Gizlilik Politikası ve KVKK Aydınlatma Metni

Yürürlük tarihi: 18 Ekim 2026 · Sürüm 1

1. Veri sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve AB Genel Veri Koruma Tüzüğü ("GDPR") kapsamında veri sorumlusu:

2. Hangi verileri, neden işliyoruz?

2.1 Hesap açmadan kullanım

Girdiğin işlemler, hesaplar, bütçeler, abonelikler, krediler, borçlar, kategoriler, etiketler, notlar ve profil bilgileri yalnızca telefonundaki uygulama veritabanında saklanır; bize gönderilmez. Fiş okuma telefonda yapılır (Google ML Kit cihaz içi metin tanıma); fiş fotoğrafı sunucuya yüklenmez. Hatırlatma bildirimleri telefonda oluşturulur.

2.2 Hesap açarsan (şifreli yedek ve eşitleme)

Uçtan uca şifreleme: Parolan telefonunda Argon2id ile işlenir; sunucuya parolanın kendisi değil, ondan türetilen bir giriş değeri gider. Verilerin, yalnızca telefonunda açılabilen rastgele bir anahtarla AES-256-GCM yöntemiyle şifrelenir. Bu anahtar sunucuda yalnızca parolan veya kurtarma kodunla açılabilecek şekilde saklanır. Bu nedenle kayıtlarının içeriğini (tutarlar, notlar, kişi adları, profil bilgileri) biz, sunucu sağlayıcımız veya sunucuya erişen başka biri göremez. Aynı nedenle parolanı ve kurtarma kodunu birlikte kaybedersen şifreli yedeğini kurtaramayız.

Sunucu, istek kayıtlarında IP adresi ve kullanıcı kimliği tutmaz; istek kayıtları 5 gün sonra silinir. Aşırı denemeleri engellemek için IP adresi yalnızca bellekte, kısa süreliğine kullanılır.

2.3 Anonim haftalık istatistik (yalnızca iznin varsa)

Uygulamayı geliştirmek için, izin verirsen haftada bir kimliksiz bir özet alırız. İzin vermemen hiçbir özelliği kısıtlamaz; iznini istediğin zaman Ayarlar → Anonim istatistik bölümünden geri alabilirsin. Gönderilecek özetin birebir içeriğini aynı yerden görebilirsin.

• Gönderilenler: kategori ve etiketlere göre harcama payları (%) ve işlem sayıları; haftalık toplam gider/gelir aralığı ve ortalama sepet tutarı; kendi eklediğin kategori ve etiket adları; fişte tanınamayan ürün adları (rakamlar çıkarılarak) ve KDV payı; bütçe, abonelik, kredi ve borç özelliklerinin kullanımı, abonelik kategorileri, kredi türü ve vadesi; ülke, dil, para birimi ve uygulama sürümü. Ayrı bir kayıtta, tutar olmadan: haftanın günlerine ve saatlerine göre işlem sayıları.
• Asla gönderilmeyenler: adın, e-postan, hesap bilgin, cihaz bilgin, notların, borçtaki kişi adları, hesap/kart adları, tam tarih ve saat, konum, il/ilçe, cinsiyet, yaş ve tek tek işlemlerin.
• Özet hesabına bağlanmadan, giriş yapmadan gönderilir. Her hafta yeni bir kimlik kullanılır; iki haftanın özeti birbiriyle eşleştirilemez. Sonuçlar yalnızca en az 20 kullanıcıda görülen değerler için toplu olarak incelenir.
• Hukuki sebep: açık rıza (KVKK m.5/1; GDPR m.6/1-a). Özetler kimseye bağlanamadığı için gönderildikten sonra kişiye özel olarak silinemez.

3. Verilerin saklandığı yerler ve aktarım

Verilerini satmayız, kiralamayız, reklam amacıyla paylaşmayız. Hizmeti sunmak için aşağıdaki hizmet sağlayıcılarını kullanırız:

Yedek ve e-posta hizmetleri nedeniyle e-posta adresin ve şifreli kayıtların yurt dışındaki sunucularda işlenebilir. Kayıtların içeriği uçtan uca şifreli olduğu için bu sağlayıcılar tarafından okunamaz. Aktarımın KVKK m.9 ve GDPR kapsamındaki dayanağı Mudget test aşamasından çıkmadan önce kesinleştirilecek ve bu metin güncellenecektir.

4. Saklama süreleri

• Hesap ve şifreli kayıtlar: hesabını silene kadar. Silinen hesaba ait veriler, dönen yedeklerden en geç 7 gün içinde düşer.
• Sunucu istek kayıtları (IP'siz): 5 gün.
• Doğrulama kodları: 10 dakika, kullanılınca hemen silinir.
• Anonim haftalık özetler: kimseye bağlı olmadığı için süresiz.
• Telefondaki veriler: uygulamayı silene kadar senin kontrolünde.

5. Güvenlik

Tüm bağlantılar TLS (HTTPS) ile şifrelenir. Veriler uçtan uca şifrelenir; sunucuya yalnızca SSH anahtarıyla yönetici erişimi vardır, güvenlik güncellemeleri otomatik kurulur, yedekler her gece ayrı bir sağlayıcıya alınır. Telefonda oturum bilgisi ve şifre anahtarı Android Keystore ile korunan güvenli depoda tutulur.

6. Hakların

KVKK m.11 ve GDPR kapsamında şu haklara sahipsin:

• Verilerinin işlenip işlenmediğini öğrenmek ve bilgi istemek,
• Amacını ve amacına uygun kullanılıp kullanılmadığını öğrenmek,
• Aktarıldığı üçüncü kişileri bilmek,
• Eksik veya yanlışsa düzeltilmesini, silinmesini istemek,
• İşlemeye itiraz etmek, rızanı geri almak,
• Verilerini taşınabilir biçimde almak,
• Zarara uğraman hâlinde giderilmesini istemek ve Kişisel Verileri Koruma Kurulu'na (veya AB'de yaşıyorsan yerel denetim makamına) şikâyette bulunmak.

Çoğunu uygulamada doğrudan yapabilirsin: verilerini Ayarlar → Dışa aktar ile alır, Ayarlar → Hesabı sil ile hesabını ve sunucudaki tüm şifreli verilerini silersin (ayrıntılar). Diğer talepler için destek@mudget.tech adresine yazabilirsin; en geç 30 gün içinde yanıtlarız.

7. Çocuklar

Mudget 13 yaşından küçükler için tasarlanmamıştır ve bilerek bu yaştaki çocuklardan veri toplamayız.

8. Değişiklikler

Bu metni güncellediğimizde yürürlük tarihini değiştirir, önemli değişiklikleri uygulama içinde duyururuz.