Gizlilik Politikası

1. Giriş ve küresel kapsam

Bu Gizlilik Politikası, Hero Invest Ltd (“Tecrübe”, “biz”, “bizim”) tarafından işletilen tecrube.com alan adı, alt alan adları, paneller, API’ler, uygulamalar, eklentiler ve pazarlama otomasyonu / reklam yönetimi hizmetleri (hep birlikte “Hizmet”) için geçerlidir.

Politika; Türkiye, Avrupa Ekonomik Alanı (AEA), Birleşik Krallık, ABD, Orta Doğu, Asya-Pasifik ve diğer tüm bölgelerdeki kullanıcılar için uygulanacak şekilde hazırlanmıştır. Yerel zorunlu kurallar (KVKK, GDPR, UK GDPR, CCPA/CPRA ve benzeri) daha sıkıysa, o hükümler öncelik kazanır; aksi halde bu metin geçerli olur.

Hizmeti kullanarak veya kişisel veri sağlayarak bu Politikayı okuduğunuzu ve anladığınızı kabul edersiniz. Kabul etmiyorsanız Hizmeti kullanmayın.

2. Veri sorumlusu ve iletişim

Veri sorumlusu / controller: Hero Invest Ltd, 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, Birleşik Krallık. Resmi iletişim: info@tecrube.com.

Kişisel veri talepleri, ihlal bildirimleri ve gizlilik soruları yalnızca info@tecrube.com üzerinden kabul edilir. Kimlik doğrulaması yapılmadan talep sonuçlandırılmaz.

Hesabınıza yüklediğiniz üçüncü kişilere ait veriler (müşteri, lead, alıcı listeleri vb.) bakımından siz “veri sorumlusu / controller”, Tecrübe ise talimatlarınıza bağlı “veri işleyen / processor” konumunda olabilir. Bu ayrım sözleşme ve fiili kontrol durumuna göre belirlenir.

AB temsilcisi (GDPR m.27): Hero Invest Ltd Avrupa Birliği'nde kurulu değildir. GDPR m.27 kapsamında bir AB temsilcisi atanmışsa adı ve iletişim bilgileri künyede ve bu bölümde belirtilir; o zamana kadar AB'deki ilgili kişiler her türlü talebi info@tecrube.com adresine iletebilir. Avrupa Ekonomik Alanı'ndan Birleşik Krallık'a yapılan aktarımlar, Avrupa Komisyonu'nun Birleşik Krallık için verdiği yeterlilik kararına dayanır.

3. Tanımlar

“Kişisel veri”: kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi.

“İşleme”: toplama, kaydetme, saklama, değiştirme, aktarma, silme dahil kişisel veriye ilişkin her türlü işlem.

“Müşteri Verisi”: hesabınız üzerinden Hizmete yüklediğiniz veya bağladığınız hesaplardan çektiğiniz içerik ve kişi verileri.

“Hesap Verisi”: abonelik, fatura, kimlik, destek ve kullanım kayıtlarınız.

4. Topladığımız veri kategorileri

Kimlik ve iletişim: ad soyad, e-posta, telefon, şirket, unvan, ülke/bölge, dil tercihi.

Hesap ve işlem: kullanıcı rolleri, oturum kayıtları, abonelik planı, fatura/vergi bilgileri, ödeme durumu; kart bilgileri ödeme sağlayıcımız ve satıcı kaydımız (Merchant of Record) Creem tarafından işlenir, Tecrübe kart verisi saklamaz.

Hizmet ve entegrasyon: Kurulum, Analiz, Yönetim, Reklam, Büyüme, Erişim ve Aksiyon hub’ları kapsamında bağladığınız reklam/sosyal/analitik/mesajlaşma hesaplarından gelen kampanya, harcama, performans, hedef kitle, içerik, dönüşüm, envanter, form, görev, CRM, otomasyon ve workspace verileri.

Marka ve varlık: marka kiti (logo, renk, font, ton, kurallar), kreatif dosyalar, brief’ler ve yüklediğiniz medya.

İletişim kanalları: e-posta/SMS/WhatsApp/sesli arama kayıtları, çağrı kaydı ve transkriptler (etkinleştirirseniz), sohbet/DM içerikleri, lead ve alıcı listeleri.

Ölçüm: piksel, CAPI, UET, sunucu tarafı izleme, UTM, consent sinyalleri ve ilişkili olay verileri.

İletişim/destek: form, e-posta, sohbet ve ticket içerikleri.

Teknik ve güvenlik: IP, cihaz/tarayıcı, işletim sistemi, referrer, oturum kimlikleri, loglar, çerezler, hata kayıtları, dolandırıcılık/güvenlik sinyalleri.

Pazarlama tercihleri: izin, ret, abonelik tercihleri ve ticari ileti kayıtları (varsa).

5. Veri kaynakları

Doğrudan sizden (kayıt, form, destek, marka kiti), otomatik olarak cihazınızdan, bağladığınız üçüncü taraf platformlardan, ödeme sağlayıcılarından, yasal olarak izinli kamuya açık kaynaklardan ve sizin yüklediğiniz listelerden veri alabiliriz.

Rakip analizi ve benzeri araçlar yalnızca hukuka uygun, kamuya açık veya sizin yetki verdiğiniz kaynaklara dayanır; yetkisiz erişim veya ToS ihlali sizin sorumluluğunuzdadır.

Üçüncü taraf platformlardan gelen veriler, o platformların şartları ve sizin verdiğiniz yetkilere tabidir. Eksik, hatalı veya yetkisiz veri aktarımından Tecrübe sorumlu değildir.

6. İşleme amaçları

Hizmeti sağlamak, yapılandırmak, güvenliğini sağlamak ve geliştirmek; kampanya/otomasyon/raporlama/CRM/erişim/aksiyon işlevlerini çalıştırmak; destek ve eğitim vermek; faturalandırmak; suiistimal, spam ve dolandırıcılığı önlemek; yasal yükümlülükleri yerine getirmek; ürün istatistiği ve model iyileştirmesi yapmak (mümkün olduğunca kimliksizleştirilmiş/agrega).

Pazarlama iletişimi yalnızca açık rıza veya zorunlu mevzuatın izin verdiği hallerde yapılır; her zaman ret hakkınız vardır.

Sonuç (ROAS, satış, lead vb.) taahhüdü için kişisel veri işlemeyiz; performans metrikleri bilgilendirme amaçlıdır.

7. Hukuki sebepler (KVKK / GDPR / benzeri)

Sözleşmenin kurulması ve ifası; hukuki yükümlülük; meşru menfaat (güvenlik, ürün geliştirme, ağ koruması — temel haklara zarar vermemek kaydıyla); ve gerektiğinde açık rıza.

AEA/Birleşik Krallık için GDPR m.6 / UK GDPR hukuki dayanakları uygulanır. Özel nitelikli veri kural olarak işlenmez; işlenmesi gerekirse ayrıca açık rıza veya kanuni istisna aranır.

Çağrı kaydı, konum veya benzeri hassas uygulamalarda yerel mevzuatın gerektirdiği ek bilgilendirme ve rıza yükümlülükleri size aittir.

Rızaya dayanan işlemlerde rızayı dilediğiniz zaman geri alabilirsiniz; geri alma, önceki işlemenin hukuka uygunluğunu etkilemez.

8. Otomatik karar, aksiyon ve yapay zekâ

Hizmet; teklif, içerik, hedefleme, optimizasyon, sohbet/ses ajanı ve onaylı otomatik aksiyonlar için otomasyon ve yapay zekâ kullanabilir. Çıktılar karar destek veya sizin verdiğiniz yetkiyle çalışan otomasyondur; nihai sorumluluk size aittir.

Hesap verilerinizi harici sohbet/AI bağlayıcılarına (ör. ChatGPT/Claude benzeri) sizin talimatınızla açabilirsiniz; bu aktarımdan doğan risk size aittir.

Yalnızca otomatik işlemlere dayalı, sizi hukuken veya benzer şekilde önemli ölçüde etkileyen kararlar kural olarak alınmaz. Alınırsa mevzuattaki itiraz ve insan müdahalesi hakları saklıdır.

Yapay zekâ sağlayıcılarına (OpenAI, L.L.C. ve kullanıldığında Anthropic PBC; ABD) yalnız istenen işi yapmak için gereken içerik gider: marka profili, kampanya bağlamı ve bir yanıt taslağı istendiğinde ilgili mesajın metni. Müşterilerinizin adı, telefonu ve e-postası gönderilmeden önce maskelenir (ör. “Müşteri #ab12cd”, “+90 5 * **12”); mesaj metninin içinde geçen iletişim ve kimlik bilgileri de aynı biçimde maskelenir. Bu bir yurt dışı aktarımdır ve KVKK m.9 ile GDPR Bölüm V güvenceleriyle yapılır.

9. Paylaşım, işleyenler ve açıklama

Kişisel verilerinizi satmayız ve “satış/paylaşım” kapsamında CCPA anlamında satmayız; zorunlu istisna ve hizmet sağlayıcı ilişkileri saklıdır.

Paylaşım yalnızca: (a) barındırma, CDN, güvenlik, izleme, ödeme, e-posta/SMS/WhatsApp/ses, analitik, kimlik doğrulama tedarikçileri; (b) bağladığınız reklam/sosyal/ölçüm platformları; (c) bağlı şirketler (varsa); (d) yasal zorunluluk / yetkili merciler; (e) birleşme-devralma gibi kurumsal işlemler; (f) hakkın korunması hallerinde ve gerekli ölçüde yapılır.

Tedarikçilerle veri işleme sözleşmesi / standart koruma yükümlülükleri uygulanır. Üçüncü taraf platformların kendi politikaları ayrıca geçerlidir; Tecrübe onları kontrol etmez.

Aşağıdaki alt işleyenler, karşılarında yazan amaçla ve yalnız o amaçla sınırlı veriye erişir. “Yalnız bağlarsanız” yazanlar, siz o hesabı bağlamadıkça hiçbir veri almaz. Bu liste yeni bir sağlayıcı eklendiğinde güncellenir ve değişiklik ürün içi bildirimle duyurulur.

OpenAI, L.L.C. — Metin ve içerik üretimi, sınıflandırma. İşleme yeri: ABD. Aktarılan veri: İstem metni: marka profili, kampanya bağlamı ve yanıt taslağı istendiğinde ilgili mesajın metni. Müşterilerin adı, telefonu ve e-postası (mesaj içindekiler dahil) gönderilmeden önce maskelenir.

Anthropic PBC — Metin ve içerik üretimi, karar açıklamaları. İşleme yeri: ABD. Aktarılan veri: İstem metni: marka profili, kampanya bağlamı ve yanıt taslağı istendiğinde ilgili mesajın metni. Müşterilerin adı, telefonu ve e-postası (mesaj içindekiler dahil) gönderilmeden önce maskelenir.

Google LLC (Gemini API) — Metin üretimi ve özetleme. İşleme yeri: ABD / AB. Aktarılan veri: İstem metni: marka profili, kampanya bağlamı ve yanıt taslağı istendiğinde ilgili mesajın metni. Müşterilerin adı, telefonu ve e-postası (mesaj içindekiler dahil) gönderilmeden önce maskelenir.

Groq, Inc. — Düşük gecikmeli metin üretimi. İşleme yeri: ABD. Aktarılan veri: İstem metni: marka profili, kampanya bağlamı ve yanıt taslağı istendiğinde ilgili mesajın metni. Müşterilerin adı, telefonu ve e-postası (mesaj içindekiler dahil) gönderilmeden önce maskelenir.

OpenRouter, Inc. — Model yönlendirme (yalnız yönetici seçerse). İşleme yeri: ABD. Aktarılan veri: İstem metni (müşteri adı, telefonu ve e-postası maskelenmiş olarak); seçilen modele iletilir.

Armitage Labs OÜ (Creem) — Satıcı kaydı (Merchant of Record) olarak sipariş, ödeme alma, vergi, fatura ve iade. İşleme yeri: Estonya (AB). Aktarılan veri: Ad/unvan, e-posta, ülke ve posta kodu, varsa vergi numarası, ödeme bilgisi (kart bilgisi Tecrübe'ye hiç ulaşmaz). Creem bu veriyi satıcı kaydı sıfatıyla kendi gizlilik politikasına göre de işler. Bu aktarım hizmetin çalışması için zorunludur.

Google Ireland Ltd. (Google Ads, Analytics) — Reklam yayını ve ölçüm — yalnız hesabınızı bağlarsanız. İşleme yeri: AB / ABD. Aktarılan veri: Reklam hesabı kimliği, kampanya ve dönüşüm verisi. Aktarım sizin bağladığınız hesap üzerinden yapılır.

Meta Platforms Ireland Ltd. — Reklam yayını, Instagram/Messenger mesajlaşma — yalnız bağlarsanız. İşleme yeri: AB / ABD. Aktarılan veri: Reklam hesabı kimliği, kampanya verisi, mesaj içerikleri.

WhatsApp Business Platform (Meta) — Müşteri mesajlaşması — yalnız bağlarsanız. İşleme yeri: AB / ABD. Aktarılan veri: Telefon numarası ve mesaj içeriği.

TikTok Technology Ltd. — Reklam yayını — yalnız bağlarsanız. İşleme yeri: AB / Singapur. Aktarılan veri: Reklam hesabı kimliği ve kampanya verisi.

Microsoft Ireland Operations Ltd. (Microsoft Advertising) — Reklam yayını ve ölçüm — yalnız bağlarsanız. İşleme yeri: AB / ABD. Aktarılan veri: Reklam hesabı kimliği, kampanya ve dönüşüm verisi.

Kimlik sağlayıcılar (Google, Apple, Meta, LinkedIn, X) — Tek tıkla giriş — yalnız o yolla girerseniz. İşleme yeri: ABD / AB. Aktarılan veri: Ad, e-posta ve sağlayıcı kullanıcı kimliği.

DGN Teknoloji A.Ş. (veri merkezi ve sunucu barındırma) — Uygulamanın, veritabanının ve yedeklerin çalıştığı sunucunun barındırılması. İşleme yeri: Türkiye. Aktarılan veri: Hizmet kapsamında işlenen tüm veri; parolalar ve sağlayıcı anahtarları şifreli olarak. Bu aktarım hizmetin çalışması için zorunludur.

Sunucunun kendi posta servisi (SMTP, aynı barındırmada) — İşlem e-postaları: doğrulama, ödeme ve dönem hatırlatmaları, uyarılar. Harici bir e-posta sağlayıcısı devreye alınırsa bu listeye adıyla eklenir. İşleme yeri: Türkiye. Aktarılan veri: E-posta adresi ve ileti içeriği. Bu aktarım hizmetin çalışması için zorunludur.

10. Uluslararası aktarımlar

Veriler Türkiye, AEA, ABD veya hizmet altyapısının bulunduğu diğer ülkelerde işlenebilir. Yeterlilik kararı olmayan ülkelere aktarımda GDPR’ye uygun Standart Sözleşme Maddeleri (SCC), UK IDTA/Addendum, KVKK m.9 güvenceleri ve gerektiğinde ek teknik-idari tedbirler uygulanır.

Aktarım; Hizmetin doğası gereği küresel altyapı ve entegre platformlar nedeniyle zorunlu olabilir. Hizmeti kullanarak bu aktarımları kabul etmiş sayılırsınız (zorunlu yerel izinler saklıdır).

11. Saklama süreleri

Hesap aktifken ve sözleşme ilişkisi sürerken; fatura/vergi için zorunlu süreler boyunca; uyuşmazlık zamanaşımı ve güvenlik/kayıt tutma ihtiyaçları ölçüsünde saklarız.

Amaç sona erince veri silinir, yok edilir, anonimleştirilir veya yasal arşive alınır. Yedeklerdeki silme işlemi teknik döngüye bağlı makul sürede tamamlanır.

Otomatik imha süreleri: iptal edilmiş veya süresi dolmuş oturum kayıtları 30 gün; parola sıfırlama, e-posta doğrulama ve yetkilendirme kayıtları 7 gün; gönderilmiş bildirimler 90 gün (sıfırlama bağlantısı içerenler 7 gün); asistan (MCP) çağrı kayıtları 1 yıl; site iletişim mesajları, asistan sohbetleri ve müşteri gelen kutusu 2 yıl (hesap silindiğinde hemen); bekleme listesi kayıtları 1 yıl saklanır ve süre sonunda kendiliğinden silinir. Denetim kayıtları 2 yıl sonra anonimleştirilir, 5 yıl sonra silinir.

Silme talepleri en geç 30 gün içinde tamamlanır. Faturaları satıcı kaydı (Merchant of Record) Creem düzenler ve kendi yasal yükümlülükleri gereği saklar; Hero Invest Ltd ise faturalama ve muhasebe kayıtlarını Birleşik Krallık şirketler ve vergi mevzuatı gereği (Companies Act 2006 m.386–388 ve HMRC kayıt saklama kuralları) ilgili hesap döneminin sonundan itibaren 6 yıl, yalnız mevzuatın gerektirdiği veriyle sınırlı olarak saklar. Hesap silindiğinde verdiğiniz onayların kayıtları, ispat yükümlülüğü nedeniyle e-posta adresinizin kendisiyle değil, onun geri döndürülemez özetiyle (hash) tutulur.

12. Güvenlik

TLS, erişim kontrolü, yetkilendirme, kayıt tutma, şifreleme (uygun yerlerde), ortam ayrımı ve güvenlik izleme uygulanır. Hiçbir sistem %100 güvenli değildir.

İhlal tespitinde mevzuatın gerektirdiği bildirimler yapılır. Hesap güvenliği (şifre, 2FA, API anahtarı) sizin sorumluluğunuzdadır.

13. Haklarınız (küresel)

Uygulanabilir hukuka göre: erişim, düzeltme, silme (“unutulma”), işlemeyi kısıtlama, itiraz, taşınabilirlik, rızayı geri alma ve şikâyet hakkı (Kişisel Verileri Koruma Kurulu, AEA denetim makamı, ICO vb.).

ABD eyalet yasaları (ör. CCPA/CPRA) kapsamında: bilme, silme, düzeltme, satış/paylaşımdan çıkma ve ayrımcılığa uğramama hakları (kapsama giriyorsanız) geçerlidir. Talepler: info@tecrube.com.

Kimlik doğrulanmadan işlem yapılmaz. Dayanaksız, tekrarlayan veya aşırı talepler reddedilebilir veya ücretlendirilebilir. Yanıt süresi ilgili mevzuata göre (genelde 30 gün / CCPA için yasal süre) işletilir.

Verilerinizin makine tarafından okunabilir bir kopyasını panelde Ayarlar › Güvenlik › “Verilerimi indir” bölümünden ZIP dosyası olarak indirebilirsiniz (24 saatte en çok 3 kez). Pazarlama e-postalarına verdiğiniz onayı Ayarlar › Bildirimler › “Pazarlama e-postaları” anahtarından istediğiniz an geri alabilir ya da yeniden verebilirsiniz; hesap, güvenlik ve fatura e-postaları bu tercihten etkilenmez.

Meta (Facebook, Instagram, WhatsApp) hesaplarınızdan alınan verilerin nasıl silineceği Veri Silme Talimatları sayfasında anlatılır.

14. Çocuklar

Hizmet 18 yaş altına yönelik değildir. Bilerek çocuk verisi toplamayız. Yanlışlıkla toplandığını öğrenirsek sileriz. Veli/vasi iseniz info@tecrube.com ile bildirin.

15. Üçüncü taraf siteler ve Do Not Track

Hizmetteki harici bağlantılar kendi gizlilik uygulamalarına tabidir; Tecrübe sorumlu değildir.

Tarayıcı “Do Not Track” sinyalleri için sektörde birleşik standart olmadığından bunlara tek tip yanıt garanti edilmez; yasal zorunluluk doğarsa uyum sağlanır.

16. Politika değişiklikleri

Bu Politikayı zaman zaman güncelleriz. Güncel sürüm sitede “Son güncelleme” tarihiyle yayımlanır. Önemli değişikliklerde e-posta veya ürün içi bildirim yapılabilir.

Değişiklikten sonra Hizmeti kullanmaya devam etmeniz güncellenmiş Politikayı kabul ettiğiniz anlamına gelir. Kabul etmiyorsanız hesabı kapatıp kullanımı bırakmalısınız.

17. İletişim

Gizlilik ve veri talepleri: info@tecrube.com. Bu adres, yasal bildirimler için de birincil kanaldır.