Gizlilik Politikası

Bu metin, moonpixai.com adresindeki Moonpix AI hizmetini kullanırken kişisel verilerinin nasıl işlendiğini anlatır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) md. 10 uyarınca bir aydınlatma metni ve AB Genel Veri Koruma Tüzüğü (GDPR) md. 13 uyarınca bir bilgilendirmedir. Bir sözleşme değildir: senden onay istemez, yalnız okuduğunu kaydederiz. Açık rızana dayanan tek işleme, aşağıda anlatılan reklam ölçümüdür.

Veri sorumlusu

Veri sorumlusu Umut Hasan Şahin'dir (gerçek kişi, şahıs). Giriş yaptıysan sitedeki destek ekranından, giriş yapamıyorsan başvuru formundan ulaşabilirsin. Bir veri koruma görevlisi atanmamıştır.

Aynı hesapla diğer uygulamalarımıza da giriş yapabilir ve jetonlarını orada da kullanabilirsin. O uygulamaların veri sorumlusu da aynıdır; hesap ve jeton bilgilerin bu yüzden orada da kullanılır.

Hangi verileri işliyoruz

Hesap: e-posta adresin, parolanın geri çevrilemez özeti (argon2id; parolanın kendisini saklamayız), doğum yılın, dil tercihin, üyelik kimliğin, hesabın açılış ve son giriş zamanları ve giriş güvenliği ayarların.
Google ile giriş yaparsan, Google'dan: Google hesap kimliğin, e-posta adresin ve doğrulanmış olup olmadığı, adın ve profil fotoğrafının bağlantısı.
Doğrulama kodları: e-postana gönderdiğimiz 6 haneli kodların yalnız özeti (SHA-256). Kodlar 10 dakika geçerlidir.
Oturumlar: oturum kimliği, tarayıcı bilgisinin (user agent) özeti, ülke, oturumun açılış ve son kullanım zamanları.
Yüklediğin fotoğraf ve videolar ile istemlerin (üretim için yazdığın metin).
Üretimler: çıktı dosyaları, seçtiğin model ve ayarlar, jeton bedeli, üretimin durumu ve ülke.
Jeton ve satın almalar: bakiyen; ayrılan, harcanan ve iade edilen jeton hareketleri; abonelik durumun; mağazadan gelen işlem kimliği, ürün, fiyat, mağaza ve ülke. Kart bilgilerin bize hiç gelmez.
Yaş onayı: bazı içeriklere erişmek için yaşını onayladıysan onayın zamanı ve üyelik kimliğin.
Sözleşme onay kanıtı: kabul ettiğin sürüm ve dil, her belgenin SHA-256 özeti, her belgeyi okumayı bitirdiğin zaman, ekranda gördüğün onay cümleleri (doğum yılını doğru girdiğine ve 18 yaşından büyük olduğuna ilişkin beyanın dahil), doğum yılın, IP adresin, tarayıcı bilgin (user agent), e-posta adresinin SHA-256 özeti ve onay zamanı.
Destek ve başvurular: destek ekranından yazdıkların; başvuru formunda verdiğin ad soyad, e-posta adresi ve mesaj; ülke.
Kullanım ölçümü: bir oturumun başladığı, açtığın sayfanın yolu, sayfa açıkken 60 saniyede bir gönderilen "hâlâ burada" sinyali ve oturumun bittiği. Giriş yaptıysan üyelik kimliğinle ilişkilendirilir; giriş yapmadıysan sekme kapanınca kaybolan rastgele bir numaraya bağlıdır.
Güvenlik kayıtları: giriş denemeleri ve risk olayları. Bunlarda IP adresinin kendisi değil, ondan gizli bir anahtarla üretilen ve geri çevrilemeyen bir özet (HMAC) tutulur. Giriş, kayıt ve parola işlemlerinde bu kayıtlar tarayıcına verilen rastgele bir kimlikle (__Host-iid çerezi) ilişkilendirilir; böylece aynı tarayıcıdan açılan hesaplar birbirine bağlanabilir.
Ülke: Cloudflare'ın bağlantından çıkardığı ülke kodu. Oturum, kullanım ölçümü, medya, üretim ve destek kayıtlarına yazılır; bazı içerikler ülkeye göre açılıp kapanabilir.
Teknik kayıtlar: sistem günlükleri ve performans ölçümleri. Günlüklerde bağlantı bilgileri yer alabilir.
Reklam ölçümü verileri: yalnız izin verirsen; aşağıda ayrı bölümde.

IP adresini veritabanımızda açık hâlde tutmayız; tek istisnası sözleşme onay kanıtıdır. IP adresin ayrıca bot korumasında Cloudflare'a ve izin verdiysen Meta'ya iletilir.

Fotoğraflarını yüz tanıma ya da kimliğini belirleme amacıyla işlemeyiz.

Verileri nasıl topluyoruz

Verilerin elektronik ortamda toplanır: formlara yazdıklarından ve yüklediklerinden; siteyi kullanırken çerezler, tarayıcı depolaması ve sistem kayıtlarıyla otomatik olarak; Google ile girersen Google'dan; satın almada mağazadan; ülke bilgisi Cloudflare'dan.

Neden işliyoruz ve hukuki sebepleri

Hesabını açmak, girişini sağlamak ve hizmeti sunmak (üretim, jeton, abonelik, sonuçlarını göstermek, verilerinin kopyasını hazırlamak): sözleşmenin kurulması ve ifası. KVKK md. 5/2-c; GDPR md. 6/1-b.
Üretim için girdilerini yapay zekâ sağlayıcılarına göndermek: sözleşmenin ifası (KVKK md. 5/2-c; GDPR md. 6/1-b). Bunun için ayrıca AI İşleme Sözleşmesi'ni açıkça kabul etmen istenir.
Yaş sınırını uygulamak (doğum yılı, 18 yaş sınırı ve yaş beyanı, yaş onayı): çocukları korumaya yönelik hukuki yükümlülüklerimiz ve meşru menfaatimiz. KVKK md. 5/2-ç ve 5/2-f; GDPR md. 6/1-c ve 6/1-f.
Güvenlik ve kötüye kullanımın önlenmesi (bot koruması, hesap güvenliği, ücretsiz hakların çoklu hesapla çoğaltılması, yasak içerik, dolandırıcılık): meşru menfaatimiz. KVKK md. 5/2-f; GDPR md. 6/1-f.
Sözleşme onay kanıtını saklamak (neyi, ne zaman kabul ettiğini ispatlayabilmek): bir hakkın tesisi, kullanılması veya korunması. KVKK md. 5/2-e; GDPR md. 6/1-f.
Satın alma ve mali kayıtlar: vergi ve muhasebe mevzuatından doğan hukuki yükümlülük. KVKK md. 5/2-ç; GDPR md. 6/1-c.
Destek ve başvuruları yanıtlamak: sözleşmenin ifası, başvuruları yanıtlama yükümlülüğümüz ve meşru menfaatimiz. KVKK md. 5/2-c, 5/2-ç ve 5/2-f; GDPR md. 6/1-b, 6/1-c ve 6/1-f.
Kendi kullanım ölçümümüz (hangi sayfaların kullanıldığını görüp siteyi iyileştirmek): meşru menfaatimiz. KVKK md. 5/2-f; GDPR md. 6/1-f. İstediğin zaman kapatabilirsin.
Reklam ölçümü (Meta): yalnız açık rızan. KVKK md. 5/1 ve yurt dışına aktarım için md. 9; GDPR md. 6/1-a. İzin vermemen hiçbir şeyi etkilemez ve iznini istediğin zaman geri alabilirsin.
Yetkili makamların hukuka uygun taleplerini karşılamak: hukuki yükümlülük. KVKK md. 5/2-ç; GDPR md. 6/1-c.

Hesap ve üretim için gereken veriler olmadan hizmeti sunamayız. Reklam ölçümüne izin vermek ise tamamen isteğe bağlıdır.

Kimlere aktarıyoruz

Verilerini yalnız hizmeti sunmak için çalıştığımız hizmet sağlayıcılarına ve yalnız o işin gerektirdiği kadarıyla aktarırız:

netcup GmbH (Almanya): sunucularımız. Veritabanı ve hizmetin kendisi Nürnberg, Almanya'daki veri merkezinde çalışır.
Cloudflare, Inc. (ABD): trafiğin geçtiği ağ ve içerik dağıtımı; ülke kodu; bot koruması (Turnstile, giriş, kayıt, parola sıfırlama ve başvuru formlarında IP adresin ve tarayıcı bilgilerinle çalışır); medya dosyalarının ve şifreli yedeklerin depolanması (R2).
Brevo (Sendinblue SAS, Fransa): e-posta gönderimi (doğrulama kodları ve hesap bildirimleri). Brevo verileri AB'de barındırdığını belirtir.
Yapay zekâ sağlayıcıları: fal (Features & Labels Inc., ABD), Atlas Cloud (Atlas Cloud AI LLC, ABD) ve Siray (RUNEX AI PTE. LTD., Singapur). İstemin, yüklediğin fotoğraf veya video ve seçtiğin ayarlar, yalnız istediğin üretimi yapmak için gider. Ayrıntılar AI İşleme Sözleşmesi'nde.
Google (AB'de Google Ireland Limited, İrlanda; diğer ülkelerde Google LLC, ABD): yalnız Google ile giriş yaparsan, girişi doğrulamak için. Apple ile giriş açıldığında, onu kullanırsan girişi Apple (Türkiye dışında) doğrular.
App Store (Apple) ve Google Play (Google), her ikisi de Türkiye dışında: mağazadan satın alma yaptığında ödemeyi onlar alır; bize yalnız işlem bilgisi gelir.
Meta (AB'de Meta Platforms Ireland Limited, İrlanda; ayrıca Meta Platforms, Inc., ABD): yalnız reklam ölçümüne izin verirsen; aşağıda ayrı bölümde.
Telegram (Türkiye dışında): kendi iç satış bildirimlerimiz için üyelik kimliği, ülke, ürün, fiyat, mağaza ve işlem kimliği. E-posta adresin gönderilmez.
Yetkili kamu kurum ve kuruluşları ile mahkemeler: yalnız kanunen zorunlu olduğunda.

Kişisel verilerini satmayız ve kiralamayız.

Yurt dışına aktarım

Sunucularımız Almanya'dadır; hizmet sağlayıcılarımızın bir kısmı ABD'de, Singapur'da ve başka ülkelerdedir. Bu yüzden verilerin Türkiye'nin ve Avrupa Ekonomik Alanı'nın dışına aktarılır. Bu aktarımlar yukarıda yazdığımız işleri yapabilmemiz için gereklidir ve her biri o işin gerektirdiği verilerle sınırlıdır.

Ne kadar saklıyoruz

Yüklediğin fotoğraf ve videolar: üretim bitince silinir (en geç 2 saat içinde); üretimde kullanılmayanlar 15 dakika içinde silinir.
Üretilen görsel ve videolar: 30 gün içinde kaldırılır.
İstemler: şifreli saklanır, 30 gün sonra çıktılarla birlikte silinir.
Yapay zekâ sağlayıcılarındaki kopyalar: fal'dan ürettiği dosyaları 24 saat sonra silmesini isteriz; Atlas Cloud ve Siray'deki kopyalar onların kendi koşullarına tabidir.
Destek yazışmaları: konuşma kapandıktan 2 yıl sonra silinir; hesabını silersen hemen silinir.
Başvuru formu kayıtları: başvurunu yanıtlamak ve yanıtladığımızı gösterebilmek için saklanır.
Kullanım ölçümü: 90 gün.
Güvenlik kayıtları: risk olayları 90 gün, kapanmış inceleme dosyaları 2 yıl.
Teknik günlükler: 14 gün; performans ölçümleri 15 gün.
Yedekler: sunucudaki yedekler 14 gün, sunucu dışındaki şifreli yedekler 30 gün sonra silinir.
Oturumlar: giriş anahtarı 15 dakika, yenileme anahtarı 30 gün geçerlidir; sitedeki oturumun 30 gün kullanılmazsa, her durumda en geç 90 gün sonra kapanır.
Verilerinin kopyası: hazırlandıktan sonra 7 gün indirilebilir.
Hesap bilgileri: hesabın açık olduğu sürece.

Hesabını silersen silme 7 gün sonra gerçekleşir. Kimlik bilgilerin, yüklediklerin, üretimlerin ve istemlerin silinir; üyeliğin ve kullanım ölçümü kayıtların takma adlı hâle getirilir. Şunlar kalır:

Mali kayıtlar (satın almalar ve jeton hareketleri): vergi ve muhasebe mevzuatının öngördüğü süre boyunca.
Üretim kayıtları: dosyalar ve istemler olmadan, takma adlı olarak.
Yaş onayı kayıtları: takma adlı olarak; bir içeriğin yaşını onaylamış bir üyelik için üretildiğini gösterebilmek için.
Sözleşme onay kanıtı: onay tarihinden itibaren 10 yıl; IP adresin, tarayıcı bilgin, doğum yılın ve e-posta adresinin özeti dahil. Neyi kabul ettiğine ilişkin bir uyuşmazlıkta ispat için gereklidir.
Güvenlik kayıtları ve yedekler, yukarıdaki süreleri dolunca kendiliğinden silinir.

Çerezler ve tarayıcı depolaması

Zorunlu olanlar sitenin çalışması için gerekir ve izin istemez. Kullanım ölçümünü kapatabilirsin; reklam çerezleri yalnız izin verirsen kullanılır. Tercihlerini bu sayfanın altından ya da çerez bandındaki "Tercihleri yönet"ten değiştirebilirsin.

__Host-sid (zorunlu): oturumunu açık tutar; tarayıcıdaki betikler okuyamaz. 30 gün kullanılmazsa sona erer.
__Host-signed-in (zorunlu): sayfaların giriş yaptığını bilmesini sağlayan işaret; 7 gün.
__Host-iid (zorunlu): hesap güvenliği ve kötüye kullanımın önlenmesi için bu tarayıcıya verilen rastgele bir kimlik; tarayıcıdaki betikler okuyamaz. Giriş, kayıt ve parola işlemlerinde yazılır; 1 yıl.
moonpix_oauth_google, moonpix_oauth_apple (zorunlu): Google ya da Apple ile girişin güvenle tamamlanması; 4 dakika.
moonpix_consent (zorunlu): çerez ve ölçüm tercihini hatırlar; 180 gün.
NEXT_LOCALE (zorunlu): dil seçimini hatırlar; 1 yıl.
moonpix.analytics.sid (sekme depolaması, kullanım ölçümü): oturumun rastgele numarası; sekme kapanınca silinir.
moonpix.analytics.consent (tarayıcı depolaması, kullanım ölçümü): ölçüm tercihinin kopyası; sen silene kadar.
moonpix.favorites, moonpix.jobs.blur (tarayıcı depolaması): favorilerin ve sonuçların bulanık gösterilmesi tercihin. Yalnız tarayıcında durur, bize gönderilmez; sen silene kadar.
moonpix.adVisit, moonpix.fbclid (sekme depolaması): bir Meta reklamından geldiğin ve o reklam tıklamasının kimliği. Reklam ölçümünü reddedersen ya da sekmeyi kapatırsan silinir.
_fbc (reklam, yalnız izinle): Meta reklamına tıkladıysan o tıklamanın kimliği; 90 gün.
_fbp (reklam, yalnız izinle): Meta Pixel'in bu tarayıcıya verdiği kimlik; süresini Meta belirler.

Reklam ölçümü (Meta)

Reklamlarımızın işe yarayıp yaramadığını ölçmek ve Meta'nın sana daha ilgili reklamlar göstermesini sağlamak için Meta Pixel ve Meta Conversions API kullanırız. Bu ölçüm:

yalnız siteye bir Meta reklamından (Facebook ya da Instagram) geldiysen sorulur; reklamdan gelmediysen Meta hiç yüklenmez;
yalnız İzin ver dersen açılır; "İzin ver", "Reddet" ve "Tercihleri yönet" eşit seçeneklerdir;
tarayıcın "beni izleme" sinyali (Global Privacy Control) gönderiyorsa kapalı kalır ve sana sorulmaz;
doğum yılına göre yaşı (bu yıl eksi doğum yılı) 18'den küçük çıkan hesaplar için, izin verilmiş olsa bile, hiç yapılmaz; yaşı 18 çıkan bir hesap için ise yalnız sözleşmeler adımında 18 yaşından büyük olduğunu onayladıysan yapılır, çünkü doğum gününü bilmediğimiz için böyle biri henüz 17 yaşında olabilir.

Meta'ya gidenler: baktığın sayfalar ve türleri (fiyatlar, modeller, stüdyo gibi); kayıt olduğun; e-posta adresinin ve üyelik kimliğinin SHA-256 özeti; IP adresin; tarayıcı bilgin; _fbc ve _fbp çerezlerindeki kimlikler. Ürettiklerin, istemlerin ve fotoğrafların hiçbir zaman gönderilmez.

Meta bu verileri kendi gizlilik politikasına göre, kendi amaçları için de işler. İznini istediğin zaman bu sayfanın altındaki tercihlerden geri alabilirsin; geri almak, öncesindeki işlemeyi geçersiz kılmaz. İzin vermemen siteyi, kaydı ya da satın almayı hiçbir şekilde etkilemez.

ABD ve Kaliforniya'da yaşayanlar

Kişisel bilgilerini satmayız. Meta reklam ölçümü, Kaliforniya hukukunda (CCPA/CPRA) kişiselleştirilmiş reklam amacıyla bilgi "paylaşımı" (sharing) sayılabilir. Bunu yalnız iznin varsa yaparız ve tarayıcının Global Privacy Control sinyalini bu paylaşımdan vazgeçme isteği olarak kabul ederiz. Vazgeçmek için bu sayfanın altındaki tercihlerden reklam ölçümünü kapat ya da tarayıcında GPC'yi aç. Bilgilerini öğrenme, düzeltme ve silme hakların da var; başvuru formundan kullanabilirsin. Haklarını kullandığın için sana farklı davranmayız.

Hakların

KVKK md. 11 uyarınca kişisel verilerinin işlenip işlenmediğini öğrenme; işlenmişse bilgi isteme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde ya da yurt dışında aktarıldığı üçüncü kişileri bilme; eksik ya da yanlış işlenmişse düzeltilmesini isteme; KVKK md. 7'deki şartlar çerçevesinde silinmesini ya da yok edilmesini isteme; bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme; yalnız otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme ve kanuna aykırı işleme yüzünden zarara uğrarsan zararının giderilmesini isteme hakların var.

AB'de yaşıyorsan GDPR md. 15 ile 22 arası uyarınca erişim, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği ve itiraz hakların ile yalnız otomatik işlemeye dayanan kararlara tabi olmama hakkın da var. Rızaya dayanan işlemede (reklam ölçümü) rızanı istediğin zaman geri alabilirsin.

Bunları kullanmak için:

Hesap sayfasından verilerinin bir kopyasını indirebilir ve hesabını silebilirsin.
Diğer talepler için giriş yaptıysan destek ekranından, yapamıyorsan başvuru formundan yaz. Kimliğini doğrulamamız gerekebilir. Başvurunu en geç 30 gün içinde ücretsiz yanıtlarız.

Yanıtımızdan memnun kalmazsan Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin. AB'de yaşıyorsan yaşadığın ya da çalıştığın ülkedeki veri koruma otoritesine de şikâyet hakkın var.

Otomatik kararlar: doğum yılına göre 18 yaşından küçük çıkan kişi hizmete devam edemez ve oturumu kapatılır; 13 yaşından küçük çıkan bir hesabın silinmesi de kendiliğinden başlatılır. Yaş onayı ve reklam ölçümü de doğum yılına göre kapalı tutulur. Bir yanlışlık olduğunu düşünürsen başvuru formundan yaz; talebini bir insan inceler.

Çocuklar

Hizmet 18 yaşından küçükler için değildir ve bu hizmet için 18 yaşından küçüklerin kişisel verilerini bilerek işlemeyiz. Doğum yılı sözleşmeler adımında sorulur ve 18 yaşından büyük olduğunu onaylaman istenir. Doğum yılına göre 18 yaşından küçük çıkan kişi devam edemez: onay kaydı oluşturulmaz ve oturumunu kapatırız; 13 yaşından küçük çıkan bir hesabın ise silinmesini de başlatırız. 18 yaşından küçük birinin hizmeti kullandığını düşünüyorsan başvuru formundan bildir; o hesabın hizmete erişimini kapatırız.

Güvenlik

Parolalar argon2id ile geri çevrilemez biçimde saklanır.
E-posta kodları 10 dakika geçerlidir ve yalnız özetleri saklanır.
İstersen girişe ikinci bir doğrulama adımı ekleyebilirsin.
İstemler şifreli saklanır.
Güvenlik kayıtlarında IP adresi yerine anahtarlı bir özet (HMAC) tutulur.
Oturum çerezi tarayıcıdaki betiklerin okuyamayacağı biçimde (httpOnly) ve yalnız güvenli bağlantıda gönderilir; site yalnız şifreli bağlantıyla (HTTPS) çalışır.
Medya dosyaları herkese açık olmayan bir depolama alanında durur.
Sunucu dışındaki yedekler sunucudan çıkmadan önce şifrelenir.
Giriş, kayıt ve başvuru formları otomatik saldırılara karşı bot korumasıyla korunur.

Hiçbir sistem kusursuz değildir. Bir veri ihlali olursa kanunun öngördüğü biçimde Kişisel Verileri Koruma Kurulu'na ve etkilenen kişilere bildiririz.

Değişiklikler

Bu metin sürümlüdür. Önemli bir değişikliği yürürlüğe girmeden önce sitede duyururuz ve yeni metin sözleşmeler ekranında sana yeniden gösterilir. Eski sürümleri saklarız.

Çeviriler

Bu metin Türkçe yazılmıştır. Başka dillere çevirileriyle arasında bir fark olursa Türkçe metin geçerlidir.