Gizlilik Politikası

Kısa özet

FREN bir sürüş güvenliği uygulamasıdır. Kapsadığı ülkelerde hız kameraları ve hız koridorları için seni önceden uyarır, reklam göstermez ve hesap açmanı istemez.

• Kamera uyarıları telefonunun kendisinde üretilir ve internet bağlantısı olmadan da çalışır. Harita, arama, navigasyon ve diğer çevrim içi özellikler için sunucularımız gerekir.
• Ayarlar → Gizlilik içindeki üç anahtar isteğe bağlı veri akışlarını kontrol eder (2. bölüm). Bunlardan herhangi birini istediğin zaman kapatabilirsin.
• Birkaç işlem anahtarlardan bağımsız olarak yapılır, çünkü uygulama bunlar olmadan çalışamaz ya da korunamaz: etkinleştirme kontrolü (§15), arama ve rota isteklerinin yanıtlanması (§18) ve abonelik durumunun sorgulanması (§19).
• Uygulama adını, e-posta adresini, telefon numaranı, fotoğraflarını, rehberini ya da reklam kimliğini toplamaz. Giriş yapılacak bir hesap yoktur.
• Topladığımız veri senin adınla ya da bir hesapla değil, rastgele bir cihaz kimliğiyle ilişkilidir.

1. Biz kimiz

Bu politikada anlatılan kişisel verinin veri sorumlusu:

Fren Safety Inc. New Jersey'de (ABD) kurulu şirket · Faaliyet adresi: New Jersey, ABD · İletişim: info@frenyap.com

Türkiye'deki kullanıcılar için bu politika, KVKK'nın 10. maddesi kapsamındaki aydınlatma metnidir. Avrupa Ekonomik Alanı, Birleşik Krallık ve İsviçre'deki kullanıcılar için GDPR'ın 13. ve 14. maddeleri kapsamındaki gizlilik bildirimidir.

2. Anahtarlara bağlı olarak neler topluyoruz

Veriyi üç bağımsız akışla topluyoruz; her birinin kendi anahtarı var. Anahtarlar, ilk açılışta gördüğün gizlilik ekranında ve Ayarlar → Gizlilik içinde yer alır. Varsayılan ayarlar 4. bölümdedir. Anahtara bağlı olmayan işlemler 15, 18 ve 19. bölümlerde anlatılır.

2.1 Çökme ve hata raporları

Uygulama çöktüğünde veya beklenmedik bir hata olduğunda Firebase Crashlytics bize neyin ters gittiğini anlatan bir rapor gönderir: hata kaydı, uygulama sürümü, işletim sistemi sürümü, cihaz modeli, bellek durumu ve kimliğinle bağlantısız son birkaç adımın özeti (ör. "kullanıcı ayarları açtı", "GPS sinyali kayboldu"). Raporlar konum, sürüş verisi ya da seni tanıtacak bir bilgi içermez.

Aynı anahtar şunları da kapsar:

• Sunucularımıza gönderilen uygulama kullanım olayları: örneğin uygulamanın açılması ya da arka plana geçmesi, kamera verisinin yüklenmesi, hatalar, sesli bir uyarının çalıp çalmadığı, GPS sinyal kalitesi ve bir uyarıda dokunduğun geri bildirim düğmeleri.
• AppsFlyer üzerinden kurulum kaynağı ölçümü (20. bölüm): kurulumun kendi reklam kampanyalarımızdan birinden gelip gelmediği, geldiyse hangisinden. Reklam kimliği kullanılmaz.

Bunları hataları düzeltmek, uygulamayı kararlı tutmak ve hangi kampanyalarımızın işe yaradığını görmek için kullanırız.

2.2 Sürüş verisi (topluluk paylaşımı)

Bu anahtar açıkken sürüş kaydın, yolculuk bittiğinde sunucularımıza yüklenir. Her kayıt şunları içerir:

• GPS izi: enlem, boylam, hız, yön; uygulama çalışırken yaklaşık 3 saniyede bir
• Uyarı olayları: çalan kamera uyarıları, kapattığın uyarılar, hız koridoruna giriş ve çıkışlar
• Sürüş olayları: ivmeölçer ve jiroskopla tespit edilen ani fren, ani gaz ve keskin viraj olayları (yalnızca olay anında; sürekli veri akışı yok)
• Yolculuk özeti: başlangıç ve bitiş zamanı, toplam mesafe, en yüksek hız, yolculuğun kapsadığı bölge ve telefonun sabit bir tutucuda olup olmadığı (elde tutulan telefonla yapılan yolculukları ayıklayabilmek için)
• Cihaz bilgisi: cihaz modeli, işletim sistemi sürümü, uygulama sürümü, seçtiğin araç türü (otomobil / kamyon / motosiklet), ülke kodu (bkz. §21)
• Rastgele cihaz kimliği: uygulamayı kurduğunda telefonunda oluşturulan rastgele bir kod. Kimliğinle hiçbir bağlantısı yoktur. Uygulamayı yeniden kurana ya da uygulamanın verilerini silene kadar aynı kalır.

Aynı anahtar, göndermeyi seçtiğin canlı yol bildirimlerini (16. bölüm), kendi yaptığın ortalama hız ölçümlerini (17. bölüm) ve navigasyon rota verisini (14. bölüm) de kapsar.

Bu veriyi tehlikeli yol kesimlerini (keskin virajları, yoğun kavşakları, ani fren noktalarını) bulmak ve gelecek harita güncellemeleriyle bütün FREN topluluğuna geri ulaştırmak için kullanırız.

2.3 Araştırmacılar ve ortaklarla anonim toplu veri paylaşımı

Bu anahtar açıkken 2.2'deki veri, yalnızca toplu istatistik olarak şu ortaklarla da paylaşılabilir: yol güvenliği araştırmacıları, belediyelerin trafik güvenliği programları ve yol güvenliği analitiği üzerine çalışan sigorta şirketleri.

"Toplu istatistik" şu demek: ortaklar senin tek tek yolculuk kayıtlarına hiç erişmez. Yol kesimi, saat dilimi ya da harita hücresi başına özetlenmiş istatistikler alırlar. Örneğin: "bu kavşakta Mart ayında 1.000 araç geçişi başına 12 ani fren olayı kaydedildi." Bir ortak bu istatistiklerden tek bir yolculuğu yeniden oluşturamaz ve hiçbir istatistiği bir kişiye bağlayamaz.

Bu paylaşım, FREN'in reklamsız kalmasına yardımcı olur. Bu politikada meşru menfaat yerine açık rızaya dayanan tek veri akışıdır (KVKK 5(1) / GDPR 6(1)(a)).

Nerede varsayılan olarak kapalı? Telefonunun bölge ayarı ya da telefonundaki kamera verisinin ülkesi AEA ülkelerinden biri, Birleşik Krallık veya İsviçre ise bu anahtar kapalı başlar. Uygulama ikisini de belirleyemezse de kapalı başlar. Ayarlar → Gizlilik'te anahtarı açman, rıza vermen anlamına gelir. Diğer bütün ülkelerde anahtar açık başlar. Kendi değiştirdiğin bir ayar her zaman korunur.

Bu bölgesel varsayılan yalnızca ortaklarla paylaşım için geçerlidir. Diğer iki anahtar (2.1 ve 2.2) her ülkede açık başlar.

3. Toplamadıklarımız

Anahtarlar nasıl ayarlanmış olursa olsun aşağıdakileri toplamayız:

• Adın, soyadın, e-posta adresin, telefon numaran
• Rehberin, fotoğrafların, takvimin, mesajların
• Apple'ın reklam kimliği (IDFA) ya da Google'ın reklam kimliği (AAID). Kurulum kaynağı ölçümü (§20) bunlar olmadan çalışır.
• Hesap girişi. FREN senden kayıt olmanı istemez.
• Telefon ekranının içeriği, yüklü uygulamalar ya da sürüş sırasında kullandığın diğer uygulamalar
• Mikrofon ya da kamera girdisi. Uygulamanın bunlara erişimi yoktur.
• Aracının OBD-II veya CAN-bus telematik verisi
• Serbest metin. Canlı yol bildirimleri (§16), bir dokunuşla seçtiğin kategorilerden oluşur; metin yazılacak bir alan yoktur. Bu değişirse önce bu politika güncellenir.

4. Her veri kategorisini neden topluyoruz, hukuki dayanak

Bir anahtarı kapattığında, ilgili akış daha sunucuya bir şey gitmeden (ortaklarla paylaşımda ise herhangi bir aktarım yapılmadan) cihazda durur. "Kapalı ama önbellekte bekliyor" diye bir durum yoktur.

Meşru menfaate dayanan kategoriler için bir Meşru Menfaat Değerlendirmesi (LIA) yapıldı ve şu sonuca varıldı: işleme, belirtilen amaçlar için gereklidir; veri bu amaçlar için asgari düzeydedir; anonimleştirilmiş verinin yeniden kullanımı haklarının önüne geçmez; 2. bölümdeki akışlar için de tek dokunuşla vazgeçebileceğin açık bir yol vardır. LIA şirket içinde belgelenmiştir ve talep hâlinde denetleyici kurumla paylaşılır.

5. Veriyi ne kadar süreyle saklıyoruz

Saklama süresi dolduğunda veri, bir sonraki programlı silme işleminde silinir (sürenin bitişinden en geç 30 gün içinde).

6. Veriyi kimlerle paylaşıyoruz

Aşağıdaki alıcı gruplarıyla veri paylaşıyoruz. Hiçbiri adını, e-posta adresini ya da telefon numaranı bizden almaz; çünkü uygulama bunları toplamaz.

• Altyapımızın bir bölümünü bizim adımıza işleten hizmet sağlayıcılar:
  • Supabase (AB sunucuları): sürüş, uygulama kullanımı ve etkinleştirme kayıtlarının tutulduğu veri tabanı
  • Cloudflare: sunucularımızı ve veri depolama alanımızı barındırır (etkinleştirme, kamera verisinin dağıtımı, harita karoları, arama ve rota geçidi, canlı yol bildirimleri ve sürüş verisinin yüklenmesi)
  • Google Firebase: çökme raporları (Crashlytics), uzaktan uygulama ayarları (Remote Config) ve bildirimlere izin verdiysen FREN duyuruları (bir anlık bildirim jetonu kullanan Cloud Messaging)
  • RevenueCat: abonelik durumu (§19)
  • AppsFlyer: reklam kimliği kullanmadan kurulum kaynağı ölçümü (§20)
  • Apple App Attest / Google Play Integrity: etkinleştirme sırasında uygulamanın orijinal olduğunu doğrular (§15)
• Arama ve rota, kendi Photon ve Valhalla sunucularımızda çalışır. Bu sunucular kullanılamazsa istek, komoot (Photon) ve FOSSGIS (Valhalla) tarafından işletilen herkese açık OpenStreetMap hizmetlerine iletilebilir (§18).
• Hiçbir verini almayan harita veri kaynakları: kendi haritamızın kapsamadığı bölgelerde sunucularımız harita karolarını OpenFreeMap'ten alır; telefonun OpenFreeMap'e bağlanmaz.
• Yol güvenliği ortakları (2.3'te anlatılan grup): sigorta şirketleri, belediyelerin trafik güvenliği programları ve akademik araştırma grupları. Her ortak FREN ile ayrı bir veri işleme sözleşmesi imzalar; bu sözleşme kimliği yeniden belirleme girişimlerini yasaklar ve verinin başkasına aktarılmasına izin vermez.
• Mahkemeler ve resmî makamlar, yalnızca faaliyet gösterdiğimiz bir yargı bölgesinden geçerli bir hukuki karar aldığımızda. Adın, e-posta adresin ya da telefon numaran bizde olmadığı için verebileceğimiz bilgi genellikle çok sınırlıdır.

Reklam verenlere, veri simsarlarına ya da pazarlama şirketlerine kişisel veri satmıyoruz. FREN reklam göstermez ve içinde reklam SDK'si yoktur. AppsFlyer kendi reklam kampanyalarımızı ölçer; reklam kimliği kapalı olarak çalışır, Android'deki reklam kimliği izni uygulamadan kaldırılmıştır ve FREN iOS'ta seni izlemek için izin istemez.

7. Anonimleştirme taahhüdü

Veri herhangi bir ortak için FREN'in sistemlerinden çıkarken aşağıdakiler mutlaka kaldırılır ya da değiştirilir:

• Rastgele cihaz kimliği hiçbir ortak aktarımında yer almaz
• Her yolculuğun ilk ve son 100 metresi çıkarılır (ortak evini ya da varış noktanı göremesin diye)
• 90 saniyeden kısa yolculuklar çıkarılır (kısa yolculuklarda başlangıç ve varış noktası dışında işe yarar bilgi pek olmaz)
• Hiçbir serbest metin alanı aktarılmaz
• Az araç geçen kırsal bölgelerde, konumla birleşince birinin kimliğini belirlemeye yardım edebilecekse araç türü çıkarılır

Bu, anonimleştirmenin matematiksel olarak kusursuz olduğu vaadi değildir; gerçek hayatta hiçbir anonimleştirme öyle değildir. Taahhüdümüz şu: yukarıdaki teknikleri kullanırız ve ortaya çıkan veriyi yine de özenle korunması gereken veri olarak ele alırız.

8. Hakların

KVKK 11. madde (Türkiye), GDPR 15–22. maddeler (AEA/Birleşik Krallık/İsviçre), CCPA §§ 1798.100–1798.135 (Kaliforniya) ve LGPD 18. madde (Brezilya) kapsamında şu hakların var:

• Verini işleyip işlemediğimizi ve neyi işlediğimizi öğrenmek
• Rastgele cihaz kimliğine bağlı verinin bir kopyasını istemek
• Yanlış olan verinin düzeltilmesini istemek
• Verinin silinmesini istemek
• İşlemenin durdurulmasını istemek
• Belirli işleme akışlarına itiraz etmek
• Verdiğin rızayı geri çekmek (geri çekmeden önceki işlemeyi etkilemez)

Bu taleplerden herhangi biri için info@frenyap.com adresine yazabilirsin. 30 takvim günü (KVKK) ya da bir ay (GDPR) içinde, hangisi senin için daha kısaysa, yanıt veririz.

FREN'in verini yanlış işlediğini düşünüyorsan ilgili denetleyici kuruma şikâyette bulunabilirsin:

• Türkiye: Kişisel Verileri Koruma Kurumu (KVKK), kvkk.gov.tr
• AB üye devletleri: kendi ülkenin veri koruma kurumu
• Birleşik Krallık: Information Commissioner's Office (ICO), ico.org.uk
• Kaliforniya: California Privacy Protection Agency (CPPA), cppa.ca.gov

9. Yurt dışına veri aktarımı

FREN, Amerika Birleşik Devletleri'nden işletilir. Sürüş, uygulama kullanımı ve etkinleştirme kayıtları AB'deki Supabase veri merkezlerinde tutulur. Sunucularımız ve veri depolama alanımız Cloudflare'in küresel ağında çalışır. Çökme raporları Firebase tarafından Google'ın küresel altyapısında (çoğunlukla ABD veri merkezlerinde) işlenir. RevenueCat ve AppsFlyer, abonelik ve kurulum kaynağı verisini ABD'yi de kapsayan kendi altyapılarında işler.

AEA, Birleşik Krallık ve İsviçre'den ABD'ye yapılan aktarımlar, veri işleyenlerimizle imzalanan Standart Sözleşme Maddeleri (SCC) ile korunur. Türkiye'den yapılan aktarımlar, rızaya dayanan akışlar için kullanıcı rızasıyla, meşru menfaate dayanan akışlar için ise (uygun olduğunda) KVKK 9(2) açık rıza hükümleri kapsamında yürütülür.

10. Çocuklar

FREN bir sürüş uygulamasıdır. Kişinin yaşadığı ülkedeki yasal sürüş yaşının (genellikle 16–18) altındakilere yönelik değildir. Bu yaşın altında olduğunu düşündüğümüz kimseden bilerek veri toplamayız. Ebeveyn ya da vasiysen ve bir çocuğun cihaz verisinin toplandığını düşünüyorsan info@frenyap.com adresine yaz, veriyi sileriz.

11. Politikadaki değişiklikler

Bu politika değişebilir. Değiştiğinde:

• Belgenin başındaki versiyon numarası ve "son güncelleme" tarihi değişir
• Neyin değiştiğini anlatan kısa bir not, frenyap.com/privacy adresinde yayımlanan politikanın başına eklenir
• Topladığımız veriyi ya da veriyi paylaştığımız tarafları esaslı biçimde genişleten değişikliklerde uygulama, yeni akış başlamadan önce seni politikayı gözden geçirip yeniden rıza vermeye çağırır.
• Mevcut bir anahtara yeni bir veri akışı eklediğimizde bunu bu politikanın başındaki notta belirtiriz.

12. İletişim ve veri silme talebi

• Genel gizlilik soruları ve hak talepleri: info@frenyap.com
• Veri silme: info@frenyap.com adresine "Veri Silme Talebi" konusuyla yaz. 8. bölümdeki süreler içinde yanıt veririz (KVKK 7. madde, GDPR 17. madde).
  • Telefonundaki veri: uygulamayı kaldırmak bu verinin tamamını siler.
  • Sunucularımızdaki kayıtlar: rastgele cihaz kimliğine bağlı olarak tutulur. Uygulamayı yaklaşık ne zaman ve nerede kullandığını yazarsan ilgili kayıtları sileriz.
  • Çökme raporları (Firebase Crashlytics): 90 gün sonra otomatik silinir; talep edersen daha erken silinir.
• Denetleyici kurumlar: bkz. 8. bölüm.

13. Adres ve hedef arama veri kaynakları

Varış noktası araması, Overture Maps Foundation'ın ilgi noktası verilerini (places) kullanır; Türkiye ve Körfez ülkelerindeki işletmeleri ve diğer adlandırılmış yerleri kapsar. Bu senin kişisel verin değildir; açık lisanslı bir referans veri kümesidir.

Veriler kaynağa göre lisanslıdır: CDLA-Permissive-2.0 (Meta, Microsoft), CC0 (AllThePlaces) ve Apache License 2.0 (Foursquare). Foursquare Open Source Places verilerini içerir (© Foursquare Labs, Inc., Apache-2.0); bu veriler 2026-06-18'de bu bölgelerdeki ilgi noktaları süzülerek değiştirilmiştir. Tam lisans metinleri overturemaps.org, apache.org/licenses/LICENSE-2.0 ve cdla.dev adreslerinde bulunur.

14. Navigasyon rota verisi

Fren Topluluğu ile paylaş açıkken navigasyonu kullanırsan FREN, planlanan rotayı ve sürüşünün bu rotadan ayrıldığı noktaları toplar. Bu rota verisi yalnızca rastgele cihaz kimliğine bağlıdır; bir ada ya da hesaba bağlı değildir. Bu rota verisini en fazla iki yıl saklarız ve yalnızca yol güvenliği ile harita ve rota kalitesi araştırmaları için kullanırız. Hukuki dayanak, yol güvenliğini ve rota kalitesini iyileştirmeye yönelik meşru menfaatimizdir (KVKK / 6698 sayılı Kanun; GDPR 6(1)(f), 89. maddedeki araştırma ve istatistik güvenceleriyle). Fren Topluluğu ile paylaş anahtarını istediğin zaman Ayarlar → Gizlilik'ten kapatabilirsin; kapattığında toplama durur ve o yolculukta biriken rota verisi silinir.

15. Etkinleştirme ve kurcalamaya karşı koruma

FREN'in içindeki hız kamerası verisini korumak için uygulama, ilk etkinleştirildiğinde ve kamera verisini her yenilediğinde etkinleştirme sunucumuza bağlanır. Bu kontrolün parçası olarak sunucumuz şunları kaydeder: cihazının IP adresinin tuzlanmış, geri döndürülemez bir özeti (tek yönlü bir kod; IP'yi saklamayız ve geri elde etmeyiz), yaklaşık ülken (yalnızca ülke; şehrin ya da adresin değil), uygulama sürümü, cihaz modeli ve işletim sistemi sürümü, rastgele bir kurulum kimliği (cihaz kimliğinden ayrı) ve uygulamanın orijinal olduğunu doğrulayan Apple App Attest ya da Google Play Integrity sonucu.

• Ham IP adresini saklamayız. Bu özet yalnızca iki bağlantının aynı ağ kaynağından gelip gelmediğini anlamamızı sağlar; örneğin kurcalanmış ya da taklit (emülatör) bir cihazın tekrar tekrar denediğini fark etmek için.
• Bu bir güvenlik ve kötüye kullanımı önleme işlevidir; bu yüzden 2. bölümdeki isteğe bağlı akışların aksine her durumda, uygulamayı ve kamera verisini korumak için çalışır (KVKK 5(2)(f) / GDPR 6(1)(f) meşru menfaat). Seni tanımak, reklam göstermek ya da uygulamalar arasında profil çıkarmak için kullanmayız.
• IP özetini ve ülke kodunu 90 gün saklarız, sonra otomatik olarak sileriz.

Bu kayıt ad, hesap ya da iletişim bilgisi içermez.

16. Canlı yol bildirimleri

Bu özelliğin açık olduğu ülkelerde, navigasyon sırasında tek dokunuşla diğer sürücülere bir yol tehlikesi bildirebilir, başka birinin yaptığı bildirimi onaylayabilir ya da reddedebilirsin. Diğer sürücülerin bildirimlerini görmek için bir anahtar gerekmez. Bildirim ya da oy göndermek için Fren Topluluğu ile paylaş açık olmalıdır.

Bir bildirim gönderdiğinde sunucumuz şunları alır: seçtiğin kategori, yer ve zaman, o andaki hızın ve yönün, rastgele cihaz kimliğinin geri döndürülemez bir özeti (kimliğin kendisi bildirimle birlikte saklanmaz). Diğer sürücüler yalnızca kategoriyi, yeri ve bildirimin ne kadar yeni olduğunu görür; bildirimi gönderen cihazla ilgili hiçbir şey görmez.

Bildirimleri diğer sürücüleri uyarmak, bir cihazın gönderebileceği bildirim sayısını sınırlamak ve sonradan tehlikelerin nerelerde tekrar tekrar görüldüğünü incelemek için kullanırız. Saklama süreleri 5. bölümdedir. Hukuki dayanak, yol güvenliğine yönelik meşru menfaatimizdir (KVKK 5(2)(f) / GDPR 6(1)(f)).

17. Kendi yaptığın ortalama hız ölçümleri

Uygulama, bir yol kesimindeki ortalama hızını kendin ölçmene olanak tanır. Fren Topluluğu ile paylaş açıkken tamamlanan her ölçüm yüklenir: nerede ve ne zaman başlayıp bittiği, mesafe, süre, ortalama hızın, ölçümün neden bittiği, varsa ait olduğu hız koridoru, ülke ve birim sistemi. Ölçümün kendine ait bir cihaz kimliği yoktur; 2.2'de anlatılan sürüş kaydına bağlıdır. Bu veriyi, verimizde eksik olan hız koridorlarını bulmak için kullanırız. Saklama süresi 5. bölümdedir.

18. Arama, rota ve harita

Bir yer aradığında, rota planladığında ya da haritaya baktığında telefonun isteği sunucularımıza gönderir, çünkü uygulama bu isteği başka türlü yanıtlayamaz. Bu, anahtarlar nasıl ayarlanmış olursa olsun olur; ama yalnızca özelliği kullandığında.

• Arama: yazdığın metin, dil ve yakın sonuçlar önce gelsin diye yaklaşık konumun. Aramalar cihaz kimliğin olmadan gönderilir. Sunucularımız aradığın metni kaydetmez.
• Rota: başlangıç noktan, varış noktan ve varsa ara durakların; cihaz kimliğin olmadan gönderilir.
• Harita: ekrandaki bölgenin harita karoları.
• Kapasite takibi için sunucularımız, her arama ya da rota isteğinin yaklaşık 1 km'ye yuvarlanmış konumunu ülkeyle birlikte kaydeder; cihaz kimliği ya da IP adresi kaydedilmez. Saklama süresi 5. bölümdedir.
• Kendi arama ya da rota sunucularımız kullanılamazsa istek, komoot (Photon) ya da FOSSGIS (Valhalla) tarafından işletilen herkese açık OpenStreetMap hizmetlerine iletilebilir; bu durumda aynı isteği onlar da alır.

19. Abonelikler

FREN Premium, App Store ve Google Play üzerinden satılır. Ödemeyi Apple ve Google alır; kart bilgilerini görmeyiz. Abonelik durumunu bizim için RevenueCat takip eder; bunu mağaza makbuzu ve uygulamanın oluşturduğu rastgele bir RevenueCat kullanıcı kimliğiyle yapar (iOS'ta Apple'ın her uygulama geliştiricisine verdiği satıcı kimliğini de saklar). Uygulama, anahtarlar nasıl ayarlanmış olursa olsun abonelik durumunu RevenueCat'e sorar, çünkü Premium bunsuz çalışamaz. Çökme ve hata raporları açıksa AppsFlyer kimliği (§20) de abonelik kaydına bağlanır; böylece deneme başlangıçları, satın almalar ve yenilemeler kampanyalarımız için sayılabilir. Saklama süresi 5. bölümdedir.

20. Kurulum kaynağı ölçümü (AppsFlyer)

Çökme ve hata raporları açıkken AppsFlyer SDK'si başlar ve kurulumun kendi reklam kampanyalarımızdan birinden gelip gelmediğini kaydeder. Kurulum için bir AppsFlyer kimliği oluşturur; Android'de Google Play'in kurulum yönlendirme bilgisini (install referrer), iOS'ta Apple'ın gizliliği koruyan kaynak ölçüm araçlarını (SKAdNetwork ve Apple Search Ads) kullanır. Reklam kimliğini kullanmaz: SDK'de kapalıdır, Android'deki reklam kimliği izni uygulamadan kaldırılmıştır ve FREN Apple'ın izleme izni penceresini göstermez. RevenueCat, bu kimliğe bağlı abonelik olaylarını AppsFlyer'a gönderir (§19). Anahtarı kapatmak SDK'yi durdurur. Saklama süresi 5. bölümdedir.

frenyap.com'daki bir FREN indirme bağlantısını (frenyap.com/indir) açtığında ziyareti anonim olarak sayarız: yalnızca bağlantıdaki kampanya etiketlerini, cihazın Android mi iOS mu olduğunu ve bağlantının bir sosyal medya uygulamasının içinde açılıp açılmadığını kaydederiz (IP adresi, çerez ya da kimlik kaydetmeyiz) ve bu sayıları en fazla üç ay saklarız.

21. Ülken

FREN, kapsadığı her ülkede farklı bir kamera verisi ve farklı hız kuralları kullanır. Uygulama hangi ülkede olduğunu GPS konumundan belirler ve telefonundaki kamera verisinin ülkesini hatırlar. Telefonunun bölge ayarını da okur. Bunları kamera verisini, birimleri ve kuralları seçmek ve ortaklarla paylaşımın varsayılan ayarını belirlemek (§2.3) için kullanırız. Ülke, sürüş verisinde ve etkinleştirme kayıtlarında yer alır; tam konum bu ayarın bir parçası değildir.

22. YouTube API Hizmetleri

FREN uygulaması YouTube API Hizmetlerini kullanmaz ve senden hiçbir YouTube verisi toplamaz.

Ayrıca yalnızca kendi ekibimizin kullandığı, şirket içi bir yayın yazılımımız var. Bu yazılım kendi videolarımızı kendi YouTube kanalımıza (Fren Safety Inc., @frenradar) yükler ve YouTube API Hizmetlerini kullanır. Yazılımın YouTube kullanımı YouTube Hizmet Şartları'na tabidir; Google'ın verileri nasıl işlediği Google Gizlilik Politikası'nda anlatılır.

• Neye erişir: yalnızca kendi kanalımıza. Başka hiçbir kanalı okumaz; izleyiciler ya da diğer YouTube kullanıcıları hakkında veri toplamaz.
• Neyi saklar: yüklediğimiz her video için video kimliğini, gizlilik ayarını (herkese açık, liste dışı ya da gizli) ve yüklenme zamanını, şirkete ait bir bilgisayardaki veritabanında yayın kaydı olarak saklar. Yüklemelere izin veren yetkilendirme belirteçleri (OAuth) de aynı bilgisayarda tutulur.
• Nasıl kullanılır ve paylaşılır: yalnızca neleri yayımladığımızı takip etmek için. Bu verileri kimseyle paylaşmayız ve FREN uygulamasından gelen verilerle birleştirmeyiz. Yazılım reklam göstermez ve çerez kullanmaz.
• Silme: yayın kayıtlarımızdaki YouTube verileri en geç 30 günde bir YouTube'dan yenilenir ya da silinir. Yazılımın erişimi iptal edilirse saklanan belirteçleri ve bu erişimle alınan YouTube verilerini 7 gün içinde sileriz.
• Erişimi iptal etme: yazılıma verilen erişim, Google'ın güvenlik ayarları sayfasından her zaman iptal edilebilir: https://security.google.com/settings/security/permissions?hl=tr
• Sorular: info@frenyap.com

Quick summary

FREN is a driving-safety app. It warns you about speed cameras and speed corridors in the countries it covers, shows no ads, and doesn't ask you to create an account.

• Camera alerts run on your phone and work without an internet connection. The map, search, navigation and the other online features need our servers.
• Three switches in Settings → Privacy control the optional data flows (section 2). You can turn any of them off at any time.
• A few things happen no matter how the switches are set, because the app cannot work or cannot be protected without them: the activation check (§15), answering your searches and route requests (§18), and your subscription status (§19).
• The app does not collect your name, email, phone number, photos, contacts, or advertising ID. There is no account to sign in to.
• The data we collect is tied to a random device ID, not to your name or an account.

1. Who we are

The controller for the personal data described in this policy is:

Fren Safety Inc. New Jersey C-Corp · Operating address: New Jersey, USA · Contact: info@frenyap.com

For users in Türkiye, this policy is the aydınlatma metni required under KVKK Article 10. For users in the European Economic Area, the United Kingdom, and Switzerland, it is the privacy notice required under GDPR Articles 13/14.

2. What we collect with your switches

We collect data through three independent flows, each controlled by its own switch. The switches are on the consent screen you saw during onboarding and on Settings → Privacy. Defaults are in section 4. Sections 15, 18 and 19 describe the processing that does not depend on a switch.

2.1 Crash and diagnostic reports

When the app crashes or hits an unexpected error, Firebase Crashlytics sends us a report describing what went wrong: stack trace, app version, OS version, device model, free-memory snapshot, and the last few non-personal breadcrumbs (e.g. "user opened settings", "GPS lost fix"). The reports contain no location, no driving data, and no information about who you are.

The same switch also covers:

• App-usage events sent to our servers: for example the app starting or going to the background, the camera data loading, errors, whether a spoken alert played or failed, GPS signal quality, and the feedback buttons you tap on an alert.
• Install attribution through AppsFlyer (section 20): which of our own marketing campaigns, if any, led to the install. It runs with no advertising ID.

We use this to fix bugs, keep the app stable, and learn which of our campaigns work.

2.2 Driving data (community share)

When this switch is on, your driving session is uploaded to our servers when the trip ends. Each session contains:

• GPS track — latitude, longitude, speed, heading, sampled roughly every 3 seconds while the app is running
• Alert events — which camera alerts played, which ones you dismissed, speed-corridor entries and exits
• Driving events — hard-brake, hard-acceleration, and sharp-cornering events detected by the device accelerometer and gyroscope (event-triggered; we do not stream sensor data continuously)
• Trip context — session start/end timestamps, total distance, max speed, bounding box of the trip, and a phone-mount-stability flag (so we can drop trips where the phone was being held in someone's hand)
• Device context — device model, OS version, app version, vehicle type you selected (car / truck / motorcycle), country code (see §21)
• Random device ID — a random code created on your phone when you install the app. It has no connection to your identity. It stays the same until you reinstall the app or clear its data.

The same switch also covers the live road reports you choose to send (section 16), the average-speed stretches you measure yourself (section 17), and navigation route data (section 14).

We use this data to find dangerous road segments — sharp curves, busy intersections, hard-brake clusters — and send them back to the FREN community in future map updates.

2.3 Anonymized aggregate sharing with road-safety partners

When this switch is on, the data described in 2.2 may also be shared, in aggregated form only, with road-safety researchers, municipal traffic-safety programs, and insurance partners whose use case is road-safety analytics.

"Aggregated form only" means partners never receive your individual trip records. They receive statistics rolled up by road segment, by time of day, or by hex cell — for example, "this intersection had 12 hard-brake events per 1,000 vehicle passes in March." A partner cannot rebuild any individual trip from these statistics, and cannot link any statistic to a person.

This sharing helps keep FREN ad-free. It is the only data flow in this policy based on explicit consent (KVKK açık rıza / GDPR Article 6(1)(a)) rather than legitimate interest.

Where it is off by default. The switch starts off when your phone's region or the country of the camera data on your phone is in the European Economic Area, the United Kingdom or Switzerland, and also when the app cannot tell either one. Turning it on in Settings → Privacy is how you give consent. Everywhere else it starts on. A setting you have changed yourself is always kept.

This regional default applies only to partner sharing. The other two switches (2.1 and 2.2) start on in every country.

3. What we don't collect

The app does not collect any of the following, no matter how the switches are set:

• Your name, surname, email address, or phone number
• Your contacts, photos, calendar, or messages
• Apple's advertising identifier (IDFA) or Google's advertising ID (AAID). Install attribution (§20) works without them.
• Any account login. FREN never asks you to register.
• The contents of your phone screen, the apps you have installed, or the apps you are using during a drive
• Microphone or camera input. The app does not have access to either.
• Vehicle telematics from your car's OBD-II port or CAN bus
• Free text. Live road reports (§16) are categories you pick with a tap; there is no text field. If that changes, this policy will be updated first.

4. Why we collect each category, and the lawful basis

If you turn a switch off, the matching flow stops on the device before any upload happens (for partner sharing, before any export). Off means off, not "off but cached for later."

For the legitimate-interest categories, we have run a Legitimate Interests Assessment (LIA) and concluded that the processing is necessary for the purposes named, that the data is minimal for those purposes, that anonymized re-use does not override your rights, and that, for the flows in section 2, you have a clear, one-tap way to opt out. The LIA is documented internally and available to regulators on request.

5. How long we keep it

When the retention period expires, the data is deleted on the next scheduled deletion run (within 30 days of expiry).

6. Who we share data with

We share data with the following classes of recipients. None of them receives your name, email address or phone number from us — the app does not collect them.

• Service providers that run parts of our infrastructure on our behalf:
  • Supabase (EU servers): the database for driving, app-usage and activation records
  • Cloudflare: hosts our servers and storage — activation, camera-data delivery, map tiles, the search and routing gateway, live road reports, and the upload of driving data
  • Google Firebase: crash reports (Crashlytics), remote app settings (Remote Config), and FREN announcements if you allow notifications (Cloud Messaging, which uses a push token)
  • RevenueCat: subscription status (§19)
  • AppsFlyer: install attribution, with no advertising ID (§20)
  • Apple App Attest / Google Play Integrity: confirm during activation that the app is genuine (§15)
• Search and routing run on our own Photon and Valhalla servers. If they are unavailable, a request may be passed to the public OpenStreetMap services run by komoot (Photon) and FOSSGIS (Valhalla) (§18).
• Map data sources that receive none of your data: outside the areas our own map covers, our servers fetch map tiles from OpenFreeMap; your phone does not contact OpenFreeMap.
• Road-safety partners in the recipient class described in section 2.3, which includes insurers, municipal road-safety programs, and academic research groups. Partners are individually contracted with FREN under a data-processing agreement that prohibits re-identification attempts and bars onward sharing.
• Courts and government authorities, only when we receive a valid legal order from a jurisdiction we operate in. Because we hold no name, email or phone number, what we could disclose is typically very limited.

We do not sell personal data to advertisers, data brokers, or marketing companies. FREN shows no ads and contains no advertising SDK. AppsFlyer measures our own marketing campaigns; it runs with the advertising ID turned off, the Android advertising-ID permission is removed from the app, and on iOS FREN never asks to track you.

7. Anonymization commitment

When data leaves FREN's environment for any partner, the following are guaranteed to be stripped or altered:

• The random device ID is not included in any partner export
• The first and last 100 meters of every trip are dropped (so a partner cannot see your home or destination)
• Trips shorter than 90 seconds are dropped (these tend to encode origin or destination with no useful intermediate data)
• No free-text fields are exported
• Vehicle type is removed in sparsely driven rural areas where, combined with location, it could help identify someone

This is not a promise that anonymization is mathematically perfect — no real-world anonymization is. It is a commitment that we use the techniques named above and that we treat the resulting data set as still subject to careful handling.

8. Your rights

Under KVKK Article 11 (Türkiye), GDPR Articles 15–22 (EEA/UK/CH), CCPA §§ 1798.100–1798.135 (California), and LGPD Article 18 (Brazil), you have the right to:

• Ask whether we process your data, and what we process
• Ask for a copy of the data tied to your random device ID
• Ask for that data to be corrected if any of it is inaccurate
• Ask for that data to be deleted
• Ask us to stop processing it
• Object to specific processing flows
• Withdraw any consent you have given (without affecting processing that happened before withdrawal)

Send any of these requests to info@frenyap.com. We respond within 30 calendar days (KVKK) or one month (GDPR), whichever is shorter for you.

If you believe FREN has mishandled your data, you may complain to the relevant supervisory authority:

• Türkiye: Kişisel Verileri Koruma Kurumu (KVKK), kvkk.gov.tr
• EU member states: your national data protection authority
• United Kingdom: Information Commissioner's Office (ICO), ico.org.uk
• California: California Privacy Protection Agency (CPPA), cppa.ca.gov

9. International transfers

FREN is operated from the United States. Driving, app-usage and activation records are stored in EU Supabase data centers. Our servers and storage run on Cloudflare's global network. Crash reports are processed by Firebase in Google's global infrastructure (primarily US data centers). RevenueCat and AppsFlyer process subscription and attribution data on their own infrastructure, which includes the United States.

Cross-border transfers from the EEA/UK/CH to the US are covered by Standard Contractual Clauses (SCCs) with our processors. Transfers from Türkiye are covered by user consent for the data flows that are consent-based, and by KVKK Article 9(2) explicit-consent clauses (where applicable) for the flows that are legitimate-interest-based.

10. Children

FREN is a driving app. It is not directed at people under the legal driving age in their country (typically 16–18). We do not knowingly collect data from anyone we have reason to believe is below that age. If you are a parent or guardian and you have reason to believe a minor's device data was collected, contact us at info@frenyap.com and we will delete it.

11. Changes to this policy

This policy may change. When it does:

• The version number and "last updated" date at the top of this document change
• A short note describing what changed appears at the top of the hosted policy at frenyap.com/privacy
• For changes that materially expand what data we collect or who we share it with, the app prompts you to review and re-consent before the new flow starts.
• When we add a data flow to an existing switch, we list it in the note at the top of this policy.

12. Contact and data deletion requests

• General privacy questions and rights requests: info@frenyap.com
• Data deletion: email info@frenyap.com with the subject "Data Deletion Request". We respond within the time limits in section 8 (KVKK Art. 7, GDPR Art. 17).
  • Data on your phone: uninstalling the app deletes all of it.
  • Our server-side records: they are kept under your random device ID. Tell us roughly when and where you used the app, and we delete the matching records.
  • Crash reports (Firebase Crashlytics): deleted automatically after 90 days, or sooner on request.
• Supervisory authorities: see section 8.

13. Address & destination search data sources

Destination search uses point-of-interest data from the Overture Maps Foundation (places theme), covering businesses and other named places across Türkiye and the Gulf. This is not your personal data — it is an openly-licensed reference dataset.

The data is licensed per source: CDLA-Permissive-2.0 (Meta, Microsoft), CC0 (AllThePlaces), and Apache License 2.0 (Foursquare). It includes data from Foursquare Open Source Places © Foursquare Labs, Inc., licensed under Apache-2.0 and modified on 2026-06-18 to extract the points of interest for those regions. The full license texts are available at overturemaps.org, apache.org/licenses/LICENSE-2.0, and cdla.dev.

14. Navigation route data

When Share with the FREN community is on and you use navigation, FREN collects the planned route and the points where your driving left it. This route data is linked only to the random device ID, never to a name or an account. We keep this route data for up to two years and use it only for road-safety and map/routing-quality research. The lawful basis is our legitimate interest in improving road safety and routing quality (KVKK / Law No. 6698; GDPR Article 6(1)(f), with the research- and statistical-purpose safeguards of Article 89). You can turn Share with the FREN community off at any time in Settings → Privacy; doing so stops further collection and discards any route data buffered during the current trip.

15. Activation and anti-tampering

To protect the speed-camera data inside FREN, the app checks in with our activation server when it is first activated, and again each time it refreshes its camera data. As part of that check, our server records a salted, irreversible hash of your device's IP address (a one-way scramble; we do not store or recover the IP), your approximate country (the country only — not your city or address), the app version, the device model and OS version, a random installation ID (separate from the device ID), and the result of Apple App Attest or Google Play Integrity, which confirm that the app is genuine.

• We do not store your raw IP address. The hash only lets us tell whether two check-ins came from the same network source — for example, to recognize when a tampered or emulated device keeps retrying.
• This is a security / anti-abuse function, so — unlike the optional flows in section 2 — it runs anyway, to protect the app and its camera data (KVKK Art. 5(2)(f) / GDPR Art. 6(1)(f) legitimate interest). We do not use it to identify you, to advertise, or to profile you across apps.
• We keep the IP hash and country for 90 days, then delete them automatically.

This record carries no name, account, or contact information.

16. Live road reports

In the countries where the feature is on, you can report a road hazard to other drivers with one tap during navigation, and confirm or dismiss a report someone else made. Seeing other drivers' reports needs no switch. Sending a report or a vote needs Share with the FREN community on.

When you send one, our server receives the category you picked, where and when, your speed and heading at that moment, and an irreversible hash of your random device ID (the ID itself is not stored with the report). Other drivers see only the category, the place and how recent it is — never anything about the device that sent it.

We use reports to warn other drivers, to limit how many reports one device can send, and afterwards to study where hazards keep recurring. Retention is in section 5. The lawful basis is our legitimate interest in road safety (KVKK Art. 5(2)(f) / GDPR Art. 6(1)(f)).

17. Average-speed stretches you measure

The app lets you measure your own average speed over a stretch of road. When Share with the FREN community is on, each finished measurement is uploaded: where and when it started and ended, the distance, the time, your average speed, why it ended, the speed corridor it belongs to (if any), the country and the unit system. It carries no device ID of its own; it is linked to the driving session described in section 2.2. We use it to find speed corridors that are missing from our data. Retention is in section 5.

18. Search, routing and the map

When you search for a place, plan a route or look at the map, your phone sends the request to our servers, because the app cannot answer it otherwise. This happens no matter how the switches are set, and only when you use the feature.

• Search: the text you typed, the language, and your approximate location (so that nearby results come first). Searches are sent without your device ID. Our servers do not log the text of your searches.
• Routing: your start point, destination and any stops, sent without your device ID.
• Map: the map tiles for the area on screen.
• For capacity monitoring, our servers record the approximate location of each search or route request, rounded to about 1 km, with the country and no device ID or IP address. Retention is in section 5.
• If our own search or routing servers are unavailable, the request may be passed to the public OpenStreetMap services run by komoot (Photon) or FOSSGIS (Valhalla), which then receive the same request.

19. Subscriptions

FREN Premium is sold through the App Store and Google Play. Apple and Google handle the payment; we never see your card details. RevenueCat keeps track of your subscription status for us, using the store receipt and a random RevenueCat user ID created by the app (on iOS it also stores the vendor identifier Apple gives each app maker). The app asks RevenueCat for your status no matter how the switches are set, because Premium cannot work otherwise. Where Crash and diagnostic reports is on, the AppsFlyer ID (§20) is also linked to your subscription record, so that trial starts, purchases and renewals can be counted for our campaigns. Retention is in section 5.

20. Install attribution (AppsFlyer)

When Crash and diagnostic reports is on, the AppsFlyer SDK starts and records whether the install came from one of our own marketing campaigns. It creates an AppsFlyer ID for the install and uses the Google Play install referrer on Android and Apple's privacy-preserving attribution (SKAdNetwork and Apple Search Ads) on iOS. It does not use your advertising ID: it is switched off in the SDK, the Android advertising-ID permission is removed from the app, and FREN never shows Apple's tracking prompt. RevenueCat sends AppsFlyer the subscription events linked to that ID (§19). Turning the switch off stops the SDK. Retention is in section 5.

When you open a FREN download link on frenyap.com (frenyap.com/indir), we count the visit anonymously: we record only the campaign tags in the link, whether the device is Android or iOS and whether the link was opened inside a social app (no IP address, cookie or identifier), and keep these counts for up to three months.

21. Your country

FREN serves a different camera dataset and speed rules in each country it covers. The app works out which country you are in from your GPS position and remembers the country of the camera data on your phone. It also reads your phone's region setting. We use these to pick the camera data, the units and the rules, and to decide the default of partner sharing (§2.3). The country is included in driving data and activation records; the exact position is not part of this setting.

22. YouTube API Services

The FREN app does not use YouTube API Services and collects no YouTube data from you.

Fren Safety Inc. also has an internal publishing tool, used only by our own team, that uploads our own videos to our own YouTube channel (Fren Safety Inc., @frenradar). This tool uses YouTube API Services. Its use of YouTube is governed by the YouTube Terms of Service, and Google handles data as described in the Google Privacy Policy.

• What it accesses: only our own channel. It reads no other channel and collects no data about viewers or other YouTube users.
• What it stores: for each video we upload, the video ID, its privacy setting (public, unlisted or private) and the upload time, as a publishing record in a database on a company computer. The authorization (OAuth) tokens that allow the uploads are kept on the same computer.
• How it is used and shared: only to keep track of what we have published. We share none of it with anyone, and we do not combine it with data from the FREN app. The tool shows no ads and uses no cookies.
• Deletion: the YouTube data in our publishing records is refreshed from YouTube or deleted at least every 30 days. If the tool's access is revoked, we delete the stored tokens and the YouTube data obtained through that access within 7 days.
• Revoking access: access granted to the tool can be revoked at any time on Google's security settings page: https://security.google.com/settings/security/permissions
• Questions: info@frenyap.com