KVKK Aydınlatma Metni

Son güncelleme: 7 Ekim 2026

Sürüm: 2026-09-25

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("Kanun") 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, USTAG uygulamasını kullanırken kişisel verilerinin nasıl işlendiğini anlatır. Verilerin günlük dille anlatımı için Gizlilik Politikası'na bakabilirsin; bu metin aynı işlemenin hukuki çerçevesidir.

1. Veri Sorumlusunun Kimliği

USTAG, hizmet almak isteyen müşteriler ile hizmet veren ustaları buluşturan bir aracı platformdur. Hizmetin ifasını üstlenen taraf ustadır; USTAG ilan, teklif ve iletişim akışını sağlar.

2. İşlenen Kişisel Veri Kategorileri

• Kimlik ve iletişim verisi: telefon numaran ve adın; işletme hesabı açarsan işletmenin adı, tanıtım metni ve işletme için verdiğin telefon numarası. Uygulama hesabında e-posta adresi ve parola toplanmaz; hesabın telefon numarana bağlıdır ve girişte tek kullanımlık kod kullanılır. Bu, kullanıcı hesapları için geçerlidir; USTAG'ın kendi yönetici hesapları yönetim panelinde e-posta adresi, parola (veritabanında yalnız özeti tutulur) ve ikinci faktör (TOTP) ile çalışır. Yönetici erişiminde, geriye uyumluluk için duran ikinci bir yol daha vardır: sunucu yapılandırmasındaki yönetici telefon listesinde yer alan bir numarayla, sıradan kullanıcı gibi SMS koduyla giriş yapan kişi de yönetici sayılabilir.
• Görsel veri: profil fotoğrafın, ilan fotoğraf ve videoların, usta isen portföy/galeri görsellerin ve işletme logosu.
• Ses verisi: sohbette gönderdiğin sesli notların ses kaydı ve kaydın süresi. Kayıt yalnız senin başlattığın anda alınır; gönderilene kadar cihazında kalır, göndermekten vazgeçersen sunucuya hiç ulaşmaz. Ses kaydı metne çevrilmez ve ses üzerinden kimlik çıkarımı (biyometrik tanıma) yapılmaz — bu nedenle özel nitelikli veri olarak işlenmez; yine de mesaj içeriği sayıldığı için diğer mesajlarla aynı saklama ve silme kurallarına tabidir.
• Kimlik doğrulama belgesi: yalnızca usta olarak doğrulanmak istersen yüklediğin kimlik belgesi görüntüsü. Bu görüntü özel nitelikli kişisel veri içerebilir.
• Konum verisi: ilanın adres metni ve koordinatı, usta isen çalışma merkezi koordinatın ve hizmet yarıçapın, yakınlık araması için cihazının konumu, sohbette paylaşmayı seçersen konum mesajının koordinatı ve hizmet bölgesi bekleme listesine yazılırsan kaba (ızgaraya yuvarlanmış) konumun ile yazdığın bölge adı. Cihazının o anki konumu hakkında ayrıca şunu bilmelisin: “Konumumu kullan” dediğinde cihazının ham koordinatı, yakındaki işleri ve ustaları getiren listeleme isteklerinin adresinde (sorgu dizesinde) sunucuya iletilir. Bu koordinat veritabanımıza kaydedilmez, yalnızca o isteğin sonucunu hesaplamakta kullanılır; ancak istek adresleri sunucu günlüklerine olduğu gibi düştüğü için koordinat bu günlüklerde yer alır.
• İşlem verisi: ilanların, teklifler, sohbetler ve mesajlar, sohbet içi fiyat teklifleri, randevular, değerlendirme ve yorumların, favorilerin, anlaşmazlık kayıtların, işletme hesabı ve üyelik bilgilerin, cüzdan ve cüzdan hareketi kayıtları, uygulama içinden gönderdiğin destek talebinin konusu ve mesajı ile talebi açtığın ekran, uygulama sürümü ve platform bilgisi.
• Güvenlik ve moderasyon verisi: gönderdiğin şikâyet bildirimleri (kimi/neyi hangi gerekçeyle ve hangi notla bildirdiğin), engelleme kayıtların ve hem senin hem yöneticilerin gerçekleştirdiği işlemlerin denetim izi (kim, ne zaman, hangi kayıtta ne yaptı — ilan açma ve güncelleme, teklif, randevu, değerlendirme, anlaşmazlık, işletme işlemleri, yasal metin onayı, hesap silme talebi ve yönetici işlemleri bu ize düşer).
• Yasal onay kaydı: Kullanım Koşulları ile Gizlilik Politikası'nın kabul ettiğin sürümü ve kabul zamanı hesabında tutulur; bu onay ayrıca denetim izine de yazılır. Kayıt, aydınlatma ve onay yükümlülüğünün ispatı için tutulur.
• Teknik veri: bildirim gönderebilmek için cihaz bildirim jetonu ve platform bilgisi, oturum (yenileme jetonu) kayıtları, IP adresin (her istekte okunur; hız sınırlaması ve kötüye kullanımın önlenmesi için kullanılır, ayrıca sunucu günlüklerine ve yönetici giriş kayıtlarına düşer), uygulama çökmesi/hatası olduğunda uygulamanın kendi gönderdiği hata raporu (hata imzası, platform, uygulama sürümü, ekran adı, hata mesajı ve yığın izi). Aynı hata, aynı uygulama sürümünde tek bir satırda toplanır; bu satıra, hatayı oturumu açıkken bildiren ilk kullanıcının hesap kimliği yazılır. Satırda kimlik yoksa (ilk bildiren oturumsuzsa) sonraki bildirimcinin kimliği eklenebilir; bir kez yazıldıktan sonra üzerine yazılmaz ve satır başına en fazla bir kimlik tutulur.

