TurlaAI

Türkçe English

Yürürlük Tarihi: 27 Nisan 2026

Gizlilik Politikası

Bu Gizlilik Politikası, TurlaAI mobil uygulaması ve turlaai.com web sitesi aracılığıyla kişisel verilerinizin nasıl toplandığını, işlendiğini, saklandığını ve paylaşıldığını açıklar. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) çerçevesinde hazırlanmıştır.

1. Veri Sorumlusu

Uygulama / Hizmet: TurlaAI
İletişim: destek@app.turlaai.com · hello@app.turlaai.com
Web: turlaai.com

2. İşlenen Kişisel Veri Kategorileri

Kategori	Veri	Amaç
Kimlik / İletişim	E-posta, ad, profil resmi	Hesap oluşturma, oturum yönetimi
Konum	GPS koordinatları (yaklaşık ve hassas)	Sesli rehberin yakın noktaları okuması, rota önerisi
Seyahat Tercihleri	Hedef şehir, tarih, bütçe, grup büyüklüğü, ilgi alanları	AI destekli kişisel rota üretimi
Ödeme	Sipariş tutarı, ödeme durumu (kart bilgileri Iyzico üzerinden işlenir, bizde saklanmaz)	Tek seferlik premium rota satın alma, abonelik
Mesajlaşma	Sohbet odası mesajları, gönderim zamanları	Yerel rehber–gezgin iletişimi
Cihaz / Teknik	Push token, cihaz tipi, OS sürümü, dil, IP adresi, çökme logları	Bildirim gönderimi, performans izleme, güvenlik
Mağaza Faturalandırma	Google Play / Apple App Store satın alma makbuzu	Uygulama içi satın alma doğrulama

3. İşleme Amaçları ve Hukuki Dayanaklar

Sözleşmenin ifası (KVKK m.5/2-c, GDPR m.6/1-b): Hesap oluşturma, satın alma, abonelik yönetimi, sesli rehber sunumu.
Açık rıza (KVKK m.5/1, GDPR m.6/1-a): Konum verisi kullanımı, push bildirim gönderimi, pazarlama iletişimi.
Meşru menfaat (KVKK m.5/2-f, GDPR m.6/1-f): Hizmet güvenliği, dolandırıcılık önleme, anonim analitik.
Hukuki yükümlülük (KVKK m.5/2-ç, GDPR m.6/1-c): Vergi, fatura, talep edilen yargısal/idari işlemler.

4. Veri Aktarımı

Hizmetin sunulabilmesi için aşağıdaki veri işleyenlerle (alt yüklenici) sınırlı paylaşım yapılır:

Alt Yüklenici	Amaç	Konum
Supabase	Veritabanı, kimlik doğrulama	AB / ABD
Anthropic (Claude AI)	AI rota üretimi	ABD
Google Cloud (Vertex AI, TTS, Firebase, Maps)	AI, sesli rehber, harita, push, kimlik doğrulama	AB / ABD
Iyzico	Ödeme işleme (PCI-DSS uyumlu)	Türkiye
Apple App Store / Google Play	Uygulama içi satın alma faturalandırma	ABD / Global
Resend	İşlemsel e-posta	ABD
Upstash Redis	Önbellek, oturum yönetimi	AB
Hetzner Cloud	API sunucu altyapısı	AB (Almanya)
Vercel	Web sitesi yayını	AB / ABD

AB dışına yapılan aktarımlar Standart Sözleşme Maddeleri (SCC) veya muadili güvenceler ile yapılır.

5. Saklama Süreleri

Hesap verileri: hesabınız aktif olduğu sürece + silme talebinden sonra 30 gün.
Ödeme/fatura kayıtları: vergi mevzuatı gereği 10 yıl.
Sohbet mesajları: 12 ay sonra otomatik silinir.
Konum geçmişi: cihazda yerel olarak; sunucuda saklanmaz.
Çökme/teknik loglar: 90 gün.

6. Haklarınız

KVKK m.11 ve GDPR m.15–22 kapsamında şu haklara sahipsiniz:

Kişisel verilerinizin işlenip işlenmediğini öğrenme
İşlenmişse buna ilişkin bilgi talep etme
İşleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
Yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme
Eksik/yanlış işlenmişse düzeltilmesini isteme
Silinmesini, yok edilmesini veya anonimleştirilmesini isteme
İşleme itiraz etme
Otomatik karar verme süreçlerine itiraz etme
Veri taşınabilirliği
Bir denetim makamına şikâyet hakkı (KVKK Kurumu / yerel AB veri koruma otoriteleri)

Talepleriniz için destek@app.turlaai.com adresine yazabilirsiniz. 30 gün içinde cevap veririz.

7. Çocukların Gizliliği

TurlaAI 13 yaş altındaki çocuklar için tasarlanmamıştır. Bilerek 13 yaş altı kullanıcı verisi toplamayız. Eğer böyle bir veri tespit edersek derhal sileriz.

8. Veri Güvenliği

Tüm trafik TLS 1.2+ ile şifrelenir.
Şifreler bcrypt ile saklanır; biz de göremeyiz.
Mobil cihazda hassas tokenler AES-256 şifreli MMKV / Secure Store'da tutulur.
Kart bilgileri sunucumuza hiç ulaşmaz; doğrudan Iyzico'ya gider (PCI-DSS).
Erişim, en az ayrıcalık prensibi ile sınırlandırılmıştır.

9. Çerezler ve Yerel Depolama

Web sitesinde yalnızca zorunlu çerezler (oturum, dil tercihi) kullanılır. Üçüncü taraf reklam/izleme çerezi yoktur. Mobil uygulama oturum bilgisini güvenli depolamada tutar.

10. İzinler (Mobil Uygulama)

Konum (kaba/hassas): Sesli rehberin yakın noktaları okuması ve rota önerisi için. Kullanım sırasında ister, dilediğiniz zaman cihaz ayarlarından kaldırabilirsiniz.
İnternet / Ağ Durumu: Sunucularımıza bağlantı için.
Bildirimler: Trip hatırlatması, sohbet mesajı bildirimi (rıza ile).
Faturalandırma (Google Play Billing): Uygulama içi satın alma için.

11. Politika Değişiklikleri

Bu politikayı zaman zaman güncelleyebiliriz. Önemli değişikliklerde uygulama içi bildirim ve/veya e-posta ile bilgilendireceğiz. "Yürürlük Tarihi"ni daima en üstten kontrol edebilirsiniz.

12. İletişim

Veri Sorumlusu: TurlaAI
E-posta: destek@app.turlaai.com

Effective Date: 27 April 2026

Privacy Policy

This Privacy Policy explains how TurlaAI ("we", "us") collects, processes, stores, and shares your personal data through our mobile app and the website at turlaai.com. It is prepared in line with the EU General Data Protection Regulation (GDPR) and the Turkish Personal Data Protection Law (KVKK No. 6698).

1. Data Controller

Service: TurlaAI
Contact: destek@app.turlaai.com · hello@app.turlaai.com
Web: turlaai.com

2. Categories of Personal Data

Category	Data	Purpose
Identity / Contact	Email, name, profile picture	Account creation, authentication
Location	GPS (coarse and fine)	Audio guide proximity, route suggestions
Travel Preferences	Destination, dates, budget, group size, interests	AI-generated personal itineraries
Payment	Order amount, status (card data is processed by Iyzico, never stored on our servers)	One-time premium routes, subscription
Messaging	Chat-room messages, timestamps	Local guide–traveler communication
Device / Technical	Push token, device model, OS, locale, IP, crash logs	Notifications, performance, security
Store Billing	Google Play / Apple App Store purchase receipt	In-app purchase verification

3. Purposes and Legal Bases

Performance of contract (GDPR Art.6(1)(b)): account, purchases, subscription, audio-guide delivery.
Consent (GDPR Art.6(1)(a)): location use, push notifications, marketing emails.
Legitimate interest (GDPR Art.6(1)(f)): service security, fraud prevention, anonymous analytics.
Legal obligation (GDPR Art.6(1)(c)): tax, invoicing, lawful requests.

4. Data Sharing

We share data only with the following processors (sub-contractors):

Processor	Purpose	Region
Supabase	Database, authentication	EU / US
Anthropic (Claude AI)	AI itinerary generation	US
Google Cloud (Vertex AI, TTS, Firebase, Maps)	AI, audio guide, maps, push, auth	EU / US
Iyzico	Payment processing (PCI-DSS)	Turkey
Apple App Store / Google Play	In-app purchase billing	US / Global
Resend	Transactional email	US
Upstash Redis	Cache, session	EU
Hetzner Cloud	API server infrastructure	EU (Germany)
Vercel	Website hosting	EU / US

Transfers outside the EEA are protected by Standard Contractual Clauses (SCCs) or equivalent safeguards.

5. Retention

Account data: while your account is active + 30 days after deletion request.
Payment / invoice records: 10 years as required by tax law.
Chat messages: auto-deleted after 12 months.
Location history: stored locally on device only; not on server.
Crash / technical logs: 90 days.

6. Your Rights

Under GDPR Art.15–22 and KVKK Art.11 you have the right to:

Know whether your data is processed
Request information about processing
Learn the purpose and whether use matches that purpose
Know the third parties to whom data is transferred (locally or abroad)
Request correction of incomplete or inaccurate data
Request erasure, destruction or anonymization
Object to processing
Object to automated decision-making
Data portability
Lodge a complaint with a supervisory authority (KVKK Authority or your local EU DPA)

To exercise your rights write to destek@app.turlaai.com. We respond within 30 days.

7. Children's Privacy

TurlaAI is not intended for children under 13. We do not knowingly collect data from anyone under 13. If we learn we have, we delete it immediately.

8. Security

All traffic encrypted with TLS 1.2+.
Passwords stored as bcrypt hashes — even we cannot read them.
Sensitive tokens on device kept in AES-256 encrypted MMKV / Secure Store.
Card data never reaches our servers; it goes directly to Iyzico (PCI-DSS).
Access follows least-privilege principle.

9. Cookies and Local Storage

The website uses only strictly necessary cookies (session, language). No third-party advertising or tracking cookies. The mobile app stores session data in secure storage.

10. Permissions (Mobile)

Location (coarse/fine): for proximity-based audio guidance and route suggestions. Asked at use; revocable from device settings.
Internet / Network State: to connect to our servers.
Notifications: trip reminders and chat (with consent).
Billing (Google Play Billing): for in-app purchases.

11. Changes

We may update this policy. For material changes we will notify you via in-app notice and/or email. Always check the "Effective Date" at the top.

12. Contact

Data Controller: TurlaAI
Email: destek@app.turlaai.com