Gizlilik Politikası

1. Topladığımız Veriler

Platform'u kullanırken aşağıdaki veri kategorilerini toplarız:

• Hesap verileri: ad-soyad, e-posta, telefon, rol (tenant admin, agency, vb.).
• Müşteri verileri (tenant'ınızın iç verisi): e-ticaret platformunuzdan (Tsoft, Ticimax, Shopify, İkas, Ideasoft) çekilen sipariş, müşteri, sepet ve ürün kayıtları. Kişisel tanımlayıcı veriler (e-posta, telefon) Platform içinde maskelenir; yalnızca tenant'ın kendi admin/manager rolündeki kullanıcılarına ham olarak gösterilir.
• Reklam platformu verileri: Meta, Google Ads, GA4 bağlantılarınızdan (OAuth ile) çekilen kampanya, adset, ad ve performans metriği verileri (harcama, gösterim, tıklama, dönüşüm). Bu veriler reklam hesabınızın kendisinde mevcut olan verilerdir; Platform yalnızca okur ve aggregate eder.
• Teknik veriler: IP adresi, tarayıcı bilgisi, oturum tokenı, audit log (kim ne zaman ne yaptı). Yalnızca güvenlik ve hizmet doğruluğu için.

2. Verileri Nasıl Kullanırız

• Hizmeti sağlamak (sipariş analizi, RFM segmentasyonu, ROAS hesaplama).
• AI destekli içgörü ve aksiyon önerileri üretmek (Anthropic Claude ile, anonim).
• Tenant'ın talebiyle Meta Custom Audience push yapmak (aşağıda detay).
• Hesap güvenliğini sağlamak (2FA, OTP, audit log).
• Hizmeti iyileştirmek (toplam, anonim kullanım metrikleri).

3. Meta Platforms ile Paylaşım

Platform'u kullanan tenant'ın admin'i, kendi müşteri segmentlerinden bir Meta Custom Audience push'u onayladığında aşağıdaki bilgileri Meta'ya gönderiyoruz:

• Müşteri e-posta adresi (yalnızca SHA-256 ile hashlenmiş formda; düz e-posta hiçbir zaman transfer edilmez).
• Müşteri telefon numarası (yalnızca SHA-256 ile hashlenmiş formda, E.164 normalize edildikten sonra).
• Audience etiket adı (örn. "Şampiyonlar").

Bu paylaşım yalnızca tenant'ın açık onayı ile gerçekleşir. Meta tarafında oluşturulan Audience, tenant'ın kendi Meta Business Manager hesabına yazılır; BoostRoas Audience'a sahip değildir.

4. Üçüncü Kişilerle Paylaşım

We do not sell your data to third parties. BoostRoas, topladığı verileri hiçbir koşulda üçüncü taraf reklamcılara, veri brokerlarına veya pazarlama aracılarına satmaz. Verileriniz yalnızca aşağıdaki amaçlarla, yalnızca gerekli kapsamda paylaşılabilir:

• Yasal yükümlülük gereği yetkili kurumlarla (mahkeme kararı vb.).
• Hizmet sağlayıcılarımızla (Supabase/PostgreSQL veri tabanı, Upstash Redis cache, Cloudflare R2 medya depolama) — yalnızca hizmetin işletilmesi için ve sözleşmeyle korunarak.
• Tenant'ın kendi onayladığı entegrasyonlar üzerinden (Meta, Google Ads, vb.).

5. Veri Saklama Süresi

• Aktif aboneliğiniz süresince tüm veriler saklanır.
• Abonelik sona erdiğinde tenant verisi 90 gün arşivde tutulur, sonra silinir.
• OAuth token'ları AES-256 ile şifrelenmiş halde saklanır; bağlantıyı koparttığınızda derhal silinir.
• Audit log'lar KVKK'nın gerektirdiği asgari süre boyunca tutulur (azami 5 yıl).

6. KVKK Madde 11 — Haklarınız

İlgili kişi olarak aşağıdaki haklara sahipsiniz:

• Verilerinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme.
• Verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında verilerinizin aktarıldığı üçüncü kişileri bilme.
• Eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme.
• KVKK'da öngörülen şartlar çerçevesinde verilerinizin silinmesini veya yok edilmesini isteme.
• İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonuç çıkmasına itiraz etme.
• Verilerinizin makine okunabilir bir formatta (JSON) tarafınıza iletilmesini talep etme (veri taşınabilirliği).
• Kişisel verilerinizin kanuna aykırı işlenmesi sebebiyle uğradığınız zararın giderilmesini talep etme.

7. Veri Silme — Meta Üzerinden

Meta hesabınızdan Apps and Websites bölümünden BoostRoas'ı kaldırırsanız Meta bize otomatik bir veri silme talebi iletir. Bu talep 30 takvim günü içinde işlenir ve hesabınıza ait Meta-kaynaklı veriler (OAuth token, audience push kayıtları) kalıcı olarak silinir. Talebin durumunu görmek için Meta'nın size verdiği onay kodunu kullanarak /data-deletion-status sayfasını ziyaret edebilirsiniz.

8. Güvenlik

• Tüm trafik TLS 1.2+ ile şifrelidir.
• OAuth token'ları AES-256-GCM ile şifrelenmiş halde saklanır.
• Veritabanı tenant-izolasyonlu sorgular ile korunur; bir tenant başka bir tenant'ın verisine erişemez.
• Kullanıcı hesabı 2 faktörlü doğrulama (TOTP veya Slack OTP) ile zorunlu olarak korunur.
• 5 başarısız login denemesi hesabı geçici kilitler.

9. Çocuklar

BoostRoas hizmetlerini 18 yaşın altındakilere yönelik tasarlamaz ve onlardan bilerek kişisel veri toplamaz.

10. Politika Güncellemeleri

Bu Politika güncellendiğinde "Yürürlük" tarihi değiştirilir; önemli değişiklikler platform içi bildirim ile size duyurulur.

11. İletişim

Veri sorumlusu olarak BoostRoas'a ulaşmak ve KVKK kapsamındaki haklarınızı kullanmak için: boost@boostroas.com