Gizlilik Politikası

PushToAll ("biz"), uygulama geliştiricilerinin kendi Firebase projeleri üzerinden push bildirimi göndermesini sağlayan bir hizmettir. Gizliliğinizi ciddiye alıyoruz. Bu politika; hangi kişisel verileri, hangi amaçlarla, hangi hukuki dayanaklarla işlediğimizi, ne kadar süreyle sakladığımızı, kimlerle paylaştığımızı ve haklarınızı nasıl kullanabileceğinizi açıklar. Politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve uygulanabildiği ölçüde Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR") dikkate alınarak hazırlanmıştır.

1. Kapsam ve veri sorumlusu

Bu politika, pushtoall.com adresindeki web sitesi, /app altındaki yönetim paneli ve api.pushtoall.com / pushtoall.com/api altındaki programlama arayüzleri (birlikte "Hizmet") aracılığıyla toplanan kişisel verilere uygulanır.

Hesap sahiplerinin kişisel verileri bakımından veri sorumlusu, Türkiye'de yerleşik PushToAll işletmecisidir ("PushToAll"). Ticaret unvanı, adres ve varsa VERBİS kayıt bilgileri bu sayfanın İletişim bölümünde yer alır.

2. Roller: hesap sahipleri ve son kullanıcılar

Hizmetimiz iki farklı kişi grubunun verisine temas eder ve her biri için rolümüz farklıdır:

• Hesap sahipleri (müşterilerimiz): Panele kaydolan geliştiriciler, ekip üyeleri ve faturalama yetkilileri. Bu verilerin veri sorumlusu PushToAll'dur.
• Son kullanıcılar: Müşterilerimizin mobil uygulamalarını kullanan ve cihaz tokenı Hizmet'e kaydedilen kişiler. Bu veriler bakımından veri sorumlusu müşterimizdir; PushToAll, müşterinin talimatlarıyla hareket eden veri işleyen konumundadır. Son kullanıcıların uygulamanın gizlilik politikasına ve doğrudan uygulama geliştiricisine başvurması gerekir; yine de bize ulaşan talepleri ilgili müşteriye gecikmeksizin iletiriz.

3. İşlediğimiz veriler

3.1 Hesap verileri

• Ad, soyad ve e-posta adresi; kimlik doğrulama bilgileri (parolalar Firebase Authentication tarafından karma/şifreli olarak tutulur, PushToAll düz metin parolaya erişemez).
• Çalışma alanı adı, ekip üyelikleri, roller ve davetler.
• Plan, abonelik durumu ve fatura kayıtları. Kart bilgileri PushToAll sunucularında saklanmaz; ödeme işlemleri PCI-DSS uyumlu ödeme sağlayıcımız tarafından yürütülür.
• Destek yazışmaları ve bize gönderdiğiniz diğer iletiler.

3.2 Son kullanıcı (cihaz) verileri

Müşterilerimizin uygulamaları, kayıt API'si aracılığıyla aşağıdaki verileri gönderebilir. Hangi alanların gönderileceğine müşteri karar verir; ad, telefon veya e-posta gibi doğrudan tanımlayıcı bilgilerin gönderilmesi gerekli değildir ve önerilmez.

• Firebase Cloud Messaging (FCM) cihaz tokenı ve platform (iOS / Android).
• Uygulama sürümü, işletim sistemi sürümü, cihaz dili, ülke ve zaman dilimi.
• Müşterinin tanımladığı etiketler (ör. "plan: premium") ve isteğe bağlı harici kullanıcı kimliği.
• Son aktiflik tarihi ve token geçerlilik durumu.
• Bildirim geçmişi: gönderilen mesajların içeriği, hedefleme kuralları, zamanlama ve teslim sonuçları (başarılı / başarısız).

3.3 Teknik veriler

• IP adresi, tarayıcı ve cihaz türü, istek zamanı ve API anahtarı kimliği içeren sunucu günlükleri.
• Hata ve performans kayıtları (hizmetin güvenli ve kararlı çalışması için).

Özel nitelikli kişisel veri (sağlık, din, biyometrik veri vb.) toplamıyoruz ve müşterilerimizin bu tür verileri etiket veya mesaj içeriği olarak göndermemesini şart koşuyoruz.

4. İşleme amaçları ve hukuki dayanaklar

Kişisel verileri aşağıdaki amaçlarla ve KVKK m.5 ile GDPR m.6'da sayılan hukuki dayanaklara göre işleriz:

• Hizmetin sunulması — hesap oluşturma, kimlik doğrulama, bildirimlerin FCM'e iletilmesi, hedefleme ve raporlama. Dayanak: sözleşmenin kurulması ve ifası (KVKK m.5/2-c; GDPR m.6/1-b).
• Faturalama ve muhasebe — abonelik ücretlerinin tahsili, fatura düzenleme, yasal kayıtların tutulması. Dayanak: sözleşmenin ifası ve hukuki yükümlülük (KVKK m.5/2-a, ç; GDPR m.6/1-b, c).
• Güvenlik ve kötüye kullanımın önlenmesi — günlük kayıtları, hız sınırlaması, şüpheli etkinlik tespiti. Dayanak: meşru menfaat (KVKK m.5/2-f; GDPR m.6/1-f).
• Hizmet iletişimi — güvenlik uyarıları, plan limiti bildirimleri, önemli değişiklikler. Dayanak: sözleşmenin ifası ve meşru menfaat.
• Pazarlama iletişimi — yalnızca açık rızanızla gönderilir ve her iletide abonelikten çıkma bağlantısı bulunur. Dayanak: açık rıza (KVKK m.5/1; GDPR m.6/1-a).
• Hizmetin geliştirilmesi — toplulaştırılmış ve anonimleştirilmiş kullanım istatistikleri. Anonim veriler kişisel veri değildir.

Son kullanıcı verilerini yalnızca müşterimizin talimatlarıyla ve Hizmet'i sunmak için işleriz; bu verileri kendi amaçlarımızla profillemez, satmaz veya reklam için kullanmayız.

5. Alt işleyiciler ve yurt dışına aktarım

Hizmeti sunmak için aşağıdaki altyapı sağlayıcılarından yararlanırız. Her biriyle veri işleme sözleşmesi veya eşdeğer koruyucu hükümler yürürlüktedir:

• Google Firebase (Google LLC / Google Ireland Ltd.) — kimlik doğrulama (Firebase Authentication), veri tabanı (Cloud Firestore) ve bildirim teslimi (Firebase Cloud Messaging). Veri merkezleri müşterinin Firebase projesi için seçtiği bölgede bulunur.
• Amazon Web Services (Amazon Web Services EMEA SARL) — uygulama sunucuları, yedekleme ve günlük depolama.
• Ödeme sağlayıcısı — abonelik ücretlerinin tahsili. Kart verileri doğrudan sağlayıcıya iletilir, PushToAll'a ulaşmaz.
• İşlemsel e-posta sağlayıcısı — doğrulama, davet ve fatura e-postaları.

Bu sağlayıcıların bir kısmı verileri Türkiye ve Avrupa Ekonomik Alanı dışında, özellikle Amerika Birleşik Devletleri'nde işleyebilir. Yurt dışına aktarımlar KVKK m.9 uyarınca Kişisel Verileri Koruma Kurulu'nun belirlediği usuller (yeterlilik kararı, standart sözleşme veya açık rıza) ve GDPR m.44 ve devamı uyarınca Avrupa Komisyonu Standart Sözleşme Maddeleri çerçevesinde gerçekleştirilir. Hesabınızı oluşturarak bu aktarımın kapsamı hakkında bilgilendirildiğinizi kabul edersiniz.

Yasal zorunluluk hâlinde (mahkeme kararı, yetkili kamu kurumu talebi) kişisel verileri ilgili makamlarla paylaşabiliriz. Bu durumda, hukuken engel yoksa sizi bilgilendiririz.

6. Saklama süreleri

• Hesap verileri: hesabınız aktif olduğu sürece; hesap silindikten sonra en geç 30 gün içinde silinir veya anonimleştirilir.
• Cihaz tokenları ve etiketler: müşteri silinceye kadar veya FCM tarafından geçersiz bildirildikten sonra otomatik olarak; 180 gün boyunca aktif olmayan tokenlar periyodik temizlikte kaldırılır.
• Bildirim geçmişi: gönderim tarihinden itibaren 12 ay; müşteri daha kısa bir süre ayarlayabilir veya kayıtları elle silebilir.
• Sunucu günlükleri: 90 gün.
• Fatura ve muhasebe kayıtları: Vergi Usul Kanunu ve Türk Ticaret Kanunu uyarınca 10 yıl.
• Yedekler: şifreli yedekler en fazla 35 gün saklanır ve bu süre sonunda otomatik olarak silinir.