Uygulamada üçüncü taraf analitik veya çökme raporlama aracı (Google Analytics, Firebase Analytics, Crashlytics benzeri) kullanılmaz; hangi ekranları gezdiğin, nerede ne kadar kaldığın gibi kullanım alışkanlıkların ölçülmez ve reklam kimliğin okunmaz. Buna karşılık yukarıda anlatılan denetim izi, senin yaptığın işlemleri de (ilan açma, teklif, randevu, değerlendirme gibi) “kim, ne zaman, hangi kayıtta ne yaptı” biçiminde kaydeder; bu bir kullanım ölçümlemesi değil, güvenlik ve ispat kaydıdır. Uygulama içinde ödeme alınmaz; kredi kartı, banka kartı veya IBAN bilgin toplanmaz.

3. İşleme Amaçları ve Hukuki Sebepleri

Kişisel verilerin aşağıdaki amaçlarla ve karşılarında gösterilen hukuki sebeplerle işlenir:

• Üyeliğin oluşturulması ve telefon numarasının doğrulanması — sözleşmenin kurulması ve ifasıyla doğrudan doğruya ilgili olması (m. 5/2-c).
• İlan, teklif, sohbet, randevu ve değerlendirme akışının yürütülmesi; usta ile müşterinin eşleştirilmesi — sözleşmenin kurulması ve ifası (m. 5/2-c).
• Konuma göre yakındaki iş ve ustaların gösterilmesi, mesafenin hesaplanması — sözleşmenin ifası (m. 5/2-c) ve cihaz konumu bakımından açık rıza (m. 5/1).
• Hizmete ilişkin bildirimlerin gönderilmesi (yeni teklif, mesaj, iş durumu, randevu hatırlatması) — sözleşmenin ifası (m. 5/2-c) ve meşru menfaat (m. 5/2-f).
• Usta kimliğinin doğrulanması, sahte profillerin ve dolandırıcılığın önlenmesi — belgenin özel nitelikli veri içerebilmesi nedeniyle açık rıza (m. 6/2); doğrulama sonucunun profilde rozet olarak tutulması bakımından meşru menfaat (m. 5/2-f).
• İçerik moderasyonu, şikâyetlerin incelenmesi, engelleme kuralının uygulanması ve kötüye kullanımın önlenmesi — bu amaç, yetkili yöneticinin yönetim panelinden sohbet içeriklerine erişebilmesini de kapsar (bkz. 6. bölüm) — meşru menfaat (m. 5/2-f) ve gerektiğinde bir hakkın tesisi, kullanılması veya korunması (m. 5/2-e).
• Sistem güvenliğinin sağlanması, kötüye kullanımın ve aşırı isteğin sınırlanması (IP adresi bu amaçla işlenir), uygulama hatalarının giderilmesi ve gönderdiğin destek taleplerinin yanıtlanması — meşru menfaat (m. 5/2-f).
• Anlaşmazlıkların değerlendirilmesi ve çözülmesi — bir hakkın tesisi, kullanılması veya korunması (m. 5/2-e).
• Yasal yükümlülüklerin yerine getirilmesi ve yetkili mercilerin taleplerinin karşılanması — kanunlarda açıkça öngörülmesi (m. 5/2-a) ve hukuki yükümlülüğün yerine getirilmesi (m. 5/2-ç).

4. Açık Rızaya Dayanan İşlemeler

Aşağıdaki işlemeler açık rızana dayanır; rızanı vermemen halinde yalnızca ilgili özellik çalışmaz, hesabın kapanmaz:

• Cihaz konumunun yakınlık araması ve ilan konumu için kullanılması. İzni istediğin zaman cihaz ayarlarından geri çekebilirsin.
• Kimlik belgesi görüntüsünün doğrulama amacıyla işlenmesi. Bu adım isteğe bağlıdır; yalnızca müşteri olarak kalırsan hiç istenmez.

Açık rızanı geri aldığında, geri alma anından sonrası için ilgili işleme durur; hukuki sebebi başka bir bende dayanan kayıtlar (örneğin tamamlanmış bir işin kaydı) saklanmaya devam eder.

5. Kişisel Verilerin Toplanma Yöntemi

Kişisel veriler; uygulamaya doğrudan girdiğin bilgiler (kayıt, profil, ilan, teklif, mesaj, değerlendirme, şikâyet, destek talebi), yüklediğin görseller ve belgeler, izin verdiğinde cihazının konum servisi ve uygulamanın çalışması sırasında otomatik oluşan kayıtlar (bildirim jetonu, oturum kaydı, hata raporu, IP adresi) yoluyla, tamamen veya kısmen otomatik yollarla elektronik ortamda toplanır. Girişte parola kullanılmaz; telefon numarana SMS ile gönderilen tek kullanımlık doğrulama kodu ile giriş yaparsın. Bunun tek istisnası, uygulama mağazalarının inceleme ekipleri için tanımlanmış sabit kodlu test numarasıdır: o numaraya SMS gönderilmez, girişte sabit kod kullanılır. Bu numara gerçek bir kullanıcıya ait değildir ve bu yol yalnızca sunucuda tanımlı son kullanma tarihine kadar açıktır; tarih tanımlı değilse üretim ortamında tamamen kapalıdır. Bu kod, SMS doğrulama servisi üzerinden üretilip doğrulanır; kodun USTAG tarafında bir kaydı oluştuğunda veritabanında açık biçimde değil yalnızca özeti (hash) olarak tutulur ve süresi dolan kayıtlar düzenli olarak silinir.

6. Kişisel Verilerin Aktarımı ve Yurt Dışına Aktarım

Kişisel veriler, hizmetin çalışması için gereken ölçüde aşağıdaki taraflara aktarılır. Bu sağlayıcıların sunucuları yurt dışında bulunabildiğinden aktarım Kanun'un 9. maddesi kapsamında yurt dışına aktarım niteliği taşır:

• Cloudflare — uygulama sunucusu, veritabanı, önbellek ve medya depolaması bu altyapı üzerinde çalışır; verilerin burada işlenir ve saklanır. Sunucu günlükleri de bu altyapıda tutulur; bu günlüklerde IP adresin ve isteğin tam adresi — yakınlık aramasında sorgu dizesine giren konum koordinatı dâhil — yer alır.
• Twilio — telefon numarana doğrulama SMS'i göndermek ve kodu doğrulamak için telefon numaran bu servise iletilir.
• Google (Firebase) — bildirim altyapısı iki platformda da Firebase ile kurulur: iOS dâhil olmak üzere cihazının bildirim jetonu ve uygulama kurulum kimliği bu servis üzerinden alınır. Android bildirimlerinin içeriği de Firebase Cloud Messaging üzerinden iletilir.
• Apple (APNs) — iOS bildirimleri doğrudan Apple'ın bildirim servisine gönderilir; cihazının bildirim jetonu ve bildirimin içeriği Apple'a iletilir.
• Google (Fonts) — bu metnin de içinde bulunduğu USTAG web sayfalarında yazı tipleri Google sunucularından çekilir; bu isteklerde IP adresin ve tarayıcı bilgin Google'a ulaşır. Mobil uygulamada yazı tipleri uygulamanın içinde gelir, dışarıdan çekilmez.
• OpenStreetMap — uygulamadaki harita görüntüsü, karoları doğrudan OpenStreetMap sunucularından çekilerek oluşturulur; bu istekler sırasında cihazının IP adresi o sunuculara ulaşır.
• Yetkili kamu kurum ve kuruluşları — yalnızca mevzuatın gerektirdiği hallerde ve talep kapsamıyla sınırlı olarak.

Uygulama içinde görünür kıldığın bilgiler (ilan başlığı ve açıklaması, fotoğraflar, profil bilgilerin) işin karşı tarafına ve ilanın herkese açık olduğu ölçüde diğer kullanıcılara gösterilir. İlanın adres metni ile yuvarlanmamış koordinatı bunun dışındadır: bu ikisini yalnızca ilanı açan kişi ve işe atanmış usta görür.

Konum verisi iki tarafta da aynı kuralla korunur: ustanın çalışma merkezi koordinatı da, müşterinin ilan koordinatı da herkese açık yanıtlarda ham olarak verilmez, bir ızgaraya yuvarlanarak döndürülür. Izgara adımı hem enlemde hem boylamda 0,01 derecedir; bu, Türkiye enlemlerinde kuzey-güney yönünde yaklaşık 1,1 km, doğu-batı yönünde ise yaklaşık 0,9 km olan bir dikdörtgen hücre demektir — hücre kare değildir. Haritadaki kümeler de bu ızgaranın tam katlarıyla çizilir. Mesafe hesabı yuvarlanmamış koordinattan yapılıp ayrı bir alanda sunulur, yani yuvarlama liste doğruluğunu düşürmez.

Yönetim paneline erişimi olan yetkililerimiz, moderasyon, şikâyet incelemesi ve destek amacıyla sohbetlerin listesine (tarafların adı ve telefon numarası, iş başlığı, mesaj sayısı) erişebilir ve tek tek açtıkları sohbette mesaj metinlerini görebilir. Bu erişim, hakkında şikâyet bulunması şartına bağlı değildir. Buna karşılık her sohbet açılışı denetim izine yazılır, liste yanıtında mesaj metni yer almaz ve yetkili bu ekrandan mesaj gönderemez veya silemez.

Profil fotoğrafın ve işletme logon herkese açık profil verisi olduğu için imzasız, kalıcı ve uzun süre önbelleğe alınabilen bir adresten sunulur; ilan, portföy, sohbet ve kimlik belgesi medyasına erişim ise yalnızca süreli imzalı bağlantıyla olur. Kişisel veriler pazarlama veya reklam amacıyla üçüncü taraflara aktarılmaz ve satılmaz.

7. Saklama Süreleri ve İmha

• Hesap ve işlem kayıtları: hesabın açık kaldığı sürece ve mevzuatın öngördüğü süre boyunca saklanır.
• Doğrulama kodları: geçerlilik süreleri kısadır ve süresi geçen kod bir daha kabul edilmez. Kaydın veritabanından silinmesi ise günde bir kez çalışan bakım turunda olur; yani kayıt, süresi dolduktan sonra en fazla bir gün daha durabilir.
• Kimlik belgesi görüntüsü: başvurun hakkında karar verilir verilmez depodan kalıcı olarak silinir; kayıtta belgenin depo anahtarı dahi tutulmaz. Karar anında silinemeyen dosyalar gece çalışan temizlik görevi ile toplanır. Tabloda başvurunun sonucu, gerekçesi ve zaman bilgilerinin yanı sıra başvurunun kime ait olduğu ve kararı kimin verdiği bilgisi kalır: belgenin kendisi silinir, belge gönderdiğine dair kayıt kalır.
• Hiçbir kayda bağlanmamış yüklemeler: günde bir kez çalışan temizlik göreviyle, en erken 24 saat sonra silinir. Bu taramada profil fotoğrafın ve işletme logon da bir kayda bağlı sayılır; ilan, portföy, sohbet ve kimlik belgesi medyası gibi onlar da silinmez.
• Denetim izi (senin ve yöneticilerin işlemleri): 365 gün tutulur; daha eskisi günde bir kez çalışan bakım turunda silinir.
• Sunucu günlükleri: isteğin adresi (varsa sorgu dizesindeki konum) ve IP adresi, uygulama sunucusunu işleten Cloudflare tarafında, o hizmetin kendi saklama süresi kadar tutulur. USTAG bu günlükleri kendi veritabanına kopyalamaz.
• Destek talepleri, hata raporları ve bildirim kayıtları: bu kayıtlar için ayrı bir imha süresi uygulanmaz. Hesabını sildiğinde destek talebinin metni ve yöneticinin notu boşaltılır, hata raporunun hesabınla bağı koparılır. Bildirim satırları silinmez; ancak kendi kutundaki bildirimlerin başlığı, gövdesi ve eki ile karşı tarafın kutusundaki mesaj bildirimlerinin gövdesi boşaltılır.
• Hesap silme talebi: talebini verdiğin anda açık ilanların iptal edilir, bekleyen tekliflerin geri çekilir ve oturumların kapatılır. Talebinden 30 gün sonra kişisel verilerin kalıcı olarak kaldırılır. Bu işlemde telefon numaran ve adın silinir, yüklediğin dosyalar depodan tamamen kaldırılır; mesaj içeriklerin ve sohbet listesinde görünen son mesaj özetin, yorum metinlerin, verdiğin tekliflerin notu ile sohbet içi fiyat tekliflerinin başlığı ve notu, ilanlarının adres metni ve koordinatı, paylaştığın konumlar, usta isen çalışma merkezi koordinatın, işletme hesabının adı, tanıtım metni ve telefonu ile destek talebinin metni boşaltılır; kendi bildirim kutundaki bildirimlerin başlığı, gövdesi ve eki ile karşı tarafın kutusundaki mesaj bildirimlerinin gövdesi boşaltılır; cihaz kayıtların, oturumların, portföy görsellerin, favorilerin ve hizmet bölgesi bekleme listesi kaydın silinir; hata raporlarının hesabınla bağı koparılır. Karşı tarafın ilan, teklif ve iş geçmişinin bütünlüğü bozulmasın diye kaydın tamamı silinmek yerine kişisel veriden arındırılır. Adımlar için Hesap Silme sayfasına bakabilirsin.
• Hesap silmenin istisnaları: aşağıdaki kayıtlar bu işlemde boşaltılmaz; anonimleştirilmiş hesap satırına bağlı olarak kalmaya devam eder:
  • açtığın ilanların başlığı ve açıklaması (yalnız adres metni ve koordinatı boşaltılır) — bu alanlar senin yazdığın serbest metindir,
  • gönderdiğin şikâyetlerin gerekçesi ve notu ile açtığın anlaşmazlıkların gerekçesi ve anlatımı,
  • randevulara yazdığın not,
  • cüzdan hareketi kayıtların,
  • denetim izindeki kendi işlem kayıtların — bunlar yukarıdaki 365 günlük süre dolunca silinir,
  • kabul ettiğin yasal metin sürümü ve kabul zamanı,
  • işletme hesabının adından türetilmiş kısa adresi (slug): ad boşaltılsa da bu kısa adres okunabilir kalır,
  • kimlik doğrulama başvurusu yaptıysan, başvurunun kime ait olduğu ve kararı kimin verdiği bilgisi (belgenin kendisi zaten karar anında silinir),
  • mesaj bildirimi dışındaki bildirim türlerinde (örneğin "yakınında yeni iş" ya da teklif bildirimi) karşı tarafın kutusunda kalan metin; bu metin senin yazdığın ilan başlığını taşıyabilir.
  Bu kalemlerin de silinmesini Kanun'un 7. ve 11. maddeleri kapsamında ayrıca talep edebilirsin; talebin, saklamayı gerektiren hukuki sebebin sürüp sürmediğine göre değerlendirilir.

8. İlgili Kişi Olarak Haklarınız (KVKK m. 11)

Kanun'un 11. maddesi uyarınca veri sorumlusuna başvurarak şu haklara sahipsin:

• Kişisel verilerinin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında verilerinin aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmiş olması halinde düzeltilmesini isteme,
• Kanun'un 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin verilerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kanun'a aykırı işleme sebebiyle zarara uğraman halinde zararın giderilmesini talep etme.

9. Başvuru Yolu

Haklarına ilişkin taleplerini, kimliğini tespit edici bilgilerle birlikte destek@ustag.app adresine iletebilirsin. Başvurun, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır. Başvurunun reddedilmesi veya verilen cevabı yetersiz bulman ya da süresinde cevap verilmemesi halinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkın saklıdır.