Gizlilik Politikası

Bu politika, Zehra Eslem Karaca (04.09 Digital) ("Kararis", "biz") tarafından işletilen Kararis platformunu kullandığınızda hangi verileri topladığımızı, neden topladığımızı, kimlerle paylaştığımızı ve bu veriler üzerinde hangi haklara sahip olduğunuzu açıklar.

Kişisel verilerinizin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki işlenme şartları, hukuki sebepleri ve haklarınızın kullanımı ayrı bir belgede toplanmıştır: KVKK Aydınlatma Metni. Saklama süreleri ve silme usulü de ayrıdır: Veri Saklama ve Silme Politikası. Yapay zekâ sağlayıcılarına yapılan aktarımlar için AI Sağlayıcı Beyanı'na bakınız.

1. İki farklı veri, iki farklı konumumuz

Kararis çok kiracılı bir platformdur ve içindeki veri tek cinsten değildir. Bu ayrım politikanın geri kalanını belirlediği için başta duruyor.

Hesap verisi. Sizin kullanıcı hesabınıza ait veriler — adınız, e-posta adresiniz, oturum kaydınız, panelde yaptığınız işlemlerin defteri. Bu veriler bakımından veri sorumlusu biziz: neyi neden işlediğimize biz karar veririz.

Marka verisi. Bir ajansın kendi müşterisi (marka) adına platforma bağladığı reklam, analiz, ticaret ve rezervasyon verisi. Bu veriler bakımından ajans adına veri işleyen sıfatıyla hareket ederiz: hangi hesabın bağlanacağına, verinin ne için kullanılacağına ve ne zaman silineceğine ajans karar verir, biz onun talimatıyla işleriz. Ajansın kendi müşterisine karşı aydınlatma yükümlülüğü kendisine aittir. Bir Shopify mağazasının Kararis uygulamasını kurmasıyla alınan veride ise doğrudan mağazanın veri işleyeni sıfatıyla hareket ederiz (bkz. bölüm 8).

2. Topladığımız veriler

a. Hesap ve kimlik verisi

Adınız, e-posta adresiniz ve şifreniz. Şifreniz hiçbir zaman düz metin olarak saklanmaz; yalnızca geri döndürülemeyen özet (hash) değeri tutulur. Hesabınız yalnızca bir davet bağlantısıyla oluşur; bu bağlantı tek kullanımlıktır ve süre sınırlıdır. Davet kaydı davet edilen e-posta adresini içerir.

Ayrıca hangi organizasyonun üyesi olduğunuz, rolünüz ve hangi markaların verisini görmeye yetkili olduğunuz kayıtlıdır. Erişim sınırınız bu kayıttan okunur.

b. Oturum ve teknik veri

Oturumunuzu ayakta tutan ve formlarınızı sahteciliğe karşı koruyan çerezler (bkz. bölüm 10), oturum süresi ve tarayıcınızın gönderdiği standart istek bilgileri.

c. Ürün kullanım kaydı

Ürünü nasıl kullandığınıza dair olay kaydı — hangi ekranın açıldığı, hangi kararın işaretlendiği gibi. Bu kayıt ürünün kendi veritabanında tutulur; Google Analytics, Hotjar, Mixpanel benzeri hiçbir üçüncü taraf davranış analizi aracı kullanılmaz ve panelde hiçbir üçüncü taraf izleme kodu çalışmaz.

d. Denetim kaydı

Platform bağlantılarının kurulması ve kaldırılması, üyelik yaşam döngüsü ve yetki değişiklikleri değiştirilemez bir denetim defterine yazılır. Bu defter kimin ne zaman ne yaptığını gösterir; API anahtarı, token, şifre, ham istek ve yanıt gövdeleri ile temizlenmemiş hata metinleri bu deftere yazılmaz.

e. Hukuki metin kabul kaydı

Hangi hukuki metni hangi sürümde ve ne zaman kabul ettiğiniz kaydedilir. Bu kayıt sonradan değiştirilemez.

f. Bağlı platformlardan gelen marka verisi

Bir platform hesabı bağladığınızda, o platformdan yalnızca hizmeti sunmak için gereken ölçüm verisini çekeriz:

Kaynak	Alınan veri
Google Ads	Kampanya, reklam grubu ve arama terimi düzeyinde harcama, gösterim, tıklama ve dönüşüm ölçümleri; kampanya hedefi ve bütçe ayarı (bkz. bölüm 7)
Google Analytics 4	Oturum, kaynak/aracı, olay ve ürün (item) düzeyinde günlük toplam ölçümler (bkz. bölüm 7)
Google Search Console	Sorgu ve sayfa düzeyinde gösterim, tıklama ve sıralama ölçümleri (bkz. bölüm 7)
Meta Ads	Kampanya, reklam seti ve reklam düzeyinde performans ölçümleri; kreatif metin ve reklam yapılandırması
Instagram (profesyonel hesap)	Hesap ve içerik düzeyinde organik erişim, etkileşim ve kitle özeti
Facebook Page	Page'de yayımlanmış organik gönderilerin metni, görseli, bağlantısı ve yayım zamanı; Page'e bağlı Instagram profesyonel hesabının kimliği (bkz. bölüm 6)
İkas	Sipariş ve sipariş kalemi düzeyinde tutar, durum, para birimi; ürün ve varyant stok durumu
Shopify	Sipariş ve sipariş kalemi düzeyinde tutar, durum, ödeme durumu, para birimi, satış kanalı; kalemdeki ürün ve varyant kimliği; siparişi veren müşterinin o mağazadaki toplam sipariş sayısı (bkz. bölüm 8)
Wix	Sipariş ve sipariş kalemi düzeyinde tutar, para birimi, sipariş ve ödeme durumu, satış kanalı; kalemdeki ürün kimliği, ürün adı ve adedi; blog yazılarının başlığı, web adresi (URL) ve yayım tarihi ile görüntülenme, beğeni ve yorum sayıları (yazının gövdesi ve yorum metinleri saklanmaz)
HotelRunner	Rezervasyon düzeyinde tarih, gece, oda, kanal ve tutar bilgisi

Bu veriler markanın ticari verisidir. Shopify sipariş kayıtları ad, e-posta, telefon ve adres taşımaz; yine de mağaza sipariş numarasını kendi sisteminde müşterisiyle eşleyebildiği için bu kayıtlar mağazanın müşterilerine ait kişisel veri olarak korunur ve bu kayıtlarda Kararis mağazanın veri işleyenidir (bkz. bölüm 8). Sipariş kayıtlarında son müşteri adı, e-postası, telefonu veya adresi tutulmaz. Wix sipariş yanıtında gelen alıcının e-posta adresi, adı, telefonu ve adresi veritabanına yazılmadan önce ayıklanır ve saklanmaz. Wix sipariş kayıtları da ad, e-posta, telefon ve adres taşımaz; sipariş numarası mağazanın kendi sisteminde alıcıyla eşlenebildiği için bu kayıtlar da kişisel veri olarak korunur. Rezervasyon kayıtlarında misafir kimlik bilgileri, sağlayıcıdan alınan yanıt veritabanına yazılmadan önce ayıklanır ve saklanmaz. Google Analytics tarafından üretilen veri kullanıcı düzeyinde değil, gün ve boyut düzeyinde toplanmış hâlde alınır.

g. Bağlantı kimlik bilgileri

Bağladığınız platformların API anahtarı, gizli anahtarı ve token'ları şifrelenmiş olarak saklanır, panele geri gösterilmez ve denetim kaydına yazılmaz.

h. Hata ve teknik arıza kaydı

Bir hata oluştuğunda teşhis için hata izi ve teknik bağlam kaydedilir; bu kayıt bölüm 5'te belirtilen hata izleme hizmetine de iletilir.

3. Yapmadığımız şeyler

• Kişisel verinizi veya marka verinizi satmayız.
• Verinizi reklam hedeflemesi için kullanmayız, üçüncü taraflarla reklam amacıyla paylaşmayız.
• Ürün içinde pazarlama veya profilleme çerezi çalıştırmayız.
• Verinizi bizim adımıza bir yapay zekâ modelinin eğitilmesi için kullanmayız.
• Bir markanın verisini, açık ve geri alınabilir bir rıza kaydı olmadan herhangi bir kıyaslama havuzuna dâhil etmeyiz (bkz. bölüm 9). Google hesabınızla verdiğiniz yetkiyle alınan Google verisi, rıza kaydı olsa bile hiçbir kıyaslama havuzuna girmez (bkz. bölüm 7.e). Shopify verisi de hiçbir kıyaslama havuzuna girmez (bkz. bölüm 8.e).

4. Verileri hangi amaçlarla kullanıyoruz

• Hizmeti sunmak: veriyi toplamak, birleştirmek, kural motoruyla kararlar üretmek, panelde göstermek ve raporları e-postayla iletmek.
• Hesabınızı oluşturmak, kimliğinizi doğrulamak ve erişim sınırınızı uygulamak.
• Güvenliği sağlamak: yetkisiz erişimi tespit etmek, denetim kaydı tutmak.
• Arızayı teşhis etmek ve gidermek.
• Ürünün kendi kalitesini ölçmek ve geliştirmek.
• Yasal yükümlülüklerimizi yerine getirmek ve hukuki taleplere karşı savunma yapmak.

5. Kimlerle paylaşıyoruz

Verinizi yalnızca hizmeti sunabilmek için gereken hizmet sağlayıcılarla ve sizin isteğinizle, kendi bağladığınız yapay zekâ asistanıyla paylaşırız. Bugün kullandığımız sağlayıcı türleri şunlardır:

Sağlayıcı türü	Amaç	Aktarılan veri
Barındırma ve veritabanı	Platformun çalışması	Platformdaki tüm veri
Hata izleme	Arıza teşhisi	Hata izi ve teknik bağlam
E-posta gönderimi	Rapor ve sistem e-postaları	Alıcı adresi ve e-posta içeriği
Yapay zekâ sağlayıcıları	İsteğe bağlı metin üretimi	AI Sağlayıcı Beyanı'nda ayrıntılı olarak sayılmıştır; Google API'lerinden alınan veri için bölüm 7.d'deki, Shopify verisi için bölüm 8.d'deki sınır geçerlidir
Sizin bağladığınız yapay zekâ asistanı	Sizin isteğinizle, asistanınız üzerinden okuma	Yetkili olduğunuz marka kapsamındaki karar, ölçüm ve kanıt (bkz. bölüm 6.c, 7.d ve 8.d)

Bunların dışında verinizi yalnızca (i) yasal bir yükümlülük veya yetkili kamu kurumunun usulüne uygun talebi hâlinde, (ii) hukuki bir talebin kurulması ya da savunulması için gerektiğinde ve (iii) bir birleşme veya devir hâlinde — bu durumda önceden bilgilendirilirsiniz — paylaşırız. Google API'lerinden alınan veri için bölüm 7.d'deki, Shopify verisi için bölüm 8.d'deki daha dar kural geçerlidir.

