Hangi verini, neden tutuyoruz

Kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) anlamında veri sorumlusu Scalass.

Her türlü soru, talep ve başvuru için: iletisim@scalass.com

Yalnızca ürünün çalışması için gerekenleri. Sitede gezinmek için hiçbir veri vermen gerekmiyor.

Hesap açarsan

• E-posta adresin ve adın.
• Şifren. Şifreyi biz görmüyoruz; kimlik altyapımız (Neon Auth) geri döndürülemez biçimde saklıyor.
• Kullanıcı adın, görünen adın, varsa profil metnin ve linklerin.

Kombin paylaşırsan

• Yüklediğin fotoğraf ve yazdığın açıklama.
• Eklediğin parçalar: kategori, marka, ürün adı, fiyat ve link.
• Yayın tarihi ve yayın durumu.

Kullanırken

• Beğendiğin, beğenmediğin, kaydettiğin kombinler.
• Takip ettiğin kişiler.
• Bir parçanın linkine tıkladığında bunun kaydı. Bu kayıtta hangi parça, hangi kombin ve — girişliysen — kim olduğun yazıyor. IP adresi ve tarayıcı bilgisi tutulmuyor. Girişsiz tıklamalar tamamen anonim.

Sayfaları ölçmek için

• Hangi sayfanın görüntülendiği ve — varsa — geldiğin sitenin yalnızca alan adı (ör. «instagram.com»). Tam adres saklanmıyor; bir arama sonucundan geliyorsan aradığın kelimeler bize ulaşmıyor.
• Aynı ziyaretçinin sayfayı kaç kez yenilediğini ayırt edebilmek için günlük değişen bir teknik özet. IP adresin ve tarayıcı bilgin geri döndürülemez şekilde karılıyor, üstelik her gün farklı bir karşılığa düşüyor — yani kimse günler boyunca izlenemiyor ve satırda ham veri durmuyor.

Kötüye kullanımı önlemek için

• Kayıt, giriş, şifre sıfırlama ve yayınlama isteklerinde IP adresinin geri döndürülemez şekilde şifrelenmiş (hash) bir karşılığı. Ham IP adresi veritabanına hiç yazılmıyor ve bu kayıtlar kısa sürede siliniyor.

Telefonla çekilen fotoğraflar genelde içlerinde nerede ve ne zaman çekildiklerini taşır (EXIF verisi). Bu, kişinin ev adresini paylaşmaya kadar gidebilen bir bilgi.

Yüklediğin fotoğrafın EXIF verisi sunucuda siliniyor. Fotoğraf yayınlanmadan önce yeniden kodlanıyor; konum, cihaz ve tarih bilgisi çıktıya taşınmıyor. Yalnızca görüntünün doğru yönde durması için gereken dönüş uygulanıyor, sonra o bilgi de düşüyor.

Kombin fotoğrafları herkese açık adreslerde duruyor. Keşif akışı hesapsız çalıştığı ve kombinler sosyal medyada paylaşıldığı için bu gerekli — yani yüklediğin fotoğrafı linki olan herkes görebilir.

KVKK bir kişisel verinin ancak sayılı sebeplerden birine dayanarak işlenebileceğini söylüyor. Bizim dayandıklarımız şunlar:

• Sözleşmenin kurulması ve ifası (m.5/2-c) — hesabını açmak, kombinini yayınlamak, kaydettiklerini geri getirmek. Bu veriler olmadan ürün çalışmaz.
• Meşru menfaat (m.5/2-f) — keşif akışını sıralamak, kombini paylaşan kişiye kaç kişinin gördüğünü ve tıkladığını göstermek, hangi sayfaların işe yaradığını ölçmek, sahte hesap ve kötüye kullanımı engellemek. Bunlar ürünün temel işleyişi için gerekli ve senin haklarını zedeleyecek ölçüde veri toplamıyoruz.
• Hukuki yükümlülük (m.5/2-ç) — yetkili makamlardan usulüne uygun bir talep gelirse.

Reklam amaçlı profilleme yapmıyoruz ve verini reklam ağlarına satmıyoruz. Beğeni ve kaydetme verisi yalnızca sana ne göstereceğimize karar vermek için kullanılıyor.

Takip çerezi kullanmıyoruz. Reklam ağı, piksel ya da üçüncü taraf analitik aracı yok. Sayfa ölçümünü kendimiz yapıyoruz ve verisi kimseyle paylaşılmıyor. Bir şey bozulduğunda teknik hata kaydı tutan bir hizmet kullanıyoruz (Sentry) — o da seni izlemiyor, ne gezdiğini değil neyin bozulduğunu kaydediyor.

• Oturum çerezi — yalnızca giriş yaptığında oluşuyor ve girişli kalmanı sağlıyor. Çıkış yaptığında geçersizleşiyor.
• Serbest kombin çerezi — hesabın yokken ilk açtığın kombinin kimliğini tutuyor. Tek işi o kombinin parçalarını sana açık tutmak; başka bir yerde kullanılmıyor ve kimliğinle ilgili hiçbir bilgi taşımıyor.
• Cihaz hafızası (localStorage) — hesabın yokken kaydettiğin kombinler sunucuya değil, tarayıcına yazılıyor. O liste bizde değil sende; hesap açtığında sen istersen hesabına taşınıyor.

Kişisel verini satmıyoruz. Yalnızca ürünü ayakta tutan hizmet sağlayıcılarla, sadece o hizmet için gereken kadarını paylaşıyoruz:

• Neon — veritabanı, kimlik doğrulama ve fotoğraf deposu.
• Vercel — sitenin barındırıldığı altyapı.
• Sentry — hata kaydı. Sitede bir şey bozulduğunda teknik hata bilgisi (hangi sayfa, hangi tarayıcı, hatanın kod içindeki yeri) buraya gidiyor ki sorunu görüp düzeltebilelim. Ekran kaydı almıyoruz, IP adresi ve çerezlerini göndermiyoruz.

Bu sağlayıcıların sunucuları yurt dışında bulunabilir; hesap açarken verilerinin KVKK m.9 kapsamında yurt dışına aktarılabileceğini kabul etmiş oluyorsun.

Bir parçanın linkine tıklayıp başka bir siteye gittiğinde artık o sitenin gizlilik politikası geçerli. Oraya senin adına hiçbir bilgi göndermiyoruz; sadece linki açıyoruz.

• Hesap ve içerik verisi — hesabın açık olduğu sürece. Hesabını kapattığında kombinlerin, fotoğrafların ve profil bilgilerin siliniyor.
• Kaldırılan kombin — silinmiyor, görünmüyor. Sen silene ya da hesabını kapatana kadar duruyor.
• Silinen kombin — kayıt ve fotoğraf birlikte gidiyor, geri getirilemiyor.
• Tıklama kayıtları — kombin silinse bile sayım korunuyor ama kayıt anonimleşiyor: hangi kombine, kime ve hangi ürüne ait olduğu bağlantısı kopuyor.
• Görüntüleme kayıtları — hangi sayfanın kaç kez açıldığı toplu olarak duruyor. Ziyaretçiyi ayırt eden teknik özet zaten her gün değiştiği için eski kayıtlar bir kişiye bağlanamaz.
• Hız sınırı kayıtları — en fazla birkaç saat.

Yasal saklama yükümlülüğü olan kayıtlar, süresi dolana kadar kalır.

Veri sorumlusuna başvurarak şunları isteyebilirsin:

• Kişisel verinin işlenip işlenmediğini öğrenmek.
• İşlenmişse buna ilişkin bilgi talep etmek.
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenmek.
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilmek.
• Eksik veya yanlış işlenmişse düzeltilmesini istemek.
• Kanundaki şartlar çerçevesinde silinmesini veya yok edilmesini istemek.
• Düzeltme ve silme işlemlerinin aktarıldığı kişilere bildirilmesini istemek.
• Otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etmek.
• Hukuka aykırı işleme sebebiyle zarara uğradıysan zararının giderilmesini istemek.

Bir kısmını zaten kendin yapabilirsin: adını ve kullanıcı adını ayarlardan değiştirebilir, kombinlerini kaldırabilir ya da silebilirsin.

Gerisi için iletisim@scalass.com adresine yaz; başvurunu en geç 30 gün içinde sonuçlandırırız. Sonuçtan memnun kalmazsan Kişisel Verileri Koruma Kurulu'na şikayette bulunma hakkın var.

Bağlantılar şifreli (HTTPS), şifreler geri döndürülemez biçimde saklanıyor ve yönetim paneline yalnızca önceden tanımlı e-postalar girebiliyor. Yine de hiçbir sistem tamamen güvenli değil; bir güvenlik açığı fark edersen iletisim@scalass.com adresine bildirmen bize yardımcı olur.

Scalass 13 yaşından küçükler için değil ve bilerek onlardan veri toplamıyoruz. 13 yaşından küçük birine ait bir hesap olduğunu fark edersek kapatıyoruz. Çocuğunuza ait bir hesap olduğunu düşünüyorsanız bize yazın.

Yeni bir özellik yeni bir veri işleme gerektirdiğinde bu metin de güncellenir. Anlamlı bir değişiklikte sayfanın üstündeki tarih değişir; önemli değişiklikleri hesabındaki e-posta adresine bildiririz.