Kişisel Verilerin Korunması Aydınlatma Metni

Sürüm 2026-10 · Yürürlük: 8 Ekim 2026 · Son güncelleme: 11 Ekim 2026 · 6698 sayılı KVKK md. 10 ve AB GDPR md. 13–14 kapsamında

REITrack; şirketlerin kendi araçlarını, cihazlarını ve operasyonlarını yönetmesi için tasarlanmış bir filo takip platformudur. Gizli takip, kişinin bilgisi dışında izleme veya başkasının iletişimine erişim için kullanılamaz.

1. Veri sorumlusu ve roller

Platformu kullanan şirket (müşteri), kendi araçlarına, sürücülerine, yolcularına ve operasyonlarına ait veriler için veri sorumlusudur. Çalışanlarını ve yolcularını aydınlatmak ve gerekli rızaları almak müşterinin yükümlülüğüdür.
Batuhan AYRIBAŞ (şahıs işletmesi, VKN 1230512727; ETBİS site kayıt no. 1919472131), Rootcastle Engineering & Innovation markasıyla REITrack hizmetinin sağlayıcısı olarak bu veriler için müşterinin talimatıyla hareket eden veri işleyendir; hesap, oturum, güvenlik ve faturalama kayıtları için ise veri sorumlusudur.
İletişim: privacy@reitrackmobile.com

2. İşlenen kişisel veriler

Kişi grubu	Veri kategorileri
Panel kullanıcıları	Ad, e-posta, rol ve yetki; oturum, IP adresi, cihaz/tarayıcı bilgisi; işlem ve denetim kayıtları.
Sürücüler	Ad soyad, iletişim bilgisi, sicil no, ehliyet sınıfı/no/bitiş tarihi, RFID/iButton kimliği; atandığı araç sırasında oluşan konum, hız, rota, kontak, sürüş olayları ve (müşteri açtıysa) çalışma/dinlenme süreleri; dashcam görüntüsü ve sesi.
Yolcular (personel/öğrenci servisi)	Ad soyad, iletişim bilgisi, kart/RFID kimliği, durak, biniş/iniş kayıtları; 18 yaş altı için veli adı ve telefonu.
Araç ve cihaz verisi	Plaka, IMEI/terminal no, konum, hız, yön, IO/sensör değerleri (kapı, yakıt, sıcaklık, akü vb.), alarmlar, römork bağlantısı. Araç bir kişiye atanmışsa bu veriler o kişiyle ilişkilendirilebilir.

3. Amaçlar ve hukuki sebepler

Filo operasyonu (canlı takip, sevkiyat, rota, raporlama, bakım, alarm): sözleşmenin ifası ve veri sorumlusunun meşru menfaati (KVKK md. 5/2-c, 5/2-f; GDPR md. 6/1-b, 6/1-f).
Can ve mal güvenliği (panik butonu, kaza, hız ve bölge alarmları, dashcam): meşru menfaat; acil durumlarda hayati menfaat (KVKK md. 5/2-b, 5/2-f; GDPR md. 6/1-d, 6/1-f).
Yasal yükümlülükler (sürüş ve dinlenme süreleri, takograf, iş sağlığı ve güvenliği, vergi ve muhasebe): kanunda öngörülme ve hukuki yükümlülük (KVKK md. 5/2-a, 5/2-ç; GDPR md. 6/1-c). AB'de 561/2006/AT Tüzüğü, ABD'de FMCSA saat-hizmet (HOS/ELD) kuralları müşterinin faaliyet alanına göre uygulanır.
Hesap güvenliği (kimlik doğrulama, yetki, denetim kaydı, kötüye kullanımın önlenmesi): meşru menfaat ve hukuki yükümlülük (5651 sayılı Kanun dahil).
Açık rıza: Mesai dışı konum takibi, kabin içi kamera/ses, sürücü ve yolcu kimlik kartı kullanımı gibi işlemler için müşteri, kişinin açık rızasını alır. Rıza zamanı ve metin sürümü sistemde sunucu saatiyle kaydedilir ve her zaman geri alınabilir.

4. Toplama yöntemi

Veriler araçlara takılan GPS/dashcam cihazlarından, mobil uygulamadan, kart okuyuculardan ve müşteri yöneticilerinin panele girdiği kayıtlardan elektronik olarak toplanır.

5. Aktarımlar ve barındırma

Google Cloud / Firebase: Veritabanı AB'de (eur3), uygulama sunucuları Belçika'da (europe-west1). Kimlik doğrulama ve bot koruması (reCAPTCHA) Google altyapısında çalışır.
Cihaz gateway'i: Cihazlardan gelen konum ve video trafiği ABD'deki (us-central1) Google Cloud sunucusundan geçerek AB'deki veritabanına iletilir. Bu, yurt dışına aktarım niteliğindedir ve KVKK md. 9 ile GDPR Bölüm V kapsamındaki güvencelere (standart sözleşmeler) dayanır.
Web barındırma: Portal, Türkiye'deki Plesk barındırma sağlayıcısında yayınlanır.
Bildirim: Müşterinin tanımladığı e-posta adresleri ve webhook adresleri; e-posta gönderim sağlayıcısı.
Yetkili kamu kurum ve kuruluşları ile yargı mercilerine, yalnızca hukuki zorunluluk halinde.

Veriler reklam, profil satışı veya müşteri dışındaki amaçlar için kullanılmaz ve satılmaz.

6. Saklama süreleri

Konum ve telemetri geçmişi, bölge giriş/çıkış olayları, telefon konumları ve oluşturulan raporlar: varsayılan 90 gün; müşteri bu süreyi değiştirebilir. Süre dolan kayıtlar otomatik silinir.
Dashcam görüntüleri ve platforma alınan medya: varsayılan 30 gün (müşteri 7–365 gün arası ayarlar). Açık bir olaya bağlı veya yasal saklama (legal hold) altındaki kayıtlar, olay kapanana kadar silinmez.
Cihaz gateway'indeki ham paket kayıtları (arıza tespiti için): 30 gün; protokol çözücü (Traccar) ara kayıtları: 7 gün.
Delil zinciri (kanıt) kayıtları: varsayılan 365 gün (90 gün–10 yıl arası ayarlanabilir).
Sürüş/dinlenme kayıtları: ilgili mevzuatın öngördüğü süre (ör. AB'de en az 1 yıl, FMCSA ELD için 6 ay); müşteri saklama süresini buna göre ayarlamalıdır.
Denetim ve erişim kayıtları: değiştirilemez şekilde saklanır ve otomatik silinmez (5651 sayılı Kanun için en az 2 yıl).
Arşivlenen sürücü, yolcu ve römork kayıtları raporların bütünlüğü için tutulur; müşteri veya ilgili kişinin talebiyle silinir ya da anonimleştirilir.

7. Haklarınız

KVKK md. 11 ve GDPR md. 15–22 kapsamında; verilerinizin işlenip işlenmediğini öğrenme, bilgi ve kopya talep etme, düzeltme, silme veya anonimleştirme, işlemenin kısıtlanması, itiraz, veri taşınabilirliği, otomatik karar sonucuna itiraz ve zararın giderilmesini isteme haklarına sahipsiniz. Rızanızı istediğiniz zaman geri alabilirsiniz.

Sürücü, yolcu veya çalışan iseniz başvurunuzu öncelikle işvereniniz olan şirkete yapın; bize gelen başvuruları ilgili müşteriye iletir ve yanıtlanmasına destek oluruz. Başvuru yolları: Veri hakları. Başvurular en geç 30 gün içinde ücretsiz yanıtlanır. Kişisel Verileri Koruma Kurulu'na veya AB'de bulunduğunuz ülkenin denetim makamına şikâyet hakkınız saklıdır.

8. Güvenlik

Şifreli bağlantı (TLS), müşteri bazında veri ayrımı, rol bazlı yetki, imzalı cihaz verisi aktarımı, denetim kaydı ve uygulama doğrulaması (App Check) kullanılır. Bir ihlal halinde KVKK md. 12 ve GDPR md. 33–34'teki bildirim süreleri uygulanır.

Privacy Notice

Version 2026-10 · Effective 8 October 2026 · Last updated: 11 October 2026 · Under Turkish KVKK (Law 6698) Art. 10 and EU GDPR Art. 13–14

REITrack is a fleet tracking platform for companies to manage their own vehicles, devices and operations. It must not be used for covert tracking, monitoring people without their knowledge, or accessing anyone's communications.

1. Controller and roles

The company using the platform (the customer) is the controller of data about its vehicles, drivers, passengers and operations, and is responsible for informing its staff and passengers and obtaining any consent required.
Batuhan AYRIBAŞ (sole proprietorship, tax ID 1230512727; ETBİS site registration no. 1919472131), the REITrack provider under the Rootcastle Engineering & Innovation brand, acts as processor on the customer's instructions for that data, and as controller for account, session, security and billing records.
Contact: privacy@reitrackmobile.com

2. Personal data processed

Data subjects	Categories
Portal users	Name, email, role and permissions; session, IP address, device/browser data; activity and audit logs.
Drivers	Name, contact details, employee number, licence class/number/expiry, RFID/iButton ID; location, speed, route, ignition and driving events while assigned to a vehicle; hours of service where the customer enables it; dashcam video and audio.
Passengers (staff/school shuttles)	Name, contact details, card/RFID ID, stop, boarding records; guardian name and phone for under-18s.
Vehicle and device data	Plate, IMEI/terminal number, location, speed, heading, IO/sensor values (door, fuel, temperature, battery…), alarms, trailer coupling. Linked to a person when the vehicle is assigned to them.

3. Purposes and legal bases

Fleet operations (live tracking, dispatch, routing, reporting, maintenance, alerts): performance of contract and legitimate interests (GDPR Art. 6(1)(b), 6(1)(f); KVKK Art. 5(2)(c), 5(2)(f)).
Safety and security (panic button, crash, speed and zone alerts, dashcam): legitimate interests; vital interests in emergencies (GDPR Art. 6(1)(d), 6(1)(f)).
Legal obligations (driving and rest times, tachograph, occupational safety, tax): GDPR Art. 6(1)(c); KVKK Art. 5(2)(a), 5(2)(ç). In the EU, Regulation (EC) No 561/2006; in the US, FMCSA hours-of-service (HOS/ELD) rules, depending on the customer's operations.
Account security (authentication, authorisation, audit, abuse prevention): legitimate interests and legal obligation.
Consent: for processing such as off-duty location, in-cab camera/audio, or driver and passenger ID cards, the customer obtains explicit consent. The consent time and notice version are recorded with the server's clock and consent can be withdrawn at any time.

4. How data is collected

Electronically, from GPS/dashcam devices installed in vehicles, the mobile app, card readers, and records entered by the customer's administrators.

5. Recipients and hosting

Google Cloud / Firebase: database in the EU (eur3), application servers in Belgium (europe-west1). Authentication and bot protection (reCAPTCHA) run on Google infrastructure.
Device gateway: location and video traffic from devices passes through a Google Cloud server in the United States (us-central1) before reaching the EU database. This is an international transfer relying on the safeguards of GDPR Chapter V and KVKK Art. 9 (standard contractual clauses).
Web hosting: the portal is served by a Plesk hosting provider in Türkiye.
Notifications: email addresses and webhook endpoints configured by the customer; the email delivery provider.
Competent authorities and courts, only where legally required.

Data is not sold and is not used for advertising or for any purpose other than the customer's.

6. Retention

Location and telemetry history, geofence events, phone locations and generated reports: 90 days by default; the customer can change this. Expired records are deleted automatically.
Dashcam footage and uploaded media: 30 days by default (customer setting 7–365 days). Records linked to an open incident or under legal hold are kept until the incident closes.
Raw packet logs on the device gateway (for troubleshooting): 30 days; protocol decoder (Traccar) intermediate records: 7 days.
Chain-of-custody (evidence) records: 365 days by default (configurable from 90 days to 10 years).
Driving/rest records: as required by law (e.g. at least 1 year in the EU, 6 months for FMCSA ELD); the customer must set retention accordingly.
Audit and access logs: append-only and not deleted automatically.
Archived driver, passenger and trailer records are kept for report integrity and are deleted or anonymised at the request of the customer or the data subject.

7. Your rights

Under GDPR Art. 15–22 and KVKK Art. 11 you may request access and a copy, rectification, erasure, restriction, objection, data portability, and not to be subject to solely automated decisions, and you may withdraw consent at any time.

If you are a driver, passenger or employee, please contact your employer (the customer) first; requests we receive are forwarded to the customer and we help them respond. How to make a request: Data rights. Requests are answered free of charge within 30 days. You may lodge a complaint with the Turkish Personal Data Protection Authority or the supervisory authority of your EU member state.

8. Security

TLS encryption, per-customer data separation, role-based access, signed device-data transfer, audit logging and app attestation (App Check). Personal data breaches are notified within the deadlines of GDPR Art. 33–34 and KVKK Art. 12.