6. Meta verisi

Bu bölüm Meta platformlarından (Facebook, Instagram ve Meta reklam hesapları) gelen veriyi tek yerde toplar. Meta'dan gelen veri bu politikanın diğer bölümlerine de tabidir. Meta verisi yalnız ilgili markanın kendi performans kararı ve raporu için işlenir; satılmaz, lisanslanmaz, reklam hedeflemesi, uygunluk kararı, gözetim ya da kişi profili çıkarmak için kullanılmaz.

a. Facebook Page organik gönderileri

Bir markanın Facebook Page'i Kararis'te markaya eşlendiğinde, o Page'de yayımlanmış organik (reklam olmayan) gönderiler Meta Graph API üzerinden okunur. Page'e bağlı bir Instagram profesyonel hesabı varsa bu hesap aynı yoldan bulunur ve bölüm 2.f'deki Instagram verisi o hesaptan okunur. Kullanılan Meta izinleri ve amaçları şunlardır:

Meta izni	Okunan veri	Amaç
pages_show_list	Yönetilen Page'lerin listesi ve Page'i okumak için gereken Page erişim anahtarı	Page'i markaya eşlemek ve gönderilerini okumak
pages_read_engagement	Page gönderilerinin metni, görseli, bağlantısı ve yayım zamanı; Page'e bağlı Instagram profesyonel hesabının kimliği	Markanın organik sosyal içeriğini panelde ve raporda göstermek
instagram_basic, instagram_manage_insights	Instagram profesyonel hesabının gönderi ve story'leri, bunların ve hesabın erişim ve etkileşim sayıları	Markanın sosyal performans özetini üretmek
ads_read	Reklam hesabının kampanya, reklam seti ve reklam düzeyinde performansı ve yapılandırması	Markanın reklam kararlarını ve raporunu üretmek

Page erişim anahtarı saklanmaz; her okumada Meta'dan yeniden alınır.

b. Meta girişi (Facebook Login for Business)

Bu yol etkinleştirildiğinde ajans uzmanı Meta bağlantısını kendi Meta hesabıyla, Facebook Login for Business üzerinden kurabilecektir. Bağlantı bu yolla kurulduğunda şu veriler alınır ve saklanır:

• Meta kullanıcı kimliğiniz (Meta'nın bu uygulama için verdiği sayısal kimlik),
• Meta'nın verdiği erişim token'ı,
• bu token'ın erişebildiği reklam hesabı, Facebook Page ve Instagram profesyonel hesabı listesi alınır (hesapları markalara eşleyebilmeniz için); yalnız markalara eşlediğiniz hesapların kimliği saklanır.

Erişim token'ı veritabanında şifreli saklanır; panele, kayıtlara ve e-postaya yazılmaz (bkz. bölüm 2.g ve 12). Token'ın ömrü yaklaşık 60 gündür ve Kararis tarafından uzatılamaz; yenilemek için Meta ile yeniden giriş yaparsınız. Süresi dolan ya da iptal edilen bir bağlantıdan veri okunmaz. Meta işletme hesabı yönetim izni (business_management) istenmez.

Kararis Meta'ya veri yazmaz. Bağlantı salt-okurdur: reklam, kampanya, bütçe, gönderi ya da Page ayarı oluşturmaz, değiştirmez veya silmez; Meta'ya ölçüm ya da müşteri verisi göndermez.

Meta verisi, ajansın Meta işletme ortaklığıyla verilmiş iş erişimi üzerinden de okunabilir; o yolda kişisel Meta girişiniz kullanılmaz ve bu alt bölümdeki giriş verisi alınmaz.

c. Asistan bağlantısı (MCP) üzerinden paylaşım

Kararis'e kendi seçtiğiniz bir yapay zekâ asistanını — örneğin Claude (Anthropic) veya ChatGPT (OpenAI) — bağladıysanız (AI Sağlayıcı Beyanı bölüm 9), Meta verisinden üretilmiş karar, ölçüm ve kanıt bu asistana da aktarılabilir. Bu aktarım sizin isteğinizle yapılan paylaşımdır:

• bağlantıyı siz kurarsınız; bağlantı yoksa hiçbir Meta verisi hiçbir asistana gitmez,
• veri, asistanınız sizin adınıza Kararis'e bir soru yönelttiğinde gider,
• yalnız yetkili olduğunuz organizasyon ve marka kapsamındaki veri okunur; yetkisiz bir hedef reddedilir,
• okuma salt-okurdur ve her çağrı deftere yazılır,
• veri sizin seçtiğiniz asistan sağlayıcısına gider ve o sağlayıcı veriyi kendi şartlarıyla işler (AI Sağlayıcı Beyanı bölüm 9.b).

Bu paylaşım, Kararis'in kendi seçtiği yapay zekâ sağlayıcılarına metin üretimi için yaptığı aktarımdan ayrıdır; o aktarım da AI Sağlayıcı Beyanı'nda sayılmıştır.

d. Meta verisinin silinmesi

Meta girişi etkinleştirildiğinde, bölüm 6.b'deki girişle kurulmuş bir bağlantı için:

• Uygulamayı Meta'dan kaldırmak. Kararis'in erişimini Facebook hesap ayarlarınızdan kaldırdığınızda, bu girişle kurulmuş bütün bağlantılarınızın erişim token'ı ve Meta kullanıcı kimliğiniz silinir ve bağlantılar iptal edilir.
• Meta üzerinden veri silme isteği. Meta'nın veri silme isteği yolunu kullandığınızda aynı silme yapılır; isteğinizin durumunu izleyebileceğiniz bir onay kodu verilir.
• Kararis içinden kaldırmak. Bağlantıyı Kararis'ten kaldırdığınızda token ve Meta kullanıcı kimliği aynı şekilde silinir ve bağlantı iptal edilir. Kararis Meta'ya yazmadığı için bu işlem Meta tarafındaki izninizi geri almaz; izni Meta ayarlarınızdan kaldırabilirsiniz.
• E-postayla talep. kvkk@kararis.com adresine yazarak da silme talep edebilirsiniz; başvuru usulü KVKK Aydınlatma Metni'ndedir.

Bu yollar markanın reklam ve sosyal performans verisini silmez: o veri markanın iş verisidir ve Veri Saklama ve Silme Politikası'ndaki süre ve usule tabidir.

7. Google verisi

Bu bölüm, Google API'lerinden alınan veriyi tek yerde toplar: Google Ads, Google Analytics 4 ve Google Search Console. Bu veri iki yoldan gelebilir: Google hesabınızla Kararis'e verdiğiniz yetki (Google girişi, bölüm 7.c) ya da Kararis'in kendi Google API erişimi. Bu bölümün kuralları iki yoldan gelen veriye birlikte uygulanır; yalnız bölüm 7.c ve 7.f Google girişi yoluna özgüdür. Google'dan gelen veri bu politikanın diğer bölümlerine de tabidir; bu bölüm onlardan daha dar bir kural koyduğunda bu bölüm uygulanır. Kurallar Google'dan alınan ham veriye ve ondan toplulaştırılarak, anonimleştirilerek ya da türetilerek elde edilen veriye (karar, rapor, özet) birlikte uygulanır.

a. Kapsam ve amaç

Google verisi yalnız ilgili markanın panelde ve raporda gördüğünüz performans kararlarını, ölçümlerini ve raporlarını sunmak ve iyileştirmek için işlenir.

• Google verisi satılmaz; reklam platformlarına, veri simsarlarına ya da bilgi satıcılarına aktarılmaz.
• Reklam sunmak, yeniden hedefleme, kişiselleştirilmiş ya da ilgi alanına dayalı reklam için kullanılmaz.
• Kredi değerliliğini belirlemek ya da borç verme amacıyla kullanılmaz.
• Gözetim yapan bir üçüncü tarafa gösterilmez, verilmez; kişi profili çıkarmak için kullanılmaz.

Panelde veriyi sizin ve yetkili ekip arkadaşlarınızın görmesi hizmetin kendisidir. Kararis personeli ve hizmet sağlayıcıları ise Google verisini yalnız şu hâllerde okur:

• belirli bir veriyi görmemiz için önceden ve açıkça onay verdiğinizde (örneğin bir destek talebinde),
• güvenlik için gerekli olduğunda (örneğin bir hatayı ya da kötüye kullanımı incelemek),
• yürürlükteki hukuka uymak için gerekli olduğunda,
• veri (türevleri dâhil) toplulaştırılmış hâlde ve yürürlükteki gizlilik mevzuatına uygun olarak iç operasyonlar için kullanıldığında.

Çalışanlarımızın, yüklenicilerimizin, temsilcilerimizin ve haleflerimizin de bu kurallara uymasını sağlarız.

b. Erişilen veri ve Google izinleri

Google izni	Okunan veri	Amaç
adwords (Google Ads)	Erişilebilir reklam hesaplarının listesi; kampanya, reklam grubu, anahtar kelime, arama terimi, açılış sayfası ve ürün düzeyinde performans; bütçe ve teklif hedefi ayarı; Google Shopping ürün onay ve uygunluk durumu	Markanın reklam kararlarını ve raporunu üretmek
analytics.readonly (Google Analytics 4)	Erişilebilir property listesi ve property ayarları; oturum, kaynak/aracı, dönüşüm, gelir ve ürün metrikleri — kullanıcı düzeyinde değil, gün ve boyut düzeyinde toplu	Markanın trafik, talep ve gelir ölçümlerini göstermek
webmasters.readonly (Google Search Console)	Erişilebilir mülk listesi; arama sorgusu ve sayfa düzeyinde tıklama, gösterim ve sıralama	Markanın organik arama performansını göstermek
openid, email	Bağlantıyı kuran Google hesabının Google tarafından verilen kimliği ve e-posta adresi	Bağlantıyı hangi Google hesabının kurduğunu göstermek

Search Console sorgu metni, internet kullanıcılarının Google'da aradığı ifadeyi içerebilir; Kararis bu metni aramayı yapan kişiyle ilişkilendirmez ve böyle bir bilgi almaz.

adwords izni Google Ads API'nin tek iznidir ve okuma ile yazmayı birlikte kapsar; Kararis bu izni yalnız okumak için kullanır.

c. Google girişi

Bu yol etkinleştirildiğinde ajans uzmanı Google bağlantısını kendi Google hesabıyla kurabilecektir. Bağlantı bu yolla kurulduğunda şu veriler alınır ve saklanır:

• Google hesap kimliğiniz (Google'ın bu uygulama için verdiği kimlik) ve Google hesabınızın e-posta adresi,
• Google'ın verdiği yenileme token'ı (refresh token) ve verdiğiniz izinlerin listesi,
• reklam hesaplarına bir yönetici hesabı üzerinden erişiyorsanız o yönetici hesabının kimliği,
• bu yetkinin erişebildiği reklam hesabı, Analytics property'si ve Search Console mülkü listesi alınır (bunları markalara eşleyebilmeniz için); yalnız markalara eşlediğiniz hesapların kimliği saklanır.

Yenileme token'ı ve Google hesap bilgileri veritabanında şifreli saklanır; panele, kayıtlara ve e-postaya yazılmaz (bkz. bölüm 2.g ve 12). Yenileme token'ından üretilen kısa ömürlü erişim token'ı saklanmaz; yalnız okuma sırasında bellekte tutulur. Aynı Google hesabını birden çok organizasyonda bağlarsanız her organizasyon kendi bağlantısını ayrı taşır.

Kararis Google'a veri yazmaz. Bağlantı salt-okurdur: kampanya, bütçe, teklif, reklam, Analytics ya da Search Console ayarı oluşturmaz, değiştirmez veya silmez; Google'a ölçüm ya da müşteri verisi göndermez.

Google verisi, Kararis'in kendi Google API erişimiyle de okunabilir; o yolda kişisel Google girişiniz kullanılmaz ve bu alt bölümdeki giriş verisi alınmaz. Bu bölümün 7.c ve 7.f dışındaki kuralları o yoldan alınan veriye de aynen uygulanır.

d. Google verisinin paylaşılması

Google API'lerinden alınan veri, hangi yoldan alınmış olursa olsun, yalnız aşağıdaki hâllerde başka bir tarafa aktarılır:

• Hizmet sağlayıcılar. Bölüm 5'teki barındırma, hata izleme ve e-posta sağlayıcıları, yalnız hizmeti sunmak için gereken ölçüde.
• Yapay zekâ sağlayıcıları. Yapay zekâ özelliği açıksa (AI Sağlayıcı Beyanı bölüm 2), Google verisinden üretilen içerik yalnız, API üzerinden gönderilen veriyi model eğitimi için kullanmama taahhüdü veren bir yapay zekâ sağlayıcısına gönderilir. İsteği o anki duruma göre farklı alt sağlayıcılara devreden yönlendirici sağlayıcılara (AI Sağlayıcı Beyanı bölüm 5) Google verisi gönderilmez. Böyle bir sağlayıcı kullanılamıyorsa özellik o içerik için yapay zekâ metni olmadan çalışır. Kararis Google verisini kendi adına model eğitimi için kullanmaz.
• Sizin bağladığınız yapay zekâ asistanı (MCP). Bölüm 6.c'deki koşullar Google verisi için de aynen geçerlidir: bağlantıyı siz kurarsınız, veri asistanınız sizin adınıza soru yönelttiğinde gider, yalnız yetkili olduğunuz organizasyon ve marka kapsamındaki veri salt-okur olarak okunur, her çağrı deftere yazılır ve veri sizin seçtiğiniz asistan sağlayıcısının şartlarıyla işlenir.
• Güvenlik ve hukuk. Güvenlik için (örneğin kötüye kullanımı incelemek) ya da yürürlükteki hukuka uymak için gerektiğinde.
• Birleşme veya devir. Bir birleşme, devralma ya da varlık satışı hâlinde Google verisi yalnız önceden açık onayınız alınarak aktarılır.

Bunların dışında Google verisi aktarılmaz, satılmaz ve başka bir amaçla kullanılmaz.

e. Anonim kıyaslama havuzu

Google API'lerinden hangi yoldan alınmış olursa olsun Google Ads, Google Analytics 4 ve Google Search Console verisi — ham, toplulaştırılmış, anonimleştirilmiş ya da türetilmiş hâliyle — bölüm 9'daki anonim kıyaslama katkısına dâhil edilmez; organizasyonunuz bu katkıyı açmış olsa bile.

f. Google verisinin silinmesi

Google girişi etkinleştirildiğinde, bölüm 7.c'deki girişle kurulmuş bir bağlantı için:

• Kararis içinden kaldırmak. Bağlantıyı Kararis'ten kaldırdığınızda yenileme token'ı, Google hesap kimliği ve e-posta adresi derhal silinir ve bağlantı iptal edilir. Bu işlem yalnız o organizasyondaki bağlantıyı kapatır. Kararis Google'a yazmadığı için bu işlem Google tarafındaki izninizi geri almaz; izni Google hesabınızın üçüncü taraf erişimleri sayfasından kaldırabilirsiniz.
• Erişimi Google hesabınızdan kaldırmak. Google bu kaldırmayı Kararis'e ayrıca bildirmez; Kararis bunu bir sonraki token yenileme denemesinde görür. O anda o Google hesabıyla kurulmuş bağlantıların yenileme token'ı, Google hesap kimliği ve e-posta adresi derhal silinir ve bağlantı iptal edilmiş olarak işaretlenir; o bağlantıdan artık veri okunmaz.
• E-postayla talep. kvkk@kararis.com adresine yazarak da silme talep edebilirsiniz; başvuru usulü KVKK Aydınlatma Metni'ndedir.

Bu yollar markanın Google'dan daha önce alınmış ölçüm verisini silmez: o veri markanın iş verisidir ve Veri Saklama ve Silme Politikası'ndaki süre ve usule tabidir. Bir bağlantının kopması tek başına silme tetiklemez; marka ya da ajansın kurum olarak erişimi geri çekmesi, bir silme talebi ya da ilişkinin sona ermesi tetikler.

g. Google API Services User Data Policy beyanı

Kararis'in Google API'lerinden — Google girişiyle ya da kendi Google API erişimiyle — aldığı bilgiyi kullanması ve başka bir uygulamaya aktarması, Limited Use (Sınırlı Kullanım) gereklilikleri dâhil, Google API Services User Data Policy'ye uygun olur.

8. Shopify verisi

Bu bölüm, bir Shopify mağazasının Kararis Shopify uygulamasını kurmasıyla alınan veriyi tek yerde toplar. Shopify'dan gelen veri bu politikanın diğer bölümlerine de tabidir; bu bölüm onlardan daha dar bir kural koyduğunda bu bölüm uygulanır.

a. Shopify verisinin kapsamı ve amacı

Shopify verisi yalnız ilgili markanın panelde ve raporda gördüğünüz satış, ciro ve yeni müşteri ölçümlerini ve bunlara dayanan performans kararlarını sunmak için işlenir. Shopify verisi satılmaz, reklam hedeflemesi ya da kişi profili çıkarmak için kullanılmaz ve bu amaç dışında işlenmez.

Kararis Shopify'a veri yazmaz. Uygulama yalnız okuma izni ister ve Shopify'da sipariş, ürün, müşteri ya da mağaza ayarı oluşturmaz, değiştirmez veya silmez.

Bu veri bakımından Kararis, mağazanın talimatıyla hareket eden veri işleyendir. Kararis ile mağaza arasındaki ilişki, mağazayla ayrıca imzalanan bir veri işleme ekiyle düzenlenir. Mağazanın kendi müşterilerine karşı aydınlatma yükümlülüğü mağazaya aittir.

b. Erişilen veri ve Shopify izinleri

Shopify izni	Okunan veri	Amaç
read_orders	Sipariş kimliği ve numarası, oluşturulma zamanı, durum, ödeme durumu, ödeme yöntemi adı, paket (teslimat) durumu, satış kanalı, para birimi, tutarlar, vergi ve vergi oranı, kargo ücreti, indirim kullanımı (kupon kodu okunur ama saklanmaz; yalnız kupon kullanılıp kullanılmadığı tutulur), iadeler, test siparişi işareti; sipariş kalemlerinde ürün adı, ürün kodu (SKU), adet, liste ve indirimli fiyatlar	Markanın satış ve ciro ölçümlerini üretmek
read_all_orders	Aynı sipariş verisi, 60 günden eski siparişler için	Geçmiş dönem kıyası
read_customers	Yalnız siparişi veren müşterinin o mağazadaki toplam sipariş sayısı ve siparişin misafir olarak verilip verilmediği	Yeni ve tekrar eden müşteri ayrımı
read_products	Yalnız sipariş kalemindeki ürün ve varyant kimliği (ürün adı kalemin kendisinden gelir)	Satışın ürüne göre kırılımı

Müşterinin adı, e-posta adresi, telefonu ve adresi istenmez, okunmaz ve saklanmaz. Shopify müşteri kimliği de saklanmaz. Sipariş kaydı tek başına bir kişiyi tanımlamaz; ancak mağaza kendi sisteminde sipariş numarasını müşterisiyle eşleyebildiği için Kararis bu kayıtları mağazanın müşterilerine ait kişisel veri olarak korur.

Mağazaya bağlanmak için gereken uygulama anahtarı ve Shopify'ın verdiği erişim token'ları veritabanında şifreli saklanır; panele, kayıtlara ve e-postaya yazılmaz (bkz. bölüm 2.g ve 12).

c. Shopify verisinin saklanması

Shopify verisi, mağazayla hizmet ilişkisi sürdüğü müddetçe saklanır (Veri Saklama ve Silme Politikası bölüm 3). İlişki sona erdiğinde diğer marka verisine uygulanan 24 aylık dondurma Shopify verisine uygulanmaz: mağaza isterse Shopify verisi CSV dosyası olarak mağazaya verilir ve veri ilişkinin sona erdiği tarihten itibaren en geç 30 gün içinde silinir. Bölüm 8.f'deki silme yolları ilişkinin sona ermesini beklemez.

d. Shopify verisinin paylaşılması

Shopify verisi yalnız aşağıdaki hâllerde başka bir tarafa aktarılır:

• Hizmet sağlayıcılar. Bölüm 5'teki barındırma, hata izleme ve e-posta sağlayıcıları, yalnız hizmeti sunmak için gereken ölçüde (bkz. bölüm 8.g).
• Yapay zekâ sağlayıcıları. Yapay zekâ özelliği açıksa (AI Sağlayıcı Beyanı bölüm 2), Shopify verisinden yapay zekâ sağlayıcısına yalnız toplu ölçümler gider (ör. bir dönemin sipariş adedi ve cirosu); tek tek sipariş, sipariş numarası ya da sipariş kimliği gönderilmez. Bu içerik bölüm 7.d'deki sınırla gönderilir: yalnız, API üzerinden gönderilen veriyi model eğitimi için kullanmama taahhüdü veren bir yapay zekâ sağlayıcısına gider; yönlendirici sağlayıcılara (AI Sağlayıcı Beyanı bölüm 5) gitmez. Böyle bir sağlayıcı kullanılamıyorsa özellik o içerik için yapay zekâ metni olmadan çalışır.
• Sizin bağladığınız yapay zekâ asistanı (MCP). Bölüm 6.c'deki koşullar Shopify verisi için de aynen geçerlidir: bağlantıyı siz kurarsınız, veri asistanınız sizin adınıza soru yönelttiğinde gider, yalnız yetkili olduğunuz organizasyon ve marka kapsamındaki veri salt-okur olarak okunur, her çağrı deftere yazılır ve veri sizin seçtiğiniz asistan sağlayıcısının şartlarıyla işlenir. Asistan yalnız AI Sağlayıcı Beyanı bölüm 9.f'de sayılan toplu ölçümleri okur; tek tek sipariş ve müşteri ayrıntısı bu bağlantıya açılmaz.
• Güvenlik ve hukuk. Güvenlik için (örneğin kötüye kullanımı incelemek) ya da yürürlükteki hukuka uymak için gerektiğinde.

Bunların dışında Shopify verisi aktarılmaz, satılmaz ve başka bir amaçla kullanılmaz.

e. Shopify verisi ve anonim kıyaslama havuzu

Shopify verisi — ham, toplulaştırılmış, anonimleştirilmiş ya da türetilmiş hâliyle — bölüm 9'daki anonim kıyaslama katkısına dâhil edilmez; organizasyonunuz bu katkıyı açmış olsa bile.

f. Shopify verisinin silinmesi

• Uygulamayı mağazadan kaldırmak. Mağaza Kararis uygulamasını kaldırdığında Shopify'ın verdiği erişim token'ı silinir, bağlantı iptal edilir ve o mağazadan artık veri okunmaz. Shopify, kaldırmadan 48 saat sonra Kararis'e mağaza verisinin silinmesi isteğini (shop/redact) gönderir; Kararis o mağazadan alınmış sipariş verisini bu istekten sonra en geç 30 gün içinde siler.
• Bağlantıyı Kararis'ten silmek. Shopify bağlantısı Kararis'ten silindiğinde o mağazadan alınmış sipariş verisi, mağazaya bağlanma bilgisi ve erişim token'ları aynı işlemde silinir.
• Mağaza müşterisinin silme talebi. Bir müşteri mağazadan verisinin silinmesini istediğinde Shopify Kararis'e ilgili siparişlerin kimliklerini (customers/redact) gönderir; Kararis bu siparişlerin kayıtlarını kalemleriyle birlikte en geç 30 gün içinde siler. Silinen siparişin Shopify'daki sayısal kimliği, mağaza alan adıyla birlikte ayrıca saklanır; bu kayıt sipariş içeriği taşımaz ve yalnız o siparişin sonraki okumalarda yeniden yazılmasını önler.
• Mağaza müşterisinin veri talebi. Shopify bir müşterinin veri talebini (customers/data_request) iletirse Kararis o müşterinin siparişlerine ait sakladığı kayıtları mağazaya bildirir.
• E-postayla talep. kvkk@kararis.com adresine yazılarak da silme talep edilebilir; usul KVKK Aydınlatma Metni'ndedir. Bir mağaza müşterisinden doğrudan gelen talep, veri sorumlusu olarak mağazaya gecikmeksizin iletilir ve Kararis mağazanın talebi karşılamasına yardım eder.

Bu isteklerde gelen müşteri adı, e-posta adresi ve telefonu saklanmaz ve kayıtlara yazılmaz; yalnız siparişin Shopify'daki sayısal kimliği işlenir. Yalnız toplu sayı taşıyan, daha önce üretilmiş rapor görüntüleri bu silmeden etkilenmez; bu görüntüler sipariş ya da müşteri düzeyinde veri içermez.

g. Shopify verisinin alt işleyenleri

Shopify verisi yalnız bölüm 5'te sayılan hizmet sağlayıcı türleriyle işlenir. Bugün kullandığımız alt işleyenler şunlardır:

• Hostinger International Ltd. — barındırma ve veritabanı; sunucu Frankfurt, Almanya.
• Sentry — hata izleme; AB veri bölgesi, Almanya.
• Google Workspace — e-posta gönderimi.
• Yapay zekâ sağlayıcıları — isteğe bağlı metin üretimi, yalnız bölüm 8.d'deki sınırla; sağlayıcılar ve konumları AI Sağlayıcı Beyanı bölüm 4'tedir.

9. Anonim kıyaslama katkısı

Kararis, markaların anonimleştirilmiş verisinden sektör kıyaslamaları üretebilecek bir yetenek için hazırlık yapmaktadır. Bu katkı:

• organizasyon seviyesinde verilir,
• varsayılan olarak kapalıdır,
• her zaman geri alınabilir,
• ajansın bu hakkı kendi müşterisinden aldığına dair açık bir beyanla birlikte kaydedilir,
• açma ve geri alma ayrı ayrı, değiştirilemez biçimde deftere yazılır.

Rıza kaydı yoksa markanın verisi hiçbir kıyaslama havuzuna girmez. Bu varsayılan bir ayar değil, yazılımın kendisinde sabittir ve bir yapılandırma değişikliğiyle açılamaz.

10. Çerezler

Kararis yalnızca hizmetin çalışması için zorunlu olan çerezleri kullanır. Reklam, profilleme veya üçüncü taraf analiz çerezi kullanmaz.

Çerez	Amaç	Süre
Oturum çerezi	Giriş yapmış olmanızı sürdürür	Oturum boyunca; hareketsizlikte sona erer
XSRF-TOKEN	Formları siteler arası istek sahteciliğine karşı korur	Oturum boyunca

Her iki çerez de birinci taraftır ve HttpOnly / SameSite korumalarıyla gönderilir. Zorunlu çerezler için ayrıca rıza alınması gerekmez; bu çerezleri engellerseniz platforma giriş yapamazsınız.

Tanıtım sayfamız görsel stil dosyasını bir içerik dağıtım ağı üzerinden yükler; bu istek sırasında tarayıcınızın IP adresi ilgili ağ sağlayıcısına görünür. Bu istek çerez yerleştirmez ve giriş yaptıktan sonraki hiçbir sayfada tekrarlanmaz.

11. Yurt dışına aktarım

Kullandığımız hizmet sağlayıcıların bir kısmı Türkiye dışında bulunur. Bu sağlayıcılara yapılan aktarımlar KVKK'nın 9. maddesine uygun olarak, Kurul tarafından ilan edilen standart sözleşme ya da uygun diğer güvence mekanizmaları üzerinden yapılır. Yapay zekâ sağlayıcılarına yapılan aktarımların ayrıntısı AI Sağlayıcı Beyanı'ndadır.

12. Güvenlik

• Tüm trafik TLS ile şifrelenir.
• Şifreler geri döndürülemez özet olarak saklanır; en az 12 karakter zorunludur.
• Platform bağlantılarının gizli anahtar ve token'ları veritabanında şifreli tutulur ve arayüze geri yazılmaz.
• Bir organizasyonun verisine yalnızca o organizasyondaki aktif üyeler, yalnızca yetkili oldukları markalar kapsamında erişebilir. Bu sınır arayüzde değil, uygulamanın çekirdeğinde uygulanır ve otomatik testlerle sürekli doğrulanır.
• Yetki veya kapsam uyuşmazlığında sistem erişimi açmaz, kapatır.

Hiçbir sistem mutlak güvenlik sunmaz. Kişisel verilerinizi etkileyen bir ihlal tespit edersek, sizi ve Kişisel Verileri Koruma Kurulu'nu mevzuatın öngördüğü süre içinde bilgilendiririz.

13. Haklarınız

KVKK'nın 11. maddesi kapsamındaki haklarınız, bu hakların kapsamı ve başvuru usulü KVKK Aydınlatma Metni'nde ayrıntılı olarak açıklanmıştır.

14. Çocukların verisi

Kararis bir işletme aracıdır ve 18 yaşından küçüklerin kullanımına yönelik değildir. Bilmeden bir çocuğun kişisel verisini topladığımızı öğrenirsek gecikmeksizin sileriz.

15. Bu politikadaki değişiklikler

Bu politikanın her sürümü bir sürüm numarası ve yürürlük tarihi taşır. Eski sürümler, kabul kaydınızın işaret ettiği hâlde erişilebilir kalır. Esaslı bir değişiklik yaptığımızda sizi bilgilendiririz; yeni bir sürümün yayımlanması önceki sürüme verdiğiniz onayı geriye dönük olarak değiştirmez.

Sürüm notu (1.1). Platformun işleticisi ve veri sorumlusu Zehra Eslem Karaca (04.09 Digital) olarak güncellenmiş ve iletişim adresi vergi kaydındaki iş yeri adresiyle tam olarak yazılmıştır. Bölüm 6 (Meta verisi) bu sürümle eklenmiştir: Facebook Page organik gönderileri, Meta girişi (Facebook Login for Business) verisi, asistan bağlantısı üzerinden paylaşım ve Meta verisinin silinme yolları. Bölüm 2.f'ye Facebook Page satırı, bölüm 5'e asistan paylaşımı satırı eklenmiş; sonraki bölümlerin numarası birer kaymıştır. Diğer hükümler değişmedi.

Sürüm notu (1.2). Bölüm 7 (Google verisi) bu sürümle eklenmiştir: Google hesabıyla verilen yetki (Google girişi) ya da Kararis'in kendi Google API erişimi üzerinden alınan Google Ads, Google Analytics 4 ve Google Search Console verisinin kapsamı ve amacı, istenen Google izinleri, Google girişi verisi, paylaşım ve yapay zekâ sağlayıcısı sınırı, anonim kıyaslama havuzundan dışlanma, silinme yolları ve Google API Services User Data Policy (Limited Use) beyanı. Bölüm 2.f'nin Google satırlarına, bölüm 3'e ve bölüm 5'e bölüm 7'ye atıf eklenmiş; eski bölüm 7 ve sonrasının numarası birer kaymıştır. Diğer hükümler değişmedi.

Sürüm notu (1.3). Bölüm 8 (Shopify verisi) bu sürümle eklenmiştir: Kararis Shopify uygulamasıyla alınan verinin kapsamı ve amacı, istenen Shopify izinleri ve her izinle okunan veri, Kararis'in bu veride mağazanın veri işleyeni olması, saklama, paylaşım ve yapay zekâ sağlayıcısı sınırı, anonim kıyaslama havuzundan dışlanma, silme yolları ve alt işleyenler. Bölüm 1'e Kararis'in Shopify verisindeki konumu, bölüm 2.f'ye Shopify satırı ve Shopify sipariş kayıtlarının mağaza müşterilerine ait kişisel veri olarak korunduğu cümlesi, bölüm 3'e ve bölüm 5'e bölüm 8'e atıf eklenmiş; eski bölüm 8 ve sonrasının numarası birer kaymıştır. Bölüm 2.f'deki "markanın son müşterilerinin kişisel verisi değildir" ibaresi bu sürümle kaldırılmıştır. Diğer hükümler değişmedi.

Sürüm notu (1.4). Bölüm 2.f'ye Wix satırı eklenmiştir: Wix siparişlerinden tutar, para birimi, durum, satış kanalı ve ürün; Wix blog yazılarından başlık, web adresi (URL), yayım tarihi ve görüntülenme, beğeni ve yorum sayıları. Wix sipariş yanıtındaki alıcı e-posta adresi, adı, telefonu ve adresinin saklanmadığı ve Wix sipariş kayıtlarının kişisel veri olarak korunduğu cümleleri aynı bölüme eklenmiştir. Diğer hükümler değişmedi.

16. İletişim

Sorularınız ve talepleriniz için: kvkk@kararis.com

Zehra Eslem Karaca (04.09 Digital) Kayabaşı Mah. 75. Yıl Cad. 1. Bölge -Akik- C8 Blok No: 4 B İç Kapı No: 25, Başakşehir/İstanbul