Gizlilik Politikası

Yürürlük tarihi: 6 Ekim 2026 · Son güncelleme: 13 Ekim 2026 (marka onay bağlantıları; Derin Analiz sunucuda işlenir, video ve görseller işlenene kadar geçici olarak saklanır; eklenti ile Dashboard oturumu ortaklaştı; 12 Ekim: sunumlar, profil özetleri, asistan sohbetinden sunumlar ve paylaşım bağlantıları eklendi; 11 Ekim: toplantı asistanı, kampanya ödemeleri ve belgeleri, içerik akışları eklendi; 10 Ekim: bildirimler ve hesap önerileri, tahmini kitle demografisi eklendi; 8 Ekim: Derin Analiz görsel betimlemeleri ve içeriklerin en çok beğenilen yorumları)

Bu politika, StatsBase Chrome eklentisi, statsbase.org sitesi, Dashboard ve api.statsbase.org hizmeti (birlikte “StatsBase”) kullanılırken hangi kişisel verilerin, hangi amaçla ve nasıl işlendiğini açıklar. Metin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki aydınlatma yükümlülüğü ve AB Genel Veri Koruma Tüzüğü (GDPR) dikkate alınarak hazırlanmıştır.

1. Veri sorumlusu

StatsBase, KVKK kapsamında veri sorumlusu sıfatıyla aşağıdaki şirket tarafından sunulur:

Kişisel verilerinizle ilgili tüm soru ve talepleriniz için support@statsbase.org adresine yazabilirsiniz.

2. Hangi verileri işliyoruz

2.1 Giriş yaptığınızda

StatsBase'e Google, Apple ya da e-posta ve şifreyle giriş yapabilirsiniz. Aynı doğrulanmış e-posta adresiyle hangi yöntemle gelirseniz gelin tek hesabınız olur.

• Google: Google, yalnızca sizin onayladığınız temel profil bilgilerini iletir: ad ve soyad, e-posta adresi ve doğrulanmış olup olmadığı, profil fotoğrafının adresi, dil tercihi ve (kurumsal bir Google Workspace hesabıysa) e-posta alan adı. Doğum tarihi yalnızca giriş ekranında ayrıca izin verdiğiniz durumda alınır.
• Apple: Apple, size özel değişmez bir kullanıcı kimliği ve e-posta adresinizi iletir; ad ve soyad yalnızca ilk girişte ve paylaşmayı seçerseniz gelir. “E-postamı gizle” seçeneğini kullanırsanız Apple'ın yönlendirme adresini alırız.
• E-posta ve şifre: Adınız (isteğe bağlı), e-posta adresiniz ve şifreniz. Şifrenin kendisi saklanmaz; yalnızca tuzlanmış ve tek yönlü bir özeti (PBKDF2-SHA256) saklanır. Hesap, e-posta adresinize gönderdiğimiz doğrulama bağlantısına tıklayınca açılır. Doğrulama ve şifre sıfırlama e-postaları Cloudflare üzerinden gönderilir; bağlantılar tek kullanımlıktır ve 24 saat (doğrulama) ya da 1 saat (sıfırlama) sonra geçersiz olur.

Google, Apple ya da başka bir hizmetteki şifrenizi hiçbir zaman görmeyiz.

Eklenti ile Dashboard aynı oturumu paylaşır: aynı tarayıcıda birine giriş yaptıysanız öbürü de aynı hesapla açılır. Bunun için eklenti, statsbase.org oturum çerezinizi yalnızca api.statsbase.org'a yaptığı istekte kullanır; çerez başka bir yere gönderilmez.

Bu bilgilerle bir kullanıcı hesabı açarız. E-posta alan adınız kurumsal ise (ör. şirketiniz.com) aynı alan adına sahip kullanıcılar bir ekip altında gruplanır; gmail.com, hotmail.com gibi kişisel alan adları ekip oluşturmaz.

2.2 Eklenti kullanımı (giriş yapsanız da yapmasanız da)

• Kurulum kimliği: Eklenti kurulduğunda rastgele bir kimlik üretilir ve eklentinin sunucumuza attığı her istekte (yapay zeka, katalog, geri bildirim, sürüm kontrolü) gönderilir; istek sınırlaması ve kötüye kullanımın önlenmesi için kullanılır. Bu kimlik, ilk ve son görülme zamanı, yapılan tarama sayısı ve tarayıcı bilgisi (user-agent) sunucumuzda tutulur. Giriş yaparsanız kimlik hesabınıza bağlanır.
• Oturum: Giriş yaptığınızda bir oturum belirteci oluşturulur. Sunucuda belirtecin kendisi değil, yalnızca tek yönlü özeti (SHA-256) saklanır.
• Yerel veriler: Taramaların ayrıntıları (içerik listeleri, yorumlar, transkriptler, sohbet geçmişi, eklediğiniz brief dosyaları, ayarlar) tarayıcınızın yerel deposunda (chrome.storage) tutulur. Panel menüsündeki “Verileri Temizle” ile silebilirsiniz.

2.3 Taranan herkese açık profiller

StatsBase, sizin ziyaret edip tarattığınız Instagram ve TikTok profillerinin herkese açık bilgilerini okur: kullanıcı adı, görünen ad, biyografi ve biyografideki bağlantılar, profilde yayınlanmış iletişim e-postası, takipçi ve içerik sayıları, içeriklerin beğeni, yorum, izlenme ve paylaşım sayıları, açıklama metinlerinin kısa bir bölümü, bahsedilen hesaplar ve hashtag'ler. Bu bilgilerden etkileşim oranları, kategori, içerik dili, konu etiketleri ve markalı iş birliği tespiti gibi istatistikler hesaplanır.

Sağlıklı (eksiksiz) taramaların özeti, eklentide ilk açılışta gösterilen bildirimi kabul etmenizle, kurulum kimliğinizle birlikte StatsBase kataloğuna kaydedilir ve Dashboard'da herkese açık istatistik olarak gösterilir. Kabul etmezseniz taramalar yalnızca tarayıcınızda kalır. Katalog, profil fotoğrafının ve taranan içeriklerin kapak görsellerinin bir kopyasını da (Dashboard'da göstermek için) saklar. Kataloğa giren kişisel veri yukarıdaki herkese açık profil bilgileriyle sınırlıdır. Profillerde yayınlanmış iletişim e-postaları Dashboard'da gösterilmez; yalnızca türü (kişisel ya da kurumsal) gösterilir. İçeriklere yazılan yorumlardan yalnızca tarama sırasında okunanlar içinde en çok beğeni alan en fazla beş tanesi, metni ve beğeni sayısıyla kataloğa kaydedilir; yorumu yazan kişinin kullanıcı adı saklanmaz ve metindeki @kullanıcı adları gizlenir. Bu yorumlar herkese açık API'de gösterilmez; yalnızca Dashboard'a giriş yapmış kullanıcılar içerik ayrıntısında görür. Öteki yorumlar yalnızca sizin tarayıcınızda ve sizin başlattığınız yapay zeka analizinde kullanılır. Derin Analiz açıksa katalog, içeriklerin yapay zekayla üretilmiş betimlemesini de saklar: video özeti ve konuşma dökümü, sahneler ve görsel nitelikler (mekân, kıyafet stili, mevsimi ve renkleri, içerik biçimi ile içerikte öne çıkan kişinin görünen cinsiyet sunumu ve yaklaşık yaş grubu). Bu nitelikler görüntüden yapılan otomatik tahminlerdir; kişinin kimliği, gerçek cinsiyeti ya da yaşı hakkında bir beyan değildir. İsim tahmini ve yüz tanıma yapılmaz; etnik köken, din, sağlık ya da cinsel yönelim gibi özel nitelikli veriler çıkarılmaz. Bu betimlemeler herkese açık API'de gösterilmez; yalnızca Dashboard'a giriş yapmış kullanıcılar arama ve süzme için görür.

Tahmini kitle demografisi. Katalog, bir hesabın kitlesine (onu izleyen ve içeriklerine etkileşim veren kişilere) ilişkin yaklaşık bir demografi tahmini de saklar: yaş aralıklarının ve kadın/erkek eğiliminin yaklaşık oranları, olası ülkeler ve şehirler, ilgi alanları, tahminin güven düzeyi ve dayanağı. Tahmin, katalogda zaten bulunan bilgilerden yapay zekayla çıkarılır (içerik açıklamaları, en çok beğenilen yorumların metni, hesap dili ve konuları, Derin Analiz betimlemeleri); bunun için ek veri toplanmaz ve profil yeniden taranmaz. Şehir dağılımı metinlerde geçen şehirlere ve il nüfus oranlarına dayanan kurallarla hesaplanır. Bu, tek tek kişiler hakkında değil, kitlenin bütünü hakkında yaklaşık bir çıkarımdır; hiçbir izleyici ya da yorum yazarı tanımlanmaz, profillenmez veya saklanmaz. Gerçek ölçüm değildir; gerçek oranlar yalnızca hesap sahibinin kendi platform istatistiklerinde bulunur. Yeterli veri olmayan hesaplarda (en az 6 içerik ve 15 yorum) tahmin yapılmaz. Tahmin herkese açık API'de gösterilmez; yalnızca Dashboard'a ve eklentiye giriş yapmış kullanıcılar görür ve kampanya uygunluk değerlendirmesinde kullanılır.

Ayrıca CultureBase, kataloğu güncel tutmak için herkese açık profil sayfalarını otomatik olarak tarayabilir. Bu taramalar da yalnızca herkese açık bilgileri okur.

2.4 Yapay zeka analizi

Yapay zeka raporu, sohbet, içerik sınıflandırması ve Derin Analiz için ilgili veriler (içerik açıklamaları, sayılar, yorumlar, içeriklerin kapak görselleri, altyazı ve transkriptler, Derin Analiz açıksa video dosyaları, eklediğiniz brief belgeleri ve sohbet mesajlarınız) sunucumuz üzerinden Google'ın Gemini API hizmetine gönderilir ve orada işlenir. Yapay zeka talimatları sunucumuzda durur; Google bu verileri kendi modellerini eğitmek için kullanmaz (ücretli API koşulları). Gemini'ye yüklenen dosyalar işlem sonrasında silinir; silinemeyenler Google tarafından en geç 48 saat içinde kendiliğinden silinir. Giriş yaptıysanız Derin Analiz sunucumuzda yürür: eklenti, analiz edilecek video ve görsel dosyalarını sunucumuzdaki dosya deposuna (Cloudflare R2) yükler, panel kapansa da analiz tamamlanır ve sonuç kataloğa yazılır. Bu dosyalar analiz bittiğinde silinir; analiz başarısız olursa ya da yükleme yarım kalırsa en geç birkaç saat içinde silinir. Daha önce analiz edilmiş içerikler yeniden gönderilmez.

2.5 Geri bildirim

“Geri bildirim gönder” ile ilettiğiniz mesaj, isteğe bağlı yanıt e-postanız ve seçtiğiniz ekler (panel görüntüsü, tarama kaydı, yapay zeka rapor metni, veri paketi) e-posta olarak ekibimize ulaşır.

2.6 Bildirimler ve hesap önerileri

Dashboard'daki bildirimler (size atanan görevler, önerdiğiniz hesabın hazır olması, yaklaşan toplantılarınız; ekibinizin içerik, teklif, sunum, tamamlama ve arşiv hareketleri) hesabınıza bağlı saklanır ve 30 gün sonra listeden düşer. Kendi yaptığınız işler size bildirilmez. Katalogda olmayan bir hesabı önerdiğinizde platform ve kullanıcı adı, öneriyi yapan hesapla birlikte saklanır; hesap tarandığında size bildirim ve e-posta gönderilir. Bildirim türlerini ve e-postaları Dashboard'da bildirimler › ayarlar bölümünden kapatabilirsiniz.

2.7 Toplantı asistanı (StatsBase Notları)

Ekibiniz toplantı asistanını kullanırsa (toplantı davetine notlar@statsbase.org adresini eklemek ya da StatsBase takviminde toplantıya bağlantı eklemek), asistan Google Meet, Zoom ya da Microsoft Teams toplantısına bir katılımcı olarak girer, katılır katılmaz sohbete not aldığını yazar ve toplantının sesini dökümler. Toplantıya katılma ve dökümleme hizmet sağlayıcımız Recall.ai üzerinden, Avrupa Birliği bölgesindeki sunucularda yapılır. Döküm (konuşmacı adları, varsa e-postaları, zaman ve söylenenler) StatsBase'e alındıktan sonra Recall.ai'daki ses/görüntü kaydı silinir; görüntü kaydı StatsBase'te saklanmaz. Döküm ve ondan çıkarılan toplantı notu (özet, kararlar, yapılacaklar) yapay zeka ile işlenmek üzere Gemini API'ye gönderilir (bkz. 2.4) ve yalnızca ekibinize görünür biçimde saklanır; toplantıyı sildiğinizde döküm ve not da silinir. Davet e-postasından toplantının başlığı, zamanı, bağlantısı ve davetlilerin ad ve e-postaları; bize ilettiğiniz başka araçların toplantı notları da aynı şekilde işlenir. Toplantıdaki diğer katılımcıları kayıt ve not alındığı konusunda bilgilendirmek ve gerekiyorsa onaylarını almak, asistanı toplantıya davet eden ekibin sorumluluğundadır; StatsBase bu verileri ekibiniz adına ve onun talimatıyla işler. Asistanı istemeyen bir katılımcı onu toplantıdan çıkarabilir.

2.8 Site ve teknik veriler

• Dashboard'da giriş yaptığınızda api.statsbase.org alan adında yalnızca oturum için gerekli bir çerez (sb_session, HttpOnly, 90 gün) kullanılır. Karşılaştırma için seçtiğiniz hesaplar yalnızca tarayıcınızın yerel deposunda tutulur.
• Reklam, analitik ya da izleme çerezi kullanmıyoruz.
• Kötüye kullanımı önlemek için IP adresi istek sınırlamasında anlık olarak kullanılır. “Güncelle” isteklerinde IP adresinin kısaltılmış tek yönlü özeti 7 gün saklanır; IP adresinin kendisi saklanmaz.
• Site, yazı tiplerini Google Fonts'tan yükler.

2.9 Ücretli plan satın aldığınızda

Ödemeler iyzico (İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.) altyapısı üzerinden alınır. Kart numarası, son kullanma tarihi ve güvenlik kodu doğrudan iyzico'ya iletilir; bu bilgileri biz görmeyiz ve saklamayız. Otomatik yenileme için kartınız iyzico tarafından saklanır; bize yalnızca kartı tanımlayan bir referans ile kartın son dört hanesi, türü ve bankası iletilir.

Satın alma ve faturalama için ad-soyad ya da unvan, e-posta adresi, fatura adresi, (kurumsal alıcılarda) vergi dairesi ve numarası, (bireysel alıcılarda yasal zorunluluk olduğunda) T.C. kimlik numarası, telefon numarası, seçtiğiniz plan, tutar, ödeme ve iade kayıtları ile Mesafeli Satış Sözleşmesi'ni onayladığınız zaman ve IP adresi işlenir. iyzico, ödemenin güvenliği ve dolandırıcılığın önlenmesi için bu bilgilerin bir kısmını kendi gizlilik politikası kapsamında, ayrı bir veri sorumlusu olarak işler.

2.10 Kampanya ödemeleri ve belgeleri (Kampanyalarım)

Ekibiniz Kampanyalarım'da fatura ve ödeme takibini kullanırsa, içerik üreticilerle anlaşılan kapsam ve bedeller (vergi tabanı ve oranıyla), markalara kesilen faturaların ve üreticilerden gelen faturaların ya da gelir vergisi istisna belgelerinin tutarı, numarası, tarihi, vadesi ve ödeme durumu ile ekibinizin yüklediği belge dosyaları (PDF ya da görsel) saklanır. Bu belgeler ad-soyad ya da unvan, vergi ya da T.C. kimlik numarası, adres ve banka bilgisi gibi kişisel veriler içerebilir. Belgeler yalnızca yükleyen ekip tarafından görülebilir; yapay zekaya gönderilmez. Asistan ödeme sorularını yanıtlarken belge içeriğini değil, yalnızca kalem adını (ör. üreticinin kullanıcı adı), tutar, durum ve tarih bilgilerini kullanır. StatsBase bu verileri ekibiniz adına ve onun talimatıyla işler; belgeleri yüklemek için gerekli hukuki dayanağın bulunması ekibinizin sorumluluğundadır. Bir ödeme kalemini, kampanyayı ya da markayı sildiğinizde ilgili belgeler de silinir.

2.11 İçerik akışları (Kampanyalarım)

Ekibiniz bir içerik üreticisinin çekim öncesi gönderdiği içerik akışını (senaryo, sahne sırası, replikler) Kampanyalarım'a eklerse, akış metni ve yüklenen dosya (PDF, görsel, Word ya da metin dosyası) ekibinizin alanında saklanır. Google Docs bağlantısı verildiğinde belge yalnızca herkese açık paylaşılmışsa düz metin olarak bir kez alınır. Akış, brief'e uygunluk kontrolü ve düzeltme önerisi için Google'ın Gemini API hizmetine gönderilir (2.4'teki koşullarla). Akışlar yalnızca ekibiniz tarafından görülür ve ekibiniz silene ya da kampanyayı silene kadar saklanır.

2.12 Sunumlar, profil özetleri ve paylaşım bağlantıları (Kampanyalarım)

Ekibiniz marka sunumu ya da bir içerik üreticisinin profil özeti (one-pager) oluşturursa, sunumun metinleri, rakamları, ekibinizin yüklediği görseller ve sunumun hazırlandığı andaki herkese açık profil verilerinin bir kopyası ekibinizin alanında saklanır. Profil özetinin içgörü metinleri, herkese açık profil verisinden Google'ın Gemini API hizmetiyle yazılır (2.4'teki koşullarla). StatsBase Asistan ile yaptığınız bir konuşmayı sunuma dönüştürürseniz, konuşmanın metni, sayfanın bağlamı ve sayfadaki içerik üreticilerin herkese açık verileri sunumu yazmak için aynı hizmete gönderilir; konuşma metni yalnızca sunum hazırlanırken saklanır ve iş bitince silinir. Sunumlar varsayılan olarak yalnızca oluşturan kişiye (profil özetleri ve sohbetten hazırlanan sunumlar) ya da ekibe (marka sunumları) açıktır. Ekibiniz bir sunum için çevrim içi bağlantı açarsa: "ekibe özel" bağlantıyı yalnızca giriş yapmış ekip üyeleri, "herkese açık" bağlantıyı ise bağlantıyı bilen herkes giriş yapmadan görebilir; bağlantı sunumun en son kaydedilmiş halini gösterir. Bağlantıyı kimlerle paylaşacağına ekibiniz karar verir; bağlantı kapatıldığında ya da yenilendiğinde eski bağlantı çalışmaz. Sunumlar ekibiniz silene ya da hesap/ekip silinene kadar saklanır.

2.13 Marka onay bağlantıları (Kampanyalarım)

Ekibiniz bir içerik üreticisinin senaryosunu ya da videosunu markanın onayına bağlantıyla gönderebilir. Bağlantı rastgele, tahmin edilemez bir anahtar taşır ve 30 gün geçerlidir. Bağlantıya sahip olan herkes, giriş yapmadan yalnız o sürümü görür: senaryo metni ya da dosyası veya video. Ayrıca marka adını, kampanya adını, içerik üreticinin kullanıcı adını ve gönderen ekibin adını görür. Ekibinizin iç notları ve yapay zeka incelemesi bağlantıda gösterilmez. Bağlantıdan tek bir karar verilir (onay ya da revizyon). Karar, isteğe bağlı olarak yazılan ad ve not, karar zamanıyla birlikte kampanyanın geçmişine kaydedilir; bağlantıyı oluşturan kişiye ve kampanyanın sorumlusuna bildirim ve e-posta gider. Ekibiniz arada içeride karar verirse bağlantı kapanır. Bağlantıyı kime ileteceğinize ekibiniz karar verir; ileten kişi bu içeriği paylaşma yetkisine sahip olmalıdır.

3. Amaçlar ve hukuki sebepler

4. Aktarım ve hizmet sağlayıcılar

Verilerinizi satmıyor, reklam amacıyla kullanmıyor ve üçüncü kişilerle paylaşmıyoruz. Hizmeti sunmak için aşağıdaki hizmet sağlayıcıları kullanıyoruz; sunucuları yurt dışında bulunabilir ve veriler bu nedenle yurt dışına aktarılır:

• Cloudflare, Inc.: barındırma, veritabanı, e-posta iletimi, güvenlik.
• Google LLC: Google ile giriş (OAuth) ve Gemini API ile yapay zeka işleme.
• Apple Inc.: Apple ile giriş.
• Recall.ai, Inc.: toplantı asistanının toplantıya katılması ve dökümleme (Avrupa Birliği bölgesi; kayıt döküm alındıktan sonra silinir).
• İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. (iyzico): ödeme alma, kart saklama ve iade (Türkiye).

Yasal bir yükümlülük ya da yetkili makamların talebi olduğunda verileri ilgili mevzuat çerçevesinde paylaşabiliriz.

5. Google kullanıcı verileri

StatsBase'in Google API'lerinden aldığı bilgilerin kullanımı ve başka uygulamalara aktarımı, Sınırlı Kullanım (Limited Use) koşulları dahil olmak üzere Google API Services User Data Policy'ye uygundur. Google hesap bilgileriniz yalnızca giriş, hesabınızın ve ekibinizin gösterilmesi ve hizmetin sunulması için kullanılır; reklam için kullanılmaz, satılmaz ve yapay zeka modellerinin eğitiminde kullanılmaz.

Chrome Web Mağazası: Eklentinin topladığı ya da ilettiği kullanıcı verileri yalnızca bu politikada anlatılan, kullanıcıya dönük özellikler için kullanılır (Chrome Web Mağazası Kullanıcı Verileri Politikası'nın Sınırlı Kullanım gerekleri). Veriler reklamcılara ya da veri simsarlarına aktarılmaz, satılmaz, kredi değerliliği ya da borç verme amacıyla kullanılmaz; insanlar tarafından yalnızca sizin onayınızla, güvenlik incelemesi için ya da yasal zorunlulukla okunur.

6. Saklama süreleri

• Kullanıcı hesabı: hesabınızın silinmesini isteyene kadar.
• Oturumlar: en çok 90 gün (çıkış yaptığınızda hemen silinir).
• Ham tarama kayıtları: 35 gün. Tarama geçmişi özetleri: günlük 35 gün, haftalık 26 hafta, aylık 13 ay.
• Katalogdaki profil özeti: profil herkese açık olduğu ve silme talebi gelmediği sürece.
• Fatura, ödeme ve iade kayıtları: vergi ve ticaret mevzuatı gereği 10 yıl. Onaylanan Mesafeli Satış Sözleşmesi: en az 3 yıl.
• Kampanya ödeme kalemleri ve yüklenen fatura / istisna belgeleri: ekibiniz silene ya da hesap kapanana kadar (yasal saklama yükümlülüğü belgeyi düzenleyen ve alan taraflarındadır).
• Geri bildirim e-postaları: talebiniz sonuçlandıktan sonra makul bir süre.
• Tarayıcınızdaki yerel veriler: siz silene ya da eklentiyi kaldırana kadar; toplam boyut belirli bir sınırı aşınca en eskiler kendiliğinden silinir.

7. Haklarınız

KVKK m. 11 ve GDPR kapsamında; verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini ya da silinmesini isteme, işlemeye itiraz etme, aktarıldığı kişileri öğrenme ve zarara uğramanız hâlinde giderim talep etme haklarına sahipsiniz. Taleplerinizi support@statsbase.org adresine iletebilirsiniz; en geç 30 gün içinde yanıtlarız. Ayrıca Kişisel Verileri Koruma Kurulu'na (ya da AB'de bulunuyorsanız yerel denetim makamına) şikâyette bulunabilirsiniz.

8. Güvenlik

Bağlantılar HTTPS ile şifrelenir. Oturum belirteçleri ve API anahtarları yalnızca tek yönlü özetleriyle saklanır. Yapay zeka hizmetinin anahtarı eklentide değil, yalnızca sunucumuzda bulunur. Veritabanına erişim yetkili ekip üyeleriyle sınırlıdır.

9. Çocuklar

StatsBase profesyonel kullanım için tasarlanmıştır ve 18 yaşından küçüklere yönelik değildir. 18 yaşından küçük olduğunu bildiğimiz kullanıcıların hesaplarını sileriz.

10. Değişiklikler

Bu politikayı güncelleyebiliriz. Önemli değişiklikleri sitede ve eklentide duyururuz; sayfanın başındaki tarih son güncellemeyi gösterir.

Privacy Policy

Effective: 6 October 2026 · Last updated: 13 October 2026 (brand approval links; Deep Analysis runs on our server, videos and images are stored temporarily until processed; the extension and the Dashboard share one sign-in; 12 October: presentations, profile one-pagers, presentations from assistant chats and share links added; 11 October: meeting assistant, campaign payments and documents, content flows added; 10 October: notifications and account suggestions, estimated audience demographics; 8 October: Deep Analysis visual descriptions)

This policy explains what personal data is processed, why, and how, when you use the StatsBase Chrome extension, the statsbase.org website, the Dashboard and the api.statsbase.org service (together, “StatsBase”). It is written with the Turkish Personal Data Protection Law No. 6698 (KVKK) and the EU General Data Protection Regulation (GDPR) in mind.

1. Data controller

StatsBase is provided by the following company, acting as data controller:

For any question or request about your personal data, email support@statsbase.org.

2. What we process

2.1 When you sign in

You can sign in to StatsBase with Google, Apple or an email address and password. Whichever method you use with the same verified email address, you have a single account.

• Google: Google shares only the basic profile information you approve: your name, email address and whether it is verified, profile picture URL, language preference and, for a Google Workspace account, your email domain. Your date of birth is collected only if you separately grant that permission on the consent screen.
• Apple: Apple shares a stable user identifier unique to StatsBase and your email address; your name is shared only on first sign-in and only if you choose to share it. If you use “Hide My Email”, we receive Apple's relay address.
• Email and password: your name (optional), email address and password. The password itself is never stored; only a salted one-way hash (PBKDF2-SHA256) is kept. Your account is created when you click the verification link we email you. Verification and password-reset emails are sent through Cloudflare; links are single-use and expire after 24 hours (verification) or 1 hour (reset).

We never see your password for Google, Apple or any other service.

The extension and the Dashboard share one sign-in: if you are signed in to one of them in the same browser, the other opens with the same account. For this the extension uses your statsbase.org session cookie only in its requests to api.statsbase.org; the cookie is not sent anywhere else.

We use this to create your user account. If your email domain is a company domain (e.g. yourcompany.com), users with the same domain are grouped into a team; personal domains such as gmail.com or hotmail.com do not create teams.

2.2 Using the extension (signed in or not)

• Installation ID: a random identifier created when the extension is installed and sent with every request the extension makes to our server (AI, catalog, feedback, version check); it is used for rate limiting and abuse prevention. We store it with first and last seen times, the number of scans and the browser user-agent. If you sign in, it is linked to your account.
• Session: signing in creates a session token. The server stores only a one-way hash (SHA-256), never the token itself.
• Local data: scan details (content lists, comments, transcripts, chat history, brief files you add, settings) are kept in your browser's local storage (chrome.storage). You can delete them with “Clear data” in the panel menu.

2.3 Public profiles that are scanned

StatsBase reads the public information of the Instagram and TikTok profiles you visit and scan: username, display name, bio and bio links, the contact email published on the profile, follower and post counts, likes, comments, views and shares of posts, a short excerpt of captions, mentioned accounts and hashtags. From these it computes statistics such as engagement rates, category, content language, topic tags and branded-collaboration detection.

Once you accept the notice shown in the extension on first use, a summary of complete (healthy) scans is saved to the StatsBase catalog together with your installation ID and shown on the Dashboard as public statistics. If you do not accept, scans stay in your browser only. The catalog also keeps a copy of the profile picture and of the cover images of scanned posts (to display them on the Dashboard). Personal data in the catalog is limited to the public profile information above. Contact emails published on profiles are not shown on the Dashboard; only their type (personal or business) is shown. Comments on posts are not stored in the catalog; they are used only in your browser and in the AI analysis you start. When Deep Analysis is on, the catalog also stores an AI-generated description of the posts: a video summary and transcript, scenes and visual attributes (setting, outfit style, season and colours, content format, and the apparent gender presentation and approximate age group of the person featured). These attributes are automatic estimates from the image; they are not a statement about anyone's identity, actual gender or age. No names are guessed and no facial recognition is performed; special categories of data such as ethnic origin, religion, health or sexual orientation are not inferred. These descriptions are not shown in the public API; only users signed in to the Dashboard see them for search and filtering.

CultureBase may also scan public profile pages automatically to keep the catalog up to date. These scans read public information only.

2.4 AI analysis

For the AI report, chat, content classification and Deep Analysis, the relevant data (captions, counts, comments, cover images of posts, subtitles and transcripts, video files when Deep Analysis is on, brief documents you add and your chat messages) is sent through our server to Google's Gemini API and processed there. The AI instructions live on our server; Google does not use this data to train its models (paid API terms). Files uploaded to Gemini are deleted after processing; any that cannot be deleted are removed automatically by Google within 48 hours. When you are signed in, Deep Analysis runs on our server: the extension uploads the video and image files to be analysed to our file storage (Cloudflare R2), the analysis completes even if the panel is closed, and the result is written to the catalog. These files are deleted when the analysis finishes; if the analysis fails or an upload is left incomplete, they are deleted within a few hours at most. Content that has already been analysed is not sent again.

2.5 Feedback

When you use “Send feedback”, your message, optional reply email and the attachments you choose (panel screenshot, scan log, AI report text, data package) reach our team by email.

2.6 Notifications and account suggestions

Dashboard notifications (tasks assigned to you, an account you suggested becoming ready, your upcoming meetings; your team's content, offer, deck, completion and archive activity) are stored with your account and drop off the list after 30 days. Your own actions are not notified to you. When you suggest an account that is not in the catalog, its platform and username are stored together with the account that suggested it; once it is scanned you receive a notification and an email. You can turn notification types and emails off in the Dashboard under notifications › settings.

2.7 Meeting assistant (StatsBase Notes)

If your team uses the meeting assistant (adding notlar@statsbase.org to a meeting invitation, or adding a meeting link in the StatsBase calendar), the assistant joins the Google Meet, Zoom or Microsoft Teams meeting as a participant, posts a message in the chat as soon as it joins saying that it is taking notes, and transcribes the meeting audio. Joining and transcription are performed by our service provider Recall.ai on servers in the European Union region. Once the transcript (speaker names, their emails where available, timestamps and what was said) is received by StatsBase, the audio/video recording at Recall.ai is deleted; video is not stored by StatsBase. The transcript and the meeting notes derived from it (summary, decisions, action items) are sent to the Gemini API for AI processing (see 2.4) and stored so that only your team can see them; deleting the meeting deletes them too. From invitation emails we read the meeting title, time, link and the names and emails of invitees; meeting notes from other tools that you forward to us are processed the same way. Informing the other participants that the meeting is being recorded and noted, and obtaining their consent where required, is the responsibility of the team that invites the assistant; StatsBase processes this data on your team's behalf and instructions. Any participant who does not want the assistant can remove it from the meeting.

2.8 Website and technical data

• When you sign in on the Dashboard, a single session cookie (sb_session, HttpOnly, 90 days) is set on api.statsbase.org. Accounts you select for comparison are kept only in your browser's local storage.
• We do not use advertising, analytics or tracking cookies.
• Your IP address is used transiently for rate limiting to prevent abuse. For “Refresh” requests, a truncated one-way hash of the IP address is kept for 7 days; the IP address itself is not stored.
• The website loads fonts from Google Fonts.

2.9 When you buy a paid plan

Payments are taken through iyzico (İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.). Your card number, expiry date and security code go directly to iyzico; we never see or store them. For automatic renewal your card is stored by iyzico; we only receive a reference identifying the card and its last four digits, type and issuing bank.

For the purchase and invoicing we process your name or company name, email address, billing address, (for business buyers) tax office and number, (for individual buyers, where legally required) Turkish ID number, phone number, the plan, amount, payment and refund records, and the time and IP address at which you accepted the Distance Sales Agreement. iyzico processes some of this data as a separate controller under its own privacy policy for payment security and fraud prevention.

2.10 Campaign payments and documents (My Campaigns)

If your team uses invoice and payment tracking in My Campaigns, we store the scope and fees agreed with content creators (with tax basis and rate), the amount, number, date, due date and payment status of invoices issued to brands and of invoices or income-tax exemption certificates received from creators, and the document files (PDF or image) your team uploads. These documents may contain personal data such as name or company name, tax or national ID number, address and bank details. Documents are visible only to the team that uploaded them and are not sent to AI. When answering payment questions, the assistant does not read document contents; it uses only the item name (e.g. the creator's username), amounts, statuses and dates. StatsBase processes this data on your team's behalf and instructions; having a legal basis to upload these documents is your team's responsibility. Deleting a payment item, campaign or brand also deletes its documents.

2.11 Content flows (My Campaigns)

If your team adds a content flow (script, scene order, lines) that a creator sends before filming, the flow text and any uploaded file (PDF, image, Word or text file) are stored in your team's space. When a Google Docs link is given, the document is fetched once as plain text, and only if it is shared publicly. The flow is sent to Google's Gemini API for a brief-compliance check and suggested corrections (under the terms in 2.4). Flows are visible only to your team and are kept until your team deletes them or the campaign.

2.12 Presentations, profile one-pagers and share links (My Campaigns)

If your team creates a brand presentation or a creator profile one-pager, the presentation's text, figures, images your team uploads and a copy of the public profile data at the time the presentation was made are stored in your team's space. One-pager insight texts are written from public profile data with Google's Gemini API (under the terms in 2.4). If you turn a conversation with StatsBase Assistant into a presentation, the conversation text, the page context and the public data of the creators on that page are sent to the same service to write it; the conversation text is kept only while the presentation is being prepared and is deleted when the job ends. By default, presentations are visible only to their creator (one-pagers and presentations made from chats) or to the team (brand presentations). If your team turns on an online link: a "team only" link can be viewed only by signed-in team members, and a "public" link can be viewed by anyone who has the link, without signing in; the link always shows the latest saved version. Your team decides whom to share the link with; when a link is turned off or regenerated, the old link stops working. Presentations are kept until your team deletes them or the account/team is deleted.

2.13 Brand approval links (My Campaigns)

Your team can send a creator's script or video to the brand for approval through a link. The link carries a random, unguessable key and is valid for 30 days. Anyone with the link can see only that version without signing in: the script text or file, or the video. They also see the brand name, the campaign name, the creator's username and the name of the sending team. Your team's internal notes and the AI review are not shown on the link. A single decision (approve or request a revision) can be made from the link. The decision, the optionally entered name and note, and the time of the decision are saved to the campaign history; the person who created the link and the campaign owner receive a notification and an email. If your team decides internally in the meantime, the link closes. Your team decides whom to send the link to; whoever sends it must be entitled to share this content.

3. Purposes and legal bases

4. Service providers and transfers

We do not sell your data, use it for advertising or share it with third parties. We use the following service providers to run StatsBase; their servers may be located outside Turkey and the EU, so data is transferred abroad:

• Cloudflare, Inc.: hosting, database, email delivery, security.
• Google LLC: Sign in with Google (OAuth) and AI processing via the Gemini API.
• Apple Inc.: Sign in with Apple.
• Recall.ai, Inc.: the meeting assistant joining meetings and transcription (European Union region; recordings are deleted once the transcript is received).
• İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. (iyzico): payment processing, card storage and refunds (Türkiye).

We may disclose data where required by law or by competent authorities.

5. Google user data

StatsBase's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. Your Google account information is used only to sign you in, show your account and team, and provide the service; it is not used for advertising, not sold, and not used to train AI models.

Chrome Web Store: User data the extension collects or transmits is used only for the user-facing features described in this policy (the Limited Use requirements of the Chrome Web Store User Data Policy). It is not transferred to advertisers or data brokers, not sold, not used for creditworthiness or lending purposes, and is read by humans only with your consent, for security review or where the law requires it.

6. Retention

• User account: until you ask us to delete it.
• Sessions: up to 90 days (deleted immediately when you sign out).
• Raw scan records: 35 days. Scan history summaries: daily for 35 days, weekly for 26 weeks, monthly for 13 months.
• Catalog profile summaries: while the profile is public and no deletion request has been received.
• Invoice, payment and refund records: 10 years, as required by tax and commercial law. Accepted Distance Sales Agreements: at least 3 years.
• Campaign payment items and uploaded invoices / exemption certificates: until your team deletes them or the account is closed (the statutory retention duty lies with the parties who issue and receive the documents).
• Feedback emails: for a reasonable period after your request is resolved.
• Local data in your browser: until you delete it or remove the extension; the oldest items are removed automatically when total size exceeds a limit.

7. Your rights

Under KVKK Art. 11 and the GDPR you may ask whether your data is processed, request information, ask for correction or deletion, object to processing, learn who it was transferred to, request a copy (portability), and claim compensation for damage. Send requests to support@statsbase.org; we reply within 30 days. You may also complain to the Turkish Personal Data Protection Authority or, in the EU, your local supervisory authority.

8. Security

Connections are encrypted with HTTPS. Session tokens and API keys are stored only as one-way hashes. The AI service key lives only on our server, never in the extension. Database access is limited to authorised team members.

9. Children

StatsBase is designed for professional use and is not directed to anyone under 18. We delete accounts of users we learn are under 18.

10. Changes

We may update this policy. We announce material changes on the website and in the extension; the date at the top shows the latest update.