1. Giriş ve Veri Sorumlusunun Kimliği
İşbu Gizlilik Politikası ve Kişisel Verilerin Korunması Kanunu (“KVKK”) Aydınlatma Metni; yunt platformunun (“Platform” / “yunt”) kullanıcılarına, platforma kaydolan işletmelere (“Abone” / “Butik”) ve Abone’nin Instagram hesabı üzerinden etkileşime geçen üçüncü kişilere (“Son Kullanıcı”) ait kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), ikincil mevzuat ve Meta Platform İlkeleri uyarınca nasıl toplandığını, işlendiğini, saklandığını ve aktarıldığını açıklamak amacıyla hazırlanmıştır. Platformun işletmecisi ve bu metinde geçen “Hizmet Sağlayıcı”, Kani Eke’dir (işletme adı: Sylear).
Veri Sorumlusu Bilgileri:
- Unvan: Kani Eke (Sylear)
- E-Posta / İrtibat:
info@sylear.com.tr(destek ve KVKK başvuruları) - Adres, vergi ve telefon: Künye sayfasında (
https://useyunt.com/imprint)
2. Tanımlar ve Fiilî Rol Ayrımı (KVKK m.10 Uyarınca)
KVKK’nın amaç ve vasıtaları belirleme kriteri uyarınca, Platform üzerindeki faaliyetlerde tarafların hukuki statüsü şu şekildedir:
- Abone (Butik) Yetkilisi Verileri Bakımından — yunt Veri Sorumlusudur: * Abone yetkilisinin hesabı, kayıt ve fatura bilgileri, kimlik doğrulama verileri ve platform kullanım logları bakımından veri işleme amaç ve vasıtalarını yunt belirlediğinden, yunt münhasıran Veri Sorumlusu (Data Controller) sıfatını haizdir.
- Butik Müşterisi (Son Kullanıcı) Instagram Verileri Bakımından — Rol Ayrımı: * Abone (Butik) — Veri Sorumlusudur: Abone'nin Instagram hesabına gelen DM mesajları, hikaye yanıtları, yorumlar ve müşteri talepleri bakımından veri işleme amacını ve vasıtalarını (hangi ürünlerin satılacağı, hangi yanıt kurallarının uygulanacağı, hangi katalog verisinin sunulacağı) Abone belirler. Dolayısıyla Abone, kendi müşterilerine karşı bağımsız Veri Sorumlusudur. * yunt — Veri İşleyendir: yunt, Abone'nin talimatları, yapılandırdığı otomasyon kuralları ve sisteme bağladığı ürün kataloğu çerçevesinde bu verileri işleyen teknik altyapı sağlayıcısıdır ve KVKK kapsamında Veri İşleyen (Data Processor) sıfatıyla hareket eder.
3. Toplanan Kişisel Veriler ve Elde Edilme Yöntemleri
yunt tarafından işlenen kişisel veriler, doğrudan ilgili kişiden (Abone yetkilisi) ve Meta Graph API entegrasyonu üzerinden otomatik yöntemlerle toplanmaktadır:
3.1. Abone (İşletme Yetkilisi) Verileri
- Kimlik ve İletişim Bilgileri: Ad, soyad, kurumsal e-posta adresi, telefon numarası, hesap kullanıcı adı.
- Kimlik Doğrulama Verileri: Clerk kimlik doğrulama altyapısı tarafından yönetilen kullanıcı ID'si (
clerk_user_id), oturum belirteçleri ve şifrelenmiş kimlik bilgileri. - Fatura ve Ödeme Referans Verileri: Fatura unvanı, vergi dairesi/numarası veya T.C. kimlik numarası, açık fatura adresi.
Önemli Güvenlik İlkesi: yunt veritabanına kredi kartı numarası, son kullanma tarihi ve CVC kodu kesinlikle yazılmaz. Yalnızca lisanslı ödeme sağlayıcısı nezdindeki müşteri referansı (
provider_customer_id) ile tercih edilen kartın sağlayıcı token'ı (ctoken) tutulur. Bunlar kart verisi değil, sağlayıcının ürettiği referanslardır ve kart numarası bunlardan elde edilemez. Kayıtlı kartların görüntülenmesi doğrudan ödeme sağlayıcısından anlık ve maskeli olarak çekilir. - Mağaza ve Entegrasyon Bilgileri: Entegre edilen pazaryeri API anahtarları (Trendyol, Hepsiburada, Shopier, ikas vb.), mağaza ürün kataloğu ve stok listeleri.
3.2. Son Kullanıcı (Instagram Ziyaretçisi / Müşteri) Verileri
- Platform Profil Bilgileri: Instagram kullanıcı adı, App-Scoped Kullanıcı ID'si (ASID), profil resmi URL'si.
- Etkileşim ve Mesaj Verileri: Butiğin Instagram hesabına iletilen doğrudan mesaj (DM) metinleri, gönderi yorumları, hikaye etiketlemeleri (mentions) ve mesajlaşma zaman damgaları.
- İletilen Medya İçerikleri: Kullanıcının ürün sormak veya beden/renk danışmak amacıyla DM üzerinden gönderdiği geçici fotoğraf, video veya sesli mesajlar.
3.3. Otomasyon ve Sistem Trafik Verileri
- Sistem ve Güvenlik Logları: IP adresi, port bilgisi, kullanıcı-aracı (User-Agent), oturum çerezleri, API istek/yanıt kayıtları ve hata teşhis kayıtları (
ops_job_errors).
4. Kişisel Verilerin İşlenme Amaçları ve Hukuki Sebepleri
Toplanan kişisel veriler, KVKK’nın 5. ve 6. maddelerinde belirtilen aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:
| Veri Kategorisi | İşleme Amacı | KVKK m.5 Hukuki Sebebi |
|---|---|---|
| Abone Kimlik ve İletişim | Platform aboneliğinin kurulması, kullanıcı hesabı açılması, destek hizmetlerinin sunulması. | Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması (m.5/2-c). |
| Fatura ve Ticari Kayıtlar | Abonelik ücretlerinin faturalandırılması, mali defter kayıtlarının tutulması. | Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması (m.5/2-ç). |
| Kart Saklama ve Tekrarlayan Tahsilat | Kartın ödeme kuruluşu nezdinde saklanması ve sonraki dönem tahsilatlarının bu karttan yapılabilmesi. | Abonenin sipariş anında verdiği ayrı ve açık rızası (m.5/1); rıza dilediği zaman geri alınabilir. |
| Son Kullanıcı DM ve Yorum Verileri | Abone adına gelen müşteri sorularının otomatik yanıtlanması, katalogdaki ürünlerle eşleştirilmesi, insan temsilciye devir yapılması. | Abone ile akdedilen SaaS sözleşmesinin ifası (m.5/2-c) ve Abone'nin meşru menfaati (m.5/2-f). |
| Geçici Medya İçerikleri | Müşterinin gönderdiği görselin analiz edilerek katalogdaki ilgili ürünün tespit edilmesi. | Hizmetin gereği olarak anlık bağlamsal işleme (m.5/2-c). |
| Sistem ve Trafik Logları | Siber güvenliğin sağlanması, kötüye kullanım ve spam engelleme, yetkili adli mercilerin taleplerini karşılama. | Hukuki yükümlülük (5651 sayılı mevzuat - m.5/2-ç) ve meşru menfaat (m.5/2-f). |
| Yurt Dışı Altyapı Aktarımı | Bulut tabanlı kimlik doğrulama, AI çıkarımı ve mesajlaşma altyapısının işletilmesi. | İlgili kişinin açık rızası (m.5/1 ve m.9/1) veya uygulanabilir meşru aktarım güvenceleri. |
5. Yapay Zeka (AI) Mimarisi ve Agent Sandbox Güvenlik Güvencesi
yunt, Instagram mesaj ve yorumlarını yapay zeka ajanları (DeepSeek ve Google Gemini modelleri) ile analiz ederek yanıtlar. Bu süreçte uygulanan katı güvenlik prensipleri şunlardır:
- Katı Agent Sandbox ve Sıfır Token Sızıntısı:
* Yapay zeka modellerine gönderilen sorgular strictly izole edilmiş bir sarmalayıcı (
AgentSandbox) üzerinden geçirilir. * Modeller hiçbir zaman Abone'nin Meta erişim belirteçlerini (access_token), işletme kimlik numaralarını (business_id), müşteri ID'lerini veya pazaryeri API anahtarlarını görmez. Tüm bu hassas parametreler sunucu tarafında güvenli backend tarafından dinamik olarak enjekte edilir. - Genel Modellerin Eğitilmemesi İlkesi: * yunt, Abone veya Son Kullanıcı konuşma kayıtlarını kendi yapay zeka modellerini eğitmek amacıyla kullanmaz. * Üçüncü taraf yapay zeka sağlayıcıları (DeepSeek API ve Google Cloud Vertex/Gemini API), kurumsal ticari API katmanları üzerinden çalıştırılmakta olup, bu sağlayıcıların kurumsal hesap şartları ve veri gizliliği politikaları uyarınca API üzerinden iletilen girdiler genel modellerin eğitimi amacıyla işlenmemektedir.
- Anlık ve Bağlamsal İşleme: * Mesaj ve medya içerikleri yapay zeka modeline kalıcı depolama amacıyla değil, yalnızca o anki yanıta bağlam sağlamak üzere anlık çıkarım (inference) amacıyla iletilir.
6. Kişisel Verilerin Aktarıldığı Taraflar ve Yurt Dışı Aktarımı (KVKK m.9)
Kişisel verileriniz, hizmetin ifası ve platformun teknik sürekliliği için yalnızca zorunlu üçüncü taraflarla ve mevzuata uygun olarak paylaşılmaktadır:
6.1. Aktarım Yapılan Alıcı Grupları
- Altyapı ve Veritabanı Sağlayıcıları: Platformun güvenli çalışması için bulut sunucu, PostgreSQL veritabanı ve Redis önbellek altyapısı.
- Kimlik Doğrulama Sağlayıcısı: Abone oturumlarının yönetilmesi için Clerk Inc.
- Lisanslı Ödeme Kuruluşu: Abonelik ödemelerinin kartla tahsil edilmesi için yetkili ödeme sağlayıcısı. İlk ödeme, kart sahibi işlem anında hazır olduğu için 3D Secure doğrulamasıyla alınır ve kart bu işlemle saklanır. Sonraki dönem tahsilatları, abonenin sipariş anında verdiği talimat uyarınca ve kart sahibi hazır olmadığı için 3D doğrulaması olmaksızın gerçekleştirilir.
- E-Ticaret Pazaryerleri: Abone tarafından yetkilendirilmiş Trendyol, Hepsiburada, Shopier, ikas vb. platformlar (yalnızca anlık fiyat ve stok sorgusu için).
- Yetkili Kamu Kurum ve Kuruluşları: Yasal zorunluluk halinde mahkemeler, savcılıklar ve yetkili idari kurumlar.
6.2. Yurt Dışı Aktarım Çerçevesi (KVKK m.9)
Platformun kullandığı bazı teknik altyapı sağlayıcılarının sunucuları yurt dışında (ABD ve Avrupa Birliği) bulunmaktadır:
- Clerk Inc. (ABD/AB): Abone kimlik doğrulama oturumları.
- DeepSeek API & Google Cloud / Gemini API (Uluslararası / ABD-AB): Anlık metin ve görsel yapay zeka sorguları.
- Meta Platforms Ireland Ltd. / Inc. (İrlanda / ABD): Instagram Graph API webhook ve mesajlaşma servisleri.
Hukuki Dayanak ve Rıza Geri Alma:
Söz konusu aktarımlar, 6698 sayılı Kanun’un 9. maddesi uyarınca meşru aktarım mekanizmaları (sağlayıcılarla akdedilen kurumsal veri işleme ve uygun güvence hükümleri ve/veya Abone'nin kayıt anında sağladığı açık rıza) çerçevesinde gerçekleştirilmektedir. Açık rızanızı dilediğiniz zaman info@sylear.com.tr adresine başvurarak geri alabilirsiniz; rızanın geri alınması durumunda yurt dışı altyapı bağımlılığı olan özelliklerin kullanımı teknik olarak kısıtlanabilir.
7. Veri Saklama ve İmha Politikası (Retention Matrix)
Kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre boyunca saklanır ve sürenin bitiminde güvenli şekilde imha edilir:
| Veri Türü | Saklama Süresi | Süre Sonu / İmha Yöntemi |
|---|---|---|
Operasyonel Hata Kayıtları (ops_job_errors) |
En çok 90 Gün | Süre dolduğunda arka plan temizlik motoru (ops_retention) tarafından kalıcı olarak silinir; ilgili işletme için geçerli bir silme talebi işlendiğinde bu süre beklenmeksizin silinir. |
| Uygulama Teşhis Logları (Loki) | 30 Gün | 30 günün sonunda otomatik log rotasyonuyla imha edilir. |
| Web Trafik ve Erişim Logları (5651) | 1 Yıl | Yer Sağlayıcı Yönetmeliği m. 7 uyarınca 1 yıl boyunca saklanır, süresi dolunca silinir. |
| Fatura ve Muhasebe Kayıtları | 10 Yıl | Türk Ticaret Kanunu ve Vergi Usul Kanunu uyarınca 10 yıl yasal süreyle saklanır. |
| Instagram DM ve Yorum Kayıtları | Abonelik Süresince | Entegrasyon kaldırıldığında Meta tarafındaki erişim ve yeni mesaj alımı durur; DM geçmişi, abonenin panelden inceleyebilmesi için abonelik süresince saklanır. Fiziksel silme, Meta Veri Silme Callback'i ile veya panelden açılan ve yönetici onayıyla işlenen hesap silme süreciyle yapılır. E-posta veya form üzerinden gelen silme talepleri otomatik silme tetiklemez; talep alınır, kimlik ve yetki doğrulanır ve yasal süre içinde sonuçlandırılır. Ayrıntı için Veri Silme Rehberi'ne bakınız. |
Önbelleğe Alınan Medya İçerikleri (media_cache) |
Geçici Süre | Analiz tamamlandıktan sonra önbellek temizleme kuralları veya silme talebiyle imha edilir. |
8. Çerezler (Cookies) ve Takip Teknolojileri
Web sitemizde ve kontrol panelimizde yalnızca hizmetin güvenliği ve çalışması için gerekli olan teknolojiler kullanılır:
- Zorunlu Çerezler: Clerk oturum çerezleri, CSRF güvenlik belirteçleri ve oturum devamlılığı sağlayan işlevsel çerezlerdir. Bu çerezler olmadan oturum açılamaz.
- Tercih ve Analitik Çerezleri: Panel tema tercihlerini (karanlık/aydınlık mod) ve temel sistem performans metriklerini tutan çerezlerdir. Tarayıcı ayarlarınız üzerinden çerez tercihlerinizi dilediğiniz an değiştirebilirsiniz.
9. İlgili Kişinin (Kullanıcının) KVKK m.11 Kapsamındaki Hakları
Kişisel veri sahipleri, KVKK’nın 11. maddesi uyarınca yunt'a başvurarak şu haklara sahiptir: 1. Kişisel verilerinin işlenip işlenmediğini öğrenme, 2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme, 3. Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, 4. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, 5. Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, 6. KVKK m.7 uyarınca kişisel verilerin silinmesini veya yok edilmesini isteme, 7. Aktarılan üçüncü kişilere düzeltme, silme veya yok etme işlemlerinin bildirilmesini isteme, 8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, 9. Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.
10. Başvuru Usulü ve İletişim
Yukarıda belirtilen haklarınızı kullanmak için taleplerinizi:
- Sistemde kayıtlı kurumsal e-posta adresiniz üzerinden
info@sylear.com.tradresine iletebilir, veya - Kani Eke (Sylear), Künye sayfasında yer alan adrese noter kanalıyla veya ıslak imzalı yazılı dilekçe ile ulaştırabilirsiniz.
Veri silme taleplerinin yöntemleri ve durum takibi için Veri Silme Rehberi'ne (https://useyunt.com/data-deletion) bakınız.
Başvurunuz, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca incelenerek talebin niteliğine göre en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılacaktır.
11. Yürürlük ve Değişiklikler
İşbu Gizlilik Politikası, platformda yayımlandığı tarihte yürürlüğe girer. yunt, mevzuat değişiklikleri veya sistem güncellemeleri doğrultusunda bu metni güncelleme hakkını saklı tutar. Güncellemeler https://useyunt.com/privacy-policy adresinde yayımlandığı andan itibaren geçerlilik kazanır.