Gizlilik Politikası ve KVKK Aydınlatma Metni

Son güncelleme: 3 Kasım 2026. Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Genel Veri Koruma Tüzüğü (GDPR) kapsamında hangi verilerini neden ve nasıl işlediğimizi açıklar. Kısaca: reklam yok, izleme yok, verilerini satmıyoruz.

1. Veri sorumlusu

Halil Eren Sontay (Pomodoro Flow). İletişim: sontayhalileren@gmail.com

2. İşlediğimiz veriler

Hesap verileri: e-posta adresin, görünen adın, şifren (yalnızca geri döndürülemez şekilde şifrelenmiş olarak), hesap oluşturma tarihi, yasal metinleri kabul ettiğin tarih ve sürüm.
Uygulama verileri: odak seansların (süre, saat, etiket, niyet metni), görevlerin, park ettiğin düşünceler, rozetlerin ve ayarların. Bunlar varsayılan olarak yalnızca cihazında tutulur; buluta yalnızca Pro senkronu açıkken gönderilir.
Pro verileri: hesabında Pro erişimi olup olmadığı ve bitiş tarihi. Uygulama hiçbir ödeme veya kart bilgisi toplamaz.
Teknik veriler: sunucu kayıtlarında tutulan IP adresi, ülke, tarayıcı ve cihaz bilgisi ile istek zamanları. Güvenlik, kötüye kullanımı önleme ve ziyaret ile indirme istatistikleri için kullanılır; ayrıntılı kayıtlar en fazla 90 gün saklanır, istatistikler yalnızca toplu sayılar olarak tutulur.
Sosyal veriler (hesapla): arkadaş, grup ve topluluk özellikleri için görünen adın, seviyen, serin ve günlük/haftalık toplam odak süren sunucuda tutulur; yalnızca arkadaşlarına ve aynı gruptaki üyelere gösterilir. Topluluk sayacı ve topluluk hedefi yalnızca isimsiz toplamları kullanır. Niyet metinlerin, görevlerin ve alanların paylaşılmaz.
Herkese açık profil (isteğe bağlı, varsayılan kapalı): açarsan adın, seviyen, serin, toplam odak süren, kristal sayıların ve son 7 günün özeti, bağlantıyı bilen herkesin görebileceği bir sayfada yayımlanır. İstediğin an kapatabilirsin.
Haftalık özet e-postası (isteğe bağlı, varsayılan kapalı): açarsan e-posta adresine haftada bir özet gönderilir; her e-postadaki bağlantıyla tek tıkla abonelikten çıkabilirsin.
Hata raporları (isteğe bağlı): Uygulama bir hata yakaladığında ne gönderileceğini gösterip iznini ister. Rapor anonimdir: uygulama sürümü, platform, hata metni, teknik iz ve tarayıcı bilgisi; hesabın, e-postan veya IP adresin raporla ilişkilendirilmez. Raporlar en fazla 90 gün saklanır.
Takvim bağlantısı (isteğe bağlı): bağladığın takvim adresi yalnızca cihazında saklanır. Tarayıcı kısıtları nedeniyle takvim, sunucu işlevimiz üzerinden okunur; adres ve etkinlikler sunucuda kaydedilmez, yalnızca cihazında 30 dakika önbellekte tutulur.

Misafir modunda hiçbir kişisel veri sunucularımıza gönderilmez. Spotify bağlantısı kullanırsan erişim anahtarın yalnızca cihazında saklanır. Odak Kalkanı tarayıcı eklentisi yalnızca odağın bitiş saatini okur ve engelleme listesini tarayıcının kendi deposunda tutar; bize hiçbir veri göndermez.

3. Amaçlar ve hukuki sebepler

Hesabını oluşturmak, giriş, şifre sıfırlama ve doğrulama kodu göndermek — sözleşmenin kurulması ve ifası (KVKK m.5/2-c).
Pro erişimini doğrulamak ve cihazların arasında senkronlamak — sözleşmenin ifası.
Arkadaş ve grup özellikleri — sözleşmenin ifası (bu özellikleri kullandığında); herkese açık profil ve haftalık özet e-postası — açık rızan (kendin açtığında, istediğin an geri alabilirsin).
Hataları bulup gidermek — açık rızan (her rapordan önce sorulur ya da ayarlardan "her zaman gönder" seçilir).
Güvenlik, dolandırıcılık ve kötüye kullanımın önlenmesi — meşru menfaat (KVKK m.5/2-f).

4. Aktarım ve hizmet sağlayıcılar

Verilerin yalnızca hizmeti sunmak için gerekli hizmet sağlayıcılarla paylaşılır:

Supabase (hesap, bulut veritabanı ve sunucu işlevleri altyapısı)
E-posta gönderim sağlayıcısı (doğrulama ve şifre sıfırlama kodları; açtıysan haftalık özet e-postası)

Bu sağlayıcıların sunucuları yurt dışında bulunabilir. Aktarımlar KVKK m.9 ve GDPR’a uygun şekilde, sağlayıcıların standart sözleşme hükümleri ve güvenlik taahhütleri çerçevesinde yapılır. Verilerin reklam veya pazarlama amacıyla hiçbir üçüncü tarafla paylaşılmaz ya da satılmaz.

5. Saklama süresi

Hesap ve bulut verilerin, hesabın silinene kadar saklanır. Hesabını sildiğinde bulut verilerin derhal silinir; yedeklerden en geç 30 gün içinde temizlenir. Cihazındaki veriler, Uygulamayı kaldırdığında veya "bu cihazdaki verileri temizle" seçeneğiyle silinir.

6. Güvenlik

Tüm bağlantılar şifrelidir (TLS). Veritabanında her kullanıcı yalnızca kendi kayıtlarına erişebilir (satır düzeyinde güvenlik). Şifreler geri döndürülemez biçimde saklanır.

7. Hakların

KVKK m.11 ve GDPR kapsamında; verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini veya silinmesini isteme, işlemeye itiraz etme, verilerinin bir kopyasını alma (taşınabilirlik) ve zararın giderilmesini talep etme haklarına sahipsin. Verilerinin kopyasını Uygulama içinden dışa aktarabilir, hesabını Uygulama içinden silebilirsin. Diğer talepler için bize yaz; en geç 30 gün içinde yanıtlarız. Kişisel Verileri Koruma Kurulu’na şikâyet hakkın saklıdır.

8. Çocuklar

Uygulama 13 yaşından küçük çocuklara yönelik değildir ve bilerek bu yaştaki çocuklardan hesap verisi toplamayız.

9. Değişiklikler

Bu politikayı güncelleyebiliriz; önemli değişikliklerde Uygulama içinde bilgilendirir ve gerekirse yeniden onayını isteriz.