Momly Gizlilik Politikası ve KVKK Aydınlatma Metni

1. Veri sorumlusu

Veri sorumlusu: Fatih Şardağ
Adres: Mithatpaşa Mahallesi, 588. Sokak, Onur Apartmanı No: 15/5, 54100 Adapazarı/Sakarya, Türkiye
İletişim ve KVKK başvuru e-postası: support@momlycare.com

2. İşlenen veri kategorileri

Hesap ve kimlik verileri: ad, e-posta adresi, girildiğinde telefon numarası, doğum tarihi, ülke tercihi, giriş yöntemi ve hesap kimlikleri.
Profil ve aile verileri: profil tercihleri, anne/bebek profili, partner veya aile bağlantıları ve davetler.
Sağlık ve takip verileri: gebelik, döngü, tekme, kasılma, bebek büyüme ve bakım kayıtları ile kullanıcının eklediği not ve randevular. Bunlar özel nitelikli kişisel veri içerebilir.
Görsel içerikler: kullanıcının özellikle seçerek yüklediği profil, bebek ve ultrason görselleri; Google ile girişte sağlanırsa Google profil fotoğrafının bağlantısı.
Hesap kurtarma ve destek verileri: şifre sıfırlama e-postası, tek kullanımlık doğrulama kodu ve bize gönderdiğin destek/silme talebinin içeriği. Destek mesajlarına şifre veya sağlık kaydı eklememelisin.
Topluluk verileri: paylaşılan mesajlar, raporlar, engelleme tercihleri, bebek ismi tercihleri ve eşleşmeler.
Teknik ve güvenlik verileri: oturum ve yenileme kayıtları, şifrelenmiş cihaz bildirim belirteci, cihaz platformu, IP ve güvenlik kayıtları.
Abonelik ve reklam verileri: Google Play abonelik durumu ile reklam izni/gizlilik tercihleri; bu özellikler etkinleştirildiğinde ilgili hizmet sağlayıcı tarafından işlenen cihaz ve reklam verileri.

Bebeğe ait profil, büyüme, aşı, bakım ve görsel kayıtları çocuğa ait kişisel veridir; bunlara ilişkin ayrı açıklama 4. bölümde yer alır.

Momly tıbbi teşhis veya tedavi hizmeti sunmaz. Sağlıkla ilgili içerikler bilgilendirme ve kişisel takip amaçlıdır; sağlık profesyonelinin değerlendirmesinin yerine geçmez.

3. İşleme amaçları ve hukuki sebepler

Veriler aşağıdaki amaçlarla, ilgili işleme faaliyetine uygun hukuki sebebe dayanılarak işlenir:

Hesabın kurulması, oturumun güvenli biçimde yürütülmesi, şifre sıfırlama ve kullanıcı desteği: sözleşmenin kurulması veya ifası.
Sağlık verisi niteliğinde olmayan profil, aile/partner bağlantısı, topluluk, bildirim ve abonelik işlemleri: sözleşmenin ifası ve kullanıcının talebi. Sağlık verilerinin işlenmesine ilişkin hukuki sebep aşağıda ayrıca belirtilmiştir.
Yetkisiz erişimin, kötüye kullanımın ve dolandırıcılığın önlenmesi: veri güvenliğinin sağlanmasına yönelik hukuki yükümlülükler ve temel haklara zarar vermeyen meşru menfaat.
Hukuki başvuruların yanıtlanması ve yetkili mercilerin taleplerinin karşılanması: hukuki yükümlülüğün yerine getirilmesi ve bir hakkın tesisi, kullanılması veya korunması.
Sağlık verisi niteliğindeki gebelik, döngü ve bakım kayıtlarının kullanıcı hesabında işlenmesi ve partnerle paylaşılması: KVKK'nın özel nitelikli kişisel verilere ilişkin şartları kapsamında alınan açık rıza.
Reklam sunumu ve izin gerektiren cihaz/depolama işlemleri: ilgili faaliyetin gerektirdiği ölçüde kullanıcının reklam gizlilik tercihi ve açık rızası. Momly kişiselleştirilmemiş reklam talep eder.

Aydınlatma ile açık rıza birbirinden ayrıdır. Açık rızaya dayanan bir işleme faaliyeti için kullanıcı rızasını geri aldığında, başka bir hukuki sebep bulunmadıkça ilgili işleme durdurulur.

4. Yaş sınırı ve çocuğa ait veriler

Momly hesabı yalnızca 18 yaşını doldurmuş kişiler tarafından açılabilir. Uygulama çocuklara yönelik değildir ve çocuklardan doğrudan veri toplamaz. 18 yaşından küçük birine ait bir hesabın açıldığı öğrenildiğinde hesap ve bağlı veriler silinir.

Bebek profili, büyüme, aşı, bakım ve beslenme kayıtları ile bebeğe ait görseller çocuğa ait kişisel veridir ve sağlık verisi içerdiği ölçüde özel nitelikli kişisel veri sayılır. Bu kayıtları uygulamaya giren ebeveyn veya yasal temsilci, çocuğun adına hareket ettiğini ve bu verileri işleme yetkisine sahip olduğunu beyan eder. Çocuğun sağlık verilerinin işlenmesine ilişkin açık rıza, ebeveyn veya yasal temsilci tarafından verilir; rıza geri çekildiğinde çocuğa ait kayıtlar da silinir.

Velayet veya vesayet durumunda bir değişiklik olduğunda ya da başka bir kişi çocuğa ait kayıtların silinmesini talep ettiğinde, talep aşağıdaki başvuru yöntemiyle iletilebilir; gerekli görülürse yetkiyi doğrulayan bilgi istenir.

Partner bağlantısı kurulduğunda çocuğa ait paylaşılan kayıtlar davet edilen kişiye de görünür. Bağlantıyı kuran ebeveyn, bu paylaşımı istediği zaman uygulamadan kaldırabilir.

5. Toplama yöntemi

Veriler; kayıt ve profil formları, kullanıcının uygulamaya girdiği kayıtlar, seçerek yüklediği görseller, topluluk ve aile özellikleri, işletim sistemi bildirim hizmeti, Google ile giriş, Google Play abonelik doğrulaması, şifre sıfırlama ve destek yazışmaları ile güvenlik günlükleri üzerinden elektronik ortamda toplanır. Kamera, galeri ve bildirim erişimi yalnızca kullanıcı izin verdiğinde kullanılır.

6. Saklama ve silme

Cihazdaki ayrıntılı döngü kayıtları şifreli veritabanında tutulur; 62 günden eski kayıtlar otomatik temizlenir.
Cihazdaki gebelik tekme ve kasılma kayıtları şifreli tutulur; 300 günden eski kayıtlar otomatik temizlenir.
Topluluk mesajları en fazla 30 gün veya oda başına son 1000 mesaj sınırıyla saklanır.
Oturum yenileme belirteçlerinin olağan geçerlilik süresi 30 gündür; iptal edilen eski kayıtlar ayrıca temizlenir.
Hesap, profil, sunucuya eşitlenen takip kayıtları ve yüklenen görseller; hizmetin sunulması için gerektiği sürece veya hesap silinene kadar tutulur.
Güvenlik, hukuki yükümlülük veya uyuşmazlık için tutulması zorunlu olan sınırlı kayıtlar, yalnızca ilgili amaç ve yasal süre boyunca saklanır.

Hesap silme tamamlandığında hesaba bağlı veriler ve kullanıcıya özel yüklemeler silinir. Yasal olarak tutulması gereken sınırlı kayıtlar varsa bunlar yalnızca zorunlu amaçla tutulur. Ayrıntılı yol için hesap silme sayfasını kullanabilirsin.

Momly hesabının silinmesi, Google hesabını veya Google'ın kendi hizmet kayıtlarını silmez. Bildirim anahtarının iptali ile Firebase kurulum kimliğinin silinmesi farklı işlemlerdir; bildirim anahtarının iptali tek başına kurulum kimliğinin de silindiği anlamına gelmez. Firebase, kurulum kimliği için ayrıca silme isteği alındıktan sonra ilgili verilerin canlı ve yedek sistemlerden kaldırılmasının 180 güne kadar sürebileceğini belirtir. Ayrıntılar Firebase kurulum verilerinin silinmesi belgesindedir.

7. Verilerin aktarılması

Kullanıcının davet ettiği partner/aile üyelerine, yalnızca paylaşım özelliğinin gerektirdiği kayıtlar aktarılır.
Toplulukta paylaşmayı seçtiğin içerikler diğer topluluk kullanıcılarına gösterilir.
Google ile giriş ve profil fotoğrafı: hesap seçimi sırasında Google; IP, tarayıcı/cihaz ve bağlantı verilerini işler. Kullanıcı girişe devam ettiğinde e-posta adresi, görünen ad ve sağlanırsa Google profil fotoğrafı bağlantısı Momly'ye iletilir. Fotoğraf gösterilirken cihaz Google'ın görsel sunucusuna bağlanabilir; bu istek IP adresi ve teknik bağlantı bilgilerini içerir, Momly oturum anahtarını içermez. Momly sağlık takip kayıtlarını Google ile giriş hizmetine göndermez.
Firebase Cloud Messaging: kullanıcı Gizlilik Merkezi'nden uzaktan bildirimleri açıkça açıp işletim sistemi iznini verdiğinde Firebase kurulum kimliği, Android cihaz bildirim anahtarı, uygulama/platform bilgisi ve genel bildirim içeriği bildirim teslimi için işlenir. FCM otomatik başlatma varsayılan olarak kapalıdır. Tercih kapatıldığında Momly cihaz kaydını kaldırmayı ve bildirim anahtarını iptal etmeyi dener; ağ sorunu varsa sunucu kaydının temizliği sonraki bağlantıda yeniden denenir. Uzaktan bildirim içeriğine sağlık takip ayrıntısı eklenmez. Cihazda zamanlanan yerel hatırlatmalar bu uzaktan bildirim hizmetinden ayrıdır.
Google Play: Premium satın almayı doğrulamak ve kötüye kullanımı önlemek için satın alma anahtarı, ürün/plan bilgisi, tek yönlü özetlenmiş hesap eşleştirme kimliği, abonelik durumu ve bitiş/yenileme bilgileri işlenir.
Google AdMob: ücretsiz planda ve reklam/gizlilik akışı izin verdiğinde IP adresi, uygulama ve cihaz bilgileri, reklam tanımlayıcıları, reklam isteği/etkileşimi ve izin tercihleri reklam sunumu, ölçüm, güvenlik ve sahteciliği önleme amacıyla işlenebilir. Momly kişiselleştirilmemiş reklam talep eder; bu tercih teknik verilerin işlenmesini tamamen ortadan kaldırmaz.
Firebase Hosting: bu yasal sayfalar ziyaret edildiğinde IP adresi ile bağlantı, istek ve güvenlik kayıtları Google'ın barındırma altyapısında işlenebilir. Firebase, Hosting IP kayıtlarını birkaç ay sakladığını belirtir. Momly hesap ve sağlık veritabanı Firebase Hosting üzerinde tutulmaz. Ayrıntılar Firebase gizlilik belgesindedir.
Şifre sıfırlama e-postası: Google/Gmail SMTP üzerinden gönderilen sıfırlama e-postası, alıcı e-posta adresini, tek kullanımlık kodu ve mesaj içeriğini e-posta hizmetine iletir. Bu mesajda Momly şifresi veya sağlık takip kaydı bulunmaz. Kodun uygulamadaki geçerlilik süresinin dolması, gönderilmiş e-postanın posta hizmetinden silinmesi anlamına gelmez.
Google Maps ve dış bağlantılar: Yakınımda ekranında harita açmayı onayladığında seçtiğin kategorinin arama metni Google Maps'e iletilir. Momly Android uygulaması hassas veya yaklaşık konum izni istemez; açılan harita uygulaması ya da tarayıcı kendi izinleriyle konum kullanabilir. Diğer dış bağlantıları açtığında ilgili site de IP ve bağlantı bilgilerini alabilir.
Dışarıdan yüklenen görseller: Bilimsel Kaynaklar ekranındaki kurum simgeleri Google'ın simge hizmetinden, bazı rehber görselleri Unsplash'ten yüklenir. Görsel gösterilirken ilgili sağlayıcıya IP adresi, istenen görsel/simge adresi ve teknik bağlantı bilgileri iletilebilir. Bu bağlantılar Google ile giriş veya uzaktan bildirim tercihinden bağımsızdır.
Yetkili kamu kurumlarıyla, yalnızca hukuken geçerli bir talep veya yükümlülük bulunduğunda paylaşım yapılır.

Google ile giriş, Firebase Cloud Messaging, Firebase Hosting, Google Play, Google AdMob, Google/Gmail SMTP, Google Maps ve dış görsel sağlayıcıları global altyapı kullanabilir; veriler Türkiye dışındaki sağlayıcı veya alt hizmet sağlayıcı tesislerinde işlenebilir. Bu hizmetlerin üretimde kullanılması, KVKK'nın 9. maddesindeki aktarım şartlarından birinin ve ilgili taraf ilişkisine uygun güvencenin sağlanmasına bağlıdır. Uygun güvence tamamlanmadan yurt dışına veri aktarımı gerektiren gerçek kullanıcı işlemleriyle üretim kullanımı başlatılmaz; süreçteki değişiklikler bu metne yansıtılır.

8. Güvenlik önlemleri

Cihazdaki döngü, tekme ve kasılma veritabanları SQLCipher ile; bunların anahtarları Android Keystore veya iOS Keychain ile korunur. Bu önlem uygulamadaki tüm yerel dosyaların şifrelendiği anlamına gelmez.
Oturum anahtarları desteklenen cihazlarda güvenli saklama alanında tutulur. Bu alanın kullanılamadığı ortamlarda erişim anahtarı yerel uygulama deposuna yazılır; yenileme anahtarı kalıcı saklanmaz.
Bildirim belirteçleri sunucuda şifreli tutulur; aramalarda tek yönlü özet kullanılır.
Yetkilendirme, hız sınırları, güvenli bağlantı ve en az yetki yaklaşımı uygulanır.

İnternet üzerinden hiçbir aktarım veya depolama yöntemi mutlak güvenlik garantisi vermez.

9. KVKK kapsamındaki hakların

KVKK'nın 11. maddesi kapsamında özetle:

kişisel verilerinin işlenip işlenmediğini öğrenme ve işlenmişse bilgi talep etme,
işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
eksik veya yanlış işlenen verilerin düzeltilmesini isteme,
şartları oluştuğunda silme veya yok etme ve bu işlemlerin aktarılan kişilere bildirilmesini isteme,
münhasıran otomatik sistemlerle analiz sonucu aleyhine bir sonuca itiraz etme,
kanuna aykırı işleme nedeniyle zarara uğraman hâlinde zararın giderilmesini isteme

haklarına sahipsin.

Momly, kullanıcı hakkında hukuki sonuç doğuran veya kullanıcıyı benzer biçimde önemli ölçüde etkileyen, münhasıran otomatik sistemlerle verilen bir karar üretmez. Uygulamadaki takip özetleri, hatırlatmalar ve öneriler bilgilendirme amaçlıdır ve kullanıcının kendi girdiği verilere dayanır.

10. Başvuru yöntemi

Talebini, Momly hesabında kayıtlı e-posta adresini kullanarak support@momlycare.com adresine iletebilir veya yukarıdaki tebligat adresine yazılı başvuru gönderebilirsin. Başvuruda ad-soyad, yanıt için iletişim bilgisi, Momly hesabının e-posta adresi ve talebin açık açıklaması bulunmalıdır. Güvenlik için ek kimlik doğrulaması istenebilir; e-posta ile hiçbir zaman şifre veya sağlık kaydı gönderme.

Başvurular talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırılır. İşlem kural olarak ücretsizdir; ek maliyet doğması hâlinde mevzuattaki tarife uygulanabilir.

Başvurun reddedilirse, verilen yanıtı yetersiz bulursan veya süresinde yanıt verilmezse, yanıtı öğrendiğin tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin. Kurul'a şikâyet yolundan önce veri sorumlusuna başvurmak zorunludur.

11. Değişiklikler

Veri işleme faaliyetleri veya yasal gereklilikler değiştiğinde bu metin güncellenebilir. Önemli değişiklikler uygulama içinde veya bu sayfada duyurulur; güncel tarih sayfanın üstünde gösterilir.