İşbu Veri İşleme Sözleşmesi ("DPA"), 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") Madde 12 uyarınca, gelirebak.com hizmetini kurumsal abonelik kapsamında kullanan Müşteri (Veri Sorumlusu) ile gelirebak.com (Veri İşleyen) arasında, Müşteri'nin platform üzerinden işlenen kişisel verileri için geçerlidir. DPA, Müşteri'nin imzaladığı abonelik sözleşmesinin ayrılmaz bir parçasıdır ve abonelik geçerliliği süresince yürürlükte kalır.
1. Tanımlar ve Roller
Veri Sorumlusu: gelirebak.com platformunu kullanan ve platform üzerinden işlenecek kişisel verilerin işleme amacını ve vasıtalarını belirleyen Müşteri (kurumsal abone, organizasyon).
Veri İşleyen: Müşteri adına ve talimatları doğrultusunda kişisel verileri işleyen Ayhan Yavuz Orchesta Teknoloji — "Gelirebak" markasıyla gelirebak.com platformunu işleten (Hizmet Sağlayıcı).
Kişisel Veri: KVKK Md. 3'te tanımlandığı şekliyle, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (örn. müşterinin pazaryerinden çektiği son müşteri ad-soyad, adres, telefon bilgileri).
2. İşleme Konusu, Süresi, Niteliği ve Amacı
Konu: Müşteri'nin gelirebak.com platformuna girdiği veya pazaryeri entegrasyonları (Trendyol, Hepsiburada vb.) üzerinden çektiği kişisel verilerin gelirebak.com altyapısında saklanması, işlenmesi ve Müşteri'ye geri sunulması.
Süre: Müşteri'nin abonelik dönemi süresince ve abonelik sona erdikten sonra Gizlilik Politikası'nda belirtilen saklama sürelerine uygun olarak.
Nitelik / İşlemler: Toplama, kaydetme, depolama, organize etme, yapılandırma, sorgulama, paylaşma (Müşteri'nin yetkilendirdiği kullanıcılarla), anonimleştirme, silme, yok etme.
Amaç: Yalnızca Hizmet'in Müşteri'ye sunulabilmesi (sipariş, fiyat, hak ediş yönetimi, raporlama, entegrasyon işletimi). gelirebak.com, bu verileri kendi pazarlama, ürün geliştirme dışı analitik veya başka amaçlarla kullanmaz.
3. İşlenen Veri Kategorileri ve Veri Sahibi Grupları
Veri kategorileri: Kimlik (ad-soyad), iletişim (e-posta, telefon, adres), sipariş ve faturalama bilgileri, müşteri yorum ve mesajları, kargo gönderim bilgileri, IP/cihaz logları (sınırlı). Pazaryeri credential'ları (API key/secret) AES-256 ile şifrelenmiş halde saklanır ve gelirebak.com personeli tarafından okunamaz.
Veri sahibi grupları: Müşteri'nin son müşterileri (Trendyol/HB üzerinden sipariş veren tüketiciler), Müşteri çalışanları/yetkili kullanıcılar.
4. gelirebak.com'un Yükümlülükleri (Veri İşleyen Olarak)
gelirebak.com, KVKK Md. 12 ve ilgili Kurul kararları çerçevesinde aşağıdaki yükümlülüklere uyar:
(a) Talimat bağlılığı — Kişisel verileri yalnızca Müşteri'nin yazılı veya elektronik talimatları doğrultusunda ve Hizmet kapsamında işler. Yasal yükümlülük gereği farklı bir işleme zorunluluğu doğarsa, hukuken yasaklanmadığı sürece, işlem öncesinde Müşteri'yi bilgilendirir.
(b) Gizlilik — Verilere erişim yetkisi bulunan tüm gelirebak.com personeline gizlilik yükümlülüğü taahhüdü imzalatır.
(c) Teknik ve idari tedbirler — TLS 1.2+ şifreli iletim, AES-256 credential şifrelemesi, parolaların hash'lenerek saklanması, rol bazlı yetkilendirme, denetim (audit) günlüğü, periyodik güvenlik güncellemeleri, fiziksel/lojistik erişim kısıtları.
(d) Alt yüklenici (sub-processor) yönetimi — gelirebak.com, Hizmet'in sunulması için bulut altyapısı, e-posta sağlayıcısı, ödeme sağlayıcısı (iyzico) gibi alt yüklenicilerden yararlanır. Mevcut alt yüklenici listesi talep üzerine paylaşılır. Yeni bir alt yüklenici eklendiğinde Müşteri makul süre öncesinden bilgilendirilir; Müşteri'nin gerekçeli itiraz hakkı mevcuttur. gelirebak.com, alt yüklenicilerle bu DPA'da yer alan güvenlik ve gizlilik standartlarına eşdeğer sözleşmeler akdeder.
(e) Veri sahibi taleplerine destek — Müşteri'ye ulaşan KVKK Md. 11 kapsamındaki taleplerin (erişim, düzeltme, silme vb.) yerine getirilebilmesi için Müşteri'ye gerekli teknik desteği sağlar (hesap panelinde ilgili işlevlere ek olarak gerektiğinde manuel destek).
(f) İhlal bildirimi — Bir kişisel veri ihlali tespit edildiğinde, gelirebak.com, durumun farkına vardıktan sonra 72 saat içinde Müşteri'yi bilgilendirir; ihlalin niteliği, kapsamı, alınan önlemler ve önerilen aksiyonları paylaşır. Müşteri, KVKK Madde 12/5 uyarınca Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğünü kendi adına yerine getirmekle yükümlüdür; gelirebak.com gerekli bilgi ve belgeyi sağlayarak bu süreci destekler.
(g) Veri silme/iade — Sözleşme sona erdiğinde, Müşteri'nin tercihine göre veriler ya makul biçimde dışa aktarılarak Müşteri'ye iade edilir ya da yasal saklama yükümlülükleri ve Gizlilik Politikası'ndaki süreler sona erdiğinde silinir/anonimleştirilir.
5. Müşteri'nin (Veri Sorumlusu) Yükümlülükleri
Müşteri; (i) gelirebak.com'a aktardığı/işlettirdiği kişisel verilerin toplanması ve işlenmesi için gerekli aydınlatmayı yapmış ve hukuki sebebi (rıza, sözleşme, meşru menfaat vb.) sağlamış olduğunu, (ii) kendi VERBİS yükümlülüklerini yerine getirdiğini, (iii) son müşterilerinden gelen KVKK Md. 11 başvurularını süresi içinde yanıtlamakla sorumlu olduğunu kabul ve taahhüt eder. gelirebak.com, bu yükümlülüklerin Müşteri tarafından yerine getirilmemesinden doğacak yaptırımlardan sorumlu değildir.
6. Yurt Dışına Veri Aktarımı
gelirebak.com, kişisel verileri Avrupa Birliği üyesi Almanya'da bulunan Hetzner Online GmbH (Falkenstein veri merkezi) altyapısı üzerinde barındırır. KVKK 12 Mart 2024 tarihli 7499 sayılı Kanun değişikliğiyle yeni rejime geçmiş olup, bu aktarım Kişisel Verileri Koruma Kurulu'nun 04.06.2024 tarih ve 2024/959 sayılı kararıyla yayımlanan Standart Sözleşme — Tip 2 (Veri Sorumlusundan Veri İşleyene) uygun güvencesi kapsamında gerçekleşir. Sözleşme, imzasını takip eden 5 iş günü içinde KVKK Bildirim Modülü'ne yüklenir.
Alt veri işleyenler (sub-processors): Hetzner Online GmbH (DE) — sunucu/altyapı; Google LLC (US) — yalnızca opt-in açık rıza ile analitik (Google Analytics 4); iyzico Ödeme Hizmetleri A.Ş. (TR) — ödeme işleme; SMTP/e-posta sağlayıcısı — bilgilendirme e-postaları. Liste güncellendiğinde Müşteri, Hesap'ına kayıtlı e-posta adresine bildirimle haberdar edilir; Müşteri itiraz hakkı saklıdır.
7. Denetim Hakkı
Müşteri, gelirebak.com'un işbu DPA'daki yükümlülüklere uyumunu makul ölçüde denetleme hakkına sahiptir. gelirebak.com, bağımsız denetim raporları (örn. ISO 27001 sertifika kapsamı, penetrasyon testi özeti) sunarak bu denetim hakkına yanıt verebilir; ek bir on-site denetim talebi halinde tarafların makul biçimde anlaşacağı bir takvim ve maliyet planlaması yapılır.
8. Sorumluluk
gelirebak.com'un bu DPA kapsamındaki sorumluluğu, ana abonelik sözleşmesinde belirtilen genel sorumluluk sınırlarına tabidir. Tarafların KVKK kapsamındaki kanuni sorumlulukları saklıdır.
9. Yürürlük ve Çelişki Halinde Üstünlük
İşbu DPA, Müşteri'nin gelirebak.com aboneliğini imzaladığı tarihte yürürlüğe girer ve abonelik süresince geçerlidir. Ana abonelik sözleşmesi ile bu DPA arasında kişisel veri işlemeye ilişkin bir çelişki bulunması halinde, çelişen hüküm bakımından bu DPA uygulanır.
10. İletişim
DPA'ya ilişkin tüm bildirimler [email protected] adresine iletilir. gelirebak.com'un kurumsal anlaşma için karşılıklı imzalı bir DPA örneği talebi halinde aynı adresten iletişime geçebilirsiniz.
Bu metin, hukuk ekibinin nihai onayı kapsamında güncellenmektedir; karşılıklı imzalı sürüm yayımlanana kadar bilgilendirme amaçlıdır.