Türkçe | English

KVKK Aydınlatma Metni

Son Güncelleme: 20 Ekim 2026

1. Veri Sorumlusunun Kimliği

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca, "Bugün Ne Yemek Var? AI Şef" mobil uygulaması ve ilgili web hizmetleri ("Uygulama") kapsamında kişisel verileriniz; Veri Sorumlusu Semra Arslan tarafından işbu Aydınlatma Metni çerçevesinde hukuka ve dürüstlük kurallarına uygun olarak işlenmektedir.

2. İşlenen Kişisel Veri / Teknik Veri Kategorileri

Uygulama kapsamında normal kullanıcı hesabı oluşturma, oturum açma veya merkezi kullanıcı profili zorunluluğu bulunmamaktadır. İşlenen veri kategorileri aşağıdaki gibidir:

a) Cihaz İçi Yerel Veriler (Local-First Data): Favori tarifleriniz, tarif arama geçmişiniz, alışveriş listeniz, buzdolabı gıda envanteriniz, haftalık menü planınız, dil/bölge tercihleriniz ve "Şef'e Sor" yerel sohbet geçmişiniz doğrudan kendi cihazınızın yerel hafızasında (localStorage) saklanır. Bu veriler geliştirici bulut sunucularında merkezî kullanıcı profili olarak tutulmaz.
b) Yapay Zekâ Analiz ve Sorgu Verileri: Kullanıcının uygulama içerisinden başlattığı tarif arama sorguları, yemek/malzeme isimleri, diyet tercihleri ve buzdolabı gıda fotoğrafları. Fotoğraf verileri analize gönderilmeden önce boyut küçültme (maksimum 800px) ve EXIF konum/cihaz üst veri temizliği süreçlerinden geçirilir.
c) Takma Adlandırılmış Teknik Tanımlayıcılar (Pseudonymous Technical Identifiers): Kötüye kullanımı engellemek, sistem kararlılığını sağlamak ve oran kısıtlaması (rate limiting) uygulamak amacıyla rastgele oluşturulan kurulum tanımlayıcısı (`installId`), sunucu tarafında rastgele tuzlama (salt) ile `SHA-256` algoritması kullanılarak takma adlandırılmış (pseudonymous) teknik hash olarak anlık geçici bellekte (RAM) işlenir.
d) Uygulama Bütünlüğü ve Güvenlik Verileri: Uygulamanın orijinal ve yetkili sürümlerden çalıştığını doğrulamak amacıyla işlenen Firebase App Check attestation token'ları (Android Play Integrity / iOS App Attest / Web ReCaptcha V3).
e) Reklam ve Rıza Yönetimi Verileri: Ücretsiz hizmet sunumunu desteklemek ve rıza tercihlerini yönetmek amacıyla Google AdMob ve UMP (User Messaging Platform) SDK'ları aracılığıyla işlenen teknik reklam tanımlayıcıları (IDFA / GAID) ve rıza durumu kayıtları.
f) Hizmet ve Güvenlik Günlükleri: API işlem süreleri ve token metriklerini içeren sorgu istatistikleri (`apiQueryLogs`), reklam gösterim teşhis kayıtları (`adLogs`) ve yasal silme denetim ispat kayıtları (`deletionAudit`).

3. Kişisel Verilerin İşlenme Amaçları

Toplanan kişisel ve teknik verileriniz aşağıdaki amaçlarla işlenmektedir:

Gıda fotoğraflarından malzeme tespiti yapılması, kullanıcı sorgularına uygun tarif üretilmesi ve menü planlama hizmetlerinin sunulması,
Uygulama güvenliğinin sağlanması, yetkisiz bot erişimlerinin engellenmesi ve API oran kısıtlaması (rate limiting) uygulanması,
Google AdMob aracılığıyla reklam gösterimi sunulması ve UMP çerçevesinde gizlilik/rıza tercihlerinin yönetilmesi,
Yasal düzenlemelerden doğan yükümlülüklerin yerine getirilmesi ve silme/imha süreçlerinin denetlenebilirliğinin sağlanması.

4. Kişisel Verilerin Toplanma Yöntemi

Kişisel verileriniz; mobil uygulama ve web arayüzü üzerinden elektronik ortamda, kullanıcının veri girişi yapması, kamera/galeri üzerinden fotoğraf seçmesi, cihazın yerel ses tanıma altyapısından (native/on-device speech framework) aktarılan metinler, uygulama SDK'ları (AdMob, App Check) ve HTTP istek başlıkları aracılığıyla otomatik veya yarı otomatik yöntemlerle toplanmaktadır.

