GİZLİLİK POLİTİKASI

Sürüm 0.2 (beta) · Son güncelleme: 8 Ekim 2026

Bu politika, Tribün uygulamasını ("Uygulama") kullandığında hangi kişisel verilerini neden işlediğimizi, kimlerle paylaştığımızı, ne kadar sakladığımızı ve haklarını anlatır. Türkiye'deki kullanıcılar için ayrıca KVKK Aydınlatma Metni'ni okuyabilirsin. Avrupa Ekonomik Alanı'nda (AEA) veya Birleşik Krallık'ta yaşıyorsan 12. bölüm de senin için geçerlidir.

1. VERİ SORUMLUSU

Tribün, geliştiricisi olan gerçek kişi Mervan Yuşa Torlak tarafından sunulur; bu politikada "biz" onu ifade eder.

• Ad soyad: Mervan Yuşa Torlak
• E-posta (gizlilik talepleri ve destek): info@tribundeyiz.com
• AB temsilcisi (GDPR m. 27): hizmet Avrupa Birliği'ndeki kişilere sunulduğunda ve GDPR gerektiriyorsa atanır ve burada belirtilir.

2. KISACA

• Konumunu yalnızca Uygulama açıkken ve bir işlem başlattığında kullanırız: "Stada geldim", kanıt fotoğrafı, yakındaki maçlar ve uzaklıklar. Arka planda konum izlemeyiz.
• Kamerayı yalnızca canlı kanıt fotoğrafı ve QR kod taraması için kullanırız. Fotoğraflar yüklenmeden önce içlerindeki konum ve cihaz bilgileri (EXIF/GPS) silinir.
• Rehberinden yalnızca e-posta adreslerinin telefonunda hesaplanan özetleri (SHA-256 hash) gönderilir. İsimler ve telefon numaraları telefonundan çıkmaz, özetler saklanmaz, SMS gönderilmez. Başkalarının seni e-postanla bulabilmesi isteğe bağlıdır ve varsayılan olarak kapalıdır.
• Ziyaretlerini, fotoğraflarını ve şehrini yalnızca arkadaşların görür.
• Verilerini satmayız, reklam için kullanmayız.
• Hesabını sildiğinde verilerin silinir.

3. İŞLEDİĞİMİZ VERİLER

Hesap: e-posta adresin, şifren (yalnızca geri döndürülemez özet olarak saklanır, biz göremeyiz), e-posta doğrulama ve giriş kayıtları, kullanıcı adın, davet kodun. Google ile veya iPhone'da Apple ile girişi seçersen, o hesabın sana ait kimlik bilgisi ve e-posta adresi.

Profil: profil fotoğrafın, tuttuğun kulüp, milli takımın, yaşadığın şehir ve ülke (ev adresin değil, şehrin merkez koordinatı), dil ve saat dilimi tercihin.

Konum: Uygulama açıkken ve sen bir işlem başlattığında cihazının konumu (enlem, boylam, doğruluk).

• "Stada geldim" ve kanıt fotoğrafında: sunucu statın yaklaşık 1 km yakınında ve maç penceresinde (başlama saatinden 3 saat önce ile maç bittikten 2 saat sonrası arası) olup olmadığını kontrol eder. Bu denemenin kaydı (konum, doğruluk, stada uzaklık, sonuç, zaman) saklanır.
• Maçlar ve stat detayında: yakındaki maçlar ve "Sana 12 km" gibi uzaklıklar için yaklaşık konumun sunucuya gönderilir; bu amaçla gönderilen konum veritabanına kaydedilmez. Konum izni vermezsen uzaklıklar yaşadığın şehre göre hesaplanır.

Fotoğraflar: canlı kanıt fotoğrafın ve küçük kopyası, arşiv ziyaretlerine eklediğin galeri fotoğrafları, profil fotoğrafın; otomatik denetimin sonuçları (etiketler ve puanlar) ve moderatör kararları. Fotoğraflarında başka kişiler de görünebilir.

Ziyaretler ve etkinlik: ziyaretlerin (stat, maç, tarih, kanıtlı veya arşiv), "Stada geldim" kayıtların, "Gideceğim" planların, "Ben de geliyorum" katılımların, beğenilerin, gitmek istediğin statlar, stat puanların, eksik stat bildirimlerin, rozetlerin, görevlerin, istatistiklerin ve sıralamadaki yerin.

Arkadaşlar ve topluluk: arkadaşlık isteklerin ve arkadaşlıkların, engellediğin kişiler, yaptığın ve hakkında yapılan şikâyetler (sebep ve en fazla 500 karakterlik not), davet linki ve QR kodla eklemeler.

Rehber eşleştirme: "Rehberden bul"u kullanırsan rehberindeki e-posta adresleri telefonunda küçük harfe çevrilip SHA-256 ile özetlenir. Yalnızca bu özetler gönderilir ve e-postasını doğrulamış, e-postasıyla bulunmayı açmış kullanıcıların özetleriyle karşılaştırılır. Özetler karşılaştırmadan sonra saklanmaz; kötüye kullanımı önlemek için yalnızca kaç özet gönderdiğin 2 gün tutulur.

E-postanla bulunmak: isteğe bağlıdır ve varsayılan olarak kapalıdır; yalnızca profil kurulumunda "E-posta adresimle beni bulabilsinler" kutusunu işaretlersen ya da Ayarlar › Gizlilik'te açarsan rehberinde e-posta adresin kayıtlı olan kullanıcılar seni "Rehberden bul"da kullanıcı adın ve profil fotoğrafınla görür, aynı ayardan istediğin zaman kapatabilirsin.

Bildirimler: cihazının bildirim adresi (FCM token), platformu (iOS veya Android), Uygulama sürümü, bildirim tercihlerin ve Uygulama içi bildirim geçmişin.

Teknik ve güvenlik verileri: IP adresi, istek zamanı, cihaz ve Uygulama bilgisi gibi sunucu kayıtları, oturum bilgileri ve kötüye kullanım sayaçları (ör. saatlik deneme sayıları).

Çökme raporları: Uygulama çökerse veya beklenmedik bir hata olursa hatanın teknik ayrıntısı, Uygulama sürümü, telefon modeli, işletim sistemi ve rastgele bir kurulum kimliği. Rapora kullanıcı adın, e-postan veya konumun eklenmez.

Özel nitelikli kişisel veri (sağlık, din, siyasi düşünce, biyometrik veri gibi) toplamayı amaçlamayız. Fotoğraflar yüz tanıma veya biyometrik tanımlama için kullanılmaz; otomatik denetim yalnızca içeriğin kurallara uyup uymadığına bakar. Siyasi pankart ve işaret içeren fotoğraflar kurallarımız gereği yayınlanmaz.

4. AMAÇLAR VE HUKUKİ SEBEPLER

• Hesabını açmak ve Uygulama'yı sunmak (koleksiyon, akış, arkadaşlar, sıralamalar, rozetler, sezon özeti, destek): sözleşmenin kurulması ve ifası (KVKK m. 5/2-c; GDPR m. 6/1-b).
• Kanıtlı ziyareti doğrulamak ve hileyi önlemek (konum, sunucu saati, canlı kamera): sözleşmenin ifası ve meşru menfaatimiz (KVKK m. 5/2-c ve f; GDPR m. 6/1-b ve f).
• Fotoğrafları denetlemek, şikâyetleri incelemek ve topluluğu korumak: meşru menfaatimiz ve hukuki yükümlülüklerimiz (KVKK m. 5/2-f ve ç; GDPR m. 6/1-f ve c).
• Bildirim göndermek (arkadaş etkinlikleri, maç hatırlatmaları, beğeniler, rozetler): sözleşmenin ifası (KVKK m. 5/2-c; GDPR m. 6/1-b). Bildirim iznini telefonunun ayarlarından, konularını Uygulama'daki Ayarlar'dan yönetirsin.
• Rehberden arkadaş bulmak (senin isteğinle): meşru menfaat (KVKK m. 5/2-f; GDPR m. 6/1-f). Rehberindeki kişilerin verisi yalnızca özet olarak ve saklanmadan kullanılır.
• Güvenlik, kötüye kullanımın önlenmesi ve hata ayıklama: meşru menfaat (KVKK m. 5/2-f; GDPR m. 6/1-f).
• Yasal yükümlülükler, resmi makam talepleri ve hukuki uyuşmazlıklar: hukuki yükümlülük ve bir hakkın tesisi, kullanılması veya korunması (KVKK m. 5/2-ç ve e; GDPR m. 6/1-c ve f).

Pazarlama iletisi göndermeyiz, reklam profili oluşturmayız.

5. DİĞER KULLANICILAR NE GÖRÜR

• Herkes: kullanıcı adın, profil fotoğrafın, ülke (ör. Türkiye) ve kulüp sıralamalarındaki yerin ve kanıtlı stat sayın. Bu sıralamalarda yer alman yaşadığın ülkeyi ve tuttuğun kulübü de dolaylı olarak gösterir.
• Arkadaşların: ayrıca kulübün, milli takımın, şehrin, onaylı ziyaretlerin ve fotoğrafların, planların, "Stada geldim"lerin, akıştaki etkinliklerin, rozetlerin ve diğer istatistiklerin. Şehrinin koordinatı kimseye gösterilmez.
• Engellediğin kişiler ve seni engelleyenler birbirlerini aramada, profilde, akışta, sıralamada ve bildirimlerde görmez.
• Hikâye kartını veya sezon özetini Instagram, WhatsApp gibi bir uygulamada paylaşırsan o paylaşımı orada görebilenler görür; bu paylaşım o uygulamanın kurallarına tabidir.

6. HİZMET SAĞLAYICILAR VE YURT DIŞINA AKTARIM

Verilerini yalnızca hizmeti sunmak için, sözleşmelerle bağlı olan şu hizmet sağlayıcılara (veri işleyenlere) aktarırız:

• Supabase, Inc. (ABD): veritabanı, kimlik doğrulama ve sunucu fonksiyonları. Veriler Almanya'da (Frankfurt, AWS eu-central-1) barındırılır.
• Cloudflare, Inc. (ABD): fotoğrafların saklanması (R2) ve dağıtımı. Fotoğrafların saklandığı veri merkezini Cloudflare otomatik olarak belirler. Yayınlanan fotoğraflar hızlı gösterim için Cloudflare'in dünya genelindeki sunucularında geçici olarak önbelleğe alınabilir.
• Amazon Web Services EMEA SARL (Lüksemburg) / Amazon Web Services, Inc. (ABD): Amazon Rekognition ile otomatik fotoğraf denetimi, İrlanda (eu-west-1) bölgesinde. AWS'nin yapay zekâ hizmetlerinden çıkma (opt-out) ayarı etkinleştirilene kadar AWS, denetlenen fotoğrafları kendi hizmetlerini geliştirmek için kullanabilir ve bu amaçla İrlanda dışındaki AWS bölgelerinde saklayabilir. Bu ayarı etkinleştirmeyi planlıyoruz.
• OpenAI, L.L.C. (ABD): etkinleştirilirse ek otomatik fotoğraf denetimi.
• Google LLC (ABD): Firebase Cloud Messaging ile anlık bildirimler ve Firebase Crashlytics ile çökme raporları. iOS cihazlarda bildirimler Apple Inc.'in (ABD) Apple Push Notification hizmeti üzerinden iletilir.
• Resend, Inc. (ABD): doğrulama ve şifre yenileme e-postalarının gönderilmesi (e-posta adresin ve e-postanın içeriği).
• Google LLC ve Apple Inc. (ABD): Google ile veya iPhone'da Apple ile girişi seçersen kimlik doğrulama.

Maç verileri API-Football'dan alınır; bu sağlayıcıya kişisel verin gönderilmez.

Statlar ve Maçlar'daki haritalar OpenFreeMap'in (openfreemap.org) harita sunucularından yüklenir. Telefonun bu sunuculara doğrudan bağlanır; bu sırada IP adresin ve haritada görüntülenen bölge bu hizmete ulaşır. Konumun bu hizmete gönderilmez, haritadaki konum noktası yalnızca telefonunda çizilir.

Bu sağlayıcıların bir kısmı Türkiye dışında (Almanya, İrlanda, ABD ve Cloudflare'in sunucusu bulunan diğer ülkeler) bulunduğundan verilerin yurt dışına aktarılır. Türkiye'den yapılan bu düzenli aktarımlar KVKK m. 9 uyarınca Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmelere dayanır. AEA'dan yapılan aktarımlar için Avrupa Komisyonu'nun standart sözleşme maddeleri veya AB-ABD Veri Gizliliği Çerçevesi kullanılır.

Bunların dışında verilerini yalnızca kanunen yetkili kamu kurumlarına ve yargı mercilerine, kanunun gerektirdiği ölçüde aktarırız. Uygulama başka bir kişiye veya şirkete devredilirse veriler, bu politikaya uymak şartıyla devralan tarafa geçebilir; bunu önceden bildiririz.

7. SAKLAMA SÜRELERİ

• Hesap, profil, ziyaret, fotoğraf, arkadaşlık ve etkinlik verilerin hesabın açık olduğu sürece saklanır. Bir ziyareti silersen ziyaret, fotoğrafları ve ona bağlı akış kayıtları, beğeniler ve bildirimler silinir.
• Hesabını silersen hesabın ve ona bağlı bütün veriler silinir. Fotoğraflar depolamadan hemen, en geç birkaç gün içinde temizlik sırasıyla kaldırılır. Senin yaptığın şikâyetler seninle bağlantısı kaldırılarak saklanabilir. Yedeklerdeki kopyalar, yedeklerin saklama süresi dolunca en geç 7 gün içinde silinir.
• Reddedilen fotoğrafların ziyaret kaydı, sebebi görebilmen için 7 gün tutulur, sonra silinir.
• Tamamlanmamış yüklemeler 2 gün, reddedilen veya başarısız yüklemelerin denetim kayıtları 30 gün tutulur.
• Bir ziyarete veya "Stada geldim"e bağlanmayan konum denemeleri 90 gün, bağlananlar ilgili kayıt durduğu sürece tutulur. Başarısız bir denemenin (ör. stada uzak, maç yok) konumu 1 gün sonra silinir; denemenin geri kalanı (doğruluk, stada uzaklık, sonuç, zaman) bu süreyle kalır.
• Uygulama içi bildirimler 180 gün, anlık bildirim gönderim kayıtları 14 gün tutulur.
• Rehber eşleştirme ve kötüye kullanım sayaçları 2 gün tutulur.
• Bildirim adresin (FCM token) çıkış yaptığında veya geçersiz olduğunda silinir.
• Çökme raporları Firebase Crashlytics'te 90 gün tutulur.
• Sunucu kayıtları (IP adresi, istek zamanı gibi) altyapı sağlayıcımızın kayıt sisteminde en çok 7 gün tutulur.
• Kanunen saklamamız gereken veriler ilgili süre boyunca saklanır.

8. GÜVENLİK

Bağlantılar şifrelidir (TLS). Veritabanında her tablo satır düzeyinde erişim kurallarıyla korunur. Fotoğraflar denetimden geçmeden yayınlanmaz; denetimin ham puanları kullanıcılara kapalıdır. Şifreler yalnızca özet olarak saklanır. Verilere yalnızca Uygulama'yı işletmek ve denetlemek için gereken kişiler, gerektiği kadar erişir. Hiçbir sistem tamamen güvenli değildir; bir veri ihlali olursa kanunun öngördüğü şekilde Kurul'a ve sana bildiririz.

9. İZİNLER

• Konum (Uygulama kullanılırken): "Stada geldim", kanıt fotoğrafı, yakındaki maçlar ve uzaklıklar.
• Kamera: canlı kanıt fotoğrafı ve QR kod taraması.
• Fotoğraflar: arşiv ve profil fotoğrafı seçmek (yalnızca seçtiğin fotoğraf okunur).
• Rehber: "Rehberden bul" (yalnızca e-posta özetleri gönderilir).
• Bildirimler: anlık bildirimler.

Her izni telefonunun ayarlarından istediğin an kapatabilirsin; o zaman ilgili özellik çalışmaz.

10. ÇOCUKLAR

Uygulama 13 yaşından küçükler için değildir. 18 yaşından küçüksen ve yaşadığın yerin hukuku bunu gerektiriyorsa Uygulama'yı velinin (anne, baba veya vasinin) bilgisiyle kullanmalısın. 13 yaşından küçük birine ait veri işlediğimizi fark edersek hesabı ve verileri sileriz.

11. HAKLARIN

Kişisel verilerinin işlenip işlenmediğini öğrenme, bilgi ve kopya isteme, düzeltilmesini, silinmesini veya işlemenin kısıtlanmasını isteme, itiraz etme, verilerini taşınabilir biçimde alma ve şikâyet hakların vardır. Ayrıntılar KVKK Aydınlatma Metni'ndedir.

• Bilgilerinin çoğunu Uygulama'daki Ayarlar'dan değiştirebilir, Ayarlar > Hesabı sil ile hesabını ve verilerini silebilirsin.
• Diğer talepler için info@tribundeyiz.com adresine yaz. Talebini en geç 30 gün içinde, kural olarak ücretsiz sonuçlandırırız.
• Otomatik denetimle reddedilen bir fotoğraf için insan incelemesi isteyebilirsin.
• Türkiye'de Kişisel Verileri Koruma Kurulu'na, AEA'da veya Birleşik Krallık'ta yaşadığın ülkenin veri koruma otoritesine şikâyette bulunabilirsin.

12. AEA VE BİRLEŞİK KRALLIK KULLANICILARI

Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ve Birleşik Krallık GDPR'ı kapsamında yukarıdaki hukuki sebeplere dayanırız. Erişim, düzeltme, silme, kısıtlama, taşınabilirlik ve meşru menfaate dayalı işlemeye itiraz hakların vardır. Rıza istediğimiz bir işleme olursa rızanı istediğin an geri alabilirsin. Hizmet Avrupa Birliği'ndeki kişilere sunulduğunda GDPR m. 27 gerektiriyorsa bir AB temsilcisi atarız ve bu politikada belirtiriz.

13. DEĞİŞİKLİKLER

Bu politikayı güncelleyebiliriz. Önemli değişiklikleri Uygulama içinde veya e-postayla önceden bildiririz. Güncel sürüm her zaman Uygulama'da ve tribundeyiz.com adresinde yer alır.

14. İLETİŞİM

Mervan Yuşa Torlak, info@tribundeyiz.com