Mobil Uygulamalarda KVKK ve İzin Yönetimi

Mobil uygulamalar, web sitelerine göre çok daha hassas verilere erişir: konum, kamera, mikrofon, rehber, fotoğraf galerisi ve cihaz tanımlayıcıları. Bu erişimlerin her biri kişisel veri işleme faaliyetidir ve hem KVKK hem de uygulama mağazalarının politikaları açısından sorumluluk doğurur.

İzin isterken doğru yaklaşım

• İzni uygulama açılışında değil, ilgili özellik ilk kullanıldığında isteyin
• İzin ekranından önce, iznin neden gerektiğini açıklayan bir ön bilgilendirme gösterin
• Reddedilen izinlerde uygulamanın çalışmaya devam etmesini sağlayın
• Sürekli konum yerine, mümkünse yalnızca kullanım sırasında konum isteyin
• Kullanılmayan izinleri manifest dosyasından tamamen kaldırın

Gizlilik politikası zorunluluğu

Hem App Store hem Google Play, uygulamanın erişilebilir bir gizlilik politikası bağlantısı sunmasını zorunlu tutar. Bu politika, uygulamanın topladığı veri türlerini, işleme amaçlarını, üçüncü taraf paylaşımlarını ve saklama sürelerini açıklamalıdır. Mağaza formlarında beyan ettiğiniz veri toplama bilgileriyle politikanın çelişmemesi gerekir; çelişki, yayın reddinin sık nedenlerindendir.

Üçüncü taraf SDK'ları

Analitik, reklam, çökme raporlama ve push bildirim SDK'ları da veri toplar. Uygulamanıza eklediğiniz her SDK, sizin adınıza veri işleyen bir tarafa dönüşür. Bu nedenle hangi SDK'nın hangi veriyi topladığını bilmeniz, gizlilik politikanızda bunları belirtmeniz ve gerekli hallerde sözleşmesel güvence almanız gerekir.

Çocuklara yönelik uygulamalar

Hedef kitlesi çocuk olan uygulamalarda kurallar belirgin biçimde sıkılaşır: davranışsal reklam yasaklanır, veri toplama en aza indirilir ve ebeveyn onayı mekanizmaları gerekebilir. Mağazalar bu kategoriyi ayrı bir inceleme sürecine tabi tutar. Uygulamanız çocuklara da hitap ediyorsa, bunu baştan tasarım kararı olarak ele almak gerekir.

Hesap silme hakkı

Kullanıcı hesabı oluşturulmasına izin veren uygulamaların, hesabın ve ilişkili verilerin silinmesi için uygulama içinden erişilebilir bir yol sunması beklenir. Yalnızca e-posta ile talep alınması artık yeterli görülmemektedir. Bu, hem mağaza politikası hem de KVKK'daki silme hakkı açısından gereklidir.

Veri güvenliği tarafı

• Tüm ağ trafiğini şifreleyin (HTTPS zorunlu)
• Kimlik doğrulama anahtarlarını uygulama kodu içine gömmeyin
• Cihazda saklanan hassas verileri şifreli alanlarda tutun
• Oturum sürelerini ve token yenileme akışını doğru kurgulayın
• Sunucu tarafındaki log kayıtlarında kişisel veriyi maskeleyin

Börü Medya olarak mobil uygulama projelerinde izin akışını, gizlilik politikasını ve mağaza beyan formlarını birlikte hazırlıyoruz. KVKK danışmanlığı tarafındaki tecrübemiz sayesinde uygulamanız yayına alınmadan önce uyum kontrolünü tamamlıyoruz.