KVKK Aydınlatma Metni

Son güncelleme: 11.10.2026

1. Giriş ve Veri Sorumlusunun Kimliği

İşbu Kişisel Verilerin Korunması ve İşlenmesi Aydınlatma Metni (“Aydınlatma Metni”), 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine uygun olarak hazırlanmıştır.

Shumushumu mobil uygulamasını (“Uygulama”) kullanan, üye olan veya Uygulama üzerinden sunulan hizmetlerden yararlanan tüm gerçek kişilerin (“Kullanıcı” veya “İlgili Kişi”) kişisel verileri; Uygulama gerçek kişi geliştiricisi tarafından bireysel olarak yayınlandığından, KVKK m. 3/1-ı kapsamında veri sorumlusu sıfatıyla Uygulama Geliştiricisi Omer SEKER (“Veri Sorumlusu” veya “Geliştirici”) tarafından aşağıda açıklanan kapsam ve şartlarda işlenmektedir.

Veri Sorumlusu, kişisel verilerin hukuka ve dürüstlük kurallarına uygun olarak işlenmesine, verilerin doğruluğunun ve gerektiğinde güncelliğinin sağlanmasına, belirli, açık ve meşru amaçlar güdülmesine, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olunmasına ve mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesine azami hassasiyet göstermektedir.

Yaş Sınırı ve Küçüklerin Kişisel Verileri

Uygulama, 13 yaş ve üzeri kullanıcılara yönelik olarak tasarlanmıştır. 18 yaşın altındaki kullanıcıların Uygulama’yı kullanabilmesi ve kişisel verilerinin işlenebilmesi için veli veya vasilerinin bilgilendirilmiş olması ve mevzuatın gerektirdiği hallerde yasal temsilcilerinin onayının bulunması esastır. Veri Sorumlusu, 13 yaşın altındaki çocuklara ait kişisel verileri bilerek ve isteyerek işlememekte olup, bu kapsamda bir verinin sehven işlendiğinin tespit edilmesi halinde derhal imha edilmesi yönünde gerekli teknik ve idari mekanizmaları işletmektedir.

Veri Sorumlusu Künyesi ve İletişim Bilgileri

• Veri Sorumlusu (Geliştirici): Omer SEKER
• Uygulama Adı: Shumushumu
• Tebligat Adresi: Mahmut Esat Bozkurt Cd. Ankara/Turkey
• KVKK başvuruları: kvkk@shumushumu.com
• Destek / İletişim: destek@shumushumu.com

2. Kişisel Verilerin Toplanma Yöntemleri

Kişisel verileriniz; Uygulama’nın mobil cihazınıza indirilmesi ve kurulması, kullanıcı hesabı oluşturulması veya Google ya da Apple ile giriş yapılması, ikili kart seçimleri ve test çözümlerinin gerçekleştirilmesi, oyunların oynanması ve arkadaş eklenmesi, kart ve test önerilerinin ve diğer içeriklerin sisteme yüklenmesi, anlık bildirim izinlerinin verilmesi, Uygulama kullanımına ilişkin istatistiklerin ve hata/çökme anlarında otomatik tanı kayıtlarının oluşturulması ile geri bildirim veya şikâyet bildirimlerinin iletilmesi süreçlerinde; doğrudan Kullanıcı tarafından veya Uygulama ile sunucularımız ve entegre teknik servisler arasındaki etkileşim esnasında, elektronik ortamda tamamen veya kısmen otomatik yöntemlerle toplanmaktadır.

3. İşlenen Kişisel Veri Kategorileri

• Kimlik Verisi: Kullanıcı adı / rumuz (görünen ad); Google veya Apple ile giriş yapılması ve bu hizmetlerin paylaşması halinde ad ve soyad.
• İletişim Verisi: E-posta adresi.
• Müşteri İşlem ve Kullanım Verisi: İkili kartlarda yapılan tercihler ve seçimler, bu seçimler neticesinde algoritmik olarak türetilen kişilik ve eksen puanları, favorilere eklenen kartlar, çözülen ve oluşturulan kişilik testleri, oyun sonuçları, seri ve rozet bilgileri, arkadaş listesi ve arkadaşlarla uyum sonuçları, sunulan kart önerileri, raporlanan/şikâyet edilen içerik kayıtları, Uygulama içi etkileşimler (açılan ekranlar, tamamlanan oyunlar gibi kullanım olayları).
• Kullanıcı Tarafından Üretilen İçerik: Kullanıcının kart önerisi yaparken, kişilik testi oluştururken veya sosyal bölümde paylaşım yaparken girdiği başlıklar, açıklamalar, yorumlar ve metin içerikleri. Kullanıcılar Uygulama’ya görsel veya video yükleyemez; Uygulama’daki görseller Veri Sorumlusu tarafından eklenir.
• Cihaz ve İşlem Güvenliği Verisi: Kriptografik özetleme (hashing) algoritması ile geri döndürülemez biçimde şifrelenmiş kullanıcı parolası, Google veya Apple ile oturum açılması halinde ilgili hesap kimliği, oturum ve yetkilendirme jetonları, IP adresi, port bilgisi, cihaz modeli ve üreticisi, işletim sistemi adı ve sürümü, Uygulama sürümü, benzersiz cihaz/uygulama tanımlayıcıları (ör. Firebase uygulama örneği kimliği), anlık bildirim belirteci (push token), saat dilimi, dil tercihi, sunucu erişim/aktivite kayıtları, Uygulama başlatma zamanları ile çökme ve hata tanı kayıtları.

4. Kişisel Verilerin İşlenme Amaçları

• Kullanıcı kaydının oluşturulması, kimliğin doğrulanması ve oturum yönetimi süreçlerinin yürütülmesi,
• Uygulama’nın temel işlevi olan ikili kart tercihlerinin kaydedilmesi, algoritmik kişilik ve eksen analizinin hesaplanarak sonuçların Kullanıcıya sunulması; oyunlar, testler ve arkadaş özelliklerinin sunulması,
• Kullanıcı tarafından iletilen kart önerilerinin, testlerin ve paylaşımların moderasyon ve denetimden geçirilmesi, onaylanması ve Uygulama üzerinde yayımlanması,
• Anlık bildirimler aracılığıyla yeni testler, kart onay/ret durumları, kullanıcı etkileşimleri ve operasyonel duyuruların iletilmesi,
• Şifre sıfırlama, e-posta doğrulama ve hesap kurtarma gibi bilgi ve hesap güvenliği süreçlerinin yürütülmesi,
• Uygulama kullanımının istatistiksel olarak analiz edilmesi ve hizmetin geliştirilmesi,
• Uygulama kararlılığının, performansının ve güvenliğinin sağlanması; çökme, donma ve teknik hataların tespit edilerek giderilmesi,
• 5651 sayılı Kanun ve ilgili mevzuat kapsamındaki yasal saklama yükümlülüklerinin ifası, yetkili adli ve idari mercilerin bilgi/belge taleplerinin karşılanması ve hileli, kötü niyetli veya hukuka aykırı kullanımların tespiti ve önlenmesi.

5. Kullanıcı İçeriği ve Üçüncü Kişi Verilerine İlişkin Kurallar

Kullanıcı, Uygulama’da paylaştığı tüm metin, isim ve kart önerilerinin mevzuata uygun olduğunu, üçüncü kişilerin fikri mülkiyet, kişilik veya kişisel veri haklarını ihlal etmediğini ve gerekli hukuki rızaları aldığını kabul ve taahhüt eder. İzinsiz paylaşılan üçüncü kişi kişisel verilerinden doğan hukuki sorumluluk münhasıran içeriği yükleyen Kullanıcıya aittir. Veri Sorumlusu, üçüncü kişilerin hak ihlali bildiriminde bulunması halinde ilgili içeriği derhal yayından kaldırma (ihbar-kaldır) hakkını saklı tutar.

6. Donanım İzinleri, Bildirimler ve Ölçüm Araçları

Uygulama içerisinde üçüncü taraf davranışsal reklam ağları veya reklam amaçlı izleme araçları bulunmamaktadır; reklam kimlikleri (IDFA, GAID) toplanmaz. Uygulama kullanım istatistikleri ve hata kayıtları için Google Firebase Analytics ve Firebase Crashlytics kullanılmaktadır.

• Galeri ve Kamera: Kullanıcılar görsel veya video yükleyemez; Uygulama galeriye veya kameraya erişim izni istemez.
• Bildirim İzni: Yalnızca Kullanıcının izin vermesi halinde anlık bildirim göndermek amacıyla kullanılır; dilediği an cihaz ayarlarından kapatılabilir. Seri, günlük içerik ve haftalık özet gibi hatırlatma bildirimleri ayrıca Profil › Ayarlar › Hatırlatma bildirimleri anahtarıyla kapatılabilir.
• Google Görseller Paneli: Kendi görseli bulunmayan kartlarda Kullanıcı kartı kaydırarak görsel panelini açtığında, kartta yazan seçenek adı Uygulama içinde kilitli bir pencerede Google Arama’da aranır. Bu sırada cihazınız doğrudan Google ile iletişim kurar ve Google’ın gizlilik politikası geçerlidir. Görüntülenen görseller Google Arama sonuçları olup Shumushumu sunucularında barındırılmamaktadır; ilgili görsellerin tüm hakları hak sahiplerine aittir.

7. Kişisel Verilerin İşlenmesinin Hukuki Sebepleri

Kişisel verileriniz, KVKK’nın 5. maddesinde belirtilen kişisel veri işleme şartları çerçevesinde ve aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:

• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması (KVKK m. 5/2-c): Kullanım Şartları’nın akdedilmesi, kullanıcı hesabının tesisi ve aktif tutulması, oturum yönetimi, ikili kart seçimlerinin kaydedilerek kişilik/eksen puanlarının hesaplanması, anlık bildirimlerin iletilmesi ve temel uygulama hizmetlerinin Kullanıcıya eksiksiz sunulması amacıyla kimlik, iletişim, işlem güvenliği, cihaz ve müşteri işlem verileriniz işlenir.
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması (KVKK m. 5/2-ç): 5651 sayılı Kanun ve ikincil mevzuatı uyarınca erişim ve trafik kayıtlarının saklanması, yetkili adli ve idari mercilerden gelen yasal taleplerin karşılanması, fikri mülkiyet ve kişilik hakkı ihlallerine ilişkin ihbar-kaldır süreçlerinin yönetilmesi ve KVKK kapsamındaki ilgili kişi başvurularının sonuçlandırılması süreçlerinde bu hukuki sebebe dayanılır.
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (KVKK m. 5/2-e): Olası hukuki, idari veya cezai uyuşmazlıklarda Geliştiricinin savunma, ispat ve dava haklarının kullanılması, Kullanıcı bildirim ve şikâyetlerinin takibi ile Kullanıcı içeriklerinden doğabilecek ihtilaflarda hakların korunması amacıyla ilgili veriler işlenir.
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati (KVKK m. 5/2-f): Uygulama güvenliğinin temini, kötüye kullanım, bot ve hileli işlemlerin tespiti ve engellenmesi, sistem hatalarının ayıklanması, çökme ve performans kayıtlarının incelenmesi, kullanım istatistiklerinin analizi ve hizmet kalitesinin iyileştirilmesi amaçlarıyla işlem güvenliği, cihaz ve kullanım verileriniz işlenir.
• Açık rıza (KVKK m. 5/1): Ticari elektronik ileti (haftalık özet, tanıtım, duyuru) gönderilmesi ve mevzuat uyarınca açık rızanın zorunlu kılındığı diğer hallerde kişisel verileriniz, Açık Rıza Metni kapsamında özgür iradenizle verdiğiniz açık rızaya dayanılarak işlenir. Açık rızanızı dilediğiniz her an geri alabilirsiniz.

8. Kişisel Verilerin Aktarılması ve Yurt Dışı Aktarım Güvenceleri

Kişisel verileriniz; KVKK’nın 8. ve 9. maddelerinde öngörülen şartlara, Kişisel Verileri Koruma Kurulu düzenlemelerine ve ilgili mevzuata uygun olarak, yalnızca yukarıda belirtilen amaçların gerçekleştirilmesi ve teknik altyapının güvenli ve kesintisiz biçimde işletilmesi için zorunlu olan kapsamda aktarılmaktadır. Geliştirici, kişisel verilerinizi hiçbir surette üçüncü kişilere ticari veya pazarlama amacıyla satmamakta, kiralamamakta ve devretmemektedir.

Kişisel verileriniz aşağıdaki alıcı gruplarına yalnızca hizmetin gerektirdiği teknik çerçevede aktarılmaktadır:

• Uygulama Barındırma ve Veritabanı (Railway Corp.): Sunucu altyapısının barındırılması, veritabanının yönetilmesi ve operasyonel sürekliliğin sağlanması amacıyla teknik veriler, hesap kayıtları ve kullanım verileri. Sunucular Avrupa Birliği’nde (Hollanda) bulunmaktadır.
• Google LLC / Google Ireland Limited: “Google ile giriş” yönteminin tercih edilmesi halinde kimlik doğrulama; Firebase Cloud Messaging ile anlık bildirimlerin iletilmesi; Firebase Analytics ile kullanım istatistiklerinin ölçülmesi; Firebase Crashlytics ile çökme ve hata kayıtlarının analiz edilmesi amacıyla oturum, cihaz, kullanım ve teknik tanı verileri.
• Apple Inc.: “Apple ile giriş” yönteminin tercih edilmesi halinde kimlik doğrulama ve iOS cihazlara anlık bildirim iletilmesi (APNs) amacıyla oturum ve bildirim verileri.
• E-posta İletim Hizmetleri (Resend / Amazon Web Services SES): Şifre sıfırlama, e-posta doğrulama, güvenlik bildirimleri ve (açık rıza vermeniz halinde) haftalık özet e-postalarının iletilmesi amacıyla e-posta adresi.
• Yetkili Kamu Kurum ve Kuruluşları: Yasal bildirim zorunluluklarının yerine getirilmesi, adli soruşturma ve kovuşturma süreçlerinin yürütülmesi veya mahkeme kararlarının icrası amacıyla mevzuatın izin verdiği ölçüde.

Yukarıda sayılan hizmet sağlayıcıların sistem merkezlerinin veya sunucularının yurt dışında bulunması nedeniyle kişisel verileriniz yurt dışına aktarılmaktadır. Söz konusu aktarımlar, 6698 sayılı Kanun’un 9. maddesinde düzenlenen güncel aktarım rejimi uyarınca; Kişisel Verileri Koruma Kurulu tarafından ilan edilen yeterlilik kararlarının bulunması, yeterlilik kararının bulunmadığı durumlarda Kurul tarafından yayımlanan standart sözleşmelerin akdedilmesi ve mevzuatta öngörülen süre içinde Kurul’a bildirilmesi gibi uygun güvencelerin sağlanması, uygun güvencelerin sağlanamadığı istisnai ve arızi hallerde ise İlgili Kişi’nin usulüne uygun olarak temin edilen açık rızası hukuki dayanaklarına istinaden, gerekli tüm idari ve teknik güvenlik tedbirleri alınarak gerçekleştirilmektedir.

9. Kişisel Verilerin Saklanması, İmhası ve Güvenliği

Kişisel verileriniz, işbu Aydınlatma Metni’nde belirtilen işleme amaçlarının gerektirdiği süreler ile başta 5651 sayılı Kanun ve 6098 sayılı Türk Borçlar Kanunu olmak üzere ilgili mevzuatta öngörülen kanuni zamanaşımı ve saklama süreleri boyunca muhafaza edilmektedir. Bu kapsamda 5651 sayılı Kanun’un 5. maddesi uyarınca tutulan erişim ve trafik kayıtları (IP adresi, port bilgisi, bağlantının başlangıç ve bitiş zamanı, yararlanılan hizmetin türü, aktarılan veri miktarı ve oturum açılmışsa kullanıcı kimliği) 2 (iki) yıl saklanır ve bu sürenin sonunda otomatik olarak silinir; Kullanım Şartları onay kayıtları ise olası uyuşmazlıklarda ispat amacıyla genel zamanaşımı süresince saklanır.

Kullanıcı hesabı aktif olduğu müddetçe kişisel verileriniz işlenmeye devam eder. Kullanıcının hesabını silmesi veya verilerin işlenmesini gerektiren hukuki sebeplerin ortadan kalkması durumunda; mevzuat uyarınca saklanması zorunlu olan trafik kayıtları ve yasal kayıtlar hariç olmak üzere kişisel verileriniz silinir, yok edilir veya anonim hale getirilir.

Uygulama içi hesap silme: Kullanıcılar diledikleri her an Uygulama içindeki Profil › Ayarlar › Hesabı Sil adımlarıyla ya da https://shumushumu.com/delete-account adresi üzerinden hesaplarının ve hesaplarıyla ilişkili kişisel verilerinin silinmesini doğrudan talep edebilir. Hesap silme işleminin onaylanmasıyla Kullanıcıya ait kimlik, profil, seçim geçmişi ve puanlama verileri silinir, yok edilir veya anonim hale getirilir; yasal saklama yükümlülüğü altındaki veriler yalnızca kanuni süre boyunca erişimi kısıtlı şekilde muhafaza edilir.

Veri Sorumlusu, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak, işleme şartlarının tamamı ortadan kalktığında kişisel verileri resen veya İlgili Kişi’nin talebi üzerine periyodik imha süreleri (en geç 6 aylık aralıklarla) dahilinde güvenli yöntemlerle imha eder veya anonimleştirir.

Veri güvenliği tedbirleri (KVKK m. 12):

• Kullanıcı parolaları tek yönlü güçlü özetleme algoritmasıyla (bcrypt) saklanır; veri iletimi SSL/TLS şifreleme protokolleri üzerinden sağlanır.
• Kişisel verilere erişim rol tabanlı yetkilendirme ve “en az yetki” ilkesine göre sınırlandırılmıştır.
• Sunucu ve bulut altyapılarında güvenlik duvarları, istek sınırlama, otomatik çökme takibi ve güncel güvenlik yamaları uygulanır.
• Hizmet sağlayıcıların veri güvenliği ve gizlilik taahhütleri gözetilir.

10. İlgili Kişinin Hakları ve Başvuru Usulü

KVKK’nın 11. maddesi uyarınca;

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• KVKK ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerinizin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle şahsınız aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz.

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca taleplerinizi ve üçüncü kişi içeriklerine yönelik ihbar-kaldır bildirimlerinizi şu yollarla iletebilirsiniz:

• Uygulama içi: Profil › Ayarlar › Hesabı Sil menüsü üzerinden doğrudan silme talebinde bulunabilirsiniz.
• E-posta: Sistemimizde kayıtlı e-posta adresinizden kvkk@shumushumu.com adresine yazabilirsiniz.
• Yazılı başvuru: Islak imzalı başvuru dilekçenizi kimliğinizi tevsik edici belgelerle birlikte Veri Sorumlusunun tebligat adresine (Mahmut Esat Bozkurt Cd. Ankara/Turkey) elden teslim edebilir veya noter kanalıyla gönderebilirsiniz.

Başvuruda (i) ad, soyad ve başvuru yazılı ise imza, (ii) T.C. kimlik numarası (yabancılar için uyruk, pasaport numarası veya varsa kimlik numarası), (iii) tebligata esas yerleşim yeri veya iş yeri adresi, (iv) varsa bildirime esas e-posta adresi, telefon ve faks numarası, (v) talep konusu ve konuya ilişkin bilgi/belgeler yer almalıdır.

Veri Sorumlusu, talepleri niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir.

11. Yürürlük ve Güncellemeler

İşbu Aydınlatma Metni, Uygulama üzerinden ilan edildiği tarihte yürürlüğe girer. Veri Sorumlusu, yasal düzenlemeler veya veri işleme süreçlerindeki değişiklikler doğrultusunda Aydınlatma Metni’nde güncelleme yapma hakkını saklı tutar. Güncel metin Uygulama üzerinde yayımlandığı andan itibaren geçerlilik kazanır.