Gizlilik ve Aydınlatma Metni

Bu metin, Caka'yı (caka.app) kullanırken kişisel verilerinin nasıl işlendiğini anlatır. Caka bir şirket değil, açık kaynaklı kişisel bir projedir. Siteyi caka.app olarak işletiyoruz; verinin hangi amaçla ve nasıl işleneceğine karar veren de biziz. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) anlamında veri sorumlusu sıfatı buradan doğar ve bu metindeki taahhütlerin muhatabı biziz.

Eksik olanı da olduğu gibi yazalım. KVKK m.10 ve Aydınlatma Tebliği m.5, veri sorumlusunun kimliğinin bildirilmesini ister. Kurum'un Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Rehberi (No: 60, Mart 2025) §3.1.1 bunu gerçek kişiler için adı ve soyadı olarak tarif eder. Aşağıda bir ad soyad göremezsin: Caka'yı işleten kişi, ortada bir işyeri değil kişisel bir kimlik olduğu için adını yayınlamamayı tercih etti. Bunun anlamı açık — bu bölüm bugün m.10'un aradığı kimlik bilgisini tam olarak karşılamıyor ve bunu gizlemek yerine söylüyoruz. Kurulmuş bir tüzel kişilik, ticari faaliyet veya sicil kaydı da olmadığı için bir unvan, vergi ya da MERSİS numarası yok; olmayan bir şirketin bilgisini uydurmaktansa durumu olduğu gibi yazıyoruz. Ürün ticarileşip bir tüzel kişilik kurulduğunda burası o bilgilerle güncellenecektir. Bu eksikliğe rağmen sorumluluk ortada değildir: aşağıdaki kutu gerçek ve okunur, başvurularına otuz gün içinde yanıt verilir.

Bu metnin hangi sürümü okuduğunu sayfanın başındaki sürüm ve son güncelleme tarihinden görebilirsin. Değişiklik yaptığımızda ne olduğunu Değişiklikler bölümünde anlatıyoruz.

Bu metin şu yüzeyleri kapsar:

• caka.app tanıtım sitesi — ana sayfa ve bu hukuki sayfalar dâhil, giriş yapmadan gezilebilen tüm sayfalar.
• Hesap ve panel — giriş, profil editörü, ayarlar ve dosya yükleme.
• Public Caka profilleri — caka.app/kullaniciadi adresinde herkese açık yayınlanan profil sayfaları; bu sayfaları ziyaret eden, hesabı olmayan kişiler de kapsam içindedir.
• Destek yazışmaları — bize e-posta ile ilettiğin talepler.

Bir profildeki bağlantıya tıklayıp başka bir siteye gittiğinde artık o sitenin kendi gizlilik politikası geçerlidir; Caka'nın bu metni orada geçerli değildir.

Aşağıdaki tablo, Caka'nın gerçekten tuttuğu verileri gösterir. Parantez içindeki adlar veritabanındaki tabloların adlarıdır; bunları, sonradan eklenen bir alanın sessizce listeden düşmemesi için yazıyoruz.

GitHub katkı grafiği hakkında bir uyarı: Bu önbelleğin anahtarı, profilde gösterilmek üzere eklenen GitHub kullanıcı adıdır ve bu hesap profil sahibine ait olmayabilir. Yani Caka, hiç Caka hesabı olmayan bir kişinin herkese açık katkı verisini işliyor olabilir. Bu kişiler de silme talep edebilir; nasıl yapılacağı İlgili kişi hakların bölümünde yazıyor.

Profil içeriğini sen yazıyorsun ve yayınladığında herkese açık oluyor. Oraya yazdığın her şey — bir telefon numarası, bir adres, sağlık veya inanç bilgisi — internetteki herkes tarafından görülebilir. Caka senden özel nitelikli kişisel veri (KVKK m.6) istemez ve toplamaz; böyle bir bilgiyi profiline kendin yazarsan onu kendi isteğinle alenileştirmiş olursun.

Her işleme amacının KVKK m.5'teki bir hukuki sebebe dayanması gerekir. Aşağıda her amaç için dayandığımız bendi tek tek yazdık.

Senden toplu ve genel bir “kişisel verilerimin işlenmesini kabul ediyorum” onayı istemiyoruz. Böyle bir onay geçerli bir rıza sayılmaz; yukarıdaki işlemelerin hepsi sayılan hukuki sebeplere dayanır.

Verilerin tamamı elektronik ortamda, kısmen otomatik yollarla toplanır. Kâğıt üzerinde veri toplamıyoruz. Toplama kanalları:

• Senin doğrudan girdin — profil editörü, ayarlar, dosya yükleme ve destek e-postası.
• Kimlik sağlayıcısından dönen veri — Google ile giriş yaptığında bize dönen ad, e-posta ve hesap kimliği bilgisi.
• Otomatik sunucu kayıtları — isteklerin işlenmesi sırasında oluşan oturum ve çalışma kayıtları.
• Zorunlu çerezler — oturumun taşınması, giriş akışının güvenliği ve seçtiğin arayüz dilinin hatırlanması için tarayıcına yazılan az sayıda çerez.
• Sunucu tarafı dış çağrılar — profilde gösterilecek GitHub katkı grafiğinin GitHub'ın herkese açık arayüzünden alınması.

Verilerini satmıyoruz ve reklam amacıyla kimseyle paylaşmıyoruz. Verinin ulaştığı taraflar ve her birine ulaşan veri şunlardır. İlk beş satır hizmeti çalıştırmak için kullandığımız tedarikçilerdir; son satır tedarikçi değil, ziyaret ettiğin sayfanın sahibidir.

Profil sahibi neyi göremez. Bir Caka profilini ziyaret ettiğinde sayfanın sahibi bunu sayaçlarında görür, ama seni değil. Ölçüm için cihazına hiçbir şey yazılmadığından ve ham IP adresin saklanmadığından, iki ziyaretin aynı kişiye ait olup olmadığı bizim tarafımızdan da bilinemez; panelde “tekil ziyaretçi” diye bir sayı bu yüzden yoktur. Bu ölçüm yalnızca herkese açık profil sayfaları için çalışır ve sayfa sahibinin kendi ziyaretleri, giriş yapmış olduğu sürece sayılmaz.

Yurt dışına aktarım. Yukarıdaki alıcıların sunucuları Türkiye dışındadır. Uygulama, veritabanı, dosya deposu ve loglar Cloudflare'de çalıştığı için bu aktarım hizmetin çalışması bakımından teknik bir zorunluluktur ve her istekte gerçekleşir. Durumu olduğu gibi yazıyoruz: bu aktarımlar bugün KVKK m.9'un aradığı güvencelerden birine bağlanmış değildir.

Nedeni tek tek şudur. m.9'un ilk basamağı yeterlilik kararıdır; Kurul bugüne kadar hiçbir ülke için yeterlilik kararı yayımlamadı. İkinci basamak uygun güvencelerdir ve bunların en erişilebiliri Kurul'un yayımladığı standart sözleşmedir; ancak bu sözleşmenin Türkçe metninin iki tarafça da imzalanması gerekir. Cloudflare'in yürürlükteki veri işleme ek sözleşmesinde (v6.4, yürürlük 3 Nisan 2026) Türkiye'ye, Türkçe bir metne veya KVKK'ya yapılmış tek bir atıf yoktur; sunulan mekanizmalar AB standart sözleşme hükümleri, Birleşik Krallık ile İsviçre ekleri, Data Privacy Framework ve Global CBPR ile sınırlıdır. Yani karşı taraf bu metni imzalamıyor. Taahhütname yolu Kurul iznine bağlıdır ve tek taraflı olarak tamamlanamaz; bağlayıcı şirket kuralları ise bir şirketler topluluğu içindir, ortada topluluk yok. Aktarımın küçüklüğünden doğan bir muafiyet de bulunmuyor.

“Açık rıza alsanız olmaz mı?” Olmuyor. m.9/6'daki istisnalar — açık rıza dâhil — yalnızca arızi aktarımlar için açıktır. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.16/1 bu terimi tanımlar: “Düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan aktarımlar arızi niteliktedir.” Barındırma aktarımı bunun tam tersidir: süreklidir ve olağan faaliyet akışının kendisidir. Arızilik şartı m.9/6'nın tamamını kapsadığı için sana bir onay kutusu göstermek bu boşluğu kapatmaz, yalnızca kapatılmış gibi gösterirdi. Kurum da bu istisnaların dar yorumlanması gerektiğini belirtiyor.

Bir ayrıntı daha: Google ile giriş, kurumsal bir veri işleme sözleşmesi altında değil, Google'ın tüketicilere yönelik Hizmet Şartları altında çalışır; bu ilişkide Google bizim veri işleyenimiz değil, büyük olasılıkla kendi başına ayrı bir veri sorumlusudur.

Bu yüzden bu bölümde bir mekanizma adı yazmıyor. Boşluk gerçek ve bunu bilmen, aktarımın hiç olmadığını sanmandan iyidir. Uygun bir güvenceye bağlanması için çalışmalarımız sürüyor; bir yol açıldığında bu bölüm güncellenir ve belgenin sürüm numarası artar. Kişisel Verileri Koruma Kurumu'na şikâyette bulunma hakkın bu metinden etkilenmez.

Profillerdeki önizleme görselleri. Bir profilde, profil sahibinin eklediği bağlantıların önizleme görselleri kendi sunucumuz üzerinden servis edilir. Görseli uzak siteden Caka'nın sunucusu çeker, tarayıcın değil. Bu nedenle o siteye IP adresin de User Agent'ın da ulaşmaz ve o site tarayıcına çerez yazamaz: yanıt bizde sıfırdan kurulur, uzak sitenin gönderdiği başlıklar sana iletilmez. Uzak siteye giden istekte yalnızca profil sahibinin seçtiği görselin adresi bulunur; seni tanımlayan bir bilgi taşımaz. Tam olmak adına: görsel sunucumuzda önbelleğe alınmadığı ilk seferde, o isteğin zamanlaması uzak siteye profilin o sıralarda görüntülendiğini gösterir — ama bunu kimin yaptığını göstermez.

Gömülü oynatıcılar. YouTube ve Spotify kartları sayfa açılışında hiçbir şey yüklemez; kapak görseli yukarıdaki gibi bizim sunucumuzdan gelir. Oynat düğmesine bastığın anda oynatıcı yüklenir ve tarayıcın doğrudan YouTube'a ya da Spotify'a bağlanır: IP adresin ve User Agent'ın onlara ulaşır, cihazına kendi çerezlerini yazabilirler ve o oturumu kendi hesabınla ilişkilendirebilirler. Bu aktarım bizim aracılığımızla değil, doğrudan gerçekleşir ve her biri kendi veri sorumlusudur; aktarılan verinin akıbeti için onların kendi politikaları geçerlidir. Düğmeye basmadığın sürece bu isteklerin hiçbiri yapılmaz — bunu bilinçli olarak böyle kurduk ve düğmenin üstünde de yazıyor. Ayrıntı: Çerez Politikası.

Bunların dışında, yalnızca yasal bir zorunluluk doğduğunda yetkili kamu kurum ve kuruluşlarına aktarım yapılır (KVKK m.8/2-a).

Verileri, işleme amacı ortadan kalktıktan sonra ilgili mevzuatın izin verdiği süre içinde sileriz. Bugün teknik olarak kesin bildiğimiz süreler şunlardır:

• Eski kullanıcı adı: 30 gün. Adresini değiştirdiğinde eski adres 30 gün boyunca yeni adrese yönlendirilir ve bu süre boyunca başkasına verilmez; süre dolduğunda kayıt geçersiz olur ve ad serbest kalır. Hesabını sildiğinde de aynı 30 günlük kilit uygulanır, ama yönlendirme olmaz: yönlendirilecek bir sayfa kalmadığı için adres bu süre boyunca bulunamadı (404) yanıtı verir. Kilit satırında yalnız kullanıcı adı ve bitiş tarihi durur; silinen hesaba ait başka hiçbir veri taşımaz.
• GitHub katkı grafiği önbelleği: başarılı bir kayıt 6 saat taze sayılır, sonra yeniden çekilir. GitHub'da kullanıcı bulunamazsa bu olumsuz sonuç 24 saat saklanır. Grafik profilden kaldırıldığında veri yeniden çekilmez.
• Oturum: 7 gün. Oturum çerezinin ve oturum kaydının ömrü 7 gündür; çıkış yaptığında daha erken sona erer. Giriş akışındaki güvenlik çerezleri 5 ve 15 dakika yaşar. Dil çerezi 1 yıl yaşar ve dilediğin an tarayıcından silebilirsin. Ayrıntı için Çerez Politikası.
• Sayfa istatistiği sayaçları: süresiz tutulur. Bu satırlar kişiyi değil günü, iki harfli ülke kodunu ve blok kimliğini taşıyan sayaçlardır; zaman damgası, kimlik ve IP türevi içermedikleri için tek bir kişiye geri götürülemezler. Gerçekten anonim oldukları için bir imha süresine bağlı değiller. Panelde yalnızca son 30 gün gösterilir, ama bunu yapan şey bir silme değil, bir görüntüleme filtresidir: daha eski sayaç satırları veritabanında kalmaya devam eder. Profilin silinmesi hâlinde bu satırlar da birlikte silinir.

Geri kalan veri kategorileri için uyguladığımız süreler şunlardır:

Üç ay neden üç ay. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.5/1, yazılı bir saklama ve imha politikası hazırlama ödevini VERBİS'e kayıt yükümlülüğüne bağlar. Caka bu kayıt yükümlülüğünden muaf (Kurul'un 2025/1572 sayılı kararı), dolayısıyla yazılı politika ödevi de doğmuyor. Ama bu bir gevşeme değil, tersi: politika yazanlar altı ayı geçmeyen periyodik imha döngüsünden yararlanırken, yazmayanlar için m.11/3 daha sıkı bir kural koyar ve silme yükümlülüğünün doğduğu tarihten itibaren üç ay içinde silmeyi emreder. Yukarıdaki üç aylık süre bu hükümden gelir; bizim seçtiğimiz bir rakam değildir.

Talebini ne kadar sürede sonuçlandırırız. Aynı Yönetmelik m.12/1-(a) uyarınca silme talebini en geç 30 gün içinde sonuçlandırırız. m.7/3 gereği silme işleminin kendisine ilişkin kayıtlar — silinen verinin kendisi değil, işlemin kaydı — en az üç yıl saklanır.

Bugün bu sürelerden daha uzun bir saklamayı zorunlu kılan bir mevzuat yok: Caka'nın geliri yok, fatura kesmiyor ve ticari defter tutmuyor; Vergi Usul Kanunu ile Türk Ticaret Kanunu'nun saklama süreleri bu yüzden devreye girmiyor. Ücretli bir plan sunduğumuz gün bu bölüm değişir.

KVKK m.11 uyarınca veri sorumlusuna başvurarak şunları isteyebilirsin:

• Kişisel verinin işlenip işlenmediğini öğrenme.
• İşlenmişse buna ilişkin bilgi talep etme.
• İşlenme amacını ve verilerin amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme.
• Eksik veya yanlış işlenmiş olması hâlinde verilerin düzeltilmesini isteme.
• KVKK m.7'deki şartlar çerçevesinde verilerin silinmesini veya yok edilmesini isteme.
• Düzeltme, silme ve yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• Verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonuç ortaya çıkmasına itiraz etme.
• Kanuna aykırı işleme sebebiyle zarara uğraman hâlinde zararın giderilmesini talep etme.

Başvuru. Taleplerini hello@caka.app adresine yazarak iletebilirsin. Başvurunu en geç 30 gün içinde sonuçlandırırız. Başkasının verisine erişimi önlemek için kimliğini doğrulamamız gerekebilir; bunun için hesabına kayıtlı e-posta adresinden yazman genellikle yeterlidir. Talebini Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de sayılan diğer yollarla da iletebilirsin.

Hesap silme self-servistir. Silme hakkını (m.7 / m.11-e) kullanmak için başvuru yazmana gerek yok: Ayarlar → Hesap bölümünde adresini yazıp onayladığında hesabın ve içeriğin o anda silinir. İşlem geri alınamaz; bizde geri getirilebilecek bir kopya kalmaz. Silinenler: profilin ve düzenin, yüklediğin görseller ve belgeler, sayfanın ziyaret ve tıklama sayaçları, oturum kayıtların ve kimlik sağlayıcı bağlantın. Adresin 30 gün kilitli kalır (bkz. §7). Dilersen bunun yerine yukarıdaki adrese yazarak da talep edebilirsin.

Dışa aktarma bugün self-servis değil. Panelde verilerini tek tıkla indirebileceğin bir düğme henüz yok. Bunu açıkça yazıyoruz, çünkü olmayan bir özelliği varmış gibi anlatmak istemiyoruz. Bir kopya istiyorsan yukarıdaki adrese yazman yeterli.

Caka hesabı olmayanlar da başvurabilir. Örneğin katkı grafiği önbelleğinde kullanıcı adı geçen bir GitHub hesabının sahibiysen ve bu verinin silinmesini istiyorsan, Caka hesabın olmasa da aynı adrese yazabilirsin.

Caka yalnızca zorunlu çerezleri kullanır: oturumunu taşıyan çerez, giriş akışını güvenli tutan kısa ömürlü çerezler ve seçtiğin arayüz dilini hatırlayan çerez. Reklam çerezi, analitik çerezi ve çapraz site takibi yoktur; ziyaret istatistikleri, herkese açık profil sayfaları dâhil tüm sayfalarda, cihazına hiçbir şey yazmadan çerezsiz biçimde ölçülür. Bu yüzden onay istemek zorunda kalmıyoruz.

Çerezlerin yanı sıra, sekmeye özel iki sessionStorage girdisi oluşabilir: biri gezinirken kaydırma konumunu hatırlar, diğeri sitenin yeni bir sürümü yayınlandığında açık sekmenin bir kez yenilenmesini sağlar. İkisi de sekmeyi kapattığında silinir ve kişisel veri taşımaz. Cihazına yazılan her girdinin adını, amacını, ömrünü ve kime ait olduğunu Çerez Politikası sayfasında tablo hâlinde bulabilirsin.

Ürün değiştikçe bu metin de değişir: yeni bir tedarikçi eklendiğinde, yeni bir veri kategorisi işlemeye başladığımızda veya bir amacın hukuki sebebi değiştiğinde metni güncelleriz.

Her güncellemede sayfanın başındaki sürüm numarası artar ve son güncelleme tarihi yenilenir. Bu üç hukuki belgenin sürümleri birbirinden bağımsızdır: yalnızca değişen belgenin tarihi oynar, diğerlerininki olduğu gibi kalır. Esaslı bir değişiklik olduğunda hesabı olan kullanıcıları ayrıca bilgilendiririz.

Bu metinle birlikte Kullanım Koşulları ve Çerez Politikası sayfalarını da okumanı öneririz.