Kartbas Gizlilik Politikası
Kartbas, çalışanların kendi giriş/çıkış saatlerini kaydettiği ve 4857 sayılı İş Kanunu'na göre fazla mesai hesabı yaptığı bir mobil uygulamadır. Bu politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve GDPR kapsamında hangi verileri, neden ve nasıl işlediğimizi açıklar.
1. Temel ilke: veriler cihazınızda
Kayıtlarınız (giriş/çıkış saatleri, molalar, gün türü, notlar, ücret ayarları, bordro karşılaştırma girişleri, isteğe bağlı konum damgası) varsayılan olarak yalnızca telefonunuzda saklanır. Hesap açmadığınız sürece bu veriler sunucularımıza gönderilmez. İşvereniniz dahil hiçbir üçüncü kişi bu verilere erişemez.
2. İsteğe bağlı hesap ve yedekleme
Ayarlar'dan hesap açarsanız (Apple ile giriş veya e-posta kodu ile giriş) kayıtlarınız, ayarlarınız ve bordro girişleriniz İtalya'daki (Milano) sunucumuza şifreli bağlantıyla (TLS) yedeklenir ve diğer cihazlarınızla eşitlenir. Amaç: veri kaybını önlemek ve telefon değişiminde kayıtları taşımak. Hesap açarken bu konuda açık onayınız alınır. Hesabı istediğiniz zaman Ayarlar → Hesap → Hesabımı sil ile silebilirsiniz; sunucudaki tüm satırlarınız silinir ve Apple girişi kullandıysanız Apple tarafındaki yetki iptal edilir.
3. İşlenen veriler ve amaçları
| Veri | Amaç | Nerede | Hukuki sebep |
|---|---|---|---|
| Giriş/çıkış saatleri, molalar, gün türü, notlar | Çalışma süresi ve fazla mesai hesabı, PDF | Cihaz; hesap varsa sunucu | Açık rıza / sözleşmenin ifası |
| Ücret bilgisi (isteğe bağlı) | Tahmini alacak hesabı | Cihaz; hesap varsa sunucu | Açık rıza |
| Konum damgası (isteğe bağlı, yalnız dokunuş anında, yaklaşık 100 m hassasiyet + ilçe adı) | Kayıtlara işyeri konumu eklemek | Cihaz; hesap varsa sunucu | Açık rıza (Ayarlar'dan açılır) |
| E-posta adresi veya Apple kimliği (yalnız hesap açanlar) | Kimlik doğrulama, hesap yönetimi | Sunucu | Sözleşmenin ifası |
| Satın alma durumu (abonelik aktif mi) | Pro özellikleri açmak | Apple App Store / Google Play (doğrulama cihazda) | Sözleşmenin ifası |
| Çökme raporları (cihaz modeli, işletim sistemi, hata yığını; kişisel veri temizlenir) | Hataları düzeltmek | Sentry (AB) | Meşru menfaat |
| Anonim kullanım olayları (ör. "PDF paylaşıldı"; sayılar, kişisel içerik yok) | Ürünü iyileştirmek | PostHog (AB) | Meşru menfaat |
Uygulamada reklam gösterilmez. Reklamlarımızın işe yarayıp yaramadığını ölçmek için Meta (Facebook) SDK'sı kullanılır: uygulama kurulumu, deneme ve satın alma olayları (tutar ve para birimi) ile cihazın reklam kimliği (IDFA/AAID) Meta Platforms, Inc.'e (ABD) gönderilir. iOS'ta bu yalnızca "İzleme" iznini verirseniz yapılır; Android'de reklam kimliği cihazınızın reklam ayarlarına bağlıdır (Ayarlar → Gizlilik → Reklamlar). Giriş/çıkış kayıtlarınız, notlarınız, ücret ve konum bilgileriniz Meta'ya gönderilmez. Yapay zekâ servislerine veri gönderilmez.
4. Üçüncü taraf hizmet sağlayıcılar
- Sunucu: MelberLabs'in OVHcloud (Milano, İtalya, AB) üzerindeki kendi sunucusu; veritabanı ve kimlik doğrulama yazılımı olarak Supabase'in açık kaynak bileşenleri.
- Meta Platforms (ABD): reklam ölçümü (yukarıdaki gibi).
- Apple App Store / Google Play: ödeme; ödeme bilgilerinizi biz görmeyiz.
- Resend: giriş kodu e-postalarının gönderimi.
- Sentry, PostHog: yukarıdaki gibi; AB veri bölgesi.
5. Saklama süresi
Cihazdaki veriler siz silene ya da uygulamayı kaldırana kadar. Sunucudaki veriler hesabınızı silene kadar; silme anında kalıcı olarak kaldırılır (yedeklerden en geç 14 gün içinde). Çökme raporları 90 gün, anonim kullanım olayları 12 ay.
6. Haklarınız (KVKK md. 11 / GDPR)
Verilerinize erişme, düzeltme, silme, işlemeye itiraz ve taşınabilirlik haklarınız vardır. Uygulama içinden: dışa aktarım (Ayarlar → Yedek) ve silme (Ayarlar → Hesap). Diğer talepler için §10'daki adrese yazın; 30 gün içinde yanıtlarız.
7. Çocuklar
Kartbas çalışma hayatına yönelik bir araçtır; 16 yaşın altındakilere yönelik değildir ve bilerek çocuk verisi toplamaz.
8. Güvenlik
Cihazda işletim sistemi şifrelemesi; iletimde TLS; sunucuda satır düzeyinde erişim kontrolü (yalnızca kendi verinize erişebilirsiniz); yedek dosyaları sizin belirlediğiniz parola ile şifrelenir. Hiçbir yöntem %100 güvenli değildir; bir ihlal hâlinde yasal süre içinde bilgilendirilirsiniz.
9. Değişiklikler
Bu politika değişirse uygulama içinde ve bu sayfada duyurulur; tarih güncellenir.
10. İletişim
MelberLabs · e-posta: kartbas@melberlabs.com · web: kartbas.melberlabs.com
Kartbas Privacy Policy
Kartbas is a mobile app in which employees record their own clock-in/clock-out times and calculate overtime under Turkish Labour Law No. 4857. This policy explains what we process, why and how, under Turkish KVKK and the GDPR.
1. Core principle: your data stays on your device
Your log (clock-in/out times, breaks, day types, notes, wage settings, payslip comparison inputs and the optional location stamp) is stored only on your phone by default. Unless you create an account, nothing is sent to our servers. No third party, including your employer, can access it.
2. Optional account and backup
If you create an account (Sign in with Apple or an e-mail code), your log, settings and payslip inputs are backed up over an encrypted connection (TLS) to our server in Milan, Italy, and synced to your other devices. Purpose: prevent data loss and move your log to a new phone. We ask for your explicit consent when you create the account. You can delete the account at any time in Settings → Account → Delete my account; all your rows on the server are deleted and, if you used Sign in with Apple, the Apple authorisation is revoked.
3. Data we process and why
| Data | Purpose | Where | Legal basis |
|---|---|---|---|
| Clock-in/out times, breaks, day types, notes | Working-time and overtime calculation, PDF | Device; server if you have an account | Consent / performance of contract |
| Wage (optional) | Estimated pay calculation | Device; server if you have an account | Consent |
| Location stamp (optional, only at the moment you tap, ~100 m precision + district name) | Add a workplace stamp to entries | Device; server if you have an account | Consent (enabled in Settings) |
| E-mail address or Apple identifier (account holders only) | Authentication, account management | Server | Performance of contract |
| Purchase status (is the subscription active) | Unlock Pro features | Apple App Store / Google Play (verified on device) | Performance of contract |
| Crash reports (device model, OS, stack trace; personal data stripped) | Fix bugs | Sentry (EU) | Legitimate interest |
| Anonymous usage events (e.g. "PDF shared"; counts only, no personal content) | Improve the product | PostHog (EU) | Legitimate interest |
The app shows no ads. To measure whether our ads work we use the Meta (Facebook) SDK: app install, trial and purchase events (amount and currency) and the device advertising identifier (IDFA/AAID) are sent to Meta Platforms, Inc. (USA). On iOS this only happens if you allow tracking; on Android the advertising ID follows your device ad settings (Settings → Privacy → Ads). Your time records, notes, wage and location data are never sent to Meta. No data is sent to AI services.
4. Service providers
- Server: MelberLabs' own server on OVHcloud (Milan, Italy, EU), running open-source Supabase components for database and authentication.
- Meta Platforms (USA): ad measurement (as above).
- Apple App Store / Google Play: payments; we never see your payment details.
- Resend: delivery of sign-in code e-mails.
- Sentry, PostHog: as above; EU data region.
5. Retention
On-device data until you delete it or uninstall the app. Server data until you delete your account; deleted immediately and purged from backups within 14 days. Crash reports 90 days, anonymous usage events 12 months.
6. Your rights
Access, rectification, erasure, objection and portability. In the app: export (Settings → Backup) and deletion (Settings → Account). For anything else write to the address in §10; we answer within 30 days.
7. Children
Kartbas is a work tool, not directed at anyone under 16, and does not knowingly collect children's data.
8. Security
OS-level encryption on the device; TLS in transit; row-level access control on the server (you can only reach your own rows); backup files encrypted with a password you choose. No method is 100% secure; in case of a breach you will be notified within the legal deadline.
9. Changes
Changes are announced in the app and on this page, with the date updated.
10. Contact
MelberLabs · e-mail: kartbas@melberlabs.com · web: kartbas.melberlabs.com
Kartbas