Gizlilik Politikası

Garajiz (“biz”, “uygulama”), aşağıda açıklanan kişisel verileri 6698 sayılı KVKK ve ilgili mevzuata uygun olarak işler. İletişim: kvkk@garajiz.com.

• Hesap bilgileri: Google veya Apple ile giriş yaptığınızda adınız ve e-posta adresiniz; e-posta ile kayıt olduğunuzda e-posta adresiniz. Apple ile girişte “E-postamı Gizle” seçeneğini kullanırsanız yalnızca Apple'ın size özel yönlendirme adresini alırız. Apple ile girişte Apple'dan ad ve e-posta dışında veri almayız.
• İşletme bilgileri: Servis/garaj hesabı oluştururken girdiğiniz işletme adı, şehir ve işletme telefonu.
• Ödeme ve abonelik: Uygulama içinden (App Store) alınan abonelikler Apple tarafından işlenir; kart bilgilerinizi görmeyiz, yalnızca abonelik durumu ve işlem kimliğini saklarız. Web üzerinden alınan abonelikler satıcı-kayıt (Merchant of Record) olarak Dodo Payments tarafından işlenir.
• Araç bilgileri: Eklediğiniz plaka, marka/model, muayene ve sigorta tarihleri gibi bilgiler.
• Randevu bilgileri: Seçtiğiniz garaj, hizmet, tarih ve notlar.
• İletişim: Sağladığınız telefon numarası (opsiyonel).
• Konum bilgisi: Yalnızca izin verdiğinizde, size en yakın oto servislerini gösterebilmek için cihazınızın konumu kullanılır. Konumunuz sunucularımızda saklanmaz; yalnızca o an yakındaki servisleri listelemek için işlenir. İzni cihaz ayarlarından dilediğiniz an kaldırabilirsiniz.
• Teknik: Oturum çerezi ve temel günlük (log) kayıtları.

Google ile giriş sırasında, izin vermeniz hâlinde Google Takvim (calendar.events) erişimi talep ederiz. Bu erişimi yalnızca şu amaçlarla kullanırız:

• Aldığınız servis randevusu için kendi Google Takviminize hatırlatma etkinliği oluşturmak;
• Randevuyu iptal ettiğinizde ilgili etkinliği silmek;
• Girdiğiniz muayene/sigorta tarihleri için yıllık hatırlatma etkinliği oluşturmak/güncellemek.

Takviminizdeki diğer etkinlikleri okumayız, kopyalamayız veya analiz etmeyiz. Bu erişimi reklam amacıyla kullanmaz, hiçbir üçüncü tarafa satmayız veya devretmeyiz. Google hesabınızın İzinler sayfasından bu erişimi dilediğiniz an iptal edebilirsiniz.

Bir işletme/garaj hesabı oluşturduğunuzda, izin vermeniz hâlinde Google Drive (drive.file) erişimi talep ederiz. Bu erişimi yalnızca şu amaçlarla kullanırız:

• İşletmeniz için kendi Google Drive'ınızda yalnızca uygulamanın oluşturduğu bir klasör (“Garajiz — {işletme adınız}”) oluşturmak;
• Yüklediğiniz araç ve iş emri fotoğraflarını bu klasöre yüklemek ve uygulamada göstermek üzere bağlantılarını saklamak.

drive.file kapsamı gereği, Drive'ınızdaki yalnızca bu uygulama aracılığıyla oluşturulan dosyalara erişiriz. Daha önce var olan diğer dosya ve klasörlerinizi okuyamaz, göremez veya değiştiremeyiz.

Müşteri Portalı — Ruhsat OCR: Araç ruhsatınızı taramak istediğinizde, izin vermeniz hâlinde drive.file kapsamıyla Drive'ınızda geçici bir Google Dokümanı oluşturulur, araç bilgileri (plaka, marka/model) okunur ve dosya işlem tamamlanır tamamlanmaz silinir. Bu geçici dosya dışında Drive'ınızdaki hiçbir dosyaya erişilmez.

• Aktarım şifrelemesi: Tüm veri aktarımları TLS 1.2+ ile şifrelenir. Tarayıcınız ile sunucularımız arasındaki bağlantı her zaman HTTPS üzerinden gerçekleşir.
• Bekleyen veri şifrelemesi: Veriler AB (Frankfurt) bölgesindeki Supabase altyapısında, AES-256 şifrelemeli disklerde saklanır. Google yetkilendirme jetonlarınız (refresh token) ek olarak AES-256-GCM ile uygulama düzeyinde şifrelenerek depolanır; şifreli metin veritabanında tutulur, anahtar ayrı bir ortam değişkeninde saklanır.
• Erişim denetimi: Verilerinize yalnızca kimliği doğrulanmış oturumunuzla erişilebilir. Sunucu taraflı rol tabanlı yetkilendirme (RBAC) uygulanır; her kullanıcı yalnızca kendi kayıtlarına erişebilir. Yönetici erişimi ayrı kimlik bilgileri gerektirir ve denetim günlüğüyle izlenir.
• Veri minimizasyonu: Yalnızca hizmetin işleyişi için zorunlu verileri toplarız. Google API kapsamları en düşük ayrıcalık ilkesiyle seçilmiştir (calendar.events ve drive.file — tam hesap erişimi talep edilmez).
• Saklama süreleri: Hesap ve araç verileri hesabınız aktif olduğu sürece tutulur. Hesap silme talebinde tüm kişisel verileriniz 30 gün içinde kalıcı olarak silinir. Bir işletmenin tek sahibi hesabını sildiğinde işletme hemen kapatılır (vitrin yayından kalkar, tüm çalışanların erişimi sona erer) ve işletmeye ait tüm kayıtlar 30 gün içinde kalıcı olarak silinir. Günlük (log) kayıtları en fazla 90 gün saklanır.
• İhlal bildirimi: Kişisel verilerinizi etkileyen bir güvenlik ihlali tespit etmemiz hâlinde, KVKK md. 12 ve ilgili mevzuat uyarınca yetkili makamlara 72 saat içinde bildirimde bulunulur; etkilenen kullanıcılar ise gecikmeksizin e-posta veya uygulama içi bildirim aracılığıyla bilgilendirilir.

Google OAuth aracılığıyla elde edilen veriler (ad, e-posta, Takvim etkinlikleri, Drive dosyaları) hassas veri olarak sınıflandırılır ve aşağıdaki ek koruma mekanizmaları uygulanır:

• Jetonlar şifreli depolanır: Google refresh token'larınız veritabanında düz metin olarak tutulmaz; uygulama katmanında AES-256-GCM ile şifrelenir. Şifre çözme anahtarı yalnızca çalışma zamanında ortam değişkeninden okunur.
• Kapsam kısıtlaması: Google Takvim erişimi yalnızca Garajiz'in oluşturduğu etkinliklere yönelik yazma/silme işlemleriyle sınırlıdır. Mevcut etkinlikleriniz okunmaz veya işlenmez. Drive erişimi yalnızca bu uygulama tarafından oluşturulan dosyalar ile sınırlıdır (drive.file kapsamı).
• Üçüncü taraf paylaşımı yasağı: Google API'lerinden alınan hiçbir veri reklam, profil oluşturma veya yapay zeka modeli eğitimi amacıyla kullanılmaz ya da herhangi bir üçüncü tarafa aktarılmaz.
• Kullanıcı denetimi: Google hesabınızın İzinler sayfasından erişimi dilediğiniz zaman iptal edebilirsiniz. İptal ettiğinizde, sakladığımız refresh token geçersiz hâle gelir ve sistemimizden silinir.
• Limited Use uyumluluğu: Google API'lerinden elde edilen tüm bilgilerin kullanımı ve aktarımı, Google API Services User Data Policy'nin Limited Use gereksinimlerine tabidir. Bu gereksinimler kapsamında Google'dan alınan veriler yalnızca kullanıcıya hizmet sunmak amacıyla kullanılır.

Kişisel verilerinizi satmayız. Veriler yalnızca; hizmeti sağlamak için kullandığımız altyapı sağlayıcılarıyla (ör. barındırma için Google Cloud, veritabanı için Supabase, web analitiği için Google Analytics, ödeme işlemleri için Apple ve Dodo Payments) ve randevu aldığınız garaj ile (randevuyu yönetebilmesi adına araç/iletişim bilgileri) paylaşılır.

Hizmeti işletmek için yararlandığımız diğer veri işleyenler ve amaçları:

• Resend — doğrulama kodu, bildirim ve teklif e-postalarının gönderimi (e-posta adresi ve e-posta içeriği).
• Sentry — uygulama hatalarının tespiti (hata kaydı, cihaz/tarayıcı türü; parolalar ve ödeme bilgileri gönderilmez).
• Cloudflare — alan adı, güvenlik ve içerik dağıtımı (IP adresi ve istek bilgileri).
• Upstash — kötüye kullanımı önlemek için istek sınırlama (geçici kimlik/IP anahtarları, kısa süreli).
• Apple Push Notification service ve tarayıcı bildirim servisleri — bildirimleri açtığınızda cihazınıza bildirim iletimi (cihaz bildirim belirteci ve bildirim metni).

Yapay zeka özelliklerini (arıza teşhisi, araç değer tahmini, bakım tahmini, topluluk yanıt önerileri; işletmeler için iş emri önerileri) kullandığınızda, yalnızca ilgili özellik için gerekli araç bilgileri (marka, model, yıl, kilometre, renk, arıza kodu) ve yazılan belirti, şikayet, teşhis veya soru metni yapay zeka hizmet sağlayıcımız Anthropic PBC (ABD) ile paylaşılır. Adınız, e-posta adresiniz, telefonunuz, plakanız ve şasi numaranız (VIN) gönderilmez. Uygulama, bu özellikleri ilk kullandığınızda paylaşımı açıklar ve onayınızı ister; onay vermezseniz yapay zeka özellikleri çalışmaz, diğer özellikler etkilenmez. Anthropic bu verileri yalnızca yanıt üretmek için işler ve model eğitiminde kullanmaz.

KVKK md. 11 uyarınca; verilerinize erişme, düzeltme, silinmesini isteme, işlemeye itiraz etme haklarına sahipsiniz. Hesabınızın ve verilerinizin silinmesi dâhil taleplerinizi kvkk@garajiz.com adresine iletebilir ya da garajiz.com/veri-sil adresindeki adım adım kılavuzu takip edebilirsiniz.

Hesabınızı dilediğiniz an uygulama içinden de silebilirsiniz: araç sahipleri Profil → Hesabı Sil, işletme kullanıcıları Ayarlar → Hesabı Sil. Apple ile giriş yaptıysanız, hesap silindiğinde Apple ile Giriş bağlantınız da Apple nezdinde iptal edilir.

Oturumunuzu sürdürmek için gerekli, httpOnly oturum çerezi kullanırız. Ayrıca web sitemizde (garajiz.com) Google Analytics 4 (GA4) ve Microsoft Clarity ile anonim ve toplu ziyaret istatistikleri toplarız; örneğin hangi sayfaların ziyaret edildiği. IP adresleri anonimleştirilir. Bu araçlar yalnızca çerez onayı verirseniz etkinleşir ve tarayıcınıza analitik çerezi (ör. _ga) yerleştirir.

Reklam veya pazarlama amaçlı takip çerezi kullanmayız.

Bu analitiği, bir tarayıcı eklentisi (ör. Google Analytics Opt-out) veya analitik çerezlerini reddederek devre dışı bırakabilirsiniz. Google'ın verileri nasıl işlediği hakkında bilgi için Google Gizlilik Politikası'na bakabilirsiniz.

Bu politikayı zaman zaman güncelleyebiliriz. Güncel sürüm her zaman bu sayfada yayımlanır.