1. Veri Sorumlusu ve Kapsam

Bu Gizlilik Politikası, hyWick'in ("Platform", "biz") hywick.com, app.hywick.com ve hyWick mobil uygulaması üzerinden kişisel verileri nasıl topladığını, kullandığını, sakladığını, paylaştığını ve koruduğunu açıklar. Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") 10. maddesi kapsamındaki aydınlatma metni yerine de geçer.

Veri sorumlusu:

Müşterilerimizin Sohbet, CRM ve benzeri modüllerde kendi müşterileri hakkında işlediği verilerde veri sorumlusu ilgili Müşteri'dir; hyWick bu verileri Müşteri adına işleyen veri işleyendir (bkz. madde 3).

2. Toplanan Veriler

2.1. Hesap ve iletişim bilgileri

• Ad soyad, e-posta adresi, telefon numarası, şirket adı ve kullanıcı rolü
• Şifre (kimlik doğrulama sağlayıcımızda yalnız özetlenmiş/hashlenmiş olarak saklanır) ve iki adımlı doğrulama ayarları
• Ekip üyelerinin ad, telefon, rol ve hedef bilgileri

2.2. Fatura ve ödeme bilgileri

• Bireysel faturada ad soyad ve isteğe bağlı T.C. kimlik numarası; kurumsal faturada unvan, vergi dairesi ve vergi numarası; adres, il, telefon ve fatura e-postası. T.C. kimlik numarası şifrelenerek saklanır.
• Ödeme kayıtları (tutar, tarih, dönem, işlem numarası).
• Kart bilgileri PayTR'nin güvenli ödeme sayfasında işlenir; hyWick'e hiç ulaşmaz. Ödemenin yapılabilmesi için PayTR'ye ad soyad, e-posta, telefon, adres, IP adresi ve sepet bilgisi iletilir.
• Mobil uygulamada mağaza üzerinden alınan aboneliklerde ödeme bilgisi App Store veya Google Play'de kalır; abonelik durumu RevenueCat aracılığıyla firma kimliğinizle eşleştirilir.

2.3. Bağladığınız platformlardan gelen veriler

Her platform yalnız siz bağladığınızda ve verdiğiniz izinlerle erişilir. Bağlantıyı istediğiniz zaman panelden kaldırabilirsiniz.

• Google: Kimlik doğrulama için temel profil ve e-posta (userinfo.email, userinfo.profile); Google Analytics (analytics.readonly ve analytics; yalnız okuma yapılır, hesabınızda değişiklik yapılmaz); Search Console (webmasters.readonly); YouTube kanal, video ve gelir istatistikleri (youtube.readonly, yt-analytics.readonly, yt-analytics-monetary.readonly); Google Ads (adwords: kampanya, harcama ve dönüşüm verileri okunur; sizin talimatınızla kampanya, reklam, bütçe, anahtar kelime ve kitle oluşturulur veya değiştirilir); Google E-Tablolar (spreadsheets: raporlarınızı sizin seçtiğiniz tablolara yazmak için).
• Meta (Facebook, Instagram, WhatsApp): Sayfa ve profil istatistikleri, gönderi etkileşimleri, reklam performansı ve kitle demografisi; Messenger, Instagram ve WhatsApp mesajları ile mesajlaşan kişilerin ad ve profil fotoğrafı; yorumlar; ürün katalogları; anlık form (lead) yanıtları. Sizin talimatınızla gönderi paylaşılır, reklam oluşturulur, durdurulur veya bütçesi değiştirilir, web sitesi ve benzer kitleler oluşturulur, mesaj ve hatırlatma gönderilir.
• TikTok: Profil bilgileri (kullanıcı adı, avatar), hesap istatistikleri ve video listesi ile video istatistikleri. Yalnız siz panelden paylaşmayı seçtiğinizde, seçtiğiniz video ve açıklama seçtiğiniz görünürlük ayarlarıyla hesabınıza yüklenir. Özel mesajlara erişilmez.
• LinkedIn: Profil ve e-posta, şirket sayfası ve gönderi istatistikleri, reklam hesabı ve kampanya verileri. Sizin talimatınızla gönderi paylaşılır, kampanya durdurulur veya devam ettirilir, günlük bütçe değiştirilir.
• ChatGPT Reklamları (OpenAI Ads): API anahtarıyla bağlanır; kampanya ve harcama verileri okunur, sizin talimatınızla taslak yayınlanır, durum ve bütçe değiştirilir, reklam görseli yüklenir.
• E-ticaret ve pazaryerleri (Trendyol, Hepsiburada, n11, Pazarama, PTT AVM, Amazon, eBay, Walmart, Ozon, Shopify, WooCommerce, ikas, Ticimax): Sipariş ve satış istatistikleri, ürün kataloğu, stok, fiyat, komisyon ve cari hesap hareketleri. Siparişler raporlarda toplu ve il düzeyinde kullanılır. Sizin talimatınızla ürün bilgisi, fiyat ve stok güncellenir, yeni ilan açılır; açtığınız takdirde alıcıların ürün soruları (soru metni ve alıcı kullanıcı adı) yanıtlanır.
• WordPress: hyWick SEO eklentisi sitenizin sayfa içeriğini okur ve onayladığınız SEO düzeltmelerini (başlık, açıklama, site haritası, robots ve yönlendirmeler) uygular.

2.4. Yüklediğiniz ve ürettiğiniz içerikler

Bilgi bankasına yüklediğiniz belgeler, ürün ve reklam görselleri, kartvizit veya not fotoğrafları ve panelde ürettiğiniz metin, görsel ve videolar. Reklam ve içerik için yüklenen veya üretilen görsel ve videolar, tahmin edilemeyen bağlantılarla bulut depolamada tutulur; bağlantıya sahip olan kişi dosyayı açabilir.

2.5. Kullanım, güvenlik ve cihaz verileri

• Giriş kayıtları: IP adresi, tarayıcı ve cihaz bilgisi, cihaz parmak izi ve IP'den türetilen yaklaşık konum (ülke, şehir, yaklaşık 11 km hassasiyet).
• Panel içi kullanım: Ziyaret edilen sayfalar ve tıklanan düğmeler, IP ve tarayıcı bilgisiyle. Forma yazdığınız değerler kaydedilmez.
• Hata kayıtları: Bir hata oluştuğunda teknik ayrıntılar ve bazı hatalarda metinler, giriş alanları ve görseller maskelenmiş ekran kaydı. E-posta, IP ve çerezler hata kayıtlarından çıkarılır.
• Çerezsiz sayfa görüntüleme ve performans ölçümü (Vercel Web Analytics ve Speed Insights).

2.6. Mobil uygulama

• Bildirim gönderebilmek için cihaz bildirim anahtarı, rastgele cihaz kimliği, işletim sistemi ve uygulama sürümü.
• Kamera ve fotoğraf arşivine yalnız siz bir görsel seçtiğinizde veya çektiğinizde erişilir. Konum izni istenmez.
• Mobil uygulamada analiz veya reklam takip aracı kullanılmaz. Oturum bilgisi cihazda şifreli saklanır.

2.7. Destek

Destek talepleriniz ve yazışmalarınız saklanır. Sorununuzu çözmek için destek ekibimiz hesabınızı, gerekçe kaydedilerek ve en fazla 31 dakikalık bir süreyle salt okuma veya yetkili modda açabilir; bu erişimler IP ve tarayıcı bilgisiyle kayıt altına alınır.

3. Müşterilerinizin Verileri

Aşağıdaki modüllerde işlenen veriler, Müşterilerimizin kendi müşterilerine, adaylarına veya iş ortaklarına aittir. Bu verilerde veri sorumlusu Müşteri, hyWick ise veri işleyendir. hyWick bu verileri yalnız Müşteri adına ve Hizmeti sunmak için işler; satmaz ve kendi amaçları için kişisel veri olarak kullanmaz. Hizmetin ve hyWick AI'nın geliştirilmesinde yalnız anonimleştirilmiş hali kullanılabilir (bkz. madde 7).

• Sohbet: Instagram, Facebook Messenger, WhatsApp, web sitesi sohbet penceresi ve pazaryeri (Trendyol, Hepsiburada, Pazarama, n11) üzerinden gelen mesajlar, mesajlaşan kişinin adı ve profil fotoğrafı, randevu ve görüşme kayıtları ile yapay zekânın konuşmalardan çıkardığı müşteri notları. Web sohbet penceresi ziyaretçinin geldiği sayfa, yönlendiren adres ve kampanya parametrelerini kaydeder ve ziyaretçinin tarayıcısında oturumu sürdürmek için yerel depolama kullanır. Kişilerin gönderdiği görsel ve dosyalar yapay zekâya verilmez, ekibinize iletilir.
• CRM: Kişi adı, telefon, e-posta, notlar, kaynak bilgisi, satışlar, taksit planları, rezervasyonlar, görüşmeler, görevler, giderler ve tedarikçi kayıtları; Meta anlık formlarından aktarılan aday yanıtları; CRM asistanına yüklenen kartvizit ve not fotoğraflarından çıkarılan iletişim bilgileri.
• Rapor gönderimleri: Raporların gönderilmesi için girdiğiniz alıcı e-posta adresleri.

Bu verileri toplamak için hukuki dayanağa sahip olmak ve ilgili kişileri aydınlatmak Müşteri'nin sorumluluğundadır. Bu verilere ilişkin başvurular öncelikle ilgili Müşteri'ye yapılmalıdır; bize ulaşan başvuruları Müşteri'ye iletiriz. Ajans aracılığıyla hizmet alan firmalarda ajans ekibi CRM ve sohbet verilerine erişemez.

