NUZUL — KİŞİSEL VERİLERİN KORUNMASI HAKKINDA AYDINLATMA METNİ

Son güncelleme: 4 Ağustos 2026

Neden bu metin var

Nuzul'da üç bölümü hiçbir bilgi vermeden dinleyebilirsiniz. Devamı için üyelik gerekir. Üyelik açtığınız anda kişisel verinizi işlemeye başlarız — ve Kanun, işlemeye başlamadan önce sizi bilgilendirmemizi zorunlu kılar. Bu metin o bilgilendirmedir.

Aydınlatma ile açık rıza aynı şey değildir. Aydınlatma bilgilendirmedir; açık rıza izindir. Bu metni okumakla hiçbir şeye rıza göstermiş olmazsınız. Rıza gereken yerlerde ayrıca ve açıkça sorulur.

1. Veri sorumlusunun kimliği

Kanun'un 10. maddesi uyarınca veri sorumlusu:

2. İşlenen kişisel veri kategorileri

İşlenmeyen veriler — açıkça belirtilir: telefon numarası, T.C. kimlik numarası, doğum tarihi, adres, konum, rehber, fotoğraf, ödeme kartı bilgisi.

Özel nitelikli kişisel veri işlenmemektedir. Uygulamanın konusu dinî içeriktir; ancak dinî inanç, mezhep veya felsefi görüşünüzü **sormuyor, kaydetmiyor ve dinleme davranışınızdan çıkarmıyoruz**. Bir sûreyi dinlemiş olmanız, bizde inancınıza dair bir kayıt oluşturmaz.

DURUŞ (karar: 2026-08-06) — dinleme kaydı KVKK m.6 anlamında özel nitelikli veri değildir. Gerekçe: (1) kullanıcıya inancı, mezhebi veya felsefi görüşü hiç sorulmaz; (2) kayıt bir inanç beyanı değil bir içerik tüketimi kaydıdır — bir tarih belgeselini izlemek, izleyeni o dönemin taraftarı yapmaz; (3) bu kayıttan inanç çıkarımı yapılmaz ve üçüncü taraflarla paylaşılmaz; (4) reklam veya segmentasyon amaçlı hiçbir kullanımı yoktur.

Bu duruşa bağlı olan diğer satırlar, aynı yönde işaretlenmiştir: App Store "Sensitive Info" = hayır, Google Play "Political or religious beliefs" = hayır (product/legal/store-privacy-answers.md §3).

Savunulabilir, ama otomatik değildir. Hukukçu erişimi olduğunda tek cümleyle teyit ettirilecektir. Duruş tersine dönerse yalnız bu satırlar değil, VERBİS kayıt eşiği de değişir: 50 çalışan / 100 milyon TL yerine 10 çalışan / 10 milyon TL (bkz. §9).

3. Kişisel verilerin işlenme amaçları

1. Üyelik hesabının oluşturulması ve yönetilmesi
2. Satın almanın tanınması ve içeriğe erişimin sağlanması
3. Dinleme ilerlemesinin kaydedilmesi ve cihazlar arasında taşınması
4. Satın alma kayıtlarının mevzuata uygun tutulması
5. Bilgi güvenliğinin sağlanması, hata ve çökme teşhisi
6. Kötüye kullanımın önlenmesi
7. Talep ve şikâyetlerin karşılanması
8. Açık rızaya bağlı: kullanım istatistikleriyle içeriğin iyileştirilmesi
9. Açık rızaya bağlı: ticari elektronik ileti gönderilmesi

4. Kişisel verilerin toplanma yöntemi ve hukuki sebebi

Yöntem: Veriler; mobil uygulama üzerinden elektronik ortamda, kısmen sizin doğrudan girişinizle (ad), kısmen kimlik sağlayıcısı aracılığıyla (Apple ile Giriş / Google ile Giriş), kısmen de uygulamayı kullanmanız sırasında otomatik olarak toplanır.

