1. Veri Sorumlusu ve Kapsam
Veri sorumlusu: LinkSosyal hizmetini işleten Rioforge Information Solutions (“Rioforge Digital Solutions” birimi; Hindistan Mikro, Küçük ve Orta Ölçekli İşletmeler Bakanlığı Udyam kayıt no. UDYAM-UP-02-0016102; Delhi, Hindistan) — telefon: +90 530 306 28 53, e-posta: merhaba@linksosyal.com.
LinkSosyal Hindistan’da kayıtlı bir işletme tarafından işletilir ve Türkiye’deki kullanıcılara hizmet verir; bu nedenle Türkiye’deki kullanıcılar bakımından 6698 sayılı KVKK, işletmemiz bakımından Hindistan’ın 2000 tarihli Bilgi Teknolojileri Kanunu ve 2023 tarihli Dijital Kişisel Verilerin Korunması Kanunu (DPDP Act) uygulanır.
Bu politika; web sitemizi, üretici panelini (dashboard), herkese açık bio/mağaza sayfalarını ve resmî API entegrasyonlarımızı kullanırken işlenen kişisel verileri kapsar. Üretici olarak kendi alıcıların ve takipçilerin bakımından ayrıca veri sorumlusu yükümlülüklerin bulunduğunu bölüm 3’te açıklıyoruz.
KVKK md. 11 kapsamındaki başvurularını merhaba@linksosyal.com adresine iletebilirsin; başvurun en geç 30 gün içinde yanıtlanır.
2. İşlenen Kişisel Veriler
- Kimlik ve iletişim verileri: ad, soyad, e-posta, varsa telefon numarası
- Hesap ve organizasyon verileri: üyelik, rol, ekip üyeliği, oturum ve güvenlik kayıtları, çerez tercih kaydı
- Bağlı Instagram/Meta hesap verileri: herkese açık profil bilgileri, gönderi ve yorum kimlikleri, yorum metinleri, yorum yapan kullanıcı adları, mesaj akışları, mention/etiket olayları, etkileşim olayları ve bunlara ilişkin teknik kimlikler — yalnızca senin açık yetkilendirmenle ve resmî Meta API’leri üzerinden
- Satıcı (üretici) tarafı verileri: ürünler, fiyatlar, stok, indirim kodları, kampanyalar, iade ve fatura kayıtları
- Alıcı ve CRM verileri: sipariş verenlerin ad, e-posta, telefon, adres ve sipariş detayları; lead formlarından gelen isim, e-posta/Instagram kimliği, etiket ve notlar
- Ürün yorumları, soru-cevap içerikleri ve yüklenen fotoğraflar (yorum sahibinin kendi fotoğrafı dâhil)
- İşlem verileri: siparişler, tahsilat ve iade kayıtları, ödeme hizmet sağlayıcısının dönüş ve doğrulama kayıtları — kart verisi Platform’da saklanmaz
- Teknik veriler: IP adresi, tarayıcı ve cihaz bilgisi, oturum açma kayıtları, hata ve erişim logları
- Yapay zekâ (YZ) işleme verileri: persona tanımı, örnek yanıtlar, otomatik yanıt için gönderilen mesaj/yorum metinleri ve üretim kayıtları
3. Rolleri Ayırt Et: Platform mu, Üretici mi?
Hesap, organizasyon ve platform kullanım verileri bakımından veri sorumlusu LinkSosyal’dir.
Üretici mağazasındaki alıcı, sipariş, teslimat ve alıcı–üretici mesajlaşma verileri bakımından LinkSosyal kural olarak üreticinin talimatıyla hareket eden veri işleyen konumundadır; bu verilere ilişkin aydınlatma yükümlülüğü satıcı üreticiye aittir ve aramızdaki veri işleme düzeni Kullanım Koşulları’na dayanır.
Kendi Instagram/Meta hesabından elde edilen veriler bakımından ilgili kişilere karşı aydınlatma yükümlülüğü, veriyi hangi amaçla topladığına göre üretici veya Platform’da olabilir; taraflar bu noktada KVKK md. 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’e uygun hareket eder.
Instagram/Meta, kendi ürünleri üzerinden yürüttüğü işlemler bakımından bağımsız veri sorumlusudur; Meta’nın veri işleme faaliyetleri Meta’nın kendi politikalarına tabidir.
4. İşleme Amaçları ve Hukuki Sebepler
KVKK uygulamasında işleme amacı ile hukuki sebep ayrı unsurlardır; her amaç için dayanağı aşağıda ayrı ayrı belirtilmiştir.
- Hizmetin kurulması, hesabın açılması ve sözleşmenin ifası (panel, bio sayfa, mağaza, otomasyonlar) — sözleşmenin ifası (KVKK m.5/2-c)
- Ödeme, fatura, teslimat ve iade süreçlerinin yürütülmesi — sözleşmenin ifası (m.5/2-c) ve hukuki yükümlülük (m.5/2-ç)
- Fatura, muhasebe ve yasal saklama yükümlülükleri — hukuki yükümlülük (m.5/2-ç)
- Hesap güvenliği, kötüye kullanım, spam ve dolandırıcılık önleme, platform bütünlüğü — meşru menfaat (m.5/2-f)
- Talep, şikâyet ve uyuşmazlık yönetimi; hakkın tesisi, kullanılması veya korunması — meşru menfaat (m.5/2-f) ve hakkın tesisi (m.5/2-e)
- Otomasyonların çalıştırılması ve YZ destekli yanıt/içerik üretimi (senin talimatınla) — sözleşmenin ifası (m.5/2-c)
- Analitik ve hizmetin geliştirilmesi (toplulaştırılmış ölçüm) — meşru menfaat (m.5/2-f)
- Pazarlama ve ticari elektronik ileti — açık rıza (m.5/1); rızanı her zaman geri alabilirsin
- Zorunlu olmayan çerezler ve benzeri teknolojiler — açık rıza (m.5/1)
5. Yapay Zekâ ve Otomatik İşleme
Platform, Anthropic, PBC (ABD) tarafından sağlanan Claude YZ modellerini kullanır. Metinler Anthropic’e yalnızca şu özellikler için gönderilir: (a) Pro ve üzeri planlarda İş Birliği Radarı — kural tabanlı kontroller emin olamadığında gelen DM konuşmaları otomatik olarak sınıflandırılır (ör. marka iş birliği teklifi); bu amaçla ilgili konuşmanın en fazla son 20 gelen mesajı gönderilir; (b) kendin açtığın özellikler — YZ ile DM yanıt taslağı (öneri veya otomatik mod), otomasyonlarda YZ niyet tetikleyicisi, otomatik mesajlarda YZ kişiselleştirme ve hesabında sunulduğunda YZ destekli yorum moderasyonu (Yorum Koruması).
Yalnızca görev için gereken metni göndeririz; şifren veya erişim anahtarların gönderilmez. YZ kullanım kayıtlarında metin değil yalnızca token sayıları tutulur. Instagram verilerini YZ modeli eğitmek için kullanmayız; Anthropic de API verilerini modellerini eğitmek için kullanmaz.
Otomasyonlar senin talimatınla ve senin belirlediğin kurallarla çalışır. Otomatik yanıtların insan eliyle üretilmediği durumlarda, ilgili mevzuatın gerektirdiği hallerde otomatik hizmet kullanıldığı ilgili kişiye açıklanır.
- YZ çıktıları senin onayına sunulur veya senin talimatınla gönderilir; nihai içerik sorumluluğu üreticiye aittir
- Münhasıran otomatik sistemlerle aleyhine bir sonuç doğması hâlinde KVKK m.11/(g) kapsamındaki itiraz hakkın saklıdır
6. Aktarım ve Yurt Dışına Aktarım
Veriler, hizmetin ifası için gerekli olduğu ölçüde ve yalnızca ilgili amaç ve hukuki sebeple sınırlı olarak aşağıdaki hizmet sağlayıcılarla paylaşılır. Web sitemizde üçüncü taraf reklam veya analitik araçları (ör. Google Analytics, Meta Pixel) kullanılmaz; kullanım ölçümü kendi sunucularımızda, toplulaştırılmış olarak yapılır.
Railway (barındırma, veritabanı, kuyruk ve yüklenen dosyalar) — veriler Avrupa Birliği’nde (Hollanda, europe-west4 bölgesi) barındırılır
Meta Platforms (Instagram API: bağlı hesabın profil, gönderi, yorum ve mesaj verileri; senin yetkinle)
Google Firebase Authentication (yalnızca “Google ile giriş” seçildiğinde kimlik doğrulama)
E-posta gönderimi (Resend veya SMTP sağlayıcısı): doğrulama, şifre sıfırlama ve bildirim e-postaları
Anthropic, PBC (Claude YZ modelleri — ABD): yalnızca bölüm 5’te sayılan YZ özellikleri için gereken yorum/mesaj metni; Anthropic’in ticari koşulları uyarınca API üzerinden gönderilen veriler modellerinin eğitiminde kullanılmaz
Ödeme hizmet sağlayıcıları (iyzico ve PayTR — Türkiye; Razorpay — Hindistan): yalnızca LinkSosyal plan ödemeleri; kart bilgileri bizde saklanmaz
Sentry (hata izleme): teknik hata kayıtları
Veriler Türkiye dışında (AB’de) barındırılır ve hizmeti işleten işletme Hindistan’dadır; bu nedenle kişisel verilerin yurt dışına aktarımı söz konusudur.
Yurt dışına aktarımlarda KVKK md. 9’un 7499 sayılı Kanun’la değişik yeni rejimi uygulanır: (i) Kurul’un yeterlilik kararı bulunan ülke/sektör/kuruluşlara aktarım; yeterlilik kararı yoksa (ii) Kurul’ca ilan edilen standart sözleşmenin imzalanması ve Kurum’a bildirim, (iii) bağlayıcı şirket kuralları veya (iv) yazılı taahhüt ve Kurul izni; bunların bulunmadığı hâllerde Kanun’daki arızi hâllere dayanılır.
Meta’nın Avrupa Ekonomik Alanı dışına yaptığı aktarımlar bakımından Meta’nın kendi aktarım mekanizmaları geçerlidir; Platform, Meta Platform Koşulları’nın ilgili veri aktarımı hükümlerine uygun hareket eder.
7. Meta/Instagram Verilerinin İşlenmesi
Platformu yalnızca resmî Meta API’leri üzerinden kullanırız; şifreni hiçbir aşamada istemeyiz veya saklamayız.
Meta Platform Koşulları uyarınca platform verilerini yalnızca bu politikada açıkça tanımlanan amaçlarla işleriz; bu politika Meta koşullarıyla çelişecek şekilde yorumlanamaz.
- Meta platform verilerini satmayız, lisanslamayız veya satın almayız
- Meta verilerini yeniden kimliklendirmeye, şifresini çözmeye veya tersine mühendislikle çözmeye çalışmayız
- Geçerli kullanıcı onayı olmadan Meta verileriyle kullanıcı profili oluşturmayız veya profili zenginleştirmeyiz
- Gözetleme amacıyla veya ayrımcılık yapan şekilde Meta verisi işlemeyiz
- Platform verilerini, işleme amacı ortadan kalkınca, sen çekildiğinde veya Meta talep ettiğinde sileriz; mevzuat gereği saklamamız gereken hâllerde bunun dayanağını belgeleriz
- Kullanıcıların verilerinin silinmesini talep edebileceği kolay erişilebilir bir mekanizma sunarız
- Meta platform verilerini reklam amacıyla kullanmayız; reklam ağları veya veri simsarlarıyla paylaşmayız
- İstediğimiz Meta izinleri ve kullanım amaçları: instagram_business_basic — bağlı hesabın kimliği, kullanıcı adı, profil fotoğrafı, hesap türü, takipçi/takip/gönderi sayıları ve son gönderilerin; hesabını tanımak, panelde göstermek ve otomasyon için gönderi seçebilmeni sağlamak için
- instagram_business_manage_comments — gönderilerindeki yorumları okumak, herkese açık yanıt yazmak, moderasyon kelimelerine uyan yorumları gizlemek ve yalnızca sen “Instagram’dan sil” düğmesine bastığında tek bir yorumu silmek için
- instagram_business_manage_messages — yorum yapanlara otomatik DM (özel yanıt) göndermek, Gelen kutusunda DM’leri okumak ve yanıtlamak için
- Business Asset User Profile Access — hesabına yorum yapan veya mesaj gönderen kişilerin adı, kullanıcı adı ve profil fotoğrafı; Gelen kutusu, Yorumlar ve Kişiler sayfalarında göstermek için
- Meta Platform Koşulları: https://developers.facebook.com/terms/ · Geliştirici Politikaları: https://developers.facebook.com/devpolicy/
- Verilerini silmek için: Profil → Güvenlik → “Verilerimi sil” (anında); Instagram → Ayarlar → Web siteleri ve uygulamalar → LinkSosyal → Kaldır (Meta’nın silme talebiyle anında); veya merhaba@linksosyal.com. Ayrıntılı adımlar: https://linksosyal.com/data-deletion
8. Saklama Süreleri
Veriler; hizmet aktif olduğu sürece ve yasal saklama yükümlülükleri boyunca tutulur. Fatura ve muhasebe belgeleri bakımından kural olarak Vergi Usul Kanunu md. 253 uyarınca beş yıllık saklama süresi esas alınır; ticaret mevzuatı veya diğer mevzuat daha uzun bir süre öngörüyorsa bu süre uygulanır.
Hesabını sildiğinde aktarılmamış içerikler ve kişisel veriler, yasal saklama sürelerinin bitiminde silinir veya anonim hâle getirilir. Meta platform verileri, Meta’nın talebi veya kullanıcının silme talebi üzerine derhâl silinir.
Somut süreler: yorum etkinlik kayıtları, gönderim kuyruğu kayıtları ve Meta’dan gelen ham webhook kayıtları 90 gün sonra otomatik silinir. Instagram bağlantısını kestiğinde (ya da uygulamayı Instagram ayarlarından kaldırdığında) erişim belirteci (token), DM’ler, yorum kayıtları, Instagram’dan gelen kişiler, otomasyonlar ve kuyruk verileri anında ve kalıcı olarak silinir. Profil → Güvenlik → “Verilerimi sil” ile veya Meta’nın veri silme geri çağrısıyla (data deletion callback) gelen talepler derhâl işlenir: erişim belirteci, DM’ler, yorum kayıtları, otomasyon geçmişindeki yorum metinleri, Instagram’dan gelen kişiler ve o hesaba ait ham webhook kayıtları anında silinir; Meta üzerinden gelen talepler onay koduyla https://linksosyal.com/data-deletion sayfasında doğrulanabilir.
9. Veri Güvenliği ve İhlal Bildirimi
KVKK md. 12 uyarınca verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak için uygun teknik ve idari tedbirleri alırız. Erişim belirteçleri (token) şifreli saklanır; erişimler yetki ve rol esasına göre sınırlandırılır.
Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini tespit edersek, en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildiririz.
Meta platform verilerini etkileyen bir güvenlik olayı ortaya çıkarsa Meta’nın öngördüğü bildirim mekanizmalarına da uygun hareket ederiz.
10. Çerezler
Çerez kullanımımız ayrı bir metin olan Çerez Politikası’nda açıklanmıştır. Aydınlatma metni ile açık rıza metinleri ayrı belgelerdir; zorunlu olmayan çerezler için açık rıza yalnızca ayrı rıza mekanizması üzerinden alınır.
11. Çocukların Verileri
Platform 18 yaşından küçüklerin kullanımına yönelik değildir ve bilerek çocuklara ait kişisel veri toplamaz. Böyle bir verinin işlendiğini fark edersek sileriz.
12. KVKK md. 11 Kapsamındaki Hakların
- Kişisel verilerinin işlenip işlenmediğini öğrenme
- Kişisel verileri işlenmişse buna ilişkin bilgi talep etme
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
- Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme
- Eksik veya yanlış işlenmişse düzeltilmesini isteme
- KVKK m.7’deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme
- Düzeltme/silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
- Münhasıran otomatik sistemlerle aleyhine bir sonuç ortaya çıkmasına itiraz etme
- Kanuna aykırı işleme nedeniyle zarara uğraman hâlinde zararın giderilmesini talep etme
13. Başvuru Yöntemi
Haklarına ilişkin taleplerini merhaba@linksosyal.com adresine iletebilirsin. Başvurun, niteliğine göre en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul’ca belirlenen tarife uygulanır.
Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde, cevabı öğrendiğin tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurul’a şikâyette bulunabilirsin.
14. Şikâyet Görevlisi (Hindistan)
Hindistan Bilgi Teknolojileri (Aracı Kurallar ve Dijital Medya Etik Kuralları) Yönetmeliği 2021, Tüketicinin Korunması (E-Ticaret) Kuralları 2020 ve DPDP Act 2023 kapsamında şikâyet ve veri talepleri için: Şikâyet Görevlisi, Rioforge Information Solutions — e-posta: merhaba@linksosyal.com, telefon: +90 530 306 28 53.
Şikâyetlerin 48 saat içinde alındığı teyit edilir ve en geç bir ay içinde sonuçlandırılır. Türkiye’deki kullanıcıların KVKK kapsamındaki başvuru ve Kurul’a şikâyet hakları bundan bağımsız olarak saklıdır.
15. Kamu Kurumlarından Gelen Veri Talepleri
Mahkeme, savcılık, kolluk veya düzenleyici kurumlar gibi kamu kurumlarından (Türkiye, Hindistan veya başka bir ülke) gelen kişisel veri taleplerini aşağıdaki ilkelere göre ele alırız:
- Hukuka uygunluk incelemesi: her talep, yazılı ve yetkili bir makamdan geldiği, dayandığı hukuki düzenleme ve kapsamı bakımından incelenir; gayriresmî veya yetkisiz taleplere veri verilmez
- İtiraz: belirsiz, aşırı geniş veya hukuki dayanağı bulunmayan taleplere itiraz eder, gerektiğinde mahkeme kararı talep eder veya hukuki yollara başvururuz
- Veri minimizasyonu: yalnızca talepte açıkça istenen ve hukuken zorunlu olan asgari veri paylaşılır; mevzuat izin verdiği ölçüde ilgili kullanıcı bilgilendirilir
- Kayıt: her talep; tarih, talep eden makam, hukuki dayanak, istenen ve verilen/reddedilen veriler, gerekçe ve karar veren kişiler ile birlikte kayıt altına alınır
16. Değişiklikler
Bu politika gerektiğinde güncellenir; önemli değişiklikler e-posta ve site içi duyuruyla bildirilir. Güncel sürüm her zaman bu adreste yayımlanır.