Gizlilik Politikası

Sürüm: 2026-10-26 · Veri sorumlusu: Mert Dönmez (bireysel geliştirici; şirketleşme tamamlandığında bu satır ticaret unvanı ve adresle güncellenecektir) · İletişim: privacy@hemhal.app

1. Hangi verileri işliyoruz?

Diğer kullanıcılar konumundan ne görür? Tam konumun hiçbir kullanıcıya gösterilmez. Keşif kartında ve profil sayfanda diğer kullanıcılar yalnız aranızdaki yaklaşık mesafeyi görür. Bu mesafe ikinizin tam konumu arasında değil, kenarı yaklaşık 3 km olan hücrelerden oluşan sabit bir ızgarada bulunduğunuz iki hücrenin merkezleri arasında ölçülür ve yuvarlanır: aynı ya da komşu hücredeyseniz "Yakınında" görünür; diğer durumlarda mesafe 50 km'nin altında 5 km'lik, 100 km'nin altında 10 km'lik, 500 km'nin altında 50 km'lik, daha uzakta 100 km'lik adımlara yuvarlanır. Konumun hücre kenarında küçük oynamalarla gidip geldiğinde hücren değişmesin diye, hücren yalnız yeni konumun önceki hücrenin belirgin biçimde dışına çıktığında değişir; bu hücre bilgisi konum kaydınla birlikte saklanır ve onunla birlikte silinir. Mesafemi gizle açıksa ya da mesafe ölçülemiyorsa (ör. profilini açan kişinin son 24 saatte paylaşılmış uygun bir konumu yoksa) mesafe yerine yalnız bulunduğun il gösterilir: Türkiye dışında eyalet ya da bölge, çok küçük bölgelerde daha geniş bir bölgenin adı ya da yalnız ülke; gerektiğinde ülke adıyla birlikte. İl, konumundan sunucumuzda türetilir; hücrenin merkezine göre belirlendiği için il sınırına yakınsan komşu il görünebilir. Son 24 saatte paylaşılmış uygun bir konumun yoksa ne mesafe ne il gösterilir. İl sınırları © OpenStreetMap contributors (ODbL), geoBoundaries aracılığıyla (openstreetmap.org/copyright); Türkiye dışındaki bölge sınırları Natural Earth'ten (kamu malı) alınır.

2. Duygu verisi — özel nitelikli veri

Mood paylaşımların duygu içeriği taşır; bu, KVKK m.6 / GDPR m.9 kapsamında özel nitelikli veridir ve YALNIZ kayıtta — genel gizlilik onayından ayrı bir onay kutusuyla — verdiğin açık rızaya dayanarak işlenir. Analiz, mood'unu Hemhal içinde aday önerme ve sıralamada, ayrıca kartlarda ve eşleşmelerde gösterilen sayısal uyum skorunda kullanılan çoklu bağlam sinyallerine dönüştürür; aynı veya benzer bir mood tek başına bir eşleşme koşulu ya da garantisi değildir, eşleşme yalnız iki tarafın karşılıklı like'ıyla oluşur. Bu sinyallerden biri olan sosyal etkileşim amacı (intent) çıkarımı — mood'unda açıkça yazdığın ya da bağlamdan temkinli biçimde çıkarılan bir okuma — uyum skoruna ve sıralamaya katkı verebilir; ancak sinyalin kendisi başka bir kullanıcıya veya öneri gerekçesi olarak gösterilmez, senin beyanın ya da psikolojik bir gerçek gibi sunulmaz ve Verilerimi dışa aktar çıktısında sana verilir. Analiz reklam veya pazarlama amacıyla kullanılmaz, üçüncü taraflara satılmaz. Rızanı geri çekmek istersen: mood analizi uygulamanın çekirdeği olduğundan geri çekme hesabının silinmesiyle sonuçlanır (Ayarlar → Hesabı yönet → Hesabı sil).

