KVKK Aydınlatma Metni

1. Bu metin ne anlatır, ne anlatmaz

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 10. maddesindeki aydınlatma yükümlülüğünü yerine getirmek için hazırlanmıştır. Amacı tek bir şeydir: hangi kişisel verinizin, hangi amaçla, hangi hukuki sebeple işlendiğini ve kimlere aktarıldığını size anlatmak.

• Bu bir bilgilendirmedir. Kabul edeceğiniz bir sözleşme değildir ve bir onay kutusu değildir.
• Sitede “KVKK Aydınlatma Metni’ni kabul ediyorum” diye bir kutu yoktur; olmayacaktır da. Aydınlatma ile açık rıza ayrı işlerdir. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-f, bu ikisinin ayrı ayrı yürütülmesini açıkça arar. Bu metnin önceki sürümü ikisini birleştiriyordu; o cümle kaldırılmıştır.
• Açık rızanın gerçekten alındığı iki yer vardır ve ikisi de bu metnin dışındadır: çerez izni bandı ve kayıt sırasındaki bülten kutusu. İkisi de 5. bölümde anlatılmıştır.
• Şu an yeni hesap açılışı kapalıdır: kayıt istekleri kimlik doğrulama sağlayıcısı düzeyinde reddedilmektedir, yani bugün yeni bir hesap oluşturulamaz. Kayıt açıldığında bu metin olduğu gibi geçerli olacaktır.

2. İşlenen kişisel veriler

Aşağıdaki liste, sistemin gerçekten tuttuğu kayıtlardır.

• Kimlik ve iletişim. E-posta adresiniz. Girişte şifre kullanılmaz — sitenin hiçbir yerinde şifre alanı yoktur; bu yüzden şifre işlemeyiz ve saklamayız. Giriş, e-postanıza gönderilen tek seferlik bağlantıyla veya “Google ile devam et” ile yapılır. Google’ı seçerseniz, Google’ın kimlik doğrulama sırasında ilettiği hesap kimliğiniz, e-posta adresiniz ve genel profil bilgileriniz (adınız, profil fotoğrafınızın adresi) kimlik doğrulama altyapımızda saklanır.
• Hesap ve tercih verileri. Görünen adınız, planınız (Ücretsiz, Mergen, Mergen Pro), kredi bakiyeniz, dil ve tema tercihiniz, bülten tercihiniz.
• Portföy takip kayıtları. Portföy bölümüne kendi elinizle girdiğiniz işlem kayıtları ve notlarınız. Bunlar sizin beyanınızdır; gerçek varlıklarınıza karşılık gelip gelmediğini doğrulamayız ve hiçbir banka, borsa veya cüzdan hesabınıza bağlanmayız.
• Kredi sistemi kayıtları. Kredi bakiyenizin nasıl oluştuğuna ve nasıl harcandığına dair hesap içi kayıtlar.
• Teknik kayıtlar. Sunucu erişim kayıtlarımıza IP adresiniz, tarayıcı bilginiz ve istediğiniz sayfanın adresi yazılır. Bunlar hizmetin güvenliği ve kötüye kullanımın önlenmesi için tutulur.
• Çerezler ve tarayıcı depolaması. Tam liste tek bir yerde durur: Çerez Politikası (/cerez-politikasi). Bu metin o tabloyu tekrar etmez. Sebebi şudur: çerez listesi kodun kendisinden çıkarılır ve kod değiştiğinde orası değişir; iki yerde tutulan bir liste er geç ikiye ayrılır.
• İşlemediklerimiz. Ödeme ve kart bilgisi almıyoruz, saklamıyoruz — sitede henüz bir ödeme adımı yoktur (bkz. 4. bölüm). Sizden özel nitelikli kişisel veri (sağlık, inanç, biyometrik veri gibi) istemiyoruz; böyle bir alan yoktur. Reklam ağı, piksel, etiket yöneticisi veya ayrı bir analitik sağlayıcısı kullanmıyoruz. Kişisel verilerinizi satmıyoruz ve pazarlama amacıyla üçüncü kişilerle paylaşmıyoruz.

3. Bu verileri kim işliyor — veri sorumlusu

KVKK anlamında veri sorumlusu, mergen.finance internet sitesini işleten kişidir: [lansmanda doldurulacak].

• Adres: [lansmanda doldurulacak]
• Vergi kimlik numarası: [lansmanda doldurulacak]
• E-posta: info@mergen.finance

Kişisel verileriniz bu sıfatla, aşağıda sayılan amaçlar ve her amaç için ayrı ayrı gösterilen hukuki sebeplerle işlenir. Bu metinle ilgili sorularınızı ve KVKK m.11 kapsamındaki başvurularınızı yukarıdaki adreslere iletebilirsiniz (bkz. 9. bölüm).

4. İşleme amaçları ve her amacın hukuki sebebi

Her satır bir amaç ve o amacın dayandığı hukuki sebeptir. Bir amaç için birden çok sebep gösterilmemiştir; her işleme tek bir dayanağa oturur.

• Üyeliğin oluşturulması, girişinizin sağlanması ve hesabınızın yönetilmesi — sözleşmenin ifası (KVKK m.5/2-c). Giriş bağlantısının gönderilmesi de buna dâhildir.
• Talep ettiğiniz hizmetin sunulması — sözleşmenin ifası (m.5/2-c). Bu hizmet şunlardır: piyasa veri ekranları, kendi sözlerimizle yazılmış ve kaynağına bağlantı verilen haber özetleri, KAP bildirimlerinin okunması, yapay zekâ ile üretilen analist yorumu kimlikleri, kendi kayıtlarınızı girdiğiniz portföy takip aracı ve kredi sistemi.
• Planınızın ve kredi bakiyenizin işletilmesi — sözleşmenin ifası (m.5/2-c).
• Ödeme ve faturalandırma — sözleşmenin ifası (m.5/2-c). Bugün için geçerli değildir: sitede ödeme adımı yoktur ve bir ödeme sağlayıcısı bağlı değildir. Ödeme açıldığında bu bölüm, alınan verilerin gerçek listesiyle güncellenecektir.
• Hizmetin güvenliğinin sağlanması, kötüye kullanımın önlenmesi, hız sınırlama ve sunucu erişim kayıtlarının tutulması — veri sorumlusunun meşru menfaati (m.5/2-f).
• Mevzuatın öngördüğü saklama ve bilgi verme yükümlülüklerinin yerine getirilmesi, yetkili makamların taleplerinin karşılanması — hukuki yükümlülük (m.5/2-ç).
• Analitik: TradingView gömülü panellerinin çalıştırılması — açık rıza (m.5/1). Bu panelin kurduğu ölçümleme çerezleri (Snowplow) tek analitik kaynağımızdır ve panel, siz izin vermeden hiç yüklenmez. Rıza mekanizması çerez izni bandıdır; 5. bölümde anlatılmıştır.
• Bülten ve bilgilendirme iletilerinin gönderilmesi — açık rıza (m.5/1). İsteğe bağlıdır ve varsayılan olarak işaretsizdir.

5. Açık rızanın gerçekten alındığı iki yer — ve rızayı geri çekmek

Açık rıza, KVKK’nın en dar dayanağıdır. Onu yalnızca gerçekten gerekli olan iki yerde kullanıyoruz. İkisi de ayrı birer eylemdir; ikisini birleştiren tek bir kutu yoktur.

(a) Analitik — çerez izni bandı. Siteye geldiğinizde üç sınıflı bir izin bandı çıkar: zorunlu (her zaman açık), analitik, tercih. “Kabul et”, “Reddet” ve ayrıntılı “Tercihler” paneli aynı derecede erişilebilirdir; reddetmek kabul etmekten daha zor değildir. Analitik sınıfına izin vermediğiniz sürece TradingView paneli hiç yüklenmez: tarayıcınız TradingView’e tek bir istek bile göndermez ve hiçbir üçüncü taraf çerezi kurulmaz. İzin verirseniz panel yüklenir ve TradingView kendi ölçümleme çerezlerini kurar. Bu izin, KVKK m.5/1 anlamındaki açık rızadır — sitedeki analitik işleme için başka bir rıza mekanizması yoktur.

Seçiminiz 6 ay saklanır, sonra yeniden sorulur. Fikrinizi her an değiştirebilirsiniz: sayfanın altındaki “Çerez Tercihleri” bağlantısı aynı paneli yeniden açar. Rızayı geri çekmek, vermek kadar kolaydır — aynı panel, aynı bağlantı, aynı sayıda tıklama; bir e-posta yazmanız, bir form doldurmanız veya bir gerekçe göstermeniz gerekmez. Geri çektiğinizde panel bir daha yüklenmez. Geri çekme ileriye etkilidir; geri çekmeden önceki işleme hukuka aykırı hâle gelmez, ama o andan itibaren durur.

(b) Bülten. Kayıt sırasındaki bülten kutusu isteğe bağlıdır ve varsayılan olarak işaretsizdir. İşaretlemezseniz hiçbir şey değişmez; üyeliğiniz bundan etkilenmez. İşaretlerseniz bu tercihiniz kaydınıza yazılır ve ticari elektronik ileti gönderimi açık rızanıza dayanır (m.5/1). Vazgeçmek için info@mergen.finance adresine bir satır yazmanız yeterlidir.

Bunların dışında açık rızaya dayanan bir işleme yoktur. Özellikle: bu metni okumanız, Üyelik Şartları’nı kabul etmeniz veya hesap açmanız bir açık rıza değildir ve öyle sunulmamaktadır. Hesap açmak sizin yaptığınız bir eylemdir ve sözleşmeyi kurar; çerez bandındaki seçim ise ondan bağımsız, ikinci bir eylemdir. Hizmetin çalışması için zorunlu olan işlemeleri rızaya bağlamıyoruz — çünkü hizmetin şartına bağlanan bir rıza özgür iradeyle verilmiş sayılmaz ve geçerli olmaz.

6. Kişisel verilerin toplanma yöntemi

Kişisel verileriniz tamamen elektronik ortamda, mergen.finance üzerinden toplanır:

• hesap açma ve giriş adımlarında doğrudan sizden (e-posta bağlantısı) veya tercih etmeniz hâlinde Google’dan,
• portföy ve tercih ekranlarına kendi girdiğiniz kayıtlardan,
• tarayıcınızın her istekte gönderdiği teknik bilgilerden,
• çerezler ve tarayıcı depolamasından.

Sözlü, yazılı veya fiziksel bir toplama kanalımız yoktur. Toplamanın hukuki sebepleri 4. bölümde amaç amaç gösterilmiştir.

7. Yurt dışına aktarım (KVKK m.9)

Sunucularımızın ve altyapı sağlayıcılarımızın tamamı Türkiye dışındadır. Bunu “aktarım değil” diye sunmuyoruz: verilerin Almanya’da veya Avrupa Birliği’nde barındırılması da KVKK m.9 anlamında yurt dışına aktarımdır.

• Hetzner Online GmbH — Nürnberg, Almanya. Sitenin ve API’nin çalıştığı sunucular. Hesabınıza ait her istek bu sunuculardan geçer. Hukuki sebep: sözleşmenin ifası (m.5/2-c); erişim kayıtları bakımından meşru menfaat (m.5/2-f).
• Supabase — Amazon Web Services üzerinde, Avrupa Birliği ([lansmanda doldurulacak]). Üyelik, kimlik doğrulama ve veritabanı. Hesap, portföy ve kredi kayıtlarınız burada durur. Hukuki sebep: sözleşmenin ifası (m.5/2-c).
• Cloudflare — küresel kenar ağı. Supabase API uç noktasının önünde durur; istekleriniz oradan geçer. Hukuki sebep: sözleşmenin ifası ve güvenlik (m.5/2-c, m.5/2-f).
• Resend, Amazon SES üzerinden — İrlanda. Giriş bağlantısı e-postalarını gönderir; bu sırada e-posta adresiniz sağlayıcıya iletilir. Hukuki sebep: sözleşmenin ifası (m.5/2-c).
• Google LLC — küresel, Amerika Birleşik Devletleri dâhil. Yalnızca “Google ile devam et”i seçerseniz. Bu adımı hiç kullanmadan, e-posta bağlantısıyla giriş yapabilirsiniz; seçim sizindir ve giriş ekranında açıkça görünür. Hukuki sebep: seçtiğiniz giriş yönteminin işletilmesi, yani sözleşmenin ifası (m.5/2-c).
• TradingView — üçüncü taraf gömülü panel. Yalnızca analitik sınıfına izin verirseniz. İzin verdiğinizde tarayıcınız doğrudan TradingView’e bağlanır; TradingView IP adresinizi, tarayıcı bilginizi ve baktığınız sembolü görür ve kendi gizlilik politikası geçerli olur: https://www.tradingview.com/privacy-policy/. Hukuki sebep: açık rızanız (m.5/1 ve m.9). İzin vermezseniz bu bağlantı hiç kurulmaz.

Aktarımın hukuki çerçevesi. Kişisel Verileri Koruma Kurulu bugün itibarıyla bu ülkeler için bir yeterlilik kararı vermemiştir. Bu nedenle yukarıdaki zorunlu altyapı aktarımları, m.9’da sayılan uygun güvenceler yoluna dayandırılacaktır; bizde bunun alacağı biçim, sağlayıcılarla imzalanacak ve Kurum’a bildirilecek standart sözleşmedir. Açık olalım: bu belgelerin imzalanması ve Kurum’a bildirilmesi lansman öncesi tamamlanacak adımlar arasındadır ve bu metin, tamamlanmadan tamamlanmış gibi konuşmaz. Adım tamamlandığında bu paragraf, hangi sağlayıcı için hangi belgenin ne zaman bildirildiğini yazacak şekilde güncellenecektir.

Açıkça söyleyelim: bu aktarımlar için sizden açık rıza aldığımızı iddia etmiyoruz. Hizmetin ayakta durması için zorunlu olan bir aktarımı rızaya bağlamak size gerçek bir seçim sunmaz; böyle bir rıza özgür iradeyle verilmiş sayılmaz. Rızaya bağlı olan tek aktarım TradingView’dir ve onu istediğiniz zaman geri çekebilirsiniz.

8. Saklama süreleri

• Hesap, profil, plan ve kredi kayıtları: üyeliğiniz sürdüğü sürece. Üyeliğiniz sona erdiğinde veya silme talebinde bulunduğunuzda silinir; yasal saklama yükümlülüğü bulunan kayıtlar için o süre dolana kadar tutulur.
• Portföy takip kayıtları: siz silene ya da üyeliğiniz sona erene kadar.
• Sunucu erişim kayıtları (IP adresi, tarayıcı bilgisi, istenen adres): 14 gün. Bu süre bir ayar dosyasından değil, sunucunun kendisinden ölçülmüştür: nginx günlükleri her gün döndürülür ve 14 kopya saklanır, ve 30 Ağustos 2026 itibarıyla hayatta kalan en eski dosya 16 Ağustos 2026 tarihlidir. Uygulama günlükleri ayrıca journald’a yazılır; bunlar süreyle değil boyutla sınırlıdır (en çok 1 GB). Bu sınır bugün doludur ve en eski kaydı yine 16 Ağustos 2026’dır — yani bugün pratikte aynı 14 günlük pencere. Günlük hacmi artarsa bu pencere kısalır; azalırsa uzar.
• Çerezler ve tarayıcı depolaması: her kalemin süresi Çerez Politikası’nda tek tek yazılıdır. Hukuken en önemli iki tanesi: çerez izni seçiminiz 6 ay, oturum çerezi 30 gün saklanır.
• Ödeme ve fatura kayıtları: ödeme açıldığında, vergi ve ticaret mevzuatının öngördüğü süre boyunca saklanacaktır. Bugün böyle bir kayıt oluşmamaktadır.

İlke şudur: veri, işleme amacı ortadan kalktığında ve varsa yasal saklama yükümlülüğü sona erdiğinde silinir. Hesabınız silindiğinde hesabınıza bağlı kayıtlar (portföy, kredi defteri, tercihler) birlikte silinir.

Açık olalım: verileri süresi dolunca kendiliğinden silen otomatik bir görev henüz yoktur ve site üzerinde kendi kendine hesap silme düğmesi de bulunmamaktadır; silme talebi info@mergen.finance adresine yazılarak yapılır ve elle yerine getirilir. Otomatik silme kurulduğunda bu bölüm güncellenecektir. Gizlilik Politikası aynı şeyi söyler; iki metnin bu konuda ayrı düşmemesi gerekir.

9. İlgili kişi olarak haklarınız (KVKK m.11) ve başvuru yolu

KVKK m.11 uyarınca, veri sorumlusuna başvurarak şu haklara sahipsiniz:

• a) Kişisel verinizin işlenip işlenmediğini öğrenme.
• b) Kişisel veriniz işlenmişse buna ilişkin bilgi talep etme.
• c) İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
• ç) Yurt içinde veya yurt dışında verilerinizin aktarıldığı üçüncü kişileri bilme.
• d) Eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme.
• e) KVKK m.7’deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme.
• f) (d) ve (e) uyarınca yapılan işlemlerin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• g) İşlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme.
• ğ) Kişisel verilerinizin kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Başvuru yolu. Taleplerinizi info@mergen.finance adresine e-posta ile veya [lansmanda doldurulacak] adresine yazılı olarak iletebilirsiniz. Kimliğinizi doğrulayabilmemiz için başvurunuzu hesabınızda kayıtlı e-posta adresinden yapmanız işi hızlandırır. Başvurunuz, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır (m.13/2). Bu işlem ücretsizdir; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul’un belirlediği tarifedeki ücret alınabilir. Silme talepleri, kendi kendine silme düğmesi bulunmadığı için elle yerine getirilir.

Rızaya dayanan işlemeler için rızanızı geri çekmek başvuru gerektirmez: analitik izni için sayfanın altındaki “Çerez Tercihleri” bağlantısı yeterlidir (5. bölüm).

Başvurunuz reddedilir, verdiğimiz cevabı yetersiz bulur veya süresinde cevap alamazsanız; cevabı öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz (m.14).

10. Değişiklikler

Bu metin; işlenen veriler, amaçlar, hukuki sebepler veya aktarılan taraflar değiştiğinde güncellenir ve güncel sürüm her zaman bu sayfada yayımlanır. Çerez listesi bu metinde değil, Çerez Politikası’nda tutulur ve orada güncellenir. Çerez sınıflarının kapsamı değişirse izniniz yeniden sorulur.

11. Geçerli metin

Bu metnin Türkçe sürümü esastır. İngilizce çevirisi yalnızca kolaylık içindir; bir uyuşmazlık hâlinde Türkçe metin geçerlidir.