Gizlilik Politikası

1. Veri Sorumlusu

KVKK kapsamında kişisel verilerinizin veri sorumlusu, Puhu Creative bünyesinde faaliyet gösteren Puhu Social'dır.

2. İşlenen Kişisel Veriler

2.1 Doğrudan Sizden Topladığımız Veriler

• Kimlik bilgileri: Ad, soyad, şirket / işletme adı.
• İletişim bilgileri: E-posta, telefon (isteğe bağlı), fatura adresi.
• Hesap bilgileri: Şifre (geri döndürülemez biçimde hash'lenmiş), oturum kayıtları.
• Profil ve marka verileri: İşletme türü, sektör, web sitesi, marka renkleri, dil tonu tercihleri.
• İçerik verileri: Yüklediğiniz görseller, videolar, logolar, ürün fotoğrafları.
• İletişim içerikleri: Destek talepleri ve geri bildirimleriniz.

2.2 Üçüncü Taraf Bağlantılar Üzerinden

• Meta (Instagram / Facebook): OAuth ile bağladığınızda hesap kimliği, kullanıcı adı, Page erişim token'ları ve temel profil bilgileri. Yalnızca sizin adınıza paylaşım için kullanılır.
• TikTok: Business hesabı kimliği, kullanıcı adı ve API token'ları. Yalnızca paylaşım amaçlı.
• Google (Drive — isteğe bağlı): Yalnızca Drive dosya oluşturma kapsamı ile sınırlı OAuth token'ı.

2.3 Otomatik Olarak Toplanan Veriler

• Kullanım verileri, IP adresi, tarayıcı türü, işletim sistemi gibi standart sunucu kayıtları.
• Oturum token'ı (puhu_token), tercih ayarları gibi çerez verileri (bkz. Çerez Politikası).

2.4 Finansal Veriler

Kart bilgileriniz tarafımızda asla saklanmaz. Ödemeler PCI-DSS sertifikalı iyzico üzerinden işlenir; bize yalnızca işlem kimliği, tutar ve durum iletilir.

3. İşleme Amaçları

• Hizmetin sunulması, abonelik yönetimi, içerik üretimi ve paylaşımı.
• Finansal işlemler, fatura, muhasebe kayıtları.
• Müşteri destek, talep ve şikayet yönetimi.
• Güvenlik, hata ayıklama, dolandırıcılık tespiti.
• Yasal yükümlülüklerin yerine getirilmesi (vergi, fatura saklama, resmi makam talepleri).
• Açık rıza alındığı hallerde, ürün güncellemeleri ve bilgilendirici e-postalar.

4. Hukuki Sebepler (KVKK m.5)

• Sözleşmenin ifası (m.5/2-c): Hesap açma, abonelik, içerik üretimi.
• Hukuki yükümlülük (m.5/2-ç): VUK kapsamında fatura saklama, TTK kayıtları.
• Bir hakkın tesisi (m.5/2-e): Uyuşmazlıklarda delil, dolandırıcılık koruması.
• Meşru menfaat (m.5/2-f): Hizmet güvenliği ve iyileştirme.
• Açık rıza (m.5/1): Pazarlama iletişimi, isteğe bağlı analitik, yurt dışına aktarım.

5. Aktarılan Üçüncü Taraflar

Hizmetin sunulabilmesi için aşağıdaki üçüncü taraflarla, KVKK m.8 ve m.9 kapsamında, yalnızca gerekli kapsamda paylaşım yapılır.

Verileriniz reklam veya pazarlama amacıyla üçüncü taraflara satılmaz. AI sağlayıcılara giden girdiler, API anlaşmalarımız gereği model eğitiminde kullanılmaz.

6. Yurt Dışına Veri Aktarımı

Yukarıdaki sağlayıcıların bir kısmı (fal.ai, OpenAI, kie.ai, Meta, TikTok) ABD merkezlidir. Bu kapsamda belirli verileriniz yurt dışına aktarılmaktadır. KVKK m.9 uyarınca, bu aktarım açık rızanıza dayanır; hesap oluşturma esnasında bu politikayı onaylayarak rıza vermiş olursunuz. Rızayı dilediğiniz zaman geri çekebilirsiniz; bu durumda hizmetin bazı bölümleri çalışmayabilir.

7. Saklama Süreleri

8. KVKK m.11 Haklarınız

• Verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme.
• İşleme amacını öğrenme, amacına uygun kullanılıp kullanılmadığını sorgulama.
• Yurt içi / yurt dışı aktarılan üçüncü kişileri bilme.
• Eksik / yanlış işlenmiş veriler için düzeltme isteme.
• Silme ve yok etme talep etme (KVKK m.7).
• Düzeltme / silme / yok etme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme.
• Otomatik sistemlerle analiz sonucu aleyhinize ortaya çıkan bir sonuca itiraz etme.
• Hukuka aykırı işleme nedeniyle uğradığınız zararın giderilmesini talep etme.

Başvurularınızı kvkk@puhusocial.com (yedek: destek@puhusocial.com) adresine yazılı olarak iletebilirsiniz. Talepler 30 gün içinde ücretsiz sonuçlandırılır. Reddedilmesi veya geç cevap halinde Kişisel Verileri Koruma Kurulu'na şikayet hakkınız vardır.

9. Veri Güvenliği

• Tüm iletişim TLS 1.2+ (HTTPS) ile şifrelenir.
• Şifreler bcrypt tek yönlü hash ile saklanır.
• OAuth token'ları AES-256 ile şifreli olarak tutulur.
• Ödeme bilgileri tarafımızda saklanmaz; iyzico PCI-DSS altyapısı kullanılır.
• Veri ihlali durumunda KVKK m.12/5 uyarınca 72 saat içinde bildirim yapılır.

10. Çocukların Gizliliği

Hizmet 18 yaş altı kullanıcılara yönelik değildir. 18 yaş altı bireylerden bilerek kişisel veri toplamayız.

11. Politikadaki Değişiklikler

Politika güncellendiğinde önemli değişiklikler 30 gün öncesinden bildirilir. Güncel sürüm her zaman bu sayfada yayımlanır.

12. İletişim