Lulie Kişisel Verilerin Korunması Aydınlatma Metni
Son güncelleme: 26 Ekim 2026
1. Veri sorumlusu
KVKK kapsamında veri sorumlusu Bünyamin Mete'dır.
- Adres: İstanbul, Türkiye
- E-posta: support@lulie.app
2. İşlenen kişisel veriler
| Kategori | Veriler | Nerede işlenir |
|---|---|---|
| Özel nitelikli kişisel veri (biyometrik veri olarak kabul edilen) | Yüz fotoğrafları (günlük önce/sonra, haftalık karşılaştırma kareleri), yapay zekâ projeksiyon görseli, cihazda hesaplanan yüz noktaları (yalnız bellekte, saklanmaz), yüz şekli sınıfı, dört yüz oranı sayısı, yapay zekâ okuma kategorileri | Telefonunda; açık rızanla yapay zekâ sağlayıcısına (fotoğraf) ve şifreli olarak bulut depomuza (fotoğraf); hesap bağlarsan sunucumuzda (yüz şekli, oran sayıları, okuma kategorileri; fotoğraf hariç) |
| Kimlik / müşteri işlem | Rastgele cihaz kimliği; hesap bağlarsan Apple ya da Google hesap kimliğinin tek yönlü özeti (ad ve e-posta toplanmaz) | Telefonunda, sunucumuzda, RevenueCat ve PostHog'da |
| İşlem güvenliği | Apple App Attest anahtarları, kötüye kullanım sayaçları, sunucu logları (cihaz kimliğinin ilk 8 karakteri; istek gövdesi yok) | Sunucumuzda |
| Müşteri işlem (program) | Hedef, seçili yüz bölgeleri, ritüel saati, yatış yanı, çene sıkma cevabı, ritüel geçmişi, ölçüm özetleri, haftalık sonuçlar | Telefonunda; hesap bağlarsan sunucumuzda |
| Pazarlama / iletişim | Push token, ülke, dil, saat dilimi, bildirim izni, "Teklifler" ve "Yenilikler" tercihleri, abonelik durumu ve planı, ritüel saati, ritüel sayısı aralığı, kurulum ve son aktif hafta, uygulama sürümü | Sunucumuzda |
| Finans / satın alma | Abonelik ürünü, fiyat, tahmini net gelir, ülke kodu, iptal nedeni, abonelik durumu, satın alma makbuzları | RevenueCat, sunucumuz; ödeme Apple'da |
| Kullanım ve tanılama | Uygulama içi olaylar, cihaz ve uygulama sürümü, çökme ve performans verisi, reklam kampanyası etiketi | PostHog |
| Rıza kayıtları | Rıza türü, metin sürümü, tarih ve saat, ülke, dil | Telefonunda ve sunucumuzda |
| İletişim | Bize yazarsan e-posta adresin ve mesajın | E-posta hizmetimizde (Cloudflare e-posta yönlendirme ve gelen kutusu sağlayıcımız) |
3. İşleme amaçları
- Cihazda yüz ölçümü yapmak, haftalık karşılaştırma için fotoğraf saklamak, sana özel ritüel planı oluşturmak;
- açık rızanla yapay zekâ ile yüz okuma, haftalık karşılaştırma ve projeksiyon görseli üretmek;
- açık rızanla fotoğraflarını şifreli olarak yedeklemek ve telefon değişiminde geri yüklemek;
- üyelik ve abonelik süreçlerini yürütmek, satın almaları geri yüklemek;
- hesap bağladıysan programını cihazlar arasında taşımak;
- ritüel hatırlatmaları ve yenileme bildirimleri göndermek; açık rızanla teklif bildirimleri göndermek;
- uygulamanın güvenliğini sağlamak, kötüye kullanımı ve maliyet aşımını önlemek;
- uygulamayı ölçmek, hataları gidermek ve geliştirmek;
- rıza kanıtını saklamak, hukuki yükümlülükleri yerine getirmek, taleplerine cevap vermek.
4. Hukuki sebepler
| Veri | Hukuki sebep |
|---|---|
| Özel nitelikli veri (yüz fotoğrafları ve yüzden türetilen veriler) | KVKK md. 6(2): açık rıza |
| Kimlik, program, abonelik ve bildirim verileri | md. 5(2)(c): sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması |
| Satın alma ve fatura kayıtları | md. 5(2)(ç): veri sorumlusunun hukuki yükümlülüğü |
| İşlem güvenliği, analitik, tanılama, reklam atfı | md. 5(2)(f): temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat |
| Rıza kayıtları | md. 5(2)(e): bir hakkın tesisi, kullanılması veya korunması; md. 5(2)(ç) |
| Teklif bildirimleri | md. 5(1): açık rıza |
5. Toplama yöntemi
Kişisel verilerin; uygulama içinde kamera ile, ekranlarda verdiğin cevaplarla, cihaz üzerinde otomatik hesaplamayla, isteğe bağlı Apple/Google girişiyle, bildirim izniyle, Apple ve RevenueCat'ten gelen satın alma bildirimleriyle ve uygulamanın kullanımı sırasında otomatik yollarla, elektronik ortamda toplanır.
