Antrenman verileriniz size ait — bu neden hiç de göründüğü kadar basit değil
150 milyon hesap ele geçirildi. Askeri üsler bir ısı haritasında görünür hale geldi. Adet döngüsü verileri Facebook’a iletildi. Bunlar varsayımsal senaryolar değil — son yıllarda milyonlarca insanın her gün kullandığı fitness uygulamalarında gerçekten yaşanan olaylar.
Güç antrenmanı için bir uygulama ararken muhtemelen özellikleri karşılaştırıyorsunuz: kayıt, zamanlayıcı, analizler, programlar. Çoğunun karşılaştırmadığı şey: verilerime aslında ne oluyor?
Fitness uygulamaları sizin hakkınızda ne biliyor?
Ortalama bir fitness uygulaması 35 olası veri kategorisinden 12’sini topluyor — bu sonuç 2026’nın başında 16 popüler fitness uygulamasını inceleyen bir Surfshark analizinden çıktı. En veri yoğun uygulamalar 24 kategoriye kadar ulaşıyor. İncelenen uygulamaların %80’i kullanıcı verilerini üçüncü taraflarla paylaşıyor.
Bu soyut geliyor. Somut olarak şu anlama geliyor: vücut ağırlığınız, antrenman hacminiz, ne zaman, ne sıklıkta ve ne kadar süre antrenman yaptığınız. Bunlara konum verileri, e-posta adresi ve cihaz kimliği de ekleniyor. Bazı uygulamalarda beslenme verileri, uyku düzenleri veya ilerleme fotoğrafları da buna dahil oluyor.
Bunu somutlaştıran üç örnek
MyFitnessPal (2018): Under Armour’ın beslenme ve fitness uygulaması hacklendi. 150 milyon hesap etkilendi — kullanıcı adları, e-posta adresleri, hash’li parolalar. Olay 12 hafta sonra gerçekleşmiş olsaydı GDPR geçerli olacak ve yıllık cironun %4’üne kadar ceza uygulanabilecekti.
Strava Isı Haritası (2018): Strava’nın küresel ısı haritası Suriye, Afganistan ve Irak’taki askeri üslerdeki koşu rotalarını görünür kıldı. Avustralyalı güvenlik araştırmacısı Nathan Ruser, devriye rotaları ve üs çevrelerinin açıkça görülebildiğini keşfetti. ABD Savunma Bakanlığı bunun üzerine fitness takip cihazlarının kullanımını kısıtladı.
Flo Health (2021): FTC, adet takip uygulaması Flo Health’in hassas sağlık verilerini — adet döngüsü verileri, hamilelik niyetleri, semptomlar — Facebook, Google ve diğer üçüncü taraflarla paylaştığını tespit etti. Gizlilik politikasındaki aksi yöndeki vaatlere rağmen.
Bunlar münferit vakalar değil. Privacy International, kilo verme uygulaması Noom’u inceledi ve uygulamaya katılım anketinden elde edilen sağlık verilerinin (boy, kilo, diyabet veya depresyon gibi kronik rahatsızlıklar) gerçek zamanlı olarak beş üçüncü taraf sağlayıcıya iletildiğini buldu.
Antrenman verileri sağlık verisidir
Sıklıkla göz ardı edilen bir nokta: Avrupa Birliği Adalet Divanı Ekim 2024’te GDPR kapsamında “sağlık verisi” kavramının geniş yorumlanması gerektiğini netleştirdi. Sağlık durumuna ilişkin çıkarımlar yapılmasına olanak tanıyan veriler GDPR’ın 9. maddesi kapsamına giriyor — en sıkı koruma kategorisi.
Vücut ağırlığı, kalp atış hızı, antrenman hacmi, toparlanma süreleri — bunların tamamı özel kategoride sağlık verisi sayılabilir. Bu verilerin işlenmesi, alışılageldik “Kullanım koşullarını kabul ediyorum” çerçevesini aşan açık bir onay gerektiriyor.
Uygulamada pek çok fitness uygulaması bu verilere uygun şekilde davranmıyor. Çünkü şimdiye kadar bunun sonuçları nadiren oldu.
Zorunlu hesap açma neden sorun?
Fitness uygulamalarının çoğu, bir set kaydetmeden önce kayıt yaptırmanızı şart koşuyor. Interaction Design Foundation “Forced Registration” (Zorunlu Kayıt) kavramını Karanlık Örüntü olarak sınıflandırıyor: Kayıt işlevsellik için gerekli olmasa da temel özelliklere erişim kısıtlanıyor.
Uygulamalar bunu neden yapıyor? Antrenmanınızın bir sunucuya ihtiyacı olduğu için değil. E-posta adresi ve kullanım profiliyle bir hesabın para kazandırılabilir olması nedeniyle — reklamlar, veri ortaklıkları veya upselling kampanyaları aracılığıyla.
Kendinize şunu sorun: Set, tekrar ve ağırlık kaydeden bir uygulama gerçekten e-posta adresinize, doğum tarihinize ve konumunuza ihtiyaç duyuyor mu?
Sağlayıcı faaliyetini durdurursa ne olur?
Bulut tabanlı uygulamaların bir son kullanma tarihi var. Teorik değil — pratik olarak.
Jawbone milyarlarca dolar değerinde bir fitness takip cihazı üreticisiydi. Şirket kapandığında kullanıcılar tüm antrenman geçmişlerine erişimlerini yitirdi. Uygulama çoktan kapanmışken cihazlar hâlâ Amazon’da satılıyordu.
Google Fit, Google Health’e yerini bırakmak üzere 2026’da kapatılacak. Bir geçiş aracı “bu yılın ilerleyen dönemleri” için duyuruldu. Duyuruyu kaçıranlar veri kaybı riskiyle karşı karşıya.
Şablon hep aynı: Verileriniz kontrol edemediğiniz sunucularda duruyor. Hizmet sonlandırıldığında veriler de gidiyor. Yıllarca süren antrenman geçmişi, kişisel rekorlar, ilerleme verileri — hepsi.
Offline-First bir özellikten fazlası
Bilgisayar bilimciler Martin Kleppmann, Adam Wiggins, Peter van Hardenberg ve Mark McGranaghan, 2019’da ACM Onward! Konferansı’nda “Local-First Software” (Yerel Öncelikli Yazılım) adını verdikleri bir ilkeyi tanımladı: Verilerin bulutta değil, birincil olarak cihazınızda yaşadığı yazılım.
Temel argümanları: Bulut uygulamaları kullanıcıları kendi verilerinin kiracısına dönüştürür. Local-First bunu tersine çevirir. Verileriniz cihazınızda olduğu için size aittir. Bulut zorunlu değil, isteğe bağlı hale gelir.
Bir antrenman uygulamasında Offline-First somut olarak şu anlama geliyor:
- İnternet gerekmez. Yükleme yok, dönen çark yok, spor salonunun bodrum katında “Bağlantı hatası” yok.
- Hesap gerekmez. Uygulamayı yüklersiniz ve antrenman yaparsınız. Hepsi bu.
- Sağlayıcı riski yok. Geliştirici yarın faaliyetini durdursa bile verileriniz cihazınızda duruyor.
- Takip edilemez. Bir sunucuda olmayan şey analiz edilemez, satılamaz ya da hacklenemez.
İlerleme fotoğrafları: en hassas veri noktası
Pek çok uygulamada ilerleme fotoğraflarıyla beden takibi sunuluyor. Bunun gizlilik açısından ne anlama geldiği nadiren konuşuluyor: Bir uygulamaya minimum kıyafetle kendinize ait fotoğraflar kaydediyorsunuz. Bunlar nerede kalıyor?
Bulut tabanlı uygulamalarda: sağlayıcının sunucularında. MyFitnessPal’dakine benzer bir veri sızıntısında bu fotoğraflar yanlış ellere geçebilir. Privacy Rights Clearinghouse, pek çok fitness uygulaması geliştiricisinin gizlilik politikasına sahip olmadığını, verileri açıklanmamış üçüncü taraflara gönderdiğini ve yalnızca çok azının tüm bağlantıları şifrelediğini tespit etti.
Bu bir özellik karşılaştırması değil. Temel bir mimari sorun: Yabancı sunucularda duran fotoğraflar, kontrol edemediğiniz bir risk anlamına geliyor.
hitPR bunu nasıl çözüyor
hitPR’ı ben geliştiriyorum. Bu uygulamayı, Offline-First, gizlilik ve eksiksiz güç antrenmanı takibini bir araya getiren, temel işlevleri ücretli duvar arkasına koymayan bir uygulama bulamadığım için yaptım.
Bu somut olarak ne anlama geliyor — gizlilik politikamızda doğrulanabilir:
Offline-First. Uygulama internetsiz tam olarak çalışır. Hesap gerekmez. Tüm antrenman verileri — egzersizler, setler, ağırlıklar, rekorlar — yalnızca cihazınızda yerel olarak saklanır.
Takip yok. Kullanıcı takibi yok, reklam SDK’sı yok, üçüncü taraf analitik yok. Firebase Analytics yok, Mixpanel yok, Segment yok. Ne antrenman yaptığınızı bilmiyorum — ve bilmek de istemiyorum.
İlerleme fotoğrafları cihazınızda kalır. Her zaman. AES-256 ile şifrelenmiş, biyometrik kilitli ve bulut yedeklemesinin dışında tutulmuş durumdalar. Ekran görüntüleri engelleniyor. Yükleme yok, senkronizasyon yok, risk yok.
Bulut yedekleme isteğe bağlı. Etkinleştiren kullanıcılar için kullanıcı başına bireysel anahtar ile AES-256-GCM şifrelemesi sunuluyor. AB’deki (Frankfurt) Supabase üzerinden Cloudflare R2’de saklanıyor. Ancak uygulama onsuz da aynı şekilde çalışıyor.
Tüm temel özellikler ücretsiz. Kayıt, zamanlayıcı, 8 ilerleme sistemi, Muscle Heatmap, rekor tespiti, plaka hesaplayıcı, 20’den fazla program, fotoğraf kasasıyla beden takibi, 1.300+ egzersiz. Pro, analiz dönemlerini genişletiyor ve bulut yedekleme ile Watch Companion’ı ekliyor. Eksiksiz antrenman için bunların hiçbirine ihtiyaç yok.
İstediğiniz zaman veri dışa aktarımı. Tam dışa ve içe aktarım. Verileriniz size ait — yarın hitPR’ı silseniz bile.
Nelere dikkat etmeli?
Hangi uygulamayı kullanırsanız kullanın — verilerinizi girmeden önce şu soruları sorun:
- Verilerim nerede duruyor? Cihazımda mı yoksa yabancı sunucularda mı?
- Hesap açmam gerekiyor mu? Gerekiyorsa — neden? E-posta adresime ne oluyor?
- Verilerimi dışa aktarabilir miyim? Eksiksiz, istediğim zaman, kısıtlama olmaksızın?
- Veri sızıntısında ne olur? Antrenman verilerim şifreli mi? Fotoğraflarım?
- Uygulama kapanırsa ne olur? Verilerime erişimim devam eder mi?
Bu soruların yanıtlarını çoğunlukla özellikler sayfasında bulamazsınız. Gizlilik politikasında bulursunuz. Okumaya değer.
Daha fazlası için:
