Gizlilik Politikası

Garajiz (“biz”, “uygulama”), aşağıda açıklanan kişisel verileri 6698 sayılı KVKK ve ilgili mevzuata uygun olarak işler. İletişim: kvkk@garajiz.com.

• Hesap bilgileri: Google ile giriş yaptığınızda adınız ve e-posta adresiniz.
• Araç bilgileri: Eklediğiniz plaka, marka/model, muayene ve sigorta tarihleri gibi bilgiler.
• Randevu bilgileri: Seçtiğiniz garaj, hizmet, tarih ve notlar.
• İletişim: Sağladığınız telefon numarası (opsiyonel).
• Konum bilgisi: Yalnızca izin verdiğinizde, size en yakın oto servislerini gösterebilmek için cihazınızın konumu kullanılır. Konumunuz sunucularımızda saklanmaz; yalnızca o an yakındaki servisleri listelemek için işlenir. İzni cihaz ayarlarından dilediğiniz an kaldırabilirsiniz.
• Teknik: Oturum çerezi ve temel günlük (log) kayıtları.

Google ile giriş sırasında, izin vermeniz hâlinde Google Takvim (calendar.events) erişimi talep ederiz. Bu erişimi yalnızca şu amaçlarla kullanırız:

• Aldığınız servis randevusu için kendi Google Takviminize hatırlatma etkinliği oluşturmak;
• Randevuyu iptal ettiğinizde ilgili etkinliği silmek;
• Girdiğiniz muayene/sigorta tarihleri için yıllık hatırlatma etkinliği oluşturmak/güncellemek.

Takviminizdeki diğer etkinlikleri okumayız, kopyalamayız veya analiz etmeyiz. Bu erişimi reklam amacıyla kullanmaz, hiçbir üçüncü tarafa satmayız veya devretmeyiz. Google hesabınızın İzinler sayfasından bu erişimi dilediğiniz an iptal edebilirsiniz.

Bir işletme/garaj hesabı oluşturduğunuzda, izin vermeniz hâlinde Google Drive (drive.file) erişimi talep ederiz. Bu erişimi yalnızca şu amaçlarla kullanırız:

• İşletmeniz için kendi Google Drive'ınızda yalnızca uygulamanın oluşturduğu bir klasör (“Garajiz — {işletme adınız}”) oluşturmak;
• Yüklediğiniz araç ve iş emri fotoğraflarını bu klasöre yüklemek ve uygulamada göstermek üzere bağlantılarını saklamak.

drive.file kapsamı gereği, Drive'ınızdaki yalnızca bu uygulama aracılığıyla oluşturulan dosyalara erişiriz. Daha önce var olan diğer dosya ve klasörlerinizi okuyamaz, göremez veya değiştiremeyiz.

Müşteri Portalı — Ruhsat OCR: Araç ruhsatınızı taramak istediğinizde, izin vermeniz hâlinde drive.file kapsamıyla Drive'ınızda geçici bir Google Dokümanı oluşturulur, araç bilgileri (plaka, marka/model) okunur ve dosya işlem tamamlanır tamamlanmaz silinir. Bu geçici dosya dışında Drive'ınızdaki hiçbir dosyaya erişilmez.

• Aktarım şifrelemesi: Tüm veri aktarımları TLS 1.2+ ile şifrelenir. Tarayıcınız ile sunucularımız arasındaki bağlantı her zaman HTTPS üzerinden gerçekleşir.
• Bekleyen veri şifrelemesi: Veriler AB (Frankfurt) bölgesindeki Supabase altyapısında, AES-256 şifrelemeli disklerde saklanır. Google yetkilendirme jetonlarınız (refresh token) ek olarak AES-256-GCM ile uygulama düzeyinde şifrelenerek depolanır; şifreli metin veritabanında tutulur, anahtar ayrı bir ortam değişkeninde saklanır.
• Erişim denetimi: Verilerinize yalnızca kimliği doğrulanmış oturumunuzla erişilebilir. Sunucu taraflı rol tabanlı yetkilendirme (RBAC) uygulanır; her kullanıcı yalnızca kendi kayıtlarına erişebilir. Yönetici erişimi ayrı kimlik bilgileri gerektirir ve denetim günlüğüyle izlenir.
• Veri minimizasyonu: Yalnızca hizmetin işleyişi için zorunlu verileri toplarız. Google API kapsamları en düşük ayrıcalık ilkesiyle seçilmiştir (calendar.events ve drive.file — tam hesap erişimi talep edilmez).
• Saklama süreleri: Hesap ve araç verileri hesabınız aktif olduğu sürece tutulur. Hesap silme talebinde tüm kişisel verileriniz 30 gün içinde kalıcı olarak silinir. Günlük (log) kayıtları en fazla 90 gün saklanır.
• İhlal bildirimi: Kişisel verilerinizi etkileyen bir güvenlik ihlali tespit etmemiz hâlinde, KVKK md. 12 ve ilgili mevzuat uyarınca yetkili makamlara 72 saat içinde bildirimde bulunulur; etkilenen kullanıcılar ise gecikmeksizin e-posta veya uygulama içi bildirim aracılığıyla bilgilendirilir.

Google OAuth aracılığıyla elde edilen veriler (ad, e-posta, Takvim etkinlikleri, Drive dosyaları) hassas veri olarak sınıflandırılır ve aşağıdaki ek koruma mekanizmaları uygulanır:

• Jetonlar şifreli depolanır: Google refresh token'larınız veritabanında düz metin olarak tutulmaz; uygulama katmanında AES-256-GCM ile şifrelenir. Şifre çözme anahtarı yalnızca çalışma zamanında ortam değişkeninden okunur.
• Kapsam kısıtlaması: Google Takvim erişimi yalnızca Garajiz'in oluşturduğu etkinliklere yönelik yazma/silme işlemleriyle sınırlıdır. Mevcut etkinlikleriniz okunmaz veya işlenmez. Drive erişimi yalnızca bu uygulama tarafından oluşturulan dosyalar ile sınırlıdır (drive.file kapsamı).
• Üçüncü taraf paylaşımı yasağı: Google API'lerinden alınan hiçbir veri reklam, profil oluşturma veya yapay zeka modeli eğitimi amacıyla kullanılmaz ya da herhangi bir üçüncü tarafa aktarılmaz.
• Kullanıcı denetimi: Google hesabınızın İzinler sayfasından erişimi dilediğiniz zaman iptal edebilirsiniz. İptal ettiğinizde, sakladığımız refresh token geçersiz hâle gelir ve sistemimizden silinir.
• Limited Use uyumluluğu: Google API'lerinden elde edilen tüm bilgilerin kullanımı ve aktarımı, Google API Services User Data Policy'nin Limited Use gereksinimlerine tabidir. Bu gereksinimler kapsamında Google'dan alınan veriler yalnızca kullanıcıya hizmet sunmak amacıyla kullanılır.

Kişisel verilerinizi satmayız. Veriler yalnızca; hizmeti sağlamak için kullandığımız altyapı sağlayıcılarıyla (ör. barındırma için Google Cloud, veritabanı için Supabase, web analitiği için Google Analytics) ve randevu aldığınız garaj ile (randevuyu yönetebilmesi adına araç/iletişim bilgileri) paylaşılır.

Yapay zeka özelliklerinde (arıza teşhisi, bakım tahmini, topluluk yanıt önerileri) anonim araç ve belirti verileri Anthropic Inc. (ABD) ile paylaşılmaktadır. Bu veriler kişisel kimlik bilgisi içermemektedir.

KVKK md. 11 uyarınca; verilerinize erişme, düzeltme, silinmesini isteme, işlemeye itiraz etme haklarına sahipsiniz. Hesabınızın ve verilerinizin silinmesi dâhil taleplerinizi kvkk@garajiz.com adresine iletebilir ya da garajiz.com/veri-sil adresindeki adım adım kılavuzu takip edebilirsiniz.

Oturumunuzu sürdürmek için gerekli, httpOnly oturum çerezi kullanırız. Ayrıca web sitemizde (garajiz.com) Google Analytics 4 (GA4) ve Microsoft Clarity ile anonim ve toplu ziyaret istatistikleri toplarız; örneğin hangi sayfaların ziyaret edildiği. IP adresleri anonimleştirilir. Bu araçlar yalnızca çerez onayı verirseniz etkinleşir ve tarayıcınıza analitik çerezi (ör. _ga) yerleştirir.

Reklam veya pazarlama amaçlı takip çerezi kullanmayız.

Bu analitiği, bir tarayıcı eklentisi (ör. Google Analytics Opt-out) veya analitik çerezlerini reddederek devre dışı bırakabilirsiniz. Google'ın verileri nasıl işlediği hakkında bilgi için Google Gizlilik Politikası'na bakabilirsiniz.

Bu politikayı zaman zaman güncelleyebiliriz. Güncel sürüm her zaman bu sayfada yayımlanır.