MetisRef — Karar Doğru mu?

1. Giriş

MetisRef.com™ ("MetisRef", "biz", "platform") olarak, kişisel verilerinizin gizliliğine ve korunmasına büyük önem veriyoruz. Bu Gizlilik Politikası ("Politika"), web sitesi (www.MetisRef.com) ve mobil uygulamalarımız ("Hizmet") üzerinden hangi kişisel verilerin toplandığını, nasıl işlendiğini, hangi durumlarda aktarıldığını ve hakların nasıl kullanılabileceğini açıklar.

Politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR" / Regulation (EU) 2016/679), Digital Services Act ("DSA" / Regulation (EU) 2022/2065) ve ilgili ikincil mevzuata uygun şekilde hazırlanmıştır.

Hizmeti kullanarak bu Politika'nın koşullarını okuduğunuzu ve kabul ettiğinizi onaylarsınız. Hizmet ile birlikte ayrıca uygulanan diğer belgelerimiz: KVKK Aydınlatma Metni (Belge A1), Açık Rıza Metni (Belge A2), Çerez Politikası (Belge A5), Kullanım Koşulları (Belge A4) ve Topluluk Kuralları (Belge B6).

2. Tanımlar

3. Veri Sorumlusu

4. Topladığımız Kişisel Veri Kategorileri

Aşağıdaki kişisel veri kategorilerini, ilgili açık rıza veya hukuki dayanak çerçevesinde toplarız:

4.1 Kayıt Anında Toplanan Veriler

4.2 Kullanım Sırasında Toplanan Veriler

Verilen oylar: Karar Anı ID, oy yönü, ağırlık, zaman damgası
Açılan Karar Anları (KarAdm için): maç, dakika, karar nedeni
Yorumlar: zaman damgalı, ilgili Karar Anı bağlamında
Şikayet ve hak sahibi başvuruları
Cihaz/teknik veri: IP (sadece güvenlik logu), cihaz parmak izi, tarayıcı, uygulama sürümü
Push notification token (açık rıza ile)
Anonim event verisi: tıklama, sayfa görüntüleme (Posthog — açık rıza ile)
Premium ödeme verisi: ödeme yöntemi referansı (kart bilgisi yoktur)

4.3 Üçüncü Taraflardan Aldığımız Veriler

Uzman belgesi doğrulaması: TFF Hakem Kurulu / federasyon kayıtları üzerinden teyit (kullanıcı açık rızası ile)
Sign in with Apple / Google: temel kimlik bilgisi (e-posta, isim — kullanıcı tercihiyle)
Ödeme sağlayıcı doğrulaması: işlem onayı bilgisi

Açık kaynaktan otomatik veri zenginleştirme (sosyal medya scraping, third-party data brokers vs.) YAPMIYORUZ.

5. Kişisel Verilerinizi İşleme Amaçları

Verilerinizi yalnızca aşağıdaki amaçlar için işleriz:

Hizmetin sunulması ve hesabınızın yönetilmesi (KVKK Madde 5/2-c sözleşmenin ifası; GDPR Madde 6/1-b).
Oy ağırlıklandırma ve dilim hesabı (sözleşmenin ifası + açık rıza).
Topluluk güvenliği ve manipülasyon önleme: sahte hesap, sybil saldırısı tespit (meşru menfaat — KVKK Madde 5/2-f; GDPR Madde 6/1-f).
Hesap güvenliği: 2FA, anomali tespit, brute force koruması (sözleşme + meşru menfaat).
Yasal yükümlülüğün yerine getirilmesi: VERBİS, vergi mevzuatı, mahkeme kararı (KVKK Madde 5/2-ç; GDPR Madde 6/1-c).
Kullanıcı haklarının kullandırılması: bilgi, erişim, silme, taşıma talepleri (KVKK Madde 11; GDPR Madde 15-22).
Hak sahibi yanıtı süreci: hakem/oyuncu kişilik hakları korunması (meşru menfaat + yasal yükümlülük).
Hizmet iyileştirme: anonim analitik, A/B test (açık rıza ile).
Pazarlama iletişimi: e-posta digest, kampanya duyuruları (açık rıza ile + ETK 6).
Premium üyelik tahsilatı: vergi mevzuatına uygun fatura kesimi (sözleşmenin ifası + yasal yükümlülük).
İçerik moderasyonu: hakaret/küfür filtreleme, toplu şikayet incelemesi (sözleşme + meşru menfaat + yasal yükümlülük — DSA).
İstatistik üretimi: hakem performans ve karar analizi (meşru menfaat — GDPR Madde 89 istatistik istisnası).

6. Hukuki Dayanaklar

Veri işlemenin her bir amacının hukuki dayanağı Bölüm 4 ve KVKK Aydınlatma Metni (Belge A1) Madde 4'te detaylı tablo halinde verilmiştir. Özetle:

Sözleşmenin ifası (KVKK 5/2-c, GDPR 6/1-b): kayıt, hizmet sunma, ödeme.
Açık rıza (KVKK 5/1, GDPR 6/1-a): cep telefonu, taraftarlık, pazarlama, analitik.
Meşru menfaat (KVKK 5/2-f, GDPR 6/1-f): güvenlik, manipülasyon önleme, istatistik.
Yasal yükümlülük (KVKK 5/2-ç, GDPR 6/1-c): vergi, VERBİS, mahkeme kararı.

7. Kişisel Verilerin Aktarılması

7.1 Yurt İçi Aktarımlar

7.2 Yurt Dışı Aktarımlar

AB/AEA kullanıcılarının verileri kural olarak AB veri merkezinde (eu-central-1) işlenir.

AB Komisyonu yeterlilik kararı bulunan ülkelere açık rıza ile aktarım (KVKK 9, GDPR 45).
Yeterlilik kararı olmayan ülkelere SCC (Standart Sözleşme Hükümleri) + TIA (Transfer Etki Değerlendirmesi) altında (KVKK 9/2, GDPR 46).
Veri ihracatı her zaman kullanıcıya şeffaf bildirilir; itiraz mekanizması açıktır.

7.3 Alt İşleyiciler (Sub-processors)

MetisRef™, aşağıdaki alt-işleyicilerle (sub-processor) sözleşmeli olarak çalışır. Tüm sözleşmeler KVKK Madde 12 ve GDPR Madde 28 uyumludur.

Alt-işleyici listesi MetisRef.com/alt-isleyiciler adresinde güncel tutulur. Değişiklik halinde 30 gün önceden bildirim yapılır; itiraz hakkınız vardır.

8. Saklama Süreleri

Detay tablo Aydınlatma Metni Madde 7'de. Özetle 4-katmanlı yaşam döngüsü:

Aktif kullanım: tüm veri saklanır.
6 ay hareketsizlik → re-engagement e-postası.
9 ay hareketsizlik → re-consent talebi.
12 ay hareketsizlik (yenileme yok) → soft-delete (pseudonymization).
18 ay hareketsizlik → hard-delete (tüm kişisel veri silinir; sadece anonim agrega kalır).
Audit log: 5 yıl (yasal yükümlülük).
Ödeme verisi: 5 yıl (213 sayılı VUK).

9. Çerezler

Çerezler hakkında detaylı bilgi için Çerez Politikası (Belge A5) belgesine bakınız: MetisRef.com™/cerez-politikasi.

Zorunlu çerezler: oturum, güvenlik (rıza gerekmez).
Performans çerezleri: anonim ürün analitiği (rıza ile).
Fonksiyonel çerezler: tercih hatırlama (rıza ile).
Hedefleme çerezleri (Faz 2+): reklam (rıza ile).

10. İlgili Kişinin Hakları

KVKK Madde 11 ve GDPR Madde 15-22 kapsamında haklarınız (detay Belge A1 Madde 8'de):

Bilgi alma ve erişim hakkı — KVKK 11/a-ç, GDPR 15
Düzeltme hakkı — KVKK 11/d, GDPR 16
Silme hakkı / unutulma hakkı — KVKK 7, GDPR 17
İşlemenin kısıtlanması — GDPR 18
Veri taşınabilirliği — GDPR 20
İtiraz hakkı — KVKK 11/f, GDPR 21
Otomatik karar vermeye karşı koruma — GDPR 22
Açık rızayı geri çekme — KVKK 5/1 son cümle, GDPR 7/3
Şikayet hakkı — KVKK Kurumu / AB üye devlet veri koruma otoritesi

10.1 Başvuru Süreci

Başvurular ücretsizdir. Yanıt süresi yasal olarak 30 gün (KVKK) / 1 ay (GDPR); hedefimiz 7 gün.

Self-service: Profil > Veri Yönetim Paneli
E-posta: legal@MetisRef.com™
Yazılı: Veri Sorumlusu adresine ıslak imzalı dilekçe

11. Veri Güvenliği

KVKK Madde 12 ve GDPR Madde 32 gereği aldığımız tedbirler:

Şifreleme: at-rest AES-256, in-transit TLS 1.3, KMS ile anahtar yönetimi
Şifre hashleme: Argon2id
Erişim kontrolü: RBAC + least-privilege + 2FA (admin için zorunlu)
Ağ güvenliği: Cloudflare WAF, DDoS koruması (L3-L7)
İzleme: SIEM, anlık alarm, audit log
CI/CD güvenliği: SAST (Semgrep), SCA (Snyk), DAST (OWASP ZAP)
Düzenli test: yıllık sızma testi, kuartalda bir tabletop tatbikatı
Yedekleme: ayrı bölge + aylık geri yükleme tatbikatı
İhlal yönetimi: 72 saat içinde KVKK Kurumu'na ve etkilenen kullanıcılara bildirim

12. Çocukların Verileri

MetisRef™ 13 yaş altı kullanıcılara hizmet sunmaz.

Kayıt için 13 yaş zorunluluğu (yaş aralığı beyanı ile).
13-15 yaş için ebeveyn rızası mekanizması.
13-15 yaş için ek moderasyon ve davranış reklamı yasağı.
Yanlışlıkla 13 yaş altı kayıt tespit edilirse hesap derhal silinir; ebeveyn bilgilendirilir.

13. Otomatik Karar Verme ve Profil Oluşturma

MetisRef™, kullanıcılar hakkında insan müdahalesi olmaksızın "otomatik karar" üretmez.

DavranışÇarpanı hesabı algoritmiktir ama insan onayıyla yönetilir; itiraz hakkı vardır.
Sahte hesap / sybil tespiti ML modeli ile yapılır; ban gibi sonuçlar KarAdm Yöneticisi onayı gerektirir.
Premium fiyatlandırma kişiselleştirilmez; herkese aynı.
Otomatik karar vermeye karşı insan müdahalesi talep etme hakkınız vardır (GDPR Madde 22).

14. AB-Dışı Kullanıcılar

AB/AEA dışındaki ülkelerden gelen kullanıcılar için GDPR uygulanmaz; KVKK ve yerel mevzuat geçerlidir. AB'ye taşınma durumunda KVKK + GDPR çift uyumu uygulanır.

15. Politika Değişiklikleri

Bu Politika gerektiğinde güncellenebilir.

Esaslı değişiklikler en az 30 gün önceden e-posta ve uygulama içi bildirim ile duyurulur.
Değişiklik tarihinde rızanızı yeniden vermeniz istenebilir.
Politika değişiklik geçmişi MetisRef.com™/gizlilik-politikasi/gecmis adresinde tutulur.

16. İletişim

Bu Politika ile ilgili her türlü soru, talep ve şikayet için:

E-posta: legal@MetisRef.com™
Posta: [Veri Sorumlusu Adresi]
Şikayet için yetkili otoriteler: Kişisel Verileri Koruma Kurumu (kvkk.gov.tr) veya AB ikamet yeri veri koruma otoritesi.

Yürürlük tarihi: 25 Temmuz 2026

Son güncelleme: 25 Temmuz 2026

Sürüm: v1.0

YASAL UYARI / DISCLAIMER

Bu belge MetisRef.com için hazırlanmıştır.