Gizlilik Politikası

1. Veri sorumlusu

Zeisoft Yazılım Limited Şirketi, Atatürk Mh. 2190 Sk. No:2A Urla/İzmir, Türkiye. MERSİS: 0997199821900001. İletişim: hello@heymetra.com. Bu politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) md. 10 kapsamındaki aydınlatma metni yerine de geçer.

2. Kapsam

Bu politika heymetra.com ve app.heymetra.com ziyaretçilerinin ve HeyMetra hesap sahiplerinin verilerini kapsar. Bağlı hesaplarınızdaki veriler HeyMetra sunucularında tutulmaz ve işlenmez. Bu konu Veri Aktarımı ve Sorumluluk Bildirimi'nde anlatılır.

3. İşlediğimiz veriler, amaçlar ve hukuki sebepler

Hesap ve kimlik doğrulama

Ad, e-posta, şifre özeti, çalışma alanı ve ekip bilgileri, oturum ve yetkilendirme kayıtları. Amaç: hesabı oluşturmak, giriş ve yetkilendirmeyi sağlamak. Hukuki sebep: sözleşmenin ifası (KVKK md. 5/2-c; GDPR md. 6(1)(b)).

Güvenlik

IP adresi, cihaz ve tarayıcı bilgisi, giriş denemeleri, işlem kayıtları ve hata kayıtları. Amaç: kötüye kullanımı, yetkisiz erişimi ve dolandırıcılığı önlemek, hataları gidermek. Hukuki sebep: meşru menfaat ve hukuki yükümlülük (KVKK md. 5/2-ç, f; GDPR md. 6(1)(c), (f)).

Faturalandırma

Fatura bilgileri, plan ve ödeme durumu. Kart bilgileri bizde değil, ödeme sağlayıcısında işlenir. Amaç: ücretlendirme, fatura ve vergi yükümlülükleri. Hukuki sebep: sözleşme ve hukuki yükümlülük.

Analitik ve ısı haritası

Görüntülenen sayfalar, tıklamalar, kaydırma ve fare hareketleri, oturum süresi, yaklaşık konum (ülke ya da şehir), cihaz bilgisi ve ilgili ayar açıksa oturum kaydı. Amaç: siteyi ve ürünü iyileştirmek. Hukuki sebep: sitenin nasıl kullanıldığını anlamaktaki meşru menfaatimiz ve mevzuatın gerektirdiği yerde açık rızanız (KVKK md. 5/1; GDPR md. 6(1)(a), (f); ePrivacy kuralları). Bu araçları çerez bandından istediğiniz zaman kapatabilirsiniz.

Reklam ölçümü

Hangi reklamdan geldiğiniz, reklam tıklama kimlikleri (gclid, fbclid ve benzerleri) ve kayıt, satın alma gibi dönüşüm olayları. Amaç: reklamların etkisini ölçmek ve kampanyaları yönetmek. Hukuki sebep: analitikte olduğu gibi. Reklam ölçümünü çerez bandından ayrıca kapatabilirsiniz; tarayıcınız Global Privacy Control sinyali gönderiyorsa kapalı başlar.

E-posta pazarlaması

E-posta adresi, ad ve e-postaların açılma ve tıklanma bilgisi. Amaç: ürün haberleri ve kampanyalar. Hukuki sebep: açık rıza ve ticari elektronik ileti onayı (6563 sayılı Kanun ve İleti Yönetim Sistemi, İYS; GDPR md. 6(1)(a); ABD CAN-SPAM; Kanada CASL). Her pazarlama e-postasında tek tıkla abonelikten çıkma bağlantısı bulunur. Güvenlik, fatura ya da hizmet değişikliğiyle ilgili zorunlu bildirimler pazarlama sayılmaz ve bu onaydan bağımsız gönderilir.

İletişim ve destek

Bize yazdığınız mesajlar ve geri bildirimler. Amaç: talebinizi yanıtlamak. Hukuki sebep: sözleşme ve meşru menfaat.

4. Çerezler ve benzeri teknolojiler

Zorunlu çerezler (oturum, güvenlik ve çerez tercihiniz) her zaman çalışır. Analitik ve reklam araçları siz kapatmadıkça çalışır: Google Tag Manager, Google Analytics 4, Google Ads, Meta Pixel, Reddit Pixel ve PostHog (analitik, ısı haritası, oturum kaydı). Analitiği ve reklamı ayrı ayrı, istediğiniz zaman çerez bandından ya da Çerez Politikası sayfasından kapatabilirsiniz. Tarayıcınız Global Privacy Control (GPC) sinyali gönderiyorsa reklam takibi sizin için kapalı başlar.

5. Verilerin aktarıldığı alıcılar

Verileri yalnızca hizmeti sunmak için gereken hizmet sağlayıcılarla, sözleşme ve gizlilik yükümlülüğü altında paylaşırız:

• Cloudflare, Inc.: içerik dağıtımı ve güvenlik
• Dodo Payments: satıcı sıfatıyla ödeme ve faturalandırma
• Google LLC: analitik ve reklam
• Meta Platforms Ireland Ltd.: reklam ölçümü
• Reddit, Inc.: reklam ölçümü
• PostHog, Inc.: ürün analitiği
• Bir bulut barındırma sağlayıcısı: Avrupa Birliği'nde (Finlandiya) sunucu ve veri depolama
• Bir e-posta gönderim sağlayıcısı: hesap ve hizmet e-postaları

Ayrıca kanunen yetkili kamu kurum ve kuruluşlarıyla, kanunun gerektirdiği ölçüde paylaşırız. Kişisel verilerinizi satmayız.

6. Yurt dışına aktarım

Hizmet sağlayıcılarımızın bir kısmı Türkiye ve AB dışında, özellikle ABD'de bulunur. Türkiye kaynaklı veriler için aktarımlar KVKK md. 9 kapsamında Kurul'un ilan ettiği standart sözleşmelerle ve gerekli bildirimler yapılarak ya da açık rızanıza dayanarak gerçekleştirilir. AB/AEA ve Birleşik Krallık kaynaklı veriler için Avrupa Komisyonu Standart Sözleşme Maddeleri (SCC), Birleşik Krallık Ek Sözleşmesi ya da AB-ABD Veri Gizliliği Çerçevesi (DPF) kullanılır.

7. Saklama süreleri

Hesap verileri hesap açık kaldığı sürece ve kapanıştan sonra yasal zamanaşımı süresince (en fazla 10 yıl), fatura kayıtları Vergi Usul Kanunu ve Türk Ticaret Kanunu gereği 10 yıl, güvenlik ve işlem kayıtları hesap açık kaldığı sürece ve hesap silindikten sonra en geç 30 gün, analitik veriler en fazla 14 ay, reklam tıklama kimlikleri 90 gün, pazarlama onayı kayıtları onayın geri alınmasından sonra 3 yıl saklanır. Süre dolunca veriler silinir, yok edilir ya da anonim hale getirilir. Hesap silmenin adım adım nasıl işlediği KVKK ve Veri Silme sayfasındadır.

8. Haklarınız

Bulunduğunuz yere göre aşağıdaki haklara sahipsiniz.

Türkiye (KVKK md. 11)

Kişisel verinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde ya da yurt dışında aktarıldığı üçüncü kişileri bilme, eksik ya da yanlış işlenmişse düzeltilmesini isteme, silinmesini ya da yok edilmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etme ve kanuna aykırı işleme sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme. Başvurular, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak yazılı şekilde ya da sistemimizde kayıtlı e-posta adresinizden yapılabilir ve en geç 30 gün içinde ücretsiz yanıtlanır. Kişisel Verileri Koruma Kurulu'na şikâyet hakkınız saklıdır.

AB/AEA ve Birleşik Krallık (GDPR, UK GDPR)

Erişim, düzeltme, silme, işlemeyi kısıtlama, veri taşınabilirliği, meşru menfaate dayalı işlemeye ve doğrudan pazarlamaya itiraz, onayı her zaman geri alma ve yerel denetim makamına (Birleşik Krallık'ta ICO) şikâyet hakları.

ABD

Kaliforniya CCPA/CPRA ile Virginia, Colorado, Connecticut, Utah, Teksas, Oregon ve diğer eyalet yasaları kapsamında: hangi verilerin toplandığını bilme, bunlara erişme, düzeltme ve silme; kişisel verilerin satışından ve hedefli reklam için paylaşılmasından vazgeçme (opt-out); hassas verilerin kullanımını sınırlama ve bu hakları kullandığınız için ayrımcılığa uğramama hakları. Kişisel verileri satmıyoruz. Reklam ölçümü bu yasalar kapsamında "paylaşım" sayılabilir; bundan çerez ayarlarınızla ya da GPC sinyaliyle vazgeçebilirsiniz. Bir talebi reddedersek itiraz hakkınız vardır.

Diğer ülkeler

Brezilya LGPD, Kanada PIPEDA, Avustralya Privacy Act ve İsviçre FADP dahil: yerel mevzuatın tanıdığı haklar.

Talepleriniz için hello@heymetra.com adresine yazın. Kimliğinizi doğrulamak için ek bilgi isteyebiliriz. Yetkili temsilciniz aracılığıyla da başvurabilirsiniz.

9. Otomatik karar verme

Hakkınızda hukuki ya da benzeri önemli sonuç doğuran, yalnızca otomatik işlemeye dayanan bir karar vermeyiz.

10. Çocuklar

HeyMetra işletmelere yöneliktir. 18 yaşından küçüklerin kullanımı için tasarlanmamıştır ve bilerek çocuklara ait veri toplamayız.

11. Güvenlik

Verileri aktarım sırasında (TLS) ve depolamada şifreleme, erişim yetkilendirmesi, kayıt tutma ve en az yetki ilkesi gibi teknik ve idari tedbirlerle koruruz. Bir veri ihlali olursa Kurul'a ve ilgili kişilere mevzuatın gerektirdiği şekilde bildirim yaparız: KVKK ve GDPR kapsamında en geç 72 saat içinde, diğer mevzuatın öngördüğü sürelerde ilgili makamlara.

12. Değişiklikler

Bu politika güncellendiğinde yukarıdaki tarih değişir. Önemli değişiklikleri e-postayla ya da uygulama içinde duyururuz.