Sebat

1. Giriş

Bu gizlilik politikası, Sebat mobil uygulamasının ("Uygulama") kişisel verileri nasıl topladığını, kullandığını, sakladığını ve koruduğunu açıklar. Sebat, İslâmi kişisel gelişim amaçlı bir uygulamadır ve kullanıcılarının gizliliğine en üst düzeyde önem verir.

Uygulamayı indirip kullanarak bu gizlilik politikasını kabul etmiş sayılırsınız. Politikamızda değişiklik yapıldığında, bu sayfa üzerinden güncellenmiş hâli yayınlanacaktır.

2. Veri Sorumlusu (KVKK md. 3)

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında veri sorumlusu sıfatıyla aşağıdaki kişi/yapı yer almaktadır:

KVKK madde 11 kapsamındaki başvurularınızı yukarıdaki e-posta adresine iletebilirsiniz. Başvurularınız en geç 30 gün içinde sonuçlandırılır.

3. Toplanan Veriler

3.1 Kimlik Doğrulama Verileri

Uygulamaya giriş yapmanız durumunda aşağıdaki veriler toplanır:

Misafir girişi: Google hesabı kullanmadan anonim (misafir) olarak da devam edilebilir. Bu durumda yalnızca anonim bir Firebase UID oluşturulur; ad veya e-posta toplanmaz. Misafir kullanımda da verileriniz bu anonim kimlik altında şifreli olarak buluta yedeklenir; ancak anonim kimlik cihaza/kuruluma bağlıdır — telefon kaybolur veya uygulama silinirse bu yedeğe yeniden erişilemeyebilir ve veriler kurtarılamayabilir. Bu nedenle Google ile bağlanma şiddetle önerilir.

3.2 Konum Verileri

3.3 Uygulama İçi Kayıtlar (Kişisel ve Hassas Veri)

Uygulama içinde oluşturduğunuz tüm içerikler size özeldir ve uçtan uca şifrelenir (bkz. Bölüm 4). Sebat'ın geliştiricisi ve hiçbir üçüncü taraf bu içerikleri okuyamaz.

• İbadet takibi: Namaz kayıtları, kazâ logu, hatim ilerlemesi, zikir sayıları
• Alışkanlık verileri: Alışkanlık listeleri, kırma alışkanlıkları, kötü alışkanlık günlüğü, günlük tamamlama logu, zincir/seri ve rozet istatistikleri, alışkanlık güçleri
• Kişisel gelişim: Muhasebe (riza/nefs/dikkat/şükür) yanıtları ve notları, müşahede notları, şükür defteri, telkin (meşk) kayıtları ve istatistikleri
• Akabe & istiğfar: Akabe günlüğü, istiğfar sayaç logu
• Sabah/Akşam ezkâr: Tamamlama ve favori durumları
• Planlama: Günlük plan listeleri, program rutinleri, odak/derin çalışma oturum kayıtları
• Kitaplık: Kitap listesi, alıntılar ve okuma notları, ilerleme kayıtları
• Kriz günlüğü: Nefis terbiyesi kayıtları (kriz türü, atılan adımlar, sonuç ve not)
• Hadis ezberleme: Hadis ezberleme durumu ve seviyeleri
• Adım sayar: Günlük adım sayısı ve hedef
• Tercihler: Bildirim saatleri, telkin saatleri, ezan dakika tercihi, kitaplık ve kazâ hedefleri (E2EE kapsamında)

3.4 Cihaz Tercihleri (Şifrelenmeyen)

Aşağıdaki ayarlar hassas veri olmadığı için sade tutulur (şifrelenmez) — yine de yalnızca kendi hesabınızla görülebilir:

• Tema ve yazı tipi tercihi
• "Daha" menüsü görünüm modu ve sıralama
• Yüzen zamanlayıcı boyut çarpanı
• Premium durumu bayrağı (içerik yok, sadece evet/hayır)
• Onboarding tamamlandı bayrağı

3.5 Fotoğraf ve Kamera

Kitaplık bölümünde kitap kapağı eklemek istediğinizde Android'in sistem Fotoğraf Seçici'si açılır ve yalnızca seçtiğiniz tek görsele erişilir. Uygulama, cihazınızın tüm fotoğraf galerisine erişmek için ayrı bir depolama/medya izni istemez. Dilerseniz kapağı kamera ile de çekebilirsiniz; kamera yalnızca siz bu işlemi başlattığınızda ve yalnızca o an açılır. Seçilen/çekilen görsel yalnızca cihazınızda yerel olarak saklanır ve herhangi bir sunucuya yüklenmez.

3.6 Bildirim Verileri

Bildirimlerin çalışabilmesi için cihazınızın bildirim sistemiyle etkileşime geçilir. Bildirimler tamamen cihaz üzerinde zamanlanır; push token sunucuya gönderilmez ve üçüncü taraflarla paylaşılmaz.

Uygulama aşağıdaki bildirim türlerini gönderebilir (hepsi kullanıcı tarafından açılıp kapatılabilir):

• Namaz vakti hatırlatmaları
• Sabah/akşam dua hatırlatmaları
• Alışkanlık ve zinciri kırma hatırlatmaları
• Telkin (meşk) hatırlatmaları
• Haftalık özet bildirimi
• Namaz vakti geri sayım çubuğu (Android ön plan servisi)

3.7 İnternetten İndirilen İçerik ve Çevrimiçi Hizmetler

Bazı içerikler harici sunuculardan indirilir. Bu isteklerde hiçbir kişisel veri, kimlik veya hesap bilgisi gönderilmez; her internet bağlantısında olduğu gibi, ilgili sunucu standart web isteği kapsamında IP adresinizi teknik olarak görür:

• Kur'an sayfa görüntüleri: Diyanet İşleri Başkanlığı sunucularından (kuran.diyanet.gov.tr) indirilir; çevrimdışı kullanım için cihazınıza kaydedilebilir.
• Hafız ses kayıtları: Diyanet, everyayah.com ve quran.com sunucularından, yalnızca dinlediğiniz sûre/âyet için istenir.
• Hava durumu (ana ekran widget'ı): Seçili konumunuzun koordinatları Open-Meteo servisine (api.open-meteo.com) gönderilir — hesap, anahtar veya kimlik bilgisi eklenmez; yanıt yalnızca sıcaklık ve hava kodudur.
• Hicri tarih doğrulaması: AlAdhan servisine (api.aladhan.com) yalnızca miladi tarih gönderilir; kişisel veri içermez.

3.8 Satın Almalar (Premium ve Bağış)

Premium abonelik ve isteğe bağlı çay/kahve bağışı ödemeleri tamamen Google Play tarafından işlenir. Kart veya banka bilgileriniz Sebat'a hiçbir zaman ulaşmaz, görülmez ve saklanmaz.

• Satın alma durumunun doğrulanması için RevenueCat hizmeti kullanılır. RevenueCat'e yalnızca anonim bir uygulama kullanıcı kimliği ve Google Play'in satın alma makbuzu iletilir — ad, e-posta veya uygulama içi içerik iletilmez.
• Bağışlar tek seferliktir, abonelik başlatmaz.

3.9 Toplanmayan Veriler

Sebat aşağıdaki verileri hiçbir biçimde toplamaz:

• Finansal bilgiler (ödemeler Google Play tarafından işlenir; kart bilgileriniz uygulamaya asla ulaşmaz — bkz. 3.8)
• Kişi listesi (rehber), SMS, arama geçmişi
• Tarayıcı geçmişi
• Tıbbi/teşhis amaçlı sağlık verileri — isteğe bağlı girdiğiniz boy/kilo ölçümleri tıbbi veri değildir; uçtan uca şifrelenir ve yalnız size gösterilir
• Reklam kimlikleri (reklam içermez)
• Kullanım analitiği, çökme raporu, davranış izleme
• Arka plan konum takibi
• Mikrofon kaydı — uygulama mikrofon izni (RECORD_AUDIO) içermez; ses kaydı hiçbir koşulda yapılmaz

4. Uçtan Uca Şifreleme (E2EE)

4.1 Mimari

Sebat, kullanıcı içeriğini şu şekilde korur:

• Algoritma: NaCl secretbox (XSalsa20-Poly1305) — Signal Protokolü ile aynı ailedendir; doğrulanmış kimliği (authenticated encryption) sağlar.
• Master anahtar: 32 byte (256 bit) rastgele üretilir, cihaz başına benzersizdir.
• Anahtar saklama: Android Keystore / iOS Keychain üzerinden donanım-destekli güvenli alanda (Trusted Execution Environment) tutulur. Uygulama dosya sisteminde plain olarak bulunmaz.
• Veri formatı: Şifreli alanlar Firestore'da { _enc, _nonce, _v: 1 } şeklinde, base64-kodlu ciphertext olarak saklanır. Anahtar olmadan açılamaz.

4.2 Geliştiricinin Veri Görmemesi (Zero-Knowledge)

Sebat'ın veri sorumluları Firebase Konsolu'na giriş yapsa veya Firestore'daki tüm dokümanları indirse dahi, her bir kişisel alanın yalnızca rastgele görünen şifreli baytlarını görür. Açma anahtarı kullanıcının cihazında olduğu için, içeriği okuyabilmesi matematiksel olarak mümkün değildir. Bu, "zero-knowledge" (sıfır bilgi) mimarisinin tanımıdır.

4.3 Yedek Anahtar (Kurtarma) ve Google Drive App-Data

Cihazınızdaki anahtar, sizin Google Hesabınıza özel ve başka uygulamalardan görünmez bir alan olan Google Drive "App-Data" klasörüne (uygulama veri klasörü) otomatik olarak yedeklenir. Bu klasörün özellikleri:

• Sadece Sebat uygulaması erişebilir (Drive arayüzünde dahi görünmez).
• Google'ın güvenlik altyapısıyla korunur; Google'ın kullanım politikalarına tabidir.
• Sebat'ın geliştiricisi bu klasöre erişemez — yalnızca sizin hesabınız içindir.
• Telefonunuzu kaybeder veya değiştirirseniz, yeni cihazda aynı Google hesabıyla giriş yapınca anahtar otomatik geri yüklenir ve veriler açılır.

Önemli: Bu yedek, cihazınızı kaybetseniz dahi verilerinize yeniden ulaşabilmeniz için kurtarma anahtarınızı Google hesabınızın gizli uygulama klasöründe saklar. Anahtar bu yedekte kullanılabilir (açık) biçimde tutulduğundan, yedeğin güvenliği Google hesabınızın güvenliğine bağlıdır; hesabınızı güçlü bir parola ve iki adımlı doğrulama (2FA) ile korumanızı öneririz. Daha üst düzey gizlilik isterseniz Google bağlamayı kullanmayıp anahtarı yalnızca kendiniz saklayabilirsiniz.

Google hesabı bağlamayı tercih etmezseniz, kurtarma anahtarınızı uygulama içinden (Ayarlar > Güvenlik) görerek manuel olarak güvenli bir yere (notlar, parola yöneticisi) kaydedebilirsiniz.

4.4 Yedek Tazelik Doğrulaması

Uygulama her açılışta Google hesabınız bağlıysa Drive yedeğinizin var olup olmadığını doğrular; bozulmuş veya silinmişse otomatik yeniden yükler. Ayarlar > Güvenlik ekranında son yedek tarihini görebilirsiniz.

5. Veri Saklama Süresi ve Konumu

5.1 Yerel Depolama (Cihaz)

Uygulama verileriniz öncelikle cihazınızda AsyncStorage içinde tutulur. Hassas alanlar burada da E2EE ile şifrelenmiş olarak yazılır; cihazınız root edilse dahi içerik açılamaz.

5.2 Bulut Depolama (Firestore)

Giriş yapan kullanıcıların verisi Google Firebase Cloud Firestore üzerinde, E2EE ile şifrelenmiş şekilde tutulur (bkz. Bölüm 4).

• Aktarım şifrelemesi: Tüm veri aktarımları HTTPS/TLS ile şifrelenir.
• İçerik şifrelemesi: İçerik, sunucuya gönderilmeden önce cihazda zaten şifrelenmiştir; sunucu yalnızca ciphertext'i depolar.
• Erişim izolasyonu: Firebase güvenlik kuralları, her kullanıcının yalnızca kendi kaydına erişmesini garantiler. Başka bir kullanıcının dokümanına erişim teknik olarak mümkün değildir.
• Doküman sınırları: Kötüye kullanım koruması için kullanıcı dokümanının alan sayısı güvenlik kurallarıyla sınırlandırılmıştır; ayrıca Firestore'un tek doküman boyut sınırı (1 MiB) geçerlidir.
• Sunucu konumu: Firebase altyapısı Google Cloud Platform üzerinde barındırılır.

5.3 Otomatik Arşivleme

Uygulama, cihaz depolama alanını korumak için eski verileri otomatik arşivler:

• Günlük planlar (tamamlananlar): 90 gün sonra arşivlenir
• Odak oturum kayıtları: 180 gün sonra arşivlenir
• Müşahede ve kriz günlüğü: 365 gün sonra arşivlenir

Arşivlenen veriler bulut hesabınızda (yine E2EE ile şifreli olarak) users/{uid}/arsiv alt koleksiyonunda kalır; cihazınızdan kaldırılır.

5.4 Saklama Süresi

Veriler, hesap silinene kadar saklanır. Hesap silindiğinde tüm yerel ve buluttaki kullanıcı verileri kalıcı olarak yok edilir; ayrıca cihazdaki şifreleme anahtarı da silinir, böylece Firestore'da olası bir gecikmeyle silinmemiş ciphertext kalsa bile asla açılamaz.