4. Google API Uyumluluk

• hyWick'in Google API'lerinden aldığı bilgilerin kullanımı ve başka bir uygulamaya aktarımı, Sınırlı Kullanım (Limited Use) gereksinimleri dahil olmak üzere Google API Hizmetleri Kullanıcı Veri Politikası'na uygundur.
• Google kullanıcı verilerini yalnız size görünen ve sizin kullandığınız hyWick özelliklerini sağlamak ve iyileştirmek için kullanırız.
• Google kullanıcı verilerini üçüncü kişilere aktarmayız; şu durumlar hariç: (a) size sunulan özellikleri sağlamak için gerekliyse (örneğin verilerinizin sizin istediğiniz analiz için yapay zekâ hizmet sağlayıcısında işlenmesi), (b) mevzuata uymak için gerekliyse, (c) birleşme, devralma veya varlık satışı kapsamındaysa, (d) açık rızanız varsa.
• Google kullanıcı verilerini reklam göstermek (yeniden hedefleme, kişiselleştirilmiş veya ilgi alanına dayalı reklam dahil) için kullanmayız.
• Google kullanıcı verilerini genel amaçlı yapay zekâ veya makine öğrenmesi modellerinin geliştirilmesi, iyileştirilmesi veya eğitilmesi için kullanmayız ve aktarmayız.
• Google kullanıcı verilerinin insanlar tarafından okunmasına izin vermeyiz; şu durumlar hariç: (a) onayınız varsa (örneğin destek talebiniz için), (b) güvenlik amacıyla gerekliyse, (c) mevzuata uymak için gerekliyse, (d) veriler toplulaştırılmış ve anonimleştirilmiş olarak iç operasyonlarda kullanılıyorsa.

5. Verilerin Kullanım Amaçları

• Hizmetin sunulması: Bağlı platformlarınızdan rapor, gösterge paneli, analiz ve uyarı üretmek.
• Sizin adınıza işlem: Talimatınızla veya açtığınız otomatik işlevlerle reklam, gönderi, ürün, mesaj ve SEO işlemlerini bağlı hesaplarınızda yapmak.
• Yapay zekâ özellikleri: Analiz, öneri, içerik, görsel ve sohbet yanıtı üretmek.
• Abonelik ve ödeme: Planınızı tanımlamak, ödemeleri almak, fatura düzenlemek, dönem hatırlatmaları göndermek.
• Güvenlik: Yetkisiz erişimi, şüpheli girişleri ve kötüye kullanımı tespit etmek ve önlemek; hesabınızdaki önemli olayları size bildirmek.
• Destek ve iletişim: Destek taleplerini yanıtlamak, hizmetle ilgili bildirim ve duyuru göndermek.
• Hizmetin iyileştirilmesi: Hataları gidermek, yapay zekâ yanıtlarının kalitesini denetlemek, ürünü ve anonimleştirilmiş verilerle hyWick AI modellerini geliştirmek.
• Hukuki yükümlülükler: Vergi, ticaret ve diğer mevzuattan doğan yükümlülükleri yerine getirmek, yetkili makam taleplerini karşılamak.

Verilerinizi satmayız ve verilerinizi kendi reklamlarımızı hedeflemek için kullanmayız.

6. Hukuki Dayanak

Kişisel verileriniz KVKK'nın 5. maddesindeki şu hukuki sebeplere dayanılarak işlenir:

• Sözleşmenin kurulması ve ifası (md. 5/2-c): Hesap, abonelik, ödeme, bağlı platform verileri ve Hizmetin sunulması.
• Hukuki yükümlülük (md. 5/2-ç): Fatura, ödeme ve denetim kayıtlarının saklanması.
• Meşru menfaat (md. 5/2-f): Güvenlik, kötüye kullanımın önlenmesi, hata kayıtları ve hizmetin iyileştirilmesi.
• Bir hakkın tesisi, kullanılması veya korunması (md. 5/2-e): Uyuşmazlıklarda kayıtların kullanılması.
• Açık rıza (md. 5/1): Kanunun açık rıza aradığı hallerde.

7. hyWick AI ve Yapay Zekâ İşlemleri

• hyWick AI, hyWick'in geliştirdiği yapay zekâ katmanıdır. Sektör ve pazar araştırmalarından oluşan kendi bilgi katmanımızı, iş kurallarımızı ve yanıt denetimlerimizi, altyapı olarak kullandığımız dil ve görsel modelleriyle birlikte çalıştırır.
• Analiz, öneri, asistan, içerik ve görsel üretimi, sohbet yanıtı gibi bir özelliği kullandığınızda yalnız o işin gerektirdiği veriler (örneğin bağlı platform metrikleri, ilgili CRM kayıtları, sohbet mesajları ve konuşma geçmişi, yüklediğiniz görsel ve belgeler) işlenir ve gerektiğinde yapay zekâ altyapı sağlayıcılarımıza iletilir.
• Kendi modellerimizin geliştirilmesi: hyWick AI'yı geliştirmek ve iyileştirmek için yapay zekâ isteklerinin ve yanıtlarının kayıtlarını, yaptığınız düzeltmeleri ve geri bildirimleri kullanırız. Model geliştirmede kullanılan veriler anonimleştirilir; sizin ya da müşterilerinizin kimliğiyle ilişkilendirilecek biçimde kullanılmaz. Google API'lerinden alınan veriler model geliştirmede kullanılmaz.
• Bu kayıtları yalnız yetkili hyWick personeli görebilir. Kayıtları satmayız ve başka şirketlerin kendi modellerini eğitmesi için aktarmayız.
• Reklam Otopilotu, otomatik sohbet yanıtları ve pazaryeri sorularının otomatik yanıtlanması yalnız sizin açtığınız kapsamda ve seçtiğiniz onay ayarlarıyla çalışır.

8. Verilerin Paylaşılması ve Hizmet Sağlayıcılar

Verileriniz yalnız aşağıdaki hizmet sağlayıcılarla ve Hizmeti sunmak için gereken ölçüde paylaşılır:

• Barındırma ve veritabanı: Vercel (uygulama ve dosya depolama, Frankfurt), Neon (veritabanı, Frankfurt), Supabase (kimlik doğrulama), Upstash (istek sınırlama; IP ve e-posta içeren geçici anahtarlar).
• E-posta: Resend (doğrulama, bildirim, hatırlatma ve rapor e-postaları).
• Ödeme: PayTR (kartla ödeme), RevenueCat ile App Store ve Google Play (mobil abonelikler).
• Bildirim: Expo, Apple (APNs) ve Google (Firebase Cloud Messaging) mobil bildirimler için.
• Hata ve performans: Sentry (hata kayıtları), Vercel Web Analytics ve Speed Insights.
• Yapay zekâ: Dil, görsel ve görsel işleme modellerini sağlayan yapay zekâ altyapı sağlayıcıları (bkz. madde 7).
• Bağladığınız platformlar: Google, Meta, TikTok, LinkedIn, OpenAI ve pazaryerleri; yalnız sizin talimatınızla yapılan işlemler için gereken veriler.
• Ajansınız: Ajans aracılığıyla hizmet alıyorsanız, ajansın erişimi sizin verdiğiniz izinlerle sınırlıdır; CRM ve sohbet verileri ajansla paylaşılmaz.
• Yasal zorunluluk: Mahkeme kararı veya yetkili makam talebi halinde.

9. Yurt Dışına Aktarım

Uygulama ve veritabanı sunucularımız Avrupa Birliği'nde (Almanya, Frankfurt) bulunur. Kimlik doğrulama, e-posta, hata izleme, bildirim, ödeme ve yapay zekâ hizmet sağlayıcılarımız verileri ABD dahil yurt dışındaki sunucularında işleyebilir.

Yurt dışına aktarım KVKK'nın 9. maddesinde öngörülen şartlara ve güvencelere (yeterlilik kararı veya standart sözleşme) dayanılarak yapılır. AB kullanıcıları için AB dışına aktarımda Avrupa Komisyonu Standart Sözleşme Maddeleri uygulanır.

10. Saklama Süreleri ve Silme

• Hesap verileri: Hesabınız açık olduğu sürece saklanır. Hesap kilitlendiğinde (ödeme yapılmadığında) veriler silinmez.
• Hesap silme: Hesabınızı hyWick mobil uygulamasındaki Profil > Hesap bilgileri ekranından veya info@hywick.com adresine yazarak silebilirsiniz. Silme derhal yapılır: tek sahibi olduğunuz şirketin verileri, bağlantılarınız, bildirimleriniz ve giriş kayıtlarınız silinir, kullanıcı kaydınız kimliksizleştirilir. Mevzuat gereği saklanması zorunlu ödeme, fatura ve denetim kayıtları kimliksizleştirilerek yasal süre boyunca tutulur.
• Bağlantı anahtarları: Bir entegrasyonu kaldırdığınızda veya hesabınızı devre dışı bıraktığınızda erişim anahtarları silinir.
• Platform verileri: Geçici önbellek kayıtları dakikalar ile günler arasında yenilenir ve süresi dolduktan 7 gün sonra silinir. Dönem karşılaştırması için günlük özetler ve kapanmış ayların e-ticaret özetleri hesabınız açık olduğu sürece saklanır.
• Sohbet konuşmaları: Siz silene kadar saklanır. Meta bağlantısı kaldırıldığında veya yeniden kurulduğunda ilgili konuşmalar silinir.
• CRM kayıtları: Siz silene veya hesabınız silinene kadar saklanır.
• Giriş kayıtları: 365 gün; şüpheli giriş olarak işaretlenen kayıtlar güvenlik amacıyla daha uzun saklanabilir.
• Panel içi kullanım kayıtları: 180 gün.
• API istek ve webhook kayıtları: 30 gün.
• Yapay zekâ istek kayıtları: Kalite denetimi ve model geliştirme amacıyla saklanır; hesap silindiğinde hesapla bağlantısı kaldırılır.
• Yedekler: Veritabanı sağlayıcımızın geri yükleme kayıtları sınırlı bir süre tutulur ve bu sürenin sonunda kendiliğinden silinir.

11. Veri Güvenliği

• Tüm veri iletiminde TLS şifreleme (HTTPS zorunlu) ve güvenlik başlıkları (CSP, HSTS).
• Bağlantı anahtarları için kayıt başına anahtarla AES-256-GCM zarf şifreleme; T.C. kimlik numarası gibi hassas alanlar için alan bazında AES-256-GCM şifreleme; düzenli anahtar yenileme.
• Şifreler düz metin olarak saklanmaz.
• İki adımlı doğrulama (TOTP); hyWick personeli için zorunludur.
• Rol tabanlı erişim kontrolü ve ajans erişiminin izinle sınırlandırılması.
• Giriş risk değerlendirmesi (yeni cihaz, yeni ülke, olağan dışı konum değişimi, art arda hatalı şifre) ve şüpheli girişte bildirim.
• İstek sınırlama ve denetim kayıtları.

12. KVKK Kapsamındaki Haklarınız

KVKK'nın 11. maddesi uyarınca şu haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme ve işlenmişse bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmişse düzeltilmesini isteme
• KVKK'nın 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme
• Düzeltme ve silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etme
• Kanuna aykırı işleme nedeniyle zarara uğramanız halinde zararın giderilmesini talep etme

Başvurularınızı kimliğinizi doğrulayan bilgilerle info@hywick.com adresine veya ıslak imzalı dilekçeyle Kale Mah. İncirli Sk. No: 3A Altındağ / Ankara adresine iletebilirsiniz. Başvurular en geç 30 gün içinde ücretsiz sonuçlandırılır; işlemin ayrıca maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu'nca belirlenen tarifedeki ücret alınabilir.

Başvurunuzun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

13. GDPR (AB Kullanıcıları)

Avrupa Ekonomik Alanı'nda bulunuyorsanız GDPR kapsamında şu haklara da sahipsiniz:

• Erişim, düzeltme ve silme ("unutulma") hakkı
• Verilerinizi yapılandırılmış ve makine tarafından okunabilir biçimde alma (taşınabilirlik) hakkı
• İşlemenin kısıtlanmasını isteme ve meşru menfaate dayalı işlemeye itiraz hakkı
• Rızanızı her zaman geri çekme hakkı
• Bulunduğunuz ülkedeki veri koruma otoritesine şikâyet hakkı

Taleplerinizi info@hywick.com adresine iletebilirsiniz; en geç 30 gün içinde yanıtlanır.

14. Çerezler ve Benzeri Teknolojiler

• Zorunlu çerezler: Oturum çerezleri (Supabase oturumu, en fazla 7 gün), yetki çerezleri (br_platform_role ve br_is_multi_owner, imzalı, 4 saat; br_origin_agency, 8 saat). Bu çerezler olmadan giriş yapılamaz.
• Tercih çerezi: Dil seçimi (locale, 1 yıl). Tema tercihi ve panel görünüm ayarları tarayıcınızın yerel depolamasında tutulur; "beni hatırla" seçeneğini işaretlerseniz e-posta adresiniz de yerel depolamada saklanır.
• Ölçüm: Vercel Web Analytics ve Speed Insights çerez kullanmadan sayfa görüntüleme ve performans ölçer; sizi başka sitelerde takip etmez. Platformda Google Analytics, Meta Pixel veya reklam takip aracı kullanılmaz.

Ayrıntılar için Çerez Politikası'nı inceleyebilirsiniz. Çerezleri tarayıcı ayarlarınızdan yönetebilirsiniz; zorunlu çerezleri kapatmak girişi engeller.

15. Çocukların Gizliliği

hyWick 18 yaşın altındaki kişilere yönelik değildir. Bilerek reşit olmayanlardan kişisel veri toplamayız; böyle bir durum tespit edilirse ilgili veriler silinir.

16. Politika Değişiklikleri

Bu politika güncellenebilir. Önemli değişikliklerde e-posta ve/veya panel içi bildirim yapılır ve sayfanın başındaki "Son güncelleme" tarihi değiştirilir.

17. İletişim ve Başvuru

Bu politika ve kişisel verileriniz hakkındaki her türlü soru ve talep için:

1. Data Controller and Scope

This Privacy Policy explains how hyWick ("Platform", "we") collects, uses, stores, shares and protects personal data through hywick.com, app.hywick.com and the hyWick mobile app. This text also serves as the privacy notice required under Article 10 of the Turkish Personal Data Protection Law No. 6698 ("KVKK").

