HUKUK ONAYI BEKLİYOR — bu metin avukat onayından geçmedi. İşaretli yerler henüz karar verilmemiş noktalardır.

Kişisel Verilerin Korunması Kanunu (KVKK) Aydınlatma Metni

Belge KRY-KVKK · sürüm 2.0.0 · yürürlük 2026-11-15 · Durum: HUKUK ONAYI BEKLİYOR

Bu metin bilgilendirme amaçlıdır; rıza yerine geçmez. Sağlık verileriniz için açık rızanız Acil Durum Profili ekranında ayrıca istenir ve aynı yerden geri alınabilir.

1. Veri sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca veri sorumlusu: işletici bilgileri (yasal unvan, adres, sicil numarası) yakında yayımlanacak ("Koruya"). İletişim: privacy@koruya.app. KEP: KEP adresi yakında yayımlanacak. VERBİS: VERBİS kayıt durumu yakında yayımlanacak.

2. İşlenen kişisel veriler

Hesap açmadan kullanırsanız verileriniz cihazınızda kalır ve Koruya sunucusuna gönderilmez; web uygulamasında (app.koruya.app) girdiğiniz kayıtlar da yalnız tarayıcınızda tutulur. Hesapla ya da ilgili özelliği kullandığınızda şu veriler işlenir:

kimlik ve iletişim: ad, e-posta, telefon, ülke, dil; Google ile giriş yaparsanız Google'ın verdiği e-posta, ad ve hesap kimliği;
hesap: kullanıcı kimliği, şifrenin özeti (şifrenin kendisi saklanmaz), varsa kurum ve rol doğrulama bilgileri, kullanım koşullarını ve bilgilendirme metinlerini onayladığınız zamanlar, hesap denetim kayıtları;
konum: yakın afetleri, hava durumunu ve kritik yerleri göstermek için anlık konumunuz; aile grubunda konum paylaşımını açarsanız grupla paylaşılan konumunuz; ailenizle paylaştığınız SOS'taki konumunuz; "Ben Güvendeyim" kaydına "konum ekle" ile eklediğiniz konum;
özel nitelikli kişisel veri — sağlık: kan grubu, alerjiler, kronik hastalıklar, ilaçlar, tıbbi cihazlar, engellilik, gebelik, organ bağışı ve doktor notu. Yalnızca girerseniz ve buluta kaydı için ayrı açık rıza verirseniz buluta gönderilir;
üçüncü kişilere ait veriler: eklediğiniz acil kişilerin ve aile grubu üyelerinin adı, telefonu, e-postası ve yakınlığı. Bu kişileri bilgilendirmek sizin sorumluluğunuzdadır;
görsel: profil ve kapak fotoğrafı (konum bilgisi temizlenmiş);
kullanıcı içeriği: "Ben Güvendeyim" notu, aile grubu durum notları, paylaşılan takvim kayıtları ve buluşma noktaları;
işlem güvenliği: hata raporlarını içeren bir sürümde ve açarsanız çökme ve hata kayıtları, cihaz modeli, işletim sistemi, uygulama sürümü ve rastgele bir kurulum kimliği (bugünkü mağaza sürümünde hata raporu yoktur); her istekte IP adresi;
bildirim kaydı ve Koruya duyuruları (taslak; duyuru özelliğiyle birlikte): sunucu bildirimleri açıldığında ve bildirimlere izin verdiğinizde cihaz kaydına iki harfli ülke kodunuz (ör. TR; koordinat değil) ve hizmet duyuruları / hazırlık hatırlatmaları tercihleriniz eklenir; duyuruların teslim ve açılma kayıtları tutulur [30 gün — taslak]. Bugünkü mağaza sürümünde cihaz kaydı yapılmaz;
uygulama sağlığı ölçümleri (taslak; yalnız Ayarlar'da açarsanız): açılış ve kaydetme süreleri, başarılı ve başarısız işlem sayıları, uygulama sürümü, platform, telefonun dil ayarındaki ülke ve her 30 günde yenilenen rastgele bir ölçüm kimliği. Konum, adres, mesaj, sağlık, kişi, aile, e-posta, telefon ya da hesap bilgisi içermez; hesabınıza bağlanmaz. Bugünkü mağaza sürümünde bu ölçüm yoktur.

