Gizlilik Politikası ve KVKK Aydınlatma Metni

Web sitesi ve bradi GO kullanıcı hesapları için veri sorumlusu, Ankara, Türkiye merkezli Murat Efe Doğan (bradi.tech) şahıs işletmesi'dir.

Erişim ve silme talepleri dahil tüm kişisel veri konuları için iletişim: [email protected]. Taleplerinize en geç 30 gün içinde, genellikle çok daha kısa sürede yanıt veririz.

bradi bir dijital pazarlama ve yazılım ajansıdır. bradi GO, iş müşterilerimize sunduğumuz, yalnızca davetle erişilen bir paneldir: web sitesi analitiğini, reklam sonuçlarını ve müşteri bağlamayı seçerse WhatsApp Business konuşma analitiğini gösterir. Herkese açık kayıt yoktur.

İki farklı rolde bulunuruz; kime başvurmanız gerektiği buna göre değişir:

• Veri sorumlusu: web sitesi (www.bradi.tech), iletişim formu ve bradi GO'ya giriş yapan kişilerin hesapları için. Bu verilerin neden ve nasıl işleneceğine biz karar veririz.
• Veri işleyen (müşterimiz adına): müşterilerimizin kendi site ziyaretçileri, reklam hesapları ve WhatsApp Business konuşmalarına ilişkin veriler için. Bu verilerin veri sorumlusu müşteri işletmedir; biz bu verileri yalnızca o müşteriye panel hizmetini sunmak amacıyla, müşterinin talimatları ve aramızdaki sözleşme çerçevesinde işleriz.

Müşterilerimizden birinin sitesini ziyaret ettiyseniz veya bir müşterimize WhatsApp'tan yazdıysanız, verinizin nasıl kullanılacağına o işletme karar verir. Doğrudan o işletmeye başvurabilir ya da [email protected] adresine yazabilirsiniz; talebinizi işletmeye iletir ve yanıtlamasına yardımcı oluruz.

a) www.bradi.tech ziyaretçileri

• İletişim formu: adınız, e-posta adresiniz, telefon veya WhatsApp numaranız, işletme adınız, mesajınız, siteye ilk geldiğiniz sayfa ve formu gönderdiğiniz sayfa. "E-postanızı bırakın" kutusu yalnızca e-posta adresinizi alır.
• Web sitesi analitiği: görüntülenen sayfalar, yönlendiren site, IP adresinden çıkarılan yaklaşık konum, cihaz ve tarayıcı türü; Umami (çerezsiz), PostHog ve Google Ads etiketi (gtag.js) aracılığıyla. PostHog ve Google çerez kullanabilir; bkz. 10. bölüm.

b) bradi GO kullanıcıları (müşteri işletmelerdeki kişiler ve bradi çalışanları)

• Hesap: e-posta adresi, görünen ad, dil tercihi (Türkçe veya İngilizce), rol (müşteri veya yönetici) ve bağlı olduğunuz işletmeler. Şifreler yalnızca geri döndürülemez özet (hash) olarak saklanır; giriş bağlantıları özet olarak saklanır ve 10 dakikada geçersiz olur.
• Oturum ve güvenlik: IP adresi ve tarayıcı bilgisini içeren oturum kayıtları; girişlerin ve yönetim işlemlerinin (ör. kullanıcı davet etme, site ekleme) IP adresiyle birlikte tutulduğu güvenlik kaydı.
• Kullanım: kullanıcı başına günde bir kayıt; panelin hangi bölümlerinin kaç dakika kullanıldığı. Bu kayıtta tam adres (URL), arama terimi, IP adresi veya tarayıcı bilgisi tutulmaz.
• Oluşturduğunuz içerik: huniler, kaydedilen ayarlar, rakip analizleri ve panel asistanıyla yapılan sohbetler.

c) Müşterilerimizin site ziyaretçileri (bradi GO takip kodu)

Bir müşterimiz bradi GO kodunu kendi sitesine eklediğinde, her sayfa görüntüleme ve etkileşim için şunlar gönderilir:

• Sayfa yolu (sorgu parametreleri olmadan), yönlendiren adres, kampanya etiketleri (utm_source, utm_medium, utm_campaign, utm_term, utm_content) ve varsa reklam tıklama kimliğinin yalnızca adı (ör. "fbclid" veya "gclid"; değeri asla alınmaz).
• Yaklaşık konum (ülke; ağ sağlayıcımız verdiğinde bölge ve şehir), tarayıcı penceresi genişliği, sayfada kalma süresi, kaydırma oranı, tıklama sayısı ve bağlantı/düğme tıklamalarında öğenin görünen etiketi, hedef adresi ve kimliği. Form alanlarına yazılan metin asla toplanmaz.
• Ziyaretçi kimliği: IP adresi ve tarayıcı bilgisinin, her gün değişen ve 36 saat sonra silinen rastgele bir anahtarla birlikte alınan tek yönlü özetidir. IP adresi ve tarayıcı bilgisinin kendisi saklanmaz; kimlik farklı günler arasında ilişkilendirilemez.
• Takip kodu ziyaretçinin cihazında çerez veya yerel depolama kullanmaz. Tarayıcı "Do Not Track" (İzleme) sinyali gönderiyorsa çalışmaz ve bilinen botları yok sayar.
• Oturum kaydı (yalnızca müşteri ziyaretlerin bir bölümü için açarsa; varsayılan olarak kapalıdır): sayfa yapısının ve değişikliklerinin kaydı (video değildir); tüm form alanları maskelenir, sorgu parametreleri silinir, müşterinin gizli olarak işaretlediği öğeler gizlenir veya maskelenir. Kayıtlar en fazla bir saattir.

d) Meta'dan alınan veriler (Facebook ve Instagram reklamları)

Yalnızca bir müşteri kullanıcısı Meta reklam hesabını "Facebook ile İşletme Girişi" üzerinden bağlayıp istenen izinleri (ads_read ve business_management) onayladığında şunları alırız:

• Bu kullanıcının iznine ait erişim anahtarı (token); şifrelenmiş olarak saklanır (bkz. 8. bölüm).
• Kullanıcının erişebildiği reklam hesaplarının listesi (hesap kimliği, adı, para birimi, saat dilimi, durumu); kullanıcı bunlardan birini seçebilsin diye.
• Yalnızca seçilen reklam hesabı için hesap ve kampanya düzeyinde günlük reklam istatistikleri: harcama, gösterim, erişim, tıklama, tıklama oranı, tıklama başı maliyet, bin gösterim maliyeti, başlatılan mesajlaşma ve satın alma gibi raporlanan eylemler, satın alma değerleri, kampanya kimlikleri ve adları, para birimi ve ilişkilendirme ayarı.

Facebook profil bilgisi, arkadaş listesi, gönderi, sayfa içeriği veya reklamları gören ya da tıklayan kişilere ait, bu toplu istatistikler dışında hiçbir veri almaz ve saklamayız. Erişimimiz salt okumadır: bradi GO kampanya, bütçe veya teklif oluşturamaz, değiştiremez ya da durduramaz.

e) WhatsApp Business'tan alınan veriler (Meta WhatsApp Business Platformu)

Yalnızca bir müşteri, işletme hesabı sahibinin onayıyla Meta'nın Embedded Signup akışı üzerinden bir WhatsApp Business numarasını bradi GO'ya bağladığında, Meta o numara için şunları bize iletir:

• Gelen ve giden mesajlar (metin, müşterinin telefon numarası ve WhatsApp profil adı, zaman bilgisi, mesaj türü ve Tıkla-WhatsApp'a reklamından başlayan mesajlarda reklam referansı dahil).
• İşletmenin WhatsApp Business uygulamasından gönderdiği yanıtlar, işletmenin paylaşmayı seçtiği mesaj geçmişi (en fazla altı ay), uygulamadan eşitlenen kişi adları ve hesap durumu bildirimleri.

