Gizlilik Politikası

Bu politika Malpera’nın (malpera.com) hangi kişisel verileri topladığını, neden topladığını, kimlerin aldığını ve haklarını açıklar. Malpera, yapay zekâ ile web sitesi ve web uygulaması kuran ve bunları barındıran bir araçtır. Veri sorumlusu Ferhat Çaldıra, Norveç’tir. İletişim: malpera33@gmail.com. AB/AEA Genel Veri Koruma Tüzüğü’ne (GDPR) ve Norveç hukukuna uyarız.

İki ayrı rol. Malpera hesabın varsa ve Malpera ile bir şey kuruyorsan, verilerinin sorumlusu biziz ve bu politika doğrudan sana uygulanır. Başkasının Malpera ile kurduğu bir sitenin ya da uygulamanın kullanıcısı ya da ziyaretçisiysen, neyin neden toplandığına o uygulamanın sahibi karar verir (veri sorumlusu odur); Malpera veriyi yalnızca onun adına saklar ve işler. Önce uygulamanın sahibine başvur; ayrıca 3. bölüme bak.

1. Malpera hesap sahipleri hakkında topladığımız veriler

• Hesap: e-posta adresin; adın (Google ile giriş yaparsan Google’dan, yoksa e-posta adresinden türetilir); nasıl ve ne zaman giriş yaptığın; dil tercihin; paketin, kredi bakiyen ve kredilerin nasıl kullanıldığının geçmişi.
• Giriş kodları: e-postayla giriş yaparsan altı haneli bir kod göndeririz ve yalnızca tek yönlü özetini 10 dakika saklarız. Malpera hesaplarında parola yoktur.
• Projelerin: yazdığın tarifler, sohbet mesajları ve planlar; yüklediğin görseller; senin için üretilen kaynak kodu, sayfalar ve dosyalar; sürüm geçmişi; yayın ayarları ve eklediysen kendi alan adın ile projenin iletişim e-postası. “Yalnızca göster” diye eklediğin görseller o istek için yapay zekâ modeline gönderilir ve projeyle birlikte saklanmaz.
• Eklediğin anahtarlar: bir projeye dış bir hizmetin anahtarını (örneğin kendi yapay zekâ anahtarını) verirsen şifreli saklanır; bir daha gösterilmez ve tarayıcılara gönderilmez.
• Malpera’ya ödemeler: paketin, abonelik durumun, fatura tarihlerin, satın alma ve iade geçmişin ve Stripe’ın bize verdiği müşteri ve abonelik kimlikleri. Kart bilgileri Stripe’ın sayfalarında girilir ve bize hiç ulaşmaz.
• Ekip üyeleri: bir projede seninle çalışması için davet ettiğin e-posta adresleri.
• Teknik kayıtlar: güvenlik, kötüye kullanımı önleme ve sorun giderme için. Web sunucumuzun erişim kaydı IP adresini, istek yolunu, zamanı ve yanıt durumunu tutar (çerez ve istek içeriği yok; adreslerdeki giriş ve önizleme anahtarları maskelenir) ve 30 gün sonra silinir. Uygulama kayıtları hesap kimliğini, zamanı ve hataları tutar; IP adresi ve e-posta adresi içermez; en çok 30 gün tutulur ya da boyutu sınırlıdır. Yayın, alan adı ve proje silme işlemlerinin kaydı (hesap kimliği, zaman ve neyin değiştiği — e-posta adresi yok) hesabın durduğu sürece, boyutu sınırlı olarak tutulur.
• Ürün kullanım olayları: insanların nerede zorlandığını görmek ve Malpera’yı iyileştirmek için uygulamada hangi adımlara ulaştığını kaydederiz (örneğin hesap açıldı, proje oluşturuldu, istek gönderildi, sonuç hazır, değişiklik yapıldı, bir pencere açıldı, yayınlandı, ertesi gün geri gelindi); zamanı, hesap kimliğini, paketini ve kısa durum kodlarını. Bu olaylar yazdıklarını, e-posta adresini, IP adresini, anahtarları ya da dosya içeriklerini asla içermez ve bunun için çerez kullanılmaz. Yalnızca Malpera yöneticileri görebilir. 13 ay saklanır ve hesabın silinince silinir.
• Kayıt koruması: ücretsiz hesapların kötüye kullanımını sınırlamak için bir bağlantıdan ve bir tarayıcıdan günde açılan yeni hesapları sayarız. Bunun için IP adresinin kendisini değil tek yönlü özetini ve rastgele bir tarayıcı kimliğini yalnızca o gün için tutarız; bunları başka verilerinle birleştirmeyiz ve başka bir amaçla kullanmayız.

2. Google ile giriş

Malpera’ya “Google ile devam et” ile giriş yapabilirsin. Google’dan yalnızca temel giriş izinlerini isteriz (openid, email, profile).

• Ne alırız: e-posta adresin, adın ve Google’ın bu adresi doğrulayıp doğrulamadığı. Google parolanı almayız; Gmail, kişiler, Drive, takvim ya da başka hiçbir Google verisine erişimimiz olmaz.
• Ne saklarız: e-posta adresin, adın ve Google ile giriş yaptığın bilgisi. Profil fotoğrafını saklamayız; Google erişim anahtarlarını tutmayız: tek kullanımlık anahtar giriş sırasında kullanılır ve atılır.
• Ne için kullanırız: yalnızca hesabını açmak, giriş yapmanı sağlamak, adını uygulamada göstermek ve sana hizmet e-postaları (örneğin makbuz ya da güvenlik bildirimi) göndermek için.
• Ne yapmayız: Google kullanıcı verisini satmayız, reklam için kullanmayız, yapay zekâ modeli eğitmek için kullanmayız ve Malpera’yı çalıştırmak için gereken 6. bölümdeki hizmet sağlayıcılar dışında kimseyle paylaşmayız.
• Malpera ile kurulmuş bir uygulamanın içinde “Google ile devam et”: bu girişi uygulama adına Malpera yürütür; Google ekranında Malpera adının görünmesinin nedeni budur. Aynı e-posta adresini ve adı alırız ve yalnızca o tek uygulamadaki hesabını açmak ya da bulmak için kullanırız. Uygulamanın sahibi bunları diğer kayıtlar gibi görebilir. Aynı Google hesabıyla girilse bile farklı uygulamalardaki hesaplar birbirinden ayrıdır.
• Erişimi kaldırma ve silme: Malpera’yı Google hesabından istediğin an myaccount.google.com/permissions adresinden kaldırabilirsin. Malpera hesabını silmek (7. bölüm) Google’dan aldığımız verileri de siler.

Malpera’nın Google API’lerinden aldığı bilgileri kullanması ve aktarması, Sınırlı Kullanım koşulları dahil Google API Hizmetleri Kullanıcı Verileri Politikası’na uygundur.

3. Kurduğun sitelerdeki ve uygulamalardaki veriler (senin adına veri işleyeniz)

• Uygulamanın kullanıcıları: uygulamanda hesap varsa her kullanıcı için e-posta adresini, adını, giriş zamanlarını ve nasıl giriş yaptığını (parola ya da Google) saklarız. Parolalar yalnızca veritabanının giriş hizmetinde tuzlanmış özet olarak saklanır; ne sen ne biz okuyabiliriz.
• Uygulamanın içeriği: kullanıcılarının ve ziyaretçilerinin girdiği her şey (form mesajları, rezervasyonlar, ilanlar, siparişler, yüklenen dosyalar vb.) Malpera’nın uygulaman için çalıştırdığı, diğer bütün uygulamalardan ayrılmış bir veritabanında ve dosya alanında saklanır. Bunun yerine kendi Supabase hesabını bağladıysan veriler, Supabase ile kendi sözleşmen kapsamında senin Supabase projende saklanır.
• Uygulamanın gönderdiği e-postalar: hesap e-postaları (onay, parola sıfırlama) ve bildirimler e-posta sağlayıcımız üzerinden iletilir. Bir teslim kaydı tutarız (zaman, şablon, durum, maskelenmiş alıcı).
• Uygulamandaki yapay zekâ özellikleri: kullanıcının böyle bir özelliğe yazdığı metin ve okutmak için verdiği dosya (örneğin bir fotoğraf, fiş ya da PDF belge), cevabı üretmek için bir yapay zekâ sağlayıcısına gönderilir (6. bölüm). Dosya yalnızca isteyen kişinin yetkisiyle okunur; bir kullanıcı başka bir kullanıcının özel dosyasını okutamaz. Bu metinleri ve dosyaları, uygulamanın kendi kaydettiği dışında saklamayız.
• Uygulamana gelen bildirimler (webhook): bağladığın bir dış servis (örneğin bir form ya da randevu aracı) uygulamana bildirim gönderdiğinde, bildirimin gerçekten o servisten geldiğini doğrularız; içeriğini uygulaman işleyene kadar şifreli saklarız ve içeriği olmayan bir kayıt (zaman, tür, durum) 7 gün tutarız.
• Uygulamandaki ödemeler: ödemeleri açarsan müşterilerin senin Stripe hesabın üzerinden Stripe ile öder. Uygulama neyin satın alındığını gösterebilsin diye ödeme ya da abonelik durumunu, tutarı, para birimini ve Stripe kimliklerini saklarız; kart bilgileri bize de sana da ulaşmaz.
• Bağladığın dış servisler: bir servisi kendi anahtarınla bağlarsan (örneğin OpenAI, Google Gemini, Resend, Google Maps, Slack ya da Discord) uygulamanın ona gönderdiği veriler — kullanıcının gönderdiği metin ya da bir bildirim mesajı gibi — senin hesabın ve o servisin şartları kapsamında o servise gider. Anahtarların şifreli saklanır, yalnızca ait oldukları servise gönderilir ve tarayıcıya hiç ulaşmaz. Neyin kullanıldığını görebilmen için servis başına günlük çağrı ve hata sayısını, tahmini maliyeti ve son hata mesajını tutarız.
• İşlem kayıtları ve kullanım: uygulamanın sunucu tarafındaki işlerinin teknik kayıtları (zaman, sonuç, hatalar) ve günlük kullanım sayıları; boyutu sınırlıdır.
• Ziyaret istatistikleri (yayınlanan uygulamalar için): yayındaki sayfada bulunan küçük bir betik, her sayfa görüntülemesini uygulamanın kendi adresine bildirir. Yalnızca günlük toplamları tutarız: ziyaretçi, ziyaret ve sayfa görüntüleme sayıları, sayfalar, ziyaretçinin geldiği site ya da kampanya (örneğin “Google” ya da “Instagram”), cihaz türü (telefon, tablet ya da bilgisayar) ve tarayıcı dili; ayrıca form gönderimi ve satış gibi sonuçlar. Bir ziyaretçiyi günde bir kez saymak için IP adresi ve tarayıcı bilgisi her gün değişen gizli bir anahtarla karıştırılır; anahtar gün bitince silinir. Ne IP adresi ne tarayıcı bilgisi ne de bu karışım o günden sonra saklanır; ziyaretçinin tarayıcısına çerez ya da başka bir kimlik bırakılmaz. Tarayıcısı “izlenmek istemiyorum” bildiren ziyaretçiler (Global Privacy Control ya da Do Not Track), otomatik tarayıcılar ve uygulamanın sahibiyle ekibi sayılmaz. Ziyaretçiyi tanımlayan bir şey tutulmadığı için bu istatistik normalde çerez onay penceresi gerektirmez.

Bu veriler için veri sorumlusu sensin: uygulamanın ne toplayacağına sen karar verirsin; kullanıcılarını bilgilendirmek (örneğin kendi gizlilik bildiriminle) ve taleplerini yanıtlamak senin sorumluluğundadır. Biz bu verileri yalnızca uygulamanı çalıştırmak, güvende tutmak ve ürün üzerinden verdiğin talimatları yerine getirmek için işleriz.

4. Çerezler ve yerel depolama

Girişinin açık kalması için bir oturum çerezi (30 gün), Google ile giriş yaparken ya da Supabase hesabı bağlarken kısa ömürlü çerezler (10 dakika) ve yalnızca aynı tarayıcıdan açılan yeni hesap sayısını sınırlamak için bir tarayıcı kimliği çerezi (rastgele bir değer, 1 yıl) kullanırız. Tarayıcının yerel depolaması dil gibi tercihleri ve giriş yapmadan önce yazdığın son isteği hatırlar. Malpera ile kurulan uygulamalarda giriş yapan kullanıcının oturumu o kullanıcının tarayıcı deposunda tutulur. Reklam ya da analiz çerezi kullanmayız ve seni başka sitelerde izlemeyiz.

5. Verileri neden işliyoruz (hukuki dayanaklar)

• İstediğin hizmeti sunmak için — giriş, projelerini kurma ve barındırma, uygulamalarını çalıştırma, e-postaları iletme, paketini ve ödemelerini yönetme (sözleşmenin ifası).
• Hizmeti güvende tutmak, kötüye kullanımı önlemek, kullanımı ölçmek ve sorunları gidermek için (meşru menfaat).
• Giriş kodu ve makbuz gibi hizmet e-postaları göndermek için (sözleşme). Onayın olmadan pazarlama e-postası göndermeyiz.
• Muhasebe gibi yasal yükümlülükleri yerine getirmek için.

6. Verileri kimler alır (hizmet sağlayıcılar ve üçüncü taraflar)

• Yapay zekâ sağlayıcıları: Anthropic (Claude) ve Google (Gemini). Tariflerin, sohbet mesajların, görsellerin ve projenin mevcut dosyaları projeni kurmak ve düzenlemek için onlara gönderilir. Bu verileri API koşulları kapsamında bizim adımıza işlerler ve bu koşullara göre modellerini eğitmek için kullanmazlar. Malpera ile yapılmış bir uygulamada Malpera’nın hazır yapay zekâsıyla çalışan bir özellik varsa, kullanıcıların o özelliğe yazdığı metin de aynı şekilde Google’a (Gemini) gönderilir; uygulamanın sahibi kendi yapay zekâ anahtarını kullanıyorsa metin, sahibin seçtiği sağlayıcıya sahibin hesabı kapsamında gönderilir.
• Barındırma: Hetzner Online GmbH (AB’deki sunucular — Finlandiya/Almanya). Malpera, projelerin ve günlük yedekler orada saklanır.
• Uygulamalar için veritabanı ve dosya alanı: Supabase, Inc., bir AB bölgesinde (Frankfurt, Almanya). Malpera ile kurulan uygulamaların hesapları, verileri ve dosyaları orada saklanır; yedeklerimizin şifreli bir kopyası da orada tutulur. Kendi Supabase hesabını bağlarsan Supabase’in yönetim arayüzünü senin adına kullanırız ve veriler senin projende durur.
• Ödemeler: Stripe (Stripe Payments Europe Ltd. ve bağlı şirketleri). Stripe Managed Payments ile satın alınan Malpera paketlerinde Stripe yetkili satıcıdır (merchant of record) ve ödeme bilgilerini kendi gizlilik politikası kapsamında bağımsız veri sorumlusu olarak işler. Uygulamalarının içindeki ödemelerde Stripe senin kendi hesabını açar ve doğrular, kimlik ve banka bilgilerini doğrudan senden alır; biz bunları görmeyiz.
• E-posta: Resend, Inc. giriş kodlarını, hizmet e-postalarını ve uygulamalarının gönderdiği e-postaları iletir.
• Google: sen ya da uygulamanın kullanıcıları “Google ile devam et”i seçerse (2. bölüm).
• Stok fotoğraflar: Pexels ve Openverse yalnızca arama kelimeleriyle sorgulanır; kişisel veri gönderilmez.
• Tarayıcının yüklediği küçük yardımcılar: “paylaş” kartındaki QR kodu, yalnızca yayınlanan uygulamanın herkese açık adresini alan bir QR hizmeti (goqr.me) çizer; tasarım önizlemeleri bir stil kitaplığını herkese açık bir içerik ağından yükler; Malpera ile kurulan uygulamalardaki haritalar harita görüntülerini OpenStreetMap'ten (uygulamanın sahibi Google Maps'i seçtiyse Google'dan) yükler. Bu hizmetler, ziyaret ettiğin her site gibi IP adresini görür; hesap verisi almaz. Kayıt koruması kısa bir otomatik doğrulama isterse bunu Cloudflare Turnstile sağlar ve bu doğrulama için tarayıcının teknik sinyallerini işler.

Bazı sağlayıcılar Amerika Birleşik Devletleri’ndedir ya da ABD şirketidir. Aktarımlar AB–ABD Veri Gizliliği Çerçevesi’ne ya da Avrupa Komisyonu’nun standart sözleşme maddelerine dayanır. Kişisel veri satmayız; yetkili makamlarla yalnızca yasa gerektirdiğinde paylaşırız.

7. Verileri ne kadar saklarız ve nasıl silinir

• Projeler: sen silene kadar saklanır. Malpera’da bir projeyi silmek dosyalarını, geçmişini ve yayın kopyasını; Malpera’nın yönettiği veritabanındaki uygulamalarda ayrıca uygulamanın veritabanını, dosyalarını ve kullanıcı hesaplarını kaldırır. Uygulama kendi Supabase hesabında çalışıyorsa o projeyi Supabase panelinden silersin.
• Hesabın: silmemizi isteyene kadar saklanır. Hesabın e-posta adresinden malpera33@gmail.com adresine yaz; hesabı, projelerini ve uygulamalarını 30 gün içinde sileriz.
• Malpera ile kurulmuş bir uygulamanın kullanıcıları: hesabının ve verilerinin silinmesini uygulamanın sahibinden iste. Ona ulaşamıyorsan bize yaz; talebini iletir ve elimizden geldiğince yardımcı oluruz.
• Yedekler: silinen veriler yedeklerden 14 gün içinde kaybolur.
• Giriş kodları: 10 dakika. Web sunucusu erişim kaydı (IP adresleriyle): 30 gün. Uygulama kayıtları: en çok 30 gün ya da boyutu sınırlı. Ürün kullanım olayları: 13 ay. Yayınlanan uygulamaların ziyaret istatistikleri: günlük toplamlar 13 ay; günlük anahtar ve o günün karışımları gün bitince silinir (yedeklere girmez). Uygulama işlem ve e-posta kayıtları: boyutu sınırlıdır, en eski kayıtların üzerine yazılır ve projeyle birlikte silinir.
• Ödeme ve fatura kayıtları: hesabını silsen bile muhasebe mevzuatının gerektirdiği süre boyunca (Norveç’te şu an beş yıl).

8. Hakların

Kişisel verilerine erişmeyi, düzeltilmesini, dışa aktarılmasını ya da silinmesini, işlemenin kısıtlanmasını isteyebilir, işlemeye itiraz edebilir ve onayını istediğin an geri çekebilirsin. Projenin dosyalarını uygulamadan kendin indirebilirsin. malpera33@gmail.com adresine yaz; 30 gün içinde yanıtlarız. Ayrıca Norveç Veri Koruma Kurumu’na (Datatilsynet) ya da kendi ülkendeki kuruma şikâyette bulunabilirsin.

9. Güvenlik

Veriler aktarımda şifrelenir (HTTPS). Malpera oturumları imzalı çerez kullanır ve sızabilecek bir Malpera parolası yoktur; uygulama kullanıcılarının parolaları yalnızca tuzlanmış özet olarak saklanır. Erişim anahtarları diskte şifreli saklanır (AES-256-GCM). Her uygulamanın verisi veritabanındaki erişim kurallarıyla ayrılır; bir uygulamanın gizli anahtarları hiçbir zaman tarayıcıya gönderilmez; uygulamaların sunucu tarafındaki kodu anahtarlara erişimi olmayan yalıtılmış bir süreçte çalışır ve uygulamalar erişim kurallarının otomatik kontrolünden geçmeden yayınlanmaz. Sunucumuzun dışında tutulan yedekler şifrelidir. Sunuculara erişim işletmeciyle sınırlıdır. Hiçbir sistem kusursuz güvenli değildir; seni etkileyen bir ihlal olursa yasanın gerektirdiği şekilde seni ve yetkili makamları bilgilendiririz.

10. Çocuklar

Malpera 16 yaşından küçüklere yönelik değildir. Bir çocuğun bize kişisel veri verdiğini düşünüyorsan bize yaz, sileriz.

11. Değişiklikler

Güncellemeleri burada yayımlarız; önemli değişiklikleri uygulamada ya da e-postayla bildiririz.

12. İletişim

Ferhat Çaldıra, Norveç — malpera33@gmail.com.