Veri İşleme Sözleşmesi
Bu Veri İşleme Sözleşmesi ("VİS"), Hüseyin GÜLŞEN ("Kolla" veya "Veri İşleyen") ile Kolla'da mağaza açan satıcı ("Satıcı" veya "Veri Sorumlusu") arasında, Üyelik ve Hizmet Sözleşmesi'nin eki ve ayrılmaz parçası olarak kurulmuştur. Satıcı, kayıt sırasında bu metni onaylayarak VİS'i kabul eder.
1. Roller
- Satıcı'nın mağazası üzerinden sipariş veren, mesaj gönderen veya kayıt olan alıcılara ve Satıcı'nın panele girdiği diğer kişilere ait veriler bakımından Satıcı veri sorumlusu, Kolla veri işleyendir (KVKK m.3/1-ğ).
- Kolla'nın kendi müşterisi olarak Satıcı'nın verileri bakımından Kolla veri sorumlusudur (bkz. KVKK Aydınlatma Metni).
2. İşlemenin konusu, niteliği ve süresi
- Konu: Mağazanın yayınlanması, siparişlerin alınması, kaydedilmesi ve Satıcı'ya iletilmesi, sipariş durumu bildirimleri, online ödeme eklentisi kullanılıyorsa ödeme kuruluşuna yönlendirme, WhatsApp asistanı ile sipariş ve müşteri işlemlerinin yönetimi, yedekleme.
- Veri sahipleri: Alıcılar ve potansiyel alıcılar, Satıcı'nın personel kullanıcıları, toptan müşteriler.
- Veri kategorileri: ad soyad, telefon/WhatsApp numarası, e-posta, teslimat ve fatura adresi, sipariş içeriği ve tutarı, ödeme yöntemi ve durumu (kart bilgisi hariç), sipariş notları, WhatsApp mesaj içerikleri, IP ve işlem kayıtları.
- Özel nitelikli veriler: Hizmet özel nitelikli kişisel veri işlenmesi için tasarlanmamıştır; Satıcı, sipariş notları veya ürün açıklamaları yoluyla sağlık, din, biyometrik vb. özel nitelikli veri toplamamayı kabul eder.
- Süre: Üyelik süresince ve sona ermesinden sonra 9. maddedeki iade/silme süresince.
3. Talimatlar
Kolla kişisel verileri yalnızca Satıcı'nın belgelenmiş talimatları doğrultusunda işler. Hizmet'in olağan kullanımı (panel ayarları, asistan talimatları, API/entegrasyon tercihleri) ve bu VİS Satıcı'nın talimatı sayılır. Kolla, bir talimatın mevzuata aykırı olduğunu düşünürse Satıcı'yı derhal bilgilendirir. Kolla, verileri kendi amaçları için kullanmaz, satmaz, reklam amacıyla işlemez; yalnızca anonim ve toplu istatistikler (ör. toplam sipariş sayısı) hizmetin geliştirilmesi için kullanılabilir.
4. Gizlilik
Kolla, verilere erişen çalışanlarının ve yardımcılarının gizlilik yükümlülüğü altında olmasını ve erişimin "bilmesi gereken" ilkesiyle sınırlanmasını sağlar. Bu yükümlülük VİS sona erdikten sonra da devam eder.
5. Teknik ve idari güvenlik tedbirleri (KVKK m.12)
- Tüm trafikte TLS/HTTPS şifreleme; ödeme kuruluşu anahtarları gibi gizli bilgilerin veritabanında şifreli saklanması.
- Şifrelerin geri döndürülemez özet (hash) olarak saklanması; oturum çerezlerinin HttpOnly/SameSite ile korunması; CSRF koruması.
- Kiracı izolasyonu: her veritabanı sorgusunun mağaza kimliğiyle sınırlanması; mağazalar birbirinin verisine erişemez.
- Rol tabanlı yetkilendirme (sahip/personel), giriş denemelerinde hız sınırlaması, yetkili erişimlerin kayıt altına alınması.
- Hazırlanmış sorgular ile SQL enjeksiyonuna karşı koruma; yüklenen görsellerin yeniden kodlanması ve yükleme dizininde betik çalıştırmanın engellenmesi.
- Sunucuların Türkiye'de, erişimi kısıtlı veri merkezlerinde barındırılması; işletim sistemi ve yazılım güncellemelerinin düzenli uygulanması; güvenlik duvarı.
- Düzenli yedekleme ve yedekten geri dönüş testleri; yedeklerin şifreli ve erişimi kısıtlı ortamda saklanması.
- Kart verisinin hiçbir şekilde Kolla sistemlerinde işlenmemesi (PCI DSS uyumlu ödeme kuruluşu).
- Personel için gizlilik taahhütnamesi ve KVKK farkındalık eğitimi; işten ayrılan personelin erişimlerinin derhal kaldırılması.
- Veri minimizasyonu: yapay zekâ sağlayıcısına yalnızca talebin yerine getirilmesi için gerekli içerik gönderilmesi.
6. Alt veri işleyenler
Satıcı, Kolla'nın hizmeti sunmak için aşağıdaki alt veri işleyenleri kullanmasına genel yetki verir:
Barındırma ve yedekleme: OWEB (oweb.net.tr), Türkiye — sunucular ve yedekler; Türkiye
PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. — kartlı ödemelerin alınması (Kolla abonelik ödemeleri ile satıcının kendi PayTR hesabını bağladığı mağaza ödemeleri); Türkiye
Google (Gemini API) — WhatsApp yapay zekâ asistanının mesajları anlaması ve yanıt üretmesi; yurt dışı (ABD/AB)
Meta Platforms Ireland Ltd. (WhatsApp Business Platform / Cloud API) — WhatsApp mesajlarının iletilmesi; yurt dışı (AB/ABD)
E-posta gönderim hizmet sağlayıcısı — işlem ve bilgilendirme e-postaları
SMS hizmet sağlayıcısı — SMS bildirimleri; Türkiye
E-Arşiv/e-fatura hizmet sağlayıcısı (özel entegratör) — Kolla abonelik faturalarının düzenlenmesi; Türkiye
Kolla, alt veri işleyenlere bu VİS'teki yükümlülüklerle esasen aynı düzeyde koruma sağlayan sözleşmesel yükümlülükler yükler ve onların fiillerinden Satıcı'ya karşı sorumludur. Alt veri işleyen listesindeki değişiklikler en az 15 gün önceden bu sayfada ve/veya e-posta ile duyurulur; Satıcı haklı sebeple itiraz ederse ve uzlaşılamazsa Sözleşme'yi feshedebilir ve kalan süreye isabet eden ücret iade edilir.
7. Yurt dışına aktarım
Google (Gemini API) ve Meta (WhatsApp) üzerinden yapılan işlemler kişisel verilerin yurt dışına aktarılmasını içerir. Kolla bu aktarımlar için KVKK m.9 uyarınca Kurul'ca ilan edilen standart sözleşmeleri veya diğer uygun güvenceleri sağlar ve gerekli bildirimleri yapar. Satıcı, WhatsApp asistanını ve WhatsApp bildirimlerini kullanarak bu aktarımlara talimat verdiğini ve Alıcılara karşı aydınlatma yükümlülüğünü (mağaza KVKK metninde yurt dışı aktarım bilgisini vermek dahil) yerine getireceğini kabul eder.
8. Veri sahiplerinin başvuruları ve destek
Kolla, Alıcılardan doğrudan bir KVKK başvurusu alırsa bunu yanıtlamadan en geç 5 iş günü içinde Satıcı'ya iletir. Kolla; panelde verilerin görüntülenmesi, düzeltilmesi, silinmesi ve dışa aktarılması araçlarını sağlayarak ve makul ölçüde teknik destek vererek Satıcı'nın başvuruları yanıtlamasına, veri güvenliği ve Kurum'a karşı yükümlülüklerini yerine getirmesine yardımcı olur.
9. Veri ihlali bildirimi
Kolla, Satıcı'ya ait kişisel verileri etkileyen bir veri ihlalini öğrendiğinde gecikmeksizin ve her halükârda 72 saat içinde Satıcı'ya bildirir. Bildirimde ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları, alınan ve alınması önerilen tedbirler ile irtibat kişisi yer alır; bilgiler tamamlandıkça güncellenir. Satıcı'nın Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü (KVKK m.12/5) saklıdır; Kolla bu konuda gerekli bilgi ve desteği sağlar.
10. Sözleşme sonunda iade ve silme
Sözleşme'nin sona ermesi halinde Satıcı, 30 gün içinde panelden verilerini dışa aktarabilir. Bu sürenin sonunda Kolla, mevzuat gereği saklanması zorunlu kayıtlar dışında Satıcı'ya ait kişisel verileri canlı sistemlerden siler veya anonimleştirir; yedeklerdeki kopyalar olağan yedek döngüsü içinde (en geç 90 gün) silinir. Satıcı talep ederse silme işlemi yazılı olarak teyit edilir.
11. Denetim
Kolla, bu VİS'e uyumu göstermek için gerekli bilgileri Satıcı'nın yazılı talebi üzerine sağlar. Satıcı, yılda en fazla bir kez, en az 30 gün önceden bildirmek, Kolla'nın diğer müşterilerinin verilerinin ve ticari sırlarının gizliliğini korumak ve masrafları kendisine ait olmak kaydıyla, öncelikle yazılı soru listesi ve belge incelemesi, bu yeterli olmazsa bağımsız ve gizlilik taahhüdü vermiş bir denetçi aracılığıyla denetim yaptırabilir. Yetkili makamların denetimleri saklıdır.
12. Satıcının yükümlülükleri
Satıcı; Alıcılara KVKK m.10 kapsamında aydınlatma yapmaktan (Kolla'nın sağladığı mağaza KVKK şablonunu güncelleyerek), gerektiğinde açık rıza almaktan, VERBİS yükümlülüğünü yerine getirmekten, ticari elektronik ileti onaylarını almaktan ve Kolla'ya verdiği talimatların hukuka uygunluğundan sorumludur.
13. Sorumluluk ve öncelik
Taraflar, bu VİS'e aykırılıktan doğan zararlardan kendi kusurları oranında sorumludur; sorumluluk sınırları Üyelik ve Hizmet Sözleşmesi'ndeki gibidir. Kişisel verilerin korunmasına ilişkin konularda bu VİS ile Üyelik ve Hizmet Sözleşmesi arasında çelişki olursa bu VİS uygulanır.
Diğer metinler: Üyelik ve Hizmet Sözleşmesi · Mesafeli Hizmet Sözleşmesi · Ön Bilgilendirme Formu · İptal ve İade Koşulları · KVKK Aydınlatma Metni · Gizlilik ve Çerez Politikası · Kabul Edilebilir Kullanım ve Yasaklı Ürünler · Künye ve İletişim