Gizlilik Politikası

1. Veri sorumlusu ve iletişim

KVKK anlamında veri sorumlusu, GDPR anlamında ise “controller” sıfatıyla hareket eden taraf: Givmu (“Givmu”, “biz”).

Adres:: İstanbul
Genel iletişim:: [email protected]
Kişisel veri başvuruları:: [email protected]
İhlal ve içerik bildirimleri:: [email protected]

Kullanıcı olarak siz, KVKK anlamında “ilgili kişi”, GDPR anlamında “data subject” konumundasınız.

2. Politikanın kapsamı ve tanımlar

Bu politika, Givmu uygulamasını indiren, hesap açan veya paylaşılan bir hediye listesi bağlantısını ziyaret eden herkes için geçerlidir. Uygulamadan çıkıp gittiğiniz üçüncü taraf mağaza sitelerinin gizlilik uygulamaları bu politikanın kapsamı dışındadır.

Hesap: telefon numarası doğrulanmış kullanıcı kaydı.
Bağlantı adı: profil adresinizi oluşturan kısa ad, örneğin givmu.com/mert-kaya-4f2k.
İstek listesi: kullanıcının kendi oluşturduğu hediye listesi ve içindeki ürünler.
Rezervasyon: bir ürünü “Ben alıyorum” ile işaretleme kaydı.
Numara özeti: bir telefon numarasının geri döndürülemeyen SHA-256 özeti.
Misafir: paylaşılan bir listeyi hesap açmadan ziyaret eden kişi.

3. İşlenen kişisel veriler, amaçlar ve hukuki dayanaklar

Aşağıda işlediğimiz her veri kategorisi tek tek sayılmıştır. Hukuki dayanak sütununda KVKK m.5/2 ve m.6 bentleri ile GDPR m.6(1) karşılıkları gösterilir. Açık rızaya dayanan işlemeler için rızanızı her zaman geri alabilirsiniz.

Telefon numarası (E.164 biçiminde)

Amaç:: Hesabın açılması ve kimliğin doğrulanması, giriş, hesabın kurtarılması, rehber eşleştirmesinde bulunabilmeniz.
Hukuki dayanak:: KVKK m.5/2-c (sözleşmenin kurulması ve ifası için zorunlu olma) ve m.5/2-f (meşru menfaat); GDPR m.6(1)(b) ve 6(1)(f).
Saklama süresi:: Hesap açık olduğu sürece; hesap silindiğinde silinir.

Telefon numarası aynı zamanda hesabın tekil kimliğidir; iki hesap aynı numarayla açılamaz.

Telefon numarasının SHA-256 özeti

Amaç:: Rehber eşleştirmesinde açık numara karşılaştırmak zorunda kalmadan, yeni kaydolan kullanıcıyı sizi rehberinde tutan kişilerle eşleştirmek.
Hukuki dayanak:: KVKK m.5/2-c ve m.5/2-f; GDPR m.6(1)(b) ve 6(1)(f).
Saklama süresi:: Hesap açık olduğu sürece; hesap silindiğinde silinir.

Doğrulama kodu kayıtları

Amaç:: SMS ile gönderilen tek kullanımlık kodun doğrulanması, deneme sayısının sınırlanması, kötüye kullanımın ve sahte kayıt girişimlerinin engellenmesi. Kodun kendisi açık biçimde değil, özeti saklanır.
Hukuki dayanak:: KVKK m.5/2-c ve m.5/2-f; GDPR m.6(1)(b) ve 6(1)(f).
Saklama süresi:: Kod en çok beş dakika geçerlidir; kayıtlar kullanıldıktan veya süresi geçtikten sonra en fazla 30 gün tutulur.

Ad ve soyad

Amaç:: Profilinizin ve hediye listenizin sizi tanıyan kişilere gösterilmesi, aramada bulunabilmeniz.
Hukuki dayanak:: KVKK m.5/2-c; GDPR m.6(1)(b).
Saklama süresi:: Hesap açık olduğu sürece; hesap silindiğinde silinir.

