Türkçe (yetkili metin)

RYTEX — Gizlilik Politikası

Son güncelleme: 3 Temmuz 2026

Yürürlük tarihi: 3 Temmuz 2026

RYTEX ("Uygulama"), gizliliği temel ilke olarak benimser ve "yerel-öncelikli" (local-first) bir mimariyle tasarlanmıştır: sağlık verilerin kural olarak cihazından dışarı çıkmaz. Bu politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) kapsamında hangi verileri nasıl işlediğimizi açıklar.

1. VERİ SORUMLUSU

Uygulama: RYTEX

İletişim / başvuru: omrdlgr@gmail.com

(Kurumsal tüzel kişilik tescil edildiğinde unvan ve adres bu bölümde güncellenecektir.)

2. İŞLEDİĞİMİZ VE İŞLEMEDİĞİMİZ VERİLER

a) Cihazında kalan veriler (bizim erişmediğimiz): döngü/regl tarihleri, akış düzeyi, semptomlar, ruh hâli, notlar, uygulama tercihleri. Bunlar yalnızca cihazında, şifreli yerel veritabanında (SQLCipher) saklanır; sunucularımıza gönderilmez ve tarafımızca görülemez.

b) Yalnızca partner özelliğini kullanırsan işlenen veriler: telefon numaranın geri döndürülemez özeti (SHA-256 "hash"), hesap kimlik jetonu (JWT) ve partner eşleşme kaydı. Telefon doğrulaması Firebase Authentication (Google) ile yapılır: SMS kodunu iletebilmek için ham telefon numaran Google'a gönderilir (bkz. madde 8). RYTEX'in kendi sunucusu ham numarayı DEĞİL, yalnızca özetini (hash) alır ve saklar.

c) Toplamadığımız veriler: reklam tanımlayıcıları, konum, rehber, sağlık verilerinin sunucu kopyası. Ham telefon numaran RYTEX sunucularında saklanmaz; yalnızca doğrulama sırasında Google/Firebase tarafından SMS iletimi için işlenir.

3. SAĞLIK VERİLERİ (ÖZEL NİTELİKLİ)

Döngü ve semptom verileri KVKK m.6 ve GDPR Art.9 anlamında özel nitelikli/özel kategorideki kişisel veridir. Bu veriler yalnızca cihazında, senin kontrolünde işlenir; uygulamayı kullanman bu işlemeye açık rızanı oluşturur. Rızanı, verileri silerek (bkz. madde 9) her an geri çekebilirsin.

4. YEDEKLEME

Yedekleme özelliğini açarsan verilerin CİHAZINDA AES-256 ile şifrelenir ve yalnızca senin Google Drive hesabının "uygulamaya özel" (appDataFolder) alanına yüklenir. Yedek, yalnızca senin bildiğin bir parolayla korunur; bu parolayı saklamayız ve kurtaramayız. RYTEX yedeğin içeriğini okuyamaz. Google Drive'da depolama, Google'ın kendi gizlilik koşullarına tabidir.

5. HESAP VE PARTNER BAĞLANTISI

Partner paylaşımı için kurulan hesapta kimliğin telefon numarasının özetiyle (hash) temsil edilir. Paylaşılan özet veriler uçtan uca şifrelenir (X25519 anahtar değişimi + AES-256-GCM): şifreleme cihazında yapılır, sunucu yalnızca ŞİFRELİ veriyi taşır ve İÇERİĞİNİ OKUYAMAZ. Sunucuda eşleşme kaydı ve şifreli kutular dışında sağlık verisi tutulmaz.

6. BİLDİRİMLER

Hatırlatma bildirimleri yalnızca cihazında, yerel olarak oluşturulur; sunucuya veya üçüncü taraflara gönderilmez. Cihaz kilitliyken bildirim içeriği gizlenir (yalnız uygulama adı görünür).

7. İŞLEME AMAÇLARI VE HUKUKİ DAYANAK

• Çekirdek takip ve içgörüler: açık rıza (KVKK m.6/2; GDPR Art.9/2-a) ve hizmetin sunulması (GDPR Art.6/1-b).
• Hesap/partner: sözleşmenin ifası (GDPR Art.6/1-b) ve açık rıza.
• Güvenlik ve kötüye kullanım önleme (ör. oran sınırlama): meşru menfaat (GDPR Art.6/1-f).

8. HİZMET SAĞLAYICILAR (İŞLEYENLER) VE YURT DIŞI AKTARIM

Cihazdaki veriler sen silene kadar cihazında kalır. Partner sunucusundaki asgari kayıtlar (hash, eşleşme) hesabını/eşleşmeni sona erdirdiğinde silinir. Aşağıdaki hizmet sağlayıcıları sınırlı amaçlarla kullanırız ve bunlar yurt dışında (ör. ABD/AB) bulunabilir:

• Firebase Authentication (Google): partner özelliğinde telefon doğrulaması ve SMS kodu iletimi. Ham telefon numaran yalnızca bu amaçla Google tarafından işlenir.
• Firebase Crashlytics (Google): yalnızca üretim (release) sürümünde, uygulama çökme/hata tanılaması için çökme günlükleri ve cihaz/işletim sistemi bilgileri. Sağlık verisi içermez; reklam amaçlı kullanılmaz.
• Fly.io: uçtan uca şifreli partner kutularını ve asgari eşleşme kayıtlarını taşıyan sunucu altyapısı. İçeriği okuyamaz.
• Google Drive: yalnızca yedeklemeyi açarsan, senin hesabının uygulamaya özel alanında şifreli yedek.

Ham sağlık verisi yurt dışına aktarılmaz; partner paylaşımındaki sağlık verisi yalnızca uçtan uca şifreli olarak taşınır. Bu aktarımlar KVKK m.9 ve GDPR Bölüm V kapsamında değerlendirilir.

9. HAKLARIN (KVKK m.11 / GDPR Art.15-22)

Kişisel verilerine erişme, düzeltme, silme, işlemeyi kısıtlama, taşınabilirlik ve itiraz haklarına sahipsin. Cihazdaki tüm verini Ayarlar > Verileri Sil ile ya da uygulamayı kaldırarak istediğin an kalıcı olarak silebilirsin. Hesap/partner verileri için omrdlgr@gmail.com üzerinden başvurabilirsin; başvurun en geç 30 gün içinde yanıtlanır.

10. ÇOCUKLARIN GİZLİLİĞİ

Uygulama 16 yaşından küçükler için tasarlanmamıştır. 16 yaş altı bir kullanıcıya ait veri işlediğimizi tespit edersek ilgili kaydı sileriz.

11. GÜVENLİK ÖNLEMLERİ

Yerel veritabanı şifrelemesi (SQLCipher), yedeklerde AES-256, isteğe bağlı biyometrik/PIN uygulama kilidi, ekran görüntüsü engeli (FLAG_SECURE) ve aktarımda TLS kullanılır.

12. ÇEREZLER VE SDK'LAR

Mobil uygulama çerez kullanmaz ve REKLAM SDK'sı içermez. Yalnızca yukarıda (madde 8) açıklanan Firebase Authentication ve (release'te) Firebase Crashlytics tanılama bileşenlerini kullanır; bunlar reklam veya profilleme amacı taşımaz.

13. DEĞİŞİKLİKLER

Bu politikayı zaman zaman güncelleyebiliriz. Önemli değişiklikler uygulama içinde duyurulur; güncel sürüm her zaman bu ekranda yer alır.

14. İLETİŞİM VE BAŞVURU

omrdlgr@gmail.com

---

English (informational translation)

The Turkish version above is the legally authoritative text.

RYTEX — Privacy Policy

Last updated: 3 July 2026

Effective date: 3 July 2026

RYTEX ("the App") treats privacy as a founding principle and is built local-first: as a rule, your health data never leaves your device. This policy explains what we process and how, under the Turkish Personal Data Protection Law (KVKK) and the EU General Data Protection Regulation (GDPR).

1. DATA CONTROLLER

App: RYTEX

Contact / requests: omrdlgr@gmail.com

(Company name and address will be updated here once a legal entity is registered.)

2. DATA WE DO AND DO NOT PROCESS

a) Data that stays on your device (we cannot access it): cycle/period dates, flow level, symptoms, mood, notes, app preferences. These are stored only on your device in an encrypted local database (SQLCipher); they are never sent to our servers and we cannot see them.

b) Data processed only if you use the Partner feature: an irreversible digest (SHA-256 hash) of your phone number, an account token (JWT), and the partner pairing record. Phone verification is handled by Firebase Authentication (Google): to deliver the SMS code, your raw phone number is sent to Google (see Section 8). RYTEX's own server does NOT receive the raw number — only its hash, which is what it stores.

c) Data we do not collect: advertising identifiers, location, contacts, any server copy of your health data. Your raw phone number is not stored on RYTEX servers; it is processed only during verification by Google/Firebase to deliver the SMS.

3. HEALTH DATA (SPECIAL CATEGORY)

Cycle and symptom data are special-category personal data under KVKK Art. 6 and GDPR Art. 9. They are processed only on your device, under your control; using the App constitutes your explicit consent to this processing. You can withdraw consent at any time by deleting your data (see Section 9).

4. BACKUP

If you enable backup, your data is encrypted ON YOUR DEVICE with AES-256 and uploaded only to the app-specific area (appDataFolder) of your own Google Drive account. The backup is protected by a password only you know; we do not store it and cannot recover it. RYTEX cannot read the contents of your backup. Storage on Google Drive is subject to Google's own privacy terms.

5. ACCOUNT AND PARTNER CONNECTION

In the account created for partner sharing, your identity is represented by a digest (hash) of your phone number. Shared summary data is end-to-end encrypted (X25519 key exchange + AES-256-GCM): encryption happens on your device, the server only carries the ENCRYPTED data and CANNOT READ its contents. Apart from the pairing record and encrypted boxes, no health data is kept on the server.

6. NOTIFICATIONS

Reminder notifications are generated locally on your device only; they are not sent to the server or third parties. When your device is locked, notification content is hidden (only the app name is shown).

7. PURPOSES AND LEGAL BASES

• Core tracking and insights: explicit consent (KVKK Art. 6/2; GDPR Art. 9/2-a) and provision of the service (GDPR Art. 6/1-b).
• Account/partner: performance of a contract (GDPR Art. 6/1-b) and explicit consent.
• Security and abuse prevention (e.g., rate limiting): legitimate interest (GDPR Art. 6/1-f).

8. SERVICE PROVIDERS (PROCESSORS) AND INTERNATIONAL TRANSFERS

Data on your device stays there until you delete it. The minimal records on the partner server (hash, pairing) are deleted when you end your account/pairing. We use the following service providers for limited purposes, and they may be located abroad (e.g., US/EU):

• Firebase Authentication (Google): phone verification and SMS-code delivery for the Partner feature. Your raw phone number is processed by Google solely for this purpose.
• Firebase Crashlytics (Google): in production (release) builds only, crash logs and device/OS information for diagnosing app crashes. Contains no health data; not used for advertising.
• Fly.io: server infrastructure that carries end-to-end-encrypted partner boxes and minimal pairing records. It cannot read the contents.
• Google Drive: only if you enable backup, an encrypted backup in the app-specific area of your own account.

Raw health data is never transferred abroad; health data in partner sharing is carried only end-to-end encrypted. These transfers are assessed under KVKK Art. 9 and GDPR Chapter V.

9. YOUR RIGHTS (KVKK Art. 11 / GDPR Art. 15-22)

You have the rights of access, rectification, erasure, restriction of processing, portability, and objection. You can permanently delete all data on your device at any time via Settings > Delete Data, or by uninstalling the App. For account/partner data, contact omrdlgr@gmail.com; requests are answered within 30 days at the latest.

10. CHILDREN'S PRIVACY

The App is not designed for anyone under 16. If we learn that we have processed data belonging to a user under 16, we delete the relevant record.

11. SECURITY MEASURES

Local database encryption (SQLCipher), AES-256 for backups, optional biometric/PIN app lock, screenshot blocking (FLAG_SECURE), and TLS in transit.

12. COOKIES AND SDKs

The mobile app uses no cookies and contains no ADVERTISING SDKs. It uses only the Firebase Authentication and (in release builds) Firebase Crashlytics diagnostic components described in Section 8; these serve no advertising or profiling purpose.

13. CHANGES

We may update this policy from time to time. Material changes are announced in the App; the current version is always available on this screen.

14. CONTACT

omrdlgr@gmail.com

Note: This is an informational translation. The Turkish version is the legally authoritative text.