Gizlilik ve KVKK Aydınlatma Metni
Son güncelleme: 12 Kasım 2026
Bu metin, ChronoRead uygulaması (“uygulama”) ve bu web sitesi (“site”) için 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca hazırlanmış aydınlatma metni ve gizlilik politikasıdır.
1. Veri sorumlusu
Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen veri sorumlusu: Fatih Mehmet Miçillioğlu, İstanbul, Türkiye.
İletişim: [email protected], destek formu ya da bu internet sitesi (chronoreadapp.com). KVKK’daki haklarınla ilgili başvurunu bu e-posta adresine (bize daha önce bildirdiğin ve sistemimizde kayıtlı e-posta adresinden) gönderebilirsin; posta yoluyla yazılı başvuru yapmak istersen yazışma adresimizi e-postayla istemen yeterli.
2. İşlenen kişisel veriler, amaçlar ve hukuki sebepler
| Veri | Amaç | Hukuki sebep (KVKK m.5) |
|---|---|---|
| Hesap bilgileri: e-posta, kullanıcı adı, görünen ad, kimlik doğrulama bilgisi (Firebase Authentication; şifren bizde düz metin olarak tutulmaz) | Hesabı oluşturmak, giriş yapmanı sağlamak, hesabı yönetmek | Sözleşmenin kurulması veya ifası (m.5/2-c) |
| Okuma verileri: kitaplık, sayfa ilerlemesi, puan ve yorumlar, yer imleri, oturumlar, seri, XP, rozet, hedefler | Uygulamanın temel işlevlerini sunmak | Sözleşmenin ifası (m.5/2-c) |
| Herkese açık profil ve arkadaşlık: kullanıcı adı, görünen ad, avatar, biyografi, seri, XP, rozetler, haftalık okuma süresi; arkadaşlık istekleri | Kayıtlı kullanıcılar arasındaki sosyal özellikleri çalıştırmak (e-posta ve kişisel hedeflerin profile dahil değildir) | Sözleşmenin ifası (m.5/2-c) |
| Destek talepleri: e-posta, mesaj içeriği; isteğe bağlı ad, kullanıcı adı, uygulama sürümü, telefon modeli | Talebi yanıtlamak, sorunu çözmek, şikayet ve önerileri yönetmek | Meşru menfaat (m.5/2-f); hakkın tesisi, kullanılması veya korunması (m.5/2-e) |
| Kapalı beta başvurusu: e-posta adresi, başvuru zamanı, kabul ettiğin Kullanım Koşulları sürümü, dil; isteğe bağlı onay e-postası rızası ve rıza zamanı | Seni kapalı beta’ya davet etmek ve testi yürütmek; istediysen başvurunu onaylayan bir e-posta göndermek | Talebin üzerine kurulan sözleşmenin (Kullanım Koşulları) kurulması veya ifasıyla doğrudan doğruya ilgili olması (m.5/2-c); onay e-postası için yurt dışına aktarımda açık rıza (m.9/6-a) |
| Profil fotoğrafı (isteğe bağlı): Hesabım sayfasından yüklediğin fotoğraf (tarayıcında 512 piksele küçültülür; konum gibi dosya bilgileri silinir) | Fotoğrafı hesap sayfanda sana göstermek | Sözleşmenin ifası (m.5/2-c) |
| İşlem güvenliği: IP adresinin gizli bir tuzla üretilmiş tek yönlü özeti (ham IP saklanmaz); Cloudflare Turnstile’ın ürettiği doğrulama sinyalleri | Spam, otomatik istek ve kötüye kullanımı önlemek; hız sınırı uygulamak | Meşru menfaat (m.5/2-f) |
| Kullanım istatistikleri (uygulama): Firebase Analytics ile kullanım olayları (ör. bir okuma oturumunun kaydedilmesi) ve cihaz/uygulama örneğine bağlı takma adlı tanımlayıcılar. Bu veriler hesap kimliğine bağlanmaz ancak “anonim” değildir. | Uygulamayı geliştirmek | Açık rıza (m.5/1): uygulamadaki istatistik tercihi; istediğin zaman kapatabilirsin |
| Tarayıcı depolaması: tema, dil, renk tercihi ve (giriş yaptıysan) oturum bilgisi | Siteyi tercihlerine göre çalıştırmak, oturumunu açık tutmak | Sözleşmenin ifası / meşru menfaat. Reklam ya da izleme çerezi kullanmayız. |
Verileri nasıl topluyoruz? (1) Senin girdiğin bilgilerle: hesap, profil, kitaplık, destek formu, beta başvuru formu, profil fotoğrafı. (2) Uygulamayı kullanırken otomatik: okuma oturumları, kullanım olayları, cihaz/uygulama tanımlayıcıları. (3) Siteyi ziyaret ederken otomatik: IP özeti ve güvenlik doğrulama sinyalleri. Uygulama, Android’in otomatik yedekleme özelliğine dahil edilmez; verilerin Google hesabındaki cihaz yedeğine girmez.
Kamera izni yalnızca kitap barkodunu okumak için kullanılır; görüntüler cihazında işlenir, sunucularımıza gönderilmez. Bildirim izni isteğe bağlı günlük okuma hatırlatıcısı içindir ve istediğin zaman kapatılabilir. Özel nitelikli kişisel veri toplamayı amaçlamayız; destek mesajına bu tür bilgi yazmamanı rica ederiz.
Kapalı beta başvurusu: Başvuranların e-posta adresi, kapalı test listesine eklenmek üzere Google Play Console’a girilir ve beta daveti bu adrese gönderilir. Başvurunla birlikte bülten, reklam ya da tanıtım e-postası göndermeyiz; lansmanı Instagram hesabımızda ve bu sitede duyururuz. Başvurunu onaylayan bir e-posta yalnızca formda bunu ayrıca işaretlersen gönderilir (aşağıdaki “Resend” maddesine bak); işaretlemezsen başvurun yine alınır. Başvurunu Hesabım sayfasından ya da e-postadaki kişiye özel bağlantıdan kendin silebilir, destek formu ya da başvurduğun adresten [email protected] adresine yazarak silinmesini isteyebilirsin. Onay e-postası rızanı istediğin zaman, gerekçe göstermeden ve ücretsiz olarak aynı yollarla geri çekebilirsin.
3. Kişisel verilerin aktarılması
Verilerin reklam amacıyla satılmaz ya da paylaşılmaz. Hizmeti sunmak için aşağıdaki hizmet sağlayıcılarla (veri işleyen) çalışırız. Bu sağlayıcıların şirketleri ve sunucuları Türkiye dışındadır; bu nedenle ilgili işlemler KVKK m.9 kapsamında yurt dışına aktarım niteliğindedir. Aktarım mekanizmaları (uygun güvence/standart sözleşme ve gerektiğinde Kurul’a bildirim) sağlayıcı bazında ayrıca değerlendirilmektedir.
- Google (Firebase Authentication, Firestore, Analytics): hesap, uygulama verileri ve istatistik. ABD merkezli şirket.
- Cloudflare (Pages, D1, Turnstile): bu siteyi ve destek veritabanını (Avrupa bölgesi) barındırır, spam koruması sağlar. ABD merkezli şirket.
- Vercel: siteye erişimi yönlendiren ön adres; istek meta verileri (IP, tarayıcı bilgisi) işlenir. ABD merkezli şirket.
- Resend (ABD): e-posta gönderim hizmeti. (1) Yöneticiye giden, kullanıcı verisi içermeyen bildirimler (talep numarası ve kategori). (2) Yalnızca formda ayrıca açık rıza verdiysen, beta başvurunu onaylayan e-posta için e-posta adresin; e-postada başka kişisel veri yer almaz ve açılma ya da tıklama takibi yapılmaz. Resend verileri ABD’de tutar; ABD için Kurul’un yeterlilik kararı yoktur ve Resend KVKK standart sözleşmesini imzalamamaktadır. Bu nedenle bu aktarım, muhtemel riskler hakkında bilgilendirildikten sonra verdiğin açık rızaya dayanır (KVKK m.9/6-a; Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.16/2-a). Muhtemel riskler: adresin ABD hukukuna tabi olur, ABD’li kamu makamları erişebilir ve haklarını orada kullanmak zorlaşabilir. Rıza vermezsen adresin Resend’e gönderilmez. Destek talebi içeriğin Resend’e hiç gönderilmez.
- Google Books ve Open Library: kitap ararken yazdığın arama ifadesi bu servislere gönderilir; kapak görselleri yüklenirken IP adresin bu servislere ulaşır.
- Kanunen yetkili kamu kurumlarına, yalnızca hukuki yükümlülük gereği ve talep halinde bilgi verilebilir.
4. Saklama süreleri
- Hesap ve uygulama verileri: hesabını silene kadar. Hesabı uygulamadan sildiğinde hesap, profil, kitaplık, okuma oturumu, kullanıcı adı ve arkadaşlık kayıtların (gönderdiğin ve aldığın istekler dahil) silinir. Analytics verisi Google tarafında ayrıca tutulabilir.
- Destek talepleri: talep çözüldükten ya da kapatıldıktan sonra en fazla 2 yıl; sonra otomatik silinir. Daha erken silinmesini isteyebilirsin.
- Kapalı beta başvurusu: beta bittikten sonra en geç 6 ay; sonra otomatik silinir. Başvurunu daha önce silebilirsin.
- Profil fotoğrafı: sen kaldırana kadar. Hesabını uygulamadan sildiğinde fotoğraf kendiliğinden silinmez; silmeden önce Hesabım’dan kaldır ya da bize yaz, en geç 30 gün içinde sileriz.
- IP özeti: talebin kaydından itibaren en fazla 30 gün; sonra silinir. Hız sınırı için tutulan arama kayıtları 24 saat sonra silinir.
- Yedekler: silinen destek kayıtları, barındırma sağlayıcısının otomatik yedeklerinde en fazla 30 gün daha bulunabilir.
- Oturum bilgisi: yalnızca tarayıcında saklanır, çıkış yapınca silinir.
Yasal bir saklama yükümlülüğü ya da bir uyuşmazlıkta hakkımızı koruma ihtiyacı varsa ilgili veri, o süre boyunca ve yalnızca o amaçla saklanabilir.
5. Haklarınız (KVKK m.11)
Veri sahibi olarak şu haklara sahipsin: kişisel verinin işlenip işlenmediğini öğrenme; işlenmişse bilgi talep etme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde ya da yurt dışında aktarıldığı üçüncü kişileri bilme; eksik ya da yanlış işlenmişse düzeltilmesini isteme; KVKK’nın 7. maddesindeki şartlar çerçevesinde silinmesini ya da yok edilmesini isteme ve bunun aktarılan üçüncü kişilere bildirilmesini isteme; işlenen verinin otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme; kanuna aykırı işleme nedeniyle zarara uğrarsan zararın giderilmesini talep etme. Açık rızaya dayanan işlemler için rızanı istediğin zaman geri çekebilirsin.
Başvuru: Taleplerini [email protected] adresine e-posta ile ya da destek formu üzerinden (kategori “Hesap / veri silme”) iletebilirsin. Kimliğini doğrulamak için hesabında (ya da beta başvurunda) kayıtlı e-posta adresinden başvurman gerekir. Başvurunu yazılı olarak (posta ile) yapmak istersen tebligat adresini aynı e-posta adresinden isteyebilirsin; adres en geç 3 iş günü içinde bildirilir. Başvurunu talebin niteliğine göre en geç 30 gün içinde ücretsiz olarak sonuçlandırırız. Yanıtı yetersiz bulursan ya da süresinde yanıt alamazsan Kişisel Verileri Koruma Kurulu’na şikâyet hakkın saklıdır (KVKK m.14).
6. Güvenlik
Verilerini korumak için makul teknik ve idari tedbirler alırız: tüm bağlantılar HTTPS ile şifrelenir, şifrelerin yönetimi Firebase Authentication’a bırakılmıştır, IP adresleri ham olarak saklanmaz, gizli bir tuzla özetlenir, yönetim paneline yalnızca doğrulanmış yönetici hesabıyla erişilir, destek yazışmalarına yalnızca talep sahibi ve yetkili yöneticiler ulaşır. Hiçbir sistem tamamen risksizdir; bir veri ihlali olursa KVKK’nın öngördüğü sürelerde ilgili kişilere ve Kurul’a bildirim yaparız.
