Cepte Kalan — Gizlilik Politikası
Bu gizlilik politikası, Cepte Kalan mobil uygulamasını (bundan sonra "Uygulama") kullanırken hangi verilerin işlendiğini, nasıl saklandığını ve haklarınızın neler olduğunu açıklar. Uygulamayı kullanarak bu politikayı kabul etmiş sayılırsınız.
1. Hangi verileri topluyoruz?
Cepte Kalan, kişisel finans takibi yapmanızı sağlayan bir uygulamadır. Verileriniz mümkün olduğunca sizin cihazınızda kalır.
a) Cihazınızda saklanan veriler (lokal)
Aşağıdaki veriler yalnızca telefonunuzun depolama alanında tutulur, sunucularımıza gönderilmez:
- Gelir ve gider kayıtlarınız
- Düzenli (otomatik tekrar eden) işlemleriniz
- Yatırım kayıtlarınız (altın, döviz)
- Oluşturduğunuz bütçeler ve birikim hedefleri
- Kredi kartı limit ve borç bilgileri
- Özel kategori isimleri
- Profil adı ve isteğe bağlı profil fotoğrafı
- Uygulama içi bildirim geçmişi
- Yapay zeka finansal asistan konuşma geçmişi
- Banka hesap dökümü ve kredi kartı ekstrelerinden içe aktardığınız işlemler
Hesap dökümü ve ekstre dosyaları yalnızca telefonunuzda okunur; hiçbir sunucuya veya yapay zekâya gönderilmez.
Bu veriler cihazınızı değiştirdiğinizde veya uygulamayı sildiğinizde kaybolur.
b) Hesap verileri (giriş yaparsanız)
Bazı özellikler için (sesli işlem ve yapay zeka asistanı) Google veya Apple ile giriş yapmanızı isteyebiliriz. Giriş yaptığınızda:
- Google ile giriş: Google hesap bilgileriniz (e-posta adresi, ad, profil fotoğrafı bağlantısı, benzersiz kimlik) Firebase Authentication tarafından alınır.
- Apple ile giriş: Apple kimliğiniz (userIdentifier), e-posta adresiniz (gerçek veya Apple'ın "E-postamı Gizle" özelliği aktifse
xyz@privaterelay.appleid.comformatında relay adres) ve ilk girişte tam adınız Firebase Authentication tarafından alınır. Sonraki girişlerde sadece userIdentifier işlenir. - Şifrenizi görmüyoruz veya saklamıyoruz — kimlik doğrulamayı tamamen Google/Apple yönetir.
Giriş yapmadan da uygulamayı kullanabilirsiniz; bu durumda yukarıdaki bilgiler toplanmaz.
c) Sesli işlem özelliği
Sesli işlem özelliğini kullanırsanız:
- Düğmeyi basılı tuttuğunuz sürece sesiniz cihazınızda kaydedilir (en fazla 45 saniye).
- Bu ses kaydı sunucumuz aracılığıyla Google Gemini API'ye gönderilir; söylediğiniz tutar, kategori ve tarih anlamlandırılır ve sonuç cihazınıza döner.
- Ses kaydı sunucularımızda saklanmaz — yalnızca yorumlanmak üzere işlenir. Cihazınızda yalnızca son kayıt, bir sonraki kayıtla değiştirilene kadar uygulamanın geçici klasöründe kalır.
- Bu özellik için giriş yapmanız zorunludur.
d) Çökme raporları (Crashlytics)
Uygulama, kararlılığını artırmak amacıyla Firebase Crashlytics kullanır. Uygulama beklenmedik şekilde kapandığında aşağıdaki anonim teknik veriler otomatik olarak toplanır:
- Çökme anındaki hata yığını (stack trace)
- Cihaz modeli, işletim sistemi sürümü
- Uygulama sürümü
Bu veriler doğrudan kimliğinizi açığa çıkaracak bilgi içermez; ancak teknik amaçlar için Firebase tarafından üretilen pseudonim tanımlayıcılar (Firebase Installation ID) kullanılabilir. Finansal kayıtlarınız, hesap bilgileriniz veya kişisel notlarınız Crashlytics'e gönderilmez. Crashlytics yalnızca yayın (release) sürümünde aktiftir; geliştirme sırasında kapalıdır. Bu özelliği Ayarlar > Güvenlik > "Çökme raporları" anahtarından (Android'de "Veri paylaşımı" altında) istediğiniz zaman kapatabilirsiniz.
e) Diğer otomatik teknik veriler
Cepte Kalan, Crashlytics haricinde kendi başına kullanım takibi (analytics) amaçlı telemetri verisi toplamaz. (İsteğe bağlı ödüllü reklamlar için bkz. Bölüm 3 — Google AdMob; Android'de yalnızca izninizle çalışan reklam ölçümü için bkz. aşağıdaki f maddesi.)
Yalnızca Google ile giriş yaparsanız, kimlik doğrulama sırasında Firebase Authentication güvenlik amaçlı asgari teknik bilgi (yaklaşık IP, cihaz türü) işleyebilir. Bu işleme Google'ın kendi gizlilik politikası kapsamındadır (Bölüm 3'teki bağlantıya bakın).
f) Reklam ölçümü — Meta (yalnızca Android, yalnızca izninizle)
Uygulamamızın reklamlarını Facebook ve Instagram'da yayınlıyoruz. Hangi reklamın işe yaradığını görebilmek için Android'de Meta Platforms'un ölçüm paketini (Meta SDK) kullanıyoruz. Bu paket siz izin vermeden hiçbir şey göndermez: uygulamayı ilk açtığınızda Hoş geldin ekranında "İzin ver ve başlayalım" ya da "İzin vermeden başlayalım" seçeneklerinden birini seçersiniz. İki seçenek de uygulamanın tamamını açar; izin vermemek hiçbir özelliği kısıtlamaz. Uygulamayı bu özellik eklenmeden önce kurduysanız soru size gösterilmez ve hiçbir şey gönderilmez; dilerseniz aşağıdaki anahtardan açabilirsiniz.
