FİTTOLOG KİŞİSEL VERİLERİN KORUNMASI VE GİZLİLİK POLİTİKASI
GİRİŞ
Bu Kişisel Verilerin Korunması ve Gizlilik Politikası (“Politika”), Fittolog mobil uygulamasını (“Fittolog” veya “Uygulama”) kullandığınızda hangi kişisel verilerin işlendiğini; bu verilerin hangi amaçlarla kullanıldığını, kimlerle paylaşılabildiğini, ne kadar süre saklandığını ve kişisel verileriniz üzerindeki haklarınızı açıklar.
Fittolog; öğün, kalori ve makro besin, su tüketimi, kilo, aktivite ve kişisel hedef takibine yardımcı olan; metin, fotoğraf ve ses üzerinden yapay zekâ destekli analiz ve öneri işlevleri sunan bir mobil uygulamadır. Uygulama, verdiğiniz bilgiler ve seçtiğiniz özelliklerle sınırlı olarak kişiselleştirilmiş takip deneyimi oluşturur.
Fittolog bir hastane, klinik, sağlık kuruluşu veya sağlık meslek mensubu değildir. Uygulamadaki hesaplamalar, fotoğraf analizleri ve yapay zekâ çıktıları tanı, tedavi, reçete ya da kişiye özel tıbbi tavsiye niteliğinde değildir. Bu çıktılar hatalı, eksik veya kişisel durumunuza uygun olmayan bilgi içerebilir. Alerji, intolerans, hastalık, hamilelik veya emzirme, ilaç kullanımı, yeme bozukluğu ya da başka bir sağlık durumu bulunan kullanıcılar yalnız Uygulama çıktısına dayanarak sağlık kararı vermemeli; gerektiğinde hekim veya yetkili diyetisyene başvurmalıdır. Acil durumda Uygulamadan yönlendirme beklenmemeli, 112 Acil Çağrı Merkezi veya bulunulan yerdeki yetkili acil yardım hizmeti aranmalıdır.
Bu Politika bir açık rıza beyanı değildir. Politikanın okunması veya kabul edildiğinin işaretlenmesi açık rıza verildiği anlamına gelmez. Sağlık verilerinin Fittolog özelliklerinde işlenmesi ve sağlık verilerinin yapay zekâ hizmetine gönderilmesi, ilgili işlem başlamadan önce ayrı metinler ve ayrı tercihler üzerinden yönetilir.
1. KAPSAM VE VERİ SORUMLUSU
Bu Politika, Fittolog’un Android ve iOS mobil uygulamasında gerçekleşen kişisel veri işleme faaliyetlerini kapsar. Fittolog’un hesap, sağlık veya takip verisi işleyen bir web uygulaması bulunmamaktadır. Tanıtım, destek veya hukuki metinlerin yayımlanması amacıyla ileride açılabilecek internet sayfasında farklı bir veri işleme faaliyeti yürütülürse bu faaliyet ayrıca açıklanır.
6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) bakımından veri sorumlusu, Fittolog’u yayımlayan ve kişisel verilerin hangi amaç ve araçlarla işleneceğine karar veren gerçek veya tüzel kişidir. Kişisel verilerle ilgili soru ve talepler için iletişim adresi support@fittolog.com adresidir.
Veri Sorumlusunun Bilgileri
Ticari Unvan/Ad ve Soyad: AFC Labs / Burak Afacan
Hukuki Statü: Gerçek Kişi - Şahıs İşletmesi
Merkez/Tebligat Adresi:23 NİSAN MH. 241. SK. ALPİŞ PLAZA NO 10 B
MERSİS/Vergi Kimlik Numarası: 0081381990
E-posta Adresi: support@fittolog.com
İnternet Sitesi: www.fittolog.com
2. VERİLERİN İŞLENMESİNDE BENİMSEDIĞİMİZ ESASLAR
Fittolog, kişisel verileri yalnız Uygulamanın kullandığınız işlevini sunmak, hesabı ve hizmeti güvenli biçimde yönetmek ve hukuki yükümlülüklerini yerine getirmek için gerekli olduğu ölçüde işler. Kullanıcının makul olarak beklemeyeceği, açıklanmamış veya hizmetle ilgisiz bir veri işleme faaliyeti yürütülmez.
Verilerin elde edilmesi, kullanılması, saklanması, aktarılması ve silinmesinde KVKK’nın 4. maddesindeki ilkelere uyulur. Buna göre kişisel veriler:
- Hukuka ve dürüstlük kurallarına uygun şekilde işlenir;
- Doğru ve gerektiğinde güncel tutulur;
- Belirli, açık ve meşru amaçlarla kullanılır;
- İşleme amacıyla bağlantılı, sınırlı ve ölçülü tutulur;
- İlgili mevzuatta öngörülen veya işleme amacının gerektirdiği süreden uzun saklanmaz;
- Yetkisiz erişim, kayıp, değişiklik ve açıklamaya karşı verinin niteliğine uygun tedbirlerle korunur.
Açık rıza, kişisel verilerin işlenebileceği hukuki sebeplerden yalnız biridir. Sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması ya da korunması ve temel haklara zarar vermemek kaydıyla meşru menfaat gibi başka bir kanuni işleme şartı varsa kullanıcıdan gereksiz yere açık rıza istenmez. Sağlık verileri ise Fittolog’un mevcut kullanım senaryosunda ayrı ve belirli açık rızaya dayanılarak işlenir.
3. KİŞİSEL VERİLERİ NASIL ELDE EDİYORUZ?
Kişisel veriler elektronik ortamda, aşağıdaki işlemler sırasında doğrudan kullanıcıdan veya kullanılan hizmetin doğal sonucu olarak elde edilir:
- Hesap açılması, e-posta veya Google hesabıyla oturum kurulması;
- Profil, hedef, beslenme tercihi ve ilk kullanım sorularının yanıtlanması;
- Öğün, su, kilo, aktivite, görev ve ilerleme kayıtlarının oluşturulması;
- Yapay zekâ sohbetine metin yazılması, fotoğraf yüklenmesi veya sesli özelliğin başlatılması;
- Kamera, fotoğraf arşivi, mikrofon ve bildirim gibi cihaz izinlerinin kullanıcı tarafından verilmesi;
- Uygulamanın güvenliği ve düzgün çalışması için sınırlı teknik kayıtların oluşması;
- Destek, şikâyet veya kişisel veri başvurusu gönderilmesi;
- İlgili özellik kullanıma sunulduğunda, kullanıcının Apple ile giriş, sağlık platformu bağlantısı veya uygulama mağazası üzerinden abonelik işlemini kendisinin başlatması.
Fittolog kesin konum veya GPS verisi istemez. Google Analytics for Firebase (Firebase Analytics) ve Google AdMob, ancak kullanıcıya gerekli bilgilendirme yapılıp ilgili tercih mekanizmaları etkinleştirildikten sonra kullanılır. Bu hizmetler aracılığıyla; uygulama örneği tanımlayıcısı, cihaz ve işletim sistemi bilgileri, uygulama sürümü, IP adresinden türetilebilen yaklaşık ülke/bölge bilgisi, izin verildiği ölçüde reklam kimliği, reklam gösterimi ve etkileşim bilgileri ile kişisel içerik taşımayan ekran ve özellik kullanım olayları otomatik olarak elde edilebilir. Kullanıcının adı, e-posta adresi, sohbet mesajları, fotoğrafları, ses kayıtları, öğün ve kilo kayıtları, vücut ölçüleri, alerji veya sağlık bilgileri Firebase Analytics ya da Google AdMob’a gönderilmez ve reklam hedeflemesinde kullanılmaz. Gerekli izin veya açık rıza olmaksızın reklam kimliği üzerinden uygulamalar arası takip yapılmaz. Kamera, fotoğraf arşivi ve mikrofon erişimi yalnız ilgili özelliği kullanıcı başlattığında kullanılır; mikrofon arka planda dinleme amacıyla çalıştırılmaz.
4. İŞLEDİĞİMİZ VERİLER, AMAÇLAR VE HUKUKİ SEBEPLER
4.1. HESAP VE OTURUM VERİLERİ
E-posta adresi, görünen ad, hesap tanımlayıcısı, profil fotoğrafı veya avatar, giriş yöntemi ve oturumla ilgili sınırlı kayıtlar; hesabın oluşturulması, kullanıcının tanınması, oturumun korunması, hesap güvenliğinin sağlanması ve destek taleplerinin hesapla eşleştirilmesi amacıyla işlenir.
E-posta ile hesap açılması veya Google ile giriş yapılması sırasında gerekli kimlik doğrulama bilgileri Firebase Authentication üzerinden yönetilir. Google ile giriş kullanıldığında Google’ın kullanıcı tarafından paylaşılmasına izin verilen sınırlı hesap bilgileri alınır. Fittolog, Google hesap şifresini görmez veya saklamaz.
Bu işlemler, kullanıcıyla kurulan hizmet ilişkisinin kurulması ve yürütülmesi ile hesap güvenliğine ilişkin meşru menfaat sebeplerine dayanır. Yetkili makam talebi veya bir uyuşmazlığın yönetimi için tutulması gereken sınırlı kayıtlar hukuki yükümlülük ve bir hakkın tesisi, kullanılması veya korunması sebeplerine dayanabilir.
4.2. PROFİL, HEDEF VE YAŞAM TARZI VERİLERİ
Yaş, cinsiyet, boy, kilo, hedef kilo, aktivite düzeyi, beslenme biçimi, hedefler ve uygulama tercihleri; kullanıcının seçtiği takip hedefini oluşturmak, günlük enerji ve besin hesaplarını kişiselleştirmek, ilerlemeyi göstermek ve ilgili önerileri sunmak için işlenir. Bu bilgiler kullanıcının isteği üzerine sunulan hizmetin yerine getirilmesi amacıyla kullanılır. Profilde sağlık durumunu ortaya çıkaran bir bilgi bulunuyorsa ilgili kısım sağlık verisi olarak değerlendirilir ve yalnız ayrı açık rıza kapsamında işlenir.
4.3. SAĞLIK VERİLERİ VE SAĞLIKLA İLİŞKİLİ BEYANLAR
Alerji, intolerans, hastalık, hamilelik veya emzirme bilgisi, sağlık notları ile kullanıcının serbest metin, fotoğraf veya ses girdisinde açıkladığı sağlık bilgileri özel nitelikli kişisel veridir. Kilo geçmişi, vücut ölçümleri, beslenme ve aktivite kayıtları da somut içeriğine ve birlikte değerlendirildiği bağlama göre sağlık durumunu ortaya çıkarabilir.
Bu veriler, kullanıcının bildirdiği sağlık bağlamını seçtiği takip ve kişiselleştirme işlevine yansıtmak; uygun olmadığını belirttiği içerikleri filtrelemek ve talep ettiği beslenme değerlendirmesini oluşturmak için işlenir. Sağlık verileri reklam, sigorta veya kredi değerlendirmesi, işveren değerlendirmesi, veri satışı ya da kullanıcı aleyhine karar verme amacıyla kullanılmaz.
Sağlık verilerinin Fittolog’un temel takip özelliklerinde kullanılması ayrı bir açık rızaya; bu verilerin yapay zekâ desteği için OpenAI API’ye gönderilmesi ise ayrıca yapay zekâ ve sağlık verisine özgü açık rızaya dayanır. Bu tercihler birbirinden bağımsızdır. Sağlık verisine açık rıza verilmemesi veya verilen rızanın geri alınması hâlinde, sağlık verilerinin işlenmesini gerektiren kişiselleştirme, hesaplama ve takip özellikleri kullanılamaz.
4.4. BESLENME, ÖĞÜN, SU, KİLO VE İLERLEME KAYITLARI
Öğün içeriği, besin adı ve miktarı, kalori ve makro besin değerleri, tarifler, su tüketimi, kilo kayıtları, hedef gerçekleşmeleri, görevler, puanlar ve uygulama içi kazanımlar; kullanıcının beslenme ve yaşam tarzı günlüğünü oluşturmak, geçmiş kayıtları göstermek, günlük ve dönemsel toplamları hesaplamak, ilerlemeyi izlemek ve Uygulamanın oyunlaştırma işlevlerini çalıştırmak amacıyla işlenir.
Bu işlemler, kullanıcının talep ettiği takip hizmetinin sunulması için gereklidir. Sağlık durumunu ortaya çıkaran kayıtlar bakımından sağlık verisine ilişkin açık rıza koşulu ayrıca uygulanır. Besin ve ürün araması, barkod eşleştirmesi ve besin değerlerinin getirilmesi sırasında USDA FoodData Central, Open Food Facts ve FatSecret veri kaynaklarından yararlanılabilir. Bu hizmetlere yönelik sorgular Fittolog’un sunucu altyapısı üzerinden gerçekleştirilir. Sağlayıcılara yalnızca ilgili sorgunun karşılanması için gerekli besin veya ürün adı, barkod ya da besin kayıt numarası ve standart sunucu isteği bilgileri iletilir. Kullanıcının adı, e-posta adresi, Fittolog hesap kimliği, cihaz veya reklam tanımlayıcısı, son kullanıcı IP adresi, sağlık verileri, kilo geçmişi, beslenme günlüğü, yapay zekâ sohbetleri, fotoğrafları ve ses kayıtları bu veri kaynaklarına gönderilmez. Bu nedenle mevcut teknik modelde USDA FoodData Central, Open Food Facts ve FatSecret’e kullanıcıyla ilişkilendirilebilir kişisel veri aktarımı gerçekleştirilmez. Teknik akışın kullanıcıya veya cihaza bağlanabilen veri aktaracak şekilde değiştirilmesi hâlinde ilgili veri işleme faaliyeti başlamadan önce bu Politika ve KVKK Aydınlatma Metni güncellenir.
4.5. FOTOĞRAF VE FOTOĞRAF ANALİZİ
Kullanıcı, yemek, ürün, buzdolabı içeriği veya benzeri bir görseli analiz ettirmek için kamera ya da fotoğraf arşivi erişimini kendisi başlatabilir. Seçilen fotoğraf, içeriğin tanınması ve kullanıcının istediği analiz veya tarif önerisinin oluşturulması amacıyla yapay zekâ hizmetine iletilir.
Fotoğrafın içinde yüz, kimlik belgesi, reçete, tahlil, açık adres, plaka, özel yazışma veya hizmet için gereksiz başka kişisel veri bulunmamalıdır. Fotoğrafta bir kişinin sağlık durumunu ya da başka bir özel nitelikli bilgisini ortaya çıkaran içerik varsa bu içerik daha sıkı korumaya tabidir.
Fittolog fotoğrafı yüz tanıma, biyometrik kimlik doğrulama veya reklam profili oluşturma amacıyla kullanmaz. Fotoğraf Fittolog sunucularında kalıcı bir medya arşivi oluşturmak için tutulmaz. Kullanıcı analiz sonucunu öğün, tarif veya malzeme kaydına dönüştürürse yalnız oluşturduğu kayıt ilgili saklama kuralına tabi olur.
4.6. YAPAY ZEKÂ SOHBETİ, SESLİ GİRİŞ VE ÜRETİLEN İÇERİKLER
Yapay zekâ sohbeti kullanıldığında mesaj, yanıtın anlaşılması için gerekli yakın konuşma bağlamı, sesli girişten oluşturulan metin, kullanıcının seçtiği fotoğraf ve talep edilen yanıt işlenebilir. Kullanıcının istediği sonucun oluşturulması için gerekli olduğunda profil, hedef, öğün ve beslenme bilgilerinden sınırlı bir bağlam eklenebilir. Sağlık bilgisi ancak yapay zekâ ve sağlık verisine özgü açık rıza varsa bu işleme dâhil edilir.
Sesli özellik kullanıcı tarafından başlatıldığında cihazda geçici bir ses dosyası oluşabilir. Bu veri, konuşmanın metne dönüştürülmesi veya sesli yanıt oluşturulması için kullanılır ve Fittolog tarafından kalıcı ses arşivi olarak tutulmaz. Kullanıcı sonucu bir öğün veya başka bir takip kaydına dönüştürürse oluşturulan metinsel kayıt saklanabilir.
