Gizlilik ve KVKK Aydınlatma Metni

Hangi veriler, hangi amaç ve hukuki sebeple işlenir; alıcılar, yurt dışına aktarım, saklama süreleri ve KVKK haklarınız.

Sürüm 2

Son güncelleme: 2026-10-09

1. Veri sorumlusu

İşbu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") kapsamında, Luximora uygulamasında gerçekleştirilen kişisel veri işleme faaliyetleri hakkında aydınlatma yükümlülüğünün yerine getirilmesi amacıyla hazırlanmıştır.

Veri sorumlusu Batuhan Taşhan olup adresi Antalya, Türkiye, başvuru e-posta adresi info@tashandesign.com şeklindedir.

2. Hesap ve hizmet verileri

Ad veya profil adı, e-posta adresi, kullanıcı kimliği ve oturum bilgileri; hesabın oluşturulması, kullanıcı girişinin sağlanması ve hesabın yönetilmesi amaçlarıyla Kanun'un 5 inci maddesinin ikinci fıkrasının (c) bendi uyarınca işlenir.

Apple veya Google aracılığıyla giriş yapılması hâlinde, ilgili sağlayıcının ilettiği hesap kimliği ile kullanıcının paylaşımına izin verdiği profil bilgileri alınır; sağlayıcı hesabına ait şifre alınmaz.

Satın alma ve abonelik durumu, hizmetten yararlanma yetkisinin belirlenmesi amacıyla aynı bent kapsamında işlenir. Kanunen tutulması gereken işlem kayıtları, ilgili yükümlülüğün niteliğine göre Kanun'un 5 inci maddesinin ikinci fıkrasının (a) veya (ç) bendine dayanılarak işlenir. Ödeme kartına ait tam bilgiler Luximora'ya iletilmez.

3. Sağlık ve günlük alışkanlık verileri

Kullanıcının bildirdiği yaş ve doğum tarihi, boy, kilo, hedefler, egzersiz geçmişi, beslenme ve sıvı tüketimi kayıtları, uyku ve stres beyanları, alerji ve sakatlık bilgileri ile hastalık veya ilaç kullanımına ilişkin bilgiler, kişiselleştirilmiş takip ve önerilerin oluşturulması amacıyla işlenir. Bu bilgilerden sağlık verisi niteliğinde olanlar, Kanun'un 6 ncı maddesinin üçüncü fıkrasının (a) bendi uyarınca ayrıca alınan açık rızaya dayanılarak işlenir.

Sağlık bağlantısının etkinleştirilmesi hâlinde, kullanıcının seçtiği ve ilgili özelliğin gerektirdiği kategorilerle sınırlı olarak adım, aktif enerji, uyku, nabız, dinlenik nabız, kalp hızı değişkenliği ve egzersiz kayıtları ile mevcut diğer izinli ölçümler okunur. Doğum tarihi, on sekiz yaş koşulunun ve hesabın kullanım şartlarının uygulanması amacıyla ayrıca Kanun'un 5 inci maddesinin ikinci fıkrasının (c) bendi kapsamında işlenir.

Antrenman kayıtlarının Apple Health'e yazılması ayrı kullanıcı tercihine ve cihaz iznine tabidir. Okuma ve yazma izinleri ayrı olarak yönetilebilir. Apple Health'e daha önce yazılmış kayıtlar, Luximora hesabının silinmesiyle kendiliğinden silinmeyebilir. Kullanıcı, bu kayıtları Apple Health üzerinden yönetebilir.

4. Fotoğraflar ve yapay zekâ

Kullanıcının seçtiği yemek veya vücut fotoğrafları, analiz talepleri, sohbet içerikleri ve talebin karşılanması için gerekli profil veya ölçüm bilgileri, analiz yapılması ve yanıt oluşturulması amaçlarıyla işlenir.

Sağlık bilgisi içeren fotoğraf ve içerikler, Kanun'un 6 ncı maddesinin üçüncü fıkrasının (a) bendi uyarınca açık rızaya dayanılarak işlenir. Sağlık bilgisi içermeyen yemek fotoğraflarının, kullanıcının talebi üzerine analiz edilmek üzere işlenmesi Kanun'un 5 inci maddesinin ikinci fıkrasının (c) bendi kapsamında değerlendirilir.

Üçüncü taraf yapay zekâ hizmet sağlayıcısıyla paylaşım, ilk iletimden önce ayrıca açıklanır ve bu paylaşıma ilişkin izin alınır. Ham fotoğraflar Luximora sunucularında kalıcı bir fotoğraf arşivi olarak saklanmaz; teknik iletim sırasında geçici olarak işlenir. Analiz sonuçları, kaydedilen öğünler ve sohbetler kullanıcı hesabıyla ilişkilendirilir.

Yapay zekâ hizmeti, OpenAI Global, LLC tarafından Amerika Birleşik Devletleri'nde sağlanmaktadır. İletilen içerikler, hizmet sağlayıcısı nezdinde kötüye kullanımın tespiti amacıyla en fazla otuz gün süreyle saklanabilir; bu süre sonunda silinir ve içerikler model eğitiminde kullanılmaz.

5. Teknik kayıtlar ve destek

Cihaz ve uygulama sürümü, hata ve erişim kayıtları, IP adresi ve güvenlik olaylarına ilişkin bilgiler; güvenliğin sağlanması ve teknik arızaların giderilmesi amaçlarıyla, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla gerekli ve ölçülü kapsamda, Kanun'un 5 inci maddesinin ikinci fıkrasının (f) bendine dayanılarak işlenir.

Destek başvurularındaki iletişim ve işlem bilgileri, başvurunun karşılanması amacıyla aynı fıkranın (c) bendi; somut bir hakkın tesisi, kullanılması veya korunması için gerekli kayıtlar ise (e) bendi kapsamında işlenir. Destek başvurularında sağlık bilgisi paylaşılması talep edilmez. Sağlık içeriği gerektiren bir destek işlemi bulunması hâlinde, ilgili işleme amacı ve hukuki şart ayrıca açıklanır.

Sağlık verileri reklam hedeflemesinde kullanılmaz ve satışa konu edilmez.

6. Toplama yöntemleri ve alıcılar

Kişisel veriler; uygulamaya yapılan kullanıcı girişleri, seçilen fotoğraflar, izin verilen sağlık bağlantısı, giriş ve ödeme hizmet sağlayıcıları ile uygulamanın teknik kayıtları aracılığıyla elektronik ortamda toplanır.

Hizmetin sunulması için gerekli veriler, veri sorumlusunun talimatları doğrultusunda hizmet veren netcup GmbH (Almanya — barındırma), OpenAI Global, LLC (Amerika Birleşik Devletleri — yapay zekâ) ve TASHAN LABS LTD (Birleşik Krallık — destek ve e-posta) ile ilgili amaçlarla sınırlı olarak paylaşılır. Abonelik satın alımları uygulama mağazaları üzerinden gerçekleştiğinden ödeme ve fatura bilgileri Apple ve Google tarafından kendi gizlilik politikaları kapsamında işlenir; Luximora kart bilgisi görmez ve saklamaz.

Yetkili kamu kurumları ve yargı mercilerine yalnızca hukuki gerekliliğin bulunduğu hâllerde bilgi verilir. Sağlık verilerinin aktarımı, Kanun'un 6 ncı ve 8 inci maddelerindeki şartlara uygun olarak gerçekleştirilir.

7. Yurt dışına aktarım

Yapay zekâ hizmeti ve varsa yurt dışındaki barındırma hizmetleri kapsamında, yukarıda açıklanan gerekli veriler yurt dışına aktarılmaktadır. Aktarım, ilgili veri kategorisi bakımından Kanun'un 5 inci veya 6 ncı maddesinde öngörülen işleme şartının bulunmasına ek olarak, Kanun'un 9 uncu maddesi kapsamında, aktarımın yapıldığı ülkeler bakımından Kişisel Verileri Koruma Kurulunun yeterlilik kararı bulunmadığından, Kanun'un 9 uncu maddesinin ikinci fıkrasının (b) bendi uyarınca Kurul tarafından ilan edilen standart sözleşmenin imzalanması ve imza tarihinden itibaren beş iş günü içinde Kuruma bildirilmesi yoluyla gerçekleştirilir. Veriler Türkiye, Almanya, Amerika Birleşik Devletleri ve Birleşik Krallık'ta işlenmektedir.

Sağlık verilerinin işlenmesine ilişkin açık rıza veya yapay zekâ paylaşım izni, düzenli yurt dışı aktarım için gerekli hukuki mekanizmanın yerine geçmez. Uygulamanın yalnızca Türkiye'de dağıtılması, bu veri aktarımlarını ortadan kaldırmaz.

8. Saklama ve silme

Hesap ve kullanıcı kayıtları, hesabın açık olduğu dönemde hizmetin sunulması için gerekli olduğu sürece saklanır. Hesabın silinmesi veya ilgili sağlık verisi rızasının geri alınması üzerine, başka bir hukuki saklama sebebi bulunmayan ilgili aktif sistem kayıtları en geç otuz gün içinde silinir veya geri döndürülemez biçimde anonim hâle getirilir.

Rızaya dayalı yeni sağlık verisi işleme ve iletim faaliyetleri, geri alma talebinin ulaşmasıyla durdurulur. Rutin yedekler en geç doksan gün içinde silinir; bu süre boyunca hizmet sunumu amacıyla kullanılmaz ve bunlara erişim sınırlandırılır. Yedeklerden geri yükleme yapılması hâlinde silme talebi yeniden uygulanır. Sağlık içeriği barındırmayan teknik güvenlik kayıtları en fazla doksan gün saklanır.

Kanuni saklama yükümlülüğüne tabi olan veya somut bir uyuşmazlık bakımından muhafazası zorunlu bulunan sınırlı kayıtlar, ilgili kanuni süre boyunca yahut uyuşmazlık nedeniyle saklama ihtiyacının devam ettiği süreyle sınırlı olarak muhafaza edilebilir. Bu istisna, sağlık geçmişinin tamamının saklanmasına dayanak oluşturmaz.

Üçüncü taraf yapay zekâ kayıtlarının saklama süreleri, bu metnin "Fotoğraflar ve yapay zekâ" bölümündeki hizmet sağlayıcısı açıklamasında belirtilmektedir. Silme talepleri, hukuki ve sözleşmesel yükümlülükler çerçevesinde ilgili alıcılara iletilir. Fotoğrafların kullanıcı cihazındaki asılları ile Apple Health kayıtları ayrı veri ortamlarında bulunur.

9. Tercihler ve haklarınız

Sağlık verisi açık rızası ve yapay zekâ paylaşım izni, uygulamanın Ayarlar bölümünden geri alınabilir. Cihaz izinleri ayrıca işletim sistemi ayarlarından yönetilebilir. İzinlerin geri alınması ilgili özelliklerin kullanımını sınırlandırabilir; izin gerektirmeyen özelliklerden yararlanılmaya devam edilebilir.

Sağlık verilerinin cihaz üzerinde kullanılması da kişisel veri işleme faaliyeti olduğundan, rızanın geri alınması hâlinde yalnızca sunucuya iletim değil, rızaya dayanan cihaz içi kullanım da durdurulur.

İlgili kişiler, Kanun'un 11 inci maddesinde düzenlenen haklarını kullanmak amacıyla sistemde kayıtlı e-posta adresleri üzerinden info@tashandesign.com adresine veya yazılı olarak Antalya, Türkiye adresine başvurabilir. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğde öngörülen kayıtlı elektronik posta, güvenli elektronik imza ve mobil imza dâhil diğer başvuru yöntemleri de kullanılabilir.

Başvuruda ad ve soyad, gerekli kimlik bilgileri, bildirime esas adres ve talep konusu belirtilmelidir. Başvurunun değerlendirilmesi için gerekli olmayan kimlik belgeleri veya sağlık bilgileri gönderilmemelidir. Başvurular, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır. Mevzuatta öngörülen ücret istisnaları saklı kalmak kaydıyla başvurular ücretsizdir.