Gizlilik Politikası

Veri Sorumlusu

FLASHER TEKNOLOJİ ANONİM ŞİRKETİ

Adres

Gülbahçe Mah. İçmeler Cad. No: 14/1, İç Kapı No: B05, 35433 Urla / İzmir, Türkiye

İletişim

contact@flasher.com.tr

10 Eylül 2026 — esaslı değişiklik. Veri sorumlusu, gerçek kişiden FLASHER TEKNOLOJİ ANONİM ŞİRKETİ'ne geçmiştir. İşlenen veriler, amaçlar, hukuki dayanaklar ve saklama süreleri değişmemiştir; değişen yalnız veri sorumlusunun kimliğidir.

1. Özet — 30 saniyede Flasher gizliliği

• Mesajlarınız 1 saat sonra otomatik silinir (Firestore TTL). Pool'dan ayrılsanız bile geri-kalan mesajlar yine 1 saat içinde temizlenir.
• Her mesajınız anonim gönderilir (örn. "Anonim A1B2"). Her pool için ayrı anonim ID üretilir; pool'lar arası takip edilemez. Kimliğinizi diğer kullanıcılara açan bir özellik yoktur.
• Uygulama içinde ödeme yoktur. Her havuzdaki ilk mesajınız ücretsizdir; sonraki mesajlar, anket çözerek kazandığınız mesaj kredilerinden düşer (Madde 7).
• Konumunuz yalnızca uygulama açıkken işlenir ve iki ayrı amaçla kullanılır. Havuz eşleştirmesinde ham koordinat cihazdan çıkmaz: cihazda yaklaşık bir mahalle bloğu büyüklüğündeki bir harita hücresine yuvarlanır ve sunucuya yalnızca o hücrenin kimliği gider. Mahallenizin belirlenmesinde ise ham koordinat sunucumuza iletilir ve Google'ın adres çözümleme servisine aktarılır; koordinatın kendisi hiçbir yerde saklanmaz (Madde 6 ve 9).
• Uygulamaya bağlandığınızda 5651 sayılı Kanun gereği bir trafik kaydı tutulur (kullanıcı kimliğiniz, IP adresiniz, bulunduğunuz harita hücresi ve zaman) ve 1 yıl saklanır (Madde 6 ve 8).
• Reklam ağlarına satış yapmıyoruz. Üçüncü taraf reklam tracking SDK'sı kullanmıyoruz.
• Verilerinizi istediğiniz zaman silebilirsiniz — Profil → Hesabımı sil.

2. Kim biziz?

Bu uygulama FLASHER TEKNOLOJİ ANONİM ŞİRKETİ tarafından işletilir.

• İletişim: contact@flasher.com.tr
• Tebligata elverişli açık adres: Gülbahçe Mah. İçmeler Cad. No: 14/1, İç Kapı No: B05, 35433 Urla / İzmir, Türkiye
• Ticaret sicil numarası: İzmir Ticaret Sicili Müdürlüğü, 276209
• MERSİS numarası: 0388200957500001
• Vergi dairesi / numarası: Urla Vergi Dairesi / 3882009575
• VERBİS (Veri Sorumluları Sicili) kayıt durumu: Kayıt yükümlülüğünden muaf (Kişisel Verileri Koruma Kurulu kararlarındaki çalışan sayısı ve yıllık mali bilanço eşiklerinin altında)

Bu politika kapsamında "Flasher", "biz", "bizim" ifadeleri yukarıdaki veri sorumlusunu temsil eder.

3. Hangi yasalara tabiyiz?

• Kişisel Verileri Koruma Kanunu (KVKK) — Türkiye
• Genel Veri Koruma Tüzüğü (GDPR) — Avrupa Birliği'ndeki kullanıcılar için
• Apple App Store Privacy Guidelines

Tüm Firebase servisleri (Auth, Firestore, Cloud Functions, Cloud Messaging) Frankfurt (europe-west3) bölgesinde çalışır. Veriler Avrupa Birliği sınırları içinde işlenir.

4. Hangi verileri topluyoruz?

A. Hesap oluşturma sırasında

• Görünür ad (display name) — yalnızca profilinde saklanır ve yalnızca sana gösterilir; havuzlardaki diğer kullanıcılara hiçbir zaman gösterilmez
• Doğum yılı — yaş kontrolü için, tam tarih DEĞİL
• Cinsiyet — isteğe bağlı; yalnızca havuz görünümündeki renk kodlaması için kullanılır, ekranda yazı olarak gösterilmez
• Telefon numarası — yalnızca telefon doğrulamayla kayıt olunduğunda; Firebase Authentication'da saklanır
• Apple veya Google hesap kimliği — sosyal login kullanıldığında

B. Uygulamayı kullanırken

• Konum — harita hücresi — yalnızca uygulama açıkken; havuz eşleştirmesi için cihazda hesaplanan hücre kimliği (Madde 6)
• Konum — ham koordinat — yalnızca mahalleni belirlerken; sunucumuza iletilir ve Google'ın adres çözümleme servisine aktarılır, ardından saklanmadan atılır (Madde 6 ve 9)
• Mahalle kimliği — konumundan sunucuda belirlenir; belediye duyurularını ve acil uyarıları alabilmen için (Madde 4.C)
• APNs / FCM push token — bildirim gönderebilmek için; her cihaz için ayrı doc
• Mesajlar — pool'a yazdığın metinler, 1 saatlik TTL ile
• Anket cevapları — hangi ankete, hangi soruda hangi şıkkı işaretlediğin (şık metni değil, sıra numarası), cevap zamanı ve kazandığın kredi. Cevaplarının uid'ne bağlı hali yalnızca sana açıktır (Madde 7)
• Mesaj kredisi bakiyen ve günlük kazanç sayacın — günlük kazanma tavanını uygulayabilmek için
• Bağlantı (trafik) kayıtları — uygulamaya bağlandığında kullanıcı kimliğin, IP adresin (ve ara sunucu zinciri), bulunduğun harita hücresi ve zaman damgası; 5651 sayılı Kanun gereği (Madde 6 ve 8)
• Engelleme, şikayet ve moderasyon kayıtları — güvenlik amacıyla (Madde 8)

C. Mahalle ve belediye bildirimleri

Uygulama, yerel yönetimlerin duyurularını ve acil uyarılarını doğru mahalleye ulaştırmak için bir bildirim hattı içerir.

• Mahalle kimliği yalnızca konumundan, sunucuda belirlenir. Uygulamada mahalle seçme ekranı yoktur ve sunucu, istemcinin gönderdiği bir mahalle kimliğini kabul etmez. Mahallen ancak fiilen başka bir yere gittiğinde değişir; iki değişiklik arasında 1 saatlik bir bekleme uygulanır. Bu bilgi hesabında saklanır.
• Bildirim aboneliği mahalle düzeyinde kurulur (FCM konu aboneliği). Belediye, aboneleri tek tek göremez; yalnızca bir mahalleye yayın yapar.
• Belediyeye kimliğin, konumun veya iletişim bilgin aktarılmaz. Belediye tarafında yalnızca yayının ulaştığı mahalle ve toplam sayı görünür.
• Bir mahalledeki abone sayısı gizlilik eşiğinin altındaysa sayı gösterilmez; bildirim yine de ulaşır.
• Duyuru ve acil uyarı bildirimlerini kapatmak istersen mahalle aboneliğini uygulamadan kaldırabilirsin.

D. NE TOPLAMIYORUZ

• ❌ Profil fotoğrafı (uygulamada bu özellik yok)
• ❌ Arka planda konum takibi (izin yalnızca "Uygulamayı Kullanırken"dir; uygulama kapalıyken konum alınmaz)
• ❌ Ham koordinat geçmişi — enlem/boylam hiçbir kayda yazılmaz. Ancak bağlantı kayıtlarında harita hücresi düzeyinde bir geçmiş oluşur; bunu Madde 6 ve 8'de açıkça anlatıyoruz.
• ❌ Ödeme ve kart bilgileri — uygulama içinde satın alma yoktur, bu nedenle hiçbir ödeme verisi işlemiyoruz
• ❌ Üçüncü taraf reklam tracking ID'leri (IDFA, ATT prompt göstermiyoruz)
• ❌ Çapraz uygulama analytics (Facebook Pixel, Mixpanel vb. yok)
• ❌ Rehber/kişiler, kamera, mikrofon, sağlık verisi

E. Hangi işlemeyi hangi hukuki sebeple yapıyoruz? (KVKK Md. 5-6)

Özel nitelikli kişisel veri işlemiyoruz. Cinsiyet alanı uygulamada yalnızca havuz görünümündeki renk kodlaması için kullanılır ve isteğe bağlıdır.

5. Mesajlar nasıl saklanıyor?

Mesaj içeriği hiçbir backup veya log dosyasına yazılmaz. Cloud Functions log'larına UID hash'i ve mesaj kimliği yazılır; mesaj gövdesi yazılmaz.

Push notification payload'ında mesaj içeriği gönderilmez — yalnızca jenerik "Yakındaki havuza yeni mesaj geldi" bilgisi gönderilir. Kilit ekranında mesaj içeriğin görünmez.

6. Konum bilgisi nasıl işleniyor?

Konum yalnızca uygulama açıkken alınır ("While Using App" izni yeterli, "Always" istemiyoruz). Konumun iki ayrı amaçla, iki ayrı biçimde işlenir; ikisini birbirinden ayırmak önemli:

6.1 Havuz eşleştirmesi — ham koordinat cihazdan çıkmaz

• Konum hassasiyetinden cihazda bir harita hücresi kimliği (H3, çözünürlük 10) hesaplanır. Bu hücre yaklaşık bir mahalle bloğu büyüklüğündedir: bir kenarı yaklaşık 70 metre, köşeden köşeye en geniş açıklığı yaklaşık 164 metredir.
• Sunucuya yalnızca bu hücre kimliği gönderilir; bu akışta gerçek enlem/boylam koordinatı sunucumuza gönderilmez.
• Aynı hücredeki diğer kullanıcılarla aynı havuza dahil olursun.
• Hücredeki kişi sayısı gizlilik eşiğinin altındaysa havuz açılmaz; eşik sağlanana kadar arama yarıçapı kademeli genişletilir.

6.2 Mahalle belirleme — ham koordinat sunucuya ve Google'a gider

• Mahallenin belirlenmesi ayrı bir işlemdir ve burada tam hassasiyetli enlem/boylam sunucumuza iletilir.
• Sunucu bu koordinatı Google Geocoding (adres çözümleme) servisine gönderir ve dönen adres bileşenlerini mahalle kataloğuyla eşleştirir. Bu, kişisel verinin yurt dışına aktarılması anlamına gelir (Madde 9).
• Sonuçta hesabına yalnızca mahalle ve ilçe kimliği ile doğrulama zamanı yazılır. Ham koordinat ne bizde ne bir logda saklanır — işlem bittiğinde atılır.
• Mahalleni uygulamadan seçemezsin; kimliği sunucu belirler (Madde 4.C).

6.3 Bağlantı (trafik) kayıtları — hücre düzeyinde bir geçmiş oluşur

• Uygulamaya bağlandığında ve bulunduğun harita hücresi değiştiğinde (en sık 10 dakikada bir) bir bağlantı kaydı yazılır: kullanıcı kimliğin, IP adresin, ara sunucu zinciri, harita hücresi kimliği ve zaman damgası.
• Bu kayıt 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun kapsamındaki trafik kaydı yükümlülüğü nedeniyle tutulur ve 1 yıl sonra otomatik silinir.
• Kayıtta ham koordinat yoktur; hücre kimliği vardır. Yine de bu kayıtlar bir arada okunduğunda hücre düzeyinde bir hareket geçmişi oluşturur. "Konum geçmişi hiç tutulmuyor" demiyoruz — tuttuğumuz budur.
• Bu kayıtlar mesajlarınla ilişkilendirilmez ve istemciye kapalıdır; yalnızca yetkili makamın usulüne uygun talebi üzerine ve Madde 8'deki süre boyunca kullanılır.
• Bu kayıtlar hukuki yükümlülük sebebiyle tutulduğundan, hesabını sildiğinde de saklama süresi dolana kadar durur (Madde 14).

7. Anonim mesajlaşma, anketler ve mesaj kredileri

7.1 Anonimlik

• Her havuzda havuza özel rastgele bir anonim ID atanır (SHA-256 üzerinde türetilir)
• Aynı kullanıcı farklı havuzlarda farklı anonim ID alır — gözlemci pool'lar arasında seni takip edemez
• Radar üzerindeki dot pozisyonun her oturumda rastgele bir tuzla karıştırılır; aynı uygulamayı kapatıp açtığında dot konumun değişir
• Kimliğini açan bir özellik yoktur. Görünür adın, baş harfin veya doğum yılın diğer kullanıcılara hiçbir mesajda ve radarda gösterilmez; her mesaj anonim takma adla gider. (Önceki sürümlerde ücretli bir "kimlik açma" özelliği vardı; kaldırıldı.)
• Süreli fotoğraf. Süreli fotoğrafın ekran görüntüsünü alan kişinin adı, fotoğrafı gönderene gösterilir.

7.2 Mesaj kredileri — uygulama içinde ödeme yok

• Her havuzdaki ilk mesajın ücretsizdir. Aynı havuzdaki ikinci ve sonraki her mesaj bir mesaj kredisi harcar.
• Kredinin tek kaynağı anket çözmektir. Uygulama içinde satın alma, abonelik veya başka bir ödeme yolu yoktur.
• Bir anket en çok 5 kredi verir; bir kullanıcı bir günde en çok 10 kredi kazanabilir.
• Kredi bakiyen hesabında tutulur; para değildir, nakde çevrilmez, devredilmez ve hesabın silindiğinde yok olur.

7.3 Anket cevapları ve anketi açan kuruma aktarım

• Anket cevapların (hangi soruda hangi şıkkı işaretlediğin) kişisel veridir ve hesabına bağlı olarak saklanır. Bu hali yalnızca sana okunabilir; anketi açan kurumun buraya erişimi yoktur.
• Anketi açan kuruma yalnızca toplu sayaçlar açılır: katılımcı sayısı ve her soruda şıkların kaç kez seçildiği. Kimin ne cevapladığı hiçbir yere yazılmaz.
• Toplu sonuç, ankete en az 20 kişi katılana kadar kuruma hiç açılmaz ve bundan sonra da yalnızca 20'şer katılımcılık adımlarla güncellenir. Böylece iki okuma arasındaki fark tek bir kişinin cevabına indirgenemez.
• Bu bir üçüncü taraf aktarımıdır; Madde 9'da da listelenmiştir.

8. Veri tutma süreleri

Uygulama içinde satın alma bulunmadığından saklanan hiçbir ödeme veya satın alma kaydı yoktur. Önceki sürümlerdeki ödeme dönemine ait kayıtlar hesap silme akışına dahildir (Madde 14).

9. Verilerinizi kimlerle paylaşıyoruz?

• Google (Firebase) — Hosting / veri işleme altyapısı (europe-west3, AB sınırları içinde). Veri İşleyici sıfatıyla. Google Cloud Data Processing Addendum geçerlidir.
• Google Maps Platform — Geocoding API — mahalleni belirlemek için tam hassasiyetli enlem/boylam aktarılır (Madde 6.2). Servis Türkiye ve AB dışında da işlem yapabildiğinden bu bir yurt dışına aktarımdır.
• Apple — Sign in with Apple kullanıyorsanız Apple hesap kimliği; ayrıca cihaz doğrulaması (App Attest / DeviceCheck) için cihaz jetonu. Ödeme aktarımı yoktur — uygulama içinde satın alma bulunmuyor.
• Apple Push Notification Service (APNs) — Push bildirim teslim altyapısı; bildirim jetonun ve bildirim gövdesi Apple'a iletilir. Bu da bir yurt dışına aktarımdır.
• Anketi yayınlayan kurum / firma — yalnızca kimliksiz toplu anket sonuçları, en az 20 katılımcılık kovalarda (Madde 7.3). Kimin ne cevapladığı aktarılmaz.
• Belediye / yerel yönetim — kişisel veri aktarılmaz; yalnızca bir mahalleye yayın yapılır ve eşik üstündeyse toplam sayı görünür (Madde 4.C).

Yurt dışına aktarım (KVKK Md. 9)

Yukarıdaki aktarımlardan Google Maps Platform, Apple ve APNs Türkiye dışına veri aktarımı doğurur. Bu aktarımlar KVKK Md. 9 kapsamında, hizmetin sunulabilmesi için zorunlu olduğundan ve ilgili sağlayıcıların standart veri koruma taahhütleri (Google Cloud Data Processing Addendum, Apple'ın veri işleme şartları) esas alınarak yapılır. Firebase servislerinin kendisi Frankfurt (europe-west3) bölgesinde çalışır ve AB sınırları içinde kalır.

Aşağıdakileri kullanmıyoruz:

• ❌ Reklam ağları (Google AdMob, Meta Audience Network vb.)
• ❌ Veri brokerları
• ❌ Pazarlama otomasyon platformları
• ❌ Facebook Pixel, Mixpanel, Amplitude, Segment vb. analitik SDK'lar

Verinizi satmıyoruz.

10. KVKK kapsamında haklarınız (Türkiye)

KVKK Madde 11 kapsamında:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme
• İşlenmişse hangi amaçla kullanıldığını öğrenme
• Yurt içinde / yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik/yanlış işlenmişse düzeltilmesini isteme
• Kanun kapsamında silinmesini/yok edilmesini isteme
• Düzeltme/silme talebinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Münhasıran otomatik sistemlerle analiz sonucu aleyhinize bir sonuç ortaya çıkması halinde itiraz etme
• Kanuna aykırı işleme sebebiyle zarara uğrarsanız tazminat talep etme

Talepler için: contact@flasher.com.tr. 30 gün içinde yanıt veririz.

11. GDPR kapsamında haklarınız (AB)

GDPR Madde 15-22 kapsamında:

• Erişim — Sahip olduğumuz verinizi talep edebilirsiniz (uygulama içi: Profil → Verimi indir)
• Düzeltme — Yanlış veriyi düzelttirebilirsiniz (uygulama içi: Profil → Adı düzenle)
• Silme (Right to be forgotten) — Hesabınızı silebilirsiniz (uygulama içi: Profil → Hesabımı sil)
• Taşınabilirlik — Verinizi JSON olarak indirebilirsiniz
• İtiraz — Belirli işlemleri durdurmamızı isteyebilirsiniz
• Şikayet — Yetkili veri koruma kurumuna başvurabilirsiniz (Türkiye'de KVKK Kurumu, AB'de yerel DPA)

12. Çocukların gizliliği

Flasher 18 yaş ve üzeri kullanıcılar içindir. Kayıt sırasında doğum yılı doğrulaması yapılır (1925-2008 doğum yılı aralığı kabul edilir; 2008 sonrası reddedilir). 18 yaşından küçük olduğu tespit edilen hesaplar derhal silinir.

13. Çerez ve takip teknolojileri

Mobil uygulamada çerez kullanılmaz. Uygulama içinde IDFA istemiyoruz, App Tracking Transparency promptu göstermiyoruz.

Tracking SDK'ları (Facebook Pixel, Google Analytics for Firebase'in tracking modu, vb.) yoktur.

14. Hesap silme — KVKK Madde 7 / GDPR Madde 17

Profil → Hesabımı sil ile başlattığın silme talebi:

1. Tüm pool üyelikleri ve radar kaydın silinir

2. Tüm gönderdiğin mesajlar (paginate edilerek) silinir

3. Engelli kullanıcı listen ve sunucudaki türevi silinir

4. Anket cevapların silinir

5. Mahalle gönderilerin ve mahalle bildirim kayıtların silinir

6. Şikayetlerin silinir; hakkındaki şikayet ve moderasyon kayıtları kimliksizleştirilir

7. Push token kaydın silinir

8. Profilin (görünür ad, doğum yılı, cinsiyet, mahalle, kredi bakiyesi) silinir

9. Audit log'a silmenin yapıldığı yazılır (KVKK Madde 12 — kanıt belgesi olarak); bu kayıt 365 gün saklanır

10. En son Firebase Authentication kaydı silinir

Silinmeyen tek kategori: 5651 sayılı Kanun gereği tutulan bağlantı (trafik) kayıtları. Bunlar hukuki yükümlülük sebebiyle tutulduğundan hesap silme ile kaldırılmaz; kendi saklama süresi olan 365 gün dolduğunda otomatik silinir (Madde 6.3 ve 8).

Bunun dışında işlem hard delete'tir — geri alınamaz. Yanlışlıkla silme durumunda 30 günlük cooldown şu an mevcut değildir. Bu özellik v1.1 yol haritasındadır.

15. Güvenlik

• Tüm bağlantılar TLS 1.3 ile şifrelenir
• Şifre saklamayız — yalnızca Firebase Authentication tarafından yönetilen telefon OTP, Sign in with Apple veya Sign in with Google üzerinden giriş yapılır
• Apple kullanıcı kimliği cihazda Keychain'de saklanır (iCloud yedeğinde plaintext çıkmaz)
• Cloud Functions log'larında UID'ler kısa hash (SHA-256 + tuz) olarak saklanır; plain UID, e-posta veya telefon yazılmaz
• Crashlytics'e raporlama yapıldığında kullanıcı kimliği yine kısa hash olarak gönderilir
• Veri ihlali durumunda yetkili veri koruma kurumuna ve etkilenen kullanıcılara 72 saat içinde bildirim yapılır (KVKK Madde 12 / GDPR Madde 33)

16. Politika değişiklikleri

Bu politikada değişiklik olursa:

• Uygulama içi bildirim yaparız
• En az 30 gün önceden duyururuz
• Önemli değişikliklerde tekrar açık rıza isteriz

17. İletişim

• Veri sorumlusu: FLASHER TEKNOLOJİ ANONİM ŞİRKETİ
• E-posta: contact@flasher.com.tr
• Destek: contact@flasher.com.tr
• KVKK Kurumu: kvkk.gov.tr
• Apple App Store: apple.com

Bu politika Türkçe ve İngilizce olarak yayınlanır. Yorum farklılığı durumunda Türkçe versiyon esastır (Türk hukukuna tabi olduğumuz için).