Aydınlatma Metni (KVKK)

2026-10-30 · v4.1

1. Veri sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.10 uyarınca veri sorumlusu: Banabu Tekstil Konfeksiyon Makina Sanayi ve Ticaret Limited Şirketi (Banabu Ltd). Adres: Güzelce Mah. Yoğurthane Cad. No:64 İç Kapı No:1, 34530 Büyükçekmece / İstanbul, Türkiye. MERSİS 0140085586000001 · Vergi No 1400855860 (Büyükçekmece V.D.). KEP: banabu@hs01.kep.tr. E-posta: privacy@samedreamers.com.

Samedreamers uygulaması ve samedreamers.com bu şirket tarafından işletilir. Bu metin bir bilgilendirmedir; onay vermeni gerektirmez. Açık rızaya dayanan işlemeler ayrı bir metinde (Açık Rıza Metni) anlatılır ve isteğe bağlıdır.

2. Hangi verileri işliyoruz

Kimlik ve iletişim: e-posta adresi, sana otomatik verilen takma ad; Google veya Apple ile giriş yaparsan bu hesap sağlayıcının bize ilettiği e-posta ve (varsa) ad bilgisi. Gerçek adın hiçbir herkese açık alanda gösterilmez.

Müşteri işlem: rüya metinlerin ve başlıkları, rüyayı gördüğün zaman bilgisi, akışta paylaştıkların, yorumların, beğenilerin, eşleştiğin kişilerle mesajların, eşleşme kararların, ürettiğin AI içerikleri (içgörü, görsel, video) ve kullanım hakların.

Görsel ve işitsel: rüyanı sesle anlatırsan ses kayıtların.

Yaş: kayıtta girdiğin doğum tarihi yalnız 18 yaşını doldurduğunu doğrulamak için kullanılır; yaşın sunucuda hesaplanır, doğum tarihin saklanmaz (yalnız "18+ doğrulandı" sonucu, yöntemi ve zamanı tutulur; 18 yaşından küçük çıkarsa hesabın yaş kilidine alındığı kaydedilir). Destekleyen cihazlarda mağazanın yaş bilgisi (Google Play Age Signals / Apple Declared Age Range) yalnız yaş aralığı olarak okunur ve aynı amaçla kullanılır.

Satın alma ve abonelik: ücretli bir paket alırsan abonelik planın ve dönemi, satın alma geçmişin (ürün, tarih, mağaza, yenileme/iptal durumu), mağazanın verdiği işlem kimlikleri ve kalan kullanım hakların. Kart veya ödeme bilgilerin bize ve RevenueCat'e gelmez; ödemeyi Apple App Store veya Google Play alır.

Konum: yalnız şehir/ülke düzeyinde yaşadığın yer ve akışta paylaştığın rüyanın görüldüğü şehir/ülke. GPS, adres veya cihaz konumu toplanmaz.

İşlem güvenliği: şifrenin karması (şifren düz metin olarak hiçbir yerde tutulmaz), oturum bilgileri, onay kayıtlarındaki ve başkalarına gösterilen içerik paylaşımlarındaki (akış paylaşımı, yorum, mesaj) IP adresi, zaman ve cihaz/tarayıcı bilgisi (5651 sayılı Kanun trafik bilgisi — içerik metni bu kayda yazılmaz), kötüye kullanım sınırlaması için teknik sayaçlar, uygulama bildirim jetonu, hata kayıtları ve uygulama içi kullanım olayları (ör. "rüya kaydedildi", "eşleşme yanıtlandı" gibi hangi özelliğin kullanıldığı; rüya içeriği, mesaj ve e-posta bu kayıtlara yazılmaz, kayıtlar AB’deki kendi veritabanımızda tutulur ve 90 gün sonra otomatik silinir).

Özel nitelikli olabilecek veriler: rüya anlatımların ve ses kayıtların sağlık, inanç, cinsel yaşam gibi konulara değinebilir. Bu içeriklerin rüya günlüğünde saklanması, yapay zekâ ile işlenmesi ve eşleştirmede kullanılması ayrı ayrı açık rızana bağlıdır (Açık Rıza Metni).

Sağlık (isteğe bağlı): uyku verisi özelliğini açarsan Apple Sağlık / Health Connect'ten okunan uyku evreleri ve kalp atışı özeti — yalnız ayrı açık rızanla.

