Gizlilik Politikası

Garajiz (“biz”, “uygulama”), aşağıda açıklanan kişisel verileri 6698 sayılı KVKK ve ilgili mevzuata uygun olarak işler. İletişim: kvkk@garajiz.com.

• Hesap bilgileri: Google veya Apple ile giriş yaptığınızda adınız ve e-posta adresiniz; e-posta ile kayıt olduğunuzda e-posta adresiniz. Apple ile girişte “E-postamı Gizle” seçeneğini kullanırsanız yalnızca Apple'ın size özel yönlendirme adresini alırız. Apple ile girişte Apple'dan ad ve e-posta dışında veri almayız.
• İşletme bilgileri: Servis/garaj hesabı oluştururken girdiğiniz işletme adı, şehir ve işletme telefonu.
• Ödeme ve abonelik: Uygulama içinden (App Store) alınan abonelikler Apple tarafından işlenir; kart bilgilerinizi görmeyiz, yalnızca abonelik durumu ve işlem kimliğini saklarız. Web üzerinden alınan abonelikler satıcı-kayıt (Merchant of Record) olarak Dodo Payments tarafından işlenir.
• Araç bilgileri: Eklediğiniz plaka, marka/model, muayene ve sigorta tarihleri gibi bilgiler.
• Randevu bilgileri: Seçtiğiniz garaj, hizmet, tarih ve notlar.
• Araç paylaşımı (müşteri portalı): Bir aracı başka kişilerle paylaştığınızda davet bağlantısı, verdiğiniz rol (ortak kullanıcı, sürücü, görüntüleyici), davete eklediğiniz isteğe bağlı etiket, davetin kabul/iptal tarihleri ve araca kimin hangi kaydı girdiği. Araç sahibi, davetini kabul eden kişinin hesap adını görür; paylaşılan kişiler araç sahibini, erişim isteyenler ile araç sahibi ise birbirini yalnızca kısaltılmış adla (“Ayşe K.”) görür. Paylaşım işlemleri (davet, kabul, rol değişikliği, kaldırma, devralma, erişim isteği) güvenlik amacıyla denetim kaydına yazılır: işlemi yapanın kullanıcı kimliği, işlemin türü ve tarihi ile IP adresi tutulur; ad, telefon veya etiket tutulmaz. Hukuki sebep: paylaşım için sözleşmenin ifası (KVKK md. 5/2-c), denetim kaydı için meşru menfaat ve bir hakkın korunması (KVKK md. 5/2-e, f).
• İşletme alanı (araç sahibi): Araç alım-satımı, kiralama veya filo için işletme alanını kullandığınızda girdiğiniz alıcı, satıcı, kiracı, test sürücüsü ve cari bilgileri (ad, telefon, ehliyet, vergi/T.C. kimlik no). Bu üçüncü kişi verilerinin veri sorumlusu işletmenizdir; Garajiz bu verileri veri işleyen sıfatıyla sizin adınıza ve talimatınızla işler (KVKK md. 12/2). İlgili kişileri aydınlatmak ve gerekli hukuki sebebe dayanmak işletmenin yükümlülüğüdür.
• İletişim: Sağladığınız telefon numarası (opsiyonel).
• Konum bilgisi: Yalnızca izin verdiğinizde, size en yakın oto servislerini gösterebilmek için cihazınızın konumu kullanılır. Konumunuz sunucularımızda saklanmaz; yalnızca o an yakındaki servisleri listelemek için işlenir. İzni cihaz ayarlarından dilediğiniz an kaldırabilirsiniz.
• Teknik: Oturum çerezi ve temel günlük (log) kayıtları.
• Uygulama tanılama verileri: iOS uygulamasında bir hata veya çökme olduğunda hata kaydı, uygulama sürümü, cihaz modeli ve işletim sistemi sürümü ile ekran açılış süreleri gibi performans ölçümleri. Bu veriler yalnızca hataları bulup düzeltmek için kullanılır.
• Uygulama kullanım verileri: iOS uygulamasında hangi ekranların açıldığı ve hangi özelliklerin kullanıldığı (ör. iş emri oluşturma, teklif gönderme) gibi ürün etkileşim verileri. Bu veriler, uygulamanın hangi bölümlerinin geliştirilmesi gerektiğini anlamak için kullanılır; dahili kullanıcı kimliğinizle ilişkilendirilir ancak adınız, e-posta adresiniz, telefonunuz ve plakanız gönderilmez. Ekran kaydı alınmaz; reklam veya izleme (tracking) amacıyla kullanılmaz ve başka şirketlerin verileriyle birleştirilmez.

Google ile giriş sırasında veya işletme ayarlarından takvim bağlantısı kurulurken, izin vermeniz hâlinde Google Takvim (calendar.events) erişimi talep ederiz. Bu erişimi yalnızca şu amaçlarla kullanırız:

Araç sahibi (müşteri portalı):

• Aldığınız servis randevusu için kendi Google Takviminize hatırlatma etkinliği oluşturmak;
• Randevuyu iptal ettiğinizde ilgili etkinliği silmek;
• Girdiğiniz muayene/sigorta tarihleri için yıllık hatırlatma etkinliği oluşturmak/güncellemek.

İşletme (servis paneli, Google Takvim bağlantısı kurulduysa):

• İşletmenin randevularını, bağlanan Google hesabının birincil takvimine etkinlik olarak yazmak; randevunun saati değiştiğinde etkinliği güncellemek, randevu iptal edildiğinde etkinliği silmek. Etkinliğe araç plakası, hizmet, araç sahibinin adı ve telefonu, şube ve atanan usta yazılır (serbest metin randevu notu yazılmaz). Bu veriler, işletmenin bağladığı Google hesabına (Google LLC, yurt dışı sunucular) aktarılır; aktarım işletmenin bağlantıyı kurmasıyla ve randevu hizmetinin ifası amacıyla yapılır;
• Garajiz'in oluşturduğu bir randevu etkinliği takvimde taşındığında, Garajiz'deki randevu saatini buna göre güncellemek (takvimden silinen etkinlik randevuyu iptal etmez, yalnızca panelde uyarı gösterilir);
• Takvimdeki diğer etkinliklerin yalnızca başlangıç ve bitiş zamanını okuyarak bu saatleri online randevuda dolu saymak. Bu etkinliklerin başlığı, açıklaması, konumu ve katılımcıları saklanmaz ve gösterilmez.

Takviminizdeki etkinlikleri bu amaçlar dışında okumayız, kopyalamayız veya analiz etmeyiz. Bu erişimi reklam amacıyla kullanmaz, hiçbir üçüncü tarafa satmayız veya devretmeyiz. İşletme takvim bağlantısını Garajiz'de Ayarlar → Google Takvim kartından dilediğiniz an koparabilirsiniz; koparma yeni yazımı ve izlemeyi durdurur, ancak takvimde daha önce oluşturulmuş randevu etkinlikleri Google'da kalır (işletme Google Takvim'den silebilir). Ayrıca Google hesabınızın İzinler sayfasından bu erişimi dilediğiniz an iptal edebilirsiniz.

Bir işletme/garaj hesabı oluşturduğunuzda, izin vermeniz hâlinde Google Drive (drive.file) erişimi talep ederiz. Bu erişimi yalnızca şu amaçlarla kullanırız:

• İşletmeniz için kendi Google Drive'ınızda yalnızca uygulamanın oluşturduğu bir klasör (“Garajiz — {işletme adınız}”) oluşturmak;
• Yüklediğiniz araç ve iş emri fotoğraflarını bu klasöre yüklemek ve uygulamada göstermek üzere bağlantılarını saklamak.

drive.file kapsamı gereği, Drive'ınızdaki yalnızca bu uygulama aracılığıyla oluşturulan dosyalara erişiriz. Daha önce var olan diğer dosya ve klasörlerinizi okuyamaz, göremez veya değiştiremeyiz.

Müşteri Portalı — belgeler ve fotoğraflar: Araç belgesi (sigorta poliçesi, muayene raporu vb.) veya kontrol listesi fotoğrafı yüklediğinizde dosya, izin vermeniz hâlinde drive.file kapsamıyla kendi Google Drive'ınıza gizli olarak yüklenir; Drive'da herkese açık paylaşım izni verilmez. Uygulama dosyayı yalnızca araca erişimi olan kişilere, 6 saat geçerli imzalı bir bağlantı üzerinden gösterir; bu süre içinde bağlantıyı ilettiğiniz kişi de dosyayı açabilir, süre dolunca bağlantı çalışmaz. Satılık/kiralık ilan ve vitrin için yüklediğiniz kapak ve galeri fotoğrafları ise ilanda herkese gösterildiği için bağlantıya sahip herkesin görebileceği şekilde paylaşılır.

Müşteri Portalı — Ruhsat OCR: Araç ruhsatınızı taramak istediğinizde, izin vermeniz hâlinde drive.file kapsamıyla Drive'ınızda geçici bir Google Dokümanı oluşturulur, araç bilgileri (plaka, marka/model) okunur ve dosya işlem tamamlanır tamamlanmaz silinir. Bu geçici dosya dışında Drive'ınızdaki hiçbir dosyaya erişilmez.

• Aktarım şifrelemesi: Tüm veri aktarımları TLS 1.2+ ile şifrelenir. Tarayıcınız ile sunucularımız arasındaki bağlantı her zaman HTTPS üzerinden gerçekleşir.
• Bekleyen veri şifrelemesi: Veriler AB (Frankfurt) bölgesindeki Supabase altyapısında, AES-256 şifrelemeli disklerde saklanır. Google yetkilendirme jetonlarınız (refresh token) ek olarak AES-256-GCM ile uygulama düzeyinde şifrelenerek depolanır; şifreli metin veritabanında tutulur, anahtar ayrı bir ortam değişkeninde saklanır.
• Erişim denetimi: Verilerinize yalnızca kimliği doğrulanmış oturumunuzla erişilebilir. Sunucu taraflı rol tabanlı yetkilendirme (RBAC) uygulanır; her kullanıcı yalnızca kendi kayıtlarına erişebilir. Yönetici erişimi ayrı kimlik bilgileri gerektirir ve denetim günlüğüyle izlenir.
• Veri minimizasyonu: Yalnızca hizmetin işleyişi için zorunlu verileri toplarız. Google API kapsamları en düşük ayrıcalık ilkesiyle seçilmiştir (calendar.events ve drive.file — tam hesap erişimi talep edilmez).
• Saklama süreleri: Hesap ve araç verileri hesabınız aktif olduğu sürece tutulur. Hesap silme talebinde tüm kişisel verileriniz 30 gün içinde kalıcı olarak silinir. Bir işletmenin tek sahibi hesabını sildiğinde işletme hemen kapatılır (vitrin yayından kalkar, tüm çalışanların erişimi sona erer) ve işletmeye ait tüm kayıtlar 30 gün içinde kalıcı olarak silinir. Müşteri portalında işletme alanını kapattığınızda veya hesabınızı sildiğinizde çalışanların erişimi ve kiralık ilanlar hemen kapanır; işletme alanındaki tüm kayıtlar (alıcı, kiracı, cari, defter vb.) 30 gün sonra, haftalık silme işleminde (en geç 37 gün içinde) kalıcı olarak silinir. Kaldırılmış veya süresi dolmuş araç paylaşımları ve sonuçlanmış erişim istekleri 180 gün, kontrol listesine yüklenip kaydedilmeyen fotoğrafların kaydı 24 saat sonra (her ikisi de en geç 7 gün gecikmeyle) silinir. Portal denetim kayıtları (kullanıcı kimliği, işlem, tarih, IP adresi) güvenlik ve olası uyuşmazlıklarda hakkın korunması amacıylahesabınız silinse de 2 yıl saklanır, ardından silinir; bu kayıtlar ad, e-posta veya telefon içermez. Google Drive'ınıza yüklenen dosyalar sizin Drive'ınızda kalır; dilediğiniz an Drive'dan silebilirsiniz. Günlük (log) kayıtları en fazla 90 gün saklanır.
• İhlal bildirimi: Kişisel verilerinizi etkileyen bir güvenlik ihlali tespit etmemiz hâlinde, KVKK md. 12 ve ilgili mevzuat uyarınca yetkili makamlara 72 saat içinde bildirimde bulunulur; etkilenen kullanıcılar ise gecikmeksizin e-posta veya uygulama içi bildirim aracılığıyla bilgilendirilir.

Google OAuth aracılığıyla elde edilen veriler (ad, e-posta, Takvim etkinlikleri, Drive dosyaları) hassas veri olarak sınıflandırılır ve aşağıdaki ek koruma mekanizmaları uygulanır:

• Jetonlar şifreli depolanır: Google refresh token'larınız veritabanında düz metin olarak tutulmaz; uygulama katmanında AES-256-GCM ile şifrelenir. Şifre çözme anahtarı yalnızca çalışma zamanında ortam değişkeninden okunur.
• Kapsam kısıtlaması: Google Takvim erişimi, Garajiz'in oluşturduğu randevu etkinliklerini yazma/güncelleme/silme ve bu etkinliklerin takvimdeki saat değişikliklerini izleme işlemleriyle sınırlıdır. İşletme takvimi bağlandığında diğer etkinliklerden yalnızca başlangıç-bitiş zamanı dolu saat olarak işlenir; başlık ve içerik saklanmaz veya işlenmez. Drive erişimi yalnızca bu uygulama tarafından oluşturulan dosyalar ile sınırlıdır (drive.file kapsamı).
• Üçüncü taraf paylaşımı yasağı: Google API'lerinden alınan hiçbir veri reklam, profil oluşturma veya yapay zeka modeli eğitimi amacıyla kullanılmaz ya da herhangi bir üçüncü tarafa aktarılmaz.
• Kullanıcı denetimi: Google hesabınızın İzinler sayfasından erişimi dilediğiniz zaman iptal edebilirsiniz. İptal ettiğinizde, sakladığımız refresh token geçersiz hâle gelir ve sistemimizden silinir.
• Limited Use uyumluluğu: Google API'lerinden elde edilen tüm bilgilerin kullanımı ve aktarımı, Google API Services User Data Policy'nin Limited Use gereksinimlerine tabidir. Bu gereksinimler kapsamında Google'dan alınan veriler yalnızca kullanıcıya hizmet sunmak amacıyla kullanılır.

Kişisel verilerinizi satmayız. Veriler yalnızca; hizmeti sağlamak için kullandığımız altyapı sağlayıcılarıyla (ör. barındırma için Google Cloud, veritabanı için Supabase, web analitiği için Google Analytics, ödeme işlemleri için Apple ve Dodo Payments) ve randevu aldığınız garaj ile (randevuyu yönetebilmesi adına araç/iletişim bilgileri) paylaşılır.

Sizin seçtiğiniz kişiler: Bir aracı paylaştığınızda paylaştığınız kişiler (ortak kullanıcı, sürücü, görüntüleyici) verdiğiniz role göre aracın kayıtlarını görür; sürücü masraf tutarlarını göremez. İşletme alanınıza çalışan eklediğinizde çalışanlar verdiğiniz yetkiye göre işletme kayıtlarını görür. Bu aktarım sizin talebinizle ve hizmetin ifası için yapılır.

Hizmeti işletmek için yararlandığımız diğer veri işleyenler ve amaçları:

• Resend — doğrulama kodu, bildirim ve teklif e-postalarının gönderimi (e-posta adresi ve e-posta içeriği).
• Sentry — web sitesi ve iOS uygulamasında hata, çökme ve performans takibi (hata kaydı, cihaz/tarayıcı türü, uygulama ve işletim sistemi sürümü; parolalar ve ödeme bilgileri gönderilmez). Veriler AB (Almanya) bölgesinde işlenir.
• PostHog — iOS uygulamasında ürün kullanım analitiği (açılan ekranlar ve kullanılan özellikler, dahili kullanıcı kimliği; ad, e-posta, telefon ve plaka gönderilmez, ekran kaydı alınmaz). Veriler AB (Almanya) bölgesinde işlenir.
• Cloudflare — alan adı, güvenlik ve içerik dağıtımı (IP adresi ve istek bilgileri).
• Upstash — kötüye kullanımı önlemek için istek sınırlama (geçici kimlik/IP anahtarları, kısa süreli).
• Apple Push Notification service ve tarayıcı bildirim servisleri — bildirimleri açtığınızda cihazınıza bildirim iletimi (cihaz bildirim belirteci ve bildirim metni).

Yapay zeka özelliklerini (arıza teşhisi, araç değer tahmini, bakım tahmini, topluluk yanıt önerileri; işletmeler için iş emri önerileri) kullandığınızda, yalnızca ilgili özellik için gerekli araç bilgileri (marka, model, yıl, kilometre, renk, arıza kodu) ve yazılan belirti, şikayet, teşhis veya soru metni yapay zeka hizmet sağlayıcımız Anthropic PBC (ABD) ile paylaşılır. Adınız, e-posta adresiniz, telefonunuz, plakanız ve şasi numaranız (VIN) gönderilmez. Uygulama, bu özellikleri ilk kullandığınızda paylaşımı açıklar ve onayınızı ister; onay vermezseniz yapay zeka özellikleri çalışmaz, diğer özellikler etkilenmez. Anthropic bu verileri yalnızca yanıt üretmek için işler ve model eğitiminde kullanmaz.

Yurt dışına aktarım: Yukarıda sayılan hizmet sağlayıcılarının sunucuları Türkiye dışında bulunduğundan, kişisel verileriniz bu sağlayıcılar aracılığıyla yurt dışına aktarılır. Veritabanı, barındırma, hata takibi ve kullanım analitiği ağırlıklı olarak AB (Almanya) bölgesinde; yapay zeka özellikleri ABD'de işlenir. Aktarılan veriler yalnızca bu politikada belirtilen amaçlarla sınırlı olarak işlenir.

KVKK md. 11 uyarınca; verilerinize erişme, düzeltme, silinmesini isteme, işlemeye itiraz etme haklarına sahipsiniz. Hesabınızın ve verilerinizin silinmesi dâhil taleplerinizi kvkk@garajiz.com adresine iletebilir ya da garajiz.com/veri-sil adresindeki adım adım kılavuzu takip edebilirsiniz.

Verilerinizi uygulama içinden indirebilirsiniz: araç sahipleri Profil → Verilerimi indir, işletme alanı için İşletme → Ayarlar → Tüm verini indir. Hesabınızı dilediğiniz an uygulama içinden de silebilirsiniz: araç sahipleri Profil → Hesabı Sil, işletme kullanıcıları Ayarlar → Hesabı Sil. Apple ile giriş yaptıysanız, hesap silindiğinde Apple ile Giriş bağlantınız da Apple nezdinde iptal edilir.

Oturumunuzu sürdürmek için gerekli, httpOnly oturum çerezi kullanırız. Ayrıca web sitemizde (garajiz.com) Google Analytics 4 (GA4) ve Microsoft Clarity ile anonim ve toplu ziyaret istatistikleri toplarız; örneğin hangi sayfaların ziyaret edildiği. IP adresleri anonimleştirilir. Bu araçlar yalnızca çerez onayı verirseniz etkinleşir ve tarayıcınıza analitik çerezi (ör. _ga) yerleştirir.

Reklam veya pazarlama amaçlı takip çerezi kullanmayız.

Bu analitiği, bir tarayıcı eklentisi (ör. Google Analytics Opt-out) veya analitik çerezlerini reddederek devre dışı bırakabilirsiniz. Google'ın verileri nasıl işlediği hakkında bilgi için Google Gizlilik Politikası'na bakabilirsiniz.

Bu politikayı zaman zaman güncelleyebiliriz. Güncel sürüm her zaman bu sayfada yayımlanır.