Gizlilik Politikası ve KVKK Aydınlatma Metni

Son güncelleme: 7 Ekim 2026

Bu metin, TONE Almanca öğrenme uygulaması ("Uygulama") ve web sitesi kapsamında kişisel verilerinin nasıl işlendiğini 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) md. 10 uyarınca ve AB Genel Veri Koruma Tüzüğü (GDPR) md. 13–14 kapsamında açıklar.

1. Veri sorumlusu

[Ad Soyad / iletişim e-postası]
Tüm sorular ve başvurular için bu e-posta adresine yazabilirsin.

2. Hangi verileri işliyoruz?

Veri	Ne zaman	Amaç
Ad, soyad, kullanıcı adı	Kayıtta	Hesabın oluşturulması, profil, referans davetlerinde gösterim
E-posta adresi	Kayıtta / Google ile girişte	Giriş, şifre sıfırlama kodu, hesapla ilgili bildirimler
Telefon numarası (zorunlu)	Kayıtta	Bir telefon numarasıyla yalnızca bir hesap açılabilmesi; böylece referans ödüllerinin (ücretsiz Pro günleri) ve ücretsiz hakların çoklu hesapla kötüye kullanılmasının önlenmesi; hesap kurtarma ve hesap güvenliği. Numaran reklam veya pazarlama için kullanılmaz, kimseyle paylaşılmaz.
Şifre özeti	Kayıtta	Giriş. Şifrenin kendisi saklanmaz; yalnızca tek yönlü özeti (PBKDF2) saklanır.
Google hesap kimliği	Google ile girişte	Google ile giriş (Google'dan yalnızca kimlik, ad ve e-posta alınır)
Öğrenme ilerlemesi	Kullanırken	Kelime kartları, XP, istatistik, hedef ve seviye. Büyük kısmı yalnızca cihazında saklanır.
Cihaz kimliği	Uygulama açıldığında	Uygulamanın ürettiği rastgele kimlik: günlük hak sayımı, oturum yönetimi, referans kötüye kullanımının önlenmesi (bir cihazdan sınırlı sayıda ödüllü kayıt)
Yapay zekâ girdileri	Yalnızca bir "Yapay zekâ" düğmesine dokunduğunda	Yazdığın metin, konuşma dökümü veya seçtiğin kelime/cümle, geri bildirim üretmek için yapay zekâ sağlayıcısına gönderilir (bkz. madde 5). Aynı isteğin tekrar ücret/kota harcamaması için yanıt, sunucu belleğinde en fazla 24 saat tutulur.
Dilbilgisi kontrolü metni	Kontrol özelliğini kullandığında	Kendi sunucumuzda çalışan LanguageTool ile kontrol edilir; üçüncü tarafa gönderilmez ve saklanmaz.
Yapay zekâ hak kullanımı	Yapay zekâ kullanıldığında	Günlük/aylık hak sınırları
Satın alma bilgisi	Pro aboneliğinde	Google Play satın alma anahtarı ve Pro süresi (ödeme bilgilerini biz görmeyiz; ödemeyi Google işler)
Reklam verileri	Ücretsiz sürümde	Google AdMob; reklam kimliği, IP adresi, cihaz bilgisi Google tarafından işlenir
Sunucu kayıtları	Her istekte	IP adresi, zaman, istek yolu: güvenlik, hata ayıklama, kaba kuvvet saldırılarının önlenmesi
Aktif gün sayısı	Giriş yaptığında / uygulama açıldığında	Uygulamayı kaç farklı gün kullandığın ve son aktif günün (yalnızca tarih). Referans ödülü: davet eden, davet ettiği kişi 3 farklı gün aktif olunca Pro günlerini alır.
Hata raporları (Sentry)	Yalnızca hata raporlama açıksa, uygulama veya sunucu çöktüğünde	Hata türü, yığın izi (stack trace), uygulama sürümü, cihaz modeli ve işletim sistemi sürümü: hataları bulup düzeltmek. Yazdığın metinler, ad, e-posta, telefon gibi kişisel içerik gönderilmez. Hata raporlama yapılandırılmadıysa hiçbir veri gönderilmez.