3. İşleme amaçları

afet ve acil durum uyarılarını, haritayı, kritik yerleri ve hava durumunu sunmak;
SOS ve konum paylaşımı gibi acil durum işlevlerini çalıştırmak;
hesabınızı oluşturmak, korumak ve cihazlar arasında eşitlemek;
aile grubu ve "Ben Güvendeyim" gibi paylaşım özelliklerini sunmak;
hataları bulup gidermek ve hizmetin güvenliğini sağlamak;
Koruya duyurularını (hizmet duyuruları, hazırlık hatırlatmaları) doğru ülke ve dilde, tercihlerinize uyarak iletmek; bunlar resmî uyarı değildir ve Ayarlar'dan kapatılabilir;
ölçümleri açarsanız acil durum işlevlerinin (açılış, çevrimdışı harita, SOS kaydı) gerçekten çalışıp çalışmadığını ölçmek;
yasal yükümlülükleri yerine getirmek ve başvurularınızı yanıtlamak.

4. Hukuki sebepler

sözleşmenin kurulması ve ifası (KVKK m. 5/2-c): hesap ve uygulama işlevleri;
fiilî imkânsızlık hâlinde hayatın veya beden bütünlüğünün korunması (m. 5/2-b): acil durum işlevleri;
meşru menfaat (m. 5/2-f): hata ayıklama ve güvenlik;
hizmet duyuruları için sözleşmenin ifası (m. 5/2-c), hazırlık hatırlatmaları için meşru menfaat (m. 5/2-f) [taslak; ticari ileti için ayrıca 6563 sayılı Kanun ve İYS onayı];
uygulama sağlığı ölçümleri için açık rıza (m. 5/1) [taslak];
hukuki yükümlülük (m. 5/2-ç);
sağlık verisi için açık rıza (m. 6/2).
[Hukuk teyidi bekliyor.]

5. Toplama yöntemi

Veriler uygulama ve web uygulaması üzerinden elektronik ortamda, sizin girdiğiniz bilgilerden ve izin verdiğiniz ölçüde cihazınızın konum servisinden, kısmen otomatik yollarla toplanır.

6. Aktarım

Veriler yalnızca yukarıdaki amaçlar için şu alıcılara aktarılabilir:

barındırma hizmet sağlayıcısı Supabase — Avrupa Birliği, AWS eu-west-1 (İrlanda) [bölge taahhüdü — hukuk teyidi] (hesap ve bulut verileri; açarsanız uygulama sağlığı ölçümleri);
Cloudflare (ABD şirketi): koruya.app sitesi, web uygulaması, yönetim paneli erişim denetimi, e-posta yönlendirme ve içerik dağıtımı — her istekte IP adresi;
Resend: hesap doğrulama ve şifre sıfırlama e-postalarının gönderimi — e-posta adresiniz ve e-postanın içeriği;
Google (ABD): Google ile giriş yaparsanız kimlik doğrulama; sunucu bildirimleri açıldığında Firebase Cloud Messaging (bildirim jetonu ve bildirim içeriği);
hata raporlarını içeren bir sürümde ve hata raporları açıksa Google Firebase Crashlytics (ABD): hatanın türü, temizlenmiş metni, kod satırı ve cihaz bilgisi; ad, hesap, konum, sağlık ve uyarı içeriği yok; Ayarlar → Gizlilik → Hata Raporları'ndan kapatılabilir;
konum ve arama isteklerini yanıtlayan servisler. Bu isteklerde adınız ya da hesap kimliğiniz yoktur; her istekte IP adresiniz gider:
deprem verisi: USGS (ABD) ve EMSC (Fransa) — yuvarlanmış koordinat (yaklaşık 11 km);
hava tahmini: MET Norway (Norveç) — yuvarlanmış koordinat (yaklaşık 1 km);
hava kalitesi ve taşkın (bu sürümde açıksa): Open-Meteo (İsviçre) — yuvarlanmış koordinat (yaklaşık 1 km);
resmî afet uyarıları: ABD'deyseniz NWS (ABD Ulusal Meteoroloji Servisi) — yuvarlanmış koordinat (yaklaşık 1 km); konum gönderilmeden NOAA tsunami merkezleri ve USGS volkan uyarıları (ABD) ile GeoNet (Yeni Zelanda) listeleri;
çevrimdışı harita, yol ve acil yer paketleri: Koruya'nın paket sunucusu maps.koruya.app (Cloudflare; ABD şirketi, R2 depolama konumu Doğu Avrupa — eeur [konum ipucu; veri yerleşimi taahhüdü hukukça doğrulanacak]) — koordinat gitmez; otomatik indirilen il paketinin adı bulunduğunuz ili gösterir;
yer araması: telefondaki şehir dizininde (GeoNames) yapılır — arama metni hiçbir yere gönderilmez;
haber araması: GDELT Project (ABD) — yazdığınız arama metni;
cihazınızın adres servisi (Google ya da Apple, ABD) — koordinat;
uygulama güncellemesi (yalnız iOS): Apple App Store sorgusu itunes.apple.com (ABD) — yalnız uygulamanın paket kimliği, konum yok;
konum ya da kişisel içerik almayan afet ve haber akışları (yalnız IP adresi): GDACS (AB), NASA EONET, NASA Science, NOAA ve USGS haberleri (ABD);
yalnız ilgili özellik bu sürümde açıksa: deniz durumu için MET Norway Oceanforecast (Norveç) ve izinli derlemede Open-Meteo Marine (İsviçre) — yuvarlanmış koordinat (yaklaşık 1 km); salgın haberleri için Dünya Sağlık Örgütü www.who.int (İsviçre) — konum yok;
aile grubunu kullanırsanız paylaştığınız bilgileri grup üyeleri;
kanunen yetkili kamu kurum ve kuruluşları.

Bu alıcıların çoğu yurt dışındadır: ABD, Avrupa Birliği ülkeleri (Fransa, İrlanda vb.), Norveç ve İsviçre [ülkeler sağlayıcıların bildirdiği merkezlere göre; doğrulanacak]. Yurt dışına aktarım KVKK m. 9 kapsamında [dayanak: standart sözleşme / açık rıza — hukuk kararı] yapılır. Ayrıntı: Hizmet Sağlayıcılar ve Yurt Dışı Aktarım.

7. Saklama süresi

Cihazdaki ve tarayıcıdaki veriler siz silene ya da uygulamayı kaldırana kadar orada kalır. Bulut verileri hesabınızı silene kadar saklanır; hesap silinince silinir. Kodda tanımlı süreler: aile SOS kayıtları SOS bittikten 30 gün, aile durum güncellemeleri 30 gün, kullanılmış davetler 30 gün, üyelik kayıtları 180 gün. Sunucu günlükleri [süre], hata raporları [süre], uygulama sağlığı ölçümleri [90 gün — taslak] sonra silinir; ölçümleri kapatınca telefondakiler hemen silinir. Kanunen saklanması gereken kayıtlar o süre boyunca tutulur. Tam liste: Gizlilik Politikası §12.

8. Haklarınız (KVKK m. 11)

kişisel verilerinizin işlenip işlenmediğini öğrenme;
işlenmişse buna ilişkin bilgi talep etme;
işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme;
yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme;
eksik veya yanlış işlenmişse düzeltilmesini isteme;
KVKK m. 7 şartları çerçevesinde silinmesini veya yok edilmesini isteme;
düzeltme, silme ve yok etme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme;
münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme;
kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

9. Başvuru

Haklarınızla ilgili taleplerinizi privacy@koruya.app adresine, KEP adresine (KEP adresi yakında yayımlanacak) ya da yazılı olarak yazılı başvuru adresi yakında yayımlanacak adresine, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun biçimde iletebilirsiniz. Talebiniz en geç 30 gün içinde ücretsiz yanıtlanır. Hesabınızı uygulamada Profil → Hesap → Hesabı sil yolundan ya da https://koruya.app/tr/hesap-silme/ üzerinden silebilirsiniz. Yanıtımızı yeterli bulmazsanız Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz. Başvuru adımları: İletişim ve Başvuru sayfası.