Gizlilik politikası
Bu politika, Softflash mobil uygulamasını ve web sitesini kullanırken kişisel verilerinin nasıl işlendiğini açıklar. Türkiye'deki kullanıcılar için KVKK aydınlatma metni, yüz verisi için açık rıza metni ayrıca geçerlidir.
1. Veri sorumlusu
Veri sorumlusu Eren Gürbüz, adresi Kuşadası, Aydın, Türkiye. Gizlilikle ilgili her konuda therisyy@gmail.com adresine ya da destek formuna yazabilirsin.
2. Hangi verileri işliyoruz
Uygulama e-posta veya şifre istemez. Hesabın, cihazına bağlı ve rastgele oluşturulan bir kullanıcı kimliğiyle (takma ad) oluşturulur. Bu kimlik adını veya e-postanı içermez, ancak hesabına bağlı olduğu için kişisel veridir.
| Veri | Örnek | Nereden gelir |
|---|---|---|
| Fotoğraflar | Yüklediğin fotoğraf, fotoğraftan kırpılan yüz bölgesi ve üretilen sonuç | Sen yüklersin, sunucuda üretilir |
| Yüz verisi (biyometrik) | Fotoğraftaki ve sonuçtaki her yüzün yüz vektörü ve yüz noktaları; bu noktalardan ölçülen baş açısı, gözler, iris ve ten rengi (Arka Plan Temizleyici'de yalnızca ana kişiler için; bkz. “Fotoğraftaki diğer kişiler”) | Fotoğraftan anlık hesaplanır |
| Hesap verisi | Rastgele oluşturulan kullanıcı kimliği, teşhis kodu, saat dilimi, mağaza ülkesi, platform, uygulama sürümü, oluşturulma ve son kullanım zamanı, hesap durumu (ör. kural ihlali nedeniyle kısıtlama) | Uygulama |
| Bildirim verisi | Bildirim izni verirsen cihazının bildirim jetonu. Ayarlar'daki “Kampanya ve duyuru bildirimleri” anahtarını açarsan (varsayılan olarak kapalıdır) cihazın, dilindeki duyuru ve kampanya bildirimleri konusuna abone edilir; anahtarı kapatınca abonelikten çıkar. Bildirim izni vermek tek başına bu aboneliği başlatmaz. Günlük kredi hatırlatmasını açarsan jeton ve dil tercihin bizde de saklanır. | Uygulama |
| Plan ve kredi | Abonelik planı, yenilenme tarihi, kredi bakiyesi, kredi geçmişi | Uygulama, Apple, Google, RevenueCat |
| Satış ve iade kayıtları | Satın alınan ürün, mağaza, fiyat ve gelir tutarı, zaman; mağazanın gerçekleştirdiği iadeler, tekrarlayan iade işareti | Apple, Google, RevenueCat |
| Üretim kaydı | Seçilen stil veya araç ve seçenekler, durum, hata kodu, doğrulama skoru sayıları, tarih | Sunucu |
| Rıza kaydı | Rıza türü, metin sürümü, zaman ve rızayı verme ya da geri çekme işlemlerinin geçmişi | Sen verirsin |
| Rapor ve destek | Mesajın, konusu, e-postan, teşhis kodu, sipariş numarası, ilgili üretim, uygulama sürümü ve platform | Sen yazarsın |
| Kullanım ve hata verisi | Ekran ve özellik kullanımı (yalnızca analitik iznin varsa), cihaz modeli, uygulama sürümü, hata kayıtları | Uygulama ve web sitesi |
| Teknik kayıtlar | Sunucuya yapılan isteklerin kayıtları (IP adresi dahil), anonim oturum (Firebase Authentication), uygulama yapılandırması (Remote Config), isteğin gerçek uygulamadan geldiğini doğrulayan cihaz doğrulaması (App Check) sonucu, uygulama güncelleme denetimi (Expo) | Uygulama ve web sitesi |
Ödeme bilgileri Apple ve Google tarafından işlenir. Kart bilgini görmeyiz.
3. Yüz verisi (biyometrik veri)
Yapay zekâ stili veya aracı uyguladığın fotoğrafta ve üretilen sonuçta, sunucumuzda her yüz için matematiksel bir yüz vektörü ve yüz noktaları hesaplanır (Arka Plan Temizleyici'de yalnızca ana kişiler için; bkz. “Fotoğraftaki diğer kişiler”). Bu veri yalnızca şu amaçlarla kullanılır:
- Fotoğrafın uygunluğunu denetlemek: yüz sayısı, yüzün yeri ve büyüklüğü, baş açısı ve gözlerin görünüp görünmediği kontrol edilir.
- Yüzünün değişmediğini doğrulamak: girdideki ve sonuçtaki yüzlerin vektörleri, yüz noktalarının oranları ve bu noktalardan bulunan iris ve ten rengi karşılaştırılır.
- Gerektiğinde orijinal yüzünü sonuca yerleştirmek: yapay zekâ yüzü değiştirdiyse orijinal fotoğraftaki yüz, yüz noktalarıyla sonuca hizalanır ve sahnenin ışığına uydurularak yerleştirilir. Bu sonuç da aynı doğrulamadan geçer. Arka Plan Temizleyici gibi araçlarda bu adım yapılmaz; doğrulamayı geçemeyen sonuç teslim edilmez.
Bu veri özel nitelikli kişisel veridir. Yüz verisi bir şifre gibi değiştirilemez; ele geçirilirse seni tanımak veya taklit etmek için kötüye kullanılabilir. Bu yüzden şu kurallara tabidir:
- Fotoğraf seçtiğinde yüz, rıza vermeden önce de, cihazında Google ML Kit ile algılanır: yalnızca yüzün yeri, baş açısı ve gözlerin açık olup olmadığı kontrol edilir. Bu aşamada yüz vektörü veya yüz noktaları hesaplanmaz ve fotoğraf cihazdan çıkmaz.
- Filtreler editöründe özne ışığı için “Kişiyi seç”e bastığında kişinin silueti cihazında ayrılır (iOS'ta Apple Vision, Android'de Google ML Kit). Bu bir siluet maskesidir: yüz özellikleri çıkarılmaz, yüz vektörü veya yüz noktaları hesaplanmaz. Fotoğraf cihazdan çıkmaz; maske yalnızca fotoğraf açıkken bellekte tutulur. Net Gece hazır ayarı da aynı maskeyi kullanır; kredisini düşmek için sunucuya yalnızca hazır ayarın adı ve bir istek kimliği gönderilir, fotoğraf gönderilmez.
- Yüz vektörü ve yüz noktaları yalnızca açık rızanla hesaplanır. Rıza vermezsen yapay zekâ stillerini ve araçlarını (ör. Arka Plan Temizleyici) kullanamazsın, Filtreler çalışmaya devam eder.
- Yalnızca barındırma sağlayıcımız Google'ın Belçika'daki (europe-west1) sunucularında, bizim adımıza çalışan koruma servisimizin belleğinde, işlem süresince tutulur ve işlem bitince atılır. Diske, veritabanına veya loglara yazılmaz.
- Yapay zekâ üretim servisine (Gemini API) gönderilmez, üçüncü taraflarla paylaşılmaz, yukarıdaki amaçlar dışında kullanılmaz, kimliğini tespit etmek için kullanılmaz. Stili veya aracı uygulamak için bu servise fotoğrafın ve fotoğraftan kırpılan yüz bölgesi gönderilir; bunlar biyometrik şablon değil, fotoğrafın kendisidir. Arka Plan Temizleyici'de bu servise giden fotoğraf arka plandaki kişilerin görüntüsünü de içerir; yüz bölgesi yalnızca ana kişilerden kırpılır. Arka plandaki kişilerin görüntüsü yalnızca fotoğraftan silinmek için işlenir ve fotoğrafla aynı sürelerle silinir.
- Üretim kaydına yalnızca karşılaştırmanın sonucu olan skor sayıları yazılır. "Yüzüm değişti" bildirirsen bu sayılar şikâyet kaydına da kopyalanır. Bu sayılardan yüzün yeniden oluşturulamaz. Analitik iznin varsa doğrulamanın geçip geçmediği bilgisi kullanım analitiğine de yazılır.
Fotoğraftaki diğer kişiler: Doğrulama fotoğraftaki her yüzün değişmediğini denetler. Bu yüzden fotoğrafta senden başka kişiler varsa onların yüzlerinden de aynı veri, aynı amaçlarla ve aynı kurallarla hesaplanır; onlar için de üretim kaydında yalnızca skor sayıları kalır. Arka Plan Temizleyici aracında yalnızca fotoğraftaki ana kişilerin (en büyük bir veya iki yüz) yüz verisi hesaplanır. Arka plandaki diğer kişilerin yüzleri sunucuda yalnızca tespit edilir; sonuçta yeni bir yüz belirmediğini denetlemek için yüzün yeri ve büyüklüğü işlem süresince bellekte kullanılır. Bu kişiler için yüz vektörü hesaplanmaz, iris veya ten rengi ölçülmez; yüz dedektörünün tespitle birlikte bulduğu kaba göz, burun ve ağız noktaları kullanılmaz ve işlem bitince atılır. Fotoğrafı yüklerken bu kişilerin açık rızasını aldığını beyan edersin. Arka Plan Temizleyici'de, fotoğraftan silinmesini istediğin arka plandaki kişiler için bu onay aranmaz; onların görüntüsü yalnızca fotoğraftan çıkarılmak için işlenir ve yüz vektörleri hesaplanmaz. Fotoğrafta kalan ana kişilerin onayını almış olmalısın. Fotoğrafta yer alan bir kişi, hesabı olmasa da haklarını kullanmak için therisyy@gmail.com adresine veya destek formuna yazabilir.
4. Neden işliyoruz ve hukuki dayanak
| Amaç | Hukuki dayanak |
|---|---|
| Seçtiğin stili veya aracı fotoğrafına uygulamak, sonucu sana teslim etmek | Sözleşmenin kurulması ve ifası |
| Yüz verisiyle fotoğrafın uygunluğunu denetlemek, yüzünün değişmediğini doğrulamak, gerektiğinde orijinal yüzünü sonuca yerleştirmek | Açık rıza |
| Arka Plan Temizleyici'de arka plandaki kişilerin görüntüsünü yalnızca fotoğraftan silmek için işlemek (yüz vektörleri hesaplanmaz) | Hukuki değerlendirmesi sürüyor; netleşince bu satır güncellenecek |
| Abonelik, kredi (Net Gece hazır ayarının kredisi dahil) ve iade işlemleri | Sözleşmenin ifası, hukuki yükümlülük |
| Mağazanın iade talebine teslim bilgisini ve görüşümüzü iletmek, tekrarlayan iadeyi işaretlemek | Meşru menfaat (kötüye kullanımı önlemek), sözleşmenin ifası |
| İstediğin hizmet bildirimleri (sonucun hazır olduğu, günlük kredi hatırlatması) | Sözleşmenin ifası |
| Kampanya ve duyuru bildirimleri | Açık rıza (Ayarlar'daki anahtar); Türkiye'de 6563 sayılı Kanun uyarınca önceden onay |
| Destek taleplerini yanıtlamak, veri haklarını yerine getirmek | Sözleşmenin ifası, hukuki yükümlülük |
| Kötüye kullanımı önlemek, güvenlik ve hata takibi | Meşru menfaat |
| Kullanım analitiği | Açık rıza (8. bölüm) |
Mağaza iade talepleri: Apple veya Google'dan iade istediğinde abonelik sağlayıcımız RevenueCat, bizim adımıza mağazaya satın alımın sana teslim edildiğini gösteren bilgiyi ve iade konusundaki görüşümüzü iletir. Hesabında mağazanın gerçekleştirdiği iade sayısı üçe ulaşırsa hesap otomatik olarak tekrarlayan iade olarak işaretlenir ve sonraki iade taleplerinde mağazaya iade yapılmamasını tercih ettiğimizi bildiririz. Bu işaret satın almanı engellemez; iade kararını her durumda mağaza verir. Apple bu paylaşım için senin onayını şart koşar; bu onay kullanım koşullarının 6. bölümündedir. İşlemenin hukuki dayanağı ise meşru menfaatimizdir. İşaretin hatalı olduğunu düşünüyorsan destek formundan itiraz edebilirsin; inceleyip gerekirse kaldırırız.
Verilerini reklam amacıyla satmayız.
5. Kimlerle paylaşıyoruz
Veriler yalnızca hizmeti sunmak için, bizim adımıza çalışan sağlayıcılarla paylaşılır:
| Sağlayıcı | Ne için | Hangi veri |
|---|---|---|
| Google (Firebase, Cloud, Gemini API, ML Kit) | Uygulama, web sitesi ve yüz doğrulama servisinin barındırılması, veritabanı, geçici depolama, anonim oturum, bildirim, cihaz doğrulaması, yapay zekâ üretimi, hata ve çökme kayıtları | Fotoğraflar ve fotoğraftan kırpılan yüz bölgesi, barındırma sunucusunda bellekte işlenen yüz verisi, hesap ve kredi verisi, bildirim jetonu, cihaz doğrulama sonucu, hata ve çökme kayıtları, sunucu istek kayıtları (IP adresi dahil) |
| RevenueCat | Abonelik ve satın alma takibi, mağazanın iade taleplerine cevap | Rastgele oluşturulan kullanıcı kimliği, satın alma kayıtları, mağaza ülkesi, tekrarlayan iade işareti |
| PostHog (AB) | Kullanım analitiği (yalnızca iznin varsa) | Rastgele oluşturulan kullanıcı kimliği, kullanım olayları |
| Expo (650 Industries) | Uygulama güncellemelerinin dağıtılması | IP adresi, platform, uygulama ve çalışma zamanı sürümü, güncelleme istemci kimliği |
| Apple ve Google | Mağaza, ödeme, iade talepleri, bildirim, cihaz doğrulaması (App Attest, Play Integrity) | Satın alma, iade talebinde satın alımın teslim edildiği bilgisi ve iade konusundaki görüşümüz, cihaz bildirim ve doğrulama bilgileri |
Fotoğrafın ve fotoğraftan kırpılan yüz bölgesi, seçtiğin stili veya aracı uygulamak için Google'ın yapay zekâ servisi Gemini API'ye gönderilir. Bazı efektler (ör. Lo-Fi Digicam) yapay zekâ servisi kullanmaz; fotoğraf yalnızca bizim sunucularımızda işlenir. Yüz vektörü ve yüz noktaları bu servislere gönderilmez. Arka Plan Temizleyici'de giden fotoğraf arka plandaki kişilerin görüntüsünü de içerir; yüz bölgesi yalnızca ana kişilerden kırpılır. Bu görüntü yalnızca fotoğraftan silinmek için işlenir ve fotoğrafla aynı sürelerle silinir. Google'ın koşullarına göre bu veriler Google'ın ürünlerini geliştirmek veya genel modellerini eğitmek için kullanılmaz; Google bunları yalnızca kötüye kullanımı tespit etmek için sınırlı bir süre saklayabilir (7. bölüm). Yüz verisini hesaplayan koruma servisimiz de Google Cloud'da çalışır; Google orada yalnızca bizim adımıza barındırma sağlar. Reklam ölçümü için bir ortakla çalışmaya başlarsak bu tabloyu güncelleriz ve gerekiyorsa önce iznini isteriz.
