← NyxGen

KVKK Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.10 uyarınca · Yürürlük: 2 Ekim 2026 · Önceki sürüm: 13 Eylül 2026

Bu metin, NyxGen platformunu işleten Gece Sosyal ("Veri Sorumlusu") tarafından, platformu kullanan ajans yetkilileri, ekip üyeleri, ajansların son müşterileri (markalar) ve creator/influencer'lara ait kişisel verilerin hangi amaçla, hangi hukuki sebeple işlendiğini, kimlere aktarıldığını ve ilgili kişilerin haklarını açıklar. Genel gizlilik uygulamalarımız için ayrıca Gizlilik Politikası'na bakınız.

Veri Sorumlusu: Gece Sosyal · İletişim: akarege19@gmail.com

1. Rolümüz: veri sorumlusu ve veri işleyen

Ajans hesabı, ekip üyeleri, faturalandırma ve platform kullanım verileri bakımından veri sorumlusuyuz.
Ajansın platforma girdiği son müşteri (marka) verileri, son müşterinin Instagram/TikTok verileri, creator/influencer bilgileri ve müşteri portalı kullanıcıları bakımından Ajans veri sorumlusu, NyxGen veri işleyendir. Bu verileri yalnızca Ajansın talimatıyla ve hizmeti sunmak için işleriz. Ajans, bu kişilere gerekli aydınlatmayı yapmakla ve hukuki dayanağı sağlamakla yükümlüdür. Bu işleme ayrıca Veri İşleme Sözleşmesi'ne tabidir.
Herkese açık sosyal medya verisi (trend havuzu, influencer keşfi, marka/rakip taraması, gönderi doğrulama) ve erişim (trafik) kayıtları bakımından da veri sorumlusuyuz: bu veriler bir ajansın talimatıyla değil, aşağıda açıklanan kendi amaçlarımızla işlenir. Ajansın platforma kendi girdiği creator/influencer kayıtları ise yukarıdaki ikinci maddeye tabidir.

2. İşlenen kişisel veriler

Veri kategorisi	Örnekler	İlgili kişi
Kimlik ve iletişim	Ad soyad, e-posta, kullanıcı adı, ajans adı, telefon (isteğe bağlı)	Ajans yetkilisi, ekip üyesi
Hesap ve güvenlik	Şifre özeti (hash), oturum belirteci, 2FA gizli anahtarı (şifreli), giriş zamanı ve IP adresi, cihaz bilgisi	Tüm kullanıcılar
Faturalandırma	Fatura ünvanı, vergi numarası, adres, ödeme kayıtları (kart verisi tutulmaz)	Ajans
Son müşteri (marka) verileri	Marka adı, web sitesi, sosyal hesap kullanıcı adları, marka kiti, marka taraması sonuçları, müşteri e-postası	Ajansın müşterileri
Sosyal platform verileri (yetkilendirilmiş hesap)	Instagram İşletme/İçerik Üretici hesabı kimliği, kullanıcı adı, erişim tokenı (şifreli), gönderi ve performans metrikleri; yetki verilen TikTok, LinkedIn ve YouTube hesaplarının temel bilgisi ve erişim tokenı (şifreli); TikTok kullanıcı adı ve herkese açık metrikler	Ajansın müşterileri
Herkese açık sosyal medya verisi	Instagram/TikTok'ta herkesin görebildiği kullanıcı adı, görünen ad, biyografi, profil fotoğrafı bağlantısı, takipçi sayısı, gönderi açıklaması, hashtag, beğeni/yorum/izlenme sayısı, paylaşım tarihi, ses bilgisi, gönderi ve kapak görseli bağlantısı. Giriş yapılarak veya parola/çerez kullanılarak toplanmaz; özel hesap ve mesajlar kapsam dışıdır.	Herkese açık hesap sahipleri (creator, influencer, marka hesapları)
İçerik ve üretim	Brief'ler, referans görsel/video, üretilen fikir/senaryo/görsel/video, caption, görev ve onay kayıtları, yorumlar	Ajans, müşteri, ekip
Creator / influencer	Ad, kullanıcı adı, herkese açık profil metrikleri, iletişim bilgisi, kargo adresi (creator'ın kendisi girer), ödeme kaydı, sözleşme ve teslimat hakları	Creator, influencer
Erişim (trafik) kaydı	Giriş denemeleri (başarılı/reddedilen), çıkış, portal bağlantısı erişimi, dosya yükleme/silme/indirme olaylarının zamanı; kullanıcı kimliği veya denenen kullanıcı adı; IP adresi ve proxy zinciri; tarayıcı bilgisi; eylem türü; ilgili dosya anahtarı. Parola, istek içeriği ve dosya içeriği kaydedilmez.	Tüm kullanıcılar, portal ziyaretçileri
Kullanım ve teknik	Panel kullanım olayları, hata kayıtları, AI üretim sayaçları (kredi), tarayıcı tercihleri (dil, tema)	Tüm kullanıcılar

Özel nitelikli kişisel veri (sağlık, din, biyometrik vb.) talep etmiyoruz; kullanıcıların içeriklerine bilinçli olarak eklediği veriler bu kapsam dışındadır.

3. İşleme amaçları ve hukuki sebepler (KVKK m.5)

Amaç	Hukuki sebep
Hesap açma, kimlik doğrulama, panel erişimi, abonelik ve faturalandırma	Sözleşmenin kurulması ve ifası (m.5/2-c); hukuki yükümlülük (m.5/2-ç, fatura ve muhasebe)
Yapay zekâ ile içerik fikri, senaryo, görsel ve video üretimi; marka taraması	Sözleşmenin ifası (m.5/2-c)
Instagram'a zamanlı yayın, performans analizi ve aylık rapor	Sözleşmenin ifası (m.5/2-c); son müşteri hesabının yetkilendirmesi (Meta OAuth)
Trend analizi, influencer keşfi ve kampanya eşleştirme, gönderi doğrulama (herkese açık sosyal medya verisi)	Verinin ilgili kişi tarafından alenileştirilmiş olması (m.5/2-d); meşru menfaat (m.5/2-f) — itiraz hakkı saklıdır (Bölüm 7)
Erişim (trafik) kayıtlarının tutulması ve yetkili makamlara sunulması	Kanunlarda açıkça öngörülmesi (5651 sayılı Kanun m.5; m.5/2-a); veri sorumlusunun hukuki yükümlülüğü (m.5/2-ç)
Güvenlik: oturum yönetimi, hız sınırı, 2FA, kötüye kullanım tespiti, hata izleme	Meşru menfaat (m.5/2-f); hukuki yükümlülük
Bildirim e-postaları (müşteri talebi, yayın hatası, bağlantı süresi), Slack/Drive entegrasyonları	Sözleşmenin ifası; Ajansın açık tercihi
Creator/influencer yönetimi, ürün gönderimi ve kargo takibi	Ajans adına veri işleyen sıfatıyla, Ajansın talimatı
Ürün geliştirme için toplu ve anonim kullanım istatistikleri	Meşru menfaat (m.5/2-f); kişisel veri içermeyecek şekilde

Pazarlama amaçlı e-posta yalnızca açık rıza ile gönderilir; her iletide vazgeçme bağlantısı bulunur.

Influencer keşfindeki skor ve sıralama otomatik bir öneridir; kişi hakkında hukuki sonuç doğuran bir karar değildir, nihai karar Ajansa aittir. Herkese açık taramalarda hesap sahibinin yaşı ayırt edilemez; 18 yaşından küçük birine ait olduğu bildirilen hesaplar öncelikle ve derhal işleme alınır, havuzdan çıkarılır.

4. Yapay zekâ sağlayıcıları ve veri aktarımı (KVKK m.8-9)

Hizmeti sunmak için aşağıdaki işleyicilere sınırlı veri aktarılır. Yurt dışına aktarım, 6698 sayılı Kanun m.9'da öngörülen şartlara uygun olarak yapılır ve hizmetin sunulması için gereken en az veriyle sınırlıdır; Ajans, kendi sorumluluğundaki (son müşteri, creator ve ekip üyesi) veriler bakımından gerekli aydınlatmayı ve hukuki dayanağı sağlamakla yükümlüdür.

Sağlayıcı	Amaç	Aktarılan veri	Konum
OpenAI (GPT)	Fikir, senaryo, caption, analiz ve panel asistanı metin üretimi	Brief, marka bilgileri, görev/yayın özetleri; sohbet geçmişi; referans görsel açıklamaları	ABD
Anthropic (Claude)	Metin üretimi ve analiz (yedek model; çok modelli değerlendirme)	Brief, marka bilgileri, görev/yayın özetleri	ABD
Google (Gemini, Veo)	Yönetmen eleştirisi, jüri puanlama, görsel/video üretimi, marka taraması özeti	Prompt, referans görseller/kareler, marka bilgileri	ABD / AB
fal.ai üzerindeki motorlar (Kling, MiniMax, Wan, Grok, Seedance, FLUX, Ideogram vb.)	Video ve görsel üretimi	Prompt, referans görseller/kareler	ABD
ElevenLabs (opsiyonel, ses modülü açıksa)	Seslendirme, müzik, ses efekti	Metin, ses açıklamaları	ABD
Meta (Instagram Graph API)	Yayın, hesap bağlantısı, performans verisi	Medya, caption, hesap kimliği ve token	ABD / AB
TikTok, LinkedIn, Google (YouTube)	Yetki verilen hesaba yayın ve hesap verisi okuma	Medya, caption, hesap kimliği ve token	Platform sağlayıcısının bulunduğu ülkeler
Apify	Herkese açık Instagram/TikTok verisinin taranması (trend analizi, marka/rakip taraması, influencer keşfi, gönderi doğrulama)	Kullanıcı adı, hashtag, anahtar kelime, profil/gönderi bağlantısı; Apify'dan dönen herkese açık profil ve gönderi verisi	AB
Render (barındırma), Cloudflare (R2 depolama, CDN)	Uygulama ve veritabanı, medya dosyaları	Tüm platform verileri (şifreli aktarım, izole kiracı)	AB (Frankfurt)
Google Drive, Slack, kargo API'leri, SMTP	Ajansın açtığı entegrasyonlar	Teslim dosyaları, olay bildirimleri, kargo takip numarası	Ajansın hesabına göre

AI sağlayıcılarına gönderilen içerik, bu sağlayıcıların API şartlarına göre model eğitiminde kullanılmaz. NyxGen kendi adına model eğitmez; Meta, TikTok, LinkedIn ve YouTube'dan aldığımız platform verilerini model eğitimi için kullanmaz. Yasal zorunluluk hâlinde yetkili kamu kurumlarına aktarım yapılabilir.

5. Saklama süreleri

Hesap ve içerik verileri: abonelik süresince ve iptalden sonra 30 gün (yeniden aktivasyon süresi).
Instagram erişim tokenı: bağlantı kaldırılana kadar; kaldırılınca derhal silinir.
Oturum belirteçleri: 30 gün ya da çıkışta.
Denetim izi (ajans içi kullanıcı eylemleri, giriş olayları): 400 gün.
Erişim (trafik) kayıtları: 2 yıl — 5651 sayılı Kanun'dan doğan saklama yükümlülüğü; hesap veya ajans silinse de bu süre boyunca saklanır, süre dolunca silinir. Yalnızca yetkili platform yöneticisi erişebilir; bütünlüğü zincirli özetlerle korunur.
Hata kayıtları ve AI üretim sayaçları (kredi/maliyet): hizmetin işletilmesi, güvenliği ve faturalama için gerekli süre boyunca.
Herkese açık sosyal medya verisi (trend havuzu): son görüldüğü tarihten itibaren 90 gün; keşifle taranmış ve hiçbir kampanyaya alınmamış influencer profilleri: 90 gün; tarama çalıştırma kayıtları: 180 gün. Trend analizinde videodan çıkarılan kareler saklanmaz; gönderi ve kapak görselleri kopyalanmaz, yalnızca bağlantısı tutulur.
İtiraz üzerine havuzdan çıkarılan hesapların yalnızca kullanıcı adı, talebin sürdürülebilmesi için engel listesinde saklanır.
Fatura ve muhasebe kayıtları: ilgili mevzuatın öngördüğü süre (10 yıl).
AI üretim girdileri: üretim tamamlandıktan sonra sağlayıcı tarafında tutulmaz; üretilen çıktı Ajans silene kadar bulut depolamada saklanır.

6. Güvenlik tedbirleri

Kiracılar arası veri izolasyonu veritabanı düzeyinde (Row-Level Security) uygulanır.
Şifreler geri döndürülemez özet (bcrypt) ile, Instagram tokenları ve 2FA anahtarları şifreli saklanır; tarayıcıya gönderilmez, loglanmaz.
Tüm trafik TLS ile şifrelenir; oturumlar süreli ve iptal edilebilirdir; IP ve hesap bazlı hız sınırı, TOTP tekrar-koruması uygulanır.
Erişim rol bazlıdır (yönetici, departman lideri, ekip üyesi, müşteri portalı, creator portalı).
Erişim (trafik) kayıtlarına ajans kullanıcıları erişemez; kayıt tabloları uygulamanın kiracı tarafı veritabanı rolüne kapalıdır ve günlük zincirli özetlerle bütünlüğü doğrulanır.

7. İlgili kişinin hakları (KVKK m.11)

Kişisel verinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, otomatik sistemlerle analiz sonucu aleyhinize bir sonuca itiraz etme ve zarara uğramanız hâlinde tazminat talep etme haklarına sahipsiniz.

Başvurular akarege19@gmail.com adresine, kimliğinizi doğrulayan bilgilerle iletilir ve en geç 30 gün içinde ücretsiz sonuçlandırılır. Ajans adına işlenen (veri işleyen sıfatıyla tutulan) veriler için başvurunuz ilgili Ajansa yönlendirilir. Silme yolları için Veri Silme sayfasına bakınız.

Herkese açık hesabınız trend havuzumuzda veya influencer keşfimizde yer alıyorsa, kullanıcı adınızı yazarak akarege19@gmail.com adresinden hesabınızın havuzdan çıkarılmasını isteyebilirsiniz (m.11 kapsamında silme ve itiraz hakkı). Talebin hesap sahibine ait olduğunu doğrulamak için makul bir doğrulama (ör. hesaptan yanıt) isteyebiliriz. Talebiniz en geç 30 gün içinde sonuçlandırılır: hesabınızın havuzdaki verileri silinir ve hesap bir daha havuza, influencer keşfine veya rakip/referans taramalarına alınmaz; bunun için yalnızca kullanıcı adınızı bir engel listesinde saklarız. Bir ajansın sizinle iş birliği kapsamında kendi kayıtlarında tuttuğu bilgiler o ajansın sorumluluğundadır; talebinizi ilgili ajansa ileteceğiz.

8. Çerezler ve yerel depolama

Pazarlama sitesi ve panel, üçüncü taraf takip çerezi kullanmaz. Panelde oturum belirteci, dil ve tema tercihi gibi teknik bilgiler tarayıcının yerel depolamasında tutulur; bu bilgiler yalnızca hizmetin çalışması içindir.

9. Değişiklikler

Bu metin güncellendiğinde yeni sürüm bu sayfada yayımlanır ve esaslı değişiklikler panelden ve e-posta ile duyurulur.

Data Processing Notice (English summary)

Summary of the Turkish KVKK notice above, which is the binding version. GDPR-equivalent principles are applied for EU data subjects.

Roles: We are the controller for agency accounts, team members, billing and usage data. For end-client (brand) data, their social accounts, creators/influencers and client-portal users, the agency is the controller and NyxGen the processor acting on its instructions.
Data: identity and contact, account security (hashed passwords, encrypted tokens and 2FA secrets), billing, brand data and brand-scan results, Instagram/TikTok/LinkedIn/YouTube account and performance data of authorized accounts, content and generation inputs/outputs, creator data (including the shipping address the creator enters), technical usage data, publicly available Instagram/TikTok data (public profile and post information, collected without logging in; private accounts and messages are out of scope) and access (traffic) logs (time, user identity, IP address, action and file key of logins, portal access and file uploads/deletions/downloads).
Purposes / legal bases: contract performance (accounts, generation, publishing, reporting), legal obligation (invoicing; retention of access logs under Law No. 5651), legitimate interest and publicly disclosed data (trend analysis, influencer discovery, post verification — you may object), legitimate interest (security, anonymous usage statistics), consent (marketing e-mail). Influencer scores are automated suggestions, not decisions with legal effect; the agency decides.
Processors & transfers: OpenAI (GPT), Anthropic (Claude), Google (Gemini, Veo), engines on fal.ai, ElevenLabs (optional audio), Meta (Instagram API), TikTok, LinkedIn and Google (YouTube) for authorized publishing, Apify (scanning of publicly available data), Render and Cloudflare (hosting in Frankfurt), plus integrations the agency enables (Google Drive, Slack, shipping APIs, SMTP). Transfers abroad are made under art. 9 of Law No. 6698 and limited to what the Service needs. AI inputs are sent only to perform the generation and are not used to train models; NyxGen does not train its own models nor uses platform data from Meta, TikTok, LinkedIn or YouTube for training.
Retention: account and content data for the subscription plus 30 days; Instagram tokens until disconnected; sessions 30 days; audit trail 400 days; access (traffic) logs 2 years (Law No. 5651; kept even if the account is deleted, accessible only to an authorized platform administrator); publicly available social data 90 days (influencer profiles never added to a campaign 90 days, scan-run records 180 days, video frames and cover images are not stored); invoices as required by law.
Rights: access, rectification, erasure, restriction, objection and information about recipients — write to akarege19@gmail.com; answered within 30 days. If your public account is in our trend or influencer pool, send the username to the same address to have it removed and not collected again (we keep only the username on a block list; records an agency holds under its own collaboration are that agency's responsibility and we will forward your request). See Data Deletion for self-service options.