Gizlilik Politikası ve KVKK Aydınlatma Metni

Son güncelleme: 11 Eylül 2026

spabul.app, İstanbul'daki spa, hamam ve masaj merkezlerini listeleyen ücretsiz bir rehberdir. Siteyi gezmek, arama yapmak ve bir işletmeyle iletişime geçmek için üye olmanız ya da herhangi bir kişisel bilgi vermeniz gerekmez. Aşağıda hangi verilerin, hangi amaçla ve hangi hukuki sebebe dayanarak işlendiğini olabildiğince açık anlatıyoruz.

1. Veri sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında veri sorumlusu:

Unvan: [VERİ SORUMLUSU UNVANI — DOLDURULACAK]
Adres: [ADRES — DOLDURULACAK]
E-posta: [E-POSTA — DOLDURULACAK]

2. İşlenen kişisel veriler

2.1. Ziyaretçiler

Siteyi yalnızca gezen ziyaretçilerden ad, e-posta, telefon gibi kimlik veya iletişim bilgisi toplamıyoruz. Bir işletmeden randevu almak istediğinizde ise formda verdiğiniz ad, soyad ve telefon numarası işlenir. Bu bilgiler randevunuzun ayarlanabilmesi için ilgili işletmeyle ve gerektiğinde sizi aramak üzere spabul.app ekibiyle paylaşılır; başka bir amaçla kullanılmaz ve üçüncü kişilere satılmaz. Bunun dışında ziyaretçi tarafında yalnızca şu istatistik kayıtları tutulur:

Buton tıklamaları: Bir spanın WhatsApp, telefon veya randevu butonuna basıldığında "hangi işletmenin hangi butonu, ne zaman tıklandı" bilgisi kaydedilir. Bu kayıt kimliğe bağlı değildir; kimin tıkladığına dair hiçbir veri içermez. Amacı, işletme sahibine ilanının ne kadar ilgi gördüğünü gösterebilmektir.
Sayfa görüntülemeleri: Hangi sayfanın kaç kez görüntülendiği kaydedilir. Bu ölçüm çerez kullanmadan yapılır ve IP adresiniz saklanmaz. Tekil ziyaretçi sayabilmek için IP ve tarayıcı bilgisinden geri döndürülemez bir özet (hash) üretilir; bu özetin üretildiği gizli değer her gün değiştiği için kalıcı bir takip kimliği oluşmaz ve özetten kişiye geri dönülemez.
Randevu adımları: Randevu formunun hangi adımına kadar gelindiği (formu açma, bilgi girme, gönderme, WhatsApp'a geçme), sayfa görüntülemelerindeki aynı günlük özetle sayılır. Bu sayım kimliğe bağlı değildir.
Site içi yolculuk (kendi ölçümümüz): Ziyaret boyunca gezilen sayfalar, seçilen hizmet, randevu adımları ve ziyaretin kaynağı (reklam bağlantılarındaki kampanya etiketleri — UTM —, reklam tıklaması işareti, yönlendiren site, giriş sayfası, cihaz türü) sekmeye özgü rastgele bir oturum kimliğiyle kaydedilir. Oturum kimliği tarayıcınızın oturum hafızasında (sessionStorage) tutulur ve sekme kapanınca silinir. Bu kayıtlara ad, telefon ya da IP adresi yazılmaz. Amacı hangi reklamın ve hangi sayfanın işe yaradığını anlamaktır.
Reklam ölçümü — yalnızca onayınızla: Çerez bandında "Kabul et" derseniz Meta (Facebook/Instagram) pikseli yüklenir ve yukarıdaki adımlar (sayfa görüntüleme, hizmet seçimi, randevu, WhatsApp talebi) Meta'ya iletilir. Randevu ya da WhatsApp talebi bırakırsanız telefon numaranız ve ad-soyadınız Meta'ya düz metin olarak değil, geri döndürülemez özet (SHA-256) olarak; IP adresiniz ve tarayıcı bilgileriniz ise reklam eşleştirmesi için gönderilir. Onay vermezseniz Meta'ya hiçbir veri gitmez.

2.2. İşletme sahipleri

İşletmesini siteye eklemek ya da mevcut bir kaydı sahiplenmek isteyen işletme sahiplerinden şu veriler işlenir:

Hesap oluştururken verdiğiniz e-posta adresi (kimlik doğrulama Supabase Auth üzerinden yürütülür; şifreniz yalnızca geri döndürülemez biçimde saklanır, spabul.app ekibi dahil kimse göremez),
Kayıt formunda verdiğiniz iletişim adı ve telefon / WhatsApp numarası,
İşletmeye ait bilgiler (işletme adı, adres, semt, hizmetler, açıklama, fotoğraflar). Bunlar yayımlanmak üzere verilen işletme bilgileridir; bir gerçek kişiyle ilişkilendirilebildiği ölçüde kişisel veri sayılır.

Site üzerinde puanlama/yorum sistemi ve yayımlanmış fiyat listesi bulunmadığından bu başlıklarda herhangi bir veri toplanmaz.

3. İşleme amaçları

Rehberin yayımlanması, arama ve filtreleme işlevlerinin çalışması,
İşletme sahiplerinin kimliğinin doğrulanması, kayıt oluşturma ve mevcut kaydı sahiplenme süreçlerinin yürütülmesi,
İşletme sahibine kendi ilanının aldığı tıklama ve görüntülenme sayılarının raporlanması,
Sitenin toplam kullanımının anlaşılması ve hizmetin iyileştirilmesi,
Kötüye kullanım, sahte kayıt ve güvenlik sorunlarının önlenmesi,
Bize ilettiğiniz talep ve şikâyetlerin yanıtlanması.
Reklam kampanyalarımızın etkisinin ölçülmesi ve reklamların iyileştirilmesi (Meta ile ilgili kısmı yalnızca açık rızanızla).

Kişisel verileriniz üçüncü kişilere satılmaz. Reklam ölçümü için Meta'ya aktarım yalnızca çerez bandında verdiğiniz açık rızaya dayanır; rızanızı sitenin altındaki "Çerez tercihleri" bağlantısından dilediğiniz an geri alabilirsiniz.

4. Hukuki sebep (KVKK m.5)

m.5/2-c — Sözleşmenin kurulması veya ifası: işletme kaydının oluşturulması, sahiplenme ve ilanın yayında tutulması için gereken hesap ve iletişim verileri.
m.5/2-ç — Hukuki yükümlülüğün yerine getirilmesi: mevzuattan doğan saklama ve bilgi verme yükümlülükleri.
m.5/2-f — Meşru menfaat: oturum güvenliği, kötüye kullanımın önlenmesi ve hizmetin iyileştirilmesi amacıyla tutulan teknik ve istatistiksel kayıtlar (ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla).
m.5/1 — Açık rıza: Meta pikseli ve Conversions API ile reklam ölçümü, bu kapsamda verilerin yurt dışına aktarılması (KVKK m.9) ve yukarıdaki sebeplerden hiçbirinin kapsamadığı, isteğe bağlı olarak paylaştığınız bilgiler bakımından.

Tıklama, sayfa görüntüleme ve oturum bazlı yolculuk kayıtları ad, telefon ya da IP adresi içermez ve kalıcı bir kimliğe bağlanmaz.

5. Çerezler

Zorunlu (işlevsel) çerezler — onay gerektirmez:

Supabase Auth oturum çerezleri: yalnızca giriş yapan işletme sahiplerinin oturumunun açık kalması için.
sb_consent: çerez bandındaki tercihiniz (kabul/red), 1 yıl. Tercihinizi hatırlamak için gereklidir.
Oturum hafızası (sessionStorage — çerez değil): sekmeye özgü oturum kimliği ve ziyaretin kaynağı. Sekme kapanınca silinir.

Reklam (pazarlama) çerezleri — yalnızca "Kabul et" derseniz:

Meta pikseli ve çerezleri: _fbp (tarayıcı kimliği, 90 gün) ve bir Meta reklamından geldiyseniz _fbc (reklam tıklaması, 90 gün). Reklamların hangi ziyaret ve randevuya yol açtığını ölçmek için kullanılır.

Google Analytics ya da başka bir üçüncü taraf analitik aracı kullanmıyoruz. Tercihinizi sitenin altındaki "Çerez tercihleri" bağlantısından dilediğiniz an değiştirebilirsiniz; onayı geri aldığınızda Meta'ya yeni veri gönderilmez.

6. Saklama süresi

İşletme kaydına ve hesabınıza ait veriler, kaydınız yayında kaldığı sürece saklanır. Kaydın kaldırılmasını veya hesabınızın silinmesini talep ettiğinizde, mevzuattan doğan bir saklama yükümlülüğü yoksa veriler en geç 30 gün içinde silinir veya anonim hâle getirilir.
Oturum bazlı yolculuk kayıtları 14 ay saklanır, ardından otomatik olarak silinir. Anonim toplam sayılar (tıklama, sayfa görüntüleme) istatistik amacıyla daha uzun tutulabilir.
Meta'ya aktarılan veriler Meta'nın kendi saklama politikalarına tabidir.
Bize e-posta ile ilettiğiniz talepler, talebin sonuçlanmasının ardından ilgili mevzuatın öngördüğü zamanaşımı süresi boyunca saklanır.

7. Aktarım ve yurt dışına aktarım

Verileriniz üçüncü kişilere satılmaz. Aktarım, hizmetin çalışması için kullanılan altyapı sağlayıcıları ve — yalnızca açık rızanızla — reklam ölçümü sağlayıcısıyla sınırlıdır:

Supabase — veritabanı, kimlik doğrulama ve dosya (fotoğraf) depolama.
Hostinger — sitenin barındırılması ve sunulması.
Meta Platforms Ireland Ltd. (ve bağlı şirketi Meta Platforms, Inc., ABD) — yalnızca çerez bandında onay verdiyseniz: ziyaret ve randevu olayları, IP adresi ve tarayıcı bilgisi, Meta çerez kimlikleri; randevu/talep bıraktıysanız telefon ve ad-soyadın SHA-256 özeti.

Bu sağlayıcıların sunucuları Türkiye dışında (yurt dışında) bulunmaktadır. Dolayısıyla site üzerinden işlenen kişisel veriler yurt dışında barındırılmakta ve KVKK m.9 anlamında yurt dışına aktarılmış sayılmaktadır. Bu aktarımın hukuki dayanağı ve gerekli güvencelerin (taahhütname, standart sözleşme, açık rıza vb.) hangi yolla sağlanacağı, yukarıdaki uyarıda belirtilen hukuki inceleme sırasında netleştirilecektir.

Bir işletmenin WhatsApp veya telefon butonuna tıkladığınızda, o işletmeyle kuracağınız yazışma tamamen sizinle işletme arasındadır ve ilgili platformun (ör. WhatsApp) kendi gizlilik koşullarına tabidir; spabul.app bu yazışmanın içeriğine erişmez.

8. Veri güvenliği

Veriler, satır bazlı erişim kuralları (Row Level Security) ile korunan bir veritabanında tutulur; bir işletme sahibi yalnızca kendi kaydına ve kendi ilanının istatistiklerine erişebilir. Site ve altyapıyla tüm iletişim şifreli (HTTPS) bağlantı üzerinden yapılır.

9. KVKK m.11 kapsamındaki haklarınız

Veri sorumlusuna başvurarak kendinizle ilgili aşağıdaki haklara sahipsiniz:

Kişisel veri işlenip işlenmediğini öğrenme,
Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
KVKK m.7'de öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
Düzeltme, silme ve yok etme talepleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

10. Başvuru

Yukarıdaki haklarınıza ilişkin taleplerinizi, kimliğinizi tespit etmemizi sağlayacak bilgilerle birlikte [E-POSTA — DOLDURULACAK] adresine iletebilirsiniz. Talebiniz, niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret talep edilebilir. Diğer iletişim yolları için İletişim sayfasına bakabilirsiniz.

11. Değişiklikler

Bu metin, sitenin işleyişi değiştikçe güncellenir. Güncel sürüm her zaman bu sayfada yayımlanır; sayfanın başındaki "Son güncelleme" tarihinden hangi sürümü okuduğunuzu görebilirsiniz.

Gizlilik Politikası ve KVKK Aydınlatma Metni

Son güncelleme: 11 Eylül 2026

1. Veri sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında veri sorumlusu:

Unvan: [VERİ SORUMLUSU UNVANI — DOLDURULACAK]
Adres: [ADRES — DOLDURULACAK]
E-posta: [E-POSTA — DOLDURULACAK]

2. İşlenen kişisel veriler

2.1. Ziyaretçiler

Buton tıklamaları: Bir spanın WhatsApp, telefon veya randevu butonuna basıldığında "hangi işletmenin hangi butonu, ne zaman tıklandı" bilgisi kaydedilir. Bu kayıt kimliğe bağlı değildir; kimin tıkladığına dair hiçbir veri içermez. Amacı, işletme sahibine ilanının ne kadar ilgi gördüğünü gösterebilmektir.
Sayfa görüntülemeleri: Hangi sayfanın kaç kez görüntülendiği kaydedilir. Bu ölçüm çerez kullanmadan yapılır ve IP adresiniz saklanmaz. Tekil ziyaretçi sayabilmek için IP ve tarayıcı bilgisinden geri döndürülemez bir özet (hash) üretilir; bu özetin üretildiği gizli değer her gün değiştiği için kalıcı bir takip kimliği oluşmaz ve özetten kişiye geri dönülemez.
Randevu adımları: Randevu formunun hangi adımına kadar gelindiği (formu açma, bilgi girme, gönderme, WhatsApp'a geçme), sayfa görüntülemelerindeki aynı günlük özetle sayılır. Bu sayım kimliğe bağlı değildir.
Site içi yolculuk (kendi ölçümümüz): Ziyaret boyunca gezilen sayfalar, seçilen hizmet, randevu adımları ve ziyaretin kaynağı (reklam bağlantılarındaki kampanya etiketleri — UTM —, reklam tıklaması işareti, yönlendiren site, giriş sayfası, cihaz türü) sekmeye özgü rastgele bir oturum kimliğiyle kaydedilir. Oturum kimliği tarayıcınızın oturum hafızasında (sessionStorage) tutulur ve sekme kapanınca silinir. Bu kayıtlara ad, telefon ya da IP adresi yazılmaz. Amacı hangi reklamın ve hangi sayfanın işe yaradığını anlamaktır.
Reklam ölçümü — yalnızca onayınızla: Çerez bandında "Kabul et" derseniz Meta (Facebook/Instagram) pikseli yüklenir ve yukarıdaki adımlar (sayfa görüntüleme, hizmet seçimi, randevu, WhatsApp talebi) Meta'ya iletilir. Randevu ya da WhatsApp talebi bırakırsanız telefon numaranız ve ad-soyadınız Meta'ya düz metin olarak değil, geri döndürülemez özet (SHA-256) olarak; IP adresiniz ve tarayıcı bilgileriniz ise reklam eşleştirmesi için gönderilir. Onay vermezseniz Meta'ya hiçbir veri gitmez.

2.2. İşletme sahipleri

İşletmesini siteye eklemek ya da mevcut bir kaydı sahiplenmek isteyen işletme sahiplerinden şu veriler işlenir:

Hesap oluştururken verdiğiniz e-posta adresi (kimlik doğrulama Supabase Auth üzerinden yürütülür; şifreniz yalnızca geri döndürülemez biçimde saklanır, spabul.app ekibi dahil kimse göremez),
Kayıt formunda verdiğiniz iletişim adı ve telefon / WhatsApp numarası,
İşletmeye ait bilgiler (işletme adı, adres, semt, hizmetler, açıklama, fotoğraflar). Bunlar yayımlanmak üzere verilen işletme bilgileridir; bir gerçek kişiyle ilişkilendirilebildiği ölçüde kişisel veri sayılır.

Site üzerinde puanlama/yorum sistemi ve yayımlanmış fiyat listesi bulunmadığından bu başlıklarda herhangi bir veri toplanmaz.

3. İşleme amaçları

Rehberin yayımlanması, arama ve filtreleme işlevlerinin çalışması,
İşletme sahiplerinin kimliğinin doğrulanması, kayıt oluşturma ve mevcut kaydı sahiplenme süreçlerinin yürütülmesi,
İşletme sahibine kendi ilanının aldığı tıklama ve görüntülenme sayılarının raporlanması,
Sitenin toplam kullanımının anlaşılması ve hizmetin iyileştirilmesi,
Kötüye kullanım, sahte kayıt ve güvenlik sorunlarının önlenmesi,
Bize ilettiğiniz talep ve şikâyetlerin yanıtlanması.
Reklam kampanyalarımızın etkisinin ölçülmesi ve reklamların iyileştirilmesi (Meta ile ilgili kısmı yalnızca açık rızanızla).

4. Hukuki sebep (KVKK m.5)

m.5/2-c — Sözleşmenin kurulması veya ifası: işletme kaydının oluşturulması, sahiplenme ve ilanın yayında tutulması için gereken hesap ve iletişim verileri.
m.5/2-ç — Hukuki yükümlülüğün yerine getirilmesi: mevzuattan doğan saklama ve bilgi verme yükümlülükleri.
m.5/2-f — Meşru menfaat: oturum güvenliği, kötüye kullanımın önlenmesi ve hizmetin iyileştirilmesi amacıyla tutulan teknik ve istatistiksel kayıtlar (ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla).
m.5/1 — Açık rıza: Meta pikseli ve Conversions API ile reklam ölçümü, bu kapsamda verilerin yurt dışına aktarılması (KVKK m.9) ve yukarıdaki sebeplerden hiçbirinin kapsamadığı, isteğe bağlı olarak paylaştığınız bilgiler bakımından.

Tıklama, sayfa görüntüleme ve oturum bazlı yolculuk kayıtları ad, telefon ya da IP adresi içermez ve kalıcı bir kimliğe bağlanmaz.

5. Çerezler

Zorunlu (işlevsel) çerezler — onay gerektirmez:

Supabase Auth oturum çerezleri: yalnızca giriş yapan işletme sahiplerinin oturumunun açık kalması için.
sb_consent: çerez bandındaki tercihiniz (kabul/red), 1 yıl. Tercihinizi hatırlamak için gereklidir.
Oturum hafızası (sessionStorage — çerez değil): sekmeye özgü oturum kimliği ve ziyaretin kaynağı. Sekme kapanınca silinir.

Reklam (pazarlama) çerezleri — yalnızca "Kabul et" derseniz:

Meta pikseli ve çerezleri: _fbp (tarayıcı kimliği, 90 gün) ve bir Meta reklamından geldiyseniz _fbc (reklam tıklaması, 90 gün). Reklamların hangi ziyaret ve randevuya yol açtığını ölçmek için kullanılır.

6. Saklama süresi

İşletme kaydına ve hesabınıza ait veriler, kaydınız yayında kaldığı sürece saklanır. Kaydın kaldırılmasını veya hesabınızın silinmesini talep ettiğinizde, mevzuattan doğan bir saklama yükümlülüğü yoksa veriler en geç 30 gün içinde silinir veya anonim hâle getirilir.
Oturum bazlı yolculuk kayıtları 14 ay saklanır, ardından otomatik olarak silinir. Anonim toplam sayılar (tıklama, sayfa görüntüleme) istatistik amacıyla daha uzun tutulabilir.
Meta'ya aktarılan veriler Meta'nın kendi saklama politikalarına tabidir.
Bize e-posta ile ilettiğiniz talepler, talebin sonuçlanmasının ardından ilgili mevzuatın öngördüğü zamanaşımı süresi boyunca saklanır.

7. Aktarım ve yurt dışına aktarım

Supabase — veritabanı, kimlik doğrulama ve dosya (fotoğraf) depolama.
Hostinger — sitenin barındırılması ve sunulması.
Meta Platforms Ireland Ltd. (ve bağlı şirketi Meta Platforms, Inc., ABD) — yalnızca çerez bandında onay verdiyseniz: ziyaret ve randevu olayları, IP adresi ve tarayıcı bilgisi, Meta çerez kimlikleri; randevu/talep bıraktıysanız telefon ve ad-soyadın SHA-256 özeti.

8. Veri güvenliği

9. KVKK m.11 kapsamındaki haklarınız

Veri sorumlusuna başvurarak kendinizle ilgili aşağıdaki haklara sahipsiniz:

Kişisel veri işlenip işlenmediğini öğrenme,
Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
KVKK m.7'de öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
Düzeltme, silme ve yok etme talepleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.