Citiveo, şehir rehberi ve yerel işletme platformudur. Bu politika, Citiveo'yu kullandığında hangi kişisel verilerini işlediğimizi, neden işlediğimizi, kimlerle paylaştığımızı ve bunlar üzerinde hangi haklara sahip olduğunu anlatır.
Veri sorumlusu: Ebtnet Bilişim ve İnternet Hizmetleri Limited Şirketi, Esenyalı Mah. Yanyol Cad. Varyap Plaza No:61 İç Kapı No:247, Pendik / İstanbul (0323141039100001). İletişim: kvkk at citiveo.com.
1. Hangi verileri işliyoruz
Hesap verileri. Citiveo'ya kayıt yalnızca e-posta ve şifre ile yapılır. E-posta adresini, şifrenin geri döndürülemez özetini (bcrypt), varsa adını ve tercih ettiğin dili saklarız. Kayıtta e-postana 24 saat geçerli bir doğrulama bağlantısı göndeririz.
Telefon numarası (isteğe bağlı). Telefon Citiveo'da bir giriş yöntemi değildir ve doğrulanmaz. Yalnızca iletişim bilgisi olarak, sen eklemeyi seçersen saklanır. Dilediğin an profilinden kaldırabilirsin.
Ürettiğin içerik. Yorumların ve puanların, kaydettiğin yerler, oluşturduğun rotalar, yüklediğin fotoğraflar.
Kupon ve pasaport verileri. Aldığın tek kullanımlık kupon kodları, bunların kullanılıp kullanılmadığı, kazandığın puanlar ve şehir pasaportu damgaların.
İşletme sahipliği verileri. Bir işletmeyi sahiplenmek için ilettiğin başvuru bilgileri ve yüklediğin doğrulama belgeleri (vergi levhası, ruhsat, rehber kokartı, sağlık turizmi yetki belgesi gibi). Bu belgeler herkese açık değildir; yalnızca başvuruyu inceleyen yetkili personel görür. Yüklerken görsel konum bilgisi (EXIF) temizlenir. Sağlık kurumlarında sahiplenme, kurumun Bakanlık listesindeki resmî telefonundan geri aranarak da doğrulanabilir; bu aramanın tarihi ve sonucu kaydedilir.
Fatura bilgileri. İşletme aboneliği satın alırken verdiğin fatura bilgileri: işletme türü, yetkili kişinin adı ve soyadı, fatura unvanı veya ad soyad, vergi dairesi ve vergi numarası ya da (şahıs işletmesinde) T.C. kimlik numarası, fatura adresi, fatura e-postası ve varsa e-fatura bilgisi.
Ödeme. İşletme aboneliklerinde kart bilgilerin bize hiçbir zaman ulaşmaz. Ödeme, lisanslı ödeme kuruluşu iyzico'nun kendi güvenli sayfasında alınır. Otomatik yenileme için kartın, onayınla iyzico tarafından saklanır. Bizde yalnızca şunlar bulunur:
- iyzico'nun verdiği ve iyzico dışında kullanılamayan kart eşleştirme anahtarları;
- kartın markası, türü (kredi/banka kartı), son dört hanesi ve son kullanma ay/yılı;
- abonelik durumu, tutar, para birimi, makbuz ve fatura kayıtları;
- kartının saklanmasına ve otomatik yenilemeye verdiğin onayın kaydı: tarih, saat, IP adresi ve onay metninin sürümü.
Şehir partneri verileri. Şehir partneri programına başvurduğunda ilettiğin bilgiler (bölge tercihi, deneyim, referanslar) ile aktif partnerlerde hizmet bedeli ödemesi için gerekli ad, IBAN ve vergi kimlik bilgileri, hizmet bedeli ve ödeme kayıtları. IBAN değişikliği, kimlik doğrulama uygulamasıyla (iki adımlı doğrulama) onaylanır.
Kullanım ölçümü. Hangi işletme sayfasının görüntülendiği, arama/WhatsApp/yol tarifi butonlarına ve sosyal medya bağlantılarına dokunulduğu gibi olayları ölçeriz. Site içi aramalarda hangi sonucun seçildiğini (sorgu, sonuç türü ve sırası) günlük toplu olarak sayarız. Bu ölçüm kimliksizdir: IP adresi saklanmaz, çerez kullanılmaz, kullanıcı kimliği yazılmaz, tarayıcının "izlenmek istemiyorum" (Do Not Track) sinyaline uyulur. Ölçüm, işletme sahibine panelinde toplu sayı olarak gösterilir.
Google Analytics 4 (yalnızca açık rızanla). Çerez tercihlerinde Analitik kategorisine izin verirsen, siteyi nasıl kullandığını ölçmek için Google Analytics 4 yüklenir. Bu durumda işlenen veriler: takma adlı çevrim içi tanımlayıcılar (tarayıcına yerleştirilen çerez kimliği), görüntülediğin sayfalar ve bu sayfalardaki etkileşimler, cihaz ve tarayıcı bilgisi. IP adresin anonimleştirilir; Google Analytics 4 IP adresini kaydetmez ve saklamaz. İzin vermezsen Google Analytics 4 hiç yüklenmez. Yönetim paneli, işletme paneli, giriş ve profil sayfalarında hiçbir analitik ve ölçüm kodu çalışmaz.
İki adımlı doğrulama verileri. İki adımlı doğrulamayı kullandığında (işletme, şehir partneri ve yönetim hesaplarında zorunludur):
- kimlik doğrulama uygulamanla eşleşen gizli anahtar şifrelenmiş olarak saklanır;
- kurtarma kodların yalnızca geri döndürülemez özetleri olarak saklanır;
- "bu cihazı hatırla" seçeneğini işaretlediğin cihazların kaydı tutulur.
Konum. Konumunu yalnızca sen izin verdiğinde ve yalnızca o oturum boyunca kullanırız ("yakınımdakiler" için). Arka planda konum takibi yapmayız ve konumunu saklamayız.
Sağlık turizmi bölümü. Citiveo sağlık verisi ve hasta verisi toplamaz:
- Sağlık kurumlarının iletişim butonlarına (WhatsApp, telefon, e-posta, web sitesi) bastığında doğrudan kurumla iletişime geçersin; bu iletişimde kurumun ve ilgili servisin gizlilik kuralları geçerlidir.
- Bu dokunuşlar kişi bazında değil, yalnızca toplu olarak (ülke, dil, buton) sayılır.
- Kurumların girdiği doktor bilgileri (unvan, ad, branş, diller) kurum tarafından, ilgili kişilerin rızası alınarak girilir.
2. Neden işliyoruz ve hukuki dayanağı
| Amaç | Veri | Hukuki dayanak |
|---|---|---|
| Hesabını oluşturmak ve girişini sağlamak | e-posta, şifre özeti | Sözleşmenin kurulması ve ifası |
| Kupon vermek ve kasada doğrulamak | kupon kodu, kullanım kaydı | Sözleşmenin ifası |
| Yorumları yayımlamak | içerik, hesap adı | Sözleşmenin ifası / meşru menfaat |
| İşletme sahipliğini doğrulamak | başvuru, belgeler, geri arama kaydı | Sözleşmenin ifası, hukuki yükümlülük |
| Abonelik tahsilatı, otomatik yenileme ve faturalama | fatura bilgileri, kart eşleştirme anahtarları ve kart bilgileri (marka, tür, son dört hane, son kullanma), ödeme ve fatura kayıtları | Sözleşmenin ifası, hukuki yükümlülük (vergi mevzuatı) |
| Kart saklama ve otomatik yenileme onayını kanıtlamak | onay kaydı (tarih, saat, IP, metin sürümü) | Hukuki yükümlülük, hakkın tesisi ve korunması |
| Kötüye kullanımı ve ödeme sahteciliğini önlemek | oran sınırlama, insan doğrulama, ödeme sırasında IP adresi | Meşru menfaat |
| İşletme paneli istatistikleri | kimliksiz ölçüm olayları | Meşru menfaat |
| Bülten ve pazarlama iletileri | e-posta | Açık rıza (İYS dahil), her an geri alınabilir |
| Sitenin nasıl kullanıldığını ölçmek (Google Analytics 4) | takma adlı tanımlayıcılar, görüntülenen sayfalar, cihaz ve tarayıcı bilgisi | Açık rıza, çerez tercihlerinden her an geri alınabilir |
| Hesabını iki adımlı doğrulamayla korumak | şifrelenmiş doğrulama anahtarı, kurtarma kodu özetleri, hatırlanan cihaz kayıtları | Sözleşmenin ifası ve veri güvenliği yükümlülüğü (KVKK m.12) |
Pazarlama izni, giriş yapmandan ve hizmeti kullanmandan ayrıdır. Bülteni bırakmak hesabını etkilemez.
3. Kimlerle paylaşıyoruz
Aşağıdakiler, hizmeti çalıştırabilmek için gerçekten kullandığımız hizmet sağlayıcılardır. Kişisel verini reklam amacıyla kimseye satmıyoruz.
| Sağlayıcı | Ne için | Ne aktarılır |
|---|---|---|
| iyzico (Türkiye) | Abonelik tahsilatı, kart saklama, 3D Secure, iade | Yetkili kişinin adı ve soyadı, e-posta, telefon, fatura adresi, ödeme sırasındaki IP adresi, şahıs işletmesinde T.C. kimlik numarası, tutar ve abonelik referansı. Kart verisi doğrudan iyzico'ya gider, bize uğramaz |
| Resend (ABD/AB) | İşlem ve bülten e-postaları | E-posta adresi, ileti içeriği |
| Cloudflare Turnstile (ABD) | Formlarda bot/insan doğrulaması | Doğrulama isteğinin teknik verileri |
| Anthropic (Claude) (ABD) | İçerik çevirileri ve şehir asistanı yanıtları | Çevrilen içerik metni; asistanda sorduğun soru |
| CollectAPI (Türkiye) | Nöbetçi eczane verisi | Yalnızca il/ilçe bilgisi; kişisel veri gitmez |
| Open-Meteo (AB) | Hava durumu ve deniz koşulları | Yalnızca şehir koordinatı; kişisel veri gitmez |
| AeroDataBox / RapidAPI | Uçuş bilgi tablosu | Yalnızca havalimanı kodu; kişisel veri gitmez |
| OpenFreeMap / OpenStreetMap | Harita karoları | Haritayı görüntüleyen tarayıcının teknik istek verileri |
| Cloudflare | CDN, güvenlik ve görsel dağıtımı | Bağlantı teknik verileri |
| Google (Google Analytics 4) (ABD) | Site kullanım istatistikleri, yalnızca açık rızanla | Takma adlı tanımlayıcılar, görüntülenen sayfalar, cihaz ve tarayıcı bilgisi; IP adresi anonimleştirilir |
Fatura düzenlenmesi için fatura bilgilerin ve makbuz kayıtların, Citiveo adına muhasebe hizmeti veren mali müşavirle paylaşılır.
Yurt dışına aktarım. Yukarıdaki sağlayıcıların bir kısmı Türkiye dışında bulunur. Bu durumda kişisel veriler KVKK m.9 ve GDPR Bölüm V kapsamında, sağlayıcının standart sözleşme hükümleri ve teknik güvenlik taahhütleri çerçevesinde aktarılır. Nöbetçi eczane, hava durumu ve uçuş sağlayıcılarına hiçbir kişisel veri gönderilmez; onlara yalnızca şehir veya havalimanı gibi coğrafi bilgi iletilir.
Google Analytics 4 verilerinin yurt dışına aktarımı. Google Analytics 4 ile işlenen veriler Google'ın ABD'deki sunucularına aktarılır. Bu aktarım, KVKK m.9 kapsamında açık rızana dayanır: Analitik kategorisine izin vermezsen Google Analytics 4 yüklenmez ve bu aktarım gerçekleşmez. Rızanı dilediğin an, her sayfanın altındaki "Çerez tercihleri" bağlantısından Analitik kategorisini kapatarak geri alabilirsin; geri aldığında toplama durur, daha önce gönderilmiş veriler ise geri çağrılamaz.
4. Ne kadar süre saklıyoruz
- Hesap verileri: hesabın açık olduğu sürece.
- Yorumlar: yayında kaldığı sürece; hesabını silersen yorum "silinmiş kullanıcı" olarak anonimleşir.
- Kuponlar ve pasaport damgaları: hesabını silersen kullanılmamış kuponlar geçersiz kılınır, damgalar silinir.
- Sahiplenme belgeleri ve geri arama kaydı: başvuru sonuçlandıktan sonra makul bir süre saklanır, ardından silinir.
- Kart eşleştirme anahtarları: iyzico'daki kayıtlı kartın şu hallerde silinir, bizdeki anahtar da geçersiz olur:
- abonelik sona erdiğinde;
- ödeme alınamayan 7 günlük süre bittiğinde;
- kartını değiştirdiğinde;
- hesabını sildiğinde.
- Ödeme, makbuz, fatura bilgileri ve kart saklama onay kaydı: vergi ve ticaret mevzuatı gereği 10 yıl.
- Şehir partneri hizmet bedeli ve ödeme kayıtları: vergi mevzuatı gereği 10 yıl.
- Kimliksiz kullanım ölçümü: kişisel veri içermediği için süresiz toplu istatistik olarak kalabilir.
- Google Analytics 4: tanımlayıcı çerezler tarayıcında en fazla 2 yıl kalır; Google tarafındaki olay verileri, Google Analytics'te tanımlı saklama süresi sonunda silinir.
- İki adımlı doğrulama: gizli anahtar ve kurtarma kodu özetleri iki adımlı doğrulama açık olduğu sürece saklanır; hatırlanan cihaz kayıtları 30 gün sonra geçersiz olur. İki adımlı doğrulamayı kapattığında üçü de silinir.
5. Haklarınız ve nasıl kullanacağınız
KVKK m.11 ve GDPR m.15–22 kapsamında; verilerine erişme, düzeltme, silme, işlemeye itiraz etme ve taşınabilirlik haklarına sahipsin. Citiveo bunların ikisini doğrudan ürünün içine koydu:
- Verilerini indir. Profil sayfandan, hesabınla ilgili verilerin makine okunur bir dışa aktarımını anında alabilirsin.
- Hesabını sil. Profilinden silme talebi oluşturabilirsin. Talebin 30 günlük bir bekleme süresiyle işler: bu süre içinde fikrini değiştirip iptal edebilirsin, süre dolduğunda hesabın geri döndürülemez biçimde silinir ve kişisel alanların boşaltılır. Bir işletmenin tek sahibiysen, önce işletme sahipliğini devretmen veya kapatman gerekir. Yasal saklama süresi olan ödeme ve fatura kayıtları bu süre boyunca saklanmaya devam eder.
Diğer taleplerin ve şikâyetlerin için: kvkk at citiveo.com. Talebine en geç 30 gün içinde yanıt veririz. Ayrıca Kişisel Verileri Koruma Kurulu'na şikâyet hakkın saklıdır.
6. Güvenlik
Önlemlerimiz:
- Şifreler yalnızca bcrypt özeti olarak saklanır.
- Oturum çerezleri HttpOnly'dir ve HTTPS zorunludur.
- Yüklenen görsellerin konum verisi (EXIF) temizlenir.
- Kötüye kullanıma karşı oran sınırlama ve Cloudflare Turnstile insan doğrulaması uygulanır.
- Yönetim ekranlarına erişim rol bazlıdır.
- İşletme, şehir partneri ve yönetim hesaplarında iki adımlı doğrulama zorunludur; kimlik doğrulama uygulamasının gizli anahtarı şifrelenmiş olarak, kurtarma kodları yalnızca geri döndürülemez özet olarak saklanır.
- Kart bilgileri sistemlerimize hiçbir zaman ulaşmaz.
- Ödeme sistemine ait teknik kayıtlarda kart eşleştirme anahtarları ve gizli anahtarlar yazılmaz.
7. Çocuklar
Citiveo 18 yaşından küçükler için tasarlanmamıştır ve bilerek çocuklardan kişisel veri toplamaz.
8. Değişiklikler
Bu politikayı güncellediğimizde sayfanın üstündeki "son güncelleme" tarihini değiştiririz. Esaslı değişikliklerde hesabı olan kullanıcıları e-posta ile bilgilendiririz.