KVKK Aydınlatma ve Gizlilik Metni

1. Veri Sorumlusu

Salise hizmetini aşağıdaki şirket sunar (bu metinde “Salise”):

• Unvan: Salise Yazılım ve Dijital Çözümler Limited Şirketi
• Adres: Tahılpazarı Mah. 467 Sk. Yıldız İş Merkezi No: 16 A, Muratpaşa / Antalya
• Vergi dairesi ve numarası: Antalya Kurumlar Vergi Dairesi, 1245568754
• E-posta (KVKK başvuruları dahil): [email protected]

Salise, müşterisi olan işletmelerin hesap ve abonelik verileri bakımından veri sorumlusudur. İşletmenin kendi müşterilerine ait veriler, yani panele girdiği ya da canlı yayınından gelen veriler bakımından ise veri sorumlusu işletmedir; Salise bu verileri işletme adına işleyen veri işleyendir (Kullanım Koşulları, 6. madde).

2. İşlenen Kişisel Veriler

Salise’yi kullanan işletmelerden: hesap verileri (ad, e-posta, şifre özeti), abonelik ve fatura bilgileri, kayıt sırasında verilen sözleşme onayının kaydı (metin sürümü, zaman, IP adresi) ve güvenlik için tutulan giriş ve işlem kayıtları.

İşletmenin kendi müşterileri için girdiği veriler: canlı yayın kullanıcı adı, ad, telefon, e-posta, adres, fatura için girildiyse T.C. kimlik ya da vergi numarası ve sipariş geçmişi. İşletmenin WhatsApp bağlantısından gelen mesajlar (ödeme dekontları dahil) ve müşterinin adres formuna kendisi yazdığı bilgiler de işletme adına işlenir.

İşletme WhatsApp hesabını bağladıysa, mesajları ve bildirimleri doğru müşteriyle eşleştirmek için telefon rehberindeki adlar ve numaralar da işlenir; rehberde işletmenin müşterisi olmayan kişiler de bulunabilir. İşletme ayarı açtıysa WhatsApp’tan yazan ve henüz müşteri kaydı olmayan kişiler için yalnız telefon numarasını taşıyan bir ön kayıt (ön kart) açılır ve kişinin mesajları bu kayda bağlanır.

Canlı yayın yorumlarının tamamı, satışa dönüşsün ya da dönüşmesin, işletmenin yorum kaydında saklanır. Bu kayıtta yorum yazanın kullanıcı adı, canlı yayın platformundaki kullanıcı numarası, profil görselinin adresi, yorum metni ve yorumun alındığı zaman bulunur. Kayıt, bir satış anlaşmazlığında kimin ne yazdığını gösterebilmek için tutulur; ne kadar saklandığı 6. bölümde anlatılıyor. Satışa dönüşen yorumun metni ayrıca satış kaydına, yorum sahibinin kullanıcı adı ve profil görseli de müşteri kaydına yazılır.

Canlı yayın yorumları, işletmenin Salise’de tanımladığı Instagram hesabının yayınından elektronik ortamda otomatik olarak alınır. İşletme bu hesabı Instagram resmî bağlantısıyla bağladıysa ve Salise o işletme için resmî yolu açtıysa yorumlar Instagram’ın resmî bildirimleriyle gelir (5. bölüm).

Siteyi ziyaret edenlerden: her istekte IP adresi, istenen adres ve zaman, güvenlik ve arıza takibi için sunucu günlüklerine yazılır; günlükler boyut sınırına ulaşınca en eskisinden başlayarak silinir. Salise reklam ya da ziyaretçi analizi çerezi kullanmaz; yalnız oturumun açık kalması, tercihlerin hatırlanması ve görsellere güvenli erişim için gereken tarayıcı kayıtlarını ve çerezleri kullanır.

3. İşleme Amaçları ve Hukuki Sebep

Hizmetin sunulması (sözleşmenin ifası), faturalandırma (kanuni yükümlülük), güvenlik ve kötüye kullanım önleme (meşru menfaat). Veriler pazarlama amacıyla üçüncü kişilerle paylaşılmaz.

İşletmenin müşterilerine ait veriler yalnız işletmeye hizmet vermek için ve işletmenin talimatıyla işlenir. Bu verilerin hangi hukuki sebebe dayandığını belirlemek ve müşterilerini aydınlatmak, veri sorumlusu olarak işletmenin yükümlülüğüdür.

4. Aktarım ve Alt Hizmet Sağlayıcılar

Veriler, Türkiye lokasyonlu bulut sunucu (VPS) sağlayıcısı üzerindeki sunucularda saklanır. Hizmetin ifası için gerekli olduğu ölçüde aşağıdaki alt hizmet sağlayıcılara aktarım yapılır:

• Cloudflare, Inc. (ABD): güvenlik/CDN katmanı ve e-posta yönlendirme. Site trafiği ve destek e-postaları şifreli olarak bu altyapıdan geçer (yurt dışına aktarım).
• Meta Platforms (WhatsApp): WhatsApp bildirimi gönderiminde alıcı telefon numarası ve mesaj içeriği WhatsApp altyapısından geçer (yurt dışına aktarım).
• Kargo firmaları (ör. MNG Kargo / DHL eCommerce, Yurtiçi Kargo, Sürat Kargo, PTT Kargo): işletmenin kargo oluşturduğu siparişlerde alıcı adı, adresi ve telefonu, işletmenin seçtiği kargo firmasına gönderi kaydı için iletilir; kargo firması alıcıya ayrıca SMS gönderebilir.
• Brevo (Fransa): e-posta gönderim hizmeti. Şifre sıfırlama ve hesap bildirimlerinde alıcı e-posta adresi ve mesaj içeriği bu hizmet üzerinden iletilir (yurt dışına aktarım).
• Uzak yedek deposu (Google Drive, Google LLC): veritabanı ve görsel yedekleri, felaket kurtarma amacıyla şifrelenmiş olarak Google’ın yurt dışındaki veri merkezlerinde saklanır (yurt dışına aktarım); şifre çözme anahtarı depolama sağlayıcısıyla paylaşılmaz.

Instagram resmî bağlantısında Meta’ya hangi bilgilerin gittiği 5. bölümde yazılıdır.

5. Instagram Resmî Bağlantısı

Salise, canlı yayın yorumlarını Instagram’ın işletme hesapları için sunduğu resmî altyapıyla (Instagram API with Instagram Login) da alabilir. Bu yol aşamalı olarak açılıyor: yalnız Salise’nin bu özelliği açtığı işletmeler kendi Instagram profesyonel hesabını Salise’ye bağlayabilir. Bağlantıyı işletme sahibi kurar ve yalnız Salise’de yayın hesabı olarak girilmiş hesap bağlanabilir. Bağlantıyı kurmak yorumların geldiği yolu tek başına değiştirmez: resmî yolu her işletme için Salise açar.

İstenen izinler

Salise yalnız iki izin ister: instagram_business_basic (hesap bilgisi) ve instagram_business_manage_comments (yorumlar). Bağlantı sırasında bundan fazla izin verilirse Salise bağlantıyı kurmaz ve erişim anahtarını saklamaz.

Alınan veriler

• Bağlanan işletme hesabından: Instagram hesap kimliği, Salise uygulamasına özel kullanıcı kimliği, kullanıcı adı, hesap türü (işletme ya da içerik üreticisi), verilen izinler ve Instagram’ın verdiği erişim anahtarı (token). Hesabın görünen adı ve profil fotoğrafı istenmez.
• Bağlantının onay kaydı: bağlantıyı kuran Salise kullanıcısı, onaylanan metin sürümü, zaman, IP adresi ve tarayıcı bilgisi.
• Canlı yayına yazılan yorumlardan: yorumun kimliği, yorum yazanın kullanıcı adı, yorum metni, yorumun yazıldığı an, Instagram’ın yorum yazana bu işletme için verdiği kimlik (işletmeye özel kimlik) ve canlı yayının kimliği.

Toplama yolu

• Canlı yayın sürerken Instagram, yazılan her yorumu Salise’ye bildirim olarak gönderir. Salise her bildirimin Instagram’dan geldiğini imzasından denetler; imzası tutmayan bildirim işlenmez. Salise o işletme için resmî yolu açana kadar bildirimler yalnız sayılır, içerikleri saklanmaz (aşağıdaki teknik doğrulama örnekleri hariç).
• Resmî yol açıkken, bildirimlerin kaçırdığı yorum kalmasın diye Salise yayın sürerken o yayının yorum listesini Instagram’dan 15 saniyede bir okur. Canlı Satış ekranı açıkken, yayının kimliğini bulmak için hesabın o an süren canlı yayını da sorgulanır.
• İşletme “Bağlantıyı doğrula” dediğinde ve haftalık bağlantı kontrolünde, son gönderinin kimliği ve o gönderideki tek bir yorumun kimliği okunur. Bunlar saklanmaz; yalnız kontrolün sonucu kaydedilir.

Kullanım amacı

Yorumlar yalnız işletmenin kendi Canlı Satış ekranında, anında gösterilir. Satıcı bir yorumu seçip fiyat girdiğinde satış kaydedilir ve yorumu yazanın kullanıcı adı o siparişin alıcısı olur. Yorum yazanın işletmeye özel kimliği yalnız o işletmeye ait kayıtlarda tutulur: müşteri kartında ve en çok 7 gün tutulan ham kayıtlarda (teknik doğrulama örnekleri dahil). Müşteri kartındaki kimlik, aynı kullanıcı adı ileride başka birine geçerse yeni sahibinin eski alıcıyla karıştırılmaması içindir. Bu kimlik başka işletmelerin kayıtlarıyla eşleştirilmez. Erişim anahtarı yalnız yukarıdaki okumalar, bildirim aboneliği ve anahtarın yenilenmesi için kullanılır. Bu veriler reklam, profil çıkarma ya da pazarlama için kullanılmaz ve satılmaz.

Kimin adına işlenir

Yorumlar ve yorum yazanlara ait veriler bakımından veri sorumlusu yayını yapan işletmedir; Salise bu verileri işletme adına işleyen veri işleyendir. İşletme bu verileri canlı yayındaki satışı kurmak ve yürütmek, bir anlaşmazlıkta kimin ne yazdığını gösterebilmek için işler. Yorum yazanları kendi aydınlatma metniyle bilgilendirmek işletmenin yükümlülüğüdür. Bağlantı bilgileri ve erişim anahtarı, işletmeyle yapılan hizmet sözleşmesinin ifası için işlenir.

Salise, Instagram’dan gelen verileri yalnız ilgili işletme adına ve onun talimatıyla, işletmenin Salise’yi kullanabilmesi için işler; kendi amaçları ya da başka bir işletme için kullanmaz. Her işletmenin bu verileri diğer işletmelerinkinden ayrı tutulur ve başka bir işletmeyle paylaşılmaz. Instagram bağlantısı kuran işletmelerin güncel listesi ve iletişim bilgileri tutulur.

Salise’den Meta’ya giden bilgiler, yukarıdaki istekleri yapmak için gerekenlerle sınırlıdır: erişim anahtarı, hesap kimliği ve yayın ya da gönderi kimlikleri. Salise yorum yazanlara ait verileri Instagram’a geri yazmaz ve Meta’ya kendi amacıyla göndermez; yasal bir zorunluluk dışında bu verileri 4. bölümdeki altyapı sağlayıcıları dışında kimseyle paylaşmaz. İşletme WhatsApp bildirimlerini kullanıyorsa, alıcıya giden mesajdaki alıcı adı (müşteri kartında ad yoksa Instagram kullanıcı adı), ürün adı ve fiyat WhatsApp altyapısından geçer.

Ölçüm ve raporlar

Resmî yol açık olan işletmelerde, yorumların bu yoldan eksiksiz ve zamanında gelip gelmediği her yayın için ölçülür. Yayın raporu yalnız sayı içerir (kaç yorum geldi, ne kadar gecikti) ve işletmenin sahibine gösterilir; Salise bu sayılarla hizmetin düzgün çalıştığını da denetler.

Bağlantının teknik doğrulaması sürerken (ölçüm döneminde) Salise, bildirim biçimini denetlemek için imzası doğrulanmış bildirimlerden sınırlı sayıda örneği (en çok 50 bildirim) geldiği gibi ayrı dosyalarda tutabilir. Bu örnekler yalnız Salise’nin kendi test hesaplarıyla yapılan denemelerde alınır; gerçek işletmelerin yayınlarında alınmaz. Örneklerde yorum yazanın kullanıcı adı, yorum metni ve işletmeye özel kimliği bulunur. Örnekler en geç 7 gün içinde silinir. Yedeğe girmezler.

Bu izinler neye açık?

6. Saklama Süreleri

Veriler üyelik süresince ve yasal saklama süreleri boyunca tutulur; abonelik sona erdikten sonra en fazla 6 ay saklanır. Silinen veriler şifreli felaket kurtarma yedeklerinden de en çok 74 gün içinde kendiliğinden temizlenir. İşletme panelden müşteri kaydını silebilir (satış geçmişi anonimleşir) ve verilerini dışa aktarabilir (Ayarlar → Verilerinizi indirin). Hesap kapatma talepleri [email protected] adresine iletilir.

Giriş kayıtları 180 gün tutulur. Yetki, ödeme, dışa aktarma ve ayar değişikliği gibi güvenlik kayıtları (Instagram bağlantı onayı dahil) işletmenin saklama ayarından bağımsız olarak 365 gün tutulur. Salise yöneticilerinin işletme hesaplarında yaptığı işlemlerin kaydı süresiz tutulur.

Canlı yayın yorum kaydının ne kadar tutulacağını işletme belirler. Ayarlar’daki “Veri saklama süresi” alanına gün sayısı girildiyse bu süreden eski yorumlar, denetim kayıtları (yukarıdaki güvenlik kayıtları hariç), WhatsApp mesajları (ödemeye kanıt olarak bağlı dekont mesajları hariç), müşterinin doldurduğu kayıt formları ve müşteri kaydına bağlanmamış rehber kayıtları düzenli olarak silinir. Alan boş bırakıldıysa bu kayıtlar süresiz saklanır; Instagram resmî bağlantısından gelen yorumlar için aşağıdaki üst sınır geçerlidir. Müşteri kaydının silinmesi yorum kaydını kapsamaz; yorum kaydındaki satırlar saklama süresi dolunca ya da işletmenin hesabı ve verileri silindiğinde silinir.

Bu ayardan bağımsız olarak, düz adla kaydedilmiş ve hiçbir müşteri kaydıyla eşleşme adayı olmayan rehber kayıtları son eşitlemeden 90 gün sonra, 90 gündür mesaj gelmeyen ön kartlar da kendiliğinden silinir. Yanlış kişiyle eşleşmeyi önlemek için kilitlenmiş rehber kayıtları bu silmelerin dışındadır.