Telefon numarası doğrulaması şu an SMS ile yapılmamaktadır. İleride Firebase Phone Auth (Google) ile SMS doğrulaması açılırsa numaran bu amaçla Google'a iletilir ve bu metin güncellenir.

3. İşleme amaçları ve hukuki sebepler

Hesabın açılması, girişin sağlanması, uygulama hizmetlerinin ve Pro aboneliğinin sunulması — KVKK md. 5/2(c) sözleşmenin kurulması ve ifası; GDPR md. 6/1(b).
Bir numara = bir hesap, referans ve ücretsiz hak kötüye kullanımının önlenmesi, hesap güvenliği, sunucu kayıtları — KVKK md. 5/2(f) meşru menfaat; GDPR md. 6/1(f).
Yasal yükümlülükler (ör. vergi, yetkili makam talepleri) — KVKK md. 5/2(ç); GDPR md. 6/1(c).
Yapay zekâ geri bildirimi — yalnızca sen istediğinde, istediğin hizmetin ifası için: KVKK md. 5/2(c); GDPR md. 6/1(b).
Kişiselleştirilmiş reklam — açık rızana dayanır (KVKK md. 5/1; GDPR md. 6/1(a)); rıza vermezsen kişiselleştirilmemiş reklam gösterilir. Rızanı istediğin zaman geri alabilirsin.

Verilerin elektronik ortamda, uygulama ve web sitesi üzerinden, otomatik yollarla toplanır.

4. Verileri kimlere aktarıyoruz? (Veri işleyenler)

Google (Google LLC / Google Ireland Ltd.): AdMob (reklam), Google ile Giriş, Google Play Faturalandırma. Google, verileri ABD dahil başka ülkelerde işleyebilir.
Groq, Inc. (ABD): yalnızca bir yapay zekâ düğmesine dokunduğunda, girdin geri bildirim üretmek için gönderilir. Groq Hizmet Sözleşmesi (son değişiklik 22 Haziran 2026) uyarınca Groq, girdi ve çıktıları model eğitimi için kullanmaz.
OpenRouter, Inc. (ABD): yalnızca Groq ulaşılamaz olduğunda yedek olarak ve yine yalnızca bir yapay zekâ düğmesine dokunduğunda. OpenRouter hesabımızda, girdileri model eğitimi için kullanan sağlayıcılar devre dışı bırakılmıştır.
Sentry (Functional Software, Inc., ABD): yalnızca hata raporlama açıksa, çökme verileri (kişisel içerik olmadan) hataları düzeltmek için.
Barındırma sağlayıcısı: Oracle Cloud Infrastructure (Oracle Corporation) — sunucu bölgesi: [bölge, ör. Frankfurt].
E-posta gönderimi (şifre sıfırlama kodu): [SMTP sağlayıcı, ör. Brevo / Gmail].
Yetkili kamu kurum ve kuruluşları: yalnızca hukuki zorunluluk hâlinde.

Verilerini satmayız. Yapay zekâ girdilerine kişisel bilgi (ad, adres, telefon vb.) yazmamanı öneririz.

5. Yurt dışına aktarım

Yukarıdaki sağlayıcıların bir kısmı Türkiye ve AB dışında (özellikle ABD) bulunduğundan veriler yurt dışına aktarılır. Türkiye'den aktarım, KVKK md. 9 uyarınca standart sözleşme (Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşme; imzadan sonra 5 iş günü içinde Kurum'a bildirilir) veya md. 9'da sayılan diğer uygun güvencelere dayanır. AB/AEA'dan aktarımda AB Komisyonu Standart Sözleşme Maddeleri (SCC) ve, mümkünse, AB–ABD Veri Gizliliği Çerçevesi kullanılır.