Doğum tarihi

Amaç:: Doğum gününüze kalan günün hesaplanması ve sizi takip edenlere hatırlatılması. Doğum yılınız yalnızca size gösterilir; başkalarına yalnızca gün ve ay gösterilir.
Hukuki dayanak:: KVKK m.5/2-c; GDPR m.6(1)(b). Doğum tarihini girmek zorunlu değildir; girmezseniz doğum günü hatırlatması çalışmaz.
Saklama süresi:: Hesap açık olduğu sürece; hesap silindiğinde silinir.

Bağlantı adı (profil adresi)

Amaç:: Listenizin paylaşılabilir bir adresle açılması. Bağlantı adı herkese açıktır; adresi bilen herkes profil sayfanızı görebilir.
Hukuki dayanak:: KVKK m.5/2-c; GDPR m.6(1)(b).
Saklama süresi:: Hesap açık olduğu sürece; hesap silindiğinde silinir ve bağlantı adı yeniden kullanıma açılır.

İstek listesi ve ürün bilgileri

Amaç:: Liste adları, ürün adları, fiyatlar, mağaza adları, ürün bağlantıları, ürün görsel adresleri ve notlar; listenin gösterilmesi, sıralanması ve paylaşılması.
Hukuki dayanak:: KVKK m.5/2-c; GDPR m.6(1)(b).
Saklama süresi:: Siz silene kadar; hesap silindiğinde listeler ve ürünler birlikte silinir.

Bir ürün bağlantısı eklediğinizde sunucumuz o adrese bir kez istek atarak sayfanın başlığını, görselini ve fiyatını okur. Bu istek sizin adınıza değil, sunucumuz adına yapılır ve size ait hiçbir bilgi hedef siteye gönderilmez.

Rezervasyon kayıtları

Amaç:: Aynı hediyenin iki kez alınmasını önlemek. Kaydın içinde ürünün kimliği ve rezerve edenin kimliği (hesap kimliği ya da misafir belirteci) ile zaman bilgisi bulunur.
Hukuki dayanak:: KVKK m.5/2-c ve m.5/2-f; GDPR m.6(1)(b) ve 6(1)(f).
Saklama süresi:: Rezervasyon iptal edilene kadar; hesap silindiğinde o hesaba ait rezervasyonlar silinir.

Bu kayıt liste sahibine hiçbir koşulda gösterilmez. Ayrıntısı 5. bölümdedir.

Takip ilişkileri

Amaç:: Doğum günü akışının oluşturulması. Kaydın içinde kimi takip ettiğiniz ve takibin nasıl kurulduğu (rehber, bağlantı ya da arama) yer alır.
Hukuki dayanak:: KVKK m.5/2-c ve m.5/2-f; GDPR m.6(1)(b) ve 6(1)(f).
Saklama süresi:: Takibi bırakana kadar; hesap silindiğinde silinir.

Rehberinizdeki numaraların SHA-256 özetleri

Amaç:: Rehberinizdeki kişilerden hangilerinin Givmu kullandığını bulmak ve onların doğum günlerini size göstermek.
Hukuki dayanak:: Açık rızanız: KVKK m.5/1 ve GDPR m.6(1)(a). Rehber izni vermezseniz uygulamanın geri kalanı çalışmaya devam eder.
Saklama süresi:: Uygulama içinden “Rehber verilerini sil” diyene veya hesabınızı silene kadar.

Açık telefon numaraları sunucuya hiç gelmez; ayrıntısı 4. bölümdedir.

Gizlilik ayarları

Amaç:: “Telefonla bulunma”, “aramada görünme” ve “profil gizli” tercihlerinizin uygulanması.
Hukuki dayanak:: KVKK m.5/2-c; GDPR m.6(1)(b).
Saklama süresi:: Hesap açık olduğu sürece.

Oturum ve cihaz belirteçleri

Amaç:: Uygulamada oturumunuzun açık kalması (cihazda güvenli alanda saklanan erişim belirteci), web sayfalarında oturum çerezi ve misafir rezervasyon belirteci. Apple Watch uygulamasını kullanıyorsanız erişim belirtecinin bir kopyası, listeyi telefonunuza ihtiyaç duymadan getirebilmesi için saatinizin güvenli alanında da saklanır.
Hukuki dayanak:: KVKK m.5/2-c ve m.5/2-f; GDPR m.6(1)(b) ve 6(1)(f). Zorunlu çerezler için ayrıca rıza aranmaz.
Saklama süresi:: Çıkış yapana, belirteci iptal edene ya da çerez süresi dolana kadar. Çıkış yaptığınızda, hesabınızı sildiğinizde ya da belirteç geçersizleştiğinde saatteki kopya da silinir.

Anlık bildirim cihaz belirteci

Amaç:: Doğum günü hatırlatmalarının ve hesabınıza ilişkin bildirimlerin cihazınıza ulaştırılması. Belirteç, işletim sistemi tarafından cihaz ve uygulama kurulumu başına üretilir.
Hukuki dayanak:: KVKK m.5/2-c ve m.5/2-f; GDPR m.6(1)(b) ve 6(1)(f). Bildirim iznini işletim sistemi ayarlarından her zaman kaldırabilirsiniz.
Saklama süresi:: Bildirim izni kaldırılana, belirteç geçersizleşene veya hesap silinene kadar.

Bildirimin cihazınıza iletilmesi Apple ve Google'ın bildirim altyapıları üzerinden gerçekleşir; bildirim metninde hediye adı gibi sürprizi bozacak ayrıntılar yer almaz.

IP adresi ve sunucu istek kayıtları

Amaç:: Güvenlik, hata ayıklama, kötüye kullanımın ve otomatik istek saldırılarının tespiti, istek sınırlarının uygulanması.
Hukuki dayanak:: KVKK m.5/2-f (meşru menfaat) ve m.5/2-a (kanunlarda açıkça öngörülme); GDPR m.6(1)(f) ve 6(1)(c).
Saklama süresi:: En fazla 12 ay.

Çökme kayıtları ve kullanım istatistikleri (yalnızca iOS uygulaması)

Amaç:: Uygulamanın çökme nedenlerinin bulunması ve performansın iyileştirilmesi. iOS uygulamasında Firebase Crashlytics ve Firebase Analytics kullanılır; kayıtlar cihaz modeli, işletim sistemi sürümü, uygulama sürümü, hatanın yığın izi ve cihaz başına üretilmiş bir kurulum kimliği içerir. Android uygulamasında bu araçların ikisi de yoktur; çökme kaydı ve kullanım istatistiği toplanmaz.
Hukuki dayanak:: iOS uygulaması için açık rızanız: KVKK m.5/1 ve GDPR m.6(1)(a). Android uygulamasında bu kategoride veri işlenmediği için hukuki dayanak da aranmaz.
Saklama süresi:: Çökme kayıtları en fazla 90 gün, toplu kullanım istatistikleri en fazla 14 ay.

Bu kayıtlarda telefon numaranız, adınız veya liste içerikleriniz yer almaz. Android uygulamasında bu kategoride veri toplanmadığı için saklama süresi de işlemez.

Destek yazışmaları

Amaç:: Sorunuzun yanıtlanması, talebinizin kaydı ve gerektiğinde ispatı.
Hukuki dayanak:: KVKK m.5/2-c ve m.5/2-f; GDPR m.6(1)(b) ve 6(1)(f).
Saklama süresi:: Yazışmanın kapanmasından itibaren 3 yıl.

Özel nitelikli kişisel veri işlemiyoruz. Sağlık, din, siyasi görüş, cinsel hayat, biyometrik ve genetik veriler gibi KVKK m.6 kapsamındaki verileri talep etmiyoruz. Listenize kendi iradenizle böyle bir çıkarım yapılmasına imkan veren bir ürün eklerseniz (örneğin bir ilaç ya da dini bir eser), bu içeriği açık rızanızla paylaşmış sayılırsınız ve dilediğiniz zaman silebilirsiniz.

Konum verisi, kamera görüntüsü, mikrofon kaydı, fotoğraf kitaplığı içeriği ve reklam kimliği toplamıyoruz. Reklam ağlarına veri satmıyoruz ve veri satmayacağız.

4. Rehber eşleştirmesi ve telefon numarası özetleri

Rehber eşleştirmesi, gizlilik açısından en hassas işlemedir; bu yüzden ayrıntısını açıkça yazıyoruz. İşleyiş şöyledir:

Rehber iznini verdiğinizde uygulama, rehberdeki telefon numaralarını cihazınızda uluslararası biçime (E.164) çevirir ve her birinin SHA-256 özetini hesaplar.
Sunucuya yalnızca bu özetler gönderilir. Rehberdeki isimler, e-posta adresleri, notlar ve açık telefon numaraları sunucumuza hiçbir zaman gelmez.
Sunucu, gelen özetleri kayıtlı kullanıcıların numara özetleriyle karşılaştırır. Eşleşenler için size o kullanıcının profilini ve doğum gününü gösterir.
Eşleşmeyen özetler saklanır. Bunun tek nedeni şudur: rehberinizdeki bir kişi sonradan Givmu'ya kaydolduğunda, onu rehberinizi yeniden yüklemenize gerek kalmadan size gösterebilmek. Saklanan veri geri döndürülemez bir özettir; özetten telefon numarasına dönülemez.
Senkronizasyon eklemelidir: uygulama her senkronizasyonda gördüğü özetleri ekler, göndermediklerini silmez. Bunun nedeni iOS'un sınırlı rehber erişimidir: uygulama yalnızca sizin seçtiğiniz kişileri görebildiğinde, “gördüğünü tut, görmediğini sil” davranışı daha önce kurulmuş eşleşmeleri sessizce yok ederdi. Bunun sonucunu da açıkça yazıyoruz: bir kişiyi rehberinizden sildiğinizde o kişinin numara özeti sunucuda kalmaya devam eder ve eşleşme listenizde görünmeyi sürdürür.
Özetleri dilediğiniz zaman silebilirsiniz. Uygulama içindeki gizlilik ayarlarında yer alan “Rehber verilerini sil” ile size ait tüm numara özetleri (eşleşen ve eşleşmeyen) silinir; eşleşme listeniz boşalır, takip ettiğiniz kişiler kalır. Hesabınızı sildiğinizde de bu özetler silinir. Özetleri temizlemenin yolu bu ikisidir: rehber iznini işletim sistemi ayarlarından geri almanız, daha önce gönderilmiş özetleri sunucudan silmez. Rehbere yeniden eriştiğinizde özetler yeniden gönderilir ve eşleşmeler yeniden kurulur.

Özetleme geri döndürülemez olsa da, telefon numarası uzayının sınırlı olması nedeniyle özetlerin teorik olarak kaba kuvvetle çözülebileceğini biliyoruz. Bu nedenle özetleri yalnızca eşleştirme amacıyla kullanıyor, erişimi sınırlıyor ve üçüncü taraflarla paylaşmıyoruz.

Rehberinizi yüklediğinizde, rehberinizdeki kişilerin verileri üzerinde de bir işleme gerçekleşir. Kullanım Koşulları uyarınca, rehberinizi yüklerken bu kişilerin makul beklentisine aykırı davranmamak sizin sorumluluğunuzdadır. Rehberinde yer aldığı için eşleştirmeye dahil edilmek istemeyen bir kullanıcı, “Telefon numaramla bulunmasınlar” ayarını açarak bu eşleşmenin dışında kalabilir.

5. Rezervasyon gizliliği

Givmu'nun temel işlevi sürprizi bozmamaktır. Bu, bir tercih değil, sistemin kuralıdır:

Liste sahibi, kendi listesindeki hiçbir ürünün rezerve edilip edilmediğini göremez.
Listeyi gören diğer kişiler yalnızca “alındı” bilgisini görür; kimin aldığını görmez.
Rezerve eden kişi yalnızca kendi rezervasyonunu “sen alıyorsun” olarak görür.
Bu maske hem uygulamada hem web sayfasında aynı şekilde uygulanır.

Hesap açmadan bir listeden rezervasyon yaparsanız, tarayıcınızın oturumunda rastgele bir misafir belirteci tutulur. Bu belirteç yalnızca “bu rezervasyon bu tarayıcıya ait mi” sorusunu yanıtlamak için kullanılır, kimliğinizi taşımaz ve başka bir amaçla işlenmez. Tarayıcı verilerinizi temizlerseniz rezervasyonunuz sizde görünmez olur, ancak ürün diğer ziyaretçilere “alındı” olarak görünmeye devam eder.

6. Gizlilik ayarlarının etkisi

Uygulamadaki üç ayar, bulunabilirliğinizi doğrudan belirler:

Telefon numaramla bulunmasınlar:: Başkalarının rehber eşleştirmesinde çıkmazsınız. Bağlantı ve arama çalışmaya devam eder.
Aramada görünmesinler:: Ad, soyad veya bağlantı adıyla yapılan aramalarda çıkmazsınız. Rehber eşleşmesi ve bağlantı çalışır.
Profilim gizli:: Ne rehber eşleşmesiyle ne aramayla bulunursunuz. Profilinize yalnızca bağlantı adresini bilen kişiler erişebilir.

Hiçbir ayar, paylaşım bağlantısını gizli yapmaz. Bağlantı adresini bilen herkes o sayfayı görebilir; bağlantıyı kimlerle paylaştığınız sizin kontrolünüzdedir. Bağlantı adresinizi profil düzenleme ekranından değiştirirseniz eski adres çalışmaz.

7. Kişisel verilerin aktarıldığı taraflar

Kişisel verilerinizi satmıyoruz ve pazarlama amacıyla paylaşmıyoruz. Hizmetin çalışması için yalnızca aşağıdaki taraflarla, yalnızca gerekli ölçüde paylaşıyoruz:

Barındırma ve altyapı sağlayıcısı

Sunucu, veritabanı ve dosya depolama hizmeti. Verileriniz bu altyapıda saklanır. Sağlayıcı veri işleyen (KVKK) ve “processor” (GDPR) konumundadır ve sözleşmeyle yalnızca bizim talimatımızla işlem yapmakla yükümlüdür.

SMS sağlayıcısı

Tek kullanımlık doğrulama kodunun iletilmesi için telefon numaranız ve kod metni sağlayıcıya aktarılır. Başka hiçbir veri aktarılmaz.

Google Firebase (Crashlytics ve Analytics)

Çökme kayıtları ve toplu kullanım istatistikleri. Bu aktarım açık rızanıza dayanır ve uygulama ayarlarından kapatılabilir. Aktarılan kayıtlarda telefon numaranız, adınız veya liste içerikleriniz yer almaz.

Apple ve Google (uygulama dağıtımı ve bildirim)

Uygulamayı indirdiğiniz mağaza ve anlık bildirim altyapısı. Bu şirketlerin kendi gizlilik politikaları geçerlidir; indirme ve satın alma verilerine biz erişmeyiz.

Yetkili kamu kurum ve kuruluşları

Yalnızca mevzuattan doğan bir yükümlülük veya usulüne uygun bir adli talep hâlinde, talebin kapsamıyla sınırlı olarak. Böyle bir talep aldığımızda, hukuken yasaklanmadığı ölçüde sizi bilgilendirmeye çalışırız.

Profesyonel danışmanlar ve devir hâli

Hukuki ve mali danışmanlarımız gizlilik yükümlülüğü altında sınırlı erişebilir. Şirketin birleşme, devir veya satın alınma hâlinde veriler devralana aktarılabilir; bu durumda bildirim yapılır ve bu politikadan daha az koruyucu bir uygulamaya geçilmez.

8. Yurt dışına aktarım

Kullandığımız bazı sağlayıcıların sunucuları Türkiye dışında bulunur. Özellikle Google Firebase hizmetleri kapsamındaki çökme kayıtları ve kullanım istatistikleri Amerika Birleşik Devletleri ve Avrupa Birliği içindeki veri merkezlerinde işlenebilir.

KVKK m.9 uyarınca yurt dışına aktarım, aşağıdaki hukuki zeminlerden biriyle yapılır:

İlgili kişinin açık rızası. Firebase aktarımı için dayanağımız budur; rızanızı uygulama ayarlarından geri alabilirsiniz.
Kişisel Verileri Koruma Kurulu tarafından ilan edilen standart sözleşme imzalanması ve Kurul'a bildirilmesi.
Yeterli korumanın bulunduğu ülkelere aktarımda Kurul kararı.

GDPR kapsamına giren kullanıcılar için aktarımlar, Avrupa Komisyonu'nun standart sözleşme hükümlerine (SCC) ve gerektiğinde ek teknik önlemlere dayanır. Bu aktarımın, verinizin bulunduğu ülkedeki kamu kurumlarının erişim yetkileri nedeniyle Türkiye içinde kalmasından farklı bir risk taşıdığını açıkça belirtiyoruz. Bu riski almak istemiyorsanız, çökme ve kullanım istatistiklerini kapatabilirsiniz; uygulamanın çekirdek işlevleri çalışmaya devam eder.

Hesabınız, listeleriniz, rezervasyonlarınız ve numara özetleriniz gibi çekirdek veriler barındırma sağlayıcımızın sunucularında tutulur ve pazarlama amacıyla yurt dışına aktarılmaz.

9. Saklama süreleri

Her kategorinin saklama süresi 3. bölümde tek tek yazılıdır. Genel kural: veriyi ancak işlenme amacı için gerekli olduğu sürece tutarız. Amaç ortadan kalktığında veriyi siler veya geri döndürülemez biçimde anonim hâle getiririz.

Hesap verileri: hesap açık olduğu sürece.
Doğrulama kodu kayıtları: en fazla 30 gün.
Sunucu istek kayıtları ve IP: en fazla 12 ay.
Çökme kayıtları: en fazla 90 gün. Toplu kullanım istatistikleri: en fazla 14 ay.
Destek yazışmaları: kapanmasından itibaren 3 yıl.
Mevzuattan doğan bir saklama yükümlülüğü veya devam eden bir hukuki uyuşmazlık varsa, ilgili veri yalnızca bu amaçla ve süreyle sınırlı olarak tutulmaya devam eder.

Silinen veriler yedeklerden de kaldırılır; yedek döngüsü gereği bu işlem en fazla 30 gün sürer.

10. Hesabın ve verilerin silinmesi

Hesabınızı uygulama içinden, profil düzenleme ekranındaki “Hesabı sil” ile kendiniz silebilirsiniz. Bizden izin almanız, bize e-posta yazmanız veya bir gerekçe göstermeniz gerekmez.

Silme işlemi şunları kapsar:

Ad, soyad, telefon numarası ve numara özeti, doğum tarihi, bağlantı adı.
Tüm listeleriniz ve içindeki ürünler, notlar, bağlantılar.
Yaptığınız rezervasyonlar ve takip ilişkileri.
Rehberinizden yüklenmiş tüm numara özetleri.
Oturum ve cihaz belirteçleriniz.

Silme geri alınamaz. Aynı numarayla yeniden kaydolursanız yeni ve boş bir hesap açılır; eski listeleriniz geri gelmez ve eski bağlantı adresiniz çalışmaz.

Silmeden sonra yalnızca şunlar kalabilir: kimliğinizle bağlantısı kesilmiş güvenlik kayıtları, mevzuat gereği tutulması zorunlu kayıtlar ve sizinle ilişkilendirilemeyen toplu istatistikler.

Yaptığınız rezervasyonlar silinir; o ürünler diğer kullanıcılara yeniden müsait görünür ve liste sahibi bu değişikliği kimin yaptığını görmez.

11. Çerezler ve benzeri teknolojiler

Mobil uygulama çerez kullanmaz. givmu.com üzerindeki web sayfalarında yalnızca hizmetin çalışması için zorunlu olan çerezler kullanılır:

Oturum çerezi

Sayfalar arası geçişte oturumunuzu ve form güvenlik belirtecinizi (CSRF) taşır. Zorunludur; olmadan rezervasyon yapılamaz. Tarayıcı kapandığında ya da oturum süresi dolduğunda geçerliliğini yitirir.

Misafir rezervasyon belirteci

Hesap açmadan yaptığınız rezervasyonun size ait olduğunu anlamak için oturumda tutulan rastgele değer. Kimlik bilgisi içermez.

Reklam, izleme veya profilleme çerezi kullanmıyoruz. Üçüncü taraf reklam piksellerini sayfalarımıza yerleştirmiyoruz. Zorunlu çerezler için mevzuat gereği ayrıca rıza aranmaz; yine de bu bölümde şeffaf biçimde açıklıyoruz. Tarayıcı ayarlarından çerezleri engelleyebilirsiniz, bu durumda rezervasyon işlevi çalışmaz.

12. Veri güvenliği önlemleri

KVKK m.12 kapsamında, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için aşağıdaki teknik ve idari tedbirleri uyguluyoruz:

Uygulama ile sunucu arasındaki tüm trafik TLS ile şifrelenir; şifresiz bağlantı kabul edilmez.
Oturum belirteçleri cihazda işletim sisteminin güvenli anahtar deposunda tutulur (iOS'ta Keychain, Android'de Android Keystore anahtarıyla şifrelenmiş depo); uygulama dosyalarında veya yedeklerde açık metin olarak durmaz.
Telefon numaraları eşleştirme için SHA-256 ile özetlenir; rehber numaraları cihazdan çıkmadan özetlenir.
Doğrulama kodları veritabanında açık değil, özet olarak saklanır; deneme sayısı ve istek hızı sınırlanır.
Her veri erişimi sunucu tarafında yetkilendirmeden geçer; rezervasyon maskesi tek bir yerde uygulanır ve testlerle sürekli doğrulanır.
Üretim verisine erişim yalnızca görevi gereği ihtiyaç duyan kişilerle sınırlıdır ve kayıt altına alınır.
Yedekler şifrelenir; geri yükleme tatbikatı periyodik olarak yapılır.
Bağımlılıklar güvenlik güncellemeleri için izlenir; kritik açıklar öncelikli olarak kapatılır.

İnternet üzerinden yapılan hiçbir iletimin ya da hiçbir depolama yönteminin mutlak güvenlik sağlamadığını biliyoruz. Bir güvenlik açığı fark ederseniz [email protected] adresine bildirin; iyi niyetli bildirimlere karşı hukuki yola başvurmayız.

13. Çocukların gizliliği

Givmu 13 yaşın altındaki kişilere yönelik bir hizmet değildir ve 13 yaşın altındaki kişilerden bilerek kişisel veri toplamayız. 13 yaşın altında olduğunu tespit ettiğimiz bir hesabı bildirim üzerine veya kendi tespitimizle kapatır ve verilerini sileriz.

13 ile 18 yaş arasındaki kişiler Givmu'yu yalnızca veli veya vasilerinin bilgisi ve onayıyla kullanabilir. Hesap açan kişi, gerekli onayı aldığını beyan etmiş sayılır.

Çocuğunuzun izinsiz olarak hesap açtığını düşünüyorsanız [email protected] adresine yazın; hesabı ve verileri sileriz.

14. İlgili kişinin hakları

KVKK m.11 uyarınca veri sorumlusuna başvurarak aşağıdaki haklarınızı kullanabilirsiniz:

Kişisel verinizin işlenip işlenmediğini öğrenme.
İşlenmişse buna ilişkin bilgi talep etme.
İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
Yurt içinde veya yurt dışında verinin aktarıldığı üçüncü kişileri bilme.
Eksik veya yanlış işlenmişse düzeltilmesini isteme.
KVKK m.7'deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme.
Düzeltme, silme ve yok etme işlemlerinin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme.
Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme.
Hukuka aykırı işlenme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

GDPR kapsamına giren kullanıcılar için karşılık gelen haklar şunlardır:

Erişim hakkı (m.15) ve düzeltme hakkı (m.16).
Silinme hakkı (m.17), uygulama içindeki “Hesabı sil” ile doğrudan kullanılabilir.
İşlemenin kısıtlanmasını isteme hakkı (m.18).
Veri taşınabilirliği hakkı (m.20): listelerinizi ve hesap bilgilerinizi makinece okunabilir biçimde (JSON) talep edebilirsiniz.
İtiraz hakkı (m.21), özellikle meşru menfaate dayanan işlemeler için.
Rızayı geri alma hakkı (m.7/3): rehber eşleştirmesi ve çökme kayıtları rızaya dayanır. Rehber rızasını uygulama içindeki “Rehber verilerini sil” ile geri alırsınız; geri alma geçmiş işlemeyi hukuka aykırı hâle getirmez.
Denetim otoritesine şikayet hakkı: Türkiye'de Kişisel Verileri Koruma Kurumu, AB'de ikamet ettiğiniz ülkenin veri koruma otoritesi.

15. Başvuru yolu ve yanıt süresi

Başvurunuzu [email protected] adresine e-posta ile ya da İstanbul adresine yazılı olarak iletebilirsiniz. Başvurunuzda kimliğinizi doğrulayabilmemiz için hesabınıza kayıtlı telefon numarasını ve talebinizi açıkça belirtin.

Başvurunuzu en geç 30 gün içinde ücretsiz olarak yanıtlarız (KVKK m.13/2). Talebin ayrıca bir maliyet gerektirmesi hâlinde Kurul'un belirlediği tarifedeki ücreti isteyebiliriz. Başvurunuzu reddetmemiz, verdiğimiz yanıtı yetersiz bulmanız veya süresinde yanıt vermememiz hâlinde, yanıtı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikayette bulunabilirsiniz.

Kimliğini doğrulayamadığımız başvurularda ek bilgi isteyebiliriz. Bu, hesabınıza ait verilerin başka birine açıklanmasını önlemek içindir.

16. Veri ihlali bildirimi

Kişisel verilerinizin hukuka aykırı olarak başkaları tarafından elde edildiğini tespit edersek:

Durumu öğrendiğimiz tarihten itibaren en kısa sürede ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildiririz (KVKK m.12/5 ve Kurul'un 24.01.2019 tarihli kararı).
İhlalden etkilenen kullanıcıları, makul olan en kısa sürede uygulama içi bildirim veya SMS ile bilgilendiririz.
GDPR kapsamındaki kullanıcılar için ilgili otoriteye 72 saat içinde bildirim yapılır (GDPR m.33) ve yüksek risk hâlinde kullanıcıya doğrudan bildirim yapılır (m.34).
Bildirimde ihlalin niteliğini, etkilenen veri kategorilerini, alınan önlemleri ve iletişim noktasını açıklarız.

17. Otomatik karar verme ve profilleme

Hakkınızda hukuki sonuç doğuran veya sizi önemli ölçüde etkileyen, münhasıran otomatik sistemlerle verilen bir karar uygulamıyoruz. Kredi değerlendirmesi, puanlama, davranış profillemesi ya da reklam hedeflemesi yapmıyoruz.

Uygulamadaki sıralamalar (doğum gününe kalan güne göre sıralama, arama sonuçları) yalnızca tarih ve metin eşleşmesine dayanan basit kurallardır; kişilik ya da davranış çıkarımı içermez. Kötüye kullanım tespitinde otomatik istek sınırları kullanılır; bir hesabın askıya alınması kararı her zaman insan incelemesiyle verilir ve itiraz edilebilir.

18. Politikadaki değişiklikler

Bu politikayı, hizmette veya mevzuatta değişiklik oldukça güncelleyebiliriz. Güncel metin her zaman bu sayfada yayımlanır; üst kısımdaki sürüm numarası ve son güncelleme tarihi hangi metnin geçerli olduğunu gösterir.

Esaslı bir değişiklik yaparsak (yeni bir veri kategorisi işlemeye başlamak, yeni bir üçüncü tarafa aktarım yapmak veya saklama süresini uzatmak gibi), değişikliği yürürlüğe girmesinden en az 30 gün önce uygulama içi bildirim yoluyla duyururuz. Açık rızaya dayanan yeni bir işleme söz konusuysa, rızanızı yeniden alırız; rıza vermemeniz hizmetin geri kalanını kullanmanızı engellemez.

Bu politikanın 1.3 numaralı sürümü 18 Eylül 2026 tarihinde yürürlüğe girmiştir. Sorularınız için [email protected] adresine yazabilir ya da destek sayfasına bakabilirsiniz.