Mustafa Evleksiz
Gizlilik

Gizlilik politikası — FinaX

Sürüm 1.0 — 8 Ağustos 2026 · uygulama sürümü 0.2.155

Kısaca

FinaX'i nakit akışını görmek için kullanırsın. Uygulama senin girdiğin finansal kayıtları senin hesabına ait bir sunucuda saklar, başka kimseye vermez, seni takip etmez ve istediğin anda her şeyi silmene izin verir. Uzun hâli aşağıda. Bu metindeki her cümle uygulamanın kodundan çıkarıldı; bir gün kod değişirse bu sayfa da değişir.

1. Kim tutuyor bu veriyi

FinaX'i tek başına Mustafa Evleksiz geliştiriyor ve yayınlıyor.

  • E-posta: mustafa@mustafaevleksiz.com
  • Web: https://mustafaevleksiz.com

FinaX bir şirket adına değil, gerçek kişi olarak yayımlanır: Mustafa Evleksiz. Kayıtlı bir ticari unvan ya da vergi numarası yoktur. İletişim yalnızca e-posta iledir — mustafa@mustafaevleksiz.com — ve yukarıdaki adres bu belgelerin resmî iletişim kanalıdır. Bulunulan yer: Dubai, Birleşik Arap Emirlikleri. Bu, yetki alanını gösteren bir beyandır; açık posta adresi talep üzerine yukarıdaki e-postadan verilir. Veri koruma mevzuatının deyimiyle veri sorumlusu bu kişidir. Gizlilikle ilgili her soru doğrudan yukarıdaki e-posta adresine yazılır; arada bir destek ekibi yoktur.

2. FinaX ne yapıyor

FinaX bir bütçe defteridir. Hesaplarını, gelir-giderlerini, tekrarlayan ödemelerini ve taksit planlarını sen elle girersin; uygulama bunlardan önümüzdeki günlerin nakit akışını hesaplar. Bunun gizlilik açısından önemli bir sonucu var: FinaX'in hiçbir bankayla bağlantısı yoktur. Uygulama senin banka hesabına bağlanmaz, ekstre çekmez, açık bankacılık servisi kullanmaz. Bir kredi kartı FinaX'te sadece bir isim, bir limit ve bir hesap kesim günüdür.

3. Sunucuya giden veriler

Hesabına giriş yaptığında, girdiklerin senin Supabase projendeki veritabanına yazılır. Apple'ın tanımıyla bu "toplanan veri"dir, çünkü cihazından çıkıp geliştiricinin erişebileceği bir yere gider — satırları yalnızca sen okuyabilsen bile.

  • E-posta adresin — giriş yönteminin kendisi. Verdiğin tek kimlik bilgisi budur; profiles.email alanında durur.
  • Adın, istersen — sana ismiyle hitap edebilmek için. İsteğe bağlıdır, boş bırakabilirsin; profiles.display_name.
  • Kullanıcı kimliğin — sunucunun ürettiği bir UUID (auth.users.id). Her satırın sahibini gösterir. Reklam kimliği veya cihaz kimliği değildir.
  • Finansal kayıtların — uygulamanın kendisi: hesaplar, bakiyeler, kart limitleri, işlemler, defter kayıtları, tekrarlayan kurallar ve tekrarları, ödeme planları, kategoriler ve defterler.
  • Kurlar — farklı para birimlerini ortak bir birimde toplayabilmek için; fx_rates. Bir kuru elle girersen o da burada durur.
  • Tercihlerin — tema, tahmin ufku, güvenli harcama tamponu, hatırlatma gün sayısı, biyometrik kilit ve "tutarları gizle" anahtarları, widget gizlilik modu; ayrıca saat dilimi ve ana para birimi. Yeni bir cihaza geçtiğinde uygulamanın aynı görünmesi için senkronlanır.

Dil tercihin sunucuya gitmez. Yalnızca cihazında saklanır, çünkü giriş ekranı, kilit ekranı ve widget senin hesabın okunmadan önce çizilir — dili sunucudan beklemek, o ekranları yanlış dilde gösterip sonra değiştirmek demek olurdu. Toplanmayanlar. Kart numarası, IBAN, CVV, banka şifresi veya herhangi bir ödeme aracı hiçbir zaman istenmez, saklanmaz, iletilmez. Konum, rehber, sağlık, fotoğraf, tarayıcı geçmişi, reklam verisi ve cihaz kimliği de öyle.

