Gizlilik Politikası ve KVKK Aydınlatma Metni

1. Veri sorumlusu

FolderPls'in (folderpls.com) veri sorumlusu Türkiye'de yerleşik bireysel geliştirici Zeynep Aslı Erhan'dır. Bu politikayla ilgili her konuda zeynepaslierhan@gmail.com adresinden bize ulaşabilirsiniz.

2. İşlediğimiz veriler

2.1 Hesabınız

Google ile giriş yaptığınızda Firebase Authentication aracılığıyla Google hesap kimliğinizi, e-posta adresinizi, görünen adınızı ve profil fotoğrafı bağlantınızı alırız. Google'ın giriş yanıtı, hesabın bir Google Workspace kuruluşuna ait olup olmadığını ("hosted domain" değeri) bildirir; bunu yalnız doğru planı göstermek için kullanırız. Giriş yanıtı bunu bildirmezse e-posta alan adına bakarız: gmail.com ve googlemail.com adresleri kişisel hesap, diğer alan adları Workspace sayılır. Hesabın oluşturulma ve son giriş zamanını kaydederiz.

Hesabınızı oluşturduğunuzda ayrıca, bir kez, nasıl geldiğinizi de kaydederiz: tıkladığınız bağlantıdaki kampanya adı (yalnız sabit bir kanal adı listesindeyse, ör. reddit; başka her şey "diğer", bağlantı yoksa "yok" olarak saklanır) ve isteğin IP adresinden bulunan iki harfli ülke kodu. IP adresinin kendisi saklanmaz. Bu bilgi, hangi kanalların kayıt getirdiğini anlayabilmemiz için hesap kaydınızda durur; veri dışa aktarmanıza dahildir ve hesabınızla birlikte silinir.

2.2 Google Drive verileri

FolderPls yalnız drive.file yetkisini ister. Bu yetkiyle FolderPls yalnız Google Picker'da açıkça seçtiğiniz ya da FolderPls üzerinden oluşturduğunuz/yüklediğiniz dosya ve klasörleri görebilir; Drive'ınızın geri kalanını göremez.

• Sakladıklarımız (etiketlediğiniz veya not eklediğiniz dosyalar için): Drive dosya/klasör kimliği, dosya adı, öğe türü, MIME türü ve üst klasör kimliği; ayrıca eklediğiniz etiketler, etiket bitiş tarihleri, özel özellikler, notlar ve dosya ilişkileri.
• Gösterdiğimiz ama saklamadıklarımız: dosya listeleri, küçük resimler, önizlemeler ve dosya içerikleri tarayıcınız tarafından kısa ömürlü bir erişim anahtarıyla doğrudan Google Drive'dan yüklenir; FolderPls sunucularından geçmez, orada saklanmaz.
• Drive'daki değişiklikler yalnız siz istediğinizde olur: FolderPls üzerinden yeniden adlandırma, taşıma, yükleme, klasör oluşturma veya silme yaparsanız bu işlem sizin adınıza tarayıcınızdan Google Drive'a gönderilir.

2.3 Google erişim anahtarları

• Kısa ömürlü (yaklaşık bir saatlik) Google erişim anahtarı yalnız o sekme için tarayıcınızın sessionStorage alanında tutulur ve çıkış yaptığınızda silinir.
• Uzun süreli Drive erişimi etkinse Google bize bir yenileme anahtarı (refresh token) verir. Bu anahtar sunucu tarafında, sizin tarayıcınız dahil hiçbir tarayıcının okuyamadığı bir veritabanı alanında saklanır; yalnız sizin için yeni erişim anahtarı almakta kullanılır ve Drive bağlantısını kaldırdığınızda veya hesabınızı sildiğinizde Google nezdinde iptal edilir.
• Ayrıca son erişim anahtarının kendisini değil, tek yönlü SHA-256 özetini ve zaman damgasını saklarız.

2.4 Ürün kullanımı ve destek

• Hesabınızla ilişkili kaydettiğimiz ürün olayları: Drive klasörü bağlandı (dosya sayısıyla), ilk etiket uygulandı, otomatik etiketleme tamamlandı, koleksiyon kaydedildi, 7 gün sonra geri dönüldü, yükseltme görüntülendi/tamamlandı. Bunlar kendi veritabanımızda tutulur; üçüncü taraf analitik veya reklam izleyicisi kullanmayız.
• Plan limitlerini uygulamak için aylık otomatik etiketlenen dosya sayacı.
• Uygulamadan bize gönderdiğiniz geri bildirim mesajları.

2.5 Ödemeler

Ücretli plan satın alırsanız ödeme ve faturalandırma, satıcı kaydı (merchant of record) olan Lemon Squeezy tarafından yürütülür. Lemon Squeezy e-posta adresinizle bir müşteri kaydı oluşturur; biz Lemon Squeezy müşteri ve abonelik kimliklerini, planınızı, koltuk sayınızı (Team) ve plan durumunuzu saklarız. Kart bilgileri Lemon Squeezy'nin sayfalarında girilir, FolderPls'e hiç ulaşmaz. 14 günlük deneme kredi kartı istemez — yalnız denemenin başlangıç/bitiş tarihini kaydederiz.

2.6 Teknik kayıtlar

Barındırma sağlayıcımız hizmeti işletmek ve güvenliğini sağlamak için standart istek kayıtları (IP adresi, tarayıcı bilgisi, istenen adres ve zaman gibi) tutar. Uygulama kayıtlarımızda anahtarlar ve kişisel tanımlayıcılar maskelenir.

Uygulama ya da sunucularımızdan biri hata verdiğinde, maskelenmiş bir teknik hata raporu hata izleme sağlayıcımız Sentry'ye de gönderilir (bölüm 5). Rapor hesap kimliğinizi ya da e-posta adresinizi içermez.

2.7 Herkese açık sayfalarda sayfa yükleme sayımı

Herkese açık sayfalarımızın kaç kez yüklendiğini sayarız; kayıt ya da giriş sayfasının sitemizin başka bir sayfasından açılması da buna dahildir. Her gün için yönlendiren site ya da kampanya adı (ör. reddit), ziyaretçinin ülkesi, cihaz türü (masaüstü, mobil ya da uygulama içi tarayıcı) ve sayfa grubu başına bir toplamı bir artırırız. Bunun için çerez ya da başka bir tanımlayıcı kullanmayız, IP adresi ya da kullanıcı aracısı saklamayız ve hangi yüklemelerin aynı kişiden geldiğini ayırt edemeyiz. Ülke, IP adresinden barındırma sağlayıcımız tarafından bulunur ve bizde saklanmaz. Bunlar anonim toplamlardır, kişisel veri değildir. Ziyaretlerinizin sayılmasını istemiyorsanız tarayıcınızda Global Privacy Control ya da Do Not Track ayarını açın: sayfalarımız o zaman hiçbir şey göndermez.

3. İşleme amaçları ve hukuki sebepler

• FolderPls hizmetini sunmak — giriş, etiketleme, arama ve filtreler, istediğiniz Drive işlemleri, istediğiniz otomatik etiket önerileri (sözleşmenin kurulması ve ifası; KVKK md. 5/2-c, GDPR md. 6/1-b).
• Ücretli planları faturalandırmak ve plan limitlerini uygulamak (sözleşmenin ifası; fatura kayıtları için hukuki yükümlülük — KVKK md. 5/2-ç, GDPR md. 6/1-c).
• Hizmetin güvenliğini sağlamak, kötüye kullanımı önlemek ve hataları gidermek (meşru menfaat — KVKK md. 5/2-f, GDPR md. 6/1-f).
• Hangi özelliklerin kullanıldığını ve ziyaretçilerin hangi kanallardan geldiğini anlayıp geliştirmek için yukarıda sayılan birinci taraf ürün olaylarını ve anonim sayfa yükleme sayımlarını kullanmak (meşru menfaat).

Kişisel verileri satmayız; reklam veya profilleme amacıyla kullanmayız.

4. Google API Hizmetleri: Sınırlı Kullanım (Limited Use)

FolderPls's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), including the Limited Use requirements.

Türkçesi: FolderPls'in Google API'lerinden aldığı bilgileri kullanması ve başka bir uygulamaya aktarması, Sınırlı Kullanım (Limited Use) gereklilikleri dahil olmak üzere Google API Hizmetleri Kullanıcı Verileri Politikası'na uygun olacaktır. Bu şu anlama gelir:

• Google kullanıcı verilerini yalnız kullandığınız FolderPls özelliklerini sunmak ve geliştirmek için kullanırız.
• Google kullanıcı verilerini; bu özellikleri sunmak için gerekli olanlar (ör. 5. bölümdeki hizmet sağlayıcılar), yürürlükteki mevzuata uyum veya önceden onayınızla birleşme/devralma dışında kimseye aktarmayız.
• Google kullanıcı verilerini yeniden hedefleme, kişiselleştirilmiş veya ilgi alanına dayalı reklamlar dahil hiçbir reklam amacıyla kullanmaz, aktarmaz ve satmayız.
• FolderPls'te hiçbir kişi Google kullanıcı verilerinizi okumaz; yalnız belirli öğeler için açık izninizle (ör. destek talebinde), kötüye kullanım incelemesi gibi güvenlik gerekçesiyle, yasal zorunlulukla ya da iç operasyonlar için toplulaştırılıp anonimleştirilmiş veriyle sınırlı istisnalar vardır.
• Google Workspace API verilerini (Google Drive verileri dahil) genel amaçlı veya kişiselleştirilmemiş yapay zekâ ve/veya makine öğrenmesi modellerini geliştirmek, iyileştirmek ya da eğitmek için kullanmayız.

5. Hizmet sağlayıcılar ve yurt dışına aktarım

FolderPls'i çalıştırmak için aşağıdaki sağlayıcıları kullanırız. Her biri verileri yalnız bizim talimatımızla ve belirtilen amaçla işler:

• Google (Firebase Authentication, Cloud Firestore, Google Drive API, Google Picker) — giriş ve veritabanı. Firestore veritabanı Avrupa Birliği'nde (eur3 çoklu bölge) bulunur.
• Vercel Inc. — web sitesi barındırma ve sunucu fonksiyonları (fonksiyonlar AB'de Frankfurt'ta çalışır; şirket ABD merkezlidir).
• Lemon Squeezy — ödemeler (satıcı kaydı); yalnız ücretli plan satın alırsanız.
• Sentry (Functional Software, Inc., ABD; raporlar Sentry'nin AB bölgesinde, Frankfurt'ta saklanır) — hata izleme. Uygulamada ya da sunucularımızda bir şey bozulduğunda teknik bir rapor gönderilir: hata iletisi ve yığın izi, sorgu dizesi ve fragment olmadan sayfa yolu, tarayıcı ve cihaz türü, dil ayarı, son tıklama ve gezinti olayları. Göndermeden önce çerezleri, istek gövdelerini, erişim anahtarlarını, e-posta adreslerini ve tıklama izlerinde görünen dosya adlarını çıkarırız; hesap kimliğinizi eklemeyiz. Rapor ulaştığında Sentry sunucuları IP adresinizi görür; saklanmasını kapattık, ancak Sentry bundan yaklaşık bir ülke ve şehir çıkarabilir.
• Anthropic PBC — bir dil modeliyle üretilen etiket önerileri; yalnız otomatik etiketlemeyi siz başlatırsanız ve özellik etkinse. Etiketlenmesini istediğiniz dosyaların adlarını, türlerini ve üst klasör adlarını göndeririz — dosya içeriğini asla. Anthropic'in ticari API koşulları bu verilerin model eğitiminde kullanılmasına izin vermez.

Bu sağlayıcıların bir kısmı Türkiye ve Avrupa Ekonomik Alanı dışında, ağırlıklı olarak ABD'de yerleşiktir. Kişisel verilerin yurt dışına aktarıldığı durumlarda KVKK md. 9 ve GDPR V. bölüm uyarınca bu sağlayıcıların sunduğu güvencelere (standart sözleşme hükümleri gibi) dayanırız.

6. Saklama süreleri

• Hesap verileri, etiketler, notlar, özellikler, ürün olayları ve geri bildirimler: hesabınızı silene kadar.
• Drive yenileme anahtarı: Drive bağlantısını kaldırana, hesabınızı silene veya Google hesabınızdan FolderPls erişimini iptal edene kadar.
• Lemon Squeezy'deki faturalandırma kayıtları: vergi ve muhasebe mevzuatının gerektirdiği süre boyunca.
• Barındırma istek kayıtları: barındırma sağlayıcısının saklama ayarlarına göre sınırlı bir süre.
• Sentry'deki hata raporları: Sentry'nin saklama ayarlarına göre sınırlı bir süre.

7. Dışa aktarma, bağlantıyı kaldırma ve silme — uygulama içinde

Dashboard'u açın, kenar çubuğundaki ayarlar (dişli) simgesine tıklayın:

• Verilerimi dışa aktar — profilinizi ve tüm dosya metadata'nızı JSON olarak indirir (anahtarlar ve ödeme kimlikleri hariç).
• Google Drive bağlantısını kaldır — Drive erişimimizi Google nezdinde iptal eder ve anahtarın bizdeki kopyasını siler; etiketleriniz kalır.
• Hesabı sil — Drive erişimini iptal eder; varsa aktif Lemon Squeezy aboneliğinizi de iptal ederek tekrar ücretlendirilmenizi önler, ardından hesabınızı, etiketlerinizi, notlarınızı, ürün olaylarınızı ve geri bildirimlerinizi kalıcı olarak siler. Google Drive'ınızdaki dosyalara asla dokunulmaz.

FolderPls erişimini dilediğiniz zaman Google hesabınızdan da kaldırabilirsiniz: https://myaccount.google.com/permissions

8. Haklarınız (KVKK md. 11 ve GDPR)

KVKK md. 11 ve uygulandığı ölçüde GDPR uyarınca; kişisel verilerinizin işlenip işlenmediğini öğrenme ve buna ilişkin bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etme, kanuna aykırı işleme sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme; GDPR kapsamında ayrıca veri taşınabilirliği ve işlemenin kısıtlanması haklarına sahipsiniz.

Bu hakların çoğunu doğrudan uygulama içinden kullanabilirsiniz (7. bölüm). Diğer talepler için zeynepaslierhan@gmail.com adresine yazın; en geç 30 gün içinde yanıtlarız. Kişisel Verileri Koruma Kurulu'na veya AB'de bulunuyorsanız yerel veri koruma otoritenize şikâyette bulunma hakkınız saklıdır.

9. Çerezler ve tarayıcı depolaması

FolderPls reklam veya siteler arası izleme çerezi kullanmaz. Yalnız hizmet için zorunlu depolama kullanılır: Firebase Authentication oturumunuzu tarayıcıda (IndexedDB) tutar, geçerli Drive erişim anahtarı sessionStorage'da, dil, tema ve tanıtım tercihleriniz localStorage'da tutulur. Bu depolama zorunlu olduğundan çerez onay bandı gösterilmez.

10. Güvenlik

• Tüm trafik HTTPS (HSTS) ile şifrelenir; veriler Google Cloud tarafından depolamada şifrelenir.
• Veritabanı güvenlik kuralları her kullanıcıyı yalnız kendi verisiyle sınırlar; faturalama alanları ve Drive yenileme anahtarları yalnız sunucumuz tarafından yazılıp okunabilir.
• Her API isteği doğrulanmış bir Firebase kimlik anahtarıyla yetkilendirilir.

Hiçbir sistem kusursuz değildir. Verilerinizi etkileyen bir ihlalden haberdar olursak mevzuatın gerektirdiği şekilde sizi ve yetkili makamları bilgilendiririz.

11. Çocuklar

FolderPls çocuklara yönelik değildir. Kullanmak için en az 16 yaşında (ülkenizdeki dijital rıza yaşı daha yüksekse o yaşta) olmalısınız. Bir çocuğun bize kişisel veri verdiğini düşünüyorsanız zeynepaslierhan@gmail.com adresine yazın, veriyi sileriz.

12. ABD'de yaşayanlar için bilgi (Kaliforniya ve diğer eyaletler)

FolderPls Türkiye'de yaşayan bireysel bir geliştirici tarafından işletilir ve belirli bir ABD eyaletine yönelik değildir. Bu bölüm gönüllü bir bilgilendirmedir: Kaliforniya Tüketici Gizliliği Yasası (CCPA) gibi ABD gizlilik yasalarının kullandığı terimlerle neleri topladığımızı ve neler yapabileceğinizi anlatır. Politikanın geri kalanını değiştirmez.

• Topladıklarımız: kimlik bilgileri (Google hesap kimliği, ad, e-posta adresi, profil fotoğrafı adresi); ticari bilgiler (plan, abonelik ve deneme durumu — kart bilgileri Lemon Squeezy'nin sayfalarında girilir, bize ulaşmaz); internet ve uygulama etkinliği (ürün olayları, istek günlükleri, hata raporları, anonim sayfa yükleme sayımları); kayıt anında bir kez kaydedilen, iki harfli kodla ülkeniz; ve sizin eklediğiniz içerik (etiketler, notlar, dosya adları ve Drive dosya kimlikleri). Ayrıntılar bölüm 2'de.
• Nereden geldiği: sizden, giriş yaptığınızda Google'dan ve ücretli plan alırsanız Lemon Squeezy'den.
• Neden ve kimlerin aldığı: yalnız FolderPls'i işletmek için (bölüm 3). Yalnız bölüm 5'te sayılan, bizim talimatımızla çalışan hizmet sağlayıcılarla paylaşılır.
• Kişisel bilgileri satmayız ve çapraz bağlamlı davranışsal reklam için paylaşmayız. FolderPls'te reklam ya da siteler arası izleyici yoktur.
• Ne kadar süre saklandığı: bölüm 6.

Seçenekleriniz: sizinle ilgili neyi tuttuğumuzu sorabilir, bir kopyasını alabilir, düzeltilmesini ve silinmesini isteyebilirsiniz. Dışa aktarma ve silme doğrudan uygulamada çalışır (bölüm 7); başka her şey için zeynepaslierhan@gmail.com adresine yazın, 30 gün içinde yanıtlarız. Talebin hesabın e-posta adresinden geldiğini doğrulamanızı isteyebiliriz. Bu hakları kullandığınız için size farklı davranmayız.

13. Bu politikadaki değişiklikler

Veri işleme biçimimizi değiştirirsek bu sayfayı ve üstteki tarihi güncelleriz. Yeni bir veri kategorisi veya yeni bir hizmet sağlayıcı gibi önemli değişiklikleri, yürürlüğe girmeden önce uygulama içinde veya e-postayla bildiririz.

14. İletişim

Gizlilikle ilgili soru ve talepleriniz için: zeynepaslierhan@gmail.com