Toplamadıklarımız: gerçek ad (herkese açık), telefon numarası, rehber, fotoğraf galerisi okuma, hassas konum, reklam kimliği. Reklam ağı veya üçüncü taraf takip aracı kullanmıyoruz.

3. Amaçlar ve hukuki sebepler

Üyelik, giriş, ayarlar, bildirimler, eşleştiğin kişiyle sohbet, hesap silme ve veri indirme: sözleşmenin kurulması ve ifası (KVKK m.5/2-c).

Ücretli paketlerin satışı, aboneliğin ve kullanım haklarının yönetimi, satın alımların geri yüklenmesi: sözleşmenin kurulması ve ifası (m.5/2-c); tüketici ve vergi mevzuatından doğan kayıt yükümlülükleri: hukuki yükümlülük (m.5/2-ç).

Yaş doğrulaması (uygulama yalnız 18 yaş ve üzeri içindir; 5651 sayılı Kanun yaş kuralları): hukuki yükümlülük (m.5/2-ç) ve sözleşmenin kurulması (m.5/2-c).

Rüya günlüğünün saklanması: rüya metinleri ve ses kayıtları özel nitelikli veri içerebildiğinden ve KVKK m.6/3'te sözleşmenin ifası bendi bulunmadığından açık rıza (m.6/3-a) — ayrı ve isteğe bağlıdır; vermezsen rüya kaydedemezsin, geri alırsan günlüğün silinir.

Güvenlik, dolandırıcılık ve kötüye kullanımın önlenmesi, hız sınırlaması, sistem kayıtları: meşru menfaat (m.5/2-f) ve 5651 sayılı Kanun dahil hukuki yükümlülükler (m.5/2-ç).

Başkalarına gösterilen içeriğin (akış paylaşımı, yorum, mesaj) otomatik ve insan moderasyonu, şikayetlerin incelenmesi, çocuk güvenliği: hukuki yükümlülük (m.5/2-ç) ve meşru menfaat (m.5/2-f).

Yapay zekâ işleme (sesten yazıya, çeviri, AI içgörü/görsel/video), benzer rüya eşleştirmesi ve akışta paylaşım: her biri ayrı açık rıza (m.5/1 ve özel nitelikli içerik için m.6/3-a) — isteğe bağlıdır, istediğin an ayrı ayrı geri alabilirsin.

Uyku verisi: sağlık verisi olduğu için ayrı açık rıza (m.6/3).

Onay ve rıza kayıtlarının, moderasyon kararlarının saklanması; hukuki uyuşmazlıklarda ispat: bir hakkın tesisi, kullanılması veya korunması (m.5/2-e) ve hukuki yükümlülük (m.5/2-ç).

4. Kimlere ve hangi amaçla aktarıyoruz

Hizmeti sunmak için yalnız talimatımızla çalışan hizmet sağlayıcılara (veri işleyen) aktarım yapılır: Supabase (veritabanı, giriş, dosya deposu ve sunucu işlevleri — sunucular Avrupa Birliği/Frankfurt); Resend (doğrulama kodu ve şifre sıfırlama e-postaları — ABD); Google Firebase Cloud Messaging ve Apple Push Notification service (anlık bildirim — içerik değil yalnız bildirim türü gönderilir — ABD); Google ve Apple (yalnız bu yöntemle giriş yaparsan); Cloudflare (web sitesinin barındırılması, ağ güvenliği, kayıt ve girişte bot kontrolü — Cloudflare Turnstile —, e-posta yönlendirme — ABD/küresel); Expo (uygulama güncellemelerinin dağıtımı — ABD); GitHub (şifrelenmiş veritabanı yedeği — ABD); RevenueCat (abonelik ve satın alma yönetimi: kullanıcı kimliğin, satın alma geçmişin, cihaz/platform bilgisi — ABD).

Ücretli bir paket alırsan ödeme Apple (App Store) veya Google (Google Play) tarafından kendi sorumluluklarında alınır; mağaza, satın alma ve abonelik durumunu ve — destekleyen cihazlarda — yaş aralığı bilgisini bize iletir.

Yalnız açık rıza verirsen: OpenAI (eşleştirme için sayısal temsil, çeviri, özet, içgörü metni — ABD) ve fal.ai (sesten yazıya, görsel ve video üretimi — ABD). Rıza vermezsen rüya içeriğin bu sağlayıcılara hiç gönderilmez. Başkalarına gösterilen yorum ve mesajların güvenlik amaçlı otomatik moderasyonu OpenAI ile yapılır.

Sağlayıcılara gönderilen içerik model eğitiminde kullanılmaz (sağlayıcı sözleşmeleri) ve hesap kimliğin bu modellere iletilmez.

Yurt dışındaki hizmet sağlayıcılara aktarım KVKK m.9 kapsamındadır. Yurt dışına aktarımlarda KVKK m.9'daki güvencelerin (Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşme ve imzadan sonra 5 iş günü içinde Kurul'a bildirim) tamamlanması için hizmet sağlayıcılarla süreç yürütülmektedir; sağlayıcıların kendi veri işleme sözleşmeleri (DPA) ve güvenlik taahhütleri uygulanır. Sürecin güncel durumunu privacy@samedreamers.com adresine yazarak öğrenebilirsin.

Yetkili kamu kurum ve kuruluşlarına ve yargı mercilerine yalnız hukuki zorunluluk hâlinde aktarım yapılır. Verilerini satmayız, reklam amacıyla kimseyle paylaşmayız.

5. Toplama yöntemi

Veriler uygulama ve web sitesi üzerinden, elektronik ortamda, senin girişinle (yazı, ses, seçimler, doğum tarihi), giriş sağlayıcından (Google/Apple), uygulama mağazasından ve RevenueCat'ten (satın alma/abonelik durumu, yaş aralığı) ve sistemin otomatik ürettiği teknik ve türetilmiş verilerle toplanır.

6. Saklama süresi

Hesabın açık kaldığı sürece saklanır. Bir rüyayı sildiğinde metni, ses kaydı, sayısal temsili, çevirileri, eşleşmeleri ve üretilmiş medyası en geç 10 dakika içinde kalıcı olarak silinir. Hesabını sildiğinde tüm verilerin anında silinir; şifreli yedeklerden en geç 30 gün içinde temizlenir.

Açık rızanı geri aldığında rüyalarının sayısal temsilleri ve otomatik özetleri silinir, akış paylaşımların kaldırılır.

Satın alma ve abonelik kayıtların hesabın açık kaldığı sürece tutulur; hesabını sildiğinde abonelik kaydın silinir, mağaza işlem olaylarının hesabınla bağlantısı kaldırılır (kimliksizleştirilir). Apple, Google ve RevenueCat'in kendi yasal saklama yükümlülükleri saklıdır.

5651 sayılı Kanun gereği içerik paylaşımlarına ait trafik bilgisi (IP adresi, zaman, işlem türü) hesabın silinse bile 1 yıl saklanır, yalnız yargı mercileri ve yetkili makamların talebiyle verilir ve 13 ay sonunda otomatik silinir. Hukuken saklanması gereken diğer kayıtlar (ör. bir şikayete verilen moderasyon kararı) kimliksizleştirilerek yalnız gerekli süre boyunca tutulur. Ayrıntı: Kişisel Veri Saklama ve İmha Politikamız (talep edersen gönderilir).

Onay ve rıza kayıtların (hangi metni, hangi sürümü, ne zaman onayladığın; IP ve cihaz bilgisi) hesabını silsen bile ispat amacıyla (m.5/2-e) 10 yıl ayrı ve erişimi kısıtlı bir arşivde saklanır. Bu arşivde e-posta adresin açık hâliyle değil, geri çevrilemeyen gizli anahtarlı bir özetiyle tutulur; süre dolunca kayıt silinir.

7. Hakların (KVKK m.11)

Kişisel verilerinin işlenip işlenmediğini öğrenme; işlenmişse bilgi talep etme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmişse düzeltilmesini isteme; KVKK m.7 çerçevesinde silinmesini veya yok edilmesini isteme; düzeltme ve silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme; kanuna aykırı işleme sebebiyle zarara uğrarsan zararın giderilmesini talep etme.

Başvuru: uygulamada Ayarlar → Gizlilik ve rızalar → Veri Sahibi Başvurusu; sistemimizde kayıtlı e-posta adresinden privacy@samedreamers.com adresine; KEP ile banabu@hs01.kep.tr; ya da ıslak imzalı dilekçeyle posta yoluyla Güzelce Mah. Yoğurthane Cad. No:64 İç Kapı No:1, 34530 Büyükçekmece / İstanbul, Türkiye. Başvurun en geç 30 gün içinde ücretsiz olarak, yazılı veya elektronik ortamda cevaplanır. Ayrıca Kişisel Verileri Koruma Kurulu'na şikayet hakkın saklıdır.

Verilerinin kopyasını uygulama içinden anında alabilir (Ayarlar → Verilerimi indir), hesabını anında silebilirsin (Ayarlar → Hesabımı sil).

---

Privacy Notice (Türkiye, KVKK)

2026-10-30 · v4.1

1. Data controller

Under Article 10 of the Turkish Personal Data Protection Law No. 6698 ("KVKK"), the data controller is Banabu Tekstil Konfeksiyon Makina Sanayi ve Ticaret Limited Şirketi (Banabu Ltd). Address: Güzelce Mah. Yoğurthane Cad. No:64 İç Kapı No:1, 34530 Büyükçekmece / İstanbul, Türkiye. MERSİS 0140085586000001 · Vergi No 1400855860 (Büyükçekmece V.D.). Registered e-mail (KEP): banabu@hs01.kep.tr. E-mail: privacy@samedreamers.com.

The Samedreamers app and samedreamers.com are operated by this company. This notice is information only; it does not ask for your approval. Processing based on explicit consent is described separately in the Explicit Consent Notice and is optional.

2. Data we process

Identity and contact: e-mail address and the alias assigned to you; if you sign in with Google or Apple, the e-mail and (if provided) name sent by that provider. Your real name is never shown in any public place.

Customer transactions: dream texts and titles, when you had the dream, feed posts, comments, likes, messages with your matches, match decisions, AI content you generate (insight, image, video) and your usage allowances.

Audio: your voice recordings if you tell a dream by voice.

Age: the date of birth you enter at sign-up is used only to confirm you are 18 or over; your age is calculated on the server and your date of birth is not stored (only the "18+ confirmed" result, method and time are kept; if you turn out to be under 18, the fact that the account was age-locked is recorded). On supported devices the store’s age signal (Google Play Age Signals / Apple Declared Age Range) is read only as an age range and used for the same purpose.

Purchases and subscriptions: if you buy a paid option, your subscription plan and period, purchase history (product, date, store, renewal/cancellation status), store transaction IDs and remaining allowances. Your card or payment details never reach us or RevenueCat; payment is taken by Apple App Store or Google Play.

Location: only the city/country you live in and the city/country of a dream you share to the feed. No GPS, address or device location.

Transaction security: password hash (your password is never stored in plain text), session data, IP address, time and device/browser details in consent records and in content shown to others (feed posts, comments, messages) — traffic data under Turkish Law No. 5651, never the content itself — technical counters for abuse limits, the push token, error logs and in-app usage events (which feature was used, e.g. "dream saved", "match answered"; dream content, messages and e-mail are never written to these logs, which stay in our own EU database and are deleted automatically after 90 days).

Potentially special-category data: dream narratives and recordings may touch on health, beliefs or sex life. Storing them in your journal, processing them with AI and using them for matching each depend on a separate explicit consent (Explicit Consent Notice).

Health (optional): if you enable sleep data, sleep stages and a heart-rate summary read from Apple Health / Health Connect — only with separate explicit consent.

We do not collect: public real name, phone number, contacts, photo-library reads, precise location, advertising ID. No ad networks or third-party trackers.

3. Purposes and legal grounds

Account, sign-in, settings, notifications, chat with your matches, account deletion and data export: establishment and performance of the contract (KVKK art. 5/2-c).

Selling paid options, managing subscriptions and allowances, restoring purchases: establishment and performance of the contract (art. 5/2-c); record-keeping duties under consumer and tax law: legal obligation (art. 5/2-ç).

Age verification (the app is for adults 18+ only; age rules of Turkish Law No. 5651): legal obligation (art. 5/2-ç) and establishment of the contract (art. 5/2-c).

Storing your dream journal: because dream texts and recordings may contain special-category data and KVKK art. 6/3 has no performance-of-contract ground, explicit consent (art. 6/3-a) — separate and optional; without it you cannot save dreams, withdrawing it deletes your journal.

Security, fraud and abuse prevention, rate limiting, system logs: legitimate interest (art. 5/2-f) and legal obligations including Law No. 5651 (art. 5/2-ç).

Automated and human moderation of content shown to others (feed posts, comments, messages), handling reports, child safety: legal obligation (art. 5/2-ç) and legitimate interest (art. 5/2-f).

AI processing (speech-to-text, translation, AI insight/image/video), similar-dream matching and feed sharing: each a separate explicit consent (art. 5/1 and, for special-category content, art. 6/3-a) — optional and withdrawable separately at any time.

Sleep data: separate explicit consent, as it is health data (art. 6/3).

Keeping consent records and moderation decisions; evidence in legal disputes: establishment, exercise or defence of a right (art. 5/2-e) and legal obligation (art. 5/2-ç).

4. Who receives your data and why

To deliver the service we use providers (processors) acting only on our instructions: Supabase (database, sign-in, file storage and server functions — servers in the EU/Frankfurt); Resend (verification and password-reset e-mails — USA); Google Firebase Cloud Messaging and Apple Push Notification service (push — only the notification type is sent, not content — USA); Google and Apple (only if you sign in with them); Cloudflare (website hosting, network security, bot check at sign-up and sign-in — Cloudflare Turnstile —, e-mail routing — USA/global); Expo (app update delivery — USA); GitHub (encrypted database backup — USA); RevenueCat (subscription and purchase management: your user ID, purchase history, device/platform details — USA).

If you buy a paid option, payment is taken by Apple (App Store) or Google (Google Play) under their own responsibility; the store sends us the purchase and subscription status and — on supported devices — an age-range signal.

Only with your explicit consent: OpenAI (matching representation, translation, summaries, insight text — USA) and fal.ai (speech-to-text, image and video generation — USA). Without consent your dream content is never sent to these providers. Safety moderation of comments and messages shown to others is done with OpenAI.

Content sent to providers is not used to train models (per provider agreements), and your account identity is not passed to them.

Transfers to providers abroad fall under KVKK art. 9. We are working with our providers to complete the safeguards of art. 9 (the standard contract published by the Personal Data Protection Board and notification to the Board within 5 business days of signature); in the meantime the providers’ own data processing agreements (DPAs) and security commitments apply. You can ask privacy@samedreamers.com for the current status.

Disclosure to competent public authorities and courts only where legally required. We never sell your data or share it for advertising.

5. Collection method

Collected electronically through the app and website, from your input (text, voice, choices, date of birth), from your sign-in provider (Google/Apple), from the app store and RevenueCat (purchase/subscription status, age range) and from technical and derived data the system generates automatically.

6. Retention

Kept while your account is open. When you delete a dream, its text, recording, numeric representation, translations, matches and generated media are permanently deleted within 10 minutes. Deleting your account deletes all your data immediately; encrypted backups are purged within 30 days.

When you withdraw explicit consent, the numeric representations and automatic summaries of your dreams are deleted and your feed posts removed.

Purchase and subscription records are kept while your account is open; when you delete your account your subscription record is deleted and store transaction events are unlinked from your account (de-identified). Apple’s, Google’s and RevenueCat’s own statutory retention duties remain unaffected.

Under Turkish Law No. 5651, traffic data for content you post (IP address, time, action type) is kept for 1 year even if you delete your account, disclosed only to courts and competent authorities on request, and automatically deleted after 13 months. Other records we must keep by law (e.g. a moderation decision on a report) are de-identified and kept only as long as required. Details: our Data Retention and Destruction Policy (available on request).

Records of your approvals and consents (which text and version you accepted and when; IP and device details) are kept for 10 years in a separate, access-restricted archive even if you delete your account, as evidence (KVKK art. 5/2-e). The archive does not store your e-mail address in plain form, only a keyed one-way digest of it; records are deleted when the period ends.

7. Your rights (KVKK art. 11)

To learn whether your data is processed; request information; learn the purpose and whether data is used accordingly; know the third parties in Türkiye or abroad it is transferred to; request correction; request erasure or destruction under art. 7; request that corrections/erasures be notified to third parties; object to an adverse result produced exclusively by automated analysis; claim compensation for damage caused by unlawful processing.

How to apply: in the app via Settings → Privacy and consents → Data Subject Request; by e-mail from your registered address to privacy@samedreamers.com; by KEP to banabu@hs01.kep.tr; or by signed letter to Güzelce Mah. Yoğurthane Cad. No:64 İç Kapı No:1, 34530 Büyükçekmece / İstanbul, Türkiye. We answer free of charge, in writing or electronically, within 30 days. You may also complain to the Personal Data Protection Board.

You can get a copy of your data instantly in the app (Settings → Download my data) and delete your account instantly (Settings → Delete my account).