Mobil uygulama gizlilik politikası, uygulamanızın hangi kişisel verileri topladığını, bunları ne için kullandığını, kimlerle paylaştığını ve kullanıcının haklarını anlatan, herkesin erişebildiği bir metindir. Uygulama mağazaları yayın sırasında bu metnin bağlantısını ister; kullanıcılar da uygulamayı indirmeden önce ona bakabilir. Bu yazı genel bir yol haritasıdır ve hukuki görüş niteliği taşımaz.
Bu yazıdaki bilgiler genel niteliktedir ve hukuki tavsiye yerine geçmez. Mevzuat ve mağaza kuralları değişebilir. Kendi uygulamanıza uygun metni hazırlarken bir hukukçuya danışın.
Mağazalar neden gizlilik politikası ister?
Kişisel veri işleyen bir uygulama için gizlilik politikası, mağazalarda yayın şartlarının başında gelir. Hesap oluşturma, konum, kamera, mikrofon ya da rehber erişimi gibi özellikler varsa bu zorunluluk daha da belirginleşir; çocuklara yönelik uygulamalar için ek kurallar da söz konusu olabilir. Mağazalar ayrıca politikadan bağımsız bir veri beyanı formu ister. Politika, bu beyan ve uygulamanın gerçek davranışı birbiriyle örtüşmelidir.
Hesap oluşturulabilen uygulamalarda mağazaların, kullanıcıya hesabını ve verilerini silme imkânı tanınmasını beklediği durumlar olabilir; bu beklenti politikaya da yansımalıdır. Çocuklara yönelik ya da çocukların kullanabileceği uygulamalarda ek ve daha sıkı kurallar bulunur. Hangi kuralların uygulamanız için geçerli olduğunu yayın öncesinde güncel mağaza belgelerinden teyit etmek gerekir.
Kurallar zaman içinde değiştiği için yayın öncesinde mağazaların güncel belgelerine bakmak gerekir. Süreci bütün yönleriyle mobil uygulama geliştirme süreci yazımızda anlattık.
Uygulamanız hangi verileri topluyor? Önce envanter çıkarın
Politika yazmadan önce, uygulamanın gerçekte neleri topladığını listelemek gerekir. Tipik kalemler şunlardır:
- Hesap bilgileri: ad, e-posta adresi, telefon numarası.
- Konum: yaklaşık mı kesin mi, yalnızca uygulama açıkken mi arka planda da mı?
- Cihaz bilgileri: model, işletim sistemi sürümü, bildirim için kullanılan cihaz belirteci.
- Kullanım verileri ve çökme raporları: hangi ekranların kullanıldığı, hataların kaydı.
- İzinle erişilen içerik: kamera, mikrofon, fotoğraf, rehber.
- Kullanıcının ürettiği içerik: rezervasyon, mesaj, form, yorum.
- Ödeme bilgileri: çoğu zaman ödeme sağlayıcısında tutulur ve uygulama bunları doğrudan görmeyebilir.
Bir izni istemek ile o veriyi toplamak aynı şey değildir, ama kullanıcının gözünde ayrım yoktur. Kamera iznini yalnızca profil fotoğrafı çekmek için istiyorsanız, bunu hem izin isteme ekranında hem politikada o amaçla yazın. İzin gerekçesini açıkça belirtmek kullanıcının güvenini artırır ve mağaza incelemesinde sorulabilecek soruyu önceden yanıtlar.
Envanteri çıkarırken yalnızca kendi yazdığınız kodu değil, kullandığınız üçüncü taraf bileşenleri de düşünün. Örneğin Firebase'in analiz, çökme raporlama ve bildirim hizmetleri gibi bileşenler de veri toplayabilir. Her kalem için "hangi veri, hangi amaçla, nerede, ne kadar süre saklanıyor?" sorusu yanıtlanmalıdır. Bu liste hem politikanın hem de mağaza veri beyanının kaynağıdır.
Gizlilik politikasında hangi başlıklar bulunmalı?
Metnin tam yapısı uygulamaya göre değişir, ancak çoğu politika şu başlıkları içerir:
- Veri sorumlusunun kimliği ve iletişim bilgileri.
- Toplanan veriler ve toplanma yöntemi.
- Verilerin işlenme amaçları ve dayanılan hukuki sebep.
- Verilerin aktarıldığı taraflar (bulut, bildirim, analiz, ödeme servisleri) ve yurt dışına aktarım olup olmadığı.
- Saklama süresi ve verilerin nasıl silindiği.
- Kullanıcının hakları ve bunları nasıl kullanacağı.
- Hesabın ve verilerin nasıl silinebileceği.
- Çocuklarla ilgili durum ve metnin yürürlük ile son güncelleme tarihi.
Dil sade olmalı; kullanıcının anlamadığı bir hukuk metni amacına hizmet etmez. En önemli kural, metnin uygulamanın gerçek davranışıyla örtüşmesidir. Yapmadığınız bir şeyi yazmak da, yaptığınız bir şeyi yazmamak da sorun yaratır.
Muğlak ifadelerden kaçının. "Verilerinizi gerektiğinde üçüncü taraflarla paylaşabiliriz" cümlesi okuyana hiçbir şey söylemez. Bunun yerine hangi tür tarafla (bildirim hizmeti, barındırma sağlayıcısı, ödeme servisi) ve hangi amaçla paylaşım yapıldığı yazılmalıdır. Aynı şekilde "gerektiği kadar saklarız" yerine saklama ölçütünü anlatmak, örneğin verinin hesap açık olduğu sürece ya da yasal bir yükümlülük gerektirdiği sürece saklandığını belirtmek, daha açık bir ifadedir.
KVKK aydınlatma metniyle ilişkisi nedir?
6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veri işleyen veri sorumlusuna, ilgili kişiyi aydınlatma yükümlülüğü getirir. Aydınlatma, genel olarak veri sorumlusunun kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplanma yöntemini ve hukuki sebebini ve ilgili kişinin haklarını içerir.
Mağaza gizlilik politikası bu bilgilerin büyük bölümünü zaten barındırır. Bazı işletmeler tek bir metinle her iki ihtiyacı karşılar, bazıları ise ayrı bir aydınlatma metni sayfası yayımlar. Önemli olan, Türkiye'deki kullanıcılar için KVKK'nın aradığı içeriğin eksiksiz verilmesi ve iki metnin birbiriyle çelişmemesidir.
İki ayrıntıya dikkat edin. Birincisi, aydınlatma ile açık rıza aynı şey değildir. Pazarlama bildirimi gibi rıza gerektiren işlemler için rıza, aydınlatmadan ayrı, bilinçli ve geri alınabilir biçimde alınmalıdır. İkincisi, bulut hizmeti kullanıyorsanız verilerin yurt dışına aktarılması söz konusu olabilir ve bu durumun kendine özgü kuralları vardır. Bu konuları hukukçunuzla netleştirmenizi öneririz.
Politika ile aydınlatma metni arasındaki tutarlılığı sağlamanın en pratik yolu, ikisini de aynı veri envanterinden üretmektir. Envanter güncellendiğinde iki metin birlikte güncellenir ve çelişki riski azalır.
Politikayı nerede ve nasıl yayımlamalı?
Politikanın yayımlanma biçimi, içeriği kadar önemlidir. Kontrol edilecek noktalar şunlardır:
- Herkesin giriş yapmadan açabildiği, kalıcı bir web adresi.
- PDF yerine mobil ekranda rahat okunan bir web sayfası.
- Aynı adresin mağaza formunda ve uygulamanın içinde (ayarlar ya da kayıt ekranı) verilmesi.
- Uygulamanın dilinde yayımlanması.
- Adresin değişmemesi; metni, uygulama güncellemesi yayımlamadan değiştirebilmeniz.
Uygulamanız birden çok dilde sunuluyorsa politikayı da ilgili dillerde yayımlamak ve dil sürümleri arasında anlam farkı oluşmamasına dikkat etmek gerekir. Uygulamayı kullanıma sunmadan önce bağlantıyı gerçek bir telefonda, oturum açmadan ve farklı bir ağdan açarak denemek de basit ama etkili bir kontroldür.
Mağazaların veri beyanı formları da bu aşamada devreye girer. Google Play'deki veri güvenliği bölümü ve App Store'daki gizlilik ayrıntıları, uygulamanın hangi verileri topladığını kullanıcıya özet olarak gösterir. Politika, bu beyan ve uygulamanın gerçek davranışı tutarlı olmalıdır; tutarsızlık inceleme sırasında sorun çıkarabilir. Uygulamaya yeni bir bileşen eklediğinizde üçünü birlikte güncelleyin.
Politikayı güncel tutmak
Gizlilik politikası bir kez yazılıp bırakılan bir belge değildir. Şu durumlarda gözden geçirilmelidir:
- Uygulamaya yeni bir özellik, izin ya da üçüncü taraf bileşen eklendiğinde.
- Verilerin saklandığı yer ya da aktarıldığı taraf değiştiğinde.
- Şirket bilgileri ya da iletişim adresi değiştiğinde.
- Mevzuat veya mağaza kuralları güncellendiğinde.
Metne son güncelleme tarihini yazın, önemli değişiklikleri kullanıcılara bildirin ve eski sürümleri saklayın. Yayın kontrol listenize "politika güncel mi?" maddesini eklemek, bunu unutmayı önler.
Güncelleme sırasında geçmiş verilerle ilgili durumu da düşünün. Yeni bir amaçla veri işleyecekseniz mevcut kullanıcıların bundan haberdar edilmesi ve gerekiyorsa yeniden onay alınması gerekebilir. Bu durum hukuki değerlendirme gerektirir; bu yüzden büyük veri akışı değişikliklerini yayından önce bir hukukçuyla gözden geçirmek isabetlidir.
Yayımladığımız örnek politikalar
Yapının nasıl göründüğüne bakmak isterseniz, kendi uygulamalarımız için hazırladığımız iki örneği inceleyebilirsiniz: bir mobil uygulama için hazırladığımız örnek politika ve bir uzaktan izleme uygulaması için hazırladığımız örnek politika. Başlık düzeni size fikir verebilir, ancak sizin uygulamanız farklı verileri farklı amaçlarla işliyor olabilir.
Örnek metinleri incelerken veri sorumlusunun nasıl tanıtıldığına, toplanan verilerin nasıl listelendiğine, hakların ve başvuru yolunun nasıl anlatıldığına bakmak yeterlidir. Cümleleri olduğu gibi kopyalamak yerine, kendi veri envanterinizden yola çıkarak metni baştan kurmak hem daha doğru hem daha güvenli bir yoldur.
Örnek metinler hukuki tavsiye değildir; kendi uygulamanıza göre düzenleyin ve gerekirse bir hukukçuya danışın. Çalışanlar üzerinde izleme niteliği taşıyan uygulamalarda ek olarak bilgilendirme ve ölçülülük konuları gündeme gelir; bunu çalışan izleme yazılımı ve KVKK yazımızda ele aldık. Uygulamanız için politikaya zemin olacak veri akışını birlikte çıkarmak isterseniz mobil uygulama geliştirme hizmetimizi inceleyebilir, sorularınızı yazılım iletişim sayfamızdan iletebilirsiniz.