Gizlilik Politikası, KVKK Aydınlatma Metni ve GDPR

Büyüyo uygulaması ("Uygulama") tarafından toplanan kişisel veriler, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR" — Regulation (EU) 2016/679) kapsamında işlenmektedir. Veri Sorumlusu / Data Controller: Büyüyo İletişim: destek@buyuyo.app Ülke: Almanya (Germany)

• Hesap bilgileri: E-posta adresi, ad-soyad, profil fotoğrafı • Çocuk bilgileri: Ad, doğum tarihi, cinsiyet, kan grubu, alerjiler • Sağlık verileri (özel nitelikli): Boy, kilo, baş çevresi ölçümleri, aşı kayıtları, gelişim basamakları, risk sinyalleri • Bakım kayıtları: Uyku, beslenme, alt değiştirme verileri • Fotoğraf anıları: Çocuğunuzun fotoğrafları (şifreli depolanır) • BüyüBot sohbet verileri: BüyüBotla yapılan konuşmalar • Abonelik bilgileri: Mağaza satın alma kaydınız (ürün, satın alma ve bitiş tarihi, yenileme, iptal, iade durumu) ve hesap numaranız • Cihaz bilgileri: FCM token (bildirim için) • Hata raporları: Anonim çökme verileri (kişisel bilgi içermez) • Kullanım analitikleri: Anonim uygulama kullanım istatistikleri

• Çocuk gelişim takibi ve kişiselleştirilmiş öneriler sunma • Yapay zekâ destekli rehberlik hizmeti • Aşı takvimi ve gelişim hatırlatmaları gönderme • Uygulama içeriğini yaşa göre filtreleme • Abonelik satın alımlarını doğrulama ve premium özellikleri açma • Hizmet kalitesini iyileştirme (anonim analitik)

Kişisel verileriniz aşağıdaki yöntemlerle toplanmaktadır: • Doğrudan sizin tarafınızdan: Hesap oluşturma, çocuk profili ekleme, ölçüm girişi, BüyüBot sohbet mesajları • Otomatik olarak: Cihaz FCM token (bildirim servisi), anonim kullanım analitikleri Hukuki dayanak (KVKK): • KVKK md. 5/1: Açık rızanız (onboarding sırasında alınır) • KVKK md. 5/2(c): Sözleşmenin ifası (uygulama hizmetinin sağlanması) • KVKK md. 5/2(f): Meşru menfaat (anonim analitik, hizmet iyileştirme) GDPR hukuki dayanak / Legal basis (GDPR): • Art. 6(1)(a): Açık rıza / Consent • Art. 6(1)(b): Sözleşmenin ifası / Performance of a contract • Art. 6(1)(f): Meşru menfaat / Legitimate interest (anonim analitik) Sağlık verileri için ek hukuki dayanak / Health data legal basis: • KVKK md. 6/2: Açık rıza (özel nitelikli kişisel veri) • GDPR Art. 9(2)(a): Explicit consent for special category data Boy, kilo, aşı, gelişim basamakları gibi veriler sağlık verisi olarak kabul edilmekte olup, işlenmesi için onboarding sırasında ayrıca açık rızanız alınmaktadır.

Kişisel verileriniz reklam veya pazarlama amacıyla üçüncü taraflarla paylaşılmaz. Veriler aşağıdaki hizmet sağlayıcılarında, bizim adımıza ve bizim talimatımızla işlenir (veri işleyen / data processor): • Supabase Inc. (veri merkezi AB — eu-west-1, İrlanda): Veritabanı, kimlik doğrulama, dosya depolama • Google LLC — Firebase Cloud Messaging (ABD): Push bildirim hizmeti • Google LLC — Gemini API (ABD): BüyüBot yanıtları (çocuğunuzun gerçek adı gönderilmez, yalnızca yaş ve cinsiyet bilgisi anonim bağlamda iletilir) • PostHog Inc. (AB — eu.i.posthog.com): Anonim kullanım analitikleri (yalnızca KVKK onayınız sonrası başlatılır) • Sentry GmbH (Almanya — ingest.de.sentry.io): Anonim hata raporlama (kişisel bilgi gönderilmez) • RevenueCat, Inc. (ABD): Abonelik satın alımlarının doğrulanması ve yenileme, iptal, iade durumlarının izlenmesi. RevenueCat'e yalnızca hesap numaranız, mağaza satın alma kaydınız ve cihazınızın teknik bilgileri (IP adresi, cihaz ve işletim sistemi sürümü) iletilir; adınız, e-posta adresiniz, çocuğunuza ait hiçbir bilgi ve hiçbir sağlık verisi iletilmez. Ödemeyi Apple veya Google alır; kart bilgileriniz ne Büyüyo'ya ne de RevenueCat'e ulaşır. Aşağıdaki şirketler bizim adımıza değil, kendi adlarına ve kendi belirledikleri amaçlarla hareket eder (bağımsız veri sorumlusu / independent controller). Bu işlemeler için kendi gizlilik politikaları geçerlidir: • Google LLC — AdMob (ABD): Reklam gösterimi. Reklamların size göre kişiselleştirilmesi yalnızca açık rızanızla yapılır; rıza vermezseniz kişiselleştirilmemiş reklam gösterilir. Çocuğunuza ait hiçbir bilgi ve hiçbir sağlık verisi reklam katmanına aktarılmaz. • Apple Inc. / Google LLC (mağazalar): Aboneliğinizin satışı, tahsilatı ve faturası. Satın almayı doğrudan mağaza hesabınız üzerinden yaparsınız; bu işlemi biz aktarmayız. Çocuğunuza ait veriler ve sağlık verileri AB'de (eu-west-1, İrlanda) saklanır. RevenueCat'e giden abonelik verileri ABD'deki veri merkezlerinde işlenir. Yurt dışı aktarımlar KVKK md. 9 kapsamında yürütülür. Kişisel Verileri Koruma Kurulu bugüne kadar hiçbir ülke için yeterlilik kararı vermemiştir; bu nedenle yurt dışındaki bütün hizmet sağlayıcılara yapılan aktarımlar — Avrupa Birliği'nde bulunanlar dâhil — Kurul'un yayımladığı standart sözleşmeye dayandırılır ve imzalanan standart sözleşmeler Kişisel Verileri Koruma Kurumu'na bildirilir. Aktarımın dayanağı ile işlemenin dayanağı iki ayrı konudur: reklam kişiselleştirmesi açık rızanıza bağlıdır ve bu rızanızı istediğiniz zaman geri çekebilirsiniz; aktarımın kendisi ise standart sözleşmeye dayanır. GDPR bakımından: AB içinde kalan işlemeler için ayrı bir aktarım mekanizması gerekmez. ABD'ye yapılan aktarımlarda Google LLC, Avrupa Komisyonu'nun 10 Temmuz 2023 tarihli EU-US Data Privacy Framework kararı kapsamındadır. RevenueCat, Inc. bu çerçeveye kayıtlı olmadığından, oraya yapılan aktarım AB Standart Sözleşme Maddeleri'ne (Standard Contractual Clauses — Modül 2) dayandırılır ve bu aktarım için ayrı bir aktarım etki değerlendirmesi yapılmıştır.

Verileriniz hesabınız aktif olduğu sürece saklanır. Hesap silme talebiniz üzerine 30 gün içinde tüm verileriniz kalıcı olarak silinir. Abonelik kaydınız hesabınızla birlikte silinir; RevenueCat tarafındaki abone kaydı da aynı talep üzerine kaldırılır. Aboneliğinizin kendisini Apple veya Google üzerinden yönetirsiniz — hesabınızı silmeniz aboneliği iptal etmez. Mağazadan gelen satın alma, yenileme ve iade bildirimlerinin kaydını, aynı bildirimi iki kez işlememek ve bir iade uyuşmazlığında geçmişi inceleyebilmek için tutarız. Bu kaydın ayrıntılı gövdesi 90 gün, kaydın kendisi (bildirim numarası, türü, tarihi) 24 ay sonra silinir. Bu kayıtta çocuğunuza ait hiçbir bilgi ve hiçbir sağlık verisi bulunmaz.

Çocuklara ait veriler yalnızca ebeveyn/vasi onayı ile işlenir. Çocuklar (0-6 yaş) doğrudan uygulama ile etkileşime girmez. Tüm çocuk verileri ebeveyn hesabı üzerinden yönetilir. Aşağıdaki veriler KVKK md. 6 ve GDPR Art. 9 kapsamında özel nitelikli kişisel veri (sağlık verisi) olarak değerlendirilmektedir: • Büyüme ölçümleri (boy, kilo, baş çevresi) • Aşı kayıtları ve durumları • Gelişim basamakları ve değerlendirmeleri • Kan grubu ve alerji bilgileri • Gelişimsel risk sinyalleri • Bakım kayıtları (uyku süresi, beslenme) Bu veriler yalnızca onboarding sırasında alınan açık rızanız doğrultusunda işlenmektedir. Çocuğunuzun fotoğrafları özel (private) depolama alanında şifreli olarak saklanır ve yalnızca hesabınızla erişilebilir.

BüyüBot, Google Gemini teknolojisi tarafından desteklenmektedir. BüyüBot'a gönderilen bağlam: çocuğunuzun yaşı ve cinsiyeti (gerçek adı gönderilmez). Yazdığınız mesajın kendisi de Google'a iletilir. Bir belirti, ateş ölçümü veya ilaç yazdığınızda bu, çocuğunuza ait bir sağlık verisidir. Bu nedenle BüyüBot'a yazdıklarınız, kayıt sırasında verdiğiniz sağlık verisi işleme açık rızasına dayanılarak işlenir (KVKK md. 6/2, GDPR Art. 9(2)(a)). Bu rızayı istediğiniz zaman geri çekebilirsiniz. BüyüBot yanıtları genel bilgilendirme amaçlıdır, tıbbi tavsiye niteliği taşımaz. Sağlık endişeleriniz için mutlaka bir sağlık profesyoneline danışın. Uygulama, gelişim verilerinize dayalı otomatik risk sinyalleri üretebilir (örn. büyüme eğrisi sapmaları, geciken gelişim basamakları). Bu sinyaller bilgilendirme amaçlıdır ve herhangi bir hukuki veya tıbbi sonuç doğurmaz. GDPR Art. 22 kapsamında, otomatik değerlendirmelere itiraz etme hakkınız saklıdır.

KVKK md. 11 ve GDPR Art. 15-22 uyarınca aşağıdaki haklara sahipsiniz: • Kişisel verilerinizin işlenip işlenmediğini öğrenme (Erişim hakkı / Right of access) • İşlenmişse buna ilişkin bilgi talep etme • İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme • Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme • Eksik veya yanlış işlenmişse düzeltilmesini isteme (Düzeltme hakkı / Right to rectification) • KVKK md. 7 / GDPR Art. 17 koşulları oluşmuşsa silinmesini/yok edilmesini isteme (Unutulma hakkı / Right to erasure) • İşlemenin kısıtlanmasını talep etme (GDPR Art. 18 / Right to restriction) • Verilerinizi yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir bir biçimde alma (Taşınabilirlik hakkı / Right to data portability — GDPR Art. 20) • Otomatik sistemlerle analiz sonucu aleyhinize bir sonuç çıkması durumunda itiraz etme • Kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme GDPR kapsamında, Almanya veri koruma otoritesine şikayette bulunma hakkınız saklıdır: Berliner Beauftragte für Datenschutz und Informationsfreiheit E-posta: mailbox@datenschutz-berlin.de Açık rızanızı geri çekme hakkı / Right to withdraw consent (GDPR Art. 7(3)): Açık rızanıza dayanan veri işleme faaliyetleri için onayınızı istediğiniz zaman geri çekebilirsiniz. Geri çekme, geri çekme öncesi gerçekleştirilen veri işlemenin hukuka uygunluğunu etkilemez. Onayınızı geri çekmek için hesabınızı silebilir veya destek@buyuyo.app adresine başvurabilirsiniz.

KVKK kapsamındaki talepleriniz için: E-posta: destek@buyuyo.app Başvurularınıza en geç 30 gün içinde ücretsiz olarak yanıt verilir.