Veri İşleme Sözleşmesi

1. Taraflar ve kapsam

Bu Veri İşleme Sözleşmesi ("Sözleşme"), Rommerce OS üzerinde bir organizasyon açan satıcı (Veri Sorumlusu) ile Piemsoft Yazılım ve Eğitim San.Tic.Paz.Ltd.Şti, 7281195865, Vatan Mahallesi 230.Cad No:101 Merkez/Isparta (Veri İşleyen) arasındaki Kullanım Koşulları metninin ayrılmaz bir parçasıdır. Veri İşleyen'in Veri Sorumlusu adına kişisel veri işlediği her durumda uygulanır ve veri koruma konusunda Kullanım Koşulları ile çeliştiği hallerde bu Sözleşme öncelikli olarak uygulanır.

Veri Sorumlusu'nun 6698 sayılı Kişisel Verilerin Korunması Kanunu'na (KVKK) tabi olduğu hallerde, Veri Sorumlusu KVKK anlamında "veri sorumlusu", Veri İşleyen ise "veri işleyen" sıfatını taşır ve bu Sözleşme aynı zamanda aralarındaki yazılı düzenleme işlevini görür.

2. Neler işlenir

• Konu ve amaç: Hizmetin sunulması - Veri Sorumlusu'nun satış kanallarından siparişlerin ve iadelerin içe aktarılması, stok rezervasyonu, gönderilerin oluşturulması, fatura ve iade faturası talep edilmesi, destek taleplerinin ele alınması, ödemelerin mutabakatı ve raporların üretilmesi.
• Süre: Veri Sorumlusu'nun Hizmet üzerinde bir organizasyonu bulunduğu sürece.
• İlgili kişiler: Veri Sorumlusu'nun müşterileri ve teslimatlarının alıcıları; destek formu aracılığıyla Veri Sorumlusu'na yazan kişiler.
• Veri kategorileri: ad, e-posta adresi, telefon numarası, fatura ve teslimat adresi, alıcının işletme olduğu hallerde şirket unvanı ve vergi numarası, sipariş içeriği ve tutarı, ödeme yöntemi ve durumu (kart numaraları hiçbir zaman), fatura ve iade faturası verileri, gönderi ve takip verileri, iade nedenleri, destek mesajları ve Veri Sorumlusu'nun içe aktardığı banka ekstresi satırlarında görünen ödeyen adları.
• Özel nitelikli kişisel veriler: Hizmet bunların hiçbirini gerektirmez ve Veri Sorumlusu bu tür verileri girmemeyi kabul eder.

3. Veri İşleyen'in yükümlülükleri

• Talimatlar. Veri İşleyen, verileri yalnızca Veri Sorumlusu'nun belgelenmiş talimatları doğrultusunda işler. Hizmetin yapılandırılması - bir sağlayıcının bağlanması, bir senkronizasyonun etkinleştirilmesi, bir düğmeye basılması - bir talimattır. Veri İşleyen, bir talimatın veri koruma mevzuatını ihlal ettiği kanaatindeyse bunu Veri Sorumlusu'na bildirir.
• Gizlilik. Verilere erişmeye yetkili kişiler gizlilik yükümlülüğü altındadır ve erişim, Hizmetin işletilmesi ve desteklenmesi için gerekenle sınırlıdır.
• Başka amaçla kullanmama. Veri İşleyen verileri satmaz, kendi pazarlama faaliyetleri için kullanmaz ve yapay zekâ modellerini eğitmek için kullanmaz.
• Yardım. Veri İşleyen, ilgili kişi başvurularının yanıtlanmasında Veri Sorumlusu'na yardımcı olur (Hizmet, Veri Sorumlusu'nun tek bir müşterinin bilgilerini bulmasına, düzeltmesine ve silmesine olanak tanır) ve Veri Sorumlusu'nun ihtiyaç duyduğu hallerde etki değerlendirmelerinde ve yetkili makamlarla yapılan istişarelerde destek verir.
• Doğrudan alınan başvurular. Bir ilgili kişi, Veri Sorumlusu adına tutulan verilerle ilgili olarak Veri İşleyen'e yazarsa, Veri İşleyen başvuruyu Veri Sorumlusu'na iletir ve kendi başına yanıtlamaz.

4. Güvenlik önlemleri

Veri İşleyen asgari olarak şunları sağlar:

• sıkı organizasyon (tenant) izolasyonu - her kayıt tek bir organizasyona aittir ve her sorgu o organizasyonla sınırlandırılır; bu, otomatik testlerle doğrulanır;
• entegrasyon kimlik bilgilerinin, webhook gizli anahtarlarının ve iki faktörlü doğrulama anahtarlarının şifrelenmiş olarak saklanması; özetlenmiş (hash) parolalar; tüm trafik için HTTPS;
• her organizasyon içinde rol tabanlı erişim kontrolü, iki faktörlü kimlik doğrulama, isteğe bağlı IP izin listeleri, oturum ve API token'ı iptali;
• Veri Sorumlusu'nun kendi yöneticilerinin erişebildiği, kritik değişikliklere ilişkin bir denetim kaydı;
• gelen webhook'ların imza doğrulaması; herkese açık uç noktalarda istek sınırlaması (rate limiting);
• yüklenen ürün fotoğraflarından konum ve cihaz üst verilerinin kaldırılması;
• eski entegrasyon kimlik bilgilerinin yenilenmesi için hatırlatmalar; derleme hattında bağımlılık ve gizli anahtar taraması;
• geri yükleme prosedürleri test edilmiş düzenli yedeklemeler.

5. Alt veri işleyenler

Veri Sorumlusu, Veri İşleyen'in, bu Sözleşme ile aynı veri koruma yükümlülüklerini getiren bir sözleşme kapsamında alt veri işleyenler kullanmasına genel yetki verir. Veri İşleyen bunlardan sorumlu olmaya devam eder. Veri Sorumlusu'nun müşteri verilerini işleyebilecek mevcut alt veri işleyenler:

• Barındırma ve veritabanı sağlayıcısı - uygulamanın ve yedeklerinin saklanması ve sunulması.
• E-posta gönderim sağlayıcısı - destek talebi yanıtlarının ve bildirimlerin gönderilmesi.

Aşağıdaki sağlayıcılar Hizmet tarafından kullanılır ancak Veri Sorumlusu'nun müşteri verilerini almaz: ödeme sağlayıcıları Stripe ve iyzico (yalnızca Veri Sorumlusu'nun kendi aboneliği), yapay zekâ destekli listeleme özelliklerinin arkasındaki dil modeli sağlayıcısı (yalnızca ürün metni) ve remove.bg (yalnızca ürün fotoğrafları).

Veri İşleyen, müşteri verileri için yeni bir alt veri işleyeni en az on dört gün önceden bu sayfada duyurur ve hesap sahiplerine bildirir. Veri Sorumlusu, makul veri koruma gerekçeleriyle itiraz edebilir; bir çözüm bulunamazsa Veri Sorumlusu Hizmeti feshedebilir.

Alt veri işleyen olmayanlar: Veri Sorumlusu'nun bağladığı pazaryerleri, web mağazaları, kargo firmaları, faturalama hizmetleri ve bankalar. Bunları Veri Sorumlusu seçmiştir ve her biriyle kendi sözleşmesi vardır; Hizmet, verileri bunlara Veri Sorumlusu'nun talimatıyla gönderir.

6. Yurt dışına aktarımlar

Müşteri verileri Avrupa Birliği'nde saklanır. Bir alt veri işleyen bu verileri AEA dışında işlerse, Veri İşleyen bir yeterlilik kararının veya Avrupa Komisyonu'nun Standart Sözleşme Maddeleri'nin uygulanmasını sağlar; KVKK'ya tabi veriler bakımından ise KVKK md. 9'da düzenlenen yurt dışına aktarım şartları uygulanır.

7. Kişisel veri ihlalleri

Veri İşleyen, Veri Sorumlusu'nun verilerini etkileyen bir kişisel veri ihlalinden haberdar olduktan sonra gecikmeksizin Veri Sorumlusu'nu bilgilendirir ve Veri Sorumlusu'nun kendi bildirimleri için ihtiyaç duyduğu bilgileri sağlar (GDPR md. 33-34; KVKK md. 12): ne olduğu, hangi verilerin ve yaklaşık olarak kaç kişinin etkilendiği, muhtemel sonuçlar ve alınan önlemler.

8. Silme ve iade

Sözleşme süresince Veri Sorumlusu, verilerini dışa aktarabilir ve tek tek müşterilerin bilgilerini Hizmet içinden silebilir. Organizasyon kapatıldığında Veri İşleyen, kanunen saklanması gerekmedikçe, Veri Sorumlusu'nun kişisel verilerini siler veya geri döndürülemez biçimde anonim hale getirir; yedeklerdeki veriler de yedeklerin süresi doldukça silinir.

9. Denetimler

Veri İşleyen, bu Sözleşme'ye uyumu kanıtlamak için gereken bilgileri sunar ve makul yazılı soru formlarını yanıtlar. Bunun yeterli olmadığı hallerde Veri Sorumlusu, otuz gün önceden bildirimde bulunarak, mesai saatleri içinde, gizlilik yükümlülüğü altında ve diğer müşterilerin verilerine erişmeksizin yılda bir kez denetim yapabilir.

10. Sorumluluk ve süre

Bu Sözleşme kapsamındaki sorumluluk, ilgili kişilerin haklarını veya denetim makamlarının yetkilerini kısıtlamaksızın, Kullanım Koşulları'ndaki sınırlara tabidir. Sözleşme, Veri İşleyen'in Veri Sorumlusu'nun kişisel verilerini silmesiyle sona erer.

11. İletişim

Veri İşleyen'in veri koruma iletişim adresi: info@piemsoft.com.