TasarrufYap — Kişisel Verilerin Korunması Aydınlatma Metni

(6698 sayılı Kişisel Verilerin Korunması Kanunu md. 10 kapsamında hazırlanmıştır.)

⚠️ BU METİN HUKUKİ TAVSİYE DEĞİLDİR — TASLAKTIR
Aşağıdaki metin, uygulamanın kodda ve veritabanında doğrulanmış davranışını KVKK md.10
yapısına oturtan bir taslaktır. Bir avukat incelemeden ve DOLDURULACAK alanları
doldurulmadan kullanıcıya sunulmamalıdır. Özellikle md.6 (özel nitelikli veri) ve
md.9 (yurt dışına aktarım) başlıklarındaki değerlendirmelerin hukukçu tarafından
teyidi zorunludur.

1. Veri sorumlusunun kimliği

Not — VERBİS: Kişisel Verileri Koruma Kurulu'nun belirlediği eşiklerin altında kalan
veri sorumluları Sicil'e kayıt yükümlülüğünden muaf tutulabilmektedir. **Muafiyet yalnızca
Sicil'e kayıt yükümlülüğünü kaldırır**; aydınlatma, hukuka uygun işleme, veri güvenliği,
ilgili kişi başvurularını yanıtlama ve ihlal bildirimi yükümlülükleri aynen devam eder.
Muafiyetin bu proje için geçerli olup olmadığı, güncel Kurul kararı esas alınarak avukat
tarafından teyit edilmelidir.

2. İşlenen kişisel veriler ve hukuki sebepleri

Aşağıdaki tablo, veritabanı şeması tablo/kolon düzeyinde kontrol edilerek çıkarılmıştır. Her satır için hukuki sebep ayrı ayrı belirtilmiştir.

2.1 Kimlik ve iletişim verisi

Ad-soyad, TC kimlik numarası, telefon numarası, doğum tarihi ve adres işlenmemektedir.

2.2 İşlem güvenliği verisi

2.3 Finansal işlem verisi (kullanıcının elle girdiği)

Neden açık rıza değil? Bu veriler uygulamanın var oluş sebebidir; hizmetin ifası için
zorunludur. KVKK'da açık rıza son çaredir: meşru bir dayanak varken rıza istemek hem
gereksizdir hem de yanıltıcı olur (kullanıcı rızasını geri çektiğinde hizmetin çalışmaya
devam etmesi mümkün olmadığı için rıza gerçek anlamda "özgür irade" niteliği taşımaz).

2.4 Rıza ve denetim kayıtları

(Uyarı: bu iki tabloya yazan uygulama kodu henüz yoktur — bkz. bölüm 9.)

2.5 Kişisel veri olmayan veri

price_index_series, price_index_values, price_index_link tablolarındaki TÜFE verisi kamuya açık bir istatistiktir, herkes için aynıdır ve kişiye bağlanamaz. Kullanıcı bu tablolara yazamaz; yalnızca okuyabilir. TCMB'ye kullanıcı verisi gönderilmez.

3. Özel nitelikli kişisel veri (KVKK md.6)

Durum: Uygulama, yeni kullanıcıya hazır gider kategorileri açar. Bunlardan biri "Sağlık" kategorisidir ve veritabanında is_sensitive = true işaretiyle tutulur. Kullanıcı bu kategoriye bir harcama kaydı girerse, kaydın kendisi (tutar + tarih + kategori etiketi) sistemde saklanır.

Uygulamanın aldığı önlemler (kodda doğrulanmıştır):

• is_sensitive işaretli kategoriler **hiçbir analiz, öneri veya yapay zekâ yoluna

varsayılan olarak girmez**. Uygulamada zaten böyle bir yol bulunmamaktadır.

• Uygulama bu kayıttan sağlık durumu, teşhis, ilaç veya tedavi çıkarımı yapmaz.
• Kayıt yalnızca kullanıcının kendi defterinde, kendisine geri gösterilmek üzere tutulur.
• Veritabanı düzeyinde bu kayda başka hiçbir kullanıcı erişemez (satır düzeyi güvenlik).
• Uygulama tıbbi kayıt, teşhis, rapor veya sağlık kuruluşu bilgisi istemez.

Hukukçu kararına bırakılan nokta: Kullanıcının kendi girdiği "Sağlık" etiketli bir harcama satırının, KVKK md.6 anlamında sağlık verisi sayılıp sayılmayacağı ve yalnızca saklama amacıyla işlenmesinin açık rıza gerektirip gerektirmediği tartışmaya açıktır. İki görüş de savunulabilir:

• Gerektirmez: İşleme, kullanıcının kendi kaydını kendisi için saklamaktan ibarettir; ne

bir sağlık değerlendirmesi ne de bir çıkarım yapılmaktadır. Dayanak md.5/2-c olur.

• Gerektirir: Etiketin kendisi kişinin sağlık harcaması yaptığını gösterir ve md.6 özel

nitelikli veriler için dar bir çerçeve çizer.

Bu değerlendirme avukat tarafından karara bağlanmalıdır. Karar "gerektirir" yönünde çıkarsa ACIK-RIZA.md içindeki hazır metin devreye alınır ve rıza vermeyen kullanıcı için hassas kategori kapatılabilir hâle getirilir.

Serbest metin uyarısı: Açıklama, not ve başlık alanlarına kullanıcı istediğini yazabilir. Bu alanlara özel nitelikli bilgi (sağlık, din, siyasi görüş, sendika üyeliği vb.) yazılmaması kullanıcıya uygulama içinde hatırlatılmalıdır.

4. Kişisel verilerin toplanma yöntemi

Toplanmayan yöntemler: Banka veya ödeme kuruluşu bağlantısı (açık bankacılık) yoktur. SMS okuma, bildirim okuma, rehber, konum ve dosya erişimi yoktur; uygulama bu izinleri hiç talep etmez. Çerez, piksel, reklam kimliği veya üçüncü taraf izleme kütüphanesi kullanılmaz.

5. İşleme amaçları

1. Kullanıcı hesabının oluşturulması, doğrulanması ve sürdürülmesi.
2. Uygulamanın asıl işlevinin yerine getirilmesi: girilen kayıtlardan net servet, aylık akış

ve ödeme takviminin hesaplanarak kullanıcıya gösterilmesi.

1. Hesap güvenliğinin sağlanması, yetkisiz erişimin ve kötüye kullanımın önlenmesi.
2. Hizmete ilişkin zorunlu iletişimin yapılması (doğrulama, parola sıfırlama).
3. Hata tespiti ve hizmet kalitesinin sürdürülmesi — kişisel veri içermeyen teknik

kayıtlar üzerinden.

1. Mevzuattan doğan yükümlülüklerin yerine getirilmesi ve ilgili kişi başvurularının

yanıtlanması.

Yapılmayan işlemler: profilleme, otomatik karar verme, kredi değerlendirmesi, pazarlama segmentasyonu, reklam hedefleme, kullanıcı verisinin üçüncü taraflara satılması.

6. Aktarım

6.1 Yurt içi aktarım (KVKK md.8)

Kişisel verileriniz, yalnızca mevzuatın zorunlu kıldığı hâllerde ve talebin kapsamıyla sınırlı olarak yetkili kamu kurum ve kuruluşlarına aktarılabilir. Bunun dışında yurt içi üçüncü kişilere aktarım yapılmamaktadır.

6.2 Yurt dışına aktarım (KVKK md.9)

Mevcut durum — açıkça belirtilmelidir: Uygulamanın veritabanı ve kimlik doğrulama servisi bu metnin hazırlandığı tarihte Moldova Cumhuriyeti'nde bulunan bir sunucuda çalışmaktadır. Sağlayıcı: ALEXHOST SRL (Chișinău, Moldova). Bu, bölüm 2'de sayılan tüm kişisel verilerin yurt dışına aktarılması anlamına gelir.

Planlanan durum: docs/adr/0002-veri-barindirma.md kararı gereği üretim veritabanı Türkiye'de bulunan bir sunucuya taşınacaktır.

Geçiş dönemine ilişkin proje kuralı: Türkiye sunucusu hazır olmadan gerçek kullanıcı verisi toplanmaz ve kapalı beta başlamaz (docs/HEDEFLER.md, K7). Şu anda Moldova'daki sunucuda bulunan veriler geliştirme ve test verileridir.

Aktarım dayanağı — dikkat edilmesi gereken nokta: Uygulama Türkiye'ye taşınmadan gerçek kullanıcıya açılırsa, aktarım sürekli ve rutin bir aktarım olur. Bu durumda KVKK md.9 kapsamında uygun güvence (standart sözleşme + Kurul'a bildirim, bağlayıcı şirket kuralları veya taahhütname) gerekir. Süreklilik arz eden bir barındırma aktarımı, md.9'un arızi hâller istisnasına dayandırılamaz; dolayısıyla bu senaryoda açık rıza uygun bir dayanak değildir (ayrıntılı gerekçe: ACIK-RIZA.md, bölüm D).

6.3 Diğer yurt dışı akışları

Push bildirim gönderilmemektedir; FCM/APNs kullanılmamaktadır (bağımlılık listesinde bildirim kütüphanesi yoktur). Bu nedenle push sağlayıcılarına aktarım yoktur.

TCMB EVDS: Enflasyon verisi çekilirken TCMB'ye kişisel veri gönderilmez; akış tek yönlüdür ve dışarıdan kamusal istatistik alınmasından ibarettir. Aktarım sayılmaz.

7. Saklama ve imha

Uygulamanın gerçek davranışı — dürüst anlatım:

• Finansal kayıtlar veritabanı düzeyinde sert silmeye karşı korumalıdır: bir işlem veya

hesap doğrudan silinemez. Düzeltme, ters kayıtla (kontra kayıt) yapılır; yanlış kurulan bir ödeme planı silinmez, "iptal edildi" olarak işaretlenir. Bu, geçmişe dönük raporların tutarlı kalmasını sağlar.

• Hesabın tümüyle silinmesi ayrı bir işlemdir ve bu koruma onu engellemez; silme akışı

yazıldığında yönetici düzeyinde bir işlem olarak kullanıcının tüm satırlarını kaldıracak şekilde tasarlanmalıdır.

• Ancak bu akış henüz yazılmamıştır (bkz. bölüm 9).

8. İlgili kişinin hakları (KVKK md.11) ve başvuru usulü

8.1 Haklarınız

Herkes, veri sorumlusuna başvurarak kendisiyle ilgili olarak:

a) Kişisel verisinin işlenip işlenmediğini öğrenme, b) İşlenmişse buna ilişkin bilgi talep etme, c) İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme, d) Eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme, e) Kanunda öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme, f) (d) ve (e) uyarınca yapılan işlemlerin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) İşlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonuç ortaya çıkmasına itiraz etme, ğ) Kanuna aykırı işleme sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme

haklarına sahiptir.

(g) bendi hakkında: Uygulama şu anda **hiçbir otomatik karar verme veya profilleme işlemi
yapmamaktadır**. Kullanıcıya gösterilen tüm sayılar, kullanıcının kendi girdiği kayıtların
aritmetik toplamıdır ve her toplamın hangi kayıtlardan oluştuğu uygulamada görülebilir.

8.2 Başvuru

Başvurularınızı şu kanallardan iletebilirsiniz:

• E-posta: [email protected]
• KEP: [OPERATÖRDEN BEKLENİYOR: KEP adresi]
• Yazılı: [OPERATÖRDEN BEKLENİYOR: Videntis IO tebligata elverişli açık adresi]

Başvurunuzda ad-soyadınız, hesabınıza kayıtlı e-posta adresiniz, talebinizin konusu ve kimliğinizi doğrulamaya yetecek bilgiler bulunmalıdır. Başvurunuz, talebin niteliğine göre en geç otuz gün içinde sonuçlandırılır. Başvuru kural olarak ücretsizdir; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret alınabilir.

Başvurunuzun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız saklıdır.

9. Bu metnin şu anda kodda karşılığı olmayan noktaları

Yayından önce kapatılması gereken açıklar. Bu bölüm, metin ile yazılım arasındaki farkı gizlememek için bilerek buradadır ve yayın sürümünde bulunmamalıdır (çünkü o tarihte açıkların kapanmış olması gerekir).