4. Cihazından hiç çıkmayan veriler

Bunlar telefonunda kalır, sunucuya gitmez, bana ulaşmaz:

  • Bekleyen kayıtlar (outbox). İnternetin yokken yaptığın kayıtlar cihazdaki bir dosyada bekler, bağlantı gelince sıradaki sunucuya gider.
  • Kurulum taslağı. Onboarding'i yarıda bırakırsan girdiklerin, sistem tarafından şifrelenen bir uygulama klasöründe bekler.
  • Widget anlık görüntüsü. Ana ekran ve kilit ekranı widget'ının gösterdiği özet, uygulamayla widget'ın paylaştığı yerel bir dosyadır.
  • Tanılama kayıtları. Uygulama çöker ya da donarsa iOS'un kendi MetricKit servisi bir rapor bırakır. Bu rapor cihazında durur; kendiliğinden hiçbir yere gönderilmez ve yayınlanan uygulamada onu gönderecek bir ekran da yoktur — raporları listeleyip paylaşan Tanılama ekranı yalnızca geliştirme derlemesinde bulunur. İçinde tutar, bakiye, e-posta, kullanıcı kimliği veya oturum anahtarı bulunmaz — sadece cihaz modeli, iOS sürümü, yapı numarası ve tutarlardan arındırılmış olay adları vardır.
  • Bildirimler. Yaklaşan ödeme hatırlatmaları yerel bildirimdir; cihazın kendisi zamanlar ve gösterir. Tutar ve açıklama Apple'ın push sunucularına hiç uğramaz. Uygulama push token'ı kaydetmez.
  • Biyometrik kilit. Face ID / Touch ID kontrolünü iOS yapar. Parmak izin veya yüz verin cihazdan çıkmaz, uygulama onları hiç görmez; iOS yalnızca "doğrulandı" ya da "doğrulanmadı" cevabını verir.
  • Dışa aktardığın dosyalar. CSV veya JSON yedeği aldığında dosya cihazında oluşturulur ve paylaşım ekranına verilir. Nereye gideceğine sen karar verirsin; hiçbir kopyası bana gelmez.

5. Uygulama hangi adreslerle konuşuyor

FinaX cihazından yalnızca iki adrese bağlanır:

  • Kendi Supabase projen — veritabanı ve giriş işlemleri.
  • Aynı projenin içinde çalışan fx-refresh fonksiyonu — günlük döviz kuru.

Başka hiçbir yere bağlanmaz. Uygulamanın içinde reklam ağı, atıf SDK'sı, analitik SDK'sı veya çökme raporlama servisi yoktur. Kur fonksiyonu ne gönderiyor. fx-refresh, kur sağlayıcısına (openexchangerates.org) yalnızca para birimi kodlarını yollar — örneğin TRY,USD,EUR — ve bir de kendi sunucu anahtarını. Kimliğin, e-postan, tutarların veya bakiyelerin sağlayıcıya gitmez; sağlayıcı senin IP adresini de görmez, çünkü isteği senin telefonun değil sunucu yapar. Sağlayıcının gördüğü tek şey, birinin şu para birimlerinin kurunu sorduğudur.

6. Seni takip etmiyoruz

Bu bir slogan değil, kodun hâli:

  • Reklam veya atıf SDK'sı yok, IDFA yok, App Tracking Transparency izni yok (uygulama bu izni hiç istemez, çünkü isteyeceği bir şey yok).
  • Analitik yok. Hangi ekrana bakıp hangi düğmeye bastığın hiçbir yere yazılmaz.
  • Verilerin reklam için kullanılmaz, hiçbir veri simsarına satılmaz, üçüncü taraf verisiyle eşleştirilmez.

App Store'daki gizlilik etiketinde "Takip" sorusunun cevabı Hayır'dır ve uygulamanın gizlilik bildiriminde takip yapan alan adı listesi bilerek boştur.

7. Kimlerle paylaşılıyor

Hiç kimseyle. Verilerini kimseye satmıyorum, kimseye vermiyorum, reklam için kullanmıyorum. Uygulamanın çalışması için altyapısını kullandığı üç yer var; bunlar veriyi "paylaştığım" taraflar değil, veriyi taşıyan ya da barındıran hizmetler:

  • Supabase — veritabanı, kimlik doğrulama ve kur fonksiyonu burada çalışır. Sunucular AWS eu-west-2 (Londra) bölgesinde; verilerin orada durur.
  • Apple — giriş için "Apple ile Giriş Yap" kullanırsan kimlik doğrulamayı Apple yapar ve uygulamaya sadece bir kimlik jetonu ile (paylaşmayı seçersen) e-postan ulaşır. Uygulamanın App Store üzerinden dağıtımı da Apple'ın kendi kurallarına tabidir.
  • Open Exchange Rates — yalnızca para birimi kodlarını görür (bkz. § 5).

Bir de zorunlu hâl: geçerli bir yasal talep gelirse (mahkeme kararı gibi) kanunun gerektirdiği kadarını vermek zorunda kalabilirim. Böyle bir şey olursa ve yasa yasaklamıyorsa sana haber veririm.

