Kişisel Verilerin Korunması (KVKK) Aydınlatma Metni

Çınar Teknoloji bünyesinde geliştirilen ve işletilen SYC Bireysel (bundan böyle "Şirket", "Uygulama" veya "Biz" olarak anılacaktır; alan adları: cinartekno.com ve sycaimore.com) olarak, kişisel verilerinizin Türkiye Cumhuriyeti Anayasası'na, 6698 sayılı Kişisel Verilerin Korunması Kanunu'na ("KVKK", 2024 yılı Madde 9 değişiklikleri dahil), uluslararası veri koruma standartlarına ve ilgili mevzuata uygun olarak işlenmesine, gizliliğinin sağlanmasına ve korunmasına azami önem göstermekteyiz.

İşbu Aydınlatma Metni, 6698 sayılı KVKK'nın 10. maddesi ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca, veri sorumlusu sıfatıyla Çınar Teknoloji tarafından, SYC Bireysel mobil uygulaması (iOS ve Android) ile cinartekno.com web platformunu kullanan tüm gerçek kişileri ("Kullanıcı" veya "İlgili Kişi") aydınlatmak amacıyla hazırlanmıştır.

1. Veri Sorumlusunun Kimliği ve VERBİS Durumu

Veri Sorumlusu: Çınar Teknoloji / SYC Bireysel
Web Siteleri: cinartekno.com | sycaimore.com
İletişim & Başvuru E-Posta: emre@sycaimore.com
VERBİS Açıklaması: Şirketimiz, KVKK Kurulu kararları doğrultusunda yıllık çalışan sayısı ve bilanço eşikleri kapsamında Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) kayıt zorunluluğundan muaf olmakla birlikte, iç kişisel veri işleme envanterimiz ve teknik/idari güvenlik tedbirlerimiz KVKK ilkelerine %100 uyumlu olarak titizlikle işletilmektedir.

2. İşlenen Kişisel Veriler ve %100 Cihaz İçi (On-Device) vs. Bulut Ayrımı

SYC Bireysel mimarisi "Privacy by Design" (Tasarımda Gizlilik) ve "Zero-Knowledge" (Sıfır Bilgi) ilkeleri üzerine inşa edilmiştir. Veri işleme süreçlerimiz iki temel kategoriye ayrılır:

A. %100 Cihaz İçi Saklanan (Sunucuya Asla Gönderilmeyen) Hassas Veriler:

• Şifre Kasası (passwords): Kullanıcının kaydettiği hesap parolaları, web kimlik bilgileri ve özel notlar, cihazın yerel hafızasında istemci taraflı AES-256 şifreleme algoritması ile saklanır. Bu veriler hiçbir koşulda sunucuya veya buluta aktarılmaz; Çınar Teknoloji mühendisleri veya harici sistemler tarafından okunamaz.
• Dijital Arşiv (digital_archive): Tapu, araç ruhsatı, sözleşmeler, makbuz veya poliçe görsel/PDF belgeleri %100 oranında yalnızca cihazın kapalı yerel dosya sisteminde tutulur. Bulut sunucularına aktarılmaz.
• Kredi Kartı Numaraları & Güvenlik Kodları: Kredi kartlarının tam numaraları, son kullanma tarihleri ve CVV kodları sunuculara asla iletilmez ve kaydedilmez.
• Biyometrik Veriler: Face ID, Touch ID veya Android Parmak İzi doğrulamaları doğrudan işletim sisteminin güvenli donanım katmanı (Apple Secure Enclave veya Android Keystore) üzerinde çalışır. SYC Bireysel uygulaması biyometrik verileri hiçbir surette okuyamaz, depolayamaz veya dışarı aktaramaz.
• İki Aşamalı Doğrulama (2FA) Anahtarları: RFC 6238 standardındaki TOTP tohumları ve yerel güvenlik anahtarları cihazda güvenli depolama (FlutterSecureStorage) içinde muhafaza edilir.

B. Kullanıcı Türetimli Finansal & Bütçe Verileri:

• Kullanıcı Beyanına Dayalı Finansal Veriler: Gelir-gider kayıtları, bütçe limitleri, tasarruf hedefleri, borç ve kredi geri ödeme planları, abonelik taahhütleri, altın/döviz/varlık portföy dağılımları, aile/ortak harcama paylaşımları, 50/30/20 bütçe analizleri, Günlük Güvenli Harcama (Safe-to-Spend), Finansal Güvence Pisti (Emergency Runway) ve Alın Teri mesai maliyeti hesaplamaları.
• Açık Bankacılık Olmadığına Dair Açık Beyan: SYC Bireysel hiçbir banka veya finansal kuruluşa doğrudan API, Açık Bankacılık (Open Banking) veya hesap entegrasyonuyla bağlanmaz; hiçbir banka hesabından otomatik veri veya işlem çekmez. Uygulamadaki tüm finansal kayıtlar bizzat kullanıcının girdiği veya yüklediği kullanıcı türetimli verilerdir.
• İşlem Güvenliği ve Cihaz Verileri: IP adresi, cihaz modeli, işletim sistemi versiyonu, oturum logları ve zaman damgaları (5651 sayılı Kanun yükümlülükleri kapsamında).

3. Ücretsiz (Free) vs. Premium Mimari ve Geçici RAM (Transient) İşleme

• Ücretsiz (Free) Katman: Tüm finansal kayıtlar sadece kullanıcının kendi mobil cihazında (Hive şifreli yerel veritabanı + FlutterSecureStorage) tutulur. Cihaz dışındaki herhangi bir veritabanına kaydedilmez.
• Geçici RAM Üzerinde İşleme (transient: true): Ücretsiz kullanıcılar AI ekstre veya fiş okuma özelliğini kullandığında, yüklenen belge sunucuda hiçbir veritabanına veya kalıcı diske kaydedilmez; yalnızca anlık bellek (RAM) üzerinde geçici olarak işlenir (transient: true) ve analiz sonucu kullanıcı cihazına iletildikten hemen sonra bellekten tamamen imha edilir.
• Premium Katman ve PostgreSQL Senkronizasyonu: Premium abonelik satın alan kullanıcıların verileri, çoklu cihaz eşitlemesi için istemci tarafında AES-256-CBC zarf şifreleme (envelope encryption) ile şifrelenerek Çınar Teknoloji'nin kendi barındırdığı PostgreSQL bulut veritabanına (panel.cinarteknoloji.com / syc_api) TLS 1.3 şifreli tüneller üzerinden senkronize edilir. Google Firebase veritabanı altyapısı yerine kendi kontrolümüzdeki self-hosted PostgreSQL altyapısı kullanılmaktadır.

4. Yapay Zeka (AI) Doküman İşleme ve Otomatik Hassas Veri Maskeleme (PII Masking)

Uygulamamız ekstre analizi, fiş okuma ve davranışsal finans koçluğu amacıyla yapay zeka teknolojilerinden faydalanmaktadır:

• Cihaz İçi Fiş Taraması (Google ML Kit OCR): Kameradan çekilen fiş görüntüleri öncelikle cihaz üzerinde Google ML Kit OCR motoru ile taranır.
• Banka Ekstresi Analizi (Google Gemini API): Kullanıcının yüklediği banka ekstresi (PDF, Excel, CSV, Görsel) harcama kalemlerinin tespiti amacıyla Google Gemini API altyapısına aktarılır.
• Otomasyonlu Hassas Veri Maskeleme Kalkanı (PII Masking Shield): Banka ekstresi metinleri yapay zeka motoruna iletilmeden önce otomatik filtreleme algoritmalarımız devreye girer:
  • 11 haneli T.C. Kimlik Numaraları tespit edilerek [TCKN_MASKED] ile değiştirilir,
  • 16 haneli Kredi ve Banka Kartı Numaraları tespit edilerek [CARD_MASKED] ile değiştirilir,
  • Türkiye IBAN Numaraları (TR ile başlayan 26 karakter) tespit edilerek [IBAN_MASKED] ile değiştirilir.
  Böylelikle hiçbir açık kimlik numarası, kart numarası veya IBAN yapay zeka sağlayıcısına aktarılmaz.
• Açık Rıza Şartı: Ekstrelerin yurt dışı Google Gemini altyapısına aktarımı için kullanıcıdan ayrı, önceden seçilmemiş (unbundled & unticked) bağımsız bir Açık Rıza alınır; açık rıza verilmediğinde işlem fail-closed olarak engellenir.
• Davranışsal Finans Koçu: Yerel Ollama LLM ve algoritmik bütçe kuralları üzerinden çalışarak kullanıcıya kişiselleştirilmiş finansal disiplin içgörüleri sunar.

5. Abonelik, Ödeme ve Reklam Altyapısı

• Abonelik ve Ödeme Yönetimi: Uygulama içi satın alımlar ve abonelikler Apple App Store (In-App Purchase), Google Play Store (Google Play Billing) ve RevenueCat (purchases_flutter) SDK aracılığıyla doğrulanır. Kart bilgileri ödeme kuruluşları nezdinde işlenir; Çınar Teknoloji finansal ödeme araçlarınıza asla erişemez ve depolamaz.
• Mobil Reklamlar (Google AdMob): Ücretsiz sürümde Google AdMob (google_mobile_ads) reklamları sunulabilir. iOS kullanıcıları için Apple App Tracking Transparency (ATT) çerçevesinde kullanıcı izni olmadan izleme yapılmaz.

6. Yatırım Tavsiyesi Olmadığı Beyanı (SPK & BDDK Yasal Uyarısı)

YASAL UYARI (6362 Sayılı Sermaye Piyasası Kanunu): SYC Bireysel uygulamasında ve web panelinde yer alan Yatırım Kasası canlı kur değerlemeleri (TCMB verileri), Enflasyon Kalkanı, 50/30/20 bütçe check-up analizleri, Borç Eritme (Çığ / Kartopu) simülasyonları, AI Finans Koçu içgörüleri ve finansal iş ortağı bilgilendirme kartları 6362 sayılı Sermaye Piyasası Kanunu ve BDDK mevzuatı kapsamında kesinlikle "Yatırım Danışmanlığı" veya finansal tavsiye niteliği taşımamaktadır. Uygulama, tamamen kullanıcının bizzat girdiği verilere dayalı olarak çalışan matematiksel, algoritmik ve istatistiki bir bütçe planlama ve portföy izleme aracıdır.

7. Kişisel Veri Toplamanın Hukuki Sebepleri

Kişisel verileriniz KVKK'nın 5. ve 6. maddeleri ile 2024 yılı Madde 9 değişiklikleri çerçevesinde:

• KVKK Madde 5/2 (c): Kullanıcı Sözleşmesi ve EULA koşullarının kurulması ve ifası,
• KVKK Madde 5/2 (ç): Veri sorumlusunun yasal yükümlülüklerinin yerine getirilmesi (5651 sayılı Kanun log kayıtları vb.),
• KVKK Madde 5/2 (f): İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaatlerimiz (uygulama siber güvenliği, hata giderme),
• KVKK Madde 5/1 ve Madde 9/1: Yurt dışı Google Gemini AI ekstre işleme ve bulut yedekleme hizmetleri için verilen açık ve özgür iradeli Açık Rıza.

8. Hesap Silme, Abonelik İptali ve 13 Tablolu Veri İmha Kapsamı (Right to Erasure)

Kullanıcı dilediği an uygulama içinden hesabını silebilir veya aboneliğini iptal edebilir. Hesap silme talebi gerçekleştiğinde veya abonelik iptal edildiğinde, Çınar Teknoloji PostgreSQL veritabanında yer alan 13 tablonun tamamındaki kullanıcı verileri kalıcı olarak ve geri döndürülemez biçimde silinir:

Yalnızca 5651 sayılı Kanun gereği tutulması kanunen zorunlu olan sistem erişim logları yasal saklama süreleri boyunca güvenli arşivde saklanır.

9. KVKK Madde 11 Kapsamındaki Haklarınız ve Başvuru Usulü

KVKK'nın 11. maddesi uyarınca herkes veri sorumlusuna başvurarak kendisiyle ilgili;

• Kişisel veri işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• KVKK 7. maddesi uyarınca verilerin silinmesini veya yok edilmesini isteme (13-tablo imha hakkı),
• Düzeltme, silme ve yok edilme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhe bir sonucun ortaya çıkmasına itiraz etme,
• Kanuna aykırı işleme sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

Yukarıda belirtilen haklarınıza ilişkin başvurularınızı, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak resmi iletişim e-posta adresimiz olan emre@sycaimore.com üzerinden iletebilirsiniz. Başvurularınız en geç 30 gün içerisinde ücretsiz olarak sonuçlandırılacaktır.