Takasla web, Android ve iOS uygulaması · Hesap ve veri silme · Destek
MAHMUT TARI MARFEN MÜHENDİSLİK DANIŞMANLIK HİZMETLERİ, Şehitler Mah. 416. Sk. No: 2 İç Kapı No: 1 Gölcük / KOCAELİ. Bu metin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.10 ve AB Genel Veri Koruma Tüzüğü (GDPR) m.13 uyarınca hazırlanmıştır.
Kimlik ve iletişim: ad ya da takma ad, isteğe bağlı yasal ad, e-posta, telefon, doğum yılı.
Sosyal hesapla giriş (yalnız seçersen; Google, Apple, Facebook, X, TikTok ya da LinkedIn): o hesabın kimliği (sağlayıcının hesabına verdiği değişmeyen numara), sağlayıcının verdiği e-posta adresi ya da kullanıcı adın (X'te @kullanıcı adı, TikTok'ta görünen ad) ve adın. Ad yalnız kayıt formunu önceden doldurmak için kullanılır; değiştirebilirsin. X ve TikTok e-posta vermez: e-postanı formda yazarsın ve kodla doğrulanır. Parolan, rehberin, gönderilerin, arkadaş listen, fotoğrafın ya da başka hesap verilerin alınmaz; sağlayıcının verdiği erişim belirteci saklanmaz (gerekirse yalnız bu bilgileri bir kez almak için kullanılır). Apple ile girişte Apple'ın verdiği yenileme belirteci şifreli saklanır; yalnız hesabını silince ya da Apple bağlantısını kaldırınca Apple'daki iznin geri çekilmesi için kullanılır.
Adres: yalnız gönderi için; sunucuda şifrelenmiş (AES-256-GCM) olarak saklanır ve yalnız seçtiğin takas için kargo firmasına ya da açıkça paylaşmayı seçersen karşı tarafa iletilir.
İşlem verisi: ilanlar, fotoğraflar (konum bilgisi dahil EXIF verileri cihazında silinir), teklifler, takas sözleşmeleri, mesajlar, değerlendirmeler, gönderi ve takip bilgileri.
Takas kredisi: kredi hareketlerin (kayıt ve davet hediyesi, davet ödülü, satın alma, takas ve iade; tarih ve bakiye), kredi siparişlerin (adet, tutar, tarih, durum ve iyzico ödeme numarası) ve kimin davetiyle geldiğin. Kart bilgilerini iyzico işler; Platform'a ulaşmaz, saklanmaz. Davet edene yalnız sayılar gösterilir (kaç kişi katıldı, kaçının ilk takası bekleniyor, kaç ödül verildi); kimin katıldığı gösterilmez.
Yapay zekâ asistanları: oluşturduğun API anahtarlarının adı, izinleri ve oluşturma, son kullanım ve bitiş tarihleri. Anahtarın kendisi saklanmaz, yalnız geri döndürülemez özeti tutulur. Anahtarla yapılan istekler erişim kaydına (tarih, IP, yol) yazılır; asistanla açılan ilan bu şekilde işaretlenir.
Uygulama içi yapay zekâ asistanı (sohbet): yazdığın iletiler ve eklediğin fotoğraflar yanıt üretmek için Anthropic'e gönderilir. Takasla sohbet içeriğini saklamaz; yalnız günlük ileti sayısını tutar. Sohbet geçmişi yalnız tarayıcının o sekmesinde durur.
İşlem güvenliği: IP adresi, oturum ve erişim kayıtları, başarısız giriş sayısı.
Telefon tekilliği: doğruladığın numaranın anahtarlı özeti (HMAC). "Her kişi tek hesap" denetimi bu özetle yapılır; numara bu amaçla açık metin olarak karşılaştırılmaz ve hiçbir kullanıcıya gösterilmez.
Mesaj taraması: yalnız sonuç tutulur (günlük toplu sayaç; riskli mesaj gönderen hesabın son 24 saatteki isabetlerinin zamanı ve mesaj kimliği). Mesaj içeriği bu amaçla ayrıca saklanmaz.
Bildirim tercihlerin (hangi bildirim gruplarını aldığın) ve yalnız açarsan günlük e-posta özetinin açılma zamanı.
Anlık bildirim (yalnız bir cihazda açarsan): tarayıcının verdiği bildirim adresi ve şifreleme anahtarları, iletici (Google, Apple, Mozilla ya da Microsoft) ve tarih; Takasla iOS uygulamasında bunların yerine Apple'ın uygulamaya verdiği bildirim belirteci. İletiye yalnız kısa başlık ve uygulamadaki sayfa adresi konur; mesaj içeriği, ad ya da adres konmaz.
Kayıtlı aramaların ve arıyorum ilanların (ilgi alanın hakkında bilgi verir): arama ifadesi, süzgeçler, sana bildirilen ilanların kimlikleri (en çok 200) ve bildirim sayısı. Arıyorum ilanları herkese açıktır; sağlık bilgisi gibi özel nitelikli veri yazmaman istenir.
Hediye talepleri: isteğe bağlı talep notu (sağlık, engellilik ya da gelir bilgisi yazmaman istenir), "yeniden satmayacağım" beyanı ve zamanı; notu yalnız veren görür. Hediyeyi kimin aldığı herkese açıklanmaz. Kötüye kullanımı önlemek için son 30 gündeki talep zamanların tutulur. Teşekkür kartları yalnız iki kişi arasındadır; veri dökümüne dahildir, hesap silinince silinir.
Etkinlik: uygulamayı en son ne zaman açtığın (saatlik) ve son 90 günde konuşmalarda ilk yanıtına kadar geçen tipik süre. Başkalarına yalnız kaba düzey gösterilir ("bu ay aktif / uzun süredir yok", "~3 saat / ~1 gün / 1 günden uzun"); tam zaman hiç gösterilmez, engellediğin ya da seni engelleyen kişiye hiç gösterilmez ve Ayarlar'dan kapatılabilir.
Ara verme: dönüş tarihin yalnız sana gösterilir; başkaları yalnız "şu an teklif almıyor" ibaresini görür.
Elden buluşma: seçtiğin yer türü, yazdığın yer, saat, kabul ve "yoldayım / vardım" durumu (yalnız karşı tarafa). Konumun hiçbir aşamada alınmaz. Takvim dosyasında karşı tarafın adı ya da iletişim bilgisi yoktur. "Gelmedi" bildirimi moderasyona gider ve karşı tarafa gösterilmez; bildirilen kişinin bu sayısı herkese kapalıdır, yalnız moderatör görür. Hesabını silersen önerdiğin yerin metni silinir.
Teklif kuralların (ilanında herkese açık) ve ret sırasında seçtiğin hazır neden (yalnız teklif sahibine).
Beyan çiplerin (ilanında herkese açık, sözleşmeye girer).
IMEI: telefon ve tablet ilanında girersen numaranın tamamı şifrelenmiş (AES-256-GCM) saklanır; ilanda ve sözleşmede yalnız son 4 hane görünür. Amacı yalnız bir uyuşmazlıkta eşyanın aynı cihaz olduğunun gösterilmesidir; veri dökümünde açık yazılır.
Kopya fotoğraf özeti: yüklediğin her fotoğrafın cihazında hesaplanan 64 bitlik özeti (fark özeti, dHash). Kimlik tespitinde kullanılmaz; yalnız başka bir ilandaki fotoğrafın aynısı yüklendiğinde moderasyon işareti üretir.
Bildirimlerin: yaptığın bildirimin konusu, nedeni, tarihi ve aşaması (alındı, inceleniyor, karar).
Pazarlama tercihi (yalnız izin verirsen).
Üyelik ve takas sözleşmelerinin kurulması ve ifası, gönderi ve uyuşmazlık süreçleri: KVKK m.5/2-c, GDPR m.6/1-b.
Takas kredisi ve davet programı (kredi hareketleri, siparişler, ödeme): sözleşmenin ifası, KVKK m.5/2-c, GDPR m.6/1-b; satışlara ilişkin muhasebe ve vergi kayıtları: hukuki yükümlülük, KVKK m.5/2-ç, GDPR m.6/1-c.
Yapay zekâ asistanı erişimi (anahtar kayıtları ve anahtarla yapılan işlemler): sözleşmenin ifası, KVKK m.5/2-c, GDPR m.6/1-b; güvenlik ve kötüye kullanım kayıtları: meşru menfaat, KVKK m.5/2-f, GDPR m.6/1-f.
Yapay zekâ asistanı (sohbet): açık rıza, KVKK m.5/1, GDPR m.6/1-a; yurt dışına aktarım KVKK m.9'daki uygun güvencelerle (standart sözleşme). Rızanı Ayarlar › Gizlilik'ten istediğin an geri alabilirsin; geri alınca asistan çalışmaz.
Sosyal hesapla giriş: üyeliğin kurulması ve hesabına girişin sağlanması, KVKK m.5/2-c, GDPR m.6/1-b. Bağlı hesapları Ayarlar > Doğrulama'dan kaldırabilirsin (son giriş yolunu kaldırmadan önce parola belirlemen ya da başka bir hesap bağlaman gerekir).
Trafik bilgisinin saklanması (5651 sayılı Kanun m.5), vergi ve kamu kurumlarına bildirimler: KVKK m.5/2-ç, GDPR m.6/1-c.
Dolandırıcılığın önlenmesi (mesajların otomatik taranması dahil), yasaklı ürün taraması, "her kişi tek hesap" denetimi, güven puanı, platform güvenliği: KVKK m.5/2-f (meşru menfaat), GDPR m.6/1-f.
Kayıtlı arama uyarısı ve arıyorum ilanı eşleştirmesi: senin kurduğun süzgecin uygulanması, KVKK m.5/2-c, GDPR m.6/1-b; yalnız uygulama içi bildirim, e-posta ya da reklam yok. Tazelik ("hâlâ duruyor mu?") ve etkinlik bilgisi: ilanların güncel kalması ve karşı tarafın beklentisini ayarlayabilmesi, KVKK m.5/2-f, GDPR m.6/1-f; etkinlik bilgisini kapatabilirsin.
Günlük e-posta özeti: yalnız Ayarlar > Bildirimler'den açarsan; yalnız kendi teklif, takas, mesaj ve süre bildirimlerinden okunmamış olanların sayısını içerir, başka kullanıcıların adını, ilanını ya da tanıtım içermez. Dilediğin an kapatabilirsin.
Anlık bildirim: yalnız bir cihazda açarsan, seçtiğin bildirimlerin o cihaza iletilmesi, KVKK m.5/2-c, GDPR m.6/1-b. Ayarlar > Bildirimler'den ya da tarayıcının (iOS uygulamasında iPhone'un) bildirim izninden kapatabilirsin; çıkış yapınca o cihazın kaydı silinir.
Pazarlama iletileri: açık rıza (KVKK m.5/1, GDPR m.6/1-a); dilediğin an geri alabilirsin.
Takastaki karşı taraf: adın, şehrin ve (yalnız sen paylaşırsan) adresin.
Kargo firmaları ve kargo entegrasyon sağlayıcıları: gönderi için alıcı ve gönderici adres ve telefonu.
Lisanslı ödeme kuruluşu iyzico (İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.): kredi satın alırken adın, e-postan, şehrin, ülken, IP adresin ve sipariş tutarı (kart bilgilerini doğrudan iyzico'nun sayfasına girersin); değer farkı platform üzerinden ödenirse o ödeme.
Senin bağladığın yapay zekâ asistanı (ör. OpenAI, Anthropic): yalnız verdiğin izinler kapsamında ve senin talimatınla. Bu şirketlerin bir kısmı yurt dışındadır ve verileri kendi gizlilik koşullarına göre işler; anahtarı iptal ettiğinde erişim hemen biter.
Anthropic PBC (ABD): uygulama içi asistanı kullanırsan iletilerin ve fotoğrafların, yanıt üretmek için. Anthropic API verilerini model eğitiminde kullanmaz ve genelde 30 gün içinde siler (Anthropic'in veri saklama politikası).
Barındırma, e-posta ve SMS hizmet sağlayıcıları; yetkili kamu kurum ve kuruluşları.
Anlık bildirim ileticileri: Android ve Chrome'da Google (Firebase Cloud Messaging), iPhone'da Apple, Firefox'ta Mozilla, Edge'de Microsoft. İleti cihazının anahtarıyla şifrelenir; iletici içeriği göremez, yalnız cihazına teslim eder. Takasla iOS uygulamasında bildirimi Apple (Apple Push Notification service) taşır; bu ileti cihaz anahtarıyla şifrelenmez, bu yüzden içinde yalnız kısa başlık ve açılacak sayfa vardır.
Apple (yalnız Apple ile giriş yaptıysan): hesabını silince ya da Apple bağlantısını kaldırınca, Apple'daki iznin geri çekilmesi için şifreli yenileme belirteci Apple'a gönderilir. Öteki giriş sağlayıcılarına senin hakkında veri gönderilmez; seçtiğin sağlayıcı Takasla'ya giriş yaptığını kendi gizlilik politikası kapsamında bilir.
Yurt dışına aktarım: Uluslararası takasta karşı tarafa ve yabancı kargo firmalarına aktarım gerekir. Bu aktarımlar KVKK m.9 uyarınca Kurul'un standart sözleşmeleri ya da m.9/6 kapsamındaki istisnalar, AB kullanıcıları bakımından GDPR m.46 standart sözleşme maddeleri ile yapılır. Kayıt sırasında verdiğin yurt dışı aktarım iznini Ayarlar'dan değiştirebilirsin.
Veriler uygulama ve web sitesi üzerinden elektronik ortamda, doğrudan senden, karşı taraf kullanıcıdan, kargo firmasından (takip bilgisi) ya da sosyal hesapla girişi seçersen o sağlayıcıdan (Google, Apple, Facebook, X, TikTok ya da LinkedIn; hesap kimliği, e-posta ya da kullanıcı adı, ad) toplanır. Sağlayıcıda hangi bilgilerin paylaşılacağını sen onaylarsın.
Anlık bildirim kaydı: o cihazda açık kaldığı ve oturumun sürdüğü sürece; kapatınca, çıkış yapınca ya da hesabın silinince hemen silinir.
Hesap verileri: hesabın açık olduğu sürece. Hesabını silersen zorunlu olmayan veriler 30 gün içinde silinir ya da anonimleştirilir.
Takas kayıtları, sözleşmeler ve yazışmalar: ayıp davası zamanaşımı gereği teslimden itibaren en az 2 yıl (TBK m.231); bu sürede karşı tarafın ekranında adın "silinmiş kullanıcı" olarak görünür.
Erişim kayıtları (trafik bilgisi): 2 yıl (5651 sayılı Kanun m.5).
Kredi defteri ve siparişler: hesap açık olduğu sürece; satışlara ilişkin kayıtlar vergi mevzuatı gereği 10 yıl (VUK m.253, TTK m.82). Kimin davetiyle geldiğin hesabınla birlikte silinir.
API anahtarı kayıtları: hesap açık olduğu sürece; hesabını silersen hemen silinir.
Yapay zekâ sohbeti: içerik Takasla'da saklanmaz; günlük ileti sayısı ertesi gün sıfırlanır.
Telefon özeti: hesap açık olduğu sürece. Hesabını silersen hemen silinir; yalnız seni başka bir kullanıcı engellemişse, bu engelin aynı numarayla açılan yeni hesapta da sürmesi amacıyla 12 ay saklanır ve sonra silinir.
Mesaj taraması sayacı: kişiye bağlı isabet kaydı 24 saat; günlük toplu sayaç kimseyi göstermez.
Hediye talebi: talep notu ilan kapanınca (hediye verildi, ilan silindi ya da kaldırıldı) ve talep geri çevrilince silinir; talebin durum kaydı ilan kapandıktan 30 gün sonra silinir. Geri çektiğin talep hemen silinir; ilan kapandıktan sonra kapanmış talebini kendin de silebilirsin. Talep zamanların 30 gün tutulur.
Kayıtlı arama: 180 gün; sonra "hâlâ istiyor musun?" diye sorulur, 14 gün içinde yanıt gelmezse silinir. Arıyorum ilanının uyarısı ilanla birlikte (en çok 60 gün) kalkar. Hesabını silince hepsi hemen silinir.
IMEI: eşya platformda takaslandıysa takasın tamamlanmasından 2 yıl sonra (gizli ayıp süresi, TBK m.231) silinir; ilanı silersen, eşyayı "başka yerde takaslandı" diye kapatırsan ya da hesabını silersen hemen silinir. Son 4 hane sözleşme kaydında kalır.
Kopya fotoğraf özeti: fotoğrafla birlikte; ilanı ya da hesabını silince hemen silinir.
Bağlı hesabın kimliği ve e-postası ya da kullanıcı adı (Apple'da şifreli yenileme belirteci de): bağlantı sürdükçe; bağlantıyı kaldırırsan ya da hesabını silersen hemen silinir. Yarım kalan sosyal girişler en çok 10 dakika, tamamlanmamış kayıtlar en çok 30 dakika tutulur.
Süresi dolan veriler 6 ayı aşmayan aralıklarla yapılan periyodik imhada silinir.
İlanlar yasaklı ürün listesine göre, mesajlar dolandırıcılık kalıplarına göre otomatik olarak taranır; güven puanı bir formülle hesaplanır. Mesaj taraması engellemez, alıcıya uyarı gösterir. 24 saatte 3 riskli mesajda uygulanan 24 saatlik önlem (yeni konuşma, teklif ve çember önerisi açamama, hediye isteyememe ya da verememe, "bende var" yanıtı verememe; süren konuşmalar açık kalır) geçicidir, gerekçesiyle bildirilir ve bir moderatör inceler. İçerik kaldırma ve hesap askıya alma kararlarını her zaman bir insan verir.
KVKK m.11 uyarınca: verinin işlenip işlenmediğini öğrenme, bilgi isteme, amaca uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltme, silme ya da yok edilmesini isteme, bu işlemlerin aktarılanlara bildirilmesini isteme, münhasıran otomatik işlemeye itiraz etme ve zararın giderilmesini isteme.
GDPR m.15-22 uyarınca ayrıca veri taşınabilirliği ve işlemenin kısıtlanması hakların vardır.
Verilerini Ayarlar > Gizlilik > "Verilerimi indir" ile makinece okunur biçimde alabilir, hesabını aynı bölümden silebilirsin. Diğer başvurular en geç 30 gün içinde ücretsiz sonuçlandırılır. Başvurunun sonucundan memnun kalmazsan Kişisel Verileri Koruma Kurulu'na (AB'de ülkenin denetim makamına) şikâyet edebilirsin.
Yalnız oturumunu açık tutan zorunlu bir çerez kullanılır. Sosyal hesapla girişte, girişi başlatan tarayıcıyı tanımak için en çok 30 dakika süren ikinci bir zorunlu çerez kullanılır. Reklam, analitik ya da üçüncü taraf takip çerezi yoktur; yazı tipleri de kendi sunucumuzdan yüklenir.
MAHMUT TARI MARFEN MÜHENDİSLİK DANIŞMANLIK HİZMETLERİ, Şehitler Mah. 416. Sk. No: 2 İç Kapı No: 1 Gölcük / KOCAELİ. This notice is given under Art. 13 GDPR and Art. 10 of the Turkish Personal Data Protection Law No. 6698 (KVKK).
Identity and contact (name or nickname, optional legal name, email, phone, birth year); addresses (encrypted at rest, shared only with the carrier for a swap you choose, or with the other party if you decide to share); listings and photos (EXIF including location removed on your device); offers, contracts, messages, reviews, shipments; security data (IP address, sessions, access logs); a keyed hash (HMAC) of your verified phone number for the one-account-per-person check (the number itself is never compared in clear or shown to anyone); your notification settings and, only if you turn it on, when you opted in to the daily email summary; results of message screening only (daily aggregate counters and, for 24 hours, the time and message ID of flagged messages; message content is not stored again for this purpose); your saved searches and wanted posts (which reveal your interests: search terms, filters, IDs of up to 200 listings you were notified about); activity (when you last opened the app, hourly, and your typical first-reply time over the last 90 days), shown to others only as a rough level, never as an exact time, never to people you blocked or who blocked you, and switchable off in Settings; your break end date, shown only to you; hand-over meetups (the type of place you chose, the place you typed, the time, acceptance and "on my way / I'm here" status, shown only to the other party; your location is never collected; calendar files contain no names or contact details; a no-show report goes to moderation, is not shown to the other party, and the count is visible only to moderators; the place text you proposed is deleted with your account); your offer rules (public on your listing) and a decline reason you pick (shown only to the offer's sender); if you choose to sign in with a social account (Google, Apple, Facebook, X, TikTok or LinkedIn), that account's ID (the permanent number the provider gives your account), the email address or username the provider gives us (your @username on X, your display name on TikTok) and your name (the name only pre-fills the sign-up form and you can change it). X and TikTok give no email: you type it in the form and it is verified with a code. We never receive your password, contacts, posts, friends list, photo or other account data, and the provider's access token is not stored (where needed it is used once to fetch these details). With Sign in with Apple, the refresh token Apple issues is stored encrypted and used only to revoke your Apple consent when you delete your account or disconnect Apple. Push notifications (only if you turn them on for a device): the push address and encryption keys your browser provides, the delivering service (Google, Apple, Mozilla or Microsoft) and dates, or, in the Takasla iOS app, the notification token Apple gives the app; a notification carries only a short title and the page to open, never message text, names or addresses.
Your credit activity (sign-up and invite gifts, invite rewards, purchases, swaps and refunds, with dates and balance), your credit orders (quantity, amount, date, status and iyzico payment ID) and who invited you. iyzico processes your card details; they never reach the Platform. Inviters only see counts (how many joined, how many have yet to make a first swap, how many rewards), not who. Legal bases: performing the contract (Art. 6(1)(b) GDPR) and, for sales records, legal obligation (Art. 6(1)(c)). When you buy credits, the licensed payment institution iyzico (İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.) receives your name, email, city, country, IP address and the order amount. Credit records are kept while your account exists; sales records for 10 years for tax purposes. Who invited you is deleted with your account.
The names, permissions and creation, last-use and expiry dates of the API keys you create; the key itself is never stored, only an irreversible hash. Requests made with a key are written to the access log (date, IP, path), and listings created by an assistant are marked as such. The assistant you connect (e.g. OpenAI, Anthropic) receives your account data only within the permissions you grant and on your instruction; some of these companies are abroad and process the data under their own privacy terms, and revoking the key ends access at once. Legal bases: performing the contract (Art. 6(1)(b) GDPR) and, for security logs, legitimate interests (Art. 6(1)(f)). Key records are kept while your account exists.
If you use the in-app assistant, the messages you write and the photos you add are sent to Anthropic PBC (USA) to generate replies. Takasla does not store the chat, only the number of messages per day; the history stays in that browser tab. Anthropic does not use API data to train its models and usually deletes it within 30 days (Anthropic's data retention policy). Legal basis: your explicit consent (Art. 6(1)(a) GDPR); the transfer to the USA relies on appropriate safeguards (standard contractual clauses). You can withdraw your consent at any time in Settings › Privacy; the assistant then stops working.
Your declaration chips (public on the listing, part of the contract). If you enter an IMEI for a phone or tablet, the full number is stored encrypted (AES-256-GCM); only the last 4 digits appear on the listing and in the contract. Its only purpose is to show in a dispute that the device is the same one; your data export shows it in clear. It is deleted 2 years after a completed swap on the platform (hidden-defect period, Art. 231 TCO), or immediately if you delete the listing, close it as swapped elsewhere or delete your account. For each photo, a 64-bit difference hash (dHash) computed on your device; it is not used to identify anyone and only raises a moderation flag when the same photo appears in another listing; it is deleted with the listing or account. For reports you make: the subject, reason, date and stage (received, under review, decided).
For gift requests we process your optional note (please do not write about health, disability or income), your "I won't resell it" declaration and its time; only the giver sees the note. Who received a gift is never made public. To prevent abuse we keep the times of your requests from the last 30 days. Thank-you cards stay between the two people; they are included in your data export and deleted with your account.
Performing membership and swap contracts (Art. 6(1)(b) GDPR); legal obligations such as keeping access logs and tax reporting (Art. 6(1)(c)); fraud prevention (including automated message screening), prohibited-item screening, the one-account-per-person check and trust scores (legitimate interests, Art. 6(1)(f)); the daily email summary only if you turn it on under Settings > Notifications (it contains only the number of your own unread offer, swap, message and deadline notifications, never other users' names, listings or promotions); saved-search alerts and wanted-post matching as applying the filter you set up (Art. 6(1)(b); in-app only, no email or advertising); freshness questions and activity information to keep listings current and set expectations (Art. 6(1)(f); you can switch activity off); marketing only with your consent (Art. 6(1)(a)); signing in with a social account to set up your membership and let you log in (Art. 6(1)(b)), which you can disconnect under Settings > Verification once you have set a password; push notifications only if you turn them on for a device, to deliver the notifications you chose (Art. 6(1)(b)); switch them off under Settings > Notifications or in your browser (in the iOS app, in your iPhone's settings), and logging out removes that device.
The other party to your swap, carriers and shipping integrators, the licensed payment institution (only for platform balancing payments), hosting, email and SMS providers, push services (Google Firebase Cloud Messaging on Android and Chrome, Apple on iPhone, Mozilla on Firefox, Microsoft on Edge; the message is encrypted with your device's key, so they cannot read it; in the Takasla iOS app Apple Push Notification service delivers notifications without device-key encryption, so they carry only a short title and the page to open), Apple (only if you signed in with Apple: the encrypted refresh token is sent to Apple to revoke your consent when you delete your account or disconnect Apple; no data about you is sent to the other sign-in providers, which know you signed in to Takasla under their own privacy policies), and competent authorities. Transfers outside the EU/Türkiye use standard contractual clauses (Art. 46 GDPR) or the standard contracts and exceptions under Art. 9 KVKK.
Account data while your account exists; non-essential data is deleted or anonymised within 30 days of account deletion. Swap records, contracts and messages at least 2 years after delivery (limitation period for defect claims). Access logs 2 years. Phone hash: while your account exists; deleted with your account, unless another user had blocked you, in which case it is kept for 12 months only so that the block also applies to a new account with the same number. Screening hits linked to an account: 24 hours. Gift requests: the note is deleted when the listing closes (gift handed over, listing deleted or removed) or the request is turned down; the request's status record is deleted 30 days after the listing closes. A withdrawn request is deleted at once, and once the listing has closed you can delete a closed request yourself. The times of your requests are kept for 30 days. Saved searches: 180 days, then you are asked to confirm and they are deleted if not confirmed within 14 days; a wanted post's alert ends with the post (at most 60 days); all are deleted immediately with your account. Linked account ID and email or username (with Apple, also the encrypted refresh token): while the link exists; deleted at once if you disconnect it or delete your account. Unfinished social sign-ins are kept for at most 10 minutes and unfinished sign-ups for at most 30 minutes. A device's push registration: while it is on and your session lasts; deleted at once when you switch it off, log out or delete your account. Expired data is destroyed at intervals of no more than 6 months.
Listings are screened against the prohibited items list and messages against scam patterns; trust scores are calculated by a formula. Message screening never blocks; it warns the recipient. The 24-hour pause after 3 flagged messages in 24 hours (no new chats, offers or circle proposals, no gift requests or gifts, no "I have it" answers; ongoing chats stay open) is temporary, comes with reasons and is reviewed by a moderator. Decisions to remove content or suspend accounts are always taken by a person.
Access, rectification, erasure, restriction, portability and objection (Arts. 15-22 GDPR; Art. 11 KVKK). Download your data or delete your account under Settings > Privacy. Other requests are answered free of charge within 30 days. You may lodge a complaint with your supervisory authority.
Only one strictly necessary session cookie. When you sign in with a social account, a second strictly necessary cookie recognises the browser that started the sign-in, for at most 30 minutes. No advertising, analytics or third-party tracking; fonts are served from our own server.