Gizlilik Politikası ve KVKK Aydınlatma Metni

Hermex uygulamasının veri sorumlusu Hermex Tarım Teknolojileri A.Ş.‘dir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında veri sorumlusu olarak, kişisel verilerinizin güvenliği ve hukuka uygun şekilde işlenmesi konusunda azami özeni göstermekteyiz.

Hermex platformunu kullanımınız sırasında aşağıdaki kişisel veri kategorileri işlenmektedir:

2.1. Kimlik ve İletişim Verileri

• Telefon numarası (kimlik doğrulama ve hesap güvenliği için)
• Ad ve soyad (profil görüntüleme, topluluk özellikleri)
• E-posta adresi (isteğe bağlı)
• Arkadaşlık kodu (HMX-XXXX formatında, sosyal özellikler için)

2.2. Konum ve Tarımsal Veriler

• Tarla sınır koordinatları (GPS lat/lng poligon köşe noktaları, en fazla 20 nokta)
• Tarla merkez koordinatı (hava durumu ve analiz hizmetleri için)
• Tarla alanı (metrekare cinsinden)
• Şehir ve ilçe bilgisi (bölgesel sohbet odaları ve hava durumu için)
• Mahsul türü ve ekim tarihi
• Sulama tipi, su kaynağı ve sulama sıklığı bilgileri
• Toprak sorunu işaretleri ve profil soru cevapları

2.3. Sağlık Verileri (Özel Nitelikli Kişisel Veri)

• Bitki hastalık analizi sonuçları (hastalık adı, şiddet, güven skoru)
• Hastalık fotoğrafları (çektiğiniz bitki fotoğrafları, max 10MB)

Not: Sağlık verileri KVKK m.6 kapsamında özel nitelikli kişisel veri olarak değerlendirilir ve yalnızca açık rızanız ile işlenir. İşleme için en üst düzey teknik ve idari tedbirler uygulanmaktadır.

2.4. Finansal Veriler

• Tarımsal gelir ve gider kayıtları
• İşlem kategorileri ve notlar
• Tarla bazlı maliyet takibi

2.5. Sosyal ve İletişim Verileri

• Sohbet odası mesajları (grup ve özel mesajlar)
• Arkadaşlık istekleri ve durumları
• Engelleme kayıtları
• Oda üyelikleri ve rolleri
• Oda katılma istekleri ve yanıtları

2.6. Teknik Veriler

• IP adresi (güvenlik ve rate limiting için)
• FCM (Firebase Cloud Messaging) push bildirim token'ı
• Cihaz bilgileri (push bildirim hedefleme için)
• JWT access ve refresh token'ları
• Uygulama kullanım istatistikleri (anonimleştirilmiş)

2.7. Analiz ve Uyarı Verileri

• AI analiz sonuçları (hastalık riski, sulama önerisi, hasat tahmini)
• Hava durumu ve iklim verileri (Open-Meteo, NASA POWER proxy'si üzerinden)
• Toprak verileri (SoilGrids proxy'si üzerinden)
• NDVI ve spektral indeksler (Sentinel Hub proxy'si üzerinden)
• Uyarı ve alert kayıtları

Kişisel verileriniz aşağıdaki amaçlarla işlenmektedir:

1. Hesap oluşturma ve yönetimi: Telefon numarası ile kimlik doğrulama, JWT tabanlı oturum yönetimi, hesap güvenliği.
2. Tarımsal alan yönetimi ve izleme: Tarla tanımlama, alan hesaplama, konum bazlı hava durumu ve analiz hizmetleri.
3. AI destekli bitki sağlığı analizi: 10 epidemiyolojik hastalık modeli, 4 zararlı modeli, toprak ve iklim verileriyle entegre analiz.
4. Hava durumu tahmini ve tarımsal uyarılar: Don riski, ısı stresi, sulama, hastalık ve rüzgar uyarıları.
5. Sulama, gübreleme ve hasat optimizasyonu: FAO-56 bazlı ET0 hesaplaması, Kc değerleri, GDD hesaplaması.
6. Çiftçi-to-çiftçi iletişim: Bölgesel sohbet odaları, özel mesajlaşma, arkadaşlık sistemi.
7. Bildirim ve alarm sistemi: Push bildirimler (HIGH/CRITICAL uyarılar), realtime sohbet bildirimleri.
8. Finansal takip ve raporlama: Gelir-gider kaydı, kârlılık analizi, PDF rapor oluşturma.
9. Hizmet kalitesi iyileştirme: Hata izleme (Sentry), performans analizi, kullanım istatistikleri (anonimleştirilmiş).
10. Güvenlik ve dolandırıcılık önleme: Rate limiting, brute-force koruması, audit log kayıtları.
11. Yasal yükümlülüklerin yerine getirilmesi: Vergi mevzuatına uygun finans kayıt saklama, yasal taleplere yanıt.

Kişisel verileriniz, hizmet sağlayıcılarımızla yalnızca hizmetin gerektirdiği ölçüde ve sözleşmesel güvenceler altında paylaşılmaktadır. Verileriniz asla pazarlama amacıyla üçüncü taraflarla paylaşılmaz.

Önemli: Open-Meteo, NASA POWER, SoilGrids, OpenTopoData ve OpenStreetMap gibi ücretsiz kamu veri kaynaklarına yönelik istekler backend sunucumuz üzerinden proxy'lenir. Cihazınızdan doğrudan bu servislere istek gönderilmez.

KVKK m.9 uyarınca, kişisel verileriniz yurt dışına aktarılmadan önce gerekli güvenceler sağlanmaktadır. Aşağıdaki tablo yurt dışı aktarımlarını özetlemektedir:

ABD'ye yapılan aktarımlarda, KVKK Kurulu'nun 10 Temmuz 2024 tarihli kararı uyarınca onaylanmış Standart Sözleşme Maddeleri (SCCs) kullanılmakta ve aktarım Kurula 5 iş günü içinde bildirilmektedir.

Kişisel verileriniz aşağıdaki süreler boyunca saklanmaktadır:

Saklama süresi dolan veriler silinir, yok edilir veya anonimleştirilir. Anonimleştirilmiş veriler istatistiksel amaçlarla kullanılabilir.

8.1. Teknik Tedbirler

• TLS 1.3: Tüm veri iletişimi uçtan uca şifrelenmiş olarak gerçekleşir.
• AES-256-GCM: Telefon numarası, isim, e-posta ve FCM token'ları deterministik/rastgele şifreleme ile PostgreSQL'de saklanır.
• SQLCipher: Mobil cihazdaki yerel veritabanı 256-bit şifreleme ile korunur; şifreleme anahtarı FlutterSecureStorage'da tutulur.
• bcrypt: OTP kodları ve refresh token hash'leri bcrypt ile saklanır.
• JWT HS256: Access token 15 dakika, refresh token 30 gün geçerlilik süresine sahiptir; refresh token rotasyonu uygulanır.
• Rate Limiting: OTP gönderimi (telefon başına 3/15dk, IP başına 5/saat), brute-force koruması (3 deneme/30dk).
• Helmet ve CORS: API güvenlik başlıkları ve cross-origin kısıtlamaları.
• Input Validasyonu: Tüm kullanıcı girişleri class-validator ile doğrulanır ve sanitize edilir.
• Path Traversal Koruması: Dosya erişimlerinde normalize ve prefix kontrolü.
• SSRF Savunması: Harici URL çağrılarında protokol kontrolü, private IP reddi, DNS validasyonu, redirect limiti (max 3).

8.2. İdari Tedbirler

• Erişim kontrol matrisi (sadece yetkili personel veritabanına erişebilir)
• Personel gizlilik taahhütnamesi
• Düzenli güvenlik denetimleri ve penetrasyon testleri
• Veri ihlali müdahale ve bildirim planı (72 saat içinde KVKK'ya bildirim)
• Yıllık personel KVKK ve veri güvenliği eğitimi

KVKK m.11 uyarınca aşağıdaki haklara sahipsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme — Veri kayıt sistemimizde verilerinizin bulunup bulunmadığını talep edebilirsiniz.
2. İşlenmişse bilgi talep etme — Hangi verilerinizin, ne amaçla, hangi yöntemle işlendiğini öğrenebilirsiniz.
3. İşleme amacını ve amaca uygunluğunu öğrenme — Verilerinizin kullanım amaçlarını ve bu amaçlara uygunluğunu denetleyebilirsiniz.
4. Yurt içi/yurt dışı aktarım alıcılarını bilme — Verilerinizin kimlerle paylaşıldığını öğrenebilirsiniz.
5. Eksik/yanlış verilerin düzeltilmesini isteme — Profil bilgilerinizdeki hataları düzeltebilirsiniz.
6. Silme veya yok edilmesini isteme (“unutulma hakkı”) — Hukuki sebep kalktığında verilerinizin silinmesini talep edebilirsiniz.
7. Aktarım bildirimi — Düzeltme veya silme işleminin üçüncü taraflara bildirilmesini isteyebilirsiniz.
8. İşlemeye itiraz etme — Meşru menfaat temelindeki işlemelere itiraz edebilirsiniz.
9. Zararın giderilmesini talep etme — Kanuna aykırı işlemeden doğan zararınızın tazmin edilmesini isteyebilirsiniz.

Web sitemizde ve mobil uygulamamızda çerezler ve benzeri teknolojiler kullanılmaktadır. KVKK Kurul Kararı 2022/1358 uyarınca çerez kullanımına ilişkin bilgilendirme aşağıdadır:

10.1. Zorunlu Çerezler

Uygulamanın temel işlevlerini yerine getirmesi için gerekli çerezlerdir. Bu çerezler devre dışı bırakılamaz. Örneğin: oturum yönetimi, güvenlik token'ları, CSRF koruması.

10.2. Analitik Çerezler

Uygulama performansını ve kullanım istatistiklerini anlamak için anonimleştirilmiş veri toplayan çerezlerdir. Bu çerezler için açık rızanız gerekir. Google Analytics ve Sentry kullanılabilir.

10.3. Çerez Yönetimi

Tarayıcı ayarlarınızdan çerezleri yönetebilir, silebilir veya çerez kullanımını tamamen devre dışı bırakabilirsiniz. Mobil uygulamada çerez ayarları uygulama içi Gizlilik Ayarları menüsünden yönetilebilir.

KVKK Kurul Kararı 2026/347 uyarınca, aydınlatma metni ile açık rıza metni ayrıdır. Aşağıdaki işlemler için granüler ve isteğe bağlı açık rızalar alınmaktadır:

Bu rızalar isteğe bağlıdır; vermemeniz durumunda uygulamanın temel işlevlerini kullanmaya devam edebilirsiniz. Rızalarınızı istediğiniz zaman uygulama içi Gizlilik Ayarları'ndan veya kvkk@hermextarim.com adresinden geri çekebilirsiniz.

Hermex, 18 yaş altı kullanıcıların platformu veli gözetiminde kullanmasını önerir. 13 yaş altı çocukların bilerek kişisel verisini toplamamaktayız. 13 yaş altı bir çocuğun verisinin toplandığını fark edersek, bu verileri derhal sileriz.

Kişisel verilerinizin güvenliğini ihlal eden bir olay meydana gelmesi durumunda, KVKK m.12/5 uyarınca olayı öğrenmemizden itibaren en geç 72 saat içinde KVKK Kurulu'na bildirimde bulunulacaktır. Yüksek risk oluşturan ihlallerde, ilgili kişilere makul sürede bireysel bildirim yapılacaktır.

Bu Gizlilik Politikası, KVKK ve ilgili mevzuat hükümlerindeki değişiklikler doğrultusunda güncellenebilir. Önemli değişikliklerde, uygulama içi bildirim ve kayıtlı e-posta adresinize bilgilendirme yapılacaktır. Politikanın güncel versiyonu her zaman web sitemizde ve uygulamamızda yayınlanmaktadır. Son güncelleme tarihi sayfanın başında belirtilmektedir.

Bu Gizlilik Politikası ve kişisel verilerinizin işlenmesine ilişkin tüm sorularınız için bize ulaşabilirsiniz:

Bu politika bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Özellikle sağlık verisi işleme, AI önerilerinin hukuki sorumluluğu ve yurt dışı veri aktarımı konularında uzman görüşü önerilmektedir.