Yasal

Gizlilik Politikası

Son güncelleme: 23 Ekim 2026

İşbu Gizlilik Politikası, Spuddy mobil uygulamasının ("Uygulama") kullanıcılarına ait kişisel verilerin hangi amaçlarla toplandığını, nasıl kullanıldığını, saklandığını ve korunduğunu açıklamak amacıyla hazırlanmıştır. Uygulamayı kullanan kullanıcılar ("Kullanıcı"), işbu Politika'da belirtilen esasları kabul etmiş sayılır.

Veri Sorumlusu: Gülsüm Aktop — "Spuddy" uygulaması işletmecisi İletişim: [email protected]

1. Toplanan Veriler

Uygulama, yalnızca hizmetin sunulması için gerekli olan kişisel verileri işler:

a) Hesap Bilgileri (kayıt sırasında)

Ad ve soyad
E-posta adresi (veya giriş yöntemine göre telefon numarası)
Yaş
Şifre (şifrelenmiş olarak saklanır; düz metin hâli tarafımızca görüntülenemez)
Apple veya Google ile giriş yapılması hâlinde, ilgili sağlayıcının paylaştığı ad ve e-posta bilgisi

b) Profil ve Keşif Bilgileri

İlgilenilen spor dalları ve kısa biyografi
Profil ve galeri fotoğrafları (yüklenmesi hâlinde)
Kullanıcı tipi (standart kullanıcı / eğitmen)
Eğitmen olunması hâlinde uzmanlık alanları ve tanıtım bilgileri
Boy, kilo ve fitness hedefi (girilmesi hâlinde)

c) Konum Bilgisi

İzin verilmesi hâlinde cihazın kesin (GPS) konumu alınır; ancak gizliliğin korunması için konum yaklaşık ~1 km'lik bir alana yuvarlanarak saklanır ve yalnızca yakındaki spor partnerlerinin gösterilmesi ile mesafenin hesaplanması amacıyla işlenir.
Kullanıcıların kesin koordinatları diğer kullanıcılara hiçbir surette gösterilmez; mesafe hesabı sunucu tarafında yapılır. Konum izni, cihaz ayarlarından dilenildiği zaman kapatılabilir.

d) Eşleşme ve Mesajlaşma Verileri

Beğeniler ve eşleşmeler
Eşleşilen kullanıcılarla gönderilen mesajlar
Grup sohbetleri ve şehir topluluklarında gönderilen mesajlar ile hangi topluluklara üye olunduğu
Açılan veya katılınan antrenman çağrıları (spor, mekân, tarih-saat)

e) Seyahat Planı

Bir şehir topluluğuna "Geliyorum" seçilerek katılınması hâlinde gidilecek şehir ve tarih aralığı. Bu bilgi, o tarihlerde şehirdeki açık çağrıların ve aynı tarihlerde orada olacak diğer gezginlerin gösterilmesi amacıyla işlenir.

f) Abonelik (FitPlus)

Satın alma işlemleri Apple App Store üzerinden gerçekleştirilir. Kredi kartı/ödeme bilgilerine tarafımızca erişilmez ve bu bilgiler saklanmaz; söz konusu bilgiler Apple tarafından yönetilir.

g) Erişim/İşlem Kayıtları

Yasal yükümlülükler gereği işlem türü, tarih-saat ve IP adresi (bkz. 3. bölüm).

h) Teknik Tanılama (Çökme ve Hata Kayıtları)

Uygulama beklenmedik şekilde kapandığında veya bir işlem başarısız olduğunda (örneğin kayıt gönderilemediğinde), sorunun giderilebilmesi için Firebase Crashlytics hizmetine teknik kayıt gönderilir: cihaz modeli, işletim sistemi sürümü, uygulama sürümü, hatanın oluştuğu kod konumu, hata kodu ve hata mesajı.
Bu kayıtlara ad, telefon, e-posta, kullanıcı kimliği, konum veya mesaj içeriği eklenmez. Kayıtlar yalnızca uygulama kararlılığının iyileştirilmesi amacıyla kullanılır, pazarlama veya profilleme amacıyla kullanılmaz.

Uygulama, reklam takibi (IDFA) yapmaz ve üçüncü taraf reklam ağları ile veri paylaşımında bulunmaz. IP adresi yalnızca yasal erişim kaydı amacıyla tutulur; konum bilgisi yalnızca eşleşme ve mesafe hesabı amacıyla kullanılır.

2. Verilerin İşlenme Amaçları

Toplanan kişisel veriler aşağıdaki amaçlarla işlenir:

Hesabın oluşturulması ve kimlik doğrulamanın sağlanması
Kullanıcıya uygun spor partnerlerinin ve eğitmenlerin gösterilmesi
Eşleşme, mesajlaşma, grup ve şehir topluluğu özelliklerinin çalıştırılması
Seyahat edilecek şehirde antrenman partneri bulunmasına yardımcı olunması
FitPlus aboneliğinin yönetimi
Güvenliğin sağlanması, kötüye kullanımın önlenmesi ve yasal yükümlülüklerin yerine getirilmesi

Kişisel veriler, hizmetin sunulması amacı dışında üçüncü kişilere satılmaz veya kiralanmaz.

Otomatik İşleme ve Profilleme

Keşfet/eşleşme sıralaması, kısmen otomatik (algoritmik) yöntemlerle üretilir. Bu işleme; Kullanıcı üzerinde hukuki sonuç doğuran veya benzer biçimde önemli ölçüde etkileyen, yalnızca otomatik işlemeye dayalı bir karar niteliği taşımaz (GDPR m.22). Kullanıcı, bu işlemeye ilişkin bilgi talep edebilir.

Güvenilirlik puanı: Keşfet sıralamasında, son 60 günde karşılıklı onaylanmış ortak antrenman sayısı, mesajlara 48 saat içinde yanıt verme oranı, uygulamanın en son ne zaman açıldığı ve etkileşim kurulan kişilerden gelen şikâyetler dikkate alınarak otomatik bir güvenilirlik puanı hesaplanır. Puan hiçbir kullanıcıya sayı olarak gösterilmez; yalnızca sıralamayı etkiler ve yüksek puanlı kullanıcılara "Güvenilir partner" rozeti verilir. Fiziksel görünüm veya beğeni sayısı bu puana dâhil edilmez.

3. Verilerin Saklanması ve İşlenmesi

Kişisel veriler, altyapı sağlayıcısı olan Google Firebase (Firebase Authentication, Cloud Firestore, Cloud Storage) hizmetleri üzerinde güvenli sunucularda saklanır. Firebase, Google LLC tarafından sağlanmakta olup sektör standardı güvenlik önlemleri uygulanmaktadır. Veri aktarımları HTTPS protokolü ile şifrelenir.

Hizmetin sunulması kapsamında kullanılan üçüncü taraf hizmet sağlayıcıları:

Apple — Sign in with Apple ve App Store içi satın alma işlemleri
Google / Firebase — kimlik doğrulama, veri tabanı, dosya depolama, Google ile giriş, bildirim gönderimi ve teknik tanılama (Crashlytics)

Yurt Dışına Aktarım ve Açık Rıza: Firebase altyapısı, verileri yurt dışındaki (örneğin AB/ABD) Google sunucularında işleyebilir. Kullanıcı, Uygulamayı kullanmak ve hesap oluşturmak suretiyle; kişisel verilerinin (sağlıkla ilişkili fitness bilgileri dâhil) bu hizmetlerin sunulması amacıyla yurt dışına aktarılmasına açık rıza vermiş olur (KVKK m.9).

Erişim ve İşlem Kayıtları

Yasal yükümlülükler (özellikle 5651 sayılı Kanun) gereği; giriş/çıkış, hesap oluşturma/silme, mesaj gönderme ve eşleşme gibi işlemlere ilişkin erişim kayıtları (kullanıcı kimliği, işlem türü, tarih-saat ve IP adresi) tutulur. Bu kayıtlar yalnızca yasal yükümlülük ve güvenlik amacıyla kullanılır; yetkili merciler dışında üçüncü kişilerle paylaşılmaz ve mevzuatın öngördüğü süre boyunca saklanır.

Saklama Süresi

Kişisel veriler, hesabın aktif olduğu süre boyunca ve sonrasında yasal saklama yükümlülükleri kapsamında saklanır. Hesabın silinmesi hâlinde profil ve içerik verileri kaldırılır; erişim kayıtları ise mevzuatın öngördüğü süre boyunca tutulabilir.

4. Verilerin Paylaşımı

Profil bilgilerinin bir kısmı (ad, yaş, spor dalları, biyografi, profil fotoğrafı), hizmetin doğası gereği Uygulamadaki diğer kullanıcılara Keşfet ve eşleşme amacıyla gösterilir. E-posta adresi ve şifre, diğer kullanıcılara hiçbir surette gösterilmez.

Gruplar ve şehir toplulukları: Bir gruba veya şehir topluluğuna gönderilen mesajlar, gönderenin adı ve profil fotoğrafıyla birlikte o grubun/topluluğun üyelerine görünür. Şehir topluluklarına herkes katılabilir; bu nedenle topluluğa yazılan mesajlar herkese açık kabul edilmelidir. Topluluğun üye listesi diğer üyelere gösterilmez.

Seyahat planı: Bir şehir topluluğuna "Geliyorum" seçilerek katılınması hâlinde, ad ve tarih aralığı ("Ayşe 18–22 Kasım'da geliyor") o topluluğun üyelerine gösterilir ve tarihleri çakışan, kendi seyahatini paylaşmayı seçmiş diğer gezginlere görünür. Seyahatin konumu yalnızca şehir düzeyindedir; kesin konum paylaşılmaz.

Yasal zorunluluk hâlinde (mahkeme kararı vb.) yetkili merciler ile paylaşım yapılabilir.

5. Hesabın ve Verilerin Silinmesi

Kullanıcı, Uygulama içinden Profilim → Hesabımı Sil adımıyla hesabını ve ilişkili verilerini kalıcı olarak silebilir. Bu işlem geri alınamaz. Silme talebinin ardından kullanıcıya ait veriler makul süre içinde sistemlerden kaldırılır. Hesap silindiğinde seyahat planları ve topluluk üyelikleri de silinir; gruplarda ve topluluklarda yazılan mesajların metni ve gönderen bilgisi kaldırılır.

Kullanıcı, dilerse [email protected] adresine başvurarak da silme talebinde bulunabilir.

6. Çocukların Gizliliği

Uygulama yalnızca 18 yaş ve üzeri kullanıcılar içindir. 18 yaşından küçük kişilerden bilerek veri toplanmaz. 18 yaşından küçük bir kişinin veri paylaştığının tespiti hâlinde, ilgili veriler [email protected] adresine yapılacak bildirim üzerine kaldırılır.

7. Veri Güvenliği

Kişisel verilerin korunması amacıyla makul teknik ve idari tedbirler (şifreli iletişim, erişim kuralları vb.) uygulanır. Bununla birlikte, internet üzerinden gerçekleştirilen hiçbir veri iletiminin %100 güvenli olmadığı kullanıcı tarafından bilinmektedir.

8. Değişiklikler

İşbu Politika zaman zaman güncellenebilir. Önemli değişiklikler, Uygulama içinde veya bu sayfada duyurulur. Güncel sürüm her zaman bu adreste yayımlanır.

9. Kullanıcının Hakları ve İletişim

KVKK m.11 ve (uygulanabildiği ölçüde) GDPR uyarınca Kullanıcı; kişisel verilerinin işlenip işlenmediğini öğrenme, erişim (kopya talep etme), düzeltme, silme/yok edilmesini isteme, işlemeye itiraz etme, taşınabilirlik ve verdiği açık rızayı geri çekme haklarına sahiptir. Açık rızaya dayalı işlemeler (örn. sağlık verisi), rızanın geri çekilmesiyle durdurulur.

Başvurular için:

E-posta: [email protected] Veri Sorumlusu: Gülsüm Aktop, "Spuddy" uygulaması

KVKK kapsamındaki başvurular en geç 30 gün içinde sonuçlandırılır.

10. ABD ve Kanada'daki Kullanıcılar için Ek Bilgiler

ABD Eyalet Gizlilik Hakları (California CCPA/CPRA ve benzeri eyalet yasaları)

Spuddy, kişisel verileri satmaz ve çapraz-bağlamsal davranışsal reklamcılık amacıyla "paylaşmaz". Uygulanabilir eyalet yasaları kapsamında ABD'de yerleşik Kullanıcı; hakkında toplanan kişisel verileri bilme/erişme, düzeltme, silme, hassas kişisel verilerin (örn. sağlıkla ilişkili fitness bilgileri, kesin konum) kullanımını sınırlama ve bu hakları kullandığı için ayrımcılığa uğramama haklarına sahiptir. Hassas veriler yalnızca hizmetin sunulması için makul ölçüde gerekli amaçlarla işlenir. Kişisel veri satışı/paylaşımı yapılmadığından ayrıca bir "Do Not Sell or Share My Personal Information" mekanizmasına gerek bulunmamaktadır.

Başvurular [email protected] adresine yapılabilir; başvuru sahibinin kimliğinin makul surette doğrulanması istenebilir ve başvuru, yazılı olarak yetkilendirilmiş bir temsilci aracılığıyla da yapılabilir. Talepler, uygulanabilir yasal süreler içinde (kural olarak 45 gün, gerektiğinde uzatılabilir) yanıtlanır.

Kanada'daki Kullanıcılar (PIPEDA ve Québec 25 sayılı Yasa)

Kişisel veriler; PIPEDA'nın hesap verebilirlik, rıza, amaçla sınırlılık, veri minimizasyonu, doğruluk, güvenlik önlemleri, şeffaflık ve bireysel erişim ilkelerine uygun olarak işlenir. Kanada'da yerleşik Kullanıcı, kişisel verilerine erişme ve bunların düzeltilmesini talep etme hakkına sahiptir; gizlilik uygulamalarından sorumlu kişiye [email protected] üzerinden ulaşılabilir.

Kullanıcı, çözüme kavuşturulamayan şikâyetlerini Office of the Privacy Commissioner of Canada (OPC)'ya; Québec'te yerleşik ise Commission d'accès à l'information (CAI)'ye iletme hakkına sahiptir. Kişisel veriler Kanada dışında (Türkiye, AB ve ABD dâhil) saklanabilir ve işlenebilir; bu durumda söz konusu ülkelerin mevzuatı uyarınca oradaki yetkili mercilerin hukuka uygun erişim taleplerine tabi olabilir.

COPPA (13 Yaş Altı Çocuklar)

Uygulama 18 yaş altına tümüyle kapalıdır ve 13 yaşından küçük çocuklardan bilerek hiçbir kişisel veri toplanmaz (ABD COPPA). Aksinin tespiti hâlinde ilgili veriler derhâl silinir (bkz. m.6).

İşbu Gizlilik Politikası, Spuddy uygulamasının güncel veri uygulamalarını yansıtır. Sorularınız için: [email protected]

This Privacy Policy has been prepared to explain for which purposes the personal data of users of the Spuddy mobile application (the "App") is collected, and how it is used, stored, and protected. Users of the App ("User") are deemed to have accepted the principles set out in this Policy.

Data Controller: Gülsüm Aktop — operator of the "Spuddy" application Contact: [email protected]

1. Data Collected

The App processes only the personal data necessary for the provision of the service:

a) Account Information (at registration)

First and last name
Email address (or phone number, depending on the sign-in method)
Age
Password (stored in encrypted form; the plain-text version cannot be viewed by us)
If signing in with Apple or Google, the name and email information shared by the relevant provider

b) Profile and Discovery Information

Sports of interest and a short biography
Profile and gallery photos (if uploaded)
User type (standard user / trainer)
If registering as a trainer, areas of expertise and promotional information
Height, weight, and fitness goal (if entered)

c) Location Information

If permission is granted, the device's precise (GPS) location is obtained; however, to protect privacy, the location is stored rounded to an area of approximately ~1 km and is processed solely for the purposes of showing nearby workout partners and calculating distance.
Users' precise coordinates are under no circumstances shown to other users; distance calculation is performed server-side. Location permission can be turned off at any time from the device settings.