6. Üçüncü Taraf Hizmetler

Uygulama aşağıdaki üçüncü taraf hizmetlerini kullanır:

7. Veri Paylaşımı

Kişisel verileriniz:

• Satılmaz.
• Üçüncü taraflarla paylaşılmaz (Bölüm 6'daki teknik altyapı hizmetleri hariç).
• Reklam amacıyla kullanılmaz.
• Profil oluşturma veya davranış analizi için kullanılmaz.

Geliştirici ve teknik altyapı sağlayıcısı, içerik şifrelenmiş olduğu için kullanıcı kayıtlarının içeriğine zaten erişemez. Yasal bir zorunluluk (mahkeme kararı vb.) durumunda yalnızca Firebase UID ve şifreli baytlar paylaşılabilir; içerik anlamlı bir biçimde okunabilir değildir.

8. KVKK Madde 11 — Kullanıcı Hakları

6698 sayılı KVKK'nın 11. maddesi gereği veri sorumlusuna başvurarak aşağıdaki haklarınızı kullanabilirsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme
3. Kişisel verilerin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
4. Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri öğrenme
5. Eksik veya yanlış işlenmiş kişisel verilerin düzeltilmesini isteme
6. KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme
7. Düzeltme/silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
8. İşlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme (Sebat böyle bir otomatik karar verme süreci uygulamaz)
9. Kişisel verilerin kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

8.1 Bu Hakları Nasıl Kullanırsınız?

• Uygulama içinden veri görüntüleme: Tüm verileriniz şeffaf şekilde uygulama arayüzünde sunulur — listelerde, geçmişte, istatistiklerde.
• Uygulama içinden silme: Ayarlar > Hesabım > "Hesabı Sil" butonu ile tek tıkla hem bulut hesabınızı hem yerel veriyi hem de şifreleme anahtarınızı kalıcı olarak silebilirsiniz.
• Diğer talepler için iletişim: sebatapp2@gmail.com
• Yanıt süresi: Tüm talepleriniz KVKK md. 13/2 gereği en geç 30 gün içinde sonuçlandırılır.

8.2 İzinleri Geri Alma

Cihazınızın ayarlarından konum, bildirim, kamera ve fiziksel aktivite (aktivite tanıma) izinlerini istediğiniz zaman geri alabilirsiniz. İzinlerin geri alınması ilgili işlevleri etkileyebilir (örn. konum izni olmadan namaz vakitleri yalnızca manuel şehir seçimiyle hesaplanır; aktivite tanıma izni olmadan adım sayar çalışmaz).

9. Çerezler ve İzleme

Sebat bir mobil uygulamadır ve çerez (cookie) kullanmaz. Kullanıcı davranışı izleme, parmak izi (fingerprinting) veya reklam izleme teknolojileri kullanılmamaktadır.

10. Çocukların Gizliliği

Sebat genel kitleye yöneliktir ve özellikle 13 yaş altı çocuklara yönelik tasarlanmamıştır. 13 yaşın altındaki kullanıcılardan bilerek kişisel veri toplamayız. Ebeveynler veya yasal vasiler, çocuklarının kişisel veri paylaştığını fark ederlerse sebatapp2@gmail.com üzerinden bizimle iletişime geçebilir; ilgili veriler derhal silinecektir.

11. Uygulama İzinleri

Uygulama aşağıdaki Android izinlerini kullanır:

Tüm izinler yalnızca belirtilen amaçlar doğrultusunda kullanılır. Arka planda konum takibi yapılmaz.

12. Politika Değişiklikleri

Bu gizlilik politikası zaman zaman güncellenebilir. Önemli değişiklikler yapıldığında:

• Bu sayfadaki "Son güncelleme" tarihi değiştirilecektir.
• Önemli değişiklikler uygulama içi bildirimle duyurulabilir.

13. İletişim

Gizlilik politikamız hakkında sorularınız, veri silme talepleriniz veya KVKK kapsamındaki başvurularınız için bize ulaşabilirsiniz:

Veri silme ve KVKK başvurularınız 30 gün içinde işleme alınır.

14. Yasal Dayanak

Bu gizlilik politikası aşağıdaki yasal düzenlemelere uygun olarak hazırlanmıştır:

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) — Türkiye Cumhuriyeti
• Avrupa Genel Veri Koruma Tüzüğü (GDPR) — AB vatandaşları için
• Google Play Geliştirici Program Politikaları
• Google API Hizmetleri Kullanıcı Verisi Politikası (Drive App-Data kullanımı için)