Gizlilik Politikası ve KVKK Aydınlatma Metni

Son güncelleme: 8 Kasım 2026

1. Veri sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve AB Genel Veri Koruma Tüzüğü ("GDPR") bakımından veri sorumlusu, Avlu ("Avlu: Ortak Dil Yok") uygulamasını sunan, Türkiye'de yerleşik bireysel geliştirici Talha Vural'dır. İletişim: destek@avlu.live.

Bu metin, iOS uygulaması ve api.avlu.live üzerinden sunulan hizmetler için geçerlidir.

2. Hangi verileri işliyoruz

Hesap

• Apple ile Giriş veya Google ile Giriş'ten gelen hesap tanımlayıcısı (sağlayıcı ve o sağlayıcıdaki benzersiz kimliğin). Şifreni hiçbir zaman görmeyiz.
• E-posta adresi: yalnızca giriş sağlayıcısı paylaşır ve doğrulanmış olarak işaretlerse (Apple ile girişte bu, Apple'ın gizli yönlendirme adresi olabilir).
• Hesap oluşturma tarihi, son etkinlik zamanı ve oturum bilgileri.

Profil

• Ad, doğum tarihi (diğer kişilere yalnızca yaşın gösterilir), cinsiyet (kadın, erkek, diğer), ülke, konuştuğun diller ve ana dilin.
• Ülke bilgisi cihazında belirlenen ülke kodudur; konum koordinatı toplamayız.
• Tanıtım yazın ve satın aldıysan dile özel tanıtımların.
• Tercihlerin: görmek istediğin cinsiyetler, yaş aralığı ve giriş yapmamış kişilerden gizlenme ayarı.
• Profil fotoğrafların (en fazla 6). Her fotoğraf sunucuda yeniden kodlanır; konum (EXIF) gibi gömülü bilgiler silinir.

Sohbetler ve sosyal özellikler

• Gönderdiğin ve aldığın mesajların metni, makine çevirileri ve sohbet fotoğrafları.
• Sohbet, arkadaşlık ve engelleme kayıtları; çevrim içi durumun (son birkaç dakikada etkin olup olmadığın, yalnızca üyelere gösterilir).
• Çeviri izninin verildiği ve geri alındığı zamanlar.

Güvenlik ve moderasyon

• Gönderdiğin şikâyetler (sebep, isteğe bağlı en fazla 500 karakterlik not, eklediğin mesaj) ve hakkında yapılan şikâyetler.
• Otomatik filtrelerin reddettiği metnin şikâyete eklenen kopyası; askıya alma kayıtları ve moderasyon kararları.

Satın almalar

• Coin bakiyen ve hareketlerin (miktar, sebep, App Store işlem kimliği, RevenueCat olay kimliği, tarih). Kart veya ödeme bilgilerini görmeyiz; ödemeyi Apple işler.

Cihaz ve teknik veriler

• Bildirim göndermek için Apple Anlık Bildirim (APNs) cihaz jetonu, bildirim dilini seçmek için cihaz dili ve uygulama kurulumuna özel rastgele bir kimliğin tek yönlü özeti (hash).
• IP adresi: kötüye kullanımı önlemek için hız sınırlamasında (yalnızca bellekte) ve sunucu erişim kayıtlarında kullanılır. Erişim kayıtlarında oturum jetonları ve sorgu parametreleri tutulmaz.

Giriş yapmadan göz atanlar

Giriş yapmadan göz atarken seçtiğin diller ve uygulamanın ürettiği rastgele bir cihaz kimliği, 24 saat geçerli bir erişim jetonuna yazılır; bunları veritabanımızda saklamayız.

3. Amaçlar ve hukuki sebepler

• Hizmetin sunulması (hesap, profil, ortak dili olmayan kişilerin gösterilmesi, sohbet, arkadaşlık, bildirimler, coin satın alma ve harcama): sözleşmenin kurulması ve ifası (KVKK m. 5/2-c; GDPR m. 6/1-b).
• Makine çevirisi (mesajların ve tanıtımların Microsoft Azure Translator'a gönderilmesi): açık rızan (KVKK m. 5/1; GDPR m. 6/1-a). İzni geri alabilirsin; geri alma, önceki işlemleri etkilemez.
• Güvenlik ve moderasyon (fotoğraf ve metin taraması, şikâyetlerin incelenmesi, askıya alınan hesapların yeniden kaydının engellenmesi, kötüye kullanım ve dolandırıcılığın önlenmesi, sunucu kayıtları): meşru menfaatimiz ve kullanıcıların güvenliği (KVKK m. 5/2-f; GDPR m. 6/1-f).
• Satın alma kayıtları ve resmi taleplere yanıt: hukuki yükümlülüklerimiz (KVKK m. 5/2-ç; GDPR m. 6/1-c) ve bir hakkın tesisi, kullanılması veya korunması (KVKK m. 5/2-e).
• 18 yaş kontrolü (doğum tarihi): sözleşmenin ifası ve hukuki yükümlülük.

Verilerini reklam, profilleme amaçlı pazarlama veya üçüncü taraflarla izleme için kullanmayız. Özel nitelikli kişisel veri (sağlık, biyometri vb.) talep etmeyiz; fotoğraflarından biyometrik veri çıkarmayız.

4. Verilerini kimler görür

• Diğer üyeler: seninle ortak dili olmayan üyeler profilinde adını, yaşını, cinsiyetini, ülkeni, dillerini, fotoğraflarını, tanıtımını ve çevrim içi durumunu görebilir. Doğum tarihin ve e-postan gösterilmez.
• Giriş yapmamış kişiler: profilini (çevrim içi durumun hariç) görebilir; bunu tercihlerden kapatabilirsin.
• Sohbet ettiğin kişi: mesajlarını, çevirilerini ve gönderdiğin fotoğrafları görür.
• Moderatörler: şikâyetleri incelerken şikâyet edilen içeriği ve gerektiğinde sohbetteki çevresindeki mesajları görebilir.

5. Hizmet sağlayıcılar ve aktarımlar

Verilerini yalnızca hizmeti sunmak için gereken sağlayıcılarla, gereken ölçüde paylaşırız:

• Sunucu barındırma (Almanya, AB): veritabanımız ve uygulama sunucumuz AB'de, Almanya'daki sunucularda çalışır.
• Cloudflare (R2, AB yetki alanı): profil ve sohbet fotoğrafları AB yetki alanındaki özel bir depolama alanında saklanır ve yalnızca kısa süreli (15 dakika) imzalı bağlantılarla gösterilir.
• Cloudflare (ağ): uygulamanın sunucumuza bağlantısı Cloudflare ağı üzerinden şifreli olarak iletilir; Cloudflare bu sırada IP adresi gibi bağlantı bilgilerini görebilir.
• Microsoft Azure Translator: çeviri izni verdiysen mesajlarının ve tanıtımının metni çeviri için gönderilir. İzni olmayan birinin metni çeviriye gönderilmez.
• Microsoft Azure AI Content Safety: uygunsuz içeriği tespit etmek için ad, tanıtım yazısı, sohbet açılış mesajları ve bazı sohbet mesajları (7 günden yeni hesapların mesajları ve bir sohbetteki ilk 20 mesaj) ile bunların çevirileri, kelime filtrelerinin ardından metin olarak incelenir. Fotoğraflar bu servise gönderilmez.
• Apple: Apple ile Giriş, uygulama içi satın almalar ve anlık bildirimler (APNs). Bildirimler gönderenin adını ve mesaj metnini içerebilir ve Apple üzerinden iletilir; bildirimleri iOS Ayarlar'dan kapatabilirsin. Hesabını sildiğinde Apple ile Giriş yetkilendirmen Apple nezdinde iptal edilir.
• Google: Google ile Giriş.
• RevenueCat: coin satın almalarının doğrulanması ve hesabına işlenmesi. RevenueCat'e Avlu kullanıcı kimliğin ve App Store satın alma bilgileri iletilir.

Fotoğraf moderasyonu kendi sunucumuzda çalışan bir modelle yapılır; fotoğrafların tarama için üçüncü bir tarafa gönderilmez.

Yurt dışına aktarım: Veri sorumlusu Türkiye'de, sunucularımız ve depolama alanımız AB'dedir; yukarıdaki sağlayıcıların bir kısmı AB dışında da veri işleyebilir. Bu nedenle kişisel verilerin yurt dışına aktarılır. Bu aktarımlar KVKK m. 9 ve GDPR'ın V. bölümünde öngörülen güvencelere (ör. standart sözleşmeler) veya gerektiğinde açık rızana dayanılarak yapılır.

Yasal olarak zorunlu olduğunda yetkili kamu kurumlarıyla da veri paylaşabiliriz.

6. Saklama süreleri

• Hesabın açıkken: profilin, fotoğrafların ve sohbetlerin, sen silmedikçe veya hesabını kapatmadıkça saklanır.
• Hesabını sildiğinde: hesabın hemen kapatılır, oturumların sonlanır, bildirim jetonların silinir ve kimse seni artık göremez. 30 gün sonra profil bilgilerin, e-postan, dillerin, tercihlerin, çeviri izni kaydın, profil fotoğrafların ve gönderdiğin sohbet fotoğrafları (dosyalarıyla birlikte), tanıtımların ve gönderdiğin tüm mesajların metni kalıcı olarak silinir; şikâyetlere eklenmiş metin kopyaları ve yazdığın şikâyet notları da silinir. Giriş kimliğin hesabın kaydından kaldırılır.
• Silindikten sonra kalanlar: kimliksizleştirilmiş hesap kaydı (rastgele bir iç kimlik ve tarihler), mali ve hukuki yükümlülükler ile Apple iadelerinin işlenmesi için coin hareketleri, moderasyon geçmişi için şikâyetlerin metinsiz özeti (kim, ne zaman, hangi sebeple, sonuç). Sohbet ettiğin kişilerin sana yazdığı mesajlar onların sohbet geçmişinde kalır; senin mesajların boş görünür.
• Yasaklı kimlikler: askıya alınmış ya da moderatörlerce kapatılmış bir hesap silindiğinde, aynı kişinin yeniden kayıt olmasını engellemek için Apple veya Google kimliğinin geri döndürülemez, gizli anahtarla üretilmiş bir özeti (hash) süresiz saklanır. Bu özetten kimliğin geri elde edilemez.
• Yedekler: veritabanı yedekleri şifrelenir ve 30 gün saklanır. Bu nedenle silinen bir hesabın verileri, silme talebinden sonra en fazla 60 gün boyunca yedeklerde kalabilir.
• Diğer: kaydedilmeyen yüklemeler en geç 1 gün içinde, reddedilen fotoğrafların kaydı 7 gün sonra silinir (reddedilen fotoğraf dosyası hiç saklanmaz); tanıtım çevirisi önbelleği 24 saat, günlük kullanım sayaçları 7 gün tutulur; oturum yenileme jetonları 30 gün geçerlidir. Sunucu kayıtları boyut sınırıyla döndürülür ve kısa süre içinde üzerine yazılır.

7. Hakların

KVKK m. 11 uyarınca; kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini, KVKK m. 7 çerçevesinde silinmesini veya yok edilmesini ve bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhine bir sonuç çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğraman halinde zararın giderilmesini talep etme haklarına sahipsin.

AB'de bulunuyorsan GDPR kapsamında ayrıca erişim, düzeltme, silme, işlemeyi kısıtlama, veri taşınabilirliği, meşru menfaate dayanan işlemeye itiraz ve rızanı istediğin zaman geri alma hakların vardır.

Uygulamada kendin yapabileceklerin: profilini ve fotoğraflarını düzenleyebilir veya silebilir, çeviri iznini geri alabilir (izin kapalıyken tanıtım yazısı yazamaz, yeni sohbet başlatamaz ve mesaj gönderemezsin; mevcut sohbetlerini okumaya devam edersin), giriş yapmamış kişilerden gizlenebilir, kişileri engelleyebilir ve hesabını silebilirsin (Ben → Hesabımı sil).

Başvuru: diğer talepler için hesabına bağlı bilgilerle destek@avlu.live adresine yaz. Kimliğini doğruladıktan sonra en geç 30 gün içinde yanıt veririz. Başvurunun reddedilmesi, yanıtı yetersiz bulman veya süresinde yanıt verilmemesi halinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin. AB'de bulunuyorsan, yaşadığın veya çalıştığın ülkedeki veri koruma denetim makamına da şikâyet hakkın vardır.

8. Güvenlik

Bağlantılar TLS ile şifrelenir. Fotoğraf deposu herkese açık değildir ve yalnızca kısa süreli imzalı bağlantılarla erişilir. Yedekler şifrelenir. Yönetim paneli internete açık değildir, iki aşamalı doğrulama ister ve yapılan her işlem silinemeyen bir denetim kaydına yazılır. Hiçbir sistem kusursuz değildir; bir ihlal durumunda yasal bildirim yükümlülüklerimizi yerine getiririz.

9. Çocuklar

Avlu yalnızca 18 yaş ve üzeri içindir; 18 yaşından küçük doğum tarihiyle kayıt reddedilir. 18 yaşından küçük birinin Avlu kullandığını düşünüyorsan profilini "Reşit değil" sebebiyle şikâyet et veya bize yaz; hesabı kapatırız.

10. Değişiklikler

Bu politikayı güncelleyebiliriz. Güncel sürüm her zaman bu sayfadadır ve "Son güncelleme" tarihi değişir. Önemli değişiklikleri uygulama içinde bildiririz.

11. İletişim

destek@avlu.live (uygulamada Ben → Destek).

Privacy Policy

Last updated: 8 November 2026

The Turkish text above is the primary version and also serves as the information notice under Turkish law (KVKK). If the two versions differ, the Turkish text prevails, except where mandatory law of your country requires otherwise.

1. Data controller

For the purposes of Turkish Law No. 6698 on the Protection of Personal Data ("KVKK") and the EU General Data Protection Regulation ("GDPR"), the data controller is Talha Vural, an individual developer based in Türkiye who provides the Avlu ("Avlu: Ortak Dil Yok") app. Contact: destek@avlu.live.

This policy covers the iOS app and the services provided through api.avlu.live.

2. What we process

Account

• The account identifier from Sign in with Apple or Sign in with Google (the provider and your unique ID there). We never see your password.
• Email address: only if the sign-in provider shares it and marks it as verified (with Apple this may be Apple's private relay address).
• Account creation date, time of last activity and session data.

Profile

• Name, birth date (other people only see your age), gender (woman, man, other), country, the languages you speak and your primary language.
• Your country is a country code determined on your device; we do not collect location coordinates.
• Your intro and, if you bought them, your per-language intros.
• Your preferences: which genders you want to see, age range, and whether to hide from signed-out visitors.
• Your profile photos (up to 6). Every photo is re-encoded on the server; embedded data such as location (EXIF) is removed.

Chats and social features

• The text of messages you send and receive, their machine translations, and chat photos.
• Conversation, friendship and block records; your online status (whether you were active in the last few minutes, shown to members only).
• When you granted and withdrew translation permission.

Safety and moderation

• Reports you file (reason, an optional note of up to 500 characters, a message you attach) and reports about you.
• A copy of text refused by automated filters attached to a report; suspension records and moderation decisions.

Purchases

• Your coin balance and transactions (amount, reason, App Store transaction ID, RevenueCat event ID, date). We never see card or payment details; Apple processes payment.

Device and technical data

• Your Apple Push Notification service (APNs) device token to send notifications, your device language to choose the notification language, and a one-way hash of a random ID unique to your app install.
• IP address: used for rate limiting to prevent abuse (in memory only) and in server access logs. Access logs do not record session tokens or query parameters.

Signed-out visitors

When you browse without signing in, the languages you choose and a random device ID generated by the app are written into an access token valid for 24 hours; we do not store them in our database.

3. Purposes and legal bases

• Providing the Service (account, profile, showing people who share no language with you, chat, friends, notifications, buying and spending coins): performance of a contract (KVKK Art. 5(2)(c); GDPR Art. 6(1)(b)).
• Machine translation (sending messages and intros to Microsoft Azure Translator): your explicit consent (KVKK Art. 5(1); GDPR Art. 6(1)(a)). You can withdraw it; withdrawal does not affect earlier processing.
• Safety and moderation (photo and text scanning, reviewing reports, preventing suspended people from signing up again, preventing abuse and fraud, server logs): our legitimate interest and the safety of users (KVKK Art. 5(2)(f); GDPR Art. 6(1)(f)).
• Purchase records and responding to lawful requests: our legal obligations (KVKK Art. 5(2)(ç); GDPR Art. 6(1)(c)) and the establishment, exercise or defence of legal claims (KVKK Art. 5(2)(e)).
• The 18+ check (birth date): performance of a contract and legal obligation.

We do not use your data for advertising, profiling for marketing, or third-party tracking. We do not ask for special categories of data (health, biometrics, etc.) and we do not extract biometric data from your photos.

4. Who sees your data

• Other members: members who share no language with you can see your name, age, gender, country, languages, photos, intro and online status. Your birth date and email are never shown.
• Signed-out visitors: can see your profile (without your online status); you can turn this off in your preferences.
• The person you chat with: sees your messages, their translations and the photos you send.
• Moderators: when reviewing a report, can see the reported content and, where necessary, the messages around it in that chat.

5. Service providers and transfers

We share your data only with the providers needed to run the Service, and only as far as needed:

• Server hosting (Germany, EU): our database and application server run on servers in the EU (Germany).
• Cloudflare (R2, EU jurisdiction): profile and chat photos are stored in a private storage bucket under EU jurisdiction and are only shown through short-lived (15-minute) signed links.
• Cloudflare (network): the app's connection to our server is carried, encrypted, over Cloudflare's network; Cloudflare can see connection data such as your IP address while doing so.
• Microsoft Azure Translator: if you gave translation permission, the text of your messages and intro is sent for translation. Text of a person without permission is never sent for translation.
• Microsoft Azure AI Content Safety: to detect objectionable content, names, intros, conversation openers and some chat messages (those from accounts younger than 7 days and the first 20 messages of a conversation), together with their translations, are checked as text after our word filters. Photos are not sent to this service.
• Apple: Sign in with Apple, in-app purchases and push notifications (APNs). Notifications can contain the sender's name and the message text and are delivered through Apple; you can turn notifications off in iOS Settings. When you delete your account, your Sign in with Apple authorisation is revoked with Apple.
• Google: Sign in with Google.
• RevenueCat: verifying coin purchases and crediting them to your account. RevenueCat receives your Avlu user ID and App Store purchase data.

Photo moderation is done by a model running on our own server; your photos are not sent to a third party for scanning.

International transfers: the data controller is in Türkiye, while our servers and storage are in the EU, and some of the providers above may also process data outside the EU. Your personal data is therefore transferred abroad. These transfers rely on the safeguards provided for in KVKK Art. 9 and Chapter V of the GDPR (such as standard contractual clauses) or, where required, on your explicit consent.

We may also share data with competent authorities where the law requires it.

6. Retention

• While your account is open: your profile, photos and chats are kept unless you delete them or close your account.
• When you delete your account: your account is closed immediately, your sessions end, your notification tokens are deleted and nobody can see you any more. After 30 days your profile details, email, languages, preferences, translation permission record, profile photos and the chat photos you sent (files included), your intros and the text of every message you sent are permanently erased; copies of text attached to reports and the notes you wrote on reports are erased too. Your sign-in identifier is removed from your account record.
• What remains after deletion: an anonymised account record (a random internal ID and dates), coin transactions for financial and legal obligations and to process Apple refunds, and a text-free summary of reports for moderation history (who, when, which reason, outcome). Messages other people sent you stay in their chat history; your messages appear empty.
• Banned identities: when an account that was suspended or closed by our moderators is deleted, an irreversible, keyed hash of its Apple or Google identity is kept indefinitely to stop the same person from signing up again. Your identity cannot be recovered from this hash.
• Backups: database backups are encrypted and kept for 30 days. Data of a deleted account can therefore remain in backups for up to 60 days after the deletion request.
• Other: uploads that are never registered are deleted within 1 day, records of rejected photos after 7 days (the rejected file itself is never stored); the intro translation cache is kept for 24 hours and daily usage counters for 7 days; session refresh tokens are valid for 30 days. Server logs are rotated by size and overwritten within a short time.

7. Your rights

Under KVKK Art. 11 you have the right to learn whether your personal data is processed, to request information about it, to learn the purpose of processing and whether it is used accordingly, to know the third parties in Türkiye or abroad to whom it is transferred, to request correction of incomplete or inaccurate data, to request erasure or destruction under KVKK Art. 7 and notification of these actions to the third parties it was transferred to, to object to a result against you arising solely from automated analysis, and to claim compensation for damage caused by unlawful processing.

If you are in the EU, under the GDPR you also have the rights of access, rectification, erasure, restriction of processing, data portability, objection to processing based on legitimate interest, and to withdraw your consent at any time.

What you can do yourself in the app: edit or delete your profile and photos, withdraw translation permission (while it is off you can't write an intro, start new chats or send messages; you can still read your existing chats), hide from signed-out visitors, block people, and delete your account (Me → Delete my account).

Requests: for anything else, write to destek@avlu.live with details linked to your account. After verifying your identity we reply within 30 days at the latest. If your request is refused, you find the answer insufficient, or we do not reply in time, you can complain to the Turkish Personal Data Protection Board (KVKK Kurulu). If you are in the EU, you also have the right to complain to the data protection supervisory authority of the country where you live or work.

8. Security

Connections are encrypted with TLS. The photo storage is not public and is only accessed through short-lived signed links. Backups are encrypted. The admin panel is not exposed to the internet, requires two-factor authentication, and every action is written to an audit log that cannot be deleted. No system is perfect; in the event of a breach we will meet our legal notification duties.

9. Children

Avlu is only for people aged 18 and over; sign-up with a birth date under 18 is refused. If you think someone under 18 is using Avlu, report their profile with the reason "Under 18" or write to us; we will close the account.

10. Changes

We may update this policy. The current version is always on this page and the "Last updated" date changes. We will announce material changes in the app.

11. Contact

destek@avlu.live (in the app: Me → Support).