Privacy Policy

Last updated: May 2026 · Version 2.0

1. Giriş

Fincan ("biz", "bizim" veya "uygulama") olarak gizliliğinize saygı duyuyor, kişisel verilerinizi 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) çerçevesinde korumayı taahhüt ediyoruz. Bu Gizlilik Politikası; Fincan iOS uygulamasını ve fincan.ai web sitesini kullandığınızda hangi verileri topladığımızı, nasıl işlediğimizi, kimlerle paylaştığımızı ve haklarınızı nasıl kullanabileceğinizi açıklamaktadır.

2. Veri Sorumlusu

KVKK Madde 3/ı ve GDPR Madde 4(7) anlamında veri sorumlusu Fincan uygulamasının yayıncısıdır. Veri sorumlusuna aşağıdaki kanallardan ulaşabilirsiniz:

Uygulama: Fincan (App Store kimliği: com.tanzi.Fincan)
İletişim: support@fincan.ai
Web: https://fincan.ai

3. Topladığımız Veri Kategorileri

Fincan'ı kullanırken aşağıdaki veri kategorilerini işliyoruz:

Hesap ve Profil Verileri: E-posta adresi, kullanıcı adı, ad-soyad, doğum tarihi, cinsiyet, ilişki durumu, profil fotoğrafı (sosyal giriş veya manuel girişte). Apple Sign In, Google Sign In veya Facebook Login kullanılıyorsa ilgili sağlayıcının verdiği temel kimlik bilgileri.
Fal Verileri: Kahve fincanı fotoğrafları, OpenCV/CoreML kontur tespit verileri, AI tarafından üretilen fal yorumları, niyet/tema seçimleri, takip soruları, favoriler, notlar, ruh hali (mood) verileri.
Hafıza Fotoğrafları: Falla ilişkilendirilen isteğe bağlı anı fotoğrafları (yalnızca eklediğinizde Cloudflare R2 sunucularımızda saklanır).
Sosyal Veriler: Arkadaş listesi, gönderilen/alınan arkadaşlık istekleri, fal paylaşımları (sosyal feed), reaksiyonlar, engellenen kullanıcılar, public profil bilgisi (kullanıcı adı + isim, ad arama indeksi).
Konum Verileri: Hafızalar için isteğe bağlı yaklaşık konum bilgisi (yalnızca açık izin verdiğinizde, GPS koordinatları kaydedilmez).
Satın Alma Verileri: Abonelik durumu, satın alınan çekirdek/abonelik, kozmetik ürünler (avatar, frame, background) — App Store üzerinden RevenueCat ile işlenir; kart bilgileri Fincan'a iletilmez.
Kullanım ve Analitik Verileri: Uygulama oturumları, ekran görüntüleme süreleri, fal sayısı, dil tercihi, tema ayarları, A/B test grup bilgisi, rozet ilerlemesi, kohort, ülke kodu, yaş kovası (cardinality için bucketlanır).
Cihaz Bilgileri: Cihaz modeli, iOS sürümü, uygulama sürümü, tanılama günlükleri, çökme yığın izleri, performans metrikleri.
Reklam Tanımlayıcıları: ATT izninize göre IDFA (App Tracking Transparency); reddederseniz IDFV ve anonim cihaz parmak izi kullanılır.
Push ve Bildirim: APNs (Apple Push Notification Service) cihaz token'ı, FCM (Firebase Cloud Messaging) token'ı, abone olduğunuz konular.
App Attest / App Check: Apple App Attest ve Firebase App Check ile üretilen kriptografik bütünlük belirteçleri (sahtecilik önleme).

4. İşleme Amaçları ve Hukuki Sebepler

Verilerinizi yalnızca aşağıdaki belirli, açık ve meşru amaçlar için işliyoruz. Her amaç için GDPR Madde 6 kapsamındaki hukuki dayanak parantez içinde belirtilmiştir:

Fal yorumu hizmetini sunmak ve kişiselleştirmek (sözleşmenin ifası)
Hesap oluşturma, oturum yönetimi, kimlik doğrulama (sözleşmenin ifası)
Fal geçmişi, rozet, sosyal etkileşim sağlamak (sözleşmenin ifası)
Push bildirimi göndermek (fal hazır, hatırlatma) (rıza · uygulama içinde kapatılabilir)
Abonelik/satın alma yönetimi, dolandırıcılık önleme (yasal yükümlülük + meşru menfaat)
Çökme raporu, hata ayıklama, performans iyileştirme (meşru menfaat)
Anonim analitik ve kohort analizleri (meşru menfaat)
Kişiselleştirilmemiş reklam göstermek (meşru menfaat)
Kişiselleştirilmiş reklam göstermek (rıza · ATT ve UMP üzerinden)
Yasal yükümlülüklere uyum, hukuki taleplere yanıt (yasal yükümlülük)

5. Üçüncü Taraf Veri İşleyiciler

Kişisel verilerinizi üçüncü taraflarla satmıyoruz. Hizmetin sağlanabilmesi için aşağıdaki veri işleyicilerle çalışıyoruz; her biri kendi gizlilik politikalarına tabidir:

Google Firebase (Authentication, Firestore, Cloud Functions, Analytics, Crashlytics, Performance Monitoring, In-App Messaging, Remote Config, Cloud Messaging, App Check) — ABD/AB sunucuları.
Cloudflare R2 — Fal ve hafıza fotoğraflarının nesne depolama hizmeti, img.fincan.ai CDN ile sunulur.
OpenAI (GPT-4.1-mini) — Fal metni ve takip yanıtlarının üretilmesi; OpenAI API verileri model eğitiminde kullanmaz.
Google Cloud Text-to-Speech (WaveNet) — Premium kullanıcıların isteğe bağlı sesli fal okuma özelliği.
RevenueCat — Abonelik ve mikro-IAP yaşam döngüsü yönetimi.
Apple — Apple Sign In, App Store In-App Purchase, App Attest, APNs, StoreKit 2.
Google Sign-In ve Facebook Login — Sosyal kimlik doğrulama (yalnızca seçtiğinizde).
Google AdMob ve mediation ortakları: Meta Audience Network, AppLovin, Unity Ads, Liftoff Monetize (Vungle) — yalnızca ücretsiz kullanıcılara reklam gösterimi.
Google Analytics — Anonim site analitiği (web sitesi).

6. Reklam, ATT ve İzleme Şeffaflığı

Fincan, ücretsiz kullanıcılara reklam göstermektedir. Premium aboneler reklamsız deneyim yaşar.

iOS 14.5+ cihazlarda App Tracking Transparency (ATT) izni isteriz. Reddederseniz IDFA toplanmaz, kişiselleştirilmemiş reklam gösteririz; bu durumda reklam geliri düşer ama deneyim kısıtlanmaz.
Avrupa Ekonomik Alanı, Birleşik Krallık ve İsviçre kullanıcıları için Google UMP (User Messaging Platform) consent formu gösterilir; reddederseniz yalnızca bağlamsal (kişiselleştirilmemiş) reklam alırsınız.
Reklam mediation ağları (Meta, AppLovin, Unity, Liftoff) onay durumunuza göre IDFA, IDFV, IP adresi, yaklaşık konum, cihaz türü, reklam etkileşimi gibi sınırlı veriyi işleyebilir.
Reklamı verenlere kişiselleştirilmiş profil aktarmıyoruz; eşleştirme tamamen AdMob ve mediation katmanında gerçekleşir.

7. Yurt Dışı Aktarım

Bazı işleyicilerimiz (Google, OpenAI, RevenueCat, Cloudflare, AppLovin, Meta, Unity, Liftoff) verileri Türkiye/AB dışında — başta Amerika Birleşik Devletleri olmak üzere — işleyebilir. Bu aktarımlar GDPR Madde 46 kapsamında Standart Sözleşme Hükümleri (SCC) ve KVKK Madde 9 kapsamında ilgili güvenceler altında yapılır. Veri minimumdadır ve sözleşmesel olarak gizlilik altındadır.

8. Veri Güvenliği

Tüm trafik HTTPS/TLS ile şifrelenir.
Firebase güvenlik kuralları ve Firestore tabanlı erişim denetimleri.
Apple App Attest + Firebase App Check ile sahtecilik önleme.
RevenueCat webhook için HMAC-SHA256 imza doğrulama, idempotency.
Cloudflare R2 nesne depolamasında signed URL ve presigned upload.
Çift faktörlü yönetim erişimi, en az ayrıcalık ilkesi.

Veri ihlali bildirimi: Bir veri ihlali tespit edersek, GDPR Madde 33 uyarınca yetkili denetleyici otoriteye 72 saat içinde, etkilenen kullanıcılara ise makul en kısa sürede bildirimde bulunuruz.

9. Veri Saklama ve Silme

Aktif hesap: Hesabınız aktif olduğu sürece veriler saklanır.
Hesap silme: Uygulama içi Ayarlar > Hesabı Sil seçeneği ile başlatılır. 30 gün içinde tüm fal kayıtları, fotoğraflar (Firebase Storage + Cloudflare R2), profil bilgileri ve sosyal grafiğin sizinle ilgili kısmı silinir.
Anonim kullanıcı: Misafir oturumu açıp 30 gün giriş yapmazsanız otomatik TTL ile temizlenir.
Yasal saklama: Mali kayıtlar yasal saklama süresince (ör. 10 yıl fatura) saklanır, kişisel veriden ayrıştırılır.
Anonim analitik: Kişisel veri içermeyen kohort istatistikleri süresiz saklanabilir.

10. Haklarınız (KVKK Madde 11 ve GDPR Madde 15-22)

Kişisel verilerinizin işlenip işlenmediğini öğrenme
İşlenmişse buna ilişkin bilgi talep etme
İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
Yurt içinde veya dışında aktarıldığı üçüncü kişileri bilme
Eksik veya yanlış işlenmiş ise düzeltilmesini isteme
Silinmesini veya yok edilmesini isteme (uygulama içi Hesabı Sil)
Düzeltme/silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
Otomatik sistemler ile analiz edilmesi sonucu aleyhe çıkan sonuca itiraz etme
Hukuka aykırı işlenmesi sebebiyle zarara uğranması halinde tazminat talep etme
Verilerinizi taşınabilir formatta isteme (GDPR Madde 20)
İşleme rızanızı her zaman geri çekme
Yetkili denetleyici otoriteye şikayet etme (KVKK için KVKK; AB için ilgili Veri Koruma Otoritesi)

Haklarınızı kullanmak için support@fincan.ai adresine yazılı talep gönderebilirsiniz. KVKK Madde 13 uyarınca taleplere en geç 30 gün içinde yanıt veriyoruz.

11. Çocukların Gizliliği

Fincan, App Store yaş sınıflandırması 12+'dır. Hesap oluşturmak için doğum tarihi alınır ve 13 yaş altı kullanıcılar engellenir. Bilerek 13 yaşından küçük çocuklardan veri toplamıyoruz; tespit edilen hesaplar derhal kapatılır. Avrupa Birliği ülkelerinde ise GDPR Madde 8 ve ulusal mevzuata göre 16 yaş sınırı uygulanır (bazı ülkelerde 13-16 arasında değişir).

12. Otomatik Karar Verme

Fincan'da herhangi bir hukuki sonuç doğuran veya kullanıcıyı önemli ölçüde etkileyen tamamen otomatik karar verme süreci yoktur. Yapay zeka tarafından üretilen fal metinleri eğlence amaçlıdır ve hayati, finansal veya tıbbi tavsiye olarak kabul edilemez.

13. Politika Değişiklikleri

Bu Gizlilik Politikası'nı zaman zaman güncelleyebiliriz. Önemli değişiklikleri uygulama içi bildirim ve/veya e-posta yoluyla duyururuz. Sayfanın üst kısmındaki "son güncelleme" tarihi her zaman en güncel sürümü yansıtır.

14. İletişim

Gizlilik ile ilgili her türlü soru, talep veya şikayet için:

E-posta: support@fincan.ai
Web: https://fincan.ai

1. Introduction

At Fincan ("we", "our" or "the app"), we respect your privacy and are committed to protecting your personal data in accordance with the EU General Data Protection Regulation (GDPR), the UK GDPR, the California Consumer Privacy Act (CCPA/CPRA), and Turkey's Personal Data Protection Law (KVKK No. 6698). This Privacy Policy explains what data we collect when you use the Fincan iOS app and the fincan.ai website, how we process it, who we share it with, and how you can exercise your rights.

2. Data Controller

For the purposes of GDPR Article 4(7) and KVKK Article 3/ı, the data controller is the publisher of the Fincan app. You can reach the controller through the following channels:

App: Fincan (App Store ID: com.tanzi.Fincan)
Contact: support@fincan.ai
Web: https://fincan.ai

3. Categories of Data We Collect

When you use Fincan, we process the following categories of personal data:

Account & Profile Data: Email address, username, name, date of birth, gender, relationship status, profile photo (via social login or manual entry). When you use Apple Sign In, Google Sign-In or Facebook Login, we receive the basic identifiers provided by that provider.
Fortune Data: Coffee cup photos, OpenCV/CoreML contour detection output, AI-generated fortune readings, intention/theme selections, follow-up questions, favorites, notes, mood data.
Memory Photos: Optional photos you attach to a fortune as a memory (stored on Cloudflare R2 only when you upload them).
Social Data: Friend list, friend requests sent/received, fortune shares (social feed), reactions, blocked users, public profile fields (username + display name + search index).
Location Data: Optional approximate location for memory tagging only (only when you explicitly grant permission; precise GPS is not stored).
Purchase Data: Subscription status, purchased credits/subscriptions, cosmetics (avatar, frame, background) — handled by Apple App Store Connect and RevenueCat. Payment card details are never sent to Fincan.
Usage & Analytics Data: App sessions, screen view durations, fortune count, language preference, theme, A/B test variant, badge progress, cohort, country code, age bucket (bucketed for cardinality control).
Device Information: Device model, iOS version, app version, diagnostic logs, crash stack traces, performance metrics.
Advertising Identifiers: IDFA only with ATT (App Tracking Transparency) consent; if denied, IDFV and anonymous device fingerprint instead.
Push & Notification: APNs (Apple Push Notification Service) device token, FCM (Firebase Cloud Messaging) token, subscribed topics.
App Attest / App Check: Cryptographic integrity attestations from Apple App Attest and Firebase App Check (anti-fraud).

4. Purposes & Legal Bases

We process your data only for the following specific, explicit and legitimate purposes. The GDPR Article 6 legal basis for each is shown in italics:

Providing and personalizing fortune readings (performance of contract)
Account creation, session management, authentication (contract)
Fortune history, badges, social interaction (contract)
Push notifications (fortune ready, reminders) (consent · revocable in-app)
Subscription/IAP management, fraud prevention (legal obligation + legitimate interest)
Crash reporting, debugging, performance improvement (legitimate interest)
Anonymous analytics and cohort analysis (legitimate interest)
Non-personalized advertising (legitimate interest)
Personalized advertising (consent · via ATT and UMP)
Compliance with legal obligations and authority requests (legal obligation)

5. Third-Party Data Processors

We do not sell your personal data. To deliver the service, we work with the following processors, each governed by their own privacy policy:

Google Firebase (Authentication, Firestore, Cloud Functions, Analytics, Crashlytics, Performance Monitoring, In-App Messaging, Remote Config, Cloud Messaging, App Check) — US/EU data centers.
Cloudflare R2 — Object storage for fortune and memory photos, served via the img.fincan.ai CDN.
OpenAI (GPT-4.1-mini) — Generation of fortune narrative and follow-up replies; OpenAI API content is not used for model training.
Google Cloud Text-to-Speech (WaveNet) — Optional voice playback of fortunes for premium users.
RevenueCat — Subscription and IAP lifecycle management.
Apple — Apple Sign In, App Store In-App Purchase, App Attest, APNs, StoreKit 2.
Google Sign-In and Facebook Login — Social authentication (only if you choose to use them).
Google AdMob and mediation partners: Meta Audience Network, AppLovin, Unity Ads, Liftoff Monetize (Vungle) — ad serving for free users only.
Google Analytics — Anonymous site analytics (website only).

6. Advertising, ATT and Tracking Transparency

Fincan shows ads to free users. Premium subscribers enjoy an ad-free experience.

On iOS 14.5+ we request App Tracking Transparency (ATT) permission. If you decline, no IDFA is collected and ads are non-personalized. Revenue may be lower but the experience is not restricted.
For users in the EEA, UK and Switzerland we display Google's UMP (User Messaging Platform) consent form. If you decline, only contextual (non-personalized) ads are served.
Mediation networks (Meta, AppLovin, Unity, Liftoff) may process limited data such as IDFA/IDFV, IP address, approximate location, device type and ad interactions based on your consent state.
We do not transfer personalized profiles to advertisers; matching happens entirely inside the AdMob and mediation layers.

7. International Data Transfers

Some of our processors (Google, OpenAI, RevenueCat, Cloudflare, AppLovin, Meta, Unity, Liftoff) may process data outside Turkey/the EEA — primarily in the United States. These transfers are protected by Standard Contractual Clauses (SCCs) under GDPR Article 46 and equivalent safeguards under KVKK Article 9. Data is minimized and contractually confidential.

8. Data Security

All traffic encrypted with HTTPS/TLS.
Firebase security rules and Firestore-based access control.
Apple App Attest + Firebase App Check anti-fraud verification.
HMAC-SHA256 signature verification and idempotency for RevenueCat webhooks.
Signed URLs and presigned uploads for Cloudflare R2 object storage.
Two-factor admin access, principle of least privilege.

Breach notification: If we detect a personal data breach, we will notify the relevant supervisory authority within 72 hours per GDPR Article 33, and affected users without undue delay.

9. Data Retention & Deletion

Active account: Data is retained as long as your account is active.
Account deletion: Initiated via in-app Settings > Delete Account. Within 30 days we delete all fortune records, photos (Firebase Storage + Cloudflare R2), profile information, and the portion of the social graph related to you.
Anonymous users: Guest sessions are automatically purged via TTL after 30 days of inactivity.
Legal retention: Financial records are retained as required by law (e.g. 10 years for invoices) and segregated from personal data.
Anonymous analytics: Cohort statistics that contain no personal data may be retained indefinitely.

10. Your Rights (GDPR Art. 15-22 · KVKK Art. 11 · CCPA)

Right to know whether your data is processed
Right of access to your data
Right to know the purposes and recipients
Right to rectification of inaccurate or incomplete data
Right to erasure / "right to be forgotten" (in-app Delete Account)
Right to restriction of processing
Right to data portability (receive your data in a machine-readable format)
Right to object to processing based on legitimate interest
Right not to be subject to automated decision-making with legal effect
Right to withdraw consent at any time
CCPA users: right to opt out of "sale" or "sharing" — Fincan does neither, but the right is honored if interpretation broadens.
Right to lodge a complaint with the supervisory authority (KVKK in Turkey; the relevant Data Protection Authority in the EU/UK)

To exercise your rights, email support@fincan.ai. We respond within 30 days as required by KVKK Article 13 and GDPR Article 12.

11. Children's Privacy

Fincan has an App Store age rating of 12+. We collect date of birth during account creation and block users under 13. We do not knowingly collect data from children under 13; any such accounts are closed immediately upon detection. In the EU, GDPR Article 8 and national legislation set the digital consent age at 16 (varies between 13-16 by member state).

12. Automated Decision-Making

Fincan does not perform any solely automated decision-making that produces legal or similarly significant effects. AI-generated fortune narratives are intended for entertainment only and must not be relied upon as legal, financial, medical or other professional advice.

13. Policy Changes

We may update this Privacy Policy from time to time. Material changes will be announced via in-app notification and/or email. The "last updated" date at the top of this page always reflects the current version.

14. Contact

For any privacy question, request or complaint:

Email: support@fincan.ai
Web: https://fincan.ai