Bu politika; CartaX hizmetini kullandığınızda hangi verilerin, hangi amaçlarla ve hangi hukuki dayanaklarla işlendiğini, kimlerle paylaşıldığını ve haklarınızı açıklar. Aşağıdaki Bölüm II, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca aydınlatma metnidir; Avrupa Ekonomik Alanı/Birleşik Krallık'taki kullanıcılar için GDPR'a ilişkin ek bilgiler ilgili başlıklarda yer alır.

Temel ilkelerimiz: müşteri verisi müşterinindir ve yalnız hizmetin sunulması için işlenir; reklam amaçlı izleme yapılmaz; müşteri içeriği reklam, profilleme veya model eğitimi için kullanılmaz; kart verisi CartaX sistemlerinde tutulmaz.

1. Veri sorumlusu

Veri sorumlusu: Furkan Akbaş (vergi dairesi: Menemen Vergi Dairesi Müdürlüğü), adres: 30 Ağustos Mah., 3. Cadde No: 15/B, Kat: 2, Daire: 5, 35660 Menemen / İzmir. Başvuru kanalı: support@fixurelabs.dev · Web: işletme bilgileri.

2. İşlenen kişisel veri kategorileri

Paylaşım misafirleri hakkında. PIN korumalı bir paylaşım bağlantısını açan kişinin CartaX hesabı olması gerekmez. Bu kişiler için yalnızca yukarıdaki son satırdaki sınırlı kaydı tutarız; amacı kaba kuvvet denemelerini tespit etmek ve bir güvenlik olayında kapsamı belirleyebilmektir. Ham IP adresi saklanmaz — adres, tekil kullanıcıyı değil ağ bloğunu gösterecek şekilde (IPv4 /24, IPv6 /48) indirgenip tek yönlü olarak özetlenir. Kilit ekranına yazılan e-posta adresi doğrulanmaz; bu nedenle bu kayıtlar tek başına kişi tespiti sağlamaz ve öyle bir amaçla kullanılmaz. Bağlantı sahibine bu kayıtlar ham hâliyle gösterilmez; sahibe yalnızca “çok sayıda hatalı deneme yapıldı” türünden özet bir uyarı iletilir.

3. İşleme amaçları ve hukuki sebepler

4. Yurt dışına aktarım (KVKK m.9)

Hizmet, aşağıdaki alt hizmet sağlayıcıları kullanır; bu kapsamda kişisel verileriniz yurt dışına aktarılabilir:

Yurt dışı aktarımlar, KVKK m.9'daki kademeli rejim çerçevesinde yürütülür. Kurulca yeterlilik kararı verilmiş bir ülke henüz bulunmadığından aktarımlar; uygun güvencelerin teminine yönelik çalışmalarımız kapsamında, sağlayıcılarla akdedilen veri işleme sözleşmeleri (DPA), standart sözleşme hükümleri (SCC), sertifikasyon mekanizmaları ve AB bölgesi öncelikli barındırma tercihleri eşliğinde gerçekleştirilir. Aktarım envanteri ve sağlayıcı bazında güvence durumu, başvurunuz üzerine sizinle paylaşılır. Hesap açılışında bu aktarımlara ilişkin bilgilendirme sunulur; hizmetin rızaya bağlı olmayan kısımları rızaya şartlanmaz.

5. Saklama süreleri

• Hesap ve müşteri içeriği: hesap açık ve plan sınırları içinde kaldığı sürece saklanır. “Hesabımı sil” talebinde tüm içerik ve hesap verileri kalıcı olarak silinir (purge).
• Ücretli aboneliğin sona ermesi/iptali: hesap ücretsiz pakete döner. Kullanımınız ücretsiz paket kotasının ALTINDAYSA içeriğiniz olduğu gibi durur ve otomatik silinmez. Kotayı AŞIYORSANIZ yeni yükleme ve üretim kısıtlanır ve 7 günlük bir düzeltme süresi başlar: bu süre içinde e-posta ile bilgilendirilirsiniz, dosyalarınızı indirebilir ya da silebilirsiniz. Süre sonunda kotanın üzerindeyseniz içerik silinir; hesabınız, e-posta adresiniz ve fatura kayıtlarınız KALIR. Kotanın altına inmeniz ya da yeniden abone olmanız süreci anında iptal eder.
• Bu 7 günlük süre, ayrılan bir kullanıcının ücretsiz pakette süresiz olarak yüksek hacimli veri taşımasını önlemek içindir; hesabı veya kimliği kapsamaz.
• Uzun süreli hareketsizlik (dönemsel temizlik): uzun süredir hiç giriş yapılmayan ve aktif aboneliği/eklentisi olmayan hesaplar, dönemsel olarak yapılan temizlik çalışmalarında değerlendirilir ve silinmeden en az 30 gün önce e-posta ile bilgilendirilir; bu süre içinde giriş yapılması hesabı temizlik kapsamından çıkarır.
• İşlem güvenliği/erişim logları: en fazla 180 gün.
• Fatura ve ödeme kayıtları: vergi ve ticaret mevzuatının öngördüğü yasal süreler boyunca (bu kayıtlar hesap silmeden etkilenmez).
• Destek yazışmaları: talebin sonuçlanmasından itibaren makul bir süre; uyuşmazlık hâlinde zamanaşımı süresince.
• Yedekler: silinen veriler, felaket kurtarma yedeklerinde sınırlı bir süre daha kalabilir ve yedekleme döngüsü sonunda otomatik olarak temizlenir.

6. Haklarınız (KVKK m.11; GDPR m.15–22)

KVKK m.11 uyarınca:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme ve bilgi talep etme,
• İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmişse düzeltilmesini isteme,
• KVKK m.7 şartlarında silinmesini veya yok edilmesini isteme,
• Düzeltme/silme işlemlerinin aktarım yapılan üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik sistemlerce analiz sonucu aleyhe bir sonuca itiraz etme,
• Kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme.

GDPR kapsamındaki kullanıcılar ayrıca erişim, düzeltme, silme ("unutulma"), işlemenin kısıtlanması, veri taşınabilirliği ve itiraz haklarına (m.15–22) sahiptir.

Başvuru: taleplerinizi support@fixurelabs.dev adresine, kimliğinizi tespite elverişli bilgilerle iletebilirsiniz (Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak). Başvurular en geç 30 gün içinde ücretsiz sonuçlandırılır. Sonuçtan memnun kalmazsanız Kişisel Verileri Koruma Kurulu'na (AEA'da iseniz yerleşik olduğunuz ülkenin denetim otoritesine) şikâyette bulunabilirsiniz.

7. Çocukların verisi

CartaX, 18 yaş altındaki kişilere yönelik değildir ve bilerek 18 yaş altı kişilerden veri toplamaz. Böyle bir işleme tespit edilirse ilgili hesap ve veriler silinir.

8. Çerezler

Çerez ve benzeri teknolojilere ilişkin ayrıntılar Çerez Politikası'nda açıklanmıştır. Özet: yalnız hizmetin çalışması için zorunlu çerezler onaysız kullanılır; reklam/pazarlama çerezi kullanılmaz; isteğe bağlı hata izleme yalnız açık rızayla çalışır.

9. Değişiklikler

Bu metin; ürün, alt işleyici seti veya mevzuat değiştikçe güncellenir. Esaslı değişiklikler e-posta veya uygulama içi bildirimle duyurulur; yürürlük tarihi sayfanın üstünde gösterilir.

This policy explains which data is processed when you use CartaX, for which purposes and on which legal bases, with whom it is shared, and your rights. Part II is the disclosure notice required by the Turkish Personal Data Protection Law No. 6698 ("KVKK"); additional GDPR information for users in the EEA/UK is included under the relevant headings.

Our core principles: customer data belongs to the customer and is processed only to provide the service; no advertising tracking; customer content is never used for advertising, profiling or model training; card data is never stored on CartaX systems.

1. Data controller

Data controller: Furkan Akbaş (tax office: Menemen Vergi Dairesi Müdürlüğü), address: 30 Ağustos Mah., 3. Cadde No: 15/B, Kat: 2, Daire: 5, 35660 Menemen / İzmir. Contact: support@fixurelabs.dev · company information.

2. Categories of personal data

About share guests. Opening a PIN-protected share link does not require a CartaX account. For these visitors we keep only the limited record described in the last row above; its purpose is to detect brute-force attempts and to establish the scope of a security incident. Raw IP addresses are not stored — the address is reduced to a network block (IPv4 /24, IPv6 /48) and then one-way hashed, so it identifies a network rather than a person. The e-mail address typed on the lock screen is not verified; these records therefore cannot identify an individual on their own and are not used for that purpose. Link owners are never shown these records in raw form — they only receive a summary warning such as “a large number of failed attempts was made”.

3. Purposes and legal bases

4. International transfers

The service relies on the following sub-processors, which may involve transfers abroad:

Transfers are carried out within the tiered regime of KVKK art. 9. As the Turkish DPA has not yet issued any adequacy decision, transfers take place as part of our ongoing work to establish the recognized safeguards, accompanied by data processing agreements (DPAs), standard contractual clauses (SCCs), certification mechanisms and EU-region hosting preferences. Our transfer inventory and per-provider safeguard status are available to data subjects on request. For GDPR purposes, transfers rely on SCCs and, where applicable, adequacy mechanisms such as the EU–US Data Privacy Framework.

5. Retention

• Account and customer content: retained while the account is active and within plan limits. On a “Delete my account” request, all content and account data are permanently deleted (purged).
• End/cancellation of a paid subscription: the account reverts to the free plan and your data remains. Content is not deleted automatically; if storage usage exceeds the quota, new uploads and processing are restricted. Deletion happens only at your request or as part of the periodic clean-up described below.
• Prolonged inactivity (periodic clean-up): accounts with no sign-in for an extended period and no active subscription/add-on may be removed during periodic clean-up runs; affected accounts are notified by e-mail at least 30 days in advance, and signing in during that window excludes the account from the clean-up.
• Security/access logs: no longer than 180 days.
• Invoice and payment records: for the statutory periods required by tax and commercial law (unaffected by account deletion).
• Support correspondence: for a reasonable period after resolution; for the limitation period in case of dispute.
• Backups: deleted data may persist in disaster-recovery backups for a limited additional period and is automatically cleared at the end of the backup cycle.

6. Your rights (KVKK art. 11; GDPR arts. 15–22)

You may request information on whether your data is processed, ask for access, rectification, erasure or destruction, request notification of these operations to third parties, object to results produced exclusively by automated analysis, and claim compensation for damages caused by unlawful processing. EEA/UK users additionally have the rights of access, rectification, erasure ("right to be forgotten"), restriction of processing, data portability and objection under GDPR arts. 15–22.

Applications: send your request with identifying information to support@fixurelabs.dev. Requests are answered free of charge within 30 days at the latest. You may lodge a complaint with the Turkish Personal Data Protection Board or, in the EEA, with your local supervisory authority.

7. Children

CartaX is not directed at persons under 18 and does not knowingly collect their data; any such account and data will be deleted upon detection.

8. Cookies

Details are set out in the Cookie Policy. In short: only cookies strictly necessary for the service are used without consent; no advertising/marketing cookies; optional error tracking runs only with explicit consent.

9. Changes

This notice is updated as the product, the sub-processor set or legislation changes. Material changes are announced by e-mail or in-app notice; the effective date is shown at the top of the page.