Yasal
Gizlilik ve Çerez Politikası
Sağlık verisi özel nitelikli kişisel veridir. Hangi çerezleri kullandığımızı, hangi hizmet sağlayıcılarla çalıştığımızı ve verileri nasıl koruduğumuzu sade bir dille anlatıyoruz.
Sürüm: 2026-10-25.14 · Yürürlük: 25 Ekim 2026
1. Kısaca
- Reklam, sosyal medya izleyicisi ve üçüncü taraf analitik yok.
- Sağlıkla ilgili aramalar kişi bazında izlenmez; yalnızca günlük toplam sayılar tutulur.
- Hikaye metinleri hiçbir yapay zeka hizmetine gönderilmez.
- E-postalarda sağlık bilgisi yer almaz.
- Kişisel verilerin işlenmesine dair bütün ayrıntılar: KVKK Aydınlatma Metni.
2. Çerezler ve tarayıcı depolama
2.1Platform yalnızca hizmetin çalışması için zorunlu çerezler kullanır:
- Çerez
ghh.session_token(HTTPS'te__Host-önekiyle)- Amaç
- Giriş yaptığında oturumunu açık tutar. Çıkış yaptığında hesabının bütün oturumları sunucuda da kapanır.
- Tür
- Zorunlu, birinci taraf, yalnızca sunucu okur (HttpOnly, Secure, SameSite=Lax)
- Süre
- 30 gün ya da çıkış yapana kadar; editör ve yönetici hesaplarında en fazla 8 saat
- Çerez
ghh.*(kısa ömürlü yardımcı çerezler)- Amaç
- Giriş ve e-posta onayı adımlarının güvenliği.
- Tür
- Zorunlu, birinci taraf
- Süre
- Oturum ya da birkaç dakika
- Çerez
ghh_oturum(HTTPS'te__Host-önekiyle)- Amaç
- Yalnızca hikaye yazma sayfasında oluşur; rastgele bir tarayıcı oturum kimliğidir. Kötüye kullanımı önlemek ve kendine zarar riski gibi bir işaretten sonra aynı kişinin sonraki gönderilerini 14 gün editöre yönlendirmek (güvenlik hafızası) için kullanılır. Sunucuda açık haliyle saklanmaz, yalnızca geri döndürülemez özeti tutulur (Aydınlatma Metni → Saklama).
- Tür
- Zorunlu (güvenlik), birinci taraf, yalnızca sunucu okur (HttpOnly)
- Süre
- 30 gün
- Çerez
hk_cihaz(HTTPS'te__Secure-önekiyle)- Amaç
- Yalnızca “Bende de” düğmesine bastığında oluşur; aynı hikayenin iki kez sayılmasını önleyen rastgele bir kimliktir. Yalnızca
/api/tepkiadresine gönderilir, kim olduğunla ilişkilendirilmez. - Tür
- Zorunlu (talep ettiğin işlev için), birinci taraf, HttpOnly
- Süre
- 1 yıl
- Anahtar
ghh:taslak:v1- Amaç
- Giriş yapmadan yazdığın hikaye taslağı, yalnızca bu tarayıcıda.
- Süre
- Gönderene ya da silene kadar
- Anahtar
ghh:bende-de:v1- Amaç
- Bastığın “Bende de” düğmelerini bu tarayıcıda işaretli göstermek.
- Süre
- Tarayıcı verilerini silene kadar
2.2Neden çerez bandı yok? Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehberi'ne göre, kullanıcının açıkça talep ettiği bir hizmetin sunulması için kesinlikle gerekli (zorunlu) çerezler için açık rıza alınması gerekmez; bu çerezler md. 5/2-(c) ve (f) kapsamında işlenir. Platform analitik, kişiselleştirme ya da reklam çerezi kullanmadığı için onay bandı göstermez ve bu çerezler hakkında bu sayfada bilgilendirme yapar.
2.3Analitik, pazarlama ya da başka bir isteğe bağlı çerez eklenmesi halinde, bu çerezler yalnızca önceden alınan açık rızayla ve reddetmenin kabul etmek kadar kolay olduğu bir onay bandıyla kullanılır; bu politika yeni sürümle güncellenir.
2.4Çerezleri tarayıcı ayarlarından silebilir ya da engelleyebilirsin; zorunlu çerezleri engellersen giriş yapamazsın, ancak hikayeleri okumaya devam edebilirsin.
3. Üçüncü taraf hizmetler
3.1Platform, sayfalarında üçüncü taraf betik, yazı tipi, harita, video ya da sosyal medya eklentisi yüklemez; yazı tipleri kendi sunucumuzdan gelir. Hizmetin altyapısı için şu sağlayıcılarla çalışılır:
- Sağlayıcı
- Vercel
- Ne için
- Barındırma ve içerik dağıtımı
- Ne görür
- Sayfa istekleri, IP adresi, sunucu kayıtları
- Sağlayıcı
- Neon
- Ne için
- Veritabanı
- Ne görür
- Hesap, hikaye ve kayıtlar (şifreli bağlantı, şifreli depolama)
- Sağlayıcı
- Resend
- Ne için
- E-posta gönderimi
- Ne görür
- E-posta adresi ve sağlık bilgisi içermeyen e-posta metni
- Sağlayıcı
- Sentry (etkinse)
- Ne için
- Hata kaydı
- Ne görür
- Hata türü, temizlenmiş mesaj, sayfa şablonu (ör. “hikaye sayfası”, hangi hikaye olduğu değil); hikaye metni, form içeriği, e-posta ve IP adresi gönderilmez
- Sağlayıcı
- Cloudflare Turnstile
- Ne için
- Bot doğrulaması (yalnızca giriş ve hikaye gönderme ekranlarında, görünmez)
- Ne görür
- IP adresi, tarayıcı ve cihaz sinyalleri; hikaye metni ve e-posta adresi gönderilmez
Cloudflare Turnstile görünmez çalışır; ekranda bir doğrulama kutusu çıkmaz. Cloudflare'in bu doğrulamada verileri nasıl işlediği: Cloudflare Turnstile Privacy Addendum.
Yurt dışına aktarım ve hukuki dayanağı: KVKK Aydınlatma Metni → Aktarım.
4. Güvenlik önlemleri
4.1Kişisel Verileri Koruma Kurulu'nun özel nitelikli kişisel veriler için öngördüğü yeterli önlemler esas alınarak şu teknik ve idari tedbirler uygulanır:
- Bütün bağlantılar HTTPS ile şifrelenir (HSTS); veritabanı bağlantısı ve depolama şifrelidir.
- Taslaklar, hikaye sürümleri ve rıza kayıtları veritabanı düzeyinde satır güvenliğiyle (RLS) yalnızca sahibine açıktır.
- Editör ve yönetici erişimi rollerle sınırlıdır; yönetim işlemleri denetim kaydına yazılır.
- Yazar hesaplarında şifre yoktur; giriş e-postaya gönderilen 6 haneli kodla yapılır. Kodlar yalnız sunucu sırrıyla alınmış geri döndürülemez özet olarak saklanır, 10 dakika geçerlidir, tek kullanımlıktır ve 5 yanlış denemede geçersizleşir; yeniden gönderme 60 saniye bekler, adres ve IP başına hız sınırı vardır. Editör şifreleri geri döndürülemez biçimde özetlenir.
- Yayında kişisel veriler ve doktor adları gizlenir; özgün metin herkese açık alana çıkmaz.
- IP adresi uygulama veritabanında yalnızca 5651 trafik kaydında açık tutulur: ayrı bir tabloda, 1 yıl, yalnızca yöneticinin yetkili merci talebi ya da hukuki bir başvuru için arayabileceği biçimde; her arama denetim kaydına yazılır. Kötüye kullanım sayaçları IP adresinin, güvenlik hafızası hesabın ve tarayıcı oturumunun geri döndürülemez özetleriyle çalışır; hata kayıtlarına ve sunucu günlüklerine IP adresi yazılmaz.
- İçerik güvenlik politikası (CSP) ile yalnızca kendi kodumuz çalışır; sayfalar başka sitelerin çerçevesinde açılamaz.
- Saklama süreleri dolan veriler otomatik işlerle silinir; yedekler şifrelidir ve 35 gün tutulur.
- Verilere erişen kişiler gizlilik yükümlülüğü altındadır; editörlere sağlık verisi ve gizlilik konusunda yönerge verilir.
4.2Bir veri ihlali fark edilirse Kurul'a ve etkilenen kişilere 6698 s. Kanun md. 12/5 ve Kurul kararları uyarınca en kısa sürede (Kurul'a en geç 72 saat içinde) bildirim yapılır.
5. Yayından kaldırma ve arama motorları
5.1Hikayeni kaldırdığında site, arama ve site haritasından hemen çıkar; sayfa artık bulunamadı yanıtı verir ve paylaşım görselindeki başlık da kalkar. Arama motorlarının kopyalarının güncellenmesi kendi süreçlerine bağlıdır.
6. Değişiklikler
6.1Bu politika değiştiğinde yeni sürüm numarası ve yürürlük tarihiyle bu sayfada yayımlanır.