Veri İşleme Sözleşmesi

1. Taraflar ve roller

Müşteri, Platforma aktardığı veya Platform aracılığıyla topladığı kişisel veriler bakımından veri sorumlusudur. Sağlayıcı, bu verileri yalnızca Müşterinin talimatları doğrultusunda işleyen veri işleyendir.

Müşteri, bu verileri toplamak ve Sağlayıcıya aktarmak için gerekli hukuki sebebe ve aydınlatma yükümlülüğünün yerine getirilmiş olmasına ilişkin sorumluluğu üstlenir.

2. İşlemenin konusu, niteliği ve amacı

İşlemenin konusu, Platform hizmetinin sunulmasıdır. İşleme; saklama, görüntüleme, senkronizasyon, etiket ve fatura üretimi, bildirim gönderimi ve yedekleme faaliyetlerini kapsar. Amaç, Müşterinin sipariş, kargo, fatura ve müşteri süreçlerini yürütmesidir.

3. Veri kategorileri ve ilgili kişiler

• Müşterinin müşterileri: ad, soyad, telefon, e-posta, teslimat ve fatura adresi, T.C. kimlik veya vergi numarası, sipariş geçmişi, soru ve iade kayıtları
• Müşterinin çalışanları (alt kullanıcılar): ad, soyad, e-posta, rol, işlem kayıtları
• Müşterinin tedarikçileri: unvan, yetkili kişi, iletişim bilgileri, cari hareketler

4. Sağlayıcının yükümlülükleri

• Verileri yalnızca Müşterinin belgelenmiş talimatları (bu Sözleşme ve Platform üzerinden verilen komutlar) doğrultusunda işlemek
• Verilere erişimi olan personelin gizlilik yükümlülüğü altında olmasını sağlamak
• KVKK m.12 kapsamında uygun teknik ve idari tedbirleri almak
• Müşterinin, ilgili kişi başvurularını yanıtlaması için makul yardımı sağlamak
• Sözleşme sona erdiğinde Müşterinin tercihine göre verileri iade etmek veya silmek (yasal saklama yükümlülükleri saklıdır)
• Müşterinin talebi hâlinde uyumu göstermek için gerekli bilgileri sunmak ve yılda bir kez, makul bildirimle denetime imkân tanımak

5. Alt işleyenler

Sağlayıcı; sunucu barındırma, veritabanı, e-posta gönderimi ve ödeme (iyzico (İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.)) hizmetleri için alt işleyen kullanabilir. Alt işleyenler bu Sözleşmedekine eşdeğer yükümlülüklere tabi tutulur. Alt işleyen değişiklikleri Müşteriye en az 15 gün önce bildirilir; Müşteri haklı gerekçeyle itiraz edebilir.

Müşterinin bağladığı pazaryeri, kargo, muhasebe ve e-fatura hizmetleri Sağlayıcının alt işleyeni değildir; bu hizmetlere aktarım Müşterinin talimatıyla ve Müşterinin sorumluluğunda yapılır.

6. Güvenlik tedbirleri

• Aktarımda TLS şifreleme; hassas alanlarda AES-256-GCM ile saklama şifrelemesi
• Parolalarda argon2id özetleme; oturum anahtarlarının düzenli yenilenmesi
• Firma bazlı mantıksal veri ayrımı; rol ve izin tabanlı erişim kontrolü
• Erişim ve işlem kayıtlarının tutulması
• Günlük şifreli yedekleme ve geri yükleme prosedürleri
• Sunucu erişiminde IP kısıtlaması ve güvenlik duvarı

7. Veri ihlali bildirimi

Sağlayıcı, Müşteri verilerini etkileyen bir kişisel veri ihlalini öğrendiğinde, ihlalin niteliği, etkilenen veri ve alınan tedbirler hakkında Müşteriyi gecikmeksizin ve en geç 72 saat içinde bilgilendirir; Müşterinin Kişisel Verileri Koruma Kuruluna yapacağı bildirim için gerekli desteği verir.

8. Yurt dışına aktarım

Müşteri verileri Türkiye'de konumlu sunucularda saklanır. Bir alt işleyen nedeniyle yurt dışına aktarım gerekirse Sağlayıcı, KVKK m.9'daki şartların sağlanmasını temin eder ve Müşteriyi önceden bilgilendirir.

9. Süre ve sona erme

Bu Sözleşme, Abonelik ve Hizmet Sözleşmesi yürürlükte olduğu sürece geçerlidir. Sona ermeden itibaren 30 gün içinde Müşteri verilerini dışa aktarabilir; bu sürenin sonunda veriler, yasal saklama yükümlülükleri hariç, silinir ve talep hâlinde silindiği yazılı olarak teyit edilir.

10. Sorumluluk

Tarafların bu Sözleşmeden doğan sorumluluğu, Abonelik ve Hizmet Sözleşmesindeki sorumluluk sınırına tabidir. Her taraf, kendi kusurundan kaynaklanan idari para cezası ve üçüncü kişi taleplerinden sorumludur.