

Sürüm 1.0.0 · Yürürlük tarihi 02.10.2026

1. Amaç ve Kapsam

Cetinjski Put BB, 81000 Podgorica, Karadağ adresinde yerleşik Tuncan Technology & Consulting DOO (“Şirket”) olarak kişisel verilerinizin gizliliğine, güvenliğine ve mahremiyetinize önem veriyoruz. Şirket’imiz kişisel verilerinizin korunmasını ve gizliliğini kanuni bir yükümlülüğü yerine getirmenin ötesinde mahremiyete ve gizliliğe saygılı Şirket duruşunu yansıtmak üzere şeffaf, güvenilir ve sorumlu bir yaklaşımla sağlar.

Şirket olarak 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamındaki yükümlülüklerimiz ve temel ilkeler doğrultusunda kişisel verilerinizin işlenme ve saklanma koşullarını, yetkisiz erişim ve kötüye kullanımını önlemek için aldığımız teknik ve idari tedbirleri işbu UGY Gizlilik ve Kişisel Verilerin Korunması Politikası (“Politika”) ile sizlere tüm şeffaflığımızla aktarmak ve süreçler hakkında sizleri bilgilendirmek istiyoruz. Politika kapsamında siz müşterilerimiz ve iş ortaklarımızı verilerinizin gizliliği ve haklarınız konusunda bilgilendirmeyi amaçlıyoruz.

2. Tanımlar

İlgili Kişi: Kişisel Verisi işlenen gerçek kişi veya kişilerdir.

Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

Kişisel Veri İşleme: Kişisel Verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, saklanması, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemdir.

3. Kişisel Verilerin İşlenmesinde Uygulanacak İlkeler

Şirket, kişisel verileri mevzuatta öngörülen genel ilke ve hükümlere uygun olarak işler. Bu kapsamda, Şirket tarafından tüm Kişisel Veri İşleme faaliyetlerinde dikkate alınması gereken ilke ve şartlar şunlardır:

4. Kişisel Verileri İşleme Sebepleri ve Hangi Amaçlarla İşlendiği

Kişisel verileriniz, Şirket ile aranızdaki hukuki ilişkinin niteliğine göre farklı hukuki sebeplerle işlenebilmektedir. Hangi kişisel verilerin hangi hukuki sebeplerle toplandığına ilişkin detaylı bilgilendirmeler https://ugy.app/tr/kvkk/ adresinde yer alan Kullanıcı Verilerinin İşlenmesine Dair Aydınlatma Metni (“Kullanıcı Aydınlatma Metni”) kapsamında sizlerle paylaşılmaktadır.

Şirket olarak kişisel veri işleme faaliyetlerimizde sizlere en iyi hizmeti sunarken diğer yandan mevzuatın tüm gerekliliklerini yerine getirmeyi hedefliyoruz. Kullanıcı Aydınlatma Metni kapsamında hangi tür kişisel verilerin hangi amaçlarla işlendiği detaylı olarak yer almaktadır.

5. Kişisel Verilerin Kimlere ve Hangi Amaçla Aktarılabileceği

Şirket, kişisel verilerinizi işlerken “bilme gereği” ve “kullanma gereği” ilkelerini, veri minimizasyonunu ve gerekli teknik ve idari tedbirlerin alınması konularını göz önünde bulundurur. Diğer taraftan faaliyetlerimizi yürütürken iş sürekliliğinin temini, işin denetlenmesi ve dijital altyapıların kullanılabilmesi amaçlarıyla yurt içinde veya yurt dışında yerleşik farklı paydaşlara veri aktarımı sağlanabilmektedir. Ayrıca, sözleşmesel ve kanuni yükümlülüklerini tam ve gereği gibi yerine getirebilmesi için kişisel verilerinizin doğru ve güncel olması çok önemlidir. Bunun için de muhtelif iş ortaklarıyla ve hizmet sağlayıcılarla çalışmak durumundayız. Her koşulda kişisel veri aktarımları, güvenli ortam ve kanallar aracılığıyla gerçekleştirilmektedir. Şirket, kişisel verileri üçüncü taraflara aktarırken Kanun’un 8. ve 9. maddelerinde yer alan kurallara ve Kurul tarafından belirlenmiş olan ek düzenlemelere uygun davranılmasına büyük önem göstermektedir.

Kişisel verileriniz, işleme amacının gerektirdiği durumlarda ve sadece bununla sınırlı olarak şirket içi aktarılmakta, gerçek kişiler veya özel hukuk tüzel kişilerle, iş ortaklarıyla, iştirakler ve bağlı ortaklıklarla, tedarikçilerle, yetkili kamu kurum ve kuruluşlarıyla Kanun’da belirtilen kurallar çerçevesinde paylaşılabilmektedir. Her bir aydınlatma metninde, kişisel verilerin hangi amaçlarla işlendiği ve hangi amaçlarla üçüncü kişilere aktarıldığı detaylı olarak yer almaktadır.

Kullanıcılarımıza ilişkin kişisel veriler bakımından başlıca hizmet sağlayıcılarımız şunlardır: kimlik doğrulama, veritabanı, dosya depolama ve sunucu hizmetleri için Google (Firebase ve Google Cloud); Google veya Apple hesabıyla giriş, işletim sisteminin konum ve coğrafi kodlama hizmetleri ile harita gösterimi için Google ve Apple; iOS cihazlarda bildirimlerin iletilmesi için Apple; bildirim belirtecinin oluşturulması, bildirimlerin iletilmesi ve uygulama güncellemelerinin dağıtımı için Expo; uygulama hata, çökme ve performans kayıtlarının izlenmesi için Sentry; uygulama içi ürün analitiği için PostHog (uygulama içi kullanım olaylarınız yalnızca açık rızanızın bulunması hâlinde PostHog’a iletilmektedir; bununla birlikte uygulamanın açılışında uygulama yapılandırmasının alınması sırasında IP adresiniz açık rızanızdan bağımsız olarak PostHog’a iletilmekte, cihazınıza veya hesabınıza atanan tanımlayıcı ile uygulama sürümü ve cihaz türü bilgileri de iletilebilmektedir); hesap e-postalarının, internet sitemiz üzerinden yapılmış bekleme listesi kayıtlarına ilişkin doğrulama e-postalarının, bekleme listesine katılanlara yönelik bilgilendirme e-postalarının ve geri bildirim özetlerinin gönderimi için Resend; uygulama içi geri bildirimlerin takibi için Atlassian (Jira); internet sitemizin barındırılması ve internet sitemiz üzerinden yapılmış bekleme listesi kayıtlarının tutulması için Cloudflare; çerez tercihlerinizin yönetilmesi ve bu tercihlere uygun olarak internet sitemizin kullanımına ilişkin analitik ölçümlerin yapılması için CookieYes ve Google (Google Analytics). Şirket Karadağ’da yerleşik olup yukarıda adı geçen hizmet sağlayıcıların tamamı Türkiye dışında yerleşiktir; bu nedenle kişisel verileriniz Türkiye dışında bulunan sistemlerde işlenmektedir.

6. Kişisel Verilerin Güvenliğini Sağlamak Amacıyla Alınan Teknik ve İdari Tedbirler

Şirket, kişisel verilerinizin gizliliği, bütünlüğü ve güvenliğinin sağlanması için gerekli teknik ve idari her türlü tedbiri almayı ve gerekli özeni göstermeyi taahhüt etmektedir. Bu kapsamda, kişisel verilerin hatalı kullanımını, hukuka aykırı olarak işlenmesini, verilere yetkisiz erişimi, verilerin ifşa edilmesini, değiştirilmesini veya imha edilmesini engellemek için gerekli önlemleri almaktayız. Şirket işlediği kişisel verilere hukuka aykırı erişimin engellenmesi, bu verilerin hukuka aykırı işlenmesinin önlenmesi ve kişisel verilerin muhafazasının sağlanmasına ilişkin olarak aşağıdaki teknik ve idari tedbirleri almaktadır:

Bulut Altyapısı: Uygulamanın sunucu tarafı, Şirket’e ait fiziksel sunucu veya veri merkezi kullanılmaksızın Google Cloud ve Firebase’in yönetilen hizmetleri (kimlik doğrulama, veritabanı, dosya depolama ve sunucu işlevleri) üzerinde çalışmaktadır; sunucu işlevleri Avrupa Birliği’nde bulunan veri merkezlerinde çalıştırılmaktadır.

Erişim Kontrolü: Veritabanına ve dosya deposuna uygulama üzerinden yapılan erişimler, açıkça izin verilmeyen her türlü okuma ve yazma işlemini reddeden güvenlik kurallarıyla sınırlandırılmıştır. Profil kaydınız (kullanıcı adınız dışında), onay kayıtlarınız ve etkinlik işaretlemeleriniz uygulama üzerinden yalnızca sizin erişiminize açık olup kullanıcılar birbirlerinin bu verilerine erişememektedir. Profil fotoğrafınız ise hesap kayıtlarınızda tutulan, erişim anahtarı içeren bir bağlantı adresi üzerinden görüntülenmekte olup bu bağlantı adresine sahip olan kişiler fotoğrafa erişebilmektedir.

Kullanıcı Tanımlamaları ve Need to Know: Bildirim kampanyalarının oluşturulması ve yönetimine ilişkin işlemler yalnızca yönetici rolü tanımlanmış yetkililer tarafından gerçekleştirilebilmektedir. Hesap silme, e-posta doğrulama ve e-posta adresi değişikliği işlemlerini yürüten sunucu işlevleri, talepte bulunan kullanıcının oturumunu doğrulamakta ve yalnızca o kullanıcının kendi hesabı üzerinde işlem yapmaktadır. Şifre sıfırlama talepleri oturum gerektirmemekte olup bu işlev, girilen e-posta adresine ait bir hesap bulunup bulunmadığını açıklamamaktadır.

Hata ve İşleyiş İzleme: Uygulama hataları, çökmeleri ve performans verileri bir hata takip hizmeti aracılığıyla kayıt altına alınmakta; sistemlerin işleyişine ilişkin otomatik günlük durum raporları hazırlanmaktadır.

SSL/TLS: Mobil uygulama ile sunucularımız arasındaki veri iletimi HTTPS/TLS protokolüyle şifrelenerek yapılmakta, internet sitemiz de HTTPS üzerinden sunulmaktadır.

İç İnceleme: Uygulama kodu ve erişim kuralları iç kod incelemelerinden geçirilmiş, bu incelemelerde tespit edilen güvenlik bulguları doğrultusunda iyileştirmeler yapılmıştır.

Kayıtların Bütünlüğü: Uygulama tarafından kaydedilen onay kayıtları uygulama üzerinden değiştirilemez ve silinemez; kaydedilen her yeni karar, önceki kaydın üzerine yazılmadan ayrı bir kayıt olarak eklenmekte olup onay kayıtları yalnızca hesabın silinmesiyle birlikte silinmektedir. Uygulama içi geri bildirimler, veritabanına kaydedilmeden önce güvenlik kurallarıyla biçim ve uzunluk denetiminden geçirilmektedir.

Gizli Anahtar Yönetimi: Sunucu işlevlerinde kullanılan API anahtarları ve diğer gizli bilgiler kaynak kodda değil, yönetilen bir gizli anahtar deposunda (Google Secret Manager) tutulmakta; sunucu tarafı bileşenlerin üretim ortamına dağıtımları kalıcı erişim anahtarı yerine kısa ömürlü kimlik bilgileriyle yapılmaktadır.

Değişiklik Yönetimi ve Test: Üretim ortamına yapılacak değişiklikler önce ayrı bir test ortamında denenmekte ve yetkili onayıyla yayına alınmaktadır; veritabanı ve dosya deposu erişim kurallarındaki değişiklikler otomatik testlerle sınanmaktadır. Test ve üretim ortamlarının veritabanı, dosya deposu, kimlik doğrulama ve sunucu işlevleri birbirinden ayrı projelerde çalışmaktadır.

Veri Minimizasyonu: Cihazınızın konum koordinatları sunucularımıza kaydedilmemekte, yakınınızdaki etkinliklerin sorgulanmasında yalnızca yaklaşık 5 km’lik bölge hücreleri kullanılmaktadır. Ülke tespiti, sunucu işlevinde bulunan yerel bir veritabanı üzerinden yapılmakta olup bu tespit için işlenen IP adresiniz veritabanımıza kaydedilmemekte ve bu tespit amacıyla harici bir konum hizmetine gönderilmemektedir; IP adresinizin uygulama açılışında PostHog’a iletilmesine ilişkin açıklama yukarıda, hizmet sağlayıcılarımızın sayıldığı paragrafta yer almaktadır. Ürün analitiği verilerine e-posta adresiniz, adınız ve arama metniniz dahil edilmemektedir.

7. Kişisel Verilerin Saklanması ve Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi Şartları

Şirket işlediği kişisel verileri ilgili mevzuatta öngörülen veya işleme amacının gerektirdiği süreler boyunca Kanun ile uyumlu olarak muhafaza eder. Saklama sürelerine ve imha yöntemlerine ilişkin açıklamalar aşağıda ve Kullanıcı Aydınlatma Metni’nin “Veri İşleme ve Saklama Süresi” başlıklı bölümünde yer almaktadır.

Şirket, iş süreçleri kapsamında fiziki, elektronik, mobil uygulama, web sitesi, e-posta gibi kanallardan toplayarak işlediği kişisel verileri, Kanun Madde 7, 17 ve Türk Ceza Kanunu Madde 138 uyarınca ilgili kanunların öngördüğü süreler ve/veya işleme amacının gerekli kıldığı süreler boyunca saklamaktadır. Bu sürelerin sona ermesi durumunda ise Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümleri ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi uyarınca silecek, yok edecek veya anonim hale getirecektir.

Bu kapsamda hesabınıza ait veriler hesabınız açık olduğu sürece saklanmaktadır. Hesabınızı uygulama içinden silmeniz hâlinde, sunucularımızda hesabınıza ait olarak tutulan kayıtlar (profil bilgileri ve profil fotoğrafı, tercihler, bildirim belirteci, etkinlik işaretlemeleri, onay kayıtları, kullanıcı adı, geri bildirimler ve uygulama içi bekleme listesi kaydı) ile kimlik doğrulama hesabınız, sunucu tarafında çalışan otomatik bir silme işlemiyle silinmektedir. 30 günden uzun süre kullanılmayan misafir hesapları ve bunlara ait veriler aynı yöntemle otomatik olarak silinmekte olup geçici nitelikteki kayıtlar için ise otomatik imha süreleri tanımlanmış bulunmaktadır. Uygulama hata kayıtları ve ürün analitiği verileri ile bildirim ve e-posta iletim hizmeti sağlayıcılarımız (Expo, Resend) nezdindeki kayıtlar, ilgili hizmet sağlayıcıların sistemlerinde tanımlı saklama süreleri boyunca tutulmakta olup hesabınızın silinmesiyle otomatik olarak silinmemektedir. Uygulama içi geri bildirimlerinizin iş takip sistemimizdeki (Jira) ve ekibimize iletilen özet e-postalardaki kopyaları, bekleme listesi kayıtlarından duyuru amacıyla alınan dışa aktarımlar ile internet sitemiz üzerinden yapılmış bekleme listesi kayıtları da hesabınızın silinmesinden sonra saklanabilmektedir.

8. İlgili Kişilerin Kişisel Verileri Üzerindeki Haklarının Neler Olduğunu ve Bu Hakları Nasıl Kullanabilecekleri

Kişisel verileri işlenen ilgili kişiler, kişisel veri işlenip işlenmediğini öğrenme; kişisel verileri işlenmişse buna ilişkin bilgi talep etme; kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme; kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme; KVK Kanunu 7. maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme; (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme; işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme; kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

Kişisel verileriniz üzerindeki haklarınızı kullanmak amacıyla; [email protected] e-posta adresimize e-posta vasıtası ile iletişime geçebilirsiniz. Bu şekilde başvurunuzu tarafımıza iletmeniz halinde talepleriniz en kısa sürede ve en geç 30 (otuz) gün içerisinde değerlendirilerek sonuçlandırılacaktır. Başvurunuzu iletirken https://ugy.app/tr/kvkk/basvuru/ adresinde yer alan Başvuru Formu’ndan yararlanabilirsiniz.

Şirket, yasal düzenlemelere paralel olarak işbu Politika’da değişiklik yapma hakkını saklı tutar. Politika’nın güncel versiyonuna Şirket web sitesinden (https://ugy.app/tr/privacy/) erişilebilir.