Gizlilik Politikası

1. Giriş

Bu Gizlilik Politikası, Apeka Group Limited (İngiltere ve Galler'de kayıtlı, şirket no: 17105369) tarafından işletilen Arori mobil uygulamasının ("Uygulama") kişisel verilerinizi nasıl topladığı, kullandığı, sakladığı ve koruduğunu açıklar.

Uygulamayı kullanarak bu politikayı kabul etmiş sayılırsınız. Kabul etmiyorsanız lütfen Uygulamayı kullanmayın.

2. Toplanan Veriler

2.1 Sizin Sağladığınız Veriler

• Hesap bilgileri: E-posta adresi, şifre (hashlenmiş hâlde saklanır). Apple ile Giriş veya Google OAuth kullanıyorsanız, kimlik sağlayıcınız tarafından paylaşılan ad ve e-posta bilgileri
• Profil bilgileri: Ad, soyad, kullanıcı adı, profil fotoğrafı, doğum tarihi, cinsiyet
• Sağlık verileri (GDPR Madde 9 — özel kategori): Boy, kilo, aktivite seviyesi, beslenme hedefleri, günlük kalori hedefi, sağlık durumları (ör. diyabet, hipertansiyon), besin alerjileri, fiziksel yaralanmalar/kısıtlamalar, kişisel zorluklar (ör. duygusal yeme)
• Beslenme verileri: Yemek fotoğrafları, öğün kayıtları (besin adı, kalori, protein, yağ, karbonhidrat, porsiyon), su tüketimi, barkod tarama geçmişi, favori ürünler
• Yaşam tarzı verileri: Hane büyüklüğü, aylık gıda bütçesi, bütçe para birimi, dışarıda yeme sıklığı, tek başına mı yoksa aile için mi yemek yapıldığı
• Kullanıcı içeriği: AI sohbet geçmişi, topluluk paylaşımları, yorumlar, beğeniler, topluluk besin veritabanına katkılar
• Hata raporları: Kullanıcı tarafından gönderilen hata başlığı, açıklaması ve ekran görüntüleri

2.2 Otomatik Toplanan Veriler

• Cihaz bilgileri: Cihaz modeli, işletim sistemi, uygulama sürümü
• Kullanım verileri: Uygulama içindeki etkileşimler, özellik kullanım sıklığı, kullanım serisi (streak) verileri, yemek arama geçmişi
• Bildirim verileri: Expo push token (cihaz tanımlayıcısı), saat dilimi (bildirim zamanlaması için), bildirim tercihleri
• Konum verileri: İzin vermeniz hâlinde yaklaşık konum (düşük hassasiyet ~100m) ve ülke kodu (ISO 3166-1). Konum yalnızca uygulama ilk açıldığında bir kez istenir ve yemek veritabanı seçimi için kullanılır. İzin vermezseniz cihaz dili ayarlarınızdan ülkeniz tespit edilir

2.3 Kamera Erişimi

Uygulama, yemek fotoğraflama, barkod tarama ve besin etiketi okuma özellikleri için kamera erişimi ister. Kamera verisi yalnızca siz fotoğraf çektiğinizde kullanılır ve sürekli erişim yapılmaz. Kamera erişimine izin vermemeniz hâlinde bu özellikleri kullanamazsınız ancak uygulamanın diğer işlevleri çalışmaya devam eder.

2.4 Sosyal Özellikler

Uygulamanın topluluk özelliklerini kullandığınızda aşağıdaki veriler diğer kullanıcılara görünür hâle gelir:

• Kullanıcı adınız ve profil fotoğrafınız
• Paylaşımlarınız ve yemek fotoğraflarınız
• Takipçi sayınız ve takip listeniz

E-posta adresiniz, sağlık verileriniz, konum bilgileriniz ve diğer kişisel bilgileriniz diğer kullanıcılarla paylaşılmaz.

3. Verilerin Kullanım Amacı

Toplanan veriler aşağıdaki amaçlarla kullanılır:

• Beslenme takibi ve kalori hesaplama hizmetinin sunulması
• AI tabanlı yemek analizi ve kişiselleştirilmiş öneriler
• AI şefimizin kalori-bilinçli tarif önerileri sunması
• AI beslenme koçu ile kişiselleştirilmiş sohbet ve haftalık plan oluşturma
• Kullanıcı hesabının oluşturulması ve yönetilmesi
• Topluluk ve sosyal özelliklerin sunulması (paylaşım, yorum, takip)
• Yemek hatırlatıcı bildirimleri ve sosyal etkileşim bildirimleri gönderilmesi
• Konum verisinin uygun yemek veritabanı seçimi için kullanılması
• Abonelik ve ödeme süreçlerinin yönetilmesi
• Uygulama performansının iyileştirilmesi ve hata giderme
• Kullanıcıya destek sağlanması
• Yasal yükümlülüklerin yerine getirilmesi

Verileriniz hiçbir koşulda reklam amacıyla üçüncü taraflarla paylaşılmaz veya satılmaz.

4. Yapay Zekâ ve Veri İşleme

Arori, besin analizi için Google Gemini 2.5 Flash yapay zekâ modelini kullanır. AI ile ilgili veri işleme sürecimiz:

• Yemek fotoğrafları: Fotoğraflarınız besin değeri analizi için Google Gemini API'sine gönderilir. Google, bu verileri 55 gün süreyle kötü amaçlı kullanım izlemesi (abuse monitoring) için saklar, ardından kalıcı olarak siler. Bu veriler model eğitiminde kullanılmaz.
• AI sohbet ve beslenme koçu: Sohbet geçmişiniz ve profil bilgileriniz (kilo, boy, hedef, aktivite seviyesi, günlük kalori hedefi, tercih edilen dil) kişiselleştirilmiş beslenme tavsiyeleri sunmak amacıyla Gemini API'sine gönderilir. Sohbet geçmişi veritabanımızda saklanır.
• AI şef tarif önerileri: Yemek fotoğraflarınız, kalori açığınız, hedef kaloriniz ve beslenme hedefiniz tarif önerileri oluşturmak için Gemini API'sine gönderilir.
• Barkod/etiket tarama: Ürün görüntüleri besin bilgisi çıkarımı için AI tarafından analiz edilir.
• Haftalık plan oluşturma: Profil verileriniz ve tercihleriniz kişiselleştirilmiş haftalık beslenme/fitness planı oluşturmak için kullanılır.

AI işleme sonuçları hesabınızla ilişkilendirilerek kaydedilir, ancak ham görüntüler sunucularımızda saklanmaz. Sohbet geçmişi hesabınız silinene kadar saklanır.

5. Üçüncü Taraf Hizmet Sağlayıcıları

Hizmetlerimizi sunabilmek için aşağıdaki üçüncü taraf sağlayıcılarla çalışıyoruz:

Sağlayıcı	Amaç	Gizlilik Politikası
Supabase	Veritabanı, kimlik doğrulama, dosya depolama	supabase.com/privacy
Google Gemini	AI besin analizi, görüntü işleme	ai.google.dev/terms
Railway	Backend API barındırma	railway.com/legal/privacy
RevenueCat	Abonelik ve ödeme yönetimi	revenuecat.com/privacy
Resend	İşlemsel e-posta gönderimi (OTP, bildirimler)	resend.com/legal/privacy
Expo	Mobil uygulama derleme, güncelleme ve push bildirim gönderimi	expo.dev/privacy
Notion	Hata raporu takibi (kullanıcı gönderilen raporların iç takibi)	notion.so/privacy
PostHog	Uygulama analitikleri, kullanıcı deneyimi iyileştirme, oturum kaydı (session replay)	posthog.com/privacy
OpenFoodFacts	Besin veritabanı arama (barkod ve ürün bilgisi)	openfoodfacts.org/terms
Spoonacular	Besin veritabanı arama (besin değerleri)	spoonacular.com/terms
FatSecret	Besin veritabanı arama (kalori ve makro bilgisi)	fatsecret.com/privacy
Edamam	Besin veritabanı arama (besin analizi)	edamam.com/privacy
USDA FoodData Central	Besin veritabanı arama (resmi ABD besin verileri)	fdc.nal.usda.gov

Besin Arama Hizmetleri: Yiyecek araması yaptığınızda, arama sorgunuz yukarıda listelenen besin veritabanı sağlayıcılarına iletilir. Bu sağlayıcılara kişisel bilgileriniz (e-posta, ad vb.) gönderilmez; yalnızca arama sorgusu metni paylaşılır.

AI Kullanım Takibi: Hizmet kalitesini korumak ve adil kullanımı sağlamak amacıyla, AI özelliklerinin (besin analizi, tarif önerisi, sohbet vb.) aylık kullanım istatistiklerini takip ediyoruz. Bu veriler token tüketim miktarı ve fonksiyon çağrı sayısını içerir ve yalnızca hesap düzeyinde saklanır.

Arama Günlükleri: Besin arama hizmetini iyileştirmek amacıyla, arama sorgularınız ve dönen sonuç sayısı geçici olarak loglanabilir. Bu veriler toplu istatistik amacıyla kullanılır ve bireysel tanımlama amacıyla kullanılmaz.

Bu sağlayıcılar yalnızca hizmet sunumu için gerekli verilere erişir ve kendi gizlilik politikalarına tabidir. Hiçbir sağlayıcıya doğrudan tanımlayıcı kişisel bilgileriniz (e-posta, tam ad) paylaşılmaz; yalnızca hizmet sunumu için zorunlu veriler aktarılır.

6. Veri Saklama ve Güvenlik

Verileriniz Supabase altyapısında, AB/BK bölgesinde (eu-west-2, Londra) barındırılan sunucularda saklanır. Aşağıdaki güvenlik önlemlerini uyguluyoruz:

• Şifreler hash algoritması ile şifrelenerek saklanır (düz metin olarak asla tutulmaz)
• Tüm veri iletimi TLS/SSL şifreleme ile korunur
• Satır Düzeyi Güvenlik (Row Level Security — RLS) politikalarıyla veritabanı erişimi sınırlandırılır
• JWT (JSON Web Token) tabanlı kimlik doğrulama kullanılır
• API erişimi yetkilendirme kontrolleriyle sınırlandırılır

Hiçbir sistem %100 güvenli değildir. Güvenlik ihlali tespit edilmesi hâlinde yasal süreler içinde sizi bilgilendiririz.

7. Veri Saklama Süresi

• Hesap ve profil verileri: Hesabınız aktif olduğu sürece saklanır.
• Öğün ve beslenme kayıtları: Hesabınız aktif olduğu sürece saklanır.
• AI sohbet geçmişi: Hesabınız aktif olduğu sürece saklanır; kişiselleştirilmiş öneriler sunmak için kullanılır.
• Arama geçmişi: Hesabınız aktif olduğu sürece saklanır.
• Sosyal içerik: Paylaşımlar, yorumlar ve beğeniler hesabınız aktif olduğu sürece saklanır.
• Hesap silme: Hesabınızı silme talebinde bulunduğunuzda, hesabınız 30 günlük bekleme süresine alınır. Bu süre içinde tekrar giriş yaparak silme işlemini iptal edebilirsiniz. 30 günlük süre sonunda tüm kişisel verileriniz (profil, öğünler, sohbet geçmişi, paylaşımlar, yorumlar, beğeniler, takip ilişkileri, tarama geçmişi, haftalık planlar, depolanan dosyalar) kalıcı olarak silinir. Silme işlemi ayrıca üçüncü taraf hizmetlerdeki verilerinizi de kapsar: RevenueCat abonelik verileri, PostHog analitik verileri ve Notion hata raporu sayfaları.
• AI işleme verileri: Google Gemini API'sine gönderilen veriler, Google tarafından 55 gün süreyle kötü amaçlı kullanım izlemesi için saklanır, ardından silinir.
• Hata kayıtları: Anonim hata kayıtları altyapı sağlayıcılarımız tarafından belirli süreyle saklanabilir.

8. Haklarınız

BK GDPR, AB GDPR ve KVKK kapsamında aşağıdaki haklara sahipsiniz:

• Erişim hakkı: Hakkınızdaki verilerin bir kopyasını talep edebilirsiniz.
• Düzeltme hakkı: Yanlış veya eksik verilerinizin düzeltilmesini isteyebilirsiniz.
• Silme hakkı (Unutulma hakkı): Kişisel verilerinizin silinmesini talep edebilirsiniz.
• Veri taşınabilirliği: Verilerinizi yapılandırılmış, makine tarafından okunabilir bir formatta alabilirsiniz.
• İşlemeye itiraz: Belirli veri işleme faaliyetlerine itiraz edebilirsiniz.
• İzin geri çekme: Daha önce verdiğiniz izinleri dilediğiniz zaman geri çekebilirsiniz.

Bu haklarınızı kullanmak için privacy@arori.app adresine e-posta gönderebilirsiniz. Taleplerinize en geç 30 gün içinde yanıt verilir.

Uygulama içi veri hakları:

• Verilerimi İndir: Uygulama içindeki Profil → Hesabı Sil ekranından "Verilerimi İndir" butonuna tıklayarak tüm kişisel verilerinizi JSON formatında indirebilirsiniz.
• Hesabı Sil: Aynı ekrandan hesabınızı silme talebinde bulunabilirsiniz. 30 günlük bekleme süresi içinde tekrar giriş yaparak silmeyi iptal edebilirsiniz.

9. KVKK Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında, Türkiye'deki kullanıcılarımıza yönelik aydınlatma yükümlülüğümüzü yerine getirmek amacıyla aşağıdaki bilgileri sunuyoruz:

Veri Sorumlusu

Apeka Group Limited (İngiltere ve Galler'de kayıtlı, şirket no: 17105369) veri sorumlusu sıfatıyla kişisel verilerinizi işlemektedir.

Kişisel Verilerin İşlenme Amaçları

• Uygulamanın işlevlerinin sunulması ve hesap yönetimi
• AI tabanlı beslenme analizi ve kişiselleştirilmiş öneriler
• Abonelik ve ödeme süreçlerinin yürütülmesi
• Kullanıcı destek taleplerinin karşılanması
• Yasal yükümlülüklerin yerine getirilmesi

İşlenen Kişisel Veri Kategorileri

• Kimlik bilgileri: Ad, doğum tarihi, cinsiyet
• İletişim bilgileri: E-posta adresi
• Sağlık verileri: Boy, kilo, beslenme hedefleri (açık rızanız ile)
• Görsel veriler: Profil fotoğrafı, yemek fotoğrafları
• Kullanım verileri: Uygulama etkileşimleri, besin kayıtları

Kişisel Verilerin Aktarılması

Kişisel verileriniz, hizmet sunumu amacıyla yurt dışındaki hizmet sağlayıcılarımıza (bu politikanın 5. bölümünde belirtilen sağlayıcılar) aktarılabilir. Bu aktarımlar KVKK'nın 9. maddesi kapsamında, yeterli koruma önlemleri ve taahhütnameler ile gerçekleştirilir.

Hukuki Dayanak

• Sözleşmenin kurulması ve ifası (KVKK m.5/2-c)
• Meşru menfaat (KVKK m.5/2-f)
• Açık rıza — sağlık verileri için (KVKK m.6/2)

KVKK Kapsamındaki Haklarınız

KVKK'nın 11. maddesi uyarınca aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme
• KVKK'nın 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme
• Düzeltme, silme veya yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme
• Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

Başvurularınızı privacy@arori.app adresine iletebilirsiniz. Talepleriniz en geç 30 gün içinde ücretsiz olarak sonuçlandırılır.

