Gizlilik Politikası

1. Veri Sorumlusu ve Tanımlar

İşbu Gizlilik Politikası, Baby & Me Check mobil uygulamasının (bundan sonra "Uygulama") kullanımı sırasında işlenen kişisel verilere ilişkin bilgilendirme yapmak amacıyla hazırlanmıştır.

Tanımlar: Bu metinde geçen "kişisel veri", "işleme", "veri sorumlusu", "açık rıza" ifadeleri, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.3'teki anlamlarıyla; "personal data", "processing", "controller", "consent" ifadeleri ise AB 2016/679 Genel Veri Koruma Tüzüğü ("GDPR") m.4'teki anlamlarıyla kullanılmıştır.

2. Bu Politikanın Kapsamı

Bu politika; Uygulamayı indirip kullanan tüm kullanıcıların kişisel verilerinin toplanma, işlenme, saklanma ve paylaşılma süreçlerini kapsar. Uygulama; aile içi görev paylaşımı, takvim, sesli not, "zihinsel alan" baloncukları, bildirimler ve uygulama içi mesajlaşma gibi özellikler sunar.

Bu politika Uygulama dışındaki üçüncü taraf web sitelerini, mağaza sayfalarını veya kullanıcıların Uygulama içinden açtığı harici bağlantıları kapsamaz. Üçüncü tarafların gizlilik uygulamalarından sorumlu değiliz.

3. Topladığımız Kişisel Veriler

3.1 Hesap ve Profil Verileri

• Zorunlu: E-posta adresi, parola (kriptografik hash olarak), ad-soyad
• İsteğe bağlı: Profil fotoğrafı, cinsiyet, ilgi alanı, bebek adı, bebeğin yaş grubu, bebeğin cinsiyeti
• Aile bağı: Aile kimliği (family_id), aile içindeki rolünüz (ör. anne, baba, bakıcı), aileye katılım için kullanılan davet kodu
• Davet alıcısının e-posta adresi: Aile davet kodu oluşturduğunuzda, davetin gönderilmesini istediğiniz kişinin e-posta adresi (invite_codes.invited_email) yalnız davetin doğru adrese ulaştığını doğrulamak için saklanır. Davet kabul edildiğinde veya 7 gün içinde otomatik olarak silinir.

3.2 Uygulama İçeriği

• Oluşturduğunuz görevler, görev listeleri, takvim etkinlikleri
• "Zihinsel alan" baloncuklarına yazdığınız metinler, eklediğiniz bağlantılar
• Sesli notlar ve bunların otomatik metne çevrilmiş hâlleri (transcription)
• Aile içi mesajlaşmada paylaşılan metin, sesli ileti ve görseller
• Hatırlatıcı zamanları ve tatil/mevcut değil ayarlarınız

3.3 Cihaz ve Teknik Veriler

• Cihaz türü, işletim sistemi sürümü, uygulama sürümü, dil ve saat dilimi tercihi
• Firebase Cloud Messaging (FCM) token'ı — yalnızca bildirim gönderebilmek için
• Reklam Kimliği (Google Advertising ID / Apple IDFA — yalnızca rızanız varsa)
• Çökme (crash) günlükleri, performans verileri ve hata izleri (yalnız Sentry aktif olan yapılandırmalarda; Sentry devre dışıysa bu veriler toplanmaz)

3.4 Satın Alma ve Abonelik Verileri

• Abonelik durumu, başlangıç/bitiş tarihi, abonelik ürünü, mağaza işlem kimliği (Apple App Store / Google Play)
• RevenueCat üzerinden alınan abonelik olay bilgileri (yenileme, iptal, iade)

Not: Kredi kartı bilgilerinizi asla görmez, saklamaz veya işlemeyiz. Ödeme işlemleri tamamen Apple App Store ve Google Play tarafından yürütülür.

3.5 Yerel Olarak Saklanan Veriler

• Tema tercihi (açık/koyu), dil tercihi (TR/EN), uygulama içi "AnneCoin" bakiyesi: cihazınızda SharedPreferences olarak yerel saklanır; sunucularımıza gönderilmez.

3.6 Toplamadığımız Veriler

• Konum (GPS / IP-tabanlı yaklaşık konum dahil) toplamıyoruz.
• Telefon rehberi, SMS, arama geçmişi gibi cihaz verilerine erişmiyoruz.
• Sağlık takibi veya biyometrik veri toplamıyoruz.

3.7 Apple App Privacy Etiketi (iOS App Store)

Apple App Store sayfasında gösterilen "App Privacy" (uygulama gizlilik) etiketi şu kategorileri içerir:

• Kimliğinizle ilişkilendirilen veriler (Data Linked to You): İletişim Bilgileri (e-posta), Kullanıcı İçeriği (görev, mesaj, baloncuk, sesli not), Tanımlayıcılar (kullanıcı kimliği), Satın Alma Geçmişi, Reklam Verileri (görüntülenen reklam sayısı ve tıklama metrikleri — IDFA olmadan, kişiselleştirilmemiş).
• Sizi izlemek için kullanılan veriler (Data Used to Track You): Hiçbiri — AdMob istekleri her zaman npa=1 (non-personalized) parametresiyle gönderilir; IDFA tracking için kullanılmaz, ATT izninizden bağımsız olarak çapraz-bağlam davranışsal reklam yapılmaz.
• Kimliğinizle ilişkilendirilmeyen veriler (Data Not Linked to You): Çökme verileri, tanı verileri (Sentry aracılığıyla, yapılandırma aktifse).

4. Verilerin İşlenme Amaçları

5. Hukuki Dayanak (KVKK ve GDPR)

Kişisel verileriniz aşağıdaki hukuki sebeplere dayanılarak işlenir:

Açık rızaya dayalı işlemlerde rızanızı dilediğiniz zaman geri çekebilirsiniz; ancak bu geri çekme önceki işlemlerin hukuka uygunluğunu etkilemez.

6. Üçüncü Taraflarla Paylaşım

Verilerinizi satmıyoruz ve pazarlama amacıyla üçüncü taraflara aktarmıyoruz. Hizmet sunumu için aşağıdaki "veri işleyen" konumundaki tedarikçilerle çalışırız:

Yetkili merciler tarafından usulüne uygun olarak talep edildiğinde, mevzuat gereği bilgi paylaşımı yapılabilir.

7. Yurt Dışına Veri Aktarımı

KVKK m.9 (7499 sayılı Kanun ile Mart 2024'te güncellenen hâli) kapsamında, kişisel verileriniz aşağıdaki güvencelerden biri ile yurt dışına aktarılır:

• Yeterlilik kararı: KVK Kurulu'nun aktarımın yapıldığı ülke / sektör hakkında yeterlilik kararı bulunması hâlinde bu karara dayanılır.
• Uygun güvenceler: Yeterlilik kararı yokken aktarım, Kurul tarafından onaylanan Standart Sözleşme (Standard Contractual Clauses), bağlayıcı şirket kuralları (BCR) veya yazılı taahhütname gibi uygun güvencelere bağlanır. Uygun güvencelere dayanan aktarımlar 5 iş günü içinde KVK Kurulu'na bildirilir (Yurt Dışına Veri Aktarımı Yönetmeliği, 10 Temmuz 2024 R.G.).
• Arızi istisnalar: Açık rızanız (yalnız arızi, sistematik olmayan aktarımlar için), sözleşmenin ifası, hayati menfaat veya hukuki talep gibi sınırlı durumlarda KVKK m.9/6'daki istisnalardan yararlanılabilir.

AB içindeki aktarımlarda GDPR Bölüm V hükümleri uygulanır; AB dışına aktarımlarda Avrupa Komisyonu Standart Sözleşmeleri (SCC, 2021/914) kullanılır.

Sentry hakkında bilgi notu: Sentry GmbH (Almanya) hata izleme verilerini AB içinde işler; ancak Functional Software, Inc. (ABD) Sentry GmbH'nin ana şirketi olduğundan, US yargı yetkisi kapsamında verilere ilişkin talepler söz konusu olabilir. Bu durum, AB SCC çerçevesinde aktarım için ilan edilmiştir.

8. Veri Saklama Süreleri

9. Veri Güvenliği

Verilerinizi korumak için makul ve uygun teknik ve idari tedbirleri uygularız:

• İletim: Tüm istemci-sunucu iletişiminde TLS 1.2+ zorunludur (HTTPS).
• Depolama: Veritabanı şifrelemesi (AES-256 at-rest), parola hash'leme (bcrypt/scrypt eşdeğeri), dosya depolama erişim kuralları (Row-Level Security).
• Erişim kontrolü: Üretim verilerine yalnızca yetkili kişiler ihtiyaç duyulan ölçüde erişebilir; erişim kayıt altına alınır.
• İzole arka plan işlemleri: Yerel cihaz önbelleğinde tutulan kimlik bilgileri yalnızca uygulama korumalı alanından (sandbox) erişilebilir konumda saklanır.
• Bağımlılık güvenliği: Üçüncü taraf kütüphaneler düzenli olarak güncellenir.

10. Çocukların Gizliliği

Uygulama, ebeveynler tarafından kullanılmak üzere tasarlanmıştır ve 13 yaşın altındaki çocuklara yönelik değildir (AB/AEA'da 16 yaşın altındakiler ulusal yasaya bağlı olarak). 13 yaşın altındaki bir çocuğun rıza olmaksızın kişisel verisini topladığımızı tespit edersek, söz konusu veriyi derhâl sileriz.

Ebeveynler, Uygulama içinde bebeklerine ait isim, yaş grubu ve cinsiyet gibi sınırlı bilgileri kendi rızalarıyla girebilirler. Bu bilgiler yalnızca aile içi paylaşım amacıyla işlenir ve reklam, profilleme veya üçüncü taraf pazarlama amacıyla kullanılmaz. Bebek verisi, ebeveyn hesabından üçüncü kişi (çocuk) hakkında girilen kullanıcı içeriğidir; çocuk Hizmetin doğrudan kullanıcısı değildir.

Ses kayıtları ve biometrik veri: Uygulamada kaydedilen sesli notlar, ebeveynin kendi hesabından oluşturduğu kullanıcı içeriğidir. Çocuk voiceprint'i, çocuk ses kaydı veya biometrik tanımlayıcı olarak işlenmez. ABD COPPA Final Rule (22 Nisan 2025, uyum tarihi 22 Nisan 2026) kapsamında genişletilen "çocuk kişisel verisi" tanımı (audio recordings, voiceprints, biometric identifiers) bu uygulamada toplanmamaktadır.

COPPA (ABD), GDPR-K (AB) ve KVKK m.10 kapsamındaki çocuk verisi korumalarına uyum sağlanır. Şüphe duyduğunuz hâllerde lütfen iletişime geçin.

11. Haklarınız

11.1 KVKK m.11 Kapsamındaki Haklarınız

Veri sorumlusuna başvurarak şu haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme
• KVKK m.7'de öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme
• Düzeltme/silme/yok edilme işlemlerinin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Otomatik sistemler vasıtasıyla analiz sonucu aleyhinize çıkan sonuca itiraz etme
• Hukuka aykırı işleme nedeniyle uğradığınız zararı talep etme

11.2 GDPR (AB/AEA) Kapsamındaki Ek Haklarınız

• Erişim hakkı (Art. 15), düzeltme (Art. 16), silinme — "unutulma hakkı" (Art. 17)
• İşlemenin kısıtlanması (Art. 18), veri taşınabilirliği (Art. 20), itiraz (Art. 21)
• Otomatik karar verme ve profilleme dışında kalma (Art. 22)
• Denetim makamına şikâyet (Art. 77) — bulunduğunuz AB üyesi ülkenin Veri Koruma Otoritesi

11.3 Talep Yöntemi

Taleplerinizi info@babyandmecheck.com adresine, kimliğinizi doğrulayıcı bilgi ile birlikte iletebilirsiniz. KVKK kapsamındaki başvurular için "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ" hükümleri uygulanır ve en geç 30 gün içinde yanıt verilir.

12. Hesap ve Veri Silme

Hesabınızı ve ona bağlı tüm verileri iki yoldan silebilirsiniz:

12.1 Uygulama İçinden

Uygulama → Profil sekmesi → Ayarlar → Hesabımı sil seçeneğine dokunarak silme talebi oluşturabilirsiniz. Onay sonrasında hesabınız kullanım dışı bırakılır ve 30 gün içinde tüm üretim veritabanlarından kalıcı olarak silinir.

12.2 Web Üzerinden Talep

Uygulamayı yüklemeden veya yeniden indirmeden de hesap silme talebi başlatabilirsiniz. Tarayıcınızdan babyandmecheck.com/account-delete sayfasını ziyaret ederek formu doldurabilirsiniz. Talebin kayıtlı e-posta adresinizden gelmesi gerekir; kimlik doğrulamanın ardından 30 gün içinde silme işlemi tamamlanır. (Bu yöntem Google Play hesap silme şartını karşılar.)

12.3 E-Posta ile Talep

Alternatif olarak kayıtlı e-posta adresinizden info@babyandmecheck.com adresine "Hesap silme talebi" konulu bir e-posta gönderebilirsiniz. Kimlik doğrulamanın ardından 30 gün içinde silme işlemi tamamlanır.

Yedekler: Hesap silindikten sonra şifreli yedeklerde 90 güne kadar veri kalabilir; bu süre içinde otomatik yedek rotasyonu ile kalıcı olarak silinir.

Saklanan istisnalar: Yasal yükümlülük gerektiren satın alma kayıtları (fatura/vergi belgeleri) yasal asgari süre boyunca saklanır.

13. Bildirimler, Reklamlar ve İzleme

13.1 Push Bildirimleri

Uygulama, görev hatırlatmaları, aile içi etkileşim ve sistem mesajları için bildirim gönderir. Bildirimleri her zaman cihaz ayarlarından kapatabilirsiniz. Android 13+ ve iOS'ta ilk açılışta bildirim izni istenir.

13.2 Reklamlar (Yalnızca Ücretsiz Kullanıcılar İçin)

Premium abone olmayan kullanıcılara, isteğe bağlı olarak ödüllü reklam (Google AdMob) gösterilir; karşılığında uygulama içi "AnneCoin" bakiyesi artar. Premium kullanıcılarda reklam gösterilmez ve reklam kimliği işlenmez.

Tüm ödüllü reklamlar kişiselleştirilmemiş (non-personalized) olarak gösterilir. AdMob isteklerimiz her zaman npa=1 parametresini içerir; bu, ATT izninizden veya AAID durumundan bağımsız olarak reklam ölçümünde IDFA/AAID kullanılmaması ve çapraz-bağlam davranışsal reklam yapılmaması anlamına gelir. Bu yapılandırma California CPRA "Sharing" tanımının dışında kalmamızı sağlar.

13.3 Uygulama İçi İzleme Şeffaflığı (iOS — ATT)

iOS 14.5 ve üzeri sürümlerde, Apple App Tracking Transparency (ATT) çerçevesinde "Uygulamaların etkinliğinizi diğer şirketlere ait uygulamalar ve web sitelerinde izlemesine izin verilsin mi?" sorusu gösterilir. Bu izni vermezseniz size kişiselleştirilmemiş reklam gösterilir ve IDFA tanımlayıcısı işlenmez.

Apple "izleme"yi (tracking), kullanıcı veya cihaz verisinin başka şirketlere ait uygulama veya web siteleriyle çapraz olarak ilişkilendirilmesi olarak tanımlar. AdMob'un IDFA üzerinden yaptığı reklam ölçümü bu tanıma girer; ATT reddedildiğinde IDFA'ya erişilmez ve reklam ölçümü cihazda anonim hâle gelir.

13.4 Android Reklam Kimliği

Android 13+ cihazlarda, sistem ayarlarından (Ayarlar → Gizlilik → Reklamlar) reklam kimliğini sıfırlayabilir veya silebilirsiniz. Silinmesi hâlinde size kişiselleştirilmemiş reklam gösterilir.

13.5 Yapay Zekâ ile Üretilen İçeriği Raporlama

Google Gemini ile yeniden yazılmış bir metin sizin için uygunsuz, hatalı veya rahatsız edici görünüyorsa, sesli not ekranındaki yeniden yazma sonucunun yanında bulunan 🚩 (Bildir) simgesine basarak orijinal metin, yeniden yazılmış metin ve gözleminizi bize iletebilirsiniz. Bu raporlar yapay zekâ kullanımının iyileştirilmesi ve içerik filtrelemesi için kullanılır (Google Play GenAI politikası uyumu).

Önleyici filtreleme: Raporlama mekanizmasına ek olarak, Gemini'nin yerleşik güvenlik filtreleri (harassment, hate speech, sexually explicit, dangerous content kategorileri) etkin tutulur ve gönderdiğimiz istem (prompt) yalnızca tonu değiştirmek üzere sınırlandırılır — yeni içerik üretme, soru cevaplama veya açık uçlu konuşma için kullanılmaz. Raporlanan içerikler bu önleyici filtrelerin iyileştirilmesi için kullanılır (Google Play GenAI politikası "prevent restricted content in advance" gerekliliği).

14. İzinler ve Yerel Depolama

14.1 Cihaz İzinleri

Uygulama yalnız aşağıda listelenen amaçlar için cihaz izinlerinizi ister. Her izin, kullanım anında sistem tarafından sorulur; reddederseniz ilgili özellik kapatılır, uygulamanın geri kalanı çalışmaya devam eder.

14.2 Yerel Depolama (Çerez Yerine)

Uygulama, geleneksel "çerez" (cookie) teknolojisi kullanmaz; bunun yerine mobil platforma uygun şu mekanizmalar kullanılır:

• SharedPreferences / UserDefaults: Dil ve tema tercihi, oturum bilgisi, AnneCoin bakiyesi, yapay zekâ rızası bayrağı (cihazda yerel; sunucuya gönderilmez).
• Önbellek dizini: Geçici dosyalar (sesli not kaydı, bekleyen aksiyon meta verisi). Uygulama silindiğinde otomatik temizlenir.
• Güvenli oturum belirteci (token): Supabase tarafından oluşturulan oturum belirteci, cihazda güvenli alanda saklanır.

15. Bölge Bazlı Bildirimler

15.1 California Sakinleri (CCPA / CPRA)

Kaliforniya Eyaleti sakinleri için aşağıdaki ek bilgiler geçerlidir:

Son 12 ayda topladığımız kategoriler (CCPA §1798.130):

• Tanımlayıcılar: e-posta, kullanıcı kimliği, FCM cihaz belirteci, IDFA/AAID (yalnız rıza ile)
• Müşteri kayıtları (Civil Code §1798.80): ad-soyad
• Ticari bilgi: mağaza satın alma kimliği, abonelik durumu
• İnternet/cihaz etkinliği: uygulama versiyonu, cihaz türü, çökme verisi (yalnız Sentry aktifse)
• Ses verisi: sesli notlar (kullanıcı içeriği olarak)
• Çıkarılan bilgiler: Yok — profilleme yapmıyoruz.

Hassas kişisel bilgi (CPRA SPI): Hesap erişim bilgileriniz (e-posta + parola) ve isteğe bağlı olarak paylaştığınız bebek demografik bilgileri SPI sayılabilir. Bunları reklam veya profilleme için kullanmıyoruz.

Sale / Share: Kişisel verilerinizi satmıyoruz ve davranışsal reklam (cross-context behavioural advertising) için üçüncü taraflarla "paylaşmıyoruz". Bu nedenle "Do Not Sell or Share My Personal Information" bağlantısı sunulmasına gerek yoktur; bu beyan kayıt amaçlıdır.

Haklarınız: Bilme/Erişim, Silme, Düzeltme, Sınırlama (SPI için), Veri Taşınabilirliği, Ayrımcılığa Uğramama. Talepleriniz için info@babyandmecheck.com veya babyandmecheck.com/account-delete. Doğrulama için kayıtlı e-posta adresinizden gelmesi gerekir.

15.2 Avrupa Birliği / Avrupa Ekonomik Alanı (AB/AEA)

Pazar durumu: Uygulama Avrupa Birliği / Avrupa Ekonomik Alanı'nda resmi olarak dağıtılmamaktadır. Google Play Console ve Apple App Store Connect ülke kullanılabilirlik (country availability) ayarlarında AB/AEA üyesi ülkeler aktif olarak hariç tutulmuştur. Bu nedenle GDPR Madde 27 uyarınca bir AB temsilcisi atanmamıştır. AB/AEA pazarına resmi geçiş öncesinde Madde 27 temsilcisi atanacak, Consent Mode v2 uyumlu bir CMP entegre edilecek ve bu politika güncellenecektir. Mağaza kısıtlamalarına rağmen AB'de bulunan bir kullanıcı uygulamaya erişirse, GDPR kapsamındaki temel haklarına (erişim, düzeltme, silme, taşınabilirlik, itiraz) saygı gösterilir ve talepleri info@babyandmecheck.com üzerinden işleme alınır.

15.3 Birleşik Krallık Sakinleri

UK GDPR ve Veri Koruma Yasası 2018 kapsamındaki haklarınız bu politikanın 11.2'nci bölümünde özetlenmiştir. Şikâyet için Birleşik Krallık Bilgi Komiseri Ofisi'ne (Information Commissioner's Office — ICO) ico.org.uk üzerinden başvurabilirsiniz.

15.4 Türkiye Sakinleri

KVKK m.11 kapsamındaki haklarınız 11.1'inci bölümde sıralanmıştır. Kişisel Verileri Koruma Kurulu'na kvkk.gov.tr üzerinden şikâyet hakkınız saklıdır.

16. Politika Değişiklikleri

Bu politika zaman zaman güncellenebilir. Önemli değişiklikler hâlinde Uygulama içinde uygun bir bildirim yapılır; küçük değişiklikler bu sayfa üzerinde "Son güncelleme" tarihi değiştirilerek yayınlanır. Yürürlüğe giriş tarihi sonrası Uygulamayı kullanmaya devam etmeniz, güncellenmiş politikayı kabul ettiğiniz anlamına gelir.

Önceki sürümleri talep ederseniz info@babyandmecheck.com adresinden iletebiliriz.

17. İletişim

Bu Gizlilik Politikası Türkçe ve İngilizce olarak yayımlanmıştır. Kullanıcının seçtiği dildeki sürüm o kullanıcı için bağlayıcıdır; yetkili merciler/denetim makamları nezdinde gerekli hâllerde her iki sürüm de eşdeğer olarak değerlendirilir.