KVKK Aydınlatma Metni

1. Veri Sorumlusu

Oğuzhan Aktay (bireysel geliştirici, marka: Inovy), Cumhuriyet Mah. Diyar Sk. No: 5, 16400 İnegöl, Bursa, Türkiye. E-posta: privacy@inovy.dev.

2. İşlenen Kişisel Veri Kategorileri

• Kimlik: Görünen ad; Apple ya da Google ile girişte paylaşılan ad.
• İletişim: E-posta adresi; SMS ile davet ettiğiniz kişinin telefon numarası.
• Müşteri işlem: Plan ve abonelik durumu, satın alma makbuzları, destek yazışmaları, 16 yaş onayı, rıza ve tercih kayıtları.
• İşlem güvenliği: Hesap kimliği, bildirim belirteci, cihaz ve uygulama bilgileri, ayıklanmış hata ve çökme kayıtları.
• Kullanım ve pazarlama: Ürün kullanım olayları (hesap kimliğinin tuzlanmış özetiyle), sağlık verisi göstermeyen ekranlarda oturum kayıtları, Türkiye dışındaki telefonlarda Meta’ya giden satın alma ve abonelik olayları ile Meta’nın anonim cihaz kimliği.
• Aile çevresi: Çevre üyeleri, rolleri, davetler, aile uyarıları.
• Özel nitelikli kişisel veri (sağlık): İlaçlar, dozlar, planlar, doz geçmişi, stok ve son kullanma bilgisi, belirti ve ruh hali kayıtları ile notlar, Kindose’a Sor soruları ve yanıtları, etiketten tanınan metin.

Etiket fotoğrafları telefonunuzda okunur ve silinir; tarafımıza ulaşmaz. Rehberiniz okunmaz.

3. İşleme Amaçları

• Hesap oluşturma ve yönetme, hatırlatmaları planlama, doz kaydı ve cihazlar arası eşitleme.
• Aile çevresi, davetler ve gecikmiş doz uyarıları.
• Yapay zekâ ile etiket okuma, sade dilde açıklama, Kindose’a Sor ve içgörüler.
• Plan sınırlarının uygulanması ve aboneliklerin yönetimi.
• Uygulamanın nasıl kullanıldığının analizi ve hataların giderilmesi.
• Reklamlarımızın aboneliğe dönüşümünün ölçülmesi (Meta; Türkiye’de sunulmaz).
• Bilgi güvenliği, kötüye kullanımın önlenmesi, destek ve veri sahibi başvurularının yanıtlanması, yasal yükümlülüklerin yerine getirilmesi.

4. Hukuki Sebepler

• Açık rıza (m.5/1 ve m.6/3-a): Sağlık verilerinin işlenmesi, yapay zekâ ile işlenmesi ve aile çevrenizle paylaşılması; ayrıca kullanım analizi (Mixpanel). Kullanım analizi Türkiye’de siz izin vermedikçe kapalıdır ve ilk açılıştaki gizlilik tercihlerinde sorulur. Meta satın alma ölçümü Türkiye’de sunulmaz: bölgesi Türkiye olarak ayarlı telefonlarda bu seçenek gösterilmez ve Meta SDK’sı başlatılmaz. 7499 sayılı Kanun’la 1 Haziran 2024’te değişen m.6’ya göre sağlık verileri, kanunda sayılan diğer şartlar bulunmadığından, yalnızca açık rızanızla işlenir. Açık rızanızı Profil › Gizlilik ve veriler’den istediğiniz zaman geri çekebilirsiniz; geri çekme önceki işlemeyi etkilemez.
• Sözleşmenin kurulması veya ifası (m.5/2-c): Hesap, hatırlatmalar, eşitleme, abonelikler ve destek.
• Hukuki yükümlülük (m.5/2-ç): Veri sahibi başvurularının yanıtlanması ve kanunen tutulması gereken kayıtlar.
• Bir hakkın tesisi, kullanılması veya korunması (m.5/2-e): Uyuşmazlık halinde gerekli kayıtlar.
• Meşru menfaat (m.5/2-f): Ayıklanmış çökme raporları (her zaman açık; IP adresi ve hesap tanımlayıcısı gönderilmez), güvenlik ve kötüye kullanımın önlenmesi.

5. Aktarım ve Yurt Dışına Aktarım

Verileriniz, yalnızca davet ettiğiniz kişilerle (çevrenizin göreceği bilgiler ve gecikmiş doz uyarıları), yetkili kamu kurumlarıyla (kanunen zorunlu olduğunda) ve aşağıdaki hizmet sağlayıcılarla paylaşılır. Sağlayıcıların tamamı yurt dışındadır; bu nedenle aktarımlar KVKK m.9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik kapsamında, Kanun’da öngörülen aktarım araçlarına dayanılarak yapılır.

• Supabase (AB, İrlanda): Hesap, sağlık verileri, çevre, Sor geçmişi ve bildirim belirteçlerinin saklanması; veri işleyen.
• Amazon Web Services, Bedrock (AB bölgeleri): Etiket metni ve Sor sorularının ilaç bağlamıyla yapay zekâ ile işlenmesi; veri işleyen; yalnızca yapay zekâ rızanızla.
• Sentry (AB, Almanya): Ayıklanmış çökme ve hata raporları; veri işleyen.
• Mixpanel (AB): Kullanım olayları; veri işleyen.
• Adapty: Hesap kimliği, satın alma makbuzları, ödeme ekranı görüntülemeleri; abonelik yönetimi; veri işleyen.
• Expo (ABD), Apple Push Notification service, Google Firebase Cloud Messaging: Bildirim belirteci ve uyarı metni (kişinin adı, ayara göre ilaç adı); aile uyarılarının iletilmesi.
• Meta Platforms (ABD, İrlanda): Yalnızca bölgesi Türkiye dışında olan telefonlarda satın alma ölçümünü açtıysanız, satın alma ve abonelik olayları ile Meta’nın anonim cihaz kimliği; bağımsız veri sorumlusu. Türkiye’de bu aktarım yapılmaz.
• Apple ve Google (ABD): Apple ya da Google ile giriş, mağaza satın alımları; reklamlar ileride açılırsa Google AdMob.

Sağlık verileri, ilaç adları ve doz olayları Meta’ya ya da reklam hizmetlerine asla gönderilmez.

6. Toplama Yöntemi

Kişisel veriler; uygulamaya girdiğiniz bilgilerden, uygulamada yaptığınız işlemlerden, telefonunuzdaki yazılım geliştirme kitleri (SDK) aracılığıyla otomatik yollarla, Apple ve Google’dan (giriş ve satın alma) ve bize gönderdiğiniz e-postalardan, elektronik ortamda toplanır. Bakımını üstlendiğiniz bir kişinin verileri, onun izniyle sizin tarafınızdan girilir; bu kişiyi bu metinden haberdar etmenizi rica ederiz.

7. Saklama Süreleri

Hesap ve sağlık verileri, siz ya da hesabınız silinene kadar; Kindose’a Sor mesajları 12 ay (daha önce silebilirsiniz); yapay zekâ yanıt bildirimleri 180 gün; diğer kısa ömürlü teknik kayıtlar 2 ila 90 gün saklanır. Süreler Gizlilik Politikası’nın 5. bölümünde ayrıntılıdır.

8. KVKK m.11 Kapsamındaki Haklarınız

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• işlenmişse buna ilişkin bilgi talep etme,
• işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• eksik veya yanlış işlenmişse düzeltilmesini isteme,
• KVKK m.7’deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• münhasıran otomatik sistemlerle analiz edilmesi sonucunda aleyhinize bir sonuç çıkmasına itiraz etme,
• kanuna aykırı işleme nedeniyle zarara uğramanız halinde zararın giderilmesini talep etme.

9. Başvuru

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca başvurunuzu Türkçe olarak:

• ıslak imzalı bir dilekçeyle yukarıdaki posta adresine,
• güvenli elektronik imza ya da mobil imzayla imzalanmış olarak privacy@inovy.dev adresine,
• ya da Kindose hesabınıza kayıtlı e-posta adresinizden privacy@inovy.dev adresine gönderebilirsiniz.

Başvuruda adınız ve soyadınız, yazılı başvurularda imzanız, Türk vatandaşları için T.C. kimlik numaranız, yabancılar için uyruğunuz ve pasaport ya da kimlik numaranız, tebligata esas yerleşim yeri veya iş yeri adresiniz, varsa e-posta adresiniz ve telefon numaranız ile talep konunuz yer almalıdır. Uygulama içindeki Profil › Gizlilik ve veriler › Verilerimi iste seçeneğini de kullanabilirsiniz.

Başvurunuzu niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırırız; işlem ayrıca bir maliyet gerektirirse Kurul’ca belirlenen tarifedeki ücret alınabilir. Başvurunuz reddedilir, yanıtı yetersiz bulursanız ya da süresinde yanıt verilmezse, yanıtı öğrendiğiniz tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz.