Gizlilik Politikası Privacy Policy

MebiVault uygulaması [Şirketin ticaret unvanı] tarafından geliştirilir ve işletilir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri sorumlusu bu tüzel kişiliktir. Avrupa Birliği'nde ikamet eden kullanıcılar bakımından GDPR anlamında da controller sıfatını taşır.

MebiVault is developed and operated by [Registered company name]. That entity is the data controller under Turkish Personal Data Protection Law No. 6698 (KVKK), and the controller under the GDPR for users resident in the European Union.

Bu politika yalnızca MebiVault mobil uygulaması ve uygulamanın bağlandığı api.mebivault.com arka uç servisi için geçerlidir. Uygulama içinden açılan üçüncü taraf bağlantıların kendi gizlilik politikaları uygulanır.

MebiVault bir işletme finans yönetimi uygulamasıdır. İşlediğimiz verilerin büyük bölümü sizin kendi isteğinizle girdiğiniz ticari kayıtlardır: şirketleriniz, defterleriniz, gelir ve gider işlemleriniz, sözleşmeleriniz. Bu verileri size hizmet sunmak dışında hiçbir amaçla kullanmayız; analiz etmez, profilleme yapmaz, üçüncü taraflara satmayız.

This policy covers the MebiVault mobile application and its backend service at api.mebivault.com. Third-party links opened from within the app are governed by their own privacy policies.

MebiVault is a business finance management application. Most of the data we process consists of commercial records you enter yourself: your companies, ledgers, income and expense transactions, and contracts. We use this data solely to provide the service — we do not analyse it, build profiles from it, or sell it to third parties.

Aşağıdaki tablo, uygulamanın topladığı tüm kişisel veri kategorilerini, işleme amacını ve KVKK m.5 uyarınca dayandığı hukuki sebebi gösterir.

Uygulama, bu tablodaki veriler dışında arka planda sessizce veri toplamaz. Sunucuya giden her istek, sizin uygulama içinde yaptığınız bir işlemin sonucudur.

The table below lists every category of personal data the app collects, the purpose of processing, and the legal basis under Article 5 of the KVKK (and the corresponding GDPR Article 6 basis).

The app collects nothing beyond this table silently in the background. Every request sent to the server is the result of an action you took in the app.

Uygulamanın Android sürümünde tanımlı izinlerin tamamı ve kullanım amaçları:

Uygulama kamera izni istemez; belge eklerken yalnızca cihaz galerinizden veya dosya seçicisinden seçim yaparsınız. Konum izni hiç tanımlı değildir.

Every permission declared by the Android build, and what it is used for:

The app does not request camera access — documents are chosen from your gallery or file picker only. No location permission is declared at all.

Sesli işlem özelliği, işlem girmek yerine söylemenizi sağlar. Bu özelliğin nasıl çalıştığını açıkça belirtmek istiyoruz:

• Kayıt yalnızca mikrofon düğmesine dokunduğunuzda başlar ve tekrar dokunduğunuzda durur. Arka planda dinleme yapılmaz; uygulama açık değilken mikrofon kullanılmaz.
• Kayıt cihazınızın geçici klasöründe WAV dosyası olarak oluşturulur, ardından şifreli bağlantı üzerinden sunucumuza yüklenir ve içeriği çözümlenerek işleme dönüştürülür.
• Söylediğiniz her şey kaydedilir. Mikrofon açıkken üçüncü kişilerin konuşmalarının veya işlemle ilgisiz bilgilerin kayda girmemesine dikkat edin.

The voice transaction feature lets you dictate an entry instead of typing it. How it works:

• Recording starts only when you tap the microphone button and stops when you tap it again. There is no background listening, and the microphone is never used while the app is closed.
• The recording is written to your device's temporary folder as a WAV file, then uploaded over an encrypted connection to our server, where it is interpreted and turned into a transaction.
• Everything spoken while recording is captured. Please make sure that conversations of other people, or information unrelated to the transaction, are not picked up.

Bir işleme belge eklediğinizde, seçtiğiniz dosya sunucumuza yüklenir ve yalnızca o işleme erişim yetkisi olan hesap kullanıcılarına gösterilir. Uygulama galerinizin tamamına erişmez; sistem dosya seçicisi aracılığıyla yalnızca sizin seçtiğiniz dosyayı alır.

Yüklediğiniz belgenin içeriğinden siz sorumlusunuz. İşlemle ilgisi olmayan kişisel bilgiler içeren belgeleri yüklememenizi öneririz.

When you attach a document to a transaction, the selected file is uploaded to our server and shown only to account users authorised to view that transaction. The app does not access your entire gallery — it receives only the file you pick through the system file chooser.

You are responsible for the content of documents you upload. We recommend not uploading documents containing personal information unrelated to the transaction.

Bazı veriler hiçbir zaman sunucuya gönderilmez; işletim sisteminin şifreli anahtar deposunda (Android Keystore / iOS Keychain) cihazınızda saklanır:

• Uygulama kilidi PIN'i. PIN'iniz düz metin olarak hiçbir yerde tutulmaz. PBKDF2 algoritmasıyla, kayıt başına üretilen rastgele bir tuz değeriyle özetlenir; yalnızca bu özet ve tuz saklanır.
• Biyometrik tercihiniz. Yalnızca "biyometrik açık/kapalı" bilgisi tutulur. Parmak iziniz veya yüz verinize ne uygulama ne de sunucu erişebilir; doğrulama tamamen işletim sistemi tarafından yapılır.
• Başarısız giriş denemesi sayacı, seçili şirket bilgisi, tema tercihi, tutar gizleme tercihi ve kayıtlı filtreleriniz.
• Oturum jetonları. Çıkış yaptığınızda cihazdan silinir.

Uygulamayı cihazınızdan kaldırdığınızda bu verilerin tamamı silinir.

Some data is never sent to the server. It is stored on your device in the operating system's encrypted keystore (Android Keystore / iOS Keychain):

• Your app lock PIN. The PIN is never stored in plain text. It is hashed with PBKDF2 using a random salt generated per record; only the hash and the salt are kept.
• Your biometric preference. Only an on/off flag is stored. Neither the app nor the server can access your fingerprint or face data — verification is performed entirely by the operating system.
• Failed attempt counter, selected company, theme preference, amount-hiding preference, and your saved filters.
• Session tokens, which are deleted from the device when you sign out.

All of this is removed when you uninstall the app.

Vade hatırlatmaları ve sözleşme uyarıları için Google'ın Firebase Cloud Messaging servisi kullanılır. Bu servis çalışabilmek için cihazınıza özel bir kayıt jetonu üretir; jeton sunucumuza kaydedilir ve bildirimlerin doğru cihaza ulaşması için kullanılır.

Bildirim izni vermezseniz uygulama bildirim göndermez; diğer tüm özellikler çalışmaya devam eder. Bildirimleri istediğiniz zaman cihaz ayarlarından kapatabilirsiniz.

Bildirim içerikleri Google'ın altyapısı üzerinden geçtiğinden, bildirim metinlerine hassas finansal ayrıntı koymamaya özen gösteriyoruz.

Due-date reminders and contract alerts are delivered through Google's Firebase Cloud Messaging. The service generates a registration token unique to your device; that token is stored on our server and used to route notifications to the right device.

If you decline the notification permission, the app sends no notifications and every other feature continues to work. You can turn notifications off at any time in your device settings.

Because notification content passes through Google's infrastructure, we take care not to place sensitive financial detail in notification text.

Bir gizlilik politikasının en yararlı kısmı çoğu zaman toplanmayanların listesidir. MebiVault'ta aşağıdakilerin hiçbiri yoktur:

• Konum verisi. Uygulamada hiçbir konum izni tanımlı değildir.
• Reklam kimliği veya reklam ağı. Uygulamada reklam gösterilmez, reklam SDK'sı bulunmaz.
• Analitik ve davranış izleme. Firebase Analytics, Crashlytics veya benzeri hiçbir kullanım analizi aracı uygulamada yer almaz. Hangi ekranı ne kadar kullandığınızı ölçmüyoruz.
• Üçüncü taraf izleme piksel veya SDK'ları. Uygulamada yalnızca bildirim için Firebase bileşenleri bulunur.
• Rehber, SMS içeriği, arama kayıtları veya cihazdaki diğer uygulamalar.
• Kamera erişimi. Belgeler yalnızca galeri ve dosya seçicisinden alınır.
• Uzak günlük kaydı. Uygulamanın hata ve teşhis kayıtları yalnızca geliştirme konsoluna yazılır, hiçbir sunucuya gönderilmez.

The most useful part of a privacy policy is often the list of what is not collected. MebiVault contains none of the following:

• Location data. No location permission is declared anywhere in the app.
• Advertising identifiers or ad networks. The app shows no ads and contains no advertising SDK.
• Analytics or behavioural tracking. There is no Firebase Analytics, Crashlytics, or any comparable usage-analytics tool. We do not measure which screens you use or for how long.
• Third-party tracking pixels or SDKs. The only third-party components are the Firebase libraries used for notifications.
• Contacts, SMS content, call logs, or other apps on your device.
• Camera access. Documents come from the gallery or file picker only.
• Remote logging. Diagnostic logs are written to the development console only and are never transmitted to any server.

Kişisel verilerinizi satmayız, kiralamayız ve pazarlama amacıyla paylaşmayız. Veriler yalnızca hizmetin sunulabilmesi için aşağıdaki taraflara aktarılır:

Bunlar dışında verileriniz, yalnızca mevzuat gereği yetkili kamu kurum ve kuruluşlarının usulüne uygun talebi hâlinde paylaşılır.

Yurt dışına aktarım: Firebase Cloud Messaging kullanımı nedeniyle cihaz bildirim jetonu Google'ın yurt dışındaki sunucuları üzerinden işlenir. Bu aktarım KVKK m.9 kapsamında açık rızanıza dayanır; bildirim iznini reddederek bu aktarımı engelleyebilirsiniz.

We do not sell or rent your personal data, and we do not share it for marketing. Data is transferred only to the following recipients, and only to deliver the service:

Beyond these, your data is disclosed only in response to a lawful and properly formed request from a competent public authority.

International transfers: because Firebase Cloud Messaging is used, your device notification token is processed on Google servers outside Türkiye. This transfer relies on your explicit consent; declining the notification permission prevents it.

• Uygulama ile sunucu arasındaki tüm trafik TLS ile şifrelenir (HTTPS).
• Oturum jetonları, seçili şirket bilgisi ve uygulama kilidi verileri cihazda işletim sisteminin şifreli anahtar deposunda tutulur.
• Uygulama kilidi PIN'i PBKDF2 ile, kayda özel rastgele tuz kullanılarak özetlenir; geri döndürülemez.
• Hesabınızı iki adımlı SMS doğrulaması ile koruyabilirsiniz.
• Uygulama, belirli sayıda başarısız PIN denemesinden sonra erişimi kısıtlar.
• Hesap içinde rol ve yetki yönetimi bulunur; kullanıcılara kayıt bazında erişim kısıtı tanımlanabilir.
• Yayınlanan sürümler kod küçültme ve karartma (R8) ile derlenir.

Hiçbir sistem mutlak güvenlik sağlayamaz. Bir güvenlik açığı fark ederseniz bölüm 17'deki adresten bize bildirin.

• All traffic between the app and the server is encrypted with TLS (HTTPS).
• Session tokens, the selected company, and app lock data are held on the device in the operating system's encrypted keystore.
• The app lock PIN is hashed with PBKDF2 using a per-record random salt, and cannot be reversed.
• You can protect your account with two-factor SMS verification.
• The app restricts access after a number of failed PIN attempts.
• The account supports roles and permissions, including record-level access restrictions for individual users.
• Released builds are compiled with code shrinking and obfuscation (R8).

No system can guarantee absolute security. If you discover a vulnerability, please report it using the address in section 17.

• Hesap ve profil verileri: Hesabınız aktif olduğu sürece. Hesabın kapatılmasından sonra [süre] içinde silinir.
• Finansal kayıtlar ve belgeler: Vergi ve ticaret mevzuatı gereği saklanması zorunlu olan kayıtlar için 10 yıl (TTK m.82, VUK m.253).
• Fatura ve abonelik kayıtları: Mali mevzuat uyarınca 10 yıl.
• Ses kayıtları: [işlendikten sonra silinme süresi]
• Cihaz bildirim jetonu: Çıkış yaptığınızda veya bildirim iznini geri aldığınızda geçersiz kılınır.
• Cihazdaki yerel veriler: Çıkış yaptığınızda veya uygulamayı kaldırdığınızda silinir.

• Account and profile data: for as long as your account is active, then deleted within [period] of closure.
• Financial records and documents: 10 years where retention is required by Turkish tax and commercial law.
• Invoice and subscription records: 10 years, as required by fiscal legislation.
• Voice recordings: [deletion period after processing]
• Device notification token: invalidated when you sign out or withdraw the notification permission.
• Local device data: removed when you sign out or uninstall the app.

KVKK m.11 uyarınca veri sorumlusuna başvurarak şu haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme
• Kanunda öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme
• Verilerinizin kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

AB'de ikamet ediyorsanız GDPR kapsamında ayrıca veri taşınabilirliği ve işlemeye itiraz haklarına sahipsiniz.

Başvurularınızı bölüm 17'deki e-posta adresine iletebilirsiniz. Talebiniz en geç 30 gün içinde sonuçlandırılır. Yanıttan memnun kalmazsanız Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

Under Article 11 of the KVKK you may apply to the data controller to exercise the following rights:

• Learn whether your personal data is being processed, and request information about it
• Learn the purpose of processing and whether the data is used in line with that purpose
• Know the third parties, domestic or international, to whom the data has been transferred
• Request correction of incomplete or inaccurate data
• Request erasure or destruction under the conditions set out in the law
• Request that correction, erasure or destruction be notified to third parties who received the data
• Object to an adverse outcome produced solely by automated analysis
• Claim compensation for damage arising from unlawful processing

If you reside in the EU, the GDPR additionally gives you the rights to data portability and to object to processing.

Send requests to the email address in section 17. We respond within 30 days at the latest. If you are not satisfied with our response, you may lodge a complaint with the Turkish Personal Data Protection Authority or your local supervisory authority.

Hesabınızın ve ona bağlı verilerin silinmesini talep edebilirsiniz. Talebinizi bölüm 17'deki e-posta adresine, hesabınızda kayıtlı e-posta adresinden gönderin.

Silme talebi üzerine kimlik ve profil verileriniz, uygulama içi kayıtlarınız ve yüklediğiniz belgeler silinir. Vergi ve ticaret mevzuatı gereği saklanması zorunlu olan mali kayıtlar, yasal saklama süresi dolana kadar erişime kapalı biçimde muhafaza edilir ve süre sonunda imha edilir.

You may request deletion of your account and its associated data. Send the request to the email address in section 17 from the email address registered on your account.

On receiving a deletion request we erase your identity and profile data, your in-app records, and the documents you uploaded. Financial records that tax and commercial law requires us to keep are retained in a form closed to access until the statutory period expires, and destroyed at the end of it.

MebiVault bir işletme uygulamasıdır ve 18 yaşın altındaki kişilere yönelik değildir. Bilerek çocuklardan kişisel veri toplamayız. Bir çocuğa ait veri işlediğimizi öğrenirsek gecikmeksizin sileriz.

MebiVault is a business application and is not directed at anyone under 18. We do not knowingly collect personal data from children. If we learn that we hold a child's data, we delete it without delay.

Uygulamaya yeni özellikler eklendikçe veya mevzuat değiştikçe bu politikayı güncelleyebiliriz. Güncel sürüm her zaman bu adreste yayımlanır ve sayfanın başındaki "son güncelleme" tarihi değiştirilir.

Veri işleme kapsamını genişleten esaslı bir değişiklik yaparsak, uygulama içinde bildirim yaparız ve gerekiyorsa yeniden açık rızanızı alırız.

We may update this policy as features are added to the app or as legislation changes. The current version is always published at this address, and the "last updated" date at the top of the page is revised.

If we make a material change that widens the scope of processing, we will notify you inside the app and, where required, ask for your consent again.

Gizlilikle ilgili sorularınız, veri erişim ve silme talepleriniz ile güvenlik bildirimleriniz için:

For privacy questions, data access and deletion requests, and security reports: