Gizlilik ve KVKK Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca veri sorumlusu, bu belgenin başında kimlik ve iletişim bilgileri yer alan Satıcı/Hizmet Sağlayıcı’dır. Bu metin; Market ziyaretçileri, müşteriler, müşteri yetkilileri, hesap kullanıcıları, ödeme ve destek süreçlerindeki ilgili kişiler için hazırlanmıştır.

Bu metin bir aydınlatma metnidir. Metnin okunması veya “okudum” kutusunun işaretlenmesi, açık rıza gerektiren ayrı bir veri işleme faaliyetine rıza verildiği anlamına gelmez. Açık rıza gereken bir faaliyet varsa amaç ve seçenekleriyle ayrıca sunulur.

İşlemin niteliğine göre ad-soyad, kullanıcı/kurum kimliği ve hesap bilgileri; e-posta, telefon ve adres; fatura unvanı, vergi dairesi ve vergi numarası; sipariş kalemleri, tutar, ödeme yöntemi ve işlem sonucu; lisans, aktivasyon ve kullanım yetkisi; destek yazışmaları; oturum, cihaz, IP, tarayıcı, güvenlik ve denetim kayıtları işlenebilir.

T.C. kimlik numarası yalnız uygulanabilir mali yükümlülük veya seçilen ödeme sağlayıcısının zorunlu müşteri doğrulaması için gerçekten gerekliyse, ilgili alanda amaç belirtilerek istenir. Gerekmeyen ödeme yöntemlerinde istenmez. Özel nitelikli kişisel veri Market satın alma sürecinin olağan bir gereği değildir; destek alanlarına gereksiz özel nitelikli veri yazılmamalıdır.

Veriler; hesabın oluşturulması ve doğrulanması, siparişin alınması, sözleşmenin kurulması ve ifası, ödemenin doğrulanması, dijital teslimat ve lisans yönetimi, fatura/muhasebe, müşteri desteği, dolandırıcılık ve bilgi güvenliği kontrolleri, uyuşmazlıkların yönetimi ve yetkili kurum taleplerinin yerine getirilmesi amacıyla işlenir.

Bu faaliyetler somut duruma göre KVKK madde 5/2 kapsamındaki kanunda açıkça öngörülme, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi, kullanılması veya korunması ve temel haklara zarar vermemek kaydıyla meşru menfaat hukuki sebeplerine dayanır. Bu sebeplerin bulunmadığı ve açık rıza gereken faaliyetler ayrı, özgür iradeye dayalı onaya sunulur.

Veriler; web formları ve hesap ekranları, sözleşme onayları, tarayıcıdaki zorunlu depolama teknolojileri, ödeme hizmeti sağlayıcısı bildirimleri, banka transfer kayıtları, ERP/faturalandırma sistemi, destek kanalları ve güvenlik logları üzerinden tamamen veya kısmen otomatik yollarla; gerektiğinde yetkili personelin yürüttüğü süreçlerle toplanır.

Sipariş sırasında belge sürümü, belge bağlantıları, her zorunlu bilgilendirme/onay, ayrı hemen ifa talebi ve sunucu zamanı; sözleşmenin kuruluşunu ve hukuki yükümlülüklerin yerine getirildiğini göstermek amacıyla kaydedilir.

Gerekli ve ölçülü veriler; kimlik doğrulama, barındırma, veritabanı, ödeme, banka, ERP/faturalandırma, e-posta ve teknik destek hizmeti sağlayıcılarına; mali müşavir, hukuk danışmanı ve bağımsız denetçilere; kanunen yetkili kamu kurumlarına, mahkemelere ve icra makamlarına aktarılabilir.

Mevcut teknik altyapıda bu gruplara Clerk (kimlik doğrulama), Vercel (barındırma), Turso (veritabanı), ödeme ekranında adı gösterilen lisanslı ödeme kuruluşu ve ERPNext (ticari kayıt/faturalandırma) örnekleri dahildir. Sağlayıcılar yalnız hizmetin gerektirdiği veri ve rol ölçüsünde yetkilendirilir.

