1. Data controller

Your personal data is processed by EskicyStudio as data controller, as described below. The controller's full identity and address are in section 13.

• Email: eskicystudio@gmail.com
• App: WaiPlan (com.eskicy.waiplan) and waiplan.com

2. Personal data processed

The App only processes what it needs to work. By category:

• Identity and contact data: your email address when you connect an account; the name and email shared by Apple or Google when you sign in with them (with Apple this may be a private relay address).
• Transaction security data: your user ID, guest (anonymous) account ID, sign-in method, account creation and last sign-in time, and error and operation records in server logs.
• Trip data: destination, dates, arrival and departure times and lodging (if you entered them), travel group type (solo, couple, friends, family with or without children), pace, interests, budget, walking and transport preferences, crowd and popularity preferences; generated plans and the edits you make.
• Saved places: the list of places you saved.
• Preference data: app language and your default trip preferences.
• Usage records: monthly counters for plan generation and re-planning; technical cost records of map and place queries made while generating a plan.
• Subscription data: the status of your WaiPlan Premium subscription, its store, product ID, expiry and renewal information. Card numbers, bank details or billing addresses are never visible to the App; payment runs entirely through the Apple App Store or Google Play.
• Legal transaction data: which version of which legal text you accepted or were shown and when, the consents you gave or withdrew, and the app version, platform and language at that time.

The App does not process your device location, contacts, photo library, data about other apps on your device or advertising ID. No analytics trackers or ad networks are used.

No special categories of personal data (health, beliefs, biometrics, etc.) are collected or requested.

3. Purposes

Your personal data is processed to:

• Create your guest account and connected account, authenticate you and keep you signed in; move guest data into the account you connect.
• At your request, generate a day-by-day trip plan from your trip details, re-plan a day and suggest alternative places.
• Calculate opening hours, travel times between places and weather for your plans, and refresh them for upcoming trips.
• Sync and display plans, saved places and preferences across your devices.
• Unlock WaiPlan Premium features, verify the subscription and apply monthly usage limits.
• Record acceptance of legal texts and that the duty to inform was performed.
• Answer your support requests.
• Prevent abuse, fix errors, monitor costs and keep the service secure.
• Comply with legal obligations and establish, exercise or defend legal claims.

Your data is not used for ad targeting, behavioural profiling or sale to third parties.

4. Legal grounds

Each purpose relies on one of the grounds in Article 5 of the KVKK:

• Creating the account, generating and updating trip plans, preparing plans with AI, syncing data, running the subscription: Art. 5/2-c — necessary for the conclusion or performance of a contract.
• Keeping records of legal text acceptance and legal transactions, complying with legal obligations: Art. 5/2-ç — necessary for the controller to comply with a legal obligation.
• Defending and managing claims in disputes: Art. 5/2-e — necessary to establish, exercise or protect a right.
• Security, abuse prevention, troubleshooting and cost monitoring: Art. 5/2-f — legitimate interest, provided your fundamental rights and freedoms are not harmed.
• Sending commercial electronic messages: Art. 5/1 — explicit consent. This only happens if you separately consent through the Explicit Consent text; not consenting does not prevent you from using the App.

5. How data is collected

Your personal data is collected electronically, by fully or partly automated means:

• Directly from you: when you connect an account, create trips, enter preferences and edit your plan.
• From the App itself: technical details such as the guest account ID, app version, platform and language.
• From your sign-in provider: when you choose to sign in with Apple or Google, your email address and name, limited to the permission that provider asks you for.
• From the store and the subscription platform: whether your subscription is valid when you buy one.

6. Recipients and purpose of transfer

Your data is transferred only to the parties below, only for the stated purpose:

• Google Ireland Limited / Google LLC — Firebase Authentication, Cloud Firestore, Cloud Functions, Firebase Hosting: authenticating your account, storing your data and running server operations.
• Google LLC — Vertex AI (Gemini models, European region): generating your trip plan. Only trip parameters (destination, dates, arrival/departure times, lodging, group type, pace, interests, budget, transport preferences) and candidate place data are sent; your name, email address or account ID are not. Google commits not to use customer data processed in Vertex AI to train its own models.
• Google LLC — Google Maps Platform (Places, Routes, Weather and the Maps SDK): finding places in plans, opening hours, travel times, weather forecasts and showing the map. Queries are made from our servers and contain no account information; when the map is displayed on your device, Google may process technical data such as your IP address through the Maps SDK under its own privacy policy.
• RevenueCat, Inc.: verifying and managing your WaiPlan Premium subscription. Only your account ID and store purchase information are shared with RevenueCat.
• Apple Inc. and Google LLC (App Store / Google Play): purchasing and verifying subscriptions.
• Apple Inc. or Google LLC (Sign in with Apple / Google Sign-In): authentication, only if you choose that method.
• Open data services (OpenStreetMap / Overpass, Wikipedia, Wikidata, Wikimedia Commons): queries containing only place names and coordinates, with no personal data.
• Authorised public authorities: under Art. 8/2-a of the KVKK, where the law requires and to the extent of their request.

No data is shared with any ad network, analytics tracker or data broker.

7. Transfers abroad

The servers of Google and RevenueCat, which provide the App's infrastructure, are located outside Türkiye. Your account and trip data are processed in Google Cloud's European region (Belgium, europe-west1); subscription status is processed by RevenueCat in the United States.

These transfers are necessary for the service and are made under appropriate safeguards pursuant to Article 9 of the KVKK — the standard contract announced by the Personal Data Protection Board. Generating trip plans falls under this and does not require separate explicit consent.

To request information about the safeguards, write to eskicystudio@gmail.com.

8. Retention

• Your account data, trips and saved places are kept while your account is open.
• When you delete your account, the records linked to it are deleted; removal from technical backups takes up to 30 days.
• When you connect a guest account to an account, the guest data moves to that account and the guest account is deleted.
• Server operation and error logs are kept for up to 30 days.
• Limited records that must be kept for a legal obligation or possible dispute (such as subscription and support correspondence records) are kept for the applicable limitation period and then deleted.
• The App caches a copy of your data on your device to work offline; removing the App from the device removes that copy.

9. Children

The App is not designed for children under 13 and does not knowingly collect personal data from them. Users under 18 use the App with the knowledge and permission of a parent or guardian. Parents who notice that data of a child under 13 is being processed can contact eskicystudio@gmail.com and the account will be deleted.

10. Your rights under Article 11 of the KVKK

By applying to the data controller you have the right to:

• Learn whether your personal data is processed,
• Request information if it has been processed,
• Learn the purpose of processing and whether data is used accordingly,
• Know the third parties in Türkiye or abroad to whom data is transferred,
• Request correction of incomplete or inaccurate data,
• Request deletion or destruction under the conditions of Article 7 of the KVKK,
• Request that corrections, deletions and destructions be notified to third parties who received the data,
• Object to a result against you arising exclusively from automated analysis,
• Claim compensation for damage caused by unlawful processing.

You can view and correct most of your data directly in the App. You can delete your account and all trips yourself in the App under Profile → Delete account, or at waiplan.com/delete-account.

11. How to apply

To exercise your rights, in line with the Communiqué on the Procedures and Principles of Application to the Data Controller, you can:

• Write to eskicystudio@gmail.com from the email address registered in the App, or
• Send a signed written application to the postal address in section 13.

Your application must clearly state your name, surname, contact details and request.

Applications are answered within 30 days at the latest. If the request requires additional cost, a fee may be charged according to the Board's tariff. If your application is rejected or unanswered, you may complain to the Personal Data Protection Board.

12. Updates to this notice

This notice is updated as the App changes. Each version has a version number and effective date; when a new version is published it is shown when you open the App so you are informed again. Showing it is not a request for consent; its purpose is to fulfil the duty to inform.

13. Identity and contact details of the data controller

• Data controller: Ömer Faruk Eskici (individual trading as EskicyStudio)
• Address: Altıntepsi Mah. Çiftlik Cad. No: 13/2, Bayrampaşa/İstanbul, Türkiye
• Email: eskicystudio@gmail.com

1. Veri sorumlusu

Kişisel verileriniz, veri sorumlusu sıfatıyla EskicyStudio tarafından aşağıda açıklanan kapsamda işlenmektedir. Veri sorumlusunun açık kimlik ve adres bilgileri bu metnin sonunda, 13. bölümde yer alır.

• E-posta: eskicystudio@gmail.com
• Uygulama: WaiPlan (com.eskicy.waiplan) ve waiplan.com

2. İşlenen kişisel veriler

Uygulama yalnızca kendisinin çalışması için gereken veriyi işler. İşlenen veriler kategori kategori şunlardır:

• Kimlik ve iletişim verisi: hesap bağladığınızda e-posta adresiniz; Apple veya Google ile giriş yaptığınızda bu sağlayıcının paylaştığı ad ve e-posta adresi (Apple ile girişte gizlenmiş bir yönlendirme adresi olabilir).
• İşlem güvenliği verisi: hesabınıza verilen kullanıcı kimliği, misafir (anonim) hesap kimliği, giriş yöntemi, hesabın oluşturulma ve son giriş zamanı, sunucu kayıtlarında yer alan hata ve işlem kayıtları.
• Seyahat verisi: oluşturduğunuz seyahatlerin destinasyonu, tarihleri, varış ve dönüş saatleri ile konaklama yeri (girdiyseniz), seyahat grubu türü (yalnız, çift, arkadaşlar, çocuklu/çocuksuz aile), tempo, ilgi alanları, bütçe, yürüme ve ulaşım tercihleri, kalabalık ve popülerlik tercihleri; üretilen planlar ve planlarda yaptığınız düzenlemeler.
• Kayıtlı yerler: kaydettiğiniz yerlerin listesi.
• Tercih verisi: uygulama dili ve varsayılan seyahat tercihleriniz.
• Kullanım kaydı: aylık plan üretme ve yeniden planlama sayaçları; plan üretimi sırasında yapılan harita ve yer sorgularının teknik maliyet kayıtları.
• Abonelik verisi: WaiPlan Premium aboneliğinizin durumu, mağazası, ürün kimliği, bitiş ve yenilenme bilgisi. Kart numarası, banka bilgisi veya fatura adresi uygulama tarafından görülmez; ödeme tamamen Apple App Store veya Google Play üzerinden yürür.
• Hukuki işlem verisi: hangi yasal metnin hangi sürümünü ne zaman kabul ettiğiniz veya size gösterildiği, verdiğiniz veya geri aldığınız rızalar, o sırada kullanılan uygulama sürümü, platform ve dil.

Uygulama cihaz konumunuzu, rehberinizi, fotoğraf galerinizi, cihazdaki diğer uygulamalara dair veriyi veya reklam kimliğini işlemez. Analitik izleyici ve reklam ağı kullanılmaz.

Özel nitelikli kişisel veri (sağlık, inanç, biyometrik veri vb.) toplanmaz ve istenmez.

3. İşleme amaçları

Kişisel verileriniz aşağıdaki amaçlarla işlenir:

• Misafir hesabınızı ve bağladığınız hesabı oluşturmak, kimliğinizi doğrulamak ve oturumunuzu sürdürmek; misafir hesaptaki verileri bağladığınız hesaba taşımak.
• Talebiniz üzerine, verdiğiniz seyahat bilgilerine göre gün gün seyahat planı üretmek, bir günü yeniden planlamak ve alternatif yer önermek.
• Planlardaki yerlerin açılış saatlerini, yerler arasındaki ulaşım sürelerini ve hava durumunu hesaplamak ve yaklaşan seyahatlerde bu bilgileri güncellemek.
• Planları, kayıtlı yerleri ve tercihleri cihazlarınız arasında eşlemek ve göstermek.
• WaiPlan Premium aboneliğine bağlı özellikleri açmak, abonelik durumunu doğrulamak ve aylık kullanım sınırlarını uygulamak.
• Yasal metinlerin kabulünü ve aydınlatma yükümlülüğünün yerine getirildiğini kayıt altına almak.
• Destek taleplerinizi yanıtlamak.
• Hesabın kötüye kullanımını önlemek, hataları gidermek, maliyetleri izlemek ve hizmetin güvenliğini sağlamak.
• Hukuki yükümlülükleri yerine getirmek ve doğabilecek uyuşmazlıklarda hakkı tesis etmek, kullanmak ve korumak.

Verileriniz reklam hedefleme, davranışsal profil çıkarma veya üçüncü taraflara satış amacıyla işlenmez.

4. İşlemenin hukuki sebepleri

Her amaç, KVKK'nın 5. maddesinde sayılan şu hukuki sebeplerden birine dayanır:

• Hesabın oluşturulması, seyahat planlarının üretilmesi ve güncellenmesi, planların yapay zekâ ile hazırlanması, verilerin eşlenmesi, aboneliğin işletilmesi: m. 5/2-c — bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması.
• Yasal metin kabullerinin ve hukuki işlem kayıtlarının tutulması, hukuki yükümlülüklerin yerine getirilmesi: m. 5/2-ç — veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
• Uyuşmazlıklarda savunma ve talep yönetimi: m. 5/2-e — bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.
• Güvenliğin sağlanması, kötüye kullanımın önlenmesi, hata giderme ve maliyet takibi: m. 5/2-f — temel hak ve özgürlüklerinize zarar vermemek kaydıyla meşru menfaat.
• Ticari elektronik ileti gönderimi: m. 5/1 — açık rıza. Bu işlem yalnızca Açık Rıza Metni üzerinden ayrıca rıza verirseniz gerçekleşir; rıza vermemeniz uygulamayı kullanmanıza engel değildir.

5. Toplama yöntemi

Kişisel verileriniz, tamamen veya kısmen otomatik yollarla, elektronik ortamda toplanır:

• Doğrudan sizden: hesap bağlarken, seyahat oluştururken, tercihlerinizi girerken ve planınızı düzenlerken.
• Uygulamanın kendisinden: misafir hesap kimliği, uygulama sürümü, platform ve dil gibi teknik bilgiler.
• Giriş sağlayıcısından: Apple ile veya Google ile giriş yapmayı seçtiğinizde, ilgili sağlayıcının size sorduğu izinle sınırlı olarak e-posta adresiniz ve adınız.
• Mağazadan ve abonelik altyapısından: abonelik satın aldığınızda, aboneliğin geçerli olup olmadığı bilgisi.

6. Aktarım yapılan taraflar ve aktarım amacı

Verileriniz aşağıdaki taraflara, yalnızca belirtilen amaçla ve o amaçla sınırlı olarak aktarılır:

• Google Ireland Limited / Google LLC — Firebase Authentication, Cloud Firestore, Cloud Functions, Firebase Hosting: hesabınızın doğrulanması, verilerinizin saklanması ve sunucu işlemlerinin yürütülmesi.
• Google LLC — Vertex AI (Gemini modelleri, Avrupa bölgesi): seyahat planının üretilmesi. Bu hizmete yalnızca seyahat parametreleri (destinasyon, tarihler, varış/dönüş saatleri, konaklama yeri, grup türü, tempo, ilgi alanları, bütçe, ulaşım tercihleri) ve aday yer bilgileri gönderilir; adınız, e-posta adresiniz veya hesap kimliğiniz gönderilmez. Google, Vertex AI kapsamında işlenen müşteri verisini kendi modellerini eğitmek için kullanmayacağını taahhüt etmektedir.
• Google LLC — Google Maps Platform (Places, Routes, Weather ve Haritalar SDK'sı): planlardaki yerlerin bulunması, açılış saatleri, ulaşım süreleri ve hava tahmini ile haritanın gösterilmesi. Sorgular sunucularımızdan yapılır ve hesap bilgisi içermez; harita cihazınızda gösterilirken Google, Haritalar SDK'sı aracılığıyla IP adresi gibi teknik verileri kendi gizlilik politikası kapsamında işleyebilir.
• RevenueCat, Inc.: WaiPlan Premium abonelik durumunun doğrulanması ve yönetilmesi. RevenueCat'e yalnızca hesap kimliğiniz ve mağaza satın alma bilgisi iletilir.
• Apple Inc. ve Google LLC (App Store / Google Play): abonelik satın alma ve satın almanın doğrulanması.
• Apple Inc. veya Google LLC (Apple ile Giriş / Google ile Giriş): yalnızca bu yöntemle giriş yapmayı seçerseniz, kimlik doğrulaması.
• Açık veri hizmetleri (OpenStreetMap / Overpass, Wikipedia, Wikidata, Wikimedia Commons): yalnızca yer adları ve koordinatlarla yapılan, kişisel veri içermeyen sorgular.
• Yetkili kamu kurum ve kuruluşları: KVKK m. 8/2-a uyarınca, mevzuatın öngördüğü hâllerde ve talepleri ölçüsünde.

Bunların dışında hiçbir reklam ağı, analitik izleyici veya veri komisyoncusu ile veri paylaşılmaz.

7. Yurt dışına aktarım

Uygulamanın altyapısını sağlayan Google ve RevenueCat'in sunucuları yurt dışında bulunur. Hesap ve seyahat verileriniz Google Cloud'un Avrupa bölgesinde (Belçika, europe-west1) işlenir; abonelik durumu RevenueCat tarafından Amerika Birleşik Devletleri'nde işlenir.

Bu aktarım hizmetin çalışması için zorunludur ve KVKK m. 9 uyarınca uygun güvencelere — Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeye — dayanılarak yapılır. Seyahat planı üretimi de bu kapsamdadır ve ayrıca açık rızanıza bağlı değildir.

Aktarıma ilişkin güvencelere dair bilgi talep etmek için eskicystudio@gmail.com adresine yazabilirsiniz.

8. Saklama süresi

• Hesabınız açık olduğu sürece hesap verileriniz, seyahatleriniz ve kayıtlı yerleriniz saklanır.
• Hesabınızı sildiğinizde hesabınıza bağlı kayıtlar silinir; teknik yedeklerden çıkması en geç 30 gün sürer.
• Misafir hesabını bir hesaba bağladığınızda, misafir hesaptaki veriler bağlanan hesaba taşınır ve misafir hesap silinir.
• Sunucu işlem ve hata kayıtları en fazla 30 gün saklanır.
• Bir hukuki yükümlülük veya olası bir uyuşmazlık nedeniyle saklanması gereken sınırlı kayıtlar (örneğin abonelik ve destek yazışması kayıtları), ilgili zamanaşımı süresi boyunca saklanır ve süre dolduğunda silinir.
• Uygulama çevrimdışı çalışabilmek için verilerin bir kopyasını cihazınızda önbelleğe alır; uygulamayı cihazdan kaldırdığınızda bu kopya da kalkar.

9. Çocuklara ilişkin

Uygulama 13 yaşından küçükler için tasarlanmamıştır ve bu yaş grubundan bilerek kişisel veri toplanmaz. 18 yaşından küçük kullanıcılar uygulamayı veli veya vasisinin bilgisi ve izniyle kullanır. 13 yaşından küçük bir çocuğa ait veri işlendiğini fark eden veliler eskicystudio@gmail.com adresinden bize ulaşabilir; ilgili hesap silinir.

10. KVKK m. 11 kapsamındaki haklarınız

Veri sorumlusuna başvurarak:

• Kişisel verinizin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmişse düzeltilmesini isteme,
• KVKK m. 7'deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme,
• Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz.

Verilerinizin büyük bölümünü doğrudan uygulama içinden görebilir ve düzeltebilirsiniz. Hesabınızı ve tüm seyahatlerinizi uygulamada Profil → Hesabı sil adımından ya da waiplan.com/delete-account sayfasından kendiniz silebilirsiniz.

11. Başvuru yolu

Haklarınızı kullanmak için, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak:

• eskicystudio@gmail.com adresine, uygulamada kayıtlı e-posta adresinizden yazarak, veya
• 13. bölümde yer alan posta adresine ıslak imzalı dilekçeyle

başvurabilirsiniz. Başvurunuzda adınızı, soyadınızı, iletişim bilgilerinizi ve talebinizi açıkça belirtmeniz gerekir.

Başvurular en geç 30 gün içinde sonuçlandırılır. Talebin ayrıca bir maliyet gerektirmesi hâlinde Kurul'un belirlediği tarifedeki ücret istenebilir. Başvurunuzun reddedilmesi veya yanıtsız kalması hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız saklıdır.

12. Metnin güncellenmesi

Bu metin, uygulamanın işleyişi değiştikçe güncellenir. Her sürüm bir sürüm numarası ve yürürlük tarihi taşır; yeni bir sürüm yayımlandığında uygulama açılışında gösterilir ve size yeniden bilgilendirme yapılır. Bu gösterim bir onay alma işlemi değildir; amacı aydınlatma yükümlülüğünün yerine getirilmesidir.

13. Veri sorumlusunun kimlik ve iletişim bilgileri

• Veri sorumlusu: Ömer Faruk Eskici (EskicyStudio ticari adıyla faaliyet gösteren gerçek kişi)
• Adres: Altıntepsi Mah. Çiftlik Cad. No: 13/2, Bayrampaşa/İstanbul
• E-posta: eskicystudio@gmail.com