Arşiv sürümü — 1.0. Bu sayfa Gizlilik Politikası belgesinin 18 Ekim 2026 tarihli 1.0 sürümünü gösterir. 4 Kasım 2026'dan itibaren yeni kullanıcılar ve 3.0 sürümünü kabul eden mevcut kullanıcılar için güncel sürüm geçerlidir. 1.0 sürümünü kabul etmiş ve henüz 3.0'ı kabul etmemiş kullanıcılar için bu sürüm, kabul ettikleri kapsamda yürürlükte kalır.
Archived version — 1.0. This page preserves the Privacy Policy as published on 18 October 2026. From 4 November 2026 the current version applies to new users and to existing users who accept version 3.0. For users who accepted version 1.0 and have not yet accepted version 3.0, this version continues to apply to the scope they accepted.
Kısa özet
Guugy, Godkep tarafından geliştirilen bir sosyal paylaşım uygulamasıdır. Hesabını çalıştırmak, gönderilerini ve mesajlarını iletmek, güvenliğini sağlamak için gerekli olan verileri işleriz. Reklam göstermeyiz, verini satmayız, üçüncü taraf reklam veya izleme SDK'sı kullanmayız, tam konumunu istemeyiz ve ham konum koordinatını hiçbir zaman saklamayız.
- Topladığımız veriler, amaçları ve hukuki dayanakları: Bölüm 4
- Toplamadığımız veriler: Bölüm 5
- Verilerin paylaşıldığı taraflar ve yurt dışına aktarım: Bölüm 7 ve Bölüm 8
- Saklama süreleri: Bölüm 9
- Hesabını nasıl sileceğin: Bölüm 10 ve Hesap ve veri silme sayfası
- Haklarınız ve iletişim: Bölüm 11 ve Bölüm 17
1. Özet ve temel ilkeler
Bu politika, Guugy mobil uygulamasını (Android, iOS, Windows, macOS ve Linux sürümleri), Guugy API'sini ve bu politikanın yayınlandığı web sayfalarını kapsar. Verilerini aşağıdaki ilkelerle işleriz:
- Veri en azlığı: yalnızca hizmeti sunmak için gereken veriyi toplarız.
- Şeffaflık: hangi veriyi hangi amaçla ve hangi hukuki dayanakla işlediğimizi bu belgede açıkça yazarız.
- Reklamsız tasarım: uygulamada reklam, üçüncü taraf analitik, profilleme veya çapraz uygulama izleme yoktur. Reklam kimliği (örneğin Android Advertising ID veya iOS IDFA) toplamayız.
- Konum: yalnızca senin açıkça açtığın bölgesel keşfet özelliği için yaklaşık konum istenir; okunan konum cihazda ve sunucuda kilometre düzeyine yuvarlanır, ham koordinat hiçbir tabloda tutulmaz.
- Kontrol sende: profil görünürlüğü, takip istekleri, okundu bilgisi, konum paylaşımı, bildirimler ve cihaz oturumları uygulama içinden yönetilebilir.
- Satış yok: kişisel verilerini satmayız, kiralamayız ve reklam amacıyla üçüncü taraflarla paylaşmayız.
2. Veri sorumlusu ve iletişim
KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) anlamında veri sorumlusu, Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) anlamında veri sorumlusu (controller):
- Godkep — Guugy uygulamasının geliştiricisi ve işletmecisi (uygulama paketi:
com.godkep.guugy) - Posta adresi (yasal tebligat ve KVKK/GDPR başvuruları): Mahmutbey Caddesi No: 1, Kat 5, Şirinevler, Bahçelievler / İstanbul, Türkiye
- Web sitesi: guugy.app
- Gizlilik ve veri sahibi başvuruları: aildev@outlook.com
- Uygulama içi destek ve kötüye kullanım bildirimleri: aildev@outlook.com
Avrupa Birliği'nde yerleşik olmayan bir veri sorumlusu olarak, GDPR Madde 3(2) kapsamında AB'de yerleşik kişilere hizmet sunduğumuz ölçüde Madde 27 uyarınca bir AB temsilcisi atama yükümlülüğünü değerlendiririz; atanması hâlinde temsilcinin iletişim bilgileri bu bölümde ve mağaza listelemesinde yayımlanır.
3. Kapsam, yürürlük ve tanımlar
Bu politika 18 Ekim 2026 tarihinde yürürlüğe girmiştir ve Guugy hizmetlerinin tamamı için geçerlidir. Politika; KVKK Madde 10 kapsamındaki aydınlatma yükümlülüğünü, GDPR Madde 13 kapsamındaki bilgilendirme yükümlülüğünü ve Apple App Store ile Google Play'in gizlilik politikasına ilişkin gerekliliklerini birlikte karşılamak üzere hazırlanmıştır.
- Hizmet: Guugy uygulaması, Guugy API'si ve Guugy'nin sunduğu tüm özellikler.
- Hesap: kullanıcı adı, e-posta veya telefon ve parola ile oluşturulan Guugy hesabı.
- Kişisel veri: kimliği belirli veya belirlenebilir bir kişiye ilişkin her türlü bilgi.
- İşleyen / alt işleyen: verileri bizim adımıza ve talimatımızla işleyen hizmet sağlayıcılar.
Bu politikanın Türkçe metni ile İngilizce çevirisi arasında bir uyumsuzluk olması hâlinde, Türkiye'deki kullanıcılar bakımından Türkçe metin esas alınır. Bu belge Kullanım Koşulları'nın ayrılmaz bir parçasıdır; veri işleme faaliyetleri aynı zamanda Kullanım Koşulları hükümlerine tabidir.
4. İşlediğimiz veriler, amaçlar ve hukuki dayanaklar
Aşağıdaki tablo, hangi veriyi neden işlediğimizi ve bunun KVKK Madde 5/6 ile GDPR Madde 6 kapsamındaki hukuki dayanağını gösterir. Tabloda "isteğe bağlı" olarak işaretlenen veriler verilmediğinde hizmetin ilgili özelliği kullanılamaz, hesabın tamamı çalışmaya devam eder.
| Veri türü | Örnek alanlar | İşleme amacı | Hukuki dayanak | Zorunlu mu? |
|---|---|---|---|---|
| Hesap ve profil | Kullanıcı adı, görünen ad, biyografi, profil fotoğrafı, grup fotoğrafı | Hesabı oluşturmak, profilini göstermek, diğer kullanıcıların seni bulmasını sağlamak | Sözleşmenin ifası (KVKK 5/2-c; GDPR 6/1-b) | Kullanıcı adı zorunlu; fotoğraf ve biyografi isteğe bağlı |
| Doğum tarihi | Doğum tarihi (gün/ay/yıl) | Asgari yaş sınırını (13) uygulamak ve çocukları korumak | Yasal yükümlülük ve çocuğun korunması (KVKK 5/2-a, 5/2-ç; GDPR 6/1-c) | Zorunlu |
| İletişim bilgileri | E-posta adresi; isteğe bağlı telefon numarası | Hesabı doğrulamak, giriş yapmanı sağlamak, güvenlik ve hesap kurtarma bildirimleri göndermek | Sözleşmenin ifası; hesap güvenliği için meşru menfaat (KVKK 5/2-f; GDPR 6/1-f) | En az bir e-posta veya telefon zorunlu |
| Kimlik doğrulama | Parola özeti (Argon2 ile geri döndürülemez biçimde), e-posta/telefon doğrulama kodlarının özetleri, yenileme belirteci özetleri | Hesabına yalnızca senin erişebilmeni sağlamak, oturumları yönetmek ve belirteç yeniden kullanımını tespit etmek | Sözleşmenin ifası; bilgi güvenliği için meşru menfaat | Zorunlu |
| Paylaştığın içerik | Gönderiler, yanıtlar, fotoğraf/video/ses/dosya ekleri, listeler, konu etiketleri | İçeriğini yayınlamak, akışlarda ve aramada göstermek, medya dosyalarını saklamak ve sunmak | Sözleşmenin ifası | İsteğe bağlı (ne paylaşırsan) |
| Mesajlar | Birebir ve grup sohbet mesajları, dosya ekleri, tepkiler, okundu/iletildi durumu | Mesajlaşma hizmetini sunmak, sohbet listesini ve okunmamış sayacını üretmek | Sözleşmenin ifası | İsteğe bağlı |
| Etkileşim verileri | Beğeniler, kaydetmeler, yorumlar, takip ve takip istekleri, engelleme, sessize alma | Akışları üretmek, sosyal grafiği işletmek, senin seçtiği kısıtlamaları uygulamak | Sözleşmenin ifası | Hizmet kullanımıyla oluşur |
| Tercihler | Profil görünürlüğü, okundu bilgisi, bildirim ve keşfet ayarları, dil tercihi | Seçtiğin gizlilik ve bildirim davranışını uygulamak | Sözleşmenin ifası | İsteğe bağlı |
| Cihaz bilgileri | Cihaz kimliği (Android'de cihaz kimliği, iOS'ta identifierForVendor), cihaz modeli/adı, platform, işletim sistemi sürümü, uygulama sürümü | Oturumları cihaza bağlamak, cihaz listesini göstermek, güvenlik uyarıları üretmek, uyumluluğu sağlamak | Sözleşmenin ifası; hesap güvenliği için meşru menfaat | Zorunlu (cihaz üzerinden kullanımda) |
| Bildirim belirteci | Push bildirim belirteci (Firebase Cloud Messaging token), bildirim ayarları | Bildirimleri cihazına iletmek | Sözleşmenin ifası (bildirim tercihine bağlı) | İsteğe bağlı (bildirim izni) |
| Bağlantı ve güvenlik kayıtları | IP adresi, tarayıcı/istemci bilgisi (user agent), oturum oluşturma/yenileme zamanları, giriş denemeleri, güvenlik olayları (örneğin hesap devre dışı bırakma, parola değişikliği) | Hesabını korumak, şüpheli girişleri engellemek, "güvenlik etkinlikleri" geçmişini göstermek, hız sınırı uygulamak | Meşru menfaat (KVKK 5/2-f; GDPR 6/1-f) ve yasal yükümlülük | Hizmet kullanımıyla oluşur |
| Yaklaşık konum (isteğe bağlı) | Cihazdan okunan yaklaşık konum; cihazda ve sunucuda kilometre düzeyine yuvarlanır, haritada eşleşen bölge kaydedilir. Ham koordinat saklanmaz. | Yalnızca bölgesel keşfet özelliğini çalıştırmak | Açık rıza (KVKK 5/1; GDPR 6/1-a) — yalnızca izin verirsen, dilediğin an geri alabilirsin | İsteğe bağlı |
| Çevrimiçi durum | Çevrimiçi olma durumu ve son görülme zamanı, çevrimiçi yazma göstergesi | Sohbetlerde karşı tarafın durumunu göstermek | Sözleşmenin ifası | Hizmet kullanımıyla oluşur; yalnızca karşılıklı takip eden hesaplara gösterilir |
| Okundu ve iletildi bilgisi | Bir mesajı okuyan üyeler, iletildi/okundu zamanları | Yalnızca mesajı gönderen tarafa mesajın durumunu göstermek | Sözleşmenin ifası | Kapatılabilir (gizlilik ayarları) |
| Bildirimler ve raporlar | Bildirim kayıtları; "gönderiyi/kullanıcıyı bildir" kayıtları (hedef, sebep kodu, açıklama metni) | Bildirim kutusunu sunmak; kullanım koşullarına aykırı içeriği incelemek ve moderasyon uygulamak | Sözleşmenin ifası; topluluk güvenliği için meşru menfaat; hukuki taleplerde yasal yükümlülük | Raporlar isteğe bağlı |
| Destek yazışmaları | Bize gönderdiğin e-postalar ve talepler | Talebi yanıtlamak, silme/kopya isteklerini yerine getirmek | Sözleşmenin ifası; yasal yükümlülük | İsteğe bağlı |
| Arama | Aradığın sorgu, sonuç üretmek için sunucuda işlenir. Arama geçmişi yalnızca cihazında tutulur. | Kullanıcı, gönderi ve etiket aramasını çalıştırmak | Sözleşmenin ifası | İsteğe bağlı |
4.1 Hassas veriler
Paylaştığın gönderi, yorum veya mesajlar kendi içeriğine göre özel nitelikli kişisel veri (KVKK Madde 6; GDPR Madde 9) içerebilir. Böyle bir içeriği yalnızca senin yayınlaman üzerine ve yayınlama amacıyla işleriz; içeriğini başka amaçlarla (reklam, profilleme, çıkarım) kullanmayız. Özel nitelikli verilerini paylaşmamanı öneririz ve bu tür içeriği kaldırmak için her zaman silme ve kaldırma araçlarına sahipsin.
4.2 Rıza ve rızanın geri alınması
Konum paylaşımı yalnızca açık rızana dayanır. İşletim sistemi izni, uygulama içi tercihin yerine geçmez: konum uygulama içindeki açma düğmesiyle paylaşılır ve "Paylaşımı durdur" ile tüm konum kayıtların silinir, tercih kapanır. Rızanı geri çekmen, geri çekmeden önceki işlemenin hukuka uygunluğunu etkilemez.
5. İşlemediğimiz veriler ve taahhütlerimiz
- Reklam kimliği (Android Advertising ID, iOS IDFA) toplamayız; uygulamada reklam SDK'sı yoktur ve cihazlar arası izleme yapmayız.
- Üçüncü taraf analitik, davranış izleme, ısı haritası veya çökme raporlama SDK'sı kullanmayız. Uygulama, Guugy sunucuları ve bildirim/push altyapısı dışında veri göndermez.
- Kişi listene, takvimine, çağrı geçmişine, kısa mesajlarına, sağlık ve fitness verilerine, ödeme kartı veya banka bilgilerine erişmeyiz; bunları toplamayız.
- Tam konum (GPS kesinliğinde) istemeyiz; tam konum izni uygulamanın hiçbir sürümünde talep edilmez. Konum yalnızca yaklaşık (kilometre düzeyinde) ve yalnızca açık rızayla okunur.
- Ham konum koordinatını veritabanında saklamayız; yalnızca çözümlenen bölge kaydedilir.
- Kişisel verilerini satmayız, kiralamayız veya reklam amacıyla paylaşmayız.
- Cihazındaki diğer uygulamaların listesini toplamayız.
- Mikrofon ve kamera yalnızca sen bir gönderi, hikâye veya sohbet eki için kayıt başlattığında ve izni verdiğinde kullanılır.
- Biyometrik veri (yüz, parmak izi) işlemeyiz; cihazın kendi kilit ekranı/anahtar deposu dışında biyometrik şablon tutmayız.
6. Cihazındaki veriler, yerel depolama ve çerezler
6.1 Cihazında tutulan veriler
- Oturum belirteci: Oturumunu sürdüren belirteçler cihazın güvenli deposunda (iOS Keychain, Android Keystore) saklanır; sıradan tercih dosyalarında tutulmaz.
- Tercihler: dil, gizlilik ve bildirim seçimleri, keşfet ayarları gibi ayarlar cihazda saklanır.
- Arama geçmişi: son aramaların yalnızca cihazında tutulur ve "Temizle" ile silinir; cihazdan çıkmaz.
- Medya önbelleği: gönderi görselleri ve klipleri yeniden indirmemek için cihazda önbelleğe alınır; Ayarlar > Depolama ve veriler ekranından önbelleği temizleyebilir, kullandığı alanı görebilirsin.
- İndirilen dosyalar ve bekleyen yüklemeler: kaydettiğin dosyalar ve tamamlanmamış gönderiler cihazda tutulur; çıkış yaptığında bu dosyalar ve yüklenmemiş medya kaldırılır.
6.2 Çerezler ve benzeri teknolojiler
Guugy mobil uygulaması çerez kullanmaz; tarayıcı çerezi oluşturmaz ve okumaz. Paylaşılan bir gönderi bağlantısını bir tarayıcıda açtığında yalnızca barındırma sağlayıcımızın standart sunucu günlükleri (istek zamanı, IP adresi, istemci bilgisi) oluşabilir; biz reklam veya analitik çerezi yerleştirmeyiz. Bu gizlilik politikası sayfasının kendisi de hiçbir çerez kullanmaz, harici kaynak yüklemez ve hiçbir üçüncü tarafa istek göndermez. Dil tercihin yalnızca adres çubuğundaki sorgu parametresinde taşınır, cihazına kaydedilmez.
7. Verilerin paylaşıldığı taraflar
Verilerini yalnızca hizmeti çalıştırmak için gerekli olan sağlayıcılarla, sözleşmeyle sınırlandırılmış biçimde paylaşırız. Tüm alt işleyiciler, veriyi yalnızca bizim talimatımızla işlemek, gizliliği korumak ve bu politikadakiyle eşdeğer veya daha güçlü bir koruma sağlamakla yükümlüdür; bu koşul sözleşmelerinde bağlayıcıdır.
| Alıcı / sağlayıcı | Aktarılan veri | Amaç | Yer |
|---|---|---|---|
| Google Firebase Cloud Messaging | Push bildirim belirteci, bildirim başlığı ve teknik yük (gönderi/beğenme/yanıt/takip olayları; sohbet bildirimleri) | Bildirimi cihazına teslim etmek | ABD ve Google'ın küresel altyapısı |
| E-posta gönderim sağlayıcısı (SMTP) | Alıcı e-posta adresi, e-posta içeriği (doğrulama kodu, parola yenileme, güvenlik duyurusu) | Hesap doğrulama ve güvenlik e-postalarını göndermek | Sağlayıcıya göre değişir |
| Nesne depolama (S3 uyumlu) | Gönderi medyası, sohbet ekleri, profil ve grup fotoğrafları | Medya dosyalarını güvenli biçimde saklamak ve sunmak | Yapılandırılmış bölge (örneğin ABD Doğu) |
| Barındırma ve veritabanı altyapısı | Hesap, içerik, mesaj ve güvenlik kayıtlarının tamamı | API'yi ve PostgreSQL veritabanını çalıştırmak | Sağlayıcı bölgesine göre değişir |
| Google / Apple kimlik sağlayıcıları | Sağlayıcı kullanıcı kimliği, doğrulanmış e-posta adresi (yalnızca o giriş yöntemini kullanmayı seçersen) | İsteğe bağlı sosyal giriş ile hesabını eşleştirmek | Google/Apple altyapısı |
7.1 Diğer kullanıcıların görebildikleri
- Kullanıcı adın, görünen adın, biyografin, profil fotoğrafın, herkese açık gönderilerin, beğenilerin, yanıtların, listelerin ve takipçi/takip sayıların diğer kullanıcılara gösterilir.
- Profilini gizli yaptığında gönderilerin yalnızca onayladığın takipçilere görünür ve keşfet/arama yüzeylerine çıkmaz.
- Mesajlarınızın içeriğini yalnızca sohbetin katılımcıları görür. Çevrimiçi durumu ve son görülme yalnızca karşılıklı takip eden hesaplara gösterilir; tek yönlü takip bu bilgiyi açmaz.
- Okundu ve iletildi bilgisi yalnızca mesajı gönderene gösterilir. Okundu bilgisini kapatırsan okumaların hiç bildirilmez.
7.2 Hukuki talepler
Verilerini; geçerli bir mahkeme kararı, savcılık talebi veya yürürlükteki hukukun gerektirdiği hâllerde yetkili kamu kurumlarıyla paylaşabiliriz. Bu durumlarda talebin kapsamını daraltarak yalnızca istenen veriyi veririz ve mümkün olduğunda seni bilgilendiririz. Özel nitelikli veriler ve özel yaşamın gizli alanına ilişkin veriler için, KVKK Madde 8/2-a ve ilgili mevzuatın gerektirdiği ek güvenceler uygulanır.
8. Yurt dışına aktarım
Guugy sunucuları ve Tablo 2'de listelenen sağlayıcılar Türkiye ve Avrupa Ekonomik Alanı dışında bulunabilir; bu nedenle verilerin yurt dışına aktarılması söz konusu olabilir. Aktarımlar:
- KVKK Madde 9 (1 Haziran 2024'ten itibaren geçerli düzenleme) uyarınca; ilgili ülke hakkında bir yeterlilik kararı bulunması, uygun bir güvence (örneğin Kurul'un yayımladığı standart sözleşme hükümleri veya bağlayıcı şirket kuralları) sağlanması ya da sınırlı hâllerde bir istisnanın uygulanması yoluyla yapılır.
- GDPR Bölüm V (Madde 44 ve devamı) uyarınca; yeterlilik kararı veya Avrupa Komisyonu'nun Standart Sözleşme Hükümleri (SCC) gibi uygun güvenceler kapsamında yapılır; gerekli ek teknik ve idari önlemler (şifreleme, erişim sınırı, sözleşmesel denetim hakkı) uygulanır.
Kullandığımız aktarım yöntemleri, alıcı kategorileri ve varsa yeterlilik kararı bilgileri hakkında ayrıntılı bilgiyi Bölüm 17'deki kanaldan talep edebilirsin.
9. Saklama süreleri
Verileri yalnızca işleme amacının gerektirdiği süre boyunca saklarız. Süre dolduğunda veriler silinir, yok edilir veya anonim hâle getirilir.
| Veri | Saklama süresi | Açıklama |
|---|---|---|
| Hesap, profil ve içerik | Hesabın açık olduğu sürece | Hesabı silme talebinden sonra aşağıdaki silme süreci uygulanır |
| Yaklaşık konum gözlemleri (bölge) | 30 gün | Gözlem 24 saat geçerlidir; süresi dolan gözlem "güncel" sayılmaz, 30 gün sonunda otomatik silinir. "Paylaşımı durdur" dediğinde tamamı hemen silinir. |
| Güvenlik olayları | 365 gün | Giriş, parola ve hesap durumu olayları; güvenlik ve kötüye kullanım incelemesi |
| Giriş denemeleri | 30 gün | Başarısız denemelerle hesaplara yönelik saldırıları engellemek için |
| Oturum kayıtları | 90 gün | Süresi dolmuş veya kapatılmış oturumlar bu süre sonunda silinir |
| Bildirimler | 180 gün | Bildirim kutusu kayıtları |
| Tamamlanmamış kayıtlar | 30 gün | Yarım bırakılan kayıt süreçlerinde girilen e-posta/telefon serbest bırakılır ve hesap erişilemez duruma getirilir |
| İş kuyruğu ve teknik kayıtlar | 30 gün | İşlenmiş olay kayıtları; e-posta/bildirim gönderim izleri |
| Hız sınırı sayaçları | 2 gün | Kötüye kullanım koruması için tutulan kısa ömürlü sayaçlar |
| Destek ve silme yazışmaları | Talebin kapanmasından sonra 24 ay | Hakkını kullandığını kanıtlayabilmen ve yasal savunma için |
| Yasal yükümlülük kapsamındaki kayıtlar | Mevzuatın öngördüğü süre | Yetkili kurum talepleri, uyuşmazlıklar ve yasal yükümlülükler için gerekli olan asgari kayıtlar |
10. Devre dışı bırakma, silme ve veri kopyası
10.1 Hesabı devre dışı bırakma (geri alınabilir)
Ayarlar ekranından hesabını geçici olarak devre dışı bırakabilirsin: profilin, gönderilerin ve takipçilerin gizlenir, oturumların kapatılır. Yeniden giriş yaptığında hesabın etkinleşir.
