Son güncelleme: 13 Eylül 2026
Gizliliği ciddiye alıyoruz. Bu politika, hangi verileri topladığımızı, hangi hukuki dayanakla işlediğimizi, ne kadar süre sakladığımızı, adımıza kimlerin işlediğini ve AB Genel Veri Koruma Tüzüğü (2016/679 sayılı Tüzük, GDPR) kapsamındaki haklarınızı nasıl kullanabileceğinizi açıklar.
karmogram.com üzerinden işlenen kişisel veriler bakımından veri sorumlusu, Romanya'da kayıtlı CyGuru Pharm SRL (Ticaret Sicili registration pending, Vergi Kimlik No RO52437696) olup kayıtlı merkezi şu adrestedir: Branesti, str. Horia 33c, jud. Ilfov. Genel iletişim: karmogram@karmogram.com. Gizlilik ve veri koruma talepleri (DPO kutusu dâhil): karmogram@karmogram.com. Tüm hak taleplerini, GDPR Md. 12(3) uyarınca otuz (30) gün içinde yanıtlıyoruz.
(a) Kimlik + okuma girdileri: tam ad, e-posta, doğum tarihi, isteğe bağlı doğum saati ve yeri, girmeyi seçtiğiniz eş veya ekip üyesi verileri, yazılı sorunuz veya rüya anlatımınız. (b) Biyometrik veri (yalnızca El Falı için): avucunuzun fotoğrafı. (c) Hesap/kimlik doğrulama: e-posta, sihirli bağlantı jetonları, son oturum açma zamanı. (d) Stripe’ın döndürdüğü ödeme üstverisi (kart markası, son dört hane, ülke, işlem kimliği — tam kart numarasını asla görmeyiz). (e) Teknik veriler: IP adresiniz ve user-agent’ınız, sayfayı sunmak ve hizmeti kötüye kullanıma karşı korumak için barındırma sağlayıcımız (Vercel) tarafından geçici olarak işlenir; ilk ziyaretinizde IP adresinizden türetilen ülke yalnızca site dilini seçmek için kullanılır ve bunu dil menüsünden istediğiniz zaman değiştirebilirsiniz. Ürün analitiğimiz (PostHog, AB bölgesi) IP adresinizi asla almaz ve yalnızca çerez banner’ında onay verirseniz çalışır; çalışıyorsa cihaz sınıfı, dil, yönlendiren ve UTM parametrelerini kaydeder. (f) Bize gönderdiğiniz iletişimler (e-posta gövdesi, ekler).
Okumanın oluşturulması ve teslimi — sipariş verdiğinizde yaptığınız sözleşmenin ifası (GDPR md. 6(1)(b)). Hesap oluşturma ve sihirli bağlantıyla kimlik doğrulama — sözleşmenin ifası (GDPR md. 6(1)(b)). Dolandırıcılık önleme, kötüye kullanımın azaltılması ve hata izleme — hizmeti güvenli ve çalışır tutmadaki meşru menfaatimiz (GDPR md. 6(1)(f)); yalnızca geçici teknik veriler kullanılır ve sizi asla profillemez. İlk ziyarette IP adresinizin ülkesine göre site dilinin seçilmesi — okuyabileceğiniz bir sayfa göstermedeki meşru menfaatimiz (GDPR md. 6(1)(f)); sonuç yalnızca oturum boyunca tutulur ve dil menüsü bunu geçersiz kılar. Ürün analitiği (PostHog) — çerez banner’ında verdiğiniz ve alt bilgideki “Çerez ayarları”ndan istediğiniz zaman geri çekebileceğiniz onayınız (GDPR md. 6(1)(a); ePrivacy md. 5(3)); onay olmadan hiçbir analitik çalışmaz. Pazarlama iletişimleri — bültene abone olurken verdiğiniz ve size e-postayla gönderdiğimiz bağlantıyla doğruladığınız açık ve özgür onayınız (çift onay) (GDPR md. 6(1)(a)); her e-postadaki abonelikten çıkma bağlantısıyla veya karmogram@karmogram.com adresine yazarak istediğiniz zaman geri alabilirsiniz. Avuç fotoğrafları (El Falı) — GDPR md. 9(2)(a) kapsamında biyometrik veri işlenmesine açık onayınız. Vergi ve muhasebe kayıtları — Romanya vergi mevzuatındaki yasal yükümlülüklerimize uyum (GDPR md. 6(1)(c)).
Oturum çerezleri (iron-session, imzalı): son etkinlikten itibaren 30 gün. Sihirli bağlantı oturum açma jetonları: 15 dakika (tek kullanımlık). Görüşme ve okuma verileri (girdileriniz ve oluşturulan okuma): teslimden itibaren 3 yıl, ardından Romanya hukukundaki hukuk davaları zamanaşımı süresine uygun olarak anonimleştirilir veya silinir. Avuç fotoğrafları: yüklemeden itibaren 30 gün (beklemede şifrelenir, 04:00 Europe/Bucharest’te günlük bir temizleme işiyle silinir). E-posta teslim günlükleri (Resend): 30 gün. Stripe işlem kayıtları ve faturalar: 7 yıl (Romanya Vergi Kanunu 227/2015 ve Muhasebe Kanunu 82/1991 gereği). Ürün analitiği olayları (PostHog, AB bölgesi, yalnızca onayınızla): 12 ay. Hata olayları (Sentry): bugün etkin değil; etkinleştirirsek 90 gün ve bu politika bunu belirtecektir. Destek yazışmaları: 3 yıla kadar.
Your reading is generated by an automated natural-language processing system (OpenAI; palm-reading uses Anthropic). The data we send to the system is the interview fields you submitted (name, birth data, your question, partner or team data if relevant) together with our editorial guidelines. Data sent to OpenAI's API is not used to train or improve any model and is retained by OpenAI for up to 30 days for abuse monitoring before deletion; palm-reading is processed by Anthropic. Generation is fully automated, but it does not produce decisions that have a legal or similarly significant effect on you (a Karmogram reading is reflective entertainment, not a legal, medical, financial, employment or insurance decision). You may at any time request human review of a delivered reading by writing to karmogram@karmogram.com; we will respond within 30 days.
We share data only with the processors strictly needed to operate the service. Stripe Payments Europe (Ireland; processing servers in the United States) — payment processing. Transfer mechanism: EU Standard Contractual Clauses 2021/914 plus Stripe's adherence to the EU–US Data Privacy Framework. Resend (United States) — transactional and marketing email delivery. Transfer mechanism: SCC 2021/914 plus EU–US Data Privacy Framework. PostHog (European Union, eu.posthog.com) — product analytics; no international transfer. Sentry (United States, only when enabled) — error tracking. Transfer mechanism: SCC 2021/914 plus EU–US DPF. Vercel Inc. (United States, with EU edge regions) — application hosting. Transfer mechanism: SCC 2021/914 plus EU–US DPF. OpenAI, L.L.C. (United States) — automated natural-language generation of your reading, accessed through our backend; data sent via the OpenAI API is not used to train OpenAI's models and is retained by OpenAI for up to 30 days for abuse monitoring before deletion. Transfer mechanism: SCC 2021/914. Anthropic PBC (United States) — natural-language processing for palm-reading, accessed through our backend. Transfer mechanism: SCC 2021/914 plus EU–US DPF. If you give explicit consent to store your answers, your customer record, purchase and reading are held in a managed PostgreSQL database located in the European Union. We do not sell your data and we do not share it with advertising networks.
Where personal data leaves the European Economic Area (Stripe, Resend, Sentry, Vercel, OpenAI, Anthropic) the transfer is governed by the European Commission's Standard Contractual Clauses (Decision 2021/914) and, where applicable, by the recipient's certification under the EU–US Data Privacy Framework. You may obtain a copy of the safeguards by writing to karmogram@karmogram.com.
Erişim (Md. 15), düzeltme (Md. 16), silme / unutulma (Md. 17), işlemenin kısıtlanması (Md. 18), veri taşınabilirliği (Md. 20 — verilerinizi yapılandırılmış, makine tarafından okunabilir bir JSON dosyası hâlinde isteyebilirsiniz) ve itiraz (Md. 21) haklarına sahipsiniz. İşleme rızaya dayandığında (Md. 6(1)(a) veya Md. 9(2)(a)), bu rızayı dilediğiniz zaman geri alma hakkınız vardır; geri alma, önceki işlemenin hukuka uygunluğunu etkilemez. Herhangi bir hakkı kullanmak için /privacy/erase adresindeki formu kullanın veya karmogram@karmogram.com adresine e-posta gönderin. 30 gün içinde yanıt veririz. Ayrıca Romanya denetim makamına (ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, dataprotection.ro) ya da mutat meskeninizin bulunduğu ülkedeki denetim makamına şikâyette bulunma hakkınız vardır.
El Falı okuması için yüklenen avuç içi fotoğrafları, GDPR Md. 4(14) ve Md. 9 anlamında biyometrik veridir. Bunları yalnızca açık rızanıza dayanarak (Md. 9(2)(a)) ve yalnızca El Falı okumanızı üretmek amacıyla işleriz. Görüntünüzdeki EXIF ve konum meta verilerini hem istemci tarafında (yüklemeden önce, tarayıcıda) hem de sunucu tarafında (katmanlı savunma) temizleriz. Dosyalar beklemede AES-256 ile şifrelenir, hiçbir zaman herkese açık URL'lerle sunulmaz, okuma motoru tarafından yalnızca kısa ömürlü imzalı URL'ler (≤ 5 dakika) üzerinden erişilir ve günlük bir temizleme işiyle 30 gün içinde silinir. Derhal silinmesini /privacy/erase adresinden ya da karmogram@karmogram.com adresine e-posta göndererek talep edebilirsiniz.
Varsayılan olarak yalnızca sitenin çalışması için gerekenleri ayarlarız: anti-CSRF jetonu (__Host-csrf, 1 gün), verdiğiniz andan itibaren 18+ onayınız (__Host-km_age, 12 ay), yaptığınız andan itibaren çerez seçiminiz (km_consent_v1, 180 gün) ve site dili (NEXT_LOCALE — biz seçtiğimizde oturum boyunca, yalnızca siz bir dil seçtiğinizde 12 ay); oturum çerezi (karmogram_session, 30 gün) yalnızca sihirli bağlantıyla oturum açtıktan sonra. Analitik çerezleri (PostHog) yalnızca çerez banner’ında onay verirseniz ayarlanır ve onayınızı alt bilgideki “Çerez ayarları”ndan istediğiniz zaman geri çekebilirsiniz. Reklam çerezi kullanmıyoruz. Tam kayıt — amaç ve süresiyle her çerez ve her tarayıcı depolama anahtarı — Çerez Politikamızdadır.
Başka bir kişiye ait kişisel verileri gönderirseniz (Uyum okuması için bir partner, kurucular, Ekip Uyumu okuması için ekip üyeleri veya sorunuzda adı geçen herhangi biri), o kişiyi bu işleme hakkında bilgilendirdiğinizi ve verilerini bizimle paylaşmak için hukuki bir dayanağınız olduğunu onaylarsınız. Böyle bir kişiden talep gelmesi hâlinde, o kişinin Madde 14 kapsamındaki GDPR haklarını, doğrudan kullanıcılarımızla aynı şekilde kullandırırız.
Karmogram yalnızca 18 yaş ve üzeri yetişkinlere yöneliktir. Reşit olmayanların kişisel verilerini bilerek işlemiyoruz. Hizmet üzerinden bir çocuğun veri gönderdiğini düşünüyorsanız, lütfen bunu derhal karmogram@karmogram.com adresine bildirin; verileri gecikmeksizin sileriz.
Data in transit is protected by TLS 1.2+. The application runs on Vercel's infrastructure; where we store customer records and readings, they are held in a managed PostgreSQL database in the European Union, encrypted in transit. Secrets are managed through the hosting platform's encrypted environment and never committed to source control. Access to production data is restricted to named personnel and logged. We notify the supervisory authority and affected users within 72 hours of becoming aware of a personal-data breach, in line with GDPR Art. 33–34.
Bu politikada esaslı değişiklikler yaptığımızda, değişiklikler yürürlüğe girmeden en az on beş (15) gün önce tüm hesap sahiplerini ve yakın zamanda alışveriş yapan müşterileri e-postayla bilgilendiririz. Esaslı olmayan değişiklikler, bu sayfanın başında güncellenmiş bir revizyon tarihiyle yayımlanır. Yürürlükteki sürümün tarihi: 13 Eylül 2026.
Veri sorumlusu: CyGuru Pharm SRL, Branesti, str. Horia 33c, jud. Ilfov. Genel kutu: karmogram@karmogram.com. Veri koruma kutusu (DPO): karmogram@karmogram.com. Romanya denetim makamı: ANSPDCP, dataprotection.ro.
CyGuru Pharm SRL (registration pending, CUI RO52437696), Branesti, str. Horia 33c, jud. Ilfov tarafından işletilmektedir. Sözleşme nr. 1/17.04.2026.