Fittolog, sohbet ve medya girdilerini kendi yapay zekâ modelini eğitmek için kullanmaz. Yapay zekâ işlevinin dış hizmet sağlayıcısı OpenAI’dir. OpenAI API’ye gönderilen girdiler ve üretilen çıktılar varsayılan olarak model eğitimi veya geliştirme amacıyla kullanılmaz. OpenAI API’nin varsayılan ayarlarında, girdi ve çıktıları içerebilen kötüye kullanım izleme kayıtları otuz güne kadar tutulabilir; daha kısa saklama sağlayan özel veri kontrolleri yalnız Fittolog hesabında etkinleştirilmişse uygulanır. Hukuki veya güvenlik gerekleri daha uzun saklamayı zorunlu kılabilir. Bu nedenle Fittolog, bütün yapay zekâ verilerinin sağlayıcı tarafında anında ve istisnasız silindiği yönünde bir taahhütte bulunmaz.
4.7. TEKNİK, CİHAZ, GÜVENLİK, ANALİZ VE REKLAM VERİLERİ
IP adresi, işletim sistemi, uygulama sürümü, zaman bilgisi, oturum ve istek durumu, hata türü, ağ yanıtı ve kötüye kullanımın önlenmesi için gerekli sınırlı olay kayıtları; Uygulamanın çalışmasını sağlamak, teknik hataları gidermek, hesap ve sistem güvenliğini korumak, yoğun veya kötüye kullanıma yönelik istekleri sınırlandırmak ve uyuşmazlıkları incelemek amacıyla işlenebilir.
Firebase Analytics etkinleştirildiğinde uygulama örneği tanımlayıcısı, cihaz ve işletim sistemi bilgileri, uygulama sürümü, yaklaşık ülke/bölge bilgisi ile kişisel içerik taşımayan ekran, özellik ve uygulama kullanım olayları; kullanım istatistiklerinin oluşturulması, teknik performansın ve özellik kullanımının ölçülmesi, hizmetin geliştirilmesi ve reklam kampanyalarının dönüşümünün değerlendirilmesi amacıyla işlenebilir. Fittolog hesabını doğrudan tanıtan ad veya e-posta adresi ile sohbet, fotoğraf, ses, öğün, kilo, alerji ve sağlık bilgileri Firebase Analytics’e gönderilmez; Fittolog, Firebase Analytics uygulama olaylarına kullanıcı kimliği eklemez. Premium abonelik olaylarının bu Politikanın 4.10. bölümünde açıklandığı şekilde RevenueCat aracılığıyla Firebase Analytics’e iletilmesi hâlinde, abonelik altyapısında kullanılan takma adlı teknik kullanıcı tanımlayıcısı bu olaylarla birlikte sınırlı olarak işlenebilir. Bu isteğe bağlı analiz faaliyeti ayrı kullanıcı tercihine dayanır. Google Ads dönüşüm ölçümü, iOS’ta Apple Ads/Apple AdServices kampanya atfı ve Meta reklam ölçümü de bu tercih kapsamında yürütülür; ayrıntılar 4.9. bölümünde açıklanır.
Google AdMob etkinleştirildiğinde IP adresi, cihaz ve işletim sistemi bilgileri, yaklaşık ülke/bölge bilgisi, izin verilmesi hâlinde reklam kimliği, reklam gösterimi ve etkileşim bilgileri; kişiselleştirilmemiş veya bağlamsal reklamların sunulması, reklam sıklığının sınırlandırılması, geçersiz trafik ve dolandırıcılığın önlenmesi ve toplu reklam ölçümünün yapılması amacıyla işlenebilir. Sağlık verileri, beslenme ve kilo kayıtları, yapay zekâ sohbetleri, fotoğraflar, ses kayıtları ve diğer özel nitelikli kişisel veriler reklam hedeflemesi için kullanılmaz ve reklam hizmeti sağlayıcılarına bu amaçla gönderilmez.
Analiz ve reklam tercihleri birbirinden ayrı olarak sunulur ve kullanıcı tarafından Ayarlar ekranından değiştirilebilir. İlgili tercih verilmediğinde Firebase Analytics veri toplamaya başlamaz ve Google AdMob’a reklam isteği gönderilmez. Tercihin reddedilmesi, Uygulamanın temel takip özelliklerinin kullanılmasını engellemez. iOS’ta başka şirketlere ait uygulama veya internet siteleri arasında kullanıcı ya da cihaz düzeyinde takip yapılacaksa App Tracking Transparency izni ayrıca alınır; izin verilmediğinde reklam kimliğine erişilmez ve bu kimlik üzerinden uygulamalar arası takip yapılmaz. Android Custom Audience API kullanılmaz ve kullanıcılar sağlık, beslenme veya kilo davranışlarına göre reklam kitlesine eklenmez. Sağlık verileri, beslenme ve kilo kayıtları, yapay zekâ sohbetleri, fotoğraflar ve ses kayıtları reklam kişiselleştirmesi, yeniden hedefleme veya reklam ölçümü amacıyla kullanılmaz.
4.8. DESTEK, BAŞVURU VE TERCİH KAYITLARI
Ad-soyad, iletişim bilgisi, talebin içeriği, hesapla ilişkilendirilmesi için gerekli sınırlı bilgi, yazışmalar ve talebin sonucu; kullanıcı desteği sağlamak, şikâyeti veya kişisel veri başvurusunu sonuçlandırmak ve gerektiğinde bir hakkı kullanmak ya da savunmak için işlenir.
Açık rıza veya izin verilen işlevlere ilişkin tercih verildiğinde; tercihin kapsamı, metin sürümü, tarih-saat ve geri alma bilgisi, tercihin gösterilebilmesi ve uygulanması amacıyla kaydedilir. Bu kayıt, açık rızaya konu sağlık verisinden ayrı tutulur ve yalnız ispat ile tercih yönetimi için kullanılır.
4.9. REKLAM ÖLÇÜMÜ, KAMPANYA ATFI VE DÖNÜŞÜM ANALİZİ
Fittolog, Uygulamanın tanıtımı amacıyla yürütülen reklam kampanyalarının etkinliğini değerlendirmek için Google Analytics for Firebase bağlantısı üzerinden Google Ads dönüşüm ölçümünden, iOS’ta Apple Ads/Apple AdServices atıf hizmetinden ve Meta Platforms reklam ölçüm hizmetlerinden (Meta SDK) yararlanabilir. Google Ads dönüşüm ölçümü, Apple Ads/Apple AdServices atfı ve Meta reklam ölçümü, kullanıcının uygulama analizi (Firebase Analytics) açık rıza tercihi kapsamında yürütülür; bu işlemler için ayrı bir açık rıza alınmaz. Bu hizmetler ancak ilgili özellik kullanıma sunulduğunda ve ilgili tercih ile cihaz izinleri buna olanak tanıdığı ölçüde kullanılır. İlgili tercih verilmediğinde veya geri alındığında Uygulama, ilgili ölçüm entegrasyonunu başlatmaz ya da yeni veri toplanmasını durdurur.
Bu kapsamda; hesap oluşturulması, ilk kullanım adımlarının tamamlanması, Premium ekranının görüntülenmesi ile deneme, satın alma, yenileme veya iptal gibi sınırlı uygulama ve abonelik olayları; olayın zamanı, ilgili abonelik ürünü, tutarı ve para birimi, uygulama sürümü, cihaz ve işletim sistemi bilgileri, IP adresinden türetilebilen yaklaşık ülke/bölge bilgisi, ilgili hizmetin uygulama örneği veya anonim tanımlayıcısı, Apple AdServices tarafından üretilen atıf belirteci ve izin verilmesi hâlinde reklam kimliği; kullanıcının Uygulamaya hangi reklam kampanyası aracılığıyla ulaştığının belirlenmesi, kampanya dönüşümlerinin toplu olarak ölçülmesi ve reklam bütçesinin değerlendirilmesi amacıyla işlenebilir.
iOS’ta App Tracking Transparency (ATT) izni, Apple’ın platform kuralları uyarınca başka şirketlere ait uygulama ve internet siteleri arasında takip yapılabilmesi için istenen ayrı bir sistem iznidir. ATT izni KVKK kapsamında açık rıza niteliğinde değildir ve açık rızanın yerine geçmez; uygulama analizi açık rızası da ATT izninin yerine geçmez. Reklam kimliği gerektiren bir işlem bakımından ATT izni ayrıca aranır; ATT izni verilmediğinde reklam kimliğine erişilmez ve bu kimlik üzerinden uygulamalar arası takip yapılmaz. Bu durumda ölçüm, ilgili hizmetin reklam kimliği kullanmayan toplu ve gizliliği koruyan ölçüm yöntemleriyle sınırlı kalır. Apple Ads/Apple AdServices atfı reklam kimliği kullanmaz.
Kullanıcının adı, e-posta adresi, sohbet mesajları, fotoğrafları, ses kayıtları, öğün, su ve kilo kayıtları, vücut ölçüleri, hedefleri, alerji, intolerans ve diğer sağlık bilgileri ile özel nitelikli kişisel verileri Meta, Google Ads ve Apple Ads/Apple AdServices hizmetlerine gönderilmez. Fittolog; sağlık verilerine, beslenme veya kilo kayıtlarına ya da bu verilerden çıkarılabilecek sağlık durumuna dayalı reklam kitlesi oluşturmaz ve kullanıcıları bu verilere göre sınıflandırarak reklam hedeflemesi, yeniden hedefleme veya benzer kitle oluşturma amacıyla kullanmaz. Uygulama analizi tercihinin verilmemesi veya geri alınması, Uygulamanın temel özelliklerinin ve Premium aboneliğin kullanılmasını engellemez.
4.10. ABONELİK YÖNETİMİ VE REVENUECAT
Premium abonelik sunulduğunda, mağaza satın almalarının doğrulanması, abonelik durumunun ve hak sahipliğinin yönetilmesi ile satın almaların geri yüklenmesi amacıyla RevenueCat, Inc. tarafından sunulan abonelik altyapısı hizmetinden yararlanılır. Bu kapsamda Fittolog hesap tanımlayıcısı, abonelik durumu, ürün ve mağaza bilgisi, deneme, satın alma, yenileme, iptal, iade ve sona erme gibi abonelik olayları, işlem tarihleri ve mağaza işlem tanımlayıcıları işlenir. Satın alma ve ödeme işlemleri Apple App Store veya Google Play tarafından yürütülür; Fittolog ve RevenueCat kart numarası, kart güvenlik kodu veya diğer ödeme aracı bilgilerini almaz.
Uygulama analizi (Firebase Analytics) açık rızasının etkin olması hâlinde; deneme, satın alma, yenileme veya iptal gibi sınırlı abonelik olayları ile bu olaylara ilişkin ürün, tutar ve para birimi bilgileri, kampanya dönüşümünün ölçülmesi amacıyla RevenueCat entegrasyonları aracılığıyla Firebase Analytics’e ve Meta’ya iletilebilir; iOS’ta Apple AdServices atıf belirteci RevenueCat’e iletilerek abonelik dönüşümlerinin ilgili Apple Ads kampanyasıyla ilişkilendirilmesi sağlanabilir. Bu olaylara sağlık verileri, beslenme ve kilo kayıtları, yapay zekâ sohbetleri, fotoğraflar, ses kayıtları veya kullanıcının oluşturduğu diğer içerikler eklenmez. Premium aboneliğin satın alınması, uygulama analizi açık rızası veya ATT izni verildiği anlamına gelmez.
5. ÖZEL NİTELİKLİ KİŞİSEL VERİLER VE KULLANICI TERCİHLERİ
Fittolog’un işlevi kapsamında bilerek talep ettiği özel nitelikli kişisel veri sağlık verisidir. Sağlık dışındaki özel nitelikli veri kategorileri Uygulamanın işlevi için istenmez. Kullanıcıların serbest metin, fotoğraf, ses veya destek alanlarına gereksiz özel nitelikli veri ya da başka kişilere ait bilgi eklememesi gerekir.
Sağlık verisine ilişkin açık rıza:
- Belirli işleme amacı açıklanarak ayrı bir metin üzerinden alınır;
- Gizlilik Politikası veya Kullanım Şartlarının kabulüne bağlanmaz;
- Sağlık verilerinin temel Fittolog işlevlerinde kullanılması ile yapay zekâ hizmetine gönderilmesini ayrı tercihler olarak sunar;
- Kullanıcı tarafından her zaman geri alınabilir;
- Geri alma tarihinden önce rızaya dayanılarak yapılan işlemlerin hukuka uygunluğunu ortadan kaldırmaz.
Kullanıcı sağlık verilerini profilinden silebilir, ilgili rızayı geri alabilir veya hesabını kapatabilir. Rıza geri alındığında sağlık verisine dayanan ilgili işlev durdurulur. Başka bir kanuni saklama sebebi bulunmuyorsa veri aktif sistemlerden silinir, yok edilir veya anonim hâle getirilir. Rızanın verildiğini ve geri alındığını gösteren sınırlı işlem kaydı, bir hakkın tesisi, kullanılması veya korunması için gereken süreyle sınırlı olarak saklanabilir.
6. YAPAY ZEKÂ KULLANIMINDA ŞEFFAFLIK VE SINIRLAR
Fittolog’un yapay zekâ işlevleri OpenAI API aracılığıyla çalışır. Kullanıcının gönderdiği içerik, talebi yerine getirmek için gerekli olduğu ölçüde otomatik olarak analiz edilir. Fittolog’da bu girdileri rutin biçimde inceleyen canlı hekim veya diyetisyen hizmeti bulunmaz; yapay zekâ çıktıları bir sağlık profesyoneli tarafından tıbben onaylanmış sayılmaz.
Yapay zekâ sistemi; besin veya porsiyonu yanlış tanıyabilir, kalori ve makro besin değerlerini hatalı hesaplayabilir, alerjen veya sağlık açısından önemli bir unsuru atlayabilir ve güncel olmayan bilgi üretebilir. Kullanıcı, özellikle sağlık veya güvenlik açısından önem taşıyan durumlarda ürün etiketi, içerik listesi ve yetkili uzman görüşüyle doğrulama yapmalıdır.
Yapay zekâ çıktısı kullanıcı hakkında hukuki veya benzer ölçüde önemli sonuç doğuran tek başına bir karar vermek için kullanılmaz. Fittolog yapay zekâ verilerini reklam profili, işe alım, sigorta, kredi, sağlık hizmetine kabul veya benzeri bir değerlendirme amacıyla işlemez.
Kullanıcı yapay zekâ özelliğini kullanmama, fotoğraf veya ses göndermeme ve sağlık verisinin yapay zekâ işlemine dâhil edilmesine izin vermeme hakkına sahiptir. Bu tercihler, yapay zekâ veya sağlık bağlamı gerektirmeyen temel takip özelliklerinin kullanılmasını engellemez.
7. CİHAZ İZİNLERİ VE İSTEĞE BAĞLI ÖZELLİKLER
Uygulama, yalnız kullanıcının seçtiği işlev için gerekli olduğunda cihaz izni ister:
- Kamera ve fotoğraf arşivi: Kullanıcının seçtiği görseli analiz etmek veya profil görseli eklemek için.
- Mikrofon: Kullanıcının başlattığı sesli girişi metne çevirmek veya sesli yanıt oluşturmak için.
- Bildirim: Öğün, su veya diğer kişisel hatırlatmaları cihazda göstermek için.
Hatırlatmalar yerel bildirim olarak cihaz üzerinde planlanır. Fittolog’un mevcut yapısında pazarlama amacıyla uzaktan anlık bildirim gönderilmez. Kullanıcı izinleri cihaz ayarlarından kapatabilir; izin kapatıldığında yalnız ilgili özellik çalışmayabilir.
Apple ile giriş, Apple Health veya Google Health Connect bağlantısı ve uygulama mağazası üzerinden premium abonelik, ancak ilgili özellik kullanıcıya sunulduğunda bu Politika kapsamında uygulanır. Sağlık platformu bağlantısı sunulursa bağlantıyı kullanıcı kendisi başlatır; yalnız adım sayısı, aktif enerji, son kilo ve uyku verileri ekranda görüntülenmek üzere cihaz belleğinde okunur. Bu veriler Fittolog sunucusuna kaydedilmez, OpenAI’ye gönderilmez, arka planda okunmaz ve sağlık platformuna veri yazılmaz.
Premium abonelik sunulursa satın alma, yenileme, iptal ve iade işlemleri Apple App Store veya Google Play tarafından kendi kuralları uyarınca yürütülür. Fittolog kart numarası veya kart güvenlik kodunu görmez; yalnız abonelik erişiminin doğrulanması için gerekli sınırlı mağaza işlem bilgisini alır.
