Gizlilik Politikası

Bu Gizlilik Politikası, Fitney Tecnologia Ltda.'nın ("Fitney", "biz") fitness ve beslenme SaaS platformumuzun kullanıcılarından ("Kullanıcılar", "siz") kişisel verileri nasıl topladığını, kullandığını, paylaştığını ve koruduğunu açıklar.

Bu Politika, Fitney tarafından sunulan tüm hizmetler için geçerlidir; bunlar şunları içerir:

• Kurumsal web sitesi (fitney.com.br);
• iOS ve Android için mobil uygulama;
• Profesyoneller için yönetim paneli (backoffice);
• Premium plan profesyonelleri için oluşturulan white-label uygulamalar;
• API'ler ve arka uç hizmetleri.

LGPD sayfamız ve Çerez Politikamız ile tamamlanmaktadır.

Bu Politikayı baştan sona okumanızı öneririz. Platformu kullanarak veri işleme uygulamalarımızı anladığınızı onaylamış olursunuz.

Bu Politika ve geçerli veri koruma yasaları için:

• Fitney Tecnologia Ltda., Platforma abone olan Profesyonellerin (kişisel antrenörler, diyetisyenler) kişisel verilerinin veri sorumlusudur;
• Profesyonel, kendi Danışanlarının kişisel verilerinin veri sorumlusudur ve Fitney bu verilerin veri işleyenidir;
• Veri Koruma Sorumlusu (DPO) ile dpo@fitneyapp.com adresinden iletişime geçilebilir.

Bu ayrım hak kullanımı için önemlidir: Danışanlar talepleri öncelikle verilerini yöneten Profesyonele yönlendirmelidir, ancak doğrudan Fitney ile de iletişime geçebilirler.

Aşağıdaki kişisel veri kategorilerini topluyoruz:

Kayıt Verileri

• Ad soyad, e-posta, telefon numarası (ülke kodu ile);
• CPF/CNPJ (Brezilya'da faturalama için);
• Kullanıcı tarafından gönüllü olarak sağlanan profesyonel kayıt veya sertifika (örn. Brezilya'da CREF, CRN; ABD'de NASM, ACE, NSCA, RD; Avrupa'da REPs, EREPS). Bu veri isteğe bağlıdır ve Fitney tarafından doğrulanmaz;
• İşletme adresi ve faturalama bilgileri.

Sağlık ve Fitness Verileri (Hassas Veriler)

• Vücut ölçümleri (kilo, boy, çevreler);
• Sağlık ve fitness hedefleri;
• Antrenman ve egzersiz geçmişi;
• Beslenme verileri ve beslenme programları;
• İlerleme fotoğrafları (gönüllü olarak sağlandığında);
• Diyet kısıtlamaları ve beyan edilen sağlık koşulları;
• Sağlık platformlarından içe aktarılan veriler (iOS'ta Apple HealthKit ve Android'de Health Connect); adımlar, nabız, yakılan kalori, kat edilen mesafe ve egzersiz seansları dahil — yalnızca veri sahibinin açık onayı ile, doğrudan cihazın işletim sistemi üzerinden verilen;
• Sağlık anketi (anamnez): tıbbi geçmiş, yaşam tarzı, fiziksel aktivite seviyesi, hedefler — Danışan veya Profesyonel tarafından gönüllü olarak doldurulur.

Kullanım ve Cihaz Verileri

• IP adresi, tarayıcı türü ve işletim sistemi;
• Erişilen sayfalar, harcanan zaman ve etkileşimler;
• Coğrafi konum verileri (web sitesinde IP tabanlı; mobil uygulamada, antrenman konumunu kaydetmek için yetkilendirildiğinde GPS);
• Cihaz tanımlayıcıları: cihaz modeli, işletim sistemi sürümü, uygulama sürümü ve benzersiz cihaz tanımlayıcı;
• Hatırlatmalar ve iletişimler için push bildirim token'ları (Firebase Cloud Messaging);
• Firebase Crashlytics tarafından toplanan performans ve teşhis verileri (kişisel olarak tanımlanabilir veri olmadan kilitlenme raporları);
• Çerezler ve benzer teknolojiler — Çerez Politikamıza bakın.

Yerel Depolama Verileri (Mobil Uygulama)

• API yanıt önbelleği (çevrimdışı işlevsellik için yerel olarak 3 güne kadar saklanır);
• Çevrimdışı işlemler kuyruğu (bağlantı olmadan gerçekleştirilen egzersizler, check-in'ler ve koşu seansları, yeniden bağlanma sırasında otomatik olarak senkronize edilir);
• Bildirim tercihleri ve Kullanıcı ayarları;
• Son bildirim geçmişi (alınan son 10).

Ödeme Verileri

• İşlem verileri (tutar, tarih, durum);
• Son 4 hane ve kart markası (tanımlama için);
• Apple App Store veya Google Play üzerinden uygulama içi satın alma verileri, işlem tanımlayıcıları ve abonelik dönemleri dahil;
• Not: Tam kart verileri doğrudan Stripe veya yerel işlemcilerle (Brezilya'da Asaas) işlenir ve sunucularımızda asla saklanmaz.

İletişim Verileri

• Platformda Profesyoneller ve Danışanlar arasında değiş tokuş edilen mesajlar;
• Destek iletişimleri ve geri bildirimler.

Kişisel verileri aşağıdaki hukuki gerekçelere dayanarak işliyoruz:

Hukuki Dayanak	LGPD (Md. 7)	GDPR (Md. 6)	Örnekler
Sözleşme ifası	Md. 7, V	Md. 6(1)(b)	Hizmet sunumu, ödeme işleme
Onay	Md. 7, I / Md. 11, I	Md. 6(1)(a)	Sağlık verileri, pazarlama, zorunlu olmayan çerezler
Meşru menfaat	Md. 7, IX	Md. 6(1)(f)	Güvenlik, dolandırıcılığı önleme, hizmet iyileştirme
Yasal yükümlülük	Md. 7, II	Md. 6(1)(c)	Vergi yükümlülükleri, düzenleyici gereksinimler, mahkeme kararları
Yaşamın korunması	Md. 7, VII	Md. 6(1)(d)	Sağlık verilerini içeren acil durumlar

Hassas veriler (sağlık ve fitness verileri) için, LGPD'nin 11. ve GDPR'nin 9. maddelerinin gerektirdiği şekilde, veri sahibinin özel ve belirgin onayını öncelikli olarak kullanırız.

Kişisel verilerinizi aşağıdaki amaçlarla kullanırız:

• Hizmet sunumu: hesabınızın oluşturulması ve sürdürülmesi, sözleşmeli özelliklerin sağlanması, ödemelerin işlenmesi;
• Kişiselleştirme: deneyimi, antrenman önerilerini ve özellikleri profilinize uyarlama;
• İletişim: hizmet bildirimleri, güncellemeler, güvenlik uyarıları ve (onayla) pazarlama iletişimleri gönderme;
• Güvenlik: dolandırıcılığı, yetkisiz erişimi ve kötü niyetli faaliyetleri tespit etme, önleme ve araştırma;
• Hizmet iyileştirme: özellikleri iyileştirmek için kullanım örüntülerini analiz etme (mümkün olduğunda toplu ve anonimleştirilmiş biçimde);
• Yasal uyumluluk: vergi, düzenleyici, adli ve yetkili otorite yükümlülüklerini yerine getirme;
• Destek: taleplere, şikayetlere yanıt verme ve teknik yardım sağlama.

Kişisel verileri yalnızca aşağıdaki durumlarda, her zaman uygun güvencelerle paylaşırız:

Hizmet Sağlayıcılar (Veri İşleyenler/Alt İşleyenler)

• Altyapı ve barındırma: bulut bilişim sağlayıcıları (ABD ve/veya AB'de sunucular);
• Ödemeler: Stripe ve yerel işlemciler;
• Analitik ve izleme: Google Analytics 4 (Consent Mode v2 ile Google Tag Manager üzerinden), Firebase Analytics ve Firebase Crashlytics (kararlılık raporları), Microsoft Clarity (ısı haritaları);
• Push bildirimleri: Firebase Cloud Messaging (Google);
• Medya depolama: Amazon S3 ve Supabase (egzersiz fotoğrafları, check-in'ler ve değerlendirmeler);
• Sağlık: Apple HealthKit ve Google Health Connect (yalnızca cihazda yerel okuma/yazma, veri Fitney sunucularına aktarılmaz);
• Ödemeler: Stripe (uluslararası) ve Asaas (Brezilya — PIX ve Boleto); Apple App Store ve Google Play (uygulama içi satın alımlar);
• İşlemsel e-posta: e-posta gönderim sağlayıcıları (SMTP);
• Destek: müşteri hizmetleri araçları.

Tüm sağlayıcılar Veri İşleme Sözleşmeleri (DPA'lar) ile sözleşmelidir.

Profesyonel-Danışan Paylaşımı

Profesyoneller, hizmet sunumu için gerekli olduğu kadar Danışan verilerine erişebilir. Danışanlar Profesyonellerinin gizlilik politikasını incelemelidir.

Yasal Yükümlülükler

Yasaların, mahkeme kararının, yasal işlemlerin veya yetkili bir devlet otoritesinin talebinin gerektirdiği durumlarda verileri ifşa edebiliriz.

Kurumsal Transferler

Birleşme, satın alma, yeniden yapılandırma veya varlık satışı durumunda, önceden bildirim ve korumaların sürdürülmesiyle veriler transfer edilebilir.

Fitney, LGPD, GDPR ve CCPA/CPRA tarafından tanımlandığı şekilde üçüncü taraflara kişisel veri satmaz.

Fitney, geçerli yasalara uygun olarak veri sahibinin kaynak ülkesi dışına kişisel veri transfer edebilir:

Brezilya'dan Yurt Dışına (LGPD, Md. 33-36)

• ANPD tarafından kabul edilen yeterli koruma düzeyi sağlayan ülkelere veya kuruluşlara;
• ANPD tarafından onaylanan standart sözleşme maddeleri aracılığıyla;
• Veri sahibinin özel ve belirgin onayı ile;
• Sözleşme ifası için gerekli olduğunda.

AB/AEA'dan Yurt Dışına (GDPR, Md. 44-49)

• Avrupa Komisyonu'ndan yeterlilik kararı bulunan ülkelere;
• AB Standart Sözleşme Maddeleri (SCC'ler) aracılığıyla;
• Geçerli olduğu durumlarda AB-ABD Veri Gizliliği Çerçevesi kapsamında ABD'ye;
• Gerekli olduğunda transfer etki değerlendirmesi (TIA) yapılır.

Birincil sunucularımız uygun teknik ve organizasyonel güvenlik önlemleriyle Amerika Birleşik Devletleri'nde (AWS/Google Cloud) bulunmaktadır.

Kişisel verileri yalnızca bu Politikada açıklanan amaçları yerine getirmek için gerekli olan süre boyunca saklarız:

Veri Kategorisi	Saklama Süresi	Gerekçe
Aktif hesap verileri	Hesap aktif olduğu sürece	Sözleşme ifası
İptal sonrası veriler	6 aya kadar	Yeniden etkinleştirme olasılığı
Vergi/finansal veriler	5 yıl	Yasal yükümlülük (Brezilya Vergi Kodu)
Sağlık verileri	Sahibi tarafından silinene veya inaktiflikten 2 yıl sonrasına kadar	Hakların düzenli kullanımı
Erişim günlükleri	6 ay	Yasal yükümlülük (Brezilya İnternet Yasası, Md. 15)
İletişim verileri	Hesap aktif olduğu sürece + 1 yıl	Destek ve uyuşmazlık çözümü
Anonimleştirilmiş veriler	Süresiz	Anonimleştirilmiş veri kişisel veri değildir

Saklama süresi sonunda veriler silinir veya geri dönüşü olmayan şekilde anonimleştirilir.

Bulunduğunuz yere bağlı olarak kişisel verileriniz üzerinde aşağıdaki haklara sahipsiniz:

LGPD (Brezilya) Kapsamındaki Haklar

LGPD'nin 17-22. maddeleri kapsamında şu haklara sahipsiniz:

• Veri işlemenin teyidi;
• Kişisel verilere erişim;
• Eksik, yanlış veya güncel olmayan verilerin düzeltilmesi;
• Gereksiz veya aşırı verilerin anonimleştirilmesi, engellenmesi veya silinmesi;
• Veri taşınabilirliği;
• Onaya dayalı işlenen verilerin silinmesi;
• Üçüncü taraflarla paylaşım hakkında bilgi;
• Onayın geri çekilmesi;
• İşlemeye itiraz.

GDPR (AB/AEA) Kapsamındaki Haklar

GDPR'nin 15-22. maddeleri kapsamında şu haklara sahipsiniz:

• Erişim (Md. 15);
• Düzeltme (Md. 16);
• Silme / "unutulma hakkı" (Md. 17);
• İşlemenin kısıtlanması (Md. 18);
• Taşınabilirlik (Md. 20);
• İtiraz (Md. 21), doğrudan pazarlamaya itiraz dahil;
• Otomatik kararlara tabi olmama (Md. 22);
• Yetkili denetim otoritesine şikayette bulunma.

CCPA/CPRA (California, ABD) Kapsamındaki Haklar

• Hangi verilerin toplandığını ve nasıl kullanıldığını bilme hakkı;
• Kişisel verileri silme hakkı;
• Yanlış verileri düzeltme hakkı;
• Verilerin satışından/paylaşımından vazgeçme hakkı;
• Hassas verilerin kullanımını sınırlama hakkı;
• Haklarınızı kullandığınız için ayrımcılığa uğramama hakkı.

Fitney, CPRA tarafından tanımlandığı şekilde bağlamlar arası davranışsal reklamcılık amaçları için kişisel veri satmaz veya paylaşmaz.

Haklarınızı kullanmak için dpo@fitneyapp.com adresinden bizimle iletişime geçin. 15 gün (LGPD), 30 gün (GDPR) veya 45 gün (CCPA) içinde yanıt vereceğiz.

Kişisel verilerinizi korumak için teknik ve organizasyonel önlemler uyguluyoruz:

• Şifreleme: aktarımdaki veriler TLS 1.3 ile korunur; hassas veriler dinlenirken şifrelenir (AES-256);
• Erişim kontrolü: çok faktörlü kimlik doğrulama, en az ayrıcalık ilkesi, erişim günlükleri;
• Altyapı: sertifikalı veri merkezlerinde sunucular (SOC 2 Type II, ISO 27001);
• İzleme: izinsiz giriş tespiti, 7/24 izleme ve otomatik uyarılar;
• Yedekleme: düzenli saklama ve geri yükleme testleriyle şifrelenmiş yedeklemeler;
• Personel: tüm çalışanlar için düzenli güvenlik ve gizlilik eğitimi;
• Test: periyodik güvenlik açığı değerlendirmeleri ve güvenlik incelemeleri.

Hiçbir sistem %100 güvenli değildir. Bir güvenlik olayı durumunda, yetkili otoritelere (ANPD, Avrupa veri koruma otoriteleri) ve etkilenen veri sahiplerine yasal süreler içinde bildirimde bulunacağız.

Platform 18 yaşın altındaki kişilere yönelik değildir. 18 yaşın altındaki küçükler, Platformu yalnızca yasal vasi tarafından doğrulanabilir onayla kullanabilir.

• Brezilya (LGPD, Md. 14): çocukların verileri (12 yaşa kadar) yalnızca en az bir ebeveyn veya yasal vasinin özel ve belirgin onayı ile. Ergenler (12-17): yasal vasiden onay;
• AB (GDPR, Md. 8): 16 yaşın altındaki küçüklerin onayı (veya Üye Devlet tarafından tanımlanan daha düşük yaş, minimum 13) ebeveynlik sorumluluğu sahibinin yetkisini gerektirir;
• ABD (COPPA): 13 yaşın altındaki küçüklerden bilerek veri toplamayız. Eğer farkına varırsak verileri derhal silieriz.

Bir küçüğün verilerinin yetkisiz olarak toplandığına inanıyorsanız dpo@fitneyapp.com ile iletişime geçin.

Platformu işletmek, kullanımı analiz etmek ve deneyimi kişiselleştirmek için çerezler ve benzer teknolojiler kullanırız. Ayrıntılı bilgi için lütfen Çerez Politikamıza bakın.

Özet:

• Zorunlu çerezler: web sitesinin işleyişi için gereklidir (onay gerekmez);
• Analitik çerezler: Platformun nasıl kullanıldığını anlamak için (onay gerekir);
• Pazarlama çerezleri: reklamları kişiselleştirmek için (onay gerekir).

Çerez tercihlerinizi çerez bildirim çubuğu veya tarayıcı ayarlarınız aracılığıyla istediğiniz zaman yönetebilirsiniz.

Fitney aşağıdaki amaçlar için otomatik işlemeyi kullanabilir:

• Danışanın profiline dayalı antrenmanlar ve beslenme programları önermek;
• Güvenlik için anormal kullanım örüntülerini tespit etmek;
• Platformdaki deneyimi kişiselleştirmek.

Bu öneriler yardımcıdır ve her zaman Profesyonel incelemesine tabidir. Yalnızca otomatik işlemeye dayanarak yasal etkiler doğuran veya veri sahibini önemli ölçüde etkileyen kararlar almıyoruz.

LGPD'nin 20. ve GDPR'nin 22. maddesi kapsamında, otomatik kararların incelenmesini talep etme ve kullanılan kriterler ve prosedürler hakkında bilgi alma hakkına sahipsiniz.

Bu Politikayı periyodik olarak güncelleyebiliriz. Önemli değişiklikler 30 gün önceden şu yollarla bildirilecektir:

• Kayıtlı Kullanıcılara e-posta;
• Platformda bildirim;
• Bu sayfada "Son güncelleme" tarihinin güncellenmesi.

Yeni onay gerektiren değişiklikler için (örn. hassas veri işleme için yeni amaçlar), uygulamadan önce özel onay isteyeceğiz.

Bu Politikayı periyodik olarak gözden geçirmenizi öneririz.

Bu Politika veya kişisel verilerinizin işlenmesi hakkında sorular, talepler veya şikayetler için:

• Veri Koruma Sorumlusu (DPO): dpo@fitneyapp.com
• Genel: legal@fitneyapp.com
• Adres: Fitney Tecnologia Ltda., CNPJ 44.638.274/0001-86, R. Cascavel, 2760 — Curitiba, PR, Brezilya

Yanıtımızdan memnun kalmazsanız, yetkili veri koruma otoritesine şikayette bulunabilirsiniz:

• Brezilya: Ulusal Veri Koruma Otoritesi (ANPD) — gov.br/anpd
• AB: İkamet ettiğiniz ülkenin veri koruma otoritesi
• ABD (California): California Başsavcılık Ofisi