Faly Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni
Versiyon: 1.4
Yürürlük tarihi: 2026-10-21, bu belgenin yayına alındığı tarih
1. Veri Sorumlusu Kimliği
| Veri Sorumlusu | Truemium OÜ (Osaühing) — "Truemium Studios" ve "Faly" ticari markalarının sahibi |
| Sicil No (registrikood) / Registry code | 17381638 |
| Kayıtlı Adres | Paavli tn 5a/1, Põhja-Tallinna linnaosa, 10412 Tallinn, Harju maakond, Estonia |
| İletişim | info@faly.app |
| Başvuru Kanalı | info@faly.app veya yukarıdaki kayıtlı adrese yazılı başvuru |
| Veri Koruma Sorumlusu (DPO) | Veri Koruma Sorumlusu (DPO) iletişim: info@faly.app |
Truemium OÜ, Avrupa Birliği üyesi Estonya'da kurulu bir şirkettir. Kişisel verilerinizin işlenmesinde birincil olarak AB Genel Veri Koruma Tüzüğü (GDPR) uygulanır. Türkiye'de yaşayan kullanıcılar için 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) da uygulanır; bu kullanıcılar KVKK'dan doğan haklarını da aşağıdaki başvuru kanallarından kullanabilir.
2. İşlenen Kişisel Veriler ve Kategorileri
Faly uygulaması aşağıdaki kişisel veri kategorilerini işlemektedir:
| Kategori | Açıklama |
|---|---|
| Sohbet içeriği | Yapay zeka koçuyla sohbette yazdığınız mesajlar; kişisel, hassas veya özel nitelikli bilgiler içerebilir. |
| Koçun yanıtları | Sohbet içeriğinize göre yapay zeka tarafından otomatik üretilen yanıtlar. |
| Kimlik / profil bilgileri | Ad ve e-posta adresi; sosyal giriş kullanırsanız Apple, Google veya Facebook hesap kimliğiniz (Apple ile girişte Apple'ın paylaştığı e-posta veya gizli aktarım adresi dahil). |
| Reklam tanımlayıcısı (IDFA) | Cihaz düzeyinde reklam kimliği; reklamların gösterilmesi ve ölçümlenmesi amacıyla işlenir. |
| Satın alma verisi | App Store üzerinden gerçekleştirilen uygulama içi satın alma verileri. |
| Anlık bildirim jetonu (Push token) | Kullanıcıya bildirim gönderilmesini sağlayan cihaz jetonu. |
| Kullanım ve teknik veriler | Uygulama içi etkinlik, oturum süreleri, hata kayıtları, cihaz modeli ve işletim sistemi bilgisi. |
2.1 Fotoğraflar
Faly, fotoğrafları yalnızca yapay zeka sohbeti içinde eklediğinizde işler:
Yapay zeka sohbetinde eklediğiniz görseller: Yapay zeka çıkarımı için OpenAI'ya (ABD) iletilir ve Faly'nin AEA bölgesindeki S3 depolama alanında saklanır. Hukuki dayanak: özel nitelikli içerik varsa GDPR Madde 9(2)(a) / KVKK Madde 6 açık rıza; diğer görseller için GDPR Madde 6(1)(b) / KVKK Madde 5(2)(c) sözleşmenin ifası. Saklama süresi için bkz. §6.
2.2 Özel Nitelikli Kişisel Veriler — İsteğe Bağlı
Faly'ye ilettiğiniz sohbet içerikleri özel nitelikli kişisel veri içerebilir. Sohbette paylaşabileceğiniz özel nitelikli veriler özellikle şunlardır: sağlık bilgileri (ruh sağlığı, duygu durumu ve fiziksel sağlık dahil), cinsel hayat, cinsel yönelim ve dini veya felsefi inançlar.
Tüm özel nitelikli veriler kesinlikle isteğe bağlıdır ve yalnızca siz bu bilgileri sohbette gönüllü olarak paylaşırsanız işlenir. Sağlık, cinsel yönelim, dini inanç veya diğer hassas konularda bilgi paylaşmak hiçbir şekilde zorunlu değildir. Bu tür bilgileri paylaşıp paylaşmamanızdan bağımsız olarak hizmetten yararlanabilirsiniz.
Bu veriler yalnızca açık rızanıza dayanılarak işlenir (GDPR Madde 9(2)(a) / KVKK Madde 6). Bu veriler için ayrı bir Açık Rıza Metni sunulur; rızanızı her zaman geri alabilirsiniz. Bu veriler için meşru menfaat geçerli bir hukuki dayanak değildir.
3. İşleme Amaçları ve Hukuki Dayanaklar
Her işleme faaliyeti için ayrı hukuki dayanak aşağıdaki tabloda belirtilmiştir. Özel nitelikli veriler için meşru menfaat geçerli bir dayanak değildir.
| Amaç | İşlenen Veri Kategorisi | Hukuki Dayanak |
|---|---|---|
| Koç yanıtlarının oluşturulması (yapay zeka / otomatik işleme) | Sohbet içeriği | GDPR Madde 6(1)(b) / KVKK Madde 5(2)(c) sözleşmenin ifası; özel nitelikli içerik için GDPR Madde 9(2)(a) / KVKK Madde 6 açık rıza |
| Yapay zeka sohbetinde paylaşılan görseller — yapay zeka çıkarımı (OpenAI) ve depolama (Faly S3, AEA) | Yapay zeka sohbetinde eklediğiniz görseller | Özel nitelikli içerik için GDPR Madde 9(2)(a) / KVKK Madde 6 açık rıza; diğer görseller için GDPR Madde 6(1)(b) / KVKK Madde 5(2)(c) sözleşmenin ifası |
| Özel nitelikli içeriğin işlenmesi (sohbet) | Sağlık (ruh sağlığı dahil), cinsel hayat, cinsel yönelim, dini veya felsefi inançlar | GDPR Madde 9(2)(a) / KVKK Madde 6 açık rıza — tek dayanak |
| Kimlik doğrulama ve hesap yönetimi | Kimlik / profil bilgileri | GDPR Madde 6(1)(b) / KVKK Madde 5(2)(c) sözleşmenin ifası |
| Kişiselleştirilmiş reklam ve reklam ölçümü (AppLovin'in kendi ağı; reklam aracılığı (mediation) etkin değildir; CCPA/CPRA kapsamında "satış veya paylaşım" sayılabilir — bkz. §10) | Reklam tanımlayıcısı (IDFA) | GDPR Madde 6(1)(a) / KVKK Madde 5(1) açık rıza (iOS ATT izni ve Açık Rıza Metni Kapsam 3); California kullanıcıları için §10 kapsamında vazgeçme hakkı |
| Kişiselleştirilmemiş reklam gösterimi (IDFA kullanılmadan) | Kullanım ve teknik veriler | GDPR Madde 6(1)(f) / KVKK Madde 5(2)(f) meşru menfaat |
| Altın kredi satın alma yönetimi | Satın alma verisi | GDPR Madde 6(1)(b) / KVKK Madde 5(2)(c) sözleşmenin ifası |
| Anlık bildirim gönderimi | Push token | GDPR Madde 6(1)(b) / KVKK Madde 5(2)(c) sözleşmenin ifası |
| Uygulama güvenliği, hata tespiti ve iyileştirme | Kullanım ve teknik veriler | GDPR Madde 6(1)(f) / KVKK Madde 5(2)(f) meşru menfaat |
Yapay zeka model eğitimi: Verilerinizin hiçbiri yapay zeka modeli eğitiminde kullanılmaz.
3.1 Yapay Zeka / Otomatik İşleme — Açıklama
Faly koçu yapay zeka (otomatik) desteklidir; bir insan değildir. Sohbet içeriği gönderdiğinizde, bu içerik OpenAI tarafından işletilen otomatik bir yapay zeka sistemi tarafından işlenmektedir. Mesajlarınızı okuyan veya yanıtlayan bir insan bulunmamaktadır. Uygulamadaki koç adı, profil veya "Çevrimiçi" göstergesi, bir insan operatörün değil, yapay zekanın müsaitliğini yansıtmaktadır.
Sohbetteki yanıtlar, girdiğiniz sohbet içerikleri kullanılarak tamamen otomatik biçimde üretilmektedir. Bu işlem herhangi bir hukuki sonuç ya da sizin için önemli bir etki doğurmayı hedeflememektedir. GDPR Madde 22 ve KVKK Madde 11(e) kapsamında otomatik sistemler aracılığıyla aleyhinize bir sonuç çıkmasına itiraz etme hakkınız saklıdır.
3.2 Tıbbi veya Psikolojik Hizmet Değildir
Faly bir iyi oluş ve koçluk uygulamasıdır; tıbbi veya psikolojik hizmet değildir. Acil durumda 112'yi arayın.
4. Kişisel Verilerin Aktarıldığı Taraflar
| Alıcı / İşleyen | Rol | Aktarılan Veri | Amaç |
|---|---|---|---|
| OpenAI (ABD) | Yapay zeka çıkarım sağlayıcısı (işleyen) | Sohbet içeriği ve yapay zeka sohbetinde eklenen görseller | Koç yanıtlarının oluşturulması — yapay zeka ile otomatik; insan tarafından değil |
| AWS (Amazon Web Services) / Faly S3 (AEA bölgesi) | Bulut depolama ve işlemsel e-posta (işleyen) | Profil verisi, satın alma kayıtları, işlemsel e-posta iletimi; yapay zeka sohbetinde paylaşılan görseller Faly'nin AEA bölgesindeki S3 depolama alanında saklanır | Uygulama veri depolama, hesap bildirimi iletimi ve yapay zeka sohbeti görsel depolama |
| Firebase / Google (ABD) | Anlık bildirimler ve analitik (işleyen) | Push token, kullanım ve teknik veriler | Anlık bildirim iletimi, kilitlenme raporlama ve uygulama analizi |
| RevenueCat (ABD) | Uygulama içi satın alma yönetimi (işleyen) | Satın alma verisi (Altın kredi işlemleri) | IAP doğrulama ve yetki yönetimi |
| AppLovin | Reklam ağı (işleyen) — yalnızca AppLovin'in kendi ağı; reklam aracılığı (mediation) etkin değildir | Reklam tanımlayıcısı (IDFA) | Reklam gösterimi ve ölçümleme |
| Apple App Store | Mağaza operatörü | Satın alma verisi | IAP işleme |
| Google (Google Analytics 4) | Web analitik sağlayıcısı (işleyen) — ABD merkezli | Web kullanım verileri (sayfa görüntülemeleri, oturum süreleri, tıklama akışları) | Landing sayfası analizi — varsayılan olarak açıktır; kullanıcı çerez sekmesinden istediği zaman kapatabilir |
OpenAI model eğitim politikası: OpenAI, API aracılığıyla işlenen sohbet içeriklerini model eğitimi için kullanmaz.
Fotoğraflar: Yapay zeka sohbetinde eklenen görseller yapay zeka çıkarımı için OpenAI'ya (ABD, SCC'ler) iletilir ve Faly'nin S3 depolama alanında (AEA) saklanır.
5. Yurt Dışına Aktarım
Kişisel verileriniz, hizmetin sunulması için yurt dışındaki alıcılara aktarılabilmektedir.
| Alıcı | İşleme Bölgesi | Aktarılan Veri | Koruma Mekanizması |
|---|---|---|---|
| OpenAI | ABD | Sohbet içeriği ve sohbette paylaşılan görseller | Her işleyen ile bir Veri İşleme Sözleşmesi (DPA) yapılmıştır; ABD'ye aktarımlar AB Standart Sözleşme Maddeleri'ne (SCC) dayanır. Türkiye'deki kullanıcıların verileri için de aynı sözleşmesel güvenceler uygulanır. |
| AWS | AEA | Profil verisi, satın alma kayıtları, e-posta | AEA içinde işleme — ek koruma mekanizması gerekmez. AWS: DPA + SCCs, AWS Hizmet Koşullarına otomatik olarak dahildir. |
| Firebase / Google | ABD | Push token, kullanım verisi | DPA mevcut; SCC'ler. |
| RevenueCat | ABD | Satın alma verisi | DPA mevcut; SCC'ler. |
| AppLovin (yalnızca kendi ağı; reklam aracılığı etkin değil) | ABD / Küresel | Reklam tanımlayıcısı | DPA mevcut; SCC'ler. |
| Google LLC (Google Analytics 4) | ABD | Web kullanım verileri — varsayılan olarak açıktır; kullanıcı kapatmadıkça etkin | DPA mevcut; SCC'ler. |
Not: Yapay zeka sohbetinde paylaşılan görseller OpenAI'ya (ABD, SCC'ler) iletilir ve Faly'nin S3 depolama alanında (AEA) saklanır.
6. Saklama Süreleri
Kişisel verileriniz, işleme amacı için gerekli olduğu sürece ve ilgili yasal saklama süreleri kadar saklanır.
| Veri Kategorisi | Saklama Süresi / Kriteri |
|---|---|
| Sohbet içeriği, koçun yanıtları ve sohbette paylaşılan görseller | Hesabınız açık olduğu sürece veya siz silene kadar sohbet geçmişi olarak saklanır; hesap silindiğinde yok edilir (yasal saklama yükümlülükleri hariç). |
| Kimlik / profil bilgileri | Hesap aktif olduğu sürece; hesap kapanışında silinir veya anonimleştirilir. |
| Reklam tanımlayıcısı (IDFA) | Rıza geri çekilene, hesap kapanışına veya OS düzeyinde sıfırlamaya kadar. |
| Satın alma verisi | Yaklaşık 7 yıl (Estonya Muhasebe Kanunu + AB KDV kayıt yükümlülükleri). |
| Push token | Rıza geri çekilene, hesap kapanışına veya OS düzeyinde sıfırlamaya kadar. |
| Kullanım ve teknik veriler | Amaç için gerekli olduğu süre kadar; tipik olarak 90 gün ile 2 yıl arasında. |
Saklama süresi sona erdiğinde ya da saklama gerekçesi ortadan kalktığında veriler, periyodik imha planı kapsamında silinmekte, yok edilmekte veya anonim hale getirilmektedir. Veri silme talepleriniz 30 gün içinde sonuçlandırılmaktadır.
7. İlgili Kişi Hakları
Truemium OÜ AB'de kurulu bir veri sorumlusu olduğundan GDPR birincil uygulanan rejimdir ve bu haklar Türkiye'deki kullanıcılar dahil tüm kullanıcılara uygulanır. KVKK kapsamındaki ek haklar aşağıda ayrıca belirtilmiştir.
7.1 GDPR Kapsamındaki Haklar (Madde 15–22)
- Erişim (Madde 15) — verilerinizin işlenip işlenmediğini, nasıl işlendiğini öğrenme ve bir kopyasını talep etme.
- Düzeltme (Madde 16) — hatalı veya eksik verilerin düzeltilmesini isteme.
- Silme (Madde 17) — Madde 17(1)'de sayılan koşulların varlığı hâlinde verilerin silinmesini isteme.
- İşlemenin kısıtlanması (Madde 18) — belirli koşullarda işlemenin sınırlandırılmasını talep etme.
- Veri taşınabilirliği (Madde 20) — sağladığınız verileri yapılandırılmış, makine tarafından okunabilir bir biçimde alma ve başka bir veri sorumlusuna aktarılmasını isteme.
- İtiraz (Madde 21) — meşru menfaate dayalı işleme ve profilleme dahil işleme faaliyetlerine itiraz etme; tamamen otomatik karar almaya (Madde 22) itiraz etme.
- Rızayı geri alma (Madde 7(3)) — rızaya dayalı her işleme faaliyeti için rızanızı istediğiniz zaman geri alma; geri alma önceki işlemlerin hukuka uygunluğunu etkilemez.
- Şikayet — denetim makamına şikayette bulunma (bkz. aşağıda Denetim Makamları).
7.2 KVKK Kapsamındaki Haklar (Madde 11)
6698 sayılı KVKK kapsamında aşağıdaki haklara da sahipsiniz:
- Kişisel verilerinizin işlenip işlenmediğini öğrenme
- İşlenmişse buna ilişkin bilgi talep etme
- İşlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
- Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
- Eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme ve bu işlemin aktarılan üçüncü kişilere bildirilmesini isteme
- İşleme şartlarının ortadan kalkması hâlinde silinmesini veya yok edilmesini isteme ve bu işlemin aktarılan üçüncü kişilere bildirilmesini talep etme
- Münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme (KVKK Md. 11(e) / GDPR Madde 22)
- Kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme
7.3 Denetim Makamları
Kişisel verilerinizin işlenmesine ilişkin şikayetlerinizi aşağıdaki yetkili denetim makamlarına iletebilirsiniz:
- GDPR kapsamında (Estonya / AB): Andmekaitse Inspektsioon (AKI) — aki.ee
- KVKK kapsamında (Türkiye): Kişisel Verileri Koruma Kurumu (KVKK) — kvkk.gov.tr
7.4 Apple, Google veya Facebook ile Giriş
Apple, Google veya Facebook ile giriş yapmayı tercih ederseniz Faly, giriş sırasında ilgili platformun paylaştığı kimlik verilerini alır. Dilerseniz e-posta adresinizle de kayıt olabilirsiniz. Bu platformların veri uygulamaları için kendi gizlilik politikalarına başvurmanızı öneririz.
8. Başvuru
Haklarınızı kullanmak için aşağıdaki kanalları kullanabilirsiniz:
E-posta: info@faly.app
Adres: Paavli tn 5a/1, Põhja-Tallinna linnaosa, 10412 Tallinn, Harju maakond, Estonia
Başvurunuz 30 gün içinde sonuçlandırılır. Başvurular ücretsizdir; açıkça dayanaksız veya aşırı taleplerde makul bir ücret talep edebilir ya da talebi reddedebiliriz.
9. Değişiklikler
Bu metin güncellendiğinde yeni versiyon ve yürürlük tarihi belirtilerek aynı adreste yayımlanacak ve uygulama içinde duyurulacaktır. Önemli değişiklikler için ek bildirim yapılabilir.
9a. Çerezler ve Benzeri Teknolojiler
faly.app adresindeki web sitesi ("Landing"), aşağıdaki kategorilerde çerez ve yerel depolama (localStorage) öğeleri kullanmaktadır:
Kesinlikle Gerekli: Sitenin temel işlevleri için zorunludur. Bu kategori rıza gerektirmez ve her zaman etkindir. faly-lang (dil tercihi, 1. taraf, localStorage) bu kapsamdadır.
Analitik: Ziyaretçilerin siteyi nasıl kullandığını anlamamızı sağlar. Google Analytics 4 çerezleri (_ga, _ga_<container-id>) bu kapsamdadır ve varsayılan olarak açıktır. Analitik çerezleri istediğin zaman sayfanın altındaki çerez sekmesinden kapatabilirsin; kapatman hâlinde bu çerezler kaldırılır ve Google Analytics devre dışı bırakılır.
Sayfanın köşesinde bir çerez sekmesi (kulakçık) belirir; hangi kategorilerin açık olduğunu buradan görebilir ve istediğin zaman değiştirebilirsin. Tercihlerini sayfanın altındaki "Çerez tercihleri" bağlantısıyla da güncelleyebilirsin.
Çerez türleri, saklama süreleri ve kullanılan üçüncü taraflar hakkında ayrıntılı bilgi için Çerez Politikası'na başvurunuz.
10. Kaliforniya Eyaleti Kullanıcıları — CCPA / CPRA
10.1 Reklam Tanımlayıcısının Paylaşımı
Faly, reklam ortağı AppLovin aracılığıyla reklam göstermektedir. Reklamların sunulması ve ölçümlenmesi amacıyla Faly, cihazınızın reklam tanımlayıcısını (IDFA) AppLovin ile paylaşmaktadır. Kaliforniya Tüketici Gizlilik Yasası (CCPA) ve CPRA kapsamında, kişisel bir tanımlayıcının çapraz bağlamlı davranışsal reklamcılık amacıyla üçüncü taraflarla paylaşılması, herhangi bir para alışverişi gerçekleşmese dahi kişisel bilgilerin "satışı veya paylaşımı" olarak değerlendirilebilir.
Vazgeçme hakkınız bulunmaktadır. Kaliforniya'da yerleşik kullanıcılar, uygulama ayarlarındaki "Kişisel Bilgilerimi Satma veya Paylaşma" seçeneğini kullanarak bu paylaşımdan vazgeçebilir.
iOS — Uygulama İzleme Şeffaflığı (ATT): iOS'ta AppLovin ile reklam tanımlayıcısı paylaşımı, ATT (Uygulama İzleme Şeffaflığı) iznine de bağlıdır. ATT izni verilmemişse IDFA, diğer ayarlardan bağımsız olarak AppLovin ile paylaşılmaz.
10.2 Diğer CCPA Hakları
Kaliforniya'da yerleşik kullanıcılar ayrıca hangi kişisel bilgilerin toplandığını öğrenme, silinmesini talep etme, hatalı verilerin düzeltilmesini isteme ve bu hakları kullandıkları için ayrımcılığa maruz kalmama haklarına sahiptir. Talepte bulunmak için info@faly.app adresiyle iletişime geçebilirsiniz.
Bu belge v1.4'tür. Yürürlük tarihi: 2026-10-21.
Faly Privacy Notice
Version: 1.4
Effective date: 2026-10-21, the date this notice is published
1. Controller Identity
| Controller | Truemium OÜ (Osaühing) — "Truemium Studios" and "Faly" are trade/brand names of Truemium OÜ |
| Registry code (registrikood) | 17381638 |
| Registered address | Paavli tn 5a/1, Põhja-Tallinna linnaosa, 10412 Tallinn, Harju maakond, Estonia |
| Contact | info@faly.app |
| Application / DSAR channel | info@faly.app or a written request to the registered address above |
| Data Protection Officer | Data Protection Officer contact: info@faly.app |
Truemium OÜ is a company established in Estonia, an EU member state. The EU General Data Protection Regulation (GDPR) is the primary regime for our processing. For users in Türkiye, the Turkish Personal Data Protection Law No. 6698 (KVKK) also applies, and those users can exercise their KVKK rights through the channels below.
2. Data We Process
Faly processes the following categories of personal data:
| Category | Description |
|---|---|
| Chat content | Messages you write in chats with the AI coach; may include personal, sensitive or special-category information. |
| Coach replies | Replies generated automatically by AI from your chat content. |
| Identity / profile information | Name and email address; if you use social sign-in, your Apple, Google or Facebook account identifier (with Sign in with Apple, including the email or private relay address Apple shares). |
| Advertising identifier (IDFA) | Device-level advertising ID used to serve and measure ads. |
| Purchase data | In-app purchase data processed via the App Store (StoreKit). |
| Push notification token | Device token used to deliver push notifications. |
| Usage and technical data | In-app activity, session duration, crash logs, device model and operating system. |
2.1 Photographs
Faly processes photographs only when you attach them inside the AI chat:
Images you attach in the AI chat: Transmitted to OpenAI (US) for AI inference and stored in Faly's S3 storage in the EEA region. Legal basis: GDPR Art 9(2)(a) / KVKK Art 6 explicit consent where special-category content is involved; GDPR Art 6(1)(b) / KVKK Art 5(2)(c) contract performance for other images. For retention, see §6.
2.2 Special-Category Personal Data — Optional
Chat content you submit to Faly may contain special-category personal data. The special-category data you may share in chat is in particular: health information (including mental health, mood and physical health), sex life, sexual orientation, and religious or philosophical beliefs.
All special-category data is strictly optional and processed only if you voluntarily include it in your chat. You are under no obligation to share information about your health, sexual orientation, religious beliefs or any other sensitive topic. The service works whether or not you share such information.
Such data is processed solely on the basis of your explicit consent (GDPR Art 9(2)(a) / KVKK Art 6). A separate Explicit Consent Statement is presented for this data; you may withdraw that consent at any time. Legitimate interests is not a valid basis for these data.
3. Purposes and Legal Bases
Each processing activity is mapped to its lawful basis below. Legitimate interests is not a valid basis for special-category data.
| Purpose | Data Category | Lawful Basis |
|---|---|---|
| Generating coach replies (AI / automated processing) | Chat content | GDPR Art 6(1)(b) / KVKK Art 5(2)(c) contract performance; special-category content: GDPR Art 9(2)(a) / KVKK Art 6 explicit consent |
| AI-chat images — AI inference (OpenAI) and storage (Faly S3, EEA) | Images you attach in the AI chat | Special-category content: GDPR Art 9(2)(a) / KVKK Art 6 explicit consent; other images: GDPR Art 6(1)(b) / KVKK Art 5(2)(c) contract performance |
| Processing of special-category content (chat) | Health (including mental health), sex life, sexual orientation, religious or philosophical beliefs | GDPR Art 9(2)(a) / KVKK Art 6 explicit consent — sole basis |
| Authentication and account management | Identity / profile information | GDPR Art 6(1)(b) / KVKK Art 5(2)(c) contract performance |
| Personalised advertising and ad measurement (served by AppLovin on its own network; ad mediation is not enabled; may constitute a "sale or share" under CCPA/CPRA — see §10) | Advertising identifier (IDFA) | GDPR Art 6(1)(a) / KVKK Art 5(1) consent (iOS ATT permission and Explicit Consent Statement Scope 3); California opt-out right per §10 |
| Non-personalised advertising (without the IDFA) | Usage and technical data | GDPR Art 6(1)(f) / KVKK Art 5(2)(f) legitimate interests |
| Gold credit purchase management | Purchase data | GDPR Art 6(1)(b) / KVKK Art 5(2)(c) contract performance |
| Push notification delivery | Push notification token | GDPR Art 6(1)(b) / KVKK Art 5(2)(c) contract performance |
| App security, crash detection and improvement | Usage and technical data | GDPR Art 6(1)(f) / KVKK Art 5(2)(f) legitimate interests |
AI model training: No data of any kind is used for AI model training.
3.1 AI / Automated Processing — Disclosure
The Faly coach is AI-powered (automated) and is not a human. When you submit chat content, it is processed by an automated artificial intelligence system operated by OpenAI. No human reads or responds to your messages. Any coach name, profile or "Online" indicator in the app reflects AI availability, not a human operator.
Replies in the chat are generated fully automatically using the chat content you enter. This processing is not intended to produce legal effects or similarly significant consequences for you. You have the right to object to fully automated processing that produces a result against your interests (GDPR Art 22; KVKK Art 11(e) — see also Section 7).
3.2 Not a Medical or Psychological Service
Faly is a well-being and coaching app, not a medical or psychological service. In a crisis, call 112 or your local emergency number.
4. Recipients and Processors
| Recipient | Role | Data Received | Purpose |
|---|---|---|---|
| OpenAI (US) | AI inference provider (processor) | Chat content and images attached in the AI chat | Generating coach replies — AI-automated, not human |
| AWS (Amazon Web Services) / faly S3 (EEA region) | Cloud storage and transactional email (processor) | Profile data, purchase records, transactional email delivery; AI-chat-shared images stored in faly's S3 bucket (EEA region) | App data storage, account notification delivery, and AI-chat image storage |
| Firebase / Google (US) | Push notifications and analytics (processor) | Push notification token, usage and technical data | Push notification delivery, crash reporting and app analytics |
| RevenueCat (US) | In-app purchase management (processor) | Purchase data (Gold credit transactions) | IAP validation and entitlement management |
| AppLovin | Advertising network (processor) — AppLovin's own network only; ad mediation is not enabled | Advertising identifier (IDFA) | Ad delivery and measurement |
| Apple App Store | Store operator | Purchase data | IAP processing |
| Google (Google Analytics 4) | Web analytics provider (processor) — US-based | Web usage data (page views, session durations, click flows) | Landing page analytics — on by default; the user can turn it off at any time via the cookie tab |
OpenAI model-training position: OpenAI does not use API-submitted chat content to train its models.
Photographs: Images attached in the AI chat are transmitted to OpenAI (US) for AI inference and stored in Faly's S3 (EEA region).
5. International Transfers
| Recipient | Processing Region | Data Transferred | Transfer Mechanism / Safeguard |
|---|---|---|---|
| OpenAI | USA | Chat content and chat-shared images | Each processor is engaged under a Data Processing Agreement (DPA). Transfers to the US rely on the EU Standard Contractual Clauses (SCCs). The same contractual safeguards apply to data of users in Türkiye. |
| AWS | EEA | Profile data, purchase records, email | Processing within the EEA — no additional transfer mechanism required. AWS: DPA + SCCs auto-incorporated in AWS Service Terms. |
| Firebase / Google | USA | Push token, usage data | DPA in place; SCCs. |
| RevenueCat | USA | Purchase data | DPA in place; SCCs. |
| AppLovin (own network only; ad mediation not enabled) | USA / Global | Advertising identifier | DPA in place; SCCs. |
| Google LLC (Google Analytics 4) | USA | Web usage data — on by default; active unless the user turns it off | DPA in place; SCCs. |
Note: Images attached in the AI chat are transmitted to OpenAI (US, SCCs) and stored in Faly's S3 (EEA).
6. Retention Periods
Personal data is retained for as long as necessary for the purpose plus applicable statutory retention periods.
| Data Category | Retention Period / Criterion |
|---|---|
| Chat content, coach replies and chat-shared images | Kept as chat history for the lifetime of the account or until you delete it; erased on account deletion (subject to statutory retention obligations). |
| Identity / profile information | For the lifetime of the account; deleted or anonymised on account closure. |
| Advertising identifier (IDFA) | Until consent is withdrawn, account closure, or OS-level reset. |
| Purchase data | approximately 7 years (Estonian Accounting Act + EU VAT recordkeeping obligations). |
| Push notification token | Until consent is withdrawn, account closure, or OS-level reset. |
| Usage and technical data | For as long as necessary for the purpose; typically between 90 days and 2 years. |
When the retention period expires or the retention purpose no longer applies, data is deleted, destroyed, or anonymised under a periodic-destruction schedule. Deletion requests are actioned within 30 days.
7. Your Rights
7.1 Rights under GDPR (Art 15–22)
- Access (Art 15) — to obtain confirmation of whether and how your data is processed, and a copy.
- Rectification (Art 16) — to have inaccurate data corrected.
- Erasure (Art 17) — to request deletion where one of the grounds in Art 17(1) applies.
- Restriction (Art 18) — to restrict processing in defined circumstances.
- Portability (Art 20) — to receive personal data you provided in a structured, machine-readable format and to transmit it to another controller.
- Object (Art 21) — to object to processing based on legitimate interests, including profiling; and to object to fully automated processing (Art 22).
- Withdraw consent (Art 7(3)) — to withdraw consent at any time without affecting the lawfulness of prior processing.
- Complain — to lodge a complaint with your supervisory authority (in Türkiye: Kişisel Verileri Koruma Kurumu, kvkk.gov.tr; in the EU / EEA: your national DPA; in Estonia: Andmekaitse Inspektsioon, aki.ee).
7.2 Sign in with Apple, Google or Facebook
If you choose to sign in with Apple, Google or Facebook, Faly receives the identity data that platform shares at sign-in. You may also register with an email address. Please refer to each platform's privacy policy for its data practices.
8. How to Exercise Your Rights
To exercise any of the rights listed above, contact us through the following channel:
Email: info@faly.app
Address: Paavli tn 5a/1, Põhja-Tallinna linnaosa, 10412 Tallinn, Harju maakond, Estonia
We will respond within 30 days of receiving your request. Requests are free of charge; where a request is manifestly unfounded or excessive, we may charge a reasonable fee or refuse it.
9. Updates to This Notice
When this notice is updated, the new version and effective date will be published at the same URL and announced in-app. For material changes, additional notice may be provided.
9a. Cookies and Similar Technologies
The faly.app website ("Landing") uses cookies and local storage (localStorage) in the following categories:
Strictly Necessary: Essential for the basic functions of the site. This category does not require consent and is always active. faly-lang (language preference, 1st party, localStorage) falls within this category.
Analytics: Helps us understand how visitors use the site. Google Analytics 4 cookies (_ga, _ga_<container-id>) fall within this category and are on by default. You can turn analytics cookies off at any time via the cookie tab at the bottom of the page; when you do, these cookies are removed and Google Analytics stops operating.
A cookie tab is visible at the edge of the page showing which categories are active. You can expand it to change your preferences at any time. You can also update your preferences via the "Cookie preferences" link in the site footer.
For detailed information about cookie types, retention periods, and third parties used, please refer to our Cookie Policy.
10. California Residents — CCPA / CPRA
10.1 Advertising Identifier Sharing
Faly displays advertising through its ad partner AppLovin. To serve and measure ads, Faly shares your device advertising identifier (IDFA) with AppLovin. Under the California Consumer Privacy Act (CCPA) as amended by the CPRA, sharing a personal identifier with a third party for cross-context behavioural advertising may constitute a "sale" or "share" of personal information, even if no money changes hands.
You have the right to opt out. California residents may opt out of the sale or sharing of their personal information by exercising the "Do Not Sell or Share My Personal Information" choice within the App settings.
iOS — App Tracking Transparency: On iOS, sharing the advertising identifier with AppLovin is also conditional on your App Tracking Transparency (ATT) permission. If you have not granted ATT permission, the IDFA is not shared with AppLovin regardless of other settings.
10.2 Other CCPA Rights
California residents also have the right to know what personal information is collected, to request deletion, to correct inaccurate data, and to non-discrimination for exercising these rights. To submit a request, contact us at info@faly.app.
This document is v1.4. Effective date: 2026-10-21.