Gizlilik Politikası ve KVKK Aydınlatma Metni

1. Biz kimiz

Rommerce OS, çok kanallı bir e-ticaret operasyon platformudur: satıcı; web mağazalarını, pazaryerlerini, kargo firmalarını ve faturalama sağlayıcılarını bağlar ve ürünlerini, stoklarını, siparişlerini, gönderilerini, faturalarını ve kârlılığını tek bir yerden yönetir. Hizmet, kayıtlı merkezi Vatan Mahallesi 230.Cad No:101 Merkez/Isparta adresinde bulunan Piemsoft Yazılım ve Eğitim San.Tic.Paz.Ltd.Şti, 7281195865 ("biz") tarafından işletilmektedir.

Bu politika veya kişisel verileriniz hakkındaki her türlü sorunuz için info@piemsoft.com adresine yazabilirsiniz.

2. İki rol: veri sorumlusu ve veri işleyen

Hangi kuralların geçerli olduğu, verinin kime ait olduğuna bağlıdır:

• Platformu kullanan kişilerin, yani satıcıların, ekip üyelerinin, bu web sitesini ziyaret edenlerin ve bizimle iletişime geçenlerin verileri bakımından veri sorumlusuyuz. Bu politika söz konusu işleme faaliyetlerini açıklar.
• Satıcıların kendi müşterileri hakkında platforma aktardığı veriler, yani adlar, teslimat adresleri, telefon numaraları, e-posta adresleri, siparişler, faturalar, gönderiler ve iadeler bakımından veri işleyeniz. Bu verilerin veri sorumlusu satıcıdır; verilerin neden ve nasıl kullanılacağına o karar verir. Biz bu verileri yalnızca satıcının talimatları doğrultusunda ve Veri İşleme Sözleşmesi kapsamında işleriz. Rommerce OS kullanan bir mağazadan alışveriş yaptıysanız lütfen önce o mağazayla iletişime geçin; talebinizi yanıtlayabilecek olan odur ve biz de bu konuda kendisine yardımcı oluruz.

3. Hangi verileri topluyoruz

Hesap ve ekip verileri

• ad, e-posta adresi, parola (yalnızca tek yönlü özet (hash) olarak saklanır), tercih edilen dil;
• bağlı olduğunuz organizasyon, bu organizasyondaki rolünüz ve yetkileriniz, gönderdiğiniz veya aldığınız davetler;
• şifrelenmiş olarak saklanan iki faktörlü kimlik doğrulama anahtarları ve kurtarma kodları;
• satıcının şirket bilgileri: ticaret unvanı, vergi kimlik numarası, adres, saat dilimi ve para birimi.

Güvenlik ve kullanım kayıtları

• oturum açma işlemlerine ve güvenlik açısından önem taşıyan işlemlere ilişkin IP adresi, tarayıcı kullanıcı aracısı (user agent) bilgisi ve zaman;
• bir organizasyondaki kritik değişikliklerin (kimin, neyi, ne zaman değiştirdiği) denetim kaydı; bu kaydı organizasyonun kendi yöneticileri okuyabilir;
• oturumunuzun açık kalması için gereken oturum kayıtları.

Faturalandırma verileri

• abone olduğunuz plan, planın durumu, faturalar ve ödeme olayları;
• kart bilgileri, ödeme sağlayıcısının (Stripe veya iyzico) kendi barındırdığı sayfada girilir. Kart numaranızın tamamını hiçbir zaman almayız ve saklamayız.

Entegrasyon kimlik bilgileri

• satıcının bağladığı pazaryerleri, web mağazaları, kargo firmaları ve faturalama sağlayıcılarına ait API anahtarları, token'lar ve webhook gizli anahtarları. Bunlar şifrelenmiş olarak saklanır, kaydedildikten sonra bir daha gösterilmez ve hiçbir zaman loglara yazılmaz.

Destek ve iletişim

• bizimle iletişime geçtiğinizde veya destek talebi açtığınızda ilettiğiniz ad, e-posta adresi ve mesajlar.

Toplamadığımız veriler

• Bu web sitesinde ve uygulamada reklam çerezleri, üçüncü taraf analitik araçları veya izleme pikselleri kullanmıyoruz.
• Özel nitelikli kişisel verileri (sağlık, inanç, biyometrik veriler) bilerek toplamıyoruz ve hizmet çocuklara yönelik değildir.
• Ürün fotoğraflarına gömülü konum ve cihaz üst verileri (EXIF, GPS), fotoğraf yüklendiğinde otomatik olarak silinir; çünkü bu fotoğraflar satış kanallarında yayımlanır.

4. Verileri hangi amaçlarla ve hangi hukuki sebebe dayanarak kullanıyoruz

• Hizmetin sunulması - hesabınızın oluşturulması, senkronizasyonların çalıştırılması, verilerinizin size gösterilmesi - sizinle aramızdaki sözleşmenin ifası için gereklidir (GDPR md. 6(1)(b); KVKK md. 5/2-c).
• Faturalandırma, muhasebe ve vergi kayıtları, kanun gerektirdiği için tutulur (GDPR md. 6(1)(c); KVKK md. 5/2-ç).
• Güvenlik - denetim kayıtları, oturum açma kayıtları, kötüye kullanımın önlenmesi, IP izin listeleri - platformu ve platformdaki organizasyonları güvende tutmaya yönelik meşru menfaatimize dayanır (GDPR md. 6(1)(f); KVKK md. 5/2-f).
• Hizmet mesajları - davetler, ödeme hatırlatmaları, sizin etkinleştirdiğiniz uyarılar - sözleşmenin bir parçasıdır. Açık rızanız olmadan pazarlama e-postası göndermeyiz ve bu rızayı dilediğiniz zaman geri alabilirsiniz.

Hakkınızda hukuki sonuç doğuran kararları yalnızca otomatik yollarla almıyoruz. Yeniden fiyatlandırma ve otomasyon özellikleri, satıcının tanımladığı kurallara göre satıcının ürün fiyatları ve siparişleri üzerinde işlem yapar; kişilerin profilini çıkarmaz.

5. Veriler kimlere aktarılır

Kişisel verileri yalnızca hizmeti yürütmek için bunlara ihtiyaç duyanlarla paylaşırız:

• Altyapı sağlayıcıları - barındırma, veritabanı, yedekleme ve e-posta gönderimi.
• Ödeme sağlayıcıları - abonelik ödemeleri için Stripe ve iyzico.
• Yapay zekâ özellikleri - satıcı bir kategori, açıklama, çeviri veya özellik önerisi istediğinde ürünün metni bir dil modeli sağlayıcısına gönderilir; satıcı arka plan kaldırma istediğinde ürün fotoğrafı remove.bg hizmetine gönderilir. Bu özellikler müşteri verileri üzerinde değil, ürün verileri üzerinde çalışır ve yalnızca satıcı tıkladığında devreye girer.
• Satıcının bağladığı sağlayıcılar - pazaryerleri, web mağazaları, kargo firmaları ve faturalama hizmetleri (örneğin eMAG, Trendyol, Shopify, WooCommerce, FAN Courier, Sameday, SmartBill). Veriler, satıcı bu yönde talimat verdiği için ve satıcının ilgili sağlayıcıyla kendi sözleşmesi kapsamında bu sağlayıcılara aktarılır.
• Kanunun bizi yükümlü kıldığı hallerde yetkili kurum ve kuruluşlar.

Alt veri işleyenlerimizin güncel listesi Veri İşleme Sözleşmesi içinde yer alır. Kişisel verileri satmıyoruz ve başkalarının pazarlama faaliyetleri için paylaşmıyoruz.

6. AEA dışına ve Türkiye dışına aktarımlar

Birincil veri depolama alanımız Avrupa Birliği'ndedir. Bazı sağlayıcılar (örneğin ödeme veya yapay zekâ sağlayıcıları) verileri başka ülkelerde işleyebilir. Bu durumda bir yeterlilik kararına veya Avrupa Komisyonu'nun Standart Sözleşme Maddeleri'ne, KVKK'ya tabi veriler bakımından ise KVKK md. 9'da düzenlenen yurt dışına aktarım şartlarına dayanırız.

7. Verileri ne kadar süre saklıyoruz

• Hesap verileri - hesap var olduğu sürece. Bir organizasyon kapatıldığında, kanunen saklamamız gerekenler dışındaki verileri silinir veya geri döndürülemez biçimde anonim hale getirilir.
• Faturalandırma ve muhasebe kayıtları - yürürlükteki vergi ve muhasebe mevzuatının gerektirdiği süre boyunca.
• Denetim ve güvenlik kayıtları - olayları incelemek ve uyumu kanıtlamak için gerekli olduğu sürece.
• Satıcılar adına tutulan müşteri verileri - satıcı bunları platformda tuttuğu sürece. Satıcı, kendi muhasebesi için gereken sipariş kaydını koruyarak tek bir müşterinin kişisel bilgilerini silebilir.
• Yedekler - dönüşümlü bir takvime göre üzerine yazılır; canlı sistemden silinen veriler, yedeklerin süresi doldukça yedeklerden de kaybolur.

8. Verileri nasıl koruyoruz

• her kayıt tek bir organizasyona aittir ve her sorgu o organizasyonla sınırlandırılır; böylece bir satıcı hiçbir zaman başka bir satıcının verilerini okuyamaz;
• entegrasyon kimlik bilgileri ve iki faktörlü doğrulama anahtarları şifrelenmiş olarak saklanır; parolalar özetlenir (hash);
• tüm trafik HTTPS üzerinden sunulur;
• platform yöneticileri için zorunlu, satıcılar için kullanılabilir olan iki faktörlü kimlik doğrulama; isteğe bağlı IP izin listeleri; oturum ve token iptali;
• her organizasyon içinde rol tabanlı yetkiler ve kritik değişikliklerin denetim kaydı;
• gelen webhook'lar yalnızca geçerli bir imzayla kabul edilir.

Haklarınızı riske atması muhtemel bir kişisel veri ihlali yaşanırsa, yetkili kurumu ve etkilenen kişileri kanunun gerektirdiği şekilde, etkilenen satıcıları ise gecikmeksizin bilgilendiririz.

9. Haklarınız

GDPR kapsamında verilerinize erişme, verilerinizin düzeltilmesini veya silinmesini isteme, işlenmesini kısıtlama veya işlenmesine itiraz etme, verilerinizi taşınabilir bir biçimde alma ve işlemenin rızaya dayandığı hallerde rızanızı geri alma hakkına sahipsiniz. KVKK md. 11 kapsamındaki haklar uyarınca ayrıca verilerinizin işlenip işlenmediğini ve yurt içinde veya yurt dışında kimlere aktarıldığını öğrenme ve hukuka aykırı işleme nedeniyle uğradığınız zararın giderilmesini talep etme hakkınız vardır.

Bu haklardan herhangi birini kullanmak için info@piemsoft.com adresine yazın. Bir ay içinde (KVKK kapsamındaki başvurularda otuz gün içinde) ve ücretsiz olarak yanıt veririz. Öncesinde kimliğinizi doğrulamanızı isteyebiliriz.

Ayrıca bir denetim makamına şikâyette bulunma hakkınız vardır: Romanya'da Romanya Ulusal Kişisel Veri İşleme Denetim Kurumu (ANSPDCP, dataprotection.ro); Türkiye'de Kişisel Verileri Koruma Kurumu (KVKK, kvkk.gov.tr); veya yaşadığınız AB ülkesinin makamı.

10. Çerezler

Yalnızca oturum açmanız ve sitenin güvenliği için gerekli olan çerezleri kullanıyoruz. Ayrıntılar Çerez Politikası sayfamızda yer alır.

11. Bu politikadaki değişiklikler

Bu politikayı değiştirdiğimizde sayfanın üst kısmındaki tarihi güncelleriz. Bir değişiklik verilerinizi kullanma biçimimizi esaslı şekilde etkiliyorsa, değişiklik yürürlüğe girmeden önce hesap sahiplerini e-posta ile veya uygulama içinden bilgilendiririz.