KVKK Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında hazırlanmıştır.

Son güncelleme: 30 Mayıs 2026 · Sürüm: 1.0

1. Giriş ve Yürürlük Tarihi

İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ile ikincil mevzuat hükümleri uyarınca, Masalım uygulamasının ("Uygulama") veri sorumlusu sıfatıyla Dasyatis Studio ("Şirket", "biz") tarafından, uygulama kullanıcılarının ("siz", "kullanıcı") kişisel verilerinin işlenme süreçleri hakkında aydınlatma yapmak amacıyla hazırlanmıştır.

Bu metin; Masalım iOS uygulaması (Bundle ID: studio.dasyatis.masalim), Masalım web sitesi ve buna bağlı tüm hizmetleri kapsar. Yürürlük tarihi 30 Mayıs 2026'dır. Bu Aydınlatma Metni güncellendiğinde uygulama içinde ve bu sayfada açıkça duyurulur.

KVKK'nın amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir (KVKK m.1). Şirket olarak bu çerçevede şeffaflık ilkesi gereğince tüm süreçlerimizi açıklıyoruz.

2. Veri Sorumlusu

KVKK'nın 3/1-ı maddesi uyarınca veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade eder.

KVKK m.10 (Veri Sorumlusunun Aydınlatma Yükümlülüğü) kapsamında, kişisel verilerinizi hangi amaçlarla ve hukuki sebeplerle işlediğimizi, kimlere ve hangi amaçla aktarabileceğimizi ve veri sahibi olarak haklarınızı bu metin ile size bildiririz.

3. VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) Bilgisi

KVKK m.16 uyarınca kişisel verileri işleyen gerçek ve tüzel kişilerin, veri işlemeye başlamadan önce Veri Sorumluları Sicili ("VERBİS") sistemine kaydolması gerekebilir. Kişisel Verileri Koruma Kurulu, çalışan sayısı ve yıllık mali bilanço eşiklerine göre kayıt yükümlülüğüne istisna kararları yayımlamıştır.

Dasyatis Studio, mevcut faaliyet ölçeği ve istisna kriterleri açısından VERBİS kayıt yükümlülüğünü değerlendirmektedir. Yükümlülüğün doğması ve gerekli görülmesi halinde VERBİS kaydı tamamlanacak ve bu Aydınlatma Metni ile birlikte sicil bilgisi kamuya açıklanacaktır. Bu süreçte de KVKK kapsamındaki tüm temel yükümlülükler (aydınlatma, açık rıza, veri güvenliği, hak başvurularına cevap vb.) eksiksiz uygulanmaya devam etmektedir.

4. İşlenen Kişisel Veri Kategorileri

Aşağıdaki tablo, uygulamamızın amacına uygun olarak işleyebileceği kişisel veri kategorilerini, örnek veri tiplerini ve KVKK açısından özel statüsünü göstermektedir. Tablo, Kişisel Verileri Koruma Kurumu'nun veri kategorileri rehberi ile uyumludur.

Yukarıdaki kategoriler, KVKK'nın "hukuka uygun olarak elde edilmiş, belirli, açık ve meşru amaçlar için" işleme ilkesine (KVKK m.4) bağlı kalınarak toplanır; amaç dışı ek veri toplanmaz.

5. Kişisel Verilerin Toplama Yöntemi

Kişisel verileriniz aşağıdaki yöntemlerle, kısmen otomatik veya tamamen otomatik yollarla toplanmaktadır:

• Uygulama içi form ve etkileşim: Hesap oluşturma, çocuk profili kurulumu, abonelik tercihi, rıza akışı, ayarlar ve destek talepleri sırasında doğrudan sizden alınan bilgiler.
• Sosyal kimlik sağlayıcılar: Apple Sign-In veya Google Sign-In üzerinden tarafımıza iletilen anonimleştirilmiş kimlik tanımlayıcısı ve (paylaşmayı seçtiyseniz) e-posta adresiniz.
• Otomatik teknik veriler:Uygulamayı kullandığınızda cihazınız ve sunucularımız arasındaki teknik iletişim sırasında elde edilen cihaz UUID'si, push token'ı, IP adresinin SHA-256 karşılığı ve ülke kodu.
• Kullanıcı kaydı (voice clone): Voice clone hizmetini kullanmayı seçmeniz halinde, uygulama içi kayıt akışı sırasında açık rızanızla aldığımız ses kaydı.
• Üçüncü taraf SDK'lar:Apple, Google ve RevenueCat gibi sağlayıcıların SDK'ları, kendi belirtilen amaçları için (kimlik doğrulama, satın alma, push iletimi) teknik verileri işler.

6. Kişisel Veri İşleme Amaçları ve Hukuki Sebepleri

Kişisel verileriniz KVKK m.5/2 ve m.6/2'de sayılan hukuki sebeplere dayanarak işlenir. Aşağıda her bir amaç ve dayandığı hukuki sebep açıkça belirtilmiştir.

6.1. Sözleşmenin Kurulması ve İfası (KVKK m.5/2-c)

• Hesabınızın oluşturulması ve yönetilmesi
• Abonelik paketinin etkinleştirilmesi ve ödeme bilgilerinin RevenueCat üzerinden takibi
• Çocuk profiline uygun masal üretimi ve seslendirmesi
• Kitaplığınızın cihazlar arası senkronizasyonu

6.2. Açık Rıza (KVKK m.5/1, m.6/2 ve m.9/1)

• Voice clone hizmeti için ses biyometrisi işleme
• Voice clone verilerinin yurt dışındaki sunuculara aktarılması
• Pazarlama amaçlı e-posta iletişimi (varsayılan kapalı)
• Hizmet iyileştirme amaçlı davranışsal analitik (varsayılan kapalı)

6.3. Meşru Menfaat (KVKK m.5/2-f)

• Hizmet güvenliğinin sağlanması, sahtekarlık ve istismar önleme
• Hata ayıklama ve teknik kalite iyileştirme (PII temizlenmiş loglar)
• Hukuki taleplerin tesisi, kullanılması veya korunması

6.4. Hukuki Yükümlülük (KVKK m.5/2-ç)

• Rıza kayıtlarının ispat amaçlı 10 yıl arşivlenmesi (KVKK m.7 ve Veri Sorumlusunun Aydınlatma Yükümlülüğü Tebliği)
• Yetkili kamu kurum/kuruluşlarının taleplerine yanıt verilmesi
• Vergi, ticaret ve diğer mevzuattan kaynaklanan saklama yükümlülükleri

7. Açık Rıza Gerektiren İşlemler

KVKK m.6/2 uyarınca sağlık ve cinsel hayata ilişkin veriler dışında kalan özel nitelikli kişisel veriler (ses dahil biyometrik veriler) ilgili kişinin açık rızası olmaksızın işlenemez. Benzer şekilde m.9/1 uyarınca kişisel verilerin yurt dışına aktarılması da kural olarak açık rıza gerektirir.

Bu nedenle Masalım, aşağıdaki işlemler için ayrı ayrı, granular onay sistemi kullanır. Uygulama içinde Profil > Gizlilik ekranından her bir rıza kalemini bağımsız olarak açıp kapatabilir, geri çekme tarih ve saatiyle birlikteconsent_records tablosunda kayıt altına alabilirsiniz.

1. Voice clone — ses biyometrisi işleme: 60+ saniyelik referans kaydınızdan voice model üretilmesi, hikayelerin sizin sesinizle seslendirilmesi.
2. Voice clone — yurt dışı aktarım:Ses kaydınızın RunPod (Frankfurt / ABD) GPU altyapısına gönderilerek voice model üretilmesi, üretilen modelin AWS Frankfurt'ta saklanması.
3. Pazarlama iletişimi: Ürün güncellemeleri ve yeni özellikler hakkında e-posta gönderimi (varsayılan kapalı).
4. Davranışsal analitik: Ürün performans ve kullanıcı deneyimi iyileştirme için anonim olay verisi (varsayılan kapalı).

Açık rıza, geleceğe yönelik olarak istediğiniz zaman uygulama içinden veya e-posta ile geri çekilebilir. Geri çekme, geri çekme tarihinden önceki işlemelerin hukuka uygunluğunu etkilemez (KVKK m.5/1 son cümle).

8. Kişisel Verilerin Aktarılması

8.1. Yurt İçi Aktarım (KVKK m.8)

Şirket, kişisel verilerinizi yurt içindeki herhangi bir üçüncü kişiye aktarmamaktadır. Tüm altyapı bileşenlerimiz yurt dışında (ağırlıklı olarak Frankfurt) bulunmaktadır; dolayısıyla yurt içi aktarım gerçekleşmemektedir.

8.2. Yurt Dışı Aktarım (KVKK m.9)

Hizmetin doğası gereği bazı verileriniz aşağıdaki üçüncü taraf işleyicilere ve bulunduğu ülkelere aktarılmaktadır. Bu aktarımların hukuki dayanağı; sözleşmenin ifası, açık rıza ve meşru menfaat dengesinin korunmasıdır.

Yeterli koruma kararı durumu:KVKK m.9/2 uyarınca yurt dışına veri aktarımı, ilgili ülkenin Kurul tarafından ilan edilmiş yeterli korumaya sahip ülkeler arasında bulunması veya bulunmuyorsa ilgili kişinin açık rızasının alınması ya da yazılı taahhütname / Standart Sözleşme gibi mekanizmaların kullanılması ile mümkündür. Kurul, bu Aydınlatma Metni'nin yayımı tarihinde ABD ve Almanya dahil herhangi bir ülke için yeterli koruma kararı ilan etmemiştir. Bu nedenle yurt dışı aktarımlar, başta açık rızanız ve sözleşmenin ifası olmak üzere KVKK m.9 çerçevesindeki diğer dayanaklara istinaden gerçekleştirilmektedir; işleyicilerle aramızda KVKK uyumlu veri işleme sözleşmeleri (Data Processing Agreement) mevcuttur.

9. Saklama Süreleri

KVKK m.7 uyarınca işlenmesini gerektiren sebepler ortadan kalktığında kişisel veriler resen veya talebiniz üzerine silinir, yok edilir veya anonim hale getirilir. Şirketimizin Kişisel Veri Saklama ve İmha Politikası kapsamında her kategori için belirlenen azami saklama süreleri aşağıdadır.

Saklama süresi sonunda kişisel veriler, "Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik"te belirtilen yöntemlerden uygun olanı ile imha edilir.

10. Veri Güvenliği Tedbirleri (KVKK m.12)

KVKK m.12 uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. Aldığımız başlıca tedbirler:

10.1. Teknik Tedbirler

• Tüm uygulama iletişimi TLS 1.3 ile uçtan uca şifrelenmiştir.
• S3 depolama AWS KMS Server-Side Encryption (SSE-KMS) ile şifrelenir.
• Şifreler bcrypt cost 12 ile hash'lenir; düz metin parola hiçbir yerde saklanmaz.
• JWT version revocation mekanizması ile şüpheli oturumlar tek tıkla iptal edilebilir.
• IP adresleri ham olarak saklanmaz; SHA-256 hash karşılığı kullanılır.
• Voice clone referans ses kaydı 24 saatlik S3 lifecycle ile otomatik silinir.
• Log'larda PII scrubbing aktiftir; ad, e-posta ve telefon numarası hiçbir log satırına yazılmaz; UUID'ler maskelenir.
• Rol bazlı erişim kontrolü (RBAC) ve en az yetki ilkesi uygulanır.
• Periyodik güvenlik gözden geçirmesi ve bağımlılık tarama yapılır.

10.2. İdari Tedbirler

• Kişisel veriye erişen tüm personel KVKK eğitimi alır ve gizlilik taahhütnamesi imzalar.
• İşleyicilerle KVKK uyumlu veri işleme sözleşmeleri akdedilir.
• Kişisel Veri Saklama ve İmha Politikası, Veri İhlali Müdahale Prosedürü ve Aydınlatma Yükümlülüğü Politikası yazılı olarak hazırlanmıştır.
• Olası bir veri ihlali durumunda KVKK Kurulu'na 72 saat içinde bildirimi yapacak süreç (Kişisel Veri İhlal Bildirim Sistemi) kurulmuştur.

11. Veri Sahibinin Hakları (KVKK m.11)

KVKK m.11 kapsamında, veri sahibi olarak kişisel verileriniz üzerindeki haklarınız aşağıdaki tabloda açıklanmıştır. Her bir hak, uygulama içi Profil > Hesabım menüsü ya da info@dasyatisstudio.com adresine başvurularak kullanılabilir.

12. Başvuru Yöntemi

KVKK m.13 ve "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ" uyarınca başvurularınızı aşağıdaki yöntemlerden biri ile iletebilirsiniz:

• E-posta: info@dasyatisstudio.com adresine, sisteminizde önceden kayıtlı e-posta hesabınızdan.
• KEP: Tarafımızdan size bildirilecek kayıtlı elektronik posta adresine.
• Yazılı posta: Talebiniz üzerine size bildirilen fiziki adrese ıslak imzalı dilekçe ile.

Başvurunuzda Tebliğ'in 5. maddesi gereği aşağıdaki bilgilerin yer alması zorunludur:

1. Ad, soyad ve başvuru yazılı ise imza
2. Türkiye Cumhuriyeti vatandaşları için TC kimlik numarası, yabancılar için uyruk, pasaport numarası veya kimlik numarası
3. Tebligata esas yerleşim yeri veya iş yeri adresi
4. Bildirime esas elektronik posta adresi, telefon ve faks numarası
5. Talep konusu

Başvurularınız, niteliğine göre talebin tarafımıza ulaştığı tarihten itibaren en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi halinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifeye göre ücret talep edilebilir.

Başvurunuzun reddedilmesi, verilen cevabı yetersiz bulmanız veya süresinde başvuruya cevap verilmemesi hallerinde; cevabımızı öğrendiğiniz tarihten itibaren 30 gün ve her halükarda başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikayette bulunma hakkına sahipsiniz (KVKK m.14).

13. Çocukların Kişisel Verileri

Masalım, ebeveynler tarafından çocuklarıyla birlikte kullanım için tasarlanmıştır. Uygulamada hesap oluşturma yetkisi yalnızca 18 yaşını doldurmuş ebeveynler veya yasal vasilere aittir. Çocuk profili oluşturma, profil verilerinin doğruluğu, çocuğun ad tercihi ve uygulamayı çocuğun kullanım şekli ebeveynin sorumluluğundadır.

KVKK çocukların verileri konusunda özel bir madde içermemekle birlikte, Kişisel Verileri Koruma Kurulu'nun yayımladığı rehberlerde ve uluslararası uygulamalarda (GDPR m.8: 16 yaş altı için ebeveyn rızası; COPPA: 13 yaş altı için ebeveyn rızası) çocuk verilerinin işlenmesinde ebeveyn rızasının alınması esastır.

Bu doğrultuda Masalım:

• Çocuk profillerinde gerçek ad yerine takma ad kullanımını teşvik eder; ad alanı isteğe bağlıdır.
• Çocuk profili yaş aralığı (2-4 / 5-7 / 8-10) sadece içerik uygunluğu için kullanılır; tam doğum tarihi alınmaz.
• Çocuk hesabı bağımsız olarak oluşturulamaz; tüm profiller ebeveyn hesabı altında yönetilir.
• Çocuğa yönelik davranışsal reklam veya üçüncü taraf pazarlama yapılmaz.
• Çocuk profili silindiğinde ilgili tüm üretilmiş hikaye ve ses içeriği de silme akışına dahil edilir.

14. Çerezler ve Takip Teknolojileri

Masalım web sitesi yalnızca işlevsel amaçla minimum düzeyde çerez kullanır. Kullanılan başlıca çerez:

• NEXT_LOCALE: Seçtiğiniz dil tercihinin oturumlar arası hatırlanması için kullanılır. Herhangi bir kişisel veri içermez.

Web sitemizde davranışsal analitik, üçüncü taraf reklam piksel kodu (Meta Pixel, Google Ads vb.) veya kullanıcı izleyen herhangi bir tag manager kullanılmamaktadır. iOS uygulamamız içerisinde de varsayılan olarak davranışsal analitik kapalıdır; yalnızca açık rızanızla etkinleşir.

15. Aydınlatma Metni'ndeki Değişiklikler

Şirket, gerekli gördüğünde işbu Aydınlatma Metni'ni güncelleyebilir. Güncellemeler, bu sayfanın üst kısmında belirtilen "Son güncelleme" tarihinin değiştirilmesiyle ilan edilir. Veri işleme süreçlerinde sizin için olumsuz sonuç doğurabilecek önemli değişiklikler en az 30 gün önceden uygulama içi bildirim ve/veya e-posta ile ayrıca duyurulur ve gerekiyorsa yeniden açık rıza alınır.

Aydınlatma Metni'nin geçmiş sürümlerine erişim talebiniz varsa, info@dasyatisstudio.com adresinden bizimle iletişime geçebilirsiniz.

16. İletişim ve Şikayet Mercileri

KVKK ve bu Aydınlatma Metni'ne ilişkin her türlü soru, başvuru ve şikayet için öncelikle bizimle iletişime geçmenizi rica ederiz.

Başvurunuza verilen cevabı yetersiz bulmanız veya 30 gün içinde cevap verilmemesi durumunda, KVKK m.14 kapsamında Kişisel Verileri Koruma Kurulu'na şikayette bulunma hakkınız saklıdır:

Bu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ile ikincil mevzuat çerçevesinde hazırlanmış olup, kullanıcının uygulamayı kullanmaya başlamasıyla okunmuş ve anlaşılmış sayılır. Açık rıza gerektiren işlemler için ayrıca uygulama içi onay alınır.