Yasal korpus

Gizlilik Politikası

Bu metin, Devran’ı işleten Gradiva Limited’in kişisel verilerinizi nasıl işlediğini Birleşik Krallık Genel Veri Koruma Tüzüğü (UK GDPR) ve 2018 Veri Koruma Kanunu (Data Protection Act 2018) kapsamında açıklar.

Sürüm tarihi: 25 Temmuz 2026 · Veri denetleyicisi: Gradiva Limited

1. Veri denetleyicisi (data controller)

Devran hizmeti bakımından verilerinizin denetleyicisi:

Gradiva Limited
İngiltere ve Galler’de kayıtlı özel limited şirket · Companies House şirket no: 14846114
Kayıtlı ofis: 278 Langham Road, London, N15 3NP, Birleşik Krallık
E-posta: erdem@gradiva.co.uk

Kişisel verilerinizle ilgili her türlü soru, talep veya şikâyet için yukarıdaki e-posta adresini kullanabilirsiniz. Birleşik Krallık’ta veri koruma denetim makamı Bilgi Komiserliği Ofisi’dir (Information Commissioner’s Office — ICO, ico.org.uk); bize başvurmuş olmanız ICO’ya şikâyet hakkınızı ortadan kaldırmaz.

2. İşlenen kişisel veri kategorileri

Kategori	Örnek veriler	Kaynak
Hesap ve iletişim	E-posta adresi, kullanıcı kimliği, parola özeti, e-posta doğrulama ve oturum kayıtları.	Kullanıcı ve hizmetin teknik işleyişi.
Kişi ve doğum verisi	Ad, doğum tarihi, doğum saati veya saat belirsizliği, doğum yeri, koordinat ve saat dilimi. Bu alanlar doğrudan veya başka bir kişi için girilebilir.	Kullanıcı.
Sohbet ve kullanım	Sorular, sohbet mesajları, üretilen yanıtlar, oturum geçmişi, kredi kullanımı ve hizmet içi işlem kayıtları.	Kullanıcı ve hizmet.
Ödeme ve işlem	Satın alınan paket, kredi miktarı, tutar, para birimi, ödeme durumu ve Stripe işlem/oturum tanımlayıcıları.	Stripe ve hizmet.
Ödeme öncesi onay	25 Temmuz 2026 tarihli sürümden itibaren: kullanıcı ve paket kimliği; iki onay beyanının tam metin snapshot’ı; bu kanonik metinlerden türetilen SHA-256 hash; sunucudaki bilinen sürümler kaydında bu hash’e bağlanan sürüm etiketi; API isteğinde iki beyan için gönderilen kabul bilgisi; kayıt zamanı; Checkout bağ durumu ve başarıyla bağlanırsa Checkout Session kimliği. Metin, hash, sürüm, kabul bilgileri ve kayıt zamanı yazıldıktan sonra veritabanı trigger’ı ile değiştirilemez; Checkout bağ alanları durum geçişleri için değişebilir. Bu kayıt sunucunun hangi metni snapshot’ladığını ve istekte hangi kabul değerlerini aldığını gösterir; kişinin bu metni ekranda gördüğünü veya okuduğunu bağımsız olarak doğrulamaz. IP adresi ve User-Agent bu onay kaydına eklenmez.	Kullanıcı ve hizmet.
Teknik ve güvenlik	IP adresi, istek ve hata kayıtları, tarayıcı bilgisi ile `devran_sid` oturum çerezi.	Cihaz, tarayıcı ve hizmet.
Talep ve destek	Destek yazışmaları, veri koruma başvuruları ve başvuru sahibinin kimliğini doğrulamak için gerekli sınırlı bilgiler.	Kullanıcı.

Kart verisi Devran sunucularında tutulmaz. Kart numarası, son kullanma tarihi ve CVC gibi ödeme aracı bilgileri Stripe’ın Checkout ortamında Stripe tarafından işlenir. Devran yalnızca işlemin tamamlanması ve kredinin tanımlanması için gerekli işlem sonuçlarını alır.

Doğum tarihi ve saati gibi veriler kural olarak UK GDPR anlamında “özel nitelikli” (special category) veri değildir; yine de mahremiyet açısından hassas olabileceklerinden yalnızca hizmeti sunmak için işlenir ve reklam amacıyla kullanılmaz.

3. İşleme amaçları ve hukuki dayanaklar

UK GDPR Madde 6(1) uyarınca her işleme faaliyeti bir hukuki dayanağa bağlıdır:

Amaç	Hukuki dayanak (UK GDPR Md. 6(1))
Hesap açmak, kimlik doğrulamak, doğum haritası ve sohbet hizmetini sunmak.	Md. 6(1)(b): sözleşmenin ifası.
Ödemeyi doğrulamak, krediyi cüzdana eklemek, muhasebe ve vergi kayıtlarını tutmak.	Md. 6(1)(b) sözleşmenin ifası ve Md. 6(1)(c): hukuki yükümlülük.
Güvenliği sağlamak, kötüye kullanımı ve dolandırıcılığı önlemek, hata ayıklamak, hizmeti iyileştirmek.	Md. 6(1)(f): meşru menfaat (haklarınızla dengelenmiş olarak).
İlgili kişi (veri sahibi) başvurularını ve hukuki talepleri yanıtlamak.	Md. 6(1)(c) hukuki yükümlülük ve Md. 6(1)(f) meşru menfaat.

Meşru menfaate dayanılan hâllerde menfaatlerimiz ile sizin hak ve özgürlükleriniz arasında bir denge testi yapılır. İleride açık rıza gerektiren bir faaliyet (ör. pazarlama e-postası) eklenirse rıza belirli, bilgilendirilmiş ve özgür iradeyle ayrıca alınır; bu metin rıza yerine geçmez.

4. Saklama ve silme

Saklama politikamızın ilkesi, kişisel verileri işleme amacının gerektirdiği süre ve ilgili yasal yükümlülüklerin (ör. muhasebe/vergi kayıtları) öngördüğü dönemle sınırlamaktır. Kategori bazındaki süreler ile silme veya anonimleştirme adımları, 27 Ağustos 2026 tarihinde owner tarafından kabul edilen veri saklama takvimimizde belirlenmiştir; bu takvimin bağımsız UK hukuk danışmanı tarafından teyidi beklenmektedir.

Ödeme öncesi onay kayıtları, cayma onayı ve olası tüketici uyuşmazlıklarında ispat amacıyla işlem tarihinden itibaren 6 yıl saklanır; bu sürenin sonunda anonimleştirilir veya silinir. Altı yıllık süre tüketici taleplerinin zamanaşımı süresine dayandırılmıştır ve bağımsız UK hukuk danışmanının teyidine tabidir. Hesabınızı silseniz de bu kayıtlar hukuki taleplerin tesisi, kullanılması veya savunulması amacıyla belirtilen süre boyunca saklanabilir. Bu süre sonu kuralını uygulayacak otomatik anonimleştirme süpürmesi henüz devrede değildir.

Arayüzden sildiğiniz kişi/sohbet kayıtları etkin sistemlerden kaldırılır. Yedeklerde kalan izler azami yaklaşık 37 gün içinde rotasyonla yok olur; bu süre boyunca yedekler yalnız felaket kurtarma için kullanılır ve kullanım dışı (“beyond use”) tutulur. Hesap ve kişi silme talepleri ayrı bir yeniden-uygulama günlüğüne yazılır; geri yükleme yordamımız, bu günlüğün geri dönen veriye yeniden uygulanmasını zorunlu bir adım olarak içerir. Zorunlu finansal kayıtlar ile güvenlik/denetim kayıtlarına ilişkin istisnalar ve farklı saklama kuralları veri saklama takvimimizde belgelenmiştir.

5. Alıcılar ve uluslararası aktarım

Veriler, yalnızca amaç için gerekli ölçüde, bizim adımıza veri işleyen (processor) hizmet sağlayıcılara aktarılabilir:

Yapay zeka (sohbet yanıtlarının üretilmesi): OpenRouter (ABD merkezli aracı) — isteğinizi kullandığımız modelin sağlayıcısına (bugün OpenAI, ABD) iletir. Bu yola giden veri: sohbet mesajınız ve — bir kişi kaydı seçtiyseniz — o kişiye ait doğum bilgileri (ad, doğum tarihi, saati, yeri, saat dilimi ve koordinatlar), sohbet bağlamının parçası olarak. Astrolojik yorum bu bağlam olmadan üretilemez. Değişiklik kaydı: 13 Ağustos 2026'ya kadar varsayılan sağlayıcı Çin merkezli DeepSeek'ti; bu tarihte bu yol kapatıldı ve sohbet verisi artık Çin'e aktarılmamaktadır. O tarihten önceki sohbetleriniz DeepSeek'e iletilmiştir.
Coğrafi kodlama: OpenStreetMap Nominatim — girdiğiniz doğum yeri metni, koordinatlarını bulmak için arama sorgusu olarak gönderilir.
Ödeme: Stripe (kart ödemelerinin işlenmesi). Kart numaranız, son kullanma tarihiniz ve CVC'niz devran sunucularına hiç ulaşmaz.
Barındırma ve altyapı: Railway (uygulamayı çalıştıran bulut altyapısı).
E-posta: Resend (doğrulama ve işlem e-postalarının iletilmesi).
Yedekleme: Hetzner Object Storage — veritabanının şifrelenmiş yedek kopyası, yalnızca felaket kurtarma amacıyla.
Uygulama içi satın alma (App Store): Apple — uygulama içinden kredi satın aldığınızda ödemeyi Apple kendi tarafında işler; kart bilgileriniz devran sunucularına hiç ulaşmaz. Satın almayı doğru hesaba bağlayabilmek için uygulama Apple'a tarafımızca üretilen opak bir kimlik (appAccountToken, rastgele bir UUID — adınızı veya e-postanızı içermez) iletir. Apple bize karşılığında işlem kimliği, ürün kimliği, tutar ve iade olaylarını bildirir.
Yetkili kamu kurumları: hukuken bağlayıcı ve usulüne uygun bir talep hâlinde.

Birleşik Krallık dışına aktarım. Bu sağlayıcılardan bazıları verileri Birleşik Krallık dışında işler; yapay zekâ sağlayıcımız OpenRouter verileri Amerika Birleşik Devletleri’nde işler. Uygulama içi satın alma sağlayıcımız Apple da ABD merkezlidir; satın alma bedelini Apple kendi tarafında işler ve kart bilgileriniz devran sunucularına hiç ulaşmaz. Bu aktarım için UK GDPR Bölüm V kapsamındaki güvenceyi (Uluslararası Veri Aktarım Anlaşması — IDTA, ya da AB standart sözleşme maddelerine Birleşik Krallık Eki) kurma çalışmamız sürmektedir; bugün imzalanmış bir aktarım mekanizmamız yoktur. ABD için Birleşik Krallık yeterliliği yalnızca Veri Gizliliği Çerçevesi’nin Birleşik Krallık Uzantısı’na katılmış alıcılar bakımından geçerlidir ve sağlayıcımızın bu kapsamda olup olmadığı henüz doğrulanmamıştır. Bu durumun güncel hâlini ve uygulanan mekanizmanın bir kopyasını erdem@gradiva.co.uk adresinden isteyebilirsiniz. Çin merkezli DeepSeek’e aktarım 13 Ağustos 2026’da durdurulmuştur.

6. Güvenlik

UK GDPR Madde 32 kapsamında, kişisel verilerin yetkisiz erişimini, kaybını veya değiştirilmesini önlemek için işin niteliğine uygun teknik ve idari tedbirler uygularız (ör. aktarımda şifreleme, parola özetleme, erişim sınırlaması). Hiçbir internet sistemi mutlak güvenlik garantisi vermez; bir ihlal şüphesini erdem@gradiva.co.uk adresine bildirebilirsiniz. Bize bildirimde bulunma yükümlülüğü doğuran bir ihlalde, gereken hâllerde ICO’ya ve etkilenen kişilere bildirim yaparız.

7. Haklarınız ve başvuru

UK GDPR kapsamında, koşulları oluştuğunda şu haklara sahipsiniz: verilerinize erişim (Md. 15), düzeltme (Md. 16), silme (Md. 17), işlemenin kısıtlanması (Md. 18), veri taşınabilirliği (Md. 20), işlemeye itiraz (Md. 21) ve yalnızca otomatik işlemeye dayanan ve sizi hukuken önemli ölçüde etkileyen kararlara ilişkin haklar (Md. 22).

Bu hakları kullanmak için erdem@gradiva.co.uk adresine, kimliğinizi doğrulamaya yetecek bilgilerle başvurabilirsiniz. Başvuruları kural olarak bir ay içinde yanıtlarız; talebin karmaşıklığına göre bu süre UK GDPR Madde 12(3) uyarınca iki ay daha uzatılabilir ve size bildirilir. İşleme biçimimizden memnun kalmazsanız Bilgi Komiserliği Ofisi’ne (ICO, ico.org.uk) şikâyette bulunma hakkınız vardır.

8. Değişiklikler ve iletişim

Ürün, tedarikçi veya mevzuat değiştiğinde bu metin güncellenir; önemli değişiklikler uygun bir kanalla duyurulur. Gizlilikle ilgili tüm sorular ve veri koruma başvuruları için erdem@gradiva.co.uk adresini kullanabilirsiniz.