Guideline 5.1.2: üçüncü taraf yapay zeka, ATT ve veri paylaşımı

Guideline 5.1.2, Apple'ın kişisel verilerin kullanımı ve paylaşımıyla ilgili kuralı. (i) bendi üç şarta indirgenebilir: hangi verilerin gittiğini söylemek, bu verileri alan üçüncü tarafın adını vermek (yapay zeka dahil) ve göndermeden önce açık onay almak. Reklam takibi söz konusuysa bu onay mutlaka App Tracking Transparency (ATT) isteğiyle alınır.

Bu reddi, bir ürünü yapay zekayla slaytlara dönüştüren uygulamam Clic'te yedim. Bu rehber üçüncü taraf yapay zekayı, ATT'yi ve gizlilik etiketlerini ele alıyor. Gizlilik politikası ve izin istekleri guideline 5.1.1 kapsamında.

Guideline 5.1.2 ne diyor?

5.1.2, "Data Use and Sharing", App Review Guidelines içindeki "Privacy" bölümünde 5.1.1'in hemen ardından geliyor. Retlerin büyük kısmı (i) bendinden geliyor. 8 Haziran 2026'da güncellenen yürürlükteki metin özellikle şunları söylüyor:

• "You must clearly disclose where personal data will be shared with third parties, including with third-party AI, and obtain explicit permission before doing so."
• "You must receive explicit permission from users via the App Tracking Transparency APIs to track their activity."
• Uygulama, bir özelliğe, içeriğe ya da ödüle erişim vermek için bildirimler, konum veya takip gibi bir sistem özelliğinin açılmasını şart koşamaz.

Kısacası: söylemeden ve onay almadan hiçbir şey paylaşmıyorsun. Kural, izinsiz veri paylaşan bir uygulamanın satıştan kaldırılabileceğini ve geliştiricisinin programdan atılabileceğini de belirtiyor.

Diğer bentler daha özel durumları hedefliyor:

Bent	Neyi yasaklıyor
5.1.2(ii)	Bir veriyi yeni onay almadan başka bir amaçla yeniden kullanmak
5.1.2(iii)	Gizlice profil oluşturmak ya da anonimliği kaldırmak
5.1.2(iv)	Kişi veritabanı kurmak ya da yüklü uygulamaları listelemek
5.1.2(v)	Kullanıcı istemeden rehberdeki kişilerle iletişime geçmek
5.1.2(vi)	Sağlık, ev otomasyonu ya da yüz taraması verilerini pazarlamada kullanmak
5.1.2(vii)	Apple Pay verilerini hizmetin sunulması dışında paylaşmak

Üçüncü taraf yapay zeka için ne değişti?

13 Kasım 2025'te Apple, bir kural güncellemesiyle 5.1.2(i)'yi netleştirdi: kişisel verilerin üçüncü taraflarla nerede paylaşıldığını, "including with third-party AI", açıkça belirtmen ve öncesinde açık izin alman gerekiyor. 8 Haziran 2026 sürümü bu cümleyi koruyor.

Şubat 2026'da Apple forumunda yayımlanan bir ret mesajı beklentiyi ayrıntılı anlatıyor. Uygulama "does not clearly explain what data is sent, identify who the data is sent to, and ask the user's permission before sharing the data". Aynı mesaj, gizlilik politikasının da bu üçüncü taraf yapay zeka paylaşımından bahsetmesini istiyor.

Kendi sunucundan geçirmek hiçbir şeyi değiştirmiyor: sunucun fotoğrafı OpenAI'a iletiyorsa, fotoğraf OpenAI'a gidiyor demektir. Expo uygulamasında API anahtarları rehberindeki mimari senin anahtarını korur, kullanıcıyı değil. Onay yine şart.

Clic reddim: ekran vardı, politika yoktu

16 Eylül 2026'da Apple, 5.1.1(i) ve 5.1.2(i)'yi gerekçe göstererek Clic'i reddetti. Oysa yapay zeka onay ekranı uygulamadaydı ve inceleyici o ekranı geçmişti: anonim hesabı ve üretimleri retten önce veritabanında görünüyordu. Eksik olan yayındaki kısımdı: yayımlanan politika eski sürümdü ve OpenAI'ın adını yalnızca bir kez geçiriyordu.

Düzeltme, yeni build olmadan: OpenAI'ın adını veren, ABD'de olduğunu söyleyen ve ona her modda neyin gönderildiğini listeleyen bir politika. Buna kullanıcının kendi API anahtarlarını bağladığında devreye girebilecek sağlayıcılar, her hizmet sağlayıcının verileri en az politika kadar koruma taahhüdü ve inceleyici için İngilizce bir özet eklendi. Aynı başvuru, güncellenmiş inceleme notlarıyla 21 Eylül 2026'da yeniden gönderildi.

Clic'in onay ekranı, kelimesi kelimesine

İlk üretimden önce görünen şey bu. Şablon olarak kullanabilirsin: sağlayıcıyı ve listeyi kendininkilerle değiştir.

• Büyük harfle üst başlık: "İlk üretiminden önce".
• Başlık: "Clic slaytlarını OpenAI'ın yapay zekasıyla oluşturur".
• Metin: "Ürününü analiz etmek ve görsellerini üretmek için Clic, şu öğeleri yapay zeka sağlayıcısı OpenAI'a gönderir:".
• Liste: "Brief'e verdiğin yanıtlar ve eklediğin bağlantılar"; "İçe aktardığın fotoğraflar, avatar ve referanslar dahil"; "Üretilen görseller, dosyaların için Clic sunucusunda saklanır".
• Bir not: "Kendi API anahtarlarını kullanırsan bu öğeler bağladığın sağlayıcıya gider."
• Gizlilik politikasına bir bağlantı.
• İki düğme: "Kabul ediyorum, devam et" ve "Reddet".

Kullanıcı reddederse uygulama "Hiçbir şey gönderilmedi" gösterir ve ekran bir sonraki denemede yeniden çıkar. Onayını geri çekmek için kullanıcı, 5.1.1(ii)'nin istediği gibi verilerini ayarlardan siler: ekran, yeni bir gönderimden önce tekrar gelir.

Bu ekranı, bir sistem izninden önce gelen ekranla karıştırma. Kamera erişimi isteğinden önce Apple, tasarım kurallarına göre iOS isteğini açan tek bir "Continue" düğmesi istiyor. Yapay zeka onayının arkasında bir sistem isteği yok. Onayı toplayan senin ekranın: bu yüzden gerçek bir seçim sunmalı, kabul ya da ret.

Son tuzak: inceleyicinin ekranı görmesi gerekiyor. Bir geliştirici, forumdaki başlığına göre, ekranı yanlış ayarlanmış bir bayrağa bağlı olduğu için birkaç kez reddedildi: "We were not presented with the consent prompt on launch or anywhere else in the app." Temiz bir kurulumda test et ve inceleme notlarında ekranın ne zaman çıktığını yaz.

ATT: takip isteği ne zaman zorunlu?

Apple için takip etmek, uygulamanın verilerini başka şirketlere ait uygulamalardan, sitelerden ya da yerlerden gelen verilerle hedefli reklam veya reklam ölçümü için ilişkilendirmek demek. Verileri bir veri simsarıyla paylaşmak da sayılıyor. Tanım User Privacy and Data Use sayfasında.

Uygulaman ya da içine koyduğun bir SDK bunu yaptığı anda:

• App Tracking Transparency framework'ünün isteği, takip amaçlı her türlü veri toplamadan önce gelir;
• NSUserTrackingUsageDescription anahtarı nedenini açıklar ve ITMS-90683 rehberinde anlattığım gibi yokluğu build'in reddedilmesine yol açabilir;
• onay yoksa reklam kimliği sıfırdır ve kullanıcıyı başka yoldan takip etmezsin: Apple, onu tanımlamak için cihaz verilerinden türetme yapmayı yasaklıyor;
• içine koyduğun SDK'lardan sen sorumlusun: "Developers are responsible for all code included in their apps."

Bir özelliği ya da ödülü açmak için takibi şart koşamazsın: 5.1.2(i) bunu yasaklıyor. Apple'ın ATT SSS'si bu soruya aynı kurala atıfla "No" yanıtını veriyor. Buna karşılık, şeffaf kalmak şartıyla, isteği göstermeden önce takibi neden istediğini açıklayabilirsin.

Tipik ret senaryosu: uygulama ATT isteğini hiç göstermeden takip verisi topluyor. Yayımlanmış bir ret mesajında Apple iki çıkış yolu öneriyor. Ya takibi App Store Connect'te beyan edip her türlü veri toplamadan önce ATT isteğini eklersin ve inceleme notlarında nerede çıktığını yazarsın. Ya da takibi kaldırırsın.

Avrupa Birliği'nde Apple, iOS 27.2'den itibaren isteğin farklı bir sürümünü duyuruyor. Fransa, Almanya, İtalya, Polonya ve Romanya'da yalnızca bu sürüm kullanılabilecek. Onayın zorunlu olduğu durumlar değişmiyor.

App Store Connect'teki gizlilik etiketleri

App Privacy bölümü, sayfandaki etiketleri doldurur: toplanan veriler, kullanıcıya bağlı veriler, takip için kullanılan veriler. Kurallar App Privacy Details sayfasında. Yapay zekalı bir uygulama için üç nokta önemli:

• Ortaklarının topladıklarını da beyan edersin: analitik SDK'ları, reklam ağları, kodu uygulamanda bulunan harici sağlayıcılar.
• Toplamanın kesin bir anlamı var: veriyi cihazın dışına göndermek ve isteği yanıtlamak için gereken süreden daha uzun tutmak. Sunucunun sakladığı görseller toplanmış sayılır. Yapay zeka sağlayıcının neyi sakladığından emin değilsen beyan et.
• İstediğin zaman düzeltebilirsin: "you do not need to submit an app update in order to change your answers". Yani yalnızca etiketlerle ilgili bir ret, build olmadan çözülür.

Hangi üçüncü taraf için hangi onay?

Kendi uygulamalarımda uyguladığım tablo. Ne Apple'ın metninin ne de GDPR'ın yerini tutar.

Veriyi alan üçüncü taraf	İstenecek onay	Nerede beyan edilir
Üçüncü taraf yapay zeka: OpenAI, Gemini, Claude	İlk gönderimden önce kendi onay ekranın	Politika, etiketler, inceleme notları
Reklamsız analitik ve tanılama	Toplama onayı, 5.1.1(ii), ve GDPR	Politika ve etiketler
Başka uygulamalarla bağlantılı reklam ağı ya da atıf	Takip amaçlı her toplamadan önce ATT isteği	"Takip" etiketleri, ATT metni, politika
Veri simsarı	ATT isteği	"Takip" etiketleri ve politika

Doldururken hafızandan değil koddan yola çık: uygulamanın ve sunucunun her ağ çağrısını gönderilen veri, alıcı ve amaçla birlikte listele. Politikanın kendisi için yöntem uygulama gizlilik politikası rehberinde.

5.1.2 reddinden sonra Apple'a ne yanıt vermeli?

İki durum var. Sorun yayındaysa, yani politika ya da etiketlerdeyse, düzeltirsin, yanıt verirsin ve aynı başvuru build olmadan yeniden gider: Clic için yaptığım buydu. Sorun uygulamanın içindeyse, yani ekran yoksa ya da gönderim onaydan önce oluyorsa, yeni bir build gerekir.

Uygulaman üçüncü taraf bir yapay zekaya hiçbir şey göndermiyorsa Apple'ın mesajı bu durumu öngörüyor: bunu teyit eden bir yanıt ver ve bilgiyi App Store Connect'teki App Review Information bölümüne ekle.

Aksi halde App Review mesajını yanıtlayarak İngilizce yanıt ver. Uyarlanacak şablon, burada Clic gibi bir uygulama için:

Hello,

Thank you for your review.

The app sends the user's brief, imported photos and
generated images to OpenAI, a third-party AI service,
to create slides.

- Before the first AI request, a dedicated screen names
  OpenAI, lists the data sent and asks for explicit
  consent. Nothing is sent if the user declines.
- The privacy policy describes this sharing, with an
  English summary: [URL]
- The App Privacy information in App Store Connect matches.

How to verify: install the app and start a first
generation. The consent screen appears before any data
is sent.

Best regards,

Göndermeden önce 5.1.2 kontrol listesi

• Kişisel veri alan her üçüncü tarafın adı verilmiş, yapay zeka dahil.
• Onay ekranı ilk gönderimden önce çıkıyor, sağlayıcının adını veriyor ve verileri listeliyor.
• Reddetmek hiçbir şey göndermiyor ve uygulama bunu söylüyor.
• Onay uygulamanın içinden geri çekilebiliyor.
• Ekran temiz bir kurulumda çıkıyor ve inceleme notları nerede çıktığını söylüyor.
• Yayındaki politika ve etiketler aynı gönderimleri, ortaklar dahil, anlatıyor.
• Uygulama ya da bir SDK kullanıcıyı takip ediyorsa ATT isteği takip amaçlı her toplamadan önce geliyor.
• Hiçbir özellik ya da ödül takibe veya bildirimlere bağlı değil.

Dosyanı Apple'dan önce kontrol et

Apple Review Kit, gönderim öncesi kontrol listemi, düzelttiğim retlerimi ve projeni ile sayfanı inceleyip Apple reddederse yanıtını hazırlayan iki Claude Code skill'ini bir araya getiriyor. İnsan gözüyle bakılmasını istersen benimle bir saatlik görüşme ayarla: uygulamanı, politikanı ve etiketlerini birlikte karşılaştıralım. Sürecin tamamı Apple tarafından reddedilen uygulama sayfasında, diğer sık ret nedenleri de Apple bir uygulamayı neden reddeder yazısında.

İlk yayınına hazırlanıyorsan ücretsiz tanılamanı yap: adımları sıraya koyar ve sana Apple ret önleme kontrol listemi gönderir. Ana sayfa, review'un neleri kontrol ettiğini unutmadan yapay zekayla nasıl mobil uygulama oluşturulacağını gösteriyor.

Kimse Apple'ın uygulamanı kabul edeceğini garanti edemez. Benim yapabileceğim, bedelini bir inceleme döngüsüyle zaten ödediğim bir 5.1.2 reddinden kaçınmana yardım etmek.

Sık sorulan sorular

"Guideline 5.1.2(i) - Legal - Privacy - Data Use and Sharing" ne demek?

Apple'ın mesajında kuralın tam başlığı bu. Kişisel verilerin açık bilgilendirme ya da onay olmadan paylaşıldığını belirtir: üçüncü taraf bir yapay zekaya, bir reklam SDK'sına ya da başka bir hizmete. Çoğu zaman gizlilik politikasıyla ilgili 5.1.1(i) ile birlikte gelir.

Bir uygulamada OpenAI API'sini kullanmak için onay gerekir mi?

Evet, kişisel veriler OpenAI'a gittiği anda: kullanıcının yazdıkları, fotoğrafları, sesi, belgeleri. Kasım 2025'ten beri kural üçüncü taraf yapay zekayı açıkça anıyor. Sağlayıcının adını ver, neyin gittiğini söyle ve çağrı senin sunucundan geçse bile ilk gönderimden önce açık onay al.

iPhone üzerinde çalışan bir yapay zekanın beyan edilmesi gerekir mi?

Cihazdan hiçbir şey çıkmıyorsa üçüncü tarafla paylaşım yoktur, bu yüzden bence 5.1.2(i) kapsamında onay da gerekmez. Apple bunu açıkça yazmış değil. İşlemin bir kısmı bir sağlayıcıya gittiği anda üçüncü taraf yapay zeka kuralını uygula.

Bir özelliği açmak için kullanıcıyı takibi kabul etmeye zorlayabilir miyiz?

Hayır. 5.1.2(i), bir özelliğe, içeriğe ya da ödüle erişim için takibin, bildirimlerin veya konumun açılmasını şart koşmayı yasaklıyor. ATT isteği gerçek bir seçim olarak kalmalı ve uygulama reddi kabul etmeli.

5.1.2 reddinden sonra yeni build gerekir mi?

Her zaman değil. Eksik bir politika ya da yanlış etiketler yayında düzeltilir ve aynı başvuru yeniden gider. Onay ekranı yoksa ya da gönderimden sonra çıkıyorsa yeni bir build gerekir.

5.1.1 ile 5.1.2 arasındaki fark ne?

5.1.1 veri toplama ve saklamayla ilgili: gizlilik politikası, izinler, hesap. 5.1.2 ise verilerle sonra ne yaptığınla ilgili: üçüncü taraflarla paylaşım (yapay zeka dahil), reklam takibi, yeniden kullanım. Aynı ret çoğu zaman ikisini birden gösterir.