8. Güvenlik

  • Satır düzeyinde güvenlik. Sunucudaki her tabloda force row level security açıktır ve her kural satırın sahibini oturum kimliğine karşı denetler. Yani başka bir kullanıcı senin satırlarını sorgulasa bile boş sonuç alır. Tablo sahibinin bu denetimi atlaması da kapatılmıştır.
  • Şifreli iletim. Cihazla sunucu arasındaki tüm trafik HTTPS/TLS üzerindedir.
  • Oturum anahtarların cihazın Keychain'inde durur; uygulama onları başka bir yere yazmaz.
  • Cihaz üstü koruma. İstersen biyometrik kilidi açabilir, tutarları gizleyebilir, widget'ın ne göstereceğini (tutar / bulanık / yalnız sayı / kapalı) seçebilirsin.
  • Kur sağlayıcı anahtarı sunucuda durur, uygulamanın içinde değil.

Hiçbir sistem kusursuz değildir; bunu "veriniz kesinlikle güvende" diye yazmıyorum çünkü kimse bunu dürüstçe yazamaz. Yazabileceğim şey, hangi önlemlerin bugün kodda mevcut olduğudur.

9. Ne kadar saklanıyor

Verilerin, sen silene kadar durur. Zamanla kendiliğinden silinen bir şey yoktur; FinaX geçmişini hatırlamak için vardır. Silme yollarını sen kontrol edersin:

  • Tek tek silmek — her hesabı, kuralı ve planı kendi ekranından silebilirsin; sunucudaki satır da onunla birlikte gider.
  • Hesabımı sil (Ayarlar → Hesabı sil) — aşağıya bakın.

Yayınlanan uygulamada "hepsini sıfırla" diye tek bir düğme yoktur; bu konsol yalnızca geliştirme derlemesinde bulunur. Her şeyi bir kerede silmenin yolu hesabı silmektir.

10. Verini alma ve silme

Dışa aktarma. Ayarlar → Verilerim ekranından her şeyi CSV (tablo) veya JSON (tam yedek) olarak alırsın. Dosya cihazında oluşur, paylaşım ekranına gider; ne yapacağın sana kalmış. Yedeği aynı ekrandan geri de yükleyebilirsin. Hesap silme. Ayarlar → Hesabı sil ekranında onay için SİL yazarsın ve işlem yapılır. Bu, sunucuda auth.users kaydını siler; profil, tercihler ve sahip olduğun bütün finansal satırlar veritabanı zinciriyle birlikte gider. Deaktivasyon değil, silmedir ve geri alınamaz. Silmeden önce yedek almanı öneririm. Silinmeyen iki şey var, ikisini de dürüstçe söylemek gerekiyor:

  • Telefonundaki yerel dosyalar. Bekleyen kayıtlar, kurulum taslağı, widget anlık görüntüsü ve tanılama dosyaları hesap silindiğinde cihazdan kaldırılmaz; bunlar uygulamayı telefondan sildiğinde gider. Zaten hiçbiri sunucuya ulaşmamıştır.
  • Sistem kategorileri. "Market", "Kira" gibi hazır kategoriler kimseye ait değildir, ortak listedir ve senin verinden sayılmaz.

Ayrıca Supabase'in olağan veritabanı yedeklerinde silinmiş satırlar kısa bir süre daha bulunabilir; bu yedekler dönüşümlü olarak üzerine yazılır.

11. Haklarınız

Bulunduğun ülkenin veri koruma mevzuatına göre (Türkiye'de KVKK, Avrupa'da GDPR) şu haklara sahipsin: verilerine erişme, düzeltme, silme, işlenmesini sınırlandırma ve verilerini taşınabilir bir formatta alma. FinaX'te bunların çoğu zaten bir düğmenin arkasında: erişim ve taşınabilirlik → Verilerim (CSV/JSON), düzeltme → kaydın kendisini düzenlemek, silme → Hesabı sil. Bir şey eksik kalırsa mustafa@mustafaevleksiz.com adresine yaz; makul sürede, en geç 30 gün içinde dönerim. Bir şikâyetin olursa ülkendeki veri koruma otoritesine başvurabilirsin (Türkiye'de Kişisel Verileri Koruma Kurumu).

12. Çocuklar

FinaX çocuklara yönelik bir uygulama değildir, çocuklara pazarlanmaz ve bilerek 13 yaşından küçük birinden veri toplamaz. Böyle bir hesabın varlığını öğrenirsem silerim.

13. Bu politika değişirse

Uygulama değiştikçe bu metin de değişir. Her sürümün en üstünde tarihi vardır; önemli bir değişiklik olursa uygulama içinde de belirtilir. Eski hâli bu deponun geçmişinde durur.

14. İletişim

Gizlilikle ilgili her şey için: mustafa@mustafaevleksiz.com

15. Geçerli hukuk

Bu metin Türkiye Cumhuriyeti hukukuna tabidir; uyuşmazlıklarda İstanbul mahkemeleri ve icra daireleri yetkilidir. Bulunduğun ülkenin tüketici mevzuatının sana tanıdığı haklar saklıdır.