Gizlilik Politikası

1. Veri Sorumlusu

Agent Fabrica Teknoloji Ticaret Limited Şirketi ("AgentFabrica", "biz") olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında veri sorumlusu sıfatıyla işbu Aydınlatma Metni'ni hazırladık.

• Merkez ofis: Ağaoğlu My Office 212, Mahmutbey, Taşocağı Yolu Cad. No: 3 B Blok Kat: 26 Ofis: 440, 34218 Bağcılar / İstanbul
• Ticaret sicili adresi: Kemerkaya Mah. Öğretmen Sk. Mazlumoğlu Apt. No: 6 İç Kapı No: 8, Ortahisar / Trabzon

2. İşlenen Kişisel Veriler

• Kimlik bilgileri (ad, soyad)
• İletişim bilgileri (e-posta, telefon)
• Hesap bilgileri (kullanıcı adı, parola hash)
• Ödeme bilgileri (kart bilgileri PayTR/Stripe tarafından işlenir, biz saklamayız)
• Sosyal medya hesap kimlikleri (OAuth ile şifrelenmiş access token)
• Marka profili verileri (logo, renk, ton, hedef kitle, lokasyon)
• İçerik üretim verileri (promptlar, oluşturulan asset'ler)
• Teknik veriler (IP adresi, tarayıcı bilgisi, log kayıtları)

3. İşleme Amaçları

• Hizmet sunumu, hesap yönetimi ve faturalama
• İçerik üretimi (AI motorlarına prompt gönderilmesi)
• Sosyal medya yayını (kullanıcı izniyle bağlanan hesaplara)
• Müşteri desteği ve iletişim
• Yasal yükümlülüklerin yerine getirilmesi (vergi, fatura)
• Hizmet iyileştirme ve analitik (anonim/agregat)

4. Veri Aktarımı

Verileriniz aşağıdaki üçüncü taraflara açıklanabilir:

• Ödeme sağlayıcıları: PayTR (TR), Stripe (uluslararası)
• Bulut altyapısı: Supabase (Frankfurt EU), Vercel (Europe-West)
• AI sağlayıcıları: İçerik üretimi sırasında promptlar 3. taraf AI motorlarına gönderilir
• E-posta servisi: Resend / SendGrid (transactional bildirim)
• Sosyal platformlar: Sadece kullanıcı izniyle (Meta, TikTok, LinkedIn, X)
• Bağlı yapay zekâ asistanları: Yalnız sizin bağladığınız asistana, 4c'de yazan kapsamda

Yurt dışına veri aktarımı için KVKK madde 9 uyarınca açık rıza alınır.

4a. Bağlanan Sosyal Platformlar — Veri İşleme Detayı

AgentFabrica panelinde sosyal medya hesaplarınızı bağladığınızda, ilgili platformun resmi API'lerini OAuth 2.0 ile kullanırız. Tüm yetkilendirmeler kullanıcının açık rızasına dayanır, istediğiniz an iptal edilebilir. Hiçbir veri üçüncü taraflara satılmaz veya pazarlama amacıyla paylaşılmaz.

TikTok Marketing API

• Okunan veriler: reklamveren bilgisi, kampanya/ad group/ad istatistikleri (impression, click, spend, conversion), audience tanımları, creative asset metadata, Pixel olayları, conversion event'ler.
• Yazma izinleri: yalnızca kullanıcının açıkça yetki verdiği reklam hesabında kampanya/ad group/ad/audience oluşturma ve düzenleme.
• Kullanım amacı: kampanya kurulumu (creative brief'ten), A/B test kazanan tespiti, ROAS bazlı bütçe optimizasyonu, müşteri panelinde birleşik raporlama.
• Saklama: OAuth access ve refresh tokenları AES-256-GCM ile şifreli olarak hesap aktif olduğu sürece + iptal sonrası 30 gün; kampanya/raporlama verileri 24 ay.
• İptal: TikTok Business Center → Settings → App Authorizations bölümünden "AgentFabrica" yetkisini kaldırdığınızda token'larınız 72 saat içinde sistemimizden silinir.
• Marka materyali uyumu: TikTok logo ve marka materyallerini yalnızca AgentFabrica panelindeki TikTok bağlantı arayüzünde, TikTok Brand Guidelines'a uygun şekilde kullanırız.

TikTok Login Kit & Content Posting API

• Scope: user.info.basic (open_id, display_name, avatar, username), video.upload, video.publish.
• Okunan veriler: sadece TikTok hesabının açık profil bilgileri (open_id, görünen ad, kullanıcı adı, avatar URL'si). Takipçi listesi, mesaj veya özel içerik okunmaz.
• Video aktarımı: AgentFabrica panelinde planlanan video dosyaları, kullanıcının onayıyla TikTok'un resmi Content Posting API endpoint'lerine aktarılır (/v2/post/publish/inbox/video/init/ veya /v2/post/publish/video/init/). Videolar AgentFabrica sunucularında uzun süreli saklanmaz; yalnızca taslak veya direkt yayın için TikTok'a transfer edilir.
• Caption / başlık: kullanıcının panelde girdiği metin doğrudan TikTok'a iletilir; AgentFabrica metni okur veya kullanıcı adına başka amaçla işlemez.
• Otomasyon kontrolü: her marka için autoPublish bayrağı kullanıcı tarafından kontrol edilir; kapalıyken videolar yalnızca onay sonrası gönderilir.
• İptal: TikTok ayarlarından "AgentFabrica Content" yetkisini kaldırdığınızda veya AgentFabrica panelinden hesap bağlantısını kestiğinizde access/refresh token'lar 72 saat içinde silinir; bekleyen scheduled post'lar otomatik iptal edilir.

Meta (Facebook & Instagram), LinkedIn, X / Twitter

Aynı çerçevede çalışırız: yalnızca kullanıcının yetkilendirdiği hesap/sayfa için, açık rıza ile sınırlandırılmış scope'ta okuma/yazma yapılır. Token'lar şifreli saklanır; iptal anında 72 saat içinde silinir. Platform-spesifik politika detayları için talep üzerine ek bilgi paylaşılır.

4b. Google Hizmetleri — Veri İşleme Detayı

AgentFabrica panelinde Google hesabınızı bağladığınızda, Google'ın resmi API'lerini OAuth 2.0 ile kullanırız. Erişim yalnızca sizin açıkça yetki verdiğiniz mülk/hesaplarla sınırlıdır ve istediğiniz an iptal edilebilir. Google'dan alınan veriler yalnızca size kendi pazarlama performansınızı göstermek ve kendi hesabınız için optimizasyon önerileri üretmek amacıyla kullanılır.

Kullandığımız izinler (scope) ve okunan veriler

• Google Analytics (analytics.readonly) — salt okunur: oturum, kullanıcı, sayfa görüntüleme, dönüşüm/anahtar olay, kanal, cihaz ve ülke kırılımları.
• Search Console (webmasters.readonly) — salt okunur: arama sorguları, tıklama, gösterim, ortalama sıra ve sayfa performansı.
• Tag Manager (tagmanager.readonly) — salt okunur: ölçüm denetimi için container'daki etiket envanteri.
• Ölçüm kurulumu izni (analytics.edit, tagmanager.edit.containers, tagmanager.edit.containerversions, tagmanager.publish): bağlantıyla birlikte istenmez; yalnız panelde Ölçüm kurulumu izni ver düğmesine bastığınızda ayrı bir Google onay ekranında sorulur. GA4 mülkü ve veri akışı açmak, container'a etiket ekleyip sürüm yayınlamak ve dönüşüm olaylarını işaretlemek için kullanılır.
• Google Ads (adwords) — okuma ve yazma: kampanya performansı (maliyet, tıklama, dönüşüm), arama terimleri ve anahtar kelimeler. Google bu servis için ayrı bir salt-okunur izin sunmaz. Bütçe/kampanya değişikliği yalnızca sizin panelden yaptığınız, onayladığınız ya da kurduğunuz otomatik kurallarla yapılır.
• YouTube (youtube.readonly, salt okunur): AgentFabrica ile yayınladığınız videoların izlenme, beğeni ve yorum sayısı. Kanalınızdaki diğer videolar okunmaz.
• YouTube (youtube.upload, video yükleme): video yalnızca panelde yayınla dediğinizde ya da sizin planladığınız tarihte yüklenir. Gizlilik durumunu (herkese açık, liste dışı, özel) siz seçersiniz. Markanızda otomatik yayın kapalıysa planlanan video sizin onayınız gelmeden gönderilmez.
• Google İşletme Profili (business.manage): hesap ve konum listesi, konum için paylaşım (localPosts) oluşturma ve silme, yorumları okuma, yorumlara yanıt yazma ve silme, performans ölçümleri (arama ve harita görüntülemesi, arama, rota ve tıklama sayıları). Yorum yanıtı önce taslak olarak hazırlanır; metin yalnızca siz görüp gönder dediğinizde Google'a yollanır. Olumsuz yorumlara otomatik yanıt verilmez.
• Google Takvim (calendar.calendarlist.readonly, calendar.events.readonly; salt okunur): takvimlerinizin listesi ile seçtiğiniz takvimdeki yaklaşan etkinlikler. Panelde yaklaşan randevularınızın listesini göstermek için kullanılır; etkinlik eklenmez, değiştirilmez, silinmez.

YouTube API Hizmetleri

AgentFabrica, YouTube API Hizmetleri'ni kullanır. YouTube hesabınızı bağlayarak YouTube Hizmet Şartları'nı da kabul etmiş olursunuz. Google'ın gizlilik uygulamaları için Google Gizlilik Politikası'na bakabilirsiniz. YouTube erişimini istediğiniz an security.google.com/settings/security/permissions adresinden kaldırabilirsiniz.

Kullanım, saklama ve iptal

• Amaç: verileriniz panelde birleşik raporlama ve size özel iyileştirme önerileri üretmek için işlenir. Reklam hedeflemede kullanılmaz, satılmaz, hizmeti sunmak dışında hiçbir tarafa aktarılmaz.
• Yapay zekâ: Google'dan alınan verileri genelleştirilmiş yapay zekâ/makine öğrenimi modelleri geliştirmek, iyileştirmek veya eğitmek için kullanmayız. Veriler yalnızca size gösterilecek öneriyi üretmek üzere işlenir.
• İnsan erişimi: Google kullanıcı verilerini insanlar okumaz; yalnızca açık izninizle destek/güvenlik gereği veya yasal zorunluluk hâlinde erişilir.
• Saklama: OAuth access/refresh token'ları AES-256-GCM ile şifreli olarak hesap aktif olduğu sürece + iptalden sonra 30 gün; rapor verileri en fazla 24 ay önbellekte tutulur.
• İptal: AgentFabrica → Entegrasyonlar ekranından "Bağlantıyı kaldır" dediğinizde token'lar 72 saat içinde silinir. Ayrıca myaccount.google.com/permissions adresinden de erişimi kaldırabilirsiniz.

Limited Use taahhüdü

AgentFabrica'nın Google API'lerinden aldığı bilgileri kullanımı ve başka bir uygulamaya aktarımı, Limited Use gereklilikleri dâhil olmak üzere Google API Services User Data Policy ile uyumludur.

5. Saklama Süreleri

• Hesap aktif olduğu sürece + iptal sonrası 30 gün
• Faturalandırma kayıtları: 10 yıl (Vergi Usul Kanunu)
• İçerik asset'leri: kullanıcı silene kadar
• Log kayıtları: 6 ay (5651 sayılı Kanun)
• Sosyal platform OAuth tokenları: kullanıcı revoke edene kadar + 72 saat
• Bağlı yapay zekâ asistanlarının yetkilendirme kayıtları: 4c'de yazan sürelerle

6. Haklarınız (KVKK m. 11)

İşlenen kişisel verileriniz hakkında:

• Bilgi alma, erişim talep etme
• Düzeltme, silme veya yok edilmesini isteme
• İşlemenin sınırlandırılmasını talep etme
• Verilerin başka bir veri sorumlusuna aktarılmasını isteme
• Otomatik karar vermeye itiraz etme
• Açık rızayı geri çekme

Talepleriniz için: privacy@agentfabrica.com

7. Çerezler

Zorunlu çerezler (oturum, dil tercihi, güvenlik) kullanılır. Ziyaret ölçümünde dört katman var: (1) Kendi sayacımız — çerez yazmaz. Sayfa görüntülemeleri kendi sunucumuzda sayılır; ziyaretçi ayrımı, IP adresi ve tarayıcı bilgisinin o güne özel rastgele bir tuzla üretilmiş, geri çevrilemez özetiyle yapılır. Ham IP saklanmaz, özetler 30 gün sonra silinir. (2) Google Analytics — sayfa görüntüleme ve kanal istatistiği için çerez kullanır, site açıldığında çalışır. Reklam kişiselleştirme izni, siz çerez kutusundan kabul edene kadar kapalı kalır. (3) Meta (Facebook) pikseli — reklam ölçümü için çerez kullanır ve site açıldığında çalışır. Ayrıca kayıt ve form gönderimi gibi dönüşümleri sunucumuzdan Meta'ya bildiririz (Dönüşümler API'si): e-posta, telefon ve ad bilgisi düz metin olarak DEĞİL, geri çevrilemez SHA-256 özetiyle iletilir; IP adresi ve tarayıcı bilgisi eşleştirme için gönderilir. (4) Google Ads — kayıt gibi dönüşümleri reklam kampanyalarımızla eşleştirmek için dönüşüm etiketi kullanır; reklam çerezi izni siz çerez kutusundan kabul edene kadar kapalıdır ve o zamana dek reklam çerezi yazılmaz. Analitik ve reklam çerezlerini istemiyorsanız tarayıcınızın izleme engelleme ayarını kullanabilir, dilediğiniz zaman iletisim@agentfabrica.com adresinden verilerinizin silinmesini isteyebilirsiniz.

Cihaz kimliği çerezi (af_cihaz): ücretsiz deneme başlatırken birinci taraf, yalnız sunucunun okuyabildiği (httpOnly) rastgele bir kimlik yazılır. Amaç denemenin kötüye kullanımını önlemektir (meşru menfaat). Kimliğin yalnız özeti deneme izinde 24 ay saklanır; çerezin ömrü 24 aydır.

• İşlenen veri: e-posta adresi (küçük harfe çevrilmiş, Gmail'de nokta ve + etiketi atılmış), telefon numarası, markanın web alanı (kök alan), bağladığınız işletme hesaplarının kimlikleri (Facebook sayfası, Instagram hesabı, reklam hesabı, Google Ads müşteri kimliği, TikTok, WhatsApp numarası, mağaza alanı, satıcı kimliği), kartla başlatılan denemede kart parmak izi, IP adresinin öneki (IPv4'te ilk üç blok, IPv6'da ilk dört grup), cihaz kimliği çerezi ve tarayıcı özeti (tarayıcı ailesi, saat dilimi, dil, ekran boyutu).
• Saklama biçimi: bu değerlerin hiçbiri ham olarak saklanmaz; yalnız geri döndürülemez SHA-256 özetleri tutulur.
• Amaç: ücretsiz denemenin kişi ve işletme başına bir kez kullanılmasını sağlamak, dolandırıcılığı ve kötüye kullanımı önlemek.
• Hukuki sebep: KVKK m.5/2-f, veri sorumlusunun meşru menfaati.
• Saklama süresi: 24 ay. Hesabınızı silseniz de bu özetler süre boyunca saklanır; süre dolunca eşleşmede kullanılmaz.
• Risk görülen başvuruda deneme ancak telefon doğrulamasıyla açılır; doğrulama kodu da ham saklanmaz.

8. Güvenlik

AES-256-GCM şifreleme, TLS 1.3 trafik, OAuth token şifreleme, rate-limiting ve düzenli güvenlik denetimleri.

9. Değişiklikler

Bu politikayı önemli değişiklik olduğunda e-posta ve panel bildirimi ile duyururuz. Her yıl en az bir kez gözden geçirilir.