Gizlilik Politikası ve KVKK Aydınlatma Metni

Bu metin, Alman Hesabı mobil uygulamasını (“Uygulama”) kullanırken kişisel verilerinin nasıl işlendiğini anlatır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca aydınlatma metni olarak da hazırlanmıştır. Uygulama Olimpos Digital adıyla geliştirilir.

1. Veri sorumlusu

Veri sorumlusu: Osman Kaan Şahinkoç (Olimpos Digital)
Adres: Caferağa Mah. Dr. Esat Işık Cad. No: 85 Daire: 1, Kadıköy / İstanbul
E-posta: info@olimposdigital.com

2. Kısaca

• Paranı tutmayız, hesabını tutarız. Alman Hesabı banka değildir; para tutmaz, para göndermez, bankana bağlanmaz.
• Uygulamada reklam ve analitik yazılımı yoktur. Konumunu, rehberini, fotoğraflarını almayız.
• Verini satmayız, reklam için kullanmayız.

3. İşlediğimiz kişisel veriler

Yalnızca telefonunda kalanlar. Uygulama önce her şeyi telefonuna kaydeder; sonra bütün grupların, kimseyle paylaşmasan da, aşağıdaki gibi sunucuya yedeklenir. Kimsenin sahiplenmediği bir üye için yazdığın IBAN notu yalnızca telefonunda kalır, bize ulaşmaz.

Sunucuya gidenler. Grupların arkadaşlarınla eşitlensin ve telefon değişince kaybolmasın diye şu veriler sunucumuza gider:

• Grup kayıtları: grubun adı, emojisi ve para birimi; üyelerin adları (seninki dahil); harcamalar (başlık, kategori, tutar, tarih, not, kim ödedi, kimler için ve nasıl bölündü, ısmarlama olup olmadığı); hesaplaşma ödemeleri; ortak kasa açıksa kasaya konan ve geri verilen tutarlar. Her kaydın yanında onu hangi hesabın ve hangi cihazın yazdığı ve ne zaman yazıldığı tutulur.
• Ödeme bilgisi: IBAN’ın ve bankada görünecek hesap sahibi adı. Bunları yalnızca sen, gruptaki kendi üyen için girersin; başka biri değiştiremez. Biri yanlışlıkla ya da kötü niyetle senin adını seçerse grubu kuran kişi bu seçimi sıfırlayabilir: o kişinin girdiği IBAN silinir, sen kendini yeniden seçersin. Ayrıca hatırlatma mesajının hangi dilde hazırlanacağı (Türkçe ya da İngilizce).
• Misafir kimliği: Uygulamayı hesapsız kullanırken sana rastgele bir hesap kimliği verilir. Hangi gruplara katıldığın, gruptaki hangi üyeyi “ben” seçtiğin ve ne zaman bu kimlikle tutulur. Uygulama ayrıca kendine özel rastgele bir cihaz kimliği üretir.
• Hesap bilgileri (yalnızca hesap açarsan): e-posta adresin ve giriş yöntemin. E-posta koduyla girişte adresine 6 haneli bir kod gönderilir. Google ile girişte Google; e-posta adresini, adını ve profil fotoğrafının bağlantısını iletir; uygulama bunlardan yalnızca e-postanı kullanır. Apple ile girişte (iPhone) Apple e-posta adresini iletir; gerçek adresin yerine bir “gizli aktarma” adresi olabilir. Uygulama Apple’dan adını istemez. Hesabın silindiğinde Apple bağlantısını iptal edebilmek için Apple’ın verdiği yenileme jetonu sunucuda tutulur; uygulamada görünmez.
• Güvenlik kayıtları: Katılım kodunun tahminle bulunmasını önlemek için başarısız katılım denemelerinin zamanı. Sunucu sağlayıcımız, bağlantıların teknik kayıtlarını (IP adresi, zaman) güvenlik için kısa süre tutar.

