Gizlilik Politikası

• Kişisel verilerinizi satmayız, kiralamayız ve reklam hedeflemesi için profil çıkarmayız.
• Reklam hesaplarınıza yalnız sizin verdiğiniz yetki kadar erişiriz. Bağlantıyı kestiğinizde erişim jetonu platformda iptal edilmeye çalışılır ve kaydımızdan silinir.
• Yapay zekâ üretimi ve analizi bizim sağlayıcı hesaplarımız üzerinden çalışır; sizden anahtar istenmez. İçerik yalnızca o işi yapan sağlayıcıya gider.
• Sitede reklam veya izleme çerezi yoktur; tek üçüncü taraf ölçüm aracı Google Analytics’tir ve nasıl kapatabileceğinizi aşağıda anlatıyoruz.
• Reklamlarınızı gören kişilerin kişisel verilerini toplamayız: platformlardan yalnız kişiye indirgenemeyen toplu performans sayıları alırız.

Bu bölüm yalnızca bir özettir; bağlayıcı olan aşağıdaki tam metindir.

Bu politika, mecrio.com alan adı üzerinden sunulan Mecrio web uygulamasını ve ona bağlı hizmetleri (birlikte “Hizmet”) kapsar. KVKK kapsamında veri sorumlusu, GDPR kapsamında “controller” sıfatıyla hareket eden taraf Mecrio’dır (“biz”). İletişim bilgileri son bölümdedir.

İki farklı rol üstleniriz. Hesabınıza, işletme profilinize, güvenliğe ve Hizmetin işletilmesine ilişkin verilerde amaç ve araçları biz belirleriz; burada veri sorumlusuyuz. Buna karşılık projelerinize koyduğunuz içerik, reklam metin ve görselleriniz, hedefleme tercihleriniz ve bağlı reklam hesaplarınızdan gelen veriler bakımından amacı siz belirlersiniz; bu verileri sizin talimatınızla ve size hizmet sunmak için işleriz. Bu içeriklerin hukuka uygunluğu ve varsa üçüncü kişilere karşı aydınlatma yükümlülüğü size aittir.

Kullanım kuralları ayrıca Kullanım Koşulları’nda düzenlenmiştir.

Yalnızca Hizmeti sunmak, güvenliğini sağlamak ve yasal yükümlülüklerimizi yerine getirmek için gereken veriyi işleriz:

Toplamadıklarımız. Kart bilgisi işlemez ve saklamayız: abonelik ödemeleri ödeme kuruluşu üzerinden alınır, kart verisi bize hiçbir zaman ulaşmaz. Reklamlarınızı gören ya da formlarınızı dolduran kişilerin kişisel verilerini platformlardan çekmeyiz; potansiyel müşteri formlarında yalnızca formun adını ve kimliğini okur, gönderilen kayıtları almayız. Özel nitelikli kişisel veri (sağlık, inanç, biyometri gibi) talep etmez ve bu tür verileri Hizmete girmemenizi bekleriz.

Mecrio bugün şu reklam ağlarına bağlanabilir: Meta Ads, Google Ads, Microsoft Ads, TikTok Ads, LinkedIn Ads, X Ads, Reddit Ads, Pinterest Ads ve Snapchat Ads. Bağlantı, platformun kendi izin ekranı üzerinden (OAuth ile) kurulur: platform şifreniz bize hiçbir zaman ulaşmaz.

İzin ekranında hangi yetkileri verdiğinizi platformun kendisi gösterir. Genel olarak istediğimiz erişim şu işleri kapsar:

• Erişebildiğiniz reklam hesaplarını listelemek ve birini seçmenizi sağlamak,
• Kampanya, reklam grubu ve reklamları okumak; sizin talimatınızla oluşturmak, güncellemek, durdurmak veya kaldırmak,
• Performans raporlarını okumak (gösterim, tıklama, harcama, dönüşüm gibi toplu sayılar),
• Hedefleme seçeneklerini, dönüşüm izleme varlıklarını ve potansiyel müşteri formlarını listelemek,
• Bazı ağlarda reklamın teknik olarak yayınlanabilmesi için gereken kurumsal varlıkları (sayfa, kurumsal hesap, pano veya gönderi gibi) okumak ve yayınlamak.

Jetonlar nasıl korunur. Erişim ve yenileme jetonları yalnızca sunucu tarafında saklanır, tarayıcınıza hiçbir zaman gönderilmez ve süresi dolduğunda arka planda yenilenir. Bağlantıyı kestiğinizde jetonu platformda iptal etmeye çalışır, ardından kaydı sileriz. Daha önce çekilmiş kampanya ve rapor verileri projenizde kalmaya devam eder; bunları kampanyayı veya projeyi silerek kaldırabilirsiniz.

Reklam platformlarından aldığımız veriyi satmayız, başka kullanıcıların verisiyle harmanlamayız ve size gösterdiğimiz raporlar ile yapay zekâ önerileri dışında bir amaçla kullanmayız. Her platformun geliştirici şartları da bunu gerektirir.

Projenize Google Analytics veya Google Search Console bağladığınızda bağlantı Google’ın kendi izin ekranı üzerinden kurulur ve yalnızca okuma izni isteriz: Google Analytics için verilerinizi görme ve indirme, Google Search Console için doğrulanmış sitelerinizin verilerini görme. Mecrio bu servislerde hiçbir ayarı değiştirmez.

Okuduğumuz ve sakladığımız veriler:

• Erişebildiğiniz mülklerin ve sitelerin listesi (birini seçmeniz için) ile seçtiğiniz mülkün adı, saat dilimi, para birimi, önemli etkinlik adları ve Google Ads bağlantı bilgisi,
• Google Search Console: sitenizin Google aramasındaki günlük tıklama, gösterim ve ortalama sıra sayıları (cihaz ve ülke kırılımıyla) ve son 28 günün en çok tıklanan arama sorguları, sayfaları, ülkeleri ve cihazları,
• Google Analytics: sitenizin günlük oturum, etkileşimli oturum, önemli etkinlik ve gelir sayıları (trafik kanalı kırılımıyla), Mecrio’dan yayınlanan kampanyalarınızın izleme etiketleriyle eşleşen satırlar ve son 28 günün en çok ziyaret edilen açılış sayfaları.

Bunlar Google’ın verdiği toplu sayılardır; ziyaretçilerinizi tek tek tanımlayan bir veri veya demografik bilgi istemeyiz ve saklamayız.

Ne için kullanırız. Bu verileri Raporlar, Genel Bakış ve kampanya ayrıntısındaki “Sitedeki sonuç” bölümlerinde size göstermek ve siz Mecrio AI’ya soru sorduğunuzda ya da bir kampanya hazırlarken cevaba projenizin bağlamı olarak vermek için kullanırız; bu durumda ilgili özet, yukarıdaki yapay zekâ bölümünde sayılan sağlayıcıya iletilir. Google’dan aldığımız veriyi satmayız, reklam göstermek için kullanmayız, başka kullanıcıların verisiyle harmanlamayız ve yapay zekâ modeli eğitmek için kullanmayız; yalnızca sizin projenizde, size gösterdiğimiz özellikler için kullanırız.

Saklama ve silme. Günlük sayılar en çok 400 gün, son 28 günün listeleri en çok 120 gün, eşitleme kayıtları 30 gün saklanır; daha eskisi her gece otomatik silinir. Bağlantıyı kaldırdığınızda o projeye ait Google Analytics veya Google Search Console verilerinin tamamı ve erişim bilgileri hemen silinir. Mecrio’nun Google Hesabınızdaki erişimini, Google Hesabınızın bağlı uygulamalar sayfasından da kaldırabilirsiniz; bu, aynı Google hesabıyla kurduğunuz Google Ads bağlantısını da kapatır.

Hizmetteki yapay zekâ işleri Mecrio’nın kendi sağlayıcı hesapları üzerinden çalışır; sizden API anahtarı istenmez ve saklanmaz. Veri iki yerde sağlayıcıya çıkar:

• Üretim ve öneriler. Metin, görsel, video üretimi ve agent sohbeti sırasında istemleriniz, marka bağlamınız, seçtiğiniz referans görseller, ilgili kampanya bilgileri ve sohbet geçmişi o işi yapan sağlayıcının modeline iletilir.
• Proje analizi. İlk proje kurulumundaki derin analizde verdiğiniz web sitesi adresi gerçek bir tarayıcıda açılır; sayfanın metni ve ekran görüntüsü ile yüklediğiniz logo ve görseller, marka profilini çıkarmak için çok-modlu bir modele gönderilir.

Bugün kullanılan sağlayıcılar: Anthropic, Higgsfield, OpenAI ve Google.

Sağlayıcı sözleşmeleri bizdedir. Bu sağlayıcılarla kurumsal API koşullarında çalışmayı ve girdi ile çıktıların model eğitiminde kullanılmamasını hedefleriz. Bir sağlayıcının koşulları değiştiğinde listeyi ve bu metni güncelleriz; sizinle sağlayıcı arasında ayrı bir sözleşme kurulmaz.

Otomatik karar verme yoktur. Yapay zekânın ürettiği metin, görsel, hedefleme veya bütçe önerileri birer öneridir; hiçbiri sizin onayınız olmadan uygulanmaz veya yayınlanmaz. KVKK m.11/(g) ve GDPR m.22 anlamında, hakkınızda hukuki sonuç doğuran ya da sizi benzer biçimde önemli ölçüde etkileyen münhasıran otomatik bir karar üretmiyoruz.

Her işleme faaliyetinin hukuki sebebini ayrı ayrı belirleriz; her işlemeyi açık rızaya dayandırmayız.

Meşru menfaate dayanan işlemelerde, menfaatimizin sizin temel hak ve özgürlüklerinize zarar vermemesi için dengeleme yaparız; bu işlemelere itiraz etme hakkınız vardır.

Reklam, yeniden hedefleme veya davranışsal profilleme çerezi kullanmıyoruz. Sitede kullanılan çerezler şunlardır:

Ölçümleme hakkında açık olalım. Yalnızca üretim ortamında Google Analytics 4 kullanıyoruz. Ölçtüğümüz şey; sayfa görüntülemeleri ile giriş, kayıt ve erken erişim formu gibi birkaç adımın tamamlanıp tamamlanmadığıdır. Ölçümleme çerezleri zorunlu çerez değildir ve mevzuat bunlar için önceden açık rıza arar; bu rızayı toplayan bir çerez tercih paneli üzerinde çalışıyoruz. Panel yayına girene kadar ölçümlemeyi tarayıcınızın çerez ayarlarından veya Google’ın resmî devre dışı bırakma eklentisiyle engelleyebilirsiniz; engellemeniz Hizmetin çalışmasını etkilemez. Google’ın bu verileri nasıl işlediği için Google’ın açıklamasına bakabilirsiniz.

Bot koruması. Giriş, kayıt ve şifre sıfırlama sayfalarında çalışan güvenlik doğrulaması, kullanım biçimine göre kısa ömürlü teknik bir çerez yerleştirebilir. Bu çerez güvenlik amaçlıdır ve zorunlu çerez niteliğindedir; ölçümleme veya reklam için kullanılmaz.

Yerel depolama. Tarayıcınızın yerel deposunda tuttuğumuz kayıtlar sunucuya gönderilmez ve yalnızca cihazınızda kalır: tema tercihi, para birimi tercihi, açık proje ve proje listesi, kurulum sırasında oluşturulan proje kimliği, bekleyen ekip daveti ve reklam düzenleyicideki taslağınızın otomatik kaydı. Tarayıcı verilerinizi temizleyerek bunları silebilirsiniz.

Altyapı ve hizmet sağlayıcılarımız — verinizi yalnız bizim talimatımızla, bize hizmet sunmak için işlerler:

• Supabase — kimlik doğrulama, veritabanı, dosya depolama ve tek bir uç fonksiyon. Gizlilik politikası
• Cloudflare — barındırma, içerik dağıtımı, görsel optimizasyonu, işlem e-postalarının gönderimi, hız sınırı sayaçları, giriş sayfalarındaki bot koruması (Turnstile) ve proje analizinde web sitesini açan tarayıcı hizmeti. Gizlilik politikası
• Resend — Cloudflare üzerinden gönderim başarısız olduğunda devreye giren yedek e-posta sağlayıcısı. Gizlilik politikası
• Google — ölçümleme (Google Analytics) ve Google ile giriş’i kullanırsanız kimlik doğrulama. Gizlilik politikası
• Ödeme sağlayıcımız — abonelik ödemelerinin alınması ve faturalandırma. Kart bilgileriniz doğrudan ödeme sağlayıcısına gider; bize yalnız abonelik durumu ve işlem kimliği döner. Sağlayıcının kimliğini ve gizlilik politikasını info@mecrio.com adresinden isteyebilirsiniz.

Sizin başlattığınız işlemlerle veri şu taraflara iletilir:

• Reklam platformları (Meta Ads, Google Ads, Microsoft Ads, TikTok Ads, LinkedIn Ads, X Ads, Reddit Ads, Pinterest Ads ve Snapchat Ads) — kampanya kurduğunuzda veya yayınladığınızda kampanya yapısı, hedefleme tercihleri, reklam metinleri ve medya dosyaları bağlı reklam hesabınıza iletilir. Bu noktadan sonra ilgili platformun kendi şartları ve gizlilik politikası geçerlidir.
• Yapay zekâ sağlayıcıları (Anthropic, Higgsfield, OpenAI ve Google) — üretim veya analiz başlattığınızda istemleriniz ve ilgili bağlam, o iş için kullanılan sağlayıcıya gönderilir. Sağlayıcıyı siz seçmezsiniz: hangisinin çalışacağına işin türü karar verir.

Diğer hâller. Kanunen yetkili kamu kurumlarının usulüne uygun taleplerini karşılamak, haklarımızı korumak ya da kullanıcıların güvenliğini sağlamak için gereken en az veriyi paylaşabiliriz. Birleşme, devir veya benzeri bir şirket işleminde veriler, bu politikadaki korumaların sürmesi şartıyla devralana geçebilir; böyle bir durumda sizi önceden bilgilendiririz.

Kişisel verilerinizi satmıyoruz, pazarlama amacıyla üçüncü taraflara açmıyoruz ve reklam ağı olarak kullanmıyoruz.

Altyapı sağlayıcılarımızın, reklam platformlarının ve yapay zekâ sağlayıcılarının sunucuları Türkiye dışında bulunur. Bu nedenle verileriniz yurt dışına aktarılmaktadır.

KVKK bakımından. 7499 sayılı Kanunla değiştirilen ve 1 Haziran 2024’te yürürlüğe giren KVKK m.9, aktarım için kademeli bir sıra öngörür: önce Kurul’un yeterlilik kararı; yeterlilik kararı yoksa taraflarca sağlanacak uygun güvenceler (Kurul’un yayımladığı standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya uluslararası sözleşme); bunlar da yoksa yalnızca arızi olarak uygulanabilen ve dar yorumlanan istisnai hâller. Kurul bugüne kadar hiçbir ülke veya sektör için yeterlilik kararı vermemiştir. Bu nedenle aktarımlarımızı m.9/2’deki uygun güvencelere dayandırırız; standart sözleşme kullanıldığında imza tarihinden itibaren beş iş günü içinde Kurul’a bildirim yapılır.

GDPR bakımından. AB/AEA dışına yapılan aktarımlarda Tüzük’ün V. Bölümü uygulanır: Avrupa Komisyonu’nun yeterlilik kararı bulunan ülkelerde bu karara, aksi hâlde Standart Sözleşme Maddeleri (SCC) gibi uygun güvencelere dayanılır.

Reklam platformlarına ve yapay zekâ sağlayıcılarına yapılan aktarımlar sizin talimatınızla gerçekleşir ve büyük ölçüde sizin o sağlayıcıyla kurduğunuz ilişkiye tabidir; bu sağlayıcıların kendi aktarım mekanizmaları için politikalarına bakmanızı öneririz.

Kişisel verileri, işlendikleri amaç için gerekli olan süre boyunca; bu sürenin sonunda ise ancak yasal bir yükümlülük ya da bir hakkın tesisi, kullanılması veya korunması gerektiriyorsa saklarız. Uygulamada:

Yedekler. Silinen veriler, sağlayıcılarımızın rutin yedekleme döngüsü tamamlanana kadar kısa bir süre yedeklerde kalabilir. Bu yedekler yalnızca felaket kurtarma amacıyla tutulur; silinmiş bir kaydı yedekten geri getirmeyiz.

• Tüm trafik TLS ile şifrelenir.
• Veritabanında satır bazlı güvenlik uygulanır: her kullanıcı yalnızca sahibi ya da üyesi olduğu projelerin verisine erişebilir. Ekip erişimi rol bazlıdır (sahip, yönetici, editör, görüntüleyici).
• OAuth jetonları yalnız sunucu tarafında tutulur; arayüz katmanına okuma izni verilmez ve tarayıcıya hiçbir zaman gönderilmez.
• Yüklediğiniz ve üretilen medya dosyaları herkese açık olmayan bir alanda saklanır; erişim yalnızca kısa ömürlü, imzalı bağlantılarla sağlanır.
• Şifreler kimlik doğrulama sağlayıcımız tarafından geri döndürülemez biçimde saklanır; biz göremeyiz ve değiştiremeyiz.
• Eylem günlüğü sonradan değiştirilemez ve silinemez biçimde tutulur.
• Giriş, kayıt ve şifre sıfırlama sayfaları bot korumasıyla (Cloudflare Turnstile) korunur. Doğrulama sırasında IP adresiniz ve temel tarayıcı sinyalleri Cloudflare’e iletilir; sağlayıcının açıklamasına göre bu veri yalnızca güvenlik amacıyla işlenir, reklam veya kullanıcı takibi için kullanılmaz. Bu adım, kaba kuvvet denemelerini ve otomatik hesap açmayı engellemek için gereklidir.

Hiçbir sistem tümüyle güvenli değildir. Bir veri ihlali tespit edersek KVKK m.12/(5) uyarınca Kişisel Verileri Koruma Kurulu’na en kısa sürede (Kurul kararı gereği kural olarak 72 saat içinde) ve etkilenen ilgili kişilere; GDPR kapsamında ise m.33 ve m.34 uyarınca yetkili denetim makamına ve gerekli hâllerde etkilenen kişilere bildirim yaparız.

KVKK m.11 uyarınca veri sorumlusuna başvurarak şu haklara sahipsiniz:

• Kişisel verinizin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında verilerinizin aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmişse düzeltilmesini isteme ve bu işlemin aktarım yapılan üçüncü kişilere bildirilmesini isteme,
• KVKK m.7’deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme ve bu işlemin aktarım yapılan üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme,
• Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

AB/AEA’de bulunuyorsanız GDPR uyarınca ayrıca erişim (m.15), düzeltme (m.16), silinme (m.17), işlemenin kısıtlanması (m.18), veri taşınabilirliği (m.20), meşru menfaate dayalı işlemeye itiraz (m.21) ve rızaya dayanan işlemelerde rızanızı geri çekme haklarına sahipsiniz. Veri taşınabilirliği KVKK’da ayrıca sayılan bir hak değildir; bu hakkı GDPR kapsamındaki kullanıcılarımız için uygularız.

Kendi başınıza yapabilecekleriniz. Ad, dil ve para birimi tercihinizi Ayarlar’dan güncelleyebilir; şifrenizi değiştirebilir; aboneliğinizi iptal edebilir; platform bağlantılarını kesebilir; proje, kampanya ve kreatiflerinizi silebilirsiniz. Hesabınızın tümüyle silinmesi ve verilerinizin dışa aktarılması için talebinizi aşağıdaki adrese iletmeniz gerekir — panelde tek adımda hesap silme özelliği henüz yoktur.

Taleplerinizi info@mecrio.com adresine iletebilirsiniz. Kimliğinizi doğruladıktan sonra KVKK m.13 uyarınca en geç 30 gün içinde, GDPR kapsamında ise kural olarak bir ay içinde (gerekirse iki ay ek süreyle, sizi bilgilendirerek) ücretsiz yanıt veririz. Bu hakların hiçbiri mutlak değildir; başka kişilerin hakları veya yasal yükümlülüklerimiz nedeniyle bir talebi kısmen ya da tümüyle karşılayamazsak gerekçesini yazılı olarak açıklarız.

Şikâyet. Türkiye’de Kişisel Verileri Koruma Kurumu’na, AB/AEA’de bulunduğunuz ülkenin denetim makamına başvurabilirsiniz.

Size yalnızca işlem e-postaları göndeririz: e-posta doğrulama, şifre sıfırlama, ekip daveti, hoş geldiniz mesajı ve erken erişim başvurusu onayı. Bu mesajlar Hizmetin işleyişinin bir parçasıdır ve pazarlama içeriği taşımaz.

Bülten veya tanıtım amaçlı elektronik ileti göndermiyoruz. İleride göndermeye başlarsak, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve Ticari Elektronik İleti Yönetmeliği uyarınca önceden onayınızı alır, onayı İleti Yönetim Sistemi (İYS) üzerinden yönetir ve her iletide kolay bir ret imkânı sunarız.

Hizmet ticari kullanıma yöneliktir ve 18 yaş altındaki kişilere sunulmaz. Bilerek çocuklara ait veri toplamayız; böyle bir veri işlendiğini fark edersek gecikmeksizin sileriz. Çocuğunuza ait bir verinin işlendiğini düşünüyorsanız bizimle iletişime geçin.

Hizmet geliştikçe ya da mevzuat değiştikçe bu politikayı güncelleyebiliriz. Güncel sürümün tarihi sayfanın başında yer alır. Sizin için önemli sonuç doğuran değişiklikleri yürürlüğe girmeden önce uygulama içinden veya e-posta ile duyururuz. Değişiklikten sonra Hizmeti kullanmaya devam etmeniz güncel politikayı okuduğunuz anlamına gelir; ancak yeni bir işleme için rızanız gerekiyorsa bu rıza ayrıca alınır.

Gizlilikle ilgili tüm soru, talep ve başvurular için: info@mecrio.com

Kullanım kuralları için Kullanım Koşulları sayfasına bakın.