KVKK Aydınlatma Metni

1. Veri Sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca, kişisel verileriniz veri sorumlusu sıfatıyla UcuzYakıtBul markasını işleten CANKARA GIDA İÇ VE DIŞ TİCARET SANAYİ LİMİTED ŞİRKETİ tarafından aşağıda açıklanan kapsamda işlenmektedir. UcuzYakıtBul olarak kullanıcılarımızın kişisel verilerinin korunmasına büyük önem veriyoruz.

2. İşlenen Kişisel Veriler

Hizmetlerimizi sunabilmek amacıyla aşağıdaki kişisel veriler işlenmektedir:

• Kimlik Bilgileri: Ad, soyad
• İletişim Bilgileri: E-posta adresi; iletişim, reklam ve istasyon sahibi başvurularında telefon numarası
• Konum Bilgileri: Yakınınızdaki istasyonları gösterebilmek için konum verisi
• Yakıt Bilgileri: Yakıt fiyat bildirimleri, tercih edilen yakıt türü, araç bilgileri
• Görsel Veriler: Fiyat bildirimi sırasında yüklediğiniz fiyat tabelası/fiş fotoğrafı
• İşlem Güvenliği: IP adresi, oturum bilgileri, çerez verileri

3. Veri İşleme Amaçları

Kişisel verileriniz aşağıdaki amaçlarla işlenmektedir:

• Size en yakın ve en uygun fiyatlı yakıt istasyonlarını sunmak
• Yakıt fiyat karşılaştırması ve analiz hizmetleri sağlamak
• Kullanıcı hesabınızı oluşturmak ve yönetmek
• Fiyat alarm ve bildirim hizmetlerini sunmak
• Hizmet kalitesini artırmak ve kullanıcı deneyimini iyileştirmek
• Yasal yükümlülükleri yerine getirmek

4. Hukuki Sebepler

Kişisel verileriniz, KVKK'nın 5. maddesi kapsamında aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:

• Açık rızanızın bulunması
• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması

5. Veri Saklama Süreleri

Kişisel verileriniz, işleme amacının gerektirdiği süre boyunca ve yasal saklama yükümlülüklerine uygun olarak saklanmaktadır.

• Hesap bilgileri: Hesabınız aktif olduğu sürece saklanır. Hesabınızı sildiğinizde olağan kişisel hesap verileriniz derhal silinir.
• Anonimleştirilmiş finansal kayıtlar: Hesap silme işlemi ödeme kayıtlarınızı anonimleştirir. Bu kayıtlar, TTK Art. 82 uyarınca 10 takvim yılından kesin olarak eski olduklarında imha planına alınabilir. İmha otomatik değildir; ayrı inceleme, arşivleme ve açıkça onaylanan uygulama aşamalarını gerektirir. Arşiv kopyasının saklama süresi ve silme süreci mevcut teknik uygulamada tanımlanmamıştır.
• Yakın istasyon ve rota konumu: Yakın istasyon aramasındaki konum, sonuçları hesaplamak üzere istek sırasında işlenir. Google Analytics yapılandırılmışsa ve analitik onayı verilmişse Yakınımda özelliğinin kesin koordinatları bir analitik olay parametresi olarak Google'a iletilebilir; bu verinin Google tarafındaki saklama süresi mevcut teknik yapılandırmadan doğrulanamamaktadır. Sefer Hesapla özelliğinde kullanılan yaklaşık başlangıç/bitiş koordinatları ve başarılı rota sonucu Upstash önbelleğinde 7 güne kadar saklanabilir.
• Fiyat bildirimleri ve konum: Giriş yapmış kullanıcıların bildirimleri kullanıcı hesabıyla; misafir bildirimleri cihaz kimliği, IP adresinin kriptografik özeti ve bildirim sırasında iletilen GPS koordinatlarıyla ilişkilendirilerek saklanabilir. Hesap silindiğinde doğrudan kullanıcı hesabı kimliği taşıyan bildirimlerden hesap bağlantısı, varsa IP özeti ve GPS koordinatları kaldırılır. Bu kayıtlar için genel bir süreye bağlı otomatik silme uygulanmamaktadır.
• İstasyon sorun bildirimleri: Bildirilen istasyon, sorun nedeni, isteğe bağlı açıklama, yanlış marka bildiriminde sayfada görülen marka ve inceleme sonucu saklanabilir. Giriş yapmış kullanıcıya bağlı istasyon sorun bildirimleri hesap silindiğinde derhal silinir. Anonim yanlış marka ve tarayıcı makbuzuyla sonucu izlenen bildirimler, istasyon kaydı silinse de sonucu gösterebilmek için korunabilir; bunlar için genel bir süreye bağlı otomatik silme uygulanmamaktadır. Tarayıcıdaki sonuç makbuzu ve sonuç bağlantısı çerezleri 30 gün saklanır.
• Misafir katkı cihazı ve faaliyet kayıtları: Misafir fiyat bildirimi akışında sunucuda kriptografik cihaz özeti, son IP adresinin kriptografik özeti, gün/istasyon bazlı kullanım, puan ve bildirim sayaçları ile puan hareketleri saklanır. Katkıların bir hesaba aktarılması bu kayıtları silmez. Hiç hesaba aktarılmamış misafirlerde uyb_guest_device çerezinin silinmesi veya 1 yıllık süresinin dolması sunucu kayıtlarını silmez; bu kayıtları istek sahibiyle eşleyerek silen bir başvuru yolu veya genel bir süreye bağlı otomatik silme uygulanmamaktadır.
• Başvuru konumu: İletişim/başvuru formunda sağlanan konum, ilgili kayıtla birlikte saklanır. Bu kayıtlar için genel bir süreye bağlı otomatik silme uygulanmamaktadır.
• Fiyat tabelası/fiş fotoğrafları: Hesap silme sırasında işaretlenen fotoğraflar derhal, diğer fotoğraflar 60 gün sonunda silme planına alınabilir. Silme otomatik değildir; ayrı arşivleme ve açıkça onaylanan uygulama aşamalarını gerektirir. Arşiv kopyasının saklama süresi ve silme süreci mevcut teknik uygulamada tanımlanmamıştır.
• İletişim ve başvuru kayıtları: Hesap silindiğinde aynı e-posta adresi veya telefon numarasıyla eşleşen kayıtların kişiyi tanımlayan alanları anonimleştirilir. Bunun dışında bu kayıtlar için genel bir süreye bağlı otomatik silme uygulanmamaktadır.
• İşlem güvenliği ve analitik kayıtları: Analitik olaylar ve erişim kayıtları 365 gün, honeypot güvenlik kayıtları 730 gün sonunda saklama incelemesine aday olarak raporlanır. Mevcut aylık süreç bu kayıtları otomatik olarak silmez.
• Mobil uygulama analitiği: Mobil uygulama açıldığında app_open olayı otomatik olarak kuyruğa alınır. İlk gönderimde cihazın güvenli depolamasında rastgele biruyb_analytics_anon_id kimliği oluşturulur; uygulama açılışı ve belirli teknik hata olayları bu kimlikle UcuzYakıtBul sunucusuna gönderilerek veritabanında saklanabilir. Mevcut mobil uygulamada bu işlemeyi başlatmadan önce çalışan bir kabul/ret tercihi yoktur. Kimlik için süreye bağlı silme veya oturum kapatma/hesap silme sırasında temizleme yolu, sunucudaki analitik olaylar için de otomatik silme yolu uygulanmamaktadır.
• Çerez ve yerel depolama verileri: Oturum çerezi en fazla 7 gün saklanır. Çerez tercihi ve kalıcı yerel tercihler, tarayıcı site verileri silinene kadar kalır. Geçici oturum depolaması sekme kapandığında sona erer. Google Analytics ve birinci taraf analitik yalnızca "Kabul Et" onayı verildiğinde çalışır; "Reddet" seçimi bu izlemeyi durdurur ve mevcut analitik kimliği ile Google Analytics çerezlerini siler. Platform kodunda Google Analytics çerezleri için ayrıca bir saklama süresi belirlenmemiştir.

Süreye bağlı otomatik silme yolu bulunmayan kategorilerde yalnızca belirtilen sürenin sona ermesi teknik olarak bir silme işlemi başlatmaz.

6. Kişisel Verilerin Üçüncü Kişilere Aktarılması

Mevcut teknik kayıtlarımızda gözlemlenen üçüncü taraf hizmetleri ve amaçları aşağıda listelenmiştir; canlı hizmet yapılandırmaları ve hukuk incelemesi tamamlandığında liste güncellenebilir. Anthropic ve Google hizmetleri kapsamında yurt dışına veri aktarımı gerçekleşebilmektedir. Bu sağlayıcıların fiili işleme ve saklama bölgeleri mevcut teknik yapılandırmadan doğrulanamamaktadır; bu aktarımlar için KVKK'nın 9. maddesi kapsamında uygulanacak hukuki mekanizma da henüz belirlenmemiştir. Resend aktarımının durumu aşağıda ayrıca açıklanmaktadır.

• iyzico (İyzico Ödeme Hizmetleri A.Ş.): Ad, soyad, e-posta adresi ve IP adresiniz — Premium üyelik ve API plan satın alımlarında güvenli ödeme işleminin gerçekleştirilmesi amacıyla. Kart bilgileriniz iyzico'nun güvenli ödeme sayfasına doğrudan girilir; sunucularımıza hiçbir zaman ulaşmaz.
• Resend (Plus Five Five, Inc., San Francisco/ABD - e-posta iletim hizmeti): e-postalarınızın iletilmesi amacıyla aşağıdaki veri kategorileri Resend üzerinden geçmektedir:
  • alıcı adınız ve e-posta adresiniz (hesap, şifre sıfırlama, fiyat alarmı, haftalık özet, iletişim/başvuru, yönetici daveti ve API anahtarı teslim e-postaları);
  • gönderilen işlemsel e-postanın içeriği;
  • tek kullanımlık erişim jetonu (bearer token) içeren şifre sıfırlama bağlantıları;
  • self-servis ve yönetici API anahtarı teslim e-postalarındaki ham API anahtarları;
  • iletişim/başvuru formu alanları: adınız, telefon numarası, firma veya istasyon adı ve serbest metin mesajınız; API anahtarı başvurularında ayrıca seçilen plan, faturalandırma dönemi, kullanım amacı, ticari kullanım beyanı ve günlük istek hacmi;
  • yönetici davetlerinde davet edilen kişinin e-posta adresi ve rolü;
  • fiyat alarmı tercihleriniz: alarm şehri, yakıt türü ve fiyat eşiği.
• Cloudflare R2: Fiyat bildirimi sırasında yüklediğiniz fiyat tabelası/fiş fotoğrafı — bildirdiğiniz fiyatın doğrulanabilmesi amacıyla; fotoğraflar 60 gün sonunda silme planına alınır. Silme, arşivleme ve ayrıca onaylanan uygulama aşamalarından sonra gerçekleştirilir.
• Anthropic (yapay zeka görüntü analizi, yurt dışı aktarım): Yüklediğiniz fiyat tabelası fotoğrafı — fotoğraftaki yakıt fiyatının yapay zeka ile otomatik okunması ve doğrulanması amacıyla.
• Google: (a) Harita hizmeti (Google Haritalar): istasyon haritasını görüntülerken tarayıcınızdan Google'a iletilen IP adresi ve cihaz bilgileri; (b) Sefer Hesapla özelliği (Google Directions): girdiğiniz başlangıç/bitiş konum koordinatları — rota üzerindeki istasyonların hesaplanması amacıyla; (c) Google Analytics: yalnızca çerez banner'ında "Kabul Et" onayı verildiğinde çalışır: IP adresi, cihaz/tarayıcı bilgisi, site içi davranış verileri ve Yakınımda özelliği kullanıldığında kesin konum koordinatları, site kullanımının analiz edilmesi amacıyla.
• Upstash (Redis): IP adresiniz — kötüye kullanımı ve aşırı istek göndermeyi (rate limiting) önlemek ve hizmet güvenliğini sağlamak amacıyla, geçici olarak; Sefer Hesapla özelliğinde yaklaşık başlangıç/bitiş koordinatları ile başarılı rota sonucu, rota hizmetini sunmak ve aynı rota için tekrar işlem maliyetini azaltmak amacıyla, önbellekte 7 güne kadar.
• Render (barındırma ve PostgreSQL veritabanı hizmet sağlayıcısı; veritabanı bölgesi Frankfurt/Almanya): Bu politika kapsamında işlenen tüm kişisel veriler, Platformun teknik altyapısının çalıştırılması ve verilerin güvenli şekilde saklanması amacıyla.
• Apple (Apple ile Giriş): "Apple ile Giriş" seçeneğini kullandığınızda kimlik doğrulaması doğrudan cihazınız ile Apple arasında gerçekleşir; Apple tarafından üretilen kimlik jetonu (Apple kullanıcı kimliğiniz ve ilk girişte varsa e-posta adresiniz) sunucularımıza iletilir ve yalnızca kimliğinizin doğrulanması amacıyla kullanılır. Bu, sunucularımızdan Apple'a yönelen bir veri aktarımı değil, Apple'ın kimlik sağlayıcı olarak taraf olduğu bir doğrulama akışıdır ve hesabınızı hangi hizmet sağlayıcılarla ilişkilendirdiğiniz konusunda şeffaflık amacıyla burada belirtilmektedir.
• Telegram: Sohbet kimliği ve komut/mesaj içeriği Telegram'dan gelir; bot yanıtı ile alarm şehri, yakıt türü ve fiyat eşiği Telegram üzerinden iletilir.
• GitHub Actions iş akışı çıktıları: Saklama inceleme manifesti ve arşiv makbuzundaki kayıt/nesne kimlikleri, R2 nesne anahtarları ve kriptografik özetler kısıtlı iş akışı çıktısı olarak 7 güne kadar saklanır.
• Expo Bildirimleri ve değişken web push sağlayıcıları: Mobil uygulamada Expo bildirim belirteci edinilir ve Platform veritabanında saklanır; sunucudan Expo bildirimi gönderildiği mevcut teknik kayıtlarda doğrulanmamıştır. Web push abonelik uç noktasına şifreli bildirim yükü gönderilir ve uç nokta sağlayıcısı tarayıcı veya işletim sistemine göre değişir.

Telegram, GitHub Actions iş akışı çıktıları, Expo Bildirimleri ve web push uç noktalarının hukuki rolleri, fiili işleme bölgeleri ve varsa yurt dışı aktarım mekanizmaları mevcut teknik kayıtlardan doğrulanamamıştır; bunlar yayın öncesi hukuk incelemesine tabidir.

Resend aktarımının hukuki sebebi hakkında açıklama: Resend ABD merkezlidir ve yukarıda sayılan kategoriler Türkiye'den ABD'ye aktarılmaktadır. ABD için KVKK kapsamında bir yeterlilik kararı bulunmamaktadır; Resend'in kamuya açık veri işleme sözleşmesi yalnızca AB/Birleşik Krallık standart sözleşme maddelerini içermekte olup KVKK'nın 9. maddesi kapsamındaki Türk standart sözleşmesinin yerine geçmemektedir. Bu aktarımın hukuki sebebi henüz belirlenmemiştir; karar, ilk B2B satışın veya tahsil edilmiş ilk ödemenin gerçekleşmesine kadar ertelenmiştir. Kayıt, şifre sıfırlama, alarm ve başvuru e-postaları gibi rutin işlemsel e-posta trafiği düzenli ve sürekli nitelikte olduğundan, KVKK'nın 9. maddesinin 6. fıkrasında (9/6) öngörülen istisnai hâller (açık rıza dahil) bu boşluğu kapatamaz. Değerlendirilen gelecek seçenekler (KVKK standart sözleşmesinin imzalanması ve imzadan itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilmesi, aktarımı yeterli bir mekanizma kapsamında tutan uyumlu bir e-posta sağlayıcısına geçiş veya bu akışa özgü mekanizmanın hukuk müşaviri incelemesinden geçirilmesi) bu aşamada yalnızca veri sorumlusunun ileride vereceği kararlar olarak listelenmiştir; hiçbiri seçilmemiş veya önerilmemiştir ve Kuruma herhangi bir bildirimde bulunulduğu iddia edilmemektedir.

7. Kişisel Veri Sahibinin Hakları (KVKK Madde 11)

KVKK'nın 11. maddesi uyarınca aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme
• Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme
• Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme
• KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme
• Düzeltme ve silme işlemlerinin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme
• İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme
• Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

8. Başvuru Yöntemi

Yukarıda belirtilen haklarınızı kullanmak için aşağıdaki yöntemlerle bize başvurabilirsiniz:

• E-posta: destek@ucuzyakitbul.com.tr adresine kimliğinizi tespit edici bilgiler ile birlikte yazılı olarak başvurabilirsiniz.
• İletişim Formu: Web sitemizdeki iletişim sayfasından KVKK başvuru talebinizi iletebilirsiniz.

Başvurularınız, talebin niteliğine göre en kısa sürede ve en geç otuz (30) gün içinde ücretsiz olarak sonuçlandırılacaktır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir.