Gizlilik Politikası & GDPR Aydınlatma / Veri Koruma

Son güncelleme: 10 Ekim 2026. FanKulüp (fankulup) olarak gizliliğine önem veriyoruz. Bu metin hangi verileri, neden ve nasıl işlediğimizi açıklar.

Yaş sınırı (16+)

FanKulüp 16 yaşından küçükler için değildir; 16 yaşından küçükler kullanamaz (kendi asgari kullanım yaşımız; GDPR m.8 AB düzeyinde dijital rıza yaşını 16 olarak belirler, Bulgaristan'da daha düşüktür; ayrıntı aşağıdaki "Çocukların verileri" bölümünde). Giriş ekranında 16 yaşından büyük olduğunu onaylaman istenir; bu beyan yalnız bu cihazda hesabına bağlı imzalı bir çerezde (fk_yas16, 1 yıl) tutulur, doğum tarihin toplanmaz.

Çerezler

Giriş yaptığında üç zorunlu (teknik) çerez kurulur: sid_oauth_state (giriş akışının güvenlik değeri, 10 dakika), sid_app_session (oturumun, 30 gün) ve yukarıda anılan fk_yas16 (16 yaş beyanının kanıtı, 1 yıl); üçü de HttpOnly ve SameSite=Lax işaretlidir, oturum ile yaş çerezi çıkışta silinir. Ayrıca bir davet bağlantısıyla (?ref=) geldiysen bağlantıdaki davet kodunu 30 gün hatırlayan birinci taraf fk_ref çerezi kurulur (yalnız davet puanını doğru kişiye yazmak içindir; reklam ya da takip için kullanılmaz). Ziyaret ölçümü çerez kurmaz (aşağıda).

Veri sorumlusu & kimlik

Veri sorumlusu: SMARTIA OOD (СМАРТИЯ ООД) · Burgas, Bulgaristan (AB). Veri sorumlusu Bulgaristan'da (AB) yerleşiktir ve GDPR ((AB) 2016/679) ile Bulgaristan Kişisel Verilerin Korunması Kanunu'na (ЗЗЛД) tabidir; Türkiye'de bulunan kullanıcılara hizmet sunulduğu ölçüde 6698 sayılı KVKK hükümleri de uygulanır.

Giriş, merkezi SocialID kimlik sistemiyle yapılır. E-postan ve profil fotoğrafın SocialID tarafında tutulur; FanKulüp e-postanı saklamaz. FanKulüp'te saklananlar: SocialID referansın (social_id), ilk girişte SocialID'deki adından kopyalanan görünen ad (sonradan profilinden değiştirebilirsin) ve kişiselleştirme alanların (favori kategoriler, tema rengi, avatar emoji). Ücretsiz bir etkinliğe katıldığında e-posta gönderilmez. Bilet alımında (yalnız web) formda yazdığın ad ve e-posta satın alma kaydıyla saklanır ve bilet onayı bu adrese e-postayla gönderilir.

Bu cihazda saklananlar (Takvimim)

Takvimim'e eklediğin ve son baktığın etkinliklerin özeti (başlık, kulüp, tarih, yer, açıklama) ile kurduğun etkinlik hatırlatmaları yalnız bu cihazda saklanır — iOS uygulamasında uygulamanın yerel depolamasında, web'de tarayıcının localStorage alanında. Bu bilgiler sunucumuza ya da hesabına gönderilmez; iOS'ta internet yokken çevrimdışı ekranda gösterilmek için kullanılır. Etkinliği Takvimim'den çıkardığında ya da uygulamayı sildiğinde cihazdan silinir. Hatırlatmayı bildirim olarak telefonun kendisi gösterir; uzak (push) bildirim gönderilmez.

Verilerin nerede tutulur

Uygulama verileri (kulüpler, üyelikler, gönderiler, etkinlikler, anketler, rozetler) Neon PostgreSQL — AB (Frankfurt / eu-central-1)bölgesinde saklanır. Veriler AB içinde barındırılır.

Uygulama-içi bildirimler: üyesi olduğun kulüplerdeki etkinlik ve üyelik olaylarını (yeni etkinlik, yeni üye, bilet satışı) uygulama içinde gösteririz. Bu bildirimler mevcut üyelik verinden türer, ayrı bir kişisel veri toplamaz ve cihazına push olarak gönderilmez.

Üçüncü taraf hizmetler

• SocialID — kimlik/giriş.
• Higgsfield (AI görsel, ABD) — “AI Anı Fotoğrafı” özelliğini kullandığında ürettiğin görsel istemi (prompt) ve çıktısı Higgsfield altyapısında (ABD) işlenir ve oluşturulan görselin bağlantısı saklanır. Bu özelliği kullanman, verinin AB dışında (ABD) işlenmesine GDPR anlamında açık rıza verdiğin anlamına gelir.
• Resend — web'den bilet aldığında, formda yazdığın e-posta adresine gönderilen bilet onayı e-postası.
• YouTube (Google) — bir sanal konser yayını YouTube üzerinden verilmişse, izleme sayfasında YouTube'un gelişmiş gizlilik modunda (youtube-nocookie.com) gömülü oynatıcı yüklenir; oynatmayı başlattığında YouTube kendi gizlilik politikasına göre veri işler.
• Vercel — barındırma ve çerez kullanmayan ziyaretçi ölçümü (Vercel Analytics ve Speed Insights); ayrıntısı aşağıdaki başlıkta.

• Stripe (ödeme, veri işleyen) — ücretli satın alımlarda (etkinlik bileti, sanal konser bileti, konser arşivi, AI Anı Fotoğrafı) ödeme Stripe altyapısı üzerinden alınır; satın almayla ilişkilendirmek üzere alıcının e-postası (buyer_email) ve adı (buyer_name) işlenir. Ayrıca kulüp aboneliğinde (Pro/ Kurumsal aylık plan) faturalama amacıyla kulübe ait abonelik kayıtları ile Stripe müşteri ve abonelik kimlikleri (stripe_customer_id, stripe_subscription_id) işlenir. Kart bilgilerini FanKulüp görmez/saklamaz; doğrudan Stripe işler. Kulüp aboneliği kaydı kulübe aittir: hesabını silmen kulübü silmez (kurucu alanı boşaltılır). Ödeme ve fatura kaydı, yasal saklama süresi boyunca Stripe tarafında kalır.
• RevenueCat (faturalama/üyelik, ABD/AB) — fan üyeliği satın alma, yenileme ve erişim (entitlement) doğrulaması RevenueCat üzerinden yönetilir; kullanıcı kimliğin (app_user_id) ve abonelik durumun işlenir.
• Apple App Store (uygulama içi satın alma) — iOS uygulamasında üyelik Apple’ın uygulama-içi satın alma (IAP) sistemiyle alınır; ödeme ve makbuz Apple tarafından işlenir.

Ziyaretçi ölçümü

Sitenin kaç kez görüntülendiğini ve sayfaların ne kadar hızlı açıldığını ölçmek için barındırma sağlayıcımız Vercel’in kendi ölçüm araçlarını (Vercel Analytics ve Speed Insights) kullanıyoruz. Bu araçlar çerez kullanmaz, tarayıcına hiçbir şey yazmaz ve seni siteler arasında izlemez; kalıcı bir tanımlayıcı ya da kullanıcı profili oluşturmaz. Ayrı bir üçüncü taraf ölçüm ya da reklam şirketi devreye girmez.

Ölçülen veriler: görüntülenen sayfanın adresi, siteye hangi adresten geldiğin (yönlendiren), ülke, cihaz türü, işletim sistemi, tarayıcı, ekran boyutu ve sayfa açılış hızı değerleri. IP adresin saklanmaz; yalnızca ülke bilgisini türetmek ve günlük olarak değişen, geri döndürülemez bir özet üretmek için anlık olarak işlenir — bu yüzden ziyaretçi sayıları yaklaşıktır ve ertesi gün seni tanımaz. Bu ölçüm SocialID referansınla ya da FanKulüp hesabınla ilişkilendirilmez.

Veriler toplu (istatistiksel) olarak gösterilir, reklam için kullanılmaz ve satılmaz. Hukuki sebep: açık rızan (GDPR m.6/1-a; ePrivacy m.5(3)). Bu ölçüm çerez kurmaz; yine de yalnızca sayfanın altındaki bantta izin verirsen yüklenir ve “Çerez tercihleri” bağlantısıyla izni istediğin an geri alabilirsin.

iOS uygulaması istisnası: App Store'dan indirilen iOS uygulamasında bu ölçüm betikleri hiç yüklenmez; ölçüm yalnızca sitenin web tarayıcısında açılan sürümünde yapılır.

Engelleme ve şikâyet kayıtları

Güvenli bir topluluk için bir kullanıcıyı engellediğinde kimin kimi engellediği kaydedilir. Bir kullanıcıyı, gönderiyi, yorumu, kulübü, etkinliği ya da sohbet mesajını bildirdiğinde şikâyetin (hedef, sebep, isteğe bağlı notun ve kimin bildirdiği) moderasyon için saklanır; sanal konser sohbetinde bir mesajı bildirdiğinde, aynı mesajın tek kişi tarafından birden çok kez sayılmaması için hangi mesajı bildirdiğin de kaydedilir. Hukuki sebep: hizmetin güvenli işletilmesindeki meşru menfaatimiz (GDPR md. 6/1-f). Hesabını sildiğinde engelleme kayıtların ve sohbet bildirimlerin silinir; başkalarının güvenliği için gönderdiğin şikâyet kayıtları silinmez, hesabınla bağı koparılarak anonim moderasyon kaydı olarak kalır.

Davet verileri

Büyümeyi ölçmek ve davet (referans) programını yürütmek amacıyla davet ilişkisi verisi işlenir: kim kimi davet etti (referrals — davet eden ve davet edilen kullanıcı referansları, kullanılan davet kodu) ve davet kaynaklı satış atıfları (referral_earnings — bir satın alımın hangi davetten geldiği; kaynak satış türü ve tutarı). Bu kayıtlar yalnızca büyümenin iç ölçümü ve kötüye kullanımın önlenmesi için tutulur; kullanıcıya ödenecek bir bakiye oluşturmaz ve davet karşılığında ödeme yapılmaz (bkz. Kullanım Koşulları).

Hesabını sildiğinde, sana ait davet kayıtları ve davet atıf kayıtları da ilişkili verilerle birlikte (cascade) silinir.

AI ile üretilen içerik

“AI Anı Fotoğrafı” yapay zekâ ile üretilir ve görselde “AI üretimi”etiketi gösterilir. Gerçek kişilerin izinsiz benzerliğini/temsil hakkını ihlal eden kullanım yasaktır; sorumluluk kullanıcıya aittir (bkz. Kullanım Koşulları).

İşleme amaçları ve hukuki dayanaklar

Kişisel verilerinizi yalnızca aşağıdaki amaçlarla ve karşılarında yazan hukuki dayanakla işleriz:

Hesabınızın açılması ve SocialID ile girişiniz — sözleşmenin ifası (GDPR m.6/1-b)
Paylaştığınız içeriğin saklanması ve gösterilmesi — sözleşmenin ifası (GDPR m.6/1-b)
Sohbet ve özel mesajların iletilmesi — sözleşmenin ifası (GDPR m.6/1-b)
Şikâyetlerin incelenmesi, engelleme ve içerik moderasyonu — meşru menfaat (GDPR m.6/1-f)
Çerezsiz, toplu ziyaretçi ve hız ölçümü (yalnız web) — yalnız izin verirseniz yüklenir; sayfa altındaki "Çerez tercihleri" ile kapatabilirsiniz — açık rızanız (GDPR m.6/1-a) — istediğiniz an geri alabilirsiniz
Ödemelere ilişkin muhasebe ve vergi kayıtları — hukuki yükümlülük (GDPR m.6/1-c)
Cihazınızda kurduğunuz yerel hatırlatıcılar (iOS bildirim izni) — açık rızanız (GDPR m.6/1-a) — istediğiniz an geri alabilirsiniz
İstek sınırlama, kötüye kullanımın önlenmesi ve hizmet güvenliği — meşru menfaat (GDPR m.6/1-f)
Davet (referans) programı ve büyümenin iç ölçümü — meşru menfaat (GDPR m.6/1-f)
Web'den bilet ve dijital içerik satın alımı, bilet onayı e-postası — sözleşmenin ifası (GDPR m.6/1-b)
AI Anı Fotoğrafı: isteminin ve görselin Higgsfield'da (ABD) işlenmesi — yalnız özelliği kullanırsan — açık rızanız (GDPR m.6/1-a) — istediğiniz an geri alabilirsiniz
Rızaya dayanan işlemede rızanızı istediğiniz an geri alabilirsiniz; geri alma, öncesindeki işlemenin hukuka uygunluğunu etkilemez.

Veri sağlama zorunluluğu (GDPR m.13/2-e): Kişisel veri vermeniz yasal bir zorunluluk değildir. Hesap açmak ve giriş gerektiren özellikleri kullanmak için istenen veriler sözleşmenin kurulması ve ifası için gereklidir; bunları vermezseniz yalnız bu özellikleri kullanamazsınız. Sayfaları görüntülerken tarayıcınızın ya da cihazınızın gönderdiği teknik veriler (ör. IP adresi) hizmetin teknik olarak sunulması için gereklidir. Ücretli bir satın almada fatura için gereken bilgiler vergi mevzuatı gereği zorunludur; vermezseniz satın alma tamamlanamaz.

Saklama süreleri

Hesabınız ve içeriğiniz, hesabınız açık olduğu sürece saklanır; sabit bir gün sayısıyla kendiliğinden silinmez. SocialID hesabınızı sildiğinizde SocialID bize silme sinyali gönderir ve verileriniz burada da silinir. Hesabınızı uygulamada sildiğinizde şu veriler hemen ve kalıcı olarak silinir: FanKulüp hesabın ve ona bağlı kayıtların — gönderi, yorum, tepki, takip, kulüp üyeliği, etkinlik katılımı, anket ve oy, rozet, sohbet mesajı, davet kayıtları, engelleme kayıtları ve kullanıcı kaydın (ayrıntı aşağıdaki "Hesabını silme" bölümünde).

Şikâyet kayıtları: hesap silmede silinmez; şikâyet edenle bağı koparılarak (anonim) moderasyon kaydı olarak kalır. Otomatik silme süresi yoktur.
Kurduğun kulüpler: hesabın silinince kulüp silinmez, kurucu alanı boşaltılır; kulüpteki başkalarına ait içerik kalır.
Satın almalar: FanKulüp'teki bilet, arşiv, üyelik ve davet atıf kayıtların hesabınla birlikte silinir; ödeme ve fatura kaydı, hesabın silinse bile yasal saklama süresi boyunca Stripe tarafında kalır.

Barındırma ve veritabanı sağlayıcılarımızın teknik günlükleri ve otomatik yedekleri, sağlayıcının kendi saklama döngüsüne bağlı sınırlı bir süre tutulur ve bu döngü sonunda kendiliğinden silinir. Bu kopyalar hizmeti sunmak için kullanılmaz.

Uluslararası aktarım

Barındırma sağlayıcımız Vercel Inc. (Amerika Birleşik Devletleri) hizmeti sunarken IP adresiniz gibi teknik verileri işleyebilir. Verilerin Avrupa Ekonomik Alanı dışına aktarıldığı durumlarda, sağlayıcının veri işleme ekinde yer alan Avrupa Komisyonu Standart Sözleşme Maddelerine (GDPR m.46/2-c) dayanırız. Ek metin: vercel.com/legal/dpa Aşağıdaki sağlayıcılar da (hepsi ABD merkezli) ilgili özellik kullanıldığında sınırlı veri alır; her biri için AB dışına aktarımda dayanağımız, sağlayıcının yayımlanmış veri işleme ekindeki Avrupa Komisyonu Standart Sözleşme Maddeleridir (GDPR m.46/2-c):

Vercel Web Analytics ve Speed Insights (Vercel Inc., ABD) — ziyaret ve sayfa hızı ölçümü, yalnız web: ziyaret edilen sayfa, yönlendiren adres, tarayıcı/cihaz türü, ülke ve sayfa yükleme süreleri gibi teknik veriler çerez yazılmadan toplanır ve toplu istatistiğe dönüştürülür. Dayanak açık rızanızdır (GDPR m.6/1-a; ePrivacy m.5/3): araç yalnız sayfa altındaki bantta izin verirseniz yüklenir ve izninizi aynı yerdeki "Çerez tercihleri" bağlantısıyla istediğiniz an geri çekebilirsiniz. Veriler ABD'ye aktarılabilir; aktarım dayanağı, sağlayıcının veri işleme ekindeki Avrupa Komisyonu Standart Sözleşme Maddeleridir (GDPR m.46/2-c). vercel.com/legal/dpa

KVKK m.9, yurt dışına aktarım için yeterlilik kararı ya da uygun güvence arar; Kurul tarafından ilan edilen standart sözleşme ve Kurul'a bildirim yükümlülüğü bu kapsamdadır. Barındırma sağlayıcısının (Vercel Inc., Amerika Birleşik Devletleri) yayımlanmış veri işleme eki AB standart sözleşme maddelerini (GDPR m.46/2-c) içerir; bu maddelerin KVKK m.9 bakımından Kurul standart sözleşmesi ve bildirim yükümlülüğünü karşılaması hukuk incelemesine tabidir. AB'deki kullanıcılar bakımından dayanak GDPR m.46'dır.

SocialID — ayrı veri sorumlusu

Giriş, SocialID üzerinden yapılır. SocialID'nin veri sorumlusu SOSYAL TURİZM BİLİŞİM REKLAM TEKSTİL SANAYİ VE TİCARET LİMİTED ŞİRKETİ'dir; FanKulüp'dan ayrı, bağımsız bir veri sorumlusudur ve Türkiye'de yerleşiktir. SocialID hesabınızın e-posta, şifre ve telefon gibi verileri SocialID'nin sorumluluğunda işlenir; altyapı sağlayıcıları ve veri tabanı bölgesi için SocialID'nin gizlilik politikasına bakın: www.socialid.me/gizlilik. FanKulüp'a SocialID'den yalnızca SocialID numaranız ve görünen adınız gelir.

Mobil uygulamada "Apple ile giriş" veya "Google ile giriş" seçildiğinde kimlik doğrulaması Apple veya Google tarafından kendi gizlilik politikalarına göre yapılır; bu şirketler ayrı veri sorumlularıdır. Cihazınız Apple'dan veya Google'dan aldığı doğrulama kodunu/kimlik jetonunu yalnızca oturumu açmak için SocialID'ye iletir; biz bu hesapların şifresini görmeyiz.

SocialID, hangi platformlara giriş yaptığınızın kaydını (FanKulüp dahil) SocialID hesabınızı silene kadar tutar; FanKulüp içinde hesabınızı silmeniz bu kaydı silmez — bu kaydı SocialID hesap silme sayfasından silebilirsiniz: www.socialid.me/hesap/sil.

SocialID hesabınızı silseniz bile, dolandırıcılık ve suç durumunda hukuki talepler için SocialID kimlik ve giriş kayıtlarınızı (ad, e-posta, telefon, platform üyelikleri, giriş tarihleri ve IP adresleri) şifreli, çevrimdışı bir arşivde 5 yıl saklar (GDPR m.17/3-e, m.6/1-f); bu arşive yalnız yasal talep ya da resmî makam isteğiyle erişilir. Son girişler SocialID panelinde 90 gün gösterilir.

Çocukların verileri (GDPR m.8)

FanKulüp 16 yaşından küçüklere sunulmaz; bu, kendi asgari kullanım yaşımızdır (ürün kararımız). Dijital rıza yaşı için GDPR m.8 AB düzeyinde varsayılanı 16 olarak koyar; üye devletler bunu kendi hukuklarında daha düşük belirleyebilir ve veri sorumlusunun bulunduğu Bulgaristan bunu 16'nın altında belirlemiştir (ЗЗЛД чл. 25в). Hizmeti 16 yaş altına sunmadığımız için ebeveyn/vasi onayı yolu yoktur ve 16 yaşından küçüklerden bilerek kişisel veri toplamayız.

16 yaşından küçük birinin hesap açtığını öğrenirsek hesabı ve verilerini sileriz, bu amaçla ek veri toplamayız. Bir ebeveyn veya vasi çocuğunun hesabını fark ederse bize iletişim sayfamızdan yazabilir; talep gecikmeden işleme alınır.

Haklarınız ve şikâyet yolu

GDPR kapsamında verileriniz üzerinde şu haklara sahipsiniz:

Erişim (GDPR m.15), düzeltme (m.16), silme (m.17) ve veri taşınabilirliği (m.20).
İşlemenin kısıtlanmasını isteme (m.18): verinin doğruluğuna itiraz ettiğinizde, işleme hukuka aykırıysa ya da itirazınız incelenirken verileriniz silinmeden yalnızca saklanır.
İtiraz (m.21): meşru menfaate dayanan işlemeye (ör. güvenlik, moderasyon) özel durumunuzla ilgili gerekçelerle itiraz edebilirsiniz; zorlayıcı meşru gerekçe göstermedikçe o işlemeyi durdururuz.
Verilerinizin bir kopyasını giriş yaptıktan sonra fankulup.com/me sayfasındaki indirme bağlantısıyla kendiniz alabilirsiniz: hesabınıza bağlı verileriniz makinece okunabilir bir JSON dosyası olarak iner (erişim m.15, taşınabilirlik m.20).
Taleplerinizi fankulup.com/kurumsal/iletisim üzerinden iletebilirsiniz; en geç bir ay içinde yanıt veririz (GDPR m.12/3).

Denetim makamına şikâyet (GDPR m.77): veri sorumlusu Bulgaristan'da yerleşik olduğundan yetkili makam Bulgaristan Kişisel Verileri Koruma Komisyonu'dur — Комисия за защита на личните данни (КЗЛД), cpdp.bg. AB'de oturduğunuz ya da çalıştığınız ülkenin veri koruma makamına da başvurabilirsiniz.

Türkiye'de bulunan kullanıcılar, 6698 sayılı KVKK m.14 uyarınca Kişisel Verileri Koruma Kurulu'na da şikâyette bulunabilir (www.kvkk.gov.tr).

Hesabını silme

AB Genel Veri Koruma Tüzüğü (GDPR) kapsamında verilerine erişme, düzeltme, silinmesini isteme ve taşınabilirlik (verini yapılandırılmış biçimde dışa aktarma) hakkın var. Hesabını Profilim → Hesabımı sil ile kendin silebilirsin; bu işlem FanKulüp’teki tüm verini (gönderi, yorum, üyelik, etkinlik katılımı, rozet, anket oyu, sanal konser canlı sohbet mesajların, dijital satın alım kayıtların — etkinlik bileti, sanal konser bileti, konser arşivi ve AI foto kayıtları, ayrıca davet kayıtların — kim kimi davet etti ve davet kaynaklı satış atıfları) ilişkili kayıtlarıyla birlikte (cascade) kalıcı olarak siler. SocialID kimliğin merkezi olduğundan ayrıca SocialID üzerinden yönetilir. Ödeme ve fatura kaydı FanKulüp’te değil ödeme sağlayıcısındadır: yasal saklama süresi boyunca Stripe tarafında kalır.

İletişim

Sorular için: