Gizlilik Politikası ve KVKK Aydınlatma Metni

pipera, Birleşik Krallık’ta kayıtlı Omega Union Limited tarafından işletilir. Bu metin, pipera.io’yu ziyaret ettiğinizde, bizden görüşme aldığınızda ve müşterimiz olduğunuzda hangi kişisel verinizi işlediğimizi anlatır. Burada anlatılan işleme faaliyetlerinde veri sorumlusu biziz. Bir müşterimizin talimatıyla onun adına veri işlediğimiz durumları Veri İşleme Ek Sözleşmesi kapsar.

Görüşme aldığınızda veya bize yazdığınızda

• Adınız, iş e-posta adresiniz, şirket adınız ve web siteniz.
• İşiniz ve ne aradığınız hakkında bize yazdıklarınız.
• Seçtiğiniz saat ve tarayıcınızın bildirdiği saat dilimi.
• İsteğin geldiği IP adresi. Kötüye kullanımı engellemek için kısa süre tutulur.

Müşteri olduğunuzda

• Paneli kullanan kişilerin hesap ve iletişim bilgileri.
• Faturalama kayıtları. Kart bilgisi ödeme sağlayıcısında kalır, bizim sistemimize hiç girmez.
• Bize verdiğiniz marka materyali ve bağladığınız platformların erişim anahtarları.
• İşi yürütmek için o platformlardan çektiğimiz veriler: siparişler, katalog verisi, kampanya sonuçları.

Sizi biz aradıysak veya size biz yazdıysak

İşletmenizle ilk teması biz kurmuş olabiliriz. Bu durumda kullandığımız veriyi siz bize vermediniz; işletmenizin herkese açık kaydından aldık: harita ve rehber kayıtları ile işletmenizin kendi web sitesi. Kişisel bir listeden, satın alınmış bir veri tabanından veya üçüncü bir kişiden gelmez.

• İşletme adı, adres, sektör ve herkese açık iletişim bilgileri: telefon numarası, e-posta adresi, web sitesi.
• Sizinle yaptığımız görüşmenin ses kaydı ve yazıya dökümü. Kayıt, görüşmenin en başında sözlü olarak bildirilir; bildirmeden kayıt yapmıyoruz.
• Aramanın sonucu: randevu, tekrar aranma isteği, olumsuz kapanış veya listeden çıkarılma talebi.
• Size gönderdiğimiz e-postanın açılıp açılmadığı ve cevabınız.

Çağrılarımızı Türkiye’de hafta içi 10.00-17.00 arasında yaparız; 12.30-13.30 arası aramayız. Aranmak istemediğinizi söylerseniz numaranız çıkarma listesine yazılır ve bir daha aranmazsınız. Aramaya devam etmemizi istemiyorsanız görüşme sırasında söylemeniz veya privacy@pipera.io adresine yazmanız yeterli.

Otomatik olarak

• Kullanım verisi: gezilen sayfalar, yönlendiren sayfa, yaklaşık bölge.
• Cihaz verisi: tarayıcı ve işletim sistemi.
• Çerezler ve benzer teknolojiler. Ayrıntısı Çerez Politikası sayfasında.

• Talep ettiğiniz görüşmeyi planlamak ve daveti size göndermek.
• Bize gönderdiğiniz mesajları cevaplamak.
• İşletmenize hizmetimizi tanıtmak için sizi aramak veya iş e-posta adresinize yazmak.
• Görüşme kalitesini ölçmek, konuşmayı değerlendirmek ve hattı iyileştirmek. Çağrı kayıtları bunun içindir.
• Satın aldığınız hizmeti yürütmek ve raporlamak.
• Ödemeyi almak ve mevzuatın gerektirdiği muhasebe kayıtlarını tutmak.
• Siteyi ve hizmeti güvende tutmak. Hız sınırlama ve kötüye kullanım engelleme dahil.
• Hukuki yükümlülüklerimizi yerine getirmek.

KVKK bakımından işleme şartlarımız şunlardır: sözleşmenin kurulması veya ifası için gerekli olması (aldığınız görüşme, yürüttüğümüz hizmet), hukuki yükümlülüğün yerine getirilmesi (muhasebe ve vergi kayıtları), temel hak ve özgürlüklerinize zarar vermemek kaydıyla meşru menfaatimiz (sitenin işletilmesi ve güvenliği, iş taleplerinin cevaplanması, işletmelere yönelik ticari tanıtım ve çağrı kalitesinin ölçülmesi) ve mevzuatın açık rıza aradığı yerlerde açık rızanız (zorunlu olmayan çerezler gibi). GDPR ve UK GDPR kapsamındaki hukuki dayanaklar da bunların karşılıklarıdır.

Ticari elektronik ileti göndermemiz gereken hâllerde 6563 sayılı Kanun ve İleti Yönetim Sistemi kurallarına uyarız. Aldığınız her e-postanın altında tek tıkla çıkış bağlantısı bulunur; çıkışınız aynı gün işlenir. Aranmama talebiniz çağrı hattımızın çıkarma listesine işlenir.

Kişisel veriyi satmıyoruz. Hizmetin çalışması için şu sağlayıcılarla paylaşıyoruz:

• Supabase: veritabanı, kimlik doğrulama ve depolama.
• Cloudflare: DNS, uç dağıtım ve nesne depolama.
• Hetzner: yürütme motorunun çalıştığı sunucular.
• Apple iCloud: alınan görüşmelerin tutulduğu takvim.
• Resend: işlemsel ve kampanya e-posta gönderimi.
• iyzico ve Stripe: ödeme işleme.
• Müşteri işi üretmek için kullanılan model ve medya sağlayıcıları. Listesi DPA sayfasında.
• Müşterinin bağladığı ve yürütmemizi istediği reklam ve ticaret platformları.
• Mevzuatın zorunlu kıldığı hâllerde yetkili kurumlar.

pipera, kendisini işe alan şirketlerin dijital tarafını, o şirketlerin kendi hesapları üzerinde yürütür. Müşteri hesaplarını pipera’ya bağlar ve istediği an herhangi birinin bağlantısını keser. Bu bölüm platform platform neye eriştiğimizi, neden eriştiğimizi ve neyi sakladığımızı anlatır.

Aşağıdaki bütün platformlarda aynı üç kural geçerlidir. Bu veriyi satmıyoruz. Model eğitiminde kullanmıyoruz. Bir müşterinin verisi bir başkasınınkiyle hiçbir zaman birleşmez: her müşterinin kayıtları ve erişim anahtarları kendi isim alanında durur ve bu ayrım veritabanı katmanında zorunlu tutulur.

Meta (Facebook Sayfaları ve Instagram)

• Bağlantıyı kuran kişinin yönettiği Facebook Sayfalarının listesini okuruz, müşteri doğru sayfayı seçebilsin diye (pages_show_list).
• O sayfanın adını, açıklamasını ve meta verisini okuruz; uygulamada geri göstermek ve yayınlanan işi ilişkilendirmek için (pages_read_engagement).
• Müşterinin talimatıyla o sayfaya organik gönderi yayınlarız (pages_manage_posts).
• Sayfaya bağlı Instagram Business hesabını, kullanıcı adı dahil okuruz (instagram_basic), oraya organik gönderi yayınlarız (instagram_content_publish) ve yayınladığımız gönderilerin erişim ile etkileşim verisini okuruz (instagram_manage_insights).
• Müşterinin reklam hesaplarını ve kampanya performansını okuruz (ads_read, business_management); müşterinin onayladığı bütçe içinde kampanya kurar ve yönetiriz (ads_management).
• Sakladıklarımız: erişim anahtarı, sayfa ve Instagram hesap kimlikleri, yayınladığımız gönderilerin kimlikleri ve çektiğimiz performans rakamları. Takipçi listesi ve doğrudan mesaj içeriği saklamayız.

TikTok

• Bağlı içerik üreticisinin temel profilini, yani takma adını ve avatarını, bir de TikTok’un o hesap için bildirdiği yayınlama ayarlarını okuruz; yayınlama ekranı kimin adına gönderi atılacağını ve hangi seçeneklerin açık olduğunu gösterebilsin diye (user.info.basic).
• Müşterinin talimatıyla o hesaba video ve fotoğraf gönderisi yayınlarız (video.publish).
• Sakladıklarımız: erişim anahtarı, içerik üreticisinin takma adı ve avatar adresi, her gönderi için publish_id, yayın durumu ve TikTok’un döndürdüğü publicly_available_post_id.
• Yayınladığımız hiçbir içeriğe filigran, logo ya da promosyon metni eklemeyiz.

Google ve YouTube

• Giriş yapan kişinin Google hesap kimliğini, e-posta adresini ve temel profilini okuruz; bağlantı doğru müşteriye iliştirilebilsin diye (openid, userinfo.email, userinfo.profile).
• Müşterinin talimatıyla onun YouTube kanalına video yükleriz (youtube.upload). Yalnızca yükleme izni isteriz, kanalın tamamına erişim istemeyiz.
• Anlaşılan bütçe içinde Google Ads kampanyası kurar, yönetir ve performansını okuruz (adwords).
• Sakladıklarımız: erişim ve yenileme anahtarları, Google hesap kimliği ve e-postası, yüklediğimiz videoların kimlikleri ve kampanya performans rakamları. Müşterinin Gmail, Drive veya Kişiler verisini okumayız ve bunlara erişim istemeyiz.

LinkedIn

• Giriş yapan kişinin kimliğini, adını ve e-posta adresini okuruz (openid, profile, email).
• O kişi adına ya da yönettiği kurum sayfası adına gönderi yayınlarız (w_member_social, w_organization_social), yayınladığımız gönderilerin etkileşimini okuruz (r_organization_social) ve yönettiği kurum sayfalarını okuruz, müşteri birini seçebilsin diye (rw_organization_admin).
• Sakladıklarımız: erişim anahtarı, üye ve kurum kimlikleri, yayınladığımız gönderilerin kimlikleri ve etkileşim rakamları. Böyle bir gönderiye gelen bir yorum uygulamada gösterildiğinde yorum sahibinin adı, unvanı ve profil adresi görüntülenir; raporlama penceresinin ötesinde saklanmaz.

X

• Bağlı hesabın kimliğini ve kullanıcı adını okuruz (users.read), yayınladığımız gönderileri durumlarını kontrol etmek için okuruz (tweet.read), müşterinin talimatıyla gönderi yayınlarız (tweet.write) ve müşteriden tekrar tekrar giriş istemeden bağlantıyı canlı tutarız (offline.access).
• Sakladıklarımız: erişim ve yenileme anahtarları, hesap kimliği ve kullanıcı adı, yayınladığımız gönderilerin kimlikleri.

Shopify

• Mağaza kurulabilsin ve iyileştirilebilsin diye ürünleri, koleksiyonları, temaları ve site içeriğini okur ve yazarız (read_products, write_products, read_themes, write_themes, read_content, write_content).
• Gelir atfedilebilsin ve e-posta yaşam döngüsü çalışabilsin diye siparişleri, müşteri kayıtlarını ve stoğu okuruz (read_orders, read_customers, read_inventory).
• Canlı temaya asla doğrudan yazmayız. Değişiklik bir kopya üzerinde yapılır, önizlenir ve tek hamlede yayınlanır.
• Sakladıklarımız: erişim anahtarı, mağaza alan adı, sipariş kayıtları ve bunlara bağlı müşteri e-posta adresleri, katalog verisi. Sipariş ve müşteri kayıtları 24 ayı geçtiğinde otomatik olarak silinir.

Ödeme kuruluşları

• Bize yapılan ödemeleri iyzico veya Stripe işler. Türkiye’den yapılan ödemelerde iyzico kullanılır. Kart bilgileriniz doğrudan ödeme kuruluşuna gider, bizim sistemimize hiç girmez.
• Sakladıklarımız: ödeme kuruluşundaki müşteri ve işlem kimlikleri, tutar, para birimi, faturaların durumu ve tarihleri. Kart numarası saklamayız.

Bir platformun bağlantısını kesmek, sağlayıcı imkân veriyorsa yetkiyi geri çeker, saklanan anahtarı siler ve o platformdan çektiğimiz veriyi kaldırır. Adımların tamamı ve hangi sağlayıcının geri çekmeyi kabul ettiği Veri Silme sayfasında. Müşterinin kendi hesabında zaten yayınlanmış işler o hesaba aittir; erişimimizi kaldırmak onları oradan kaldırmaz.

Talepler ve alınan görüşmeler, konuşma canlı olduğu sürece ve sonrasında en fazla 24 ay saklanır. Böylece geri dönen bir konuşmayı kaldığı yerden alabiliyoruz. Daha erken silinmesini isterseniz sileriz.

Müşteri verisi hizmet süresince saklanır. Hizmet bittiğinde 30 gün içinde silinir veya iade edilir. Fatura gibi mevzuatın saklamamızı zorunlu kıldığı kayıtlar bunun dışındadır. Müşteri alanındaki müşteri ve aday kişisel verisi, saklama penceresini aştığında otomatik olarak silinir.

Çağrı ses kayıtlarını 90 gün saklarız. Doksan gün dolduğunda kayıt, çalışan sistemlerden çıkarılıp erişimi sınırlı bir arşive taşınır; günlük işleyişte kullanılmaz. Görüşmenin yazıya dökümü, aramanın sonucunu (randevu, ret, çıkarma talebi) gösterdiği için ayrıca tutulmaya devam eder. Kaydınızın daha erken silinmesini isterseniz privacy@pipera.io adresine yazın.

Veri aktarım sırasında şifrelenir. Kimlik bilgileri ve erişim anahtarları saklanırken şifrelenir. Canlı ortama erişim sınırlıdır ve kayıt altındadır. Kiracı ayrımı veritabanı katmanında zorunlu tutulur. Hiçbir sistem kusursuz güvenli değildir ve bunun aksini iddia etmiyoruz.

KVKK madde 11 kapsamında şunları talep edebilirsiniz:

• Kişisel verinizin işlenip işlenmediğini öğrenmek ve işlenmişse bilgi talep etmek.
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenmek.
• Yurt içinde veya yurt dışında verinin aktarıldığı üçüncü kişileri bilmek.
• Eksik veya yanlış işlenmişse düzeltilmesini istemek.
• Şartları oluşmuşsa silinmesini veya yok edilmesini istemek.
• Düzeltme, silme ve yok etme işlemlerinin veri aktarılan üçüncü kişilere bildirilmesini istemek.
• Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etmek.
• Hukuka aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etmek.

“Kaydımı silin” dediğinizde ne olur: bu talep bizde ayrı ve kalıcı bir yerde tutulur. Görüşme sırasında telefonda söylemeniz ya da e-postayla yazmanız yeterlidir; ayrı bir form doldurmanız gerekmez. Talebi aldığımızda veri tabanındaki kaydınızı bastırmakla yetinmeyiz, satırı sileriz: işletme kaydınızdaki telefon ve e-posta boşaltılır, aday kaydınız kaldırılır. Numaranızın ve e-posta adresinizin geri döndürülemez bir özeti (hash) kalıcı bir engel listesinde tutulur. Bunun sebebi şudur: bilgileriniz herkese açık kayıtlardan derlendiği için bir sonraki derlemede aynı işletme yeniden karşımıza çıkabilir; bu liste olmadan silme kalıcı olmaz. Listede düz metin hâlinde numara veya adres tutulmaz, yalnızca eşleştirmeye yarayan özet tutulur. Mevzuatın saklamamızı zorunlu kıldığı fatura ve ödeme kayıtları bunun dışındadır; onlar yasal süre boyunca durur ve pazarlama için kullanılmaz.

Başvurunuzu privacy@pipera.io adresine gönderin. En geç otuz gün içinde cevaplıyoruz. Adım adım anlatımı Veri Silme sayfasında. Cevabı yetersiz bulursanız Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz. GDPR veya UK GDPR kapsamındaysanız bulunduğunuz ülkedeki denetim makamına da başvurabilirsiniz.

Sağlayıcılarımızın bir kısmı veriyi Türkiye dışında işler. Bu aktarımlar KVKK madde 9 kapsamında uygun bir aktarım mekanizmasına dayanır. Kurul tarafından ilan edilen standart sözleşme, bağlayıcı şirket kuralları veya mevzuatın aradığı diğer güvenceler kullanılır. Birleşik Krallık ve Avrupa Ekonomik Alanı dışına çıkan aktarımlarda Avrupa Komisyonu Standart Sözleşme Maddeleri ve Birleşik Krallık Uluslararası Veri Aktarımı Eki uygulanır.

Çağrı kalitesini denetlerken görüşmenin yazıya dökümü, Türkiye dışında barındırılan bir yapay zekâ sağlayıcısında değerlendirilebilir. Bu değerlendirme yalnızca konuşmanın nasıl geçtiğini ölçmek içindir; satış veya profilleme amacı taşımaz ve size yönelik bir karar üretmez. 5 Ekim 2026’dan itibaren bu değerlendirme de kendi cihazımızda çalışan yerel modelle yapılacak ve döküm yurt dışına çıkmayacaktır.

Hizmet işletmelere yöneliktir. On sekiz yaş altındaki kişilere yönelik değildir ve bilerek onların verisini toplamayız.

Uygulama değiştiğinde bu metni de güncelliyoruz. Üstteki tarih o zaman değişir.

Omega Union Limited, Birleşik Krallık. Veri koruma soruları: privacy@pipera.io.