KVKK Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu md.10 uyarınca · Son güncelleme: 2026-10-12

1. Veri Sorumlusu

CosmosApp
E-posta: cosmosapp.contact@gmail.com
MERSİS No: Yok

2. İşlenen Kişisel Veriler

CosmosApp uygulaması kapsamında işlenen kişisel veriler:

• Kimlik Verisi: Firebase anonim kullanıcı kimliği; yalnızca Google ile giriş yaparsanız e-posta adresi ve Google hesap kimliği
• Profil/Kullanım Verisi: Dil/ülke tercihi, premium durumu (sunucuda saklanır)
• İşlem Güvenliği Verisi: IP adresi (cihazınızın doğrudan bağlandığı her serviste: reklam, Firebase/Google servisleri, çeviri uçları, Wikimedia ve haber yayıncılarının sunucuları — ayrıntı 5. bölümde), reklam kimliği (AAID)
• Müşteri İşlem Verisi: Uygulama içi abonelik geçmişi (Google Play tarafından işlenir)
• Teknik Veri: Dil tercihi, bildirim (FCM) kaydı, cihaz işletim sistemi türü
• İşlem Güvenliği — günlük hak sayacı: Ücretsiz günlük hakların (AI özet/çeviri/kart) ve ödüllü reklam ödülünün kötüye kullanımını önlemek için anonim kullanıcı kimliğinizle (uid) gün bazlı kullanım sayısı ve ödüllü reklam kaydı (ödül grubu, zaman, doğrulama durumu) sunucuda tutulur. Hesap değiştirilerek günlük hakların sıfırlanmasını önlemek için aynı sayaç ayrıca cihaz kimliğinizin geri döndürülemez özetiyle (Android kimliğinin SHA-256 özeti; ham kimlik cihazdan çıkmaz) tutulur.
• İşlem Güvenliği — istek sınırlama: Sunucuya yapılan isteklerde IP adresiniz, kötüye kullanımı (otomatik istek selî) önleyen oran sınırlayıcı tarafından geçici olarak sayılır; kalıcı kayıt tutulmaz ve kimliğinizle eşleştirilmez.
• Katkı Verisi: Cihazınız bir haberin gerçek görselini bulup sunucuya bildirdiğinde bu istek anonim kullanıcı kimliğinizle (uid) yetkilendirilir; amaç aynı görselin diğer kullanıcılara da gösterilmesi ve kötüye kullanımın önlenmesidir.
• İçerik Bildirimi: Uygulama içinden bir içeriği "Bildir" ile işaretlerseniz; bildirilen içeriğin kimliği, seçtiğiniz sebep ve anonim kullanıcı kimliğiniz (uid) saklanır. Bu kayıtlar hesabınızı sildiğinizde birlikte silinir.
• İşlem Güvenliği — uygulama bütünlüğü (Google Play Integrity): Uygulama bütünlüğü doğrulama sonucu (Google Play Integrity kararı ve zamanı; yalnızca Google'ın yeniden imzalanmış kopya olarak doğruladığı durumda hesap kimliği). Google Play Integrity (yalnız Android uygulaması, günde en çok bir kez). Amaç: Uygulamanın Google Play'den indirilmiş orijinal sürüm olduğunun doğrulanması; kopyalanmış/değiştirilmiş sürümlerin ve kötüye kullanımın önlenmesi (meşru menfaat).

3. Kişisel Verilerin İşlenme Amaçları

• Uygulama hizmetinin (haber akışı, özet, çeviri, tarot geçmişi, premium) sunulması ve cihazlar arası senkronu
• Reklam gösterimi ve gelir elde edilmesi (AdMob)
• Kötüye kullanımın (hile, spam) tespiti ve önlenmesi
• Yasal yükümlülüklerin yerine getirilmesi (vergi, tüketici mevzuatı)
• Kullanıcı destek talepleri yanıtlanması

4. İşlemenin Hukuki Sebebi

KVKK md.5/2 uyarınca:

• (f) bendi: Meşru menfaat — uygulamanın sunulması, dolandırıcılık önleme
• (a) bendi: Açık rıza — kişiselleştirilmiş reklam ve kullanım ölçümü (Analytics) için; onay ilk açılışta alınır: Google'ın onay formunu gerekli gördüğü bölgelerde (ör. Avrupa Ekonomik Alanı, Birleşik Krallık) bu formla, diğer bölgelerde (Türkiye dahil) uygulamanın kendi izin penceresiyle (ayrıntı 9. bölümde)
• (ç) bendi: Yasal yükümlülük — vergi, tüketici hakları yasaları

5. Kişisel Verilerin Aktarılması

Verileriniz aşağıdaki üçüncü taraflarla paylaşılabilir:

• Google Ireland Limited (AdMob): Reklam servisi için reklam kimliği ve IP adresi
• Google LLC (Firebase Authentication / Firebase Cloud Messaging — ABD): Anonim/Google/e-posta kimlik doğrulaması için kullanıcı kimliği ve (Google ile giriş halinde) e-posta adresi; bildirim gönderimi için FCM cihaz kaydı. Kimlik doğrulama kitaplığı her açılışta Google sunucusundan (www.gstatic.com) indirilir; bu istekte IP adresiniz Google'a ulaşır.
• Google LLC (Firebase Remote Config — ABD): Uygulamayı güncellemeden bazı özellikleri açıp kapatabilmek için uygulama açılışta uzaktan ayarları çeker (en çok saatte bir); bu istekte Firebase kurulum kimliği, uygulama sürümü ve IP adresiniz Google'a ulaşır.
• Google LLC (Firebase Crashlytics — ABD): Uygulama çökmelerini görüp düzeltmek için çökme kayıtları (cihaz modeli, işletim sistemi sürümü, hata izi, kurulum kimliği). Crashlytics onaydan bağımsız olarak, uygulamanın ilk açılışından itibaren her bölgede etkindir ve uygulama çöktüğünde kayıt gönderir; hukuki sebebi meşru menfaattir (md.5/2-f) ve reklam kişiselleştirmesi için kullanılmaz. Saklama: 90 gün.
• Google LLC (Google Analytics for Firebase — ABD): Hangi bölümlerin kullanıldığını ölçmek için temel kullanım olayları. Ölçüm uygulamada kapalı başlar; Avrupa Ekonomik Alanı ve Birleşik Krallık gibi onay formu gösterilen bölgelerde yalnız onay verdiğinizde açılır; diğer bölgelerde (Türkiye dahil) yalnız uygulamanın izin penceresinde izin verdiğinizde açılır. Saklama: en çok 14 ay.
• Cloudflare, Inc. (Workers + D1 veritabanı — ABD/AB): Hesap profili (dil/ülke tercihi), premium durumu ve bildirim kaydının saklanması ve cihazlar arası senkronu
• Yapay zekâ sağlayıcıları (özet üretimi): Özetlenecek makale metni ilgili sağlayıcıya iletilir; kimliğiniz, uid'iniz veya e-postanız iletilmez. Kullanılan sağlayıcılar: Cloudflare Workers AI (özetlerin büyük bölümü); yedek kapasite olarak Mistral AI, Google Gemini, Groq, OpenRouter, SambaNova ve Cohere. Haber başlıklarının konu denetimi (kişisel veri içermez) için NVIDIA kullanılabilir.
• Google Apps Script / Gmail (iletişim formu iletimi): Uygulama içi iletişim formuna yazdığınız mesaj ve isteğe bağlı e-posta adresiniz, destek talebinize yanıt verebilmemiz için Google Apps Script üzerinden kendi Gmail kutumuza iletilir; bu yol ulaşılamazsa cihazınızdaki e-posta uygulaması açılır ve mesajı siz gönderirsiniz.
• Çeviri uçları (cihazdan doğrudan): "Çevir" düğmesine bastığınızda çevrilecek metin cihazınızdan doğrudan şu servislere gider; bu isteklerde IP adresiniz ilgili servise ulaşır: Google çeviri uçları (translate.googleapis.com, clients5.google.com), MyMemory (api.mymemory.translated.net). Bu isteklerde kimliğiniz veya hesap bilginiz gönderilmez.
• Haber yayıncılarının siteleri (cihazdan doğrudan): Uygulama, haber kartlarının görselini bulmak için (görselsiz kart ekranda göründüğünde, arka planda otomatik), bir haberin özetini açtığınızda makale metnini almak için ve sunucumuz bir beslemeye ulaşamadığında yedek olarak yayıncının RSS beslemesini okumak için ilgili yayıncının sitesine cihazınızdan doğrudan istek gönderir. Bu isteklerde IP adresiniz ve cihaz/uygulama bilgisi (User-Agent) ilgili yayıncıya ulaşır; kimliğiniz veya hesap bilginiz gönderilmez. Yayıncılar farklı ülkelerde bulunan bağımsız şirketlerdir; bu istekler üzerine yayıncıların yaptığı işlemler kendi gizlilik politikalarına tabidir.
• Yayıncı görselleri: Haber kartlarındaki görseller, yayıncının kendi sunucusundan ya da kullandığı görsel dağıtım hizmetinden (ör. img1.daumcdn.net görsel küçültme hizmeti) cihazınız tarafından doğrudan yüklenir; bu yüklemede IP adresiniz ilgili yayıncıya / hizmete ulaşır.
• Wikimedia Foundation (Commons): Yayıncı görsel vermediğinde konuya uygun görsel Commons'tan yüklenir; görseli cihazınız indirdiği için IP adresiniz Wikimedia'ya ulaşır. Bu görsellerin lisansı ve atıf bilgisi Görsel Künyesi sayfasındadır.
• Google Play: Mağaza işlemleri (varsa uygulama içi satın alma)
• Yetkili kamu kurumları: Yasal talep halinde

Yurt dışına aktarım (KVKK md.9): Yukarıda sayılan hizmet sağlayıcıların sunucuları Türkiye dışında (ABD ve Avrupa Birliği) bulunduğundan, bu bölümde yazılan veriler yurt dışına aktarılır. Aktarımın amacı, uygulamanın çalışması için gereken barındırma, kimlik doğrulama, bildirim, çökme raporu, uzaktan ayar, reklam ve özet hizmetlerinin alınmasıdır. Onay formunun gösterildiği bölgelerde kişiselleştirilmiş reklam ve Analytics verisi yalnız onay vermeniz hâlinde aktarılır (ayrıntı 9. bölümde). Bu sağlayıcılar verileri yurt dışında işler; Kişisel Verileri Koruma Kurulu'nun bu ülkeler için verdiği bir yeterlilik kararı yoktur. KVKK md.9 kapsamındaki standart sözleşme süreci sağlayıcılarla başlatılmıştır (2026-09-24); süreç tamamlandığında (standart sözleşme ve Kurum'a bildirim bilgisi) bu bölüm güncellenecektir. Haber yayıncılarına ve görsel sunucularına giden istekler ise cihazınızdan doğrudan, bulundukları ülkeye yapılır. Aktarım yapılan alıcıları öğrenme ve itiraz haklarınız 7. bölümde yazılıdır.

6. Kişisel Verilerinizin Saklanma Süresi

• Hesap profili: hesabınızı silene kadar (sunucuda; Ayarlar → "Hesabımı ve verilerimi sil"). Uygulama hiç kullanılmazsa profil otomatik silinir: misafir (anonim) profil 12 ay, Google ile bağlı profil 24 ay hareketsizlikten sonra. Süresi devam eden premium aboneliği olan profil bu yolla silinmez.
• Reklam kimliği: Google politikası (tipik 90 gün)
• Satın alma kaydı: Mağaza politikası (genel 7 yıl vergi gereği)
• İçerik bildirimleri: hesabınızı silene kadar (hesap silinince bildirimleriniz de silinir)
• Günlük hak sayacı ve ödüllü reklam kaydı: en çok 7 gün (hesap silinince hemen silinir; cihaz özetiyle tutulan sayaç hesaba bağlı olmadığından hesap silinince değil, en çok 7 günde silinir)
• Oran sınırlama sayacı (IP): dakikalar mertebesinde, kalıcı değil
• Uygulama bütünlüğü (Play Integrity) kaydı: Sunucumuzda 30 gün (kopya kaydı 24 saat), sonra otomatik silinir; IP adresi saklanmaz

7. Kişisel Veri Sahibinin Hakları (KVKK md.11)

Kanun uyarınca şu haklara sahipsiniz:

• Kişisel verinizin işlenip işlenmediğini öğrenme
• İşlenen verileriniz hakkında bilgi talep etme
• İşleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içi/dışı aktarım yapılan üçüncü kişileri öğrenme
• Eksik/yanlış işlenen verinizin düzeltilmesini isteme
• Silinmesini/yok edilmesini isteme (uygulama içi Ayarlar → "Hesabımı ve verilerimi sil")
• Aleyhinize sonuç doğuran otomatik analize itiraz etme
• Kanuna aykırı işleme nedeniyle zarara uğrarsanız zararın giderilmesini talep etme

8. Başvuru Yöntemi

Yukarıdaki haklarınız için:

• E-posta: cosmosapp.contact@gmail.com
• Başvurunuzda ad-soyad, T.C. kimlik no, iletişim bilgisi, talebinizin konusu yer almalıdır
• Başvurunuzu en geç 30 gün içinde ücretsiz yanıtlarız (Tebliğ hükümlerine göre işlem özel çaba gerektiriyorsa ücret talep edilebilir)

9. Açık Rıza Formu

Reklam ve ölçüm onayı iki yoldan alınır: Google'ın gerekli gördüğü bölgelerde (ör. Avrupa Ekonomik Alanı, Birleşik Krallık) Google'ın onay formu (Google User Messaging Platform — UMP) ile; diğer bölgelerde (Türkiye dahil) uygulamanın ilk açılışta gösterdiği “Reklam ve kullanım istatistikleri” izin penceresiyle (“İzin veriyorum” / “İzin vermiyorum”; iki seçenek eşit ağırlıktadır). Google formunun düğme adlarını ve seçenek metinlerini Google belirler.

• Onay verirseniz: reklam kimliğiniz AdMob'a iletilir, ilgi alanınıza göre reklam gösterilebilir ve kullanım ölçümü (Analytics) açılır.
• Onay vermezseniz: kişiselleştirilmemiş (sınırlı) reklam gösterilir ve kullanım ölçümü kapalı kalır.

Karar verilene kadar kişiselleştirilmemiş reklam gösterilir ve kullanım ölçümü kapalı kalır. Reklam kişiselleştirmesini ayrıca cihazınızın ayarlarından (Ayarlar → Gizlilik → Reklamlar) kapatabilirsiniz. Onayınızı istediğiniz zaman uygulama içi Ayarlar → "Reklam ve gizlilik tercihleri" satırından görüntüleyebilir, değiştirebilir veya geri çekebilirsiniz (AEA/Birleşik Krallık'ta Google'ın formu, diğer bölgelerde uygulamanın izin penceresi açılır).

10. İletişim

Veri Sorumlusu: CosmosApp
E-posta: cosmosapp.contact@gmail.com

Tam Gizlilik Politikası · Hizmet Şartları