Turkish Data Protection Notice (KVKK)
This notice is issued under Article 10 of the Turkish Personal Data Protection Law No. 6698 (KVKK) and the related Communiqué on the Procedures and Principles for Fulfilling the Obligation to Inform. It applies to users in Türkiye. If you are not in Türkiye, please see our Privacy Policy for the full information applicable to you.
1. Data controller
Tuğçe Çıkmazkara (individual)
Email: contact@realreturn.app
Service: RealReturn website and app (realreturn.app)
2. Personal data processed
| Category | Data |
|---|---|
| Identity / contact | Email address |
| Customer transaction | Account creation and last sign-in time, access level, date of acceptance of Terms and confirmation of being 18+ |
| Financial | Positions entered by the user (asset, quantity, purchase price and date), portfolios, cash accounts, transfers, broker names, debts, alerts |
| Other (user notes) | Notes and investment theses written on positions |
| Transaction security | Hashed password (the password itself is never stored), IP address, browser and device information, access logs |
| Marketing | Not processed. Usage statistics are collected cookieless and anonymously, not linked to your identity. |
Special categories of personal data (health, religion, biometrics, etc.) are not collected. If you use the app without an account, your portfolio data stays only on your device and is not transmitted to us.
3. Purposes and legal bases
| Purpose | Legal basis (KVKK Art. 5/2) |
|---|---|
| Creating your account, signing you in, syncing portfolio data, calculating returns, running alerts | (c) Directly related to the establishment or performance of a contract |
| Essential account messages (email verification, password reset) | (c) Performance of a contract |
| Maintaining information security, preventing abuse, fixing errors | (f) Legitimate interests of the data controller |
| Improving the service with anonymous usage statistics | (f) Legitimate interests — you can opt out at any time |
| Complying with legal obligations, responding to rights requests | (ç) Legal obligation of the data controller |
| Protecting rights in legal disputes | (e) Establishing, exercising or protecting a right |
4. Collection method
Personal data is collected electronically, by partly automated means, through the website and app via registration forms and in-app forms. Technical data (IP address, browser information) is generated automatically when you access the site.
5. Transfers
Personal data is not sold and not shared for advertising purposes.
Domestic transfers: To legally authorised public bodies upon request and within the scope of legal obligations; to legal advisers for the protection of rights.
International transfers (KVKK Art. 9): Data is transferred to the service providers below (data processors) in order to provide the service. We are in the process of signing the standard contracts published by the Turkish Personal Data Protection Board and notifying them to the Board within 5 business days of signing, as required under Article 9 KVKK. This notice will be updated once the process is complete.
| Recipient | Purpose | Data |
|---|---|---|
| Supabase Inc. (hosted: EU — Ireland) | Database and authentication | Identity/contact, transaction, financial, notes |
| Resend Inc. (hosted: EU — Ireland) | Account emails (verification, password reset) | Identity/contact (email address) |
| Cloudflare Inc. | Price-data proxy and security | IP address (up to 2 minutes), asset symbols |
| Render Services Inc. | Website hosting | Transaction security (access logs) |
| Umami Software Inc. | Anonymous, cookieless usage statistics | Page, referrer, country, device type |
Some live prices and inflation data are also fetched by your browser directly from CoinGecko, Frankfurter, gold-api.com, the World Bank and Eurostat (European Commission, ec.europa.eu); those services see your IP address and the asset symbol or country code queried.
6. Retention
Account and portfolio data is kept while your account is open and deleted immediately when you close it. Accounts inactive for 2 years receive an email warning; if no sign-in occurs within 30 days of the warning, the account is deleted. Deleted data is permanently removed from backups when the backup retention period ends, which is at most 30 days.
7. Your rights under KVKK Art. 11
You have the right to apply to the data controller to:
- Learn whether your personal data is being processed,
- Request information if it is,
- Learn the purpose of processing and whether data is used in accordance with that purpose,
- Know the third parties to whom data is transferred domestically or abroad,
- Request correction of incomplete or inaccurate data,
- Request deletion or destruction under the conditions in KVKK Art. 7,
- Request that third parties to whom data has been transferred be notified of corrections or deletions,
- Object to a result arising solely from automated analysis of your data that is to your detriment,
- Claim compensation for damages arising from unlawful processing.
Rights you can exercise directly in the app: Download your data via Profile → "Download all my data"; delete your account and all your data via Profile → "Delete my account and all my data"; correct data via the relevant edit screen.
8. How to apply
Submit your request in Turkish or English to:
- From the email address registered to your RealReturn account to contact@realreturn.app,
- Via registered e-mail (KEP), secure electronic signature, or mobile signature,
- Or in writing by post (email us to obtain our postal address).
Your request will be concluded free of charge within 30 days. If your request is rejected, you find the response insufficient, or no response is given in time, you may lodge a complaint with the Personal Data Protection Board (kvkk.gov.tr).
KVKK Kapsamında Aydınlatma Metni
Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu md. 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca seni bilgilendirmek amacıyla hazırlanmıştır.
1. Veri sorumlusu
Tuğçe Çıkmazkara (gerçek kişi)
E-posta: contact@realreturn.app
Hizmet: RealReturn web sitesi ve uygulaması (realreturn.app)
2. İşlenen kişisel veriler
| Kategori | Veriler |
|---|---|
| Kimlik / iletişim | E-posta adresi |
| Müşteri işlem | Hesap oluşturma ve son giriş zamanı, erişim seviyesi, Kullanım Koşulları'nın kabul tarihi ve 18 yaş beyanı |
| Finansal | Kullanıcının girdiği pozisyonlar (varlık, miktar, alış fiyatı ve tarihi), portföyler, nakit hesapları, transferler, broker adları, borçlar, alarmlar |
| Diğer (kullanıcı notları) | Pozisyonlara yazılan not ve yatırım tezleri |
| İşlem güvenliği | Şifrenin şifrelenmiş özeti (şifrenin kendisi saklanmaz), IP adresi, tarayıcı ve cihaz bilgisi, erişim kayıtları |
| Pazarlama | İşlenmez. Kullanım istatistikleri kimlikle eşleştirilmeden, çerezsiz ve anonim olarak toplanır. |
Özel nitelikli kişisel veri (sağlık, din, biyometrik vb.) talep edilmez. Hesap açmadan kullanıldığında portföy verileri yalnızca kullanıcının cihazında saklanır ve veri sorumlusuna iletilmez.
3. İşleme amaçları ve hukuki sebepler
| Amaç | Hukuki sebep (KVKK md. 5/2) |
|---|---|
| Üyelik oluşturulması, girişin sağlanması, portföy verilerinin senkronize edilmesi, getiri hesaplamalarının yapılması, alarmların çalıştırılması | (c) Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması |
| Hesapla ilgili zorunlu bildirimler (e-posta doğrulama, şifre sıfırlama) | (c) Sözleşmenin ifası |
| Bilgi güvenliğinin sağlanması, kötüye kullanımın önlenmesi, hataların giderilmesi | (f) Veri sorumlusunun meşru menfaati |
| Hizmetin anonim kullanım istatistikleriyle geliştirilmesi | (f) Meşru menfaat — kullanıcı istediği an çıkabilir |
| Hukuki yükümlülüklerin yerine getirilmesi, ilgili kişi başvurularının yanıtlanması | (ç) Hukuki yükümlülüğün yerine getirilmesi |
| Hukuki uyuşmazlıklarda hakların korunması | (e) Bir hakkın tesisi, kullanılması veya korunması |
4. Toplama yöntemi
Kişisel veriler; web sitesi ve uygulama üzerinden kullanıcının kendisi tarafından girilmesi, kayıt formu ve uygulama içi formlar aracılığıyla elektronik ortamda, kısmen otomatik yollarla toplanır. Teknik veriler (IP adresi, tarayıcı bilgisi) siteye erişim sırasında otomatik olarak oluşur.
5. Aktarım
Kişisel veriler satılmaz ve reklam amacıyla paylaşılmaz.
Yurt içine aktarım: Kanunen yetkili kamu kurum ve kuruluşlarına, talep halinde ve yasal yükümlülük kapsamında; hukuki danışmanlara, hakların korunması amacıyla.
Yurt dışına aktarım (KVKK md. 9): Hizmetin sunulabilmesi için veriler aşağıdaki hizmet sağlayıcılara (veri işleyen) aktarılır. Bu aktarımlar için Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmelerin imzalanması ve imzadan itibaren 5 iş günü içinde Kurul'a bildirilmesi süreci devam etmektedir. Süreç tamamlandığında bu metin güncellenecektir.
| Alıcı | Amaç | Veri |
|---|---|---|
| Supabase Inc. (barındırma: AB — İrlanda) | Veritabanı ve kimlik doğrulama | Kimlik/iletişim, müşteri işlem, finansal, notlar |
| Resend Inc. (barındırma: AB — İrlanda) | Hesap e-postaları (doğrulama, şifre sıfırlama) | Kimlik/iletişim (e-posta adresi) |
| Cloudflare Inc. | Fiyat verisi ara sunucusu ve güvenlik | IP adresi (en fazla 2 dakika), varlık sembolleri |
| Render Services Inc. | Web sitesinin barındırılması | İşlem güvenliği (erişim kayıtları) |
| Umami Software Inc. | Anonim, çerezsiz kullanım istatistikleri | Sayfa, yönlendiren site, ülke, cihaz türü |
Ayrıca bazı güncel fiyatlar ve enflasyon verileri kullanıcının tarayıcısı tarafından doğrudan CoinGecko, Frankfurter, gold-api.com, Dünya Bankası ve Eurostat (Avrupa Komisyonu, ec.europa.eu) servislerinden çekilir.
6. Saklama süresi
Hesap ve portföy verileri hesap açık olduğu sürece saklanır; hesap silindiğinde derhal silinir. 2 yıl boyunca giriş yapılmayan hesaplara e-posta ile uyarı gönderilir; uyarıdan sonraki 30 gün içinde giriş yapılmazsa hesap silinir. Silinen veriler, yedeklerin saklama süresi dolduğunda yedeklerden de kalıcı olarak silinir ve bu süre en fazla 30 gündür.
7. KVKK md. 11 kapsamındaki hakların
Veri sorumlusuna başvurarak:
- Kişisel verilerinin işlenip işlenmediğini öğrenme,
- İşlenmişse buna ilişkin bilgi talep etme,
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
- Eksik veya yanlış işlenmişse düzeltilmesini isteme,
- KVKK md. 7 çerçevesinde silinmesini veya yok edilmesini isteme,
- Verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme,
- Kanuna aykırı işlenmesi sebebiyle zarara uğranılan hâllerde zararın giderilmesini talep etme
haklarına sahipsin.
Uygulamada kullanabileceğin haklar: Verilerini indirmek için Profil → "Tüm verilerimi indir"; hesabını ve tüm verilerini silmek için Profil → "Hesabımı ve tüm verilerimi sil"; verilerini düzeltmek için ilgili kaydı düzenleme ekranı.
8. Başvuru yöntemi
Başvurunu Türkçe olarak:
- RealReturn hesabında kayıtlı e-posta adresinden contact@realreturn.app adresine,
- Kayıtlı elektronik posta (KEP), güvenli elektronik imza veya mobil imza ile,
- ya da yazılı olarak posta yoluyla (posta adresini öğrenmek için contact@realreturn.app adresine yazabilirsin)
iletebilirsin. Başvurunda adın, soyadın, iletişim bilgin ve talebinin konusu yer almalıdır.
Başvurun en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. Başvurunun reddedilmesi, verilen cevabı yetersiz bulman veya süresinde cevap verilmemesi hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin.