Veri İşleme Sözleşmesi

1. Taraflar ve Konu

1.1. Bu Veri İşleme Sözleşmesi ("Ek"), Kullanım Şartları ve ilgili abonelik sözleşmesinin ayrılmaz parçasıdır. Kullanıcı tarafından Platforma girilen üçüncü kişilere ait kişisel veriler bakımından Kullanıcı "Veri Sorumlusu", [AD SOYAD] (şahıs firması) ise "Veri İşleyen"dir. Stokla bir ürün/marka adıdır.

1.2. Satıcının Kullanıcının hesap, sözleşme, destek, faturalama ve kendi güvenlik kayıtlarını kendi amaçlarıyla işlemesi bu Ek kapsamında değil; KVKK Aydınlatma Metni kapsamındadır.

2. Tanımlar

2.1. Kişisel veri, özel nitelikli kişisel veri, işleme, veri sorumlusu, veri işleyen, ilgili kişi, imha ve yurt dışına aktarım terimleri 6698 sayılı KVKK ve ilgili ikincil mevzuattaki anlamlarıyla kullanılır. "Alt İşleyen", Veri İşleyenin hizmetin sunumu için görevlendirdiği üçüncü kişidir.

3. İşlemenin Konusu, Amacı, Niteliği ve Süresi

3.1. Konu ve amaç; Platformun stok, satış, sipariş, cari hesap, üretim, finans ve bağlantılı işletme yönetimi fonksiyonlarının Veri Sorumlusuna sunulmasıdır.

3.2. İşleme faaliyetleri; barındırma, saklama, görüntüleme, düzenleme, raporlama, yedekleme, güvenlik, aktarım, dışa aktarma ve Veri Sorumlusunun talimatı doğrultusunda silme/imha işlemlerini kapsar.

3.3. İşleme, abonelik ve hizmet ilişkisinin devamı boyunca; sona erme, veri iadesi, zorunlu saklama ve yedekleme hükümleri saklı kalmak üzere yürütülür.

4. Veri Kategorileri ve İlgili Kişiler

4.1. İlgili kişi grupları Kullanıcı tarafından belirlenmekle birlikte tipik olarak müşteriler, tedarikçiler, çalışanlar, mağaza/şube yetkilileri ve irtibat kişileridir.

4.2. Tipik veri kategorileri; kimlik/unvan, iletişim, adres, vergi bilgileri, cari/borç-alacak hareketleri, sipariş/satış, teslimat/kargo, çek/senet ve Kullanıcının yüklediği operasyonel belge/görsellerdir.

4.3. Platform özel nitelikli kişisel veri işlemek üzere tasarlanmamıştır. Kullanıcı, ayrıca hukuki dayanak ve gerekli ek tedbirler değerlendirilmeden özel nitelikli kişisel veri yüklememelidir.

5. Veri Sorumlusunun Yükümlülükleri

• Kişisel verileri Platforma aktarmak ve işlemek için geçerli KVKK işleme şartına sahip olmak; yalnız gerektiğinde açık rıza almak.
• İlgili kişilere karşı aydınlatma yükümlülüğünü yerine getirmek.
• Veri İşleyene verdiği talimatların hukuka uygunluğunu sağlamak.
• Ana Hesap ve Alt Kullanıcıların erişim/yetkilerini doğru yönetmek ve veri minimizasyonuna uymak.
• Platformun özel nitelikli veri için tasarlanmadığını dikkate almak ve gereksiz/hukuka aykırı veri yüklememek.

6. Veri İşleyenin Yükümlülükleri

• Müşteri Verisini yalnız Veri Sorumlusunun belgelenebilir talimatları ve hizmetin ifası doğrultusunda işlemek; hukuken zorunlu işlemeyi mümkün olduğu ölçüde Veri Sorumlusuna bildirmek.
• Veri erişimini görev gereği erişmesi gereken yetkili kişilerle sınırlamak ve bu kişileri gizlilik yükümlülüğü altında tutmak.
• KVKK m.12 kapsamında rolüne uygun teknik ve idari tedbirleri almak.
• İlgili kişi talepleri, ihlal incelemesi ve gerekli uyum süreçlerinde Veri Sorumlusuna makul destek sağlamak.
• Açıkça hukuka aykırı olduğunu değerlendirdiği talimatı Veri Sorumlusuna bildirmek ve hukuken zorunlu ise uygulamayı durdurmak.
• Talep üzerine bu Ek kapsamındaki uyuma ilişkin makul bilgi ve belgeleri sağlamak.

7. Teknik ve İdari Tedbirler

• Aktarımda TLS/HTTPS gibi şifreli bağlantı; parolaların geri döndürülemez hash biçiminde saklanması.
• Platform içi rol/yetki bazlı erişim kontrolü ve firmalar arası mantıksal veri izolasyonu.
• Kimlik doğrulama, oturum yönetimi ve desteklenen hesaplarda iki adımlı doğrulama (2FA).
• İşlem/aktivite kayıtları ile giriş ve güvenlik olaylarına ilişkin logların tutulması; giriş/güvenlik olaylarında IP ve user-agent kaydı.
• Hız sınırlama, güncelleme, güvenlik yaması, anormal etkinlik takibi ve makul yedekleme/iş sürekliliği tedbirleri.
• Katalog gibi Kullanıcının bilerek dış paylaşıma açtığı içeriklerin üçüncü kişilerce erişilebilir olabileceğinin teknik tasarımda dikkate alınması; diğer veriler bakımından amaçla orantılı erişim tedbirlerinin uygulanması.
• Tedbirlerin risk, teknoloji ve hizmet kapsamına göre periyodik olarak gözden geçirilmesi.

8. Alt İşleyenler

8.1. Veri Sorumlusu, Platformun işletilmesi için aşağıdaki temel alt işleyenlerin kullanılmasına genel yetki verir:

Güncel alt işleyen listesi talep üzerine paylaşılır.

8.2. Veri İşleyen yeni alt işleyen eklemeyi veya mevcut alt işleyeni esaslı değiştirmeyi planladığında, acil güvenlik/teknik zorunluluklar hariç mümkün olduğu ölçüde en az on beş (15) gün önce bildirim yapar. Veri Sorumlusu belgelenebilir veri koruma gerekçesiyle itiraz edebilir; taraflar makul çözüm arar.

8.3. Alt işleyenler sözleşmesel veya hukuki olarak uygun veri koruma yükümlülüklerine tabi tutulur. Alt işleyen değişikliği, Veri İşleyenin kendi mevzuat sorumluluklarını ortadan kaldırmaz.

9. Yurt Dışına Kişisel Veri Aktarımı

9.1. Platform altyapısında Vercel, Supabase ve Expo Push Service gibi yurt dışında bulunan sağlayıcılar kullanıldığından Müşteri Verisi KVKK m.9 kapsamında yurt dışına aktarılabilir.

9.2. Süreklilik arz eden yurt dışı aktarımları, yürürlükteki KVKK m.9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik kapsamında geçerli aktarım şartı ve gerekli uygun güvence mekanizması tesis edilerek gerçekleştirilir.

9.3. Kurul tarafından yayımlanan standart sözleşme mekanizmasının kullanıldığı hallerde, ilgili aktarım rolüne uygun standart sözleşme usulüne uygun imzalanır ve mevzuatta öngörülen süre içinde Kuruma bildirilir. Veri Sorumlusu, kendi ilgili kişileri bakımından veri toplama/işleme hukuki sebebi ve aydınlatma yükümlülüğünden sorumlu olmaya devam eder.

10. İlgili Kişi Talepleri

10.1. Veri İşleyen Müşteri Verisine ilişkin ilgili kişi talebini doğrudan alırsa, hukuken cevap vermesi zorunlu olmadıkça talebi Veri Sorumlusuna yönlendirir ve talebin karşılanması için mevcut teknik imkanlar ölçüsünde makul destek sağlar.

11. Kişisel Veri İhlali ve Güvenlik Olayı

11.1. Veri İşleyen, Müşteri Verisini etkileyen bir kişisel veri ihlalini öğrendiğinde makul incelemeyi gecikmeksizin başlatır ve Veri Sorumlusunu gereksiz gecikme olmaksızın, mevzuat ve olayın niteliği gerektirdiği ölçüde bilgilendirir.

11.2. Mevcut oldukça ihlalin niteliği, etkilenen veri/kişi kategorileri, olası sonuçlar ve alınan/önerilen önlemler paylaşılır; inceleme sürdükçe bilgi tamamlanabilir.

11.3. Veri Sorumlusunun hesabı, cihazı, parolası, kullanıcıları veya kendi sistemlerinden kaynaklanan olaylarda Satıcının kusuru yoksa sorumluluk Veri Sorumlusuna aittir. Kurul/ilgili kişi bildirimleri tarafların KVKK kapsamındaki rollerine göre yürütülür; Veri İşleyen makul destek sağlar.

12. Denetim ve Uyum Bilgileri

12.1. Veri Sorumlusu, Ek uyumunu doğrulamak için yılda bir kez, kural olarak en az otuz (30) gün önceden yazılı bildirimle, işleyişi ve diğer müşterilerin gizliliğini aksatmayacak şekilde makul denetim talep edebilir. Denetim masrafları kural olarak Veri Sorumlusuna aittir.

12.2. Veri İşleyen, uygun olduğu ölçüde denetim yerine güncel bağımsız denetim/uyum raporu, güvenlik özeti veya eşdeğer belge sunabilir. Yetkili makam denetimleri bu sınırlamalara tabi değildir.

13. Sona Erme, Veri İadesi ve İmha

13.1. Abonelik sona erdiğinde Veri Sorumlusu, sona erme tarihinden itibaren otuz (30) gün içinde mevcut ve teknik olarak dışa aktarılabilir Müşteri Verisinin Platformun desteklediği standart formatta teslimini isteyebilir.

13.2. Özel format, üçüncü taraf sisteme migrasyon, alan eşleştirme veya manuel hazırlık ayrıca ücretlendirilebilir.

13.3. Talep süresi ve varsa hesap silme geri alma süresi sonunda Müşteri Verisi, mevzuat gereği saklanması zorunlu kayıtlar, güvenlik kayıtları ve yedekleme döngüleri saklı kalmak kaydıyla silinir, yok edilir veya uygun hallerde anonim hale getirilir. Yedek kopyaların silinmesi olağan yedek döngüsüne göre gecikebilir ve bu kopyalar yeni amaçla işlenmez.

14. Logların Saklanması ve Veri Minimizasyonu

14.1. Güvenlik, dolandırıcılığın/izinsiz işlemlerin önlenmesi, hukuki yükümlülük ve bir hakkın tesisi/kullanılması/korunması amaçlarıyla gerekli sınırlı loglar, amaç ve hukuki dayanağın gerektirdiği süre boyunca saklanabilir.

14.2. Hesap silme sürecinde güvenlik loglarında doğrudan tanımlayıcı alanlar teknik olarak mümkün ve amaçla uyumlu ölçüde temizlenebilir/minimize edilebilir. Firma veya olay düzeyinde kalan kayıtların kişiye geri bağlanabilir olduğu sürece "anonim" kabul edilmediği esas alınır.

15. Sorumluluk

15.1. Ana Sözleşme/Kullanım Şartlarındaki sorumluluğun sınırlandırılması ve tazminat hükümleri bu Ek bakımından da uygulanır; KVKK uyarınca sınırlandırılamayan sorumluluklar saklıdır.

15.2. Müşteri Verisinin toplanması, işleme şartı, aydınlatma, ilgili kişi ilişkisi ve Kullanıcının hukuka aykırı talimatlarından doğan sorumluluk Veri Sorumlusuna aittir. Veri İşleyen kendi kusuru, veri işleyen yükümlülüğünün ihlali veya hukuka uygun talimat dışına çıkmasından sorumludur.

16. Öncelik, Değişiklik ve Yürürlük

16.1. Kişisel veri işleme rolleri ve alt işleyen/yurt dışı aktarım konularında bu Ek, Kullanım Şartlarına göre önceliklidir; Ana Sözleşmenin ticari hükümleri saklıdır.

16.2. Bu Ek mevzuat, alt işleyen veya teknik mimari değişikliklerine göre güncellenebilir; esaslı değişiklikler makul şekilde bildirilir. Taraflar isterse Ek'i ayrıca ıslak imza veya güvenli elektronik imza ile imzalayabilir.