7. Güvenlik

Kişisel verileri yetkisiz erişime, kayba ve kötüye kullanıma karşı korumak için teknik ve idari tedbirler uygularız:

• Aktarım sırasında TLS 1.2+ şifreleme; depolamada sağlayıcı düzeyinde şifreleme (Firestore ve AWS).
• API anahtarları ve gönderim anahtarları yalnızca karma (hash) olarak saklanır; Firebase servis hesabı anahtarları şifreli tutulur ve yalnızca gönderim anında kullanılır.
• Rol tabanlı erişim kontrolü (yönetici / gönderici / izleyici), proje bazlı yetkilendirme ve gönderim öncesi inceleme penceresi.
• Hız sınırlaması, denetim kayıtları ve en az yetki ilkesi; üretim verisine erişimi olan kişi sayısı sınırlıdır.
• Veri ihlali hâlinde, KVKK Kurulu kararları ve GDPR m.33 uyarınca en geç 72 saat içinde ilgili makama ve etkilenen müşterilere bildirim yapılır.

Hiçbir sistem tamamen güvenli değildir. Hesabınızın güvenliği için güçlü bir parola kullanmanızı, API anahtarlarınızı istemci uygulamalarına gömmemenizi ve ekip üyeliklerini düzenli gözden geçirmenizi öneririz.

8. Çerezler

Web sitemiz ve panelimiz yalnızca zorunlu çerezler ve yerel depolama kullanır: oturum kimliği (kimlik doğrulama), dil tercihi ("pta.lang") ve arayüz ayarları. Reklam veya üçüncü taraf izleme çerezi kullanmıyoruz. Zorunlu çerezler için onay gerekmez; tarayıcı ayarlarından silebilirsiniz, ancak bu durumda oturumunuz kapanır.

9. Haklarınız

KVKK m.11 ve GDPR m.15–22 uyarınca aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme (erişim).
• İşleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme.
• Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme.
• Kanunda öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme ("unutulma hakkı").
• İşlemenin kısıtlanmasını isteme ve meşru menfaate dayalı işlemeye itiraz etme.
• Verilerinizi yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir biçimde alma (veri taşınabilirliği). Cihaz tokenları ve etiketler panelden her zaman dışa aktarılabilir.
• Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonucun ortaya çıkmasına itiraz etme.
• Verdiğiniz rızayı dilediğiniz zaman geri alma; geri alma, önceki işlemenin hukuka uygunluğunu etkilemez.
• Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Taleplerinizi okbsoft@gmail.com adresine iletebilirsiniz. Kimliğinizi doğrulamak için ek bilgi isteyebiliriz. Başvurularınız en geç 30 gün içinde ücretsiz olarak yanıtlanır; işlem ayrıca bir maliyet gerektirirse Kişisel Verileri Koruma Kurulu'nun belirlediği tarife uygulanabilir.

Başvurunuzun reddedilmesi, yanıtın yetersiz bulunması veya süresinde yanıt verilmemesi hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız vardır. Avrupa Birliği'nde yerleşik kişiler, ikamet ettikleri ülkenin veri koruma otoritesine de başvurabilir.

10. Çocuklar

Hizmet, 18 yaşından küçüklere yönelik değildir ve bilerek çocuklardan hesap verisi toplamayız. Müşterilerimizin uygulamaları çocuklara yönelikse, bu uygulamalar için geçerli yasalara (ör. COPPA, GDPR m.8) uyum müşterinin sorumluluğundadır. Bir çocuğun kişisel verisinin bize izinsiz iletildiğini öğrenirsek derhâl sileriz.

11. Değişiklikler

Bu politikayı zaman zaman güncelleyebiliriz. Önemli değişiklikleri yürürlüğe girmeden en az 15 gün önce e-posta veya panel içi bildirimle duyururuz. Değişiklik tarihi sayfanın üstünde yer alır. Değişiklikten sonra Hizmet'i kullanmaya devam etmeniz güncel politikayı kabul ettiğiniz anlamına gelir.

12. Uygulanacak hukuk

Bu politika Türkiye Cumhuriyeti hukukuna tabidir. KVKK'nın ve ilgili mevzuatın emredici hükümleri saklıdır. Avrupa Birliği'nde yerleşik son kullanıcılar bakımından GDPR'ın sağladığı haklar ayrıca korunur.

13. İletişim

Gizlilikle ilgili sorularınız, talepleriniz ve veri işleme sözleşmesi (DPA) istekleriniz için:

PushToAll
Türkiye
okbsoft@gmail.com