KVKK aydınlatma metni

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca hazırlanmıştır.

1. Veri sorumlusu

Kişisel verilerin, veri sorumlusu sıfatıyla Eren Gürbüz (Kuşadası, Aydın, Türkiye) tarafından işlenir. İletişim: therisyy@gmail.com.

2. İşlenen kişisel veriler

• Görsel veri: Yüklediğin fotoğraflar, fotoğraftan kırpılan yüz bölgesi ve üretilen sonuçlar
• Özel nitelikli kişisel veri: Fotoğraftaki ve sonuçtaki her yüzden anlık hesaplanan biyometrik veri (yüz vektörü, yüz noktaları ve bu noktalardan ölçülen baş açısı, göz, iris ve ten rengi); Arka Plan Temizleyici'de yalnızca ana kişiler için (bkz. “Fotoğraftaki diğer kişiler”)
• Müşteri işlem verisi: Rastgele oluşturulan kullanıcı kimliği (takma ad), abonelik planı, kredi bakiyesi ve geçmişi, satış ve iade kayıtları, tekrarlayan iade işareti, üretim kayıtları, rıza kayıtları ve geçmişi, destek talepleri
• İşlem güvenliği verisi: Uygulama ve cihaz doğrulama bilgileri, hata kayıtları, IP adresini içeren sunucu istek kayıtları, web formlarında IP adresinin gizli bir anahtarla oluşturulan özeti
• Cihaz verisi: Bildirim izni verirsen cihazının bildirim jetonu ve dil tercihi
• Pazarlama ve kullanım verisi: Açık rızana dayalı kullanım analitiği ve kampanya ve duyuru bildirimleri aboneliği
• İletişim verisi: Destek veya veri silme formunda yazdığın e-posta adresi

3. İşleme amaçları ve hukuki sebepler

Biyometrik verinin önemi ve riskleri: Biyometrik veri özel nitelikli kişisel veridir. Bir şifre gibi değiştirilemez; ele geçirilirse seni tanımak veya taklit etmek için kötüye kullanılabilir. Bu riski en aza indirmek için yüz vektörü ve yüz noktaları yalnızca işlem süresince sunucu belleğinde tutulur, diske, veritabanına veya loglara yazılmaz ve kimlik tespiti için kullanılmaz. Rıza vermezsen yapay zekâ stillerini ve araçlarını (ör. Arka Plan Temizleyici) kullanamazsın, Filtreler çalışmaya devam eder.

Tekrarlayan iade işareti: Hesabında mağazanın gerçekleştirdiği iade sayısı üçe ulaşırsa hesap otomatik olarak işaretlenir ve sonraki iade taleplerinde mağazaya iade yapılmamasını tercih ettiğimizi bildiririz. İade kararını her durumda mağaza verir. Bu sonuca KVKK m. 11 uyarınca itiraz edebilirsin (9. bölüm).

Fotoğraftaki diğer kişiler: Doğrulama fotoğraftaki her yüzün değişmediğini denetlediği için, fotoğrafta yer alan diğer kişilerin yüzlerinden de aynı biyometrik veri aynı amaçlarla ve aynı kurallarla işlenir. Arka Plan Temizleyici aracında yalnızca fotoğraftaki ana kişilerin (en büyük bir veya iki yüz) yüz verisi hesaplanır. Arka plandaki diğer kişilerin yüzleri sunucuda yalnızca tespit edilir; sonuçta yeni bir yüz belirmediğini denetlemek için yüzün yeri ve büyüklüğü işlem süresince bellekte kullanılır. Bu kişiler için yüz vektörü hesaplanmaz, iris veya ten rengi ölçülmez; yüz dedektörünün tespitle birlikte bulduğu kaba göz, burun ve ağız noktaları kullanılmaz ve işlem bitince atılır. Fotoğrafı yükleyen kullanıcı bu kişilerin açık rızasını aldığını beyan eder. Arka Plan Temizleyici'de, fotoğraftan silinmesi istenen arka plandaki kişiler için bu onay aranmaz; onların görüntüsü yalnızca fotoğraftan çıkarılmak için işlenir ve yüz vektörleri hesaplanmaz. Kullanıcı, fotoğrafta kalan ana kişilerin onayını almış olmalıdır. Fotoğrafta yer alan bir kişi, hesabı olmasa da 8. bölümdeki haklarını 9. bölümdeki yollarla kullanabilir.

4. Toplama yöntemi ve hukuki sebepler

Verilerin uygulama, web sitesi ve formlar üzerinden elektronik ortamda, otomatik yollarla toplanır. 3. bölümdeki tabloda kullanılan hukuki sebepler şunlardır:

• Açık rızan (KVKK m. 5/1): kullanım analitiği ve kampanya ve duyuru bildirimleri
• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması (KVKK m. 5/2-c)
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi (KVKK m. 5/2-ç)
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat (KVKK m. 5/2-f)
• Biyometrik veri için açık rızan (KVKK m. 6/3-a)

5. Aktarım

Verilerin, hizmetin sunulması amacıyla Google (uygulama, web sitesi ve yüz doğrulama servisinin barındırılması, depolama, yapay zekâ üretimi, hata kayıtları), RevenueCat (abonelik takibi, iade taleplerine cevap ve iade görüşümüzün iletilmesi), PostHog (AB, yalnızca açık rızanla analitik), Expo (uygulama güncellemeleri), Apple ve Google (mağaza, ödeme, iade talepleri, bildirim ve cihaz doğrulama) gibi tedarikçilere aktarılır. Biyometrik veri yalnızca bizim adımıza çalışan barındırma sağlayıcısı Google'ın Belçika'daki sunucularında, bellekte işlenir; yapay zekâ üretim servisine (Gemini API) ve diğer tedarikçilere gönderilmez. Yapay zekâ üretim servisine fotoğrafın ve fotoğraftan kırpılan yüz bölgesi gönderilir. Arka Plan Temizleyici'de bu servise giden fotoğraf arka plandaki kişilerin görüntüsünü de içerir; yüz bölgesi yalnızca ana kişilerden kırpılır. Bu görüntü yalnızca fotoğraftan silinmek için işlenir ve fotoğrafla aynı sürelerle silinir. Yasal zorunluluk hâlinde yetkili kurum ve mahkemelerle de paylaşılabilir.

6. Yurt dışına aktarım

Sunucular Belçika'da (Google, europe-west1), analitik altyapısı AB'de bulunur. Yapay zekâ üretimi Google'ın Gemini API servisinde yapılır: fotoğraf, yalnızca stili veya aracı uygulamak için Google'ın AB dışındaki (ABD dahil) altyapısında işlenebilir. Biyometrik veri her durumda yalnızca Belçika'daki sunucularda, bellekte işlenir. Firebase'in oturum, çökme raporlama, bildirim, cihaz doğrulama ve yapılandırma servisleri ile sunucu kayıtları Google'ın küresel altyapısında (ABD dahil) işlenir. RevenueCat ve Expo (uygulama güncellemeleri) ABD merkezlidir. Bu aktarımlar KVKK m. 9'da öngörülen şartlara ve güvencelere tabidir.

7. Saklama

Fotoğraflar ve sonuçlar teslimden hemen sonra, en geç 24 saat içinde bizim sunucularımızdan silinir. Gemini API'ye gönderilen fotoğrafı Google, kendi politikası uyarınca yalnızca kötüye kullanımı tespit etmek için 55 gün saklayabilir; bu metnin 2. sürümünden önce Vertex AI'ya gönderilmiş fotoğrafı ise kötüye kullanım şüphesini incelemek için en fazla 90 gün saklar. Google bu kayıtları ürünlerini geliştirmek veya genel modellerini eğitmek için kullanmaz. Biyometrik veri yalnızca işlem süresince bellekte tutulur. Satış ve iade kayıtları, tekrarlayan iade işareti ve rıza kayıtları hesabın silinene kadar saklanır. Diğer süreler gizlilik politikasında yazar.

8. KVKK m. 11 kapsamındaki hakların

Veri sorumlusuna başvurarak şunları yapabilirsin:

• Kişisel verilerinin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmişse düzeltilmesini isteme
• KVKK m. 7 şartlarıyla silinmesini veya yok edilmesini isteme
• Bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonucun (ör. tekrarlayan iade işareti) ortaya çıkmasına itiraz etme
• Kanuna aykırı işleme nedeniyle zarara uğraman hâlinde zararın giderilmesini talep etme

9. Başvuru

Başvurunu destek formundan “Gizlilik ve veri talebi” konusunu seçerek ya da therisyy@gmail.com adresinden iletebilirsin. Hesabın anonim olduğundan, seni doğrulayabilmemiz için teşhis kodunu (Ayarlar'ın altında) ve varsa mağaza sipariş numaranı ekle. Başvurun en geç 30 gün içinde ücretsiz sonuçlandırılır.

Kişisel Verileri Koruma Kurulu'na şikâyette bulunmadan önce veri sorumlusuna başvurman gerekir (KVKK m. 14). Başvurun reddedilirse, yanıtı yetersiz bulursan veya süresinde yanıt verilmezse, yanıtı öğrendiğin tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilirsin.

Verilerini doğrudan silmek için uygulamada Ayarlar > Verilerimi sil adımını veya veri silme formunu kullanabilirsin.