İzin verirseniz Meta'ya şunlar gönderilir:
- Uygulamanın kurulduğu ve açıldığı bilgisi,
- Premium satın aldıysanız: paket (aylık/yıllık), fiyatı ve para birimi,
- Cihazınızın reklam kimliği ile cihaz modeli, işletim sistemi sürümü, dil ve IP adresi gibi teknik bilgiler.
Meta bu bilgileri, reklamı gördüğünüz Facebook/Instagram hesabıyla eşleştirerek hangi reklamın kurulum ve satın almaya yol açtığını ölçer ve reklamlarımızı benzer kişilere göstermek için kullanabilir. Bu işleme ayrıca Meta'nın kendi gizlilik ilkesine tabidir (Bölüm 3'teki bağlantı).
Asla gönderilmeyenler: işlemleriniz, bakiyeleriniz, bütçeleriniz, hesap dökümleriniz ve diğer tüm finansal kayıtlarınız; adınız, e-posta adresiniz.
İzninizi dilediğiniz zaman Ayarlar > Güvenlik > Veri paylaşımı > "Reklam ölçümü (Meta)" anahtarından geri çekebilirsiniz; o andan itibaren hiçbir bilgi gönderilmez. Meta'ya daha önce gitmiş bilgileri Facebook/Instagram hesabınızdaki "Meta teknolojileri dışındaki etkinlikleriniz" ayarından görebilir ve silebilirsiniz. Reklam kimliğinizi cihaz ayarlarınızdan da sıfırlayabilir veya silebilirsiniz.
iPhone'da Meta paketi bulunmaz. Reklamdan gelen kurulumlar Apple'ın SKAdNetwork sistemiyle, cihazınızdan kişisel veri çıkmadan, toplu ve gecikmeli olarak sayılır. AB ve Birleşik Krallık'ta izin sorusu gösterilmez ve Meta paketi başlatılmaz.
2. İzinler
Uygulama aşağıdaki izinleri isteyebilir. Hepsi isteğe bağlıdır; reddederseniz ilgili özellik çalışmaz, ancak uygulamanın geri kalanı kullanılabilir.
| İzin | Ne için kullanılır |
|---|---|
| Bildirim | Bütçe ve birikim hedefi uyarıları için (pazarlama bildirimi gönderilmez) |
| Mikrofon | Sesli işlem ekleme ve yapay zeka asistanına sesli mesaj için |
| İnternet | Piyasa kurları ve isteğe bağlı giriş için |
| Depolama | Profil fotoğrafı seçimi için |
| Kamera | Fotoğraf çekip işleme veya profile eklemek için (fotoğraflar cihazınızda saklanır) |
3. Üçüncü taraf servisleri
Aşağıdaki servisleri kullanıyoruz. Her servisin gizlilik politikasına bağlantılar verilmiştir:
- Firebase Authentication — Google ile giriş için
Politika: https://firebase.google.com/support/privacy - Firebase Cloud Functions — Sesli işlem ve yapay zeka asistanı isteklerini Gemini'ye iletmek için
Politika: https://firebase.google.com/support/privacy - Firebase Cloud Firestore — Güncel altın ve döviz kurlarını saklamak için; giriş yaptıysanız, kötüye kullanımı önlemek amacıyla hesap kimliğinize bağlı günlük kullanım sayısı (yapay zeka asistanı ve sesli işlem) da burada tutulur. Finansal verileriniz Firestore'da tutulmaz.
Politika: https://firebase.google.com/support/privacy - Google Gemini API — Sesli işlem kaydını ve yapay zeka asistanı isteklerini yorumlamak için (yalnızca sunucu üzerinden çağrılır)
Politika: https://ai.google.dev/gemini-api/terms - Google Sign-In — Hesap doğrulaması için
Politika: https://policies.google.com/privacy - Sign in with Apple — iOS'ta hesap doğrulaması için (Apple App Store gereği)
Politika: https://www.apple.com/legal/privacy/ - Google AdMob — İsteğe bağlı ödüllü reklamları göstermek için. Reklamlar kişiselleştirilmemiştir (davranışsal hedefleme yok); AdMob, reklam sunmak ve sahteciliği önlemek için cihazınızın reklam kimliğini işleyebilir. Reklam kimliğinizi cihaz ayarlarınızdan sıfırlayabilir veya sınırlayabilirsiniz. AB/İngiltere'deki kullanıcılara, reklamlar gösterilmeden önce bir rıza (onay) ekranı sunulur.
Politika: https://policies.google.com/technologies/ads - RevenueCat — Premium abonelik durumunu yönetmek için (satın alma durumu ve bir uygulama kullanıcı kimliği — giriş yapmadıysanız anonim, giriş yaptıysanız hesap kimliğiniz). Kart/ödeme bilgileriniz Apple/Google tarafından yönetilir; RevenueCat'e veya bize gönderilmez.
