Ribbon gizlilik politikası ve KVKK aydınlatma metni

Son güncelleme: 4 Kasım 2026

Ribbon’da hesap, çerez, analitik, reklam ya da takip yok. Hediyeye yazdıklarını yalnızca hediyeyi alıcıya gösterebilmek için saklarım ve süresi dolunca kendiliğinden silerim: açılış tarihinden (yoksa oluşturulduğu günden) 90 gün sonra. Kart bilgini hiç görmem; ödemeyi Polar alır.

Hediye hazırladığında ne saklanır?

Hediyeni alıcıya gösterebilmek için şunlar Ribbon’ın veritabanında (Cloudflare D1, Cloudflare’in küresel ağında) saklanır:

• Hediyenin içeriği: kime ve kimden adları ve mesajın; koyduysan kupon metni, hediye kodu ve nerede kullanılacağı ya da bağlantı; fotoğraf; seçtiğin kâğıt, müzik kutusu ezgisi, açılış zamanı ve ipucu; hediyenin dili.
• Hediyenin durumu: oluşturulma zamanı, alıcının ilk açtığı zaman, alıcının tepkisi ve teşekkür notu, şikâyet sayısı, ödeme durumu.
• Ödeme kimlikleri: ücretli bir hediyede Polar’ın verdiği ödeme oturumu, sipariş ve müşteri kimliği. Adın, e-postan ya da kart bilgin burada saklanmaz.
• Yönetim anahtarı: hediyenin sahibi olduğunu kanıtlayan gizli anahtarın kendisi değil, yalnızca SHA-256 özeti.

Fotoğraf, yüklenmeden önce cihazında küçültülüp yeniden kaydedilir; konum gibi fotoğrafa gömülü bilgiler (EXIF) bu sırada silinir, yüklenmez. Hediyeye başka birinin adını, fotoğrafını ya da kişisel bilgisini koyuyorsan bunun için gereken izni almak senin sorumluluğundadır.

Hediyeyi açan kişi (alıcı) için

• Hediyeyi açmak için hesap, ad ya da e-posta gerekmez.
• Gönderen, “Hediyelerim” sayfasında hediyenin ilk ne zaman açıldığını görür. Tepki ya da teşekkür notu gönderirsen onları da görür; tepki göndermek isteğe bağlıdır.
• Bir hediyeyi şikâyet ettiğinde senden bilgi alınmaz; yalnızca hediyenin şikâyet sayısı bir artar.
• Hediye sayfaları arama motorlarına kapalıdır; ama bağlantıyı bilen herkes hediyeyi açabilir.
• Bağlantı önizlemesi: hediye bağlantısı WhatsApp gibi bir uygulamada paylaşıldığında uygulama sayfanın önizlemesini çeker. Önizlemede gönderenin adı (“X sana bir hediye gönderdi”) ve kâğıdın resmi görünür; mesaj, fotoğraf ve hediyenin içi görünmez.

Bu cihazda kalanlar

Tarayıcının yerel depolamasında (localStorage) şunlar tutulur. Bunlar çerez değildir ve aşağıda yazanlar dışında cihazından çıkmaz:

• dil ve ses tercihin;
• hediye hazırladıysan: bu cihazda hazırladığın hediyelerin listesi (alıcının adı ve kâğıtla) ve her birinin gizli yönetim anahtarı (Hediyelerim için), yarım kalan hediyenin taslağı (fotoğrafı dahil; hediye paketlenince silinir) ve varsa paket kodun.

Yönetim anahtarı yalnızca hediyenin sahibi olduğunu kanıtlamak için sunucuya gönderilir: hediyeyi paketlerken, durumuna bakarken ya da silerken. Paket kodu, kullandığında kalan hakkı doğrulamak için Polar’a iletilir. Bu sitenin verilerini tarayıcından silersen hepsi silinir; ama o zaman hediyelerini “Hediyelerim”den yönetemezsin.

Çerez, analitik ve takip

Yok. Ribbon çerez kullanmaz; analitik aracı, reklam, takip pikseli ya da parmak izi yok. Yazı tipleri dahil her şey Ribbon’ın kendi sunucusundan yüklenir; Google’a ya da başka bir üçüncü tarafa istek gitmez.

Kötüye kullanımı önlemek için günlük deneme sayısını sınırlarım. Bunun için IP adresinin kendisi değil, gizli bir tuz ve o günün tarihiyle alınmış SHA-256 özeti saklanır. Özet her gün değişir, bir günden eskileri her gece silinir ve başka hiçbir iş için kullanılmaz.

Siteyi sunan Cloudflare, her bağlantıda IP adresini görür ve siteyi güvenli tutmak için kendi politikası kapsamında işler: cloudflare.com/privacypolicy.

Ödeme

Premium hediyeler ve paketler Polar üzerinden satılır. Satıcı (merchant of record) Polar Software Inc.’tir (ABD); ödemeyi Stripe işler. Ödeme sayfasında verdiğin ad, e-posta ve ülke Polar’a, kart bilgilerin Stripe’a gider; kart bilgilerini ben görmem. Ödeme sayfası Polar’ın sitesindedir ve orada Polar’ın kendi gizlilik ve çerez kuralları geçerlidir: polar.sh/legal/privacy.

Ribbon’ın veritabanına Polar’dan yalnızca ödeme oturumu, sipariş ve müşteri kimliği yazılır; e-postan saklanmaz. Polar’ın satıcı panelinde satış kaydını (ad, e-posta, ülke, ürün, tutar, tarih) görebilirim ve bunu yalnızca iade ve destek için kullanırım. Pazarlama e-postası göndermem. Makbuz ve faturalar Polar’dan gelir.

Ne zaman silinir?

• Hediyeler (fotoğraf, tepki ve teşekkür notu dahil): açılış tarihinden, açılış tarihi yoksa oluşturulduğu günden 90 gün sonra, gece temizliğinde kendiliğinden silinir.
• Ödemesi tamamlanmayan taslaklar: 2 gün sonra silinir.
• İstediğin an: hediyeni Hediyelerim’den silebilirsin; hediye ve fotoğrafı hemen silinir, bağlantı bir daha açılmaz.
• IP özetleri: bir günden eskileri her gece silinir.
• Ödeme kimlikleri (ödeme oturumu, sipariş ve müşteri kimliği): iadeleri eşleştirebilmek için hediye silindikten sonra 30 gün daha tutulur, sonra kendiliğinden silinir. Muhasebe için gereken ödeme kayıtlarını Polar kendi politikasına göre saklar.
• Bana yazdığın e-postalar: konu kapandıktan sonra en çok 2 yıl.

Silinen kayıtlar, Cloudflare’in veritabanı geri yükleme geçmişinde en çok 30 gün daha kalabilir; sonra oradan da kendiliğinden silinir.

KVKK aydınlatma metni

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m. 10 uyarınca:

• Veri sorumlusu: Sezer Kuşku (Sezlab), İstanbul, Türkiye · merhaba@sezlab.dev. Ödeme sayfasında verdiğin bilgiler için Polar da kendi adına veri sorumlusudur.
• İşlenen veriler: hediyenin içeriği (kime ve kimden adları, mesaj, kupon, hediye kodu ya da bağlantı metni, fotoğraf, kâğıt, ezgi, açılış zamanı ve ipucu, dil); oluşturulma ve ilk açılma zamanı; alıcının tepkisi ve teşekkür notu; şikâyet sayısı; ödeme durumu ve Polar’ın verdiği kimlikler; Polar panelindeki satış kaydı (ad, e-posta, ülke, ürün, tutar, tarih); IP adresinin günlük özeti; bana yazarsan yazışma.
• Amaç ve hukuki sebep: hediyenin hazırlanması, saklanması ve alıcıya gösterilmesi, tepkinin gönderene iletilmesi, ödeme, paket kodu, iade ve destek için sözleşmenin kurulması ve ifası (m. 5/2-c); gelir ve vergi kayıtları ile yetkili mercilerin talepleri gibi hukuki yükümlülükler (m. 5/2-ç); kötüye kullanımın önlenmesi, şikâyetlerin incelenmesi ve hizmetin güvenliği için meşru menfaat (m. 5/2-f).
• Toplama yöntemi: elektronik ortamda; Ribbon’daki hediye formu ve alıcı sayfası, Polar’ın ödeme sayfası ve e-posta yoluyla; IP özeti otomatik olarak.
• Aktarım: Cloudflare (barındırma ve veritabanı; ABD merkezli, küresel ağ), Polar ve Stripe (ödeme; ABD). Aktarım, hizmetin sunulması ve sözleşmenin ifası için yapılır (KVKK m. 9). Yasal bir zorunluluk olursa veriler yetkili kamu kurumlarıyla paylaşılabilir. Veriler satılmaz, reklam için kullanılmaz.
• Saklama: “Ne zaman silinir?” bölümünde yazan süreler kadar; süre dolunca silinir.
• Hakların (m. 11): kişisel verilerinin işlenip işlenmediğini öğrenme, işlendiyse bilgi isteme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde ya da yurt dışında aktarıldığı kişileri bilme, eksik ya da yanlışsa düzeltilmesini, KVKK m. 7 çerçevesinde silinmesini ya da yok edilmesini ve bu işlemlerin aktarılan kişilere bildirilmesini isteme, yalnızca otomatik sistemlerle yapılan analiz sonucu aleyhine bir sonuç çıkmasına itiraz etme, kanuna aykırı işleme yüzünden zarara uğradıysan zararın giderilmesini isteme.
• Başvuru: merhaba@sezlab.dev’e yaz. Bir hediyeyle ilgiliyse bağlantısını ekle; satın almayla ilgiliyse satın alırken kullandığın e-postayı yaz. Kimliğini ya da hediyenin sana ait veya seninle ilgili olduğunu doğrulamak için ek bilgi isteyebilirim. En geç 30 gün içinde ücretsiz yanıtlarım. Yanıtı yeterli bulmazsan Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsin. AB’deysen GDPR kapsamındaki hakların da geçerlidir.

Çocuklar

Ribbon hesap açtırmaz, e-posta ya da telefon numarası istemez; kime ve kimden alanlarına takma ad da yazabilirsin. Reklam göstermez, kimseyi izlemez. Bir çocuğa hediye gönderiyorsan mesajı ve fotoğrafı onun mahremiyetini gözeterek seç.

Değişiklikler

Bu politika değişirse yeni hâli bu sayfada, yeni tarihle yayınlanır. Satış, iade ve kullanım koşulları: Ribbon koşulları.

Ribbon privacy policy and KVKK notice

Last updated: November 4, 2026

Ribbon has no accounts, cookies, analytics, ads or tracking. What you write in a gift is stored only so it can be shown to your recipient, and it’s deleted automatically when it expires: 90 days after the unlock date (or after the gift was created, if there’s no unlock date). I never see your card details; Polar takes the payment.

What’s stored when you wrap a gift

To show your gift to your recipient, the following is stored in Ribbon’s database (Cloudflare D1, on Cloudflare’s global network):

• The gift’s content: the to and from names and your message; if you added them, the voucher text, the gift code and where to use it, or the link; the photo; the paper, music-box melody, unlock time and hint you chose; the gift’s language.
• The gift’s status: when it was created, when the recipient first opened it, the recipient’s reaction and thank-you note, the number of reports, the payment status.
• Payment IDs: for a paid gift, the checkout, order and customer IDs from Polar. Your name, email and card details are not stored here.
• Management key: not the secret key that proves you own the gift, only its SHA-256 hash.

Before upload, the photo is resized and re-saved on your device; embedded details such as location (EXIF) are removed in the process and never uploaded. If you put someone else’s name, photo or personal details in a gift, it’s up to you to get their permission.

For the person who opens the gift

• You don’t need an account, a name or an email to open a gift.
• On “My gifts”, the sender sees when the gift was first opened. If you send a reaction or a thank-you note, they see those too; sending a reaction is optional.
• When you report a gift, nothing about you is collected; only the gift’s report count goes up by one.
• Gift pages are hidden from search engines, but anyone who has the link can open the gift.
• Link previews: when a gift link is shared in an app like WhatsApp, the app fetches a preview of the page. The preview shows the sender’s name (“X sent you a gift”) and the paper image; the message, the photo and what’s inside are not shown.

What stays on this device

Your browser’s local storage (localStorage) keeps the following. It isn’t a cookie, and it doesn’t leave your device except as described below:

• your language and sound preferences;
• if you wrapped gifts: the list of gifts you wrapped on this device (with the recipient’s name and paper) and each one’s secret management key (for My gifts), the draft of an unfinished gift (including its photo; deleted once the gift is wrapped), and your pack code if you have one.

The management key is sent to the server only to prove you own the gift: when you wrap it, check its status or delete it. The pack code is passed to Polar to check the remaining uses when you use it. Clearing this site’s data in your browser removes all of it, but then you can no longer manage your gifts from “My gifts”.

Cookies, analytics and tracking

None. Ribbon uses no cookies, analytics tools, ads, tracking pixels or fingerprinting. Everything, fonts included, loads from Ribbon’s own server; no requests go to Google or any other third party.

To prevent abuse, I limit the number of attempts per day. For this, not your IP address itself but a SHA-256 hash of it, taken with a secret salt and that day’s date, is stored. The hash changes every day, hashes older than a day are deleted every night, and they’re used for nothing else.

Cloudflare, which serves the site, sees your IP address with every connection and processes it under its own policy to keep the site secure: cloudflare.com/privacypolicy.

Payment

Premium gifts and packs are sold through Polar. Polar Software Inc. (USA) is the merchant of record, and payments are processed by Stripe. The name, email and country you enter at checkout go to Polar, and your card details go to Stripe; I never see your card details. The checkout page is on Polar’s site, where Polar’s own privacy and cookie rules apply: polar.sh/legal/privacy.

From Polar, only the checkout, order and customer IDs are written to Ribbon’s database; your email isn’t stored. In Polar’s seller dashboard I can see the sale record (name, email, country, product, amount, date), and I use it only for refunds and support. I don’t send marketing emails. Receipts and invoices come from Polar.

When is it deleted?

• Gifts (including the photo, reaction and thank-you note): deleted automatically in the nightly cleanup 90 days after the unlock date, or after the gift was created if it has no unlock date.
• Unpaid drafts: deleted after 2 days.
• Whenever you like: you can delete your gift from My gifts; the gift and its photo are deleted right away and the link stops working.
• IP hashes: those older than a day are deleted every night.
• Payment IDs (checkout, order and customer IDs): kept for 30 more days after the gift is deleted so refunds can be matched, then deleted automatically. Payment records needed for accounting are kept by Polar under its own policy.
• Emails you send me: up to 2 years after the matter is closed.

Deleted records may stay in Cloudflare’s database restore history for up to 30 more days; after that they’re deleted from there automatically too.

Who is responsible, and your rights

Under Article 10 of Türkiye’s Personal Data Protection Law No. 6698 (KVKK):

• Controller: Sezer Kuşku (Sezlab), Istanbul, Türkiye · merhaba@sezlab.dev. For what you enter at checkout, Polar is also a controller in its own right.
• Data: the gift’s content (to and from names, message, voucher, gift code or link text, photo, paper, melody, unlock time and hint, language); creation and first-open times; the recipient’s reaction and thank-you note; the report count; payment status and the IDs from Polar; the sale record in Polar’s dashboard (name, email, country, product, amount, date); the daily hash of your IP address; your messages if you write to me.
• Purposes and legal basis: wrapping, storing and showing the gift to the recipient, passing the reaction back to the sender, payment, pack codes, refunds and support (entering into and performing a contract, Art. 5(2)(c)); legal obligations such as income and tax records and requests from the authorities (Art. 5(2)(ç)); preventing abuse, reviewing reports and keeping the service secure (legitimate interest, Art. 5(2)(f)).
• How it’s collected: electronically, through the gift form and the recipient page on Ribbon, Polar’s checkout page and email; the IP hash automatically.
• Recipients: Cloudflare (hosting and database; US-based, global network), Polar and Stripe (payments; USA). These transfers are made to provide the service and perform the contract (KVKK Art. 9). If required by law, data may be shared with the competent public authorities. Data is never sold or used for ads.
• Retention: for the periods in “When is it deleted?” above; after that, data is deleted.
• Your rights (Art. 11): to learn whether your personal data is processed and, if so, to request information about it; to learn the purpose of processing and whether it’s used accordingly; to know the third parties it was transferred to in Türkiye or abroad; to have it corrected if it’s incomplete or wrong, deleted or destroyed under Art. 7, and to have these actions notified to those it was transferred to; to object to an outcome against you that results solely from automated analysis; and to claim compensation if you suffer damage from unlawful processing.
• How to apply: write to merhaba@sezlab.dev. If it’s about a gift, include its link; if it’s about a purchase, include the email you bought with. I may ask for more information to confirm your identity, or that the gift is yours or about you. I reply free of charge within 30 days at the latest. If you’re not satisfied with the answer, you can complain to Türkiye’s Personal Data Protection Board. If you’re in the EU, your rights under the GDPR also apply.

Children

Ribbon doesn’t make you open an account and doesn’t ask for an email or phone number; you can use nicknames in the to and from fields. It shows no ads and tracks no one. If you’re sending a gift to a child, choose the message and photo with their privacy in mind.

Changes

If this policy changes, the new version is published here with a new date. Terms of sale, refunds and use: Ribbon terms.