6. Saklama süreleri

Hesap verileri: hesabın açık olduğu sürece. Hesabını sildiğinde canlı veritabanından hemen silinir; yedeklerden en geç 14 gün içinde kendiliğinden çıkar.
Yapay zekâ yanıt önbelleği: en fazla 24 saat (yalnızca sunucu belleğinde).
Şifre sıfırlama kodları: 15 dakika geçerli; kullanıldıktan sonra işe yaramaz.
Günlük hak kayıtları: hesapla birlikte silinir; girişsiz cihaz kayıtları en fazla 13 ay.
Sunucu kayıtları: en fazla 30 gün.
Hata raporları (Sentry, açıksa): en fazla 90 gün.
Hesap silme talepleri: işlendikten sonra ispat amacıyla 1 yıl.
Yasal saklama yükümlülüğü olan veriler: ilgili mevzuattaki süre boyunca.

7. Hakların

KVKK md. 11 uyarınca: verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini, KVKK md. 7 şartlarıyla silinmesini/yok edilmesini isteme, bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhine bir sonuca itiraz etme ve kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme.

GDPR md. 15–22 uyarınca: erişim (15), düzeltme (16), silme (17), işlemenin kısıtlanması (18), bildirim (19), veri taşınabilirliği (20), itiraz (21) ve yalnızca otomatik karara tabi olmama (22) hakları; rızaya dayanan işlemede rızanı geri alma hakkı (md. 7/3).

Başvurularını madde 1'deki e-postaya iletebilirsin; en geç 30 gün içinde ücretsiz yanıtlanır. Hesabını uygulamadan (Profil → Hesabım → Hesabı sil) veya /hesap-sil sayfasından silebilirsin.

Yalnızca otomatik işlemeye dayanan, senin hakkında hukuki sonuç doğuran karar verilmez; yapay zekâ ve kural tabanlı puanlar yalnızca öğrenme amaçlı geri bildirimdir.

8. Şikâyet

Türkiye: Kişisel Verileri Koruma Kurulu (kvkk.gov.tr) — önce veri sorumlusuna başvurman gerekir (KVKK md. 13–14). AB/Almanya: ikamet ettiğin ülkedeki denetim makamı; Almanya'da ör. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) veya eyaletinin veri koruma makamı (ör. Berliner Beauftragte für Datenschutz und Informationsfreiheit).

9. Çocuklar

Uygulama 18 yaş ve üzeri kullanıcılar içindir ve çocuklara yönelik değildir. 18 yaşından küçük birinin hesap açtığını öğrenirsek hesabı sileriz.

10. Güvenlik

Bağlantılar HTTPS ile şifrelenir; şifreler yalnızca özet olarak saklanır; yapay zekâ anahtarları yalnızca sunucudadır, uygulamanın içinde bulunmaz; giriş denemeleri sınırlandırılır.

11. Değişiklikler

Bu metni güncelleyebiliriz; önemli değişiklikleri uygulama içinde duyururuz. Her zaman güncel sürüm bu sayfadadır.

Privacy Policy

Last updated: 7 October 2026

This notice explains how personal data is processed in the TONE German-learning app ("App") and website, in line with the EU General Data Protection Regulation (GDPR, Art. 13–14) and the Turkish Personal Data Protection Law No. 6698 (KVKK, Art. 10).

1. Controller

[Name Surname / contact e-mail]
Please send all questions and requests to this address.

2. Data we process

Data	When	Purpose
First name, last name, username	Sign-up	Creating the account, profile, shown in referral invitations
E-mail address	Sign-up / Google sign-in	Sign-in, password reset code, account notices
Phone number (required)	Sign-up	Only one account per phone number, which prevents abuse of referral rewards (free Pro days) and free credits through multiple accounts; account recovery and security. Your number is never used for advertising or marketing and is not shared.
Password hash	Sign-up	Sign-in. We never store your password, only a one-way hash (PBKDF2).
Google account ID	Google sign-in	Sign-in with Google (we receive only ID, name and e-mail)
Learning progress	While using the App	Flashcards, XP, statistics, goal and level. Most of it is stored only on your device.
Device ID	App start	A random ID created by the App: daily credit counting, sessions, preventing referral abuse (limited rewarded sign-ups per device)
AI inputs	Only when you tap an "AI" button	The text you wrote, the speaking transcript or the selected word/sentence is sent to the AI provider (see section 4). To avoid paying twice for an identical request, the answer is kept in server memory for at most 24 hours.
Grammar check text	When you use the check	Checked by LanguageTool running on our own server; not sent to third parties and not stored.
AI credit usage	When you use AI	Daily/monthly credit limits
Purchase data	Pro subscription	Google Play purchase token and Pro period (we never see payment details; Google processes the payment)
Advertising data	Free version	Google AdMob processes advertising ID, IP address and device information
Server logs	Every request	IP address, time, request path: security, debugging, preventing brute-force attacks
Active-day count	Sign-in / opening the App	On how many different days you used the App and your last active day (date only). Referral reward: the inviter gets their Pro days once the invited person has been active on 3 different days.
Error reports (Sentry)	Only if error reporting is switched on, when the App or server crashes	Error type, stack trace, app version, device model and OS version: finding and fixing bugs. No personal content (your texts, name, e-mail, phone) is sent. If error reporting is not configured, nothing is sent.

Phone numbers are currently not verified by SMS. If SMS verification via Firebase Phone Auth (Google) is enabled later, your number will be sent to Google for that purpose and this notice will be updated.

3. Purposes and legal bases

Account, sign-in, providing the App and the Pro subscription — performance of a contract, GDPR Art. 6(1)(b); KVKK Art. 5(2)(c).
One number = one account, preventing referral/credit abuse, security, server logs — legitimate interests, GDPR Art. 6(1)(f); KVKK Art. 5(2)(f).
Legal obligations — GDPR Art. 6(1)(c); KVKK Art. 5(2)(ç).
AI feedback — only on your request, to provide the requested service: GDPR Art. 6(1)(b); KVKK Art. 5(2)(c).
Personalised ads — your consent, GDPR Art. 6(1)(a); KVKK Art. 5(1). Without consent you see non-personalised ads. You can withdraw consent at any time.

4. Recipients (processors)

Google (Google LLC / Google Ireland Ltd.): AdMob (ads), Google Sign-In, Google Play Billing. Google may process data in the USA and other countries.
Groq, Inc. (USA): only when you tap an AI button. Under the Groq Services Agreement (last modified 22 June 2026) Groq does not use inputs or outputs to train models.
OpenRouter, Inc. (USA): only as a fallback when Groq is unavailable, and again only when you tap an AI button. In our OpenRouter account, providers that train on inputs are disabled.
Sentry (Functional Software, Inc., USA): only if error reporting is switched on, crash data (without personal content) to fix bugs.
Hosting: Oracle Cloud Infrastructure (Oracle Corporation) — region: [region, e.g. Frankfurt].
E-mail delivery (password reset codes): [SMTP provider, e.g. Brevo / Gmail].
Public authorities only where required by law.

We do not sell your data. Please do not type personal details (name, address, phone, …) into AI inputs.

5. International transfers

Some providers are located outside the EU/EEA and Türkiye (in particular in the USA). Transfers from the EU/EEA rely on the European Commission's Standard Contractual Clauses and, where available, the EU–US Data Privacy Framework. Transfers from Türkiye rely on standard contracts under KVKK Art. 9 (notified to the Turkish DPA within 5 business days of signature) or other appropriate safeguards listed in Art. 9.

6. Retention

Account data: as long as the account exists. After deletion it is removed from the live database immediately and drops out of backups within 14 days.
AI answer cache: max. 24 hours (server memory only).
Password reset codes: valid for 15 minutes.
Credit usage: deleted with the account; anonymous device records max. 13 months.
Server logs: max. 30 days.
Error reports (Sentry, if switched on): max. 90 days.
Deletion requests: 1 year after handling, as proof.
Data subject to statutory retention: for the statutory period.

7. Your rights

Under GDPR Art. 15–22: access (15), rectification (16), erasure (17), restriction (18), notification (19), data portability (20), objection (21) and not being subject to solely automated decisions (22); and withdrawal of consent (Art. 7(3)). Under KVKK Art. 11: to learn whether your data is processed, request information, learn the purpose and recipients, request correction or deletion, request notification of third parties, object to solely automated results against you and claim compensation.

Send requests to the e-mail in section 1; we answer free of charge within 30 days. You can delete your account in the App (Profile → My account → Delete account) or at /delete-account.

No decisions with legal effect are made solely by automated means; AI and rule-based scores are learning feedback only.

8. Complaints

EU/Germany: the supervisory authority of your country of residence; in Germany e.g. The Federal Commissioner for Data Protection and Freedom of Information (BfDI) or your federal state's authority (e.g. Berliner Beauftragte für Datenschutz und Informationsfreiheit). Türkiye: Personal Data Protection Board (KVKK Kurulu), kvkk.gov.tr — after first applying to the controller.

9. Children

The App is intended for users aged 18 and over and is not directed to children. If we learn that a person under 18 created an account, we delete it.

10. Security

Connections use HTTPS; passwords are stored only as hashes; AI keys exist only on the server, never in the App; sign-in attempts are rate-limited.

11. Changes

We may update this notice and will announce important changes in the App. The current version is always on this page.

Datenschutzerklärung

Stand: 7. Oktober 2026

Diese Erklärung beschreibt, wie personenbezogene Daten in der Deutsch-Lern-App TONE („App“) und auf der Website verarbeitet werden – gemäß Art. 13–14 DSGVO und Art. 10 des türkischen Datenschutzgesetzes Nr. 6698 (KVKK).

1. Verantwortlicher

[Vorname Nachname / Kontakt-E-Mail]
Bitte richte alle Fragen und Anträge an diese Adresse.

2. Welche Daten wir verarbeiten

Daten	Wann	Zweck
Vorname, Nachname, Benutzername	Registrierung	Kontoerstellung, Profil, Anzeige bei Einladungen
E-Mail-Adresse	Registrierung / Google-Anmeldung	Anmeldung, Code zum Zurücksetzen des Passworts, Kontohinweise
Telefonnummer (Pflichtfeld)	Registrierung	Pro Telefonnummer nur ein Konto – so wird Missbrauch von Einladungsprämien (kostenlose Pro-Tage) und Gratis-Guthaben über Mehrfachkonten verhindert; Kontowiederherstellung und Sicherheit. Die Nummer wird nie für Werbung oder Marketing genutzt und nicht weitergegeben.
Passwort-Hash	Registrierung	Anmeldung. Das Passwort selbst wird nie gespeichert, nur ein Einweg-Hash (PBKDF2).
Google-Konto-ID	Google-Anmeldung	Anmeldung mit Google (wir erhalten nur ID, Name und E-Mail)
Lernfortschritt	Bei der Nutzung	Karteikarten, XP, Statistik, Ziel und Niveau. Größtenteils nur auf deinem Gerät gespeichert.
Geräte-ID	App-Start	Von der App erzeugte Zufalls-ID: Zählung der Tageskontingente, Sitzungen, Schutz vor Einladungsmissbrauch (begrenzte Zahl prämierter Registrierungen pro Gerät)
KI-Eingaben	Nur wenn du auf eine „KI“-Schaltfläche tippst	Dein Text, das Sprech-Transkript oder das gewählte Wort/der Satz wird an den KI-Anbieter gesendet (siehe Abschnitt 4). Damit identische Anfragen nicht doppelt Kontingent verbrauchen, bleibt die Antwort höchstens 24 Stunden im Serverspeicher.
Text der Grammatikprüfung	Bei Nutzung der Prüfung	Geprüft mit LanguageTool auf unserem eigenen Server; keine Weitergabe an Dritte, keine Speicherung.
KI-Kontingentnutzung	Bei KI-Nutzung	Tages-/Monatsgrenzen
Kaufdaten	Pro-Abo	Google-Play-Kauf-Token und Pro-Laufzeit (Zahlungsdaten sehen wir nie; Google wickelt die Zahlung ab)
Werbedaten	Kostenlose Version	Google AdMob verarbeitet Werbe-ID, IP-Adresse und Geräteinformationen
Server-Logs	Bei jeder Anfrage	IP-Adresse, Zeit, Pfad: Sicherheit, Fehlersuche, Schutz vor Brute-Force-Angriffen
Anzahl aktiver Tage	Anmeldung / App-Start	An wie vielen verschiedenen Tagen du die App genutzt hast und dein letzter aktiver Tag (nur Datum). Einladungsprämie: Einladende erhalten ihre Pro-Tage, sobald die eingeladene Person an 3 verschiedenen Tagen aktiv war.
Fehlerberichte (Sentry)	Nur wenn die Fehlerberichterstattung eingeschaltet ist, bei einem Absturz der App oder des Servers	Fehlerart, Stacktrace, App-Version, Gerätemodell und Betriebssystemversion: Fehler finden und beheben. Keine persönlichen Inhalte (deine Texte, Name, E-Mail, Telefon). Ist die Fehlerberichterstattung nicht eingerichtet, wird nichts gesendet.

Telefonnummern werden derzeit nicht per SMS verifiziert. Wird später eine SMS-Verifizierung über Firebase Phone Auth (Google) aktiviert, wird die Nummer dafür an Google übermittelt und diese Erklärung aktualisiert.

3. Zwecke und Rechtsgrundlagen

Konto, Anmeldung, Bereitstellung der App und des Pro-Abos – Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO; KVKK Art. 5 Abs. 2 (c).
Eine Nummer = ein Konto, Schutz vor Einladungs-/Kontingentmissbrauch, Sicherheit, Server-Logs – berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO; KVKK Art. 5 Abs. 2 (f).
Rechtliche Pflichten – Art. 6 Abs. 1 lit. c DSGVO; KVKK Art. 5 Abs. 2 (ç).
KI-Feedback – nur auf deine Anforderung zur Erbringung der gewünschten Leistung: Art. 6 Abs. 1 lit. b DSGVO; KVKK Art. 5 Abs. 2 (c).
Personalisierte Werbung – Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; KVKK Art. 5 Abs. 1. Ohne Einwilligung siehst du nicht personalisierte Werbung. Widerruf jederzeit möglich.

4. Empfänger (Auftragsverarbeiter)

Google (Google LLC / Google Ireland Ltd.): AdMob (Werbung), Google-Anmeldung, Google-Play-Abrechnung. Google kann Daten in den USA und anderen Ländern verarbeiten.
Groq, Inc. (USA): nur wenn du auf eine KI-Schaltfläche tippst. Laut Groq Services Agreement (zuletzt geändert am 22. Juni 2026) nutzt Groq Ein- und Ausgaben nicht zum Training von Modellen.
OpenRouter, Inc. (USA): nur als Ausweichlösung, wenn Groq nicht erreichbar ist, und ebenfalls nur nach Tippen auf eine KI-Schaltfläche. In unserem OpenRouter-Konto sind Anbieter, die mit Eingaben trainieren, deaktiviert.
Sentry (Functional Software, Inc., USA): nur wenn die Fehlerberichterstattung eingeschaltet ist, Absturzdaten (ohne persönliche Inhalte) zur Fehlerbehebung.
Hosting: Oracle Cloud Infrastructure (Oracle Corporation) – Region: [Region, z. B. Frankfurt].
E-Mail-Versand (Passwort-Codes): [SMTP-Anbieter, z. B. Brevo / Gmail].
Behörden nur bei gesetzlicher Verpflichtung.

Wir verkaufen keine Daten. Bitte gib in KI-Eingaben keine persönlichen Angaben (Name, Adresse, Telefon …) ein.

5. Übermittlung in Drittländer

Einige Anbieter sitzen außerhalb der EU/des EWR und der Türkei (insbesondere in den USA). Übermittlungen aus der EU/dem EWR stützen sich auf die Standardvertragsklauseln der EU-Kommission und, soweit verfügbar, das EU-US Data Privacy Framework. Übermittlungen aus der Türkei stützen sich auf Standardverträge nach Art. 9 KVKK (Meldung an die türkische Datenschutzbehörde binnen 5 Werktagen nach Unterzeichnung) oder andere geeignete Garantien nach Art. 9.

6. Speicherdauer

Kontodaten: solange das Konto besteht. Nach der Löschung sofort aus der Live-Datenbank entfernt; aus Backups spätestens nach 14 Tagen.
KI-Antwort-Cache: max. 24 Stunden (nur Serverspeicher).
Passwort-Codes: 15 Minuten gültig.
Kontingentnutzung: mit dem Konto gelöscht; anonyme Geräteeinträge max. 13 Monate.
Server-Logs: max. 30 Tage.
Fehlerberichte (Sentry, falls eingeschaltet): max. 90 Tage.
Löschanträge: 1 Jahr nach Bearbeitung als Nachweis.
Daten mit gesetzlicher Aufbewahrungspflicht: für die gesetzliche Frist.

7. Deine Rechte

Nach Art. 15–22 DSGVO: Auskunft (15), Berichtigung (16), Löschung (17), Einschränkung (18), Mitteilung (19), Datenübertragbarkeit (20), Widerspruch (21) und keine ausschließlich automatisierte Entscheidung (22); Widerruf einer Einwilligung (Art. 7 Abs. 3). Nach Art. 11 KVKK: Auskunft über die Verarbeitung, Zweck und Empfänger, Berichtigung, Löschung, Benachrichtigung Dritter, Widerspruch gegen ausschließlich automatisierte Ergebnisse und Schadensersatz.

Anträge an die E-Mail in Abschnitt 1; Antwort kostenlos innerhalb von 30 Tagen. Konto löschen: in der App (Profil → Mein Konto → Konto löschen) oder unter /delete-account.

Es gibt keine ausschließlich automatisierten Entscheidungen mit Rechtswirkung; KI- und Regelbewertungen sind nur Lern-Feedback.

8. Beschwerde

EU/Deutschland: die Aufsichtsbehörde deines Wohnsitzlandes; in Deutschland z. B. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) oder die Behörde deines Bundeslandes (z. B. Berliner Beauftragte für Datenschutz und Informationsfreiheit). Türkei: Kişisel Verileri Koruma Kurulu (kvkk.gov.tr) – nach vorheriger Anfrage beim Verantwortlichen.

9. Kinder

Die App richtet sich an Personen ab 18 Jahren und nicht an Kinder. Erfahren wir, dass eine Person unter 18 ein Konto angelegt hat, löschen wir es.

10. Sicherheit

Verbindungen sind per HTTPS verschlüsselt; Passwörter nur als Hash gespeichert; KI-Schlüssel liegen nur auf dem Server, nie in der App; Anmeldeversuche sind begrenzt.

11. Änderungen

Wir können diese Erklärung aktualisieren und kündigen wesentliche Änderungen in der App an. Die aktuelle Fassung steht immer auf dieser Seite.