Kamera: Yalnızca gruba katılırken karekodu okumak için. Görüntü telefonunda işlenir; saklanmaz, gönderilmez.

Paylaşım menüsü: Özeti ya da hatırlatma mesajını WhatsApp gibi bir uygulamaya sen gönderirsin; metin bizden geçmez.

Davet sayfası: Davet bağlantısı (olimposdigital.com/alman-hesabi/katil) katılım kodunu tarayıcında gösterir ve uygulamayı açmayı dener. Bu sayfada ölçüm ya da reklam kodu çalışmaz. Sitenin barındırma sağlayıcısı (GoDaddy), her ziyarette olduğu gibi adresi teknik kayıtlarda kısa süre tutar.

4. Neden işliyoruz, hukuki sebebi ne

• Grupların, harcamaların ve hesaplaşmanın tutulması, arkadaşlarınla eşitlenmesi, IBAN’ın grubuna gösterilmesi, hesabın açılması ve gruplarının yeni telefona getirilmesi: sözleşmenin kurulması ve ifası (KVKK m. 5/2-c).
• Seni gruba başka biri eklediyse adın ve sana düşen paylar: grup üyelerinin ortak hesabı tutma meşru menfaati (KVKK m. 5/2-f).
• Güvenlik, kötüye kullanımın önlenmesi (katılım denemesi sınırı, sunucu kayıtları): meşru menfaat (KVKK m. 5/2-f).
• Yetkili kurumların kanuni talepleri: hukuki yükümlülük (KVKK m. 5/2-ç).

5. Nerede saklanır, kimlere aktarılır

Veriler yalnızca hizmet için gereken ölçüde şu taraflara aktarılır:

• Supabase — sunucu, veritabanı ve giriş sistemi. Verilerin Avrupa Birliği’nde, Frankfurt’ta saklanır.
• GoDaddy — e-posta ile giriş kodunun gönderimi (e-posta adresin ve kod).
• Google — Google ile girişi seçersen.
• Apple — Apple ile girişi seçersen (iPhone).
• Kanunen yetkili kamu kurum ve kuruluşları — talep hâlinde.

Uygulamayı indirdiğin mağaza (App Store ya da Google Play) kendi verisini kendi kurallarına göre işler.

Grubunda kim neyi görür: Katılım kodunu bilen herkes gruba katılabilir; kod bir davet anahtarıdır, yalnızca güvendiğin kişilerle paylaş. Grubun üyeleri grubun bütün kayıtlarını, üyelerin adlarını ve sahiplerinin girdiği IBAN’ları görür. Hesap sahibi adı ekranda kısaltılmış görünür (“A** Y****”), ama telefonlarına tam hâliyle iner. E-posta adresini grup üyeleri görmez.

Google ile giriş verileri: Google’dan gelen bilgileri yalnızca hesabını açmak ve seni tanımak için kullanırız. Satmayız, reklam için kullanmayız, hizmet için gereken sağlayıcı (Supabase) dışında kimseyle paylaşmayız.

6. Yurt dışına aktarım

5. bölümdeki sağlayıcıların sunucuları Türkiye dışındadır: Supabase Avrupa Birliği’nde (Frankfurt); GoDaddy, Google ve Apple başta Amerika Birleşik Devletleri olmak üzere yurt dışında. Verilerin bu sağlayıcılara yalnızca 5. bölümde belirtilen ölçüde aktarılır.

7. Ne kadar süre saklanır

• Grup kayıtları: üyeler ayrılsa da kendiliğinden silinmez; çünkü herkesin hesabı bu kayıtlara dayanır ve gruba kodla dönülebilir. Hesabını ya da misafir kaydını silince, üye olduğun gruplardan üyesi kalmayanlar sunucudan da silinir. Bir grubun sunucudan tamamen silinmesini istersen info@olimposdigital.com adresine yaz.
• Ödeme bilgin: sen silene, hesabını (misafirsen misafir kaydını) silene ya da grubu kuran kişi o gruptaki seçimini sıfırlayana kadar (sıfırlanınca o gruptaki IBAN’ın silinir). Gruptan ayrılmak tek başına silmez: gruptakiler sana ödeme yapabilsin diye IBAN’ın onlara görünmeye devam eder.
• Hesap bilgileri ve misafir kaydı: sen silene kadar. Misafirken var olan bir hesaba girersen misafir kaydındaki üyelik, “ben” seçimi ve IBAN hesabına taşınır, misafir kaydı silinir.
• Başarısız katılım denemeleri: saatte 20 deneme sınırı için tutulur; bir saatten eskileri bir sonraki denemende, hepsi kaydın silinince silinir. Sunucu bağlantı kayıtları: sağlayıcının kuralına göre birkaç gün.
• Silinen veriler sağlayıcının yedeklerinden en geç 7 gün içinde düşer.

8. Güvenlik

Uygulama ile sunucu arasındaki bağlantı şifrelidir (HTTPS). Sunucu kuralları her kaydı yalnızca o grubun üyelerine açar; IBAN’ı yalnızca sahibi yazabilir, grubu kuran kişi yalnızca silebilir (sahipliği sıfırlayarak). Uçtan uca şifreleme yoktur: sunucuyu işleten biz verilere teknik olarak erişebiliriz. Bu erişimi yalnızca hizmeti çalıştırmak, bir sorunu gidermek ya da kanuni bir talebi karşılamak için kullanırız.

9. Hesabını ve verilerini silme

• Hesabın varsa: Ayarlar → Hesabı sil. Hesabın (e-posta adresin, giriş bağlantıların), grup üyeliklerin, “ben” sahipliklerin ve ödeme bilgilerin sunucudan, bütün veriler telefonundan silinir. Apple ile girdiysen Apple bağlantısı iptal edilir.
• Misafirsen: Ayarlar → Bu cihazdaki tüm verileri sil. Telefonundaki veriler, sunucudaki misafir kimliğin, üyeliklerin ve ödeme bilgin silinir; bunun için internet gerekir. Misafir hesapta sana ulaşabileceğimiz bir e-posta olmadığı için bu silme yalnızca uygulamadan yapılabilir.
• Bir gruptan ayrılmak: Grup ayarları → Bu cihazdan sil.
• Grubun ortak kayıtları kalır: Girdiğin harcamalar ve ödemeler grubun diğer üyelerinin hesabının parçasıdır; hesabını silsen de onlarda kalır. Silmeden sonra üyesi kalmayan gruplar ise sunucudan da silinir. Adının bu kayıtlarda görünmesini istemiyorsan, ayrılmadan önce Grup ayarları → Üyeler’den adını değiştir ya da bize yaz; grubun hesabını bozmadan adını “Eski üye” gibi bir adla değiştiririz.
• Uygulamaya erişemiyorsan: olimposdigital.com/alman-hesabi/hesap-silme/

10. Çocuklar

Alman Hesabı çocuklara yönelik değildir. 13 yaşından küçük birine ait bir hesap ya da ödeme bilgisi fark edersek ya da bize bildirilirse sileriz.

11. KVKK kapsamındaki hakların

KVKK’nın 11. maddesi uyarınca veri sorumlusuna başvurarak:

• Kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi isteme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde ya da yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik ya da yanlış işlenmişse düzeltilmesini isteme
• KVKK’nın 7. maddesindeki şartlar çerçevesinde silinmesini ya da yok edilmesini isteme
• Düzeltme ve silme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
• İşlenen verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme
• Kanuna aykırı işleme nedeniyle zarara uğrarsan zararın giderilmesini isteme

Başvuru: Uygulamada kayıtlı e-posta adresinden info@olimposdigital.com adresine “Alman Hesabı KVKK başvurusu” konusuyla yazabilir ya da Caferağa Mah. Dr. Esat Işık Cad. No: 85 Daire: 1, Kadıköy / İstanbul adresine yazılı olarak iletebilirsin. Başvurun en geç 30 gün içinde ücretsiz sonuçlandırılır. Cevabı yeterli bulmazsan Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsin.

12. Değişiklikler

Bu metni uygulamadaki değişikliklere göre güncelleyebiliriz. Önemli değişiklikleri uygulamada ya da bu sayfada duyururuz. Güncel metin her zaman bu adrestedir.

Privacy Policy (English)

This policy explains how your personal data is processed when you use the Alman Hesabı mobile app (“App”). It is also the information notice under Turkey’s Personal Data Protection Law No. 6698 (“KVKK”); the Turkish text above is the notice and this is its translation. The App is developed under the name Olimpos Digital.

1. Data controller

Data controller: Osman Kaan Şahinkoç (Olimpos Digital)
Address: Caferağa Mah. Dr. Esat Işık Cad. No: 85 Daire: 1, Kadıköy / İstanbul
E-mail: info@olimposdigital.com

2. In short

• We keep the tab, not your money. Alman Hesabı is not a bank: it doesn’t hold or send money and doesn’t connect to your bank.
• There is no advertising or analytics software in the App. We don’t access your location, contacts or photos.
• We don’t sell your data or use it for advertising.

3. Data we process

Stays on your phone only. The App saves everything on your phone first; then all your groups are backed up to our server as below, even if you never share them. An IBAN note you write for a member nobody has claimed stays on your phone and never reaches us.

Sent to our server so your groups sync with your friends and survive a new phone:

• Group records: group name, emoji and currency; member names (including yours); expenses (title, category, amount, date, note, who paid, for whom and how it was split, whether it was a treat); settle-up payments; if the shared kitty is on, amounts put in and given back. Each record also stores which account and which device wrote it, and when.
• Payment details: your IBAN and the account holder name your bank shows. Only you can enter these, for your own member in a group; nobody else can change them. If someone picks your name by mistake or on purpose, the person who created the group can reset that pick: the IBAN they entered is deleted and you pick yourself again. Also the language your reminder messages should use (Turkish or English).
• Guest ID: while you use the App without an account you get a random account ID. It records which groups you joined, which member you picked as “me”, and when. The App also creates its own random device ID.
• Account details (only if you create an account): your e-mail address and sign-in method. With an e-mail code we send a 6-digit code to your address. With Google, Google provides your e-mail, name and a link to your profile photo; the App only uses your e-mail. With Apple (iPhone), Apple provides your e-mail, which may be a private relay address. The App does not ask Apple for your name. To revoke the Apple link when you delete your account, the refresh token Apple issues is kept on the server; it is never shown in the App.
• Security records: the time of failed join attempts, to stop people guessing join codes. Our server provider keeps technical connection logs (IP address, time) for a short time for security.

Camera: only to scan a QR code when joining a group. The image is processed on your phone; it is neither stored nor sent.

Share sheet: you send summaries and reminders to apps like WhatsApp yourself; the text does not pass through us.

Invitation page: the invitation link (olimposdigital.com/alman-hesabi/katil) shows the join code in your browser and tries to open the App. No analytics or advertising code runs on this page. The website’s host (GoDaddy) keeps the address in its technical logs for a short time, as with any visit.

4. Purposes and legal bases

• Keeping groups, expenses and settle-ups, syncing them with your friends, showing your IBAN to your group, creating your account and restoring your groups on a new phone: performance of a contract (KVKK art. 5/2-c).
• If someone else added you to a group, your name and your shares: the group members’ legitimate interest in keeping a shared tab (KVKK art. 5/2-f).
• Security and abuse prevention (join attempt limit, server logs): legitimate interest (KVKK art. 5/2-f).
• Lawful requests from authorities: legal obligation (KVKK art. 5/2-ç).

5. Where data is stored and who receives it

• Supabase — server, database and sign-in. Your data is stored in the European Union, in Frankfurt.
• GoDaddy — sending e-mail sign-in codes (your e-mail address and the code).
• Google — if you choose Sign in with Google.
• Apple — if you choose Sign in with Apple (iPhone).
• Authorised public authorities — on lawful request.