7. Çocuklar
Uygulama 15 yaşını doldurmamış çocuklara yönelik değildir ve bu yaşın altındaki çocuklardan bilerek veri toplamayız. 18 yaşından küçükler uygulamayı ve bu siteyi velisinin (yasal temsilcisinin) izniyle kullanmalıdır; onay e-postası için verilen açık rıza gibi rızaya dayanan işlemler için de velinin izni gerekir. Bir çocuğa ait veri topladığımızı fark edersen bize bildir, sileriz.
8. Değişiklikler
Bu metni zaman zaman güncelleyebiliriz. Önemli değişiklikleri bu sayfada duyururuz; yukarıdaki tarih son güncellemeyi gösterir.
Last updated: 12 November 2026
This is the privacy policy and information notice for the ChronoRead app (the “app”) and this website (the “site”), prepared under Article 10 of the Turkish Personal Data Protection Law No. 6698 (“KVKK”).
1. Data controller
The controller that decides why and how personal data is processed: Fatih Mehmet Miçillioğlu, İstanbul, Türkiye.
Contact: [email protected], the support form or this website (chronoreadapp.com). You can send requests about your KVKK rights to this email address (from the email address you gave us before and that is registered with us); if you want to apply in writing by post, just ask for our postal address by email.
2. Data we process, purposes and legal bases
| Data | Purpose | Legal basis (KVKK Art. 5) |
|---|---|---|
| Account data: email, username, display name, authentication data (Firebase Authentication; we do not store your password in plain text) | Create and manage your account, let you sign in | Performance of a contract (5/2-c) |
| Reading data: library, page progress, ratings and reviews, bookmarks, sessions, streak, XP, badges, goals | Provide the core features of the app | Performance of a contract (5/2-c) |
| Public profile and friendships: username, display name, avatar, bio, streak, XP, badges, weekly reading time; friend requests | Run the social features between registered users (your email and personal goals are not part of the profile) | Performance of a contract (5/2-c) |
| Support tickets: email, message content; optionally name, username, app version, phone model | Answer your request, fix problems, handle complaints and suggestions | Legitimate interest (5/2-f); establishment, exercise or protection of a right (5/2-e) |
| Closed beta application: email address, time of application, the version of the Terms of use you accepted, language; optional consent to a confirmation email and the time of that consent | Invite you to the closed beta and run the test; if you asked, send an email confirming your application | Directly related to concluding or performing the contract formed at your request (the Terms of use) (5/2-c); explicit consent for the cross-border transfer for the confirmation email (9/6-a) |
| Profile photo (optional): the photo you upload on the My account page (resized to 512 pixels in your browser; file details such as location are removed) | Show the photo to you on your account page | Performance of a contract (5/2-c) |
| Security: a one-way hash of your IP address made with a secret salt (the raw IP is not stored); verification signals produced by Cloudflare Turnstile | Prevent spam, automated requests and abuse; apply rate limits | Legitimate interest (5/2-f) |
| Usage statistics (app): usage events through Firebase Analytics (for example, that a reading session was saved) and pseudonymous identifiers tied to the device/app instance. These are not linked to your account ID but are not “anonymous”. | Improve the app | Explicit consent (5/1): the statistics choice in the app; you can turn it off any time |
| Browser storage: theme, language, color choice and, if you sign in, your session | Make the site work the way you set it and keep you signed in | Performance of a contract / legitimate interest. We do not use advertising or tracking cookies. |
How we collect data. (1) From what you enter: account, profile, library, support form, beta application form, profile photo. (2) Automatically while you use the app: reading sessions, usage events, device/app identifiers. (3) Automatically when you visit the site: an IP hash and security verification signals. The app is excluded from Android’s automatic backup; its data does not go into the device backup in your Google account.
The camera permission is used only to scan book barcodes; images are processed on your device and are not sent to our servers. The notification permission is for the optional daily reading reminder and can be turned off any time. We do not aim to collect special-category data; please do not include such information in support messages.
Closed beta application: Applicants’ email addresses are entered into Google Play Console so they can be added to the closed test list, and the beta invite is sent to that address. We do not send newsletters, ads or promotional emails because of your application; we announce the launch on our Instagram account and on this site. An email confirming your application is sent only if you tick that separately in the form (see “Resend” below); if you do not, your application is still accepted. You can delete your application yourself on the My account page or through the personal link in the email, or ask for its deletion through the support form or by emailing [email protected] from the address you applied with. You can withdraw your consent to the confirmation email at any time, free of charge and without giving a reason, in the same ways.
3. Sharing and transfers
We do not sell your data or share it for advertising. To provide the service we work with the following processors. Their companies and servers are outside Türkiye, so the related processing is a cross-border transfer under Article 9 of KVKK. The transfer mechanisms (appropriate safeguards/standard contract and, where required, notification to the Board) are being assessed provider by provider.
- Google (Firebase Authentication, Firestore, Analytics): accounts, app data and statistics. US-based company.
- Cloudflare (Pages, D1, Turnstile): hosts this site and the support database (European region), provides spam protection. US-based company.
- Vercel: the front address that routes access to the site; request metadata (IP, browser information) is processed. US-based company.
- Resend (US): email delivery service. (1) Notifications to the admin that contain no user data (ticket number and category). (2) Only if you separately gave explicit consent in the form, your email address for the email confirming your beta application; the email contains no other personal data and no open or click tracking is used. Resend keeps data in the US; the Board has no adequacy decision for the US and Resend does not sign the KVKK standard contract. This transfer therefore relies on the explicit consent you give after being informed of the possible risks (KVKK Art. 9/6-a; Regulation on the Procedures and Principles for Transferring Personal Data Abroad, Art. 16/2-a). Possible risks: your address becomes subject to US law, US public authorities may access it and exercising your rights there may be harder. If you do not consent, your address is not sent to Resend. Your support ticket content is never sent to Resend.
- Google Books and Open Library: the search text you type when looking for a book is sent to these services; your IP address reaches them when cover images load.
- Information may be given to authorized public bodies only when legally required and on request.
4. Retention
- Account and app data: until you delete your account. When you delete the account in the app, your account, profile, library, reading sessions, username and friendship records (including requests you sent and received) are deleted. Analytics data may be kept separately on Google’s side.
- Support tickets: at most 2 years after the ticket is resolved or closed, then deleted automatically. You can ask for earlier deletion.
- Closed beta application: at most 6 months after the beta ends, then deleted automatically. You can delete your application earlier.
- Profile photo: until you remove it. Deleting your account in the app does not delete the photo by itself; remove it on My account before deleting, or write to us and we delete it within 30 days.
- IP hash: at most 30 days from the ticket, then removed. Lookup records kept for rate limiting are deleted after 24 hours.
- Backups: deleted support records may remain in the hosting provider’s automatic backups for up to 30 more days.
- Session data: stored only in your browser and removed when you sign out.
Where there is a legal retention duty or a need to protect our rights in a dispute, the relevant data may be kept for that time and only for that purpose.
5. Your rights (KVKK Art. 11)
As a data subject you can: learn whether your data is processed and request information; learn the purpose and whether it is used accordingly; know the third parties it is transferred to in Turkey or abroad; ask for correction of incomplete or inaccurate data; ask for deletion or destruction under the conditions of Article 7 and ask that this be notified to third parties; object to a result against you arising from automated analysis; and claim compensation for damage caused by unlawful processing. For processing based on consent you can withdraw it at any time.
How to apply: email [email protected] or use the support form (category “Account / data deletion”). To verify your identity, apply from the email address registered to your account (or to your beta application). If you prefer to apply in writing (by post), ask for the postal address at the same email address; it is provided within 3 business days. We conclude your request free of charge within 30 days at most. If you find the answer insufficient or do not receive one in time, you may complain to the Personal Data Protection Board (KVKK Art. 14).
6. Security
We take reasonable technical and organizational measures: all connections use HTTPS, password handling is left to Firebase Authentication, raw IP addresses are not stored and are hashed with a secret salt, the admin panel is accessible only with a verified admin account, and support conversations are visible only to the ticket owner and authorized admins. No system is completely risk-free; if a data breach occurs we notify the affected people and the Board within the periods set by KVKK.
7. Children
The app is not directed at children under 15 and we do not knowingly collect data from them. People under 18 should use the app and this site with the permission of their parent or legal guardian; that permission is also needed for consent-based processing such as consent to the confirmation email. If you think we collected a child’s data, tell us and we will delete it.
8. Changes
We may update this notice from time to time. Important changes are announced on this page; the date above shows the last update.