Bu verileri yalnızca müşteriye kendi konuşma analitiğini (ör. yanıt süreleri, konuşma hacmi, hangi reklamların konuşma getirdiği) göstermek için kullanırız. bradi GO WhatsApp için salt okumadır: kimse adına mesaj göndermez.

f) Google'dan alınan veriler (bağlandığında)

Bir müşteri Google Ads veya Google Search Console'u bağlarsa salt okunur rapor verisi alırız: Google Ads için hesap ve kampanya başına (kampanya adlarıyla) günlük maliyet, gösterim, tıklama, dönüşüm ve dönüşüm değeri; Search Console için tarih, arama sorgusu ve sayfa bazında tıklama, gösterim, tıklama oranı ve sıralama. İstenen yetkiler adwords ve webmasters.readonly'dir.

g) Rakip analizi için herkese açık veriler

Bir müşteri rakip analizi çalıştırdığında herkese açık bilgileri toplarız: müşterinin kendi sitesindeki metin, rakiplerin herkese açık siteleri ve sosyal medya profilleri ile rakiplerin Meta Reklam Kütüphanesi ve LinkedIn Reklam Kütüphanesi'nde yayımladığı reklamlar. Bu kütüphanelerdeki reklamlar yasal olarak herkese açıktır; reklam metnini, görselleri, tarihleri ve reklamveren sayfa adını saklarız.

Kişisel verileri, hakkınızda hukuki veya benzeri önemli sonuç doğuran otomatik kararlar için kullanmayız. Verileriniz; iletişim formu, e-posta, panel arayüzü, müşterilerin sitesindeki takip kodu ve Meta ile Google'ın API'leri aracılığıyla, elektronik ortamda ve otomatik yollarla toplanır.

Meta platformları (İşletmeler için Facebook Girişi, Marketing API ve WhatsApp Business Platformu) üzerinden aldığımız veriler yalnızca bu bağlantıyı kuran müşteriye bradi GO içinde kendi raporlarını sunmak için kullanılır. Özellikle:

• Meta verilerini satmayız, kiralamayız, lisanslamayız; veri simsarlarıyla veya reklam ağlarıyla paylaşmayız.
• Kişi profili oluşturmak, reklam hedeflemek veya yeniden hedeflemek ya da genel amaçlı yapay zekâ modellerini eğitmek için kullanmayız.
• Bir müşterinin Meta verisini başka bir müşterinin verisiyle birleştirmeyiz. Her müşteri yalnızca kendi bağladığı hesapları görür.
• Aynı müşteriye yazılı özet hazırlamak için rakamları bir yapay zekâ sağlayıcısına ilettiğimizde (6. bölüm), sağlayıcının bu veriyi model eğitiminde kullanması sözleşmeyle yasaktır ve istek kaydı kapalıdır.
• Yalnızca 9. bölümde belirtilen süre boyunca saklar, talep üzerine Veri Silme sayfamızda anlatıldığı şekilde sileriz: bradi.tech/tr/data-deletion.
• Meta Platform Koşulları'na ve Geliştirici Politikaları'na uyarız.

bradi GO'nun Facebook hesabınıza erişimini istediğiniz zaman Facebook'ta kaldırabilirsiniz: Ayarlar ve gizlilik → Ayarlar → İşletme entegrasyonları (veya Uygulamalar ve internet siteleri) → bradi GO → Kaldır. İşletme portföyü için: İşletme ayarları → Entegrasyonlar → Bağlı uygulamalar.

Kişisel verileri asla satmayız. Verileri yalnızca aşağıdaki, bizim adımıza ve sözleşme kapsamında çalışan hizmet sağlayıcılarla ve her birinin ihtiyacı kadar paylaşırız:

Ayrıca kanunen zorunlu olduğunda yetkili mahkeme ve kamu kurumlarıyla, haklarımızı korumak için veya işletmenin devri halinde devralan tarafla (bu politika geçerliliğini koruyarak) veri paylaşabiliriz.

Yukarıdaki sağlayıcıların bir kısmı Türkiye ve Avrupa Ekonomik Alanı dışında, ağırlıkla ABD'de bulunmaktadır. Kişisel verileri yurt dışına aktarırken kanunun öngördüğü güvencelere dayanırız: Türkiye'den yapılan aktarımlarda KVKK 9. madde uyarınca Kişisel Verileri Koruma Kurumu'na bildirilen standart sözleşmeler veya gerektiği hallerde açık rızanız; GDPR kapsamındaki veriler için Avrupa Komisyonu Standart Sözleşme Maddeleri veya sağlayıcı sertifikalıysa AB–ABD Veri Gizliliği Çerçevesi.

• Tüm trafik aktarım sırasında şifrelenir (HTTPS/TLS).
• Meta ve Google erişim anahtarları, ait oldukları işletme ve bağlantıya bağlanarak AES-256-GCM ile şifrelenmiş olarak saklanır ve çalışanlarımız dahil kimseye gösterilmez.
• Meta'dan gelen bildirimler (webhook) yalnızca geçerli bir kriptografik imzayla kabul edilir.
• Panel yalnızca davetle kullanılır; her sorgu giriş yapan kullanıcının bağlı olduğu işletmeyle sınırlıdır. Çalışanlarımızın bir müşteri hesabına erişimi kayıt altına alınır, bir saatle sınırlıdır ve panelde açıkça gösterilir.
• Veritabanına yalnızca özel barındırma ağımızdan erişilebilir.

Hiçbir sistem tamamen güvenli değildir. Kişisel verilerinizi etkileyen bir ihlal olursa kanunun gerektirdiği şekilde Kurul'a ve size bildiririz. Şüphelendiğiniz bir güvenlik sorununu [email protected] adresine bildirebilirsiniz.

Kanunun daha uzun saklamayı zorunlu kıldığı kayıtları (ör. vergi mevzuatı kapsamındaki faturalar) yalnızca gerekli olan kadarıyla ve gerekli süre boyunca saklarız. Süresi dolan veriler Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun olarak silinir veya anonim hale getirilir.

• bradi GO (go.bradi.tech) yalnızca zorunlu çerezler kullanır: giriş oturumu (7 gün, paneli kullandıkça yenilenir) ve seçtiğiniz işletme ile siteyi hatırlayan iki tercih çerezi (1 yıl). Bunlar takip veya reklam için kullanılmaz.
• Müşterilerimizin sitelerindeki bradi GO takip kodu çerez veya yerel depolama kullanmaz.
• www.bradi.tech, PostHog ve Google'ın (Google Ads etiketi) analitik ve reklam çerezlerini ve Umami'nin çerezsiz analitiğini kullanır. Çerezleri tarayıcı ayarlarınızdan engelleyebilir veya silebilirsiniz; site çerezler olmadan da çalışır.
• Paylaşılan rakip analizi raporlarında Google Çeviri sunulur; kullanırsanız Google çerez yerleştirebilir.

KVKK'nın 11. maddesi ve uygulandığı ölçüde GDPR uyarınca şu haklara sahipsiniz:

• kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme;
• işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme;
• yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme;
• eksik veya yanlış işlenmişse düzeltilmesini isteme;
• KVKK 7. maddede öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme ve bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme;
• münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme;
• kanuna aykırı işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme;
• GDPR kapsamında ayrıca: veri taşınabilirliği, işlemenin kısıtlanması, meşru menfaate dayalı işlemeye itiraz ve rızayı her zaman geri alma.

Haklarınızı kullanmak için, verinizle ilişkili e-posta adresinden [email protected] adresine yazabilir veya Ankara, Türkiye adresimize ıslak imzalı yazılı başvuru gönderebilirsiniz (Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ). Başvurunuzu en geç 30 gün içinde ücretsiz sonuçlandırırız; kimliğinizi doğrulamamız gerekebilir. Yanıttan memnun kalmazsanız Kişisel Verileri Koruma Kurulu'na (www.kvkk.gov.tr) şikâyette bulunabilirsiniz.

Verilerinizin silinmesini istediğiniz zaman isteyebilirsiniz. Facebook'tan erişimimizi kaldırma ve neleri sildiğimiz dahil adım adım talimatlar Veri Silme sayfamızdadır: bradi.tech/tr/data-deletion.

Hizmetlerimiz işletmelere yöneliktir ve çocuklara hitap etmez. 18 yaşından küçüklerden bilerek kişisel veri toplamayız. Bir çocuğun bize kişisel veri verdiğini düşünüyorsanız bize yazın, sileriz.

Hizmetlerimiz veya mevzuat değiştiğinde bu metni güncelleriz. Üstteki tarih en güncel sürümü gösterir. Bir değişiklik, müşterilerin bize emanet ettiği verilerin kullanımını önemli ölçüde etkiliyorsa, yürürlüğe girmeden önce müşteri yöneticilerine e-postayla bildiririz.