Gizlilik Politikası
Son güncelleme: 2026-06-02
UnifyBox, Bestami Caner Kınalı ("biz", "bize", "bizim") tarafından işletilen bir hizmettir. Türkiye'de tescilli şahıs şirketidir. Bu Gizlilik Politikası UnifyBox'ı kullanırken topladığımız kişisel verileri, nasıl kullandığımızı, kimlerle paylaştığımızı ve KVKK (Türkiye), GDPR (AB/AEA) ve benzer yasalar kapsamındaki haklarınızı açıklar. Hem operatörler (müşterilerimiz) hem de uç-kullanıcılar (operatörlerin müşterileri) için geçerlidir.
1. Veri Sorumlusu
Bestami Caner Kınalı veri sorumlusudur. Vergi No: 5561006332. Tescilli adres: Adalet Mah. Manas Bulv. No:47/B K:26 D:2601 Folkart Towers A Kule, 35530 Bayraklı, İzmir, Türkiye. Gizlilik iletişim: [email protected]. Hizmet URL'i: https://app.unifybox.io.
2. Topladığımız Bilgiler
Operatör hesap verileri: ad, e-posta, çalışma alanı adı, parola hash'i, fatura bilgileri (LemonSqueezy tarafından işlenir — kart numaralarını asla görmüyoruz). Uç-kullanıcı konuşma verileri: bir müşteri UnifyBox'a bağlı bir kanaldan (WhatsApp Business API, Instagram, Messenger) işletmeyle mesajlaştığında, mesaj içeriği, kanal kimliği (telefon numarası veya sosyal medya kullanıcı adı), zaman damgaları ve gönderilen medyaları alırız. Entegrasyon kimlik bilgileri: üçüncü taraf bir hizmet bağladığınızda, özelliğin ihtiyaç duyduğu minimum izinlerle sınırlı bir OAuth erişim token'ı ve refresh token'ı saklıyoruz. Kimlik bilgileri AES-256 ile şifrelenerek saklanır. Kullanım telemetrisi: API istekleri, AI model kullanımı (token sayıları, model kimliği), hata olayları ve güvenlik ile kapasite planlama amaçlı temel tarayıcı/IP meta verileri.
3. Google API Hizmetleri
Google Calendar'ı bağladığınızda UnifyBox sizin adınıza iki kapsama (scope) erişir: https://www.googleapis.com/auth/calendar.readonly (hesabınızdaki takvimleri listelemek için — AI ajanının hangisini kullanacağını seçebilmeniz — ve bir müşteriye randevu önerisi sunmadan önce uygunluk aralıklarını okumak için), ve https://www.googleapis.com/auth/calendar.events (siz veya AI ajanımız bir müşteri talebine göre etkinlik oluşturduğunda, güncellediğinde, yeniden planladığında veya iptal ettiğinde). UnifyBox'un Google API'lerinden aldığı bilgileri kullanımı ve transferi, Limited Use (Sınırlı Kullanım) gereklilikleri dahil olmak üzere Google API Services User Data Policy'ye (https://developers.google.com/terms/api-services-user-data-policy) tabidir. Google kullanıcı verisini üçüncü taraflara aktarmıyoruz (madde 7'de listelenen alt-işleyiciler dışında — bunlar bizim adımıza hareket eder ve sözleşmeyle aynı kapsamla sınırlandırılmıştır), Google kullanıcı verisini reklam için kullanmıyoruz, jenerik veya üçüncü taraf AI/ML modellerini eğitmek için kullanmıyoruz ve güvenlik, sizin bildirdiğiniz bir sorunun ayıklanması veya geçerli yasalara uyum dışında insanların okumasına izin vermiyoruz. Google'ın UnifyBox erişimini istediğiniz zaman https://myaccount.google.com/permissions üzerinden iptal edebilirsiniz; bu, hesabınız için tuttuğumuz refresh token'ı anında geçersiz kılar — saklanan token 24 saat içinde silinir.