5. KVKK m.5 Kapsamındaki Hukuki Sebepler

Kişisel verileriniz KVKK'nın 5. maddesinde belirtilen aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:

Sözleşmenin Kurulması veya İfası (KVKK m.5/2-c): Kullanıcının talep ettiği tarif üretimi, malzeme taraması ve menü planlama hizmetlerinin sunulması.
Hukuki Yükümlülüğün Yerine Getirilmesi (KVKK m.5/2-ç): Yasal denetim ispat kayıtlarının (`deletionAudit`) tutulması ve yetkili makam taleplerinin karşılanması.
Veri Sorumlusunun Meşru Menfaatleri (KVKK m.5/2-f): Uygulama güvenliğinin sağlanması, bot engelleme (App Check), rate limiting uygulanması ve sistem kararlılığının korunması.
Ayrı Onay / Rıza Akışları: Fotoğraf analizi özelliğinde kullanıcıya sunulan bilgilendirme ve rıza ekranı (ör. AiConsentModal) uygulama içi özellik kullanım iznini kapsamakta olup, KVKK Aydınlatma Metni bilgilendirme mahiyetindedir. Yurt dışı aktarımlar ise KVKK m.9 kapsamındaki uygun güvence mekanizmaları ile düzenlenmektedir.

6. Yurt İçinde Aktarım

Toplanan verileriniz; kanunen yetkili kamu kurum ve kuruluşlarının hukuki talepleri haricinde yurt içindeki üçüncü şahıslara ticari veya pazarlama amacıyla aktarılmamaktadır.

7. Yurt Dışına Aktarım

Uygulama kapsamında yürütülen altyapı, yapay zekâ ve reklam hizmetlerinde yurt dışı merkezli servis sağlayıcılar kullanılmaktadır. KVKK'nın 9. maddesi uyarınca yurt dışına veri aktarımı süreçleri aşağıdaki esaslara göre yürütülmektedir:

Google Cloud Altyapı Hizmetleri: Cloud Run konteyner barındırma ve Firestore veritabanı hizmetleri, Google Cloud EMEA Limited ile yürütülen Cloud Data Processing Addendum ve Standart Sözleşmeler (SCC) süreci kapsamındadır.
Gemini Developer API Hizmetleri: Yapay zekâ tarif üretimi ve fotoğraf analizi süreçlerinde `@google/genai` SDK'sı üzerinden kullanılan Gemini Developer API, Google'ın ilgili Gemini API hizmet ve veri işleme şartlarına tabidir. Gemini Developer API'ye ilişkin Türk Standart Sözleşmeleri (SCC) ve uygun güvence mekanizmaları, Google tarafı ile yürütülen nihai sözleşme süreci çerçevesinde doğrulanacaktır.
Google AdMob & Reklam Hizmetleri: Reklam gösterimi ve rıza yönetimi süreçleri, Veri Sorumlusu Semra Arslan ile Google Ireland Limited arasında Google Ads Controller-to-Controller Data Protection Terms kapsamında yürütülen Standart Sözleşmeler (SCC) sürecine tabidir.
Söz konusu Standart Sözleşmeler (SCC) karşılıklı olarak imzalanıp Kişisel Verileri Koruma Kurumu'na gerekli bildirimler ve süreçler tamamlanmadan uygulama canlı üretim ortamındaki veri aktarımlarına yeniden açılmayacaktır.

8. Saklama Süreleri

Cihaz İçi Yerel Veriler: Kullanıcı tarafından sildiği veya uygulama içi "Cihazımdaki Verileri Temizle" aracı çalıştırıldığı anda cihaz hafızasından temizlenir.
Yapay Zekâ Girdi ve Fotoğrafları: Geliştirici sunucularında kalıcı kullanıcı arşivi olarak saklanmaz. Sağlayıcı tarafındaki (Google/Gemini) teknik ve güvenlik süreçleri ilgili sağlayıcı şartlarına ve yapılandırmalarına tabidir.
Geçici Rate Limiting Hash'leri: Sunucu RAM belleğinde 60 saniyelik geçici pencereler halinde tutulur, süre bitiminde veya sunucu yeniden başladığında silinir.
API ve Reklam Günlükleri (`apiQueryLogs`, `adLogs`): 30 gün boyunca saklanır, süre sonunda otomatik silinir.
Silme Denetim Kayıtları (`deletionAudit`): Yasal mevzuata uyum ve denetim ispatı amacıyla 3 yıl boyunca saklanır.

9. Veri Güvenliği ve Ses/Fotoğraf İşleme

Verilerinizin güvenliğini sağlamak amacıyla şu tedbirler uygulanmaktadır:

Tüm ağ iletişiminin TLS/HTTPS protokolleri ile şifrelenmesi,
Gıda fotoğraflarının analiz öncesinde EXIF konum/cihaz üst verilerinden arındırılması ve boyutlandırılması,
Sesli etkileşimlerde ham ses kaydının (raw audio) geliştirici sunucularına veya Gemini'ye iletilmeyip, cihazın yerel ses tanıma altyapısı (native/on-device speech framework) üzerinden metne dönüştürülmesi (platform/işletim sistemi seviyesindeki ses servislerinin teknik davranışı ilgili platform şartlarına ve cihaz ayarlarına tabidir),
IP adresi veya ham cihaz ID yerine rastgele tuzlanmış (salted SHA-256) takma adlandırılmış tanımlayıcı kullanımı,
Firebase App Check ve Firestore Güvenlik Kuralları (Security Rules) ile yetkisiz erişimlerin engellenmesi.

10. İlgili Kişinin KVKK m.11 Hakları

KVKK'nın 11. maddesi uyarınca veri sahipleri aşağıdaki haklara sahiptir:

Kişisel veri işlenip işlenmediğini öğrenme,
Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
KVKK 7. maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
Düzeltme, silme ve yok edilme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

Ayrıca uygulama içi self-servis denetim araçlarını kullanabilirsiniz:

"Cihazımdaki Verileri Temizle": Favoriler, geçmiş, alışveriş listesi ve buzdolabı kayıtlarını doğrudan cihazınızdan siler.
"Yapay Zekâ İzinlerini Sıfırla": Fotoğraf ve ses işleme izin onaylarınızı dilediğiniz an sıfırlamanızı sağlar.

11. Başvuru Yöntemi

KVKK kapsamındaki genel sorularınız için jansetapp@gmail.com adresinden bizimle iletişime geçebilirsiniz. KVKK'nın 11. maddesi kapsamındaki resmi başvurular, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de belirtilen yöntem ve zorunlu unsurlara uygun şekilde iletilmelidir.

Başvurunuz belirli bir uygulama işlemiyle ilgiliyse, incelemeyi kolaylaştırmak amacıyla kullandığınız platformu (Android/iOS), yaklaşık işlem tarihini ve ilgili işlem türünü (ör. AI metin isteği, fotoğraf analizi veya reklam işlemi) isteğe bağlı olarak belirtebilirsiniz. Bu bilgilerin iletilmesi zorunlu değildir. Uygulama içerisinde ayrı bir web başvuru formu bulunmamaktadır.

Mevzuata uygun olarak iletilen başvurularınız en geç 30 (otuz) gün içinde değerlendirilerek yanıtlanacaktır.

12. İletişim

Veri Sorumlusu: Semra Arslan

Uygulama: Bugün Ne Yemek Var? AI Şef

Genel KVKK İletişim E-Posta: jansetapp@gmail.com

Web Sitesi: https://bugunneyemekvar.com

Privacy & KVKK Clarification Notice

Last Updated: October 20, 2026

1. Identity of the Data Controller

Pursuant to Turkish Law No. 6698 on the Protection of Personal Data ("KVKK") and applicable privacy legislation, personal and technical data processed through the "Bugün Ne Yemek Var? AI Chef" mobile application and web services ("App") is processed by Data Controller Semra Arslan in accordance with lawfulness and fairness principles.

2. Categories of Processed Data

The App operates without mandatory user registration, login, or central cloud user profiles. Processed data categories:

a) Local Device Data (Local-First Data): Favorites, search history, shopping lists, fridge inventory, weekly meal plans, language preferences, and local chat threads are stored locally in your device's `localStorage` and are not compiled into developer cloud profiles.
b) AI Query & Analysis Data: Recipe search queries, ingredient names, dietary filters, and food photos. Food photos undergo image resizing (max 800px) and EXIF metadata stripping prior to AI processing.
c) Pseudonymous Technical Identifiers: For system security and rate limiting, a randomly generated installation identifier (`installId`) is salted in-memory and converted via `SHA-256` into a pseudonymous technical hash processed strictly in transient server RAM.
d) App Integrity & Security Data: Firebase App Check attestation tokens (Android Play Integrity / iOS App Attest / Web ReCaptcha V3) processed to confirm genuine application builds.
e) Advertising & Consent Data: Technical advertising identifiers (IDFA / GAID) and CMP consent status records processed via Google AdMob and UMP SDKs.
f) Service & Security Logs: API query metrics (`apiQueryLogs`), ad diagnostic logs (`adLogs`), and statutory deletion proof records (`deletionAudit`).

3. Purposes of Processing

Personal and technical data is processed for the following purposes:

Detecting ingredients from food photos, generating recipe suggestions matching user queries, and providing meal planning services,
Ensuring application security, preventing unauthorized bot access, and enforcing API rate limits,
Serving ads via Google AdMob and managing privacy/consent choices via UMP,
Fulfilling statutory compliance obligations and maintaining auditable deletion logs.

4. Method of Collection

Data is collected electronically via user UI entries, camera/gallery selections, text outputs from on-device speech recognition frameworks, and automated SDK/HTTP request technical signals.

5. Legal Grounds

Data processing relies on statutory legal grounds under KVKK Article 5:

Contract Performance (KVKK Art. 5/2-c): Delivering requested recipe generation, ingredient scanning, and meal planning services.
Legal Obligation (KVKK Art. 5/2-ç): Retaining statutory deletion proof logs (`deletionAudit`) and complying with lawful requests.
Legitimate Interests (KVKK Art. 5/2-f): Maintaining application security, bot prevention (App Check), rate limiting, and system stability.
In-App Feature Consents: Feature-specific consent modal (e.g. AiConsentModal) governs in-app feature permissions, while international transfers are governed separately under KVKK Article 9 transfer mechanisms.

6. Domestic Transfers

Data is not transferred to domestic third parties for commercial or marketing purposes, except upon binding lawful requests by authorized authorities.

7. International Transfers

Infrastructure, AI, and advertising services involve international service providers. Pursuant to KVKK Article 9, cross-border data transfers are structured as follows:

Google Cloud Infrastructure Services: Cloud Run container execution and Firestore database services fall under the Cloud Data Processing Addendum and Standard Contractual Clauses (SCC) process with Google Cloud EMEA Limited.
Gemini Developer API Services: Gemini Developer API utilized via `@google/genai` SDK for recipe generation and photo analysis is subject to Google's applicable Gemini API Terms of Service and data processing terms. Applicable Turkish Standard Contractual Clauses (SCC) and safeguards for Gemini Developer API will be confirmed upon final executed contract documentation from Google.
Google AdMob Services: Managed under Google Ads Controller-to-Controller Data Protection Terms and the Standard Contractual Clauses (SCC) process with Google Ireland Limited (where Semra Arslan acts as Data Controller and Google Ireland Limited acts as Google Ads Controller Services).
Production data transfers will not be reopened until all mutual SCC executions and statutory KVKK notifications are fully completed.

8. Retention Periods

Local Device Data: Retained on device until deleted by user or cleared via "Clear My Local Data".
AI Prompts & Photos: Developer backend does not persist raw prompt/photo history as permanent user archive in developer cloud. Provider-side (Google/Gemini) technical/security processing is subject to applicable provider service terms and configurations.
Transient Rate Limiting Hashes: Held in server RAM for 60-second windows and cleared automatically.
API & Ad Logs (`apiQueryLogs`, `adLogs`): Retained for 30 days and automatically purged.
Deletion Audit Logs (`deletionAudit`): Retained for 3 years for statutory compliance and audit proof.

9. Security Measures & Voice/Photo Processing

Technical security measures include:

Encryption of network traffic via TLS/HTTPS,
Stripping EXIF metadata and resizing food photos prior to analysis,
Voice interactions do not transmit raw audio to developer backend or Gemini; speech is converted to text via native/on-device speech recognition frameworks (platform/OS speech service technical behavior is subject to respective platform terms and device settings),
Hashing identifiers via salted SHA-256 instead of raw IP addresses or static device IDs,
Firebase App Check attestation and Firestore Security Rules to prevent unauthorized access.

10. Data Subject Rights under KVKK Article 11

Pursuant to Article 11 of KVKK, data subjects possess the following statutory rights:

To learn whether personal data is processed,
To request information if personal data has been processed,
To learn the purpose of processing and whether data is used in accordance with its purpose,
To know third parties to whom personal data is transferred domestically or internationally,
To request correction of incomplete or inaccurate data,
To request deletion or destruction of personal data under conditions set forth in Article 7 of KVKK,
To request notification of operations made under correction/deletion to third parties to whom data has been transferred,
To object to negative consequences arising exclusively from automated analysis of processed data,
To claim compensation for damages suffered due to unlawful processing of personal data.

In-App Self-Service Controls:

"Clear My Local Data": Purges local favorites, history, shopping lists, and fridge items directly from your device.
"Reset AI Permissions": Resets in-app AI photo and voice processing consent status at any time.

11. Application Procedure

For general inquiries regarding KVKK, you may contact us at jansetapp@gmail.com. Formal requests under Article 11 of KVKK must be submitted in accordance with the methods and mandatory elements specified in the Communiqué on the Procedures and Principles for Application to the Data Controller.

If your request pertains to a specific application transaction, you may optionally state your platform (Android/iOS), approximate transaction date, and operation type (e.g., AI text prompt, photo analysis, or ad transaction) to assist review. Providing these details is strictly optional. There is no separate web application form inside the app.

Requests submitted in accordance with applicable legislation will be evaluated and responded to within 30 days free of charge.

12. Contact Information

Data Controller: Semra Arslan

Application: Bugün Ne Yemek Var? AI Chef

General KVKK Contact Email: jansetapp@gmail.com

Website: https://bugunneyemekvar.com