Gizlilik ve Aydınlatma Metni

1. Veri sorumlusu

Demostra, bireysel bir geliştirici tarafından geliştirilip işletiliyor; arkasında bir şirket yok. KVKK anlamında veri sorumlusu gerçek kişi geliştiricinin kendisidir.

Demostra
İletişim: info@demostra.app

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) uyarınca hazırlandı. KVKK m.10 aydınlatma yükümlülüğünü ve GDPR m.13 bilgilendirme yükümlülüğünü yerine getirmek amacını taşıyor.

Bu bir aydınlatma metnidir, rıza metni değildir. Aydınlatma yükümlülüğü hiçbir onaya bağlı değil; bu metni okumak için onay vermen istenmez. Rızaya bağlı işlemler ayrı bir belgede: Açık Rıza Metni. (Kurul'un 18.02.2026 tarihli 2026/347 sayılı ilke kararı iki metnin ayrı düzenlenmesini zorunlu tutuyor.)

2. Sesin varsayılan olarak cihazından çıkmıyor

Konuşman varsayılan olarak telefonunun kendi üzerinde yazıya çevriliyor. Ses kaydı sunucumuza gönderilmiyor ve hiçbir yerde saklanmıyor.

Mikrofon, sen “Konuşmaya başla” diyene kadar kapalı kalır. Bu, çevrendeki konuşmaların istenmeden toplanmasını engellemek için böyle tasarlandı.

İsteğe bağlı istisna: Ayarlar'dan açık rızanla bulut düzeltmesini açabilirsin. Konuşurken gördüğün metin yine cihazında çıkar; açtığında değişen tek şey, kayıt bittikten sonra ses dosyanın sunucumuza ve oradan OpenAI'ye gidip daha doğru bir metinle dönmesi. Ses hiçbir yerde saklanmaz, çevrilir çevrilmez düşer; cihazındaki geçici kayıt da silinir. Varsayılan kapalıdır, yalnızca sen açarsan devreye girer ve istediğin an kapatabilirsin. Rızanın kapsamı ve geri alma yolu Açık Rıza Metni'nde.

3. Ama yazıya çevrilmiş metin gönderiliyor, ve yurt dışına

Özet çıkarmak, soru üretmek ve anlatımını değerlendirmek için konuşmanın METNİ yapay zekâ sağlayıcımıza gönderiliyor.

Sağlayıcı OpenAI; verilerini Amerika Birleşik Devletleri'nde işliyor. Yani metnin yurt dışına aktarılıyor.

Saklama: sağlayıcı API isteklerini kötüye kullanım denetimi için 30 gün saklıyor, sonra siliyor. Sıfır saklama (Zero Data Retention) seçeneği yalnızca belirli hesap türlerinde açılıyor ve bizde henüz yok.

Model eğitimi: sağlayıcının yayımlanmış kuralına göre API üzerinden gönderilen girdiler ve alınan çıktılar varsayılan olarak modellerin eğitiminde kullanılmıyor. Bu bir sözleşme müzakeresi değil, sağlayıcının ilan ettiği varsayılan.

Aktarım yalnızca yapay zekâ sağlayıcısı değil

Dürüst olmak için tamamını sayıyoruz, uygulamanın sunucusu ve veritabanı da Türkiye dışında. Yani yalnızca anlatım metnin değil, hesabınla ilgili tüm veri yurt dışında bulunuyor:

Bunların hiçbirinin Türkiye bölgesi bulunmuyor. Aynı hukuki dayanak ve aynı eksik güvence bu aktarımların hepsi için geçerli, aşağıdaki bölüm hepsini kapsıyor.

Gönderilenler:

• Konuşma metni
• Senin yazdığın anlatımlar
• Pekiştirme ve yoklama cevapların
• Hedef kurarken verdiğin cevaplar
• Eşli vaka özelliğinde: iki kullanıcının cevapları birlikte

Yapay zekâ sağlayıcısına kimliğin gitmiyor. Gönderilen istek adını, e-postanı ya da kullanıcı numaranı taşımıyor; sağlayıcının kendi kullanıcı tanımlayıcısı alanı da boş bırakılıyor. Bu, aktarımı hukuken ortadan kaldırmıyor, bağlantıyı biz tutuyoruz, ama bir sızıntı hâlinde ortaya çıkacak şeyi kimliksiz metne indiriyor.

Aktarımın hukuki dayanağı, ve sınırı

KVKK m.9, 7499 sayılı Kanunla değiştirildi ve 1 Haziran 2024'te yürürlüğe giren kademeli bir rejim getirdi: (1) yeterlilik kararı, (2) yoksa uygun güvenceler, (3) o da yoksa yalnızca arızi hâller.

Bugün itibarıyla Kurul hiçbir ülke için yeterlilik kararı vermemiştir. Bu aktarım açık rızaya değil, sözleşmenin ifası hukuki sebebine dayanıyor: anlatımını değerlendirmek Demostra'nın çekirdek edimidir ve bu edim aktarım olmadan yerine getirilemez.

Aktarımı rızaya bağlamıyoruz çünkü hizmetin kendisi ona bağlı; bir hizmetten yararlanmayı rızaya bağlamak KVKK'da rızayı geçersiz kılıyor (Kurul, 02.05.2023 tarih ve 2023/692 sayılı karar). Bunun yerine ne olduğunu bu metinde açıkça söylüyoruz ve aktarım Kullanıcı Sözleşmesi'nin bir parçası olarak kabul ediliyor. Sözleşmeyi kabul etmezsen hesap açılmaz.

Güvence durumu. KVKK m.9, yeterlilik kararı bulunmayan ülkelere aktarımda uygun güvence arıyor. Kurul bugüne kadar hiçbir ülke için yeterlilik kararı yayımlamadı; uygun güvence yollarından standart sözleşme ise sağlayıcının imzasını gerektiriyor ve bu imza henüz alınmadı. Aktarım şu an sözleşmenin ifası hukuki sebebine dayanıyor; ek bir güvence bulunmuyor. Durum değiştiğinde bu bölüm güncellenir.

İmzalanması hâlinde standart sözleşme, imzadan sonra beş iş günü içinde Kurul'a bildirilir (m.9/4-c). Hesabını dilediğin an silebilirsin: Ayarlar → Hesabı sil.

Bildirimler ve Expo

Arkadaşın seni dürttüğünde telefonuna bildirim düşüyor. Bunun için cihazının bildirim jetonu hesabında saklanıyor ve bildirimin metni Expo (Amerika Birleşik Devletleri) üzerinden geçiyor. Metinde dürten kişinin adı yer alıyor, örneğin “Elif seni dürttü”.

Jeton bir cihaz kimliğidir, kim olduğunu söylemez. Hesabını sildiğinde jeton da siliniyor. Bildirimleri kapatırsan jeton cihazdan çıkarılıyor ve gönderim durur. Verilerini indirdiğinde hangi cihazların kayıtlı olduğunu görüyorsun, ama jetonun tamamı gösterilmiyor: eline geçiren o cihaza bildirim gönderebilirdi.

4. Neleri saklıyoruz

• Ad ve e-posta, hesabın için
• Konuşma metinleri ve özetleri
• Hedeflerin, konu başlıkların ve materyallerin
• Yoklama ve pekiştirme cevapların, sonuçları
• Çalışma süreleri ve odak seansı kayıtları
• Arkadaşlık bağların ve birlikte çalışma süreleri
• Katıldığın alanlarda: varlık süresi, kanıt sayısı, kurulum kimliği

Şifren düz metin olarak saklanmaz; geri çevrilemez biçimde özetlenir (bcrypt). Şifre sıfırlama kodları da özet olarak tutulur ve tek kullanımlıktır.

İşleme amacı ve hukuki sebep

Veriler yalnızca hizmetin kendisini sunmak için işleniyor: hedefini planlamak, soru üretmek, anlatımını değerlendirmek ve tekrar takvimini kurmak.

• Sözleşmenin kurulması ve ifası, KVKK m.5/2-c, GDPR m.6/1-b: hesap, hedefler, yoklamalar, abonelik
• Açık rıza, KVKK m.5/1, GDPR m.6/1-a: yalnızca dikte düzeltmelerini paylaşma (isteğe bağlı, varsayılan kapalı)
• Hukuki yükümlülük, KVKK m.5/2-a, GDPR m.6/1-c: vergi ve muhasebe kayıtları
• Meşru menfaat, KVKK m.5/2-f, GDPR m.6/1-f: güvenlik, kötüye kullanım önleme, hız sınırı

5. Yapmadığımız şeyler

• Reklam yok. Reklam kimliği toplanmıyor, reklam SDK'sı yok.
• İzleme yok. Verin üçüncü taraf verisiyle birleştirilip hedefli reklam yapılmıyor, veri simsarına satılmıyor.
• Analitik SDK'sı yok. Üçüncü taraf analitik ya da çökme raporlama aracı kullanılmıyor.
• Gözetim yok. Odak seansındaki bölünme sayın hiçbir sıralamaya, rozete ya da seriye bağlanmıyor; moderatörler bireysel bölünme sayını göremez.

6. Arkadaş ve alan özellikleri

Bir arkadaşla bağ kurduğunda serin ve birlikte çalışma süren o kişiye görünür olur. Bağ kurmadan önce neyin paylaşılacağı sana listelenir ve onayın alınır.

Eşli vaka sorularında ikinizin cevapları karşılıklı gösterilir ve karşılaştırma için birlikte işlenir.

Bir alana (topluluğa) katıldığında o oturumda geçirdiğin süre, ürettiğin kanıt sayısı, adın ve avatarın alandaki diğer üyelere görünür. Görünmeyenler: hedeflerin, notların, diğer alanların, kaç kez bölündüğün ve yoklama cevapların. Katılım her oturum için senin kendi eylemindir; moderatör kimseyi oturuma ekleyemez.

7. Ne kadar saklıyoruz

• Hesap bilgileri: hesap açık olduğu sürece; silmeden sonra kalıcı olarak siliniyor
• Konuşma metinleri, yoklamalar, çalışma kayıtları: hesap açık olduğu sürece
• Geçmiş penceresi: 30 gün; pencere dışına düşen kayıtlar siliniyor
• Şifre sıfırlama kodları: 5 dakika (tek kullanımlık, özet hâlinde)
• Abonelik ve ödeme kayıtları: yasal saklama süresi, Türk Ticaret Kanunu ve Vergi Usul Kanunu uyarınca 10 yıl
• Dikte düzeltmesi katkıları: 30 gün kullanıcıya bağlı; rıza geri alınırsa ya da hesap silinirse siliniyor

Ödeme bilgilerin bizde hiç bulunmuyor: abonelikler Apple App Store ve Google Play üzerinden faturalanıyor, kart bilgileri bize ulaşmıyor. Ayrıntı: İade ve Cayma Politikası.

8. Haklarını nasıl kullanırsın

KVKK m.11 ve GDPR m.15–22 kapsamında; verilerine erişme, düzeltme, silme, işlemeyi kısıtlama, taşınabilirlik ve itiraz haklarına sahipsin.

• Silme: Uygulama içinde Ayarlar → Hesabı sil. Uygulamayı kurmadan silmek istersen: hesap silme sayfası.
• Verilerini indirme: Ayarlar → Verilerim → “Verilerimi indir”. Tüm kayıtlarını makine okunur (JSON) biçimde alırsın.
• Diğer talepler: info@demostra.app adresine yazabilirsin. Başvurular KVKK m.13 uyarınca en geç 30 gün içinde yanıtlanır.

Dikte düzeltmelerini paylaşma rızası verdiysen, bu rızayı Ayarlar → Veri bölümünden her zaman geri alabilirsin; geri aldığında o pencerede gönderdiğin katkılar da silinir.

9. Yaş sınırı

Demostra 16 yaşından küçükler için tasarlanmadı. Kayıt olurken 16 yaşından büyük olduğunu beyan ediyorsun. 16 yaşından küçük olduğunu öğrendiğimiz hesapları kapatırız.

10. Özel nitelikli veri uyarısı

Konuşma metni serbest içeriktir. Sağlık, inanç, siyasi görüş gibi özel nitelikli bilgiler anlatırsan bunlar da kaydedilir ve yapay zekâ sağlayıcısına gönderilir. Uygulama bunu teknik olarak engelleyemez, bu yüzden bu tür bilgileri anlatmamanı öneriyoruz.

11. Değişiklikler

Bu metin değiştiğinde tarihi güncellenir ve önemli değişiklikler uygulama içinde bildirilir.

12. İletişim

info@demostra.app · Açık Rıza Metni · Kullanıcı Sözleşmesi · İade ve Cayma · Hesap silme