Gizlilik Politikası ve KVKK Aydınlatma Metni

Bu metin, BebekTakip uygulamasının hangi verileri işlediğini, bunları neden ve hangi hukuki sebeple işlediğini, kimlerle paylaştığını, ne kadar süre sakladığını ve bu veriler üzerinde hangi haklara sahip olduğunuzu anlatır.

Sade bir dille yazmaya çalıştık. BebekTakip bir bebek bakım günlüğü olduğu için işlenen verilerin bir kısmı bebeğinizin sağlığına ilişkindir ve mevzuat bunları en korumalı kategoriye alır. Bu yüzden aşağıdaki bölümleri, özellikle 3, 4 ve 9 numaralı bölümleri okumanızı öneririz.

1. Veri sorumlusu ve iletişim

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca veri sorumlusu:

Verilerinizle ilgili her türlü talebinizi yukarıdaki adreslere iletebilirsiniz. Başvurunuz en geç 30 gün içinde yanıtlanır.

2. Topladığımız veriler

Aşağıdaki liste uygulamanın işlediği tüm veri kategorilerini gösterir. Bir kategoriyi hiç kullanmazsanız (örneğin hiç fotoğraf yüklemezseniz) o veri de oluşmaz — listedekilerin çoğu, siz o özelliği kullandığınızda ortaya çıkar.

2.1. Hesap bilgileri

• E-posta adresiniz ve adınız
• Parolanız — şifrelenmiş özet (argon2id) olarak; parolanızın kendisi hiçbir yerde saklanmaz ve biz de göremeyiz
• Uygulama tercihleriniz: dil, saat dilimi, kilo/uzunluk birimi, açık/koyu tema
• Rehber bölümünde favorilediğiniz yazıların listesi
• Bu metni onayladığınız tarih ve onayladığınız metnin sürümü

2.2. Oturum ve cihaz kayıtları

Hesabınızı güvende tutmak ve "hangi cihazlarda açığım" listesini gösterebilmek için her oturum açılışında şunlar kaydedilir:

• Cihaz adı, platform (Android/iOS) ve tarayıcı/uygulama tanıtıcısı (user agent)
• IP adresiniz — yalnızca oturum listesinde "bu cihaz nereden bağlandı" bilgisini gösterebilmek ve şüpheli girişi fark etmenizi sağlamak için. IP adresi sunucu günlüklerine yazılmaz ve reklam ya da analiz amacıyla kullanılmaz.
• Oturumun açılma, son kullanılma ve sona erme zamanları

Bir oturumu istediğiniz zaman uygulamadan sonlandırabilirsiniz; sonlandırdığınız anda o cihaz erişimini kaybeder.

2.3. Bebek profili

• Ad, doğum tarihi, doğum saati, cinsiyet
• Gebelik haftası (prematüre takibi için) — sağlık verisidir
• Doğum ölçüleri: kilo, boy, baş çevresi
• Varsa profil fotoğrafı

2.4. Günlük bakım kayıtları

Uygulamaya girdiğiniz kayıtlar ve bunların başlangıç/bitiş saatleri ile serbest notlarınız:

• Emzirme (taraf ve süreler), biberon, süt sağma, ek gıda
• Uyku, bez değişimi, banyo, etkinlik
• Ateş ölçümü (değer ve ölçüm yöntemi: koltuk altı, kulak, alın, rektal)
• İlaç kaydı (ilacın adı ve dozu)
• Ek gıda alerji/tepki notları ("yeni gıda" işareti, gözlenen tepki)
• Devam eden canlı sayaçlar (uygulamayı kapatsanız da sayaç sürsün diye sunucuda tutulur)

2.5. Büyüme ve sağlık takibi

• Büyüme ölçümleri: kilo, boy, baş çevresi, ölçüm tarihi ve notu
• Aşı kayıtları: planlanan/yapılan tarih, durum, aşı lot numarası, uygulama bölgesi, not
• Randevular: başlık, tarih-saat, konum (klinik/hastane adı ya da adresi) ve not
• Diş çıkarma takibi (diş kodu ve çıkış tarihi)
• Gelişim kilometre taşları (tarih ve not)
• Kendi kurduğunuz hatırlatıcılar: başlık, tür etiketi (örneğin vitamin ya da ilaç), saat ve tekrar düzeni

Uygulamadaki büyüme eğrileri Dünya Sağlık Örgütü'nün yayımladığı referans tablolara dayanır. Bu tablolar herkese açık istatistiklerdir, kişisel veri değildir.

2.6. Fotoğraflar ve anılar

• Anı defterine yüklediğiniz görseller, tarihleri, etiketleri ve notları
• Dosyanın teknik bilgileri: boyut, format, genişlik/yükseklik

Yüklediğiniz her fotoğraf sunucuda yeniden işlenir ve EXIF/GPS meta verileri silinir. Yani bir fotoğrafın nerede çekildiği bilgisi bizde saklanmaz. Fotoğraflar herkese açık bir adreste durmaz; yalnızca kısa ömürlü, imzalı bağlantılarla açılır ve bağlantının süresi dolduğunda erişilemez hale gelir.

2.7. Aile paylaşımı

• Bebeğin bakıcı listesi (kimin hangi rolde eriştiği)
• Oluşturduğunuz davet kodları, geçerlilik süreleri ve daveti kimin kullandığı

2.8. Bildirim verileri

• Cihazınızın bildirim jetonu (FCM token), platformu, uygulama sürümü, dili, saat dilimi ve son görülme zamanı
• Gönderilen bildirimin kaydı: türü, başlığı, metni, gönderim ve okunma zamanı
• Bildirim tercihleriniz (hangi bildirim türü açık/kapalı)

2.9. Abonelik ve satın alma

• Plan, durum, platform, ürün kimliği, başlangıç/bitiş tarihleri
• Mağazadan gelen satın alma jetonu ve işlem numarası
• Mağazanın döndürdüğü makbuz yanıtı (denetim ve itiraz durumları için)

2.10. Reklam verileri

Ücretsiz sürümde reklam gösterilir. Reklamlar Google AdMob tarafından sunulur ve bu sırada Google bazı verileri kendi adına toplar. Ayrıntılar 6. bölümdedir. Premium aboneliğiniz varsa hiç reklam gösterilmez ve reklam SDK'sı devreye girmez.

Ödüllü reklamı izleyerek kazandığınız geçici reklamsız sürenin bitiş zamanı yalnızca kendi cihazınızda saklanır; bu bilgi sunucumuza gönderilmez.

2.11. Cihaz izinleri

Uygulama cihazınızdan yalnızca şu izinleri ister ve her birini istediğiniz zaman cihaz ayarlarından geri alabilirsiniz:

• Bildirim izni — aşı, randevu ve hatırlatma bildirimleri için. Vermezseniz uygulamanın geri kalanı çalışır, yalnızca bildirim almazsınız.
• Kamera ve fotoğraf erişimi — yalnızca siz bir fotoğraf eklemek istediğinizde, o an için sorulur. Uygulama galerinizi taramaz; yalnızca seçtiğiniz görsele erişir.

Uygulama konum izni istemez, rehberinize, kişilerinize, mikrofonunuza ve cihazınızdaki diğer dosyalara erişmez.

3. Sağlık verisi ve açık rıza

Hesap oluştururken bu metnin o günkü sürümünü onayladığınız kaydedilir; böylece hangi metne rıza verdiğiniz sonradan belirlenebilir.

4. İşleme amaçları ve hukuki sebepler

Yapmadığımız şeyler: Verilerinizi satmıyoruz. Reklam ağlarına bebeğinizin sağlık kayıtlarını, ölçümlerini veya fotoğraflarını aktarmıyoruz. Verilerinizi kullanarak sizi başka platformlarda takip etmiyoruz. Kullanıcı verilerini profilleme veya otomatik karar verme amacıyla işlemiyoruz.

5. Üçüncü taraflara aktarım

Verileriniz ilke olarak kendi sunucumuzda durur: kayıtlar ve profiller PostgreSQL veritabanında, fotoğraflar ve dışa aktarma arşivleri S3 uyumlu nesne deposunda tutulur. Bunun dışında yalnızca aşağıdaki durumlarda, yalnızca gerekli olan asgari veri üçüncü taraflara aktarılır.

5.1. Google — Bildirim gönderimi (Firebase Cloud Messaging)

Anlık bildirimleri cihazınıza ulaştırmak için Google'ın bildirim altyapısını kullanıyoruz. Bu sırada Google'a aktarılan veriler:

• Cihazınızın bildirim jetonu
• Bildirimin başlığı ve metni

5.2. Google — Reklam (AdMob)

Ücretsiz sürümde reklam gösterildiğinde Google Mobile Ads SDK'sı kendi adına veri toplar. Ayrıntı 6. bölümdedir. Bu SDK'ya hesabınıza veya bebeğinize ait hiçbir veri iletilmez; SDK uygulamanın kayıt verilerine erişemez.

5.3. Google Play ve Apple — Abonelik doğrulama

Premium abonelik satın aldığınızda, satın almanın gerçek olduğunu doğrulamak için mağazanın satın alma jetonunu/makbuzunu ilgili mağazanın doğrulama servisine göndeririz. Aktarılan tek şey bu jeton/makbuzdur; kişisel veriniz ya da bebek verisi gönderilmez.

5.4. E-posta gönderimi

Size tek bir durumda e-posta göndeririz: parola sıfırlama. Bu e-posta kendi sunucumuz (üçüncü taraf e-posta sağlayıcısı kullanılmaz) üzerinden gönderilir ve sağlayıcı e-posta adresinizi ile mesajın içeriğini görür.

İçeriği bilerek sade tutuyoruz: e-posta yalnızca kısa ömürlü bir sıfırlama bağlantısı içerir, sizi isimle anmaz ve bebeğinizin adı ile kayıtlarını içermez.

Aile daveti ve dışa aktarma arşivinin hazır olması için e-posta gönderilmez: davet kodunu uygulama size gösterir, siz dilediğiniz kanaldan iletirsiniz; arşiv hazır olduğunda ise uygulama içi bildirim alırsınız.

5.5. Ailenizle paylaşım

Bir bebeğe bakıcı eklediğinizde, o kişinin o bebeğe ait tüm kayıtları görebileceğini unutmayın: bakım kayıtları, sağlık verileri, ölçümler, fotoğraflar ve notlar dahil. Bu bir veri aktarımıdır ve sizin talebinizle olur. Bir kişinin erişimini istediğiniz zaman kaldırabilirsiniz.

5.6. Hukuki talepler

Mahkeme kararı veya kanunen yetkili kamu kurumlarının usulüne uygun talebi halinde, talep edilen veriyi mevzuatın gerektirdiği ölçüde paylaşırız.

5.7. Yurt dışına aktarım

Sunucularımız ve veritabanımız Türkiye (İstanbul) konumundadır. Yukarıdaki 5.1–5.4 kalemleri (bildirim, reklam, mağaza doğrulama, e-posta) ilgili sağlayıcıların altyapısı gereği yurt dışına aktarım niteliğindedir ve KVKK m.9 ile GDPR Bölüm V kapsamında değerlendirilir. Bu aktarımlar hizmetin sunulabilmesi için zorunludur ve açık rızanıza dayanır.

6. Reklamlar ve reklam kimliği

Ücretsiz sürüm reklamla finanse edilir. Reklamları Google AdMob sunar. Uygulamada dört reklam biçimi bulunur:

• Banner — yalnızca liste ekranlarının altında duran şerit.
• Geçiş reklamı — ekranlar arasında, seyrek ve en az belirli bir süre arayla. Kayıt akışlarında (sayaç, hızlı kayıt, form) gösterilmez.
• Yerel (sponsorlu) reklam — rehber yazı listesinde, içeriğe benzer biçimde. Her zaman "Sponsorlu" etiketiyle gösterilir ve listenin ilk kartlarında yer almaz.
• Ödüllü video — yalnızca sizin bilerek bastığınız bir düğmeyle açılır; kendiliğinden başlamaz. İzlerseniz bir süre reklamsız kullanım kazanırsınız.

Google'ın kendi beyanına göre Mobile Ads SDK şu verileri toplayabilir:

• IP adresi (yaklaşık konum tahmini için)
• Reklam kimliği (Android'de AAID, iOS'ta reklam tanımlayıcısı), uygulama grubu kimliği veya oturum açmış hesap kimliği
• Ürün etkileşimleri: uygulamanın açılması, reklama dokunma, video izleme gibi olaylar
• Teşhis ve performans verisi

Google bu verileri reklam gösterimi, ölçümleme ve sahtecilik önleme amacıyla kendi veri sorumlusu sıfatıyla işler. Google'ın uygulamalardaki veri kullanımını Google Gizlilik Politikası üzerinden inceleyebilirsiniz.

Çerez kullanmıyoruz. Uygulama bir web sitesi değildir ve kendi çerezini yerleştirmez; yukarıda anlatılan reklam kimliği, çerezin mobildeki karşılığıdır. Oturumunuzu sürdürmek için cihazınızda saklanan güvenlik jetonları ise takip amaçlı değil, yalnızca sizi giriş yapmış tutmak içindir.

Analitik kullanmıyoruz. Uygulamada Google Analytics, Firebase Analytics, Crashlytics veya benzeri bir kullanım analizi/çökme raporlama aracı bulunmamaktadır.

7. Saklama süreleri

8. Güvenlik önlemleri

• Parolalar geri döndürülemez biçimde (argon2id) özetlenerek saklanır.
• Tüm iletişim şifreli bağlantı (HTTPS) üzerinden yapılır.
• Oturum jetonları düzenli olarak yenilenir; çalınmış bir jetonun yeniden kullanımı tespit edilirse ilgili oturum zinciri topluca geçersiz kılınır.
• Fotoğraflar herkese açık adreslerde durmaz; yalnızca kısa ömürlü imzalı bağlantılarla servis edilir.
• Yüklenen dosyaların gerçek formatı içeriğinden doğrulanır; yalnızca "resim" diyen ama olmayan dosyalar reddedilir.
• Sunucu günlüklerine kişisel veri yazılmaz. Hata kayıtları teknik bilgi içerir; bebeğin adı, kayıtları ve fotoğrafları bu kayıtlara girmez.
• Bebek verilerine yalnızca sizin bakıcı olarak eklediğiniz kişiler erişebilir; her istek sunucuda yetki kontrolünden geçer.

9. Çocuğa ait veriler

BebekTakip yetişkinler için tasarlanmıştır; uygulamayı ebeveyn veya bakıcı kullanır, çocuk kullanmaz. Uygulamada tutulan veriler ise büyük ölçüde bir çocuğa aittir ve bu verilerin işlenmesine çocuğun velisi sıfatıyla siz rıza verirsiniz.

• Çocuğa ait veriler reklam hedeflemesinde kullanılmaz ve reklam ağlarına aktarılmaz.
• Çocuğa ait veriler satılmaz, pazarlama amacıyla üçüncü taraflarla paylaşılmaz.
• Çocuğa ait veriler üzerinde profilleme veya otomatik karar verme yapılmaz.
• Uygulama çocuklardan doğrudan veri toplamaz; kayıtları siz girersiniz.

10. Haklarınız (KVKK m.11)

KVKK'nın 11. maddesi uyarınca veri sorumlusuna başvurarak şunları talep edebilirsiniz:

1. Kişisel verinizin işlenip işlenmediğini öğrenme
2. İşlenmişse buna ilişkin bilgi talep etme
3. İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
4. Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme
5. Eksik veya yanlış işlenmişse düzeltilmesini isteme
6. KVKK m.7'deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme
7. Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
8. Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkmasına itiraz etme
9. Kanuna aykırı işleme sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme

Avrupa Birliği'nde bulunuyorsanız GDPR kapsamında ayrıca veri taşınabilirliği, işlemenin kısıtlanması, işlemeye itiraz ve denetim makamına şikâyet haklarına sahipsiniz.

Taleplerinizi ltahakarakus@gmail.com adresine iletebilirsiniz. Başvurunuz en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi halinde Kurul'un belirlediği tarifedeki ücret alınabilir.

11. Hesabınızı silme ve verinizi indirme

Bu iki hakkı başvuru beklemeden, doğrudan uygulama içinden kullanabilirsiniz.

11.1. Verilerimi indirme (taşınabilirlik)

1. Uygulamada Menü → Verilerimi İndir adımına gidin.
2. Talebinizi oluşturun. Arşiv seçili bebek için arka planda hazırlanır; bu birkaç dakika sürebilir. Birden fazla bebeğiniz varsa her biri için ayrı talep oluşturursunuz.
3. Arşiv hazır olduğunda size uygulama içi bildirim gönderilir.
4. İndirme bağlantısıyla arşivi ZIP dosyası olarak indirirsiniz. İçinde kayitlar/ klasöründe verileriniz CSV dosyaları hâlinde (aktiviteler, büyüme, aşılar, dişler, kilometre taşları, anılar, randevular) ve fotograflar/ klasöründe yüklediğiniz görseller bulunur.
5. Arşiv 7 gün sonra sunucudan otomatik silinir; dilediğiniz zaman yeni bir talep oluşturabilirsiniz.

11.2. Hesabımı silme

1. Uygulamada Menü → Hesabımı Sil adımına gidin ve onaylayın.
2. Silme hemen gerçekleşmez: 7 günlük bir geri alma penceresi başlar. Yanlışlıkla başlattıysanız bu süre içinde tekrar giriş yapmanız yeterlidir; silme kendiliğinden iptal olur.
3. Süre dolduğunda hesabınız, yalnızca size ait bebeklerin tüm kayıtları, ölçümleri, aşıları, randevuları, anıları ve fotoğrafları kalıcı olarak silinir.

Abonelik ve makbuz kayıtları, mali mevzuat gereği hesap silindikten sonra da saklanmaya devam eder (bkz. 7. bölüm).

12. Bu metindeki değişiklikler

Bu metni, uygulamaya yeni bir özellik eklendiğinde veya mevzuat değiştiğinde güncelleyebiliriz. Güncel metin her zaman bu adreste ve uygulama içinde Menü → KVKK ve Gizlilik bölümünde yayımlanır.

Önemli bir değişiklik olduğunda — örneğin yeni bir veri kategorisi işlemeye başlarsak ya da yeni bir üçüncü tarafa aktarım eklersek — sizi uygulama içinde bilgilendirir, gerekiyorsa yeniden onayınızı isteriz. Metnin en üstündeki "Son güncelleme" tarihinden değişip değişmediğini takip edebilirsiniz.