1. Giriş
Bu Gizlilik Politikası, İngiltere ve Galler'de kayıtlı bir şirket olan Huup Ltd'in (“Huup”, “biz”, “bize”) (Companies House numarası 08708494, ICO kaydı ZC165061, kayıtlı adresi 22 Old Montague Street, London E1 5NG, Birleşik Krallık) Huup platformunu, www.huup.com adresindeki web sitemizi ve ilgili tüm hizmetleri (birlikte “Hizmetler”) kullandığınızda kişisel verileri nasıl topladığını, kullandığını ve koruduğunu açıklar.
Huup, müşterilerimiz, potansiyel müşterilerimiz ve web sitesi ziyaretçilerimiz hakkında topladığımız kişisel veriler bakımından veri sorumlusudur. Kurumsal müşterilerimiz adına kişisel verileri işlediğimizde (örneğin, Huup üzerinden yönlendirilen son müşteri mesajları), veri işleyen olarak hareket ederiz ve müşterimiz veri sorumlusudur — bu işleme, ilgili müşteriyle aramızdaki sözleşme kapsamında yürütülür.
Bu politika, tüm kullanıcılar için küresel olarak geçerlidir. Birleşik Krallık'ta bulunuyorsanız, haklarınız UK GDPR (Avrupa Birliği (Çekilme) Yasası 2018 ile UK hukukuna dahil edilmiştir) kapsamında düzenlenmektedir. Avrupa Ekonomik Alanı'nda bulunuyorsanız, haklarınız AB GDPR kapsamında düzenlenmektedir. Bu haklar 8. bölümde açıklanmaktadır.
2. Topladığımız bilgiler
Kişisel verileri üç şekilde toplarız: doğrudan bize sağladığınız veriler, Hizmetleri kullanırken otomatik olarak topladığımız veriler ve üçüncü taraflardan aldığımız veriler.
2.1 Hesap verileri
- Kimlik verileri — ad, unvan, işveren.
- İletişim verileri — e-posta adresi, telefon numarası, fatura adresi.
- Kimlik doğrulama verileri — hash'lenmiş şifre, çok faktörlü kimlik doğrulama sırları, oturum belirteçleri.
- Fatura verileri — KDV sicil numaraları ve eşdeğer vergi tanımlayıcıları (geçerli olduğu durumlarda), fatura e-postası, ödeme yöntemi tokenları (tam kart numaralarını saklamıyoruz; aşağıda Stripe bölümüne bakınız).
2.2 Kullanım verileri
- Ürün telemetrisi — ziyaret edilen sayfalar, kullanılan özellikler, tıklama olayları, hata günlükleri.
- Cihaz verileri — IP adresi, tarayıcı türü, işletim sistemi, cihaz tanımlayıcıları, saat dilimi.
- Performans verileri — istek gecikmesi, API kullanım hacimleri.
2.3 Çerezler ve benzer teknolojiler
Çerezleri kimlik doğrulama, güvenlik ve — rızanızla — analiz ve reklam için kullanırız. Tam liste ve tercihleri yönetme şekli için Çerez Politikamıza bakınız.
2.4 Üçüncü taraf verileri
- Pazaryeri entegrasyonları — eBay, Amazon, OTTO Market, Shopify, Squarespace veya diğer kanalları bağladığınızda, sizin adınıza ilan verileri, sipariş verileri, alıcı mesajları ve sınırlı alıcı iletişim verilerini alırız.
- Ödemeler (Stripe) — makbuzlar için ödeme durumunu ve kartların son 4 hanesini alırız; tam kart bilgileri Stripe tarafından tutulur.
- Kimlik doğrulama — dolandırıcılığı önlemek için gerekli olduğunda, KYC sağlayıcılarından doğrulama sonuçlarını alabiliriz.
3. Bilgilerinizi nasıl kullanırız
Kişisel verileri aşağıdaki amaçlarla kullanırız:
- Hizmet işletimi — Huup platformunu sağlamak, sürdürmek ve güvenli hale getirmek; bu kapsama kimlik doğrulama, faturalandırma, müşteri desteği ve Hizmetlerin güvenilir şekilde çalışmasının sağlanması dahildir.
- İyileştirme — müşterilerin Hizmetleri nasıl kullandığını anlamak, sorunları araştırıp çözmek, iyileştirmelere öncelik vermek ve yeni özellikler geliştirmek amacıyla. Mümkün olduğu durumlarda toplu veya takma adlı veriler kullanırız.
- Hukuki uyum — vergi, muhasebe, kara para aklamayı önleme ve diğer ilgili mevzuat kapsamındaki yükümlülüklerimize uymak.
- İletişim — aktif bir hesabınız olduğu sürece devre dışı bırakamayacağınız hizmet bildirimleri, güvenlik uyarıları, faturalar ve operasyonel güncellemeler göndermek.
- Pazarlama — önceden onay vermeniz halinde bülten, ürün güncellemeleri ve etkinlik davetiyeleri göndermek. Onayınızı, herhangi bir e-postadaki abonelikten çıkma bağlantısını kullanarak istediğiniz zaman geri çekebilirsiniz.
4. Hukuki dayanak (GDPR)
UK GDPR kapsamında ve geçerli olduğu durumlarda AB GDPR kapsamında, her işleme faaliyeti için aşağıdaki hukuki dayanaklardan birine dayanmaktayız:
- Sözleşmenin ifası — kaydolduğunuz Hizmetleri sunmak ve faturalandırmayı yönetmek için.
- Meşru menfaat — Hizmetlerimizi güvende tutmak, kötüye kullanımı önlemek, ürünlerimizi iyileştirmek ve işimizi yürütmek (bu menfaatleri haklarınızla dengeler ve iç kayıtlarımızda belgeleriz).
- Açık rıza — pazarlama e-postaları, zorunlu olmayan çerezler ve etkinleştirmeyi seçtiğiniz isteğe bağlı entegrasyonlar için. Rızanızı istediğiniz zaman geri çekebilirsiniz.
- Yasal yükümlülük — mali kayıtları saklamak, yasal taleplere yanıt vermek ve düzenleyici gerekliliklere uymak için.
6. Uluslararası aktarımlar
Huup, öncelikli olarak Birleşik Krallık ve AEA'da faaliyet göstermektedir. Müşteri verileri varsayılan olarak AWS AB/Birleşik Krallık bölgelerinde saklanmaktadır. Bir alt işleyicinin veya pazar yeri entegrasyonunun zorunlu olarak Birleşik Krallık/AEA dışında veri işlediği durumlarda (örneğin Amazon veya eBay uç noktaları), transit halinde ve dinlenme halinde şifreleme gibi teknik destekleyici tedbirler de dahil olmak üzere UK Uluslararası Veri Aktarım Anlaşması (IDTA), AB Standart Sözleşme Maddeleri (2021) ve uygun güvenlik tedbirlerine dayanmaktayız.
7. Veri saklama
Kişisel verileri yalnızca toplandıkları amaçların yerine getirilmesi için gerekli olan süre boyunca, yasal, muhasebe veya raporlama gereklilikleri dahil olmak üzere saklarız. Tipik saklama süreleri:
- Hesap verileri — hesabınızın aktif olduğu süre boyunca ve hesap kapatıldıktan sonra 90 güne kadar saklanır; bu sürenin sonunda güvenli biçimde silinir veya anonimleştirilir.
- Faturalandırma ve vergi kayıtları — HMRC gerekliliklerine uymak için en az 6 yıl.
- Ürün telemetrisi ve uygulama günlükleri — 12 aya kadar, ardından günlükler silindi veya anonimleştirildi. Amazon Satış Ortağı API aracılığıyla erişilen alıcı kişisel verileri, sipariş tarihinden itibaren 28 gün sonra silinir — bu, Amazon SP-API Veri Koruma Politikası'ndaki 30 günlük üst sınırdan daha katıdır.
- Güvenlik günlükleri ve erişim denetimleri — 12 aya kadar, ardından güvenli biçimde silinir.
- Pazarlama iletişim listeleri (rıza esaslı) — rızanızı geri çekene veya abonelikten çıkana kadar ya da son etkileşiminizden itibaren ölçülen 24 aylık hareketsizlik süresinin ardından (hangisi daha önce gerçekleşirse), bu noktada veriler silinir veya anonimleştirilir.
8. Haklarınız (GDPR)
Birleşik Krallık veya AEA'da bulunuyorsanız, geçerli olduğu üzere UK GDPR veya AB GDPR kapsamında kişisel verilerinize ilişkin aşağıdaki haklara sahipsiniz:
- Erişim — hakkınızda tuttuğumuz kişisel verilerin bir kopyasını talep etme.
- Düzeltme — yanlış veya eksik verileri düzeltmemizi isteme.
- Silme ("unutulma hakkı") — saklama için baskın bir meşru gerekçe veya yasal yükümlülük bulunmadığında kişisel verilerinizin silinmesini talep etme hakkı. Bu hak, saklama zorunluluğunun yasal bir yükümlülüğü yerine getirmek veya hukuki taleplerin tesisi, kullanılması ya da savunulması için gerekli olduğu durumlarda geçerli değildir.
- Taşınabilirlik — işlemenin rızanıza veya bir sözleşmenin ifasına dayandığı ve otomatik yollarla gerçekleştirildiği durumlarda kişisel verilerinizi yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir bir formatta alma ve teknik olarak mümkün olduğunda bunların doğrudan başka bir veri sorumlusuna aktarılmasını sağlama hakkı.
- Kısıtlama — bir sorgu çözülürken verilerinizi nasıl kullandığımızı sınırlamamızı isteme.
- İtiraz — meşru menfaatlerimize dayanan (profil çıkarma dahil) kişisel veri işleme faaliyetlerine her zaman itiraz etme hakkı. Çıkarlarınızı, haklarınızı ve özgürlüklerinizi geçersiz kılan zorlayıcı meşru gerekçeleri ortaya koyamadığımız ya da işleme faaliyeti hukuki taleplerin tesisi, kullanılması veya savunulması amacıyla gerçekleştirilmediği sürece işlemeyi durduracağız. Doğrudan pazarlama amaçlı işlemelerde itiraz hakkınız mutlaktır ve işlemeyi derhal durduracağız.
- Rızayı geri çekme — işleme rızaya dayanıyorsa, istediğiniz zaman geri çekebilirsiniz.
Herhangi bir hakkı kullanmak için [email protected] adresine e-posta gönderin. Bir ay içinde yanıt veririz. Ayrıca Birleşik Krallık Bilgi Komiseri Ofisi'ne ico.org.uk/make-a-complaint adresinden şikayette bulunma hakkına sahipsiniz.
8.1 Hesap verebilirlik kayıtları
UK GDPR'nin 30. Maddesi uyarınca bir İşleme Faaliyetleri Kaydı (ROPA) tutarız ve yeni entegrasyonları veri koruma riski açısından değerlendiririz; işlemenin veri sahipleri için yüksek risk oluşturma olasılığı olduğunda 35. Madde uyarınca Veri Koruma Etki Değerlendirmesi (DPIA) gerçekleştiririz. Kayıtlar talep üzerine Birleşik Krallık Bilgi Komiseri Ofisi'ne sunulur.
9. Güvenlik
sayfamıza bakınız.Verilerinizi, aktarım sırasında TLS 1.2+ (desteklendiği yerlerde TLS 1.3), AWS KMS tarafından yönetilen anahtarlarla durağan halde AES-256 şifreleme, kiracı bazlı izole veritabanları (kiracı başına veritabanı mimarisi), personel için zorunlu çok faktörlü kimlik doğrulama, rol tabanlı erişim kontrolleri, ayrıntılı denetim günlüğü ve bağımlılıkların sürekli güvenlik açığı taraması dahil olmak üzere katmanlı teknik ve organizasyonel önlemlerle koruruz. Tüm ayrıntılar için
9.1 İhlal bildirimi
Kişisel veri ihlali durumunda, UK GDPR'nin 33. Maddesi'nin gerektirdiği hallerde ihlalden haberdar olduktan sonra 72 saat içinde ilgili denetim otoritesine (genellikle Birleşik Krallık Bilgi Komiseri Ofisi) bildirim yaparız ve ihlalin haklarını ve özgürlüklerini yüksek riske maruz bırakma olasılığı olduğunda etkilenen veri sahiplerine gereksiz gecikme olmaksızın bildirimde bulunuruz. İhlal, bir pazaryeri entegrasyonu kapsamında işlenen verileri içerdiğinde, pazaryeri operatörüne gerekli bildirim süresi içinde ayrıca bildirimde bulunuruz — Amazon Selling Partner API için bu süre, Amazon Veri Koruma Politikası'na uygun olarak tespit edildikten 24 saat içindedir.
10. Çocuklar
Huup Hizmetleri yalnızca ticari kullanım için tasarlanmış olup 18 yaşın altındaki bireylere yönelik değildir. Çocuklardan bilerek kişisel veri toplamıyoruz. Bir çocuğun bize kişisel veri sağladığına inanıyorsanız, lütfen şu adresle iletişime geçin: [email protected] ile iletişime geçin; veriyi derhal sileceğiz.
11. Bu politikadaki güncellemeler
Bu Gizlilik Politikasını zaman zaman güncelleyebiliriz. Yeni sürümü bu URL'de yayınlayacak ve “Son güncelleme” tarihini güncelleyeceğiz. Önemli değişiklikler için, yürürlüğe girmeden en az 30 gün önce uygulama içinde veya e-posta yoluyla size bildirimde bulunacağız.
12. İletişim
Bu politika veya kişisel verileri ele alışımız hakkındaki sorular, talepler veya şikayetler şu adrese gönderilmelidir:
Huup Ltd — Veri Koruma İrtibat Noktası
22 Old Montague Street, London E1 5NG, Birleşik Krallık
E-posta (gizlilik sorguları): [email protected]
Companies House: 08708494
Huup Ltd, Madde 37(1)'de belirtilen zorunlu VKG atanması eşiğini karşılamayan işleme faaliyetleri nedeniyle UK GDPR'ın 37. Maddesi kapsamında resmi bir Veri Koruma Görevlisi (VKG) atamamıştır. Gizlilik ve veri koruma sorguları — 8. bölüm kapsamında haklarınızı kullanmaya ilişkin talepler dahil — yukarıdaki iletişim bilgilerinden hukuk ve uyum ekibimiz tarafından ele alınmaktadır. Amaçlarınız doğrultusunda resmi bir VKG atanmasının gerekli olduğunu düşünüyorsanız, lütfen bizimle iletişime geçin; tutumumuzu değerlendireceğiz.
Ayrıca Birleşik Krallık Bilgi Komiseri Ofisi'ne (ico.org.uk) veya yerel AB denetim otoritenize şikayette bulunma hakkına sahipsiniz.
13. Otomatik karar alma
UK GDPR'ın 22. Maddesinde tanımlandığı şekilde, sizinle ilgili hukuki sonuçlar doğuran veya benzer şekilde önemli etkiler yaratan, yalnızca otomatik kararlar almıyoruz. Profilleme kullandığımız durumlarda — örneğin, ilgili özellikleri önermek amacıyla ürün kullanım kalıplarının analiz edilmesi — sizinle ilgili herhangi bir önemli karar alma sürecine mutlaka bir insan katılmaktadır.
Bu durum gelecekte değişirse, bu politikayı güncelleyecek ve UK GDPR'ın gerektirdiği bilgileri — işlemin mantığı ile önemi ve sonuçları dahil — size ileteceğiz.
14. Yeterlilik kararları ve uluslararası aktarımlar
AEA'dan Birleşik Krallık'a kişisel veri aktarımlarında, Avrupa Komisyonu'nun Birleşik Krallık için yeterlilik kararlarına dayanıyoruz; bu kararlar Birleşik Krallık Data (Use and Access) Act 2025 sonrasında 19 Aralık 2025'te yenilenmiş olup 27 Aralık 2031'e kadar geçerlidir ve Birleşik Krallık'ın yeterli düzeyde veri koruması sağladığını kabul etmektedir. Birleşik Krallık'tan AEA'ya kişisel veri aktarımlarında ise Birleşik Krallık Hükümeti'nin yeterlilik düzenlemeleri, AEA/AB üye devletlerini yeterli kabul etmektedir. Verileri Birleşik Krallık ve AEA dışına aktardığımız durumlarda — örneğin, Amerika Birleşik Devletleri'nde bulunan alt işlemcilere — 6. bölümde açıklanan güvencelere dayanıyoruz.
15. Rıza kayıtları
Çerez rızasına ilişkin kayıtları (tarayıcınızda saklanan tercihler) ve pazarlama onayı/ret olaylarını, söz konusu rızanın dayandığı süre boyunca ve bu sürenin sona ermesinden itibaren 12 ay daha saklıyoruz. Bu sayede UK PECR ve UK GDPR rıza gerekliliklerine uyumu belgeleyebiliyoruz. Rıza kayıtları başka herhangi bir amaç için kullanılmamakta olup saklama süresinin sonunda güvenli biçimde silinmektedir.
16. Bağlı Google hesapları (Google Ads & Tag Manager)
Huup'un reklam özelliklerini kullanırken, kendi Google Ads ve Google Tag Manager hesaplarınızı Google'ın resmî OAuth girişi üzerinden Huup'a bağlayabilirsiniz. Bu hesaplara yalnızca siz açıkça yetki verdikten sonra ve yalnızca Huup içinde talep ettiğiniz özellikleri sunmak için erişiriz.
- Google Ads (kapsam
.../auth/adwords) — bağladığınız Google Ads hesaplarındaki reklam kampanyalarını oluşturmak, okumak, güncellemek ve raporlamak için. - Google Tag Manager (tagmanager kapsamları) — container’larınızı okumak ve web sitenizde kurmamızı istediğiniz dönüşüm takip etiketlerini yayınlamak için.
- Temel Google profili (
openid,email) — hangi Google girişini bağladığınızı belirlemek için.
Bu verileri yalnızca talep ettiğiniz reklam özelliklerini işletmek için kullanırız. Google kullanıcı verilerini kendi reklamlarımız için kullanmayız, satmayız ve size hizmet sunmak için gerekli olan ya da yasanın gerektirdiği durumlar dışında üçüncü taraflarla paylaşmayız. OAuth token'ları şifreli saklanır ve bağlantıyı istediğiniz zaman Ayarlar → Entegrasyonlar → Ads üzerinden kesebilirsiniz; bu işlem Huup'un erişimini iptal eder.
Huup'un Google API'lerinden aldığı bilgileri başka uygulamalara kullanması ve aktarması, Limited Use gereklilikleri dahil olmak üzere Google API Services User Data Policy ile uyumlu olacaktır.