Kur-alApp Gizlilik Politikası ve KVKK Aydınlatma Metni
Son güncelleme: 24.08.2026 Yürürlük tarihi: 18.08.2026 Uygulanacağı ürün: Kur-alApp mobil uygulaması (iOS ve Android) ve https://kur-al.com.tr
Bu metin hem 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) md.10 kapsamındaki aydınlatma yükümlülüğünü yerine getirir, hem de App Store ve Google Play’in zorunlu kıldığı gizlilik politikası işlevini görür.
1. Veri sorumlusu
| Unvan | KURAL FİNANSAL TEKNOLOJİLER YAZILIM VE DANIŞMANLIK A.Ş. |
| Adres | Üniversiteler Mahallesi, 1597. Cadde, Bilkent Center AVM, No: 3, İç Kapı No: 104, Zemin Kat, 06800 Bilkent, Çankaya/Ankara |
| MERSİS No | 0593130097500001 |
| KVKK başvuru e-postası | [email protected] |
| Destek e-postası | [email protected] |
| İnternet sitesi | https://kur-al.com.tr |
Bu metinde “biz”, “Şirket” veya “Kur-alApp” ifadeleri KURAL FİNANSAL TEKNOLOJİLER YAZILIM VE DANIŞMANLIK A.Ş.‘yi; “siz” veya “kullanıcı” ifadeleri uygulamayı kullanan gerçek kişiyi ifade eder.
2. Kur-alApp ne yapar?
Kur-alApp bir fiyat teklifi (ihale) platformudur. Döviz almak veya satmak isteyen kullanıcı talebini yayınlar, döviz büroları bu talebe rekabetçi fiyat teklifleri verir, kullanıcı gelen teklifleri karşılaştırıp birini seçer. Uygulama:
- Türkiye Cumhuriyet Merkez Bankası’nın (TCMB) günlük kur verisini yalnızca bilgilendirme amacıyla gösterir,
- kullanıcının talebini (tutar, döviz cinsi, alış/satış yönü) oluşturmasını sağlar,
- talebi ilgili döviz bürolarına push bildirimle duyurur,
- gelen teklifleri toplayıp karşılaştırılabilir biçimde gösterir ve kullanıcının birini seçmesini sağlar.
Kur-alApp döviz ticareti yapmaz. Döviz alım satımına taraf değildir, kambiyo işlemi yapmaz, kur belirlemez, kullanıcı adına para veya döviz muhafaza etmez ve ödeme aracılığı yapmaz. Platformun konusu fiyatın bulunmasıdır; işlemin kendisi — ödemenin yapılması ve dövizin teslimi — tarafların beyan ettiği banka hesapları (IBAN) üzerinden, tamamen uygulama dışında ve Kur-alApp’ın hiçbir rolü olmaksızın gerçekleşir. Uygulamada görünen “Ödeme Bekliyor” gibi durum bilgileri yalnızca tarafların kendi beyanına dayanan etiketlerdir; Kur-alApp ödemenin yapılıp yapılmadığını görmez ve doğrulamaz.
3. İşlediğimiz kişisel veriler
3.1 Sizin girdiğiniz veriler
| Kategori | Veriler | Ne zaman toplanır |
|---|---|---|
| Kimlik | Ad soyad, T.C. kimlik numarası | Kayıt sırasında |
| İletişim | E-posta adresi, telefon numarası, şehir, ilçe | Kayıt sırasında |
| Müşteri işlem / finans | Banka adı, IBAN, hesap adı, hesap para birimi; döviz talepleriniz (tutar, döviz cinsi, alış/satış yönü, tarih) ve aldığınız/verdiğiniz teklifler | Hesap eklerken ve işlem yaparken |
| Mesleki / ticari (yalnızca döviz bürosu kullanıcıları) | İşletme adı, vergi dairesi, vergi numarası, işyeri adresi, şehir/ilçe, işletme iletişim bilgileri | Kayıt sırasında ve “İşletmem” ekranından güncellenirken |
| İşletme üyeliği (yalnızca döviz bürosu kullanıcıları) | Bağlı olduğunuz işletme, işletme içindeki rolünüz (yönetici veya personel), size tanınan işlem yetkileri, üyeliğe katılma tarihiniz ve sizi davet eden yöneticinin kimliği | Üyelik kurulurken ve yetkiler değiştirildiğinde |
| İşletme içi işlem kaydı (yalnızca döviz bürosu personeli) | İşletmede yaptığınız yönetimsel işlemler (üye ve yetki değişiklikleri, hesap tanımlama) ile verdiğiniz ve kazandığınız tekliflerin sayısı ve tutarı — bunları işletme yöneticiniz görebilir | İşlem yaptığınız anda, otomatik |
| Hesap güvenliği | Şifreniz — açık metin olarak saklanmaz, yalnızca bcrypt algoritmasıyla üretilen özeti (hash) tutulur | Kayıt ve şifre değişiminde |
| Onay kayıtları | KVKK aydınlatma metnini ve Kullanım Koşulları’nı onayladığınız bilgisi ve zamanı | İlk girişte |
3.2 Uygulamayı kullanırken otomatik oluşan veriler
| Kategori | Veriler | Amaç |
|---|---|---|
| Cihaz / bildirim | Push bildirim cihaz tokenı ve platform bilgisi (iOS/Android) | Size bildirim gönderebilmek |
| Cihaz kimliği | Uygulamanın kurulum sırasında ürettiği ve her istekte gönderdiği kalıcı bir cihaz kimliği (reklam kimliği değildir, sizi başka uygulamalarda tanımlamaz) | Oturumunuzu kullandığınız cihaza bağlamak; çalınmış bir oturumu fark edip düşürmek |
| İşlem güvenliği (log) | İstek zamanı, çağrılan servis yolu, IP adresi | Güvenlik, hata ayıklama, kötüye kullanımın tespiti |
| Oturum | Giriş sonrası üretilen oturum anahtarı — cihazınızda iOS Keychain / Android Keystore içinde şifreli saklanır | Oturumun sürekliliği |
3.3 Toplamadığımız veriler
Rehberinize, fotoğraflarınıza, kameranıza, mikrofonunuza, SMS ve arama kayıtlarınıza erişmiyoruz. Reklam kimliğinizi (IDFA/AAID) kullanmıyor, uygulama içi veya uygulamalar arası reklam takibi yapmıyoruz. Uygulamada reklam gösterilmez ve uygulama içi satın alma yoktur. Sosyal medya hesabıyla giriş özelliği bulunmaz. Uygulamada analitik (analytics) veya çökme raporlama (crash reporting) aracı kullanılmaz.
3.4 Konum verisi
Uygulama konum bilginizi toplamaz ve kullanmaz. Uygulama hiçbir aşamada cihazınızdan konum izni istemez.
4. İşleme amaçlarımız ve hukuki sebepleri (KVKK md.5)
| Amaç | İşlenen veriler | Hukuki sebep |
|---|---|---|
| Hesabınızı oluşturmak, kimliğinizi doğrulamak, oturumunuzu yönetmek | Kimlik, iletişim, şifre özeti | Sözleşmenin kurulması ve ifası (md.5/2-c) |
| Döviz talebinizi oluşturmak, ilgili bürolara iletmek, teklifleri göstermek | İşlem, finans, iletişim | Sözleşmenin ifası (md.5/2-c) |
| İşlem taraflarının kimliğini tespit etmek ve finansal mevzuattan doğan yükümlülükleri yerine getirmek | T.C. kimlik no, vergi no, işlem kayıtları | Hukuki yükümlülük (md.5/2-ç) |
| Ödeme/havalenin doğru hesaba yapılabilmesi | Banka adı, IBAN, hesap adı | Sözleşmenin ifası (md.5/2-c) |
| Talep, teklif ve işlem durumu hakkında bildirim göndermek | Cihaz tokenı, e-posta | Sözleşmenin ifası (md.5/2-c) |
| Sistem güvenliğini sağlamak, hataları tespit etmek, kötüye kullanımı önlemek | Log kayıtları, IP | Meşru menfaat (md.5/2-f) |
| Uyuşmazlık halinde hakkımızı savunmak | İşlem ve onay kayıtları | Hakkın tesisi/kullanılması/korunması (md.5/2-e) |
| Döviz bürosu hesaplarında işletme yapısını kurmak; personeli yetkilendirmek ve yetkilerini sınırlandırmak | İşletme üyeliği, rol, yetkiler | Sözleşmenin ifası (md.5/2-c) |
| İşletmede kimin hangi yönetimsel işlemi yaptığını kayıt altına almak, işletme yöneticisine raporlamak; yetkisiz işlem ve kötüye kullanımı tespit etmek | İşletme içi işlem kaydı | Meşru menfaat (md.5/2-f) |
| İşletmeye personel daveti gönderebilmek | Davet edilen kişinin ad ve e-postası | Meşru menfaat (md.5/2-f) |
Yasal zorunluluk veya sözleşmenin ifası dışındaki bir amaçla veri işlememiz gerekirse önceden açık rızanızı isteriz.
İşletme içi işlem kaydı hakkında: Bu kayıt yalnızca bağlı olduğunuz işletmenin yöneticisine açıktır; başka işletmeler veya diğer kullanıcılar göremez. Genel performans değerlendirmesi ya da münhasıran otomatik sistemlerle karar verme amacıyla kullanılmaz. Kaydın tutulduğu, işletme ekranlarında personele açıkça bildirilir — gizli bir izleme yapılmaz.
5. Kimlere aktarıyoruz?
| Alıcı | Aktarılan veri | Neden |
|---|---|---|
| İşleminizin karşı tarafı (döviz bürosu veya müşteri) | Ad soyad, iletişim bilgisi ve seçilen banka hesabı (IBAN) bilgileri — yalnızca eşleşen ve kabul edilen bir işlem varsa. Karşı taraf bir döviz bürosu ise bu bilgiler o işletmenin yöneticisi ve yönetici tarafından yetkilendirilmiş personeli tarafından görülebilir | İşlemin tamamlanabilmesi |
| Bağlı olduğunuz işletmenin yöneticisi (yalnızca büro personeli iseniz) | Ad soyad, e-posta, telefon, işletme içindeki rolünüz ve yetkileriniz ile işletme içi işlem kaydınız | İşletmenin kendi ekibini yönetebilmesi ve denetleyebilmesi |
| Google (Firebase Cloud Messaging) | Cihaz push tokenı ve bildirim içeriği | Push bildirim iletimi |
| Google (Gmail / Workspace SMTP) | E-posta adresiniz ve gönderilen e-posta içeriği | Rapor ve bilgilendirme e-postaları |
| SH Online İletişim A.Ş. (Türkiye) | Veritabanı ve loglardaki tüm veriler | Sunucu barındırma |
| Yetkili kamu kurum ve kuruluşları | Talep edilen veriler | Kanuni talep halinde (KVKK md.8/2, md.28) |
Kişisel verilerinizi pazarlama amacıyla satmıyor, kiralamıyor veya üçüncü taraflara devretmiyoruz. Yukarıdaki hizmet sağlayıcılar bizim adımıza ve talimatımızla hareket eden veri işleyenlerdir.
Verileriniz nerede saklanıyor? Veritabanımız ve sunucu loglarımız Türkiye’de, SH Online İletişim A.Ş.‘nin veri merkezinde barındırılır. Kimlik, iletişim, banka hesabı ve işlem verileriniz yurt dışına taşınmaz.
Yurt dışına aktarım: Yalnızca iki hizmet yurt dışına aktarım içerir:
| Hizmet | Aktarılan veri | Amaç |
|---|---|---|
| Google — Firebase Cloud Messaging | Cihaz push tokenı ve bildirim içeriği | Size push bildirimi ulaştırmak |
| Google — Gmail / Workspace SMTP | E-posta adresiniz ve gönderilen e-postanın içeriği | Rapor ve bilgilendirme e-postalarını göndermek |
Google’ın sunucuları Türkiye dışında (ABD dahil) bulunabilir. Bu aktarımlar KVKK md.9 kapsamında, Google ile imzalanan standart sözleşme esas alınarak yapılır ve md.9/2 uyarınca Kişisel Verileri Koruma Kurumu’na bildirilmiştir.
6. Veri güvenliği
- Uygulama ile sunucularımız arasındaki tüm trafik TLS/HTTPS ile şifrelenir; uygulama şifrelenmemiş bağlantılara izin vermeyecek şekilde yapılandırılmıştır.
- Şifreler geri döndürülemez biçimde (bcrypt) özetlenerek saklanır; kimse açık şifrenizi göremez.
- Oturum anahtarı cihazınızda işletim sisteminin güvenli deposunda (iOS Keychain / Android Keystore) tutulur.
- Kimlik doğrulaması ve yetki kontrolü merkezi bir API ağ geçidinde yapılır; kullanıcılar yalnızca kendi kayıtları üzerinde işlem yapabilir.
- Veritabanı erişimi yetkili personelle sınırlıdır ve erişimler loglanır.
Hiçbir sistem %100 güvenli değildir; veri ihlali yaşanması halinde KVKK md.12/5 uyarınca ilgili kişilere ve Kişisel Verileri Koruma Kurulu’na en kısa sürede (72 saat içinde) bildirim yaparız.
7. Saklama süreleri
| Veri | Süre |
|---|---|
| Hesap ve profil bilgileri | Hesabınız aktif olduğu sürece; silme talebinden sonra kişisel verileriniz derhal silinir/anonimleştirilir ve teknik yedeklerden en geç 1 ay içinde çıkar |
| Banka hesabı (IBAN) bilgileri | Hesabınız aktif olduğu sürece; hesap silmede silinir |
| Talep, teklif ve işlem kayıtları | Mevzuat gereği 5 yıl; bu süre boyunca kimlik bilgilerinizden ayrıştırılmış olarak tutulur |
| Push cihaz tokenı | Hesap silinene veya bildirim izni kapatılana kadar |
| Sunucu logları (IP dahil) | 5 yıl |
| Onay (KVKK / sözleşme) kayıtları | İspat yükümlülüğü süresince (5 yıl) |
| Kabul edilmemiş personel davetleri | Davetteki ad ve e-posta, davet iptal edildikten veya süresi dolduktan sonra en geç 90 gün içinde silinir veya anonim hale getirilir |
| İşletme içi işlem kaydı | İşletmenin denetim ihtiyacı için 2 yıl; süre sonunda silinir |
| İşletme ve üyelik kayıtları | İşletme faaliyette olduğu sürece. Bir personelin üyeliği sona erdiğinde kayıt pasifleştirilir; geçmiş işlemlerin kime ait olduğunun izlenebilirliği için tamamen silinmez |
Süre dolduğunda veriler silinir, yok edilir veya anonim hale getirilir.
8. Haklarınız (KVKK md.11)
Kişisel verilerinizle ilgili olarak:
- işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme,
- işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
- yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme,
- eksik veya yanlış işlenmişse düzeltilmesini isteme,
- şartları oluştuğunda silinmesini veya yok edilmesini isteme,
- düzeltme/silme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme,
- otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç doğmasına itiraz etme,
- kanuna aykırı işleme nedeniyle zarara uğramanız halinde zararın giderilmesini talep etme
haklarına sahipsiniz.
Başvuru: Taleplerinizi [email protected] adresine e-posta ile veya Üniversiteler Mahallesi, 1597. Cadde, Bilkent Center AVM, No: 3, İç Kapı No: 104, Zemin Kat, 06800 Bilkent, Çankaya/Ankara adresine yazılı olarak iletebilirsiniz. Başvurularınız en geç 30 gün içinde ücretsiz olarak sonuçlandırılır (işlemin ayrıca maliyet gerektirmesi halinde Kurul tarifesindeki ücret alınabilir).
Hesabınızı ve verilerinizi silmenin adım adım yolu için: https://kur-al.com.tr/hesap-silme (uygulama içinde Profil ekranından da silebilirsiniz).
9. Çocukların verileri
Kur-alApp 18 yaşından küçüklere yönelik değildir ve 18 yaşından küçüklerden bilerek kişisel veri toplamayız. 18 yaşından küçük bir kullanıcıya ait veri topladığımızı öğrenirsek ilgili hesabı ve verileri sileriz. Bu durumu [email protected] adresine bildirebilirsiniz.
10. Kur verisi hakkında
Uygulamada gösterilen kurlar TCMB’nin kamuya açık günlük kur servisinden (https://www.tcmb.gov.tr/kurlar/today.xml) doğrudan cihazınız tarafından çekilir. Bu istek sırasında TCMB’ye kişisel veriniz gönderilmez; yalnızca standart bir internet isteğinde olduğu gibi IP adresiniz karşı tarafça görülür. Kur bilgileri bilgilendirme amaçlıdır, yatırım tavsiyesi değildir ve gecikmeli olabilir.
11. Bu politikadaki değişiklikler
Politikayı güncellediğimizde bu sayfadaki “son güncelleme” tarihini değiştiririz. Önemli değişikliklerde uygulama içinde bildirim gösteririz ve gerekiyorsa yeniden onayınızı isteriz.
12. İletişim
| Genel destek | [email protected] |
| KVKK / veri talepleri | [email protected] |
| Posta | KURAL FİNANSAL TEKNOLOJİLER YAZILIM VE DANIŞMANLIK A.Ş., Üniversiteler Mahallesi, 1597. Cadde, Bilkent Center AVM, No: 3, İç Kapı No: 104, Zemin Kat, 06800 Bilkent, Çankaya/Ankara |