Veri İşleme Sözleşmesi (DPA)

1. Tarafların Rolleri ve Tanımlar

Üye'nin kendi mağazasında, sitesinde veya blogunda kendi ticari faaliyeti kapsamında topladığı ve işlediği son kullanıcı kişisel verileri bakımından taraflar arasındaki ilişki, KVKK m.3 kapsamında aşağıdaki şekilde belirlenmiştir:

• Veri Sorumlusu: Kişisel verilerin işlenme amaç ve vasıtalarını belirleyen Üye'dir. Üye, kendi son kullanıcılarına ait kişisel veriler bakımından veri sorumlusudur.
• Veri İşleyen: Veri sorumlusunun verdiği yetki ve talimatlara dayanarak, onun adına kişisel verileri işleyen MağazamHazır'dır. Şirket, söz konusu son kullanıcı verilerini yalnızca Hizmet'i sunmak amacıyla ve Üye'nin talimatları doğrultusunda işler.
• İlgili Kişi: Kişisel verisi işlenen son kullanıcı gerçek kişidir.
• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.
• Kurul / Kurum: Kişisel Verileri Koruma Kurulu ve Kişisel Verileri Koruma Kurumu'dur.
• Alt İşleyen: Şirket'in, Hizmet'i sunmak için kişisel veri işleme faaliyetinin bir kısmını yürütmek üzere yararlandığı üçüncü kişi hizmet sağlayıcılardır.

2. İşlemenin Konusu, Niteliği ve Amacı

İşbu DPA kapsamındaki veri işleme faaliyetinin konusu; Üye'nin veri sorumlusu sıfatıyla belirlediği amaçlar doğrultusunda, son kullanıcılara ait kişisel verilerin Platform üzerinde barındırılması, depolanması, kaydedilmesi, düzenlenmesi, iletilmesi ve Hizmet'in gerektirdiği ölçüde işlenmesidir.

İşlemenin niteliği; Platform'un teknik altyapısı üzerinden gerçekleştirilen otomatik veya kısmen otomatik veri işleme faaliyetlerini kapsar. İşlemenin amacı, münhasıran Üye'ye e-ticaret ve web sitesi hizmetinin (SaaS) sağlanması, sürdürülmesi, geliştirilmesi ve desteklenmesidir.

Şirket, kişisel verileri işbu DPA'da belirlenen amaçlar dışında hiçbir şekilde kendi amaçları doğrultusunda kullanmayacağını taahhüt eder.

3. İşleme Süresi

Kişisel verilerin işlenmesi, Üye ile Şirket arasındaki abonelik ilişkisi devam ettiği sürece geçerlidir. Abonelik ilişkisinin sona ermesi hâlinde, işbu DPA'nın 'Sözleşmenin Sona Ermesinde Verilerin İadesi/İmhası' başlıklı hükümleri uygulanır.

İşleme süresi; yürürlükteki mevzuattan doğan zorunlu saklama yükümlülükleri saklı kalmak kaydıyla, işleme amacının ortadan kalkması veya Üye'nin talimatının sona ermesi ile birlikte son bulur.

4. İşlenen Kişisel Veri Kategorileri ve İlgili Kişi Grupları

Platform aracılığıyla işlenebilecek son kullanıcı kişisel verileri, Üye'nin faaliyetine ve Hizmet kullanımına göre değişmekle birlikte, örnekleyici olarak aşağıdaki kategorileri kapsayabilir:

• Kimlik verileri: ad, soyad ve benzeri tanımlayıcı bilgiler.
• İletişim verileri: e-posta adresi, telefon numarası, teslimat ve fatura adresi, iletişim tercihleri.
• Müşteri işlem verileri: sipariş bilgileri, sepet içeriği, sipariş geçmişi, talep ve şikâyet kayıtları.
• İşlem güvenliği verileri: hesap/oturum bilgileri, IP adresi, log kayıtları ve benzeri teknik veriler.
• Konum verileri: Üye'nin çalışanlarının MağazamHazır Yönetim uygulamasının kurye modunu kullandığı süre boyunca paylaşılan konum bilgisi; konum noktaları, kaydedildikleri andan itibaren 72 (yetmiş iki) saat geçtikten sonra saatlik olarak çalışan otomatik bir süreçle silinir.
• Finansal veriler: ödemeye ilişkin işlem bilgileri (kart bilgileri Şirket tarafından saklanmaz; ödeme, Üye'nin kendi adına açtığı ödeme kuruluşu hesabı üzerinden işlenir).
• Görsel veriler: Üye'nin etkinleştirdiği sanal deneme (try-on) özelliğinde son kullanıcının yüklediği fotoğraflar; bu fotoğraflar Şirket tarafından kaydedilmez, yalnızca görsel üretimi için yapay zekâ hizmet sağlayıcısına (Google) iletilir ve sonuç doğrudan son kullanıcıya gösterilir.
• Özel nitelikli kişisel veriler: Üye'nin kendi formları aracılığıyla toplamayı seçtiği sağlık verileri (ör. anamnez formları) gibi özel nitelikli veriler. Bu verilerin işlenmesine ilişkin hukuki sebebin (KVKK'nın 7499 sayılı Kanun ile değişik 6. maddesi uyarınca açık rıza veya aynı maddede sayılan diğer şartlar) sağlanmasından ve ilgili kişilerin aydınlatılmasından veri sorumlusu olarak Üye sorumludur; Şirket, veri işleyen sıfatıyla bu veriler için Kurul'ca belirlenen yeterli önlemleri uygular.
• İlgili kişi grupları: Üye'nin son kullanıcıları, müşterileri, site ziyaretçileri, potansiyel müşterileri ile Üye'nin çalışanları ve kuryeleridir.

5. Talimatla İşleme İlkesi

Şirket, kişisel verileri yalnızca Üye'nin yazılı veya Platform üzerinden verilen belgelenebilir talimatları doğrultusunda ve Hizmet'in sunulması için gerekli olduğu ölçüde işler. İşbu DPA ve Kullanım Koşulları, Üye'nin Şirket'e verdiği genel talimat niteliğindedir.

Şirket, bir talimatın KVKK'ya veya ilgili mevzuata aykırı olduğu kanaatine varması hâlinde, durumu Üye'ye bildirir ve ilgili talimatı yerine getirmekten kaçınabilir.

Şirket'in, kişisel verileri işlemesini zorunlu kılan bir hukuki yükümlülüğü bulunması hâli (örneğin yetkili kamu otoritesi talebi) bu ilkenin istisnasını oluşturur; bu durumda Şirket, hukuken yasak olmadıkça Üye'yi bilgilendirir.

6. Veri İşleyenin (Şirket) Yükümlülükleri

• Kişisel verileri yalnızca Üye'nin talimatı ve Hizmet'in gerektirdiği ölçüde ve amaçla işlemek.
• KVKK m.12 uyarınca, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri almak.
• Verilere erişimi olan personelin gizlilik yükümlülüğü altında bulunmasını ve verilere yalnızca görevi gereği ve gerektiği kadar erişebilmesini sağlamak.
• Kişisel veri ihlali hâlinde Üye'yi gecikmeksizin bilgilendirmek.
• Üye'nin, son kullanıcıların KVKK m.11 kapsamındaki başvuru ve taleplerini karşılamasına, kendi teknik imkânları ölçüsünde ve makul düzeyde yardımcı olmak.
• İşleme faaliyetine ilişkin olarak, mevzuatın gerektirdiği ölçüde kayıt tutmak ve Üye'nin bilgilendirme taleplerine makul sürede yanıt vermek.
• İşbu DPA kapsamında Üye tarafından bildirilen amaç dışında verileri işlememek ve verileri üçüncü kişilere hukuka aykırı biçimde aktarmamak.

7. Veri Sorumlusunun (Üye) Yükümlülükleri

• Son kullanıcıların kişisel verilerinin işlenmesine ilişkin olarak KVKK m.10 kapsamında gerekli aydınlatmayı yapmak ve gereken hâllerde KVKK m.5 ve m.6 uyarınca hukuki dayanağı sağlamak ya da açık rızayı almak.
• Kendi mağazasında geçerli ve güncel yasal metinleri (aydınlatma metni, gizlilik politikası, mesafeli satış sözleşmesi, iade ve teslimat koşulları) yayımlamak.
• Kişisel verilerin işlenmesine ilişkin hukuki dayanağın varlığından ve işleme faaliyetinin hukuka uygunluğundan sorumlu olmak.
• Şirket'e verdiği talimatların mevzuata uygun olmasını sağlamak ve bu talimatlardan doğan sorumluluğu üstlenmek.
• Veri sorumlusu sıfatıyla, VERBİS'e kayıt yükümlülüğü de dâhil olmak üzere kendisine düşen yasal yükümlülükleri yerine getirmek.
• İlgili kişilerin başvurularının nihai muhatabı olarak, KVKK m.13 kapsamındaki süre ve usullere uymak.

8. Güvenlik Tedbirleri (Teknik ve İdari)

Şirket, KVKK m.12 kapsamında uygun güvenlik düzeyini sağlamak amacıyla, verinin niteliği ve teknolojik gelişmelerle orantılı olarak aşağıda örneklenen teknik ve idari tedbirleri uygular:

• Teknik tedbirler: aktarım ve depolamada şifreleme, rol bazlı yetkilendirme ve erişim kontrolü, güvenlik duvarı ve ağ güvenliği önlemleri, düzenli yedekleme, günlük (log) kaydı ve izleme, güncel yazılım ve güvenlik yamalarının uygulanması, çok kiracılı (multi-tenant) mimaride kiracı verilerinin mantıksal olarak izole edilmesi.
• İdari tedbirler: personelin gizlilik taahhütleri altında olması, erişim yetkilerinin görev tanımıyla sınırlanması, düzenli farkındalık ve eğitim faaliyetleri, alt işleyenlerle yazılı sözleşmeler yapılması, ihlal müdahale prosedürlerinin oluşturulması ve kişisel veri işleme envanterinin makul ölçüde tutulması.

9. Alt İşleyenlerin Kullanımı

Üye, Şirket'in Hizmet'i sunabilmek için alt işleyenlerden yararlanmasına genel olarak muvafakat ettiğini kabul eder. Şirket, alt işleyenleri özenle seçmek ve onları işbu DPA'daki koruma düzeyinden aşağı olmayacak şekilde sözleşmesel yükümlülüklere tabi kılmakla yükümlüdür.

Hizmet'in sunulmasında yararlanılan başlıca alt işleyen kategorileri şunlardır:

• Barındırma / bulut altyapı sağlayıcısı: verilerin depolanması ve sunucu altyapısı hizmeti.
• Ödeme kuruluşları: son kullanıcı ödemeleri, Üye'nin bir ödeme kuruluşu (ör. iyzico) nezdinde kendi adına açtığı üye işyeri hesabı üzerinden işlenir; ödeme kuruluşu Şirket'in alt işleyeni değildir ve Üye ile kendi sözleşmesine tabidir. Şirket, 6493 sayılı Kanun kapsamında ödeme hizmeti sağlayıcısı değildir; Üye'nin satış hasılatını tahsil etmez, tutmaz ve aktarmaz.
• E-fatura ve elektronik belge sağlayıcıları: faturalandırma süreçlerinin yürütülmesi.
• İletişim ve bildirim sağlayıcıları: e-posta, SMS ve benzeri mesajlaşma hizmetleri.
• Yapay zekâ hizmet sağlayıcıları: içerik, ürün metni ve görsel üretimi, sanal deneme, mağaza içi arama, panel asistanı ve Üye'nin etkinleştirmesi hâlinde mağaza sohbet asistanı. Üye kendi yapay zekâ hizmet anahtarını tanımlamışsa ilgili işlem Üye'nin kendi hesabı üzerinden yürütülür. Panel asistanı ve yapay zekâ üretim kayıtları abonelik süresince saklanır; mağaza sohbet asistanı konuşmaları son mesajdan itibaren 30 (otuz) gün sonra silinir.
• Anlık bildirim ve güvenlik sağlayıcıları: mobil uygulama bildirimlerinin iletilmesi ve bot koruması (yurt dışında bulunan alt işleyenler 14. maddede sayılmıştır).
• Üye'nin etkinleştirdiği entegrasyonlar: Üye'nin bağladığı pazaryerleri (ör. Trendyol, Hepsiburada, Amazon, Etsy, Shopify, Yemeksepeti), reklam ve ölçüm araçları (ör. Meta Pikseli ve Dönüşüm API'si, Google Analytics, Google Ads ve Merchant Center, Pinterest), iletişim ve toplantı araçları (ör. WhatsApp Business, Instagram, Zoom) ile Üye'nin kendi hesabıyla bağladığı diğer hizmetlere aktarılan veriler, Üye'nin talimatıyla ve Üye'nin bu sağlayıcılarla yaptığı kendi sözleşmesine tabi olarak aktarılır. Bu sağlayıcılar Şirket'in alt işleyeni değildir; bu aktarımların hukuki sebebinden, son kullanıcıların aydınlatılmasından, gerekli rızaların alınmasından ve yurt dışına aktarım yükümlülüklerinden veri sorumlusu olarak Üye sorumludur. Mağaza vitrininde pazarlama amaçlı izleme araçları, son kullanıcının çerez onayı alınmadan çalıştırılmaz.
• Şirket, alt işleyenlerinde esaslı bir değişiklik yapması hâlinde Üye'yi makul yollarla bilgilendirir ve alt işleyenin yükümlülüklerini yerine getirmemesi hâlinde Üye'ye karşı sorumluluğunu sürdürür.

10. Gizlilik

Şirket, işleme faaliyeti kapsamında eriştiği tüm kişisel verileri gizli tutmayı, bunları işbu DPA'da öngörülen amaçlar dışında kullanmamayı ve yetkisiz üçüncü kişilere ifşa etmemeyi taahhüt eder. Bu gizlilik yükümlülüğü, DPA'nın veya abonelik ilişkisinin sona ermesinden sonra da süresiz olarak devam eder.

Verilere erişimi olan tüm personel ve alt işleyenler de eşdeğer gizlilik yükümlülüklerine tabidir.

11. Veri İhlali Bildirimi

Şirket, sorumluluğu altındaki kişisel verilere ilişkin bir ihlali tespit etmesi hâlinde, durumu gecikmeksizin ve makul süre içinde Üye'ye bildirir. Bildirim; ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık ilgili kişi sayısı, muhtemel sonuçlar ile alınan veya alınması önerilen tedbirlere ilişkin, o an için mevcut bilgileri kapsar.

Veri sorumlusu sıfatıyla Üye; ihlali KVKK ve Kurul düzenlemeleri uyarınca en kısa sürede ilgili kişilere ve Kurul'a bildirme yükümlülüğünün nihai muhatabıdır. Şirket, bu bildirim süreçlerinde Üye'ye makul ölçüde bilgi ve destek sağlar.

12. İlgili Kişi Taleplerinde Yardım

İlgili kişilerin (son kullanıcıların) KVKK m.11 kapsamındaki hakları (bilgi talep etme, düzeltme, silme, işlemeye itiraz vb.) doğrultusunda yapacakları başvuruların nihai muhatabı, veri sorumlusu sıfatıyla Üye'dir.

Şirket, kendisine doğrudan ulaşan ve Üye'nin son kullanıcılarına ilişkin olduğu anlaşılan talepleri, hukuken engel bulunmadıkça doğrudan yanıtlamak yerine Üye'ye yönlendirir. Şirket, Üye'nin bu talepleri süresi içinde karşılayabilmesi için, sahip olduğu teknik imkânlar ölçüsünde ve makul düzeyde yardımcı olur.

13. Denetim Hakkı

Üye, veri sorumlusu sıfatıyla, Şirket'in işbu DPA'dan doğan yükümlülüklerine uygunluğunu makul sınırlar içinde denetleme hakkına sahiptir. Denetim; öncelikle Şirket'in sağlayacağı bilgi, belge ve uygunluk beyanları üzerinden yürütülür.

Bilgi ve belge temelli denetimin yeterli olmadığı istisnai hâllerde, tarafların önceden yazılı olarak mutabık kalacağı zaman, kapsam ve usule uygun olarak yerinde denetim yapılabilir. Denetim faaliyeti, Hizmet'in işleyişini ve diğer Üye'lerin verilerinin gizliliğini aksatmayacak şekilde ve makul sıklıkta gerçekleştirilir; denetimden doğan makul giderler denetimi talep eden tarafça karşılanır.

14. Yurt Dışına Veri Aktarımı

Hizmet'in sunulması kapsamında son kullanıcı kişisel verileri, aşağıda sayılan alt işleyenler aracılığıyla ve belirtilen amaçlarla sınırlı olarak yurt dışına aktarılır. Platform'un veritabanı ve uygulama sunucuları, barındırma hizmeti sağlayıcısı Contabo GmbH'nin Almanya'daki veri merkezlerinde bulunmaktadır; bu sunucularda işlenen tüm veriler de aynı esaslara tabidir.

Aktarımın yapıldığı ülkeler hakkında Kurul'ca verilmiş bir yeterlilik kararı bulunmadığından Şirket, bu aktarımları KVKK'nın 7499 sayılı Kanun ile değişik 9. maddesinin dördüncü fıkrası uyarınca, Kurul'ca ilan edilen standart sözleşmeleri alt işleyenleriyle imzalayarak gerçekleştirir ve imzalanan sözleşmeleri imza tarihinden itibaren beş iş günü içinde Kurum'a bildirir. KVKK m.9/6'da sayılan arızi aktarım hâllerine yalnızca bu şartların gerçekten bulunduğu ve aktarımın süreklilik arz etmediği durumlarda başvurulur.

Üye, veri sorumlusu sıfatıyla son kullanıcılarına yönelik aydınlatma metninde bu yurt dışı aktarımlara yer vermekle yükümlüdür. Şirket, alt işleyenlerinde esaslı bir değişiklik olması hâlinde Üye'yi 9. madde uyarınca bilgilendirir.

• Contabo GmbH (Almanya): mağaza veritabanı, dosya ve medya depolaması, yedekler, e-posta gönderim sunucusu ve üretim ortamı log arşivi — mağazada işlenen tüm veriler ile IP adresi, tarayıcı (user-agent) bilgisi, istek yolları ve e-posta adresi.
• Google (ABD): mobil uygulama anlık bildirimleri (cihaz bildirim anahtarı ve bildirim içeriği), yapay zekâ destekli özellikler (Üye'nin girdiği içerik, ürün metinleri ve sanal deneme görselleri) ile panelde adres arama ve harita hizmeti (Google Maps Platform; panelde girilen adresler).
• Cloudflare (küresel ağ): bot ve kötüye kullanım koruması (Turnstile) — IP adresi.
• Meta (WhatsApp Business): yalnızca Üye'nin WhatsApp eklentisini etkinleştirmesi hâlinde son kullanıcılara mesaj gönderimi — telefon numarası ve mesaj içeriği.
• Anthropic (ABD): yönetim panelindeki yapay zekâ asistanı ve Üye'nin etkinleştirmesi hâlinde mağaza sohbet asistanı — Üye'nin ve son kullanıcıların asistana ilettiği mesajlar ile yanıt için gereken sipariş ve mağaza bilgileri.
• OpenAI (ABD): mağaza içi arama ve yapay zekâ sihirbazı — ürün ve arama metinleri ile Üye'nin sihirbaza girdiği içerik.
• Amazon Web Services (İrlanda): yalnızca Üye'nin Amazon pazaryeri entegrasyonunu etkinleştirmesi hâlinde, Amazon'dan gelen sipariş bildirimlerinin alınması — alıcı ve sipariş bilgileri.

15. Sözleşmenin Sona Ermesinde Verilerin İadesi/İmhası

Aboneliğin sona ermesi hâlinde son kullanıcı verileri silinmez; mağaza askıya alınsa dahi Üye panelde verilerini görüntüleyebilir ve modüllerdeki dışa aktarma araçlarını kullanabilir. Mağazanın silinmesi hâlinde veriler silme tarihinden itibaren 30 (otuz) gün boyunca silinmeden tutulur ve Üye bu süre içinde verilerinin dışa aktarılarak kendisine iade edilmesini talep edebilir. Üye, veri sorumlusu sıfatıyla verilerini bu süre içinde kendi sistemlerine aktarmakla sorumludur.

Bu sürenin sonunda Şirket, işlediği kişisel verileri kendi sistemlerinden siler ya da anonim hâle getirir. Üye'nin mevzuattan doğan defter ve belge saklama yükümlülüklerini yerine getirebilmesi için mağaza silinmeden önce alınan son yedek, Üye'nin talimatı olarak 10 (on) yıl süreyle, şifreli ve erişimi kısıtlanmış şekilde saklanır; bu yedek yalnızca Üye'nin veya yetkili mercilerin talebi üzerine kullanılır ve sürenin sonunda imha edilir. Üye, bu yedeğin daha önce imha edilmesini yazılı olarak talep edebilir.

İmha işlemleri, KVKK ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun olarak gerçekleştirilir. Şirket, talep hâlinde imhanın gerçekleştiğine dair makul bir teyit sağlar.

16. Sorumluluk ve Muhtelif Hükümler

• İşbu DPA'nın herhangi bir hükmü ile Üyelik Sözleşmesi veya Kullanım Koşulları arasında kişisel verilerin korunmasına ilişkin bir çelişki bulunması hâlinde, veri koruma konularında işbu DPA hükümleri öncelikle uygulanır.
• Tarafların sorumluluğu, kendi rolleri (veri sorumlusu / veri işleyen) kapsamındaki yükümlülüklerin ihlali ile sınırlıdır; her taraf kendi kusurundan sorumludur.
• İşbu DPA, uygulanacak hukuk ve yetkili mahkeme bakımından Kullanım Koşulları ile aynı hükümlere tabidir ve Türkiye Cumhuriyeti hukuku uygulanır. Tacir veya esnaf sıfatıyla hareket eden Üye ile aradaki uyuşmazlıklarda Ankara (Merkez) Mahkemeleri ve İcra Daireleri münhasıran yetkilidir. Tüketici sıfatını taşıyan Üye'nin 6502 sayılı Tüketicinin Korunması Hakkında Kanun'dan doğan hakları saklıdır; bu uyuşmazlıklarda Ticaret Bakanlığınca her yıl ilan edilen parasal sınırlar dâhilinde Üye'nin yerleşim yerindeki veya tüketici işleminin yapıldığı yerdeki Tüketici Hakem Heyetleri, bu sınırları aşan uyuşmazlıklarda ise Tüketici Mahkemeleri yetkilidir.
• İşbu DPA'nın bir hükmünün geçersizliği, diğer hükümlerin geçerliliğini etkilemez.

17. İletişim ve Firma Bilgileri

• Unvan: Mağazamhazır Yazılım Ltd. Şti.
• İşletilen Platform / Marka: MağazamHazır (https://magazamhazir.com)
• Adres: Üniversiteler Mah. 1597 Cad. No: 3 İç Kapı No: 87, 06800 Çankaya / ANKARA
• MERSİS No: 0610168774500001
• Vergi Dairesi / No: Doğanbey Vergi Dairesi / 6101687745
• Ticaret Sicil No: 547525
• E-posta: contact@magazamhazir.com