Faly Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni
Versiyon: 1.3
Yürürlük tarihi: 2026-06-24 — bu belge yayına alındığı tarihte yürürlüğe girer
Durum: v1.3
Revizyon notu: v1.3 — kesinleştirildi (D-011): hukuki inceleme/yayın öncesi uyarılar kaldırıldı; DPO iletişim adresi info@faly.app olarak belirlendi; yapay zeka sohbetinde paylaşılan görsel veri akışı ikinci bir yol olarak açıklandı (OpenAI ABD + faly S3 AEA, hesap ömrü boyunca saklama) D-009 #6 uyarınca; faturalama/vergi saklama süresi ~7 yıllık yasal süre olarak belirtildi; işleyici DPA/SCC'nin mevcut olduğu ifade edildi.
1. Veri Sorumlusu Kimliği
| Veri Sorumlusu | Truemium OÜ (Osaühing) — "Truemium Studios" ve "Faly" ticari markalarının sahibi |
| Sicil No (registrikood) / Registry code | 17381638 |
| Kayıtlı Adres | Paavli tn 5a/1, Põhja-Tallinna linnaosa, 10412 Tallinn, Harju maakond, Estonia |
| İletişim | info@faly.app |
| KVKK Türkiye Temsilcisi | Burak Özdemir |
| Başvuru Kanalı | info@faly.app / Türkiye temsilcisi Burak Özdemir veya yukarıdaki kayıtlı adrese yazılı başvuru |
| Veri Koruma Sorumlusu (DPO) | Veri Koruma Sorumlusu (DPO) iletişim: info@faly.app |
Truemium OÜ, Avrupa Birliği üyesi Estonya'da kurulu bir ticaret şirketidir. Bu nedenle Genel Veri Koruma Tüzüğü (GDPR) birincil uygulanan rejimdir. Türkiye'deki kullanıcılar için 6698 sayılı KVKK hükümleri de geçerlidir; KVKK kapsamındaki talepler Türkiye temsilcisi aracılığıyla iletilir. Veri sorumlusu AB'de kurulu olduğundan ayrı bir GDPR Madde 27 AB Temsilcisi atanması zorunlu değildir.
2. İşlenen Kişisel Veriler ve Kategorileri
Faly uygulaması aşağıdaki kişisel veri kategorilerini işlemektedir:
| Kategori | Açıklama |
|---|---|
| Kahve fincanı fotoğrafı (kullanıcı tarafından çekilen görsel) | Uygulamanın temel girdisi; kullanıcının cihazında çektiği fincan görseli. |
| Serbest metin sohbet / falcıya yöneltilen soru ve cevaplar | Kullanıcının uygulama içi sohbet arayüzüne girdiği metin içerikleri; kişisel, hassas veya özel nitelikli bilgiler içerebilir. |
| Yapay zeka tarafından oluşturulan fal yorumu | Sohbet içeriğinin işlenmesiyle otomatik olarak üretilen okuma/yorum metni. |
| Kimlik / profil bilgileri | Ad, e-posta adresi, Facebook / Google kimliği (sosyal giriş tercih edilmişse). |
| Reklam tanımlayıcısı (IDFA / AAID) | Cihaz düzeyinde reklam kimliği; reklamların gösterilmesi ve ölçümlenmesi amacıyla işlenir. |
| Satın alma ve abonelik verisi | App Store / Google Play üzerinden gerçekleştirilen Premium abonelik ve uygulama içi satın alma verileri. |
| Anlık bildirim jetonu (Push token) | Kullanıcıya bildirim gönderilmesini sağlayan cihaz jetonu. |
| Kullanım ve teknik veriler | Uygulama içi etkinlik, oturum süreleri, hata kayıtları, cihaz modeli ve işletim sistemi bilgisi. |
2.1 Fotoğraflar — İki Farklı Yol
Faly, fotoğrafları bağlama göre iki farklı şekilde işlemektedir:
Yol A — Şablon / kahve fincanı okuma fotoğrafı: Yalnızca cihazınızda işlenir. Sunucularımıza yüklenmez ve herhangi bir üçüncü tarafa iletilmez. Bu, Faly'nin gizliliği korumak amacıyla benimsediği tasarım tercihidir.
Yol B — Yapay zeka canlı sohbeti içinde eklediğiniz görseller: Yapay zeka çıkarımı için OpenAI'ya (ABD) iletilir ve Faly'nin S3 depolama alanında (AEA bölgesi) saklanır. Hukuki dayanak: Özel nitelikli içerik içermesi hâlinde KVKK Md. 6 açık rıza / GDPR Madde 9(2)(a); özel nitelikli olmayan görseller için KVKK Md. 5(2)(c) sözleşmenin ifası. Hesap ömrü boyunca saklanır (okuma geçmişi özelliği); hesap silindiğinde yok edilir.
2.2 Özel Nitelikli Kişisel Veriler — İsteğe Bağlı
Faly'e ilettiğiniz sohbet içerikleri özel nitelikli kişisel veri içerebilir. İşleyebileceğimiz özel nitelikli veri kategorileri şunlardır: cinsel hayat, cinsel yönelim, ilişki durumu, medeni durum, meslek bilgisi ile sohbet arayüzünde paylaşılan ruhsal / dini içerik.
Tüm özel nitelikli veriler kesinlikle isteğe bağlıdır ve yalnızca siz bu bilgileri sohbet içeriğinizde gönüllü olarak paylaşırsanız işlenir. Cinsel yönelim, dini inanç veya diğer hassas konularda bilgi paylaşmak hiçbir şekilde zorunlu değildir. Bu tür bilgileri paylaşıp paylaşmamanızdan bağımsız olarak hizmetten yararlanabilirsiniz.
Bu veriler yalnızca açık rızanıza dayanılarak işlenmektedir (KVKK Madde 6 / GDPR Madde 9(2)(a)). Bu verilerin işlenmesi için ayrı bir açık rıza metni sunulmaktadır; rızanızı her zaman geri alabilirsiniz. Söz konusu veriler için meşru menfaat geçerli bir hukuki dayanak değildir.
3. İşleme Amaçları ve Hukuki Dayanaklar
Her işleme faaliyeti için ayrı hukuki dayanak aşağıdaki tabloda belirtilmiştir. Özel nitelikli veriler için meşru menfaat geçerli bir dayanak değildir.
| Amaç | İşlenen Veri Kategorisi | Hukuki Dayanak |
|---|---|---|
| Fal yorumu oluşturma (yapay zeka / otomatik işleme) | Sohbet içeriği | KVKK Md. 5(2)(c) sözleşmenin ifası; özel nitelikli içerik için Md. 6 açık rıza |
| Yapay zeka sohbetinde paylaşılan görseller — yapay zeka çıkarımı (OpenAI) + depolama (Faly S3, AEA) | Kullanıcının yapay zeka canlı sohbetinde eklediği görseller | Özel nitelikli içerik için KVKK Md. 6 açık rıza / GDPR Madde 9(2)(a); özel nitelikli olmayan görseller için KVKK Md. 5(2)(c) sözleşmenin ifası |
| Özel nitelikli içeriğin işlenmesi (sohbet) | Cinsel hayat, ilişki/medeni durum, meslek, ruhsal/dini içerik | KVKK Md. 6 açık rıza — tek geçerli dayanak |
| Kimlik doğrulama ve hesap yönetimi | Kimlik / profil bilgileri | KVKK Md. 5(2)(c) sözleşmenin ifası |
| Reklam gösterimi ve ölçümleme (reklamlar yalnızca AppLovin'in kendi ağı üzerinden sunulmaktadır; reklam aracılığı (mediation) etkin değildir; reklam tanımlayıcısı AppLovin ile paylaşılır; CCPA/CPRA kapsamında "satış veya paylaşım" sayılabilir — bkz. §10) | Reklam tanımlayıcısı (IDFA / AAID) | KVKK Md. 5(2)(f) meşru menfaat; ATT onayı alınmışsa açık rıza; California kullanıcıları için §10 kapsamında vazgeçme hakkı |
| Altın kredi satın alma yönetimi | Satın alma verisi | KVKK Md. 5(2)(c) sözleşmenin ifası |
| Anlık bildirim gönderimi | Push token | KVKK Md. 5(2)(c) sözleşmenin ifası |
| Uygulama güvenliği, hata tespiti ve iyileştirme | Kullanım ve teknik veriler | KVKK Md. 5(2)(f) meşru menfaat |
Yapay zeka model eğitimi: Verilerinizin hiçbiri yapay zeka modeli eğitiminde kullanılmaz.
3.1 Yapay Zeka / Otomatik İşleme — Açıklama
Faly fal yorumu sohbeti, yapay zeka (otomatik) desteklidir; gerçek bir falcı tarafından yürütülmemektedir. Sohbet içeriği gönderdiğinizde, bu içerik OpenAI tarafından işletilen otomatik bir yapay zeka sistemi tarafından işlenmektedir. Mesajlarınızı okuyan veya yanıtlayan bir insan falcı bulunmamaktadır. Uygulamadaki "Çevrimiçi" veya "Falcı" göstergesi, bir insan operatörün değil, yapay zekanın müsaitliğini yansıtmaktadır.
Fal yorumunuz, girdiğiniz sohbet içerikleri kullanılarak tamamen otomatik biçimde üretilmektedir. Bu işlem eğlence amaçlıdır ve herhangi bir hukuki sonuç ya da sizin için önemli bir etki doğurmayı hedeflememektedir. KVKK Madde 11(e) kapsamında otomatik sistemler aracılığıyla aleyhinize bir sonuç çıkmasına itiraz etme hakkınız saklıdır.
4. Kişisel Verilerin Aktarıldığı Taraflar
| Alıcı / İşleyen | Rol | Aktarılan Veri | Amaç |
|---|---|---|---|
| OpenAI (ABD) | Yapay zeka çıkarım sağlayıcısı (işleyen) | Sohbet içeriği, soru-cevap verisi ve yapay zeka sohbetinde eklenen görseller | Fal yorumu oluşturma — yapay zeka ile otomatik; insan tarafından değil |
| AWS (Amazon Web Services) / Faly S3 (AEA bölgesi) | Bulut depolama ve işlemsel e-posta (işleyen) | Profil verisi, satın alma kayıtları, işlemsel e-posta iletimi; yapay zeka sohbetinde paylaşılan görseller Faly'nin AEA bölgesindeki S3 depolama alanında saklanır | Uygulama veri depolama, hesap bildirimi iletimi ve yapay zeka sohbeti görsel depolama |
| Firebase / Google (ABD) | Anlık bildirimler ve analitik (işleyen) | Push token, kullanım ve teknik veriler | Anlık bildirim iletimi, kilitlenme raporlama ve uygulama analizi |
| RevenueCat (ABD) | Uygulama içi satın alma yönetimi (işleyen) | Satın alma verisi (Altın kredi işlemleri) | IAP doğrulama ve yetki yönetimi |
| AppLovin | Reklam ağı (işleyen) — yalnızca AppLovin'in kendi ağı; reklam aracılığı (mediation) etkin değildir | Reklam tanımlayıcısı (IDFA / AAID) | Reklam gösterimi ve ölçümleme |
| Apple App Store / Google Play | Mağaza operatörü | Satın alma verisi | IAP işleme |
| Google (Google Analytics 4) | Web analitik sağlayıcısı (işleyen) — ABD merkezli | Web kullanım verileri (sayfa görüntülemeleri, oturum süreleri, tıklama akışları) | Landing sayfası analizi — varsayılan olarak açıktır; kullanıcı çerez sekmesinden istediği zaman kapatabilir |
OpenAI model eğitim politikası: OpenAI, API aracılığıyla işlenen sohbet içeriklerini model eğitimi için kullanmaz.
Fotoğraflar — iki farklı yol: Şablon/kahve fincanı okuma fotoğrafları (Yol A) üçüncü taraflara iletilmez; yalnızca cihazınızda işlenir. Yapay zeka canlı sohbetinde eklenen görseller (Yol B) yapay zeka çıkarımı için OpenAI'ya (ABD, SCC'ler) iletilir ve Faly'nin S3 depolama alanında (AEA) saklanır.
5. Yurt Dışına Aktarım
Kişisel verileriniz, hizmetin sunulması için yurt dışındaki alıcılara aktarılabilmektedir.
| Alıcı | İşleme Bölgesi | Aktarılan Veri | Koruma Mekanizması |
|---|---|---|---|
| OpenAI | ABD | Sohbet içeriği ve soru-cevap verisi | Her işleyen ile bir Veri İşleme Sözleşmesi (DPA) akdedilmektedir; ABD'ye yapılan uluslararası aktarımlar AB Standart Sözleşme Maddeleri'ne (SCCs) dayanmaktadır. OpenAI: DPA kabul edilmiş; SCCs. Türkiye kullanıcıları için: KVKK sınır ötesi aktarım mekanizması. |
| AWS | AEA | Profil verisi, satın alma kayıtları, e-posta | AEA içinde işleme — ek koruma mekanizması gerekmez. AWS: DPA + SCCs, AWS Hizmet Koşullarına otomatik olarak dahildir. |
| Firebase / Google | ABD | Push token, kullanım verisi | DPA mevcut; SCC'ler. |
| RevenueCat | ABD | Satın alma verisi | DPA mevcut; SCC'ler. |
| AppLovin (yalnızca kendi ağı; reklam aracılığı etkin değil) | ABD / Küresel | Reklam tanımlayıcısı | DPA mevcut; SCC'ler. |
| Google LLC (Google Analytics 4) | ABD | Web kullanım verileri — varsayılan olarak açıktır; kullanıcı kapatmadıkça etkin | DPA mevcut; SCC'ler. |
Not: Şablon/kahve fincanı okuma fotoğrafları (Yol A) yurt dışına aktarılmaz. Yapay zeka sohbetinde paylaşılan görseller (Yol B) OpenAI'ya (ABD, SCC'ler) iletilir ve Faly'nin S3 depolama alanında (AEA) saklanır.
6. Saklama Süreleri
Kişisel verileriniz, işleme amacı için gerekli olduğu sürece ve ilgili yasal saklama süreleri kadar saklanır.
| Veri Kategorisi | Saklama Süresi / Kriteri |
|---|---|
| Şablon / kahve fincanı okuma fotoğrafı (Yol A) | Cihazda işlenir; sunucuya yüklenmez ve tarafımızca saklanmaz. |
| Yapay zeka sohbeti içeriği + sohbette paylaşılan görseller (Yol B) | Hesap ömrü boyunca saklanır (okuma geçmişi özelliği); hesap silindiğinde yok edilir. |
| Sohbet / soru-cevap içeriği | Hesap aktif olduğu sürece veya kullanıcı silene kadar; hesap kapanışında silinir (yasal saklama yükümlülükleri hariç). |
| Yapay zeka fal yorumu | Hesap aktif olduğu sürece veya kullanıcı silene kadar; hesap kapanışında silinir (yasal saklama yükümlülükleri hariç). |
| Kimlik / profil bilgileri | Hesap aktif olduğu sürece; hesap kapanışında silinir veya anonimleştirilir. |
| Reklam tanımlayıcısı (IDFA/AAID) | Rıza geri çekilene, hesap kapanışına veya OS düzeyinde sıfırlamaya kadar. |
| Satın alma ve abonelik verisi | Yaklaşık 7 yıl (Estonya Muhasebe Kanunu + AB KDV kayıt yükümlülükleri). |
| Push token | Rıza geri çekilene, hesap kapanışına veya OS düzeyinde sıfırlamaya kadar. |
| Kullanım ve teknik veriler | Amaç için gerekli olduğu süre kadar; tipik olarak 90 gün ile 2 yıl arasında. |
Saklama süresi sona erdiğinde ya da saklama gerekçesi ortadan kalktığında veriler, periyodik imha planı kapsamında silinmekte, yok edilmekte veya anonim hale getirilmektedir. Veri silme talepleriniz 30 gün içinde sonuçlandırılmaktadır.
7. İlgili Kişi Hakları
Truemium OÜ AB'de kurulu bir veri sorumlusu olduğundan GDPR birincil uygulanan rejimdir ve bu haklar Türkiye'deki kullanıcılar dahil tüm kullanıcılara uygulanır. KVKK kapsamındaki ek haklar aşağıda ayrıca belirtilmiştir.
7.1 GDPR Kapsamındaki Haklar (Madde 15–22)
- Erişim (Madde 15) — verilerinizin işlenip işlenmediğini, nasıl işlendiğini öğrenme ve bir kopyasını talep etme.
- Düzeltme (Madde 16) — hatalı veya eksik verilerin düzeltilmesini isteme.
- Silme (Madde 17) — Madde 17(1)'de sayılan koşulların varlığı hâlinde verilerin silinmesini isteme.
- İşlemenin kısıtlanması (Madde 18) — belirli koşullarda işlemenin sınırlandırılmasını talep etme.
- Veri taşınabilirliği (Madde 20) — sağladığınız verileri yapılandırılmış, makine tarafından okunabilir bir biçimde alma ve başka bir veri sorumlusuna aktarılmasını isteme.
- İtiraz (Madde 21) — meşru menfaate dayalı işleme ve profilleme dahil işleme faaliyetlerine itiraz etme; tamamen otomatik karar almaya (Madde 22) itiraz etme.
- Rızayı geri alma (Madde 7(3)) — rızaya dayalı her işleme faaliyeti için rızanızı istediğiniz zaman geri alma; geri alma önceki işlemlerin hukuka uygunluğunu etkilemez.
- Şikayet — denetim makamına şikayette bulunma (bkz. aşağıda Denetim Makamları).
7.2 KVKK Kapsamındaki Haklar (Madde 11)
6698 sayılı KVKK kapsamında aşağıdaki haklara da sahipsiniz:
- Kişisel verilerinizin işlenip işlenmediğini öğrenme
- İşlenmişse buna ilişkin bilgi talep etme
- İşlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
- Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
- Eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme ve bu işlemin aktarılan üçüncü kişilere bildirilmesini isteme
- İşleme şartlarının ortadan kalkması hâlinde silinmesini veya yok edilmesini isteme ve bu işlemin aktarılan üçüncü kişilere bildirilmesini talep etme
- Münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme (KVKK Md. 11(e) / GDPR Madde 22)
- Kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme
7.3 Denetim Makamları
Kişisel verilerinizin işlenmesine ilişkin şikayetlerinizi aşağıdaki yetkili denetim makamlarına iletebilirsiniz:
- GDPR kapsamında (Estonya / AB): Andmekaitse Inspektsioon (AKI) — aki.ee
- KVKK kapsamında (Türkiye): Kişisel Verileri Koruma Kurumu (KVKK) — kvkk.gov.tr
7.4 Facebook / Google ile Giriş
Facebook veya Google ile giriş yapmayı tercih ederseniz Faly, ilgili platformlar tarafından kimlik doğrulama sırasında paylaşılan kimlik verilerini alır. Alternatif olarak e-posta adresiyle kayıt yaptırabilirsiniz. Bu platformların veri uygulamaları hakkında kendi gizlilik politikalarına başvurmanızı öneririz.
8. Başvuru
Haklarınızı kullanmak için aşağıdaki kanalları kullanabilirsiniz:
E-posta: info@faly.app
Türkiye Temsilcisi: Burak Özdemir
Adres: Paavli tn 5a/1, Põhja-Tallinna linnaosa, 10412 Tallinn, Harju maakond, Estonia
Başvurunuz 30 gün içinde sonuçlandırılacaktır. Kişilik hakları ihlali veya haksız çıkar sağlama gibi durumlarda ücret talep edilebilir.
9. Değişiklikler
Bu metin güncellendiğinde yeni versiyon ve yürürlük tarihi belirtilerek uygulama içinde duyurulacaktır. Önemli değişiklikler için ek bildirim yapılabilir.
9a. Çerezler ve Benzeri Teknolojiler
faly.app adresindeki web sitesi ("Landing"), aşağıdaki kategorilerde çerez ve yerel depolama (localStorage) öğeleri kullanmaktadır:
Kesinlikle Gerekli: Sitenin temel işlevleri için zorunludur. Bu kategori rıza gerektirmez ve her zaman etkindir. faly-lang (dil tercihi, 1. taraf, localStorage) bu kapsamdadır.
Analitik: Ziyaretçilerin siteyi nasıl kullandığını anlamamızı sağlar. Google Analytics 4 çerezleri (_ga, _ga_<container-id>) bu kapsamdadır ve varsayılan olarak açıktır. Analitik çerezleri istediğin zaman sayfanın altındaki çerez sekmesinden kapatabilirsin; kapatman hâlinde bu çerezler kaldırılır ve Google Analytics devre dışı bırakılır.
Sayfanın köşesinde bir çerez sekmesi (kulakçık) belirir; hangi kategorilerin açık olduğunu buradan görebilir ve istediğin zaman değiştirebilirsin. Tercihlerini sayfanın altındaki "Çerez tercihleri" bağlantısıyla da güncelleyebilirsin.
Çerez türleri, saklama süreleri ve kullanılan üçüncü taraflar hakkında ayrıntılı bilgi için Çerez Politikası'na başvurunuz.
10. Kaliforniya Eyaleti Kullanıcıları — CCPA / CPRA
10.1 Reklam Tanımlayıcısının Paylaşımı
Faly, reklam ortağı AppLovin aracılığıyla reklam göstermektedir. Reklamların sunulması ve ölçümlenmesi amacıyla Faly, cihazınızın reklam tanımlayıcısını (iOS'ta IDFA; Android'de Advertising ID) AppLovin ile paylaşmaktadır. Kaliforniya Tüketici Gizlilik Yasası (CCPA) ve CPRA kapsamında, kişisel bir tanımlayıcının çapraz bağlamlı davranışsal reklamcılık amacıyla üçüncü taraflarla paylaşılması, herhangi bir para alışverişi gerçekleşmese dahi kişisel bilgilerin "satışı veya paylaşımı" olarak değerlendirilebilir.
Vazgeçme hakkınız bulunmaktadır. Kaliforniya'da yerleşik kullanıcılar, uygulama ayarlarındaki "Kişisel Bilgilerimi Satma veya Paylaşma" seçeneğini kullanarak bu paylaşımdan vazgeçebilir.
iOS — Uygulama İzleme Şeffaflığı (ATT): iOS'ta AppLovin ile reklam tanımlayıcısı paylaşımı, ATT (Uygulama İzleme Şeffaflığı) iznine de bağlıdır. ATT izni verilmemişse IDFA, diğer ayarlardan bağımsız olarak AppLovin ile paylaşılmaz.
10.2 Diğer CCPA Hakları
Kaliforniya'da yerleşik kullanıcılar ayrıca hangi kişisel bilgilerin toplandığını öğrenme, silinmesini talep etme, hatalı verilerin düzeltilmesini isteme ve bu hakları kullandıkları için ayrımcılığa maruz kalmama haklarına sahiptir. Talepte bulunmak için info@faly.app adresiyle iletişime geçebilirsiniz.
Bu belge v1.3'tür. Yürürlük tarihi: 2026-06-24.
Faly Privacy Notice
Version: 1.3
Effective date: 2026-06-24 — this notice takes effect on its publication date
Status: v1.3
Revision note: v1.3 — finalised (D-011): counsel/pre-publication hedges removed; DPO contact set to info@faly.app; AI-chat-shared image data-flow disclosed as a second path (OpenAI US + faly S3 EEA, account-lifetime retention) per D-009 #6; billing/tax retention stated as ~7-year statutory period; processor DPA/SCC stated as in place.
1. Controller Identity
| Controller | Truemium OÜ (Osaühing) — "Truemium Studios" and "Faly" are trade/brand names of Truemium OÜ |
| Registry code (registrikood) | 17381638 |
| Registered address | Paavli tn 5a/1, Põhja-Tallinna linnaosa, 10412 Tallinn, Harju maakond, Estonia |
| Contact | info@faly.app |
| Turkey representative (KVKK) | Burak Özdemir |
| Application / DSAR channel | info@faly.app or written application to the Turkey representative or the registered address above |
| Data Protection Officer | Data Protection Officer contact: info@faly.app |
Truemium OÜ is incorporated in Estonia, a European Union member state. Accordingly, the General Data Protection Regulation (GDPR) is the primary applicable regime. The Turkish Personal Data Protection Law (KVKK) applies to users in Türkiye; KVKK requests are handled through the Turkey representative. Because the controller is established within the EU, no separate GDPR Art 27 EU Representative is required.
2. Data We Process
Faly processes the following categories of personal data:
| Category | Description |
|---|---|
| Coffee-cup photograph (user-captured image) | The app's core input; a photo taken by the user on their own device. |
| Free-text chat / Q&A content submitted to the fortune-teller | Text entered by the user in the in-app chat interface; may include personal, sensitive, or special-category content. |
| AI-generated reading / fortune interpretation | The reading text produced automatically from the chat input. |
| Identity / profile information | Name, email address, Facebook / Google identity (if social sign-in is used). |
| Advertising identifier (IDFA / AAID) | Device-level advertising ID used to serve and measure ads. |
| Purchase and subscription data | Premium subscription and in-app purchase data processed via the App Store / Google Play (StoreKit / Play Billing). |
| Push notification token | Device token used to deliver push notifications. |
| Usage and technical data | In-app activity, session duration, crash logs, device model and operating system. |
2.1 Photographs — Two Paths
Faly processes photographs in two distinct ways, depending on context:
Path A — Template / coffee-cup reading photograph: Processed on-device only. Not uploaded to our servers and not transmitted to any third party. This is a deliberate privacy-protective design choice.
Path B — Images you attach inside the AI live chat: Transmitted to OpenAI (US) for AI inference and stored in faly's S3 (EEA region). Legal basis: GDPR Art 9(2)(a) explicit consent / KVKK Art 6 açık rıza (where special-category content is involved); GDPR Art 6(1)(b) contract performance for non-special-category images. Retained for the lifetime of your account (reading-history feature); erased on account deletion.
2.2 Special-Category Personal Data — Optional
Chat content submitted to Faly may contain special-category personal data. The special-category fields we may process are: sexual life, sexual orientation, relationship status, marital status, occupation, and spiritual / religious content expressed in chat.
All special-category data is strictly optional and collected only if you voluntarily include it in your chat content. You are under no obligation to share information about sexual orientation, religious beliefs, or any other sensitive topic. The service operates regardless of whether you choose to share such information.
Such data is processed solely on the basis of your explicit consent (GDPR Art 9(2)(a) / KVKK Art 6). A separate explicit-consent request is presented before this data is processed; you may withdraw that consent at any time. Legitimate interests is not a valid basis for these data.
3. Purposes and Legal Bases
Each processing activity is mapped to its lawful basis below. Legitimate interests is not a valid basis for special-category data.
| Purpose | Data Category | Lawful Basis |
|---|---|---|
| Fortune reading generation (AI / automated processing) | Chat content | Art 6(1)(b) contract performance; special-category content: Art 9(2)(a) explicit consent |
| AI-chat-shared images — AI inference (OpenAI) + storage (faly S3, EEA) | Images attached by user within the AI live chat | Art 9(2)(a) explicit consent (special-category basis); Art 6(1)(b) contract performance for non-special-category images |
| Processing of special-category content (chat) | Sexual life, relationship / marital status, occupation, spiritual / religious content | Art 9(2)(a) explicit consent — sole valid basis |
| Authentication and account management | Identity / profile information | Art 6(1)(b) contract performance |
| Advertising (ads are served by AppLovin using its own network; ad mediation is not enabled — shared with AppLovin for ad delivery and measurement; may constitute a "sale or share" under CCPA/CPRA — see §10) | Advertising identifier (IDFA / AAID) | Art 6(1)(f) legitimate interests; Art 6(1)(a) consent where ATT authorisation is obtained; California opt-out right per §10 |
| Gold credit purchase management | Purchase data | Art 6(1)(b) contract performance |
| Push notification delivery | Push notification token | Art 6(1)(b) contract performance |
| App security, crash detection, and improvement | Usage and technical data | Art 6(1)(f) legitimate interests |
AI model training: No data of any kind is used for AI model training.
3.1 AI / Automated Processing — Disclosure
The Faly fortune-reading chat is AI-powered (automated) and is not conducted by a human reader. When you submit chat content, it is processed by an automated artificial intelligence system operated by OpenAI. There is no human fortune-teller reading or responding to your messages. The "Online" or "Fortune Reader" indicator in the app reflects AI availability, not a human operator.
Your fortune reading is generated fully automatically using the chat content you enter. This processing is for entertainment purposes and is not intended to produce legal effects or similarly significant consequences for you. You have the right to object to fully automated processing that produces a result against your interests (GDPR Art 22; KVKK Art 11(e) — see also Section 7).
4. Recipients and Processors
| Recipient | Role | Data Received | Purpose |
|---|---|---|---|
| OpenAI (US) | AI inference provider (processor) | Chat / Q&A content and images attached within the AI chat | Fortune reading generation — AI-automated, not human |
| AWS (Amazon Web Services) / faly S3 (EEA region) | Cloud storage and transactional email (processor) | Profile data, purchase records, transactional email delivery; AI-chat-shared images stored in faly's S3 bucket (EEA region) | App data storage, account notification delivery, and AI-chat image storage |
| Firebase / Google (US) | Push notifications and analytics (processor) | Push notification token, usage and technical data | Push notification delivery, crash reporting and app analytics |
| RevenueCat (US) | In-app purchase management (processor) | Purchase data (Gold credit transactions) | IAP validation and entitlement management |
| AppLovin | Advertising network (processor) — AppLovin's own network only; ad mediation is not enabled | Advertising identifier (IDFA / AAID) | Ad delivery and measurement |
| Apple App Store / Google Play | Store operator | Purchase data | IAP processing |
| Google (Google Analytics 4) | Web analytics provider (processor) — US-based | Web usage data (page views, session durations, click flows) | Landing page analytics — on by default; the user can turn it off at any time via the cookie tab |
OpenAI model-training position: OpenAI does not use API-submitted chat content to train its models.
Photographs — two paths: Template/cup-reading photographs (Path A) are not transmitted to any third party; processed on-device only. Images attached within the AI live chat (Path B) are transmitted to OpenAI (US) for AI inference and stored in faly's S3 (EEA region).
5. International Transfers
| Recipient | Processing Region | Data Transferred | Transfer Mechanism / Safeguard |
|---|---|---|---|
| OpenAI | USA | Chat / Q&A content | Each processor is engaged under a Data Processing Agreement (DPA). International transfers to the US rely on the EU Standard Contractual Clauses (SCCs). OpenAI: DPA accepted; SCCs. For Türkiye users: KVKK cross-border transfer mechanism. |
| AWS | EEA | Profile data, purchase records, email | Processing within the EEA — no additional transfer mechanism required. AWS: DPA + SCCs auto-incorporated in AWS Service Terms. |
| Firebase / Google | USA | Push token, usage data | DPA in place; SCCs. |
| RevenueCat | USA | Purchase data | DPA in place; SCCs. |
| AppLovin (own network only; ad mediation not enabled) | USA / Global | Advertising identifier | DPA in place; SCCs. |
| Google LLC (Google Analytics 4) | USA | Web usage data — on by default; active unless the user turns it off | DPA in place; SCCs. |
Note: Template/cup-reading photographs (Path A) are not transferred internationally. Images attached within the AI live chat (Path B) are transmitted to OpenAI (US, SCCs) and stored in faly's S3 (EEA).
6. Retention Periods
Personal data is retained for as long as necessary for the purpose plus applicable statutory retention periods.
| Data Category | Retention Period / Criterion |
|---|---|
| Template / cup-reading photograph (Path A) | Processed on-device only; not retained on our servers. |
| AI-chat content + chat-shared images (Path B) | Retained for the account lifetime (reading-history feature); erased on account deletion. |
| Chat / Q&A content | For the lifetime of the account or until deleted by the user; deleted on account closure (subject to statutory retention obligations). |
| AI-generated reading | For the lifetime of the account or until deleted by the user; deleted on account closure (subject to statutory retention obligations). |
| Identity / profile information | For the lifetime of the account; deleted or anonymised on account closure. |
| Advertising identifier (IDFA/AAID) | Until consent is withdrawn, account closure, or OS-level reset. |
| Purchase and subscription data | approximately 7 years (Estonian Accounting Act + EU VAT recordkeeping obligations). |
| Push notification token | Until consent is withdrawn, account closure, or OS-level reset. |
| Usage and technical data | For as long as necessary for the purpose; typically between 90 days and 2 years. |
When the retention period expires or the retention purpose no longer applies, data is deleted, destroyed, or anonymised under a periodic-destruction schedule. Deletion requests are actioned within 30 days (consistent with the KVKK statutory response window).
7. Your Rights
7.1 Rights under GDPR (Art 15–22)
- Access (Art 15) — to obtain confirmation of whether and how your data is processed, and a copy.
- Rectification (Art 16) — to have inaccurate data corrected.
- Erasure (Art 17) — to request deletion where one of the grounds in Art 17(1) applies.
- Restriction (Art 18) — to restrict processing in defined circumstances.
- Portability (Art 20) — to receive personal data you provided in a structured, machine-readable format and to transmit it to another controller.
- Object (Art 21) — to object to processing based on legitimate interests, including profiling; and to object to fully automated processing (Art 22).
- Withdraw consent (Art 7(3)) — to withdraw consent at any time without affecting the lawfulness of prior processing.
- Complain — to lodge a complaint with your supervisory authority (in Türkiye: Kişisel Verileri Koruma Kurumu, kvkk.gov.tr; in the EU / EEA: your national DPA; in Estonia: Andmekaitse Inspektsioon, aki.ee).
7.2 Facebook / Google Sign-In
If you choose to sign in with Facebook or Google, Faly receives the identity data shared by those platforms at the point of authentication. You may alternatively register with an email address. Please refer to the respective platform privacy policies for their data practices.
8. How to Exercise Your Rights
To exercise any of the rights listed above, contact us through the following channel:
Email: info@faly.app
Turkey representative: Burak Özdemir
Address: Paavli tn 5a/1, Põhja-Tallinna linnaosa, 10412 Tallinn, Harju maakond, Estonia
We will respond within 30 days of receiving your request (consistent with the KVKK statutory window). In certain cases, a fee may be charged where requests are manifestly unfounded or excessive.
9. Updates to This Notice
When this notice is updated, the new version and effective date will be published at the same URL and announced in-app. For material changes, additional notice may be provided.
9a. Cookies and Similar Technologies
The faly.app website ("Landing") uses cookies and local storage (localStorage) in the following categories:
Strictly Necessary: Essential for the basic functions of the site. This category does not require consent and is always active. faly-lang (language preference, 1st party, localStorage) falls within this category.
Analytics: Helps us understand how visitors use the site. Google Analytics 4 cookies (_ga, _ga_<container-id>) fall within this category and are on by default. You can turn analytics cookies off at any time via the cookie tab at the bottom of the page; when you do, these cookies are removed and Google Analytics stops operating.
A cookie tab is visible at the edge of the page showing which categories are active. You can expand it to change your preferences at any time. You can also update your preferences via the "Cookie preferences" link in the site footer.
For detailed information about cookie types, retention periods, and third parties used, please refer to our Cookie Policy.
10. California Residents — CCPA / CPRA
10.1 Advertising Identifier Sharing
Faly displays advertising through its ad partner AppLovin. To serve and measure ads, Faly shares your device advertising identifier (IDFA on iOS; Advertising ID on Android) with AppLovin. Under the California Consumer Privacy Act (CCPA) as amended by the CPRA, sharing a personal identifier with a third party for cross-context behavioural advertising may constitute a "sale" or "share" of personal information, even if no money changes hands.
You have the right to opt out. California residents may opt out of the sale or sharing of their personal information by exercising the "Do Not Sell or Share My Personal Information" choice within the App settings.
iOS — App Tracking Transparency: On iOS, sharing the advertising identifier with AppLovin is also conditional on your App Tracking Transparency (ATT) permission. If you have not granted ATT permission, the IDFA is not shared with AppLovin regardless of other settings.
10.2 Other CCPA Rights
California residents also have the right to know what personal information is collected, to request deletion, to correct inaccurate data, and to non-discrimination for exercising these rights. To submit a request, contact us at info@faly.app.
This document is v1.3. Effective date: 2026-06-24.