6. Aktarım
Yurt içi: Kişisel verilerin, kanunen yetkili kamu kurum ve kuruluşlarına, talep hâlinde ve yalnız hukuki yükümlülük kapsamında aktarılabilir.
Yurt dışı (KVKK md. 9): Hizmet sağlayıcılarımızın sunucuları Türkiye dışındadır. Kişisel verilerin aşağıdaki alıcılara, yukarıdaki amaçlarla sınırlı olarak aktarılır:
| Alıcı | Amaç | Aktarılan veri | Ülke |
|---|---|---|---|
| Cloudflare, Inc. | Sunucu, veritabanı, şifreli yedek deposu | Cihaz kimliği, hesap özeti, rıza kayıtları, bildirim ve abonelik verileri, şifreli fotoğraf yedekleri; yapay zekâ isteklerindeki fotoğraf yalnız bellekten geçer | Cloudflare'in küresel ağı |
| Google LLC (Gemini API) | Yapay zekâ ile yüz okuma ve haftalık karşılaştırma | Yüz fotoğrafı, yüz şekli sınıfı, yatış yanı, önceki haftalık sonuçlar | Amerika Birleşik Devletleri |
| Google LLC (Gemini API) | Projeksiyon görseli | Yüz fotoğrafı, yüz şekli sınıfı, seçili bölgeler | Amerika Birleşik Devletleri |
| RevenueCat, Inc. | Abonelik yönetimi | Cihaz kimliği / hesap özeti, satın alma verisi | ABD |
| PostHog, Inc. | Analitik ve tanılama | Cihaz kimliği, kullanım olayları | ABD |
| Apple Inc. | Dağıtım, ödeme, giriş, bildirim, cihaz doğrulama, reklam atfı | Hizmet için gereken veri | Amerika Birleşik Devletleri |
| Google LLC (yalnız Google ile giriş kullanılırsa) | Giriş | Giriş değişimi | Amerika Birleşik Devletleri |
Yurt dışına aktarım KVKK'nın 9. maddesi kapsamında açık rızan ve hizmet sağlayıcıların standart sözleşme hükümleri dayanağıyla yapılır.
7. Saklama süreleri
Ayrıntılı saklama ve imha takvimi Gizlilik Politikası bölüm 3.7 ve 9'dadır. Özetle: nokta koordinatları hiç saklanmaz; günlük fotoğraflar 7 gün sonra silinir; haftalık fotoğraflar ve projeksiyon sen silene kadar telefonunda (ve rıza verdiysen şifreli olarak bulutta) durur; hesap verileri hesabını silene kadar, rıza kayıtları son değişiklikten itibaren 3 yıl, abonelik olayları 13 ay, bildirim verileri en geç son güncellemeden 180 gün sonrasına kadar saklanır. Süre dolduğunda veriler silinir, yok edilir ya da anonim hâle getirilir.
8. KVKK md. 11 kapsamındaki hakların
Veri sorumlusuna başvurarak:
a) kişisel verinin işlenip işlenmediğini öğrenme, b) işlenmişse buna ilişkin bilgi talep etme, c) işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, ç) yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, d) eksik veya yanlış işlenmişse düzeltilmesini isteme, e) KVKK md. 7'deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme, f) (d) ve (e) bentlerindeki işlemlerin, verinin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme, ğ) kanuna aykırı işlenmesi sebebiyle zarara uğraman hâlinde zararın giderilmesini talep etme
haklarına sahipsin.
Birçok hakkını doğrudan uygulamada kullanabilirsin: Ayarlar'da "Yüz fotoğraflarını sil", "Tüm verimi sil", "Hesabı sil", "Verimi dışa aktar" ve rıza anahtarları. Açık rızanı istediğin an geri alabilirsin; geri alma, önceki işlemleri etkilemez.
9. Başvuru yolu
Başvurunu Türkçe olarak; yazılı şekilde İstanbul, Türkiye adresine ya da sistemimizde kayıtlı e-posta adresin bulunmadığı için support@lulie.app adresine, kimliğini doğrulamamıza yarayacak bilgilerle (uygulamada Ayarlar'da görünen cihaz kimliği gibi) iletebilirsin. Başvurular en geç 30 gün içinde ücretsiz sonuçlandırılır; işlem ayrıca bir maliyet gerektirirse Kurul'un belirlediği tarifeye göre ücret alınabilir. Başvurun reddedilirse, cevabı yetersiz bulursan ya da süresinde cevap verilmezse, cevabı öğrendiğin tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin.