Gila Çocuk Güvenliği Bildirimi

Bu, kolaylığınız için sağlanan bir çeviridir. Bağlayıcı olan sürüm İngilizcedir; bir farklılık olması hâlinde İngilizce sürüm esas alınır.

Sade dilde özet: Gila, 16 yaş ve üzeri yetişkinler içindir. Bilerek 16 yaşından küçük kullanıcı kabul etmiyoruz. Bir kullanıcının 16 yaşından küçük (veya hangisi daha yüksekse, yerel dijital rıza yaşından küçük) olduğunu keşfedersek, hesabı askıya alır, verileri yedi gün içinde sileriz ve kayıtlı adresi bilgilendiririz. Bu bildirim, 16+ yaşını neden seçtiğimizi, bir çocuk kapıdan geçerse ne olduğunu ve ebeveynlerin, vasilerin ve denetim otoritelerinin bize nasıl ulaşabileceğini açıklar.

Bu bildirim, ana Gizlilik Politikasının bir yol arkadaşıdır. Yargı alanına özgü notlar (AB/UK, Türkiye, İsviçre), reşit olmayanlarla ilgili tüm sorular için bu belgeye çapraz referans verir.

---

1. Asgari yaş ve nasıl kontrol ediyoruz

Gila, her kullanıcının 16 yaşında veya daha büyük olmasını gerektirir. Yaş kontrolü iki noktada gerçekleştirilir:

1. Hesap oluşturma — başlangıcın LegalConsentGate adımı, kullanıcının en az 16 yaşında olduğunu onaylamak için olumlu şekilde işaretlemesi gereken bir onay kutusu sunar. Bu onay kutusunu otomatik olarak işaretlemeyiz; kullanıcı olumlu bir eylemde bulunmadıkça form ilerlemez. Rıza kaydı (zaman damgası, politika sürümü, IP'den türetilen ülke, uygulama sürümü), GDPR Md 7(1) ve KVKK Madde 5 kapsamında denetim kanıtı olarak public.consent_log'da kalıcı hale getirilir.
2. Devam eden kendi kendini beyan — bir kullanıcı daha sonra profilini düzenlediğinde (örn. aktivite hedefi kişiselleştirmesi için kullanılan doğum tarihi veya doğum yılı alanlarını güncellediğinde), ortaya çıkan yaş yeniden hesaplanır. 16 yaş altını ima edecek bir profil değişikliği, uygulama katmanında reddedilir.

Şu anda devlet kimliği tabanlı yaş doğrulama veya üçüncü taraf yaş güvencesi (örn. Yoti, AgeChecked) uygulamıyoruz. Gila, GLP-1 ilaçları kullanan yetişkinleri ve yetişkine yönelik davranış değişikliği içeriğini hedef alan bir alışkanlık-ve-sağlık-takip uygulamasıdır; kimlik doğrulama, gerçek reşit olmayan risk profiliyle orantısız olur (ürünün kendisi 16 yaş altı kullanıcılar için çok az cazibeye sahiptir). Bu duruşu yıllık olarak yeniden değerlendiriyoruz ve düzenleyici rehberlik değişirse (örn. Birleşik Krallık Bilgi Komiseri Ofisi'nin Yaşa Uygun Tasarım Kuralları önerilen yöntemlerini sıkılaştırması) veya gözlemlenen reşit olmayan kayıtlar dahili bir eşiği aşarsa, üçüncü taraf yaş güvencesini benimseriz.

Bu bildirimin yürürlük tarihi itibarıyla henüz lansmandan önceyiz ve denetlenmiş bir referans noktasına karşı reşit olmayan kayıt gözlemlemedik; ilk 6 aylık rakam bir sonraki gözden geçirme döngüsünde eklenecektir.

---

2. Neden 16+ ve daha düşük bir yaş değil

Gila global olarak faaliyet gösterir. Farklı yargı alanları farklı "dijital rıza yaşı" eşikleri belirler — bir çocuğun ebeveyn yetkisi olmadan bir bilgi toplumu hizmeti için geçerli rıza verebileceği yaş:

En yüksek değeri (16) seçmek, bölge bazında dallanmadan kaçınır, herhangi bir pazar için ebeveyn onayı iş akışları oluşturma ihtiyacını ortadan kaldırır ve savunulabilir tek bir küresel standart sunar. Ödünleşim, yerel rejimleri altında hizmeti yasal olarak kullanabilecek 13-15 yaş arası kullanıcıları dışlamamızdır. Bunu kabul edilebilir buluyoruz çünkü:

• Ürün, yetişkin metabolik sağlık yolculukları (GLP-1 ilaç takibi, kalori tarama, ruh hali ve günlük yansımaları) için tasarlanmıştır.
• Madde 9 / Madde 6 özel nitelikli sağlık verisini — vücut ağırlığı, ilaç, doz, yan etki şiddeti, zihinsel durum verisi, diyet alımı — ölçekte işliyoruz.
• AI tarafından üretilen içerik (Google Gemini koçluğu, yemek görüşü, anlatı raporları) kullanıyoruz. 18 yaş altı kullanıcılar, Birleşik Krallık Yaşa Uygun Tasarım Kuralları'nın 15 standartlı kontrol listesini ve EU AI Act'in Md 5(1)(b)'deki çocuğa özgü güvencelerini çekerdi; bunların hiçbirini şu anda işletecek kaynağımız yok.
• Daha düşük bir eşik, bizi ayrı bir çocuk hesabı UX'i, varsayılan yüksek gizlilik ayarları, basitleştirilmiş açıklamalar, uygun yaş içeriği kontrolleri ve bir ebeveyn onayı iş akışı oluşturmaya zorlardı. Bu, küçük bir beklenen çocuk kullanıcı tabanı için çok çeyrekli bir mühendislik yatırımı olurdu.

Türkiye, ek açıklama gerektirir çünkü Türk medeni hukuku tam sözleşmesel ehliyeti 18 olarak belirler ve KVKK Kurulu (2020/65 Kararı ve ilgili rehberlik), reşit olma yaşının altındaki bir küçükten özel nitelikli veri için geçerli açık rızanın genellikle ebeveyn yetkilendirmesi gerektirdiğini ifade etmiştir. 16+ kapımız bu nedenle Türkiye'deki 16 ve 17 yaşındaki kullanıcıların özel nitelikli olmayan özellikler için hizmeti kullanmasına izin verirken, LegalConsentGate ayrıca kullanıcının kendi yerel hukuku altında geçerli açık rıza verebileceği yaşa ulaştığının açık teyidini gerektirir. Bu açıklamanın Türkçe versiyonu için ./jurisdictions/turkey.md § 10'a bakın.

---

3. 16 yaşından küçük bir kullanıcı yine de kayıt olursa ne olur

Kendi kendini beyana güvendiğimiz için, bazı reşit olmayan kullanıcıların dürüst olmayan şekilde kayıt olması öngörülebilir. Reşit olmayan bir hesabı keşfettiğimizde — bir ebeveyn, vasi, okul, öğretmen, denetim otoritesi veya kendi moderasyon sinyallerimizden bir raporla (örn. okul çağı yaşam olaylarına referansları ortaya çıkaran günlük içeriği incelemesi) — şu prosedürü izleriz:

1. Anında askıya alma (T+0) — hesap, keşiften itibaren bir iş günü içinde devre dışı bırakılır. Kullanıcı artık giriş yapamaz, yeni veri kaydedemez veya bildirim alamaz.
2. E-posta bildirimi (T+0 ila T+1) — kayıtlı e-postaya, askıya almayı, nedenini, itiraz hakkını (örn. reşit olmayan iddiasının bir hata olması ve kullanıcının aslında 16+ olması durumunda) ve doğrulanmış bir itiraz için bizimle nasıl iletişime geçileceğini açıklayan bir bildirim gönderilir. Bir ebeveyn veya vasi raporu yaptıysa ve iletişim bilgilerini sağladıysa, onlar da bilgilendirilir.
3. Veri silme (T+0 ila T+7) — askıya almadan yedi gün içinde (veya bir itiraz sunulmuşsa itiraz penceresi kapandıktan yedi gün sonra), hesap kaydı, bağlı tüm kişisel veri, tüm depolama nesneleri (avatarlar, alışkanlık kanıtı fotoğrafları), tüm push tokenleri, tüm bülten abonelikleri ve tüm aşağı akış işleyen izleri (uygulanabildiğinde Firebase, RevenueCat), sıradan silme talepleri için kullanılan aynı hat üzerinden silinir. Yedekler ek 30 gün içinde devrilir.
4. Rıza günlüğü saklama — orijinal kayıt için rıza makbuzu, user_id yabancı anahtarı NULL olarak ayarlanarak Md 7(1) kapsamında denetim kanıtı olarak korunur.
5. Dahili kayıt — keşif, askıya alma ve silme, tetikleyici (örn. "ebeveyn tarafından COPPA kendi kendine bildirimi") ve sonuç (örn. "T+5 günde silindi") ile birlikte DSAR defterimizde kayıt altına alınır.
6. İadeler — hesabın ücretli bir aboneliği varsa, uygulama içi mağazanın normal iade penceresinden bağımsız olarak, iyi niyet göstergesi olarak en son dönemi iade ederiz. Kullanıcının ödeme verisini saklamayız; iadeler Apple App Store veya Google Play üzerinden normal akışlarında işlenir.

Bir çocuğun hesabının bir yetişkin tarafından yayınlanan içerik barındırdığına dair güvenilir bir rapor alırsak (örn. bir yetişkinin bir çocuğun hesabına günlük kaydı yazması), herhangi bir cezai hukuk sevki için gereken kanıtları ayrıca korur ve uygun Türk veya hedef ülke otoritesine danışırız.

---

4. COPPA (Amerika Birleşik Devletleri, 13 yaş altı)

ABD Çocukların Çevrimiçi Gizliliğinin Korunması Yasası (15 USC §§ 6501-6506), 13 yaşından küçük çocuklardan kişisel bilginin "bilerek toplanmasını" düzenler. Konumumuz:

• 13 yaşından küçük çocuklardan bilerek kişisel bilgi toplamıyoruz.
• Gila çocuklara yönelik değildir. Pazarlamamız, içeriğimiz ve özellik setimiz, GLP-1 ilaçları kullanan veya yetişkin davranış değişikliği hedefleri peşinde koşan yetişkinleri hedefler.
• 13 yaşından küçük bir çocuktan kişisel bilgi topladığımızı öğrenirsek: (a) hesabı derhal askıya alırız, (b) kişisel bilgiyi sistemlerimizden 30 gün içinde sileriz, (c) kayıtlı e-postaya bir bildirim göndeririz (bu senaryoda, FTC'nin COPPA Kuralı bunun makul olarak bir ebeveyne ulaşacak şekilde hesaplanmasını yönlendirir — bir ebeveyne yönelik bildirim URL'si ve derhal silme talimatları sağlarız) ve (d) aşağı akış işleyenlere (Firebase, RevenueCat) COPPA "fiili bilgi" güvenli liman zaman çizelgesi kapsamında yansıtılan herhangi bir veriyi silmelerini talimat veririz.
• Çocuklarının Gila'ya kişisel bilgi verdiğini düşünen ebeveynler, çocuğun e-posta adresiyle dpo@gila.coach ile iletişime geçebilir; ebeveynin kimliğini (16 CFR § 312.5(b)'de listelenen doğrulanabilir ebeveyn onayı yöntemlerine göre) doğrular ve silme talebini ücretsiz olarak işleriz.

COPPA uyumlu bir 13 yaş altı alt ürün (örn. doğrulanabilir ebeveyn onayı ve sınırlı kişisel bilgi toplama içeren bir "Gila Kids" hesap türü) işletmiyoruz. Böyle bir alt ürün oluşturmak beklemeye alınmıştır ve v1 veya v2 yol haritasında değildir.

---

5. GDPR-K ve AB üye devleti dijital rıza yaşları

GDPR Md 8, 13 ile 16 yaş arasında "bilgi toplumu hizmetleriyle ilgili çocuğun rızası" kuralını uygular; kesin yaş, aktarma hukukunda her üye devlet tarafından belirlenir. Yerel dijital rıza yaşının altındaki bir çocuk Gila'yı kullandığında, işlemenin hukuki dayanağı çocuktan değil, ebeveyn sorumluluğu sahibinden gelmelidir.

Kapımız 16'ya ayarlandığından, her AB üye devletindeki eşiğin üzerindeyiz ve hepsinde kullanıcı tarafından verilen rızayı kabul ederiz. Bir ebeveyn veya vasi, dijital rıza yaşı daha düşük olan bir üye devlette (örn. İspanya'da 14 yaşındaki biri) 16 yaşından küçük bir çocuğun Gila'yı kullandığını iddia ederse, kullanıcı hesabını herhangi bir reşit olmayan keşifle aynı şekilde ele alırız: askıya al, bildir, 7 gün içinde sil. Paralel bir "ebeveyn onayı doğrulanmış" hesap yolu tutmuyoruz çünkü — yukarıda § 2'de açıklandığı gibi — bir tane oluşturmak, hizmet verdiğimiz reşit olmayan nüfusla orantısız olurdu.

AB/EEA dijital rıza yaşı için üye devlet aktarım referansları (kapsamlı olmayan): Belçika 13, Hırvatistan 16, Kıbrıs 14, Çekya 15, Danimarka 13, Estonya 13, Finlandiya 13, Fransa 15, Almanya 16, Yunanistan 15, Macaristan 16, İzlanda 13, İrlanda 16, İtalya 14, Letonya 13, Liechtenstein 16, Litvanya 14, Lüksemburg 16, Malta 13, Hollanda 16, Norveç 13, Polonya 16, Portekiz 13, Romanya 16, Slovakya 16, Slovenya 15, İspanya 14, İsveç 13. [DEĞİŞKEN — son doğrulama: 2026-05-16; bir sonraki gözden geçirmeden önce denetim otoritesi yayınlarını kontrol edin]

---

6. Birleşik Krallık Yaşa Uygun Tasarım Kuralları

Birleşik Krallık ICO'nun Yaşa Uygun Tasarım Kuralları (2 Eylül 2021'de yürürlüğe girdi), 18 yaşından küçük kullanıcılar için "çocuklar tarafından erişilmesi muhtemel çevrimiçi hizmetlerin" karşılaması gereken 15 standart belirler. Gila, 18 yaşından küçük kullanıcılar için tasarlanmamıştır — içeriğimiz, pazarlamamız, dağıtım kanallarımız ve özellik setimiz yetişkine yöneliktir — ve kullanıcı popülasyonunu 18 yaş altı kohortun dışında tutmak için 16+ kapımızı uygularız.

Ancak, bir Birleşik Krallık kullanıcısının sinyalleri herhangi bir noktada 18 yaşından küçük olabileceğini gösteriyorsa (örn. bir profil düzenlemesinde daha sonra 18 yaş altı durumu ortaya çıkaran kendi bildirilen yaş, veya okul çağı bir yaşam olayını öneren uygulama içi içerik), hesabı durum çözülene kadar AADC varsayılan yüksek gizlilik beklentilerine tabi olarak ele alırız. Pratikte bu şu anlama gelir: analitik kapalı, pazarlama e-postası bastırılmış, AI özellikleri rızası iptal edilmiş, çıkarımsal profilleme yok. Kullanıcıya (a) 16+ durumunu onaylamak ve isterse özellikleri yeniden etkinleştirmek veya (b) § 3'teki reşit olmayan prosedürü kapsamında silme talep etmek için net bir yol sunulur.

Şu anda ayrı bir Birleşik Krallık-AADC uyumlu 18 yaş altı hesap türü işletmiyoruz. ICO rehberliği, açıkça yetişkin hizmetlerinin operatörlerinin bunu yapmasını gerektirmez; operatörlerin kullanıcı yaşına dair kendilerini makul önlemlerle güvence altına almasını gerektirir, ki kendi kendini beyan kapımız devam eden gözden geçirmeye tabi olarak bunu karşılar. ICO, sağlık verisi hizmetleri için daha katı güvence zorunlu kılacak şekilde AADC'yi güncellerse yeniden gözden geçireceğiz.

---

7. Bir küçükle ilgili endişeleri bildirme

Ebeveynler, vasiler, öğretmenler, okul yöneticileri, denetim otoriteleri, gazeteciler veya herhangi bir ilgili taraf, aşağıdakilerle dpo@gila.coach adresine e-posta göndererek reşit olmayan bir hesap veya reşit olmayan veri ifşasını bildirebilir:

• Hesap e-posta adresi (biliniyorsa)
• Endişenin nedeni (örn. "çocuğum bana bir hesap oluşturduğunu söyledi, 14 yaşında")
• Bildiren kişinin ebeveyn veya yasal vasi olup olmadığı (girişte kanıt istemiyoruz, ancak raporun yerine getirilmesi için ilgisiz kişisel veriden gizlenmiş bir ebeveyn yetki belgesinin kopyası gibi makul doğrulama talep edebiliriz)
• Tercih edilen yanıt kanalı ve dil (İngilizce, Türkçe, İspanyolca)

Bu tür raporları 72 saat içinde onaylıyor ve § 3'te açıklanan askıya alma ve silme prosedürünü yedi gün içinde tamamlıyoruz.

Raporlar ayrıca kontrolörün kayıtlı adresine (dpo@gila.coach üzerinden veya bir denetim otoritesinden talep üzerine mevcut) veya yazılı olarak gönderilebilir. Türkiye'de ikamet eden bildiricileri, aynı kanal aracılığıyla KVKK Madde 11 haklarını kullanabilir; resmi başvuru prosedürü için ./jurisdictions/turkey.md § 8'e bakın.

---

8. İletişim

• Veri Sorumlusu Temsilcisi: dpo@gila.coach — bir küçüğün hesabı veya verisiyle ilgili herhangi bir endişe için birincil kanal
• Genel destek: support@gila.coach
• AB Temsilcisi (GDPR Md 27): atanma sürecinde; bu ara dönemde dpo@gila.coach ile iletişime geçin
• Birleşik Krallık Temsilcisi (UK GDPR Md 27): atanma sürecinde; bu ara dönemde dpo@gila.coach ile iletişime geçin

Çocukların verisiyle ilgili denetim otoriteleri ./jurisdictions/eu-uk.md § 4'te (ICO, AEPD, CNIL, BfDI), ./jurisdictions/turkey.md § 9'da (KVKK Kurulu) ve ./jurisdictions/switzerland.md § 7'de (FDPIC) listelenmiştir.