FacetrailKişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni
Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, Facetrail: AI Face Search mobil uygulamasını (“Uygulama”) kullanan kişileri bilgilendirmek amacıyla hazırlanmıştır.
1. Veri sorumlusu
MEG Studio. E-posta: [email protected].
2. İşlenen kişisel veriler
| Kategori | Veriler |
|---|---|
| Kimlik ve iletişim | Ad, e-posta adresi, Google hesap kimliği, profil fotoğrafı bağlantısı. |
| Biyometrik veri (özel nitelikli) | Arama için yüklediğin, kırpılmış yüz fotoğrafı ve bu fotoğraf üzerinden arama sağlayıcısı tarafından yapılan yüz karşılaştırması. |
| İşlem güvenliği | Kötüye kullanım kaydı (hesap kimliği, arama kimliği, zaman, sağlayıcı, durum, hata kodu, sonuç sayısı; fotoğraf ve bağlantı içermez), IP adresi ve istek kayıtları, onay kayıtları. |
| Müşteri işlem | Arama sonuçları (bağlantı, alan adı, önizleme görseli, benzerlik puanı), kredi bakiyesi ve hareketleri, abonelik durumu, iade sayısı. |
| Finans | Google Play ve RevenueCat’ten gelen satın alma bilgileri (ürün, fiyat, para birimi, ülke). Kart bilgileri tarafımızca işlenmez. |
| Cihaz | Bildirim anahtarı (push token) ve uygulama dili. |
Arama geçmişinde gösterilen küçük yüz önizlemesi (yaklaşık 160 piksel) yalnızca cihazında saklanır ve tarafımıza aktarılmaz.
3. İşleme amaçları
- Üyelik ve giriş işlemlerinin yürütülmesi,
- Yüz arama hizmetinin sunulması; sonuçların ve geçmişin gösterilmesi,
- Kredi, satın alma ve abonelik süreçlerinin yürütülmesi,
- “Arama bitti” bildirimlerinin gönderilmesi,
- Kötüye kullanımın, dolandırıcılığın ve iade istismarının önlenmesi; şikâyetlerin incelenmesi,
- Bilgi güvenliğinin sağlanması ve istek sınırlarının uygulanması,
- Mevzuattan doğan yükümlülüklerin yerine getirilmesi ve yetkili kurumların taleplerinin karşılanması.
4. Hukuki sebepler
- Sözleşmenin kurulması ve ifası (KVKK m. 5/2-c): hesap, arama sonuçları, krediler ve abonelikler.
- Hukuki yükümlülük (m. 5/2-ç): muhasebe ve vergi kayıtları, yetkili makam talepleri.
- Meşru menfaat (m. 5/2-f): kötüye kullanım kaydı, güvenlik kayıtları, istek sınırlaması.
- Açık rıza (m. 6/3 ve m. 9): yüz fotoğrafının (biyometrik veri) işlenmesi ve arama sağlayıcısına yurt dışına aktarılması. Bildirimler için Android bildirim izni.
5. Toplama yöntemi
Kişisel veriler; Uygulama üzerinden, Google ile giriş, Google Play Faturalandırma ve RevenueCat entegrasyonları aracılığıyla, elektronik ortamda ve otomatik yollarla toplanır.
6. Aktarım
Kişisel veriler yukarıdaki amaçlarla sınırlı olarak şu alıcı gruplarına aktarılabilir:
- Yüz arama hizmet sağlayıcıları (yurt dışı): kırpılmış yüz fotoğrafı, yalnızca aramanın yapılması için.
- Barındırma ve veritabanı hizmet sağlayıcıları (yurt içi: Hosting Dünyam, İstanbul).
- Cloudflare, Inc. (yurt dışı): web sitesi ve API için ağ güvenliği ve iletim; istekler (yüklenen fotoğraf dahil) şifreli olarak bu altyapıdan geçer.
- Google LLC (yurt dışı): giriş, ödeme ve bildirim iletimi.
- RevenueCat, Inc. (yurt dışı): satın alma ve abonelik yönetimi.
- Expo / 650 Industries, Inc. (yurt dışı): bildirim iletimi.
- Yetkili kamu kurum ve kuruluşları: yasal zorunluluk hâlinde.
Yüz fotoğrafının yurt dışındaki arama sağlayıcısına aktarılması, KVKK m. 9/6-a kapsamında, olası riskler hakkında bilgilendirilmen üzerine verdiğin açık rızaya dayanır. Aktarımın yapıldığı ülkelerde Türkiye’dekiyle aynı düzeyde koruma bulunmayabilir. Diğer yurt dışı aktarımlar için KVKK m. 9’da öngörülen uygun güvenceler (standart sözleşme vb.) esas alınır.
7. Saklama süreleri
- Yüz fotoğrafı (sunucu): arama bitince silinir.
- Arama sonuçları: 30 gün sonra otomatik olarak ya da sen sildiğinde silinir.
- Kötüye kullanım kaydı: 365 gün (geçmiş temizlense ya da hesap silinse de).
- Hesap ve onay kayıtları: hesap silinene kadar.
- Bildirim anahtarı: çıkış yapıldığında ya da hesap silindiğinde.
- Satın alma ve kredi hareketleri: vergi ve ticaret mevzuatının öngördüğü süre boyunca, hesapla bağı kaldırılarak.
Süresi dolan veriler silinir, yok edilir ya da anonim hâle getirilir.
8. KVKK m. 11 kapsamındaki hakların
- Kişisel verilerinin işlenip işlenmediğini öğrenme ve işlenmişse bilgi talep etme,
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
- Eksik veya yanlış işlenmişse düzeltilmesini isteme,
- KVKK m. 7’deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
- Düzeltme, silme ve yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme,
- Kanuna aykırı işleme nedeniyle zarara uğraman hâlinde zararın giderilmesini talep etme.
Açık rızanı istediğin zaman geri alabilirsin. Geri alma, o tarihe kadar yapılmış işlemleri etkilemez; ancak rıza olmadan yeni arama yapılamaz.
9. Başvuru
Taleplerini, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak, Uygulama’da kayıtlı e-posta adresinden [email protected] adresine iletebilirsin. Başvurun en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. Yanıtı yeterli bulmazsan Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsin.
Açık Rıza Metni
Uygulama’da ilk aramadan önce, diğer onaylardan ayrı ve başlangıçta işaretsiz bir onay kutusuyla alınır. Onay kutusunun metni:
Aydınlatma metnini okudum. Yüz fotoğrafımın (biyometrik veri) arama için yurt dışındaki arama servisine gönderilmesine, orada Türkiye’deki kadar koruma olmayabileceğini bilerek açık rıza veriyorum. Fotoğraf arama bitince silinir.