Yasal zorunluluk olduğunda yetkili kurum ve mahkemelerle de paylaşım yapılabilir.
6. Yurt dışına aktarım
Sunucularımız Google'ın Belçika'daki (europe-west1) bölgesinde çalışır. Yapay zekâ üretimi ise Google'ın Gemini API servisinde yapılır: fotoğrafın, yalnızca stili veya aracı uygulamak için Google'ın küresel altyapısında (AB dışında, ABD dahil) işlenebilir. Yüz vektörü ve yüz noktaları her durumda yalnızca Belçika'daki sunucularımızda, bellekte işlenir. Firebase'in oturum, çökme raporlama, bildirim, cihaz doğrulama ve yapılandırma servisleri ile sunucu kayıtları Google'ın küresel altyapısında (ABD dahil) işlenir. Analitik verisi PostHog'un AB altyapısında tutulur. RevenueCat ve Expo ABD merkezlidir. Türkiye'den yapılan bu aktarımlar KVKK m. 9'da öngörülen şartlara ve güvencelere tabidir. AB'den yapılan aktarımlar AB Standart Sözleşme Maddelerine (SCC) dayanır.
7. Saklama süreleri
| Veri | Süre |
|---|---|
| Fotoğraflar ve sonuçlar (bizim sunucularımız) | Teslimden hemen sonra, en geç 24 saat |
| Bu metnin 2. sürümünden önce Vertex AI'ya gönderilmiş fotoğraf ve yüz bölgesi (Google) | Google'ın kötüye kullanım izleme politikasına göre, yalnızca kötüye kullanım şüphesini incelemek için kaydedilebilir ve en fazla 90 gün saklanır. Model eğitiminde kullanılmaz. |
| Gemini API'ye gönderilen fotoğraf ve yüz bölgesi (Google) | Google'ın kötüye kullanım izleme politikasına göre, yalnızca kötüye kullanımı tespit etmek için 55 gün. Ürün geliştirme veya genel model eğitimi için kullanılmaz; yalnızca Google'ın politika uygulamasına yönelik modellerinde kullanılabilir. |
| Yüz vektörü ve yüz noktaları | Yalnızca işlem süresince, bellekte |
| Üretim kayıtları | 30 gün |
| Hesap ve kredi verisi | Hesabını silene kadar (Ayarlar > Verilerimi sil ya da veri silme formu) |
| Satış ve iade kayıtları | Hesabını silene kadar |
| Tekrarlayan iade işareti | Hesabını silene kadar; itirazın haklı bulunursa daha önce kaldırılır |
| Rıza kayıtları ve geçmişi | Hesabını silene kadar |
| Bildirim jetonu (bizde) | Hatırlatmayı kapatana ya da hesabını silene kadar |
| Sunucu istek kayıtları (IP dahil) | 30 gün |
| Kredi geçmişi | Silme talebine kadar |
| Rapor ve şikâyet kayıtları | Silme talebine kadar |
| Yönetici işlem kayıtları (hesabınla ilgili kısıtlama, kredi düzeltmesi, veri silme gibi; fotoğraf ve mesaj içermez) | İşlemin yapıldığını gösterebilmek için silme talebinden sonra da saklanır |
| Analitik | 12 ay |
| Hata kayıtları | 90 gün |
| Uygulama içi destek talepleri | Silme talebine kadar |
| Web formları | 24 ay |
| Silinen verilerin kurtarma ve yedek kopyaları | En geç 30 gün |
| Geçmiş (Gallery) | Yalnızca cihazında, sen silene kadar |
Gallery sunucularımıza gönderilmez. iOS'ta telefonunun yedeğine (iCloud) dahil olabilir ve yedekten yeni telefona geri yüklenebilir; Android'de yedeklenmez. Yedek dışında, uygulamayı silersen geçmişin kaybolur.
8. Analitik, çerezler ve web sitesi
Uygulamada ve web sitesinde kullanım analitiği yalnızca iznin varsa çalışır. İzin vermezsen analitik kapalı kalır; bu, hizmeti kullanmana engel olmaz. Kararını uygulamada Ayarlar'dan, web sitesinde sayfa altındaki “Çerez tercihleri” bağlantısından istediğin zaman değiştirebilirsin. Analitik verisi adın veya e-postanla değil, hesabına bağlı rastgele oluşturulan kullanıcı kimliğiyle (takma ad) ilişkilendirilir; bu yüzden anonim değil, kişisel veridir.
Web sitesi çerezsiz de çalışır. İzin verirsen kullanımı ölçmek için analitik çerezleri kullanılır. Reddedersen cihazında analitik için hiçbir şey saklanmaz, yalnızca tercihin kaydedilir. Web sitesindeki tercihin yalnızca tarayıcında saklanır.
Web formlarını gönderdiğinde yazdıkların talebini yanıtlamak için saklanır. Spam'i önlemek için IP adresinin gizli bir anahtarla oluşturulan özeti kısa süre tutulur ve birkaç gün içinde silinir; form kaydında IP adresinin kendisi bulunmaz. Sunucu istek kayıtları için 7. bölüme bak.
9. Çocuklar
Softflash 13 yaşından küçükler için, Avrupa Birliği ve Avrupa Ekonomik Alanı'nda 16 yaşından küçükler için değildir. 13 yaşından küçük çocuklara ait fotoğraflar yüklenmemelidir. Böyle bir veriyi işlediğimizi öğrenirsek sileriz.
10. Hakların
Verilerine erişme, düzeltilmesini veya silinmesini isteme, işlenmesini kısıtlama veya itiraz etme, taşınabilir biçimde alma ve rızanı istediğin zaman geri çekme hakkına sahipsin. Rızanı geri çekmek, önceki işlemleri hukuka aykırı hâle getirmez.
Taleplerini therisyy@gmail.com adresine ya da destek formundan iletebilirsin. Tekrarlayan iade işareti gibi otomatik bir değerlendirmenin aleyhine sonucuna da aynı yoldan itiraz edebilirsin. Hesabın anonim olduğu için teşhis kodunu (Ayarlar'ın altında) ve varsa mağaza sipariş numaranı eklemeni isteriz. Talebini en geç 30 gün içinde yanıtlarız.
Şikâyetin için yaşadığın ülkenin veri koruma otoritesine başvurabilirsin. Türkiye'de Kişisel Verileri Koruma Kurulu'na şikâyette bulunmadan önce bize başvurman gerekir (KVKK m. 14); süreler KVKK aydınlatma metninde yazar.
11. Verilerini silme
Uygulamada Ayarlar > Verilerimi sil adımıyla sunucudaki verilerin hemen silinir. Silinmeyen ya da süresi dolunca silinen kayıtlar veri silme sayfasında yazar. Uygulaman yoksa veri silme formunu kullanabilirsin.
12. Güvenlik
Veriler aktarım sırasında ve depolamada şifrelenir. Fotoğraflara yalnızca hizmeti sunan sunucu süreçleri erişir, erişimler yetkilendirme ve kayıt altına alma ile sınırlandırılır. Hiçbir sistem kusursuz değildir. Veri ihlali olursa yasaların gerektirdiği şekilde seni ve yetkili kurumu bilgilendiririz.
13. Değişiklikler
Bu politikayı güncelleyebiliriz. Güncel sürüm numarası ve tarih sayfanın başında yazar. Önemli değişiklikleri yürürlüğe girmeden makul bir süre önce bu sayfada, mümkün olduğunda uygulamada da duyururuz.