d) Matching and Messaging Data

Likes and matches
Messages sent to matched users
Messages sent in group chats and city communities, and which communities the User has joined
Workout calls created or joined (sport, venue, date and time)

e) Trip Plans

If the User joins a city community by choosing "I'm visiting", the destination city and date range. This is processed to show open calls in that city on those dates and other travelers who will be there at the same time.

f) Subscription (FitPlus)

Purchase transactions are carried out via the Apple App Store. We do not access or store credit card/payment information; such information is managed by Apple.

g) Access/Transaction Logs

As required by legal obligations, the transaction type, date-time, and IP address (see Section 3).

h) Technical Diagnostics (Crash and Error Reports)

When the App closes unexpectedly or an operation fails (for example, when a record cannot be submitted), a technical report is sent to the Firebase Crashlytics service so that the problem can be resolved: device model, operating system version, app version, the code location where the error occurred, the error code, and the error message.
No name, phone number, email address, user identifier, location, or message content is included in these reports. They are used solely to improve app stability, and never for marketing or profiling.

The App does not perform advertising tracking (IDFA) and does not share data with third-party advertising networks. The IP address is retained solely for legally required access logging; location information is used solely for matching and distance calculation purposes.

2. Purposes of Data Processing

The personal data collected is processed for the following purposes:

Creating the account and providing authentication
Showing the User suitable workout partners and trainers
Operating the matching, messaging, group and city community features
Helping the User find workout partners in a city they are traveling to
Managing the FitPlus subscription
Ensuring security, preventing misuse, and fulfilling legal obligations

Personal data is not sold or rented to third parties for purposes other than the provision of the service.

Automated Processing and Profiling

The Discover/matching ranking is generated partly by automated (algorithmic) methods. This processing does not constitute a decision based solely on automated processing that produces legal effects concerning the User or similarly significantly affects the User (GDPR Art. 22). The User may request information regarding this processing.

Reliability score: For the Discover ranking, an automated reliability score is calculated from the number of mutually confirmed joint workouts in the last 60 days, the rate of replying to messages within 48 hours, when the App was last opened, and reports received from people the User has interacted with. The score is never shown to any user as a number; it only affects the ranking, and users with a high score receive a "Reliable partner" badge. Physical appearance and the number of likes are not part of this score.

3. Storage and Processing of Data

Personal data is stored on secure servers via the infrastructure provider Google Firebase (Firebase Authentication, Cloud Firestore, Cloud Storage) services. Firebase is provided by Google LLC and industry-standard security measures are applied. Data transmissions are encrypted using the HTTPS protocol.

Third-party service providers used in the provision of the service:

Apple — Sign in with Apple and App Store in-app purchase transactions
Google / Firebase — authentication, database, file storage, sign-in with Google, push notification delivery, and technical diagnostics (Crashlytics)

International Transfers and Explicit Consent: The Firebase infrastructure may process data on Google servers located abroad (for example, in the EU/USA). By using the App and creating an account, the User gives explicit consent to the transfer abroad of their personal data (including health-related fitness information) for the purpose of providing these services (Art. 9 of the KVKK (Turkish Data Protection Law No. 6698)).

Access and Transaction Logs

As required by legal obligations (in particular Law No. 5651), access logs relating to transactions such as sign-in/sign-out, account creation/deletion, message sending, and matching (user ID, transaction type, date-time, and IP address) are kept. These logs are used solely for legal-obligation and security purposes; they are not shared with third parties other than competent authorities and are retained for the period prescribed by legislation.

Retention Period

Personal data is retained for as long as the account is active and, thereafter, within the scope of legal retention obligations. If the account is deleted, profile and content data is removed; access logs, however, may be kept for the period prescribed by legislation.

4. Data Sharing

Part of the profile information (name, age, sports, biography, profile photo) is, by the nature of the service, shown to other users in the App for Discover and matching purposes. The email address and password are under no circumstances shown to other users.

Groups and city communities: Messages sent to a group or city community are visible to that group's/community's members together with the sender's name and profile photo. Anyone can join a city community, so messages posted there should be considered public. A community's member list is not shown to other members.

Trip plans: If the User joins a city community by choosing "I'm visiting", their name and date range ("Ayşe is coming 18–22 November") are shown to that community's members and are visible to other travelers with overlapping dates who have chosen to share their own trip. A trip's location is city-level only; no precise location is shared.

In the event of a legal obligation (court order, etc.), data may be shared with competent authorities.

5. Deletion of the Account and Data

The User can permanently delete their account and the associated data from within the App via My Profile → Delete My Account. This action cannot be undone. Following the deletion request, the User's data is removed from our systems within a reasonable period. When the account is deleted, trip plans and community memberships are also deleted, and the text and sender details of messages written in groups and communities are removed.

The User may also submit a deletion request by contacting [email protected].

6. Children's Privacy

The App is intended only for users aged 18 and over. Data is not knowingly collected from persons under 18. If it is determined that a person under 18 has shared data, the relevant data will be removed upon notification to [email protected].

7. Data Security

Reasonable technical and administrative measures (encrypted communication, access rules, etc.) are applied to protect personal data. Nevertheless, the User acknowledges that no data transmission over the internet is 100% secure.

8. Changes

This Policy may be updated from time to time. Material changes will be announced within the App or on this page. The current version is always published at this address.

9. User Rights and Contact

Pursuant to Art. 11 of the KVKK and (to the extent applicable) the GDPR, the User has the rights to learn whether their personal data is being processed, to obtain access (request a copy), to request rectification, to request erasure/destruction, to object to processing, to data portability, and to withdraw the explicit consent they have given. Processing based on explicit consent (e.g., health data) will cease upon withdrawal of consent.

For applications:

Email: [email protected] Data Controller: Gülsüm Aktop, "Spuddy" application

Applications under the KVKK are concluded within 30 days at the latest.

10. Additional Information for Users in the United States and Canada

U.S. State Privacy Rights (California CCPA/CPRA and similar state laws)

Spuddy does not sell personal information and does not "share" it for cross-context behavioral advertising. Under applicable state laws, Users residing in the U.S. have the rights to know/access the personal information collected about them, to correct it, to delete it, to limit the use of sensitive personal information (e.g., health-related fitness information, precise location), and not to be discriminated against for exercising these rights. Sensitive information is processed only for purposes reasonably necessary to provide the service. As no sale or sharing of personal information takes place, a separate "Do Not Sell or Share My Personal Information" mechanism is not required.

Requests may be submitted to [email protected]; reasonable verification of the requester's identity may be required, and requests may also be submitted through an authorized agent with written authorization. Requests are answered within the applicable statutory periods (as a rule, 45 days, extendable where necessary).

Users in Canada (PIPEDA and Québec Law 25)

Personal information is processed in accordance with the PIPEDA principles of accountability, consent, purpose limitation, data minimization, accuracy, safeguards, openness, and individual access. Users residing in Canada have the right to access their personal information and to request its correction; the person responsible for privacy practices can be reached at [email protected].

Users have the right to refer unresolved complaints to the Office of the Privacy Commissioner of Canada (OPC) or, if residing in Québec, to the Commission d'accès à l'information (CAI). Personal information may be stored and processed outside Canada (including in Türkiye, the EU, and the U.S.); in that case, it may be subject to lawful access requests by the competent authorities of those countries under their legislation.

COPPA (Children Under 13)

The App is entirely closed to persons under 18, and no personal information is knowingly collected from children under 13 (U.S. COPPA). If the contrary is determined, the relevant data is deleted immediately (see Section 6).

This text reflects the current data practices of the Spuddy application. As required by the Apple App Store, this Policy must be published at a publicly accessible URL.

This English translation is provided for convenience only. In case of any discrepancy, the Turkish version prevails.