🔒 Kişisel Verileriniz Güvendedir: Sütce olarak kişisel verilerinizi 6698 sayılı KVKK kapsamında işliyor ve üçüncü taraflara hiçbir şekilde satmıyoruz. Bu sayfa, hangi verileri neden topladığımızu ve haklarinizi açıkça anlatmaktadir.
1Veri Sorumlusu
Sütce mobil uygulamasi ve web platformlari üzerinden toplanan kişisel verileriniz, veri sorumlusu sifatiyla Sütce tarafindan 6698 sayılı Kişisel Verilerin Korunmasi Kanunu ("KVKK") kapsamında işlenmektedir.
2Hangi Verileri Topluyoruz?
Hizmet kalitemizi artirmak ve siparislerinizi teslim edebilmek amaciyla asagidaki veriler toplanmaktadir:
| Veri Kategorisi |
Toplanan Veriler |
Zorunluluk |
| Kimlik ve İletişim |
Ad, soyad, telefon numarası, e-posta adresi |
Zorunlu |
| Teslimat Adresi |
Kullanıcınin girdigi adres bilgileri (il, ilce, detay) |
Zorunlu |
| Cografi Konum |
GPS konum verisi (sadece izin verilmesi halinde) |
Istege Bagli |
| Sipariş Bilgileri |
Sipariş gecmisi, secilen urunler, teslimat tarihleri |
Zorunlu |
| Cihaz ve Teknik |
FCM token (bildirim), cihaz dili ve isletim sistemi |
Zorunlu |
| Tercihler |
Bildirim tercihleri, bulten aboneligi |
Istege Bagli |
📌 Not: Google hesabiyla kayit secilmesi durumunda Google, yalnızca ad-soyad ve e-posta adresinizi Sütce ile paylasilir. Sifreniz hicbir zaman Sütce'ye iletilmez.
3Kişisel Verilerin İşlenme Amaçları ve Hukuki Dayanak
Verileriniz asagidaki amaclara ve KVKK'nin 5. maddesi kapsamındaki hukuki dayanaklara gore işlenmektedir:
| İşleme Amaçı |
Hukuki Dayanak |
| Siparişlerinizin olusturulmasi ve teslim edilmesi |
Sozlesmenin ifasi (KVKK m.5/2-c) |
| Teslimat durumu bildirimleri (zorunlu) |
Sozlesmenin ifasi (KVKK m.5/2-c) |
| Destek hizmetleri, şikayet ve iade yönetimi |
Sozlesmenin ifasi / meşru menfaat (KVKK m.5/2-f) |
| Pazarlama bildirimleri ve e-posta bülteni |
Acik riza (KVKK m.5/1) |
| Yasal yukumluluk ve muhasebe kayıtları |
Kanuni yukumluluk (KVKK m.5/2-a) |
| Platform guvenligi ve sahtecilik onleme |
Mešru menfaat (KVKK m.5/2-f) |
4Konum ve Bildirim İzinleri
Uygulamanin temel ozellikleri konum ve anlik bildirimlere dayanmaktadir:
- Konum İzni (Istege Bagli): Teslimat adresinizi haritada doğrulamak icin kullanılır. Bu izin olmadan uygulamayi kullanabilir, adresinizi manuel girebilirsiniz. Cihaz Ayarlari > Uygulamalar > Sütce menusunden yönetilebilir.
- Bildirim İzni: Sipariş durumu (alindi, yola çıktı, teslim edildi) bildirimleri icin kullanılır. Hesabim > Tercihler bolumundeki anahtarlar sunucularimizla anlık senkronize edilir; tercih aninda güncellenir.
- Pazarlama Bildirimleri: Kampanya ve indirim bildirimleri yalnızca acik rizaniza gore gönderilir. Dilediginiz zaman iptal edebilirsiniz.
📱 Tercih Kontrolu: Bildirim tercihlerinizi Hesabim > Tercihlerim ekranindan, konum iznini ise cihaz ayarlarindan her zaman degistirebilirsiniz.
5Kişisel Verilerin Paylaşılması
Verileriniz yalnızca asagidaki kişilerle ve belirtilen amacla sınırlı olarak paylasilir:
- Kayitli Sütçü / Satıcı: Siparişlerinizi teslim etmek uzere ad, adres ve telefon numaraniz paylasılır.
- Kurye: Teslimat sirasinda yalnızca teslimat adresi ve gerekirse telefon numarası iletilir.
- Hizmet Saglayicilari: Firebase (bildirim altyapisi), Google (harita ve OAuth) gibi teknik alt yapi saglayicilari ile zorunlu teknik veriler islenir. Bu saglayicilar verileri kendi basi na kullanamaz.
⚠️ Kesin Taahhut: Kisisel verileriniz üçüncü taraf reklam şirketlerine, veri brokerlarina veya herhangi bir ticari amacla hicbir kurumla paylasilmaz, satılmaz veya devredilmez.
6Ucuncu Taraf Entegrasyonları
Sütce asagidaki üçüncü taraf hizmetlerini kullanmaktadir. Bu hizmetlerin kendi gizlilik politikalarinı incelemenizi oneririz:
| Servis |
Kullanim Amaçi |
Gizlilik Politikası |
| Firebase (Google) |
Push bildirim altyapisi (FCM), kimlik doğrulama |
firebase.google.com/support/privacy |
| Google Sign-In |
Sosyal giris (OAuth 2.0) secenegi |
policies.google.com/privacy |
| Google Maps |
Adres doğrulama ve teslimat bolgesi gosterimi |
policies.google.com/privacy |
| PostgreSQL (Sunucu) |
Kullanıcı ve siparis veritabani (kendi sunucularimizda) |
Kendi kontrolumuzde |
7Veri Saklama Süresi
Kisisel verileriniz yalnızca isleme amaciyla orantili sure boyunca saklanir:
- Aktif Hesap Verileri: Hesabiniz acik oldugu sürece ve hesap kapatma talebinden sonra 30 gun içinde silinir.
- Sipariş Gecmisi: Vergi ve muhasebe yükümlülüğü geregi 10 yil saklanabilir (yalnızca siparis bilgisi, kişisel veri minimize edilir).
- Bildirim Tokenlari (FCM): Hesap kapatıldığında veya bildirim izni iptal edildiginde derhal silinir.
- Log Kayitlari: Guvenlik amacli sunucu loglari en fazla 90 gun saklanir.
- Pazarlama Verileri: Abonelik iptalinde hemen, aksi halde hesap kapatmada silinir.
8Veri Güvenliği
Kisisel verilerinizin korunmasi icin asagidaki teknik ve idari önlemler alınmaktadır:
- Sifreleme: Tum API iletişimleri HTTPS/TLS ile sifrelidir. Sifreler bcrypt ile hash'lenerek saklanir.
- JWT Token Guvenligi: Kimlik doğrulama 30 gunluk sure sinirlı JWT token'lari ile sağlanır.
- Erisim Kontrolu: Kullanıcı verileri yalnızca yetkili personel tarafindan erişebilir; rol tabanli erişim uygulanmaktadir.
- Sunucu Guvenligi: Veritabani kendi guvenli sunucularimizda barındırılmaktadır; düzenli yedekleme yapılmaktadır.
- Admin Panel Guvenligi: Yonetim paneline erişim gizli parola ile korunmaktadır.
⚠️ Veri İhlali Bildirimi: Kisisel verilerinizi etkileyen bir guvenlik ihlali tespit edilmesi durumunda, KVKK'nin 12. maddesi geregi ilgili Kurul'a 72 saat içinde, etkilenen kullanıcılara ise en kısa surede bildirim yapilacaktir.
9Çerezler (Cookie) ve Analitik
Sütce web sitesi (sutce.com), oturum surekliligi icin minimum duzeyde cerez kullanmaktadir:
- Zorunlu Çerezler: Admin oturum bilgisi (localStorage) — hizmetin calisabilmesi icin gereklidir.
- Analitik Çerezler: Sütce mobil uygulamasi harici analitik araci kullanmamaktadir. Sunucu tarafli anonimlestirilmis istatistikler tutulabilir.
- Reklam Çerezleri: Kullanilmamaktadir.
Mobil uygulama cerez kullanmaz; cihaz yerel depolaması (SharedPreferences / Secure Storage) yalnızca oturum token'i ve uygulama tercihlerini saklamak icin kullanılır.
10Çocukların Gizliligi
Sütce hizmetleri 18 yas ustu bireyler icin tasarlanmistir. 18 yasin altındaki bireylerin anne/baba veya yasal veli onayı olmaksızın kayit olmasi yasaktır.
18 yas altinda bir kullanıcının izinsiz kayit oldugunu tespit etmemiz durumunda, hesap ve ilgili veriler derhal silinir. Cocugunuzun izinsiz kayit oldugunu düşünüyorsanız destek@sutce.com adresine bildirin.
11KVKK Kapsamindaki Haklarınız
KVKK'nin 11. maddesi kapsamında asagidaki haklara sahipsiniz:
🔍
Öğrenme Hakki
Kisisel verilerinizin islenip islenmedigini ogrenme
📋
Bilgi Talep Etme
Islenen veriler hakkinda bilgi isteme
🎯
Amaç Sorgulama
Isleme amacini ve amaca uygun kullanimi sorgulama
🌍
Aktarım Bilgisi
Yurt ici/disi aktarimlari ogrenme
✏️
Düzeltme
Eksik veya yanlis verilerin duzeltilmesini isteme
🗑️
Silme
Kosullar oluştuğunda verilerin silinmesini talep etme
🔔
Ucuncu Taraf Bildirimi
Düzeltme/silme islemlerinin aktarilan taraflara bildirilmesini isteme
🚫
Itiraza Hak
Otomatik analiz sonucuna itiraz etme
⚖️
Zarar Tazminati
Kanuna aykiri islemeden kaynaklanan zararin giderilmesini talep etme
⏱️ Yanit Süresi: Başvurulariniz en gec 30 gun içinde yanıtlanir. Talep karmaşik ise bu sure en fazla 30 gun daha uzatilabilir; bu durumda tarafiniza bilgi verilir.
🔒 Your Data is Safe: At Sütce, we process your personal data in accordance with GDPR and the Turkish Personal Data Protection Law (KVKK). We never sell your data to third parties. This page clearly explains what data we collect, why, and your rights.
1Data Controller
Your personal data collected through the Sütce mobile application and web platforms is processed by Sütce as the data controller in accordance with the General Data Protection Regulation ("GDPR") and the Turkish Personal Data Protection Law (KVKK No. 6698).
2What Data We Collect
In order to provide and deliver your orders, we collect the following information:
| Data Category |
Data Collected |
Required? |
| Identity & Contact |
Full name, phone number, email address |
Required |
| Delivery Address |
Address details entered by the user (city, district, detail) |
Required |
| Geographic Location |
GPS coordinates (only if permission is granted) |
Optional |
| Order Information |
Order history, selected products, delivery dates |
Required |
| Device & Technical |
FCM token (push notifications), device language and OS |
Required |
| Preferences |
Notification preferences, newsletter subscription |
Optional |
📌 Note: When registering via Google Sign-In, only your name and email address are shared with Sütce by Google. Your Google password is never transmitted to Sütce.
3Purposes of Processing and Legal Basis
Your data is processed for the following purposes and legal bases under GDPR Article 6:
| Processing Purpose |
Legal Basis (GDPR Art. 6) |
| Order placement and delivery |
Performance of a contract (Art. 6(1)(b)) |
| Transactional delivery status notifications |
Performance of a contract (Art. 6(1)(b)) |
| Customer support, complaints, and refunds |
Contract / Legitimate interest (Art. 6(1)(b)(f)) |
| Marketing notifications and email newsletter |
Consent (Art. 6(1)(a)) |
| Legal obligations and accounting records |
Legal obligation (Art. 6(1)(c)) |
| Platform security and fraud prevention |
Legitimate interest (Art. 6(1)(f)) |
4Location and Notification Permissions
Core features of the application rely on location services and push notifications:
- Location Permission (Optional): Used to verify your delivery address on the map. You can use the app and enter your address manually without granting this permission. Manageable via Device Settings > Apps > Sütce.
- Notification Permission: Used for order status alerts (received, dispatched, delivered). Preferences in Account > Preferences are instantly synchronized with our servers.
- Marketing Notifications: Campaign and discount notifications are only sent based on your explicit consent and can be revoked at any time.
📱 Preference Control: You can change your notification preferences in Account > My Preferences and your location permission in device settings at any time.
5Data Sharing & Third-Party Disclosure
Your data is shared only with the following parties and strictly limited to the stated purposes:
- Registered Seller / Milkman: Your name, delivery address, and phone number are shared to fulfill your order.
- Courier: Only the delivery address and, if necessary, the phone number are provided during delivery.
- Service Providers: Technical infrastructure providers such as Firebase (notifications) and Google (maps, OAuth) process only necessary technical data and cannot use it independently.
⚠️ Absolute Commitment: Your personal data is never sold, rented, or transferred to third-party advertising companies, data brokers, or any commercial entities.
6Third-Party Integrations
Sütce uses the following third-party services. We recommend reviewing their own privacy policies:
| Service |
Purpose |
Privacy Policy |
| Firebase (Google) |
Push notification infrastructure (FCM), authentication |
firebase.google.com/support/privacy |
| Google Sign-In |
Social login option (OAuth 2.0) |
policies.google.com/privacy |
| Google Maps |
Address verification and delivery zone display |
policies.google.com/privacy |
| PostgreSQL (Server) |
User and order database (hosted on our own servers) |
Under our own control |
7Data Retention
Your personal data is retained only for the period proportionate to the processing purpose:
- Active Account Data: Retained while your account is open and deleted within 30 days of an account closure request.
- Order History: May be retained for up to 10 years to meet tax and accounting obligations (only order data; personal data is minimized).
- FCM Notification Tokens: Deleted immediately upon account closure or revocation of notification permission.
- Log Records: Security-related server logs are retained for a maximum of 90 days.
- Marketing Data: Deleted immediately upon unsubscription, or at account closure otherwise.
8Data Security
The following technical and administrative measures are in place to protect your personal data:
- Encryption: All API communications are encrypted via HTTPS/TLS. Passwords are stored using bcrypt hashing.
- JWT Token Security: Authentication is managed through 30-day time-limited JWT tokens.
- Access Control: User data is accessible only by authorized personnel; role-based access control is applied.
- Server Security: The database is hosted on our own secure servers with regular backups.
- Admin Panel Security: Access to the management panel is protected by a secret password.
⚠️ Data Breach Notification: In the event of a security breach affecting your personal data, the relevant authority will be notified within 72 hours as required by GDPR Article 33, and affected users will be informed as soon as possible.
9Cookies and Analytics
The Sütce website (sutce.com) uses a minimal number of cookies for session continuity:
- Essential Cookies: Admin session information (localStorage) — required for the service to function.
- Analytics Cookies: The Sütce mobile application does not use any third-party analytics tools. Server-side anonymized statistics may be maintained.
- Advertising Cookies: Not used.
The mobile application does not use cookies. Device-local storage (SharedPreferences / Secure Storage) is used only to store the session token and application preferences.
10Children's Privacy
Sütce services are designed for individuals aged 18 and over. Persons under 18 may not register on Sütce without parental or legal guardian consent.
If we become aware that a user under 18 has registered without consent, the account and all associated data will be deleted immediately. If you believe your child has registered without authorization, please notify us at support@sutce.com.
11Your Rights under GDPR
Under GDPR Articles 15–21, you have the following rights:
🔍
Right of Access
Request a copy of your personal data we hold
✏️
Right to Rectification
Request correction of inaccurate or incomplete data
🗑️
Right to Erasure
Request deletion of your personal data ("right to be forgotten")
⏸️
Right to Restriction
Request restriction of processing in certain circumstances
📦
Right to Portability
Receive your data in a structured, machine-readable format
🚫
Right to Object
Object to processing based on legitimate interest or for marketing
🤖
Automated Decisions
Not to be subject to solely automated decision-making
📝
Withdraw Consent
Withdraw any consent previously given at any time
⏱️ Response Time: We will respond to your requests within a maximum of 30 days. If the request is complex, this period may be extended by an additional 30 days; you will be informed if this is the case.