10.2 Hesabı ve verilerini silme (kalıcı)
Silme, devre dışı bırakmadan farklıdır ve geri alınamaz. Silme talebini Hesap ve veri silme sayfasındaki adımlarla iletebilirsin. Talep işlendiğinde:
- Hesabın ve tüm oturumların kapatılır; hesabına hiçbir cihazdan erişilemez.
- Profilin, gönderilerin, yanıtların, medyan, mesajların, tepkilerin, listelerin, takip ilişkilerin ve raporların tüm yüzeylerden kaldırılır ve artık gösterilmez.
- Hesabına bağlı cihaz kayıtları, push belirteçleri, konum gözlemleri ve oturum kayıtları silinir.
- E-posta/telefon gibi tanımlayıcılar ve yukarıdaki içerikler, talebin doğrulanmasından itibaren en geç 30 gün içinde üretim sistemlerinden kalıcı olarak silinir veya geri döndürülemez biçimde anonimleştirilir; yedeklerde kalan kopyalar normal yedek döngüsü içinde (en fazla 90 gün) temizlenir.
- Yalnızca yürürlükteki hukukun saklamayı zorunlu kıldığı asgari kayıtlar tutulur: güvenlik ve giriş kayıtları (Madde 9'daki süreler boyunca, kötüye kullanım ve dolandırıcılıkla mücadele ile yasal savunma amacıyla) ve yetkili kurumlara ilişkin kayıtlar. Bu kayıtlar başka bir amaçla kullanılmaz.
- Silme işlemi tamamlandığında aildev@outlook.com adresine yaptığın başvuru üzerinden bilgilendirilirsin.
Önemli: silme işlemi geri alınamaz. Silme öncesinde saklamak istediğin içeriği cihazına indirmen gerekir. Uygulama içinden hesap silme akışının eklenmesi planlanmaktadır; bu süre boyunca silme talepleri bu sayfadaki yöntemle alınır ve yukarıdaki süreler içinde yerine getirilir.
10.3 İçeriği tek tek kaldırma
Hesabını silmeden de kontrol sende: gönderilerini, yanıtlarını ve mesajlarını uygulama içinden silebilir, profil fotoğrafını kaldırabilir, listeleri silebilir, konum paylaşımını durdurabilir, cihaz oturumlarını kapatabilirsin.
10.4 Veri kopyası (taşınabilirlik)
Otomatik veri indirme aracı henüz yoktur. Verilerinin kopyasını (profil bilgileri, gönderiler, mesajlar, takip ilişkileri gibi) makine tarafından okunabilir bir biçimde talep edebilirsin; talebini aildev@outlook.com adresine ilet ve kimlik doğrulamasını tamamla. Talepler en geç 30 gün içinde yanıtlanır.
11. Haklarınız ve uygulama içi kontroller
11.1 KVKK Madde 11 kapsamındaki haklarınız
- Kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme,
- işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
- yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
- eksik veya yanlış işlenmişse düzeltilmesini isteme,
- KVKK Madde 7'de öngörülen koşullar çerçevesinde silinmesini veya yok edilmesini isteme,
- düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- münhasıran otomatik sistemler ile analiz edilmesi nedeniyle aleyhine bir sonucun ortaya çıkmasına itiraz etme,
- kanuna aykırı işleme sebebiyle zarara uğraman hâlinde zararın giderilmesini talep etme.
11.2 GDPR kapsamındaki haklarınız
- Verilerine erişme ve bir kopyasını alma (Madde 15),
- yanlış veya eksik verilerin düzeltilmesini isteme (Madde 16),
- silme hakkı ("unutulma hakkı", Madde 17);
- işlemenin kısıtlanmasını isteme (Madde 18);
- işlemeye itiraz etme (Madde 21), özellikle meşru menfaate dayanan işlemelere karşı;
- veri taşınabilirliği (Madde 20);
- rızaya dayanan işlemeler için rızayı her zaman geri çekme (Madde 7/3);
- bir denetim otoritesine şikâyette bulunma (Madde 77).
11.3 Uygulama içi kontrolleri kullan
Gizlilik ve güvenlik
Profil görünürlüğünü (herkese açık/gizli), okundu bilgisini yönet; engellediğin ve sessize aldığın hesapları gör.
Oturumlar ve cihazlar
Hangi cihazlarda açık olduğunu gör, tek tek veya diğer tüm cihazlardan çıkış yap.
Güvenlik etkinlikleri
Hesabına ilişkin giriş ve güvenlik olaylarının geçmişini incele.
Bildirimler
Push ve e-posta bildirimlerini, hangi tür bildirimi alacağını seç.
Keşfet ve konum
Bölgesel içerik ve kişiselleştirilmiş gündem seçeneklerini aç/kapat; konum paylaşımını durdur ve kayıtları sil.
Depolama ve veriler
Cihazda kapladığı alanı gör, medya önbelleğini temizle, indirilen dosyaları kaldır.
11.4 Başvuru ve yanıt süreleri
Taleplerini aildev@outlook.com adresine, hesabına kayıtlı e-posta adresinden ilet. Kimliğini doğrulamamız gerekebilir. KVKK kapsamındaki başvurular en geç 30 gün içinde ücretsiz olarak yanıtlanır; GDPR kapsamındaki talepler gecikmeksizin ve en geç bir ay içinde (gerekçeli olarak iki ay uzatılabilir) yanıtlanır. Talebin karmaşıksa veya aynı talebi sık yineliyorsan makul bir ücret uygulanabilir veya talebi reddedebiliriz; bu durumda gerekçe bildirilir. KVKK Kurulu'na (kvkk.gov.tr) veya AB'de yerleşik olduğun ülkenin denetim otoritesine şikâyette bulunma hakkın saklıdır.
12. Veri güvenliği
- Parolalar geri döndürülemez biçimde Argon2 ile özetlenir; parolanın kendisi hiçbir zaman saklanmaz ve günlüklere yazılmaz.
- Oturumlar kısa ömürlü erişim belirteçleri (15 dakika) ve rotasyonlu, yeniden kullanım tespiti yapılan uzun ömürlü yenileme belirteçleri (30 gün) ile yönetilir; veritabanında yalnızca belirteç özetleri tutulur.
- Veriler iletim sırasında TLS ile, saklama sırasında sağlayıcı düzeyinde disk şifrelemesiyle korunur. Hassas bildirim içerikleri şifrelenmiş iş kuyruğu üzerinden taşınır.
- Medya dosyaları herkese açık değildir: indirme bağlantıları kısa ömürlü ve imzalıdır, her istekte görüntüleme yetkisi ve görünürlük yeniden kontrol edilir.
- Yetkilendirme sunucu tarafında uygulanır; yalnızca arayüzde bir düğmenin gizlenmesi erişim engeli sayılmaz.
- Kaba kuvvet ve kötüye kullanım saldırılarına karşı hız sınırları, oturum başına cihaz bağlama ve şüpheli oturum kapatma mekanizmaları vardır.
- Erişimler en az yetki ilkesine göre sınırlandırılır; erişim ve yönetim işlemleri kayıt altına alınır.
- Bir veri ihlali yaşanırsa, KVKK ve GDPR kapsamındaki bildirim yükümlülüklerini yerine getiririz: GDPR uyarınca ilgili denetim otoritesine en geç 72 saat içinde bildirim yapılır ve yüksek risk söz konusuysa etkilenen kullanıcılara makul olmayan gecikme olmaksızın bilgi verilir.
13. Çocukların gizliliği ve yaş sınırı
- Guugy'yi kullanmak için en az 13 yaşında olmalısın. Kayıt sırasında doğum tarihi sunucu tarafında doğrulanır ve 13 yaşından küçük hesaplar oluşturulamaz.
- Hizmet, 13 yaşın altındaki çocuklara yönelik değildir ve Google Play "Çocuklar ve Aileler" programına dâhil edilmemiştir; mağaza hedef kitle beyanı 13 yaş ve üzeridir.
- 13-18 yaş arasındaki kullanıcıların hizmeti bir ebeveyn veya yasal vasi gözetiminde kullanmalarını öneririz; veliler çocuklarının hesabını silmemizi talep edebilir.
- 13 yaşından küçük birinin hesap oluşturduğunu öğrenirsek hesabı ve ilişkili verileri derhâl kaldırırız. Böyle bir durumu aildev@outlook.com adresine bildirebilirsin.
- Çocuk güvenliğine yönelik içerik (çocuğun cinsel istismarına ilişkin materyal, çocuklara yönelik taciz veya kandırma girişimi) kabul edilmez; bu tür içerik kaldırılır ve yürürlükteki hukukun gerektirdiği şekilde yetkili mercilere bildirilir.
14. Otomatik karar verme, profilleme ve veri satışı
- Kişisel verilerini satmayız, kiralamayız ve "satış" veya "paylaşma" olarak nitelendirilebilecek bir aktarım yapmayız.
- Hakkında hukuki veya benzeri önemli bir sonuç doğuran otomatik karar verme (örneğin otomatik hesap kapatma) kullanmayız. Hesap askıya alma ve içerik kaldırma kararları, bildirim üzerine yapılan inceleme sonucunda alınır.
- Akış ve keşfet sıralaması; takip ettiğin hesaplar, içeriğin yeniliği ve etkileşim sayaçları gibi hizmet içi sinyallerle çalışır. Reklam amaçlı profilleme yapmaz, davranışsal reklam hedeflemesi kullanmayız.
- Reklam veya izleme amacıyla çerez, piksel, parmak izi (fingerprinting) veya benzeri izleme teknolojisi kullanmayız.
15. ABD eyalet bildirimleri (CCPA/CPRA)
Kaliforniya ve benzer gizlilik yasalarına sahip diğer eyaletlerde ikamet eden kullanıcılar için:
- Son 12 ayda sattığımız veya paylaştığımız kişisel bilgi: yok. Hizmet, reklam ağlarına veri aktarmaz ve çapraz bağlam davranışsal reklam yapmaz.
- Erişme, düzeltme, silme ve kopya alma haklarına sahipsin; talebini aildev@outlook.com adresinden ya da veri silme sayfasından iletebilirsin.
- Hakkını kullandığın için ayrımcılığa uğramazsın; hizmet seviyesi ve fiyat aynı kalır.
- Yetkili temsilci aracılığıyla da talep iletebilirsin; temsilci yetkisini doğruladıktan sonra talebi işleme alırız.
- Topladığımız veri kategorileri Tablo 1'de, kullanım amaçları Tablo 2'de ve saklama süreleri Tablo 3'te listelenmiştir.
16. Politikadaki değişiklikler
Hizmeti, mevzuatı veya veri uygulamalarımızı yansıtmak için bu politikayı güncelleyebiliriz. Her sürümün yürürlük tarihini sayfanın başında ve sürüm geçmişinde yayımlarız. İşleme amaçlarını genişleten veya haklarını daraltan önemli değişikliklerde, uygulama içi bildirim veya kayıtlı e-posta adresin üzerinden makul süre önce bilgilendirme yaparız; yeni bir rıza gerekiyorsa yalnızca rızanı aldıktan sonra uygularız.
17. İletişim ve başvuru yöntemi
- Gizlilik, veri sahibi başvuruları, silme ve kopya talepleri: aildev@outlook.com
- Kötüye kullanım, taciz ve yasa dışı içerik bildirimleri: aildev@outlook.com (uygulama içindeki bildirme araçları 7/24 çalışır ve öncelikli olarak işlenir)
- Yasal tebligat ve resmî talepler: aildev@outlook.com
- Posta adresi: Mahmutbey Caddesi No: 1, Kat 5, Şirinevler, Bahçelievler / İstanbul, Türkiye
- Uygulama içi: Ayarlar > Gizlilik ve güvenlik, Ayarlar > Hesap ve veri silme sayfası
Başvurunda; adın, hesabına kayıtlı e-posta adresin ve talebinin konusunu belirtmen yeterlidir. Talebini yanıtlayabilmemiz için kimliğini doğrulamamız gerekebilir; bu amaçla yalnızca doğrulama için gerekli bilgiyi isteriz.
18. Mağaza beyanlarıyla uyum (Apple App Privacy ve Google Play Data safety)
Bu politika guugy.app/privacy-policy.html adresinde herkese açık, düzenlenemez ve dünya çapında erişilebilir biçimde yayımlanır. Apple App Store Connect'teki Privacy Policy URL alanı ile Google Play Console'daki Policy and programs > App content > Privacy policy alanı bu adresi gösterir. Aşağıdaki tablo, mağaza formlarını doldururken kullanılacak beyanların bu politikadaki karşılığıdır.
| Google Play Data safety / Apple App Privacy kategorisi | Toplanıyor mu? | Kimliğinle ilişkilendirilir mi? | Amaç | İzleme (tracking) var mı? |
|---|---|---|---|---|
| Ad (görünen ad), kullanıcı adı | Evet | Evet | Uygulama işlevselliği, hesap yönetimi | Hayır |
| E-posta adresi | Evet | Evet | Hesap yönetimi, doğrulama, güvenlik | Hayır |
| Telefon numarası | İsteğe bağlı | Evet | Hesap yönetimi | Hayır |
| Kullanıcı kimlikleri (hesap ve cihaz kimliği) | Evet | Evet | Uygulama işlevselliği, güvenlik, dolandırıcılık önleme | Hayır |
| Yaklaşık konum | Yalnızca açık rızayla | Evet | Uygulama işlevselliği (bölgesel keşfet) | Hayır |
| Fotoğraflar ve videolar | Yalnızca sen paylaştığında | Evet | Uygulama işlevselliği | Hayır |
| Ses dosyaları | Yalnızca sen kaydettiğinde | Evet | Uygulama işlevselliği | Hayır |
| Diğer dosyalar ve belgeler | Yalnızca sen paylaştığında | Evet | Uygulama işlevselliği | Hayır |
| Mesajlar (uygulama içi mesajlar) | Evet | Evet | Uygulama işlevselliği | Hayır |
| Uygulama etkinliği (kullanıcı içeriği, beğeni, kaydetme, takip) | Evet | Evet | Uygulama işlevselliği, kişiselleştirme (hizmet içi) | Hayır |
| Uygulama içi arama geçmişi | Hayır — yalnızca cihazda tutulur | Hayır | — | Hayır |
| Cihaz veya diğer kimlikler (cihaz kimliği, push belirteci) | Evet | Evet | Uygulama işlevselliği (bildirim), güvenlik | Hayır |
| Uygulama bilgisi ve performansı (uygulama sürümü, işletim sistemi sürümü) | Evet | Evet | Uygulama işlevselliği, uyumluluk | Hayır |
| Kilitlenme ve tanılama verileri | Hayır — çökme/analitik SDK'sı kullanılmaz | Hayır | — | Hayır |
| Finansal bilgiler, sağlık verileri, kişiler, takvim, tarama geçmişi | Hayır | Hayır | — | Hayır |
Ayrıca: uygulama, App Tracking Transparency (ATT) kapsamında izleme yapmaz ve iOS'ta App Tracking Transparency izni istemez; Google Play "Data safety" formunda verilerin reklam veya pazarlama amacıyla kullanılmadığı ve üçüncü taraflara satılmadığı beyan edilir.
19. Sürüm geçmişi
| Sürüm | Tarih | Değişiklik |
|---|---|---|
| 1.0 | 18 Ekim 2026 | İlk yayın: Guugy uygulaması, API'si ve web sayfaları için gizlilik politikası, KVKK aydınlatma metni ve GDPR bilgilendirmesi. |
Plain-language summary
Guugy is a social sharing app built by Godkep. We process the data needed to run your account, deliver your posts and messages, and keep you secure. We show no ads, we do not sell your data, we use no third-party advertising or tracking SDKs, we never ask for your precise location, and we never store raw location coordinates.
- What we collect, why, and on what legal basis: Section 4
- What we do not collect: Section 5
- Who receives data and international transfers: Section 7 and Section 8
- Retention periods: Section 9
- How to delete your account: Section 10 and the account and data deletion page
- Your rights and how to contact us: Section 11 and Section 17
1. Summary and core principles
This policy covers the Guugy mobile app (Android, iOS, Windows, macOS and Linux builds), the Guugy API, and the web pages where this policy is published. We process your data according to these principles:
- Data minimisation: we collect only the data needed to run the service.
- Transparency: this document states plainly which data we process, for which purpose, and on which legal basis.
- Ad-free by design: the app contains no advertising, no third-party analytics, no profiling and no cross-app tracking. We do not collect advertising identifiers (such as the Android Advertising ID or iOS IDFA).
- Location: approximate location is requested only for the regional discovery feature you explicitly switch on. The reading is rounded to kilometre scale on your device and on our servers, and raw coordinates are never stored in any table.
- You stay in control: profile visibility, follow requests, read receipts, location sharing, notifications and device sessions are all managed inside the app.
- No sales: we do not sell or rent your personal data and we do not share it with third parties for advertising.
2. Data controller and contact
The data controller within the meaning of the Turkish Personal Data Protection Law No. 6698 (KVKK) and the EU General Data Protection Regulation (GDPR) is:
- Godkep — developer and operator of the Guugy app (app bundle:
com.godkep.guugy) - Postal address (legal notices and KVKK/GDPR requests): Mahmutbey Caddesi No: 1, Kat 5, Şirinevler, Bahçelievler / İstanbul, Türkiye
- Website: guugy.app
- Privacy and data subject requests: aildev@outlook.com
- In-app support and abuse reports: aildev@outlook.com
As a controller not established in the European Union, we assess whether Article 27 GDPR requires us to appoint an EU representative to the extent we offer services to people in the EU under Article 3(2). If we appoint one, the representative's contact details will be published in this section and in our store listing.
3. Scope, effective date and definitions
This policy takes effect on 18 October 2026 and applies to all Guugy services. It is written to satisfy the KVKK Article 10 information obligation, the GDPR Article 13 information duty, and the privacy-policy requirements of the Apple App Store and Google Play at the same time.
- Service: the Guugy app, the Guugy API and every feature Guugy offers.
- Account: the Guugy account created with a username, an email address or phone number, and a password.
- Personal data: any information relating to an identified or identifiable person.
- Processor / sub-processor: a service provider that processes data on our behalf and on our instructions.
If the Turkish and English texts differ, the Turkish text governs for users in Türkiye. This document forms an integral part of the Terms of Service; data processing is also subject to those terms.
4. Data we process, purposes and legal bases
The table below shows which data we process, why, and the legal basis under KVKK Article 5/6 and GDPR Article 6. Where a row is marked "optional", the related feature cannot work without it, but the rest of your account keeps working.
| Data type | Example fields | Purpose | Legal basis | Required? |
|---|---|---|---|---|
| Account and profile | Username, display name, bio, profile photo, group photo | Create your account, show your profile, let others find you | Performance of a contract (KVKK 5/2-c; GDPR 6/1-b) | Username required; photo and bio optional |
| Date of birth | Date of birth (day/month/year) | Enforce the minimum age (13) and protect children | Legal obligation and protection of the child (KVKK 5/2-a, 5/2-ç; GDPR 6/1-c) | Required |
| Contact details | Email address; optional phone number | Verify your account, let you sign in, send security and account recovery notices | Performance of a contract; legitimate interest in account security (KVKK 5/2-f; GDPR 6/1-f) | At least one email or phone number |
| Authentication | Password hash (irreversibly hashed with Argon2), hashes of email/phone verification codes, hashes of refresh tokens | Ensure only you reach your account, manage sessions, detect refresh-token reuse | Performance of a contract; legitimate interest in information security | Required |
| Content you share | Posts, replies, photo/video/audio/file attachments, lists, topic tags | Publish your content, show it in feeds and search, store and serve media files | Performance of a contract | Optional (whatever you choose to share) |
| Messages | One-to-one and group chat messages, attachments, reactions, read/delivered state | Provide messaging, build the conversation list and unread counter | Performance of a contract | Optional |
| Engagement data | Likes, saves, comments, follows and follow requests, blocks, mutes | Build feeds, run the social graph, enforce the limits you choose | Performance of a contract | Created by using the service |
| Preferences | Profile visibility, read receipts, notification and discovery settings, language | Apply the privacy and notification behaviour you selected | Performance of a contract | Optional |
| Device information | Device identifier (Android device ID, iOS identifierForVendor), device name/model, platform, OS version, app version | Bind sessions to a device, show your device list, raise security alerts, ensure compatibility | Performance of a contract; legitimate interest in account security | Required (for use on a device) |
| Push token | Push notification token (Firebase Cloud Messaging token), notification settings | Deliver notifications to your device | Performance of a contract (subject to your notification preference) | Optional (notification permission) |
| Connection and security records | IP address, client information (user agent), session creation and refresh times, sign-in attempts, security events (for example account deactivation, password change) | Protect your account, block suspicious sign-ins, show your "security activity" history, apply rate limits | Legitimate interest (KVKK 5/2-f; GDPR 6/1-f) and legal obligation | Created by using the service |
| Approximate location (optional) | Approximate location read from the device; rounded to kilometre scale on the device and on the server, and only the matching region is stored. Raw coordinates are not stored. | Run the regional discovery feature only | Explicit consent (KVKK 5/1; GDPR 6/1-a) — only if you allow it, withdrawable at any time | Optional |
| Online presence | Online state, last seen time, typing indicator | Show the other party's status in chats | Performance of a contract | Created by using the service; shown only to accounts you mutually follow |
| Read and delivery state | Members who read a message, delivered/read times | Show message state only to the sender | Performance of a contract | Can be switched off (privacy settings) |
| Notifications and reports | Notification records; "report post/user" records (target, reason code, free-text details) | Provide the notification inbox; review content that breaches the terms and moderate it | Performance of a contract; legitimate interest in community safety; legal obligation for legal claims | Reports are optional |
| Support correspondence | Emails and requests you send us | Answer your request, fulfil deletion or copy requests | Performance of a contract; legal obligation | Optional |
| Search | Your query is processed on the server to return results. Your search history stays on your device only. | Run user, post and hashtag search | Performance of a contract | Optional |
4.1 Sensitive data
The posts, comments or messages you share may contain special-category personal data depending on their content (KVKK Article 6; GDPR Article 9). We process such content only because you published it and only for the purpose of publishing it; we do not use your content for advertising, profiling or inference. We recommend not sharing special-category data, and you always have the removal and deletion tools to take it down.
4.2 Consent and withdrawal
Location sharing relies on your explicit consent alone. An operating-system permission does not replace the in-app choice: location is shared from the switch inside the app, and "Stop sharing" deletes all your location records and turns the preference off. Withdrawing consent does not affect the lawfulness of processing carried out before the withdrawal.
5. Data we do not process, and our commitments
- We do not collect advertising identifiers (Android Advertising ID, iOS IDFA); there is no advertising SDK in the app and we do not track you across apps or websites.
- We use no third-party analytics, behavioural tracking, heat-map or crash-reporting SDK. The app sends data nowhere except the Guugy servers and the push notification infrastructure.
- We do not access or collect your contacts, calendar, call history, text messages, health and fitness data, or payment card and bank details.
- We do not request precise (GPS-level) location; no build of the app declares the precise-location permission. Location is read only as approximate, kilometre-scale data and only with your explicit consent.
- We do not store raw location coordinates in our database; only the resolved region is recorded.
- We do not sell, rent or share your personal data for advertising.
- We do not collect the list of other apps installed on your device.
- The camera and microphone are used only when you start recording a post, story or chat attachment and have granted the permission.
- We do not process biometric data (face, fingerprint) and hold no biometric templates beyond your device's own keychain/lock screen.
6. Data on your device, local storage and cookies
6.1 Data stored on your device
- Session token: the credentials that keep you signed in are stored in the device's secure storage (iOS Keychain, Android Keystore), not in ordinary preference files.
- Preferences: settings such as language, privacy and notification choices, and discovery settings are stored on the device.
- Search history: your recent searches are kept on your device only and are removed with "Clear"; they never leave the device.
- Media cache: post images and clips are cached on the device so they do not need re-downloading. Settings > Storage and data shows the space used and lets you clear the cache.
- Downloads and pending uploads: files you save and posts that have not finished uploading live on your device; signing out removes those files and the pending media.
6.2 Cookies and similar technologies
The Guugy mobile app uses no cookies and neither creates nor reads browser cookies. If you open a shared post link in a browser, only our hosting provider's standard server logs (request time, IP address, client information) may be generated; we place no advertising or analytics cookies. This privacy policy page itself sets no cookies, loads no external resources and makes no request to any third party. Your language choice travels only in the query parameter of the address bar and is not stored on your device.
7. Who receives your data
We share your data only with the providers required to run the service, under contractual limits. Every sub-processor is bound to process data only on our instructions, to keep it confidential, and to provide protection equal to or stronger than this policy; that commitment is binding in their contracts.
| Recipient / provider | Data transferred | Purpose | Location |
|---|---|---|---|
| Google Firebase Cloud Messaging | Push notification token, notification title and technical payload (post, like, reply and follow events; chat notifications) | Deliver the notification to your device | United States and Google's global infrastructure |
| Email delivery provider (SMTP) | Recipient email address, message content (verification code, password reset, security notice) | Send account verification and security email | Varies by provider |
| Object storage (S3-compatible) | Post media, chat attachments, profile and group photos | Store and serve media files securely | Configured region (for example US East) |
| Hosting and database infrastructure | All account, content, message and security records | Run the API and the PostgreSQL database | Varies by provider region |
| Google / Apple identity providers | Provider user identifier, verified email address (only if you choose that sign-in method) | Link your account for optional social sign-in | Google/Apple infrastructure |
7.1 What other users can see
- Your username, display name, bio, profile photo, public posts, likes, replies, lists, and follower/following counts are shown to other users.
- If you make your profile private, your posts are visible only to followers you approve and do not appear in discovery or search surfaces.
- The content of your messages is visible only to the participants of that conversation. Online state and last seen are shown only to accounts that mutually follow each other; a one-way follow does not reveal them.
- Read and delivery state is shown only to the sender of the message. If you switch read receipts off, your reads are never reported.
7.2 Legal requests
We may share data with competent public authorities where a valid court order, prosecutor's request or applicable law requires it. In those cases we narrow the scope to the data actually requested and inform you where possible. For special-category data and data concerning the private sphere, the additional safeguards required by KVKK Article 8/2-a and applicable law apply.
8. International transfers
Guugy servers and the providers listed in Table 2 may be located outside Türkiye and the European Economic Area, so your data may be transferred abroad. Such transfers rely on:
- KVKK Article 9 (the framework effective from 1 June 2024): an adequacy decision for the destination country, an appropriate safeguard (for example the standard contractual clauses published by the Authority, or binding corporate rules), or, in limited cases, a derogation.
- GDPR Chapter V (Articles 44 et seq.): an adequacy decision or appropriate safeguards such as the European Commission's Standard Contractual Clauses, together with the supplementary technical and organisational measures that are required (encryption, access limits, contractual audit rights).
You can request details of the transfer mechanisms we use, the categories of recipients and, where applicable, adequacy decisions via the channel in Section 17.
9. Retention periods
We keep data only for as long as the processing purpose requires. When the period ends, the data is deleted, destroyed or anonymised.
| Data | Retention period | Notes |
|---|---|---|
| Account, profile and content | While your account is open | After a deletion request the process below applies |
| Approximate location observations (region) | 30 days | An observation is valid for 24 hours; once expired it is no longer "current" and it is deleted automatically after 30 days. "Stop sharing" deletes all of it immediately. |
| Security events | 365 days | Sign-in, password and account-state events; used for security and abuse review |
| Sign-in attempts | 30 days | To stop attacks on accounts with failed sign-in attempts |
| Session records | 90 days | Expired or revoked sessions are removed at the end of this period |
| Notifications | 180 days | Notification inbox records |
| Unfinished registrations | 30 days | For abandoned sign-ups, the email or phone entered is released and the account is made unreachable |
| Job queue and technical records | 30 days | Processed event records; email and notification delivery traces |
| Rate-limit counters | 2 days | Short-lived counters kept for abuse protection |
| Support and deletion correspondence | 24 months after the request is closed | So you can prove you exercised your rights, and for legal defence |
| Records under legal obligation | As required by law | The minimum records needed for authority requests, disputes and legal obligations |
10. Deactivation, deletion and data copies
10.1 Deactivating your account (reversible)
From settings you can temporarily deactivate your account: your profile, posts and followers are hidden and your sessions are closed. Signing in again reactivates the account.
10.2 Deleting your account and data (permanent)
Deletion is different from deactivation and cannot be undone. You can submit a deletion request using the steps on the account and data deletion page. When the request is processed:
- Your account and all sessions are closed; the account cannot be reached from any device.
- Your profile, posts, replies, media, messages, reactions, lists, follow relationships and reports are removed from every surface and are no longer displayed.
- Device records, push tokens, location observations and session records linked to your account are deleted.
- Identifiers such as your email address or phone number and the content listed above are permanently deleted from production systems or irreversibly anonymised within 30 days of verifying the request; copies that remain in backups are cleared within the normal backup cycle (at most 90 days).
- Only the minimum records that applicable law requires us to keep are retained: security and sign-in records (for the periods in Section 9, for abuse and fraud prevention and legal defence) and records relating to competent authorities. Those records are not used for any other purpose.
- When the deletion is complete you are notified through the request you sent to aildev@outlook.com.
Important: deletion cannot be undone. Download anything you want to keep to your device first. An in-app account deletion flow is planned; until it ships, deletion requests are taken through this page and fulfilled within the periods above.
10.3 Removing content item by item
You do not need to delete your account to stay in control: you can delete posts, replies and messages in the app, remove your profile photo, delete lists, stop location sharing and close device sessions.
10.4 Data copies (portability)
An automated export tool is not available yet. You can request a machine-readable copy of your data (profile information, posts, messages, follow relationships and similar) by writing to aildev@outlook.com and completing identity verification. Requests are answered within 30 days.
11. Your rights and in-app controls
11.1 Your rights under KVKK Article 11
- Learn whether your personal data is processed and request information about it,
- learn the purpose of processing and whether the data is used accordingly,
- learn the third parties to whom data is transferred at home or abroad,
- request rectification of incomplete or inaccurate data,
- request erasure or destruction under the conditions in KVKK Article 7,
- request that rectification, erasure and destruction be notified to the third parties to whom the data was transferred,
- object to a result arising against you from analysis performed exclusively by automated systems,
- claim compensation for damage caused by unlawful processing.
11.2 Your rights under the GDPR
- Access your data and obtain a copy (Article 15),
- rectify inaccurate or incomplete data (Article 16),
- erasure ("right to be forgotten", Article 17);
- restriction of processing (Article 18);
- object to processing (Article 21), in particular processing based on legitimate interests;
- data portability (Article 20);
- withdraw consent at any time where processing is based on consent (Article 7(3));
- lodge a complaint with a supervisory authority (Article 77).
11.3 Use the in-app controls
Privacy and safety
Manage profile visibility (public/private) and read receipts; review the accounts you blocked or muted.
Sessions and devices
See where you are signed in and sign out of one device or all other devices.
Security activity
Review the history of sign-ins and security events on your account.
Notifications
Control push and email notifications and choose which types you receive.
Discovery and location
Turn regional content and personalised trends on or off; stop location sharing and delete the records.
Storage and data
See the space used on your device, clear the media cache and remove downloaded files.
11.4 Submitting a request and response times
Send your request to aildev@outlook.com from the email address registered to your account. We may need to verify your identity. Requests under KVKK are answered free of charge within 30 days; requests under the GDPR are answered without undue delay and within one month (extendable by two months with reasons). If your request is complex, or you repeat the same request frequently, we may charge a reasonable fee or refuse it, stating our reasons. You always have the right to complain to the KVKK Authority (kvkk.gov.tr) or to the supervisory authority of the EU country where you live.
12. Data security
- Passwords are irreversibly hashed with Argon2; the password itself is never stored and never written to logs.
- Sessions use short-lived access tokens (15 minutes) and rotating long-lived refresh tokens (30 days) with reuse detection; only token hashes are stored in the database.
- Data is protected in transit with TLS and at rest with provider-level disk encryption. Sensitive notification payloads travel through an encrypted job queue.
- Media files are not public: download links are short-lived and signed, and viewing permission and visibility are re-checked on every request.
- Authorisation is enforced on the server; hiding a button in the interface is not treated as access control.
- Rate limits, per-session device binding and suspicious-session revocation defend against brute-force and abuse.
- Access follows least privilege; administrative and access operations are logged.
- If a data breach occurs we meet our notification duties under KVKK and the GDPR: under the GDPR we notify the competent supervisory authority within 72 hours and inform affected users without undue delay where there is a high risk.
13. Children's privacy and the age limit
- You must be at least 13 years old to use Guugy. The date of birth is validated on the server during registration and accounts for anyone under 13 cannot be created.
- The service is not directed to children under 13 and is not part of the Google Play Families programme; the declared store target audience is 13 and above.
- We recommend that users aged 13 to 18 use the service with a parent or legal guardian; guardians may ask us to delete their child's account.
- If we learn that someone under 13 created an account, we remove the account and its associated data. You can report this to aildev@outlook.com.
- Content that endangers children (child sexual abuse material, grooming or harassment of children) is not allowed; it is removed and reported to the competent authorities as applicable law requires.
14. Automated decisions, profiling and data sales
- We do not sell or rent your personal data and we make no transfer that could be described as a "sale" or "share".
- We do not use automated decision-making that produces legal or similarly significant effects for you (for example automatic account closure). Account suspensions and content removals follow a human review of a report.
- Feed and discovery ranking uses in-service signals such as the accounts you follow, the recency of content and engagement counters. We do not profile you for advertising and we do not use behavioural ad targeting.
- We use no cookies, pixels, fingerprinting or similar tracking technology for advertising or tracking.
15. United States state notices (CCPA/CPRA)
For users residing in California and other states with similar privacy laws:
- Personal information sold or shared in the last 12 months: none. The service transfers no data to advertising networks and performs no cross-context behavioural advertising.
- You have the right to know, correct, delete and obtain a copy; submit a request to aildev@outlook.com or through the data deletion page.
- You will not be discriminated against for exercising your rights; service level and price stay the same.
- You may also request through an authorised agent; we act once the agent's authority is verified.
- The categories of data we collect are listed in Table 1, the purposes in Table 2 and the retention periods in Table 3.
16. Changes to this policy
We may update this policy to reflect the service, the law or our data practices. The effective date of each version is published at the top of this page and in the version history. For material changes that expand processing purposes or reduce your rights, we notify you in the app or by email to your registered address in advance, and where new consent is required we apply the change only after obtaining it.
17. Contact and how to submit a request
- Privacy, data subject requests, deletion and copy requests: aildev@outlook.com
- Abuse, harassment and illegal content reports: aildev@outlook.com (the in-app reporting tools are available around the clock and are handled as a priority)
- Legal notices and official requests: aildev@outlook.com
- Postal address: Mahmutbey Caddesi No: 1, Kat 5, Şirinevler, Bahçelievler / İstanbul, Türkiye
- In the app: Settings > Privacy and safety, Settings > Account, and the data deletion page
Your request only needs your name, the email address registered to your account, and the subject of the request. We may need to verify your identity to answer it; for that we ask only for the information necessary to verify it.
18. Store declaration mapping (Apple App Privacy and Google Play Data safety)
This policy is published at guugy.app/privacy-policy.html in a public, non-editable form accessible worldwide. The App Store Connect Privacy Policy URL field and the Google Play Console Policy and programs > App content > Privacy policy field point to that address. The table below maps the store forms to this policy.
| Google Play Data safety / Apple App Privacy category | Collected? | Linked to you? | Purpose | Used for tracking? |
|---|---|---|---|---|
| Name (display name), username | Yes | Yes | App functionality, account management | No |
| Email address | Yes | Yes | Account management, verification, security | No |
| Phone number | Optional | Yes | Account management | No |
| User IDs (account and device identifiers) | Yes | Yes | App functionality, security, fraud prevention | No |
| Approximate location | Only with explicit consent | Yes | App functionality (regional discovery) | No |
| Photos and videos | Only what you share | Yes | App functionality | No |
| Audio files | Only what you record | Yes | App functionality | No |
| Other files and documents | Only what you share | Yes | App functionality | No |
| Messages (in-app messages) | Yes | Yes | App functionality | No |
| App activity (user content, likes, saves, follows) | Yes | Yes | App functionality, personalisation within the service | No |
| In-app search history | No — device only | No | — | No |
| Device or other IDs (device ID, push token) | Yes | Yes | App functionality (notifications), security | No |
| App info and performance (app version, OS version) | Yes | Yes | App functionality, compatibility | No |
| Crash and diagnostics data | No — no crash or analytics SDK is used | No | — | No |
| Financial info, health data, contacts, calendar, browsing history | No | No | — | No |
In addition: the app does not track you within the meaning of App Tracking Transparency (ATT) and does not request the ATT permission on iOS; the Google Play Data safety form declares that data is not used for advertising or marketing and is not sold to third parties.
19. Version history
| Version | Date | Change |
|---|---|---|
| 1.0 | 18 October 2026 | First release: privacy policy, KVKK controller notice and GDPR information for the Guugy app, API and web pages. |