10. Analitik ve İzleme

Arori mobil uygulaması çerez kullanmamaktadır. Web sitemiz (arori.app) çerez veya üçüncü taraf izleme aracı kullanmamaktadır.

10.1 Uygulama Analitikleri

Arori mobil uygulaması, kullanıcı deneyimini iyileştirmek amacıyla PostHog analitik hizmetini kullanmaktadır. PostHog aracılığıyla toplanan veriler:

• Ekran görüntülemeleri: Hangi ekranların ziyaret edildiği
• Özellik kullanımı: AI analiz, tarif önerisi, kalori takibi gibi özelliklerin kullanım sıklığı
• Cihaz bilgisi: Cihaz tipi, işletim sistemi versiyonu, uygulama versiyonu
• Konum (ülke seviyesi): Yalnızca IP adresinden türetilen ülke bilgisi (tam adres veya koordinat TOPLANMAZ)
• Oturum süresi: Uygulamada geçirilen toplam süre

10.2 Oturum Kaydı (Session Replay)

Kullanıcı deneyimini analiz etmek için PostHog oturum kaydı özelliği kullanılabilir. Bu özellik kapsamında:

• Metin giriş alanları (şifre, e-posta vb.) otomatik olarak maskelenir ve kaydedilmez
• Yemek fotoğrafları görüntülenebilir (analiz kalitesi için gerekli)
• Kayıtlar yalnızca UX iyileştirme amacıyla kullanılır

10.3 Toplanmayan Veriler

PostHog aracılığıyla aşağıdaki veriler kesinlikle toplanmaz:

• Yemek fotoğraflarınızın içeriği
• Sağlık durumunuz veya tıbbi bilgileriniz
• AI sohbet geçmişiniz
• Tam adresiniz veya GPS koordinatlarınız
• Reklam tanımlayıcıları (IDFA/GAID)

10.4 Veri Konumu

PostHog analitik verileri Avrupa Birliği'nde (Frankfurt, Almanya) barındırılmaktadır. Veriler ABD'ye aktarılmaz.

10.5 Vazgeçme (Opt-Out)

Analitik veri toplanmasını dilediğiniz zaman kapatabilirsiniz:

• Uygulama içi: Ayarlar → Gizlilik → Analitik Yönetimi bölümünden izlemeyi kapatabilirsiniz
• Analitik kapatıldığında hiçbir kullanım verisi PostHog'a gönderilmez
• Daha önce toplanan verilerinizin silinmesi için privacy@arori.app adresine başvurabilirsiniz

Analitik varsayılan olarak kapalıdır; ilk kullanımda izniniz alınır.

11. Çocukların Gizliliği

Arori, 13 yaşından küçük çocuklara yönelik değildir. 13 yaşından küçük bireylerden bilerek kişisel veri toplamıyoruz. Eğer 13 yaşından küçük bir çocuğun veri sağladığını tespit edersek, bu verileri derhâl sileriz.

Çocuğunuzun Arori'ye veri sağladığını düşünüyorsanız lütfen privacy@arori.app adresiyle iletişime geçin.

12. Uluslararası Veri Transferi

Ana veritabanlarımız AB/BK bölgesinde (Londra) barındırılmaktadır. Ancak üçüncü taraf hizmet sağlayıcılarımız (Google Gemini, Railway vb.) verileri başka bölgelerde işleyebilir. Bu durumda verilerin uygun güvenlik önlemleri ve sözleşmeler kapsamında aktarılmasını sağlıyoruz.

13. Politika Değişiklikleri

Bu Gizlilik Politikası'nı zaman zaman güncelleyebiliriz. Önemli değişiklikler yapıldığında sizi Uygulama içinden veya e-posta yoluyla bilgilendiririz. Güncel politikaya her zaman bu sayfadan ulaşabilirsiniz.

14. İletişim