E-TİCARET SİTESİ GİZLİLİK VE GÜVENLİK POLİTİKASI (KVKK KAPSAMINDA KİŞİSEL VERİLERİN İŞLENMESİ VE KORUNMASI)

MADDE 1: AMAÇ VE KAPSAM

1.1. İşbu Gizlilik ve Güvenlik Politikası (“Politika”), ALTAŞ KUZİNE SOBA İMALATI VE SATIŞI - İlyas AL- Mustafa AL Ort. (“Satıcı” veya “Veri Sorumlusu”) tarafından işletilen ve altyapısı İkas Teknoloji A.Ş. tarafından sağlanan [WEB SİTESİ ALAN ADI] alan adlı internet sitesi (“Site”) üzerinden gerçekleştirilen tüm perakende satış faaliyetleri, site ziyaretleri, üyelik işlemleri ve müşteri ilişkileri süreçlerini kapsamaktadır.

1.2. İşbu Politika’nın amacı; Site üzerinden satışı gerçekleştirilen tüm soba modelleri, şömineler, kuzineler, kamp sobaları ve bunlara ait aksesuarların perakende alım-satım süreçlerinde, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili ikincil mevzuat uyarınca; Site kullanıcıları, üyeleri ve alıcıların (“Alıcı” veya “İlgili Kişi”) kişisel verilerinin hukuka uygun olarak işlenmesi, muhafazası, gizliliği ve güvenliğine ilişkin usul ve esaslar ile tarafların karşılıklı hak ve yükümlülüklerini düzenlemektir.

1.3. İşbu metin genel aydınlatma ve güvenlik esaslarını içermekte olup; açık rıza gerektiren kişisel veri işleme ve ticari elektronik ileti gönderimi faaliyetleri, mevzuata uygun olarak bu metinden ayrı, müstakil ve önceden işaretlenmemiş onay mekanizmaları aracılığıyla Alıcı’nın özgür iradesine sunulur.

MADDE 2: VERİ SORUMLUSUNUN KİMLİĞİ VE İLETİŞİM BİLGİLERİ

KVKK’nın 10. maddesi uyarınca veri sorumlusuna ilişkin bilgiler aşağıda yer almaktadır:

• Ticari Unvan / İşletme Adı: ALTAŞ KUZİNE SOBA İMALATI VE SATIŞI - İlyas AL- Mustafa AL Ort.
• Adres: Toybelen Mah. 1169. Sk. No: 27/1-2 kadım / SAMSUN
• Telefon Numaraları: 0533 263 27 71 / 0532 304 87 71
• Vergi Dairesi ve Numarası: Gaziler V.D. - 047 056 20 62
• Elektronik Posta Adresi: [[email protected]]
• İnternet Sitesi Altyapı Sağlayıcısı: İkas Teknoloji A.Ş.

MADDE 3: İŞLENEN KİŞİSEL VERİ KATEGORİLERİ

Site üzerinden sunulan ürünlerin incelenmesi, siparişi, mesafeli satış sözleşmesinin kurulması ve ifası süreçlerinde Satıcı tarafından işlenen kişisel veriler kategorik olarak aşağıda belirtilmiştir:

3.1. Kimlik Bilgileri: Ad, soyad, T.C. kimlik numarası (mevzuat gereği fatura düzenlenmesi gereken hallerde ve şahıs şirketi mükellefiyeti durumunda vergi kimlik numarası).
3.2. İletişim Bilgileri: Teslimat ve fatura adresi, cep telefonu numarası, e-posta adresi.
3.3. Müşteri İşlem Bilgileri: Sipariş edilen ürün bilgisi (soba, şömine, kuzine, kamp sobası modelleri ve adetleri), sipariş geçmişi, alışveriş tutarı, sepet bilgileri, talep ve şikâyet kayıtları, fatura ve sevk irsaliyesi kayıtları.
3.4. Ödeme ve Finans Bilgileri: Ödeme yöntemi, ödeme sağlayıcı kuruluştan dönen işlem onay kodu ve referans numaraları, banka dekont bilgileri (havale/EFT ile ödemelerde). Kredi ve banka kartlarının tam numarası, CVV/CVC güvenlik kodu ve son kullanma tarihi gibi hassas kart verileri Satıcı sunucularında asla tutulmamakta ve işlenmemektedir.
3.5. İşlem Güvenliği ve Teknik Veriler: İnternet protokolü (IP) adresi, cihaz bilgisi, Siteye giriş-çıkış log kayıtları, parola ve kullanıcı giriş bilgileri, işletim sistemi ve tarayıcı bilgisi, siber güvenlik kayıtları.
3.6. Pazarlama ve Analiz Bilgileri (Açık rıza bulunması kaydıyla): Çerez kayıtları, alışveriş tercihleri, Site içi gezinme hareketleri, kampanya katılım geçmişi.

MADDE 4: KİŞİSEL VERİLERİN İŞLENME AMAÇLARI VE HUKUKİ SEBEPLERİ

Kişisel veriler, KVKK’nın 4. maddesindeki genel ilkelere uygun olarak, Kanun’un 5. maddesinde belirtilen aşağıdaki hukuki sebeplerle sınırlı ve ölçülü olarak işlenir:

4.1. Sözleşmenin Kurulması ve İfası (KVKK m. 5/2-c):
Soba, kuzine, şömine, kamp sobası ve ilgili ürünlerin Site üzerinden perakende satışı, siparişin onaylanması, mesafeli satış sözleşmesinin akdedilmesi, bedelin tahsili, ürünlerin Alıcı’nın adresine nakliyesi ve fiziki teslimatının sağlanması, satış sonrası servis, garanti ve destek taleplerinin yerine getirilmesi.

4.2. Hukuki Yükümlülüklerin Yerine Getirilmesi (KVKK m. 5/2-ç):
6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, 6502 sayılı Tüketicinin Korunması Hakkında Kanun, Vergi Usul Kanunu, Türk Ticaret Kanunu ve ilgili tüketici/mesafeli sözleşmeler yönetmelikleri gereğince; fatura düzenlenmesi, vergi bildirimlerinin yapılması, yasal defterlerin tutulması, sipariş ve log kayıtlarının saklanması ve yetkili kamu kurumlarının bilgi/belge taleplerinin karşılanması.

4.3. Bir Hakkın Tesisi, Kullanılması veya Korunması (KVKK m. 5/2-e):
Alıcı ile Satıcı arasında doğabilecek olası uyuşmazlıklarda delillerin muhafazası, cayma veya iade haklarının denetimi ve hukuki süreçlerin yürütülmesi.

4.4. Meşru Menfaat (KVKK m. 5/2-f):
Alıcı’nın temel hak ve özgürlüklerine zarar vermemek kaydıyla; Site işlem güvenliğinin temini, sahtecilik ve suistimallerin önlenmesi, müşteri memnuniyeti ve hizmet kalitesinin denetlenmesi, sistem zafiyetlerinin tespiti.

4.5. Açık Rıza (KVKK m. 5/1):
Alıcı’nın ayrıca ve özgür iradesiyle rıza vermesi şartıyla; ticari elektronik ileti (SMS, e-posta) gönderilmesi, zorunlu olmayan analitik/pazarlama çerezleri vasıtasıyla kişiselleştirilmiş ürün ve kampanya tekliflerinin oluşturulması, ödeme kolaylığı amacıyla kart saklama hizmetinin kullanılması. Açık rızanın verilmemesi, Site üzerinden ürün satın alınmasına veya Site kullanımına kesinlikle engel teşkil etmez.

MADDE 5: KİŞİSEL VERİLERİN AKTARILMASI VE AKTARIM GÜVENCELERİ

Toplanan kişisel veriler, KVKK’nın 8. maddesinde belirtilen aktarım şartlarına ve veri minimizasyonu ilkesine uygun olarak, yalnızca hizmetin gerektirdiği ölçüde aşağıdaki alıcı gruplarına aktarılmaktadır:

5.1. Altyapı ve Barındırma Sağlayıcısı (İkas Teknoloji A.Ş.):
Sitenin teknik altyapısı, yazılımı, sunucu barındırma ve veri tabanı yönetimi İkas Teknoloji A.Ş. tarafından sağlanmaktadır. İkas Teknoloji A.Ş., Satıcı adına veri işleyen sıfatıyla hareket etmekte olup, kişisel verilere erişimi yalnızca teknik operasyon, bakım, yazılım güvenliği ve barındırma süreçlerinin ifası ile sınırlandırılmıştır. İkas Teknoloji A.Ş. ile imzalanan sözleşmeler kapsamında; verilerin gizliliği, veri güvenliğinin sağlanması, verilerin başka ticari amaçlarla kullanılmaması ve yurt dışına aktarım durumunda yürürlükteki mevzuat hükümlerine tam uyum güvence altına alınmıştır.

