Gizlilik Politikası ve KVKK Aydınlatma Metni

İşbu Gizlilik Politikası ve KVKK Aydınlatma Metni; Masrafo Bilişim ve Yazılım Teknolojileri ("Masrafo", "Platform", "Şirket") tarafından sunulan mobil uygulamalar (iOS, Android), web sitesi (masrafo.com) ve ilişkili tüm dijital servisler için geçerlidir.

Masrafo, kişisel verilerin korunmasını anayasal bir hak ve kurumsal bir ilke olarak kabul eder. Uygulama mimarisi, güvenli bulut altyapısı (Supabase PostgreSQL) üzerinde Satır Düzeyinde Güvenlik (Row Level Security - RLS) ve mobil cihazda yüksek hızlı MMKV çevrimdışı önbellekleme prensipleriyle tasarlanmıştır.

Supabase Bulut Depolama ve Satır Düzeyinde Güvenlik (RLS): Gelir, gider, bütçe parametreleri, kart takma adları ve hesap kesim günleri; Supabase PostgreSQL bulut altyapısında saklanır. Her kayıt kullanıcının benzersiz kimlik belirteci (auth.uid()) ile ilişkilendirilmiş olup, veritabanı düzeyindeki Row Level Security (RLS) politikaları sayesinde başka hiçbir kullanıcının veya yetkisiz sistemin verinize erişmesi teknik olarak imkansızdır. Tüm veri iletimi TLS 1.3 ve veritabanı saklaması AES-256 ile şifrelenir.

Cihaz İçi Çevrimdışı Önbellek (MMKV): Kullanıcının internet bağlantısı olmadığında dahi 0ms gecikmeyle harcama kaydı yapabilmesi için veriler yerel olarak yüksek hızlı MMKV kasasında önbelleğe alınır ve internet bağlantısı kurulduğunda Supabase bulutuna atomik olarak senkronize edilir.

Sıfır Banka Şifresi Güvencesi: Masrafo asla bankacılık giriş şifrenizi, internet bankacılığı parolanızı, kredi kartı numaranızı, son kullanma tarihini veya CVV güvenlik kodunuzu istemez ve sistemlerinde asla saklamaz.

Cihaz Kimliği (Device ID) & Telemetri Verileri: Cihaz yetkilendirmesi, oturum yönetimi, çevrimdışı senkronizasyon ve Pro abonelik doğrulaması amacıyla Cihaz ID (Device ID / Vendor UUID), kullanıcı kimliği (UUID), işletim sistemi sürümü ve StoreKit/Google Play makbuz belirteci işlenir. Masrafo, kullanıcıların IP adreslerini ASLA toplamaz, loglamaz ve sistemlerine kaydetmez (Sıfır IP Loglama Güvencesi).

6698 sayılı KVKK Madde 28 ve AB Genel Veri Koruma Tüzüğü (GDPR) Recital 26 hükümleri uyarınca; kimliği belirli veya belirlenebilir bir gerçek kişiyle hiçbir surette ilişkilendirilemeyecek şekilde geri döndürülemez biçimde anonimleştirilen veriler, kişisel veri tanımı kapsamı dışındadır.

Masrafo; ad-soyad, e-posta gibi kişisel kimlik bilgilerinden tamamen koparılmış genel harcama dağılımlarını, bütçe parametrelerini ve makroekonomik eğilimleri toplulaştırma (aggregation) ve anonimleştirme hakkına sahiptir. Masrafo sistemlerinde IP adresi toplanmaz; oturum için işlenen Cihaz ID ise bu istatistiksel modellerden ayrı tutulur.

Ticari Değerlendirme, Lisanslama ve Sektörel Analiz Yetkisi: Masrafo; bu anonimleştirilmiş veri setlerini AI modellerini eğitmek, sektörel bütçe trendleri üretmek, kurumsal ortaklarla paylaşmak ve analiz raporları hazırlamak amacıyla kullanma hakkını saklı tutar. Kullanıcı, platformu kullanarak kimliğinden arındırılmış bu anonim verilerin işlenmesine ve değerlendirilmesine muvafakat eder.

Kişisel verileriniz; bütçe yönetim hizmetinin sunulması (KVKK m.5/2-c), Pro abonelik haklarının tanımlanması ve mağaza entegrasyonu, yasal mevzuattan doğan yükümlülüklerin yerine getirilmesi (KVKK m.5/2-ç) ve bilgi güvenliğinin sağlanması (KVKK m.5/2-f) hukuki sebeplerine dayalı olarak işlenmektedir.

Bulut Barındırma (Supabase): Kullanıcı verileri, küresel güvenlik ve uyumluluk standartlarına (SOC 2 Type II, ISO 27001, GDPR) sahip Supabase Inc. bulut veri merkezlerinde şifreli olarak barındırılır.

Kişisel Kimlik Bilgilerinin Korunması: Kullanıcıların ad-soyad, e-posta veya kişisel kimliğini açığa çıkaracak hiçbir veri doğrudan veri simsarlarına veya üçüncü şahıslara aktarılmaz.

Anonim Verilerin Ticari Satışı ve Lisanslanması: Yalnızca KVKK Madde 28 ve GDPR Recital 26 kapsamında geri döndürülemez şekilde anonimleştirilen makro finansal göstergeler, sektörel harcama dağılımları ve sentetik trendler; Masrafo tarafından ticari ortaklara satılabilir, lisanslanabilir veya piyasa analiz raporları olarak sunulabilir.

Zorunlu Altyapı Sağlayıcıları: Yalnızca zorunlu teknik altyapı hizmeti sağlayıcıları (Supabase, App Store, Google Play Billing) ve anonim hata takip platformları (Crashlytics/Sentry) ile asgari düzeyde teknik veri paylaşımı yapılır.

KVKK Madde 11 ve GDPR Maddeleri 15-22 uyarınca kullanıcılarımız; kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, verilerini taşınabilir formatta (JSON/CSV) dışa aktarma ve hesap silme talebinde bulunarak Supabase bulut veritabanındaki ve cihazdaki tüm kayıtlarını kalıcı olarak yok ettirme hakkına sahiptir.

Başvurularınızı destek@masrafo.com e-posta adresi üzerinden Veri Sorumlusuna yazılı olarak iletebilirsiniz. Başvurularınız en geç 30 gün içinde ücretsiz olarak sonuçlandırılır.

Masrafo, donanımsal biyometrik koruma (Face ID / Touch ID / Biyometrik Kilit) katmanını destekler. Biyometrik şablonlar yalnızca Apple Secure Enclave veya Android TEE modülünde yerel olarak işlenir; işletim sistemi veya Masrafo sunucuları tarafından asla okunamaz.

Kullanıcı hesabını sildiğinde veya "Tüm Verileri Temizle" talebinde bulunduğunda, Supabase PostgreSQL veritabanındaki ilgili kullanıcıya ait tüm satırlar atomik PL/pgSQL fonksiyonları ile kalıcı olarak silinir ve yerel cihaz önbelleği sıfırlanır.