Politika: https://www.revenuecat.com/privacy - Firebase Crashlytics — Çökme raporları için (anonim teknik veriler; kişisel veri içermez)
Politika: https://firebase.google.com/support/privacy - Meta (Facebook) SDK — Yalnızca Android'de ve yalnızca izin verirseniz; Facebook/Instagram'daki reklamlarımızın ölçümü için (bkz. Bölüm 1-f)
Politika: https://www.facebook.com/privacy/policy/
Ayrıca güncel piyasa verisi için üçüncü taraf bir finansal veri sağlayıcısı kullanırız. Bu servise hiçbir kullanıcı bilgisi gönderilmez; yalnızca sunucumuz üzerinden kur verileri çekilir.
Kullanıcı davranışı analitiği (Google Analytics, Firebase Analytics, Mixpanel vb.) kullanmıyoruz. Reklam göstermek için yalnızca Google AdMob kullanılır ve gösterilen reklamlar kişiselleştirilmemiştir. Kendi reklamlarımızın ölçümü için yalnızca Android'de ve yalnızca izninizle Meta SDK çalışır (bkz. Bölüm 1-f).
4. Yapay Zeka Finansal Asistan
Uygulama, finansal verilerinizi analiz ederek genel bilgilendirme sunan isteğe bağlı bir Yapay Zeka Finansal Asistan özelliği içerir. Bu özellik Google Gemini API kullanır ve yalnızca siz aktif olarak kullandığınızda çalışır; arka planda veri toplamaz veya göndermez.
a) Kullanım koşulları
- Bu özelliği kullanabilmek için Firebase Authentication ile giriş yapmanız (Google veya Apple hesabı) zorunludur.
- Özelliği ilk kez kullandığınızda, hangi verilerin paylaşılacağını ve sınırlamaları açıklayan 3 maddelik bir onay diyaloğu sunulur. Onay vermeden özellik kullanılamaz.
- Asistan yatırım, vergi veya hukuki tavsiye vermez — yalnızca genel finansal bilgilendirme sağlar.
b) Gemini API'ye gönderilen veriler (beyaz liste)
Asistan aşağıdaki verileri yalnızca analiz amacıyla Google Gemini API'ye gönderir:
- İşlem verileri: tutar, kategori, ödeme aracı (nakit/kredi kartı), işlem türü (kişisel/iş), tarih
- Yatırım verileri: varlık türü, miktar, alış fiyatı, tarih
- Hesap özetleri: vadesiz bakiye, kredi kartı borcu, kredi kartı limiti
- Önceden hesaplanmış özetler: aylık gelir/gider ortalamaları, kategori bazlı dağılımlar
- Sesli mesaj gönderirseniz: o mesajın ses kaydı (yalnızca yorumlanmak üzere)
c) Kesinlikle gönderilmeyen veriler (kara liste)
Aşağıdaki veriler hiçbir koşulda Gemini API'ye gönderilmez:
- İşlem açıklamaları ve notlar (kişisel bilgi içerebilir)
- Fotoğraflar, dosyalar, ekler
- Banka hesap numaraları, IBAN
- E-posta adresleri, telefon numaraları, kullanıcı adları
- Kişisel olarak tanımlanabilir hiçbir bilgi (PII)
d) Veri saklama ve gizlilik
- Asistan ile yaptığınız konuşmalar (sesli mesajlar dahil) yalnızca cihazınızda saklanır; sunucularımızda tutulmaz.
- Google Gemini API Hizmet Koşulları gereği, gönderilen veriler model eğitimi için kullanılmaz.
- Veriler yalnızca siz asistanı aktif olarak kullandığınızda gönderilir — pasif veya otomatik veri toplama yapılmaz.
5. Verilerinizi kimseyle paylaşmıyoruz
Uygulamada işlediğiniz finansal verileri (işlemleriniz, bütçeleriniz, hedefleriniz) hiçbir üçüncü tarafa satmıyoruz, kiralamıyoruz veya paylaşmıyoruz. Bu veriler sizinle ve cihazınızla sınırlı kalır. (Android'de izin verirseniz Meta'ya giden reklam ölçümü bilgileri finansal veri içermez — bkz. Bölüm 1-f.)
Tek istisna: yasal bir yükümlülük doğarsa (mahkeme kararı, yasal soruşturma) ilgili otoritelere yasanın gerektirdiği kadar bilgi sunulabilir.
6. Veri saklama süresi
- Cihazınızdaki veriler: Siz silene kadar veya uygulamayı kaldırana kadar.
- Google hesap bilgileriniz: Hesabınızı silene kadar (aşağıya bakın).
- Sesli işlem ses kaydı: Sunucularımızda saklanmaz; cihazınızda yalnızca son kayıt, bir sonraki kayıtla değiştirilene kadar geçici klasörde kalır.
- Günlük kullanım sayısı (giriş yaptıysanız): Kötüye kullanımı önlemek amacıyla sunucuda hesap kimliğinizle tutulur; silinmesini talep edebilirsiniz (Bölüm 7).
- Yapay zeka asistan konuşmaları: Yalnızca cihazınızda saklanır; siz silene kadar veya uygulamayı kaldırana kadar.
- Abonelik durumu: Premium aboneliğiniz aktif olduğu sürece RevenueCat tarafından (satın alma durumu + uygulama kullanıcı kimliği) saklanır.
- Reklam ölçümü (Meta, yalnız Android ve izinle): Meta'ya gönderilen bilgiler Meta'nın kendi saklama sürelerine tabidir (Meta Gizlilik İlkesi).
7. Haklarınız ve veri silme
Verilerinizi silmek için iki yolunuz var:
a) Yerel verileri silme
Ayarlar sayfasındaki "Tüm Kayıtları Sıfırla" butonu ile cihazınızdaki tüm uygulama verisini kalıcı olarak silebilirsiniz. (Giriş yapmadıysanız bu seçenek görünür.)
b) Hesabınızı silme
Giriş yaptıysanız, ayarlar sayfasındaki "Hesabı Sil" butonu ile:
- Firebase'deki kullanıcı kaydınız kalıcı olarak silinir,
- Cihazınızdaki tüm verileriniz silinir,
- İşlem geri alınamaz.
Tekrar giriş yapmaya karar verirseniz uygulama sizi yeni bir kullanıcı olarak karşılar.
Diğer haklarınız (KVKK ve GDPR kapsamında)
- Erişim hakkı: Sizinle ilgili işlediğimiz verileri görme.
- Bilgi alma hakkı: Verilerinizin nasıl ve neden işlendiğini öğrenme.
- Düzeltme hakkı: Yanlış olan bilgilerinizi güncelletme.
- Silme hakkı (Unutulma hakkı): Verilerinizin kalıcı olarak silinmesini talep etme.
- İşlemeyi kısıtlama hakkı: Belirli durumlarda verilerinizin nasıl kullanıldığını sınırlandırma.
- Veri taşınabilirliği hakkı: Verilerinizi yapılandırılmış, makineyle okunabilir bir formatta (örn. JSON) talep etme.
- İtiraz hakkı: Belirli işleme türlerine itiraz etme.
- Onayı geri çekme hakkı: Daha önce verdiğiniz onayı dilediğiniz zaman geri çekme.
- Veri Koruma Otoritesi'ne şikayet hakkı: Verilerinizin işlenme şekline itirazınız varsa ülkenizdeki yetkili otoriteye (Türkiye'de KVKK Kurumu, AB ülkelerinde ilgili veri koruma otoritesi) şikayet hakkınız bulunmaktadır.
Bu haklarınızı kullanmak için aşağıdaki iletişim adresinden bize ulaşabilirsiniz. Talebinizi aldıktan sonra en geç 30 gün içinde yanıt veririz. GDPR Madde 12(3) gereği, karmaşık veya çok sayıda talep durumunda bu süre 60 gün daha uzatılabilir (toplamda 90 güne kadar); bu durumda size önceden bildirilir.
GDPR yasal dayanağı
Verilerinizi GDPR Madde 6 kapsamında aşağıdaki yasal dayanaklarla işleriz:
- Onay (Consent): Sesli işlem özelliği gibi isteğe bağlı işlemler — kullanmaya başlamanız onay sayılır, dilediğiniz zaman geri çekebilirsiniz.
- Sözleşmenin yerine getirilmesi (Performance of contract): Hesap oluşturduğunuzda ve hizmeti kullanırken — uygulamanın işlemesi için zorunlu işleme.
- Yasal yükümlülük (Legal obligation): Yasanın gerektirdiği durumlar (mahkeme kararı vb.).
- Meşru menfaat (Legitimate interest): Hizmet güvenliği, hata düzeltme ve uygulamanın kötüye kullanımının önlenmesi gibi temel teknik amaçlar.
8. Çocukların gizliliği
Cepte Kalan 13 yaşın altındaki çocuklar için tasarlanmamıştır ve bilerek bu yaş altındaki kullanıcılardan veri toplamayız. Avrupa Birliği üye devletlerinde GDPR Madde 8 kapsamında bu yaş sınırı 16'ya kadar çıkabilir; bulunduğunuz ülkenin yerel mevzuatı geçerlidir.
Bu yaşın altında bir kullanıcının veri girdiğini fark edersek ilgili hesabı ve verileri derhal sileriz.
Bir ebeveyn veya yasal vasi olarak çocuğunuzun uygulamayı kullandığını fark ederseniz, lütfen aşağıdaki iletişim adresinden bize hemen ulaşın — verilerin silinmesi için gereken işlemleri en kısa sürede yaparız.
9. Veri güvenliği
- Cihazınızdaki veriler işletim sisteminin standart koruma mekanizmaları altındadır.
- Sunucularımıza giden tüm veri şifreli (HTTPS/TLS) olarak iletilir.
- Firebase güvenlik kuralları, kimlik doğrulama yapılmadan kişisel verilere erişimi engeller.
Hiçbir sistem %100 güvenli değildir. Olağandışı bir veri olayı durumunda GDPR Madde 33 gereği ilgili denetim otoritesine 72 saat içinde, etkilenen kullanıcılara ise gecikmeksizin bildirim yapılır.
10. Uluslararası veri transferleri
Kullandığımız Google servisleri (Firebase Authentication, Cloud Functions, Firestore, Gemini API, AdMob), abonelik yönetimi için kullanılan RevenueCat (ABD merkezli) ve Android'de yalnızca izninizle çalışan Meta Platforms (ABD merkezli), verilerinizi Avrupa Birliği veya Amerika Birleşik Devletleri'ndeki sunucularda işleyebilir.
- AB / Birleşik Krallık kullanıcıları için: Bu transferler Avrupa Komisyonu tarafından onaylanmış Standart Sözleşme Maddeleri (Standard Contractual Clauses — SCCs) çerçevesinde yapılır. Google, GDPR'ye uygunluk taahhütlerini kendi Veri İşleme Sözleşmesi'nde açıklar.
- Türkiye kullanıcıları için: KVKK Madde 9 kapsamında yurt dışına veri aktarımı için açık rızanız alınır. Giriş yapmanız veya yapay zeka asistanı onay diyaloğunu kabul etmeniz, ilgili veri aktarımı için açık rıza niteliğindedir. Android'de Hoş geldin ekranındaki "İzin ver ve başlayalım" seçeneği (ya da Ayarlar'daki "Reklam ölçümü (Meta)" anahtarını açmanız), Meta'ya yapılan reklam ölçümü aktarımı için açık rıza niteliğindedir. Rızanızı dilediğiniz zaman geri çekebilirsiniz (hesabınızı silerek, ilgili özelliği kullanmayı bırakarak veya ilgili anahtarı kapatarak).
Verilerinizi "veri brokerlarına" ve pazarlama firmalarına satmıyoruz. Reklam gösterimi için yalnızca kişiselleştirilmemiş Google AdMob reklamları kullanılır. Android'de izin verirseniz kurulum, açılış ve premium satın alma bilgisi, reklamlarımızın ölçümü için Meta ile paylaşılır (bkz. Bölüm 1-f).
11. CCPA — California sakinleri için ek haklar
California Consumer Privacy Act (CCPA) ve California Privacy Rights Act (CPRA) kapsamında, California eyaleti sakinlerinin aşağıdaki ek hakları vardır:
- Bilgilendirilme hakkı (Right to Notice): Hangi kişisel veri kategorilerinin toplandığı ve hangi amaçlarla kullanıldığı hakkında bilgi alma.
- Erişim ve bilgi alma hakkı (Right to Know): Son 12 ay içinde toplanan kişisel veriler, veri kaynakları, toplama amacı ve veri paylaşılan üçüncü taraflar hakkında bilgi talep etme.
- Silme hakkı (Right to Delete): Son 12 ay içinde toplanan kişisel verilerinizin silinmesini talep etme.
- Düzeltme hakkı (Right to Correct): Hatalı kişisel verilerinizin düzeltilmesini talep etme.
- Kişisel verilerin satışına ve paylaşılmasına itiraz hakkı (Right to Opt-Out of Sale/Sharing): Verilerinizin üçüncü taraflara satılmasına veya davranışsal reklamcılık amacıyla paylaşılmasına itiraz etme. Önemli: Kişisel verilerinizi satmıyoruz. Android'de izin verirseniz Meta'ya giden reklam ölçümü bilgileri (Bölüm 1-f) CPRA anlamında "paylaşım" sayılabilir; bu paylaşım yalnızca izninizle başlar ve Ayarlar > Güvenlik > "Reklam ölçümü (Meta)" anahtarıyla dilediğiniz zaman durdurulabilir. Reklam kimliğinizi cihaz ayarlarınızdan sıfırlayabilir veya sınırlayabilirsiniz.
- Hassas kişisel verilerin kullanımını sınırlama hakkı (Right to Limit Use of SPI): CPRA kapsamında finansal hesap bilgileri hassas kişisel veri sayılır. Cepte Kalan bu verileri yalnızca hizmet sunmak amacıyla kullanır ve üçüncü taraflarla paylaşmaz.
- Ayrımcılığa uğramama hakkı (Right to Non-Discrimination): CCPA/CPRA haklarınızı kullandığınız için size ayrımcılık yapılmaz; hizmet sunumumuz, fiyatlandırmamız veya kalitesinde bir değişiklik olmaz.
CCPA haklarınızı kullanmak için aşağıdaki iletişim adresinden bize ulaşabilirsiniz. Kimliğinizi doğruladıktan sonra 45 gün içinde ücretsiz olarak yanıt verilir; gerekli olduğunda bu süre 45 gün daha uzatılabilir (size önceden bildirilir).
12. Politika değişiklikleri
Bu politikada değişiklik yapabiliriz. Önemli değişikliklerde:
- Bu sayfanın "Son güncelleme" tarihini güncelleriz.
- Önemli değişikliklerde uygulama içinde veya e-posta ile bildirim gönderebiliriz.
Politikayı kontrol etmek sizin sorumluluğunuzdadır. Değişikliklerden sonra uygulamayı kullanmaya devam etmeniz, güncellenmiş politikayı kabul ettiğiniz anlamına gelir.
13. İletişim
Bu politika veya verileriniz hakkında sorularınız için:
E-posta: pocketleft.support@gmail.com
Talebinizi aldığımızda en geç 30 gün içinde size geri dönüş yaparız.
Kısa Özet (TL;DR)
✅ Topladıklarımız: Cihazınızdaki finansal kayıtlar (lokal kalır), giriş yaparsanız Google hesap bilgileri (e-posta, ad, fotoğraf bağlantısı).
✅ Kullanım amacı: Kişisel finans takibi, isteğe bağlı sesli işlem, yapay zeka finansal asistan, hesap doğrulama.
✅ Paylaştıklarımız: Google servisleri (Firebase, Gemini) ile yalnızca teknik gereklilik için. Yapay zeka asistanı yalnızca anonim finansal özetler gönderir; açıklamalar, IBAN, isim gibi kişisel bilgiler kesinlikle gönderilmez. Android'de yalnızca izin verirseniz, reklamlarımızın ölçümü için Meta'ya kurulum, açılış ve premium satın alma bilgisi gider.
❌ Paylaşmadıklarımız: Veri brokerları, pazarlama firmaları, sosyal medya — finansal verilerinizi hiçbiriyle paylaşmıyoruz.
📺 Reklamlar: İsteğe bağlı, kişiselleştirilmemiş ödüllü reklam (Google AdMob) — zorunlu reklam yok.
❌ Yapmadıklarımız: Kullanım analitiği SDK'sı kullanmıyoruz. Crashlytics ile yalnızca anonim çökme raporları toplanır (kişisel veri içermez). Meta reklam ölçümü yalnızca Android'de ve yalnızca izninizle çalışır; iPhone'da Meta paketi yoktur.
🔒 Güvenlik: HTTPS/TLS şifreleme, Firebase güvenlik kuralları, şifrenizi görmüyoruz.
🗑️ Silme: Ayarlar sayfasından "Tüm Kayıtları Sıfırla" veya giriş yapmışsanız "Hesabı Sil" ile her şeyi kalıcı olarak silebilirsiniz.
📧 İletişim: pocketleft.support@gmail.com
PocketLeft — Privacy Policy
This privacy policy explains what data is processed when you use the PocketLeft mobile application (hereinafter the "App"), how it is stored, and what your rights are. By using the App, you are deemed to have accepted this policy.
1. What information do we collect?
PocketLeft is an app that helps you track your personal finances. As much as possible, your data stays on your device.
a) Data stored locally on your device
The following data is kept only in your phone's local storage and is not sent to our servers:
- Your income and expense records
- Your recurring (auto-repeating) transactions
- Your investment records (gold, foreign currency)
- The budgets and savings goals you create
- Credit card limit and balance information
- Custom category names
- Your profile name and optional profile photo
- In-app notification history
- AI financial assistant conversation history
- Transactions you import from bank statements and credit card statements
Bank statement files are read only on your phone; they are never sent to any server or AI.
This data is lost when you change devices or uninstall the app.
b) Account data (if you sign in)
For some features (voice transactions and the AI assistant), we may ask you to sign in with Google or Apple. When you sign in:
- Sign in with Google: your Google account information (email address, name, profile photo URL, unique identifier) is collected by Firebase Authentication.
- Sign in with Apple: your Apple ID (userIdentifier), your email address (real, or a relay address in the
xyz@privaterelay.appleid.comformat if Apple's "Hide My Email" is on) and, on the first sign-in only, your full name are collected by Firebase Authentication. On later sign-ins only the userIdentifier is processed. - We do not see or store your password — authentication is handled entirely by Google/Apple.
You can use the App without signing in; in that case, the above information is not collected.
c) Voice transaction feature
If you use the voice transaction feature:
- While you hold the button, your voice is recorded on your device (up to 45 seconds).
- This audio recording is sent through our server to the Google Gemini API; the amount, category and date you said are interpreted and the result is returned to your device.
- The recording is not stored on our servers — it is processed for interpretation only. On your device, only the latest recording stays in the app's temporary folder until it is replaced by the next one.
- You must be signed in to use this feature.
d) Crash reports (Crashlytics)
The App uses Firebase Crashlytics to improve stability. When the app closes unexpectedly, the following anonymous technical data is automatically collected:
- Stack trace at the time of the crash
- Device model, operating system version
- App version
This data does not directly reveal your identity; however, pseudonymous identifiers generated by Firebase (Firebase Installation ID) may be used for technical purposes. Your financial records, account details, or personal notes are not sent to Crashlytics. Crashlytics is active only in release builds; it is disabled during development. You can disable this feature at any time with the Settings > Security > "Crash reports" switch (on Android, under "Data sharing").
e) Other automatic technical data
Apart from Crashlytics, PocketLeft does not collect usage analytics telemetry data on its own. (For optional rewarded ads, see Section 3 — Google AdMob; for ad measurement, which runs on Android only with your permission, see item f below.)
If you sign in with Google, Firebase Authentication may process minimal technical information (approximate IP, device type) for security purposes during authentication. This processing is governed by Google's own privacy policy (see the link in Section 3).
f) Ad measurement — Meta (Android only, only with your permission)
We advertise the App on Facebook and Instagram. To see which ads work, we use Meta Platforms' measurement kit (Meta SDK) on Android. This kit sends nothing unless you allow it: when you first open the App, the Welcome screen offers "Allow and get started" or "Get started without allowing". Both options open the full App; declining does not restrict any feature. If you installed the App before this feature was added, you are not asked and nothing is sent; you can turn it on with the switch below if you wish.
If you allow it, the following is sent to Meta:
- That the App was installed and opened,
- If you buy Premium: the plan (monthly/yearly), its price and currency,
- Your device's advertising ID and technical details such as device model, operating system version, language and IP address.
Meta matches this information with the Facebook/Instagram account on which you saw the ad, to measure which ads led to installs and purchases, and may use it to show our ads to similar people. This processing is also subject to Meta's own privacy policy (link in Section 3).
Never sent: your transactions, balances, budgets, bank statements or any other financial records; your name or email address.
You can withdraw your permission at any time with the Settings > Security > Data sharing > "Ad measurement (Meta)" switch; from then on nothing is sent. You can view and clear information already sent to Meta with the "Your activity off Meta technologies" setting in your Facebook/Instagram account. You can also reset or delete your advertising ID in your device settings.
On iPhone there is no Meta kit. Installs coming from our ads are counted by Apple's SKAdNetwork, in aggregate and with a delay, without any personal data leaving your device. In the EU and the UK the permission question is not shown and the Meta kit is not started.
2. Permissions
The App may request the following permissions. All are optional; if you decline, the related feature will not work, but the rest of the App remains usable.
| Permission | Used for |
|---|---|
| Notifications | Budget and savings goal alerts (no marketing notifications) |
| Microphone | Voice transaction entry and voice messages to the AI assistant |
| Internet | Market rates and optional sign-in |
| Storage | Profile photo selection |
| Camera | To take a photo to attach to a transaction or profile (photos are stored on your device) |
3. Third-party services
We use the following services. Each service's privacy policy is linked:
- Firebase Authentication — for Google Sign-In
Policy: https://firebase.google.com/support/privacy - Firebase Cloud Functions — to forward voice transaction and AI assistant requests to Gemini
Policy: https://firebase.google.com/support/privacy - Firebase Cloud Firestore — to store current gold and foreign currency rates; if you sign in, a daily usage count (AI assistant and voice transactions) linked to your account ID is also kept here to prevent misuse. Your financial data is not stored in Firestore.
Policy: https://firebase.google.com/support/privacy - Google Gemini API — to interpret voice transaction recordings and AI assistant requests (called only via our server)
Policy: https://ai.google.dev/gemini-api/terms - Google Sign-In — for account authentication
Policy: https://policies.google.com/privacy - Google AdMob — to show optional rewarded ads. Ads are non-personalized (no behavioral targeting); AdMob may process your device's advertising ID to serve ads and prevent fraud. You can reset or limit your advertising ID in your device settings. Users in the EU/UK are shown a consent screen before ads are displayed.
Policy: https://policies.google.com/technologies/ads - RevenueCat — to manage premium subscription status (purchase status and an app user ID — anonymous if you have not signed in, your account ID if you have). Your card/payment details are handled by Apple/Google; they are not sent to RevenueCat or to us.
Policy: https://www.revenuecat.com/privacy - Firebase Crashlytics — for crash reports (anonymous technical data; does not contain personal information)
Policy: https://firebase.google.com/support/privacy - Meta (Facebook) SDK — on Android only and only if you allow it; to measure our ads on Facebook/Instagram (see Section 1-f)
Policy: https://www.facebook.com/privacy/policy/
We also use a third-party financial data provider for current market data. No user information is sent to this service; only currency rates are fetched through our server.
We do not use user behavior analytics (Google Analytics, Firebase Analytics, Mixpanel, etc.). For showing ads we use only Google AdMob, and the ads shown are non-personalized. To measure our own ads, the Meta SDK runs on Android only and only with your permission (see Section 1-f).
4. AI Financial Assistant
The App includes an optional AI Financial Assistant feature that analyzes your financial data to provide general informational insights. This feature uses the Google Gemini API and only operates when you actively use it; it does not collect or send data in the background.
a) Usage requirements
- You must be signed in via Firebase Authentication (Google or Apple account) to use this feature.
- When you use the feature for the first time, a 3-point consent dialog is presented explaining what data will be shared and the limitations. The feature cannot be used without giving consent.
- The assistant does not provide investment, tax, or legal advice — it only offers general financial information.
b) Data sent to Gemini API (whitelist)
The assistant sends the following data to the Google Gemini API solely for analysis purposes:
- Transaction data: amount, category, payment method (cash/credit card), expense type (personal/business), date
- Investment data: asset type, quantity, purchase price, date
- Account summaries: checking balance, credit card debt, credit card limit
- Pre-calculated summaries: monthly income/expense averages, category breakdowns
- If you send a voice message: the audio of that message (for interpretation only)
c) Data never sent (blacklist)
The following data is never sent to the Gemini API:
- Transaction descriptions and notes (may contain personal information)
- Photos, files, attachments
- Bank account numbers, IBAN
- Email addresses, phone numbers, user names
- Any personally identifiable information (PII)
d) Data storage and privacy
- Conversations with the assistant (including voice messages) are stored only on your device; they are not stored on our servers.
- Under the Google Gemini API Terms of Service, the data sent is not used for model training.
- Data is sent only when you actively use the assistant — there is no passive or automatic data collection.
5. We do not share your data with anyone
We do not sell, rent, or share the financial data you process in the App (your transactions, budgets, goals) with any third party. This data remains with you and on your device. (If you allow it on Android, the ad measurement information sent to Meta contains no financial data — see Section 1-f.)
The only exception: if a legal obligation arises (court order, legal investigation), we may provide the relevant authorities with the information required by law.
6. Data retention
- Data on your device: Until you delete it or uninstall the app.
- Your Google account information: Until you delete your account (see below).
- Voice transaction recording: Not stored on our servers; on your device only the latest recording stays in the temporary folder until replaced by the next one.
- Daily usage count (if signed in): Kept on the server with your account ID to prevent misuse; you can request its deletion (Section 7).
- AI assistant conversations: Stored only on your device; until you delete them or uninstall the app.
- Subscription status: Retained by RevenueCat (purchase status + an app user ID) for as long as your premium subscription is active.
- Ad measurement (Meta, Android only, with permission): Information sent to Meta is subject to Meta's own retention periods (Meta Privacy Policy).
7. Your rights and data deletion
You have two ways to delete your data:
a) Delete local data
The "Reset All Records" button in the Settings page permanently deletes all app data on your device. (This option is shown if you have not signed in.)
b) Delete your account
If you have signed in, the "Delete Account" button in the Settings page:
- Permanently deletes your user record from Firebase,
- Deletes all data on your device,
- Cannot be undone.
If you decide to sign in again, the App will treat you as a new user.
Other rights (under KVKK and GDPR)
- Right to access: See the data we process about you.
- Right to information: Learn how and why your data is processed.
- Right to rectification: Correct any inaccurate information about you.
- Right to erasure (Right to be Forgotten): Request the permanent deletion of your data.
- Right to restriction: Limit how your data is used in certain situations.
- Right to data portability: Request your data in a structured, machine-readable format (e.g., JSON).
- Right to object: Object to certain types of processing.
- Right to withdraw consent: Withdraw consent you previously gave at any time.
- Right to lodge a complaint with a Data Protection Authority: If you object to how your data is processed, you have the right to file a complaint with the relevant authority in your country (the Personal Data Protection Authority in Turkey, or the relevant data protection authority in EU countries).
To exercise these rights, you can reach us at the contact address below. We will respond to your request within 30 days at the latest. Under GDPR Article 12(3), this period may be extended by 60 additional days for complex or multiple requests (up to 90 days total); you will be notified in advance.
GDPR legal basis
We process your data under GDPR Article 6 on the following legal bases:
- Consent: Optional features such as the voice transaction feature — using them is considered consent, which you may withdraw at any time.
- Performance of a contract: When you create an account and use the service — necessary processing for the App to function.
- Legal obligation: Situations required by law (court orders, etc.).
- Legitimate interest: Basic technical purposes such as service security, error correction, and prevention of misuse of the App.
8. Children's privacy
PocketLeft is not designed for children under the age of 13, and we knowingly do not collect data from users under this age. In EU member states, this age limit may be up to 16 under GDPR Article 8; your local jurisdiction's legislation applies.
If we discover that a user under this age has entered data, we will promptly delete the relevant account and data.
If you are a parent or legal guardian and become aware that your child is using the App, please contact us immediately at the address below — we will take the necessary steps to delete the data as soon as possible.
9. Data security
- Data on your device is protected by your operating system's standard security mechanisms.
- All data sent to our servers is transmitted in encrypted form (HTTPS/TLS).
- Firebase security rules prevent access to personal data without authentication.
No system is 100% secure. In the event of an unusual data incident, the relevant supervisory authority will be notified within 72 hours as required by GDPR Article 33, and affected users will be notified without undue delay.
10. International data transfers
The Google services we use (Firebase Authentication, Cloud Functions, Firestore, Gemini API, AdMob), RevenueCat (US-based), used for subscription management, and Meta Platforms (US-based), which runs on Android only with your permission, may process your data on servers located in the European Union or the United States.
- For EU / UK users: These transfers are performed under the Standard Contractual Clauses (SCCs) approved by the European Commission. Google describes its GDPR compliance commitments in its own Data Processing Agreement.
- For Turkish users: Under KVKK Article 9, your explicit consent is obtained for cross-border data transfers. Signing in or accepting the AI assistant consent dialog constitutes explicit consent for the respective data transfer. On Android, choosing "Allow and get started" on the Welcome screen (or turning on the "Ad measurement (Meta)" switch in Settings) constitutes explicit consent for the ad measurement transfer to Meta. You may withdraw your consent at any time (by deleting your account, ceasing to use the relevant feature, or turning off the relevant switch).
We do not sell your data to "data brokers" or marketing firms. For showing ads we use only non-personalized Google AdMob ads. If you allow it on Android, install, open and Premium purchase information is shared with Meta to measure our ads (see Section 1-f).
11. CCPA — Additional rights for California residents
Under the California Consumer Privacy Act (CCPA) and the California Privacy Rights Act (CPRA), residents of the state of California have the following additional rights:
- Right to Notice: To be informed about which categories of personal data are being collected and the purposes for which they are used.
- Right to Know: To request information about personal data collected in the past 12 months, the sources of the data, the purposes of collection, and the third parties with whom data is shared.
- Right to Delete: To request the deletion of personal data collected in the past 12 months.
- Right to Correct: To request correction of inaccurate personal data.
- Right to Opt-Out of Sale/Sharing: To object to the sale of your personal data to third parties or the sharing of your data for behavioral advertising purposes. Important: We do not sell your personal data. If you allow it on Android, the ad measurement information sent to Meta (Section 1-f) may count as "sharing" under the CPRA; this sharing starts only with your permission and can be stopped at any time with the Settings > Security > "Ad measurement (Meta)" switch. You can reset or limit your advertising ID in your device settings.
- Right to Limit Use of Sensitive Personal Information (SPI): Under CPRA, financial account information is considered sensitive personal information. PocketLeft uses this data only to provide the service and does not share it with third parties.
- Right to Non-Discrimination: You will not be discriminated against for exercising your CCPA/CPRA rights; there will be no change in our service offering, pricing, or quality.
To exercise your CCPA rights, you can contact us at the address below. After verifying your identity, you will receive a free response within 45 days; if reasonably necessary, this period may be extended by another 45 days (with prior notice).
12. Changes to this policy
We may modify this policy from time to time. For significant changes:
- We will update the "Last updated" date on this page.
- For significant changes, we may send notifications in the App or by email.
It is your responsibility to review the policy. Continued use of the App after changes means you accept the updated policy.
13. Contact
For any questions about this policy or your data:
Email: pocketleft.support@gmail.com
We will respond to your request within 30 days at the latest.
Quick Summary (TL;DR)
✅ What we collect: Financial records on your device (kept local), and Google account information if you sign in (email, name, photo URL).
✅ Purpose of use: Personal finance tracking, optional voice transactions, AI financial assistant, account authentication.
✅ What we share: With Google services (Firebase, Gemini) only for technical necessity. The AI assistant sends only anonymized financial summaries; personal details such as descriptions, IBAN, and names are never sent. On Android, only if you allow it, install, open and Premium purchase information goes to Meta to measure our ads.
❌ What we do not share: Data brokers, marketing companies, social media — we share your financial data with no one.
📺 Ads: Optional, non-personalized rewarded ads (Google AdMob) — no forced ads.
❌ What we do not do: No usage analytics SDKs. Only anonymous crash reports are collected via Crashlytics (no personal data). Meta ad measurement runs on Android only and only with your permission; there is no Meta kit on iPhone.
🔒 Security: HTTPS/TLS encryption, Firebase security rules, we do not see your password.
🗑️ Deletion: From the Settings page, you can permanently delete everything via "Reset All Records" or, if signed in, "Delete Account".
📧 Contact: pocketleft.support@gmail.com