1. Veri Sorumlusu

Kişisel verileriniz bakımından veri sorumlusu Nireya Teknoloji A.Ş.’dir (“Nireya”, “biz”).

• Adres: Fulyalı Sokak No:35, 34394 Beşiktaş / İstanbul, Türkiye
• E-posta: [email protected]

NirPay, Nireya ekosisteminin bir parçasıdır. NirPay hesabınız, Nireya’nın ortak kimlik hizmeti olan Nirpax hesabınız üzerinden oluşturulur ve yönetilir.

2. İşlediğimiz Kişisel Veriler

NirPay’i kullanırken aşağıdaki kişisel veri kategorileri işlenir:

• Kimlik ve iletişim bilgileri: Ad, soyad, e-posta adresi, telefon numarası, Nirpax kullanıcı numarası ve (Google veya Nirpax üzerinden paylaşılmışsa) profil fotoğrafı bağlantısı.
• Giriş ve doğrulama bilgileri: Telefonla girişte telefon numaranız ve size SMS ile gönderilen tek kullanımlık doğrulama kodu (kodun geçerlilik süresi ve doğrulanma durumu ile birlikte); Google, Apple veya Nirpax ile girişte bu hizmetlerin bize ilettiği kimlik doğrulama belirteçleri ve hesap bilgileri; Nirpax’ta e-posta ve şifreyle kayıt olduğunuzda kayıt bilgileriniz.
• Cüzdan ve işlem bilgileri: Cüzdan bakiyesi ve para birimi; para transferi, QR ile ödeme, fatura ve diğer ödeme işlemlerinizin türü, tutarı, durumu, tarihi, işlem kodu ve açıklaması; transferlerde alıcı IBAN bilgisi; fatura ödemelerinde seçtiğiniz kurum ile girdiğiniz abone/telefon numarası ve fatura bilgisi; toplam işlem sayısı ve tutarı gibi özet istatistikler.
• QR işlemleri: Oluşturduğunuz ödeme QR kodlarının tutarı, açıklaması, durumu ve geçerlilik süresi; okuttuğunuz QR kodun içeriği (ödemeyi doğrulamak için sunucularımıza iletilir).
• Kayıtlı alıcılar: Transfer kolaylığı için kaydettiğiniz kişilerin kayıt adı, ad-soyadı, IBAN’ı ve banka adı. Bu bilgileri siz girersiniz; cihazınızın rehberine erişilmez.
• Kart ve abonelik bilgileri: NirPay üzerinden oluşturulan kartlara ait kart adı, türü, kart numarası ve maskelenmiş numarası, son kullanma tarihi, güvenlik kodu, kart sahibi adı, bakiye ve durum bilgisi; kartlarınıza bağlı aboneliklerin adı, tutarı, ödeme sıklığı, sonraki ödeme tarihi ve ödeme geçmişi.
• Bildirim ve cihaz bilgileri: Bildirimlere izin verdiğinizde, bildirim hizmet sağlayıcımız OneSignal tarafından oluşturulan anlık bildirim belirteci (push token) ve abonelik kimliği ile bildirimlerin iletilmesi için gereken teknik cihaz bilgileri (ör. cihaz modeli, işletim sistemi ve uygulama sürümü, dil ayarı).
• Teknik kayıtlar: Uygulama sunucularımıza yaptığınız isteklerin işlenmesi sırasında oluşan IP adresi, istek zamanı ve hata kayıtları gibi teknik veriler.
• Tercihler: Uygulama dili gibi hesap tercihleriniz.
• Destek yazışmaları: Bize e-posta ile ulaştığınızda ilettiğiniz bilgiler ve yazışma içeriği.

3. Cihaz İzinleri ve Cihazınızda Kalan Veriler

• Kamera: QR kod okutmak ve kart eklerken kart üzerindeki bilgileri otomatik doldurmak için kullanılır. Kart fotoğrafındaki metin, cihazınız üzerinde çalışan bir metin tanıma özelliğiyle (Google ML Kit) okunur; fotoğraf sunucularımıza gönderilmez. Kamera izni yalnızca bu özellikleri kullandığınızda istenir ve cihaz ayarlarından her zaman geri alınabilir.
• Bildirimler: Yalnızca izin vermeniz hâlinde işlem ve hesap bildirimleri göndermek için kullanılır. İzni cihaz ayarlarından dilediğiniz zaman kapatabilirsiniz.
• Cihazda saklanan veriler: Oturumunuzu sürdürmek için oturum anahtarınız ve uygulama tercihleriniz cihazınızın yerel depolama alanında tutulur ve çıkış yaptığınızda silinir. İşlem dekontları cihazınızda PDF olarak oluşturulur ve yalnızca sizin seçtiğiniz uygulama veya kişiyle paylaşılır.

NirPay; cihaz rehberinize, konumunuza, mikrofonunuza, SMS veya arama kayıtlarınıza erişmez. Uygulamada reklam amaçlı izleme yapılmaz ve üçüncü taraf reklam veya analiz araçları kullanılmaz.

4. Kişisel Verilerin İşlenme Amaçları

• Hesabınızın oluşturulması, kimliğinizin doğrulanması ve oturumunuzun yönetilmesi,
• Cüzdan, para transferi, QR ile ödeme, fatura ve abonelik ödemeleri, kart ve kayıtlı alıcı özelliklerinin sunulması,
• İşlem geçmişinizin, dekontlarınızın ve bakiyenizin size gösterilmesi,
• İzin vermeniz hâlinde işlem ve hesap bildirimlerinin gönderilmesi,
• Hizmetin güvenliğinin sağlanması, yetkisiz erişimin ve kötüye kullanımın önlenmesi, hataların tespit edilip giderilmesi,
• Destek taleplerinizin yanıtlanması,
• Mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi ve yetkili kurumların talepleri ile hukuki uyuşmazlıklarda haklarımızın korunması.

5. Hukuki Sebepler

Kişisel verileriniz KVKK’nın 5. maddesinde yer alan aşağıdaki hukuki sebeplere dayanılarak işlenir:

• Sözleşmenin kurulması veya ifası (KVKK m. 5/2-c; GDPR m. 6/1-b): Hesap oluşturma, giriş, cüzdan, transfer, ödeme, kart ve QR özelliklerinin sunulması.
• Hukuki yükümlülük (KVKK m. 5/2-ç; GDPR m. 6/1-c): Mevzuat gereği kayıt tutma ve yetkili mercilere bilgi verme.
• Bir hakkın tesisi, kullanılması veya korunması (KVKK m. 5/2-e): Olası uyuşmazlıklarda işlem kayıtlarının delil olarak kullanılması.
• Meşru menfaat (KVKK m. 5/2-f; GDPR m. 6/1-f): Hizmetin güvenliği, hataların giderilmesi ve teknik kayıtların tutulması.
• Açık rıza / izin (KVKK m. 5/1; GDPR m. 6/1-a): Anlık bildirimler gibi izninize bağlı özellikler. İzninizi dilediğiniz zaman geri alabilirsiniz.

6. Verilerin Aktarıldığı Taraflar

Kişisel verilerinizi satmayız ve reklam amacıyla üçüncü taraflarla paylaşmayız. Veriler yalnızca Hizmet’in sunulması için gerekli olduğu ölçüde aşağıdaki taraflarla paylaşılır:

• Nirpax (Nireya kimlik hizmeti): NirPay hesabınız Nirpax hesabınıza bağlıdır; kimlik, iletişim, profil ve cüzdan bilgileriniz Nirpax altyapısında tutulur. Ayrıntılar için Nirpax Gizlilik Politikası’na (nirpax.io/privacy) bakabilirsiniz.
• Sunucu ve barındırma hizmet sağlayıcıları: Uygulamanın arka uç hizmetleri ve veritabanları bu sağlayıcıların altyapısında çalışır.
• OneSignal: Anlık bildirimlerin cihazınıza iletilmesi (bildirim belirteci, abonelik kimliği ve teknik cihaz bilgileri).
• Verimor: Telefon numarası doğrulaması için tek kullanımlık kodu içeren SMS’in gönderilmesi (telefon numarası ve doğrulama kodu).
• Google: Google ile giriş yapmayı seçtiğinizde Google Sign-In ve giriş belirtecinin doğrulanması için Google Firebase Authentication; kart metninin cihaz üzerinde tanınması için Google ML Kit.
• Apple: Apple ile giriş yapmayı seçtiğinizde Sign in with Apple hizmeti.
• Cloudflare: nirpay.io web sitesinin iletimi ve güvenliği.
• Yetkili kurum ve kuruluşlar: Kanunen yetkili kamu kurumları, yargı mercileri ve düzenleyici otoriteler, yalnızca mevzuatın gerektirdiği hâllerde ve ölçüde.

Google ve Apple ile giriş hizmetleri ile App Store ve Google Play, verileri kendi gizlilik politikaları kapsamında da işler.

7. Yurt Dışına Aktarım

Hizmet sağlayıcılarımızdan bazılarının (ör. OneSignal, Google, Apple, Cloudflare) sunucuları Türkiye dışında, başta Amerika Birleşik Devletleri olmak üzere farklı ülkelerde bulunabilir. Bu sağlayıcıları kullandığınız özellikler kapsamında ilgili kişisel verileriniz yurt dışına aktarılabilir. Bu aktarımlar KVKK’nın 9. maddesinde ve ilgili mevzuatta öngörülen şartlara (ör. standart sözleşmeler veya gerektiğinde açık rızanız) ve uygulanabildiği ölçüde GDPR’ın uluslararası aktarım kurallarına uygun olarak gerçekleştirilir.

8. Saklama Süresi

Kişisel verilerinizi, Hizmet’i sunmak için gerekli olduğu sürece ve ilgili mevzuatın öngördüğü süreler boyunca saklarız. Bu süreler sona erdiğinde verileriniz silinir, yok edilir veya anonim hâle getirilir. Mali işlem kayıtları gibi bazı veriler, hesabınızı silmeniz hâlinde dahi yasal saklama yükümlülükleri süresince saklanabilir.

9. Haklarınız

KVKK’nın 11. maddesi uyarınca veri sorumlusuna başvurarak:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmişse düzeltilmesini isteme,
• KVKK’nın 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz. GDPR’ın uygulandığı durumlarda ayrıca verilerinize erişim, düzeltme, silme, işlemeyi kısıtlama, veri taşınabilirliği, işlemeye itiraz etme ve rızanızı dilediğiniz zaman geri alma haklarına sahipsiniz.

Taleplerinizi [email protected] adresine, NirPay’de kayıtlı e-posta adresinizden veya kimliğinizi doğrulamamıza imkân verecek bilgilerle birlikte iletebilir ya da yukarıdaki adresimize yazılı olarak gönderebilirsiniz. Başvurularınız, talebin niteliğine göre en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. Başvurunuzun reddedilmesi veya yanıtı yetersiz bulmanız hâlinde Kişisel Verileri Koruma Kurulu’na; GDPR kapsamındaysanız bulunduğunuz ülkedeki veri koruma otoritesine şikâyette bulunabilirsiniz.

10. Hesap ve Veri Silme

NirPay hesabınızın ve ilişkili kişisel verilerinizin silinmesini istediğinizde [email protected] adresine “NirPay hesap silme talebi” konulu bir e-posta gönderebilirsiniz. Talebinizi, hesabınıza kayıtlı e-posta adresinden göndermeniz veya hesabınıza kayıtlı telefon numarasını belirtmeniz kimliğinizi doğrulamamızı kolaylaştırır. Uygulamada Profil → Hesabımı sil yolunu açın, SİL yazın ve ikinci onayı verin. Bu işlem merkezi Nirpax kimliğini ve bağlı NirPay kişisel verilerini siler; diğer uygulamalara girişiniz etkilenir.

Kimliğiniz doğrulandıktan sonra hesabınız kapatılır ve kişisel verileriniz silinir veya anonim hâle getirilir. Yasal saklama yükümlülüğüne tabi kayıtlar (ör. mali işlem kayıtları) yalnızca bu yükümlülük süresince saklanır ve başka amaçla kullanılmaz. Uygulama içi akışta hesap erişimi önce kapatılır; sağlayıcı arızasında temizlik kuyruğa alınır ve yeniden denenir. Profil/iletişim, kartlar, alıcılar ve kişisel kayıtlar kaldırılır. NDA ve finansal kayıtların kimlik alanları temizlenir; sözleşme ispatı ve finansal denetim için en fazla 10 yıl saklanıp ardından temizlenir. OneSignal kullanıcı silmesi sağlayıcı tarafından işlenir.

Bildirim izinlerini cihaz ayarlarından kapatabilir, uygulamadan çıkış yaparak cihazınızdaki oturum bilgilerini silebilir, uygulamayı kaldırarak cihazınızdaki yerel verileri temizleyebilirsiniz.

11. Çocukların Gizliliği

NirPay 18 yaşından küçük kişilere yönelik değildir. 18 yaşından küçük kişilerden, özellikle 13 yaşından küçük çocuklardan bilerek kişisel veri toplamayız. Böyle bir verinin bize iletildiğini fark ederseniz lütfen bizimle iletişime geçin; ilgili verileri gecikmeksizin sileriz.

12. Güvenlik

Kişisel verilerinizi korumak için makul teknik ve idari tedbirler uygularız. Uygulama ile sunucularımız arasındaki iletişim HTTPS üzerinden şifreli olarak yapılır; hesabınıza ait verilere erişim kimlik doğrulaması ile sınırlandırılır ve kart numaraları uygulamada maskelenmiş olarak gösterilir. Bununla birlikte internet üzerinden yapılan hiçbir iletim veya depolama yöntemi tamamen güvenli değildir; cihazınızı ve hesap bilgilerinizi korumanızı öneririz.

13. Web Sitesi

nirpay.io web sitesi, yalnızca seçtiğiniz dil tercihini tarayıcınızın yerel depolama alanında saklar. Web sitesinde reklam veya analiz çerezleri kullanılmaz. Siteye erişiminiz sırasında IP adresiniz gibi teknik bilgiler, sitenin iletimi ve güvenliği için hizmet sağlayıcımız Cloudflare tarafından işlenebilir.

14. Değişiklikler

Bu Gizlilik Politikası’nı Hizmet’teki veya mevzuattaki değişikliklere göre güncelleyebiliriz. Güncel metin her zaman bu sayfada yayımlanır ve yürürlük tarihi güncellenir. Önemli değişiklikleri uygulama veya e-posta aracılığıyla ayrıca bildiririz.

15. İletişim

Bu politika veya kişisel verileriniz hakkındaki her türlü soru ve talebiniz için:

• Veri sorumlusu: Nireya Teknoloji A.Ş.
• Adres: Fulyalı Sokak No:35, 34394 Beşiktaş / İstanbul, Türkiye
• E-posta: [email protected]

1. Data Controller

The data controller for your personal data is Nireya Teknoloji A.Ş. (“Nireya”, “we”, “us”).

• Address: Fulyalı Sokak No:35, 34394 Beşiktaş / İstanbul, Türkiye
• Email: [email protected]

NirPay is part of the Nireya ecosystem. Your NirPay account is created and managed through your Nirpax account, Nireya’s shared identity service.

2. Personal Data We Process

When you use NirPay, the following categories of personal data are processed:

• Identity and contact data: First name, last name, email address, phone number, Nirpax user number and, if shared via Google or Nirpax, a profile photo link.
• Sign-in and verification data: For phone sign-in, your phone number and the one-time verification code sent to you by SMS (together with its expiry and verification status); for Google, Apple or Nirpax sign-in, the authentication tokens and account details these services provide to us; if you register with Nirpax using email and password, your registration details.
• Wallet and transaction data: Wallet balance and currency; the type, amount, status, date, transaction code and description of your money transfers, QR payments, bill and other payments; the recipient IBAN for transfers; for bill payments, the selected biller and the subscriber/phone number and bill details you enter; summary statistics such as total number and amount of transactions.
• QR transactions: The amount, description, status and validity period of payment QR codes you create; the content of QR codes you scan (sent to our servers to validate the payment).
• Saved recipients: The nickname, full name, IBAN and bank name of recipients you save for convenient transfers. You enter this information yourself; your device’s address book is not accessed.
• Card and subscription data: For cards created through NirPay: card name, type, card number and masked number, expiry date, security code, cardholder name, balance and status; for subscriptions linked to your cards: name, amount, billing interval, next payment date and payment history.
• Notification and device data: If you allow notifications, the push token and subscription ID generated by our notification provider OneSignal, and the technical device information needed to deliver notifications (e.g. device model, operating system and app version, language setting).
• Technical logs: Technical data such as IP address, request time and error logs generated when our servers process your requests.
• Preferences: Account preferences such as the app language.
• Support communications: Information and message content you provide when you contact us by email.

3. Device Permissions and Data Kept on Your Device

• Camera: Used to scan QR codes and to auto-fill card details when adding a card. Text on the card photo is read by an on-device text recognition feature (Google ML Kit); the photo is not sent to our servers. Camera permission is requested only when you use these features and can be revoked at any time in your device settings.
• Notifications: Used only if you grant permission, to send transaction and account notifications. You can turn this off at any time in your device settings.
• Data stored on your device: Your session token and app preferences are kept in your device’s local storage to keep you signed in and are removed when you sign out. Transaction receipts are generated on your device as PDF files and shared only with the app or person you choose.

NirPay does not access your address book, location, microphone, SMS or call logs. The app does not perform advertising tracking and does not use third-party advertising or analytics tools.

4. Purposes of Processing

• Creating your account, verifying your identity and managing your session;
• Providing wallet, money transfer, QR payment, bill and subscription payment, card and saved-recipient features;
• Showing you your transaction history, receipts and balance;
• Sending transaction and account notifications if you allow them;
• Keeping the Service secure, preventing unauthorised access and misuse, and detecting and fixing errors;
• Responding to your support requests;
• Complying with legal obligations, responding to requests from competent authorities and protecting our rights in legal disputes.

5. Legal Bases

We process your personal data on the following legal bases under Article 5 of the KVKK:

• Performance of a contract (KVKK Art. 5/2-c; GDPR Art. 6(1)(b)): Account creation, sign-in and providing wallet, transfer, payment, card and QR features.
• Legal obligation (KVKK Art. 5/2-ç; GDPR Art. 6(1)(c)): Record keeping and disclosures to competent authorities required by law.
• Establishment, exercise or defence of a right (KVKK Art. 5/2-e): Using transaction records as evidence in potential disputes.
• Legitimate interests (KVKK Art. 5/2-f; GDPR Art. 6(1)(f)): Service security, error fixing and keeping technical logs.
• Explicit consent / permission (KVKK Art. 5/1; GDPR Art. 6(1)(a)): Features that depend on your permission, such as push notifications. You may withdraw your consent at any time.

6. Who We Share Data With

We do not sell your personal data or share it with third parties for advertising. Data is shared only with the following parties, and only to the extent needed to provide the Service:

• Nirpax (Nireya identity service): Your NirPay account is linked to your Nirpax account; your identity, contact, profile and wallet data are kept in the Nirpax infrastructure. See the Nirpax Privacy Policy (nirpax.io/privacy) for details.
• Server and hosting providers: The app’s back-end services and databases run on their infrastructure.
• OneSignal: Delivering push notifications to your device (push token, subscription ID and technical device information).
• Verimor: Sending the SMS containing the one-time code for phone number verification (phone number and verification code).
• Google: If you choose to sign in with Google, Google Sign-In and Google Firebase Authentication to verify the sign-in token; Google ML Kit for on-device card text recognition.
• Apple: Sign in with Apple, if you choose to sign in with Apple.
• Cloudflare: Delivery and security of the nirpay.io website.
• Competent authorities: Public authorities, courts and regulators authorised by law, only when and to the extent required by law.

Google and Apple sign-in services, the App Store and Google Play also process data under their own privacy policies.

7. International Transfers

Some of our service providers (e.g. OneSignal, Google, Apple, Cloudflare) may operate servers outside Türkiye, including in the United States. When you use the related features, the relevant personal data may be transferred abroad. Such transfers are carried out in line with Article 9 of the KVKK and related legislation (e.g. standard contracts or, where required, your explicit consent) and, where applicable, the GDPR rules on international transfers.

8. Retention

We keep your personal data for as long as necessary to provide the Service and for the periods required by applicable law. When these periods end, your data is deleted, destroyed or anonymised. Some data, such as financial transaction records, may be retained for the duration of statutory retention obligations even after you delete your account.

9. Your Rights

Under Article 11 of the KVKK, you have the right to apply to the data controller to:

• Learn whether your personal data is processed;
• Request information about the processing;
• Learn the purpose of processing and whether data is used accordingly;
• Know the third parties in Türkiye or abroad to whom data is transferred;
• Request correction of incomplete or inaccurate data;
• Request deletion or destruction of your data under the conditions of Article 7 of the KVKK;
• Request that corrections, deletions and destructions be notified to third parties to whom data was transferred;
• Object to a result against you arising exclusively from automated analysis;
• Claim compensation for damages arising from unlawful processing.

Where the GDPR applies, you also have the rights of access, rectification, erasure, restriction of processing, data portability, objection, and to withdraw your consent at any time.

You can send your requests to [email protected] from the email address registered with NirPay or together with information that allows us to verify your identity, or in writing to our address above. Requests are handled free of charge within 30 days at the latest, depending on their nature. If your request is rejected or you find the response insufficient, you may lodge a complaint with the Turkish Personal Data Protection Board (KVKK Kurulu) or, if the GDPR applies to you, with the data protection authority in your country.

10. Account and Data Deletion

To request deletion of your NirPay account and associated personal data, send an email to [email protected] with the subject “NirPay account deletion request”. Sending the request from the email address registered to your account, or including the phone number registered to your account, helps us verify your identity. In the app, open Profile → Delete my account, type DELETE and accept the second confirmation. This deletes your central Nirpax identity and linked NirPay personal data and affects sign-in to other apps.

Once your identity is verified, your account is closed and your personal data is deleted or anonymised. Records subject to statutory retention obligations (e.g. financial transaction records) are kept only for the duration of that obligation and are not used for any other purpose. The in-app flow first disables account access; provider failures queue cleanup for retry. Profile/contact details, cards, recipients and personal records are removed. NDA and financial records have identity fields removed and are retained for contract evidence and financial audit for up to 10 years before being purged. OneSignal processes its user-deletion request.

You can turn off notification permissions in your device settings, remove session data from your device by signing out, and clear local data by uninstalling the app.

11. Children’s Privacy

NirPay is not directed to anyone under 18. We do not knowingly collect personal data from anyone under 18, and in particular from children under 13. If you become aware that such data has been provided to us, please contact us and we will delete it without delay.

12. Security

We apply reasonable technical and organisational measures to protect your personal data. Communication between the app and our servers is encrypted over HTTPS; access to your account data is restricted by authentication; and card numbers are shown masked in the app. However, no method of transmission or storage over the internet is completely secure, so we recommend that you protect your device and account credentials.

13. Website

The nirpay.io website only stores your selected language preference in your browser’s local storage. No advertising or analytics cookies are used on the website. When you access the site, technical information such as your IP address may be processed by our provider Cloudflare to deliver and secure the site.

14. Changes

We may update this Privacy Policy to reflect changes to the Service or the law. The current version is always published on this page with an updated effective date. We will additionally notify you of material changes through the app or by email.

15. Contact

For any questions or requests about this policy or your personal data:

• Data controller: Nireya Teknoloji A.Ş.
• Address: Fulyalı Sokak No:35, 34394 Beşiktaş / İstanbul, Türkiye
• Email: [email protected]