KVKK Aydınlatma Metni
Son güncelleme: 31 Ekim 2026
Sürüm: 2.0
Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("Kanun") 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca hazırlandı. BlueGrays mobil uygulamalarını ve bluegrays.com'u kullananları, web sitesi ziyaretçilerini ve bize bildirimde bulunan kişileri bilgilendirmek içindir. Bu metin bir sözleşme değildir ve onay gerektirmez. Okuyup anlaman yeterlidir.
1. Veri sorumlusu
- Veri sorumlusu: Yunus Emre EKE (gerçek kişi; BlueGrays'in geliştiricisi ve işleticisi)
- Adres: Beylikdüzü, İstanbul *****
- E-posta: [email protected]
- Telefon: *****
Türkiye'de yerleşik olduğumuz için temsilci atanmamıştır.
2. Hangi verileri, hangi amaçla ve hangi hukuki sebeple işliyoruz?
Hukuki sebepler Kanun'un 5. maddesindeki şartlardır. Tabloda kısaca şöyle gösterildi:
- Sözleşme (m.5/2-c): BlueGrays üyeliği ve satın almalar için gerekli olması.
- Hukuki yükümlülük (m.5/2-ç): Kanunlardaki yükümlülüklerimiz. Örneğin 5651 sayılı Kanun'a göre trafik bilgisi saklamak ya da tüketici mevzuatına göre kayıt tutmak.
- Kanunda öngörülme (m.5/2-a).
- Hakkın tesisi (m.5/2-e): Bir hakkın kurulması, kullanılması ya da korunması.
- Meşru menfaat (m.5/2-f): Temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaatimiz.
- Alenileştirme (m.5/2-d): Senin kendin tarafından herkese açık hâle getirilmiş olması.
- Açık rıza (m.5/1): Yalnız aşağıda belirtilen, isteğe bağlı işlemler için. Ayrıca alınır ve her zaman geri alınabilir.
| Veri kategorisi | Örnekler | Amaç | Hukuki sebep |
|---|---|---|---|
| Kimlik ve iletişim | Ad, soyad, kullanıcı adı, e-posta adresi. Apple ile girişte Apple'ın paylaştığı ad ve e-posta (ya da Apple'ın gizli aktarma adresi). | Hesap açmak, giriş yapmak, seninle iletişim kurmak, hesabını tanımak. | Sözleşme |
| Hesap ve güvenlik | Şifrenin geri çevrilemez özeti (şifrenin kendisi saklanmaz), giriş yöntemi (e-posta, Google, Apple) ve sağlayıcı kimliği, e-posta doğrulama durumu, oturum bilgisi, hangi metnin hangi sürümünü ne zaman kabul ettiğin ya da okuduğun. | Hesabını korumak, onayları ispat etmek. | Sözleşme; hukuki yükümlülük; hakkın tesisi |
| Profil ve tercihler | Profil fotoğrafı (yüklersen), uygulama dili, saat dilimi, bildirim tercihleri, ligde görünme tercihi, soru dili ve Atölye tercihleri. | Hizmeti tercihlerine göre sunmak. | Sözleşme |
| Kullanım ve öğrenme | Envanter, favoriler, puanlar, tamamlanan projeler, rehber ilerlemesi, rozetler, kaydedilen araç sonuçları, proje istekleri, duyuru görüntülemeleri, günün sorularına verdiğin cevaplar, XP, seviye ve seri. | Projeleri, Atölye eşleşmesini, rozetleri, seviyeleri ve haftalık ligi sunmak. | Sözleşme |
| Topluluk | Forum gönderileri, yorumlar, yanıtlar, paylaştığın fotoğraf ve kodlar, beğeniler, gönderdiğin kullanıcı projeleri, şikâyetlerin (sebep ve açıklama), engellediğin kullanıcılar, moderasyon kayıtları (kaldırılan içerik, gerekçe ve tarih). | Forumu ve proje paylaşımını sunmak, içerikleri denetlemek, şikâyetleri sonuçlandırmak, topluluğu korumak. | Sözleşme; meşru menfaat; hukuki yükümlülük (5651, 5846); hakkın tesisi. Herkese açık paylaşımlarda ayrıca alenileştirme. |
| Destek ve bildirimler | Destek talepleri, mesajlar ve ekleri. İçerik ve telif bildirimleri: ad, soyad, e-posta, içerik bağlantısı, sebep, açıklama (üye olmayanlardan da alınır). Veli başvuruları. | Taleplerini ve bildirimlerini sonuçlandırmak. | Sözleşme; hukuki yükümlülük; hakkın tesisi |
| Abonelik ve satın alma | Premium durumu, ürün ve dönem, başlangıç ve bitiş tarihleri, mağaza işlem numarası, RevenueCat kullanıcı kimliği, kişiye özel tekliflerin tanımlanma ve bitiş zamanı, ödeme ekranı olayları (görüntüleme ve kapatma), Eğitimci Paketi ve kod kayıtları. Kart bilgilerin bize gelmez, ödemeyi App Store ya da Google Play alır. | Satın almayı ve aboneliği yürütmek, Premium'u açmak, kodları yönetmek, kişiye özel teklif sunmak, satın alma kayıtlarını ispat için saklamak. | Sözleşme; hukuki yükümlülük (Mesafeli Sözleşmeler Yönetmeliği m.20); meşru menfaat (ödeme ekranı olayları ve teklif) |
| Cihaz ve işlem güvenliği (trafik bilgisi) | IP adresi, IP adresinden çıkarılan ülke, tarayıcı ya da cihaz bilgisi (User-Agent), platform (iOS, Android, web), uygulama sürümü, işlemin türü ve zamanı (kayıt, giriş, başarısız giriş, şifre ve e-posta değişikliği, içerik paylaşma, dosya yükleme). | Güvenliği sağlamak, kötüye kullanımı önlemek, hataları bulmak, 5651 sayılı Kanun'a göre trafik bilgisi saklamak, içeriğe uygun dil ve ülke ayarını sunmak. | Kanunda öngörülme ve hukuki yükümlülük (5651 m.5/3); meşru menfaat |
| Bildirim | Cihazının bildirim adresi (FCM token), sana gönderilen bildirimler ve okunma durumu. | Hesap, destek yanıtı, rozet, rehber ve (açtıysan) soru hatırlatması gibi hizmet bildirimleri göndermek. | Sözleşme |
| Tanıtım iletileri | E-posta adresi, bildirim adresi, onay kaydı (tarih, kanal, kaynak). | Kampanya, indirim ve yeni özellik tanıtımı göndermek. | Açık rıza (Ticari Elektronik İleti Onayı ile; isteğe bağlı) |
| Kullanıcı kaynağı | Android'de Google Play'in yükleme yönlendirme bilgisi (utm kaynağı ve kampanyası, tıklama zamanı). iOS'ta Apple'ın kişisel veri içermeyen reklam atıf bilgisi (AdServices). "Bizi nereden duydun?" anketine verdiğin cevap (isteğe bağlı). | BlueGrays'i hangi kanalla bulduğunu ölçmek ve tanıtım bütçesini doğru kullanmak. | Meşru menfaat |
| Uygulama analitiği ve hata raporları | Firebase Analytics olayları ve ekran görüntülemeleri, uygulama kurulum kimliği, cihaz modeli, işletim sistemi, dil, IP'den çıkarılan yaklaşık konum (ülke ya da şehir düzeyi). Crashlytics çökme raporları ve Performance ölçümleri. | Uygulamanın nasıl kullanıldığını anlamak, hataları ve yavaşlıkları gidermek. | Meşru menfaat |
| Reklam ölçümü (mobil) | Cihazının reklam kimliği (Android reklam kimliği; iOS'ta yalnız "İzleme" iznini verirsen IDFA), Meta SDK'nın uygulama olayları (yükleme, açılış). | BlueGrays'in Meta, Google ve Apple'daki tanıtım reklamlarının kaç yüklemeye dönüştüğünü ölçmek. | Açık rıza; iOS'ta ayrıca Apple'ın izleme izni |
| Web çerezleri | Zorunlu çerezler (oturum, dil, çerez tercihin). Analitik çerezler (Google Analytics 4, Google Tag Manager üzerinden). Pazarlama çerezleri (Google Ads, Meta Pixel). | Sitenin çalışması; ziyaret istatistikleri; reklam ölçümü. | Zorunlu çerezler: sözleşme ve meşru menfaat. Analitik ve pazarlama: açık rıza (çerez tercihleri) |
| Kamera ve fotoğraflar | Yalnız sen bir fotoğraf çektiğinde ya da seçtiğinde o fotoğraf. Galerinin tamamına erişmeyiz. | Profil, forum, proje ve destek görselleri yüklemek. | Sözleşme |
| Silinmiş hesap kaydı | Kullanıcı numarası, e-posta adresi, kullanıcı adı, silinme tarihi. | Hesap silindikten sonra da saklamamız gereken trafik bilgilerini doğru kişiyle eşleştirebilmek. Uygulamada başka hiçbir işlevi yoktur. | Hukuki yükümlülük (5651); hakkın tesisi |
İşlemediğimiz veriler: GPS ile konum, doğum tarihi ya da yaş, rehberindeki kişiler, kart bilgileri ve sağlık ya da biyometri gibi özel nitelikli kişisel veriler.
Kişiye özel teklif ve otomatik işlemler: Ödeme ekranını belirli sayıda kapattığında sistem sana otomatik olarak süreli bir indirim teklifi tanımlayabilir. Seviyen, rozetlerin ve lig sıran da cevaplarına göre otomatik hesaplanır. Bunlar senin aleyhine hukuki sonuç doğurmaz. Yine de münhasıran otomatik analiz sonucu aleyhine bir sonuca itiraz etme hakkın vardır (Kanun m.11/1-g).
3. Verileri nasıl topluyoruz?
- Senden, elektronik ortamda ve otomatik yollarla: Kayıt ve profil formları, forum, destek ve bildirim formları, uygulama ve web sitesinde yaptığın işlemler.
- Cihazından, otomatik yollarla: Uygulamadaki yazılım geliştirme kitleri (Firebase, Meta SDK, RevenueCat), web sitesindeki çerezler ve benzeri teknolojiler, sunucu kayıtları.
- Üçüncü kişilerden: Google ve Apple ile giriş yaptığında bu şirketlerden. Satın almalarda App Store ve Google Play'den RevenueCat aracılığıyla. Android'de yükleme yönlendirme bilgisi Google Play'den. iOS'ta reklam atıf bilgisi Apple'dan. Bu verileri ilk iletişimde ya da elde ettikten sonra makul sürede bu metinle bilgilendirerek işleriz.
4. Verileri kimlere ve hangi amaçla aktarıyoruz?
Verilerini yalnız aşağıdaki alıcılara, yukarıdaki amaçlar ve Kanun'un 8. maddesindeki şartlarla aktarırız. Verilerini satmayız.
| Alıcı | Konum | Aktarılan veri | Amaç |
|---|---|---|---|
| Amazon Web Services (veritabanı ve depolama) | Almanya (Frankfurt) | Hesap ve kullanım verilerinin tamamı (barındırma) | Veritabanını barındırmak |
| Cloudflare, Inc. | ABD (küresel ağ) | Web sitesi ve uygulama trafiği (IP adresi, ülke), yüklediğin dosyalar (R2 depolama), bluegrays.app bağlantı yönlendirmesi | İçerik dağıtımı, güvenlik, dosya depolama |
| Uygulama ve web sunucusu barındırma sağlayıcısı | API sunucusu: Amazon Web Services, Almanya (Frankfurt). Web sitesi ve yönetim paneli: Hosting Dünyam Bilişim Teknolojileri Tic. Ltd. Şti., Türkiye | Trafik ve hesap verileri | Hizmeti çalıştırmak |
| Google (Firebase Analytics, Crashlytics, Performance, Cloud Messaging; Google Analytics 4; Google Tag Manager; Google Ads; Google ile giriş; YouTube; Google Play) | ABD | Analitik ve hata verileri, bildirim adresi ve bildirim içeriği, Android reklam kimliği (rızanla), web analitik ve pazarlama çerez verileri (rızanla), Google ile giriş bilgileri, video oynattığında YouTube'un aldığı bağlantı verileri | Analitik, hata ayıklama, bildirim gönderme, reklam ölçümü, giriş, satın alma |
| Apple (Apple ile giriş, App Store, AdServices) | ABD, İrlanda | Giriş bilgileri, satın alma kayıtları, reklam atıf bilgisi | Giriş, satın alma, atıf |
| Meta Platforms (Meta SDK, Meta Pixel) | İrlanda, ABD | Uygulama olayları ve reklam kimliği (rızanla; iOS'ta izleme iznin varsa), web pazarlama çerez verileri (yalnız pazarlama çerezlerine izin verirsen) | Tanıtım reklamlarının ölçümü |
| RevenueCat, Inc. | ABD | Kullanıcı numarası, e-posta adresi, ad ve soyad, ülke, kayıt yöntemi ve tarihi, kullanıcı kaynağı ve anket cevabı, ödeme ekranını görüntüleme sayısı, Premium türü, uygulama dili, mağaza satın alma kayıtları | Abonelikleri yönetmek, satın almayı doğrulamak, gelir ve dönüşüm analizi |
| Twilio SendGrid | ABD | E-posta adresi, ad, e-posta içeriği | Doğrulama, şifre sıfırlama ve (onay verdiysen) tanıtım e-postaları göndermek |
| Slack Technologies | ABD | Yeni kayıt ve girişte ad, soyad, kullanıcı adı ve e-posta. Destek talebinin ilk bölümü. Şikâyet ve içerik bildirimlerinin metni. Kullanıcı projesi gönderimi. Eğitimci Paketi satın alımı (ad, soyad, kullanıcı adı, paket, tutar). Güvenlik ve hata uyarıları. | Ekibimizin talepleri, şikâyetleri ve olayları zamanında görmesi (iç bildirim) |
| DeepL SE | Almanya | Uygulamanın kendi metinleri (sözleşmeler, proje ve komponent metinleri, bildirim metinleri), yayımlanan kullanıcı projelerinin başlık ve açıklaması, Türkçe dışındaki dillerde yaptığın arama terimleri. Kimlik bilgin gönderilmez. | Otomatik çeviri |
| Eğitimci | Kodu veren eğitimcinin bulunduğu yer | Bir eğitimcinin kodunu kullandığında: adın, soyadın, kullanıcı adın, e-posta adresin ve profil fotoğrafın | Eğitimcinin dağıttığı kodları ve öğrencilerini yönetmesi |
| Diğer kullanıcılar ve herkes | Dünya geneli | Forum paylaşımların, kullanıcı adın ve profil fotoğrafın (uygulamadaki diğer üyeler adını ve soyadını da görebilir); ligde kullanıcı adın, seviyen ve XP'n (görünmeyi kapatabilirsin); yayımlanan projelerin | Topluluk özelliklerini sunmak |
| Yetkili kamu kurum ve kuruluşları, mahkemeler | Türkiye | Talep edilen veriler | Hukuki yükümlülükleri yerine getirmek |
| Avukat, mali müşavir gibi danışmanlar | Türkiye | Gerekli olan veriler | Hukuki ve mali işlerin yürütülmesi, hakların korunması |
5. Yurt dışına aktarım
Yukarıdaki hizmet sağlayıcıların bir kısmı verilerini Türkiye dışında (başta ABD, İrlanda ve Almanya) işler. Bu aktarımlar hizmetin düzenli bir parçası olduğu için Kanun'un 9. maddesine göre yapılır:
- Kişisel Verileri Koruma Kurulu'nun yeterlilik kararı varsa o karara,
- Yoksa Kurulun ilan ettiği standart sözleşmeye dayanılır. Standart sözleşmeler imzalandıktan sonra 5 iş günü içinde Kurula bildirilir.
İzin verdiğin reklam ölçümü ve çerez rızası, yurt dışına aktarımın dayanağı değildir. Bu rızalar yalnız o işlemenin kendisi içindir.
6. Ne kadar süre saklıyoruz?
| Veri | Süre |
|---|---|
| Hesap, profil, kullanım, öğrenme ve topluluk verileri | Hesabın açık olduğu sürece. Hesabını kalıcı olarak sildiğinde hemen silinir ya da anonimleştirilir. Bir içeriği kendin sildiğinde hemen silinir. |
| Dondurulmuş hesap | Tekrar giriş yapana ya da kalıcı silmeyi seçene kadar. |
| İşlem ve trafik kayıtları (IP, cihaz, sürüm, işlem türü ve zamanı) | En fazla 2 yıl, sonra otomatik silinir. Hesap silinse de bu süre boyunca kalır (5651 sayılı Kanun m.5/3'teki 1-2 yıllık aralık). |
| Silinmiş hesap kaydı | Silinme tarihinden itibaren 2 yıl, sonra otomatik silinir. |
| Moderasyon kayıtları (kaldırılan içerik, gerekçe, tarih) ve şikâyetler | 2 yıl. Hukuki bir uyuşmazlık varsa sonuçlanana kadar. |
| Satın alma ve abonelik kayıtları | Kişiyle doğrudan bağı koparılarak en az 3 yıl (Mesafeli Sözleşmeler Yönetmeliği m.20). Vergi mevzuatı gerektiriyorsa o süre. Hesabın silinince bu kayıtlardaki e-posta ve ad bilgisi temizlenir. |
| Destek talepleri ve içerik bildirimleri | Hesabın silinene kadar. Üye olmayanların bildirimleri sonuçlandıktan sonra 2 yıl. |
| Tanıtım onayı kayıtları | Onay geri alındıktan sonra 3 yıl (Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik m.13). |
| Uygulama analitiği (Firebase, Google Analytics) | Google Analytics veri saklama ayarındaki süre, en fazla 14 ay. Çökme raporları en fazla 90 gün. |
| Slack bildirimleri | En fazla 1 yıl, sonra otomatik silinir. |
| Web çerezleri | Çerez Politikası'ndaki süreler. Çerez tercihin 6 ay. |
| RevenueCat'teki abone kaydı | Hesabını sildiğinde RevenueCat'teki abone kaydın da silinir. |
Süresi dolan veriler silinir, yok edilir ya da anonim hâle getirilir.
7. Çocuklar
BlueGrays'te yaş sınırı yoktur ve öğrenciler de kullanır. Yaş bilgisi istemeyiz. Çocukların verilerini yalnız hizmet için gereken ölçüde işleriz. Çocukların verileriyle pazarlama amaçlı profil çıkarmayız. Forumda tam ad, okul, adres ve telefon gibi bilgilerin paylaşılmamasını öneririz.
Veliler ve yasal temsilciler, çocuklarının verileri hakkında bilgi isteyebilir, düzeltilmesini ya da silinmesini talep edebilir. Velayeti gösteren makul bir doğrulama isteyebiliriz.
8. Güvenlik
Verilerini korumak için şu önlemleri alırız:
- Şifreler geri çevrilemez biçimde saklanır (bcrypt).
- Bağlantılar TLS ile şifrelenir.
- Oturumlar imzalı ve sürümlü anahtarlarla yönetilir.
- Yönetici paneline erişim sınırlıdır. Başarısız yönetici girişleri ve yeni bir IP adresinden yapılan yönetici girişleri uyarı üretir. Yöneticinin kullanıcı verisini görüntülemesi kayıt altına alınır.
Bir veri ihlali olursa Kurula en geç 72 saat içinde bildirimde bulunur, etkilenen kişileri en kısa sürede bilgilendiririz (Kanun m.12/5).
9. Hakların (Kanun m.11)
Bize başvurarak şu haklarını kullanabilirsin:
- Kişisel verilerinin işlenip işlenmediğini öğrenme,
- İşlenmişse buna ilişkin bilgi isteme,
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde ya da yurt dışında aktarıldığı üçüncü kişileri bilme,
- Eksik ya da yanlış işlenmişse düzeltilmesini isteme,
- Kanun'un 7. maddesindeki şartlarla silinmesini ya da yok edilmesini isteme,
- Düzeltme, silme ve yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme,
- Kanuna aykırı işleme nedeniyle zarara uğrarsan zararının giderilmesini isteme.
Ayrıca uygulamada kendin yapabileceklerin:
- Profil bilgilerini düzenlemek,
- Ligde görünmeyi ve soru hatırlatmalarını kapatmak,
- Tanıtım onayını ve reklam ölçümü rızasını geri almak,
- Web'de "Çerez tercihleri"ni değiştirmek,
- Hesabını dondurmak ya da kalıcı olarak silmek (Profil > Güvenlik > Hesap Sil).
10. Nasıl başvurabilirsin?
Başvurunu Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak şu yollarla iletebilirsin:
- BlueGrays'te kayıtlı e-posta adresinden [email protected] adresine e-postayla. Konuya "KVKK Başvurusu" yaz.
- Güvenli elektronik imzalı ya da mobil imzalı olarak [email protected] adresine.
- Islak imzalı dilekçeyle, yukarıdaki posta adresine elden ya da noter aracılığıyla.
- Uygulamada Profil > Destek bölümünden. Talep türü olarak "KVKK başvurusu"nu seç.
Başvurunda şunlar bulunmalı: adın ve soyadın, yazılı başvuruda imzan, T.C. kimlik numaran (yabancıysan uyruğun ve pasaport ya da kimlik numaran), tebligata esas adresin ya da e-posta adresin ve talebin. BlueGrays'te kayıtlı e-posta adresinden yazarsan kimliğini doğrulamamız kolaylaşır. Başka bir kanaldan yazarsan kimliğini doğrulamak için ek bilgi isteyebiliriz. Çocuğu adına başvuran veliden velayeti gösteren bilgi isteyebiliriz.
Başvurunu en geç 30 gün içinde ücretsiz sonuçlandırırız. İşlem ayrıca bir maliyet gerektirirse Kurulun belirlediği tarifeye göre ücret alınabilir (Kanun m.13). Başvurun reddedilirse, cevabı yetersiz bulursan ya da süresinde cevap verilmezse, cevabı öğrendiğin tarihten itibaren 30 gün içinde ve her durumda başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin (Kanun m.14).
11. Değişiklikler
Bu metni, veri işleme faaliyetlerimiz ya da mevzuat değiştikçe güncelleriz. Yeni bir amaçla veri işlemeye başlamadan önce seni ayrıca bilgilendiririz. Güncel metin her zaman uygulamada Profil > Tercihler > Sözleşmeler bölümünde ve bluegrays.com/tr/sozlesmeler/kvkk adresinde bulunur.