8. KİŞİSEL VERİLERİN PAYLAŞILDIĞI TARAFLAR
Fittolog kişisel verileri satmaz veya kiralamaz. Sağlık verileri, beslenme ve kilo kayıtları, yapay zekâ sohbetleri, fotoğraflar ve ses kayıtları reklam profili oluşturmak veya reklam hedeflemek amacıyla paylaşılmaz. Kullanıcının analiz veya reklam tercihini etkinleştirmesi hâlinde yalnız bu Politikanın 4.7. bölümünde belirtilen sınırlı cihaz, kullanım ve reklam etkileşim verileri Firebase Analytics, Google AdMob ve hizmetin sunulmasına katılan yetkili reklam teknolojisi ortaklarıyla paylaşılabilir. Diğer aktarımlar, açıklanan özelliği sunmak, hesabı ve sistemi güvenli biçimde işletmek, hukuki yükümlülükleri yerine getirmek veya bir hakkı korumak için gerekli olan verilerle sınırlıdır. Reklam ölçümü, kampanya atfı ve abonelik yönetimi kapsamındaki sınırlı veriler ise yalnız bu Politikanın 4.9. ve 4.10. bölümlerinde belirtilen koşullar ve sınırlar çerçevesinde RevenueCat, Meta, Google Ads ve Apple Ads/Apple AdServices ile paylaşılabilir.
Alıcı veya alıcı grubu Paylaşımın amacı ve kapsamı
OpenAI Kullanıcının başlattığı yapay zekâ sohbeti, fotoğraf ve ses işlevini çalıştırmak; gerekli sınırlı girdi ve bağlamı işlemek
Firebase Authentication ve Google ile Giriş Hesap oluşturma, kimlik doğrulama, Google ile giriş ve oturum işlemlerini yürütmek
Firebase Analytics Uygulama örneği tanımlayıcısı, sınırlı cihaz bilgileri ve kişisel içerik taşımayan kullanım olayları üzerinden uygulama kullanımını ve performansını ölçmek
Google AdMob ve etkin yetkili reklam ortakları Kullanıcının reklam tercihi kapsamında kişiselleştirilmemiş/bağlamsal reklam sunmak, sıklık sınırlamak, geçersiz trafiği önlemek ve toplu reklam ölçümü yapmak
RevenueCat Premium abonelik durumunu doğrulamak ve hak sahipliğini yönetmek; uygulama analizi (Firebase Analytics) açık rızasının etkin olması hâlinde sınırlı abonelik olaylarını 4.10. bölümünde belirtilen ölçüm hizmetlerine iletmek. Kart ve ödeme aracı bilgileri işlenmez
Google Ads ve Google Analytics for Firebase Uygulama analizi (Firebase Analytics) açık rızasının etkin olması hâlinde, kişisel içerik taşımayan sınırlı uygulama ve abonelik dönüşüm olayları üzerinden reklam kampanyalarının toplu performansını ölçmek
Apple Ads / Apple AdServices iOS’ta uygulama analizi (Firebase Analytics) açık rızasının etkin olması hâlinde, Apple tarafından üretilen atıf belirteci üzerinden Uygulamanın bir Apple Ads kampanyası aracılığıyla edinilip edinilmediğini ve kampanya performansını ölçmek; reklam kimliği kullanılmaz
Meta Platforms reklam ölçüm hizmetleri Kullanıma sunulması, uygulama analizi (Firebase Analytics) açık rızasının etkin olması ve gerekli cihaz izinlerinin verilmesi hâlinde, sağlık verisi ve kullanıcı içeriği taşımayan sınırlı uygulama ve abonelik olayları üzerinden reklam ölçümü ve kampanya atfı yapmak
Google Cloud EMEA Limited Hesap, profil, tercih ve takip kayıtlarını Belçika’daki europe-west1 bölgesinde Fittolog adına barındırmak
Google Cloud EMEA Limited – Google Workspace Kullanıcı destek talepleri ve KVKK başvurularına ilişkin e-posta iletişimini yürütmek
Apple ve Google uygulama mağazaları Uygulamanın dağıtımı ve sunulması hâlinde abonelik işlemlerinin yönetilmesi
Yetkili kamu kurumları ve yargı mercileri Kanuni yükümlülüğün veya hukuka uygun bir talebin yerine getirilmesi
Avukat, mali müşavir ve diğer mesleki danışmanlar Gizlilik yükümlülüğü altında hukuki, mali veya güvenlik desteği alınması ve hakların korunması
Fittolog adına veri işleyen hizmet sağlayıcılarla kurulacak ilişkilerde; verilerin yalnız Fittolog’un talimatları ve hizmetin sunulması amacıyla işlenmesi, uygun gizlilik ve güvenlik tedbirlerinin uygulanması, veri ihlallerinin bildirilmesi ve hizmet sona erdiğinde verilerin mevzuata uygun biçimde silinmesi veya iade edilmesi esas alınır.
Kendi hizmetini doğrudan kullanıcıya sunan Google, Apple veya uygulama mağazaları belirli işlemler bakımından bağımsız veri sorumlusu olarak hareket edebilir; bu işlemler ilgili sağlayıcının kendi gizlilik koşullarına da tabidir.
9. YURT DIŞINA VERİ AKTARIMI
OpenAI, Firebase Authentication, Google Analytics for Firebase, Google AdMob ve AdMob hesabında etkinleştirilen yetkili reklam teknolojisi ortakları, Google Ads, Meta, Apple Ads/Apple AdServices, RevenueCat, Google Cloud EMEA Limited, Google Workspace, Apple ve mobil uygulama mağazaları Türkiye dışında kişisel veri işleyebilir.
Yurt dışına düzenli veri aktarımı, KVKK’nın 9. maddesinde öngörülen şartlardan biri sağlanmadan başlatılmaz. Fittolog, ilgili ülke veya sektör için yeterlilik kararı bulunması hâlinde bu karara; yeterlilik kararı bulunmadığında ise tarafların imzaladığı standart sözleşme veya Kanunda öngörülen diğer uygun güvencelerden uygulanabilir olana dayanır. Standart sözleşme kullanılması hâlinde sözleşme, imzalanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilir.
Firebase Analytics ve Google AdMob kapsamındaki düzenli yurt dışı veri aktarımı, ilgili hizmet ve taraf sıfatı bakımından KVKK’nın 9. maddesinde öngörülen aktarım mekanizması kurulmadan başlatılmaz. Sağlık verisine, beslenme ve kilo kayıtlarına, yapay zekâ sohbetlerine, fotoğraf veya ses içeriklerine bu aktarım kapsamında yer verilmez. Aynı esas; Meta, Google Ads, Apple Ads/Apple AdServices ve RevenueCat kapsamındaki düzenli yurt dışı veri aktarımları bakımından da uygulanır.
10. SAKLAMA, SİLME VE HESABIN KAPATILMASI
Kişisel veriler, ilgili özelliğin sunulması ve hukuki amacın gerçekleştirilmesi için gereken süreyle sınırlı olarak saklanır. Saklama ihtiyacı sona erdiğinde ve başka bir kanuni saklama sebebi bulunmadığında veri silinir, yok edilir veya geri döndürülemeyecek biçimde anonim hâle getirilir.
Veri grubu Saklama yaklaşımı
Hesap ve profil bilgileri Hesap açık olduğu sürece; hesap kapatıldığında kanuni veya hukuki savunma gerektiren sınırlı kayıtlar dışında silme sürecine alınır
Sağlık verileri İlgili açık rıza geçerli olduğu ve kullanıcı ilgili özelliği kullandığı sürece; rıza geri alındığında başka hukuki sebep yoksa silinir, yok edilir veya anonimleştirilir
Öğün, su, kilo, hedef ve ilerleme kayıtları Kullanıcı hesabında tuttuğu veya tek tek silmediği sürece; hesap kapatıldığında silme sürecine alınır
Firebase Analytics verileri Google Analytics hesabında seçilen veri saklama ayarı boyunca: 14 ay
AdMob reklam ve ölçüm verileri Google AdMob’un ilgili rapor ve veri türü için geçerli saklama düzeni boyunca;
YAYINDAN ÖNCE HESAP AYARLARIYLA DOĞRULANACAK ?+
Fotoğraf ve geçici ses İlgili analiz veya dönüştürme işlemi için geçici olarak; Fittolog tarafından kalıcı medya arşivi oluşturulmaz
Yapay zekâ sağlayıcısındaki sınırlı kayıtlar Kullanılan hizmet ve güvenlik ayarına göre sağlayıcının geçerli saklama düzeni boyunca
Teknik ve güvenlik kayıtları Hata, güvenlik ve kötüye kullanım incelemesi için gerekli sınırlı süre boyunca
Destek ve başvuru kayıtları Talebin sonuçlandırılması ve gerektiğinde hukuki hakların korunması için gerekli süre boyunca
Açık rıza ve tercih kayıtları Tercihin uygulanması ve gerektiğinde ispatı için gerekli süre boyunca
Silme, Yok Etme ve
İşlem Kayıtları İlgili işlemin gerçekleştirilmesinden itibaren, diğer hukuki yükümlülükler saklı kalmak üzere en az üç yıl
Yedek Kayıtlar Aktif sistemden silinen veriler, ……/……/…… ile sınırlı yedekleme döngüsü boyunca tutulur ve döngü sonunda silinir; bu süre içinde olağan iş süreçlerinde yeniden kullanılmaz
Fittolog’un kayıt türlerine özgü saklama süreleri, üretim altyapısındaki aktif sistem, yedek ve hizmet sağlayıcı silme döngüleriyle birlikte saklama ve imha envanterinde belirlenir. Her kayıt için tek ve varsayımsal bir süre kullanılmaz; uygulanabilir kanuni yükümlülük, işleme amacı ve teknik silme davranışı birlikte değerlendirilir.
