Özet

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında, GSC PAP'ı (GSC PAP) kullanırken işlenen kişisel verileriniz ile ilgili sizi bilgilendirmek amacıyla hazırlanmıştır. Detaylı bilgi için Privacy Policy sayfasını da okuyabilirsiniz - aynı kuralları İngilizce olarak ve global perspektifle anlatır.

1. Veri Sorumlusu

Veri sorumlusu sıfatıyla bu hizmeti işleten kişi: GSC PAP (Personal project (independent operator)). İletişim: support@gscpap.com. GSC PAP, bağımsız olarak işletilen bir kişisel projedir; arkasında bir tüzel kişilik bulunmamaktadır. Operatör Türkiye'de yerleşiktir.

2. İşlenen Kişisel Veriler

Kimlik ve iletişim: Google hesabınızdan gelen e-posta adresi ve görünen ad (display name).
Kimlik doğrulama: Google OAuth refresh token (AES-256-GCM ile şifrelenerek saklanır), MCP bearer token (yalnızca SHA-256 hash olarak).
Kullanım kayıtları: Çağrılan MCP aracı, parametre özetleri, gecikme, hata mesajı, zaman damgası (90 gün saklanır).
Search Console verisi: Adınıza Google'dan çektiğimiz arama analitiği, günlük toplamlar, URL inceleme ve sitemap verileri (sizin kişisel arşiviniz).
Google Analytics verisi: Analytics'i bağladıysanız, asistanınız sorduğunda adınıza Google'dan çekilir. Tekrarlanan sorulara daha hızlı yanıt vermek ve geçmişi korumak için bir kopyası saklanabilir; saklanırsa kişisel arşivinizin parçasıdır ve onunla aynı kurallara tabidir.
E-posta kayıtları: Size gönderdiğimiz hesap e-postaları ve haftalık özetlerin kaydı.
Teknik kayıtlar: IP adresi, tarayıcı bilgisi, zaman damgası ve sunucu logları. Web uygulaması tarayıcınızda rastgele bir tarayıcı kimliği (gp_vid) ve ilk ziyaretinizin nereden geldiğini (gp_first_touch: yönlendiren site ve utm_ etiketleri) tutar; bunlar yalnızca bizim API'mize gönderilir, kayıt olduğunuzda ikincisi hesabınızla birlikte saklanır.

3. Kişisel Verilerin İşlenme Amaçları

Hizmetin sunulması: Google Search Console ile AI asistanları arasında köprü kurmak ve kişisel arşivinizi yönetmek.
Hesap yönetimi: oturum açma, token üretme/iptal etme, hesap silme.
Güvenlik ve kötüye kullanım önleme: rate limiting, anormal aktivite tespiti, oturum doğrulama.
Hata ayıklama ve hizmet iyileştirme: otomatik işleme ile hataları bulmak, performansı ölçmek ve özellik geliştirmek; iç işleyişimiz için hesap tanımlamayan toplu istatistikler.
Yasal yükümlülüklere uyum: yetkili kurumlardan gelen taleplere yanıt.
Operatör erişimi: bir hesabın verisine bir kişi yalnızca sizin istediğiniz destek, bir hatanın, güvenlik olayının veya kötüye kullanımın incelenmesi ya da yasal zorunluluk için bakar. Bunun dışında yalnızca hesap tanımlamayan toplu veriyle çalışılır. Her erişim; kimin, hangi hesaba, ne zaman ve hangi gerekçeyle baktığıyla birlikte audit log'a kaydedilir.

Verileriniz reklam, profilleme, yapay zeka modeli eğitimi veya kredi kararları için kullanılmaz. Bu metinde yazmayan yeni bir kullanım (örneğin sitenizi birçok hesabın anonim verisiyle kıyaslayan bir özellik) ancak metni güncelleyip size e-postayla bildirdikten ve ürün içinde açık rızanızı aldıktan sonra başlar; rıza vermezseniz verileriniz bunun dışında kalır. Bugün böyle bir kullanım yoktur.

4. İşlemenin Hukuki Sebepleri

KVKK m.5 ve m.6 kapsamında aşağıdaki hukuki sebeplere dayanılır:

Sözleşmenin kurulması ve ifası (m.5/2-c): hizmeti sağlayabilmek için temel hesap ve token verileri.
Veri sorumlusunun meşru menfaati (m.5/2-f): güvenlik, kötüye kullanım önleme, hata ayıklama, hizmet kalitesi.
Hukuki yükümlülüklerin yerine getirilmesi (m.5/2-ç): yasal taleplere yanıt verme.
Açık rıza (m.5/1): yukarıdakilerin dışında kalan ve spesifik onay gerektiren işlemeler için (henüz mevcut değildir; eklenirse önce bildirilir ve ürün içinde rızanız istenir).

5. Verilerin Aktarıldığı Üçüncü Taraflar

Verilerinizi satmayız, kiralamayız, takas etmeyiz. Başka bir GSC PAP kullanıcısı verilerinizi göremez. Veriler yalnızca hizmeti çalıştıran aşağıdaki sağlayıcılara, yalnızca bu amaçla aktarılır:

Google LLC (ABD): Google ile oturum açma ve adınıza çağırdığımız Search Console, Analytics Data ve PageSpeed Insights API'leri. Ayrıca kendi sitemizin trafiği için Google Analytics (bkz. madde 9).
Contabo GmbH (Almanya): hizmeti çalıştıran ve veritabanını barındıran, Avrupa Birliği'ndeki sunucular.
Cloudflare, Inc. (ABD, küresel ağ): gscpap.com ve app.gscpap.com'u sunar, API ve MCP trafiğini sunucularımıza taşır, Turnstile bot doğrulamasını çalıştırır ve e-postalarımızı iletir.
Serper (serper.dev): canlı Google arama sonuçları araçlarının arkasındaki aramaları yapar. Yalnızca asistanınızın sorduğu arama ifadesini, ülkeyi ve dili alır; hesap bilgilerinizi almaz.
Yetkili merciler: mahkeme kararı veya yasal yükümlülük halinde, talep edilen verilerle sınırlı şekilde.
Devralan taraf: GSC PAP bir gün birleşir veya satılırsa, yalnızca önceden açık rızanızı aldıktan sonra.

Google API'lerinden alınan verilerin kullanımı ve aktarımı, Limited Use gereklilikleri dahil Google API Services User Data Policy'ye uygundur.

Bu sağlayıcıların bir kısmı yurt dışındadır (Avrupa Birliği ve ABD). Bu aktarımlar hizmetin sunulabilmesi için gereklidir ve yalnızca yukarıdaki amaçlarla yapılır.

6. Saklama Süreleri

Hesap verileri (e-posta, şifreli OAuth token): hesabınız var olduğu sürece; hesabı sildiğinizde 30 gün içinde silinir.
Kişisel arşiv (Search Console verisi ve saklanıyorsa Analytics verisi): hesabınız var olduğu sürece. Google tarafında erişimi kaldırmak yeni veri eklenmesini durdurur ama arşivi silmez, böylece yeniden bağlandığınızda geçmişiniz yerinde olur. Hesabı sildiğinizde 30 gün içinde silinir. Belirli mülklerin veya tarih aralıklarının daha erken silinmesini e-postayla isteyebilirsiniz.
Kullanım kayıtları (tool calls): 90 gün.
E-posta kayıtları: aynı e-postayı iki kez göndermemek için hesabınız var olduğu sürece.
Audit log'lar: güvenlik amacıyla 5 yıl. Search Console veya Analytics verisi içermez.
Sunucu logları: en çok 30 gün.
Hesap tanımlamayan toplu istatistikler (örneğin günlük araç çağrısı sayıları) hizmet süresince saklanabilir.

Hesabınızı sildikten sonraki 30 gün içinde tekrar giriş yaparsanız hesabınız geri gelir; silme işleminin bu sürenin sonunda tamamlanması bu yüzdendir.

7. İlgili Kişinin Hakları (KVKK m.11)

KVKK m.11 kapsamında veri sorumlusuna başvurarak aşağıdaki haklarınızı kullanabilirsiniz:

Kişisel verilerinizin işlenip işlenmediğini öğrenme,
İşlenmişse buna ilişkin bilgi talep etme,
İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde/yurt dışında aktarıldığı üçüncü kişileri öğrenme,
Eksik/yanlış işlenmişse düzeltilmesini isteme,
KVKK'nın öngördüğü şartlarda silinmesini/yok edilmesini isteme,
Düzeltme/silme/yok etme işlemlerinin aktarıldığı üçüncü taraflara bildirilmesini isteme,
İşlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç ortaya çıkmasına itiraz etme,
KVKK'ya aykırı işlenmesi sebebiyle zarara uğramanız halinde tazminat talep etme.

Hesap silme işlemini doğrudan /account/profile sayfasındaki "Delete account" bölümünden de yapabilirsiniz.

8. Başvuru Yolları

Yukarıdaki haklarınızı kullanmak için yazılı olarak veya kayıtlı elektronik posta üzerinden veri sorumlusuna başvurabilirsiniz. KVKK m.13 gereği başvuru:

E-posta: support@gscpap.com (konu: "KVKK Başvurusu")
İçerik: ad-soyad, T.C. kimlik numarası (yabancılar için pasaport numarası), tebligat adresi, talep konusu.
Cevap süresi: talep tarihinden itibaren en geç 30 gün içinde yanıtlanır.
Ücret: ücretsiz; ancak ek bir maliyet doğması halinde Kurul'un belirlediği tarife uygulanır.

Başvurunuzun cevabından memnun kalmazsanız Kişisel Verileri Koruma Kurulu'na şikayet hakkınız saklıdır.

9. Çerez ve Analitik Kullanımı

Zorunlu çerezler (rıza gerekmez): gscpap_session (oturum imzası, 1 yıl), gscpap_known (oturum bayrağı), gscpap_oauth_nonce (10 dk OAuth nonce), cf_clearance (Cloudflare bot doğrulaması). Hepsi oturum açma ve güvenlik için zorunludur.

Analitik (Google Analytics 4): Sayfa görüntüleme ve trafik istatistikleri için Google Analytics 4 (mülk G-7VFMNP7705) kullanıyoruz. IP anonimleştirme aktif: tam IP adresiniz GA4'e iletilmez. gscpap.com'da küçük bir betik tarayıcınızın yerel depolamasında rastgele bir ziyaretçi kimliği tutar; app.gscpap.com'da Google'ın gtag.js betiği _ga ve _ga_* çerezlerini koyar (1 yıl). GA4'e e-posta, isim, hesap kimliği, site adresi veya Search Console ya da Analytics verinizden hiçbir şey gönderilmez: sayfa adreslerindeki kimlikler ":id" ile değiştirilir, sorgu dizesinden yalnızca utm_ etiketleri kalır, yönetim sayfaları hiç sayılmaz. Reklam pikseli, üçüncü taraf reklam ağı veya profil satışı yoktur.

Çıkış yolu (opt-out): Tarayıcı düzeyinde reklam engelleyici (uBlock, Brave Shields), Google'ın resmi GA Opt-Out eklentisi veya _ga* çerezlerini silmek yeterlidir. Sitenin geri kalanı çalışmaya devam eder.

10. Değişiklikler

Bu metin yukarıda belirtilen tarih itibarıyla geçerlidir. Önemli değişiklikler yürürlüğe girmeden en az 14 gün önce e-postayla bildirilir. Verilerinizi yeni bir amaçla kullanacak bir değişiklik ayrıca ürün içinde açık rızanızı ister (bkz. madde 3).

İletişim

Soru, talep veya şikayetler için: support@gscpap.com.