Who we are (data controller)
Mustafa Baykal (Bireysel Uygulama Geliştiricisi), jurisdiction: Türkiye Cumhuriyeti.
For all privacy-related questions: mustafabaykal91@gmail.com
What we collect
- Photo library access — only when you select a photo for an in-app feature.
- Data sent to AI services (Google Gemini (güvenli backend proxy üzerinden)) — only for features that explicitly require it. Not used for AI/ML training.
Third-party services we use
- Apple StoreKit (App Store abonelik/satın alma altyapısı)
- RevenueCat (abonelik yönetimi — üretim özelliği devreye girdiğinde)
- Google Gemini API (soru fotoğrafı/metin analizi — güvenli backend proxy üzerinden, üretim özelliği devreye girdiğinde)
Data processors and international transfers
We use the following processors. All have signed Data Processing Agreements (DPAs); transfers to the United States are additionally protected by Standard Contractual Clauses (SCCs) per GDPR Articles 44–49 (post-Schrems II).
| Processor | Purpose | Location | DPA | SCC |
|---|---|---|---|---|
| Google (Gemini API — güvenli backend proxy üzerinden) | Soru fotoğrafı ve soru metninin yapay zekâ ile çözümü ve konu analizi (yalnızca üretim özelliği devreye girdiğinde ve açık rıza ile). Yalnızca soru içeriği iletilir; ad, e-posta, rumuz, veli veya abonelik bilgisi iletilmez ve içerik model eğitiminde kullanılmaz. | USA | ✓ | ✓ |
| RevenueCat | Abonelik durumunun doğrulanması ve yönetimi (yalnızca üretim özelliği devreye girdiğinde). Yalnızca anonim, rastgele üretilmiş bir uygulama-kullanıcı kimliği işlenir; ad, e-posta veya ödeme bilgisi işlenmez. | USA | ✓ | ✓ |
| Apple | App Store üzerinden abonelik/uygulama içi satın alma işlemleri ve faturalandırma. Ödeme verilerini yalnızca Apple işler; kart veya fatura bilgisini biz görmez ve saklamayız. | Global | ✓ | N/A |
Data retention
We keep data only as long as necessary for the purpose collected, or as required by law (GDPR Art. 5(1)(e); KVKK Art. 7).
| Data type | Retention period | Reason |
|---|---|---|
| Soru fotoğrafı ve soru metni | saklanmaz — anlık işlenir | Yapay zekâ ile çözüm üretimi için yalnızca anlık olarak işlenir; güvenli backend proxy'de disk'e yazılmaz, loglanmaz ve model eğitiminde kullanılmaz. Mevcut sürümde (v1) hiçbir yere gönderilmez, yalnızca cihazda işlenir. |
| Soru çözüm geçmişi, eksik konu analizi ve çalışma planı/rapor verileri | hesap silme veya uygulama kaldırma ile silinir | Öğrencinin gelişimini takip etmek için tutulur. Mevcut sürümde yalnızca cihazda saklanır; uygulama kaldırıldığında veya hesap silindiğinde tamamen silinir. |
| Challenge rumuzu ve challenge katılım verisi | hesap silme veya uygulama kaldırma ile silinir | Yarışma/challenge özelliğinin işlemesi için tutulur; hesap silindiğinde veya uygulama kaldırıldığında silinir. |
| Abonelik/satın alma kaydı (makbuz) | 7 yıl | 213 sayılı Vergi Usul Kanunu ve ilgili mali mevzuat uyarınca satış/fatura kayıtlarının saklanma zorunluluğu (üretim özelliği devreye girdiğinde). Ödeme kayıtları Apple/RevenueCat tarafından kendi politikaları uyarınca tutulur. |
| Cihaz-içi diğer veriler (sınıf/ders tercihleri, uygulama ayarları, veli modu bağlantısı) | hesap silme veya uygulama kaldırma ile silinir | Uygulamanın çalışması için yalnızca cihazda tutulur; sunucuya gönderilmez. Uygulamayı kaldırdığınızda veya hesabınızı sildiğinizde bu veriler cihazınızdan tamamen silinir. |
Mevcut Sürümün Gerçek Veri Davranışı (v1)
Şeffaflık bizim için esastır. Uygulamanın mevcut sürümünde (v1) hiçbir sunucu (backend) veya çevrimiçi hesap bulunmamaktadır. Bu sürümde: hesap açmanız gerekmez; verileriniz cihazınızdan çıkmaz; gerçek bir yapay zekâ çağrısı yapılmaz (çözümler örnek/yerel olarak üretilir); herhangi bir analitik veya izleme aracı kullanılmaz; abonelik altyapısı test/örnek modda çalışır.
Aşağıda açıklanan yapay zekâ ile soru analizi ve abonelik gibi özellikler, yakında devreye girecek üretim özellikleridir. Bu özellikler etkinleştirildiğinde ve yalnızca açık rızanızla (13 yaş altı kullanıcılar için veli/vasi açık rızasıyla) veri işlenmeye başlanacaktır. Bu Gizlilik Politikası, hem bugünkü durumu hem de üretim niyetini dürüstçe açıklamak için ileriye dönük koşullu bir dille yazılmıştır.
Çocuk Kullanıcılar ve Veli Açık Rızası
Only Study, 6–12. sınıf öğrencilerine yöneliktir; bu, yaklaşık 11–18 yaş aralığını kapsar ve 6–7. sınıf öğrencileri 13 yaşından küçük olabilir. Bu nedenle çocuk verilerinin korunmasına en üst düzeyde önem veriyoruz.
13 yaşından küçük kullanıcılar için: Hesap oluşturma ve özellikle soru fotoğraflarının yapay zekâ ile işlenmesi, doğrulanabilir veli/vasi açık rızası gerektirir (KVKK çocuk verisi ilkeleri, ABD COPPA ve GDPR m.8 uyarınca). Veli, çocuğun verilerinin işlenmesine onay vermeden bu özellikler etkinleştirilmez.
13–18 yaş arası kullanıcılar için: Kullanım, veli onayı ve öğrenci taahhüdüyle mümkündür.
Çocuklara yönelik hedefli reklam, profilleme veya davranışsal izleme yapılmaz — zaten hiçbir analitik/reklam aracı kullanmıyoruz. Veli, rızasını istediği zaman destek e-postası (mustafabaykal91@gmail.com) üzerinden geri çekebilir; geri çekme geleceğe etkilidir ve daha önce hukuka uygun yapılmış işlemleri etkilemez.
Veli Modu ve Çocuğun Gelişim Verisi
Uygulamanın veli modu, kayıtlı veliye çocuğun gelişim, eksik konu analizi ve çalışma raporu verilerini gösterir. Bu veriler yalnızca kayıtlı veliye gösterilir, hiçbir üçüncü kişiyle paylaşılmaz ve reklam/pazarlama amacıyla kullanılmaz. Şeffaflık ilkesi gereği, veli erişiminin kapsamı ve çocuğun bu erişimden haberdar olması esastır.
Soru Fotoğraflarının İşlenmesi (Yapay Zekâ)
Üretim özelliği devreye girdiğinde, çektiğiniz veya galerinizden seçtiğiniz soru fotoğrafı ile soru metni; çözüm ve konu analizi üretmek amacıyla güvenli bir backend proxy üzerinden Google Gemini yapay zekâ hizmetine gönderilecektir. Uygulama içinde herhangi bir API anahtarı bulunmaz; anahtar yalnızca sunucu tarafındadır.
Soru fotoğrafı kişisel veri içerebilir: Defter veya kâğıt üzerinde ad-soyad, okul, sınıf ya da el yazısı gibi bilgiler görünebilir. Bu nedenle görselleri göndermeden önce kişisel bilgileri çerçeve dışında tutmanızı öneririz.
Taahhütlerimiz: (a) Gönderilen görseller ve metinler yalnızca çözüm üretimi için anlık olarak işlenir; backend proxy'de disk'e kalıcı yazılmaz ve loglanmaz. (b) Bu içerikler hiçbir yapay zekâ/model eğitiminde KULLANILMAZ (Google Gemini API hizmet şartları gereği — no AI/ML training). (c) Yapay zekâya yalnızca gönderdiğiniz soru içeriği iletilir; e-posta, ad, challenge rumuzu, veli bilgileri, abonelik durumu veya geçmiş soru arşiviniz iletilmez.
Yapay zekâ çözümleri eğitim amaçlı tahminlerdir; hata içerebilir ve resmî/kesin bir değerlendirme değildir. Bu, otomatik bir işleme sürecidir; sonuçlara itiraz edebilir veya yapay zekâ analizinden vazgeçebilirsiniz (KVKK m.11).
Cihaz-İçi İşleme ve Yerel Depolama
Mevcut sürümde çalışma verileriniz (soru geçmişi, eksik konu analizi, çalışma planı, raporlar, challenge rumuzu, veli modu bağlantısı, tercihler) yalnızca cihazınızda saklanır ve sunucuya gönderilmez. Bu verileri istediğiniz zaman uygulamayı kaldırarak veya hesap/veri silme özelliğiyle tamamen silebilirsiniz. Üretim özellikleri devreye girdiğinde dahi, yalnızca özelliğin çalışması için gereken veri ve yalnızca açık rızanızla işlenecektir (veri minimizasyonu ilkesi).
Veri Güvenliği
Kişisel verilerinizi korumak için makul teknik ve idari tedbirleri uygularız. Üretim altyapısı devreye girdiğinde: tüm veri aktarımları güncel TLS şifrelemesi ile korunur; yapay zekâ çağrıları uygulama içinde anahtar bulundurmayan güvenli backend proxy üzerinden yapılır; istem-enjeksiyonu ve çıktı temizliği önlemleri uygulanır; hizmet sağlayıcılarla veri işleme sözleşmeleri (DPA) imzalanır. Hiçbir sistem %100 güvenli olmamakla birlikte, kişisel verilerinizin güvenliğini korumak için sürekli çaba gösteririz. Verilerinizi satmıyoruz, hedefli reklam için paylaşmıyoruz ve model eğitiminde kullandırmıyoruz.
Kullanıcı Hakları (KVKK m.11 ve GDPR)
6698 sayılı KVKK m.11 ve uygulanabildiği yerlerde GDPR kapsamında şu haklara sahipsiniz: kişisel verilerinizin işlenip işlenmediğini öğrenme; işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme; yurt içinde/dışında aktarıldığı üçüncü kişileri bilme; eksik/yanlış işlenmişse düzeltilmesini isteme; KVKK m.7 kapsamında silinmesini/yok edilmesini isteme; bu işlemlerin aktarım yapılan taraflara bildirilmesini isteme; münhasıran otomatik sistemlerle analiz sonucu aleyhinize bir sonuç çıkmasına itiraz etme; ve zarara uğramanız hâlinde giderim talep etme. GDPR kapsamında ayrıca erişim, taşınabilirlik, işlemeyi kısıtlama ve rızayı geri çekme haklarına sahipsiniz.
Taleplerinizi mustafabaykal91@gmail.com adresine iletebilirsiniz; başvurularınıza yürürlükteki mevzuatın öngördüğü süre içinde (KVKK kapsamında en geç 30 gün) yanıt veririz. Çocuk kullanıcılar adına bu haklar veli/vasi tarafından da kullanılabilir.
Uluslararası Veri Aktarımı
Mevcut sürümde hiçbir veri yurt dışına aktarılmaz (sunucu bulunmadığından). Üretim özellikleri devreye girdiğinde, aşağıdaki hizmet sağlayıcıların sunucuları yurt dışında (başlıca ABD) bulunduğu için ilgili veriler yurt dışına aktarılmış olacaktır: Google (Gemini API — soru analizi), RevenueCat (abonelik), Apple (App Store). ABD, KVK Kurulu tarafından yeterli koruma sağlayan ülkeler listesinde bulunmadığından, bu aktarımlar KVKK m.9 kapsamında açık rızanıza dayanır ve Standart Sözleşme Hükümleri (SCC) ile veri işleme sözleşmeleri (DPA) altında yürütülür. GDPR kapsamındaki kullanıcılar için aktarımlar SCC ve uygun güvenlik önlemleriyle gerçekleştirilir.
Çerezler (Web Sitesi)
Bu web sitesinde reklam veya analitik çerezi kullanılmaz. Yalnızca sitenin temel işlevi için gereken zorunlu çerezler kullanılabilir. Sizi web üzerinden izlemiyor, profillemiyoruz. Uygulamanın kendisinde de herhangi bir analitik/izleme aracı bulunmamaktadır.
Toplamadığımız ve Yapmadığımız Şeyler
Güven ilkemizin somut ifadesi olarak: konum bilginizi, rehber/kişilerinizi, biyometrik verinizi ve reklam kimliğinizi (IDFA) toplamıyoruz; hiçbir analitik/kullanım izleme yapmıyoruz; hedefli/davranışsal reklam göstermiyoruz; verilerinizi satmıyoruz ve pazarlama için üçüncü taraflarla paylaşmıyoruz; soru fotoğraflarınızı yapay zekâ model eğitiminde kullandırmıyoruz; çocukları profillemiyoruz.
Veri İhlali Bildirimi
Üretim altyapısı devreye girdikten sonra sizi etkileyen bir kişisel veri ihlali yaşanması ihtimalinde, ilgili durumu yürürlükteki mevzuatın öngördüğü süre içinde yetkili denetim makamına (KVK Kurumu ve uygulanabildiği yerlerde GDPR m.33 uyarınca 72 saat içinde) bildiririz ve haklarınız açısından yüksek risk bulunması hâlinde sizi bu sayfada ve uygulama içinde doğrudan bilgilendiririz.
Politika Değişiklikleri ve İletişim
Bu Gizlilik Politikası, özellikle yapay zekâ ve abonelik özellikleri devreye girdiğinde güncellenebilir. Önemli değişikliklerde uygulama içinde veya bu sayfada bilgilendirme yaparız. Gizlilik veya veri koruma ile ilgili tüm soru, talep ve rıza geri çekme işlemleriniz için: mustafabaykal91@gmail.com.
Your rights
- Access — request a copy of any data we hold about you.
- Rectification — request correction of inaccurate data.
- Erasure — request deletion (see Delete account).
- Portability — receive your data in a machine-readable format.
- Restriction — restrict processing in certain circumstances.
- Objection — object to processing based on legitimate interests.
- Object to automated decisions — the app does not make consequential automated decisions; you may still email us per GDPR Art. 22.
- Withdraw consent — for any processing based on consent.
- Lodge a complaint — with your local supervisory authority (in Türkiye: KVKK; in EU: your national DPA).
Legal bases for processing (GDPR Art. 6)
- Performance of a contract — processing payment receipts via Apple/RevenueCat to provide your subscription.
- Legitimate interests — anonymized analytics + crash reporting to improve the app.
- Consent — health permissions, push notifications, ATT tracking (you can withdraw at any time in iOS Settings).
- Legal obligation — retaining payment records per applicable tax law.
Children
Only Study is not directed at children under 13. We do not knowingly collect data from children under that age. For users aged 13–15 in jurisdictions requiring it (GDPR member states), parental/guardian consent is required.If you believe a child has provided us data, contact mustafabaykal91@gmail.com and we will delete it within 30 days.
Security
We implement industry-standard security measures: TLS 1.3 for all network traffic, encrypted at rest where stored on third-party services, no plaintext credentials, principle of least privilege for data access. No system is 100% secure; if a breach impacts you, we will notify per GDPR Art. 33–34 (within 72 hours of discovery).
California / CCPA
California residents have the right to: (i) know what personal info we collect; (ii) delete personal info; (iii) opt out of sale (we do not sell); (iv) non-discrimination. To exercise: email mustafabaykal91@gmail.com with subject "CCPA request".
Changes
If this policy changes materially, the "Last updated" date will be revised. Significant changes will be flagged in-app and we will provide a 30-day notice period for objection where required by law.
Contact
Privacy questions: mustafabaykal91@gmail.com · Data subject requests: same email, subject "Data subject request".