KVKK Aydınlatma Metni

Veri Sorumlusu: Kerem Can Soygül (Venües) ("Venües", "biz") İletişim: info@venusreyon.com · info@venusreyon.com Yürürlük: 3 Kasım 2026 · v1.1-draft

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi kapsamında, veri sorumlusu sıfatıyla Venües tarafından kişisel verilerinizin işlenmesine ilişkin sizi aydınlatmak amacıyla hazırlanmıştır.

1. İşlediğimiz kişisel veriler

Sizden ya da hizmet kullanımınız sırasında otomatik olarak topladığımız veri kategorileri:

Kimlik bilgisi: Ad, soyad İletişim bilgisi: E-posta, telefon numarası (opsiyonel) Hesap bilgisi: Şifre (yalnızca güvenli şekilde özet/hash olarak saklanır — düz metin tutulmaz), oluşturma tarihi, son giriş zamanı Cihaz ve teknik bilgi: IP adresi, cihaz modeli, işletim sistemi sürümü, uygulama sürümü, dil tercihi Kurulum kimliği: Uygulama ilk açılışta bu cihaz için rastgele bir kimlik üretir ve günde en fazla bir kez (o gün giriş yaparsanız bir kez daha) platform (iOS/Android) ve uygulama sürümüyle birlikte gönderir. Oturumunuzun açık olup olmadığı yalnız evet/hayır olarak, açılış da yalnız gün olarak kaydedilir. Bununla uygulamanın kaç cihazda kullanıldığını, cihazların hangi günlerde geri döndüğünü ve misafir olarak başlayanların sonradan oturum açıp açmadığını toplu sayılarla izleriz. Aynı kimlikle şu adımlara gelindiği yalnız adım adı ve gün olarak kaydedilir: tanıtım ekranının görülmesi ve orada misafir devam etme ya da giriş seçimi, ilk kaydetme önerisinin görülmesi, geçilmesi ya da oradan mekân kaydedilmesi, hesap gerektiren bir işlemde giriş penceresinin açılması, arama yapılması, bir mekân sayfasının açılması ve mekân kaydetme. Kayıt, giriş, Google ile giriş ve şifremi unuttum ekranlarındaki adımlar (ekranın açılması, formun gönderilmesi ya da eksik veya kurala aykırı bırakılması, işlemin tamamlanması veya hata vermesi) kurulum kimliği olmadan, yalnız o gün kaç cihazda olduğu sayılarak tutulur. Yazdığınız bilgi, ekran içeriği, hata metni ya da saat kaydedilmez; adımlar sunucuya toplu ve gecikmeli yazılır. Bununla kayıt sürecinin hangi adımında zorlanıldığını toplu olarak görürüz. Kurulum kimliği takma adlı bir veridir: adınız, e-postanız, konumunuz ya da reklam kimliğiniz onunla birlikte tutulmaz ve biz onu hesabınızla eşleştirmeyiz. Kimlik cihazınızda uygulamanın kendi deposunda durur; uygulamayı silmek onu da siler, ancak cihaz yedeğinden geri yükleme yaparsanız geri gelebilir. 400 gün açılmayan cihazın kaydı ve 400 günden eski gün ve adım kayıtları sunucudan silinir. Konum bilgisi: Yalnızca uygulama açıkken ve izin verdiyseniz. Yakınınızdaki mekânları ve aramada size yakın sonuçları gösterebilmek için konumunuz yaklaşık 100 metreye yuvarlanıp sunucumuza sorgu olarak gönderilir; sorgu yanıtlandıktan sonra sunucuda saklanmaz. Bulunduğunuz ilçenin adını göstermek için aynı yuvarlanmış konum telefonunuzun kendi konum servisine (iOS'ta Apple, Android'de Google) de gönderilir. Web sitemizde aramada konumunuzu paylaşırsanız aynı şekilde yuvarlanıp gönderilir; haritadaki "Konumuma git" düğmesi konumunuzu yalnız tarayıcınızda kullanır. Anlaşmalı işletmede QR ile check-in yaparken uygulama konumunuzu göndermez; check-in'i kasadaki tek kullanımlık kod doğrular. Kullanım verisi: Hangi mekanları görüntülediğiniz, hangi tarifleri kaydettiğiniz, anlaşmalı işletmelerde yaptığınız ödeme/check-in kayıtları Arama kayıtları: Uygulamada ya da web sitemizde arama yaparken yazdığınız sorgu, kaç sonuç çıktığı ve konumla aranıp aranmadığı (evet/hayır). Hesabınızla ya da konumunuzla ilişkilendirilmez, aramayı iyileştirmek için kullanılır ve 365 gün sonra silinir. Check-in ve ödül verisi: Anlaşmalı işletmede QR ile yaptığınız check-in kaydı, ziyaret tarihi ve işletmesi, (işletmenin girdiği) fatura tutarı, puan/kredi bakiyeniz ve kazanım/harcama geçmişiniz Ödeme ilişkili veri: Diyetisyen rezervasyonu için ödeme iyzico üzerinden gerçekleşir; kart bilgilerinize Venües erişmez, yalnızca iyzico'nun döndüğü işlem referansını saklarız İletişim kayıtları: Destek ekibimize gönderdiğiniz mesajlar ve geri bildirimler

Sağlık ile ilgili özel nitelikli verileriniz (beslenme tarzı, alerjenler, boy/kilo, sağlık durumu, diyetisyen seans notları) bu metnin değil Sağlık Verisi Açık Rıza Metni'nin konusudur ve yalnızca açık rızanız olması durumunda işlenir.

2. İşleme amaçlarımız

Kişisel verilerinizi yalnızca aşağıdaki amaçlarla işleriz:

a) Hizmetin sunulması: Hesap oluşturma, oturum açma, uygulamanın temel işlevlerinin sağlanması b) Hesap güvenliği: Yetkisiz erişimin önlenmesi, dolandırıcılık tespiti, oturum yönetimi c) Hizmet kalitesinin geliştirilmesi: Hata kayıtları, performans analizi, kullanım istatistikleri (kişiselleştirilmemiş, toplu), kurulum kimliğiyle aktif cihaz ve geri dönüş sayımı, kayıt ve giriş sürecinde zorlanılan adımların toplu ölçümü, arama sonuçlarının iyileştirilmesi d) Yasal yükümlülüklerin yerine getirilmesi: Vergi, ticari kayıt, KVKK Kurumu/yargı/idari makamların talepleri e) İletişim: Hizmet duyuruları, güvenlik bildirimleri, talepleriniz hakkında geri dönüş f) Pazarlama (yalnızca onay vermişseniz): Yeni özellikler, kampanyalar; her zaman vazgeçebilirsiniz g) Sadakat/puan programı: Anlaşmalı işletmelerde check-in doğrulama, puan/indirim hesabı, keşif (pasaport) ve sadakat ödüllerinin yürütülmesi, sahte/tekrarlı check-in suistimalinin önlenmesi

Sizi reklam profili oluşturmak amacıyla profil çıkarımına tabi tutmayız; tarafsız mekan/tarif önerileri sunarız.

3. Hukuki sebep (KVKK m.5)

Sözleşmenin kurulması/ifası (m.5/2-c): Hesap oluşturma ve hizmet sunumu için zorunlu veriler
Hukuki yükümlülük (m.5/2-ç): Yasal saklama süreleri, mali kayıtlar
Meşru menfaat (m.5/2-f): Güvenlik, dolandırıcılık önleme, kurulum kimliği, adım sayıları ve arama kayıtlarıyla toplu kullanım ölçümü
Açık rıza (m.5/1): Pazarlama iletişimi ve sağlık verisi işleme (ayrı metin)

4. Aktarım yaptığımız üçüncü taraflar

Verilerinizi yalnızca hizmet ifası için zorunlu olduğunda ve sınırlı kapsamda aşağıdaki taraflarla paylaşırız:

Bulut altyapı sağlayıcımız: Sunucu ve veritabanı Railway üzerinde, ABD'de (us-west)
Sentry (hata kaydı, AB/Almanya): Hata ve çökme kaydı (cihaz modeli, sistem ve uygulama sürümü, hatanın yeri, hata anına kadar açılan ekranlar ve ağ isteklerinin adresleri); hesabınızla ilişkilendirilmez
Cloudflare Pages: Web sitesinin yayını; siteyi açanın IP adresi ve istek bilgileri, çerezsiz toplu ziyaret sayımı
Google: İsteğe bağlı Google ile giriş için ad, e-posta ve Google hesap kimliği
iyzico Ödeme: Diyetisyen rezervasyonu için yalnızca ödeme tutarı ve sipariş referansı. Kart bilgileri Venües'e iletilmez.
Daily.co (video görüşme): Diyetisyenle yaptığınız görüşmeler — yalnızca oturum kimliği. Görüşme içeriği kaydedilmez.
Resend (e-posta): Sistem bildirimleri ve onay e-postaları için yalnızca e-posta adresiniz
Cloudflare R2 (görsel depolama): Profil fotoğrafı, diploma vb. yüklediğiniz görseller
Expo (ABD): Anlık bildirim ve uygulama güncellemeleri; push token ve bildirim metni, güncelleme denetiminde platform, uygulama sürümü, IP adresi ve kuruluma özgü rastgele kimlik
OpenFreeMap ve unpkg.com: Harita görüntüleri ve harita kütüphanesinin yüklenmesi; IP adresi ve haritada bakılan bölge
Görsel sunucuları (mekânın kendi sitesi, sipariş platformları): Mekân ve tarif görsellerinin yüklenmesi; IP adresi
Unsplash (yalnız web sitesi): Web sitemizdeki bazı blog görselleri Unsplash'ten yüklenir; Unsplash IP adresinizi görür
Anlaşmalı işletmeler: Anlaşmalı işletmede QR ile check-in yaptığınızda işletme, kendi panelindeki check-in kayıtlarında adınızın baş harflerini, hesap tutarını ve uygulanan indirimi görür; hesap kimliğiniz ve konumunuz gösterilmez. İşletme ile Venües, kendi işledikleri veriler bakımından ayrı veri sorumlusudur; veri akışı işletme ortaklık sözleşmesiyle sınırlanır.
Yetkili merciler: KVKK, mahkemeler, savcılık, vergi dairesi vb. yasal talepleri kapsamında

Yurtdışına aktarım: Sunucumuz ve veritabanımız ABD'dedir (Railway), hata kayıtlarımız AB'de (Sentry, Almanya) tutulur; diğer sağlayıcılarımızın bir kısmı da AB veya ABD'de yerleşiktir. KVKK m.9 kapsamında uygun güvenceler (standart sözleşme maddeleri, taahhütname) sağlanmaktadır.

5. Saklama süreleri

Aktif hesap verileri: Hesabınız aktif olduğu sürece
Hesap silindikten sonra: Yasal yükümlülükler (vergi vb.) gereği gerekli süre kadar (genelde 10 yıl); diğer veriler 30 gün içinde silinir
Log/audit kayıtları: 2 yıl
Pazarlama tercihleri: İptal edene kadar; iptal sonrası 6 ay arşivde

6. Haklarınız (KVKK m.11)

Kişisel verilerinizin işlenip işlenmediğini öğrenme
İşleniyorsa hangi amaçla, kimlerle paylaşıldığını öğrenme
Yanlış/eksik işlenmişse düzeltilmesini isteme
Silinmesini ya da yok edilmesini isteme
Yapılan işlemlerin üçüncü taraflara bildirilmesini isteme
Sadece otomatik sistemlerle yapılan analiz sonucu aleyhinize bir sonuca itiraz etme
Hukuka aykırı işleme nedeniyle zarara uğramışsanız tazminat isteme

Talebinizi yazılı olarak info@venusreyon.com adresine ya da uygulama içinden "Profil → Verilerimi indir / Hesabımı sil" ile iletebilirsiniz. Talepleriniz en geç 30 gün içinde sonuçlandırılır.

7. Veri güvenliği

Şifreler argon2id ile özetlenir (düz metin saklanmaz)
API erişimi JWT + token rotation ile korunur
Uygulama ile sunucu arasındaki tüm trafik şifreli bağlantıyla (TLS) aktarılır; şifreler özet (hash) olarak saklanır.
Web sitesi ve uygulama yalnız HTTPS üzerinden bağlanır (aktarım sırasında TLS ile şifreli)
Sızıntı durumunda KVKK Kurumu'na 72 saat içinde bildirim yapılır

8. Şikayet hakkı

Aydınlatma hakkımıza, taleplerimize ya da işleme faaliyetlerine ilişkin şikayetlerinizi KVKK Kurumu'na (kvkk.gov.tr) iletebilirsiniz. Önce bizimle iletişime geçmenizi rica ederiz; çoğu konu hızlı çözülür.

Bu metin geliştirme aşamasındaki taslaktır. Üretim sürümü, KVKK + sağlık hukuku alanında uzman avukat tarafından gözden geçirildikten sonra yayımlanacaktır.