Bulut, kimlik doğrulama veya teknik altyapı sağlayıcılarının sunucularının ya da destek ekiplerinin yurt dışında bulunması hâlinde kişisel veriler yurt dışına aktarılabilir. Böyle bir aktarım, KVKK madde 9 ve yürürlükteki ikincil düzenlemelerdeki yeterlilik kararı, uygun güvence (örneğin standart sözleşme) veya kanunda öngörülen istisnai hâllerden uygulanabilir olanına dayanılarak gerçekleştirilir.

Aktarım mekanizması bulunmadan yalnız bu aydınlatma metninin kabulüne dayanılarak düzenli yurt dışı aktarım yapılmaz. Kullanılan altyapı ve hukuki mekanizma değişirse metin güncellenir.

Kart numarası, son kullanma tarihi ve CVC/CVV kodu EkolNizam sunucularında alınmaz veya saklanmaz; ödeme ekranında adı gösterilen yetkili ödeme hizmeti sağlayıcısının güvenli ortamında işlenir. EkolNizam; işlem kimliği, durum, tutar, para birimi, sınırlı kart maskesi mevcutsa maskeli bilgi ve mutabakat için gerekli sağlayıcı yanıtını işleyebilir.

Banka transferinde gönderen, tutar, açıklama, tarih ve eşleştirme bilgileri ödemenin doğrulanması, iade ve mali kayıt amaçlarıyla işlenebilir.

Veriler amaç ve hukuki yükümlülük için gerekli süre boyunca tutulur. Ödenmemiş taslak siparişler hesap silme sürecinde ödeme denemeleriyle birlikte silinir. Tamamlanmış sipariş, ödeme ve fatura kanıtları, hesapla doğrudan bağlantısı kaldırılıp takma kimlik verilerek mali ve hukuki yükümlülükler nedeniyle 10 yıl saklanır; süre sonunda ilişkili kayıtlarla birlikte imha edilir.

Destek kayıtları çözüldükten sonra 365 gün, açık veya eski kayıtlarda en çok 730 gün; yönetim denetim kayıtları 365 gün, bu kayıtlardaki IP ve tarayıcı bilgileri 90 gün tutulur. Devam eden uyuşmazlık, denetim veya kanuni talep varsa ilgili kayıt yalnız gerekli süre kadar daha muhafaza edilebilir.

Yetki sınırlandırma, kimlik doğrulama, aktarım güvenliği, erişim ve denetim kayıtları, veri minimizasyonu, saklama/imha kuralları ve olay yönetimi gibi uygun teknik ve idari tedbirler uygulanır. Risk ve teknoloji değiştikçe tedbirler gözden geçirilir.

İlgili kişiler hesap parolalarını paylaşmamalı, erişim cihazlarını korumalı ve şüpheli etkinliği gecikmeden bildirmelidir. Kişisel veri ihlali oluşursa KVKK ve Kurul kararlarındaki bildirim yükümlülükleri yerine getirilir.

İlgili kişi; kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış verinin düzeltilmesini isteme haklarına sahiptir.

Ayrıca KVKK’daki şartlarla silme veya yok etme ve bu işlemlerin veri aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerce analiz sonucu aleyhe sonuca itiraz etme ve kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme hakları vardır.

Başvurular, bu belgenin başındaki posta adresine yazılı olarak veya veri sorumlusunun yayımlanmış e-posta/KEP kanalına, kimliği ve talebi doğrulamaya yeterli bilgilerle iletilebilir. Talep konusu, ilgili hesap ya da işlem ve tercih edilen cevap yöntemi açıkça yazılmalıdır; gereksiz kişisel veri veya parola gönderilmemelidir.

Başvurular niteliğine göre ve en geç kanuni süre içinde ücretsiz sonuçlandırılır; işlemin ayrıca maliyet gerektirmesi hâlinde Kurul tarafından belirlenen tarife uygulanabilir. Cevabın yetersiz bulunması hâlinde Kişisel Verileri Koruma Kuruluna şikâyet hakkı saklıdır.

Veri işleme amaçları, alıcı grupları, saklama süreleri veya kullanılan altyapı esaslı biçimde değişirse bu metin güncellenir ve yeni sürüm yürürlük tarihiyle yayımlanır. Güncelleme, geçmişte hukuka aykırı bir işleme dayanak oluşturmaz.