Zarf Gizlilik Politikası

Son güncelleme: 15 Ekim 2026

Bu politika, Zarf tarafından geliştirilen Zarf Android ve iOS uygulamasının (iki platformda da com.zarfapp.zarf) hangi bilgileri neden işlediğini açıklar. Zarf, 18 yaş ve üzeri kullanıcılar için tasarlanmıştır. Sorularınız için: akelsanyazilim@gmail.com

Sunucularımızda işlenen bilgiler

Hesap

Zarf'a e-posta adresinize gönderilen bir giriş bağlantısıyla girersiniz. Hesabınız için adınız, e-posta adresiniz ve size atanan kullanıcı kimliği saklanır. E-posta adresinizi bilen Zarf kullanıcıları sizi bulabilir ve adınızı görebilir; size dosya gönderebilmeleri için bu gereklidir.

Dosya gönderimleri

Dosya içerikleri sunucularımıza yüklenmez (ayrıntılar aşağıda). Bir gönderimi başlatmak için sunucularımızda şu kayıt oluşturulur:

Gönderenin adı, e-posta adresi ve kullanıcı kimliği; alıcının adı ve kullanıcı kimliği.
Dosyanın adı, boyutu ve türü; varsa klasör adı.
Gönderimin zamanı ve durumu.
İki cihazın doğrudan bağlanabilmesi için gereken teknik bağlantı bilgileri; bunlar cihazların IP adreslerini içerebilir.

Alıcı, gönderenin adını ve e-posta adresini görür. Bu kayıtlar gönderen veya alıcı hesabını silene kadar saklanır.

Diğer kayıtlar

Zarf Rehberi: Rehberinize eklediğiniz Zarf kullanıcılarının adı ve e-posta adresi.
Bildirimler: Cihazınızın bildirim belirteci, platformu, dil ve bildirim tercihleri. Bildirimler Firebase Cloud Messaging üzerinden gönderilir ve gönderenin adını içerir. iOS'ta bildirimler Firebase Cloud Messaging aracılığıyla Apple'ın bildirim servisi (APNs) üzerinden iletilir.
Paket ve abonelik: Paketiniz, gönderim sayacınız ve Google Play'den alınan abonelik bilgileri (ürün, durum, dönem ve satın alma belirteci). Kart veya ödeme bilgileriniz bize ulaşmaz; ödemeyi Google Play işler. iOS'ta satın almalar ve ödemeler, üçüncü taraf bir abonelik hizmeti kullanılmadan doğrudan Apple tarafından App Store uygulama içi satın alma (In-App Purchase) ile işlenir:
- Apple'ın işledikleri: ödeme ve kart bilgileri, Apple hesabınız ve satın alma kaydı (Apple'ın kendi politikalarına göre). Satın almayı Zarf hesabınızla eşleştirmek için Apple'a kullanıcı kimliğinizden türetilen bir kimlik (UUID, appAccountToken) iletilir; adınız ve e-posta adresiniz iletilmez.
- Sunucularımızın işledikleri: uygulama sunucularımıza yalnızca App Store işlem kimliğini iletir. Sunucularımız aboneliği Apple'ın App Store Server API'si üzerinden sorgular ve şunları saklar: işlem kimliği, ürün, abonelik durumu, dönem başlangıcı ve bitişi, yenileme durumu, ödeme sorunu bilgisi ve test (sandbox) satın alması olup olmadığı. Apple'ın gönderdiği abonelik bildirimleri yalnızca ilgili aboneliği Apple'dan yeniden sorgulamak için kullanılır.
Ücretsiz deneme: Denemenin tekrar kullanılmasını önlemek için e-posta adresinizin tek yönlü özeti (SHA-256) ve deneme bilgileri.
Davet kodu: Bir davet koduyla katıldıysanız kod ve kodun sahibi kaydedilir.
Davet e-postaları: Zarf'ta kayıtlı olmayan birini davet ettiğinizde, o kişinin e-posta adresi yalnızca daveti iletmek için e-posta hizmet sağlayıcımız Resend'e gönderilir; davette adınız görünür. Kötüye kullanımı önlemek için günlük sınır sayaçları tutulur. Bu sayaçlar kullanıcı kimliğinizi ve davet edilen adresle IP adresinin tek yönlü özetlerini içerir; e-posta veya IP adresinin kendisini içermez.

Dosya aktarımı ve şifreleme

Dosyalar iki cihaz arasında WebRTC ile doğrudan (P2P) aktarılır. Bağlantı kurulurken cihazlar IP adreslerini öğrenmek için Google'ın STUN sunucularını kullanır; dosya içerikleri bu sunuculardan veya sunucularımızdan geçmez.
Aktarım iki katmanda şifrelenir: WebRTC'nin DTLS şifrelemesi ve bunun üzerine, iki cihaz arasında kurulan tek kullanımlık anahtarla (X25519, HKDF-SHA256) AES-256-GCM. Anahtar yalnızca iki cihazın belleğinde bulunur. İki taraf, uygulamanın gösterdiği güvenlik kodunu karşılaştırarak bağlantıyı doğrulayabilir.
Gizli Kasa'daki dosyalar telefonunuzda AES-256-GCM ile şifrelenir; anahtar cihazın güvenli anahtar deposunda tutulur. Kasa PIN'i ve kurtarma anahtarının tek yönlü özeti de bu depoda saklanır ve cihazdan çıkmaz. iOS'ta bu depo Anahtar Zinciri'dir (Keychain); şifreleme anahtarı yalnızca bu cihazda kalacak şekilde saklanır. iOS, uygulama kaldırıldıktan sonra da Anahtar Zinciri kayıtlarını cihazda tutabilir.

Google Drive yedeklemesi (isteğe bağlı)

Yedeklemeyi açarsanız, Google hesabınızla Drive'a erişim izni verirsiniz. Zarf yalnızca kendi oluşturduğu dosyalara erişebilir. Fotoğraf ve videolarınız telefonunuzdan doğrudan kendi Drive hesabınıza yüklenir, sunucularımızdan geçmez. Normal fotoğraf ve videolar Drive'a oldukları gibi yüklenir. Gizli Kasa dosyaları ise şifreli yüklenir ve yalnızca sizin kurtarma anahtarınızla açılabilir.

Yalnızca cihazınızda işlenen bilgiler

Kamera ve mikrofon: Uygulama içinde fotoğraf ve sesli video çekmek için. Çekimler telefonunuzda saklanır.
Fotoğraflar, videolar, sesler ve dosyalar: Dosyaları uygulamaya eklemek ve düzenlemek için.
Telefon rehberi: Bir klasörü rehberinizdeki bir kişiyle eşleştirmek istediğinizde kişi adları ve telefon numaraları okunur. Telefon rehberiniz sunucularımıza yüklenmez.
Bildirim erişimi (isteğe bağlı, yalnızca Android): WhatsApp'tan gelen dosyaları otomatik olarak klasörlere yerleştirme özelliğini açarsanız, WhatsApp bildirimlerindeki gönderen ve sohbet adı ile dosya bilgileri telefonunuzda okunur. Bu bilgiler sunucularımıza gönderilmez.
Biyometrik doğrulama: Gizli Kasa, Android'de ve iOS'ta günlük kullanımda yalnızca PIN ile açılır. Cihazınızın parmak izi, yüz tanıma (iOS'ta Face ID veya Touch ID) ya da ekran kilidi yalnızca eski bir kasayı PIN korumasına taşırken bir kez istenir. Biyometrik verileriniz uygulamaya veya bize ulaşmaz.

iOS'ta istenen izinler (iPhone'da yalnızca ilgili özelliği kullandığınızda sorulur):

Kişiler: rehberden seçtiğiniz kişiyi bir klasöre eklemek ve adını klasör adı olarak kullanmak için. Rehberiniz sunucularımıza yüklenmez.
Kamera: fotoğraf ve video çekmek için.
Mikrofon: video kaydına ses eklemek için.
Fotoğraflar (okuma): galeriden fotoğraf seçmek ve Zarf'a taşınan fotoğrafları galeriden kaldırmak için.
Fotoğraflar (ekleme): Zarf'taki fotoğraf ve videoları galeriye kaydetmek için.
Face ID: yalnızca eski bir kasayı PIN korumasına taşırken kimliğinizi doğrulamak için.

iOS'ta dosyalar galeriden veya Dosyalar uygulamasından, sizin seçtiğiniz kadarıyla eklenir; WhatsApp bildirim erişimi iOS'ta yoktur.

Bilgileri nasıl kullanırız

Bilgilerinizi yalnızca hesabınızı oluşturmak ve korumak, dosya gönderimlerini ve bildirimleri sağlamak, aboneliğinizi doğrulamak, kötüye kullanımı önlemek ve destek taleplerinize yanıt vermek için kullanırız. Uygulamada reklam veya analiz araçları yoktur. Bilgilerinizi satmayız ve reklam amacıyla paylaşmayız.

Hizmet sağlayıcılar

Google Firebase (Authentication, Cloud Firestore, Cloud Functions, Cloud Messaging): giriş e-postaları, verilerin saklanması, sunucu işlemleri ve bildirimler.
Google STUN sunucuları: cihazların doğrudan bağlantı kurabilmesi.
Google Play: abonelik satın alma ve ödemeler.
Apple App Store: iOS'ta abonelik satın alma ve ödemeler (doğrudan App Store uygulama içi satın alma; üçüncü taraf abonelik hizmeti kullanılmaz).
Apple Push Notification service (APNs): iOS'ta bildirimlerin iletilmesi.
Google Drive: yalnızca yedeklemeyi siz açarsanız.
Resend: davet e-postalarının iletilmesi.

Bu sağlayıcılar bilgileri hizmeti sunmak için ve kendi gizlilik koşulları çerçevesinde işler. Yasal bir zorunluluk olmadıkça bilgilerinizi başka üçüncü taraflarla paylaşmayız.

Güvenlik

Uygulama ile sunucular arasındaki bağlantılar şifrelidir. Sunucudaki verilere yalnızca yetkili hesapların erişebilmesi için erişim kuralları uygulanır.

Saklama süresi ve silme

Bilgileriniz hesabınız açık olduğu sürece saklanır. Hesabınızı uygulamadan silebilir veya e-postayla silinmesini isteyebilirsiniz. Nelerin silindiği ve nelerin saklandığı Hesap ve veri silme sayfasında açıklanmıştır.

Haklarınız

Bilgilerinize erişmek veya bunların düzeltilmesini ya da silinmesini istemek için akelsanyazilim@gmail.com adresine yazabilirsiniz.

Yaş sınırı

Zarf 18 yaş ve üzeri kullanıcılar için tasarlanmıştır; 18 yaşından küçükler uygulamayı kullanmamalıdır.

Değişiklikler

Bu politikayı güncelleyebiliriz. Güncel sürüm her zaman bu sayfada yayımlanır.

Zarf Privacy Policy

Last updated: October 15, 2026

Türkçe sürüm yukarıda

This policy explains what information the Zarf Android and iOS app (com.zarfapp.zarf on both platforms), developed by Zarf, processes and why. Zarf is designed for users aged 18 and over. Questions: akelsanyazilim@gmail.com

Information processed on our servers

Account

You sign in to Zarf with a sign-in link sent to your email address. For your account we store your name, your email address and the user ID assigned to you. Zarf users who know your email address can find you and see your name; this is needed so they can send you files.

File transfers

File contents are not uploaded to our servers (details below). To start a transfer, the following record is created on our servers:

The sender's name, email address and user ID; the recipient's name and user ID.
The file's name, size and type, and the folder name if any.
The time and status of the transfer.
Technical connection details needed for the two devices to connect directly; these may include the devices' IP addresses.

The recipient sees the sender's name and email address. These records are kept until the sender or the recipient deletes their account.

Other records

Zarf contacts: the names and email addresses of the Zarf users you add to your contacts.
Notifications: your device's notification token, platform, language and notification preferences. Notifications are sent through Firebase Cloud Messaging and include the sender's name. On iOS, notifications are delivered by Firebase Cloud Messaging through Apple's notification service (APNs).
Plan and subscription: your plan, your send count and subscription details from Google Play (product, status, period and purchase token). We never receive your card or payment details; Google Play handles payment. On iOS, purchases and payments are processed directly by Apple through App Store In-App Purchase, without any third-party subscription service:
- What Apple processes: payment and card details, your Apple account and the purchase record (under Apple's own policies). To match the purchase to your Zarf account, Apple receives an ID derived from your user ID (a UUID, appAccountToken); your name and email address are not sent.
- What our servers process: the app passes only the App Store transaction ID to our servers. Our servers look the subscription up through Apple's App Store Server API and store: the transaction ID, product, subscription status, period start and end, renewal status, billing-issue flag and whether it is a test (sandbox) purchase. Subscription notifications from Apple are only used to look the subscription up again with Apple.
Free trial: a one-way hash (SHA-256) of your email address and trial details, to prevent the trial from being reused.
Invite code: if you joined with an invite code, the code and its owner are recorded.
Invite emails: when you invite someone who is not on Zarf, their email address is sent to our email provider Resend only to deliver the invite; your name appears in the invite. To prevent abuse, daily limit counters are kept. They contain your user ID and one-way hashes of the invited address and of the IP address, not the email or IP address itself.

File transfer and encryption

Files are transferred directly between the two devices (P2P) using WebRTC. While connecting, the devices use Google's STUN servers to learn their IP addresses; file contents do not pass through these servers or through ours.
Transfers are encrypted in two layers: WebRTC's DTLS encryption and, on top of it, AES-256-GCM with a one-time key agreed between the two devices (X25519, HKDF-SHA256). The key exists only in the two devices' memory. Both sides can verify the connection by comparing the security code shown in the app.
Files in the private vault are encrypted on your phone with AES-256-GCM; the key is kept in the device's secure key storage. Your vault PIN and a one-way hash of your recovery key are also kept there and never leave the device. On iOS this storage is the Keychain; the encryption key is stored so that it stays on this device only. iOS may keep Keychain entries on the device even after the app is uninstalled.

Google Drive backup (optional)

If you turn on backup, you give access to Drive with your Google account. Zarf can only access the files it created. Your photos and videos are uploaded directly from your phone to your own Drive account, without passing through our servers. Regular photos and videos are uploaded as they are. Private vault files are uploaded encrypted and can only be opened with your recovery key.

Information processed only on your device

Camera and microphone: to take photos and videos with sound in the app. Recordings are stored on your phone.
Photos, videos, audio and files: to add files to the app and organize them.
Phone contacts: when you link a folder to someone in your contacts, names and phone numbers are read. Your phone contacts are not uploaded to our servers.
Notification access (optional, Android only): if you turn on automatically sorting files received on WhatsApp into folders, the sender and chat names and file details in WhatsApp notifications are read on your phone. They are not sent to our servers.
Biometric authentication: on Android and iOS the private vault opens day to day with a PIN only. Your device's fingerprint, face unlock (Face ID or Touch ID on iOS) or screen lock is asked for only once, when moving an older vault to PIN protection. Your biometric data never reaches the app or us.

Permissions requested on iOS (on iPhone they are only asked for when you use the related feature):

Contacts: to add a person you pick from your contacts to a folder and use their name as the folder name. Your contacts are not uploaded to our servers.
Camera: to take photos and videos.
Microphone: to add sound to video recordings.
Photos (read): to pick photos from your library and remove photos moved into Zarf from your library.
Photos (add): to save photos and videos from Zarf to your library.
Face ID: only to verify your identity when moving an older vault to PIN protection.

On iOS, files are added from your photo library or the Files app, only the ones you pick; WhatsApp notification access does not exist on iOS.

How we use information

We use your information only to create and protect your account, provide file transfers and notifications, verify your subscription, prevent abuse and answer support requests. The app contains no advertising or analytics tools. We do not sell your information or share it for advertising.

Service providers

Google Firebase (Authentication, Cloud Firestore, Cloud Functions, Cloud Messaging): sign-in emails, data storage, server operations and notifications.
Google STUN servers: letting devices connect directly.
Google Play: subscription purchases and payments.
Apple App Store: subscription purchases and payments on iOS (directly through App Store In-App Purchase; no third-party subscription service is used).
Apple Push Notification service (APNs): delivering notifications on iOS.
Google Drive: only if you turn on backup.
Resend: delivery of invite emails.

These providers process information to provide their service and under their own privacy terms. We do not share your information with other third parties unless required by law.

Security

Connections between the app and the servers are encrypted. Access rules ensure that data on the servers can only be accessed by authorized accounts.

Retention and deletion

Your information is kept while your account is open. You can delete your account in the app or ask for it to be deleted by email. What is deleted and what is kept is described on the Account and data deletion page.

Your rights

To access your information or ask for it to be corrected or deleted, write to akelsanyazilim@gmail.com.

Age requirement

Zarf is designed for users aged 18 and over; people under 18 should not use the app.

Changes

We may update this policy. The current version is always published on this page.