Kullanıcı hesabını Profil > Ayarlar > Hesap ve Güvenlik yolunu izleyip “SİL” yazarak kapatma işlemini başlatabilir. Hesap kapatıldığında Fittolog’daki hesap, profil, takip ve cihaz içi kayıtlar silme sürecine alınır. Uygulamanın cihazdan kaldırılması tek başına sunucudaki hesabı silmez; hesap silme işleminin ayrıca tamamlanması gerekir.
Hesap silme, uygulama mağazasında bulunan bir aboneliği kendiliğinden iptal etmeyebilir. Abonelik sunuluyorsa kullanıcı, yenilemeyi ayrıca Apple App Store veya Google Play hesap ayarlarından durdurmalıdır.
Anonim hâle getirilen ve gerçek bir kişiyle ilişkilendirilemeyen toplulaştırılmış istatistikler kişisel veri değildir. Fittolog, anonimleştirme işleminin geri döndürülemeyecek nitelikte olmasını gözetir; yalnız adın veya doğrudan tanımlayıcının kaldırılması tek başına anonimleştirme sayılmaz.
11. VERİ GÜVENLİĞİ VE İHLAL YÖNETİMİ
Fittolog, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin korunmasını sağlamak ve gerekli denetimleri yapmak için verinin niteliğine ve işleme riskine uygun teknik ve idari tedbirler uygular.
Mevcut teknik yapıda hesap doğrulama işlemleri güvenilir kimlik doğrulama hizmetleri üzerinden yürütülür; oturum bilgilerinin ve erişim anahtarlarının korunmasında işletim sisteminin güvenli saklama imkânlarından yararlanılır. Erişim yetkileri görev ve ihtiyaçla sınırlandırılır; kimlik doğrulama bilgileri, erişim anahtarları ve sistem sırları olağan uygulama kayıtlarına dâhil edilmez. Üretim ortamında verilerin iletimi ve depolanması, erişim yönetimi, sistem kayıtları, yedekleme ve geri yükleme, güncelleme ve zafiyet yönetimi ile olay müdahale süreçleri bakımından verinin niteliğine ve işleme faaliyetinin taşıdığı riske uygun teknik ve idari tedbirler uygulanır. Bu tedbirlerin kapsamı ve etkinliği, üretim ortamındaki teknik yapılandırmalar ve hizmet sağlayıcı ayarları üzerinden düzenli olarak doğrulanır. Kamera ve mikrofon yalnız kullanıcı ilgili işlevi başlattığında kullanılır; fotoğraf ve ses için Fittolog tarafından kalıcı medya arşivi oluşturulmaz. Sağlık platformu bağlantısı sunulduğunda yalnız ilgili özelliğin gerektirdiği veri türleri için izin istenir.
Erişim yetkilerinin sınırlandırılması, hizmet sağlayıcıların gizlilik ve güvenlik yükümlülükleri, güncelleme ve zafiyet yönetimi, kayıtların izlenmesi, yedekleme, olay müdahalesi ve silme süreçleri risk temelli olarak yönetilir. Kullanıcının hesabını güçlü ve benzersiz bir parola ile koruması, cihazını başkalarıyla paylaşmaması ve yetkisiz erişim şüphesinde support@fittolog.com adresinden bildirim yapması önemlidir.
Kişisel veri ihlali tespit edilirse olayın kapsamı, etkilenen veri ve kişiler, muhtemel sonuçlar ve alınan tedbirler değerlendirilir. İhlalden etkilenen kişiler ile Kişisel Verileri Koruma Kurulu, ilgili mevzuatta öngörülen usul ve süreler içinde bilgilendirilir. Gerekli hâllerde erişim kapatma, anahtar veya parola yenileme, veriyi geri yükleme, sağlayıcıyla olay müdahalesi ve tekrarını önleyici düzeltici işlemler uygulanır.
12. HAKLARINIZ VE BAŞVURU YÖNTEMİ
KVKK’nın 11. maddesi uyarınca kişisel verilerinizle ilgili olarak:
- Kişisel verinizin işlenip işlenmediğini öğrenme;
- İşlenmişse buna ilişkin bilgi talep etme;
- İşleme amacını ve verilerin amaca uygun kullanılıp kullanılmadığını öğrenme;
- Verilerin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri öğrenme;
- Eksik veya yanlış işlenen verilerin düzeltilmesini ve bu işlemin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme;
- İşleme sebepleri ortadan kalkmışsa verilerin silinmesini veya yok edilmesini ve bu işlemin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme;
- Yalnız otomatik sistemler aracılığıyla yapılan analiz sonucunda aleyhinize bir sonucun ortaya çıkmasına itiraz etme;
- Kişisel verilerin hukuka aykırı işlenmesi nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme
haklarına sahipsiniz.
Profil bilgilerinin bir kısmı Uygulama içinden güncellenebilir; sağlık verisi ve takip kayıtları ilgili ekrandan silinebilir; sağlık ve yapay zekâ tercihleri geri alınabilir; hesap ise Uygulamadaki hesap güvenliği bölümünden kapatılabilir.
KVKK kapsamındaki talebinizi, Fittolog sistemine daha önce bildirdiğiniz ve sistemde kayıtlı bulunan e-posta adresiniz üzerinden support@fittolog.com adresine veya belirtilecek yazılı başvuru adresine iletebilirsiniz. Başvuruda talebin açıkça belirtilmesi ve başvuru sahibinin kimliğini doğrulamaya yetecek bilgilerin sunulması gerekir. Fittolog, yalnız başvuruyu güvenli şekilde sonuçlandırmak için gerekli ek doğrulamayı isteyebilir; e-posta üzerinden gereksiz sağlık verisi veya kimlik belgesi gönderilmemelidir.
Başvurular, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulunca belirlenen tarifedeki ücret alınabilir. Talebin başka kişilerin haklarını ihlal etmesi, kimliğin doğrulanamaması veya mevzuatta öngörülen bir istisnanın bulunması hâlinde başvuru gerekçesi açıklanarak kısmen ya da tamamen reddedilebilir.
Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde, cevabın öğrenilmesinden itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunulabilir.
12.1. GDPR'IN UYGULANDIĞI DURUMLAR
Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR"), Fittolog'un kişisel veri işleme faaliyetinin GDPR'ın 3. maddesinde düzenlenen ülkesel uygulama şartlarından birini karşılaması hâlinde ilgili işleme faaliyeti bakımından uygulanır. Bu kapsamda GDPR; kişisel verilerin Avrupa Birliği veya Avrupa Ekonomik Alanındaki bir kuruluşun faaliyetleri çerçevesinde işlenmesi ya da Fittolog tarafından AB/AEA'da bulunan kişilere mal veya hizmet sunulması veya bu kişilerin AB/AEA'daki davranışlarının izlenmesi hâlinde uygulanabilir. Bu şartların bulunmaması, yalnızca Uygulamanın belirli ülkelerdeki uygulama mağazalarından indirilebilir olması veya yurt dışında yerleşik bir hizmet sağlayıcının kullanılması, tek başına Fittolog'un bütün veri işleme faaliyetlerini GDPR kapsamına sokmaz.
GDPR'ın uygulandığı işleme faaliyetlerinde veri sorumlusunun kimliği ve iletişim bilgileri bu Politikanın 1. bölümünde belirtilen kişi veya kuruluşa aittir. Veri sorumlusunun Avrupa Birliği dışında yerleşik olması ve GDPR'ın 27. maddesi uyarınca Avrupa Birliğinde temsilci belirleme yükümlülüğünün doğması hâlinde, temsilcinin kimliği ve iletişim bilgileri işbu Politikaya eklenir. GDPR'ın 37. maddesi kapsamında veri koruma görevlisi atanmasının zorunlu olması veya ihtiyari olarak bir veri koruma görevlisi atanması hâlinde, bu kişinin iletişim bilgileri de kullanıcıların kolayca ulaşabileceği şekilde açıklanır. Bu kişiler belirleninceye kadar kişisel verilerle ilgili başvurular support@fittolog.com adresi üzerinden alınır.
Fittolog’un AB/AEA’da bulunan kişilere özellikle yönelmiş biçimde hizmet sunması veya bu kişilerin davranışlarını izlemesi planlanıyorsa, GDPR’ın ülkesel uygulama şartları ile Avrupa Birliği temsilcisi belirleme yükümlülüğü ilgili pazarda faaliyete başlanmadan önce değerlendirilir. GDPR’ın 27. maddesi uyarınca temsilci belirlenmesi gerekiyorsa temsilcinin kimliği ve iletişim bilgileri bu Politikaya eklenmeden ilgili pazarda hedefli faaliyete başlanmaz. Temsilci belirleme istisnasına dayanılması hâlinde bu değerlendirmenin gerekçesi iç uyum kayıtlarında saklanır.
12.2. GDPR KAPSAMINDAKİ HUKUKİ SEBEPLER VE KULLANICI TERCİHLERİ
GDPR'ın uygulandığı durumlarda bu Politikanın 4. bölümünde açıklanan veri işleme faaliyetleri, ilgili faaliyetin niteliğine göre GDPR'ın 6. ve 9. maddelerinde düzenlenen hukuki sebeplere dayanır.
Hesabın oluşturulması, oturumun yönetilmesi, kullanıcının talep ettiği takip, hesaplama, yapay zekâ, fotoğraf analizi veya premium özelliklerin sunulması için gerekli kişisel veriler, kullanıcıyla kurulan hizmet ilişkisinin kurulması ve ifası amacıyla GDPR'ın 6. maddesinin birinci fıkrasının (b) bendi kapsamında işlenir. Fittolog'un tabi olduğu mevzuattan kaynaklanan kayıt tutma, başvuru cevaplama veya yetkili makam taleplerini yerine getirme işlemleri aynı fıkranın (c) bendindeki hukuki yükümlülük sebebine dayanır.
Hesap ve sistem güvenliğinin sağlanması, kötüye kullanımın önlenmesi, teknik hataların araştırılması, hizmet sürekliliğinin korunması ve hukuki hakların tesisi, kullanılması veya savunulması için gerekli sınırlı işlemler, kullanıcıların temel hak ve özgürlüklerinin ağır basmaması kaydıyla GDPR'ın 6. maddesinin birinci fıkrasının (f) bendindeki meşru menfaat sebebine dayanabilir. Meşru menfaate dayanan işlemler, işleme faaliyetinin gerekliliği ve kullanıcı üzerindeki etkileri değerlendirilmeden uygulanmaz.
Kullanıcının isteğe bağlı olarak verdiği bir tercihe dayanan ve başka bir hukuki sebebi bulunmayan işlemler GDPR'ın 6. maddesinin birinci fıkrasının (a) bendi kapsamında rızaya dayanır. Sağlık verilerinin işlenmesi bakımından, genel nitelikli kişisel veriler için gereken hukuki sebebe ek olarak GDPR'ın 9. maddesinde düzenlenen özel nitelikli kişisel veri işleme şartlarından biri bulunmalıdır. Fittolog'un mevcut kullanım senaryosunda sağlık verilerinin isteğe bağlı kişiselleştirme işlevlerinde ve yapay zekâ hizmetinde işlenmesi, GDPR'ın 9. maddesinin ikinci fıkrasının (a) bendinde düzenlenen açık rızaya dayanır.
Firebase Analytics ve Google AdMob kapsamında yürütülen isteğe bağlı analiz, reklam kimliği kullanımı, cihazda bilgi saklama veya cihazdaki bilgilere erişme ve reklam ölçümü faaliyetleri; GDPR’ın uygulandığı durumlarda GDPR’ın 6(1)(a) maddesi ile uygulanabilir elektronik haberleşme ve cihaz gizliliği kuralları kapsamında önceden alınan rızaya dayanır. Analiz ve reklam tercihleri sağlık verisine ilişkin tercihlerden ve birbirinden ayrı sunulur. Rıza verilmemesi Uygulamanın temel takip özelliklerini engellemez. Verilen rıza, Ayarlar ekranından rızanın verilmesi kadar kolay bir yöntemle geri alınabilir. GDPR ve ilgili cihaz gizliliği kurallarının uygulandığı ülkelerde amaç ve reklam ortağı tercihleri ayrıca Google tarafından onaylanmış bir rıza yönetim platformu üzerinden yönetilir.
Hesap oluşturulması ve hesabın güvenli biçimde kullanılabilmesi için gerekli hesap tanımlayıcısı, iletişim veya oturum bilgilerinin verilmemesi hâlinde hesap oluşturulamayabilir veya ilgili hesap özelliği çalışmayabilir. Sağlık bilgileri, fotoğraf, ses, sağlık platformu bağlantısı ve sağlık verilerinin yapay zekâ hizmetine gönderilmesi ise isteğe bağlıdır. Sağlık bilgilerinin sağlanmaması veya ilgili rızanın verilmemesi hâlinde sağlık verisine dayanan profil oluşturma, hesaplama, kişiselleştirme, analiz ve bağlantı özellikleri kullanılamaz.
12.3. GDPR KAPSAMINDAKİ HAKLAR VE BAŞVURU YÖNTEMİ
GDPR'ın uygulandığı veri işleme faaliyetleri bakımından kullanıcı; kişisel verilerine erişme ve bu verilerin bir kopyasını alma, eksik veya yanlış verilerin düzeltilmesini isteme, hukuki şartları oluştuğunda verilerin silinmesini veya işlenmesinin kısıtlanmasını talep etme, meşru menfaate dayanan işlemlere özel durumuyla ilgili gerekçelerle itiraz etme ve doğrudan pazarlama yapılması hâlinde bu işleme her zaman itiraz etme hakkına sahiptir.
Verilerin rızaya veya sözleşmeye dayanılarak otomatik yöntemlerle işlenmesi hâlinde kullanıcı, kendisi tarafından sağlanan kişisel verileri yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir bir formatta alma ve teknik olarak mümkün olduğu ölçüde başka bir veri sorumlusuna aktarılmasını isteme hakkına sahiptir. Veri taşınabilirliği hakkı, Fittolog'un bütün kayıtları bakımından otomatik olarak uygulanmaz ve başkalarının hak ve özgürlüklerini olumsuz etkileyecek şekilde kullanılamaz.
Kullanıcı, rızaya dayanan işlemler bakımından rızasını her zaman geri alabilir. Rızanın geri alınması, geri alma tarihinden önce rızaya dayanılarak gerçekleştirilen işlemlerin hukuka uygunluğunu etkilemez. Rıza geri alındığında ilgili işleme faaliyeti durdurulur; başka bir hukuki saklama sebebi bulunmayan kişisel veriler silinir, yok edilir veya geri döndürülemeyecek şekilde anonim hâle getirilir.
Fittolog, kullanıcı hakkında yalnızca otomatik işlemeye dayanan ve hukuki sonuç doğuran veya kullanıcıyı benzer ölçüde önemli biçimde etkileyen kararlar almaz. Böyle bir işlemin ileride kullanılmasının planlanması hâlinde, kullanıcıya işlemin mantığı, önemi, muhtemel sonuçları ve uygulanabilir itiraz veya insan müdahalesi hakları hakkında işlem başlamadan önce ayrıca bilgi verilir.
GDPR kapsamındaki talepler support@fittolog.com adresine veya bu Politikanın 1. bölümünde açıklanan diğer başvuru kanallarına iletilebilir. Başvurular kural olarak talebin alınmasından itibaren bir ay içinde cevaplandırılır. Talebin karmaşıklığı veya başvuru sayısı nedeniyle gerekli olması hâlinde bu süre iki ay daha uzatılabilir; süre uzatımı ve gerekçesi, ilk bir aylık süre içinde kullanıcıya bildirilir. Başvurular kural olarak ücretsizdir. Açıkça temelsiz veya aşırı nitelikteki talepler bakımından GDPR'da öngörülen şartlarla makul bir ücret talep edilebilir veya talep gerekçesi açıklanarak reddedilebilir.
Kullanıcı ayrıca mutat ikametgâhının veya işyerinin bulunduğu ya da ihlalin gerçekleştiğini düşündüğü AB/AEA ülkesindeki yetkili veri koruma otoritesine şikâyette bulunabilir. Yetkili denetim makamına şikâyet hakkı, Fittolog'a doğrudan başvurulmasına veya diğer idari ve yargısal yollara başvurulmasına engel değildir.
12.4. GDPR KAPSAMINDAKİ ULUSLARARASI VERİ AKTARIMLARI
GDPR'ın uygulandığı kişisel verilerin AB/AEA dışındaki bir ülkeye veya uluslararası kuruluşa aktarılması hâlinde, aktarım GDPR'ın 44 ve devamı maddelerine uygun bir aktarım mekanizmasına dayanır. Aktarım, Avrupa Komisyonu tarafından verilmiş geçerli bir yeterlilik kararına veya GDPR'ın 46. maddesinde öngörülen uygun güvencelerden birine dayanabilir. Uygun güvenceler kapsamında Avrupa Komisyonu tarafından kabul edilen standart sözleşme maddeleri kullanılabilir; gerekli olması hâlinde aktarımın gerçekleştirildiği ülkenin hukuku ve uygulaması değerlendirilerek ek teknik, sözleşmesel veya idari tedbirler alınır.
GDPR'ın 49. maddesinde düzenlenen istisnalar, yalnız ilgili maddede öngörülen şartların oluştuğu istisnai aktarımlar için kullanılır; Fittolog'un olağan ve tekrar eden yapay zekâ, kimlik doğrulama, barındırma, e-posta veya diğer üretim trafiğinin genel aktarım dayanağı olarak kullanılmaz.
Firebase Analytics, Google AdMob ve yetkili reklam teknolojisi ortakları, OpenAI, Firebase/Google, Apple, uygulama mağazaları, üretim barındırma ve diğer hizmet sağlayıcılarına ilişkin aktarım mekanizması; kullanılan hizmet, veri kategorisi, tarafların veri sorumlusu veya veri işleyen sıfatı, işleme bölgesi ve sözleşme hükümleri dikkate alınarak kesinleştirilir. Kullanıcı, uygulanabilir aktarım güvenceleri hakkında bilgi almak veya ilgili belgenin erişilebilir bir örneğini talep etmek için support@fittolog.com adresinden başvurabilir.
13. ÇOCUKLARIN KİŞİSEL VERİLERİ
Fittolog 18 yaşını doldurmuş kişilere yöneliktir. Uygulama çocuklara yönelik olarak tasarlanmamış, pazarlanmamış veya bilerek çocuklardan veri toplamak amacıyla sunulmamıştır. Bir hesabın 18 yaşından küçük bir kişiye ait olduğunun anlaşılması hâlinde hesap ve veriler incelenir; geçerli bir hukuki sebep bulunmadığında silme işlemi başlatılır. Böyle bir durum support@fittolog.com adresine bildirilebilir.
14. ÜÇÜNCÜ KİŞİLERE AİT BİLGİLER VE DIŞ HİZMETLER
Uygulamanın işlevleri başka kişilere ait verilerin paylaşılmasını gerektirmez. Kullanıcı, metin, fotoğraf, ses veya destek mesajına üçüncü bir kişinin kişisel verisini eklemeden önce paylaşım için hukuki yetkisinin bulunduğundan emin olmalıdır. Başka kişilere ait sağlık bilgisi, kimlik belgesi, özel yazışma veya görüntü Uygulamaya yüklenmemelidir.
Uygulama, Google, Apple, OpenAI veya uygulama mağazalarının hizmetlerine bağlantı verebilir. Bu sağlayıcıların kullanıcıya doğrudan sunduğu hesap, mağaza veya diğer hizmetlerde gerçekleştirdiği bağımsız işlemler kendi gizlilik metinlerine tabidir. Fittolog, üçüncü tarafın kendi amaçları için yürüttüğü ve Fittolog’un belirlemediği veri işleme faaliyetlerinden sorumlu değildir; ancak Fittolog adına kullanılan bir hizmet sağlayıcının seçimi ve talimat kapsamındaki işlemleri bakımından kanuni yükümlülüklerini yerine getirir.
15. REKLAM, PAZARLAMA VE VERİ SATIŞI
Fittolog kişisel verileri satmaz veya kiralamaz. Uygulamanın ücretsiz sürümünde, kullanıcının reklam tercihini etkinleştirmesi hâlinde Google AdMob aracılığıyla kişiselleştirilmemiş veya bağlamsal reklamlar gösterilebilir. Kişiselleştirilmemiş reklamlar dahi reklamın sunulması, sıklık sınırlaması, geçersiz trafiğin önlenmesi ve toplu reklam ölçümü için sınırlı cihaz, yaklaşık bölge, reklam gösterimi ve etkileşim bilgilerini işleyebilir.
Sağlık verileri, alerji ve hastalık bilgileri, beslenme günlüğü, öğünler, kilo ve vücut ölçüleri, yapay zekâ sohbetleri, fotoğraflar ve ses kayıtları reklam kişiselleştirmesi, yeniden hedefleme veya reklam kitlesi oluşturma amacıyla kullanılmaz. Kullanıcılar sağlık veya beslenme davranışlarına göre reklam kitlesine eklenmez ve Android Custom Audience API kullanılmaz.
Firebase Analytics kapsamında yürütülen uygulama analizi, Google AdMob kapsamında yürütülen reklam faaliyeti ve sağlık verilerine ilişkin tercihler birbirinden ayrı olarak yönetilir. Kullanıcı bu tercihleri reddedebilir veya Ayarlar ekranından değiştirebilir. Ret hâlinde Firebase Analytics veri toplamaya başlamaz ve Google AdMob’a reklam isteği gönderilmez; Uygulamanın temel işlevleri kullanılmaya devam edilebilir.
iOS’ta başka şirketlere ait uygulamalar veya internet siteleri arasında kullanıcı ya da cihaz düzeyinde takip yapılacaksa App Tracking Transparency izni alınır. İzin verilmediğinde reklam kimliğine erişilmez ve bu kimlik üzerinden takip yapılmaz. Google Mobile Ads SDK, Google User Messaging Platform ve Firebase izin yönetimi, kullanıcının tercihlerini teknik olarak uygulayacak şekilde yapılandırılır.
Pazarlama e-postası veya pazarlama amaçlı uzaktan bildirim gönderilmek istenirse kullanıcı ilgili iletişim kanalı ve amaç hakkında ayrıca bilgilendirilir; gerekli onay ve ret imkânı ilgili mevzuata uygun şekilde ayrı olarak sunulur.
16. POLİTİKA DEĞİŞİKLİKLERİ VE İLETİŞİM
Uygulamanın özellikleri, veri akışları, hizmet sağlayıcıları veya yürürlükteki mevzuat değiştiğinde bu Politika güncellenebilir. Önemli bir değişiklik, yeni işleme başlamadan önce Uygulama içinde veya uygun başka bir kanalla kullanıcıya duyurulur. Yeni bir açık rıza gerektiren işlem, yalnız Politikanın değiştirilmesine dayanılarak başlatılmaz; kullanıcıdan ayrı ve geçerli bir tercih alınır.
Politikanın güncel sürümüne Uygulama içinden ve Fittolog’un hukuki metinlerini yayımladığı www.fittolog.com adresi üzerinden erişilebilir. Politikanın sürüm numarası ve yürürlük tarihi metnin başında gösterilir.
Kişisel veriler, bu Politika veya Fittolog’un veri işleme faaliyetleri hakkındaki sorular için support@fittolog.com adresinden iletişime geçebilirsiniz.