Veri sorumlusu

ByDiver bir şirket değildir; uygulamayı Emre Sabah işletir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri sorumlusu odur. Kişisel verilerinizle ilgili her soru ve talep için: privacy@bydiver.com

Kısaca

ByDiver'da reklam ağı, analitik aracı ya da izleme kodu yoktur. Uygulama sizi uygulamalar ve siteler arasında takip etmez. Topladığımız veri, bir pazaryerinin çalışması için gerekli olanla sınırlıdır: hesabınız, ilanlarınız ve diğer kullanıcılarla yazışmalarınız.

Acil durum kartınız telefonunuzdan hiç çıkmaz. Acil durum kişileri, kan grubunuz, alerji ve ilaç notlarınız yalnızca cihazınızda saklanır; sunucularımıza gönderilmez, yedeklenmez ve tarafımızca görülemez.

Konumunuz GPS ile alınmaz. İlanlarda ve profilinizde görünen şehir, sizin elle yazdığınız bir metindir.

Topladığımız veriler

Bu verileri yalnızca sizin uygulamaya girdiklerinizden, elektronik ortamda topluyoruz. Başka bir kaynaktan satın almaz ya da derlemeyiz.

Hesabınız

• E-posta adresi ve şifre (şifre bcrypt ile geri döndürülemez biçimde saklanır; düz hâlini biz de göremeyiz)
• Görünen ad ve kullanıcı adı
• İsteğe bağlı: profil fotoğrafı, şehir, ülke, meslek, hakkında metni
• Hesabın oluşturulma tarihi ve Kullanım Koşulları'nı kabul ettiğin tarih

Uygulamayı kullanırken oluşturduklarınız

• İlanlar: başlık, marka, kategori, fiyat, konum, açıklama, durum bilgisi ve fotoğraflar
• Mesajlar: metin, fotoğraf ve sesli notlar
• Teklifler, siparişler ve değerlendirmeler
• Favorileriniz ve bildirimleriniz
• Engellediğiniz kullanıcıların listesi (yalnızca siz görürsünüz; engellenen kişiye bildirilmez)
• Bize gönderdiğiniz geri bildirim ve şikâyet kayıtları

Çökme raporları

Uygulama bir hatayla kapanır ya da bir ekran açılamazsa, hatanın teknik ayrıntısını kendi sunucumuza gönderir: hata mesajı, hatanın kodda nerede oluştuğu, telefonun platformu ve işletim sistemi sürümü, uygulamanın sürümü. Kim olduğunuz, hesabınız, IP adresiniz ya da ekrandaki içerik gönderilmez. Bu raporlar üçüncü bir şirkete gitmez.

Toplamadıklarımız

• GPS ya da hassas konum
• Rehber, takvim, sağlık uygulaması verisi
• Reklam kimliği, çerez tabanlı izleme, davranışsal profil
• Analitik ya da kullanım istatistiği (uygulamada böyle bir araç bulunmuyor)

Verilerinizi neden işliyoruz

Her amacın yanında, KVKK'nın 5. maddesindeki hangi hukuki sebebe dayandığı yazılıdır. Hiçbiri için açık rızanıza dayanmıyoruz.

• Hesabınızı açmak ve yürütmek: e-posta, şifre ve profil bilgileri. Hukuki sebep: bir sözleşmenin kurulması ve ifası için gerekli olması (md. 5/2-c).
• Pazaryerini işletmek: ilanlarınızı göstermek, mesajlarınızı karşı tarafa iletmek, teklif ve siparişleri yürütmek, değerlendirmeleri yayınlamak, size yeni mesaj, teklif ve sipariş bildirimi göndermek. Hukuki sebep: sözleşmenin ifası (md. 5/2-c).
• Güvenlik: giriş, kayıt ve kod gönderme işlemlerinde hız sınırı; e-posta doğrulama ve şifre sıfırlama kodları (altı haneli, 15 dakika geçerli, tek kullanımlık). Hukuki sebep: meşru menfaat (md. 5/2-f) - hesapları ve hizmeti kötüye kullanıma karşı korumak.
• İlanları yayından önce incelemek: yeni ve düzenlenen ilanlar, pazarda görünmeden önce bir kişi tarafından kontrol edilir. İncelemeyi yapan kişiye ilanın içeriği (başlık, açıklama, fotoğraflar, fiyat, konum) ile adınız ve e-posta adresiniz e-postayla iletilir. Bir ilan reddedilirse ret sebebi ilanla birlikte saklanır ve yalnızca size gösterilir. Hukuki sebep: meşru menfaat (md. 5/2-f) - pazaryerini uygunsuz ve yasa dışı içerikten korumak.
• Silinen hesaplarda sipariş kayıtlarını saklamak: Hukuki sebep: meşru menfaat (md. 5/2-f) - alışverişin diğer tarafının kendi kaydını kaybetmemesi.
• Şikâyet ve geri bildirimleri değerlendirmek: Hukuki sebep: meşru menfaat (md. 5/2-f) - pazaryerini güvenli tutmak.
• Çökme raporlarıyla hataları bulup düzeltmek: Hukuki sebep: meşru menfaat (md. 5/2-f) - uygulamanın çalışır kalması.
• Yetkili makamların yasal talepleri: Hukuki sebep: kanunlarda açıkça öngörülmesi ve hukuki yükümlülüğümüzü yerine getirmek (md. 5/2-a, 5/2-ç).

Diğer kullanıcılar neyi görür

Adınız, kullanıcı adınız, profil fotoğrafınız, doldurduysanız şehir/ülke ve mesleğiniz, hakkında metniniz, yayınladığınız ilanlar ve aldığınız değerlendirmeler herkese açıktır. Mesajlarınızı yalnızca yazıştığınız kişi görür. E-posta adresiniz diğer kullanıcılara gösterilmez.

Verilerin tutulduğu yerler ve hizmet sağlayıcılar

ByDiver verilerinizi satmaz. Aşağıdaki sağlayıcılar yalnızca hizmeti çalıştırmak için kullanılır:

• Supabase — veritabanı ve dosya depolama (ilan fotoğrafları, profil fotoğrafları, sohbet medyası). Sunucular Avrupa Birliği içindedir.
• Railway — uygulama sunucusunun barındırılması.
• Resend — e-posta gönderimi: size giden doğrulama ve şifre sıfırlama kodları; ayrıca ByDiver ekibine giden ilan inceleme ve bildirim (şikâyet) e-postaları. Yalnızca alıcının e-posta adresini ve gönderilen iletinin içeriğini görür; ilan inceleme e-postasında bu, ilanın içeriği ile satıcının adı ve e-posta adresidir.
• Expo (EAS) — uygulama güncellemelerinin dağıtımı.
• Cloudflare — bu sayfaların yayınlanması ve privacy@ / destek@bydiver.com adreslerine gelen e-postaların iletilmesi. Sayfayı ziyaret edenlerin IP adresini ve bu adreslere yazılan e-postaları görür.
• Google (Gmail) — ByDiver ekibinin gelen kutusu: bu iki adrese yazılan e-postalar ile ilan inceleme ve bildirim (şikâyet) e-postaları burada okunur. İlan inceleme e-postasında ilanın içeriği ile satıcının adı ve e-posta adresi bulunur.

Bu sağlayıcıların sunucuları Türkiye dışındadır; verileriniz bu nedenle yurt dışına aktarılır. Veritabanı Avrupa Birliği'ndedir.

İlan fotoğrafları herkese açık bir adres üzerinden sunulur, çünkü ilanlar pazaryerinde herkese açıktır. Sohbet medyası ise özel bir alanda tutulur ve yalnızca kısa ömürlü, imzalı bağlantılarla açılır.

Saklama ve silme

Hesabınızı uygulama içinden silebilirsiniz: Ayarlar → Hesabı sil.

Sildiğinizde:

• E-posta adresiniz, kullanıcı adınız, adınız, profil fotoğrafınız, hakkında metniniz ve konumunuz kaydın üzerine yazılır
• İlanlarınız pazardan kaldırılır
• Bir daha giriş yapılamaz
• E-posta adresiniz serbest kalır, dilerseniz aynı adresle yeniden kayıt olabilirsiniz

Tamamlanmış siparişlerin kayıtları silinmez. Bunun sebebi şudur: bir satışın diğer tarafındaki kişi de o alışverişin kaydına sahiptir ve siz ayrıldınız diye kendi geçmişini kaybetmemelidir. Bu kayıtlarda siz artık isimle değil, "silinmiş hesap" olarak görünürsünüz.

Haklarınız

KVKK'nın 11. maddesi uyarınca şu haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenmek
• İşlenmişse buna ilişkin bilgi istemek
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenmek
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilmek
• Eksik veya yanlış işlenmişse düzeltilmesini istemek
• KVKK'nın 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini istemek
• Düzeltme, silme veya yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini istemek
• Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etmek
• Kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etmek

Hesabınızı uygulama içinden kendiniz silebilirsiniz. Diğer talepleriniz için hesabınızda kayıtlı e-posta adresinden privacy@bydiver.com adresine yazın; bu, talebin gerçekten size ait olduğunu doğrulamamızı sağlar. Talebinizi en geç 30 gün içinde ve ücretsiz cevaplarız. Cevabı yetersiz bulursanız ya da süresinde cevap alamazsanız Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

Yaş sınırı

ByDiver'da alım satım yapılır ve bir alım satım sözleşmedir; bu yüzden hesap açmak için 18 yaşını doldurmuş olmak gerekir. 18 yaşından küçüklerin hesap açmaması gerekir ve bu yaş grubundan bilerek veri toplamayız. 18 yaşından küçük birine ait bir hesap fark edersek kapatırız.

Değişiklikler

Bu politika uygulama değiştikçe güncellenir. Önemli bir değişiklik olduğunda yukarıdaki tarih değişir.

İletişim

Gizlilikle ilgili sorularınız ve talepleriniz için: privacy@bydiver.com

Data controller

ByDiver is not a company; the app is operated by Emre Sabah, who is the data controller under Türkiye's Personal Data Protection Law No. 6698 (KVKK) and, where it applies, the GDPR. For any question or request about your personal data: privacy@bydiver.com

In short

ByDiver contains no advertising networks, no analytics tools and no tracking code. The app does not track you across other apps or websites. The data we collect is limited to what a marketplace needs in order to work: your account, your listings, and your conversations with other users.

Your emergency card never leaves your phone. Emergency contacts, blood type, allergies and medical notes are stored on your device only. They are never sent to our servers, never backed up by us, and we cannot see them.

We do not collect your location by GPS. The city shown on your listings and profile is text you typed yourself.

What we collect

We collect this data only from what you enter into the app, electronically. We do not buy it or gather it from any other source.

Your account

• Email address and password (the password is stored irreversibly using bcrypt; we cannot read it)
• Display name and username
• Optional: profile photo, city, country, profession, bio
• The date the account was created, and the date you accepted the Terms of Use

What you create while using the app

• Listings: title, brand, category, price, location, description, condition and photographs
• Messages: text, photographs and voice notes
• Offers, orders and reviews
• Your favourites and notifications
• The list of users you have blocked (visible only to you; the person blocked is not told)
• Feedback and reports you send us

Crash reports

If the app closes with an error or a screen fails to open, it sends the technical detail of that error to our own server: the error message, where in the code it happened, the phone's platform and operating system version, and the app version. Nothing that says who you are is sent - not your account, your IP address or what was on screen. These reports go to no third party.

What we do not collect

• GPS or precise location
• Contacts, calendar, or health app data
• Advertising identifiers, cookie-based tracking, behavioural profiles
• Analytics or usage statistics — the app contains no such tool

Why we process it

Each purpose names the legal basis it rests on, under Article 5 of KVKK (and the equivalent in Article 6 of the GDPR). None of them relies on your consent.

• To create and run your account: email, password and profile details. Legal basis: necessary to enter into and perform a contract with you (KVKK 5/2-c; GDPR 6(1)(b)).
• To run the marketplace: showing your listings, delivering your messages, carrying offers and orders through, publishing reviews, and notifying you of new messages, offers and orders. Legal basis: performance of a contract (KVKK 5/2-c; GDPR 6(1)(b)).
• Security: rate limits on sign-in, registration and code requests; verification and password reset codes (six digits, valid for 15 minutes, usable once). Legal basis: legitimate interest in protecting accounts and the service from abuse (KVKK 5/2-f; GDPR 6(1)(f)).
• Reviewing listings before they are published: new and edited listings are checked by a person before they appear on the market. The person reviewing them is sent the listing (title, description, photos, price, location) together with your name and email address by email. If a listing is rejected, the reason is stored with the listing and shown only to you. Legal basis: legitimate interest in keeping the marketplace free of objectionable and unlawful content (KVKK 5/2-f; GDPR 6(1)(f)).
• Keeping order records after an account is deleted: Legal basis: legitimate interest, so the other side of a sale keeps their own record (KVKK 5/2-f; GDPR 6(1)(f)).
• Handling reports and feedback: Legal basis: legitimate interest in keeping the marketplace safe (KVKK 5/2-f; GDPR 6(1)(f)).
• Finding and fixing bugs from crash reports: Legal basis: legitimate interest in keeping the app working (KVKK 5/2-f; GDPR 6(1)(f)).
• Lawful requests from authorities: Legal basis: required by law and to meet a legal obligation (KVKK 5/2-a and 5/2-ç; GDPR 6(1)(c)).

What other users can see

Your name, username, profile photo, city and country if you filled them in, profession, bio, the listings you publish and the reviews you receive are public. Your messages are visible only to the person you are writing to. Your email address is never shown to other users.

Where data is held, and our providers

ByDiver does not sell your data. The following providers are used only to run the service:

• Supabase — database and file storage (listing photos, profile photos, chat media). Servers are located in the European Union.
• Railway — hosting for the application server.
• Resend — email delivery: the verification and password reset codes sent to you, and the listing review and report emails sent to the ByDiver team. It sees only the recipient address and the message sent; for a listing review email that is the listing itself and the seller's name and email address.
• Expo (EAS) — distribution of app updates.
• Cloudflare — hosting of these pages and forwarding of email sent to privacy@ / destek@bydiver.com. It sees the IP address of visitors to these pages and the email sent to those addresses.
• Google (Gmail) — the ByDiver team's inbox, where email to those two addresses and the listing review and report emails are read. A listing review email contains the listing and the seller's name and email address.

These providers' servers are outside Türkiye, so your data is transferred abroad. The database is in the European Union.

Listing photographs are served from a public address, because listings are public on the marketplace. Chat media is kept privately and is opened only through short-lived signed links.

Retention and deletion

You can delete your account from inside the app: Settings → Delete account.

When you do:

• Your email address, username, name, profile photo, bio and location are overwritten
• Your listings are removed from the marketplace
• You can no longer sign in
• Your email address is freed, so you may register again with it later

Records of completed orders are not deleted. The reason is that the person on the other side of a sale also has a record of that transaction, and should not lose their own history because you left. In those records you no longer appear by name, but as a "deleted account".

Your rights

Under Article 11 of KVKK, and under the GDPR where it applies, you have the right to:

• Learn whether your personal data is processed
• Request information about that processing
• Learn its purpose, and whether the data is used in line with it
• Know the third parties, in Türkiye or abroad, to whom it is transferred
• Have incomplete or incorrect data corrected
• Have it deleted or destroyed, under the conditions of Article 7 of KVKK
• Have any correction or deletion passed on to the third parties it was transferred to
• Object to an outcome against you that results solely from automated analysis
• Claim compensation for damage caused by unlawful processing

You can delete your account yourself from inside the app. For any other request, write to privacy@bydiver.com from the email address registered to your account, so we can confirm the request is yours. We answer within 30 days, free of charge. If you find the answer insufficient or receive none in time, you may complain to the Turkish Personal Data Protection Board (KVKK Kurulu), or, in the EU, to your local data protection authority.

Age limit

ByDiver is a marketplace, and buying or selling is a contract, so you must be at least 18 years old to open an account. People under 18 should not create one, and we do not knowingly collect data from them. If we learn that an account belongs to someone under 18, we close it.

Changes

This policy is updated as the app changes. The date above changes whenever something significant does.

Contact

For privacy questions and requests: privacy@bydiver.com