Veri İşleme Sözleşmesi

Kullanım Şartları Ek-1 · 6698 sayılı KVKK m.12 kapsamında

Sürüm: 2026-09-04

Yürürlük tarihi: [GG.AA.YYYY]

1. Taraflar ve Konu

Bu Veri İşleme Sözleşmesi (“Ek”), Kullanım Şartları ve Üyelik Sözleşmesi'nin ayrılmaz bir parçasıdır ve onunla birlikte yürürlüğe girer. Bu Ek; bir tarafta [AD SOYAD] (şahıs firması), [AÇIK İŞ ADRESİ — mahalle, cadde, no, ilçe/il] (Vergi Dairesi: [VERGİ DAİRESİ], Vergi/T.C. No: [VERGİ / T.C. KİMLİK NO]) (“Stokla” / “Veri İşleyen”), diğer tarafta Platform'a üye olan Kullanıcı (“Veri Sorumlusu”) arasındadır.

Kullanıcı'nın Platform'a girdiği, üçüncü kişilere ait kişisel veriler (“Müşteri Verisi”) bakımından Kullanıcı veri sorumlusu, Stokla ise KVKK m.12 anlamında veri işleyendir. Bu Ek, söz konusu işlemenin şartlarını düzenler. Kullanıcı'nın hesap verileri bu Ek'in kapsamı dışındadır; onlar KVKK Aydınlatma Metni kapsamındadır.

2. Tanımlar

“Kişisel veri”, “işleme”, “veri sorumlusu”, “veri işleyen”, “ilgili kişi”, “açık rıza” ve “imha” terimleri KVKK ve ikincil mevzuattaki anlamlarıyla kullanılır. “Alt işleyen”, Stokla'nın Müşteri Verisi'ni işlemek için hizmet aldığı üçüncü taraftır.

3. İşlemenin Konusu, Amacı, Niteliği ve Süresi

• Konu ve amaç: Platform'un sunduğu stok, satış, sipariş, cari hesap, üretim ve finans yönetimi hizmetlerinin Kullanıcı'ya sağlanması.
• Niteliği: Barındırma, saklama, yedekleme, görüntüleme, düzenleme, raporlama, aktarım ve Kullanıcı talebiyle silme işlemleri.
• Süresi: Kullanıcı'nın aboneliği devam ettiği sürece; bu Ek'in 13. maddesindeki iade/imha hükümleri saklıdır.

4. Veri Kategorileri ve İlgili Kişi Grupları

Kullanıcı tarafından belirlenmekle birlikte, Platform tipik olarak aşağıdakileri barındırır:

• İlgili kişi grupları: Kullanıcı'nın müşterileri, tedarikçileri, mağaza/şube yetkilileri, çalışanları ve bunların irtibat kişileri.
• Veri kategorileri: kimlik ve unvan bilgisi, iletişim bilgisi (telefon, e-posta, adres), vergi dairesi/numarası, cari hesap ve borç-alacak hareketleri, sipariş ve satış kayıtları, çek/senet bilgileri, teslimat/kargo bilgisi.
• Özel nitelikli kişisel veri: Platform özel nitelikli veri işlemek üzere tasarlanmamıştır; Kullanıcı bu tür verileri Platform'a girmemeyi taahhüt eder.

5. Veri Sorumlusunun (Kullanıcı) Yükümlülükleri

• Müşteri Verisi'nin toplanması ve Platform'a girilmesi için KVKK m.5/m.6'da öngörülen bir işleme şartına (gerekli hâllerde açık rıza) sahip olmak.
• İlgili kişilere karşı aydınlatma yükümlülüğünü yerine getirmek.
• Stokla'ya verdiği talimatların hukuka uygun olmasını sağlamak.
• Kendi erişim yetkilerini ve Alt Kullanıcılarının yetkilerini doğru yönetmek.

6. Veri İşleyenin (Stokla) Yükümlülükleri

• Müşteri Verisi'ni yalnızca Kullanıcı'nın belgelenebilir talimatları ve hizmetin ifası doğrultusunda işlemek; hukuken zorunlu hâller istisna olmak üzere başka amaçla işlememek.
• Verilere erişimi, görevi gereği erişmesi gereken personelle sınırlamak ve bu personeli yazılı gizlilik yükümlülüğü altına almak.
• KVKK m.12 kapsamında gerekli teknik ve idari tedbirleri almak (7. madde).
• Kullanıcı'nın bu Ek'teki yükümlülüklerini yerine getirmesine makul ölçüde yardımcı olmak (ilgili kişi talepleri, ihlal bildirimi, gerekli hâllerde etki değerlendirmesi).
• Bu Ek'e aykırı olduğunu düşündüğü bir talimatı Kullanıcı'ya bildirmek.
• Talep hâlinde, bu Ek'teki yükümlülüklere uyduğunu gösterecek bilgileri Kullanıcı'ya sağlamak.

7. Teknik ve İdari Tedbirler

• Aktarımda şifreli bağlantı (TLS/HTTPS); parolaların geri döndürülemez biçimde (hash) saklanması.
• Rol ve yetki bazlı erişim kontrolü; her Kullanıcı'nın verisinin kendi hesabına mantıksal olarak izole edilmesi.
• Kimlik doğrulama, oturum yönetimi ve isteğe bağlı iki adımlı doğrulama (2FA).
• Düzenli otomatik yedekleme; erişim ve işlem kayıtlarının (log) tutulması.
• Güncellemelerin ve güvenlik yamalarının uygulanması; kötüye kullanım ve anormal etkinliğe karşı hız sınırlama.
• Tedbirlerin teknolojik gelişmelere göre gözden geçirilmesi.

8. Alt İşleyenler

Kullanıcı, aşağıdaki alt işleyenlerin kullanılmasına onay verir:

• Vercel Inc. — uygulama barındırma — sunucu bölgesi: İrlanda (AB)
• Supabase — veritabanı ve dosya (fotoğraf) depolama — sunucu bölgesi: İrlanda, AB (eu-west-1)
• Upstash — önbellek ve hız sınırlama (Redis) — AB bölgesi

Stokla, her alt işleyeni bu Ek'tekine eşdeğer veri koruma yükümlülükleri altına alır ve alt işleyenin bu yükümlülükleri yerine getirmemesinden Kullanıcı'ya karşı sorumludur. Stokla yeni bir alt işleyen eklemeyi veya mevcut birini değiştirmeyi planladığında, en az on beş (15) gün önce Kullanıcı'yı (Platform üzerinden veya e-posta ile) bilgilendirir. Kullanıcı, makul veri koruma gerekçeleriyle değişikliğe itiraz edebilir; taraflar makul sürede bir çözüm bulamazsa Kullanıcı etkilenen hizmeti feshedebilir.

9. Yurt Dışına Aktarım

Alt işleyenlerin altyapısı Türkiye dışında (Avrupa Birliği) bulunduğundan Müşteri Verisi KVKK m.9 kapsamında yurt dışına aktarılmaktadır. Aktarım; KVKK m.9'da öngörülen uygun güvenceler (standart sözleşme hükümleri dâhil) sağlanarak veya bu güvencelerin bulunmadığı hâllerde Kullanıcı'nın ilgili kişilerden alacağı açık rızaya dayanılarak gerçekleştirilir. Kullanıcı, kendi ilgili kişileri bakımından bu hukuki zemini sağlamakla yükümlüdür.

10. İlgili Kişi Talepleri

Stokla, bir ilgili kişiden doğrudan talep alırsa bu talebi yanıtlamaz; gecikmeksizin Kullanıcı'ya yönlendirir. Stokla, Kullanıcı'nın KVKK m.11 kapsamındaki talepleri (erişim, düzeltme, silme, aktarım bilgisi vb.) süresinde karşılamasına uygun teknik araç ve makul yardımı sağlar.

11. Veri İhlali Bildirimi

Stokla, Müşteri Verisi'ni etkileyen bir kişisel veri ihlalini öğrendiğinde gecikmeksizin ve her hâlde en geç yetmiş iki (72) saat içinde Kullanıcı'yı bilgilendirir. Bildirim; ihlalin niteliğini, etkilenen veri ve ilgili kişi gruplarını, olası sonuçları ve alınan/alınması önerilen önlemleri kapsar.Stokla, ihlalin etkilerini sınırlamak için makul çabayı gösterir. Kurul'a ve ilgili kişilere bildirim yapılması yükümlülüğü, veri sorumlusu sıfatıyla Kullanıcı'ya aittir; Stokla bu süreçte makul destek verir.

12. Denetim

Kullanıcı, bu Ek'e uyumu doğrulamak amacıyla yılda bir kez, en az otuz (30) gün önceden yazılı bildirimde bulunarak, mesai saatleri içinde ve Platform işleyişini aksatmayacak şekilde denetim yapabilir veya yaptırabilir. Denetimi yürüten taraf gizlilik yükümlülüğü altındadır ve denetim masrafları Kullanıcı'ya aittir.Stokla, denetim yerine bağımsız bir üçüncü tarafın güncel denetim/uyum raporunu sunarak bu yükümlülüğü karşılayabilir. Yetkili makamların talep ettiği denetimler bu sınırlamalara tabi değildir.

13. Sona Erme, İade ve İmha

• Abonelik sona erdiğinde Kullanıcı, makul bir süre içinde (en fazla 30 gün) Müşteri Verisi'nin kendisine dışa aktarılabilir formatta (ör. Excel) teslim edilmesini isteyebilir.
• Teslim sonrasında veya en geç üyeliğin sona ermesinden itibaren doksan (90) gün içinde Stokla, Müşteri Verisi'ni ve varsa kopyalarını siler veya anonim hâle getirir.
• Mevzuatın Stokla'ya saklama yükümlülüğü getirdiği veriler, yalnızca bu yükümlülük süresince ve bu amaçla saklanır.

14. Sorumluluk

Kullanım Şartları'nın 16. (Sorumluluğun Sınırlandırılması) ve 17. (Tazminat) maddeleri bu Ek bakımından da geçerlidir. Stokla, yalnızca KVKK'nın veri işleyene özgü olarak yüklediği yükümlülüklere aykırılıktan veya Kullanıcı'nın hukuka uygun talimatları dışında hareket etmesinden sorumludur. Müşteri Verisi'nin toplanması, işleme şartı, aydınlatma ve açık rıza dâhil veri sorumlusuna düşen yükümlülüklerin ihlalinden doğan zarar ve idari para cezalarından Kullanıcı sorumludur ve Stokla'nın bu nedenle uğradığı zararları tazmin eder.

15. Muhtelif

• Bu Ek, Kullanım Şartları ile birlikte yorumlanır. Kişisel verilerin işlenmesine ilişkin konularda bu Ek ile Kullanım Şartları arasında çelişki olması hâlinde bu Ek önceliklidir.
• Bu Ek'in değiştirilmesi, Kullanım Şartları'nın 20. maddesindeki usule tabidir.
• Uygulanacak hukuk ve yetkili mahkeme, Kullanım Şartları'nın 21. maddesinde belirtilenlerle aynıdır.

16. Yürürlük

Kullanıcı, kayıt sırasında Kullanım Şartları'nı kabul etmekle bu Ek'i de kabul etmiş sayılır. Taraflar dilerse bu Ek'i ıslak imza veya elektronik imza ile ayrıca imzalayabilir; bu durumda imzalı metin esas alınır.