Instagram resmî bağlantısından gelen veriler

• Ham bildirim ve yorum listesi kayıtları (kullanıcı adı, yorum metni, işletmeye özel kimlik): 7 gün. Yedeğe girmez.
• Teknik doğrulama örnekleri (geldiği gibi saklanan bildirimler): en geç 7 gün. Yedeğe girmez.
• Erişim anahtarı: bağlantı sürdükçe; bağlantı kaldırılınca ya da süresi dolunca silinir. Yedeğe girmez.
• Canlı Satış yorum arşivi (Instagram’dan gelen yorumlar): en çok 30 gün; işletmenin saklama süresi daha kısaysa o süre.
• Bağlantı bilgisi (kullanıcı adı, hesap kimlikleri, izinler, tarihler): bağlantı sürdükçe.
• Bağlantının onay kaydı (bağlantıyı kuran kullanıcı, metin sürümü, zaman, IP adresi, tarayıcı): güvenlik kaydı olarak 365 gün; bağlantı kaldırılsa da bu süre dolana kadar kalır.
• Müşteri kartındaki işletmeye özel kimlik: müşteri kartı ve bağlantı sürdükçe; bağlantı kaldırılınca silinir.
• Satışa dönüşen yorum: siparişte ürün adı olarak yorum metni, fiyat ve tarih, işletmenin hesabı sürdükçe. Alıcıyla bağ müşteri kartındadır; kart silinirse sipariş anonimleşir. Yasal saklama yükümlülüğü işletmeye aittir.
• Yayın raporları: yalnız sayı içerir, kişisel veri içermez; işletmenin hesabı sürdükçe tutulur.
• Bağlantı kaldırıldıktan sonra: geç gelen bildirimleri işlemeden atmak için işletme hesabının kimliği ve son yayınların kimlikleri 48 saat tutulur.
• Yedekler: yorum arşivi, bağlantı bilgisi ve müşteri kartındaki kimlik, silindikten sonra şifreli yedeklerde en çok 74 gün kalır. Erişim anahtarı, ham bildirim kayıtları ve teknik doğrulama örnekleri yedeğe hiç girmez.

7. Veri Silme Talebi

Silme yolu, verinin kime ait olduğuna göre değişir. Adım adım anlatım Veri silme talimatı sayfasındadır.

Instagram hesabını Salise’ye bağlayan işletmeler

• Instagram’dan kaldırma: Instagram ayarlarındaki “Uygulamalar ve web siteleri” bölümünden Salise’yi kaldırın. Instagram bunu Salise’ye bildirdiğinde ya da Salise’nin bir sonraki bağlantı kontrolüne “uygulama kaldırıldı” yanıtı verdiğinde Salise bağlantı bilgisini, erişim anahtarını, ham bildirim kayıtlarını ve müşteri kartlarındaki işletmeye özel kimlikleri siler. Erişim anahtarı başka bir sebeple çalışmaz hâle gelirse (ör. süresi dolarsa ya da hesabın şifresi değişirse) bağlantı yeniden kurulmayı bekler ve süresi dolan anahtar silinir; bağlantı bilgisi, işletme bağlantıyı Salise’den kaldırana ya da yeniden kurana kadar kalır.
• Salise’den kaldırma: işletme sahibi bağlantıyı Salise’de Ayarlar’daki Instagram bölümünden kaldırabilir; silinenler yukarıdakiyle aynıdır. Instagram’da verilen izni tamamen geri almak için Salise’yi Instagram’dan da kaldırın.
• Kalanların hemen silinmesi: Instagram’dan gelen yorumların Canlı Satış arşivi en çok 30 gün içinde kendiliğinden silinir. Beklemeden silinmesini istiyorsanız Salise hesabınızın e-posta adresinden [email protected] adresine “Veri silme talebi” konulu bir e-posta gönderin ve Instagram kullanıcı adınızı yazın. Meta üzerinden iletilen silme talepleri de bu kapsamda işlenir. Siparişler bu silmenin kapsamında değildir; işletmenin kayıtlarında kalır.

Canlı yayınlara yorum yazan kişiler

Yorumunuzun ya da müşteri kaydınızın silinmesini istiyorsanız yorum yazdığınız işletmeye başvurabilirsiniz; işletme, kendi müşterilerinin verisi bakımından veri sorumlusudur. Salise’ye de [email protected] adresinden “Veri silme talebi” konusuyla yazabilirsiniz; e-postaya Instagram kullanıcı adınızı, hangi işletmenin yayınına yorum yazdığınızı ve yaklaşık tarihi ekleyin. Salise talebi ilgili işletmeye iletir ve işletmeyle birlikte yerine getirir: müşteri kaydınızı işletme siler, Salise’deki yorum kayıtlarınızı Salise işletmenin talimatıyla siler. Talepler en geç 30 gün içinde sonuçlandırılır ve sonuç e-postayla bildirilir. İşletme bir kaydı yasal saklama yükümlülüğü nedeniyle silemiyorsa (ör. satışa dönüşmüş yorumun bulunduğu sipariş) gerekçesi yanıtta yazılır.

Salise hesabı olan işletmeler

Hesabınızın ve bütün verilerinizin silinmesi için [email protected] adresine yazın. Silmeden önce verilerinizi Ayarlar → Verilerinizi indirin ile dışa aktarabilirsiniz. Silinen veriler şifreli yedeklerden de en çok 74 gün içinde temizlenir.

8. Güvenlik ve Güvenlik Açığı Bildirimi

Salise’ye bağlantılar şifrelidir (HTTPS) ve yedekler şifrelenerek saklanır. Her işletmenin kullanıcıları yalnız kendi işletmesinin verisini görür. Salise ekibinde işletme verilerine erişim, hizmetin işletilmesi ve destek için gereken kişilerle sınırlıdır; yönetim panelinden işletme hesaplarında yapılan değişiklikler denetim kaydına işlenir. Instagram erişim anahtarları yalnız bu iş için kullanılan ayrı bir anahtarla şifrelenir, yedeğe ve sistem günlüklerine girmez. Instagram bildirimlerinden gelen yorum metinleri, kullanıcı adları ve kimlikler sistem günlüklerine yazılmaz (teknik doğrulama örnekleri için 5. bölüm).

Bir veri ihlali olursa etkilenen işletmeler en geç 72 saat içinde bilgilendirilir ve yasal bildirim yükümlülükleri yerine getirilir; Instagram verisi etkilendiyse Meta’ya da bildirim yapılır.

Güvenlik açığı bildirimi: Salise’de bir güvenlik açığı bulduysanız [email protected] adresine, konu satırına “Güvenlik” yazarak bildirin. Bildirimler öncelikle incelenir; doğrulanan açık gecikmeden giderilir ve sonuç size bildirilir.

9. Haklarınız

KVKK m.11 uyarınca veri sorumlusuna başvurarak kişisel verilerinizle ilgili şu haklarınızı kullanabilirsiniz:

• kişisel verilerinizin işlenip işlenmediğini öğrenme,
• işlenmişse buna ilişkin bilgi talep etme,
• işlenme amacını ve verilerin amacına uygun kullanılıp kullanılmadığını öğrenme,
• yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• eksik veya yanlış işlenmişse düzeltilmesini isteme,
• KVKK m.7’deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucunda aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

İşletmelerin müşterilerine ait veriler (canlı yayın yorumları dahil) bakımından veri sorumlusu ilgili işletmedir; bu verilerle ilgili başvurunuzu öncelikle o işletmeye yapın. Salise’ye gelen bu tür başvurular işletmeye iletilir (7. bölüm).

Salise’ye başvurunuzu yazılı olarak 1. bölümdeki şirket adresine gönderebilir ya da güvenli elektronik imza veya mobil imza ile ya da Salise’de kayıtlı e-posta adresinizden [email protected] adresine iletebilirsiniz. Başvurular en geç 30 gün içinde sonuçlandırılır. Başvurunuz reddedilirse, yanıtı yetersiz bulursanız ya da süresinde yanıt verilmezse, yanıtı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz (KVKK m.14).

10. Privacy Policy: Instagram data (English)

This is an English summary of sections 5 to 8 above, with the website visit notes from section 2, for English-speaking readers.

Who we are

Salise is provided by Salise Yazılım ve Dijital Çözümler Limited Şirketi, Tahılpazarı Mah. 467 Sk. Yıldız İş Merkezi No: 16 A, Muratpaşa / Antalya, Türkiye (Antalya Kurumlar tax office, tax ID 1245568754). Contact: [email protected]. Salise is the data controller for the account and subscription data of the businesses that use it.

What Salise does with Instagram

Salise is a sales panel for small businesses that sell through Instagram Live auctions. A business owner can connect the business’s own Instagram professional account through Business Login for Instagram. This option is being opened gradually; only the account the business registered in Salise as its live-selling account can be connected. Connecting does not by itself change where comments come from: Salise turns the official path on for each business. Comments on a business’s live broadcasts are collected automatically, by electronic means, from the broadcasts of the Instagram account the business has set in Salise; once the official path is on for that business, they arrive through Instagram’s official notifications (section 2, in Turkish).

Salise requests only two permissions: instagram_business_basic and instagram_business_manage_comments. If more permissions are granted, Salise refuses the connection and does not keep the access token.

Data we receive

• From the connected business account: Instagram account ID, app-scoped user ID, username, account type, granted permissions and the access token. The profile name and picture are not requested.
• Connection consent record: the Salise user who connected, the accepted policy version, time, IP address and browser information.
• From comments on the business’s live broadcasts: comment ID, commenter username, comment text, comment time, the commenter’s Instagram-scoped ID for that business, and the live media ID.

How it is collected

• While the business is live, Instagram sends each comment to Salise as a live_comments webhook notification. Salise checks the signature of every notification and ignores notifications that fail the check. Until Salise turns the official path on for that business, notifications are only counted and their content is not stored (except the technical verification samples described below).
• Once the official path is on, so that no comment is lost, Salise also reads the comment list of that live video every 15 seconds while it is being broadcast. While the Live Sales screen is open, it also looks up the ID of the account’s current live broadcast.
• When the business presses “Verify connection”, and in a weekly connection check, Salise reads the ID of the latest post and the ID of one comment on it. Nothing from this is stored except whether the check succeeded.

Why it is used

Comments are shown in real time only on the business’s own private Live Sales screen. When the seller selects a comment and enters a price, a sale is recorded and the commenter’s username becomes the buyer on that order. The commenter’s Instagram-scoped ID is kept only in records that belong to that business: on its buyer record and in the raw records kept for at most 7 days (including the technical verification samples). On the buyer record it prevents a username later taken by another person from being mistaken for the same buyer. It is never matched with other businesses’ records. The access token is used only for the reads above, the webhook subscription and token refresh. This data is not used for advertising, profiling or marketing, and it is not sold.

On whose behalf

For comments and commenter data, the business that broadcasts is the data controller and Salise is its data processor. The business processes this data to set up and run its live sales and to be able to show who wrote what in a dispute; informing commenters through its own privacy notice is the business’s responsibility. Salise processes Instagram data only on behalf of and at the direction of that business, to let it use Salise, and never for its own purposes or for another business. Each business’s data is kept separately from other businesses’ data and is never shared with another business. Salise keeps an up-to-date list of the businesses that have connected Instagram and their contact details.

Salise does not write commenter data back to Instagram and does not send it to Meta for any purpose of its own; unless required by law, it is shared only with the infrastructure providers listed in section 4. If the business uses WhatsApp notifications, the buyer name in the message sent to the buyer (the Instagram username if the buyer record has no name), the product name and the price pass through WhatsApp’s infrastructure.

For businesses where the official path is on, Salise measures for each broadcast whether comments arrive through it complete and on time. Per-broadcast reports contain counts only and are shown to the business owner; Salise also uses these counts to check that the service works properly.

While the connection is being technically verified (the measurement period), Salise may keep a limited sample of signature-verified notifications (at most 50) exactly as received, in separate files, to check the notification format. These samples are taken only in tests with Salise’s own test accounts, never from real businesses’ broadcasts. They contain the commenter’s username, comment text and Instagram-scoped ID. They are deleted within 7 days. They never enter backups.

Retention

• Raw notification and comment-list records (username, comment text, Instagram-scoped ID): 7 days. Never included in backups.
• Technical verification samples (notifications kept as received): deleted within 7 days. Never included in backups.
• Access token: while the account stays connected; deleted when the connection is removed or the token expires. Never included in backups.
• Live Sales comment archive (comments received from Instagram): at most 30 days, or the business’s own shorter retention setting.
• Connection data (username, account IDs, permissions, dates): while the account stays connected.
• Connection consent record (the user who connected, policy version, time, IP address, browser): 365 days as a security record, even if the connection is removed earlier.
• Instagram-scoped ID on a buyer record: while the buyer record and the connection exist; deleted when the connection is removed.
• A comment that became a sale: on the order, the comment text as the product name, the price and the date, while the business’s account exists. The link to the buyer is on the buyer record; if that record is deleted, the order becomes anonymous. Any legal retention obligation lies with the business.
• Per-broadcast reports: counts only, no personal data; kept while the business’s account exists.
• After disconnection: the business account ID and the IDs of its recent broadcasts are kept for 48 hours to discard late notifications.
• Backups: the comment archive, connection data and the Instagram-scoped ID on buyer records may remain in encrypted backups for up to 74 days after deletion. Access tokens, raw notification records and technical verification samples never enter backups.

What these permissions allow

Even if Salise’s systems were compromised, these two permissions do not allow anyone to change the account’s password, email or settings, publish or delete posts, or read the account’s inbox. They do allow reading account information, posts and their comments; writing comments on the account’s behalf (including on other accounts’ posts where it is tagged), hiding and deleting comments, turning off comments on posts; and sending a private reply to people who comment, continuing the conversation for 24 hours if that person replies. By refreshing the access token, this access can be kept until you remove it or Instagram invalidates it. Salise uses only the reading part, and only as described above: it reads live comments and, for the connection check, looks at the ID of the latest post and of one comment. Salise never writes, hides or deletes comments and never sends any messages.

Deletion

• Businesses: remove Salise in Instagram’s settings under “Apps and websites”, or remove the connection in Salise settings (Instagram section). Removing it in Salise may not revoke the permission on Instagram; to revoke it completely, also remove Salise in Instagram. When Instagram notifies Salise that the app was removed, or says so in reply to Salise’s next connection check, Salise deletes the connection data, the token, the raw records and the Instagram-scoped IDs on buyer records. If the token stops working for another reason (for example, it expires or the account password changes), the connection waits to be reconnected and an expired token is deleted; the connection data stays until the business removes or re-creates the connection in Salise. The Live Sales comment archive is deleted automatically within 30 days; to have it deleted immediately, email [email protected] from your Salise account’s email address with the subject “Veri silme talebi” (data deletion request) and include your Instagram username. Deletion requests forwarded by Meta are handled the same way. Orders are not covered by this deletion; they stay in the business’s records.
• People who commented: email [email protected] with the subject “Veri silme talebi” and include your Instagram username, the business whose live broadcast you commented on and the approximate date. Salise forwards the request to that business (the data controller) and carries it out together with it: the business deletes your buyer record, and Salise deletes your comment records on the business’s instruction. Requests are completed within 30 days; if the business cannot delete a record because of a legal retention obligation (for example, an order that came from your comment), the reply explains why.
• Step-by-step instructions: Data deletion instructions.

Website visits and cookies

For every request to the website, the IP address, the requested address and the time are written to server logs for security and troubleshooting. When the logs reach their size limit, the oldest entries are deleted first. Salise uses no advertising or analytics cookies. It uses only the browser storage and cookies needed to keep you signed in, remember your preferences and give secure access to images.

Security

Connections to Salise are encrypted (HTTPS). Backups are stored encrypted. Instagram access tokens are encrypted with a separate key used only for this purpose. Tokens never enter backups or system logs. Comment texts, usernames and IDs from Instagram notifications are not written to system logs. If there is a data breach, the affected businesses are informed within 72 hours at the latest and legal notification obligations are met. If Instagram data is affected, Meta is notified as well.

Reporting a security vulnerability

Email [email protected] with the subject “Güvenlik” (security). Reports are reviewed with priority and confirmed vulnerabilities are fixed promptly.