5.2. Lojistik ve Kargo Şirketleri:
Sipariş edilen ağır vasıflı emtia (tüm soba ürünleri, şömine, kuzine, kamp sobası vb.) ürünlerinin Alıcı’ya teslimi için zorunlu olan ad, soyad, teslimat adresi ve iletişim telefonu bilgileri, münhasıran taşıma ve teslimatın ifası amacıyla anlaşmalı kargo/nakliye şirketlerine aktarılır. Kargo etiketleme ve teslimat süreçlerinde, verilerin üçüncü kişilerin eline geçmesini veya yanlış eşleşmesini önleyecek barkod ve sistem kontrolleri uygulanır.

5.3. Ödeme Kuruluşları ve Bankalar:
Ödeme işlemlerinin gerçekleştirilmesi amacıyla finansal işlem bilgileri, 6493 sayılı Kanun kapsamında yetkilendirilmiş ödeme ve menkul kıymet mutabakat kuruluşları ile ilgili bankalara aktarılır.

5.4. Yetkili Kamu Kurum ve Kuruluşları:
Kanuni zorunluluklar çerçevesinde adli makamlar, Gelir İdaresi Başkanlığı, Ticaret Bakanlığı ve diğer yetkili kamu otoritelerinin bağlayıcı talepleri doğrultusunda ilgili yasal mercilere mevzuatla sınırlı olarak aktarım yapılır.

5.5. Yurt Dışına Veri Aktarımı:
Kişisel veriler kural olarak yurt içinde saklanır. Sitenin teknik altyapısı veya üçüncü taraf entegrasyonları kapsamında verilerin yurt dışı sunucularında barındırılmasının gerekmesi durumunda; aktarım ancak KVKK’nın 9. maddesinde öngörülen hukuki mekanizmalara (yeterlilik kararı, standart sözleşme veya ilgili kişinin açık rızası) dayalı olarak gerçekleştirilir.

MADDE 6: ÇEREZ (COOKIE) KULLANIMI VE TERCİH YÖNETİMİ

6.1. Sitede, sitenin teknik olarak çalışabilmesi, temel fonksiyonların yerine getirilmesi ve güvenliğin sağlanması amacıyla zorunlu çerezler kullanılmaktadır. Zorunlu çerezlerin kullanımı, KVKK m. 5/2 uyarınca meşru menfaat ve sözleşmenin ifası kapsamında yürütülür.

6.2. Zorunlu olmayan performans, analitik, işlevsel ve reklam/hedefleme çerezleri ise Siteye ilk girişte kullanıcılara sunulan Çerez Yönetim Paneli üzerinden varsayılan olarak “kapalı/onaysız” şekilde tutulur. Bu çerezler, ancak Alıcı’nın aktif ve olumlu irade beyanıyla onay vermesi (opt-in) halinde faaliyete geçirilir.

6.3. Alıcı, Çerez Yönetim Paneli veya kullandığı internet tarayıcısının ayarları üzerinden çerez tercihlerini dilediği zaman değiştirme, reddetme veya onayını geri alma hakkına sahiptir. Zorunlu olmayan çerezlerin reddedilmesi, Siteden soba ve kuzine ürünlerinin satın alınmasına engel oluşturmaz.

MADDE 7: ÖDEME GÜVENLİĞİ VE KREDİ KARTI BİLGİLERİ

7.1. Sitede perakende satış işlemlerinde kredi kartı veya banka kartı ile yapılan ödemeler, uluslararası güvenlik standartlarına sahip yetkili lisanslı ödeme hizmeti sağlayıcıları altyapısıyla gerçekleştirilmektedir.

7.2. Satıcı sistemi üzerinden gerçekleşen tüm ödeme trafiğinde yüksek güvenlikli SSL/TLS şifreleme protokolleri ve 3D Secure (üç boyutlu güvenli ödeme) doğrulama katmanları uygulanır.

7.3. Alıcı’ya ait kredi kartı numarası, son kullanma tarihi ve güvenlik kodu (CVV/CVC) bilgileri Satıcı veya İkas Teknoloji A.Ş. veri tabanlarında kesinlikle saklanmaz, kaydedilmez ve personelin erişimine açılmaz.

7.4. Gelecekteki alışverişlerde kullanılmak üzere kart saklama hizmeti sunulması halinde; bu işlem cari siparişin tamamlanmasından tamamen ayrı tutulur, önceden seçili olmayan onay kutucuğuyla Alıcı’nın açık rızası alınır ve kart bilgileri yalnızca lisanslı ödeme kuruluşu nezdinde PCI-DSS standartlarına uygun biçimde tokenizasyon yöntemiyle muhafaza edilir. Kart kaydetmeyi kabul etmeyen Alıcı, mevcut siparişini hiçbir kısıtlamaya uğramaksızın tamamlayabilir.

MADDE 8: VERİ GÜVENLİĞİNE İLİŞKİN TEKNİK VE İDARİ TEDBİRLER

Satıcı, KVKK’nın 12. maddesi gereğince kişisel verilerin hukuka aykırı işlenmesini, verilere yetkisiz erişilmesini önlemek ve uygun güvenlik düzeyini temin etmek için aşağıdaki tedbirleri uygulamaktadır:

8.1. İdari Tedbirler:

• Verilere erişim, Satıcı bünyesinde yalnızca görev gereği bilmesi gereken yetkili çalışanlarla sınırlandırılmıştır (rol bazlı yetkilendirme).
• Çalışanlarla veri güvenliği ve gizlilik taahhütnameleri akdedilmiş; mevzuata ve işleme amaçlarına aykırı erişim ve paylaşım yasaklanmıştır.
• Altyapı sağlayıcısı İkas Teknoloji A.Ş. ve kargo firmaları başta olmak üzere tüm veri işleyenlerle KVKK uyumlu veri işleme ve gizlilik sözleşmeleri akdedilmiştir.
• Görev değişikliği veya işten ayrılma hallerinde personelin tüm sistem ve veri erişim yetkileri derhal iptal edilmektedir.

8.2. Teknik Tedbirler:

• Ağ ve sistem güvenliği için güvenlik duvarı (firewall), güncel antivirüs yazılımları ve izinsiz giriş tespit sistemleri kullanılmaktadır.
• Sistem yönetim panellerine erişimde güçlü parola politikaları ve iki aşamalı kimlik doğrulama (2FA) yöntemleri uygulanmaktadır.
• Site üzerindeki kullanıcı hareketleri, yönetici işlem logları ve veri tabanı erişim kayıtları (audit log) tahrifata karşı korumalı ve güvenli şekilde tutulmaktadır.
• Altyapı sağlayıcısı İkas Teknoloji A.Ş. ile koordineli olarak periyodik güvenlik güncellemeleri, zafiyet taramaları ve sızma (penetrasyon) testleri yürütülmekte, tespit edilen riskler ivedilikle giderilmektedir.
• Bir müşterinin hesap veya sipariş bilgilerinin bir başka müşteri tarafından görüntülenmesini engelleyici mantıksal ayrıştırma ve erişim denetimleri devrededir.

8.3. Veri İhlali Bildirim Prosedürü:
İşlenen kişisel verilerin yetkisiz kişilerce hukuka aykırı şekilde elde edildiğinin veya bir veri güvenliği ihlalinin tespiti halinde; Satıcı durumu gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurumu’na bildirir ve etkilenen İlgili Kişilere mevzuata uygun biçimde doğrudan bildirimde bulunur.

MADDE 9: VERİLERİN DOĞRULUĞU, SAKLANMA SÜRESİ VE İMHASI

9.1. Veri Doğruluğu:
Satıcı, sipariş teyidi, fatura ve sevk irsaliyelerinin doğru kişiye iletilmesini temin etmek amacıyla; sipariş aşamasında bildirilen telefon numarası ve e-posta adreslerinin doğruluğuna azami özen gösterir. Alıcı, sisteme girdiği bilgilerin kendisine ait, doğru ve güncel olduğunu taahhüt eder. Hatalı veya başkasına ait iletişim bilgisi girilmesinden kaynaklanabilecek yanlış bildirimlerden Alıcı kusuru oranında sorumludur; Satıcı, yanlış bilgileri düzeltmek için Alıcı’ya gerekli güncelleme kanallarını sağlar.

9.2. Saklama Süreleri:
Kişisel veriler, işleme amaçlarının gerektirdiği süreler ile Türk Ticaret Kanunu, Vergi Usul Kanunu ve Elektronik Ticaret mevzuatı uyarınca öngörülen kanuni zamanaşımı ve saklama süreleri boyunca (sipariş, sözleşme ve muhasebe kayıtları için kural olarak 10 yıl; log kayıtları için ilgili mevzuatta belirlenen süreler) muhafaza edilir.

9.3. İmha (Silme, Yok Etme, Anonimleştirme):
Kişisel verilerin işlenmesini gerektiren hukuki sebeplerin tamamının ortadan kalkması veya kanuni saklama sürelerinin dolması halinde; kişisel veriler Satıcı’nın Kişisel Veri Saklama ve İmha Politikası doğrultusunda re’sen veya İlgili Kişi’nin haklı talebi üzerine ilk periyodik imha döneminde güvenli yöntemlerle silinir, yok edilir veya anonim hale getirilir. İlgili imha işlemleri teknik ve idari kayıt altına alınarak tevsik edilir; teknik altyapıyı sağlayan İkas Teknoloji A.Ş. nezdindeki verilerin de imhası Satıcı tarafından denetlenir ve doğrulanır.

MADDE 10: İLGİLİ KİŞİNİN (ALICI) HAKLARI VE BAŞVURU USULÜ

10.1. KVKK’nın 11. maddesi uyarınca Alıcı;
a) Kişisel verilerinin işlenip işlenmediğini öğrenme,
b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
e) KVKK’nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme
haklarına sahiptir.

10.2. Başvuru Yolu:
İlgili Kişi, yukarıda belirtilen haklarına ilişkin taleplerini Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ hükümlerine uygun olarak;

• Satıcı’nın Toybelen Mah. 1169. Sk. No: 27/1-2 kadım / SAMSUN adresine ıslak imzalı şahsi başvuru veya noter kanalıyla,
• Satıcı sisteminde kayıtlı bulunan teyit edilmiş elektronik posta adresini kullanarak [[email protected]] adresine e-posta göndererek
  iletebilir.

10.3. Başvuruların Sonuçlandırılması:
Satıcı, kimlik doğrulamasını yapmak kaydıyla başvuruda yer alan talepleri, niteliğine göre en kısa sürede ve en geç otuz (30) gün içinde ücretsiz olarak sonuçlandırır. Talebin reddedilmesi halinde gerekçeli karar İlgili Kişi’ye yazılı olarak veya elektronik ortamda bildirilir. İşlemin ayrıca bir maliyet gerektirmesi hâlinde, Kişisel Verileri Koruma Kurulunca belirlenen tarifedeki ücret alınabilir.

MADDE 11: SATICININ VE ALICININ KARŞILIKLI HAK VE SORUMLULUKLARI

11.1. Alıcı’nın Yükümlülükleri:
Alıcı, Sitede oluşturduğu kullanıcı hesabının, şifresinin ve erişim araçlarının güvenliğinden bizzat sorumludur. Hesabın üçüncü kişilere kullandırılması veya hesap bilgilerinin üçüncü kişilerle paylaşılması kesinlikle yasaktır. Alıcı, Sitede sunduğu verilerin hukuka uygun olduğunu, üçüncü kişilerin fikri, sınai veya kişisel veri haklarını ihlal etmediğini kabul ve taahhüt eder.

11.2. Satıcı’nın Güvenlik Hakları:
Satıcı; Site altyapısına, veri tabanlarına, İkas Teknoloji A.Ş. sunucularına yönelik bot saldırıları, tersine mühendislik, veri madenciliği (scraping), yetkisiz sızma veya güvenlik açıklarını suiistimal etme girişimlerini derhal engelleme, ilgili IP ve kullanıcı hesaplarını erişime kapatma, kayıt altına alma ve her türlü hukuki ve cezai takibatı başlatma hakkını saklı tutar.

11.3. Hizmet Sağlayıcı Sorumluluk Sınırı:
Satıcı, İkas Teknoloji A.Ş. ve anlaşmalı ödeme/kargo kuruluşlarının veri güvenliği taahhütlerini periyodik olarak takip ve teyit etmekte olup; Alıcı’nın kendi cihazından, internet servis sağlayıcısından kaynaklanan güvenlik açıkları veya şifresini üçüncü kişilerle paylaşmasından doğan zararlardan Satıcı sorumlu tutulamaz.

MADDE 12: POLİTİKANIN YÜRÜRLÜĞÜ, DEĞİŞİKLİKLER VE BAĞLAYICILIK

12.1. İşbu Politika, Site üzerinde yayımlandığı tarihte yürürlüğe girer. Satıcı, yasal düzenlemelerdeki değişiklikler, yargı/Kurul içtihatları veya teknolojik gereksinimler doğrultusunda Politika hükümlerini tek taraflı olarak güncelleme ve değiştirme hakkına sahiptir.

12.2. Güncellenen Politika metni Sitede yayımlandığı andan itibaren geçerlilik kazanır. Politika’da esasa ilişkin önemli bir değişiklik yapılması halinde, Site ana sayfasında veya kayıtlı iletişim kanalları vasıtasıyla Alıcılara uygun bilgilendirme yapılır.

12.3. Alıcı, Siteyi ziyaret etmekle, üye olmakla veya sipariş adımlarını tamamlamakla işbu Politika hükümlerini okuduğunu, anladığını ve bu ilkeler doğrultusunda yapılan veri işleme süreçleri hakkında usulüne uygun şekilde aydınlatıldığını kabul eder.

İşbu Politika metninin sürüm numarası ve yayım tarihi: Sürüm 1.0 - [.../.../20..]