1. Veri sorumluları

Kalory'yi aşağıda adı yazılı üç kişi birlikte yürütür ve kişisel verilerinizden birlikte sorumludur; veri sorumluları bu kişilerdir. Bu metinle ilgili sorularınız ve başvurularınız için aşağıdaki bilgileri kullanabilirsiniz.

• Ad soyad: Bulut Gürgeli, Efe Ferman, Mert Kızılırmak
• İnternet adresi: https://kalory.club
• İletişim e-postası: [email protected]

2. Hangi verileri topluyoruz

Aşağıdaki verileri, siz formları doldurduğunuzda veya uygulamayı kullandığınızda elektronik ortamda topluyoruz.

• Hesap: E-posta adresiniz, şifrenizin geri çevrilemeyen özeti (şifrenizin kendisini saklamıyoruz), e-posta doğrulama ve son giriş zamanları, kayıt olurken verdiğiniz onayların tarihi ve metin sürümü.
• Profil: Görünen adınız, doğum tarihiniz, cinsiyetiniz, boyunuz, kilonuz, hedef kilonuz, hareket düzeyiniz ve hedefiniz (kilo vermek, korumak veya almak). Cinsiyet olarak "diğer" veya "belirtmek istemiyorum" seçerseniz hesaplamada kullanılacak denklem tercihiniz.
• Beslenme tercihleri: Diyet tercihleriniz, alerjileriniz, sevmediğiniz yiyecekler ve günlük öğün sayınız.
• Öğün kayıtları: Eklediğiniz yiyecekler, markaları, miktarları, öğün türü, tarih ve saat, yiyeceğin kalori ve besin değerleri ve favori yiyecekleriniz.
• Antrenman kayıtları: Antrenman şablonlarınız ve oturumlarınız; egzersiz, set, tekrar ve ağırlık bilgileri; yazdığınız notlar.
• Bağlantı bilgileri: Uygulamaya bağlandığınızda IP adresiniz ve tarayıcı bilginiz sunucuya ulaşır ve teknik kayıtlarda yer alabilir. Giriş ve hesap işlemleri sırasında e-posta adresiniz de bu kayıtlara yazılır.

Barkod okurken kamera görüntüsü yalnızca tarayıcınızda işlenir; sunucuya gönderilmez ve saklanmaz. Sunucuya yalnızca barkod numarası gelir. Yiyecek aramalarınızı ve okuttuğunuz barkodları hesabınıza bağlı olarak kaydetmiyoruz; yalnızca öğüne eklediğiniz yiyecek öğün kaydınıza geçer.

3. Sağlık verisi sayılabilecek bilgiler ve açık rıza

Boy, kilo, hedef kilo, alerji, diyet ve yediklerinize dair kayıtlar, KVKK'nın 6. maddesinde sayılan sağlık verisi kabul edilebilir. Diyet tercihiniz bazı durumlarda inancınızı da gösterebilir. Kanun bu tür verileri "özel nitelikli kişisel veri" olarak daha sıkı korur.

Bu nedenle bu bilgileri özel nitelikli kişisel veri gibi ele alıyor ve işlemek için açık rızanıza dayanıyoruz. Açık rızanızı, kayıt sırasında Kullanım Koşulları'nı kabul etmekten ayrı bir kutuyu işaretleyerek verirsiniz. Bu kutu, 8. bölümde anlatılan yurt dışına aktarımı ve risklerini de kapsar.

Kalory'nin temel işlevi bu bilgilere dayandığı için açık rıza vermeden hesap açılamaz. Rızanızı istediğiniz zaman geri alabilirsiniz; bunun için profil sayfasından hesabınızı silebilir veya [email protected] adresine yazabilirsiniz. Rızanızı geri almanız, o tarihe kadar yapılmış işlemleri geçersiz kılmaz.

4. Verileri neden işliyoruz ve hukuki sebebimiz

• Hesabınızı açmak ve giriş yapmanızı sağlamak: Sözleşmenin kurulması ve ifası (KVKK md. 5/2-c).
• Kalori ve besin hedefinizi hesaplamak, öğün ve antrenman kayıtlarınızı tutmak, öneri ve günlük plan sunmak: Sağlık verisi sayılabilecek bilgiler için açık rızanız (md. 6/3-a), diğer bilgiler için sözleşmenin ifası (md. 5/2-c).
• Doğrulama ve şifre işlemleri için e-posta göndermek: Sözleşmenin ifası (md. 5/2-c).
• Hizmeti güvenli ve çalışır tutmak, hataları bulmak, yedek almak ve yedekleri denetlemek: Meşru menfaatimiz (md. 5/2-f); özel nitelikli veriler için açık rızanız (md. 6/3-a).
• Yasal yükümlülükleri yerine getirmek ve bir uyuşmazlıkta hakları korumak: Hukuki yükümlülük ve hakkın korunması (md. 5/2-ç, 5/2-e); özel nitelikli veriler için md. 6/3-d.

Uygulamada reklam, pazarlama e-postası, analiz veya izleme aracı yoktur.

5. Verilerinizi nerede saklıyoruz

Verileriniz, Oracle Cloud'un İtalya'daki Milano veri merkezinde çalışan ve kendimiz yönettiğimiz bir sunucuda saklanır. Uygulama ve veritabanı (PostgreSQL ve Supabase yazılımı) bu sunucuda çalışır; Supabase şirketinin bulut hizmetini kullanmıyoruz.

Tarayıcınızla sunucu arasındaki bağlantı HTTPS ile şifrelenir. Veritabanına internetten doğrudan ulaşılamaz. Bir kullanıcı uygulamada yalnızca kendi kayıtlarını görebilir. Sunucuya yalnızca yetkili ekip üyeleri kendi kişisel anahtarlarıyla girebilir.

6. Yedekler

Veri kaybını önlemek için veritabanının günde iki kez yedeğini alıyoruz. Yedekler sunucudan çıkmadan önce şifrelenir ve Cloudflare R2 depolama alanına yüklenir. Yedekleri açan anahtarlar sunucuda ve Cloudflare'de bulunmaz; yalnızca yetkili ekip üyelerinde ve aşağıdaki haftalık kontrolün kendi anahtarında bulunur.

• Düzenli yedekler: 30 gün sonra otomatik olarak silinir.
• Güncelleme öncesi yedekler: Veritabanının yapısını değiştiren bir güncellemeden önce ayrıca yedek alırız. Bu yedekler süresiz saklanır ve sonradan silinemeyecek şekilde kilitlenir.

Yedeklerin gerçekten açılabildiğini doğrulamak için haftada bir otomatik kontrol çalışır. Bu kontrol, GitHub'ın geçici bir sanal makinesinde yedeğin profil, öğün ve antrenman bölümünü açar, denetler ve iş bitince makine silinir. E-posta adresleri ve şifre özetleri ayrı bir dosyadadır; bu kontrol o dosyayı açamaz.

7. Verileriniz kimlere gidiyor

Verilerinizi yalnızca aşağıdaki hizmet sağlayıcılarla, yazılan kapsamda paylaşıyoruz.

• Oracle (sunucu barındırma, İtalya): Bu metinde sayılan veriler Oracle Cloud üzerindeki sunucumuzda durur.
• Cloudflare (yedek depolama): Yalnızca şifreli yedekler. Cloudflare bu yedekleri açamaz. Depolama alanı için Batı Avrupa konum tercihi seçilmiştir.
• GitHub (yedek denetimi): Haftalık kontrol sırasında, e-posta adresi ve şifre özeti dışındaki veriler geçici bir sanal makinede açılır.
• E-posta gönderim hizmeti (Resend): E-posta adresiniz ile doğrulama ve şifre e-postalarının içeriği.
• Open Food Facts (yiyecek veritabanı): Yalnızca yazdığınız arama metni veya barkod numarası. İsteği sunucumuz yapar; adınız, e-postanız, hesabınız veya IP adresiniz iletilmez. Yine de arama kutusuna kişisel bilgi yazmayın.
• USDA FoodData Central (yiyecek veritabanı): Bu bağlantı şu an kapalıdır. Açılırsa Open Food Facts ile aynı şekilde yalnızca arama metni gönderilir.
• healthchecks.io (sunucu izleme): Yalnızca sunucunun durumu hakkında bildirimler. Kullanıcı verisi içermez.

Kanunen zorunlu olduğunda yetkili kamu kurum ve kuruluşlarına bilgi verebiliriz.

8. Yurt dışına aktarım

Sunucumuz İtalya'da olduğu için uygulamaya girdiğiniz veriler Türkiye dışına aktarılır. Şifreli yedekler Cloudflare'e, haftalık kontrolde açılan veriler GitHub'a, e-posta adresiniz e-posta gönderim hizmetine gider. Bu şirketlerin sunucuları Türkiye dışında olabilir. GitHub'ın sanal makinesinin hangi ülkede çalışacağını seçemiyoruz; bu ülke Amerika Birleşik Devletleri olabilir.

Bu aktarımlar için dayanağımız, kayıt olurken bu aktarımlar ve olası riskleri hakkında bilgilendirilerek verdiğiniz açık rızadır (KVKK m.9/6-a). Aktarımın yapıldığı ülkelerde Türkiye'dekiyle aynı koruma bulunmayabilir, bu ülkelerde haklarınızı kullanmanız zorlaşabilir ve oradaki kamu kurumları verilere erişebilir. Bu hizmet sağlayıcılarla KVKK m.9 kapsamında standart sözleşme henüz imzalanmadı.

9. Ne kadar saklıyoruz

• Hesabınız açık olduğu sürece: Hesap, profil, öğün ve antrenman verileriniz siz silene kadar saklanır. Kullanılmayan hesapları otomatik olarak silmiyoruz.
• Hesabınızı sildikten sonra: Verileriniz canlı veritabanından silinir. Düzenli yedeklerdeki kopyalar yaklaşık 30 gün içinde ortadan kalkar. Güncelleme öncesi yedeklerdeki kopyalar süresiz kalır; bunlar şifreli durur ve yalnızca bir felaket veya hatalı güncelleme sonrasında geri yükleme için açılır. Böyle bir geri yükleme yapılırsa, yedek alındıktan sonra silinmiş hesaplar da geri gelebilir.
• Teknik kayıtlar: Sabit bir gün sayısı yoktur; kayıtlar boyut sınırına ulaştığında en eskileri silinir. Hesabınızı silmek, bu kayıtlardaki e-posta adresinizi hemen silmez.

10. Verilerinizi indirme ve silme

İlk kurulumu tamamladıysanız, giriş yaptıktan sonra profil sayfasından verilerinizin bir kopyasını indirebilir, hesabınızı ve verilerinizi silebilirsiniz. İlk kurulumu tamamlamadıysanız profil sayfası açılmaz; indirme veya silme için [email protected] adresine yazın.

11. KVKK madde 11 kapsamındaki haklarınız

Veri sorumlularına başvurarak şunları yapabilirsiniz:

• Kişisel verinizin işlenip işlenmediğini öğrenmek.
• İşlenmişse buna ilişkin bilgi istemek.
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenmek.
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilmek.
• Eksik veya yanlış işlenmişse düzeltilmesini istemek.
• KVKK'nın 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini istemek.
• Düzeltme, silme ve yok etme işlemlerinin, verinin aktarıldığı üçüncü kişilere bildirilmesini istemek.
• Verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucu aleyhinize çıkan bir sonuca itiraz etmek.
• Kanuna aykırı işleme nedeniyle zarara uğradıysanız zararın giderilmesini istemek.

Başvurunuzu yazılı olarak veya Kurulun belirlediği diğer yöntemlerle yukarıdaki iletişim bilgilerine iletebilirsiniz. Başvurunuzu en geç 30 gün içinde ücretsiz olarak sonuçlandırırız; işlem ayrıca bir maliyet gerektirirse Kurulun belirlediği tarifedeki ücret alınabilir.

Başvurunuz reddedilirse, yanıtı yetersiz bulursanız veya süresinde yanıt alamazsanız, yanıtı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

12. Çerezler

Yalnızca girişinizi açık tutan zorunlu çerezleri kullanıyoruz. Reklam veya analiz çerezi yoktur. Uygulamanın hızlı açılması için tarayıcınız ana sayfa ve simgeler gibi genel dosyaları önbelleğe alır; kişisel sayfalarınız önbelleğe alınmaz.

13. 18 yaş altı

Kalory 18 yaşını doldurmuş kişiler için tasarlanmıştır. İlk kurulum 18 yaşından küçük bir doğum tarihiyle tamamlanamaz ve uygulama 18 yaşından küçükler için kalori hedefi hesaplamaz. 18 yaşından küçükseniz ve hesap açtıysanız, silinmesi için [email protected] adresine yazın.

14. Bu metindeki değişiklikler

Bu metni değiştirdiğimizde sayfanın başındaki tarihi güncelleriz. Verilerinizin işlenme biçimini önemli ölçüde değiştiren bir değişikliği uygulamada veya e-postayla duyururuz ve gerekirse yeniden onayınızı isteriz.