Gizlilik Politikası

Giriş

Linu Teknoloji Yazılım Donanım Ticaret A.Ş. ("Şirket", "biz") olarak Refakat Yanımda platformunu kullandığınızda gizliliğinizi en yüksek standartta korumayı taahhüt ediyoruz. Bu Gizlilik Politikası, hangi verileri topladığımızı, neden işlediğimizi, kimlerle paylaştığımızı, nasıl koruduğumuzu ve haklarınızı nasıl kullanabileceğinizi sade bir dille açıklar.

Bu metin bir özet ve kullanıcı rehberi niteliğindedir. KVKK Madde 10 kapsamında ayrıntılı hukuki aydınlatma için KVKK Aydınlatma Metni sayfasına bakınız; iki metin arasında çelişki olması hâlinde KVKK Aydınlatma Metni esas alınır.

1. Hangi verileri topluyoruz

Platformu kullanırken aşağıdaki veri kategorileri toplanır:

• Hesap bilgileri: ad, soyad, e-posta, telefon, kullanıcı tipi (aile / bakıcı / şirket), doğum yılı.
• Profil bilgileri: şehir, ilçe, deneyim, uzmanlık alanları, saatlik / aylık ücret tercihi (bakıcı ve şirket profillerinde).
• Bakıcı doğrulama verileri: T.C. kimlik numarası (PostgreSQL pgcrypto sütun bazlı şifreleme ile saklanır, plain-text tutulmaz; mükerrer kayıt kontrolü için ayrıca anahtarlı deterministik özet tutulur), adli sicil belgesi (yalnız yeşil rozet ve üzeri akışında, açık rıza ile), sertifika ve referans bilgileri.
• Özel nitelikli kişisel veriler (KVKK Madde 6): aile tarafından girilen bakım alacak kişinin hastalık ve sağlık bilgileri, bakım seviyesi, hareket durumu. Yalnız ailenin açık rızasıyla alınır ve veritabanında sütun bazlı şifreleme ile saklanır.
• İletişim ve mesajlaşma: platform içi mesaj içeriği. Sahtekarlık ve platform dışına yönlendirme (telefon, IBAN, alternatif iletişim paylaşımı) tespiti için otomatize sistemler tarafından taranır; gerektiğinde yetkili moderasyon ekibi inceleyebilir. Bu işleme KVKK Madde 5/2-e (hakkın korunması) ve Madde 5/2-f (meşru menfaat) dayanağına dayanır.
• Ödeme ve fatura verileri: ödeme tutarı, tarih, fatura adresi, vergi bilgisi, ödeme referans numarası. Kart numarası, CVV, son kullanma tarihi veya kart tokenı Refakat Yanımda'ya hiçbir aşamada iletilmez ve altyapımızda saklanmaz. Tüm kart işlemi PCI-DSS sertifikalı ödeme sağlayıcısı (PayTR) tarafında, bizim erişimimize kapalı şekilde gerçekleşir.
• Teknik veriler: IP adresi, tarayıcı bilgisi (User-Agent), oturum tokenı, hassas veri erişim kaydı, 5651 sayılı Kanun kapsamındaki erişim log'ları.

2. Verileri neden topluyoruz

Verilerinizi yalnızca aşağıdaki amaçlarla işliyoruz:

• Aile ile uygun bakıcı / şirket arasında hastalık-uzmanlık-lokasyon temelli eşleştirme yapmak.
• Hesabınızın güvenliğini sağlamak (giriş, şifre kurtarma, brute-force koruması, hassas veri erişim kaydı).
• Premium abonelikleri yönetmek. Otomatik yenileme yoktur — her dönem sonunda yeniden onayla aboneliğinizi yenilersiniz.
• 4 seviyeli bakıcı doğrulama süreçlerini (mavi / yeşil / altın / platin rozet) yürütmek.
• Sahtekarlık, taciz ve platform dışına yönlendirmeyi tespit etmek.
• Yasal yükümlülükleri yerine getirmek (KVKK Madde 13 başvuruları, Vergi Usul Kanunu fatura saklama, 5651 sayılı Kanun erişim log'u, yargı / idari makam talepleri).
• Platform kalitesini artırmak (anonim analitik, hata izleme).

Verilerinizi hiçbir koşulda reklam ağlarına satmaz, üçüncü taraflara ticari amaçla devretmez veya size hizmet sunmak dışında bir gerekçe ile paylaşmayız.

3. Hassas sağlık verisi için özel önlemler

Bakım alacak kişiye ait hastalık ve sağlık bilgileri özel nitelikli kişisel veridir (KVKK Madde 6). Bu veriye standart önlemlerin üzerinde koruma uygularız:

• Sütun bazlı şifreleme: Sağlık verisi veritabanında PostgreSQL pgcrypto ile sütun bazlı (column-level) şifrelenir; sistem yöneticilerimiz bile bu veriyi ham haliyle göremez.
• Üçüncü taraflara aktarım yok: Detaylı sağlık verisi hiçbir üçüncü taraf servis sağlayıcıya (e-posta, CDN, analitik vb.) aktarılmaz.
• Sınırlı lokasyon: Sağlık verileri AB (Frankfurt) lokasyonundaki şifreli veritabanı dışında bir konuma aktarılmaz; ABD merkezli üçüncü taraflara gönderilmez.
• Bakıcıya otomatik açılmaz: Bu veriler yalnız ailenin kendi profilinde erişilebilir tutulur; bakıcı kullanıcılarına otomatik olarak açılmaz.
• Aile kontrolünde paylaşım: Aile, eşleştiği bakıcı ile platform içi mesajlaşma üzerinden sağlık bilgilerini dilediği ölçüde, kendi rızasıyla iletebilir. Bu paylaşım tamamen ailenin kontrolündedir; dilediği zaman durdurabilir.
• Erişim kaydı: Hassas veriye, ailenin kendi erişimi dışında yapılan her erişim (örn. zorunlu hukuki talep) hassas veri erişim kaydına yazılır: kim, ne zaman, hangi IP'den, hangi gerekçeyle.
• Rıza ispatı: Açık rıza zamanı, IP, tarayıcı bilgisi ispat amacıyla saklanır.
• Rıza geri çekme: İstediğiniz zaman açık rızanızı geri çekebilirsiniz; bu durumda ilgili hassas veri silinir veya anonim hâle getirilir.

4. Bakım alacak kişi (üçüncü kişi)

Aile kullanıcısı çoğunlukla kendisinin değil, yakınının verisini platforma girer. Bu nedenle özel bir akış uygularız:

• Karar verme ehliyeti olan bakım alacak kişi: Aile kullanıcısı, yakınının bu politikayı görmüş ve sağlık verisinin işlenmesine açık rıza vermiş olduğunu beyan eder. Bakım alacak kişi dilediği zaman [email protected] adresinden veri sahibi haklarını kendisi kullanabilir.
• Karar verme ehliyeti olmayan bakım alacak kişi (Alzheimer, ileri demans, ağır engellilik, bilinç kaybı vb.): Aile kullanıcısı, 4721 sayılı Türk Medeni Kanunu kapsamında yasal temsilci (vasi, kayyım, vekâletnameli yakın) sıfatıyla hareket ettiğini beyan eder. Platform, talep hâlinde vesayet kararı veya noter onaylı vekâletname ibrazını isteme hakkını saklı tutar.
• Bakım alacak kişi 18 yaşın altındaysa: Yalnızca velayet hakkı sahibi anne / baba veya yasal temsilci tarafından rıza verilebilir; çocuğun yararı (TMK Md. 339) ilkesi gözetilir.

5. Çocukların verisi

Refakat Yanımda kullanıcı olarak 18 yaş altı kayıt kabul etmez. Platforma aile, bakıcı veya şirket olarak yalnızca 18 yaşını doldurmuş kişiler kayıt olabilir. 18 yaş altı bir kullanıcının hesap açtığını fark edersek hesap derhâl askıya alınır ve veriler 30 gün içinde imha edilir.

Bakım alacak kişinin 18 yaş altında olduğu istisnai durumlar için Madde 4'teki üçüncü kişi akışı geçerlidir.

6. Hesabınızın gizliliği

• Parolalar Argon2id algoritması ile özetlenerek saklanır; çalışanlarımız dahil hiç kimse ham parolanıza ulaşamaz.
• Yönetici paneline erişim yalnızca sınırlı sayıda yetkili hesabı tarafından, en az yetki ilkesine göre yapılır.
• Parolanızı kimseyle, hiçbir koşulda paylaşmamanızı öneririz. Refakat Yanımda çalışanları size parolanızı asla sormaz.
• Telefon numaranızı doğrulamak için kullandığımız tek kullanımlık SMS doğrulama kodları yalnız hesap güvenliği amacıyla kullanılır.

7. Mesajlaşma ve moderasyon

Platform içi mesajlaşma altyapısı kullanıcı güvenliği için aşağıdaki şekilde işler:

• Mesaj içeriği uçtan uca şifreli değildir; sahtekarlık tespiti için sunucu tarafında işlenir.
• Otomatize sistem; telefon, IBAN, alternatif iletişim paylaşımı, taciz / nefret söylemi içeren paternleri tespit ettiğinde mesajı bayraklayabilir.
• Bayraklanan mesajlar yetkili moderasyon ekibi tarafından incelenir; politika ihlali tespit edilirse uyarı, içerik kaldırma veya hesap askıya alma uygulanır.
• Bakıcı için aile kullanıcısının adı ve fotoğrafı gösterilmez — sohbet başlığında yalnızca "Aile" ifadesi yer alır; aile, kişisel bilgi paylaşmak isterse bunu kendi rızasıyla mesaj içinde yapar.
• Mesajlaşma içeriği, anlaşmazlık çözümü ve hukuki süreçler için hesap aktif + 1 yıl süreyle saklanır.
• KVKK Madde 11 kapsamında kendi mesajlarınıza erişim talep edebilirsiniz.

8. İlan listesi ve arama motoru görünürlüğü

Aile kullanıcısı bakıcı arama ilanı yayınladığında, bakım alacak kişinin doğrudan kimliğini ifşa etmeyen bilgileri anonim ilan listesinde gösterilir:

• Listede yer alır: hastalık kategorisi, yaş aralığı (5 yıllık gruplar), hareket durumu, bakım seviyesi, genel lokasyon (ilçe seviyesi).
• Listede yer almaz: ad, soyad, T.C. kimlik no, telefon, e-posta, açık adres, tam doğum tarihi, detaylı tıbbi geçmiş.

Anonim bakım kategorisi içeriği platformun keşfedilebilirliği için arama motorları (Google vb.) tarafından indekslenebilir. Bu işleme, ilan yayınlama akışında ailenin KVKK Madde 6/3-a kapsamında ayrı verdiği açık rızaya dayanır; rıza verilmezse ilan yalnızca platform içi eşleşme algoritmasında kullanılır, dış listede gösterilmez.

Aynı ilçede aynı kombinasyon 5'in altına düştüğünde lokasyon il seviyesine genişletilerek kimlik çıkarımı önlenir.

9. Ödeme ve kart bilgisi

Premium abonelik ödemeleri tek seferlik olarak alınır; otomatik yenileme yoktur. Ödeme süreci PCI-DSS sertifikalı PayTR altyapısı üzerinden işler:

• Refakat Yanımda kart numarası, son kullanma tarihi, CVV veya kart tokenı saklamaz; bu bilgiler bize hiçbir aşamada iletilmez.
• Kart bilgisi yalnızca PayTR'nin güvenli sayfasında, bizim erişimimize kapalı şekilde işlenir.
• Bizde tutulan tek bilgi: tutar, tarih, fatura adresi (vergi mevzuatı gereği), ödeme referans numarası ve işlem sonucu (başarılı / başarısız).

10. Üçüncü taraf servisler

Hizmetin sunulabilmesi için aşağıdaki sağlayıcılarla çalışıyoruz. Detaylı liste ve aktarılan veri kapsamı için KVKK Aydınlatma Metni — Alıcı kategorileri bölümüne bakın.

Hassas sağlık verisi hiçbir üçüncü taraf sağlayıcıya aktarılmaz.

11. Yurt dışına aktarım

Veritabanı ve nesne depolama altyapımız AB (Frankfurt) lokasyonunda barındırılmaktadır. Bazı teknik altyapı sağlayıcılarımız (CDN, istatistik) yurt dışı veri merkezlerinde çalışmaktadır. 02/03/2024 tarihli 7499 sayılı Kanun ile değiştirilen KVKK Madde 9 kapsamında aktarım, kademeli dayanaklara göre yapılır:

• Yeterlilik kararı: Kurul'un ilgili ülke için yeterlilik kararı varsa ek koşul aranmaz. Bu metnin yürürlük tarihi itibarıyla aktarım yapılan ülkeler için yeterlilik kararı bulunmamaktadır.
• Uygun güvenceler: Yeterlilik kararı yoksa Kurul'a bildirilen standart sözleşme, Veri İşleyici Sözleşmesi (DPA) ve hizmet sağlayıcılarının taahhütleri ile aktarım sağlanır. Bu güvencelerin tamamlanma süreci aşamalı olarak yürütülmektedir.
• Açık rıza: Yukarıdaki güvenceler tamamlanana ya da arızi haller söz konusu olduğunda KVKK Madde 9/6 kapsamında açık rızanız alınarak aktarım yapılır.

Veri minimizasyonu gereği yurt dışındaki sağlayıcılara yalnızca hizmetin gerektirdiği asgari veri gönderilir. Sağlık verisi yurt dışına aktarılmaz.

12. Çerezler ve takip teknolojileri

Sitemizde iki tür çerez kullanılır:

• Zorunlu çerezler: Oturum yönetimi, güvenlik. Rıza gerektirmez; site bu çerezler olmadan çalışmaz.
• Opsiyonel çerezler: Anonim analitik ve tercih. Yalnızca açık rıza ile yüklenir; istediğiniz zaman çerez bannerındaki "Tercihleri yönet" üzerinden geri çekebilirsiniz.

Detay için Çerez Politikası sayfasına bakın. Üçüncü taraf reklam çerezi ve cross-site tracking pikseli kullanmıyoruz.

13. Verilerinizin güvenliği

KVKK Madde 12 kapsamında idari ve teknik tedbirler:

Teknik tedbirler:

• Tüm trafikte TLS 1.2+ şifreleme (HTTPS).
• Veritabanı seviyesinde at-rest şifreleme; sağlık verisi ve T.C. kimlik numarası için pgcrypto sütun bazlı şifreleme.
• Parolalar için Argon2id; T.C. kimlik numarası mükerrer kayıt kontrolü için anahtarlı deterministik özet.
• Rol bazlı erişim kontrolü (RBAC), en az yetki ilkesi; üretim ortamına erişim sınırlı yönetici hesaplarıyla yapılır.
• WAF, rate-limiting ve DDoS koruması (Cloudflare).
• Hassas veri erişim kayıtları (kullanıcı, zaman, IP, işlem).
• Düzenli güvenlik gözden geçirmesi, bağımlılık güncellemeleri ve açık kaynak güvenlik tarayıcıları (Dependabot vb.).
• Yönetilen veritabanı sağlayıcısı tarafında otomatik yedekleme; AB lokasyonunda şifreli saklama.
• Geliştirme / canlı ortam ayrımı; üretim verisine erişim onay akışı.

İdari tedbirler:

• Atanmış KVKK İrtibat Kişisi ve veri sahibi başvuru süreci.
• Şirket çalışanları için gizlilik yükümlülüğü ve KVKK farkındalık programı.
• Üçüncü taraf hizmet sağlayıcılarıyla Veri İşleyici Sözleşmeleri (DPA) aşamalı olarak imzalanır.
• Saklama ve İmha Politikası, Veri İhlali Müdahale Prosedürü, Erişim Yetkilendirme Politikası.

Tüm önlemlere rağmen internet üzerinden hiçbir sistemin mutlak güvenli olmadığını açıkça belirtmek isteriz; en iyi pratikleri uygulamayı ve sürekli iyileştirmeyi taahhüt ediyoruz.

14. Veri ihlali durumunda ne yaparız

KVKK Madde 12/5 ve Kurul'un 2019/10 sayılı Kararı uyarınca, verilerinizin kanuni olmayan yolla başkalarınca elde edildiği tespit edildiğinde:

• En geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yaparız.
• Etkilenen veri sahiplerine makul en kısa sürede e-posta veya hesap içi bildirim ile bilgi veririz: ihlalin niteliği, etkilenen veriler, olası sonuçlar, alınan tedbirler.
• Olay zinciri, kök neden ve önleyici aksiyonlar kayıt altına alınır.

15. Verilerin saklanması ve silinmesi

Saklama süresi sonunda veriler Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik çerçevesinde imha edilir; işlem kayıt altına alınır.

16. Otomatik karar verme ve eşleştirme

Aileler ile bakıcılar arasında öneri sunarken bir eşleştirme algoritması kullanırız. Algoritma; hastalık kategorisi, uzmanlık alanı, doğrulama rozeti, coğrafi yakınlık, müsaitlik ve geçmiş eşleşme performansını dikkate alarak öneri listesi oluşturur.

• Nihai karar her zaman sizindir — algoritma yalnızca öneri sunar, otomatik bağlama yapmaz.
• Algoritma; ırk, etnik köken, dini inanç, siyasi görüş veya cinsel yönelime göre filtreleme yapmaz.
• KVKK Madde 11/g uyarınca otomatik öneriye itiraz ederek manuel inceleme talep edebilirsiniz.

17. Pazarlama ve ticari elektronik iletiler

Refakat Yanımda, bu metnin yürürlük tarihi itibarıyla pazarlama amaçlı toplu ticari elektronik ileti göndermemektedir. İleride e-bülten, kampanya, tanıtım gibi ticari elektronik iletiler devreye alındığında, yalnızca İleti Yönetim Sistemi (İYS) üzerinden ayrı açık rıza vermiş kullanıcılara gönderilir.

Hizmete ilişkin transactional iletiler (şifre sıfırlama, eşleşme/ başvuru bildirimi, ödeme onayı, KVKK başvuru yanıtı) 6563 sayılı Kanun Md. 6/2 istisnası kapsamında olup rıza gerektirmez. Bu tip bildirimlerin tercihi hesap panelinizdeki "Bildirim Tercihleri" sayfasından yönetilebilir.

18. KVKK kapsamındaki haklarınız

KVKK Madde 11 kapsamında veri sahibi olarak şu haklara sahipsiniz:

• Verilerinizin işlenip işlenmediğini öğrenme,
• İşleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içi / yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik / yanlış işlenmişse düzeltilmesini isteme,
• Silinmesini veya yok edilmesini isteme,
• Düzeltme / silme işlemlerinin üçüncü kişilere bildirilmesini isteme,
• Otomatik karar sonucuna itiraz etme,
• Kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme,
• Açık rızayı dilediğiniz zaman geri çekme.

Başvuru kanalları:

• E-posta: [email protected]
• KEP: [email protected]
• Yazılı: Söğütözü Mahallesi, Söğütözü Caddesi, Koç İkiz Kuleler 2C/17, Çankaya / Ankara 06510
• Form: /kvkk-talep

Başvurularınız KVKK Madde 13 uyarınca en geç 30 gün içinde ve ücretsiz sonuçlandırılır. Yanıtın yetersiz bulunması veya süresinde yanıt verilmemesi hâlinde Kişisel Verileri Koruma Kurulu'na şikâyet hakkınız saklıdır (KVKK Madde 14).

19. Hesabınızı silme

Hesabınızı dilediğiniz zaman tek tıkla silebilirsiniz:

• Hesabım > Ayarlar > Hesabımı sil
• Kimlik doğrulaması (parola tekrar girişi)
• Onay

Silme talebinizden sonra:

• Kimlik, iletişim ve sağlık verileriniz 30 gün içinde sistemden tamamen imha edilir.
• Fatura ve mali kayıtlar VUK gereği 5 yıl, erişim log'ları 5651 gereği 2 yıl daha minimize edilmiş biçimde saklanır.
• Süreç kayıt altına alınır; talep ederseniz silme onayı e-postası gönderilir.

20. Politika değişiklikleri

Bu Gizlilik Politikası; mevzuat değişiklikleri, hizmetlerimizin gelişimi veya Kurul kararları doğrultusunda güncellenebilir. Önemli değişikliklerde (yeni veri kategorisi, yeni amaç, yeni alıcı vb.) kullanıcılarımıza e-posta ile bildirim gönderilir ve değişiklik yürürlüğe girmeden önce makul süre tanınır. Güncel sürüm her zaman bu sayfada yer alır.

21. İletişim

KVKK ve veri koruma ile ilgili tüm sorularınız ve başvurularınız için:

• KVKK İrtibat Kişisi e-posta: [email protected]
• KEP: [email protected]
• Adres: Söğütözü Mahallesi, Söğütözü Caddesi, Koç İkiz Kuleler 2C/17, Çankaya / Ankara 06510

Genel destek için: [email protected] veya İletişim sayfası.