数据保护（KVKK）通知

1. 数据控制者

数据控制者为 Gramavec。您可通过我们网站上公布的联系地址提交您的申请和请求。

2. 处理的个人数据

身份与联系数据：您的电子邮件地址和身份验证信息。

处理安全数据：会话令牌、速率限制记录和错误日志。

您上传的图像：您为分析而提交的手写和签名图像，以及生成的分析结果。

从您的图像中提取的形态学特征：我们经校准的测量引擎所产生的定量数据（压力、倾斜度、字母高度、比例、连笔结构等）。鉴于这些特征在 KVKK 第6条意义上有被宽泛解读为生物识别数据的可能性，为了保持在安全一侧，相关处理以您的**明示同意**为依据（在注册时及每次上传前获取）。

重要的范围区分：Discovery 服务（人格风格、学习风格、手写自我认知、伴侣契合度）以**娱乐和自我探索**为目的提供——它**并非**身份识别、诊断、招聘或决策工具。Forensics 服务（签名比对、文件审查）作为**专家预筛查**提供；最终意见始终由一名持证专家作出。Enterprise 界面（成员、审计日志、品牌）仅包含企业管理数据。

我们**不打算收集**临床健康数据、宗教/信仰、用于身份验证的生物识别标识符等其他特殊类别数据；我们建议您不要上传此类内容。

3. 处理目的

提供您所请求的分析服务、管理您的账户、执行使用限额、保障服务安全以及履行相关法律义务。

4. 法律依据

您的数据基于以下法律依据进行处理（KVKK md. 5）：为订立或履行合同所必需、履行法律义务以及数据控制者的合法利益。

需要向境外传输的处理（见下文）以您的明示同意为依据。

5. 传输（含境外）

我们的分析工作流以我们自有的经校准的测量引擎为基础；在某些语言理解和图像解读步骤中，我们以**数据处理者**的身份使用 Google Gemini API。在此范围内，您上传的图像会在相关调用期间传输至位于境外的 Gemini 基础设施；此项传输以您的**明示同意**为依据。正如 Gemini 的政策所承诺的，这些调用数据不会被保留用于模型训练。

若您进行付款，必要的数据将与支付服务提供商共享。

6. 保存与销毁

上传的原始图像将按照您订阅层级的保存窗口保留（Free：24 小时，Professional：90 天，Business：1 年，Enterprise：按机构制定的策略），此后由一项计划清理任务自动删除。

结构化分析报告（数值测量结果 + 生成的文本）与您的账户关联保存，直至您将其删除或关闭账户。Enterprise 账户可适用机构所选定的更短保存期限。

图像在传输过程中以 TLS 1.3 加密；当存储于 Google Cloud Storage 上时，受 Google 管理的服务器端加密保护。当使用 MongoDB blob 回退路径时（开发环境或单租户部署），原始图像字节通过 Fernet（带 HMAC 身份验证的 AES-128-CBC）在应用层加密后存储——其静态保护级别与 GCS 路径相同。

法律法规所要求的保存期限（例如法定记录保存义务）不受影响。

7. 您在 KVKK 第11条下的权利

您有权：了解您的个人数据是否被处理；若已被处理，请求获取相关信息；了解处理目的及是否按其目的使用；知悉数据在境内/境外被传输给的第三方；若数据被不完整或错误处理，请求予以更正，在条件成立时请求删除/销毁；请求将这些操作通知数据所传输给的第三方；对仅凭自动化分析结果而对您产生不利后果提出异议，并请求赔偿损失。

8. 申请方式

您可将有关上述权利的请求，连同证明您身份的信息，一并提交至我们网站上注明的联系地址。您的请求将在最短时间内、并最迟在 KVKK 规定的期限内得到处理。