4. Meta Platformları (WhatsApp, Instagram, Messenger)
Operatörler WhatsApp Business hesaplarını, Instagram Professional hesaplarını ve Facebook Sayfalarını Meta'nın OAuth akışı üzerinden bağlar. Yalnızca bağlı kanallarda mesaj gönderip almak ve yapılandırma meta verilerini (telefon numarası kimliği, işletme adı, sayfa adı) okumak için gereken erişim token'larını alırız. Uç-kullanıcı telefon numaraları ve sosyal medya kullanıcı adları, ekibinizin veya AI ajanının yanıt verebilmesi için veritabanımızda saklanır. WhatsApp Business Platform Terms (24 saatlik müşteri hizmetleri penceresi, şablon mesaj kuralları, opt-out yönetimi) ve Meta'nın Platform Terms'üne uyuyoruz. Meta'dan elde edilen verileri reklam veya AI model eğitimi için kullanmıyoruz. Uç-kullanıcılar "DUR" veya "STOP" yazarak istedikleri zaman daha fazla mesajlaşmadan çıkabilirler — opt-out'ları anında uygular ve bağlı operatöre iletiriz. Uç-kullanıcılar konuşma geçmişlerinin silinmesini de operatörle iletişime geçerek veya [email protected] adresine yazarak talep edebilirler.
5. Bağlı E-ticaret ve Takvim Entegrasyonları
Operatörler e-ticaret platformları (Shopify, ikas, WooCommerce, Shopier, Trendyol, Hepsiburada) ve takvim sağlayıcılarını (Google Calendar, Calendly) bağlayabilir. Her bağlantı için yalnızca operatör adına ilgili API'yi çağırmak için gereken kimlik bilgilerini saklarız — genellikle bir OAuth token'ı artı kimlik tanımlayıcı meta veriler (mağaza alan adı, takvim e-postası). Her entegrasyon yalnızca özelliğinin gerektirdiği uç noktaları çağırır (ürün/stok verisi okuma, uygunluk okuma, etkinlik oluşturma veya güncelleme). Bu platformlardan ödeme kimlik bilgilerini asla saklamayız veya işlemeyiz. Bağlanılabilir sağlayıcıların tam listesi ve her biri için talep ettiğimiz kapsamlar bağlantı sırasında OAuth onay ekranında gösterilir. Bir entegrasyonun wizard'dan ayrılması erişimimizi anında iptal eder ve 24 saat içinde token silmeyi tetikler.
6. Bilgilerinizi Nasıl Kullanıyoruz
Yukarıdaki verileri şunlar için kullanırız: kayıt olduğunuz mesajlaşma gelen kutusunu ve AI yanıtlarını sunmak; ekibiniz veya AI ajanımız bir eylem gerçekleştirdiğinde üçüncü taraf API'leri (Shopify, Google Calendar, Meta vb.) sizin adınıza çağırmak; LemonSqueezy üzerinden çalışma alanınızı faturalandırmak; dolandırıcılık ve kötüye kullanımı önlemek; yasal yükümlülükleri yerine getirmek (Türkiye yasaları uyarınca 10 yıla kadar vergi kaydı saklama gibi); ve toplu, kimliklendirilemez telemetri yoluyla ürün güvenilirliğini iyileştirmek. Kişisel veri satmıyoruz. Google kullanıcı verisini, Meta kullanıcı verisini veya uç-kullanıcı konuşma içeriğini AI/ML modellerini eğitmek için kullanmıyoruz.
7. Veri Paylaşımı ve Alt-İşleyiciler
Kişisel veriyi yalnızca hizmeti bizim adımıza işleten alt-işleyicilerle paylaşırız: Hetzner Online GmbH (Almanya, AB) — birincil altyapı barındırma; Supabase (Hetzner altyapımızda self-hosted) — birincil veritabanı + kimlik doğrulama; Cloudflare R2 — şifrelenmiş medya depolama (konuşmalarda yüklenen görseller, sesli notlar, belge ekleri); Google Gemini API — AI yanıtları için model çıkarımı (stateless çağrılar; sağlayıcı kullandığımız API planında istek yaşam döngüsünün ötesinde girdileri saklamaz); Meta (WhatsApp, Instagram, Messenger) — operatörler adına mesaj alıp gönderme; LemonSqueezy — ödeme işleme; madde 5'te listelenen bağlı e-ticaret ve takvim sağlayıcıları — yalnızca siz veya AI ajanınızın başlattığı eylemler üzerine. Tüm alt-işleyiciler sözleşmeyle GDPR/KVKK eşdeğer korumalara bağlıdır. Kişisel veri satmıyoruz ve reklam verenlerle paylaşmıyoruz.
8. Veri Depolama ve Güvenlik
Birincil uygulama verileri (hesaplar, konuşmalar, entegrasyon token'ları) self-hosted Supabase kurulumumuz kullanılarak Hetzner sunucularında, Almanya'da (AB) saklanır. Medya dosyaları (konuşmalarda gönderilen görseller, sesli notlar, belge ekleri) Cloudflare R2'de bekleme halinde şifrelenmiş olarak saklanır — bu dosyalara yalnızca kısa pencerelerde geçerli olan imzalı URL'ler aracılığıyla erişilebilir. Tüm trafik aktarım sırasında TLS 1.2 veya üzeri ile şifrelenir. Entegrasyon kimlik bilgileri (Google OAuth refresh token'ları, Meta erişim token'ları, e-ticaret platformu API anahtarları) AES-256 ile bekleme halinde şifrelenir. Üretim sistemlerine erişim, denetlenmiş kimlik bilgilerine sahip yetkili personelle sınırlıdır. Şüpheli aktiviteyi izler ve güvenlik açısından kritik bağımlılıkları hızla yamarız. Yukarıdaki tarih itibarıyla veri ihlali yaşamadık; yaşarsak GDPR Madde 33 uyarınca etkilenen kullanıcılara 72 saat içinde bildirim yapılır.
9. Veri Saklama
Aktif çalışma alanı verileri hesap aktif olduğu sürece saklanır. Kapatılan çalışma alanları geri yükleme için 30 gün saklanır, ardından kalıcı olarak silinir — yasal olarak daha uzun süre tutmamız gerekmediği sürece (Türkiye vergi mevzuatı: faturalar ve mali kayıtlar için 10 yıla kadar). Bağlı entegrasyon token'ları (Google Calendar, Meta, e-ticaret) bağlantı kesildikten sonra 24 saat içinde silinir. AI kullanım kayıtları 90 gün tutulur sonra toplanır; ham konuşma içeriği çalışma alanı aktif olduğu sürece kalır ve hesap kapanışında 30 günlük bekleme süresine tabi olarak silinir. Cloudflare R2'deki medya dosyaları ait olduğu konuşmanın yaşam döngüsünü takip eder. Uç-kullanıcılar konuşma geçmişlerinin silinmesini istedikleri zaman operatörle iletişime geçerek veya [email protected] adresine yazarak talep edebilirler — doğrulanan talepleri 30 gün içinde sileriz.
10. Haklarınız (KVKK ve GDPR)
KVKK (Türkiye), GDPR (AB/AEA) ve benzer yasalar kapsamında şu haklara sahipsiniz: hakkımızda tuttuğumuz kişisel verilere erişim; yanlış verileri düzeltme; verilerinizin silinmesi (yasal saklama yükümlülüklerine tabi); işlemenin kısıtlanması veya buna itiraz etme; verilerinizin taşınabilir bir kopyasını alma; rızaya dayalı işleme için rızayı geri çekme; ve denetim makamına (Türkiye'de KVKK Kurumu, AB'de yerel veri koruma otoritesi) şikayette bulunma. Bu haklardan herhangi birini kullanmak için [email protected] adresine yazın — 30 gün içinde yanıtlarız. Uç-kullanıcılar (operatör müşterileri): önce operatörle iletişime geçin; çözülmezse doğrudan bize ulaşın.
11. Çerezler
Kimlik doğrulama, güvenlik ve oturum yönetimi için zorunlu çerezler kullanıyoruz. İsteğe bağlı analiz çerezleri tarayıcı ayarlarınız veya çerez onay banner'ımızdan kontrol edilebilir. Sizi web genelinde takip eden reklam veya izleme çerezleri kullanmıyoruz.
12. Çocukların Gizliliği
UnifyBox, işletmeler için tasarlanmış bir B2B üründür. 16 yaşın altındaki kişilerden bilerek kişisel veri toplamayız. Bir çocuğun bize kişisel veri sağladığına inanıyorsanız [email protected] adresine yazın, sileriz.
13. Uluslararası Transferler
Birincil altyapımız Almanya'dadır (AB). Bazı alt-işleyiciler başka yerlerde çalışır (Google Gemini, Meta sunucuları Amerika Birleşik Devletleri ve diğer yerlerde) — bu durumlarda veri ilgili yasal mekanizmalar altında transfer edilir (AB Standart Sözleşme Hükümleri, yeterlilik kararları veya KVKK Madde 9 kapsamındaki eşdeğer mekanizmalar).
14. Değişiklikler ve İletişim
Bu politika değiştiğinde "Son güncelleme" tarihini güncelliyoruz. Önemli değişiklikler uygulama içinde ve dosyadaki hesap e-postasına en az 30 gün önceden duyurulur. Gizlilik soruları, şikayetler, KVKK/GDPR hak talepleri: [email protected]. Posta: Bestami Caner Kınalı, Adalet Mah. Manas Bulv. No:47/B K:26 D:2601 Folkart Towers A Kule, 35530 Bayraklı, İzmir, Türkiye.