Gizlilik Politikası

Son güncelleme: 22 Ekim 2026

Helovea'yı kullandığında bize bazı bilgilerini emanet ediyorsun. Bu metin, Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) kapsamındaki aydınlatma metnimizdir: hangi bilgileri topladığımızı, neden ve hangi hukuki sebeple işlediğimizi, kimlere gönderdiğimizi ve haklarını olabildiğince sade bir dille anlatır.

Kısaca özet

• Verilerini satmayız, kimseyle pazarlama amacıyla paylaşmayız.
• Uygulamada reklam ve üçüncü taraf izleme (tracker/analitik) yoktur.
• Sağlıkla ilgili bilgilerin (sindirim/IBS cevabı, alerjiler ve semptom kayıtları) yalnız senin ayrıca vereceğin açık rızayla işlenir. Helovea'nın temel özellikleri bu bilgiler olmadan çalışmadığı için rıza vermeden uygulama kullanılamaz; rızanı istediğin an hesabını silerek geri alabilirsin.
• Yapay zekâ özellikleri yalnız sen ayrıca onay verirsen çalışır.
• Hesabını uygulama içinden kendin, kalıcı olarak silebilirsin (kimseye yazmana gerek yok).

Veri sorumlusu

Verilerinden sorumlu kişi (veri sorumlusu): Yusuf Can Erdoğan.

Her türlü soru ve başvuru için: destek@helovea.app. Başvurunu uygulamaya kayıtlı e-posta adresinden gönderirsen kimliğini ayrıca doğrulamamız gerekmez.

Hangi bilgileri topluyoruz, neden ve hangi hukuki sebeple?

Bilgilerin, uygulamayı kullanırken senin girdiklerinden ve uygulamanın çalışması için otomatik olarak oluşan kayıtlardan (örneğin kayıt tarihi) elde edilir. Hiçbirini başka kaynaklardan satın almaz ya da toplamayız.

• Hesap bilgileri: e-posta adresin ve adın. Apple ya da Google ile giriş yaparsan bu sağlayıcıdan yalnız temel kimlik bilgisi alırız. Amaç: hesabını açmak, oturumunu yönetmek, hesap e-postalarını (onay, şifre sıfırlama) göndermek. Hukuki sebep: seninle yaptığımız kullanım sözleşmesinin kurulması ve yerine getirilmesi (KVKK md. 5/2-c; GDPR md. 6/1-b).
• Profil bilgileri: yaş, cinsiyet, boy, kilo, hedef kilo, aktivite düzeyi, diyet tercihi, yeme tarzı, öğün düzeni ve hedef tempon. Amaç: kalori hedefini hesaplamak, sana uygun plan ve öneriler üretmek. Hukuki sebep: kullanım sözleşmesinin yerine getirilmesi.
• Günlük kayıtların: öğün, su ve tartım kayıtların; kaydettiğin ya da atladığın tarifler, kendi tariflerin, plan tercihlerin ve VeaCoin bakiyen. Amaç: günlüğünü tutmak, günlük skorunu hesaplamak, planını ve önerilerini kişiselleştirmek, ödülleri hesaplamak. Hukuki sebep: kullanım sözleşmesinin yerine getirilmesi.
• Sağlıkla ilgili bilgilerin (özel nitelikli kişisel veri): tanışmada verdiğin sindirim/IBS cevabı, alerjilerin ve sindirim takibini açarsan öğünlerine girdiğin semptom kayıtların. Amaç: alerjen içeren tarifleri planından çıkarmak, sindirim dostu (düşük FODMAP) filtreyi uygulamak ve kayıtlarından kişisel tetikleyici örüntülerini göstermek. Hukuki sebep: yalnız senin ayrıca vereceğin açık rıza (KVKK md. 6/3-a; GDPR md. 9/2-a). Helovea her planı ve tarifi alerjen güvenliği ve sindirim uyumu açısından süzer; bu süzgeci kurabilmek için alerjin olup olmadığını ve sindirim durumunu sormak zorundayız. Bu yüzden girişten sonra ayrı bir ekranda rızanı isteriz ve rıza vermeden uygulama kullanılamaz. Zorunlu olan soru, cevap değil: "kısıtlamam yok" ya da "sindirim sorunum yok" da geçerli cevaplardır ve ek bir veri girmeni gerektirmez.
• Bildirim izni: hatırlatıcı istersen telefonunun bildirim iznini kullanırız. Hukuki sebep: senin izin vermen; telefon ayarlarından her an kapatabilirsin.
• Toplamadıklarımız: konum bilgisi, rehber, reklam kimliği, cihaz parmak izi. Uygulamada analitik, çerez ya da izleme aracı yoktur.

Verilerin nerede saklanıyor?

Verilerin, altyapı sağlayıcımız Supabase'in Avustralya'daki (Sydney) sunucularında saklanır ve şifreli bağlantıyla (HTTPS) taşınır. Oturum anahtarın cihazında işletim sisteminin güvenli deposunda (iOS Keychain / Android Keystore) tutulur. Sağlık verileri veri tabanında yalnız senin hesabının erişebildiği satırlarda tutulur (satır düzeyinde erişim kuralı).

Kimlerle paylaşılıyor ve yurt dışına aktarılıyor mu?

Verilerini satmayız ve pazarlama amacıyla kimseyle paylaşmayız. Yalnız aşağıdaki hizmet sağlayıcılar, bizim adımıza ve bizim talimatımızla verilerini işler. Hepsi Türkiye ve Avrupa Birliği dışındadır. Her biriyle, verilerini korumalarını ve yalnız bizim talimatımızla işlemelerini zorunlu kılan veri işleme sözleşmeleri yaptık; Avrupa Birliği'nde yaşıyorsan bu sözleşmeler AB standart sözleşme maddelerini de içerir.

• Supabase (sunucular Avustralya'da): tüm hesap, profil, günlük ve sağlık verilerinin saklanması ve uygulamanın çalışması.
• Anthropic (ABD): yalnız AI Koç'u ya da fotoğrafla eklemeyi kullanırsan ve yalnız ayrıca onay verirsen; ayrıntısı aşağıda.
• Resend (ABD): hesap e-postalarının (kayıt onayı, şifre sıfırlama) gönderilmesi; Resend'e yalnız e-posta adresin ve e-postanın kendisi (içindeki onay ya da sıfırlama bağlantısı) iletilir.
• Apple ve Google: yalnız onlarla giriş yapmayı seçersen, giriş işlemi için.
• Yasal bir zorunluluk olursa (mahkeme kararı gibi) yalnız gerekli olan kadarını yetkili makamlarla paylaşmak zorunda kalabiliriz (hukuki sebep: kanunlarda açıkça öngörülmesi — KVKK md. 5/2-a; GDPR md. 6/1-c).

Yapay zekâ özellikleri

AI Koç (Vea) yanıtlarını yapay zekâ ile üretir. AI Koç'u ilk kullandığında senden ayrıca onay isteriz; onay vermezsen hiçbir veri gönderilmez.

• Gönderilenler: yazdığın mesaj ve sohbetin son mesajları; bulunduğun yerin saati ve tarihi; profil özetin (hedef, diyet, yeme tarzı, kalori hedefi, yaş, cinsiyet, boy, aktivite düzeyi, başlangıç ve hedef kilo, tempo, alerjiler, sindirim takibinin açık olup olmadığı ve açıksa tanışmadaki sindirim/IBS cevabın); bugün ve önceki 7 günde kaydettiğin öğünlerin adları, kalorileri ve protein, karbonhidrat, yağ değerleri; içtiğin su; son tartımların; sindirim takibi açıksa belirti bildirdiğin öğünler ve kayıtlarından öğrenilen kişisel FODMAP grupları.
• Gönderilmeyenler: adın, e-posta adresin ve hesap bilgilerin.
• Sağlayıcı: Anthropic (Claude), ABD. Gönderilenler yalnız yanıt üretmek için işlenir; Anthropic kendi beyanına göre bunları en geç 30 gün içinde sistemlerinden siler ve ticari API koşulları gereği modellerini eğitmek için kullanmaz.
• Sohbetlerin bizim sunucularımızda saklanmaz; uygulamayı kapattığında sohbet ekrandan silinir.
• Yapay zekâ hata yapabilir. Vea'nın yanıtları genel bilgilendirme amaçlıdır, tıbbi tavsiye değildir.

Fotoğrafla ekleme (yemek fotoğrafı ve paket etiketi) de yapay zekâ kullanır. İlk kullanımda ayrıca onay isteriz; onay vermezsen fotoğraf gönderilmez.

• Gönderilenler: çektiğin ya da seçtiğin tek fotoğraf, uygulama dilin, yazdıysan fotoğrafla ilgili kısa notun ve uygulamadaki genel besin adları listesi.
• Gönderilmeyenler: adın, e-posta adresin, profilin ve galerindeki diğer fotoğraflar.
• Fotoğraf yalnız o tek inceleme için işlenir; bizim sunucularımızda saklanmaz, Anthropic de kendi beyanına göre en geç 30 gün içinde siler. Günlüğüne yalnız senin onayladığın besin kaydı eklenir.
• Kamera ve fotoğraf erişimi yalnız sen fotoğraf çekerken ya da seçerken kullanılır. Fotoğrafta yüz ya da kişisel bilgi olmamasına dikkat etmeni öneririz.
• Fotoğraftan çıkan miktarlar tahmindir ve yanılabilir; eklemeden önce kontrol etmen gerekir.

Otomatik analizler

Uygulama bazı sonuçları kayıtlarından otomatik hesaplar: günlük skorun, plan önerilerin ve (sindirim takibi açıksa) öğün ve semptom kayıtlarından çıkan kişisel tetikleyici örüntüleri. Bunlar yalnız sana bilgi vermek için hesaplanan tahminlerdir; teşhis değildir ve senin hakkında hukuki ya da benzeri önemli bir sonuç doğuran hiçbir otomatik karar alınmaz. Her sonucun nasıl hesaplandığını uygulama içinde görebilir, katılmadığın bir sonuca bize yazarak itiraz edebilirsin.

Verilerin ne kadar saklanır?

• Hesabın açık olduğu sürece saklanır.
• Hesabını sildiğinde tüm verilerin (profil, öğün/semptom/tartım kayıtları, tarifler, VeaCoin) kalıcı olarak ve geri alınamaz şekilde silinir. Silme işlemini Profil → Hesap → Hesabımı Sil adımından kendin yapabilirsin.
• Tek istisna: verdiğin ve geri aldığın onayların kaydı (hangi metne, hangi tarihte) yasal ispat yükümlülüğümüz için, hesabın silindikten sonra kimliğinle eşleştirilemeyecek biçimde (ad ve e-posta olmadan) en çok 5 yıl saklanır (hukuki sebep: bir hakkın tesisi ve korunması — KVKK md. 5/2-e; GDPR md. 17/3-e).
• Sindirim takibini kapatırsan yeni semptom kaydı tutulmaz ve eski kayıtlar kullanılmaz; istersen o anda geçmiş kayıtlarını da sildirebilirsin.

Hakların

KVKK md. 11 ve GDPR kapsamında şu haklara sahipsin:

• Verilerinin işlenip işlenmediğini öğrenme ve işlenmişse bilgi isteme.
• İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde ve yurt dışında aktarıldığı üçüncü kişileri bilme.
• Eksik ya da yanlış işlenmişse düzeltilmesini isteme.
• Silinmesini ya da yok edilmesini isteme; işlenmesinin kısıtlanmasını isteme.
• Düzeltme ve silme işlemlerinin, verilerinin aktarıldığı üçüncü kişilere de bildirilmesini isteme.
• Verilerini yapılandırılmış, yaygın kullanılan bir biçimde alma (taşınabilirlik).
• Yalnız otomatik sistemlerle yapılan bir analizin aleyhine bir sonuç doğurmasına itiraz etme.
• Açık rızana dayanan işlemelerde rızanı her zaman geri alma (geri alma, o ana kadar yapılan işlemeyi etkilemez).
• Kanuna aykırı işleme nedeniyle zarara uğrarsan zararının giderilmesini isteme.

Bu hakların için destek@helovea.app adresine yazman yeterli; başvurunu en geç 30 gün içinde yanıtlarız. Ayrıca Kişisel Verileri Koruma Kurulu'na (kvkk.gov.tr) ya da, Avrupa Birliği'nde yaşıyorsan, bulunduğun ülkenin veri koruma otoritesine şikâyette bulunma hakkın vardır.

Rızanı nasıl geri alırsın?

• Sağlık verileri: rızan uygulamayı kullanmanın koşulu olduğu için geri alma yolu hesabını silmektir (Profil → Hesap → Hesabımı Sil; tüm verilerin silinir). Hesabını silmeden de semptom kaydını Profil → Sindirim takibi anahtarıyla durdurabilir (geçmiş kayıtlarını silebilirsin) ve alerjilerini Profil → Alerjiler bölümünden kaldırabilirsin.
• Yapay zekâ: Profil → Hesap → "Yapay zekâ onaylarını geri al" ile iki dokunuşta; o özellikleri kullanmadığın sürece zaten hiçbir veri gönderilmez.
• Bildirimler: telefonunun ayarlarından ya da Profil → Bildirimler bölümünden.

Çocukların gizliliği

Helovea 16 yaşın altındaki çocuklara yönelik değildir ve onlardan bilerek veri toplamayız. 16 yaşından küçük birinin verisini topladığımızı fark edersek sileriz.

Değişiklikler

Bu metni güncellersek, yeni sürümü uygulama içinde ve legal.helovea.app adresinde yayımlar, tarihini güncelleriz. Sağlık verilerinin işlenmesini etkileyen bir değişiklikte senden yeniden rıza isteriz; diğer önemli değişikliklerde ayrıca bilgilendirme yaparız.

Privacy Policy

Last updated: October 22, 2026

When you use Helovea, you trust us with some of your information. This is our privacy notice under the EU General Data Protection Regulation (GDPR) and Türkiye's Personal Data Protection Law (KVKK): it explains what we collect, why and on which legal basis we process it, who we send it to, and what your rights are — in plain language.

In short

• We never sell your data or share it for marketing.
• The app contains no ads and no third-party trackers or analytics.
• Your health-related information (digestion/IBS answer, allergies and symptom logs) is processed only with your separate explicit consent. Because Helovea's core features cannot work without this information, the app cannot be used without that consent; you can withdraw it at any time by deleting your account.
• AI features only run if you separately agree to them.
• You can permanently delete your account yourself, inside the app — no need to contact anyone.

Data controller

The person responsible for your data (data controller): Yusuf Can Erdoğan.

For any question or request: support@helovea.app. If you write from the email address registered to your account, we will not need to verify your identity separately.

What we collect, why, and on which legal basis

Your information comes from what you enter in the app and from records the app creates automatically in order to work (such as your sign-up date). We never buy or collect it from other sources.

• Account details: your email address and name. If you sign in with Apple or Google, we only receive basic identity information from that provider. Purpose: creating your account, managing your session, sending account emails (confirmation, password reset). Legal basis: performance of our user agreement with you (GDPR Art. 6(1)(b); KVKK Art. 5/2-c).
• Profile details: age, gender, height, weight, target weight, activity level, diet preference, eating style, meal pattern and goal pace. Purpose: calculating your calorie target and building plans and suggestions that fit you. Legal basis: performance of the user agreement.
• Your daily logs: meal, water and weigh-in logs; recipes you save or skip, your own recipes, plan preferences and your VeaCoin balance. Purpose: keeping your diary, calculating your daily score, personalizing your plan and suggestions, calculating rewards. Legal basis: performance of the user agreement.
• Health-related information (special category data): your digestion/IBS answer during onboarding, your allergies and, if you enable digestion tracking, the symptom entries you add to meals. Purpose: removing recipes containing your allergens from your plan, applying the digestion-friendly (low FODMAP) filter and showing you personal trigger patterns from your logs. Legal basis: only your separate explicit consent (GDPR Art. 9(2)(a); KVKK Art. 6/3-a). Helovea screens every plan and recipe for allergen safety and digestion fit; to build that filter we have to ask whether you have allergies and how your digestion is. That is why we ask for your consent on a separate screen after sign-in, and the app cannot be used without it. It is the question that is required, not the answer: "no restrictions" or "no digestion issues" are valid answers too and require no further data.
• Notification permission: if you want reminders, we use your phone's notification permission. Legal basis: your permission, which you can revoke at any time in your phone settings.
• What we do NOT collect: location, contacts, advertising identifiers, device fingerprints. There are no analytics, cookies or tracking tools in the app.

Where your data is stored

Your data is stored on the servers of our infrastructure provider, Supabase, in Australia (Sydney), and travels over encrypted connections (HTTPS). Your session key is kept in your device's secure storage (iOS Keychain / Android Keystore). Health data is kept in database rows that only your own account can access (row-level access rules).

Who we share it with, and international transfers

We never sell your data or share it for marketing. Only the service providers below process your data, on our behalf and under our instructions. All of them are located outside Türkiye and the EU. With each of them we have data processing agreements that oblige them to protect your data and to process it only on our instructions; if you live in the EU, these agreements also include the EU Standard Contractual Clauses.

• Supabase (servers in Australia): storage of all account, profile, log and health data, and running the app.
• Anthropic (USA): only if you use the AI Coach or add food by photo, and only after your separate consent; details below.
• Resend (USA): sending account emails (sign-up confirmation, password reset); only your email address and the email itself (with its confirmation or reset link) are shared with it.
• Apple and Google: only if you choose to sign in with them, for the sign-in itself.
• If the law requires it (e.g. a court order), we may have to share only what is strictly necessary with the competent authorities (legal basis: a legal obligation — GDPR Art. 6(1)(c); KVKK Art. 5/2-a).

AI features

The AI Coach (Vea) generates its answers with AI. We ask for your separate consent the first time you use it; if you don't agree, nothing is sent.

• What is sent: your message and the recent messages of the conversation; your local time and date; a profile summary (goal, diet, eating style, calorie target, age, gender, height, activity level, starting and target weight, pace, allergies, whether digestion tracking is on and, if it is, your digestion/IBS answer from onboarding); the names, calories and protein, carbohydrate and fat values of the meals you logged today and in the previous 7 days; your water intake; your recent weigh-ins; and — if digestion tracking is on — the meals after which you reported symptoms and the personal FODMAP groups learned from your logs.
• What is not sent: your name, email address or account details.
• Provider: Anthropic (Claude), USA. What is sent is processed only to generate the answer; according to its own statement, Anthropic deletes it from its systems within 30 days at the latest and, under its commercial API terms, does not use it to train its models.
• Conversations are not stored on our servers; the chat is cleared from the screen when you close the app.
• AI can make mistakes. Vea's answers are for general guidance and are not medical advice.

Adding food by photo (meal photos and package labels) also uses AI. We ask for separate consent the first time; if you don't agree, no photo is sent.

• What is sent: the single photo you take or choose, your app language, the short note about the photo if you wrote one, and the app's general list of food names.
• What is not sent: your name, email address, profile or any other photos in your library.
• The photo is processed only for that one analysis and is not stored on our servers; Anthropic, according to its own statement, deletes it within 30 days at the latest. Only the food entry you confirm is added to your log.
• Camera and photo access are used only while you take or choose a photo. We suggest making sure there are no faces or personal details in the photo.
• Amounts worked out from a photo are estimates and can be wrong; please check them before adding.

Automated analysis

The app calculates some results from your logs automatically: your daily score, your plan suggestions and (if digestion tracking is on) personal trigger patterns derived from your meal and symptom logs. These are estimates shown only to inform you; they are not a diagnosis, and no automated decision with legal or similarly significant effects on you is made. You can see how each result is calculated inside the app and object to a result you disagree with by writing to us.

How long we keep your data

• As long as your account exists.
• When you delete your account, all of your data (profile, meal/symptom/weight logs, recipes, VeaCoin) is permanently and irreversibly deleted. You can do this yourself: Profile → Account → Delete My Account.
• One exception: the record of the consents you gave and withdrew (which text, on which date) is kept for up to 5 years after deletion, in a form that can no longer be linked to you (without your name or email), to meet our legal obligation to prove consent (legal basis: establishment and defence of legal claims — GDPR Art. 17(3)(e); KVKK Art. 5/2-e).
• If you turn digestion tracking off, no new symptom logs are kept and old ones are not used; you can also have your past logs deleted at that moment.

Your rights

Under the GDPR and KVKK Art. 11 you have the right to:

• Learn whether your data is processed and, if so, request information about it.
• Learn the purpose of processing and whether it is used in line with that purpose.
• Know the third parties, in Türkiye or abroad, to which your data is transferred.
• Have incomplete or incorrect data corrected.
• Have your data erased or destroyed; have its processing restricted.
• Have corrections and erasures notified to the third parties your data was transferred to.
• Receive your data in a structured, commonly used format (portability).
• Object to a result that is reached solely by automated analysis and works against you.
• Withdraw consent at any time for processing based on your consent (withdrawal does not affect processing done before it).
• Claim compensation if you suffer damage because of unlawful processing.

To exercise these rights, just write to support@helovea.app; we answer within 30 days at the latest. You also have the right to lodge a complaint with the Turkish Personal Data Protection Authority (kvkk.gov.tr) or, if you live in the EU, with the data protection authority of your country.

How to withdraw your consent

• Health data: because your consent is a condition of using the app, the way to withdraw it is to delete your account (Profile → Account → Delete My Account; all your data is deleted). Without deleting your account you can still stop symptom logging with the Profile → Digestion tracking switch (and delete past logs) and remove your allergies under Profile → Allergies.
• AI: in two taps under Profile → Account → "Withdraw AI consents"; as long as you don't use those features, nothing is sent anyway.
• Notifications: in your phone settings or under Profile → Notifications.

Children's privacy

Helovea is not intended for children under 16 and we do not knowingly collect data from them. If we learn that we have collected data from a child under 16, we delete it.

Changes

If we update this notice, we will publish the new version in the app and at legal.helovea.app and update its date. For changes that affect how your health data is processed we will ask for your consent again; for other significant changes we will also notify you.