Kapiks Gizlilik Politikası

Giriş

Kapiks'te gizlilik bir tercih değil, mimari bir karardır. Türkiye'de çalışma hayatına dair deneyimlerini risk almadan paylaşabileceğin bir alan olabilmesi için platformu en az veri ilkesi ve ayrık kimlik üzerine kurduk. Bu politika; kapiks ("kapiks", "biz") web sitesi, mobil arayüzü, API'leri ve diğer servislerini (toplu olarak "Hizmetler") kullandığında hangi bilgileri topladığımızı, neden işlediğimizi, kimlerle paylaştığımızı ve haklarını nasıl kullanacağını açıklar.

Kısa özet — "TL;DR":

• Anonim platformsun. Gerçek adını sormuyoruz, tahmin etmiyoruz, göstermiyoruz. Hesabını bağladığın e-posta hiçbir kullanıcıya görünmez.
• İçeriğin kamuya açıktır.Yazdığın başlık ve entry'ler herkes tarafından (arama motorları dahil) okunabilir. Paylaşmadan önce bunu bil.
• Kimliğin içeriğine bağlanmaz. Hesap kimliğin ile takma adın (pseudonym) ayrık iki katmanda durur; ikisini eşleyen bağ yalnız özel şemada tutulur ve hiçbir istemciye açılmaz.
• Şirket puanı sıfır-bilgi. Doğrulanmış kullanıcı puan verdiğinde sunucu bile hangi puanın senin olduğunu kriptografik olarak bilemez (Semaphore + Groth16).
• KVKK haklarını her zaman kullanabilirsin. Verine erişme, silme (unutulma), düzeltme, dışa aktarma — hepsi hesap ayarlarından.
• Kişisel verini satmıyoruz. Reklam ağlarına, veri komisyoncularına, üçüncü taraf pazarlama firmalarına paylaşımımız yok.

Kapiks kamuya açık bir platformdur

Kapiks'in büyük çoğunluğu kamuya açıktır — hesap olmadan da başlıkları, yorumları ve şirket sayfalarını okuyabilirsin.

Bir başlık açtığında veya bir entry yazdığında o içerik (içeriğin metni, ona bağlı takma adın, oluşturma tarihi) tüm ziyaretçilere görünür hâle gelir. Bu içerik Google gibi arama motorlarında, üçüncü taraf araştırmacıların erişebildiği arşivlerde veya yapay zekâ asistanlarının yanıtlarında görünebilir. Bir şey paylaşmadan önce bunun kalıcı ve kamuya açık olduğunu varsay.

Profil sayfan da kamuya açıktır. Profilinde gözüken bilgiler: takma adın (handle), seçtiğin görünür ad, kendin yazdıysan kısa bio, açtığın başlıklar, yorumların ve katılma tarihin. Adın, e-posta adresin, telefon numaran, IP'n veya doğrulama belgelerin profilde asla gösterilmez.

Hangi bilgileri topluyoruz

Bize doğrudan verdiklerin

• Hesap bilgisi. Hesap açtığında bir e-posta veya sosyal giriş (Google/LinkedIn) hesabı veriyorsun. Bir de takma ad (handle) seçiyorsun — bunu kendin yazıyorsun veya listemizden seçiyorsun ve hiçbir gerçek isim çağrışımı içermemek zorunda.
• Profil bilgileri. İsteğe bağlı olarak görünür ad, bio ve sektör tercihi ekleyebilirsin. Bunların hepsi seninle kalır ve dilediğin zaman değiştirebilirsin.
• Yayınladığın içerik.Başlıklar, entry'ler, oylar, favoriler, kaydedilenler, paylaştığın görsel/video/GIF ve şirket değerlendirmeleri.
• Şirket doğrulama belgeleri. Bir şirkete oy verebilmek için o şirketle bağını doğrulamış olman gerekir (örn. kurumsal e-posta veya bordro). Yüklediğin doğrulama belgesi yalnızca özel, erişimi kısıtlı bir kovada (Supabase private bucket) tutulur ve 7 gün içinde otomatik silinir. Hangi şirkette doğrulandığın asla başka kullanıcılarla paylaşılmaz.
• Destek talepleri. Bize yazdığında konuşma içeriğin, e-posta adresin ve verdiğin bağlam.

Kullanım sırasında otomatik toplanan bilgiler

• Bağlantı / log verisi.IP adresin, kullandığın tarayıcı türü, işletim sistemi, kaba lokasyon (IP'den türetilen şehir düzeyinde) ve referrer URL. Hesap oluşturma anındaki IP hariç, IP adresleri 90 gün içinde silinir.
• Kullanım sinyalleri.Hangi sayfayı ziyaret ettin, hangi entry'ye oy verdin, hangi başlığı kaydettin — bu olayları platformu iyileştirmek için anonim olarak kayıtlıyoruz.
• Çerez verisi. Oturum çerezi (Supabase auth) ve senin açık rızanla analitik çerezi (PostHog). Detaylar için Çerezler bölümüne bak.

Toplamadığımız şeyler

• Hassas kişisel veri (KVKK m.6) — sağlık, biyometrik, finansal, etnik köken, siyasi görüş, dini inanç. Bu kategorileri hiçbir formda toplamıyoruz.
• Hassas konum (GPS koordinatı) — kullanmıyoruz. Konum bilgisi sadece IP'den türeyen şehir düzeyinde kalır.
• Yüzüne dair veri (face embeddings, fotoğraf tanıma) — kullanmıyoruz.

Bilgilerinizi nasıl kullanıyoruz

Topladığımız bilgileri şu amaçlarla işliyoruz:

• Hizmetleri sağlamak, sürdürmek ve iyileştirmek.
• Sana ilgili başlık ve şirketleri önermek (kişiselleştirme yalnızca anonim sinyaller üzerinden).
• Sahteciliği, spamı ve kötüye kullanımı önlemek; topluluk kurallarını uygulamak.
• Sana hesabınla ilgili teknik bildirimler, güvenlik uyarıları ve destek mesajları göndermek.
• Yasal yükümlülüklerimizi yerine getirmek (mahkeme kararı, KVKK Kurumu talepleri vb.).
• Yeni özellikler geliştirmek ve kullanımı analiz etmek.

Yapmadıklarımız: Verini reklam ağlarına, pazarlama firmalarına veya veri komisyoncularına satmıyoruz; üçüncü taraf reklam izleyicileri yüklemiyoruz; içeriğini başka şirketlere lisanslamıyoruz.

Bilgilerinizi nasıl paylaşıyoruz

Yayınladığın içerik kamuya açık olmasının dışında, bilgilerini yalnızca aşağıdaki dar kapsamlı durumlarda paylaşırız:

• Hizmet sağlayıcılarımızla. Platformu çalıştırmak için altyapı sağlayıcılarımızla teknik veri paylaşıyoruz:
  • Supabase (veritabanı + auth + storage; eu-central-1 / Frankfurt)
  • Vercel (hosting + edge functions; AB bölgeleri)
  • Mux (video transcoding ve dağıtım — sadece video yüklersen)
  • Inngest (asenkron iş kuyruğu — örn. veri ihracı)
  • PostHog (anonim analitik — yalnızca çerez rızası verirsen)
  • Better Stack (sunucu log shipping)
  • AWS S3 (yedek; eu-central-1)
  Bu sağlayıcıların hepsi KVKK ve GDPR uyumlu DPA (Veri İşleme Sözleşmesi) altında çalışır.
• Yasal zorunluluk hâlinde. Mahkeme kararı, KVKK Kurumu talebi veya benzeri yasal süreç gerektirdiğinde, yasal olarak izin verildiği ölçüde bilgi paylaşırız. Yasanın izin verdiği durumlarda paylaşımdan önce sana bildirmeye çalışırız.
• Acil tehlike durumunda. Bir kişinin yakın ve ciddi tehlike altında olduğuna inanırsak, korunması için gereken minimum bilgiyi yetkililerle paylaşabiliriz.
• Anonim toplu istatistik.Hiçbir kullanıcıyı tek başına tanımlamayan toplu istatistikleri (örn. "bu ay X başlığı 1000 entry aldı") kamuya açıklayabiliriz.

Kişisel verini satmıyoruz. Hangi şirkette doğrulandığın hiçbir koşulda hiçbir tarafa açıklanmaz.

Çerezler ve benzer teknolojiler

İki tür çerez kullanırız:

• Zorunlu çerezler (rıza gerekmez). Supabase oturum çerezi (giriş yapmış kullanıcıyı tanır), tema tercihi (karanlık/aydınlık), çerez tercihi durumu. Bu çerezler platformun çalışması için zorunludur.
• Analitik çerezler (açık rıza ile). PostHog anonim kullanım istatistikleri toplar (örn. hangi sayfa daha çok ziyaret edildi). Bu çerezler yalnızca senin açık rızanla yüklenir. İstediğin zaman çerez tercihini değiştirebilirsin.

Tarayıcı ayarlarından tüm çerezleri reddedebilirsin. Bu durumda platformun bazı özellikleri (örn. oturum kalıcılığı) çalışmayabilir.

Bilgilerinizi nasıl koruyoruz

• Tüm veri akışı HTTPS/TLS üzerinden şifrelidir. Veritabanı disk üzerinde de şifrelidir (encryption at rest).
• Postgres satır-seviyesi güvenlik (RLS) ile kullanıcılar yalnızca yetkili oldukları satırlara erişebilir. Doğrulama belgeleri sahibinden başka hiçbir tarafa açılmaz.
• Hesap-içerik kimlik bağı "identity_links" tablosunda tutulur; bu tablo deny-all RLS politikasıyla korunur ve hiçbir istemciye (giriş yapmış olsa bile) açık değildir.
• Hash-zincirli, append-only audit log: hassas işlemlerin değiştirilemez kaydı tutulur (KVKK denetim gereksinimleri için).
• İki faktörlü kimlik doğrulama (2FA) ile hesabını ek olarak koruyabilirsin (yakında).

Mükemmel güvenlik garantisi vermek mümkün değildir. Şüpheli bir durum farkedersen lütfen destek üzerinden bize ulaş.

Anonim mimari ve sıfır-bilgi puan

Kapiks'in en farklılaştırıcı tarafı kimliğin ile içeriğinin kriptografik olarak ayrılmasıdır:

• Ayrık kimlik.Giriş kimliğin (e-posta / SSO) ile içerik kimliğin (handle) ayrı yaşar. Bir başkasının senin entry'ine bakıp e-posta adresine ulaşabilmesi kriptografik ve yetki düzeyinde imkânsızdır.
• Sıfır-bilgi (zero-knowledge) şirket puanı. Bir şirkete oy verdiğinde Semaphore protokolü + Groth16 SNARK kullanılır: sunucu bile hangi puanın senin olduğunu öğrenmez. Sadece "bu doğrulanmış grubun bir üyesi geçerli bir oy gönderdi" kanıtı doğrulanır. Çift oy nullifier ile engellenir.
• Hangi şirkette doğrulandığın kimseyle paylaşılmaz — başka kullanıcılar, çalıştığın şirket, hatta kapiks ekibindeki kişiler dahil. Bu bilgi yalnızca sıfır-bilgi kanıtının üretiminde kullanılır ve hemen sonra unutulur.

Haklarınız (KVKK m.11)

Kişisel Verilerin Korunması Kanunu (6698 sayılı) m.11 kapsamında aşağıdaki haklara sahipsin:

• Erişim hakkı.Hangi verilerinin işlendiğini öğrenme. Hesap ayarlarından "Verilerimi İndir" özelliğiyle tüm içeriğinin JSON ihracını alabilirsin.
• Düzeltme hakkı. Yanlış veya eksik bilgileri düzelttirme. Handle, görünür ad, bio değişiklikleri ayarlardan anında yapılabilir.
• Silme hakkı (unutulma). Hesabını sildiğinde kimliğin ile içeriğin arasındaki bağ kopar; içerik anonim hâlde kalır veya tamamen silinir. Hesap silme talebi ayarlardan başlatılır; arka planda işlenir ve onaylandığında geri alınamaz.
• İşleme itiraz hakkı. Otomatik analiz (kişiselleştirme) için itiraz edebilirsin. Analitik çerez rızanı her zaman geri çekebilirsin.
• Veri taşınabilirlik hakkı.Verilerini yapısal, yaygın kullanılan ve makine okunabilir formatta (JSON) almaya hakkın var. "Verilerimi İndir" bu hak için tasarlandı.
• Hukuka aykırı işlemeye karşı şikâyet hakkı. Verilerinin hukuka aykırı işlendiğini düşünüyorsan KVKK Kurumu'na şikâyet edebilirsin (https://www.kvkk.gov.tr).

Bu hakları kullanmak için hesap ayarları'na git veya destek@kapiks.com adresine yaz. Talebin kimlik doğrulamasından sonra 30 gün içinde sonuçlandırılır.

Yurt dışı veri transferi

Kapiks verilerin büyük çoğunluğunu Frankfurt (Almanya) bölgesindetutar — bu Avrupa Birliği sınırları içinde, KVKK'nın "yeterli koruma sağladığı" kabul ettiği bölgelerden biridir.

Hangi sağlayıcının hangi bölgede tutulduğu:

• Supabase (veritabanı, auth, storage): eu-central-1 / Frankfurt — AB
• Vercel (uygulama hosting): AB bölgeleri (Frankfurt birincil)
• PostHog (analitik, opsiyonel): EU cloud / Frankfurt
• AWS S3 (yedek): eu-central-1 / Frankfurt — AB
• Inngest (asenkron iş kuyruğu): birincil olarak ABD — yurt dışı transfer beyanı kapsamındadır. Veri minimal: yalnızca iş tetikleyici metadata.
• Mux (video, isteğe bağlı): ABD çok-bölgeli — yurt dışı transfer beyanı kapsamındadır. Sadece video yüklersen veri akışı oluşur.
• Better Stack (log shipping): seçilen bölgeye göre AB veya ABD — şu an AB tercih edildi.

ABD'ye transferler KVKK m.9 uyarınca açık rıza veya yeterli korumayı sağlayan taahhüt mekanizmaları (Standard Contractual Clauses) çerçevesinde yapılır.

Saklama süreleri

• Hesap bilgisi (e-posta, handle): hesabın aktif olduğu süre boyunca. Hesabı silmen üzerine kimlik bağı koparılır.
• İçerik (başlık, entry, yorum): içeriği veya hesabı silmediğin sürece kalıcı — kapiks bir kalıcı bilgi arşivi olarak çalışır.
• IP adresi: hesap oluşturma anındaki IP hariç, 90 gün sonra otomatik silinir.
• Doğrulama belgesi: 7 gün içinde otomatik silinir — doğrulama sonucu (boolean) kalır, belge gider.
• Yedekler (PITR): 7 günlük geri-yükleme penceresi. Yedekten silme talebin işlem alır ama yedek rotasyon süresi geçmeden tamamen kaybolmaz.
• Audit log: kapatılan hesabın audit izi 2 yıl tutulur (yasal denetim gereksinimi için).

Hukuki dayanak

KVKK m.5/2 ve m.6 kapsamında kişisel verilerini şu hukuki sebeplerden bir veya birkaçına dayanarak işliyoruz:

• Açık rıza — analitik çerezler, kayıt sırasında kullanım koşulları onayı.
• Sözleşmenin ifası — kullanıcı hesabını işletmek, içerik göstermek, ayarları kaydetmek.
• Hukuki yükümlülük — mahkeme kararı, KVKK Kurumu talebi, vergi yükümlülükleri.
• Meşru menfaat — sahtecilik önleme, abuse tespiti, ürün güvenliği, anonim ürün analizi.

Hassas kişisel veri (KVKK m.6) toplamadığımız için bu kategoriye ait özel rıza akışları yoktur.

Çocuklar

Kapiks 13 yaşından küçüklere yönelik değildir ve bu yaş altı kullanıcılardan bilinçli olarak veri toplamaz. Türkiye ve bulunduğun ülkenin yasalarınca hesap açabilmek için minimum yaş sınırına uymak senin sorumluluğundadır. 13 yaşın altında bir kullanıcının hesap açtığını farkedersen lütfen destek@kapiks.com adresine bildir, hesabı kaldırırız.

Politikadaki değişiklikler

Bu politikayı zaman zaman güncelleyebiliriz. Önemli bir değişiklik olursa sayfanın başındaki tarihi yenileriz ve kullanıcı bildirimi ile haberdar ederiz. Politikada esaslı bir değişiklik olmadığı sürece servisi kullanmaya devam etmen güncel sürümü kabul ettiğin anlamına gelir. Eski sürümleri sol taraftaki "Revizyonlar" listesinden görebilirsin.

İletişim ve veri sorumlusu

Bu politika veya gizlilik uygulamalarımız hakkında soruların, veri talepleri (erişim/silme/düzeltme/taşınabilirlik) ve diğer iletişim için: destek@kapiks.com. Kimlik doğrulaması sonrası 30 gün içinde sonuçlandırılır.

Resmi veri sorumlusu kayıt bilgileri (VERBİS sicil numarası, işleten tüzel kişi adı ve adresi) Kişisel Verileri Koruma Kurumu kaydı tamamlandığında bu sayfada yayımlanacaktır.

Not: Bu metin teknik gerçeklik üzerine yazıldı. Resmi aydınlatma metni KVKK avukat onayı sonrası son hâlini alacak; değişiklikler tarih damgalı revizyon olarak burada kaydedilecek.