Gizlilik Politikası
Son güncelleme: 1 Kasım 2026
Bu politika, karyoai.com adresindeki KaryoAI hizmetini (“Hizmet”) kullandığınızda hangi kişisel verilerin işlendiğini, neden işlendiğini ve haklarınızı açıklar. 6698 sayılı KVKK ve (AB/AEA’da bulunuyorsanız) GDPR esas alınmıştır.
Özet: Yüklediğiniz kromozom görüntüleri ve analiz sonuçları sunucuya gönderilmez; tarayıcınızda işlenir. Sunucuda yalnızca hesabınızla ilgili sınırlı bilgiler tutulur. Verilerinizi satmayız ve reklam amacıyla kullanmayız.
1. Veri sorumlusu
[ŞİRKET / KİŞİ ADI, ADRES]
İletişim: [İLETİŞİM E-POSTASI]
2. Hizmetin amacı
KaryoAI, metafaz kromozom görüntülerinde kromozomları işaretleme, ölçme, eşleme ve karyogram / idiogram oluşturma işlerini (manuel ve yapay zekâ destekli otomatik) tarayıcı üzerinde yapmanızı sağlayan bir araştırma ve eğitim aracıdır. Hizmet tıbbi cihaz değildir (bkz. Kullanım Koşulları).
3. İşlenen veriler
| Veri | Ne zaman / nasıl | Amaç |
|---|
| E-posta adresi, ad | Kayıt olurken veya Google ile girişte | Hesabı oluşturmak, giriş yapmanızı sağlamak, bilgilendirme e-postaları göndermek |
| Parola (yalnızca e-posta ile kayıtta) | Kayıt / parola değişikliği | Parolanız düz metin olarak saklanmaz; güçlü bir algoritma (Argon2id/bcrypt, ek gizli anahtarla) ile özeti saklanır |
| Google hesap kimliği (sub), e-posta, ad | Google ile girişte | Kimlik doğrulama. Google parolanıza erişmeyiz |
| E-posta doğrulama durumu, hesap durumu, plan ve kullanım hakkı sayacı, kayıt ve son giriş zamanı, son giriş IP adresi | Hesap yaşam döngüsü boyunca | Hesabı yönetmek, kötüye kullanımı önlemek, kullanım sınırlarını uygulamak |
| Güvenlik günlüğü: olay türü (giriş, çıkış, parola sıfırlama vb.), IP adresi, tarayıcı bilgisinin kısaltılmış özeti, zaman | Hesap işlemlerinde | Güvenlik, hata ayıklama, hesap ele geçirme girişimlerini saptama |
| Giriş konum kayıtları: giriş zamanı, IP adresi, IP’den tahmin edilen ülke/şehir, tarayıcı bilgisinin kısaltılmış özeti | Her başarılı girişte | Hesap paylaşımını ve hesap ele geçirmeyi saptamak (ör. kısa sürede farklı şehirlerden giriş); 30 gün sonra silinir |
| İstek sınırlama kayıtları (IP’ye bağlı sayaçlar) | Giriş/kayıt gibi uç noktalara yapılan isteklerde | Kaba kuvvet ve otomatik saldırıları engellemek; 24 saat içinde silinir |
| Doğrulama / sıfırlama / silme bağlantıları | İlgili işlemi başlattığınızda | Bağlantının kendisi değil yalnızca SHA-256 özeti saklanır; kısa süre geçerlidir, süresi dolunca silinir |
Sunucuya gönderilmeyen veriler
- Yüklediğiniz mikroskop / kromozom görüntüleri, işaretlemeler, ölçümler, karyogram ve idiogramlar tarayıcınızda işlenir; yapay zekâ modeli de tarayıcınızda (WebAssembly ile) çalışır. Bu içerikler KaryoAI sunucularına yüklenmez.
- Projenizi “.kai” dosyası olarak kendi cihazınıza kaydedersiniz; dosya sizin kontrolünüzdedir.
- Görüntülerde hasta kimliği içeren bilgi varsa, bunların uygun şekilde anonimleştirilmesinden ve ilgili mevzuata uyumdan siz sorumlusunuz.
4. Hukuki sebepler
- Hesabın oluşturulması ve Hizmetin sunulması: sözleşmenin ifası (KVKK m.5/2-c; GDPR m.6/1-b).
- Güvenlik günlükleri ve kötüye kullanımın önlenmesi: meşru menfaat (KVKK m.5/2-f; GDPR m.6/1-f).
- Yasal yükümlülükler: hukuki yükümlülüğün yerine getirilmesi (KVKK m.5/2-ç).
- Açık rıza gerektiren başka bir işleme yaparsak ayrıca rızanız alınır.
5. Çerezler ve tarayıcı depolaması
Reklam, izleme veya analitik çerezi kullanmıyoruz. Yalnızca Hizmetin çalışması için gerekli olanlar vardır:
- Oturum çerezi (
__Host-karyoai / karyoai_sid): giriş durumunuzu tutar; HttpOnly, Secure (https) ve SameSite=Lax’tır. Çıkış yaptığınızda silinir; hareketsizlik ve azami süre sınırı vardır.
- Yerel depolama: dil tercihi (
kw-lang), sekmeler arası oturum eşitleme işareti (kw-auth-ev).
- Oturum depolaması: açılış animasyonunun gösterildiği bilgisi ve devam eden çalışmanızın geçici kopyası (sekme kapanınca silinir).
Bu öğeler “kesinlikle gerekli” niteliktedir; bu nedenle ayrıca onay istemiyoruz.
6. Oturum güvenliği
1 saat hareketsizlikte oturum uyarısı gösterilir; yanıt verilmezse çalışmanız cihazınıza otomatik indirilir ve oturum kapatılır. Mutlak oturum süresi 24 saattir.
7. Üçüncü taraflar ve alıcılar
- Google (Google Identity Services): “Google ile giriş” seçeneğini kullanırsanız Google ile veri paylaşılır; Google’ın gizlilik politikası geçerlidir.
- Have I Been Pwned (Pwned Passwords): parola belirlerken sızdırılmış parola olup olmadığı “k-anonimlik” yöntemiyle kontrol edilir; parolanız veya tam özeti gönderilmez, yalnızca özetin ilk 5 karakteri iletilir.
- IP konum hizmeti (ipwho.is): giriş yapılan IP adresi, yaklaşık ülke/şehir bilgisini bulmak için bu hizmete gönderilir (hesap bilgileriniz gönderilmez). Sonuç sunucuda 30 gün önbelleğe alınır.
- E-posta hizmeti: doğrulama, parola sıfırlama ve hesap silme e-postaları karyoai.com alan adından (noreply) gönderilir; e-posta adresiniz bu amaçla e-posta altyapısı sağlayıcısı tarafından işlenir.
- Barındırma sağlayıcısı: sunucu ve veritabanı barındırma sağlayıcımızın altyapısında tutulur. [SAĞLAYICI ADI VE ÜLKESİ]
- Kişisel verilerinizi satmayız; yasal zorunluluk (mahkeme / yetkili makam talebi) dışında üçüncü kişilerle paylaşmayız.
8. Yurt dışına aktarım
Google ve (varsa) barındırma/e-posta sağlayıcıları yurt dışında olabilir. Bu durumda aktarım KVKK m.9 ve GDPR Bölüm V kapsamında uygun güvencelerle yapılır.
9. Saklama süresi
- Hesap bilgileri: hesabınız açık olduğu sürece.
- Güvenlik günlükleri: hesap silinene kadar; hesabınız silindiğinde kullanıcıya bağlı günlükler de silinir.
- Doğrulama bağlantıları: en geç 7 gün içinde; sıfırlama ve silme bağlantıları kısa süre sonra geçersiz olur ve hesap silinince kaldırılır.
- Giriş konum kayıtları: 30 gün; IP-konum önbelleği: en fazla 60 gün.
- İstek sınırlama sayaçları: 24 saat.
- Yasal bir saklama yükümlülüğü doğarsa ilgili veri o süre boyunca saklanır.
10. Hesabı ve verilerinizi silme
Hesap ayarlarından hesabınızı silebilirsiniz. Silme işlemi, e-postanıza gönderilen bağlantıyla onaylanır. Onaydan sonra hesabınız, doğrulama/sıfırlama kayıtlarınız ve güvenlik günlükleriniz kalıcı olarak silinir.
11. Haklarınız
KVKK m.11 ve GDPR kapsamında; verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme, işlemeyi kısıtlama, itiraz etme, veri taşınabilirliği ve (varsa) rızayı geri çekme haklarına sahipsiniz. Başvuru için [İLETİŞİM E-POSTASI] adresine yazabilirsiniz; talebinizi en geç 30 gün içinde yanıtlarız. Ayrıca Kişisel Verileri Koruma Kurumu’na (Türkiye) veya bulunduğunuz yerdeki veri koruma otoritesine şikâyette bulunabilirsiniz.
12. Güvenlik
Tüm trafik HTTPS ile şifrelenir. Parolalar güçlü algoritmalarla özetlenir; veritabanı sorguları parametrelidir; hassas sayfalara erişim sunucu tarafında oturum denetimiyle korunur; giriş denemeleri sınırlandırılır. Hiçbir sistem %100 güvenli değildir; bir ihlal olursa yasal bildirim yükümlülüklerimizi yerine getiririz.
13. Çocuklar
Hizmet 18 yaşından küçüklere yönelik değildir; bilerek çocuk verisi toplamayız. Bir çocuğa ait veri tespit edersek sileriz.
14. Değişiklikler
Bu politikayı güncelleyebiliriz. Önemli değişiklikleri bu sayfada tarih güncelleyerek ve gerekirse e-posta ile duyururuz.
15. İletişim
[İLETİŞİM E-POSTASI]
Privacy Policy
Last updated: 1 November 2026
This policy explains which personal data is processed when you use the KaryoAI service at karyoai.com (the “Service”), why, and what your rights are. It is based on the Turkish KVKK (Law No. 6698) and, if you are in the EU/EEA, the GDPR.
Summary: The chromosome images and analysis results you work with are not uploaded to our servers; they are processed in your browser. Our servers only hold limited account-related information. We do not sell your data or use it for advertising.
1. Controller
[COMPANY / PERSON NAME, ADDRESS]
Contact: [CONTACT E-MAIL]
2. Purpose of the Service
KaryoAI is a research and educational tool that lets you mark, measure and pair chromosomes in metaphase images and build karyograms / idiograms (manually or with AI assistance), running in your browser. It is not a medical device (see the Terms of Service).
3. Data we process
| Data | When / how | Purpose |
|---|
| E-mail address, name | When you sign up or sign in with Google | Create the account, let you sign in, send service e-mails |
| Password (e-mail sign-up only) | Sign-up / password change | Your password is never stored in plain text; only a hash made with a strong algorithm (Argon2id/bcrypt with a secret key) is kept |
| Google account ID (sub), e-mail, name | When signing in with Google | Authentication. We never see your Google password |
| E-mail verification state, account status, plan and usage counter, sign-up and last sign-in time, last sign-in IP address | During the life of the account | Manage the account, prevent abuse, enforce usage limits |
| Security log: event type (sign-in, sign-out, password reset, etc.), IP address, shortened hash of the browser signature, time | On account actions | Security, debugging, detecting account-takeover attempts |
| Sign-in location records: time, IP address, country/city estimated from the IP, shortened hash of the browser signature | On every successful sign-in | Detect account sharing and account takeover (e.g. sign-ins from different cities in a short time); deleted after 30 days |
| Rate-limit records (IP-based counters) | On requests to endpoints such as sign-in/sign-up | Block brute-force and automated attacks; deleted within 24 hours |
| Verification / reset / deletion links | When you start the related action | Only the SHA-256 hash of the token is stored; links are short-lived and removed when they expire |
Data that is not sent to our servers
- Microscope / chromosome images, markings, measurements, karyograms and idiograms are processed in your browser; the AI model also runs in your browser (WebAssembly). This content is not uploaded to KaryoAI servers.
- You save your project to your own device as a “.kai” file; that file stays under your control.
- If images contain patient-identifying information, you are responsible for appropriate de-identification and for compliance with applicable law.
4. Legal bases
- Creating the account and providing the Service: performance of a contract (KVKK Art. 5/2-c; GDPR Art. 6(1)(b)).
- Security logs and abuse prevention: legitimate interests (KVKK Art. 5/2-f; GDPR Art. 6(1)(f)).
- Legal obligations (KVKK Art. 5/2-ç; GDPR Art. 6(1)(c)).
- If we ever need to process data on the basis of consent, we will ask for it separately.
5. Cookies and browser storage
We use no advertising, tracking or analytics cookies. Only what is strictly necessary for the Service:
- Session cookie (
__Host-karyoai / karyoai_sid): keeps you signed in; HttpOnly, Secure (https), SameSite=Lax. It is removed when you sign out and has idle and absolute time limits.
- Local storage: language preference (
kw-lang) and a cross-tab session sync marker (kw-auth-ev).
- Session storage: whether the intro animation was shown, and a temporary copy of your work in progress (cleared when the tab closes).
These items are strictly necessary, so no separate consent prompt is shown.
6. Session security
After 1 hour of inactivity a session warning appears; if you do not respond, your work is automatically downloaded to your device and you are signed out. The absolute session limit is 24 hours.
7. Third parties and recipients
- Google (Google Identity Services): if you use “Sign in with Google”, data is shared with Google under Google’s privacy policy.
- Have I Been Pwned (Pwned Passwords): when you set a password, it is checked against known breaches using k-anonymity; your password or its full hash is never sent, only the first 5 characters of the hash.
- IP geolocation service (ipwho.is): the IP address of a sign-in is sent to this service to estimate country/city (your account details are not sent). Results are cached on our server for 30 days.
- E-mail delivery: verification, password-reset and account-deletion e-mails are sent from our karyoai.com domain (noreply); your e-mail address is processed by the mail infrastructure provider for this purpose.
- Hosting provider: our server and database are hosted by a hosting provider. [PROVIDER NAME AND COUNTRY]
- We do not sell your personal data and do not share it with third parties except where legally required (court or authority request).
8. International transfers
Google and (where applicable) hosting / e-mail providers may be located abroad. Transfers are made with appropriate safeguards under KVKK Art. 9 and GDPR Chapter V.
9. Retention
- Account data: while your account is open.
- Security logs: until the account is deleted; user-linked logs are deleted with the account.
- Verification links: removed within 7 days at most; reset and deletion links expire quickly and are removed when the account is deleted.
- Sign-in location records: 30 days; IP-location cache: 60 days at most.
- Rate-limit counters: 24 hours.
- Where a legal retention duty arises, data is kept for that period.
10. Deleting your account and data
You can delete your account from the account settings. Deletion is confirmed through a link sent to your e-mail. After confirmation your account, verification/reset records and security logs are permanently deleted.
11. Your rights
Under KVKK Art. 11 and the GDPR you may ask whether your data is processed, request access, rectification, erasure, restriction, object to processing, request portability and (where applicable) withdraw consent. Write to [CONTACT E-MAIL]; we respond within 30 days. You may also complain to the Turkish Personal Data Protection Authority or your local data protection authority.
12. Security
All traffic is encrypted with HTTPS. Passwords are hashed with strong algorithms; database queries are parameterised; access to protected pages is enforced by server-side session checks; sign-in attempts are rate-limited. No system is 100% secure; in the event of a breach we will meet our legal notification duties.
13. Children
The Service is not directed to anyone under 18, and we do not knowingly collect children’s data. If we find such data we will delete it.
14. Changes
We may update this policy. Material changes will be announced on this page with an updated date and, where appropriate, by e-mail.
15. Contact
[CONTACT E-MAIL]