Gizlilik Politikası

Kısa özet

FREN, Türkiye için yapılmış bir sürüş güvenliği uygulamasıdır. Türkiye'deki hız kameraları ve EDS bölgeleri için seni önceden uyarır, reklamsız çalışır ve FREN'i kullanmak için kayıt olmaya gerek yoktur.

• Radar tespiti cihazında yapılır. Temel uyarı işlevi için internet bağlantısı gerekmez.
• Anonim sürüş verisi yalnızca onam ekranındaki ilgili anahtarı açtıysan toplanır. Her anahtar tek bir veri akışını kontrol eder ve Ayarlar → Gizlilik üzerinden istediğin zaman kapatabilirsin.
• Adını, soyadını, e-posta adresini, telefon numaranı, fotoğraflarını, rehberini ya da reklam kimliğini toplamayız. FREN'i kullanmak için kayıt olmaya gerek yoktur.
• Topladığımız veri rastgele bir cihaz kimliğine bağlı. Bu kimlik seni tanıtmaz ve uygulama güncellemelerinde dönüşür. Biz dahil hiç kimse bir sürüşe bakıp kimin sürdüğünü anlayamaz.

1. Biz kimiz

Bu politikada anlatılan kişisel verinin veri sorumlusu:

• Fren Safety Inc.
• Delaware (ABD) merkezli şirket · Faaliyet adresi: New Jersey, ABD
• İletişim: [email protected]

Türkiye'deki kullanıcılar için bu politika, KVKK 10. maddesi kapsamında aydınlatma metni yerine geçer. Avrupa Ekonomik Alanı, Birleşik Krallık ve İsviçre'deki kullanıcılar için GDPR 13/14. maddeleri kapsamında gizlilik bildirimi niteliğindedir.

2. Ne topluyoruz (yalnızca ilgili anahtar açıkken)

Veriyi üç bağımsız akışla topluyoruz; her birinin kendi anahtarı var. Anahtarlar onboarding sırasında gördüğün onam ekranında ve Ayarlar → Gizlilik içinde yer alıyor.

2.1 Çökme ve hata raporları

Uygulama çöktüğünde veya beklenmedik bir hata olduğunda Firebase Crashlytics'e anonim bir rapor gider. Rapor şunları içerir: hata kaydı, uygulama sürümü, işletim sistemi sürümü, cihaz modeli, bellek anlık görüntüsü ve kullanıcı kimliğiyle bağlantısız son birkaç adımın özeti.

Bu raporları hataları bulup düzeltmek ve uygulamayı akıcı tutmak için kullanırız. Raporlar konum, sürüş verisi ya da seni tanıtacak bilgi içermez.

2.2 Anonim sürüş verisi (topluluk paylaşımı)

Bu anahtar açıkken, sürüş seansın bittiğinde sunucularımıza anonim olarak yüklenir. Her seans şunları içerir:

• GPS izi: enlem, boylam, hız, yön; yaklaşık 3 saniyede bir
• Uyarı olayları: tetiklenen kamera uyarıları, iptal edilen uyarılar, EDS koridoruna giriş ve çıkış
• Sürüş olayları: ivmeölçer ve jiroskopla tespit edilen ani fren, ani gaz, keskin viraj olayları (yalnızca olay anında; sürekli akış yok)
• Yolculuk özeti: başlangıç ve bitiş zamanı, toplam mesafe, en yüksek hız, yolculuğun kapsadığı bölge, ve telefonun nasıl tutulduğu bilgisi (elden mi, sabit bir tutucuda mı)
• Cihaz bağlamı: cihaz modeli, işletim sistemi sürümü, uygulama sürümü, seçtiğin araç türü (otomobil / kamyon / motosiklet), ülke kodu
• Rastgele cihaz kimliği: kimliğinle bağlantısız, sayı ve harflerden oluşan bir kod. Uygulama güncellemelerinde dönüşür.

Bu veriyi tehlikeli yol kesimlerini, keskin virajları ve ani fren noktalarını tespit etmek ve gelecek harita güncellemeleriyle bütün FREN'cilere geri ulaştırmak için kullanırız. Hayat Kurtaranlar Topluluğu fikrini gerçek kılan akış budur.

2.3 Araştırmacılar ve ortaklarla anonim toplu veri paylaşımı

Bu anahtar açıkken, 2.2'deki aynı anonim veri toplu istatistik olarak ortaklarla paylaşılabilir. Ortaklar üç gruptan oluşur: yol güvenliği araştırmacıları, belediyelerin trafik güvenliği birimleri, ve yol güvenliği üzerine çalışan sigorta şirketleri.

"Toplu istatistik" şu demek: ortaklar senin tek tek sürüşlerine erişmez. Yol kesimi başına, saat dilimi başına ya da hücre başına özetlenmiş istatistikler alırlar. Örneğin: "bu kavşakta Mart ayında 1000 araç başına 12 ani fren olayı kaydedildi." Bir ortak bu istatistiklerden bireysel bir sürüşü yeniden kuramaz ve hiçbir istatistiği bir kişiye bağlayamaz.

Bu paylaşım, FREN'in reklamsız kalmasını sağlayan akıştır. Bu politika içindeki tek açık rıza temelli veri akışıdır (KVKK 5(1) / GDPR 6(1)(a)). Diğer iki akış meşru menfaat temellidir; bu, alıcı sınıfı FREN'in dışında olduğu için açık rıza gerektirir.

3. Asla toplamadıklarımız

Aşağıdakileri anahtar durumundan bağımsız olarak hiç toplamayız:

• Adın, soyadın, e-posta adresin, telefon numaran
• Rehberin, fotoğrafların, takvimin, mesajların
• Reklam kimliği (Apple IDFA, Google AAID)
• Hesap girişi. FREN'i kullanmak için kayıt olmaya gerek yoktur.
• Telefon ekranının içeriği, yüklü uygulamalar listesi, sürüş sırasında kullandığın diğer uygulamalar
• Mikrofon ya da kamera girdisi. Uygulamanın bunlara erişimi yok.
• Aracın OBD-II veya CAN-bus telematik verisi
• Serbest metin alanları. FREN açık uçlu yorum toplamaz. (Bu değişirse, örneğin topluluk kamera bildirimi geldiğinde, bu politika önce güncellenir.)

4. Her veri kategorisini neden topluyoruz, hukuki dayanak

Bir anahtarı kapattığında, o akış sunucuya hiç ulaşmadan cihazda durur. "Kapalı ama önbellekte bekliyor" diye bir durum yok.

Meşru menfaat temelli kategoriler için bir Meşru Menfaat Değerlendirmesi (LIA) yürütüldü ve şu sonuca varıldı: işlem belirtilen amaçlar için gerekli, veri o amaçlar için asgari düzeyde, anonimleştirilmiş yeniden kullanım kullanıcı haklarını ezmiyor, ve kullanıcının net bir tek dokunuşluk vazgeçme yolu var. LIA içeride belgelenmiş, talep halinde denetleyici kurumla paylaşılır.

5. Veriyi ne kadar süreyle saklıyoruz

Saklama süresi dolduğunda veri, bir sonraki programlı silme çalıştırması ile silinir (sürenin bitişinden en geç 30 gün içinde).

6. Veriyi kimlerle paylaşıyoruz

Aşağıdaki alıcı sınıflarıyla veri paylaşıyoruz. Hiçbiri seni kişisel olarak tanıtacak veri almaz.

• Altyapımızın bir bölümünü işleten hizmet sağlayıcılar:
  • Supabase (AB sunucuları): seans ve olay kayıtlarının tutulduğu veritabanı
  • Firebase Crashlytics (Google): çökme raporu işleme
  • Mapbox: harita karoları (Android'de telemetri kapalı; iOS'ta genel oturum sayısı ve harita karosu istekleri gibi toplu metrikler — kimliğe bağlı veri yok)
  • Cloudflare: web sitemiz ve API'lerimiz için kenar önbelleği
• Yol güvenliği ortakları, 2.3'te tanımlanan sınıfta: sigorta şirketleri, belediye trafik güvenliği programları, akademik araştırma grupları. Her ortak FREN ile veri işleme sözleşmesi imzalar; bu sözleşme yeniden kimlik eşleştirme girişimini yasaklar ve verinin başkasına aktarılmasına izin vermez.
• Kolluk kuvvetleri ve mahkemeler, yalnızca faaliyet gösterdiğimiz bir yargı bölgesinden gelen geçerli bir hukuki karar sunulması halinde. Kimliklendirici veri toplamadığımız için, açıklanabilen kayıt tipik olarak oldukça sınırlıdır.

Reklam verenlere, veri komisyoncularına ya da pazarlama şirketlerine kişisel veri satmıyoruz. Uygulamanın içinde reklam SDK'sı çalıştırmıyoruz.

7. Anonimleştirme taahhüdü

Veri herhangi bir ortak için FREN ortamından çıkarken aşağıdakiler mutlaka kaldırılır ya da değiştirilir:

• Rastgele cihaz kimliği hiçbir ortak ihracatında yer almaz
• Her yolculuğun ilk ve son 100 metresi atılır (ortak senin evini ya da varış noktanı göremesin diye)
• 90 saniyeden kısa yolculuklar düşürülür (kısa yolculuklarda başlangıç ve varış dışında pek bilgi olmaz)
• Hiçbir serbest metin alanı ihraç edilmez
• Düşük yoğunluklu kırsal hücrelerde, konumla birleşince yeniden kimlik eşleştirme riski yaratan durumlarda araç türü seçimi ihraç edilmez

Bu, anonimleştirmenin matematiksel olarak kusursuz olduğu vaadi değil. Hiçbir gerçek dünya anonimleştirmesi öyle değildir. Yukarıdaki teknikleri kullandığımızın ve sonuç veri kümesini hâlâ titiz işlenmesi gereken bir küme olarak ele aldığımızın taahhüdüdür.

8. Haklarınız

KVKK 11. maddesi (Türkiye), GDPR 15 – 22. maddeleri (AEA/UK/CH), CCPA §§ 1798.100 – 1798.135 (Kaliforniya) ve LGPD 18. maddesi (Brezilya) kapsamında şu haklara sahipsin:

• Verini işleyip işlemediğimizi ve neyi işlediğimizi öğrenmek
• Rastgele cihaz kimliğine bağlı verinin bir kopyasını istemek
• Verinin yanlış olduğu durumlarda düzeltilmesini istemek
• Verinin silinmesini istemek
• İşlemenin durdurulmasını istemek
• Belirli işleme akışlarına itiraz etmek
• Verdiğin onamı geri çekmek (geri çekmeden önceki işlemeyi etkilemez)

Bu taleplerden herhangi birini [email protected] adresine yazabilirsin. 30 takvim günü (KVKK) ya da bir ay (GDPR) içinde, hangisi daha kısaysa, dönüş yapılır.

FREN'in verini yanlış işlediğini düşünüyorsan ilgili denetleyici kuruma şikayet edebilirsin:

• Türkiye: Kişisel Verileri Koruma Kurumu (KVKK), kvkk.gov.tr
• AB üye devletleri: Kendi ülkenin veri koruma kurumu
• Birleşik Krallık: Information Commissioner's Office (ICO), ico.org.uk
• Kaliforniya: California Privacy Protection Agency (CPPA), cppa.ca.gov

9. Uluslararası veri aktarımı

FREN Amerika Birleşik Devletleri'nden işletiliyor. Telemetri verisi AB Supabase veri merkezlerinde tutulur; çökme raporları Firebase tarafından Google'ın küresel altyapısında (öncelikli olarak ABD veri merkezlerinde) işlenir; harita karoları Mapbox'un küresel kenar ağıyla sunulur.

AEA/UK/İsviçre'den ABD'ye yapılan sınır ötesi aktarımlar, işleyicilerimizle imzalanan Standart Sözleşme Maddeleri (SCC) ile korunur. Türkiye'den yapılan aktarımlar, onam temelli akışlar için kullanıcı onamıyla, meşru menfaat temelli akışlar için (uygun olduğunda) KVKK 9(2) açık rıza kuralları altında yürütülür.

10. Çocuklar

FREN bir sürüş uygulamasıdır. Ülkesindeki yasal sürüş yaşının (tipik olarak 16 – 18) altındaki kişilere yönelik değildir. Bu yaşın altında olduğunu bilerek kimseden veri toplamayız. Eğer ebeveyn ya da vasiysen ve küçük bir çocuğun cihaz verisinin toplandığına inanıyorsan [email protected] adresine yaz, veriyi sileriz.

11. Politikadaki değişiklikler

Bu politika değişebilir. Değiştiğinde:

• Belgenin üstündeki versiyon numarası ve "son güncelleme" tarihi değişir
• Değişikliğin kısa özeti frenyap.com/privacy adresindeki yayımlanan politikanın üstüne eklenir
• Toplanan veriyi ya da veriyi paylaştığımız tarafları esaslı olarak genişleten değişikliklerde, yeni akış başlamadan önce uygulama seni yeniden onam vermeye çağırır. Mevcut bir anahtarın altına sessizce yeni bir veri akışı eklemiyoruz.

12. İletişim ve veri silme talebi

• Genel gizlilik soruları ve hak talepleri: [email protected]
• AB/UK GDPR 27. madde temsilcisi: (AB lansmanından önce atanacak — FREN şu an AEA/UK kullanıcılarına sunulmuyor; bu pazarlara girilmeden önce yerine konacak)

Veri silme talebi için [email protected] adresine "Veri Silme Talebi" konusuyla yazabilirsin. KVKK 7. ve GDPR 17. maddeleri kapsamında 30 gün içinde dönüş yapılır.

• Cihazdaki veri: Uygulamayı kaldırmak cihazdaki tüm yerel veriyi otomatik olarak siler.
• Sunucu tarafındaki anonim telemetri: Kimliğinle bağlantısız rastgele bir cihaz kimliği altında tutulur. Uygulamayı yaklaşık olarak hangi tarihte ve hangi bölgede kullandığını bize yazarsan, ilgili telemetri kayıtlarını veritabanımızdan siliyoruz.
• Çökme raporları (Firebase Crashlytics): 90 günde otomatik silinir; talep üzerine daha erken silinir.

Quick summary

FREN is a driving-safety app built for drivers in Türkiye. It alerts you to speed cameras and EDS zones, runs ad-free, and doesn't ask you to create an account.

• The radar detection runs on your device. The core warning function does not require an internet connection.
• We collect anonymous driving data only when you have enabled the matching toggles in the consent screen. Every toggle controls one specific data flow and you can turn it off at any time from Settings → Privacy.
• We never collect your name, email, phone number, photos, contacts, or advertising ID. The app does not ask for an account login.
• The data we do collect is tied to a random, rotating device ID, not to you. No one — including us — can look at a trip and tell who drove it.

1. Who we are

The controller for the personal data described in this policy is:

• Fren Safety Inc.
• Delaware C-Corp · Operating address: New Jersey, USA
• Contact: [email protected]

For users in Türkiye, this policy is the aydınlatma metni required under KVKK Article 10. For users in the European Economic Area, the United Kingdom, and Switzerland, it is the privacy notice required under GDPR Articles 13/14.

2. What we collect (only when the matching toggle is on)

We collect data through three independent flows, each gated by its own toggle. The toggles live on the consent screen you saw during onboarding and on Settings → Privacy.

2.1 Crash and diagnostic reports

When the app crashes or hits an unexpected error, Firebase Crashlytics sends us an anonymous report describing what went wrong: stack trace, app version, OS version, device model, free-memory snapshot, and the last few non-personal breadcrumbs (e.g. "user opened settings", "GPS lost fix").

We use this to fix bugs and keep the app stable. The reports contain no location, no driving data, and no information about who you are.

2.2 Anonymous driving data (community share)

When this toggle is on, your driving session is uploaded to our servers in anonymized form when the trip ends. Each session contains:

• GPS track — latitude, longitude, speed, heading, sampled roughly every 3 seconds while the app is running
• Alert events — which camera warnings fired, which ones you dismissed, EDS corridor entries and exits
• Driving events — hard-brake, hard-acceleration, and sharp-cornering events detected by the device accelerometer and gyroscope (event-triggered; we do not stream sensor data continuously)
• Trip context — session start/end timestamps, total distance, max speed, bounding box of the trip, and a phone-mount-stability flag (so we can drop trips where the phone was being held in someone's hand)
• Device context — device model, OS version, app version, vehicle type you selected (car / truck / motorcycle), country code (derived from device locale or first GPS fix)
• Random device ID — a UUID generated by your device that has no connection to your identity. It rotates on app upgrades.

We use this data to detect dangerous road segments — sharp curves, hot intersections, hard-brake clusters — and ship those back to the FREN community in future map updates. This is what makes the "Lifesavers Community" framing real.

2.3 Anonymized aggregate sharing with road-safety partners

When this toggle is on, the same anonymized data described in 2.2 is also eligible to be shared, in aggregated form only, with road-safety researchers, municipal traffic-safety programs, and insurance partners whose use case is road-safety analytics.

"Aggregated form only" means partners never receive your individual trip records. They receive statistics rolled up by road segment, by time-of-day, or by hex cell — for example, "this intersection had 12 hard-brake events per 1,000 vehicle passes in March." A partner cannot reconstruct any individual trip from these statistics, and cannot link any statistic to a person.

This sharing is what keeps FREN ad-free. It is also the only data flow in this policy that processes data under explicit consent (KVKK açık rıza / GDPR Article 6(1)(a)) rather than legitimate interest, because the recipient class sits outside FREN itself.

3. What we never collect

The app does not collect any of the following, regardless of toggle state:

• Your name, surname, email address, or phone number
• Your contacts, photos, calendar, or messages
• Apple's advertising identifier (IDFA) or Google's advertising ID (AAID)
• Any account login. FREN never asks you to register.
• The contents of your phone screen, the apps you have installed, or the apps you are using during a drive
• Microphone or camera input. The app does not have access to either.
• Vehicle telematics from your car's OBD-II port or CAN bus
• Free-text fields. FREN does not collect open-text comments. (When this changes — for example, when community camera reporting ships — this policy will be updated first.)

4. Why we collect each category, and the lawful basis

If you turn a toggle off at any time, the matching flow stops at the device before any upload happens. Off means off, not "off but cached for later."

For the legitimate-interest categories, we have run a Legitimate Interests Assessment (LIA) and concluded that the processing is necessary for the purposes named, that the data is minimal for those purposes, that anonymized re-use does not override your rights, and that you have a clear, one-tap path to opt out. The LIA is documented internally and available to regulators on request.

5. How long we keep it

When the retention period expires, the data is deleted on the next scheduled deletion run (within 30 days of expiry).

6. Who we share data with

We share data with the following classes of recipients. None of them receives data that identifies you personally.

• Service providers that operate parts of our infrastructure:
  • Supabase (EU servers): the database where session and event records are stored
  • Firebase Crashlytics (Google): crash report processing
  • Mapbox: map tile delivery (telemetry disabled on Android; on iOS aggregate session and tile-request metrics, no identity-linked data)
  • Cloudflare: edge caching for our public website and APIs
• Road-safety partners in the recipient class described in section 2.3, which includes insurers, municipal road-safety programs, and academic research groups. Partners are individually contracted with FREN under a data-processing agreement that prohibits re-identification attempts and bars onward sharing.
• Law enforcement and courts if and only if we are presented with a valid legal order from a jurisdiction we operate in. Because we collect no identifying data, the disclosable record is typically very limited.

We do not sell personal data to advertisers, data brokers, or marketing companies. We do not run any advertising SDK inside the app.

7. Anonymization commitment

When data leaves FREN's environment for any partner, the following are guaranteed to be stripped or altered:

• The random device ID is not included in any partner export
• The first and last 100 meters of every trip are dropped (so a partner cannot see your home or destination)
• Trips shorter than 90 seconds are dropped (these tend to encode origin or destination with no useful intermediate data)
• No free-text fields are exported
• No vehicle type selection is exported when it would, combined with location, create a re-identification risk in low-density rural cells

This is not a promise that anonymization is mathematically perfect — no real-world anonymization is. It is a commitment that we use the techniques named above and that we treat the resulting data set as still subject to careful handling.

8. Your rights

Under KVKK Article 11 (Türkiye), GDPR Articles 15 – 22 (EEA/UK/CH), CCPA §§ 1798.100 – 1798.135 (California), and LGPD Article 18 (Brazil), you have the right to:

• Ask whether we process your data, and what we process
• Ask for a copy of the data tied to your random device ID
• Ask for that data to be corrected if any of it is inaccurate
• Ask for that data to be deleted
• Ask us to stop processing it
• Object to specific processing flows
• Withdraw any consent you have given (without affecting processing that happened before withdrawal)

Send any of these requests to [email protected]. We respond within 30 calendar days (KVKK) or one month (GDPR), whichever is shorter for you.

If you believe FREN has mishandled your data, you may complain to the relevant supervisory authority:

• Türkiye: Kişisel Verileri Koruma Kurumu (KVKK), kvkk.gov.tr
• EU member states: your national data protection authority
• United Kingdom: Information Commissioner's Office (ICO), ico.org.uk
• California: California Privacy Protection Agency (CPPA), cppa.ca.gov

9. International transfers

FREN is operated from the United States. Telemetry data is stored in EU Supabase data centers; crash reports are processed by Firebase in Google's global infrastructure (primarily US data centers); map tiles are delivered from Mapbox's global edge network.

Cross-border transfers from the EEA/UK/CH to the US are covered by Standard Contractual Clauses (SCCs) with our processors. Transfers from Türkiye are covered by user consent for the data flows that are consent-based, and by KVKK Article 9(2) explicit-consent clauses (where applicable) for the flows that are legitimate-interest-based.

10. Children

FREN is a driving app. It is not directed at people under the legal driving age in their country (typically 16 – 18). We do not knowingly collect data from anyone we have reason to believe is below that age. If you are a parent or guardian and you have reason to believe a minor's device data was collected, contact us at [email protected] and we will delete it.

11. Changes to this policy

This policy may change. When it does:

• The version number and "last updated" date at the top of this document change
• A short note describing what changed appears at the top of the hosted policy at frenyap.com/privacy
• For changes that materially expand what data we collect or who we share it with, the app prompts you to review and re-consent before the new flow starts. We never quietly add a data flow to an existing toggle.

12. Contact

• General privacy questions and rights requests: [email protected]
• EU/UK representative under GDPR Art. 27: (to be appointed before EU launch — currently not required because FREN is not yet offered to EEA/UK users; will be in place before launch into those markets)