Hukuki sebep (KVKK m.5):

Açık rızayı her zaman geri alabilirsiniz. 8 ve 9'a rıza vermemek uygulamayı kullanmanıza engel değildir; satın alma ve içerik erişimi bundan etkilenmez.

5. Kişisel verilerin aktarıldığı taraflar ve aktarım amacı

Kişisel verileriniz **reklam veya pazarlama amacıyla üçüncü kişilere satılmaz, kiralanmaz, devredilmez.**

6. Yurt dışına aktarım (KVKK m.9)

Yukarıdaki hizmet sağlayıcılarının tamamı yurt dışında yerleşiktir. Bu nedenle kişisel verileriniz yurt dışına aktarılmaktadır ve bu, Kanun'un 9. maddesine tâbidir.

7499 sayılı Kanun'la m.9'da yapılan değişiklikler 01.06.2024 tarihinde yürürlüğe girmiştir. Yeni rejimde aktarım sırasıyla şu sebeplerden birine dayanır:

1. Yeterlilik kararı — aktarım yapılacak ülke/sektör/kuruluş hakkında Kurul kararı bulunması,
2. Uygun güvenceler — yeterlilik kararı yoksa: - Kurul tarafından yayımlanan standart sözleşme (imzalanması yeterlidir; ayrıca izin gerekmez), - Kurul onaylı bağlayıcı şirket kuralları, - Kurul onaylı taahhütname, - kamu kurumları arasında uluslararası sözleşme niteliğinde olmayan anlaşma + Kurul izni,
3. Arızi hâller (m.9/6) — düzenli olmayan, süreklilik göstermeyen, nadiren gerçekleşen aktarımlar için; açık rıza dâhil sayılan hâllerden birinin varlığında. Kurum bu istisnaların dar yorumlanması gerektiğini belirtmektedir.

6.1 Nuzul hangi yola dayanıyor: standart sözleşme

Nuzul'un yurt dışına aktarımı arızi değil, süreklidir — her giriş, her satın alma doğrulaması yurt dışına gider. Bu nedenle m.9/6'daki arızi hâller istisnasına dayanılmaz ve **açık rıza bu yapıda tek başına dayanak olarak kullanılmaz**: sürekli bir aktarımı rızaya bağlamak, rızayı hizmetin şartı hâline getirir ve o rıza özgür sayılmaz.

Dayanak: Kurul tarafından yayımlanan standart sözleşme (m.9/2-b). Yeterlilik kararı bulunmayan ülkelere yapılan aktarımlarda, standart sözleşmenin imzalanması yeterlidir; ayrıca Kurul izni aranmaz.

Veri sorumlusu sıfatıyla standart sözleşmeyi imzalayan taraf Eyüp Ensar Şanlı olacaktır.

Apple ve Google bakımından not: bu iki taraf uygulamanın dağıtım ve ödeme kanalıdır; ödeme verisi bize hiç uğramadan onlarda oluşur. Onlarla ilişki, kendi geliştirici sözleşmeleri ve veri işleme eklerine tâbidir; bu yönüyle diğer iki tedarikçiden farklıdır.

Hukukçuya bırakılan üç nokta — metnin duruşunu değiştirmez, uygulamasını netleştirir:

1. Supabase ve RevenueCat'in kendi hazır veri işleme sözleşmeleri (DPA) KVKK standart sözleşmesinin yerine geçer mi, yoksa Kurul'un yayımladığı metin ayrıca mı imzalatılır?
2. İmzadan sonra Kurum'a bildirim yapılması gerekiyorsa hangi süre içinde? CEVAPLANDI (2026-08-07, kaynağından doğrulandı): beş iş günü. Kanun'un 9. maddesinin beşinci fıkrası, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmesini zorunlu kılar. Bildirim; fiziki olarak, KEP adresiyle veya Kurul'un 17.10.2024 tarihli ve 2024/1793 sayılı kararıyla açılan Standart Sözleşme Bildirim Modülü (https://standartsozlesme.kvkk.gov.tr) üzerinden yapılır. Sürenin denetlenebilmesi için iki tarafın imza tarihi de sözleşme metninde yazılı olmalıdır. Taraflarda, içerikte değişiklik veya sözleşmenin sona ermesi hâlinde de Kurum bilgilendirilir. Kaynak: Kişisel Verileri Koruma Kurumu, "Standart Sözleşme Bildirim Modülü Hakkında Kamuoyu Duyurusu", https://www.kvkk.gov.tr/Icerik/8043/.
3. Apple/Google için ayrı bir standart sözleşme gerekli mi, yoksa geliştirici sözleşmesi yeterli mi?

Kaynak: Kişisel Verileri Koruma Kurumu, "Yurt Dışına Aktarım", https://www.kvkk.gov.tr/Icerik/2053/Yurtdisina-Aktarim

7. Saklama süreleri

Süre dolduğunda veriler silinir, yok edilir veya anonim hâle getirilir.

Üç sürenin gerekçesi (karar: 2026-08-06): Hesap silme derhâl yapılır — talep alındığında hesap canlı sistemlerden o anda kalkar, bekleme penceresi yoktur ve işlem geri alınamaz (supabase/functions/delete-account sert silme yapar, yumuşak silme yapmaz). 30 gün, düzenli sistem yedeklerinde kalabilecek artık kopyaların üst sınırıdır; pratikte yedek döngüsü daha kısadır. Mali kayıtlarda 10 yıl, tacirin defter ve belgelerini saklama yükümlülüğünden gelir (TTK m.82) — bu süreyi kişisel veri mevzuatı değil ticaret mevzuatı belirler. Log kayıtlarında 90 gün yine bir üst sınırdır; altyapı sağlayıcısı kayıtları pratikte bundan kısa tutar.

8. İlgili kişinin hakları (KVKK m.11) ve başvuru

Kanun'un 11. maddesi uyarınca haklarınız:

a) Kişisel verinizin işlenip işlenmediğini öğrenme, b) İşlenmişse buna ilişkin bilgi talep etme, c) İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, d) Eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme, e) Kanun'un 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme, f) (d) ve (e) uyarınca yapılan işlemlerin, aktarıldığı üçüncü kişilere bildirilmesini isteme, g) Münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme, ğ) Kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Başvuru yolları:

• Uygulama içinden: Ayarlar → Hesabım
• E-posta: destek@nuzul.com.tr
• İnternet: https://nuzul.com.tr/hesap-silme
• Yazılı: Merkez Mah. Akar Cad. I Towers Bomonti No: 3 İç Kapı No: 96, Şişli / İstanbul

Başvurunuz, "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ" uyarınca **en geç otuz gün** içinde sonuçlandırılır. Başvurunuzun reddedilmesi, verilen cevabı yetersiz bulmanız veya süresinde cevap verilmemesi hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz. Kurul'a başvurmadan önce veri sorumlusuna başvurmak zorunludur.

9. VERBİS

Veri Sorumluları Sicili'ne kayıt yükümlülüğü, çalışan sayısı ve yıllık mali bilanço eşiklerine bağlıdır. Kurul'un 06.07.2023 tarihli 2023/1154 sayılı kararı sonrası muafiyet ölçütü: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları kayıttan muaftır.

Mevcut durumda Nuzul bu muafiyetin içindedir — ancak bu, "ana faaliyet konusu özel nitelikli veri işleme değildir" varsayımına dayanır ve §2'deki hukukçu sorusuyla doğrudan bağlantılıdır. O soru "sayılır" diye cevaplanırsa muafiyet eşiği 10 çalışan / 10 milyon TL'ye düşer ve kayıt gerekebilir.

Kaynak: https://www.kvkk.gov.tr/Icerik/7647/... (2023/1154 sayılı Kurul kararı duyurusu).

10. Değişiklikler

Bu aydınlatma metni, veri işleme faaliyetleri değiştiğinde güncellenir ve güncel hâli https://nuzul.com.tr/aydinlatma adresinde yayımlanır.