GDPR Uyumluluk ve Veri İşleme Bilgilendirmesi

1. Genel Bakış

Keskintech Marketplaces olarak GDPR (Avrupa Birliği Genel Veri Koruma Tüzüğü — 2016/679) kapsamındaki yükümlülüklerimizi ciddiye alıyoruz. Bu sayfa, kişisel verilerle ilgili rollerimizi ve uygulamalarımızı şeffaf biçimde açıklamaktadır.

Veri işleme faaliyetlerimiz iki farklı rol altında gerçekleşir:

• Veri Sorumlusu (Controller): Keskintech Marketplaces platformuna kayıt olan abone ve kullanıcıların verilerini doğrudan toplar ve işleriz.
• Veri İşleyen (Processor): Merchant müşterilerimizin, apigw üzerinden gerçekleştirdikleri entegrasyon sürecinde pazaryerlerinden çekilen sipariş ve müşteri verilerini, yalnızca hizmetin sunumu amacıyla işleriz.

2. Veri Sorumlusu Sıfatıyla Faaliyetlerimiz

Keskintech Marketplaces platformuna kayıt olan, ödeme yapan veya iletişim formu dolduran kişilerin verileri için Veri Sorumlusu sıfatını taşırız.

İşlenen Veriler ve Hukuki Dayanak

Saklama Süreleri

• Hesap verileri: Hesap aktif olduğu sürece + hesap silindikten sonra 2 yıl (yasal uyumluluk)
• Fatura ve ödeme kayıtları: 10 yıl (Türk Vergi Kanunu)
• Destek e-postaları: Son yazışmadan itibaren 3 yıl
• IP ve oturum kayıtları: 90 gün
• Pazarlama onayı: Rıza geri alınana kadar; geri alındıktan sonra rıza kaydı 3 yıl saklanır

3. Veri İşleyen Sıfatıyla Faaliyetlerimiz (apigw)

apigw.keskintechmarketplaces.com üzerinden merchant müşterilerimize pazaryeri entegrasyon hizmeti sunulmaktadır. Bu hizmet kapsamında aşağıdaki veriler işlenebilir:

• Pazaryerlerinden (Trendyol, Hepsiburada, Amazon vb.) çekilen sipariş verileri: alıcı adı, teslimat adresi, e-posta, telefon
• Ürün katalog verileri: başlık, fiyat, stok, açıklama, görsel (kişisel veri niteliği taşımaz)

İşleyenin Yükümlülükleri

Veri İşleyen sıfatıyla Keskintech Marketplaces aşağıdaki taahhütleri üstlenir:

• Merchant'ın (Veri Sorumlusu) yazılı talimatları dışında veri işlemez.
• Sipariş verilerini yalnızca entegrasyon hizmetinin sunumu için kullanır; üçüncü taraflarla paylaşmaz veya reklam amaçlı kullanmaz.
• Merchant'ın talep etmesi halinde verileri siler veya iade eder.
• Güvenlik ihlali durumunda merchant'ı makul süre içinde bilgilendirir.
• Alt işleyenlerin listesini (aşağıda) güncel tutar ve önceden bildirim yapar.

apigw üzerinden işlenen sipariş verileri yalnızca Hetzner altyapısında (Almanya, AB) saklanır ve hizmet sunumu dışında kullanılmaz.

4. Alt İşleyenler

Aşağıdaki alt işleyenler, hizmetlerimizin sunulması için kişisel verilere erişebilir:

Alt işleyenler listesinde değişiklik yapılmadan önce kullanıcılar e-posta veya platform bildirimi yoluyla bilgilendirilir.

5. Uluslararası Veri Transferleri

AB/AEA dışına (ABD, Türkiye) gerçekleştirilen veri transferleri aşağıdaki mekanizmalarla güvence altına alınır:

• Standart Sözleşme Maddeleri (SCCs): AB Komisyonu tarafından onaylanan 2021/914 sayılı kararname kapsamında uygulanır.
• AB–ABD Veri Gizliliği Çerçevesi (DPF): DPF'e katılan ABD'li sağlayıcılar için geçerlidir (Cloudflare, Google, Zoho).
• Türkiye: KVKK kapsamında ve Avrupa Konseyi 108 no'lu Sözleşmesi'ne Türkiye'nin taraf olması çerçevesinde işlenir.

6. Veri Güvenliği

Kişisel verilerin korunması için uyguladığımız teknik ve idari önlemler:

• Tüm veri iletimi TLS 1.2+ ile şifrelenir.
• Parolalar bcrypt algoritmasıyla hashlenerek saklanır; düz metin parola tutulmaz.
• Ödeme kart verileri Keskintech altyapısında saklanmaz; doğrudan iyzico'ya iletilir.
• API erişimleri lisans tabanlı kimlik doğrulama ile korunur.
• Erişim logları 90 gün saklanır; yetkisiz erişim girişimleri otomatik engellenir.
• Yalnızca yetkili personel kişisel verilere erişebilir; erişimler kayıt altında tutulur.

Güvenlik ihlali tespit edilmesi durumunda, GDPR Madde 33 kapsamında 72 saat içinde ilgili denetim otoritesine; GDPR Madde 34 kapsamında ise etkilenen kişilere gecikmeksizin bildirim yapılır.

7. Veri Sahibi Hakları

GDPR kapsamında aşağıdaki haklara sahipsiniz:

• Erişim (Madde 15): Hakkınızda işlenen verilerin bir kopyasını talep edebilirsiniz.
• Düzeltme (Madde 16): Yanlış veya eksik verilerinizin düzeltilmesini isteyebilirsiniz.
• Silme (Madde 17): "Unutulma hakkı" kapsamında verilerinizin silinmesini talep edebilirsiniz.
• İşlemenin kısıtlanması (Madde 18): Belirli koşullarda işlemenin durdurulmasını isteyebilirsiniz.
• Taşınabilirlik (Madde 20): Verilerinizi makine okunabilir formatta almanızı talep edebilirsiniz.
• İtiraz (Madde 21): Meşru menfaate dayanan işlemelere itiraz edebilirsiniz.
• Rızayı geri alma: Rızaya dayalı işlemlerde (pazarlama e-postaları, analitik çerezler) rızanızı her zaman geri alabilirsiniz.

Talepleriniz info@keskintechmarketplaces.com adresine iletilmeli, 30 gün içinde yanıt verilir. Yanıttan memnun kalmazsanız AB'deki ikametgah ülkenizin veri koruma otoritesine şikayette bulunabilirsiniz.

8. İletişim ve DPO

Veri işleme faaliyetlerimiz veya haklarınız hakkındaki sorularınız için:

Keskintech Marketplaces — Veri Sorumlusu
Furkan Keskintaş
SUNAY MAH. ERZURUM CAD. I BLOK NO: 15 I İÇ KAPI NO: 5 MERKEZ/ MUŞ
info@keskintechmarketplaces.com

Keskintech Marketplaces, GDPR Madde 37 kapsamında atanmış bir Veri Koruma Görevlisi (DPO) bulundurmak zorunda değildir. Veri korumaya ilişkin sorularınızı yukarıdaki adrese iletebilirsiniz.