Data controller:

For data that our Customers process about their own customers in the Chat, CRM and similar modules, the relevant Customer is the data controller; hyWick is the data processor acting on the Customer's behalf (see Section 3).

2. Data We Collect

2.1. Account and contact information

• Full name, email address, phone number, company name and user role
• Password (stored only in hashed form by our authentication provider) and two-factor authentication settings
• Team members' names, phone numbers, roles and targets

2.2. Billing and payment information

• For individual invoices: full name and, optionally, Turkish ID number; for corporate invoices: company title, tax office and tax number; plus address, city, phone and billing email. Turkish ID numbers are stored encrypted.
• Payment records (amount, date, billing period, transaction number).
• Card details are processed on PayTR's secure payment page and never reach hyWick. To complete payment, your full name, email, phone, address, IP address and cart details are sent to PayTR.
• For subscriptions purchased through the app stores in the mobile app, payment details remain with the App Store or Google Play; subscription status is matched to your company ID via RevenueCat.

2.3. Data from platforms you connect

Each platform is accessed only when you connect it and only with the permissions you grant. You can remove a connection from the dashboard at any time.

• Google: Basic profile and email for authentication (userinfo.email, userinfo.profile); Google Analytics (analytics.readonly and analytics; read-only, no changes are made to your account); Search Console (webmasters.readonly); YouTube channel, video and revenue statistics (youtube.readonly, yt-analytics.readonly, yt-analytics-monetary.readonly); Google Ads (adwords: campaign, spend and conversion data is read; campaigns, ads, budgets, keywords and audiences are created or modified on your instruction); Google Sheets (spreadsheets: to write your reports to sheets you choose).
• Meta (Facebook, Instagram, WhatsApp): Page and profile statistics, post engagement, ad performance and audience demographics; Messenger, Instagram and WhatsApp messages, along with the names and profile photos of the people messaging you; comments; product catalogs; instant form (lead) responses. On your instruction, posts are published, ads are created, paused or have their budgets changed, website and lookalike audiences are created, and messages and reminders are sent.
• TikTok: Profile information (username, avatar), account statistics, video list and video statistics. Only when you choose to publish from the dashboard is the selected video and caption uploaded to your account with the visibility settings you choose. Direct messages are not accessed.
• LinkedIn: Profile and email, company page and post statistics, ad account and campaign data. On your instruction, posts are published, campaigns are paused or resumed, and daily budgets are changed.
• ChatGPT Ads (OpenAI Ads): Connected via API key; campaign and spend data is read, and on your instruction drafts are published, status and budgets are changed, and ad creatives are uploaded.
• E-commerce and marketplaces (Trendyol, Hepsiburada, n11, Pazarama, PTT AVM, Amazon, eBay, Walmart, Ozon, Shopify, WooCommerce, ikas, Ticimax): Order and sales statistics, product catalog, stock, prices, commissions and account transactions. Orders are used in reports in aggregate and at province level. On your instruction, product details, prices and stock are updated and new listings are created; if you enable it, buyers' product questions (question text and buyer username) are answered.
• WordPress: The hyWick SEO plugin reads your site's page content and applies the SEO fixes you approve (titles, descriptions, sitemap, robots and redirects).

2.4. Content you upload and create

Documents you upload to the knowledge base, product and ad images, business card or note photos, and the text, images and videos you generate in the dashboard. Images and videos uploaded or generated for ads and content are stored in cloud storage behind unguessable links; anyone with the link can open the file.

2.5. Usage, security and device data

• Login records: IP address, browser and device information, device fingerprint, and approximate location derived from IP (country, city, roughly 11 km accuracy).
• In-app usage: Pages visited and buttons clicked, with IP and browser information. Values you type into forms are not recorded.
• Error logs: When an error occurs, technical details and, for some errors, a session replay in which text, input fields and images are masked. Email, IP and cookies are stripped from error logs.
• Cookieless page view and performance measurement (Vercel Web Analytics and Speed Insights).

2.6. Mobile app

• To send notifications: device push token, random device ID, operating system and app version.
• The camera and photo library are accessed only when you select or take a photo. Location permission is not requested.
• No analytics or ad tracking tools are used in the mobile app. Session data is stored encrypted on the device.

2.7. Support

Your support requests and correspondence are stored. To resolve your issue, our support team may open your account in read-only or authorized mode for up to 31 minutes, with the reason recorded; these sessions are logged with IP and browser information.

3. Your Customers' Data

Data processed in the modules below belongs to our Customers' own customers, leads or business partners. For this data, the Customer is the data controller and hyWick is the data processor. hyWick processes this data only on the Customer's behalf and to provide the Service; it does not sell it or use it as personal data for its own purposes. Only anonymized versions may be used to improve the Service and hyWick AI (see Section 7).

• Chat: Messages received via Instagram, Facebook Messenger, WhatsApp, the website chat widget and marketplaces (Trendyol, Hepsiburada, Pazarama, n11); the sender's name and profile photo; appointment and call records; and customer notes extracted from conversations by AI. The website chat widget records the visitor's landing page, referrer and campaign parameters, and uses local storage in the visitor's browser to maintain the session. Images and files sent by contacts are not passed to AI; they are forwarded to your team.
• CRM: Contact names, phone numbers, emails, notes, source information, sales, installment plans, reservations, calls, tasks, expenses and supplier records; lead responses imported from Meta instant forms; contact details extracted from business card and note photos uploaded to the CRM assistant.
• Report delivery: Recipient email addresses you enter to have reports sent.

The Customer is responsible for having a legal basis to collect this data and for informing the individuals concerned. Requests relating to this data should first be directed to the relevant Customer; requests we receive are forwarded to the Customer. For companies served through an agency, the agency team cannot access CRM and chat data.

4. Google API Compliance

• hyWick's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
• We use Google user data only to provide and improve user-facing hyWick features that you use.
• We do not transfer Google user data to third parties, except: (a) when necessary to provide features offered to you (for example, processing your data with an AI service provider for an analysis you requested), (b) to comply with applicable law, (c) as part of a merger, acquisition or sale of assets, or (d) with your explicit consent.
• We do not use Google user data to serve advertisements, including retargeting, personalized or interest-based advertising.
• We do not use or transfer Google user data to develop, improve or train generalized AI or machine learning models.
• We do not allow humans to read Google user data, except: (a) with your consent (for example, for your support request), (b) when necessary for security purposes, (c) to comply with applicable law, or (d) when the data is aggregated and anonymized for internal operations.

5. How We Use Data

• Providing the Service: Generating reports, dashboards, analyses and alerts from your connected platforms.
• Acting on your behalf: Performing ad, post, product, messaging and SEO actions on your connected accounts on your instruction or through automations you enable.
• AI features: Generating analyses, recommendations, content, images and chat replies.
• Subscription and payment: Setting up your plan, collecting payments, issuing invoices and sending billing reminders.
• Security: Detecting and preventing unauthorized access, suspicious logins and abuse; notifying you of important account events.
• Support and communication: Responding to support requests and sending service-related notices and announcements.
• Improving the Service: Fixing bugs, reviewing the quality of AI responses, and improving the product and hyWick AI models using anonymized data.
• Legal obligations: Meeting obligations under tax, commercial and other legislation and responding to requests from competent authorities.

We do not sell your data, and we do not use your data to target our own advertising.

6. Legal Basis

Your personal data is processed on the following legal grounds under Article 5 of the KVKK:

• Formation and performance of a contract (Art. 5/2-c): Account, subscription, payment, connected platform data and provision of the Service.
• Legal obligation (Art. 5/2-ç): Retention of invoice, payment and audit records.
• Legitimate interest (Art. 5/2-f): Security, abuse prevention, error logging and service improvement.
• Establishment, exercise or protection of a right (Art. 5/2-e): Use of records in disputes.
• Explicit consent (Art. 5/1): Where the law requires explicit consent.

7. hyWick AI and AI Processing

• hyWick AI is the AI layer developed by hyWick. It runs our own knowledge layer built from industry and market research, our business rules and response checks together with the language and image models we use as infrastructure.
• When you use a feature such as analysis, recommendations, the assistant, content and image generation or chat replies, only the data that task requires (for example, connected platform metrics, relevant CRM records, chat messages and conversation history, images and documents you upload) is processed and, where needed, sent to our AI infrastructure providers.
• Improving our own models: To develop and improve hyWick AI, we use logs of AI requests and responses, the corrections you make and your feedback. Data used for model development is anonymized and is not used in a way that can be linked to you or your customers. Data received from Google APIs is not used for model development.
• These logs are visible only to authorized hyWick personnel. We do not sell them or transfer them to other companies to train their own models.
• Ad Autopilot, automatic chat replies and automatic answers to marketplace questions run only within the scope you enable and with the approval settings you choose.

8. Data Sharing and Service Providers

Your data is shared only with the following service providers and only to the extent needed to provide the Service:

• Hosting and database: Vercel (application and file storage, Frankfurt), Neon (database, Frankfurt), Supabase (authentication), Upstash (rate limiting; temporary keys containing IP and email).
• Email: Resend (verification, notification, reminder and report emails).
• Payment: PayTR (card payments), RevenueCat with the App Store and Google Play (mobile subscriptions).
• Notifications: Expo, Apple (APNs) and Google (Firebase Cloud Messaging) for mobile notifications.
• Errors and performance: Sentry (error logs), Vercel Web Analytics and Speed Insights.
• AI: AI infrastructure providers supplying language, image generation and image processing models (see Section 7).
• Platforms you connect: Google, Meta, TikTok, LinkedIn, OpenAI and marketplaces; only the data needed for actions taken on your instruction.
• Your agency: If you are served through an agency, the agency's access is limited to the permissions you grant; CRM and chat data is not shared with the agency.
• Legal requirement: Upon a court order or a request from a competent authority.

9. International Transfers

Our application and database servers are located in the European Union (Frankfurt, Germany). Our authentication, email, error monitoring, notification, payment and AI service providers may process data on their servers abroad, including in the United States.

International transfers are carried out based on the conditions and safeguards set out in Article 9 of the KVKK (adequacy decision or standard contract). For EU users, the European Commission's Standard Contractual Clauses apply to transfers outside the EU.

10. Retention and Deletion

• Account data: Retained while your account is active. Data is not deleted when an account is locked (due to non-payment).
• Account deletion: You can delete your account from Profile > Account details in the hyWick mobile app or by writing to info@hywick.com. Deletion is immediate: data of companies you solely own, your connections, notifications and login records are deleted, and your user record is de-identified. Payment, invoice and audit records that must be kept by law are de-identified and retained for the statutory period.
• Connection tokens: Access tokens are deleted when you remove an integration or deactivate your account.
• Platform data: Temporary cache entries refresh within minutes to days and are deleted 7 days after expiry. Daily summaries for period comparisons and e-commerce summaries for closed months are retained while your account is active.
• Chat conversations: Retained until you delete them. Related conversations are deleted when the Meta connection is removed or re-established.
• CRM records: Retained until you delete them or your account is deleted.
• Login records: 365 days; records flagged as suspicious logins may be kept longer for security purposes.
• In-app usage records: 180 days.
• API request and webhook logs: 30 days.
• AI request logs: Retained for quality review and model development; their link to the account is removed when the account is deleted.
• Backups: Our database provider's restore records are kept for a limited period and are automatically deleted at the end of that period.

11. Data Security

• TLS encryption for all data in transit (HTTPS enforced) and security headers (CSP, HSTS).
• AES-256-GCM envelope encryption with per-record keys for connection tokens; field-level AES-256-GCM encryption for sensitive fields such as Turkish ID numbers; regular key rotation.
• Passwords are never stored in plain text.
• Two-factor authentication (TOTP); mandatory for hyWick personnel.
• Role-based access control and permission-limited agency access.
• Login risk assessment (new device, new country, unusual location change, repeated failed passwords) and alerts on suspicious logins.
• Rate limiting and audit logs.

12. Your Rights Under the KVKK

Under Article 11 of the KVKK, you have the right to:

• Learn whether your personal data is processed and, if so, request information about it
• Learn the purpose of processing and whether data is used in line with that purpose
• Know the third parties in Türkiye or abroad to whom data is transferred
• Request correction of incomplete or inaccurate data
• Request deletion or destruction of data under the conditions in Article 7 of the KVKK
• Request that corrections and deletions be notified to third parties to whom data was transferred
• Object to an outcome against you resulting from analysis exclusively by automated systems
• Claim compensation for damages arising from unlawful processing

You can submit requests with information verifying your identity to info@hywick.com or by a wet-signed letter to Kale Mah. İncirli Sk. No: 3A Altındağ / Ankara, Türkiye. Requests are resolved free of charge within 30 days at the latest; if the process incurs additional cost, a fee per the tariff set by the Personal Data Protection Board may be charged.

If your request is rejected, the response is found insufficient or no response is given in time, you may file a complaint with the Personal Data Protection Board within 30 days of learning the response and in any case within 60 days of the request date.

13. GDPR (EU Users)

If you are in the European Economic Area, you also have the following rights under the GDPR:

• Right of access, rectification and erasure ("right to be forgotten")
• Right to receive your data in a structured, machine-readable format (portability)
• Right to request restriction of processing and to object to processing based on legitimate interest
• Right to withdraw your consent at any time
• Right to lodge a complaint with the data protection authority in your country

You can send your requests to info@hywick.com; they will be answered within 30 days at the latest.

14. Cookies and Similar Technologies

• Essential cookies: Session cookies (Supabase session, up to 7 days) and authorization cookies (br_platform_role and br_is_multi_owner, signed, 4 hours; br_origin_agency, 8 hours). You cannot log in without these cookies.
• Preference cookie: Language selection (locale, 1 year). Theme preference and dashboard view settings are kept in your browser's local storage; if you tick "remember me", your email address is also stored in local storage.
• Measurement: Vercel Web Analytics and Speed Insights measure page views and performance without cookies and do not track you across other sites. Google Analytics, Meta Pixel or ad tracking tools are not used on the Platform.

See our Cookie Policy for details. You can manage cookies in your browser settings; disabling essential cookies prevents login.

15. Children's Privacy

hyWick is not intended for individuals under 18. We do not knowingly collect personal data from minors; if we become aware of such a case, the data is deleted.

16. Changes to This Policy

This policy may be updated. For material changes, we will notify you by email and/or in-app notice, and the "Last updated" date at the top of this page will be changed.

17. Contact and Requests

For any questions and requests about this policy and your personal data: