Kişisel veri konusunda dürüstlük bizim için bir pazarlama sloganı değil, manifestonun uzantısıdır. Aşağıda neyi topladığımızı, neden topladığımızı, kime verdiğimizi ve ne zaman sildiğimizi tek tek yazdık. Bu metin aynı zamanda 6698 Sayılı KVKK Md.10 kapsamında "Aydınlatma Metni" ve GDPR Art. 13-14 kapsamında "Privacy Notice" niteliğindedir.
1. Veri Sorumlusu ve Kapsam
Veri sorumlusu Pixelgang Collective'tir. Tüzel kişilik henüz mevcut olmadığından iletişim kanalı hello@1pixelgang.com adresi üzerinden sağlanır. Veri işleme süreçleri, 1pixelgang.com ve altında sunulan tüm sayfalar için geçerlidir.
Bu metin, Türkiye'de ikamet eden veri sahipleri için 6698 Sayılı KVKK; AB/AEA'da ikamet edenler için GDPR (EU 2016/679) kapsamında ek güvenceler sağlar. İki mevzuat arasında fark bulunduğunda, veri sahibinin lehine olan hüküm uygulanır.
2. İşlenen Kişisel Veri Kategorileri
Şu anda, site üyeliği/hesap aktif olmadığından, yalnızca teknik iz kategorisinde veri işlenmektedir: sunucu erişim kayıtları (IP adresi, tarayıcı User-Agent, istek zamanı, referans sayfa) ve iki tercih çerezi (dil, tema). Bu kayıtlar yalnızca hizmet güvenliği, kötüye kullanım önleme ve temel hata teşhisi amacıyla tutulur.
Wave 2 kapsamında hesap sistemi devreye alındığında aşağıdaki kişisel veriler de işlenecektir: e-posta adresi, görünen ad (displayName), profil fotoğrafı (OAuth sağlayıcısından çekilen URL), topluluk içinde kullandığın takma ad ("handle"), oturum token'ları. Bunlar hesap oluşturma/yönetme, iletişim ve katkı kaydı tutma için gereklidir.
İsteğe bağlı yüklediğin dosyalar (avatar, portföy görseli, ekran görüntüsü, belge), Cloud Storage'ta tutulur. Bu verileri yüklemek tamamen tercihine bağlıdır ve her zaman silebilirsin.
Pixelgang; özel nitelikli kişisel veri (sağlık, din, ırk, siyasi görüş, cinsel yönelim, biyometrik/genetik, ceza mahkûmiyeti) toplamamakta ve işlememektedir. Bu tür verileri bize iletme; iletirsen silme hakkımızı saklı tutarız.
3. İşleme Amaçları ve Hukuki Sebepler
Hesap oluşturma, giriş ve hizmet sunumu: KVKK Md.5/2-c (sözleşmenin kurulması/ifası) ve GDPR Art. 6(1)(b) (contractual necessity). Bu amaç olmaksızın hizmeti teknik olarak sunamayız.
Pazarlama/ topluluk iletişimi (bülten, duyuru): şu an mevcut değildir. Aktifleştirildiğinde KVKK Md.5/1 (açık rıza) ve GDPR Art. 6(1)(a) (explicit consent) kapsamında, ayrı ve kolayca geri alınabilir onayla işlenir.
Kötüye kullanım önleme, güvenlik kayıtları, dolandırıcılık/ DoS tespiti: KVKK Md.5/2-f (meşru menfaat) ve GDPR Art. 6(1)(f) (legitimate interest). Menfaat testi: sunucu güvenliği ile veri sahibinin gizlilik beklentisi dengelenmiş; sadece teknik meta-veriler 90 gün boyunca tutulmaktadır.
Hukuki yükümlülüklerin ifası (ör. resmi talepler, 5651 Sayılı Kanun trafik bilgileri): KVKK Md.5/2-ç ve GDPR Art. 6(1)(c).
4. Veri Toplama Yöntemleri
Kişisel verileri doğrudan senden (form, giriş ekranı, profil ayarları) veya kullandığın üçüncü taraf giriş sağlayıcısından (Google/GitHub OAuth) topluyoruz. Ayrıca sunucu/CDN düzeyinde otomatik olarak IP, User-Agent ve istek zamanı gibi teknik iz verileri kaydediliyor.
Profil bilgilerini güncelleyebilir, sildirebilir veya başka bir formata aktarabilirsin (bkz. Md.10 Haklar).
5. Veri Aktarımı ve Uluslararası Transfer
Kişisel verilerin belirli kategorileri, yalnızca hizmet sunumu için gerekli olduğu ölçüde aşağıdaki işleyen/ hizmet sağlayıcılara aktarılır. Aktarımlar, AB Avrupa Komisyonu'nun Standart Sözleşme Hükümleri (SCC) veya eşdeğer güvenceler ile korunur.
Firebase Authentication, Cloud Firestore ve Cloud Storage (Google LLC / Google Ireland Ltd.): kimlik doğrulama, veri depolama, dosya yükleme. Veriler AB (europe-west) bölgesinde tutulacak şekilde yapılandırılır.
Resend (Resend Inc., ABD): işlemsel e-posta gönderimi (hesap doğrulama, parola sıfırlama, sistem bildirimleri). Aktarım yalnızca gönderim süresince gerekli meta veriyi kapsar; içerik logları asgari tutulur.
Barındırma altyapımız: Hostinger üzerinde (EU bölgesi, IP 31.97.130.229) kendi kendine barındırılan Coolify konteyneri. Next.js runtime bu konteyner içinde çalışır; üçüncü taraf bir edge/CDN sağlayıcısı (ör. Vercel Edge, Cloudflare) kullanılmamaktadır.
Analytics, reklam ağı, davranış izleyici veya pazarlama SDK'sı kullanılmamaktadır. Kullanılmaya başlanırsa bu liste güncellenecek ve gerektiğinde ek rıza alınacaktır.
6. Saklama Süreleri
Hesap verileri: hesabın aktif olduğu süre boyunca + talep ettiğin an silinmek üzere 30 günlük grace (çevrimdışı yedeklerden silinme) süresi. Hesabı 3 yıl kullanılmazsa atıl sayılır ve silme sürecine alınır.
Sunucu erişim kayıtları (IP, UA): 90 gün. Bu süreden sonra anonimleştirilir veya silinir.
Hukuki yükümlülük gereği saklanması zorunlu veriler (5651 Sayılı Kanun kapsamındaki trafik bilgileri 2 yıl, vergi mevzuatı uyarınca fatura/ödeme kayıtları 10 yıl, ticaret hukuku kapsamında defter kayıtları 10 yıl): ilgili mevzuatta öngörülen azami süre.
Pazarlama onayı verdiğin e-posta: onayını geri alana kadar. İptal, bir tık uzağındadır.
7. Güvenlik Tedbirleri
TLS 1.2+ ile şifreli iletişim, yalnızca yetkili erişim için rol tabanlı kontroller, dahili kod depomuzda gizli sırların (secrets) .env ile korunması, en az yetki (least privilege) prensibiyle yapılandırılmış Firebase kuralları, düzenli bağımlılık güncellemeleri ve kötüye kullanım izleme.
Buna rağmen hiçbir sistem %100 güvenli değildir. Bir ihlal durumunda ilgili kişilere ve KVKK'nın 72 saatlik bildirim süresi (Md.12/5) ile GDPR Art. 33-34 çerçevesinde Kişisel Verileri Koruma Kurumu'na bildirim yapılacaktır.
8. Otomatik Karar Verme ve Profil Oluşturma
Senin hakkında hukuki ya da benzeri önemli sonuç doğuran bir otomatik karar verme süreci işletmiyoruz. İleride moderasyon amacıyla otomatik filtre/puanlama kullanılırsa; insan gözetimi, itiraz mekanizması ve açıklanabilirlik GDPR Art. 22 ve KVKK Md.11/1-g standartlarında sağlanacaktır.
9. Çocukların Verileri
Hizmet 16 yaş altındaki kullanıcılar için tasarlanmamıştır. 16 yaş altında bir çocuğun bize veri verdiğini fark edersek, ilgili veriyi derhal sileriz. 16-17 yaş arası kullanıcılardan yasal temsilci onayı aranır.
10. Politika Değişiklikleri
Bu politikayı, hukuki gelişmeler veya teknik değişiklikler (yeni bir işleyen eklenmesi, yeni veri kategorisi toplama) nedeniyle güncelleyebiliriz. Esaslı değişiklikler sitede öne çıkarılır ve hesabın varsa e-posta ile bilgilendirilirsin.
Veri Sahibi Hakları
Aşağıdaki haklar hem KVKK Md.11 (8 hak) hem de GDPR Art. 15-22 kapsamında sana tanınmıştır. Bunları ücretsiz, 30 gün içinde yanıtlanacak şekilde kullanabilirsin.
- Kişisel veri işlenip işlenmediğini öğrenme
- Kişisel veri işlenmişse buna ilişkin bilgi talep etme
- Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
- Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme
- Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme
- KVKK Md.7'de öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme
- Düzeltme, silme ve yok etme taleplerinin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme
- Erişim hakkı (Art. 15) — işlenen verilerinin kopyasını talep etme
- Düzeltme hakkı (Art. 16) — yanlış/eksik verinin düzeltilmesi
- Silme hakkı (Art. 17) — "unutulma" hakkı
- İşlemeyi kısıtlama hakkı (Art. 18)
- Veri taşınabilirliği hakkı (Art. 20) — verini yapılandırılmış, makinece okunabilir formatta alma
- İtiraz hakkı (Art. 21) — özellikle meşru menfaate dayalı işlemeye
- Otomatik kararlara tâbi olmama hakkı (Art. 22)
- Açık rızayı istediğin zaman geri alma hakkı (Art. 7(3)) — geçmişteki işlemenin hukukiliğini etkilemez
Haklarımı Nasıl Kullanırım?
hello@1pixelgang.com adresine başlığı "Veri Sahibi Talebi" olan bir e-posta gönder. Kimliğini doğrulayabilmemiz için, kayıtlı olduğun e-posta adresinden yazman gerekir. Talebine kısa bir açıklama ekle — "verimin kopyasını istiyorum", "hesabımı silmek istiyorum" gibi.
Talebini en geç 30 gün içinde yanıtlıyoruz. İşlem ücretsizdir; orantısız idari yük gerektiren istisnai durumlarda KVKK Md.13/2 kapsamında makul bir ücret talep edebiliriz.
Yanıtımızdan tatmin olmazsan, Kişisel Verileri Koruma Kurumu'na (kvkk.gov.tr) şikâyette bulunabilir, AB'de ikamet ediyorsan yerel veri koruma makamına (DPA) başvurabilirsin.
Veri İşleyenler ve İş Ortakları
Haklarınızı kullanmak, soru sormak veya bir ihlali bildirmek için bize aşağıdaki kanallardan ulaşabilirsiniz. Yanıt süremiz en geç 30 gündür (KVKK Md.13 ve GDPR Md.12).
- VERI SORUMLUSU
- Pixelgang Collective (henüz tescilli tüzel kişilik yoktur; topluluk adına hareket eden gayri resmi bir kolektiftir).
- E-POSTA
- hello@1pixelgang.com
- POSTA ADRESI
{{ADDRESS_PLACEHOLDER}}