Gizlilik Politikası

Toplanan bilgiler

Kayıt sırasında e-posta, ad-soyad ve telefon numarası (zorunlu; SMS doğrulama kodu gönderilir). Kullanım sırasında, yalnızca ilgili özelliği kullandığınızda:

• araç bilgileri (plaka dâhil) ve vinyet kayıtları;
• masraf takibine girdiğiniz tutarlar ve açıklamalar;
• yüklediğiniz sınır kapısı fotoğrafları ve açıklamaları (diğer kullanıcılara gösterilir);
• belge sihirbazına girdiğiniz bilgiler — pasaport numarası, uyruk, doğum tarihi, ikamet durumu ve Bulgaristan adresi — ile metnin okunması için yüklediğiniz belge fotoğrafı (okuma işlemi için yalnız açık izninizle Google Gemini'ye gönderilir);
• ziyaretçi iletişim formunda ad-soyad, e-posta ve telefon numarası;
• destek/geri bildirim mesajları, tesis puanları ve yorumlar;
• yapay zeka sohbet ve çeviri istemleri ile yanıtı uyarlamak için üyelik paketiniz ve kullandığınız bölüm (yalnız açık izninizle Google Gemini ile işlenir; izni hesap menüsündeki "Yapay zekâ izinleri" bölümünden geri çekebilirsiniz);
• çerez/oturum verileri.

Konum: izin verdiğinizde cihazınızda kullanılır; koordinatlarınız sunucumuza gönderilmez ve tarafımızca saklanmaz. Harita ekranında sınır kapılarına rota/süre tahmini için konumunuz cihazınızdan doğrudan Google Maps'e iletilir.

IP adresi: yalnızca kötüye kullanımı önlemek (istek sınırlama) amacıyla, ham hâliyle değil gizli anahtarlı bir özet olarak tutulur. Sınırlama penceresi en fazla 1 saattir; pencere bitince kayıt geçersiz olur ve sonraki isteklerde silinir. Başka bir amaçla kullanılmaz. Bazı formlarda (geri bildirim, ziyaretçi formu, şifre sıfırlama) bot doğrulaması etkinse, kötüye kullanımı önlemek için IP adresiniz Cloudflare Turnstile'a iletilebilir.

Cihazınızda saklanan veriler

Bazı tercihler sunucuya gönderilmeden yalnızca cihazınızda (tarayıcı/uygulama yerel depolaması — localStorage) saklanır: çerez tercihiniz, seçtiğiniz dil, seçtiğiniz araç/geçiş modları, istatistik renk paleti, arayüz yazı-boyutu ölçeği ve tanıtım turunu görüp görmediğiniz. Bu kayıtlar kimlik bilgisi içermez, reklam amacıyla kullanılmaz ve üçüncü taraflarla paylaşılmaz; uygulamayı kaldırarak ya da tarayıcı/uygulama verilerini temizleyerek hepsini silebilirsiniz.

Dil tercihi (çerez): başlıktaki dil düğmesiyle bir dil seçerseniz seçiminiz işlevsel locale çerezinde saklanır (yalnız dil kodu — tr, en veya bg; 1 yıl; takip ya da reklam için kullanılmaz, rıza gerektirmez). Dil seçmezseniz bu çerez kurulmaz.

Girdiyseniz acil durum kişiniz (ad ve telefon numarası) yalnızca cihazınızda saklanır — sunucumuza gönderilmez, tarafımızca görülmez ve uygulama içinden dilediğiniz an silebilirsiniz. Bu kayıt yalnızca bir hızlı arama kısayolu oluşturmak için kullanılır; PlanBG acil çağrı hizmeti vermez.

Üçüncü taraflar

Ödeme: banka havalesi/EFT (uluslararası kartlar için Stripe — etkinleştirildiğinde). E-posta/SMS doğrulama: Resend, Twilio. Yapay zeka özellikleri: Google Gemini. iOS uygulama içi satın alma durumu: RevenueCat. Harita: Google Maps (harita açıldığında cihazınız doğrudan Google'a bağlanır). Bot doğrulaması: Cloudflare Turnstile (etkinse). Barındırma: Vercel, Neon Postgres. Ziyaret ölçümü: Vercel Web Analytics ve Speed Insights — yalnızca çerez bandında onay verirseniz yüklenir. Affiliate linkler sponsorlu yönlendirme içerebilir.

Giriş sağlayıcıları ayrı ve bağımsız veri sorumlularıdır; hangisiyle giriş yaparsanız o sağlayıcının kendi gizlilik politikası geçerlidir. Google ile giriş (yalnız web sitesinde): Avrupa Ekonomik Alanı'ndaki kullanıcılar için veri sorumlusu Google Ireland Limited'dir (Dublin, İrlanda); Google'dan PlanBG'ye e-posta adresiniz ve adınız aktarılır. Apple ile giriş: Avrupa Ekonomik Alanı'ndaki kullanıcılar için veri sorumlusu Apple Distribution International Limited'dir (İrlanda); Apple'dan PlanBG'ye yalnız e-posta adresiniz aktarılır (Apple'ın gizli iletme adresini seçtiyseniz o adres).

İletişim

Gizlilik talepleri:

İşleme amaçları ve hukuki dayanaklar

Kişisel verilerinizi yalnızca aşağıdaki amaçlarla ve karşılarında yazan hukuki dayanakla işleriz:

• Paylaştığınız içeriğin saklanması ve gösterilmesi — sözleşmenin ifası (GDPR m.6/1-b)
• Sohbet ve özel mesajların iletilmesi — sözleşmenin ifası (GDPR m.6/1-b)
• İletişim formundan gelen destek taleplerinin yanıtlanması — meşru menfaat (GDPR m.6/1-f)
• Şikâyetlerin incelenmesi, engelleme ve içerik moderasyonu — meşru menfaat (GDPR m.6/1-f)
• Bot/spam koruması (Cloudflare Turnstile), istek sınırlama ve hizmet güvenliği — meşru menfaat (GDPR m.6/1-f)
• Web sitesinden alınan ücretli üyeliğin kurulması ve yürütülmesi — sözleşmenin ifası (GDPR m.6/1-b)
• Çerezsiz, toplu ziyaretçi ve hız ölçümü (yalnız web) — yalnız izin verirseniz yüklenir; sayfa altındaki "Çerez tercihleri" ile kapatabilirsiniz — açık rızanız (GDPR m.6/1-a) — istediğiniz an geri alabilirsiniz
• Hesabınızın açılması; e-posta/şifre veya Google/Apple ile girişiniz — sözleşmenin ifası (GDPR m.6/1-b)
• Yalnız açık izninizle ve iki ayrı izinle: (1) belge okuma/çeviri — yüklediğiniz belge fotoğrafı ve içindeki kimlik bilgileri; (2) yapay zekâ sohbeti ve çeviri — yazdığınız mesajlar ve çevrilecek metinler ile yanıtı uyarlamak için üyelik paketiniz ve kullandığınız bölüm. Bu veriler yanıt üretmek için Google Gemini'ye gönderilir. İzin vermezseniz bu özellikler kapalı kalır; izninizi üst menüdeki hesap menüsünde "Yapay zekâ izinleri" bölümünden dilediğiniz an geri çekebilirsiniz — açık rızanız (GDPR m.6/1-a) — istediğiniz an geri alabilirsiniz
• Rızaya dayanan işlemede rızanızı istediğiniz an geri alabilirsiniz; geri alma, öncesindeki işlemenin hukuka uygunluğunu etkilemez.

Veri sağlama zorunluluğu (GDPR m.13/2-e): Kişisel veri vermeniz yasal bir zorunluluk değildir. Hesap açmak ve giriş gerektiren özellikleri kullanmak için istenen veriler sözleşmenin kurulması ve ifası için gereklidir; bunları vermezseniz yalnız bu özellikleri kullanamazsınız. Sayfaları görüntülerken tarayıcınızın ya da cihazınızın gönderdiği teknik veriler (ör. IP adresi) hizmetin teknik olarak sunulması için gereklidir.

Saklama süreleri

Hesabınız ve içeriğiniz, hesabınız açık olduğu sürece saklanır; sabit bir gün sayısıyla kendiliğinden silinmez. Hesabınızı uygulamada sildiğinizde şu veriler hemen ve kalıcı olarak silinir: araçlarınız ve vinyet kayıtlarınız, masraflarınız, üyelik siparişleriniz ve üyelik kaydınız, giriş doğrulama kodlarınız, ClubBurgas gönderi ve mesajlarınız, belge sihirbazı başvurularınız, yüklediğiniz sınır kapısı fotoğrafları ve bu fotoğraflara yaptığınız/aldığınız şikâyetler, ve engelleme kayıtlarınız (iki yönde).

• Destek talepleriniz ve geri bildirim/puanlarınız: hesap silmede silinmez; hesap bağı koparılarak (anonim) kayıt olarak kalır.

Barındırma ve veritabanı sağlayıcılarımızın teknik günlükleri ve otomatik yedekleri, sağlayıcının kendi saklama döngüsüne bağlı sınırlı bir süre tutulur ve bu döngü sonunda kendiliğinden silinir. Bu kopyalar hizmeti sunmak için kullanılmaz.

Uluslararası aktarım

Barındırma sağlayıcımız Vercel Inc. (Amerika Birleşik Devletleri) hizmeti sunarken IP adresiniz gibi teknik verileri işleyebilir. Verilerin Avrupa Ekonomik Alanı dışına aktarıldığı durumlarda, sağlayıcının veri işleme ekinde yer alan Avrupa Komisyonu Standart Sözleşme Maddelerine (GDPR m.46/2-c) dayanırız. Ek metin: vercel.com/legal/dpa Aşağıdaki sağlayıcılar da (hepsi ABD merkezli) ilgili özellik kullanıldığında sınırlı veri alır; her biri için AB dışına aktarımda dayanağımız, sağlayıcının yayımlanmış veri işleme ekindeki Avrupa Komisyonu Standart Sözleşme Maddeleridir (GDPR m.46/2-c):

• Vercel Web Analytics ve Speed Insights (Vercel Inc., ABD) — ziyaret ve sayfa hızı ölçümü, yalnız web: ziyaret edilen sayfa, yönlendiren adres, tarayıcı/cihaz türü, ülke ve sayfa yükleme süreleri gibi teknik veriler çerez yazılmadan toplanır ve toplu istatistiğe dönüştürülür. Dayanak açık rızanızdır (GDPR m.6/1-a; ePrivacy m.5/3): araç yalnız sayfa altındaki bantta izin verirseniz yüklenir ve izninizi aynı yerdeki "Çerez tercihleri" bağlantısıyla istediğiniz an geri çekebilirsiniz. Veriler ABD'ye aktarılabilir; aktarım dayanağı, sağlayıcının veri işleme ekindeki Avrupa Komisyonu Standart Sözleşme Maddeleridir (GDPR m.46/2-c). vercel.com/legal/dpa
• Resend — hesap ve işlem e-postaları: e-posta adresiniz ile giriş/doğrulama kodu ve (belgeyi e-postayla göndermeyi seçtiğinizde) belgenin alanları, e-posta olarak iletilirken. Veriler ABD'ye aktarılır; aktarım dayanağı, sağlayıcının veri işleme ekindeki Avrupa Komisyonu Standart Sözleşme Maddeleridir (GDPR m.46/2-c). resend.com/legal/dpa
• Twilio — SMS gönderimi: telefon numaranız ve SMS içeriği (ör. doğrulama kodu ya da verdiğiniz iletişim telefonunu içeren talep bildirimi) gönderim için. Veriler ABD'ye aktarılır; aktarım dayanağı, sağlayıcının veri işleme ekindeki Avrupa Komisyonu Standart Sözleşme Maddeleridir (GDPR m.46/2-c). www.twilio.com/en-us/legal/data-protection-addendum
• Google Gemini API (Google LLC) — yapay zekâ işleme: yüklediğiniz belge fotoğrafı, okunacak/çevrilecek metin ve sohbet istemleriniz yanıt üretmek için Google'a gönderilir. Gemini API koşullarına göre Avrupa Ekonomik Alanı'ndaki geliştiriciler için içerik Google ürünlerini geliştirmekte kullanılmaz; kötüye kullanımı tespit için sınırlı süre kaydedilir (ai.google.dev/gemini-api/terms). Veriler ABD'ye aktarılabilir; aktarım dayanağı, Google'ın veri işleyen ekindeki Avrupa Komisyonu Standart Sözleşme Maddeleridir (GDPR m.46/2-c). business.safety.google/processorterms/
• Cloudflare — Turnstile bot/spam koruması: formu gönderirken doğrulama için IP adresiniz ve tarayıcı sinyalleri. www.cloudflare.com/cloudflare-customer-dpa/
• Stripe — web sitesinden ücretli üyelik ödemesi: ödeme, Stripe'ın kendi sayfasında alınır; kart bilgileriniz bize ulaşmaz. stripe.com/legal/dpa
• RevenueCat — iOS uygulamasında App Store uygulama içi satın alma/abonelik durumunun doğrulanması: uygulama içi kullanıcı numaranız ve satın alma kayıtları (kart verisi işlemez; ödemeyi Apple alır). www.revenuecat.com/dpa
• Neon — veritabanı barındırma (veriler AB bölgesinde tutulur; sağlayıcı şirket ABD merkezlidir). AB dışından erişimin söz konusu olabildiği durumlarda ilgili sağlayıcının veri işleme eki (DPA) ve Standart Sözleşme Maddeleri geçerlidir.

KVKK m.9, yurt dışına aktarım için yeterlilik kararı ya da uygun güvence arar; Kurul tarafından ilan edilen standart sözleşme ve Kurul'a bildirim yükümlülüğü bu kapsamdadır. Barındırma sağlayıcısının (Vercel Inc., Amerika Birleşik Devletleri) yayımlanmış veri işleme eki AB standart sözleşme maddelerini (GDPR m.46/2-c) içerir; bu maddelerin KVKK m.9 bakımından Kurul standart sözleşmesi ve bildirim yükümlülüğünü karşılaması hukuk incelemesine tabidir. AB'deki kullanıcılar bakımından dayanak GDPR m.46'dır.

SocialID — ayrı veri sorumlusu

Giriş, SocialID üzerinden yapılır. SocialID'nin veri sorumlusu SOSYAL TURİZM BİLİŞİM REKLAM TEKSTİL SANAYİ VE TİCARET LİMİTED ŞİRKETİ'dir; PlanBG'dan ayrı, bağımsız bir veri sorumlusudur ve Türkiye'de yerleşiktir. SocialID hesabınızın e-posta, şifre ve telefon gibi verileri SocialID'nin sorumluluğunda işlenir; altyapı sağlayıcıları ve veri tabanı bölgesi için SocialID'nin gizlilik politikasına bakın: www.socialid.me/gizlilik. PlanBG'a SocialID'den yalnızca SocialID numaranız ve görünen adınız gelir.

SocialID, hangi platformlara giriş yaptığınızın kaydını (PlanBG dahil) SocialID hesabınızı silene kadar tutar; PlanBG içinde hesabınızı silmeniz bu kaydı silmez — bu kaydı SocialID hesap silme sayfasından silebilirsiniz: www.socialid.me/hesap/sil.

SocialID hesabınızı silseniz bile, dolandırıcılık ve suç durumunda hukuki talepler için SocialID kimlik ve giriş kayıtlarınızı (ad, e-posta, telefon, platform üyelikleri, giriş tarihleri ve IP adresleri) şifreli, çevrimdışı bir arşivde 5 yıl saklar (GDPR m.17/3-e, m.6/1-f); bu arşive yalnız yasal talep ya da resmî makam isteğiyle erişilir. Son girişler SocialID panelinde 90 gün gösterilir.

Çocukların verileri (GDPR m.8)

PlanBG 16 yaşından küçüklere sunulmaz; bu, kendi asgari kullanım yaşımızdır (ürün kararımız). Dijital rıza yaşı için GDPR m.8 AB düzeyinde varsayılanı 16 olarak koyar; üye devletler bunu kendi hukuklarında daha düşük belirleyebilir ve veri sorumlusunun bulunduğu Bulgaristan bunu 16'nın altında belirlemiştir (ЗЗЛД чл. 25в). Hizmeti 16 yaş altına sunmadığımız için ebeveyn/vasi onayı yolu yoktur ve 16 yaşından küçüklerden bilerek kişisel veri toplamayız.

16 yaşından küçük birinin hesap açtığını öğrenirsek hesabı ve verilerini sileriz, bu amaçla ek veri toplamayız. Bir ebeveyn veya vasi çocuğunun hesabını fark ederse bize iletişim sayfamızdan yazabilir; talep gecikmeden işleme alınır.

Haklarınız ve şikâyet yolu

GDPR kapsamında verileriniz üzerinde şu haklara sahipsiniz:

• Erişim (GDPR m.15), düzeltme (m.16), silme (m.17) ve veri taşınabilirliği (m.20).
• İşlemenin kısıtlanmasını isteme (m.18): verinin doğruluğuna itiraz ettiğinizde, işleme hukuka aykırıysa ya da itirazınız incelenirken verileriniz silinmeden yalnızca saklanır.
• İtiraz (m.21): meşru menfaate dayanan işlemeye (ör. güvenlik, moderasyon) özel durumunuzla ilgili gerekçelerle itiraz edebilirsiniz; zorlayıcı meşru gerekçe göstermedikçe o işlemeyi durdururuz.
• Verilerinizin bir kopyasını giriş yaptıktan sonra üst menüdeki indirme bağlantısıyla kendiniz alabilirsiniz: hesabınıza bağlı verileriniz makinece okunabilir bir JSON dosyası olarak iner (erişim m.15, taşınabilirlik m.20).
• Taleplerinizi www.planbg.com/kurumsal/iletisim üzerinden iletebilirsiniz; en geç bir ay içinde yanıt veririz (GDPR m.12/3).

Denetim makamına şikâyet (GDPR m.77): veri sorumlusu Bulgaristan'da yerleşik olduğundan yetkili makam Bulgaristan Kişisel Verileri Koruma Komisyonu'dur — Комисия за защита на личните данни (КЗЛД), cpdp.bg. AB'de oturduğunuz ya da çalıştığınız ülkenin veri koruma makamına da başvurabilirsiniz.

Türkiye'de bulunan kullanıcılar, 6698 sayılı KVKK m.14 uyarınca Kişisel Verileri Koruma Kurulu'na da şikâyette bulunabilir (www.kvkk.gov.tr).