The store you downloaded the App from (App Store or Google Play) processes its own data under its own terms.

Who sees what in your group: anyone who knows the join code can join; the code is an invitation key, share it only with people you trust. Group members see all of the group’s records, member names and the IBANs their owners entered. The account holder name is shortened on screen (“A** Y****”) but reaches their phones in full. Group members never see your e-mail address.

Google sign-in data: we use information from Google only to create your account and recognise you. We don’t sell it, use it for advertising or share it with anyone except the provider needed to run the service (Supabase).

6. Transfers abroad

The providers in section 5 have servers outside Turkey: Supabase in the European Union (Frankfurt); GoDaddy, Google and Apple abroad, mainly in the United States. Your data is transferred only to the extent described in section 5.

7. Retention

• Group records: they are not deleted automatically when members leave, because everyone’s balance depends on them and people can rejoin with the code. When you delete your account or guest record, any of your groups left with no members are deleted from the server too. If you want a group removed from the server completely, write to info@olimposdigital.com.
• Your payment details: until you delete them, delete your account (or, as a guest, your guest record), or the person who created the group resets your pick in that group (your IBAN in that group is then deleted). Leaving a group does not delete them on its own: your IBAN stays visible to the group so people can still pay you.
• Account details and guest record: until you delete them. If you sign in to an existing account while using the App as a guest, the guest record’s memberships, “me” choices and IBAN move to your account and the guest record is deleted.
• Failed join attempts: kept for the limit of 20 tries per hour; ones older than an hour are deleted at your next try, all of them when your record is deleted. Server connection logs: a few days, under the provider’s rules.
• Deleted data drops out of the provider’s backups within 7 days at most.

8. Security

The connection between the App and the server is encrypted (HTTPS). Server rules open each record only to members of that group, and only its owner can write an IBAN; the person who created the group can only delete it (by resetting the pick). There is no end-to-end encryption: as the operator of the server we can technically access the data. We use this access only to run the service, fix a problem or meet a lawful request.

9. Deleting your account and data

• With an account: Settings → Delete account. Your account (e-mail, sign-in links), group memberships, “me” claims and payment details are deleted from the server, and all data from your phone. If you used Apple, the Apple link is revoked.
• As a guest: Settings → Delete all data on this device. Data on your phone and your guest ID, memberships and payment details on the server are deleted; this needs an internet connection. A guest account has no e-mail we could reach you at, so this can only be done in the App.
• Leaving a group: Group settings → Remove from this device.
• Shared group records stay: expenses and payments you added are part of the other members’ tab and remain with them after you delete your account. Groups left with no members after the deletion are deleted from the server too. If you don’t want your name on them, rename your member in Group settings → Members before leaving, or write to us and we’ll rename you to something like “Former member” without breaking the group’s balances.
• Can’t open the App: olimposdigital.com/alman-hesabi/hesap-silme/

10. Children

Alman Hesabı is not directed at children. If we learn of an account or payment details belonging to a child under 13, we delete them.

11. Your rights under KVKK

Under article 11 of KVKK you can ask the data controller to: learn whether your data is processed and get information about it; learn the purpose and whether it is used accordingly; know the third parties it is transferred to in Turkey or abroad; have incomplete or inaccurate data corrected; have it deleted or destroyed under article 7; have corrections and deletions notified to those third parties; object to a result against you arising solely from automated analysis; and claim compensation for damage caused by unlawful processing.

How to apply: e-mail info@olimposdigital.com from the address registered in the App with the subject “Alman Hesabı KVKK request”, or write to Caferağa Mah. Dr. Esat Işık Cad. No: 85 Daire: 1, Kadıköy / İstanbul. We answer free of charge within 30 days at most. If you are not satisfied you can complain to the Personal Data Protection Board.

12. Changes

We may update this policy as the App changes. We announce important changes in the App or on this page. The current version is always at this address.