KVKK Aydınlatma Metni

Caymaz TechHealth Yazilim Tic. Ltd. Şti. ("Caymaz TechHealth" veya "Şirket"), caymaztech.com web sitesi ve uygulama mağazalarında yayınlanan mobil uygulamaları (Calvion, Vivify AI, Kıble Bulucu, Reçete Defterim, HairArchitect AI, FaceArchitect AI, Caliber dB, Kazanımlar - Sınıf Defterim, MediScan AI ve gelecekteki ürünler) kapsamındaki kişisel veri işleme faaliyetleri bakımından 6698 sayılı KVKK uyarınca veri sorumlusudur.

Şirket Bilgileri: Unvan: Caymaz TechHealth Yazilim Tic. Ltd. Şti. MERSIS No: 0203091510500001 Vergi Dairesi: Başakşehir Vergi Kimlik No: 2030915105 Adres: İstanbul, Türkiye

KVKK Temsilcisi: Şirketimiz Türkiye Cumhuriyeti'nde kayıtlı ve yerleşik bir tüzel kişiliktir; KVKK kapsamında ayrı bir veri sorumlusu temsilcisi atanması gerekmemektedir.

Başvuru kanalı: Tüm KVKK başvurularınızı caymaztech.com/#contact adresindeki iletişim formundan iletebilirsiniz. Başvuru formunda talep türü olarak "Gizlilik / KVKK / GDPR Talebi" seçeneğini seçiniz. Kimlik doğrulama akabinde KVKK'nın öngördüğü süreler içinde yanıtlanacaktır.

KVKK kapsamında işlediğimiz kişisel veri kategorileri ve toplama yöntemleri:

• Kimlik ve iletişim verileri (ad, e-posta adresi, varsa kuruluş adı ve telefon numarası) — web sitesi iletişim formu, uygulama kayıt formları ve iş iletişimi yoluyla elektronik ortamda toplanır.

• Hesap ve kimlik doğrulama verileri (kullanıcı kimliği, Firebase Auth veya Supabase Auth kayıtları, oturum belirteçleri) — uygulamalara kayıt/giriş süreci aracılığıyla otomatik olarak toplanır.

• Abonelik ve satın alma meta verileri (haklar, ürün tanımlayıcıları, abonelik durumu) — Apple App Store, Google Play ve Adapty aracılığıyla otomatik olarak toplanır.

• Teknik veriler (IP adresi, cihaz türü, işletim sistemi, uygulama sürümü, dil, IP adresinden yaklaşık konum, çökme/tanılama günlükleri) — uygulama ve web sitesi kullanımı sırasında otomatik olarak toplanır.

• Kullanım ve analitik verileri (özellik kullanımı, oturum olayları; yalnızca ilgili uygulamada Firebase Analytics etkinleştirilmişse) — otomatik olarak toplanır.

• Kullanıcı tarafından gönderilen içerik (yapay zekâ veya simülasyon özellikleri için görüntü, metin, ses vb.) — özelliği etkinleştirdiğinizde doğrudan siz tarafından sağlanır.

• İletişim formu ve destek mesajları — web sitesi formu veya uygulama içi destek kanalları aracılığıyla siz tarafından sağlanır.

• Rıza kayıtları (zaman damgası, tercihler, politika sürümü, Consent Audit çıktıları) — çerez banner'ı ve uygulama içi rıza akışları aracılığıyla otomatik olarak toplanır.

Özel Nitelikli Kişisel Veriler: Sağlık odaklı uygulamalarımıza (HairArchitect AI, FaceArchitect AI, Vivify AI, Calvion, MediScan AI) yüklediğiniz fotoğraflar veya sağlığa ilişkin bilgiler KVKK'nın 6. maddesi kapsamında özel nitelikli kişisel veri sayılabilir. Bu veriler yalnızca talep ettiğiniz özelliği sunmak amacıyla ve açık rızanıza dayanılarak işlenir.

Kişisel verileriniz aşağıdaki amaçlarla işlenmektedir:

• Web sitesi ve mobil uygulamalarımızı işletmek, yönetmek ve güvenliğini sağlamak • Talep ettiğiniz yapay zekâ, simülasyon ve ürün özelliklerini sunmak • Kullanıcı kimlik doğrulaması gerçekleştirmek, push bildirimleri (FCM) göndermek ve abonelik yönetimini sağlamak (Adapty, App Store, Google Play) • Gizlilik taleplerine, KVKK başvurularına ve Consent Audit taleplerine yanıt vermek • Kötüye kullanım, dolandırıcılık ve güvenlik olaylarını tespit etmek ve önlemek • Yasal yükümlülüklere uymak ve Kullanım Koşullarımızı uygulamak • Zorunlu işlemsel bildirimler göndermek

Kişisel verilerinizi satmıyor, üçüncü taraf reklam amacıyla paylaşmıyor veya bu Aydınlatma Metni'nde ve Gizlilik Politikamızda belirtilmeyen herhangi bir amaç için kullanmıyoruz.

Kişisel verileriniz aşağıdaki KVKK hukuki dayanaklarına göre işlenmektedir:

KVKK Madde 5/2-a — Kanunlarda açıkça öngörülmesi: Yasal saklama ve raporlama yükümlülükleri (vergi, muhasebe).

KVKK Madde 5/2-c — Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması: Hesap oluşturma, abonelik yönetimi, uygulama özelliklerinin sunulması.

KVKK Madde 5/2-f — Meşru menfaat: Web sitesi ve uygulama güvenliği, dolandırıcılık önleme, teknik hata giderme, toplu analitik.

KVKK Madde 5/1 — Açık rıza: Zorunlu olmayan çerezler; yurt dışına aktarım gerektiren yapay zekâ özellikleri; pazarlama iletişimi (talep edilirse).

KVKK Madde 6/2 — Özel nitelikli veriler için açık rıza: Sağlık odaklı uygulamalarda yüklenen fotoğraflar ve sağlık bilgileri.

Verilen rıza önceki işlemlerin meşruiyetini etkilemeksizin her zaman geri çekilebilir.

İşlenen kişisel veriler, ilgili hukuki dayanak ve amacın gerektirdiği ölçüde aşağıdaki alıcı kategorilerine aktarılabilir:

• Hukuk danışmanları ve avukatlar (yasal uyumluluk ve uyuşmazlık çözümü) • Mali müşavirler ve bağımsız denetçiler (vergi ve muhasebe yükümlülükleri) • Yetkili kamu kurum ve kuruluşları ile mahkemeler (kanunun gerektirdiği hâllerde)

Bu aktarımlar KVKK'nın 8. maddesi kapsamında değerlendirilir ve yalnızca belirtilen amacın gerektirdiği ölçüde gerçekleştirilir.

Kişisel verileriniz, aşağıda belirtilen hizmet sağlayıcılar aracılığıyla Türkiye dışındaki ülkelere aktarılabilir. Kişisel Verileri Koruma Kurulu'nun yeterli korumaya sahip olduğunu ilan ettiği bir ülke henüz bulunmamaktadır; bu nedenle yurt dışı aktarımlarda açık rızanıza ve/veya veri aktarımı sözleşmelerine dayanılmaktadır.

| Sağlayıcı | Ülke | Amaç | Dayanak | |-----------|------|-------|--------| | Firebase / Google (Auth, FCM, Crashlytics, Analytics) | ABD | Kimlik doğrulama, bildirim, analiz | Açık rıza + Google Cloud DPA | | Cloudflare (R2, Turnstile, CDN) | ABD / Küresel | Depolama, bot koruması, CDN | Açık rıza + Cloudflare DPA | | Hetzner | Almanya (AEA) | Sunucu altyapısı | Açık rıza + Hetzner DPA | | Apple App Store / Google Play | ABD | Uygulama dağıtımı, IAP | Platform şartları | | Adapty | ABD | Abonelik yönetimi | Açık rıza + Adapty DPA | | Supabase | ABD | Kimlik doğrulama, veritabanı | Açık rıza + Supabase DPA | | Resend | ABD | E-posta iletimi (iletişim formu) | Açık rıza + Resend DPA | | fal.ai | ABD | Yapay zekâ işleme | Uygulama içi açık rıza | | Eachlabs.ai | ABD | Yapay zekâ video/medya işleme | Uygulama içi açık rıza |

Yapay zekâ özelliklerini kullanmadan önce uygulama içinde sunulan açık rıza metnini onaylamanız zorunludur. Bu rızayı vermemek söz konusu özelliği kullanamamanıza neden olur; ancak diğer özellikler etkilenmez.

Kişisel verileriniz, işlenme amacı ortadan kalktığında veya yasal saklama süreleri sona erdiğinde silinmekte, yok edilmekte veya anonim hâle getirilmektedir.

• Hesap ve kimlik doğrulama verileri: Hesap aktif olduğu sürece; uygulama içi hesap silme talebinden sonra yedek döngüleri dahil en fazla 30–90 gün içinde. • Yapay zekâ ve simülasyon girdileri: Çıktı üretiminden itibaren en fazla 7 (yedi) gün; ardından silinir veya anonim hâle getirilir. • İletişim formu ve KVKK başvuru kayıtları: Çözümden sonra genellikle 24 aya kadar (yasal yükümlülük gereği uzayabilir). • Güvenlik günlükleri: Kısa dönemli dönen pencereler (teknik gereklilik ölçüsünde). • Mali ve vergi kayıtları: Vergi Usul Kanunu ve ilgili mevzuatın öngördüğü süre (genellikle 5–10 yıl). • Çerez ve onay kayıtları: Onay tarihinden itibaren 12 ay (consent_v1 localStorage kaydı).

Saklama süresinin sona ermesinin ardından veriler teknik olarak mümkün olan en kısa sürede güvenli biçimde imha edilir.

KVKK'nın 11. maddesi uyarınca kişisel verilerinize ilişkin aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme • İşlenmişse buna ilişkin bilgi talep etme • İşlenme amacını ve bu verilerin amacına uygun kullanılıp kullanılmadığını öğrenme • Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme • Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme • KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme • Düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme • İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme • Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

Başvuru yöntemi: caymaztech.com/#contact adresindeki iletişim formunu kullanarak "Gizlilik / KVKK / GDPR Talebi" seçeneğini seçin. Adınızı, iletişim bilgilerinizi, ilgili uygulamayı ve talep içeriğini belirtin. Kimlik doğrulama akabinde KVKK'nın 13. maddesi gereği en geç 30 (otuz) gün içinde sonuçlandırılır.

Başvurunuz reddedilir veya yanıt alamamanız hâlinde Kişisel Verileri Koruma Kurumu'na şikâyette bulunabilirsiniz: Kişisel Verileri Koruma Kurumu Nasuh Akar Mah. Ziyabey Cad. No:19, 06520 Balgat/Ankara Telefon: 0312 216 50 50 Web: kvkk.gov.tr

Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), KVKK kapsamında kişisel veri işleyen veri sorumlularının kayıt yaptırması zorunlu olan sicildir.

Şirketimizin Durumu: 50'den az çalışana ve 25 milyon Türk Lirasının altında yıllık mali bilanço büyüklüğüne sahip veri sorumluları, 2018/87 sayılı KVKK Kurul Kararı kapsamında VERBİS'e kayıt yaptırma yükümlülüğünden muaf tutulabilmektedir.

Caymaz TechHealth, bu eşik değerlerin altında faaliyet gösteren tek kişilik bir limited şirketidir (startup); ancak sağlık odaklı uygulama portföyümüz nedeniyle özel nitelikli kişisel veri işleme faaliyetleri açısından muafiyet kapsamını aktif olarak izlemekteyiz. Kurul tarafından kayıt yükümlülüğü tesis edilmesi hâlinde gerekli kayıt işlemleri derhal yerine getirilecektir.

Bu konudaki son durumu öğrenmek veya şikâyette bulunmak için Kişisel Verileri Koruma Kurumu'na (kvkk.gov.tr) başvurabilirsiniz.