Gizlilik Politikası

1. Biz kimiz

MyDefense (“biz”), mydefense.io adresinde dijital gizlilik hizmeti sunmaktadır. Aşağıda açıklanan kişisel verilerin veri sorumlusuyuz. İstanbul, Türkiye merkezli olarak faaliyet göstermekte ve dünya genelindeki kullanıcılara hizmet vermekteyiz; bu nedenle belirli bir hesap bakımından birden fazla veri koruma rejimi uygulanabilir — bkz. 6. bölüm.

2. Topladığımız veriler

• Kimlik ve iletişim verileri: ad, soyad, e-posta adresi ve uygulama ile e-postalarımız için seçtiğiniz dil
• Hesap verileri: parola (özet/hash hâlinde), plan seviyesi, cüzdan bakiyesi ve bu bakiyeye ilişkin yüklemelerin ve tahsilatların kaydı
• Kayıt sırasında beyan ettiğiniz ülke veya bölge; sizin adınıza silme talebinde bulunduğumuzda hangi kanuna dayanacağımızı bu belirler
• Bağladığınız platformlara (Instagram, X/Twitter, Facebook, LinkedIn, TikTok, YouTube, Gmail) ilişkin erişim ve yenileme belirteçleri (token) — şifreli olarak saklanır. Platform bağlantıları şu an duraklatılmış olduğundan yeni belirteç toplamıyoruz
• Tarama sonuçları: bağlı platformlarda tespit edilen içerik, risk puanları ve silme durumu
• E-posta adresinizin ihlal veritabanlarında yer alıp almadığı bilgisi (ihlal izleme amacıyla)
• Bir kontrole gönderdiğiniz içerik (bağlantı, mesaj, web sitesi adresi, alan adı, e-posta veya belge) yanıtı üretmek için işlenir. Bağlantı, web sitesi ve izleyici kontrollerinde sunucularımız verdiğiniz adresi getirir. Mesajlar, e-postalar ve belgeler ayrıca yapay zekâ modelleriyle analiz edilir (bkz. 9. bölüm)
• Kayıtlı raporlar: giriş yapmışken bir bağlantı, mesaj, web sitesi, izleyici veya benzer alan adı kontrolü çalıştırdığınızda sonuç (kontrol edilen adres veya alan adı, hüküm ve bulunanlar) yeniden açabilmeniz için hesabınızda saklanır. Yapıştırdığınız mesajın metnini saklamayız ve istediğiniz raporu kendiniz silebilirsiniz
• Analiz geçmişi: e-posta analizinde gönderenin alan adı ve bulunan risk sinyalleri (e-postanın kendisi değil); belge analizinde dosya adı, risk puanı, özet ve kısa alıntılar (dosyanın kendisi değil)
• Akademi sonuçları: giriş yapmışsanız çözdüğünüz her test için yanıtlarınız, puanınız ve seviyeniz (hesapsız çözülen test puanlanır ancak saklanmaz), her derste nereye kadar geldiğiniz ve Akademi oyunlarında (örneğin Daily Phish) tamamladığınız her oyunun puanı (oyunlar hesap gerektirir; oyunu puanlamak için verdiğiniz yanıtlar puanla birlikte saklanır). Sertifika düzenlerseniz: üzerinde basılan ad, bu adın herkese açık gösterilip gösterilmeyeceğine dair tercihiniz, herkese açık doğrulama kodu, ulaşılan seviye ile düzenlenme ve bitiş tarihleri (12 ay geçerlidir). Kodu bilen herkes sertifikanın neyi belgelediğini, adınızı ise yalnızca göstermeyi seçtiyseniz görebilir; doğrulama sayfasında ayrıca bir ad yazıp yalnızca sizinkiyle eşleşip eşleşmediğini öğrenebilir, yazılan adı kaydetmeyiz. Sertifika, sınav sonucunuza dayanarak MyDefense tarafından onaylanır. MyDefense tarafından verilir; kamu kurumu belgesi değildir
• Canary token’lar: bir token’a verdiğiniz etiket ve tuzak bağlantısı ya da görseli her açıldığında zaman, ziyaretçinin yaklaşık ülkesi, tarayıcının user-agent metni ve ziyaretin otomatik görünüp görünmediği. Bu kayıt ziyaretçinin IP adresini içermez. Bir tuzak tetiklendiğinde size e-posta göndeririz
• Şirketlere yönelik talepler: sizin adınıza gönderdiğimiz silme talepleri, kime gittikleri, durumları ve takip tarihleri
• Telegram botu: Telegram botumuza gönderdiğiniz mesajlar, bağlantılar ve alan adları kontrol edilir ve tarafımızca saklanmaz; yalnızca Telegram kullanıcı kimliğinize bağlı günlük bir kullanım sayacı tutarız. Konuşmanın kendisi Telegram’ın kendi koşulları çerçevesinde işlenir
• Hesapsız kullanılan araçlar: IP adresinizin tuzlanmış bir özetine (hash) bağlı günlük bir kullanım sayacı; IP adresinin kendisi değil
• Ödeme ve abonelik verileri (ödeme sağlayıcımız tarafından işlenir; kart bilgilerinizi hiçbir zaman saklamayız)
• Bu politikaya verdiğiniz onay ile onayı verdiğiniz tarih ve saat
• Teknik veriler: IP adresi, tarayıcı bilgileri ve oturum kayıtları (güvenlik ve hata tespiti amacıyla)

3. Google API Hizmetleri

3a. Sınırlı Kullanım (Limited Use)

MyDefense uygulamasının Google API’lerinden aldığı bilgileri kullanması ve bu bilgileri başka bir uygulamaya aktarması, Sınırlı Kullanım gereklilikleri dâhil olmak üzere Google API Services User Data Policy ile uyumlu olacaktır.

Özellikle: Google kullanıcı verilerini reklam amacıyla kullanmayız; satmayız; talep ettiğiniz özelliği sunmak için gerekli olduğu hâller, güvenlik amaçları veya yürürlükteki mevzuata uyum dışında başkalarına aktarmayız; ve insanların bu verileri okumasına izin vermeyiz — istisnalar: açtığınız bir destek talebi kapsamında açık rızanızın bulunması, güvenliğin veya hukukun bunu gerektirmesi ya da verilerin toplulaştırılmış ve anonim hâle getirilmiş olması.

3b. Her iznin (scope) ne için kullanıldığı

Google hesaplarının bağlanması şu an duraklatılmıştır; bu bölüm, yeniden açıldığı her durumda geçerlidir. Google verileri yalnızca başlattığınız bir tarama çalışırken okunur ve yalnızca seçtiğiniz bir silme işlemi için yazılır. İleti gövdeleri saklanmaz: bir bulgu yalnızca platformu, içerik türünü ve üzerinde işlem yapmak için gereken tanımlayıcıyı kaydeder. Google ile giriş yalnızca temel profil bilgilerinizi ve e-posta adresinizi kullanır ve yukarıdaki izinlerin hiçbirini vermez. Ayarlar’dan istediğiniz zaman herhangi bir platformun bağlantısını kesebilirsiniz; bu işlem saklanan belirteçleri siler. Erişimimizi ayrıca doğrudan şu adresten iptal edebilirsiniz: myaccount.google.com/permissions.

4. Bağlı diğer platformlar

Aynı ilke, bağladığınız her platform için geçerlidir: neyin ifşa olduğunu size göstermemize ve siz istediğinizde bunu kaldırmamıza imkân veren en dar izinleri talep ederiz. Bu platformlara bağlantılar şu an duraklatılmıştır: duraklatıldıkları sürece yeni platform belirteci veya tarama sonucu toplamayız; bu bölüm, bağlantıların geri gelmesi hâlinde nelerin geçerli olacağını açıklar.

5. İşlemenin hukuki sebebi

Verilerinizi; hesap oluştururken kurduğunuz sözleşmenin ifası için (GDPR m. 6(1)(b); KVKK m. 5/2-c), hukuki yükümlülüklerimizi yerine getirmek için (GDPR m. 6(1)(c); KVKK m. 5/2-ç) ve — bir platform hesabını bağlamak gibi — açıkça talep ettiğimiz hâllerde açık rızanıza dayanarak (GDPR m. 6(1)(a); KVKK m. 5/1) işleriz. Rızanızı dilediğiniz zaman geri alabilirsiniz; geri alma, geri almadan önce yapılmış işlemeyi etkilemez.

6. Haklarınız

Bu hakları size hangi kanunun tanıdığı, yaşadığınız yere bağlıdır. Bunu kayıt sırasında bize bildirirsiniz ve Ayarlar’dan değiştirebilirsiniz.

6a. Avrupa Birliği, AEA ve Birleşik Krallık

GDPR ve UK GDPR kapsamında erişim (m. 15), düzeltme (m. 16), silme (m. 17), işlemenin kısıtlanması (m. 18), veri taşınabilirliği (m. 20) ve işlemeye itiraz (m. 21) haklarına sahipsiniz; bu haklar, yalnızca otomatik işlemeye dayanan bir karara tabi olmama hakkını (m. 22) da kapsar. Ayrıca ulusal denetim otoritenize şikâyette bulunabilirsiniz.

6b. Türkiye

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 11. maddesi uyarınca; kişisel verinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, Kanun'da öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme, yapılan düzeltme ve silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz.

6c. Kaliforniya

CCPA (Cal. Civ. Code §1798.100 vd.) kapsamında; hangi kişisel bilgileri neden topladığımızı bilme hakkına, silinmesini talep etme (§1798.105) hakkına, hatalı bilgilerin düzeltilmesini isteme (§1798.106) hakkına ve bu hakların herhangi birini kullandığınız için ayrımcılığa uğramama hakkına sahipsiniz. Kişisel bilgileri, CCPA’da tanımlandığı şekliyle satmıyor veya paylaşmıyoruz; dolayısıyla vazgeçilecek (opt-out) bir şey bulunmamaktadır.

6d. Diğer tüm yerler

Yukarıdakilerin hiçbiri sizin için geçerli değilse de verilerinize erişme, bunları düzeltme veya silme talebinizi yerine getiririz. Talebi hangi kanunun zorunlu kıldığını tartışmak yerine yanıtlamayı tercih ederiz.

Bu haklardan herhangi birini kullanmak için şu adrese yazın: privacy@mydefense.io. Ayarlar’daki kendi kendine veri dışa aktarma ve hesap silme henüz kullanılamamaktadır: verilerinizin bir kopyasını almak veya hesabınızın ve verilerinizin silinmesini istemek için aynı adrese yazın; talebi size uygulanan hukuk çerçevesinde ele alırız.

7. Saklama

Aşağıda sayılan kişisel verileri bir yıl (365 gün) süreyle saklar, ardından otomatik olarak sileriz: her gün çalışan bir görev, bu süreyi aşmış verileri sistemden kaldırır. Süre, kategori bazında tarafımızca belirlenen bir ayardır; değişmesi halinde bu politika güncellenir.

Bir yıl sonunda otomatik olarak silinenler

• Kayıtlı raporlar ve analizler: kayıtlı araç raporları, e-posta ve belge analizi geçmişi, web sitesi yapılandırma denetimleri, risk değerlendirmeleri ve posta kutunuzda tespit edilen sitelerin listesi; oluşturulma tarihinden itibaren (site listesinde, bir sitenin en son görüldüğü tarihten itibaren)
• Academy sonuçları: test denemeleriniz, ders ilerlemeniz ve oyun oynamalarınız (Daily Phish dahil); test için sınavı çözdüğünüz, ders için en son açtığınız, oyun için oynadığınız tarihten itibaren; sertifikalar ise süresinin dolduğu veya iptal edildiği tarihten itibaren. Geçerliliği süren bir sertifika saklanır ve doğrulanabilir kalır
• İzleme olayları: kaydedilen canary token ziyaretleri ve Telegram sızıntı izleme eşleşmeleri, kaydedildikleri tarihten itibaren; görüldü olarak işaretlediğiniz ihlal uyarıları ise işaretlediğiniz tarihten itibaren
• Kullanım sayaçları: hesabınıza, karma (hash) haline getirilmiş bir IP adresine veya bir Telegram kullanıcı kimliğine bağlı günlük sayaçlar ile aylık silme sayaçları
• Tarama geçmişi: tamamlanmış veya başarısız olmuş platform taramaları ve bunların bulguları. Bir platformdaki silme işlemi hâlâ sürmekte olan tarama, işlem bitene kadar saklanır

Bu görev tarafından silinmeyenler

• Hesabınız (kimlik ve iletişim verileri, rıza kaydı, abonelik planı): hesap etkin olduğu sürece saklanır; talebiniz üzerine (bölüm 6) veya hareketsizlik nedeniyle (aşağıya bakın) hesabınız silindiğinde kaldırılır
• Ödeme, cüzdan ve defter kayıtları: muhasebe ve vergi mevzuatının saklamamızı gerektirdiği süre boyunca, hesabınız silindikten sonra da saklanır; bu durumda sizinle hiçbir bağlantı taşımaz
• Sizin adınıza şirketlere gönderdiğimiz silme taleplerinin durumu ve takip tarihleriyle birlikte kaydı: talebin yapıldığına dair kayıt olarak, hesabınız silinene kadar saklanır
• Sizin kurduğunuz ve kullanmaya devam ettiğiniz öğeler: bağlı platform belirteçleri, canary token’lar ve doğrulanmış alan adları, siz silene veya bağlantıyı kesene ya da hesabınız silinene kadar durur. Kayıtlı bir raporu, bir canary token’ı (kaydedilen ziyaretleriyle birlikte) veya bir platform bağlantısını dilediğiniz zaman kendiniz silebilir, bir sertifikayı kodu artık doğrulanmayacak şekilde iptal edebilirsiniz
• Görüldü olarak işaretlemediğiniz ihlal uyarıları: işaretleyene kadar saklanır, ardından bir yıl daha
• Barındırma sağlayıcılarımızın tuttuğu sunucu ve güvenlik kayıtları: bu sağlayıcıların kendi saklama sürelerine tabidir

Hareketsiz hesapların silinmesi

• 24 ay boyunca hiçbir etkinlik görülmeyen hesap, ona bağlı verilerle birlikte silinir. Etkinlik; oturum açmak veya oturum açıkken hizmeti kullanmak anlamına gelir: tarama çalıştırmak, rapor kaydetmek, bir araç kullanmak veya cüzdanınızdan harcama yapmak. Süre, tarafımızca belirlenen bir ayardır; değişmesi halinde bu politika güncellenir
• Silmeden 30 gün önce, hesapta kayıtlı adrese, uygulamada seçtiğiniz dilde bir e-posta göndeririz. Hesap, yalnızca bu uyarı en az 30 gün önce gönderilmişse ve o tarihten beri etkinlik göstermemişseniz silinir; herhangi bir anda oturum açmanız silme işlemini iptal eder
• Etkin bir ücretli planı, sıfırın üzerinde cüzdan bakiyesi, kurulu bir otomatik yükleme düzeni veya bir kuruluşa üyeliği bulunan hesap, hareketsizlik nedeniyle silinmez
• Ödeme, cüzdan ve defter kayıtları hesapla birlikte silinmez; kullanıcı kimliğiniz olmadan, hiçbir bilgi sizi göstermeyecek şekilde, mevzuatın gerektirdiği süre boyunca saklanır

Hesabınız silindiğinde, ona bağlı veriler de birlikte kaldırılır; yukarıdaki mali kayıtlar gibi yasal olarak saklamakla yükümlü olduğumuz kayıtlar bunun dışındadır.

8. Güvenlik

Bağlı platform erişim belirteçleri saklanmadan önce AES-GCM ile şifrelenir. Veritabanı erişimi, satır düzeyinde güvenlik (row-level security) politikalarıyla sınırlandırılmıştır. Parolanız hiçbir zaman düz metin olarak saklanmaz ve veriler iletim sırasında şifrelenir.

9. Uluslararası aktarımlar ve veri işleyenler

Hizmeti sunabilmek için verileriniz şu taraflarca işlenir: Supabase (veritabanı ve kimlik doğrulama), Cloudflare (barındırma, uç ağ, e-postalarımızın gönderimi ve gönderdiğiniz mesajları, e-postaları ve belgeleri analiz eden Workers AI modelleri), ödeme sağlayıcımız (cüzdan yüklemeleri ve ödemeler), Have I Been Pwned (e-posta adresiniz için ihlal izleme ve parola kontrolleri; parola kontrolünde tarayıcınız bir özetin yalnızca ilk beş karakterini gönderir; bu doğrudan sorgu başarısız olursa sorgu bunun yerine parolayı saklamayan sunucumuz üzerinden yapılır), Telegram (botumuzu kullanırsanız) ve bağlamayı seçtiğiniz platformlar — Google, Meta, X, LinkedIn ve TikTok — yalnızca sizin yetkilendirdiğiniz ölçüde. Bu sağlayıcılar birden fazla ülkede faaliyet gösterdiğinden, verileriniz söz konusu sağlayıcıların sunduğu güvenceler çerçevesinde yaşadığınız ülkenin dışında işlenebilir. Verilerinizi hiç kimseye satmaz veya kiralamaz, pazarlama amacıyla da paylaşmayız.

10. İletişim

Kişisel verilerinizle ilgili her konuda şu adrese yazın: privacy@mydefense.io.

11. Değişiklikler

Bu politikayı hizmette veya mevzuatta meydana gelen değişiklikleri yansıtmak üzere güncelleyebiliriz. Esaslı değişiklikleri yürürlüğe girmeden önce size bildireceğiz.