Gizlilik ve KVKK aydınlatma metni

Veri sorumlusu

Plutos

Başvuru adresi: kvkk@plutos.tr

İşlenen kişisel veriler

Aşağıdaki liste uygulamanın veritabanındaki karşılıklarıyla birlikte yazıldı, yani eksiksiz olması bir söz değil bir ölçüm.

Kimlik ve iletişim

• E-posta adresi (giriş, adres doğrulama ve bildirim e-postaları için)
• Görünen ad (uygulamada seni selamlamak için)
• Şifrelenmiş parola özeti; parolanın kendisi hiçbir yerde saklanmıyor
• Bildirim tercihlerin: bütçe uyarısı ve aylık özet e-postasının açık ya da kapalı olduğu

Finansal veriler

• Hesaplar: ad, tür, para birimi, bakiye, kredi kartı limiti
• İşlemler: tutar, tarih, tür, kategori, not, ekstreden gelen açıklama ve banka referans numarası
• Bütçe limitleri ve düzenli işlem kuralları
• Portföy: varlıklar, alım satımlar, maliyetler, gerçekleşen ve gerçekleşmeyen kâr zarar, günlük toplam değer
• İçe aktardığın ekstrelerin dosya adı ve satırları
• Defter tercihleri: ana para birimi, saat dilimi, kur şeridi ve liste sıraları

Teslim ve iletişim kayıtları

• Gönderilen e-postaların teslim durumu: adrese ulaşılamadığında ya da spam olarak işaretlendiğinde bu kaydediliyor ve bütçe uyarısı ile aylık özet gönderimi durduruluyor
• Hangi bütçe uyarısının ve hangi ayın özetinin gönderildiği; aynı postanın iki kez gitmemesi için
• Başvuru adresine yazdığın postanın göndereni, konusu ve zamanı

Teknik kayıtlar

Barındırma ve veritabanı sağlayıcıları kendi güvenlik günlüklerini tutuyor (IP adresi, istek zamanı, tarayıcı bilgisi gibi). Plutos bu günlükleri kendi veritabanına kopyalamıyor ve reklam ya da profilleme için kullanmıyor.

Misafir kullanımı

Uygulamayı hesap açmadan, “misafir olarak” da kullanabilirsin. Bu durumda e-posta adresi ve parola alınmıyor: kimlik kaydı yalnız otomatik üretilen bir kullanıcı numarasından ibaret ve giriş bu cihazdaki oturum çerezine bağlı.

Girdiğin finansal veriler aynı yerde, aynı kurallarla işleniyor: misafirin defteri de diğerleriyle aynı tablolarda duruyor ve aynı satır düzeyi güvenlik politikalarıyla yalnız sana açık. Eksik olan tek şey e-posta adresi, o yüzden misafir hesaba bütçe uyarısı ve aylık özet e-postası gönderilmiyor; bu uyarılar uygulama içinde görünmeye devam ediyor.

Bunun bir sonucu var ve açıkça yazıyoruz: e-posta olmadığı için parola sıfırlama da yok, yani defterine ulaşan tek yol bu cihazdaki oturum. Çıkış yaparsan ya da tarayıcının site verisini temizlersen defter kalıcı olarak erişilemez hâle gelir.

Erişilemez hâle gelmek silinmek değildir: kayıtlar veritabanında durmaya devam eder, yalnız kimse onlara ulaşamaz. Verilerinin gerçekten silinmesini istiyorsan çıkmadan önce Ayarlar → Kullanıcı hesabı ekranından hesabı silmelisin. Dilediğin an aynı ekrandan e-posta ekleyip kalıcı hesaba geçebilirsin; defterindeki hiçbir kayıt değişmez, yalnız ikinci bir giriş yolu açılır.

İşleme amaçları

• Hizmeti sunmak: defterini tutmak, toplamları hesaplamak, rapor üretmek
• Hesabını korumak ve girişini doğrulamak; adres doğrulama, adres değişikliği ve şifre sıfırlama postalarını göndermek
• Bütçe limiti uyarısı ve aylık özet e-postası göndermek (Ayarlar → Bildirimler’den kapatılabilir)
• Teslim edilemeyen bir adrese göndermeyi durdurmak
• Yasal yükümlülükleri yerine getirmek ve başvurulara cevap vermek

Verin satılmıyor, reklam için kullanılmıyor ve üçüncü taraflara pazarlama amacıyla aktarılmıyor. Uygulamada reklam ağı, izleme pikseli ve analitik betiği yok.

Hukuki sebep

Hesabını açıp uygulamayı kullanman bir sözleşme ilişkisi kuruyor ve yukarıdaki verilerin çoğu sözleşmenin kurulması ve ifası için işleniyor (KVKK madde 5/2-c). Güvenlik günlükleri ve kötüye kullanım önleme meşru menfaat kapsamında (madde 5/2-f). Bütçe uyarısı ve aylık özet e-postaları hizmetin parçası olarak gönderiliyor: hesap açıldığında açık geliyorlar ve Ayarlar → Bildirimler’den her an kapatılabiliyorlar.

Kimlere aktarılıyor

Hizmeti çalıştırmak için aşağıdaki sağlayıcılar kullanılıyor. Bunlar Plutos adına veri işliyor; kendi amaçları için kullanmıyorlar.

Supabase

Veritabanı ve kimlik doğrulama: hesabın, işlemlerin ve portföyün burada duruyor.

Nerede: Avrupa Birliği (Frankfurt, eu-central-1)

Vercel

Uygulamanın barındırılması ve sunulması.

Nerede: Amerika Birleşik Devletleri merkezli, küresel dağıtım ağı

Resend

Hesap postalarının (adres doğrulama, adres değişikliği, şifre sıfırlama), bütçe uyarısı ve aylık özet e-postalarının gönderilmesi; başvuru adresine gelen postanın alınması ve işletene bildirilmesi.

Nerede: Amerika Birleşik Devletleri merkezli

Kişisel veri gitmeyen kaynaklar

Kur ve fiyat bilgisi ile varlık araması için aşağıdaki kaynaklara istek yapılıyor. Bu isteklerde yalnız para birimi kodu, varlık sembolü ya da varlık aramasına yazdığın metin var; kim olduğuna dair hiçbir bilgi, çerez dahil, gitmiyor. İstekleri Plutos’un sunucusu yapıyor ve oturumun bu kaynaklara iletilmiyor.

• Truncgil Finans · Döviz kurları, altın ve sikke fiyatları.
• TCMB (Merkez Bankası) · Yedek döviz kuru: piyasa kuru alınamazsa günlük bülten kullanılıyor.
• gold-api.com · Yedek ons altın fiyatı: piyasa fiyatı alınamazsa gram altın bundan hesaplanıyor.
• CoinGecko · Kripto para fiyatları, varlık aramasındaki kripto sonuçları ve yedek ons altın fiyatı.
• Yahoo Finance · Borsa İstanbul hisse fiyatları ve varlık aramasındaki hisse sonuçları.
• TEFAS · Yatırım fonu fiyatları.

Yurt dışına aktarım

Veritabanı Avrupa Birliği’nde (Frankfurt) tutuluyor. Barındırma ve e-posta sağlayıcıları Amerika Birleşik Devletleri merkezli, yani bu hizmetlerin kullanımı kişisel verinin yurt dışına aktarılması anlamına geliyor (KVKK madde 9). Aktarım hizmetin sunulabilmesi için gerekli ve bağlantılar şifreli.

Saklama süreleri

Hesap, defter, portföy ve içe aktarma verisi

Hesabını silene kadar

E-posta teslim olayları

90 gün (sonra otomatik siliniyor)

Teslim edilemeyen adres kaydı

Sen “adresim çalışıyor” diyene ya da hesabını silene kadar

Kur ve fiyat çekme günlüğü

30 gün (kişisel veri içermiyor)

Başvuru adresine gelen posta

Başvurunun cevaplanması ve yasal zamanaşımı süresince

Hesabını silmek

Ayarlar → Kullanıcı hesabı ekranından hesabını kendin silebilirsin. Silme geri alınamaz ve şunları kaldırıyor: hesaplar, bütün işlemler, kategoriler, bütçeler, düzenli işlemler, portföy geçmişi, içe aktarma geçmişi, giriş bilgileri ve e-posta teslim kayıtları. Silmeden önce Ayarlar → Veri’den kayıtlarını tek bir dosya olarak indirebilirsin.

Haklarınız

KVKK madde 11 uyarınca:

• Kişisel verinizin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmişse düzeltilmesini isteme
• Silinmesini veya yok edilmesini isteme
• Düzeltme, silme ve yok etme işlemlerinin aktarılan kişilere bildirilmesini isteme
• Otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç doğmasına itiraz etme
• Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

Bu hakların çoğunu uygulama içinden hemen kullanabilirsin: verini indirmek Ayarlar → Veri’de, silmek Ayarlar → Kullanıcı hesabı ekranında, düzeltmek ise ilgili kaydı düzenleyerek. Yazılı başvuru için kvkk@plutos.tr adresine yazabilirsin; başvurular en geç otuz gün içinde cevaplanıyor.

Güvenlik

Bağlantılar TLS ile şifreli. Veritabanında her kayıt satır seviyesinde erişim politikalarıyla korunuyor, yani bir kullanıcının sorgusu başka bir kullanıcının satırlarına erişemiyor. Türetilmiş alanlar (bakiye, maliyet) istemciden yazılamıyor. Bunlar tasarımın parçası ve testlerle doğrulanıyor; yine de hiçbir sistem hatasız değil, bir açık fark edersen kvkk@plutos.tr adresine yazmanı isteriz.

Bu metin değişirse

Metnin yürürlük tarihi başta yazılı. Esaslı bir değişiklik olursa uygulama içinde bildirilecek; küçük düzeltmelerde yalnız tarih güncelleniyor.