Beslenme Uygulamalarında Veri Gizliliği: Nelere Dikkat Etmeli?

Bir beslenme takip uygulaması, günlük hayatının en mahrem verilerini toplar: ne yediğini, kaç kilo olduğunu, hangi salona gittiğini, bazen de tam olarak nerede olduğunu. Bu verinin nereye gittiği sorusu, arayüzden ya da özellik listesinden çok daha önemli — çünkü bir gizlilik politikasının binlerce kelimesi arasına sıkışmış tek bir cümle (“verileriniz iş ortaklarımızla paylaşılabilir”), yıllarca tuttuğun bir kaydın aslında kime ait olduğunu değiştirebilir. Aşağıdaki beş soru, herhangi bir beslenme ya da sağlık uygulamasını indirmeden önce sorabileceğin somut bir kontrol listesi.

Soru 1: Verini üçüncü taraflara satıyor mu?

“Veri satışı” somut bir şeyi ifade eder: bir şirketin, kullanıcı verisine erişim karşılığında para (ya da parasal değeri olan bir karşılık) alması. Bunun sağlıkla ilgili uygulamalarda ne kadar yaygın olduğunu gösteren doğrudan bir bulgu var: Grundy ve arkadaşlarının 2019’da The BMJ’de yayınlanan çalışması, Google Play’deki en çok tercih edilen 24 ilaç/sağlıkla ilgili uygulamayı inceledi ve bunların 19’unun kullanıcı verisini Google ve Amazon gibi dışarıdaki şirketlerle paylaştığını, bu verinin teoride reklam ve kredi değerlendirme şirketlerine kadar ulaşabileceğini ortaya koydu. Bu çalışma beslenme uygulamalarına özel değil — ama aynı geniş kategori (sağlıkla ilgili mobil uygulamalar) için geçerli, somut bir emsal.

Kontrol noktası: gizlilik politikasında “iş ortaklarımız” diye geçen belirsiz, sınırları çizilmemiş bir liste mi var, yoksa bu ortakların kim olduğu ve veri paylaşımının tam olarak hangi amaçla yapıldığı açıkça mı yazıyor? Cookrange’in gizlilik politikası, ABD’li kullanıcılara yönelik CCPA bölümünde, kişisel verileri parasal karşılık ile satmadığını ayrı bir başlık altında açıkça belirtiyor — genel bir “verileriniz güvende” cümlesine gömülü olmaması, bunu kontrol edilebilir bir iddia hâline getiriyor.

Soru 2: Reklamverenlerle paylaşıyor mu?

Veri satışı ile reklamverenlerle paylaşım aynı şey değil — ikincisi parasal bir işlem olmadan da gerçekleşebilir, örneğin uygulama içine gömülü bir reklam ölçüm pikseli üzerinden davranışsal verinin sessizce aktarılmasıyla. Burada sorulması gereken “satıyor mu” değil, “uygulama içinde çalışan üçüncü taraf SDK ya da piksel var mı, ve bunlar hangi veriyi topluyor” sorusu.

Cookrange’in alt işlemciler sayfası, şu anda kullanılan üç sağlayıcıyı (Vercel, Firebase/Google Cloud, Cloudflare Turnstile) tek tek listeliyor ve henüz karar verilmemiş kategorileri (e-posta gönderim sağlayıcısı, web analitiği, olası bir reklam ölçüm pikseli) ayrıca “seçilecek” olarak işaretliyor — seçilmemiş bir kategori için uydurma bir sağlayıcı adı yazmak yerine. Bir uygulamanın alt işlemci listesini bu netlikte, güncellenebilir bir sayfada tutup tutmadığı kendi başına iyi bir gösterge.

Soru 3: KVKK ve GDPR’a gerçekten uyuyor mu, yoksa sadece iddia mı ediyor?

Türkiye’de faaliyet gösteren bir uygulama için 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) 2016’dan beri yürürlükte; AB’de kullanıcısı olan bir uygulama içinse (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR) geçerli. “KVKK ve GDPR’a uyumluyuz” cümlesi tek başına bir garanti değil — asıl kontrol edilmesi gereken, bu uyumun hangi somut haklarla (erişim, düzeltme, silme, itiraz) karşılığını bulduğu.

Cookrange’in gizlilik politikası, veri sorumlusu kimliğini ve her işleme amacını KVKK m.5/6 ile GDPR m.6/9 kapsamındaki karşılık gelen hukuki sebeplerle eşleştiren bir tablo içeriyor; erişim, düzeltme, silme, taşınabilirlik, itiraz ve kısıtlama hakları ayrı ayrı tanımlanmış durumda. Bunun yeterli olup olmadığına karar vermek okuyucuya kalır — ama en azından madde madde kontrol edilebilir bir metin, tek cümlelik bir güvence değil.

Soru 4: Verini dışa aktarabiliyor, silebiliyor musun?

Aylarca, belki yıllarca tutulan bir öğün ve kilo geçmişi, bir uygulamanın içine hapsolmamalı. Kontrol noktası: ayarlar menüsünde ya da bir başvuru sürecinde, verinin yapılandırılmış bir formatta dışa aktarılabildiği ve hesap silindiğinde verinin gerçekten silindiği (sadece görünmez hâle getirilmediği) açıkça yazıyor mu?

Cookrange’in gizlilik politikası, erişim ve taşınabilirlik haklarının yanında, hesap silindiğinde verilerin yasal saklama yükümlülüğü olanlar hariç makul bir süre içinde silineceğini ya da anonimleştirileceğini belirtiyor; bu talepler için ayrı bir veri sahibi başvuru süreci tanımlanmış. Herhangi bir uygulamayı değerlendirirken pratik bir adım: bu sürecin var olup olmadığını, yapılandırılmış bir forma mı yoksa belirsiz bir e-posta adresine mi dayandığını kontrol etmek.

Soru 5: Konum verin cihazında mı işleniyor, sunucuya mı gönderiliyor?

Beş kriter arasında en teknik ama en somut olanı bu. “Yakındaki salon ve koç sıralaması” gibi konuma dayalı bir özelliği çalıştırmanın iki farklı yolu var: konum koordinatını bir sunucuya gönderip karşılaştırmayı orada yapmak, ya da hesaplamayı doğrudan cihazda yapıp sunucuya hiçbir koordinat göndermemek. İkinci yöntemde konum verisi hiçbir merkezi noktada toplanmadığı için sızdırılamaz ya da yasal bir talep üzerine ifşa edilemez — çünkü zaten hiç merkezi olarak toplanmamıştır.

Cookrange’in güvenlik sayfası, yakındaki salon ve koç sıralamasının cihaz üzerinde hesaplandığını, konum koordinatının sunucuya gönderilmediğini ya da kaydedilmediğini açıkça belirtiyor. Bu, “gizliliğe önem veriyoruz” gibi genel bir cümle değil; ağ trafiği izlenerek prensip olarak doğrulanabilecek türden, spesifik bir mimari iddia.

Beş kritere göre hızlı karşılaştırma

Kriter	Zayıf işaret	Güçlü işaret
Veri satışı	Politika belirsiz ya da konudan hiç bahsetmiyor	Ayrı bir başlıkta, açık ve olumsuz biçimde yanıtlanmış
Reklamverenlerle paylaşım	Üçüncü taraf SDK/piksel listesi yok ya da erişilmesi zor	Alt işlemci/SDK listesi ayrı, güncellenen bir sayfada
KVKK/GDPR uyumu	Tek cümlelik “uyumluyuz” iddiası	Hak bazlı, madde madde açıklanmış bir süreç
Veri taşınabilirliği	Dışa aktarma yok, silme belirsiz bir e-postaya bağlı	Yapılandırılmış başvuru süreci, dışa aktarılabilir geçmiş
Konum verisi	Sunucuya gönderilip gönderilmediği belirtilmemiş	Cihazda işlendiği açıkça, teknik olarak belirtilmiş

Bu beş soruyu pratikte nasıl kontrol edersin?

Bu beş soruyu bir gizlilik politikasının tamamını okumadan da kısmen yanıtlamanın bir yolu var: hem Apple’ın App Store gizlilik etiketleri hem de Google Play’in “Veri güvenliği” bölümü, bir uygulamayı indirmeden önce hangi veri kategorilerinin toplandığını ve bunların kullanıcıyla ilişkilendirilip ilişkilendirilmediğini özetler. Bu etiketler geliştiricinin kendi beyanına dayanır, yani bağımsız bir denetim değildir — ama en azından bir başlangıç noktası ve politika metniyle karşılaştırmak için bir referans sunar. Pratik bir test: mağaza sayfasındaki etiket ile gizlilik politikasının kendisi birbiriyle çelişiyorsa, bu başlı başına bir uyarı işaretidir.

Sık sorulan sorular

Ücretsiz bir uygulama, verimi zaten bir şekilde paraya çevirmek zorunda değil mi? Ücretsiz bir katmanın maliyeti mutlaka veri satışı olmak zorunda değil; reklam gösterimi, premium’a yükseltme teşviki ya da kimlikle ilişkilendirilmemiş, toplulaştırılmış raporlama gibi başka modeller de mümkün. Kontrol edilmesi gereken, hangi modelin kullanıldığının açıkça yazılıp yazılmadığı.

Bir uygulama “KVKK’ya uyumludur” yazıyorsa bu yeterli bir garanti mi? Tek başına değil — bu cümle bir niyet beyanı, bir denetim sonucu değil. Daha güvenilir bir işaret, bu uyumun hangi somut haklarla (erişim, silme, itiraz) karşılığını bulduğunu madde madde açıklayan bir metnin var olması.

Konum verisinin cihazda işlendiği iddiasını nasıl doğrularım? Bağımsız bir kullanıcı olarak bunu kesin biçimde doğrulamak, genelde ağ trafiği analizi gerektirir ve çoğu kişi bunu yapmaz. Ama iddianın kendisinin ne kadar spesifik olduğuna bakmak bir gösterge olabilir — “konum verisi toplanmaz” gibi belirsiz bir cümle ile “koordinat hesaplaması cihazda yapılır, sunucuya hiçbir şey gönderilmez” gibi teknik bir cümle arasındaki fark, en azından iddianın çürütülebilir (dolayısıyla test edilebilir) olup olmadığını gösterir.

Sonuç

Bu beş soru herhangi bir beslenme ya da sağlık uygulaması için sorulabilir — Cookrange dahil. Cookrange’in kendi yaklaşımını güvenlik ve gizlilik politikası sayfalarında görebilir, hâlâ dahili alfa aşamasında olan uygulamayı erken denemek için bekleme listesine kaydolabilirsin.