HUKUK ONAYI BEKLİYOR — bu metin avukat onayından geçmedi. İşaretli yerler henüz karar verilmemiş noktalardır.
Hizmet Sağlayıcılar ve Yurt Dışı Aktarım
Bu liste, Koruya'nın kişisel veri işlerken kullandığı hizmet sağlayıcıları (veri işleyenler) ve bilgi aldığı veri kaynaklarını, gönderilen veriyle ve ülkesiyle birlikte gösterir. Aktarımların hukuki dayanağı henüz hukukça onaylanmadı [KVKK m. 9 ve GDPR m. 44–49 dayanakları — hukuk kararı].
1. Veri işleyen hizmet sağlayıcılar
- Supabase — veritabanı, kimlik doğrulama, dosya deposu, sunucu fonksiyonları. Veri: bulut hesabı, profil, rızayla sağlık profili, acil kişiler, aile grubu, Güvendeyim kayıtları, hesap silme. Yer: Avrupa Birliği, AWS eu-west-1 (İrlanda) [sağlayıcı şirketin ülkesi, veri işleme sözleşmesi (DPA) — hukuk teyidi].
- Cloudflare, Inc. (ABD) — koruya.app sitesi, app.koruya.app web uygulaması, yönetim paneli ve Cloudflare Access, içerik sunucusu, harita paketleri (R2, konum ipucu Doğu Avrupa — eeur), e-posta yönlendirme. Veri: IP adresi ve istek bilgisi, indirilen il paketinin adı, yönetim paneline giriş yapan ekip üyesinin e-postası, Koruya adreslerine gelen e-postalar [veri yerleşimi taahhüdü ve DPA — hukuk teyidi].
- Resend — hesap doğrulama ve şifre sıfırlama e-postalarının gönderimi. Veri: alıcı e-posta adresi ve e-postanın içeriği [seçilen bölge, gönderim kayıtlarının süresi — sahip doğrulayacak].
- Google LLC (ABD) — Google ile giriş (seçerseniz: e-posta, ad, hesap kimliği); Google Play dağıtımı; Android adres servisi (koordinat → il/ilçe adı). Firebase Cloud Messaging yalnız sunucu bildirimleri açıldığında (bildirim jetonu, bildirim içeriği) ve Firebase Crashlytics yalnız hata raporlarını içeren bir sürümde ve açıksa (temizlenmiş hata kaydı, cihaz bilgisi) — bugünkü mağaza sürümünde ikisi de yoktur.
- Apple Inc. (ABD) — iOS sürümü yayımlandığında Apple ile giriş, App Store, iOS adres servisi ve sürüm sorgusu [iOS sürümü henüz yok].
2. Bilgi aldığımız veri kaynakları
Bu kaynaklar Koruya adına veri işlemez; uygulama onlardan kamuya açık bilgi ister. İsteklerde adınız ya da hesap kimliğiniz yoktur; her kaynak IP adresinizi görür.
- MET Norway (Norveç) — hava tahmini, deniz ve uyarılar; yuvarlanmış koordinat.
- USGS (ABD) — deprem ve volkan; deprem için yuvarlanmış koordinat.
- EMSC (Fransa) — deprem; yuvarlanmış koordinat; uygulama açıkken gerçek zamanlı akış (konum gitmez).
- NWS (ABD) — yalnız ABD'deyseniz resmî uyarılar; yuvarlanmış koordinat.
- GDACS (AB), NASA EONET ve NASA Science (ABD), NOAA (ABD), GeoNet (Yeni Zelanda) — konum gitmez.
- NASA FIRMS (ABD) — Koruya'nın sunucusu sabit bir alan için sorgular; sizin konumunuz gitmez (Yangın Takip mağaza sürümünde kapalı).
- GDELT (ABD) — haber araması; yazdığınız arama metni.
- OpenStreetMap / Protomaps — harita verisi Koruya'nın paket sunucusundan (Cloudflare) iner; OpenStreetMap ya da Protomaps sunucularına istek gitmez.
- Yalnız geliştirici / test derlemelerinde: Open-Meteo (İsviçre), OpenStreetMap karo, Overpass, Nominatim, FOSSGIS ve OSRM sunucuları (Almanya, Birleşik Krallık; Overpass yedeği maps.mail.ru Rusya), OpenTopoMap, Esri. Mağaza sürümünde bunların hiçbirine istek gitmez.
- AFAD verisi bugün uygulamada kullanılmıyor [kaynak izni bekleniyor].
3. Yurt dışına aktarım
Yukarıdaki sağlayıcıların ve kaynakların çoğu Türkiye dışındadır (AB, ABD, Norveç, Birleşik Krallık, İsviçre, Yeni Zelanda). Türkiye'den yurt dışına aktarım için KVKK m. 9'daki şartlardan biri (yeterlilik kararı, standart sözleşme ve Kurul'a bildirim, ya da açık rıza) gerekir; AB / AEA'dan aktarım için GDPR m. 46 güvenceleri (standart sözleşme hükümleri) ya da yeterlilik kararı aranır [hangi dayanağın kullanılacağı ve sağlayıcılarla imzalanacak sözleşmeler — hukuk kararı].
4. Değişiklikler
Yeni bir hizmet sağlayıcı eklendiğinde ya da bir özellik (ör. sunucu bildirimleri, hata raporları) açıldığında bu liste önce güncellenir ve sürüm numarası artar. Sorular: privacy@koruya.app.