Veri İşleme Sözleşmesi

• Veri sorumlusu: Platformda hesap açan Kiracı. İşlemenin amaç ve vasıtalarını Kiracı belirler; Platforma hangi pazaryeri ve e-fatura hesaplarını bağlayacağına, hangi verileri gireceğine ve hangi otomasyonları açacağına Kiracı karar verir.
• Veri işleyen: Okan Topaloğlu (“Marj panel”). Verileri yalnız Kiracı adına, Kiracı'nın talimatları ve bu VİS çerçevesinde işler.

• Konu

  Açıklama

  Kiracı'nın pazaryeri ve satış kanallarındaki ürün, sipariş, stok, fiyat, fatura ve müşteri soru-cevap süreçlerinin Platform üzerinden yönetilmesi.

• Süre

  Açıklama

  Ana Sözleşme süresince ve sona ermesinden sonra Madde 11'deki silme/iade süresi boyunca.

• Nitelik

  Açıklama

  Pazaryeri ve e-fatura API'lerinden veri alma, kaydetme, saklama, düzenleme, görüntüleme, sınıflandırma, Kiracı talimatıyla pazaryerine ve e-fatura sistemine aktarma, kargo etiketi ve fatura üretme, yedekleme ve silme.

• Amaç

  Açıklama

  Kiracı'ya sipariş yönetimi, kargo etiketi, e-fatura/e-arşiv fatura düzenlenmesi, müşteri sorularının yanıtlanması, stok ve fiyat yönetimi ile raporlama hizmetinin sunulması.

• Kiracı'nın müşterileri (sipariş alıcıları, soru soran pazaryeri kullanıcıları)

  Veri kategorileri

  Ad soyad, teslimat ve fatura adresi, telefon, e-posta (pazaryeri sağlıyorsa), T.C. kimlik veya vergi kimlik numarası, sipariş ve iade bilgileri, kargo takip bilgisi, pazaryerindeki görünen ad ve soru metni.

• Kiracı'nın tedarikçileri ve tedarikçi kullanıcıları

  Veri kategorileri

  Ad soyad veya unvan, telefon, e-posta, tedarik edilen ürün ve fiyat bilgileri.

• Kiracı'nın çalışanları ve ekip üyeleri

  Veri kategorileri

  Ad soyad, e-posta, kullanıcı rolü, panelde yapılan işlem kayıtları.

Kiracı, Platforma KVKK m.6 kapsamındaki özel nitelikli kişisel veri aktarmamayı kabul eder; Platform bu verilerin işlenmesi için tasarlanmamıştır.

Marj panel, kişisel verileri yalnız Kiracı'nın belgelenmiş talimatlarıyla işler. Ana Sözleşme, bu VİS, Kiracı'nın panelde yaptığı ayarlar ve başlattığı işlemler Kiracı'nın talimatı sayılır. Marj panel, bir talimatın KVKK'ya veya diğer mevzuata aykırı olduğu kanaatine varırsa bunu Kiracı'ya gecikmeksizin bildirir ve aykırılık giderilinceye kadar talimatı uygulamayabilir. Kanunen zorunlu işlemeler (ör. yetkili makam talepleri) hâlinde, kanun yasaklamadıkça Kiracı önceden bilgilendirilir.

Marj panel, verilere erişmesi gereken çalışanlarını ve yardımcılarını yalnız görevlerinin gerektirdiği ölçüde yetkilendirir ve bu kişilerin yazılı gizlilik yükümlülüğü altında olmasını sağlar. Gizlilik yükümlülüğü VİS sona erdikten sonra da devam eder. Destek amacıyla Kiracı paneline erişim, Kiracı'nın onayıyla ve süreli olarak yapılır; hizmetin işletilmesi ve güvenliği için yapılan yönetici erişimleri salt okunur, sınırlı ve kayıt altındadır.

Marj panel, KVKK m.12 ve Kişisel Verileri Koruma Kurulu'nun yayımladığı Kişisel Veri Güvenliği Rehberi gözetilerek en az aşağıdaki tedbirleri uygular:

• Tüm veri iletiminde TLS şifrelemesi; API kimlik bilgilerinin ve hassas ayarların şifreli saklanması.
• Parolaların argon2 ile geri döndürülemez biçimde özetlenmesi; hız sınırı ve kaba kuvvet koruması.
• Her Kiracı verisinin yazılım düzeyinde ayrılması (kiracı izolasyonu) ve bunun otomatik testlerle sürekli denetlenmesi.
• Rol tabanlı erişim kontrolü, en az yetki ilkesi, destek erişiminin onaylı, süreli ve kayıtlı olması.
• Sunuculara erişimin yetkili personelle sınırlı tutulması; erişim ve işlem kayıtlarının tutulması.
• Düzenli yedekleme ve yedeklerin şifreli saklanması; felaket durumunda geri yükleme prosedürü.
• Güvenlik güncellemelerinin izlenmesi ve zamanında uygulanması; değişikliklerin otomatik testlerden geçirilmesi.
• Çalışanlara gizlilik taahhüdü ve kişisel veri farkındalığı.

KVKK m.12/2 uyarınca taraflar, güvenlik tedbirlerinin alınması hususunda müştereken sorumludur. Kiracı da kendi kullanıcılarının hesap güvenliğini sağlamak ve yetkileri doğru vermekle yükümlüdür.

Kiracı, Marj panel'in aşağıdaki alt işleyenlerden hizmet almasına genel izin verir:

• Barındırma (sunucu) sağlayıcısı

  Hizmet

  Platformun ve verilerin barındırılması, yedekleme

  Konum

  Almanya — Avrupa Birliği içinde yer alan bir veri merkezi

• E-posta gönderim sağlayıcısı

  Hizmet

  Sistem ve bildirim e-postaları

  Konum

  Sağlayıcının altyapısı

• OpenRouter ve aracılık ettiği model sağlayıcıları

  Hizmet

  Destek asistanı; kişisel veri süzgecinden geçirilmiş destek bağlamı

  Konum

  Amerika Birleşik Devletleri

• Anthropic (yalnız yapılandırıldıysa)

  Hizmet

  Pazaryeri müşteri sorularına cevap taslağı (soru metni, ürün bilgisi)

  Konum

  Amerika Birleşik Devletleri

• Tarayıcı bildirim servisleri (Google FCM, Apple APNs vb.)

  Hizmet

  Bildirimlerin iletilmesi (abonelik uç noktası, bildirim metni)

  Konum

  Amerika Birleşik Devletleri ve servisin konumu

• Telegram (yalnız Kiracı etkinleştirdiyse)

  Hizmet

  Bildirim metninin iletilmesi

  Konum

  Servisin konumu

• Vekil sunucu (proxy) sağlayıcıları

  Hizmet

  Herkese açık pazaryeri sayfalarına erişim; kişisel veri aktarılmaz

  Konum

  Sağlayıcının altyapısı

Pazaryerleri, Kiracı'nın e-fatura özel entegratörü ve Gelir İdaresi Başkanlığı Marj panel'in alt işleyeni değildir; bu taraflara aktarım Kiracı'nın kendi hesapları üzerinden ve Kiracı adına yapılır ve bu tarafların işlemeleri Kiracı ile aralarındaki sözleşmelere tabidir.

Marj panel, yeni bir alt işleyen eklemeden veya mevcut birini değiştirmeden en az 15 gün önce bu sayfayı günceller ve Kiracı'yı e-posta ile bilgilendirir. Kiracı bu süre içinde makul gerekçelerle itiraz edebilir; taraflar makul bir çözüm bulamazsa Kiracı aboneliğini, kullanılmamış dönem ücretinin kıst esasıyla iadesini talep ederek feshedebilir. Marj panel, alt işleyenlere bu VİS'tekilerden daha az koruyucu olmayan yükümlülükler yükler ve onların fiillerinden Kiracı'ya karşı sorumludur.

Platformun sunucuları yurt dışında bulunduğundan Kiracı Verisi yurt dışına aktarılır. Marj panel, aktarımın KVKK m.9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik çerçevesinde yapılması için alt işleyenlerle Kurulca ilan edilen standart sözleşmeyi akdeder ve mevzuattaki süre içinde Kurul'a bildirir. Kiracı, kendi müşterilerine yapacağı aydınlatmada verilerin yurt dışındaki bir hizmet sağlayıcıda işlendiğini belirtmekle ve gerekli hukuki sebebi sağlamakla yükümlüdür.

Marj panel'e doğrudan bir ilgili kişi başvurusu ulaşırsa, başvuruyu kendisi yanıtlamaz; en geç 5 iş günü içinde Kiracı'ya iletir. Marj panel, Kiracı'nın KVKK m.11 kapsamındaki başvuruları 30 günlük yasal süre içinde yanıtlayabilmesi için Platformun sunduğu dışa aktarma, düzeltme ve silme araçlarıyla ve gerektiğinde makul teknik destekle yardımcı olur.

Marj panel, Kiracı Verisini etkileyen bir kişisel veri ihlalini öğrenmesi hâlinde Kiracı'yı gecikmeksizin ve her hâlde ihlali öğrendiği andan itibaren en geç 72 saat içinde kayıtlı e-posta adresi üzerinden bilgilendirir. Bildirim, o an bilinen ölçüde ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçlarını ve alınan veya önerilen tedbirleri içerir; bilgiler netleştikçe tamamlanır. Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Kiracı'ya aittir; Marj panel bu bildirim için gereken bilgileri sağlar.

Ana Sözleşme'nin sona ermesi ve hesabın kapatılması hâlinde Kiracı, verilerini panelden Excel biçiminde dışa aktarabilir. Marj panel, Kiracı Verisini hesabın kapanmasından itibaren 30 gün içinde siler; yedeklerden en geç 90 gün içinde düşer. Kanunen saklanması zorunlu kayıtlar mevzuattaki süre boyunca saklanır ve başka amaçla işlenmez. Kiracı talep ederse silme işleminin yapıldığı yazılı olarak teyit edilir.

Kiracı, bu VİS'e uyumu denetlemek için yılda en fazla bir kez, en az 15 gün önceden yazılı bildirimde bulunarak bilgi ve belge talep edebilir veya bağımsız bir denetçiye denetim yaptırabilir. Denetim; mesai saatleri içinde, makul kapsamda, Platformun işleyişini ve diğer kiracıların verilerinin gizliliğini bozmayacak şekilde ve gizlilik yükümlülüğü altında yapılır; masrafları Kiracı'ya aittir. Bir ihlal veya yetkili makam talebi hâlinde bu sıklık sınırı uygulanmaz.

• Kiracı, Platforma aktardığı kişisel verileri hukuka uygun olarak elde ettiğini, ilgili kişilere KVKK m.10 kapsamındaki aydınlatmayı yaptığını ve işleme için gerekli hukuki sebebe sahip olduğunu beyan ve taahhüt eder.
• Veri Sorumluları Sicili'ne (VERBİS) kayıt yükümlülüğünün olup olmadığının değerlendirilmesi ve varsa yerine getirilmesi Kiracı'nın sorumluluğundadır.
• Kiracı, kendi kullanıcılarına verdiği yetkileri ve otomasyon ayarlarını düzenli olarak gözden geçirir.

Taraflar, bu VİS'e aykırılıktan doğan zararlardan kendi kusurları oranında sorumludur; Ana Sözleşme'deki sorumluluk sınırlamaları kanunun izin verdiği ölçüde bu VİS için de geçerlidir. VİS, Ana Sözleşme süresince ve Madde 11'deki silme süreci tamamlanana kadar yürürlükte kalır. VİS'teki değişiklikler Ana Sözleşme'deki değişiklik usulüne tabidir. Sorularınız için: info@marjpanel.com.