Gizlilik ve kişisel veriler

Son güncelleme: 23 Ekim 2026. Google verilerinin kullanımında bir değişiklik olursa bu sayfayı günceller, seni e-postayla bilgilendiririz.

1. Veri Sorumlusu

Mehmet Emin Bozkurt (şahıs işletmesi; "REACHHELM", "biz"). Merkez adresi: Ali Baba Mah. 5021. Sok. Botanik Sitesi A Blok No: 8, Karaköprü/Şanlıurfa. İletişim ve KVKK başvuruları: destek@reachhelm.com. REACHHELM, Mehmet Emin Bozkurt'a ait bir markadır. Telefon: 0850 840 21 93.

2. Topladığımız veriler ve nedenleri

Tanıtım sitesindeki Google Analytics ölçümü yalnız çerez panelinden izin verirsen çalışır. Analitik iznini sayfanın altındaki “Çerez tercihleri” bağlantısından dilediğin zaman geri alabilirsin. Kullanılan çerezlerin amacı ve süresi Çerez Politikası sayfasında açıklanır.

3. Toplamadıklarımız

• Platform şifrelerin — hiçbir zaman. Bağlantı, platformların resmi izin ekranlarıyla kurulur; izni istediğin an platform hesabından iptal edebilirsin.
• Ödeme kartı bilgilerin reklam bütçesi için bize gelmez; reklam bakiyesi kendi platform hesabında (Google/Meta/TikTok) durur.
• Müşterilerinin (senin müşterilerinin) kişisel verilerini kendi amacımız için işlemeyiz ve hiçbir raporda kişi bazında kullanmayız; raporlarda yalnız sayısal toplamlar (kaç mesaj, kaç arama) görünür. Sana yazan kişilerin mesajları ve Gelen müşteriler / CRM'e senin kaydettiğin bilgiler için aşağıdaki 3c maddesi geçerlidir.

3a. Google hesabından gelen veriler (Google API Hizmetleri)

Google hesabını (YouTube, Gmail, Google Ads, Google Analytics, Search Console, Google İşletme Profili) yalnız sen bağlarsın ve her biri için Google'ın kendi izin ekranında ayrı onay verirsin. Hangi izinle neyi okuruz:

• Google verileri yalnız sana gösterilmek ve senin istediğin işi yapmak için kullanılır. Satılmaz, reklam amacıyla kullanılmaz, yapay zekâ modellerini eğitmek için kullanılmaz, başkasına aktarılmaz (yasal zorunluluk ve güvenlik hariç).
• Çalışanlarımız Google verilerini okumaz; yalnız senin açık iznin, güvenlik incelemesi ya da yasal zorunluluk halinde ve toplu/anonim olarak bakılabilir.
• Erişim jetonları şifreli saklanır. Bağlantıyı Platformlar sayfasından kestiğinde jetonlar silinir; izni ayrıca myaccount.google.com/permissions adresinden de kaldırabilirsin. Hesabını silersen Google'dan gelen tüm veriler silinir.

Google API Services User Data Policy. REACHHELM's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements. Google user data is used only to provide and improve the user-facing features described above; it is not sold, not used for advertising, not used to train generalized AI/ML models, and not read by humans except with the user's explicit consent, for security purposes, to comply with applicable law, or when aggregated and anonymized.

3b. Hassas verileri nasıl koruruz (Google verileri dâhil)

Google'dan ve diğer platformlardan gelen erişim izinleri ile e-posta içerikleri "hassas veri"dir. Bunlar için uyguladığımız koruma:

• Şifreli kasa. Erişim ve yenileme jetonları veritabanına açık yazılmaz; her jeton ayrı bir rastgele anahtarla AES-256-GCM yöntemiyle şifrelenir ve yalnız sunucuda tutulan ana anahtarla açılır. Ana anahtar veritabanında, kodda ve yedeklerde bulunmaz. Şifreli kayıt üzerinde oynama yapılırsa (tek bir baytı bile) kayıt açılmaz, hata verir.
• Yolda şifreleme. Tarayıcın/uygulaman ile sunucumuz ve sunucumuz ile Google arasındaki tüm trafik HTTPS (TLS) ile şifrelidir; açık HTTP istekleri HTTPS'e yönlendirilir.
• E-posta içeriği saklanmaz. Gmail mesajların veritabanımıza yazılmaz. Gelen Kutusu'nu her açtığında liste ve mesaj içeriği Google'dan o anda okunur, cevabın doğrudan Gmail üzerinden gider. Yalnız listeyi hızlı göstermek için sunucu belleğinde en fazla 60 saniye tutulan geçici bir kopya vardır; süresi dolunca ya da bağlantı kesilince silinir, diske yazılmaz.
• Yalnız sen görürsün. Bağladığın hesabın verisi yalnız senin REACHHELM hesabına gösterilir. Ekibine eklediğin kişiler rol bazlı yetkiyle yalnız rolünün izin verdiği işleri yapar; hesabı silme, ödeme ve ekip yönetimi yalnız hesap sahibine açıktır.
• Şifreler geri çevrilemez. REACHHELM şifren Argon2 ile tek yönlü özetlenir; biz dâhil kimse şifreni okuyamaz. Şifreni değiştirdiğinde açık tüm oturumlar anında geçersiz olur.
• Saldırıya karşı sınırlar. Giriş ve API uçlarında hız sınırı ve güvenlik başlıkları uygulanır; yönetim paneli ayrı kimlik doğrulamasıyla korunur.
• En az yetki. Her Google ürünü için yalnız o işe yeten en dar izin istenir (ör. Gmail için "oku" ve "gönder"; silme, etiketleme, ayar değiştirme izni istenmez). Erişim yalnız sen o ekranı kullandığında gerçekleşir; arka planda e-postaların taranmaz.
• Yedekler. Veritabanı yedekleri şifreli jetonları şifreli hâliyle içerir (ana anahtar yedekte yoktur) ve en fazla 7 gün tutulup üzerine yazılır.
• Silme. Platformlar sayfasından bağlantıyı kestiğinde o hesabın jetonları anında silinir. REACHHELM hesabını sildiğinde tüm bağlantılar, jetonlar, cihaz kayıtları ve işletme verilerin aynı işlemde silinir.
• İhlal bildirimi. Verini etkileyen bir güvenlik ihlali öğrenirsek seni ve gerekli hâllerde Kişisel Verileri Koruma Kurulu'nu 72 saat içinde bilgilendiririz.
• Çalışan erişimi. Ekibimiz Google verilerini okumaz. İstisnalar 3a'da sayılan hâllerle (açık izin, güvenlik incelemesi, yasal zorunluluk) sınırlıdır.

How we protect sensitive data (English summary). OAuth access and refresh tokens obtained from Google are encrypted at rest with AES-256-GCM under a master key that is stored only on the server (never in the database, source code or backups); any tampering with an encrypted record makes it unreadable. All traffic between the user, our servers and Google is encrypted in transit with HTTPS/TLS. Gmail message content is not stored in our database: it is fetched from the Gmail API on demand and shown only to the connected account owner, with at most a 60-second in-memory cache. Access is limited to the account owner and the team members they authorise, under role-based permissions. Passwords are hashed with Argon2; changing a password invalidates all sessions. We request only the narrowest scopes needed and never read mail in the background. Database backups contain tokens only in encrypted form and are retained for at most 7 days. Disconnecting a Google account deletes its tokens immediately; deleting the REACHHELM account deletes all connections, tokens and business data in the same operation. We notify affected users and, where required, the Turkish Data Protection Authority within 72 hours of a confirmed breach. Our staff do not access Google user data except with the user's explicit consent, for security purposes or to comply with law.

3c. Senin müşterilerinin verisi (Gelen Kutusu, Gelen müşteriler, CRM)

Sana Instagram, Facebook, WhatsApp, Telegram ya da e-posta ile yazan kişilerin mesajları ve Gelen müşteriler / CRM'e senin girdiğin ad, telefon, e-posta, not, borç, arama kaydı ve sözleşme dosyası senin müşterilerinin kişisel verisidir. Bu verinin veri sorumlusu sensin; REACHHELM bu veriyi yalnız senin talimatınla ve hizmeti sunmak için veri işleyen sıfatıyla saklar ve işler (KVKK m.3, m.12). Bunun anlamı:

• Bu kişileri aydınlatmak ve gerekiyorsa açık rızalarını almak senin sorumluluğundadır (ör. randevu alırken, sipariş formunda).
• Sağlık, din, cinsel hayat gibi özel nitelikli verileri (KVKK m.6) not, mesaj ya da dosya olarak kaydetme; sistem bunları saklamak için tasarlanmadı ve biz bu tür veriyi işlemeyi kabul etmiyoruz. Sağlık işletmesiysen hasta kayıtlarını mevzuatın gerektirdiği ayrı sistemde tut; burada yalnız iletişim ve randevu bilgisi tut.
• Cevap önerisi istediğinde o mesaj, yapay zekâ sağlayıcımıza (7. madde) bizim adımıza işleyen sıfatıyla gönderilir; Gmail mesajları hiçbir zaman gönderilmez. Sağlayıcı veriyi saklamaz ve model eğitiminde kullanmaz.
• Sözleşme ve onam dosyaları yalnız senin hesabından, oturum açılmış olarak ya da 10 dakikalık imzalı bağlantıyla açılır; herkese açık adres değildir.
• Sen bir kişiyi sildiğinde ona bağlı not, borç, arama, sözleşme ve hatırlatıcı kayıtları da silinir. Hesabını sildiğinde tamamı silinir.
• İstersen veri işleme sözleşmesini (DPA) destek@reachhelm.com adresinden talep edebilirsin; imzalı kopyasını gönderiyoruz.

4. Verilerin nerede ve ne kadar tutulur

• Erişim izinleri (jetonlar) şifreli kasada saklanır (bkz. 3b) ve yalnız bağlantı süresince tutulur: bağlantıyı kestiğinde ya da hesabını sildiğinde anında silinir. Google e-posta içeriği hiç saklanmaz; bir işletme verisinin saklama süresi dolduğunda o veri silinir ya da anonimleştirilir.
• Hesabını sildiğinde: kimlik ve işletme verilerin 30 gün içinde silinir; yasal saklama yükümlülüğü olan kayıtlar (fatura vb.) süresi kadar tutulur.
• Öğrenme amaçlı dersler ANONİM kalıptır; kişisel veri içermez ve sana veya işletmene bağlanamaz.
• ÖDEME İZİ: vazgeçme (iade) hakkının kötüye kullanımını önlemek için bağlanan hesapların (Instagram, Facebook sayfası, Google reklam hesabı, site alan adı gibi) tek yönlü özet (hash) izi saklanır; kişisel veri içermez, geri döndürülüp hesap kimliğine çevrilemez ve hiçbir platformda kullanılamaz. Bu iz hesabını sildiğinde de kalır — sahibiyle bağı koparılır, yalnız "bu hesapla daha önce ödeme yapıldı mı" sorusunu cevaplar. Hesabın silinince iz serbest kalır: aynı hesabı yeni bir REACHHELM hesabına bağlayabilirsin, paketi yine alabilirsin; yalnız vazgeçme süresi ikinci kez açılmaz.

5. Kimlerle paylaşılır

Verin yalnız hizmeti yürütmek için gereken tarafla, gerektiği kadar paylaşılır:

• Bağladığın platformlar (Meta, Google, TikTok vb.) — senin istediğin paylaşımı yapmak, cevabı göndermek için.
• Sunucu, e-posta ve bildirim sağlayıcılarımız — bizim adımıza, sözleşmeyle (veri işleyen).
• iyzico — paket ödemesini ve iadeyi yürütmek için gerekli sipariş, tutar, iletişim ve fatura bilgileri. Kart bilgileri iyzico ödeme ekranında alınır; REACHHELM sunucularına gelmez ve tarafımızca saklanmaz.
• Yapay zekâ sağlayıcılarımız — Google, Anthropic, OpenAI ve aracı hizmet OpenRouter. Bizim adımıza, sözleşmeyle (veri işleyen).
  • Ne için: paylaşım, reklam metni ve gerekçesi, site bulgusu ve mesaj cevap önerisi hazırlamak; bunları yayından önce denetlemek.
  • Ne gider: işletme bilgilerin, yüklediğin fotoğraflar, cevap önerisi istediğin gelen mesaj, bağlı hesaplardan kısa özetler (arama ve ziyaret sayıları, paylaşım istatistikleri, Google yorumlarının metni — yorum sahibinin adı olmadan).
  • Ne gitmez: Gmail e-postaların hiçbir yapay zekâ sağlayıcısına gönderilmez. Şifren, jetonların, ödeme bilgin de gönderilmez.
  • Ne zaman: yalnız uygulamada ya da panelde yapay zekâyı ilk kez kullanmadan önce açılan pencerede onay verirsen.
• Yetkili kurumlar — yalnız yasal zorunluluk hâlinde.

Başka hiç kimseyle. Verin satılmaz, reklamcılara açılmaz.

6. Hakların (KVKK m.11)

Bize destek@reachhelm.com adresine yazarak: verine erişme, düzeltme, silme, işlemeye itiraz, aktarıldığı yerleri öğrenme haklarını kullanabilirsin. Başvurular en geç 30 gün içinde yanıtlanır. Silme talebin geldiğinde verin tüm sistemlerimizden silinir; yalnız yukarıdaki ödeme izi (kişisel veri içermeyen tek yönlü özet) ve yasal saklama yükümlülüğü olan kayıtlar kalır.

7. Yurt dışı aktarım

Hizmeti sunabilmek için bazı verilerin yurt dışındaki hizmet sağlayıcılara aktarılması gerekir:

• Yapay zekâ ile metin ve görsel hazırlama ve denetim: Google, Anthropic, OpenAI ve aracı hizmet OpenRouter — ABD. İsteklerimiz yalnız veriyi saklamayan ve eğitimde kullanmayan sağlayıcılara yönlendirilecek biçimde ayarlıdır. Yalnız paylaşım, reklam metni, site bulgusu ve cevap önerisi hazırlamak ve denetlemek için gereken işletme bilgisi, fotoğraf, gelen mesaj (Gmail e-postaları hariç) ve bağlı hesaplardan kısa özetler gönderilir; bu sağlayıcılar verini kendi modellerini eğitmek için kullanmaz.
• Bağladığın platformlar: Meta (Facebook, Instagram, WhatsApp, Threads), Google (YouTube, Gmail, Google Ads, Analytics, Search Console, İşletme Profili), TikTok, X, LinkedIn, Telegram — senin bağladığın hesaplar için, senin istediğin işi yapmak üzere.
• Sunucu barındırma: verilerin barındırıldığı sunucu sağlayıcısı.

Bu aktarım için kayıt sırasında açık rızan istenir (bkz. Açık Rıza metni).