Mood verisi nerede işlenir? Mood analizi ve eşleştirme vektörü, işleme bölgesi yapılandırmamızda Avrupa Birliği bölgesi olarak ayarlanmış bir yapay zekâ altyapısında (Google Vertex AI) üretilir. Bu ifade bölge düzeyindedir; belirli bir şehir ya da veri merkezi taahhüdü değildir. Mood analizi için modele kimliğin (ad, e-posta, kullanıcı numaran) gönderilmez ve metindeki e-posta adresleri ve telefon numaraları otomatik olarak maskelenir. Yurt dışına aktarımın hukuki çerçevesi için bkz. §5.

3. Ne için ve hangi hukuki dayanakla?

• Hizmetin kendisi (hesap, eşleştirme, mesajlaşma): sözleşmenin ifası + duygu analizi için açık rıza.
• Sohbet medyası (fotoğraf + sesli mesaj): mesajlaşmanın parçasıdır, sözleşmenin ifası dayanağıyla iletilir. Ses biyometrik olarak işlenmez — ses tanıma / kimlik-eşleştirme yapılmaz; kayıt yalnız ilgili kişiye iletilir ve yapay zekâ analizine girmez.
• Güvenlik ve moderasyon (içerik denetimi, kötüye kullanım tespiti, yaş sınırı): meşru menfaat + yasal yükümlülük. Güvenlik açısından kritik incelemeler (ör. çocuk istismarı veya kendine zarar riski taşıyan şikâyetler) rızandan bağımsız yapılır.
• Bildirimler: iznine bağlı. Yeni mesaj bildirimleri, gönderenin adını ve mesajın kısa bir önizlemesini taşıyabilir; önizlemeyi bildirim tercihlerinden kapatabilirsin. Mood içeriğin bildirimlerle asla taşınmaz.
• Ürün analitiği: yalnız iznin varsa (Ayarlar → Gizlilik ve veriler → Gizlilik ve onaylar). Kullanım olayları takma adlı tutulur; mood metnin ve kesin konumun bu kayıtlara girmez.
• Hata izleme (Sentry): meşru menfaat — hizmetin çalışır durumda ve güvenli kalmasını sağlamak. Sentry'ye hesabınla bağlantılı bilgi (ad, e-posta, telefon, kullanıcı numarası) gönderilmez; IP adresin, çerezler ve istek içeriği gönderilen kayda eklenmez, ekran görüntüsü alınmaz. Bir API hatası yalnız teknik bilgilerle bildirilir: hata kodu, HTTP durumu, adres şablonu (ör. /v1/chat/rooms/:id; kimlik taşımaz), istek numarası, uygulama veya sunucu sürümü ve ortam adı (sunucu hatalarında bunlara sunucu kodunun teknik kod izi eklenir); mesaj içeriği ve mood metni bu kayıtlara girmez. Uygulama çöktüğünde ayrıca çökme bilgisi (hata türü, teknik hata iletisi ve kod izi) ile işletim sistemi sürümü ve cihaz modeli gibi teknik ayrıntılar ve yazılımın kendiliğinden tuttuğu kısa bir teknik olay izi (uygulamanın ön plana veya arka plana geçmesi, ağ bağlantısı türü, pil durumu, ekran yönü gibi) gönderilebilir. Uygulamadan gelen çökme raporları, performans ölçümleri (yalnız küçük bir örnek) ve oturum bilgisi, Sentry yazılımının uygulamayı kurduğunda rastgele ürettiği bir kurulum kimliği de taşır; API hata raporlarında bu kimlik bulunmaz. Kurulum kimliği hesabınla, telefon numaranla veya e-postanla eşleştirilmez, ancak aynı kurulumdan gelen raporları birbirine bağlayabildiği için çevrimiçi tanımlayıcı niteliğindedir; uygulamayı silip yeniden kurduğunda yenisi üretilir. Sentry'nin sunucuları, her ağ isteğinde olduğu gibi, bağlantıyı kuran cihazın IP adresini görür; sağlayıcıların işletim kayıtları için bkz. §6.

Otomatik değerlendirme (profilleme) hakkında. Mood analizi otomatik bir değerlendirmedir: mood metnin bir bağlam profiline (ton, duygular, konular, aktiviteler, zaman çerçevesi, sosyal etkileşim amacı çıkarımı ve sayısal bir eşleştirme vektörü) dönüştürülür. Bu profil; karşılıklı tercihler, uygunluk (ör. yaş ve cinsiyet tercihleri, engellemeler, profil yeterliliği), yakınlık ve diğer sinyallerle birlikte sana kimlerin önerileceğine ve hangi sırayla gösterileceğine katkı verir; ayrıca kartlarda ve eşleşmelerde gösterilen sayısal uyum skorunun hesabına girer. Premium ve boost gibi ücretli görünürlük seçenekleri yalnız sıralamayı etkileyebilir, gösterilen uyum skorunu yükseltmez. Ancak beğenme/geçme kararını her zaman sen verirsin; hakkında hukuki sonuç doğuran ya da benzer ölçüde etkileyen salt-otomatik bir karar alınmaz. Hesabına ilişkin kalıcı yaptırımlar (ör. kalıcı kapatma) insan incelemesi olmadan uygulanmaz ve bunlara itiraz edebilirsin.

Moderasyon ve yapay zekâ. Görünen adın, biyografin, profil fotoğrafların ve mood'ların yayımlanmadan önce moderasyon incelemesinden geçer; sohbet mesajların yalnız şikâyet edildiğinde incelemeye girer. Bu incelemeyi insan moderatörler yapar; otomatik sistemler de kullanılabilir. İnsan incelemesini, Hemhal adına çalışan ve gizlilik taahhüdü altındaki kişiler yapar. Kullanıldıklarında otomatik sistemler kurallara açıkça uygun içeriği yayımlayabilir, açıkça aykırı içeriği yayımlamayıp ya da yayından kaldırıp sana uyarı verebilir ve bir şikâyeti sonuçlandırabilir; reşit olmama yönünde güçlü bir işarette içeriği yayımlamadan tutup hesabı bir insan inceleyene kadar geçici olarak kısıtlayabilir. Emin olunamayan içerikleri, profil ve sesli mesaj şikâyetlerini ve bütün itirazları insan moderatörler inceler. Otomatik kararlara uygulama içinden itiraz edebilirsin; hesap askısı ve kalıcı kapatma insan incelemesi olmadan uygulanmaz. Otomatik moderasyon kullanıldığında, mood analizinde kullandığımız yapay zekâ sağlayıcısına (Google Vertex AI, AB bölgesi) şunlar iletilir: profil fotoğrafların; görünen adın, biyografin ve mood metnin; bir mood şikâyet edildiğinde şikâyet eden kişinin seçtiği neden ve yazdığı açıklama; bir mesaj şikâyet edildiğinde ise seçilen şikâyet nedeni, şikâyet edilen mesaj ve aynı sohbette ondan önceki ve sonraki en fazla 10'ar mesajın metni ile, şikâyet edilen mesaj bir fotoğrafsa o fotoğraf. E-posta adresin, telefon numaran ve kullanıcı numaran gönderilmez; görünen adın ve profil fotoğrafların ise denetlendikleri için gönderilir. Metinlerdeki e-posta adresleri ve telefon numaraları gönderilmeden önce otomatik olarak maskelenir; diğer iletişim bilgileri (ör. sosyal medya kullanıcı adları) maskelenmez. Sesli mesajlar modele gönderilmez; sesli mesaj şikâyetlerini yalnız insan moderatörler inceler.

4. Kimlerle paylaşıyoruz?

Verini SATMAYIZ. Hizmeti çalıştıran işleyicilerle sözleşmeli olarak paylaşırız:

İşleme yeri sütunu yalnız yapılandırmamızın ve sözleşmelerimizin desteklediği bölge düzeyini gösterir; şehir veya veri merkezi taahhüdü değildir.

Apple ile Giriş / Google ile Giriş kullanırsan Apple ve Google kendi hesap sözleşmen kapsamında bağımsız veri sorumlusudur; bize yalnız e-posta adresini ve adını iletirler, biz onlara verini göndermeyiz. Yasal zorunluluk hâlinde ve bir çocuğun ya da başka bir kişinin güvenliğini korumak için gerekli gördüğümüz durumlarda (ör. çocuk istismarı şüphesi) ilgili bilgileri yetkili makamlarla paylaşabiliriz.

Uygulama, ücretsiz hizmeti desteklemek için üçüncü-taraf reklam gösterebilir (Google AdMob). Bir reklam gördüğünde cihazının IP adresi ve reklam-isteği meta verisi Google'a iletilir; Google reklam sunumunda bağımsız veri sorumlusudur (bizim işleyicimiz değildir). Gösterilen reklamlar kişiselleştirilmemiştir — davranışına göre profillenmezsin. Duygu/mood verin ve kimliğin reklamlara ASLA gönderilmez, reklam için kullanılmaz veya satılmaz.

5. Yurt dışına aktarım

Verinin ana yeri Avrupa Birliği bölgesidir. Veritabanı, dosya depolama, uygulama sunucusu, Redis altyapısı, mood analizi ve otomatik moderasyon için yapılandırdığımız işleme bölgesi AB bölgesidir — bkz. §2, §3 ve §4.

Bununla birlikte KVKK bakımından Avrupa Birliği de "yurt dışı" sayılır: Türkiye bugüne kadar hiçbir ülke için "yeterli koruma" kararı vermemiştir. Ayrıca bazı sağlayıcılarımız ABD'de işleme yapar: push bildirimi teslimi (Google Firebase), telefon doğrulama SMS'i (Twilio), abonelik yönetimi (RevenueCat) ve — Apple/Google ile giriş kullanıyorsan — kimlik doğrulama (Apple Inc. / Google LLC; yalnız e-posta+ad). Uygulama reklam gösterdiğinde cihazının IP adresi ve reklam-isteği meta verisi Google reklam altyapısına (ABD) aktarılır — kişiselleştirilmemiş; duygu/mood verin bu aktarıma DAHİL DEĞİLDİR. Web sitesi ve uygulama trafiği Cloudflare'in küresel ağından geçer; herkese açık profil fotoğrafların da teslim edilirken AB dışında geçici olarak önbelleğe alınabilir.

Aktarımın muhtemel riskleri. Verinin bulunduğu ülkenin mevzuatı kamu makamlarına belirli koşullarda erişim yetkisi verebilir; Türkiye'deki denetim otoritesinin yetkileri yurt dışında sınırlıdır; bir uyuşmazlıkta hak arama yolların ve süreler farklılık gösterebilir. Bu riskleri azaltmak için: ana verin AB bölgesinde tutulur, mood analizi ve otomatik moderasyon AB bölgesinde yapılacak şekilde yapılandırılmıştır, yapay zekâ sağlayıcısına e-posta adresin, telefon numaran ve kullanıcı numaran gönderilmez ve her hizmete yalnız o hizmet için gereken en az veri aktarılır (ör. Twilio'ya sadece telefon numaran, Resend'e sadece e-posta adresin).

Sözleşmesel güvenceler. Sağlayıcılarımızla ilişkimiz, imzaladığımız ya da sağlayıcının hizmet koşullarının parçası olarak yayımladığı veri işleme sözleşmelerine (DPA) dayanır; bunlar AB tarafında Standart Sözleşme Maddeleri (SCC) ve/veya Data Privacy Framework taahhütleri içerir. KVKK'nın kendi aktarım rejimi bakımından Kişisel Verileri Koruma Kurulu'nun standart sözleşme mekanizmasına geçiş süreci ayrıca yürütülmektedir. Bu belgelerin bir örneğini privacy@hemhal.app adresinden isteyebilirsin.

6. Saklama ve silme

Hesabını sildiğinde verilerin kalıcı olarak silinir (ayrıntı: hesap ve veri silme); aşağıdaki tabloda ayrıca belirtilen moderasyon ve denetim kayıtları ile yedekler kendi sürelerine tabidir. Bir mood yaklaşık iki saat boyunca yeni keşif kartları üretebilir. Hazırlanan kartlar, keşif oturumunun oluşturulduğu andan itibaren en fazla 24 saat süren oturum içinde — mood'un süresi dolmuş olsa bile — kullanılabilir; oturum, kartlar tükenirse, yeni bir mood ya da değişen keşif tercihleri önceki oturumun yerini alırsa veya hesabın ya da konum iznin artık uygun değilse daha erken kapanır. Verdiğin bir like, mood'un süresi dolduğunda düşmez: karşı taraf da seni beğenirse eşleşmeye dönüşebilir. Bir like; geri alınırsa, taraflardan biri diğerini engellerse, eşleşme sonlandırılırsa ya da uygunluk koşulları artık sağlanmıyorsa geçerliliğini yitirir; ilgili mood silindiğinde de etkisini yitirir. Sesli mesajlar 365 gün sonra otomatik silinir (premium dâhil — metin geçmişin kalsa bile ses kaydı bu süreyle sınırlıdır). Şikâyet edilen bir medya (fotoğraf/ses), inceleme ve itiraz için ve gerekirse yetkili makamların resmi talepleri için erişimi kısıtlı ayrı bir alanda kanıt olarak tutulabilir; bu kanıtlar, moderasyon dosyası kapandıktan sonra dosyadaki son işlemden 120 gün sonra silinir (açık bir itiraz sürerken silinmez). Şikâyet edilen kişi hesabını silerse, onunla ilgili kanıtlar, dosya açık olsa bile, hesabın kalıcı silinmesiyle (silme talebinden 30 gün sonra) silinir. Kanıtları bu sürelerden daha uzun saklamayız. Hesabın silindikten sonra güvenlik, moderasyon ve şikâyet kayıtları hesabınla doğrudan bağlantısı kaldırılarak, takma adlı olarak; hesap ve güvenlik işlemlerinin denetim kayıtları ise kullanıcı numaranla, aşağıdaki tablodaki süreler boyunca saklanır. Hesabı kalıcı olarak kapatılan ya da askıya alınan kişinin, yaptırım sürerken aynı telefon numarasıyla yeniden kayıt olmasını önlemek için numaranın kendisini değil, ondan anahtarla üretilen ve geri çevrilemeyen bir özetini saklarız; bu özet hesap silinse de yaptırım bitene ya da kaldırılana kadar tutulur. Herkese açık profil fotoğraflarının önbelleklerdeki ve diğer kullanıcıların cihazlarındaki kopyaları silmeden sonra kısa bir süre (en fazla yaklaşık 30 gün) kalabilir. Altyapı sağlayıcılarımızın işletim kayıtları (ör. sunucu, ağ ve hata kayıtları; IP adresi içerebilir) her sağlayıcının belirlediği sınırlı sürelerle tutulur.

Yedekler. Veritabanının şifreli yedeğini haftalık düzende alır ve bulut dışında saklarız; en yeni 4 yedeği tutar, daha eskilerini sileriz. Bir yedek alındığı andaki veriyi içerdiğinden, silinen bir hesabın verisi, kalıcı silmeden önce alınmış yedekler bu döngüyle silinene kadar (düzenli haftalık akışta yaklaşık 4 hafta) yedeklerde kalır. Yedekler yalnız veriyi kurtarmak, bir olayı incelemek veya geri yüklemenin çalıştığını sınamak için açılır.

7. Hakların

KVKK m.11 / GDPR kapsamında: erişme, düzeltme, silme, işlemenin kısıtlanmasını isteme (hesabını silmeye karar verdiğinde 30 günlük pencerede işleme fiilen durur ve kararını geri alabilirsin), itiraz ve taşınabilirlik. Uygulama içinden verini indirebilir (Ayarlar → Gizlilik ve veriler → Verilerimi dışa aktar) ve hesabını silebilirsin; diğer talepler için privacy@hemhal.app. Şikâyet hakkın: KVKK için Kişisel Verileri Koruma Kurumu, GDPR için yerleşik olduğun ülkenin denetim otoritesi.

8. Verinin güvenliği

Verilerin şifreli bağlantılarla taşınır ve erişimi rol bazlı sınırlandırılmış sistemlerde saklanır; kanıt görüntüleme ve kullanıcı ayrıntı sayfası gibi hassas panel erişimleri ile yönetimsel işlemler denetim kaydına bağlanır, panel dışında istisnai olarak yapılan teknik erişimler ayrıca elle kayda geçirilir (KVKK m.12). Bir veri ihlali yaşanırsa yetkili otoriteye ve — yüksek risk söz konusuysa — sana gecikmeksizin bildiririz.

9. Yaş sınırı

Hemhal 18 yaş ve üzeri içindir. Kayıtta beyan ettiğin doğum tarihi kontrol edilir; 18 yaşından küçük bir tarihle kayıt olunamaz. Kimlik belgesiyle yaş doğrulaması yapılmaz.

Privacy Policy (English summary)

Version 2026-10-26. The Turkish text above is the binding version.

Hemhal processes: account data (email, verified phone, birth date for the 18+ gate), profile content, your mood posts — emotion data processed only with your explicit consent, coarse location (with permission), usage/matching data (and, only with your analytics consent, pseudonymous usage statistics), chat media (photos and voice messages) — voice is never transcribed or analysed and is auto-deleted after 365 days (even for premium) — and subscription status (via the app stores; we never see card details). Voice is not processed as biometric data (no voice recognition). Mood analysis turns what you share into several context signals used to recommend and order people inside Hemhal and to compute the numeric compatibility score shown on cards and matches; having the same or a similar mood is not by itself a matching requirement or a guarantee, and a match is formed only by a mutual like. A derived social-intent signal may contribute to the compatibility score and to ordering, but the signal itself is never shown to other users or given as a recommendation reason, never presented as your statement or as a psychological fact, and is included in your data export. The analysis is never sold or used for advertising. Withdrawal of that consent means account deletion, since the analysis is the core of the service. Posting a mood requires a recent (last 24h) location permission, because Hemhal matches you with people near you; withdrawing it deletes your location data and stops new mood posts — your account and history remain.

What other users see of your location. Your exact location is never shown to anyone. On your discovery card and your profile page, other users see only the approximate distance between you. It is measured not between your exact locations but between the centres of the two cells you are in on a fixed grid of cells about 3 km across, and rounded: "Nearby" for the same or a neighbouring cell, otherwise in steps of 5 km below 50 km, 10 km below 100 km, 50 km below 500 km and 100 km beyond. So that small jitter at a cell edge does not move you back and forth, your cell changes only when a new location falls clearly outside the previous cell; the cell is stored with your location record and deleted with it. When Hide my distance is on, or the distance cannot be measured (for example when the person opening your profile has no eligible location shared in the last 24 hours), they see only your province instead: outside Türkiye the state or region, for very small regions a wider region or only the country, with the country name where needed. The province is derived on our server from your location; because it is taken at the centre of your cell, a neighbouring province may be shown near a provincial border. Without an eligible location shared in the last 24 hours, neither is shown. Province boundaries © OpenStreetMap contributors (ODbL), via geoBoundaries (openstreetmap.org/copyright); regions outside Türkiye come from Natural Earth (public domain).

Discovery lifecycle. A mood can add new discovery cards for about two hours. Cards already prepared stay usable in a discovery session that lasts at most 24 hours from its creation, even after the mood expires; the session closes earlier if the cards run out, if a newer mood or changed discovery preferences replace it, or if your account or location permission no longer qualifies. A like you gave does not lapse when the mood expires: if the other person likes you back it can still become a match. It stops counting if you undo it, if either of you blocks the other, if the match ends, if the eligibility conditions are no longer met, and once the mood is deleted. Likes and passes are deleted after 12 months at the latest. Prepared card content is cleared once the session has expired; session and operation records may be kept for a further technical period, and records tied to a like follow the same retention rule as like records.

Other retention periods. Reported content and moderation evidence are deleted 120 days after the last action on the moderation case, once the case is closed (never while an appeal is open). If the reported person deletes their account, the evidence about them is deleted with that account's permanent deletion (30 days after the deletion request), even if the case is still open. Apart from the backups described below, we do not keep evidence beyond these periods. Moderation decision, sanction and report records are kept for 3 years after the last action on the case, and stay for that period even after the account is deleted, pseudonymised with their direct link to your account removed; your own appeals are deleted together with your account. To stop a person whose account was permanently closed or suspended from signing up again with the same phone number while the sanction stands, we keep not the number itself but a keyed, irreversible digest of it; this digest is kept even if the account is deleted, until the sanction ends or is lifted. Audit records are kept until the end of the third calendar year after the year they were written, even after the account is deleted: they record your account and security actions with your account id (for example sign-up, sign-in and sign-out, password and phone verification steps, that a location update happened and its country, unmatching, purchases, privacy settings, appeals and account deletion), as well as administrative actions and proof that a data request was carried out. Session records (IP, device) are kept for 1 year; the audit record of a sign-in or sign-out follows the audit period, and a location update leaves its country (no coordinates) in the audit records. In-app notifications are deleted 90 days after they are read and at the latest after one year; product analytics records (only with your analytics consent) after 14 months; a data-export file 24 hours after it is prepared. Copies of public profile photos in caches and on other users' devices may remain for a short time after deletion (at most about 30 days). Our infrastructure providers keep their operational logs (for example server, network and error logs, which may contain an IP address) for limited periods set by each provider. We take an encrypted backup of the database on a weekly schedule and keep it off-cloud; we keep the newest 4 and delete older ones (about four weeks on a regular weekly schedule), and the database provider's daily backups are kept for at most 7 days. A deleted account's data stays in backups taken before the permanent deletion until this rotation deletes them (about four weeks on a regular weekly schedule), and backups are opened only to recover data, to investigate an incident or to test a restore.

Moderation. Your display name, bio, profile photos and moods are reviewed before they are published; your chat messages are reviewed only when they are reported. Human moderators do this review, and automated systems may also be used. The people who do human review work for Hemhal and are bound by a confidentiality commitment. When automated systems are used, they may publish content that clearly follows the rules, may withhold or remove content that clearly breaks them and give you a warning, and may close a report; on a strong sign that a user may be under 18 they may hold the content back and temporarily restrict the account until a person reviews it. Uncertain cases, profile and voice-message reports and every appeal are reviewed by human moderators. You can appeal an automated decision in the app; account suspension and permanent bans are never applied without human review. When automated moderation is used, the following is sent to the AI provider we use for mood analysis (Google Vertex AI, EU region): your profile photos; your display name, bio and mood text; when a mood is reported, the reason the reporter chose and the explanation they wrote; and, when a message is reported, the selected report reason, the reported message and the text of at most 10 messages before and 10 after it in the same chat, plus the reported photo if the reported message is a photo. Your email address, phone number and account id are not sent; your display name and profile photos are, because they are what is reviewed. Email addresses and phone numbers in the text are masked automatically before sending; other contact details (such as social media handles) are not. Voice messages are never sent to the model; voice-message reports are reviewed by human moderators only.

Processors: Supabase (database and authentication, EU region), Fly.io (app server, media processing and admin panel, EU region), Tigris (file storage for photos, chat media, moderation evidence and data exports, EU region; public profile photos may be cached outside the EU while they are delivered), Upstash (Redis for real-time messaging, job queues, cache and rate limits, EU region), Google Vertex AI (mood analysis and matching vector, and moderation when automated moderation is used; EU region), Firebase (push, global), Twilio (verification SMS, US — phone number only), Resend (transactional email incl. email verification codes, EU — address only), RevenueCat (subscriptions, US), Cloudflare (DNS and website, the network and security layer in front of the API and the admin panel, admin access control, and an EU archive of audit integrity digests that carries no personal content; global), Sentry (error tracking, EU), Zoho Mail (our support and privacy mailboxes — the emails you send us, EU). Cloudflare may also receive network error reports (NEL) from browsers that visit hemhal.app web pages: they are sent only when a request fails (a connection error or an HTTP 4xx/5xx response) and may contain technical details such as the address, the error type and the IP address. Cloudflare's bot-detection script runs only on the admin panel, not in the app or on public pages. Locations are stated at region level only, as far as our configuration and contracts support; no city or data-centre commitment is made. The app may show non-personalized third-party ads (Google AdMob), an independent controller for ad serving; your emotion/mood data and identity are never shared for advertising. We may share relevant information with the competent authorities where the law requires it, and where we consider it necessary to protect the safety of a child or another person (for example, a suspicion of child sexual abuse).

Error tracking (Sentry). Legal basis: legitimate interest (keeping the service working and secure). No information tied to your account (name, email address, phone number, account id) is sent to Sentry; your IP address, cookies and request contents are not added to the report, and no screenshots are taken. An API error is reported with technical details only: the error code, the HTTP status, a route template (for example /v1/chat/rooms/:id, which carries no identifiers), a request id, the app or server version and the environment name (for server errors, also the technical stack trace of our server code); message content and mood text do not enter these reports. When the app crashes, the crash report also carries technical details such as the error type, the technical error message and stack trace, the operating system version and the device model, and a short technical trail that the software records on its own (for example the app moving to the foreground or background, the type of network connection, the battery state, the screen orientation). Crash reports, performance measurements (only a small sample is sent) and session information from the app also carry a random installation identifier that the Sentry software generates when the app is installed; API error reports do not carry it. This identifier is not linked to your account, phone number or email address, but because it can connect reports from the same installation it is an online identifier; deleting and reinstalling the app generates a new one. As with any network request, Sentry's servers see the IP address of the connecting device; for providers' operational logs see the retention periods above.

International transfers. Your primary data sits in the EU region and the mood analysis and automated moderation are configured to run in the EU region. Note that under Turkish law (KVKK) the EU also counts as "abroad" — Türkiye has issued no adequacy decision for any country. Some processors operate in the US (see the list above); website and app traffic passes through Cloudflare's global network, and public profile photos may be cached outside the EU while they are delivered. Possible risks: local law may grant authorities access under certain conditions, the Turkish supervisory authority's powers are limited abroad, and remedies may differ. Mitigations: EU-region primary storage, EU-region analysis and moderation configuration, no email address, phone number or account id sent to the AI provider, and per-service data minimisation. Processors are engaged under data processing agreements, either signed by us or part of the provider's published terms, carrying SCC and/or Data Privacy Framework commitments; the move to the Turkish DPA's own standard-contract mechanism is in progress. Ask for a copy at privacy@hemhal.app.

New-message push notifications may carry the sender name and a short preview (can be disabled in notification settings); your mood content is never carried in a push. Mood analysis is automated profiling: its context signals contribute to who is suggested to you and in what order, together with reciprocal preferences, eligibility, proximity and other signals, and they feed the numeric compatibility score shown on cards and matches. Paid visibility options such as Premium and boost may affect ordering only; they do not raise the displayed score. You always make the like/pass decision yourself, and no permanent account sanction is applied without human review. Your rights (access, rectification, erasure, restriction, objection, portability): privacy@hemhal.app; deletion works in-app — see account & data deletion.

Hemhal · privacy@hemhal.app · hemhal.app