Veri İşleme Sözleşmesi

1. Taraflar ve bu metnin yeri

Bu Veri İşleme Sözleşmesi ("Sözleşme") aşağıdaki iki taraf arasında geçerlidir:

Sözleşme, Kullanım Koşulları ve Abonelik Sözleşmesi'nin eki ve ayrılmaz parçasıdır. İki metin arasında kişisel verilerin işlenmesiyle ilgili bir çelişki olursa bu Sözleşme uygulanır.

2. Kavramlar

• Alıcı: Satıcı'nın pazaryeri mağazasından veya kendi sitesinden sipariş veren, ürün hakkında soru soran ya da iade talep eden son müşteri.
• Satıcı Verisi: Satıcı'nın bağladığı kanallardan Saystok'a gelen veya Satıcı'nın panele kendisinin girdiği, Alıcılara ve Satıcı'nın ekip kullanıcılarına ait kişisel veriler.
• Kanal: Satıcı'nın Saystok'a bağladığı pazaryeri, e-ticaret sitesi veya e-fatura hesabı.
• Talimat: Satıcı'nın hizmeti kullanma biçimi; bağladığı kanallar, açtığı ayarlar, panelde başlattığı işlemler ve destek@saystok.com adresine yazılı olarak ilettiği istekler.
• Alt işleyen: Saystok'un hizmeti sunarken yararlandığı ve Satıcı Verisine erişebilen başka bir şirket.
• Veri ihlali: Satıcı Verisinin yetkisiz kişilerce ele geçirilmesi, görülmesi, değiştirilmesi, kaybolması veya kullanılamaz hâle gelmesi.

Burada tanımlanmayan kavramlar 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki ("KVKK") anlamıyla kullanılır.

3. Kim hangi sıfatla hareket eder

Alıcı verilerinin hangi amaçla ve hangi kanallar üzerinden işleneceğine Satıcı karar verir. Bu nedenle Satıcı KVKK anlamında veri sorumlusudur. Saystok bu verileri yalnız Satıcı adına ve Satıcı'nın talimatıyla işler; bu ilişkide veri işleyendir.

KVKK'nın 12. maddesine göre veri sorumlusu, verilerini kendi adına işleyen kişiyle birlikte güvenlik tedbirlerinden sorumludur. Bu Sözleşme, bu sorumluluğun taraflar arasında nasıl paylaşıldığını yazılı hâle getirir.

Saystok'un kendi amaçları için işlediği veriler bu Sözleşme'nin konusu değildir: Satıcı'nın hesap, abonelik ve fatura bilgileri, giriş ve güvenlik kayıtları, destek yazışmaları, deneme süresinin kötüye kullanılmasını önlemeye yönelik kayıtlar ve site ziyaretçilerinin çerez tercihleri. Bunlarda Saystok veri sorumlusudur; ayrıntılar Gizlilik Politikası ve Çerez Politikası'nda yer alır.

Pazaryerleri, Satıcı'nın kendi e-ticaret sitesi ve e-fatura hizmetleri Saystok'un alt işleyeni değildir. Satıcı bu taraflarla kendi sözleşmesine sahiptir; Saystok onlara Satıcı'nın verdiği erişim bilgileriyle ve Satıcı'nın talimatıyla bağlanır (bkz. Ek 1, Bölüm C).

4. İşlenen veriler ve ilgili kişiler

Satıcı bir kanalı bağladığında Saystok, o kanalın sipariş, soru ve iade servislerinden aşağıdaki verileri alır. Siparişler, kâr/zarar ve müşteri raporları kanalların geçmiş verileri bir süre sonra paylaşmayı bırakmasından etkilenmesin diye Saystok veritabanında saklanır.

Verileri işlenen kişiler:

• Satıcı'dan alışveriş yapan Alıcılar,
• Satıcı'ya ürün sorusu soran veya iade talep eden kişiler,
• Satıcı'nın e-Arşiv fatura kestiği kişiler,
• Satıcı'nın panele eklediği ekip kullanıcıları (yalnız Satıcı adına tutulan işlem kayıtları bakımından),
• Satıcı'nın destek taleplerine eklediği belgelerde adı geçen diğer kişiler.

Müşteriler ekranında, siparişlerden her Alıcı için sipariş sayısı ve toplam tutar özeti çıkarılır. Bu özet yalnız Satıcı'ya gösterilir ve Saystok tarafından başka bir amaçla kullanılmaz.

Saystok, Alıcıların kart veya banka bilgilerini almaz. Sağlık, din, biyometrik veri gibi özel nitelikli kişisel verileri işlemeyi amaçlamaz; Satıcı soru cevaplarına, notlara ve destek taleplerine bu tür bilgiler yazmamalıdır.

5. İşleme amacı ve talimata bağlılık

Saystok, Satıcı Verisini yalnız şu işler için kullanır:

• siparişleri panelde listelemek ve satılan ürünleri stoktan düşmek,
• müşteri listesi, kâr/zarar ve hakediş raporlarını hazırlamak,
• ürün sorularını ve iade taleplerini göstermek, Satıcı'nın yazdığı cevabı ilgili kanala iletmek,
• kargo etiketi hazırlamak ve Satıcı isterse e-Arşiv fatura kesmek,
• Satıcı'nın kullandığı yapay zekâ asistanı gibi yardımcı özellikleri çalıştırmak,
• Satıcı'nın destek talebini çözmek, hizmetin güvenliğini sağlamak ve hataları gidermek.

Saystok, Satıcı Verisiyle şunları yapmaz:

• kendi ürün ve kampanyaları için Alıcılara ileti göndermek veya onlara reklam göstermek,
• verileri satmak, kiralamak, başka satıcılara ya da reklam şirketlerine vermek,
• farklı satıcıların Alıcılarını birleştirip kişiler hakkında profil çıkarmak,
• verileri yapay zekâ modeli eğitmek için kullanmak.

Saystok, hizmeti işletmek için kimseyi tanımlamayan toplu sayılardan (ör. bir günde işlenen toplam sipariş adedi) yararlanabilir.

Saystok bir talimatın KVKK'ya veya başka bir mevzuata aykırı olduğunu düşünürse bunu Satıcı'ya bildirir ve konu netleşene kadar o talimatı uygulamayabilir. Kanun, Satıcı'nın talimatından farklı bir işlem yapılmasını zorunlu kılarsa Saystok, kanunen yasaklanmadıkça bunu önceden Satıcı'ya bildirir.

6. Satıcının yükümlülükleri

• Alıcıları KVKK'nın 10. maddesine uygun biçimde aydınlatmak ve aydınlatma metninde, verilerin hizmet aldığı yazılım sağlayıcılarıyla paylaşılabileceğini belirtmek,
• Saystok'a yaptırdığı her işlemin KVKK'daki bir hukuki sebebe dayanmasını sağlamak,
• API anahtarlarını yalnız yetkili olduğu kendi hesapları için vermek ve pazaryerlerinin Alıcı verilerinin kullanımına ilişkin kurallarına uymak,
• ekip kullanıcılarını gerektiği kadar yetkiyle (Yönetici, Editör, Görüntüleyici) eklemek ve ayrılan çalışanların erişimini gecikmeden kaldırmak,
• şartları taşıyorsa Veri Sorumluları Sicili'ne (VERBİS) kaydolmak,
• Alıcıların başvurularını yanıtlamak ve gerektiğinde Kişisel Verileri Koruma Kurulu'na ("Kurul") bildirim yapmak,
• Saystok'a gereğinden fazla kişisel veri iletmemek; örneğin destek talebine eklenen ekran görüntülerinde Alıcı bilgilerini mümkün olduğunca kapatmak.

7. Gizlilik

Saystok çalışanları ve Saystok adına çalışanlar, Satıcı Verisini yalnız görevleri gerektirdiğinde ve gerektiği kadar görür. KVKK'nın 12. maddesi uyarınca öğrendikleri kişisel verileri başkasına açıklayamaz ve işleme amacı dışında kullanamazlar; bu yükümlülük görevden ayrıldıktan sonra da devam eder. Saystok, verilere erişen personelini yazılı gizlilik yükümlülüğü altına almakla yükümlüdür.

Saystok destek ekibi Satıcı Verisine yalnız Satıcı'nın açtığı bir talebi çözmek, bir güvenlik olayını incelemek veya yasal bir yükümlülüğü yerine getirmek için bakar. Yönetim paneline erişim görevlere göre ayrılmış rollerle sınırlıdır ve panelde değişiklik yapan her işlem kayıt altına alınır.

Bu maddedeki yükümlülükler Sözleşme sona erdikten sonra da geçerlidir.

8. Güvenlik tedbirleri

Saystok, Satıcı Verisinin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek ve verileri korumak için KVKK'nın 12. maddesinin gerektirdiği güvenlik düzeyini sağlamakla yükümlüdür. Hizmette bugün yerleşik olan teknik tedbirler ve Saystok'un idari yükümlülükleri Ek 2'de sayılmıştır. Bunların başlıcaları şunlardır:

• tüm bağlantıların TLS ile şifrelenmesi,
• pazaryeri API anahtarlarının ve e-fatura giriş bilgilerinin AES-256-GCM ile şifrelenerek saklanması,
• her mağazanın verisinin ayrı tutulması ve bir mağaza kullanıcısının başka bir mağazanın verisine ulaşamaması,
• rollere göre yetkilendirme, iki adımlı doğrulama ve giriş kayıtları.

Saystok bu tedbirleri yeni riskler ve teknik gelişmeler ışığında gözden geçirir ve güvenlik düzeyini düşürecek bir değişiklik yapmaz. İnternet üzerinden çalışan hiçbir sistem tamamen risksiz değildir; Satıcı da kendi şifresinin, cihazlarının ve ekip hesaplarının güvenliğinden sorumludur.

9. Alt işleyenler

Satıcı, bu Sözleşme'yi kabul ederek Ek 1'de sayılan alt işleyenlerin kullanılmasına genel olarak izin verir.

• Saystok her alt işleyene, bu Sözleşme'dekinden daha az koruyucu olmayan veri koruma yükümlülükleri yükler. Alt işleyenin bu yükümlülüklere aykırılığından Satıcı'ya karşı Saystok sorumludur.
• Saystok yeni bir alt işleyen eklemeden veya mevcut birini değiştirmeden en az 15 gün önce Ek 1'i günceller ve durumu Satıcı'nın kayıtlı e-posta adresine bildirir.
• Satıcı bu süre içinde gerekçesini belirterek itiraz edebilir. Saystok itirazı gidermeye çalışır; örneğin ilgili özelliği o Satıcı için kapatır. Çözüm bulunamazsa Satıcı aboneliğini sona erdirebilir; ücret iadesinde Kullanım Koşulları uygulanır.
• Güvenlik veya hizmetin sürmesi için bir sağlayıcının hemen değiştirilmesi gerekirse değişiklik önce yapılır, Satıcı'ya gecikmeden bildirilir ve itiraz hakkı aynı şekilde kullanılabilir.

10. Yurt dışına aktarım

Satıcı Verisi Türkiye'de, İstanbul'daki veri merkezinde bulunan sunucularda tutulur. Veri yalnız aşağıdaki durumlarda yurt dışına çıkar:

• Satıcı bir Trendyol kargo etiketi indirdiğinde, etiket içeriği PDF'e çevrilmek üzere ABD'deki etiket servisine gönderilir,
• Satıcı yapay zekâ asistanını kullandığında, mesajı ve gereken özet bilgiler ABD'deki sağlayıcıya gönderilir; Alıcının adı, adresi ve telefonu bu aktarıma dahil edilmez,
• Satıcı'nın destek yazışmasına kendisinin eklediği bilgiler, e-posta sağlayıcısı aracılığıyla iletilir.

Saystok bu aktarımları KVKK'nın 9. maddesinde sayılan yollardan birine, örneğin Kurul'a bildirilen standart sözleşmeye dayandırmakla yükümlüdür. Satıcı bu aktarımları istemiyorsa asistanı kullanmayarak ve Trendyol etiketlerini doğrudan pazaryeri panelinden alarak önleyebilir.

Satıcı'nın kendi seçtiği yurt dışı kanallarla (ör. Etsy, Shopify) yapılan veri alışverişi Satıcı'nın talimatıyla gerçekleşir ve Satıcı'nın o platformla ilişkisine tabidir.

11. Veri ihlali bildirimi

Saystok, Satıcı Verisini etkileyen bir veri ihlalini öğrendiğinde Satıcı'ya gecikmeden ve her durumda en geç 48 saat içinde, kayıtlı e-posta adresi üzerinden haber verir. Bu süre, Satıcı'nın ihlali Kurul'a 72 saat içinde bildirebilmesine imkân tanıyacak şekilde belirlenmiştir.

Bildirimde o an bilinebildiği ölçüde şunlar yer alır (eksik bilgiler öğrenildikçe tamamlanır):

• ne olduğu, ne zaman olduğu ve ne zaman fark edildiği,
• etkilenen veri grupları ile yaklaşık kişi ve kayıt sayısı,
• olası sonuçları,
• Saystok'un aldığı önlemler ve Satıcı'ya önerdiği adımlar,
• konuyla ilgili irtibat kişisi.

Saystok ihlalin etkisini sınırlamak için gereken önlemleri alır, olayla ilgili kayıtları saklar ve Satıcı'nın Kurul'a ve Alıcılara yapacağı bildirimler için gereken bilgileri sağlar. Kurul'a ve Alıcılara bildirim yükümlülüğü veri sorumlusu olarak Satıcı'dadır; Saystok, kanun zorunlu kılmadıkça Satıcı adına bildirim yapmaz.

Satıcı da kendi tarafında, örneğin şifresinin ele geçirildiğini veya bir API anahtarının sızdığını fark ederse Saystok'a gecikmeden bildirir; Saystok gereken önlemleri almasına yardım eder.

12. Alıcı başvurularına destek

Bir Alıcı KVKK'nın 11. maddesindeki haklarına ilişkin olarak doğrudan Saystok'a başvurursa Saystok başvuruyu kendisi sonuçlandırmaz; başvuruyu en geç 5 iş günü içinde ilgili Satıcı'ya iletir ve başvurana, verilerini işleyen satıcıya yönlendirildiğini bildirir.

Satıcı'nın başvuruları 30 günlük yasal süre içinde yanıtlayabilmesi için Saystok:

• panelde ilgili Alıcının siparişlerini ve iletişim bilgilerini görüntüleme imkânı sunar,
• Satıcı'nın yazılı talimatı üzerine belirli bir Alıcıya ait kayıtları düzeltir veya siler,
• gerektiğinde Satıcı'ya Saystok'ta hangi verilerin bulunduğunu yazılı olarak bildirir.

Veriler kanallardan geldiği için, bir kayıt kanalın kendisinde durduğu sürece sonraki senkronizasyonda yeniden alınabilir. Kalıcı sonuç için Satıcı'nın ilgili pazaryerinde de işlem yapması gerekebilir; Saystok, silinen kaydın yeniden alınmaması için uygun çözümü Satıcı'yla birlikte belirler. Bu destek için ayrıca ücret alınmaz.

13. Bilgi talebi ve denetim

Satıcı, bu Sözleşme'ye uyulduğunu görmek için Saystok'tan yazılı bilgi isteyebilir. Saystok talebi 30 gün içinde yanıtlar ve aldığı tedbirlerin özetini, güncel alt işleyen listesini, Satıcı'nın hesabıyla ilgili yönetim paneli kayıtlarını ve varsa bağımsız denetim raporlarını paylaşır.

Yazılı bilgi yeterli olmazsa ya da Kurul veya bir mahkeme bunu gerektirirse Satıcı, yılda en çok bir kez ve en az 30 gün önceden haber vererek, kendisi veya gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla denetim yapabilir. Denetim çalışma saatlerinde, hizmeti aksatmadan ve diğer satıcıların verilerine erişilmeden yürütülür. Denetimin masrafını Satıcı karşılar; denetimde Saystok'un bu Sözleşme'ye önemli bir aykırılığı ortaya çıkarsa Saystok kendi masraflarını Satıcı'ya yansıtmaz.

Kurul'un taraflardan biri nezdinde yapacağı incelemelerde diğer taraf gereken bilgi ve belgeyi sağlayarak destek olur. Bir mahkeme veya kamu kurumu Satıcı Verisini doğrudan Saystok'tan isterse Saystok talebin dayanağını kontrol eder, yalnız gereken veriyi verir ve kanunen yasaklanmadıkça Satıcı'ya haber verir.

14. Süre, sona erme, iade ve silme

Sözleşme, Satıcı'nın Saystok hesabı açık kaldığı sürece yürürlüktedir. Satıcı Verisi Saystok'ta bulunduğu sürece Saystok'un bu Sözleşme'deki yükümlülükleri devam eder.

• Abonelik veya deneme bittiğinde: panel kilitlenir, veriler kendiliğinden silinmez. Satıcı aboneliğini yeniden başlatırsa kaldığı yerden devam eder. Saystok ileride uzun süre kullanılmayan hesaplar için bir saklama süresi belirlerse bunu yürürlüğe girmeden en az 30 gün önce Satıcı'ya e-postayla bildirir.
• Bir kanalın bağlantısı kaldırıldığında: o kanala ait kayıtlı API anahtarları silinir; daha önce alınmış siparişler raporlarda kullanılmaya devam eder. Bunların da silinmesini isteyen Satıcı yazılı talepte bulunur.
• Hesap silindiğinde: tek kullanıcılı mağazalarda mobil uygulamadaki "Hesabı kalıcı sil" adımıyla siparişler, müşteri ve fatura kayıtları, ürünler, bildirim kayıtları, bağlantı anahtarları ve destek talepleri kalıcı olarak silinir. Sunucuda ayrı dosya olarak duran destek ekleri ve ürün görselleri en geç 30 gün içinde temizlenir. Birden çok kullanıcılı mağazaların tamamen silinmesi için destek@saystok.com adresine yazılır.
• Yazılı silme talebinde: Saystok, Satıcı Verisini talebi aldıktan sonra en geç 30 gün içinde siler ve silindiğini yazılı olarak teyit eder.
• Verilerin iadesi: Satıcı silmeden önce isterse Saystok, sipariş ve müşteri kayıtlarını yaygın bir dosya biçiminde (CSV veya JSON) talepten itibaren 30 gün içinde teslim eder. Bu verilerin asıl kaynağı kanallar olduğundan Satıcı onlara kanalların kendi panellerinden de ulaşabilir.

Yedeklerde bulunabilecek kopyalar erişime kapalı tutulur, yalnız geri yükleme amacıyla kullanılır ve yedekleme döngüsü tamamlandığında silinir. Saystok'un kendi adına saklamak zorunda olduğu kayıtlar (ör. Satıcı'ya kestiği abonelik faturaları, kötüye kullanımı önleme kayıtları) Gizlilik Politikası'na tabidir ve Alıcı verisi içermez.

15. Sorumluluk

• Taraflardan her biri, bu Sözleşme'ye ve KVKK'ya kendi aykırılığından doğan zararlardan sorumludur.
• Saystok'un talimat dışına çıkması veya bu Sözleşme'deki güvenlik yükümlülüklerini yerine getirmemesinden doğan zararlarda Saystok'un sorumluluğu, Kullanım Koşulları'ndaki sınırla belirlenir. Bu sınır kast, ağır ihmal ve kanunen sınırlanamayan hâllerde uygulanmaz.
• Satıcı'nın hukuka aykırı talimatı, Alıcıları aydınlatmaması veya hukuki sebep olmadan veri işletmesi, pazaryeri kurallarına aykırı kullanımı ya da kendi hesabının güvenliğini ihmal etmesi nedeniyle Saystok'a yöneltilen talepleri ve idari para cezalarını Satıcı karşılar.
• KVKK'nın üçüncü kişilere karşı öngördüğü müşterek sorumluluk saklıdır; taraflar birbirlerine kusurları oranında başvurur.

16. Yürürlük, kabul ve değişiklikler

Satıcı, Saystok'a kayıt olurken Kullanım Koşulları'nı onayladığında bu Sözleşme'yi de kabul etmiş olur; ayrıca imza gerekmez. Sözleşme, kaydın tamamlandığı anda yürürlüğe girer. İmzalı bir nüsha isteyen Satıcı bunu destek@saystok.com adresinden talep edebilir.

Saystok bu Sözleşme'yi mevzuattaki veya hizmetteki değişikliklere göre güncelleyebilir. Önemli değişiklikler yürürlüğe girmeden en az 15 gün önce e-posta veya panel bildirimiyle duyurulur; alt işleyen değişikliklerinde 9. madde uygulanır. Güncel metin her zaman saystok.com/veri-isleme-sozlesmesi adresindedir.

Bir hükmün geçersiz sayılması diğer hükümleri etkilemez. Uygulanacak hukuk ve yetkili mahkeme konusunda Kullanım Koşulları geçerlidir.

17. İletişim

Bu Sözleşme, alt işleyenler veya bir veri ihlali bildirimi için bize aşağıdaki adresten ulaşabilirsiniz. Konu satırına "KVKK" yazmanız talebinizin hızla doğru kişiye ulaşmasını sağlar. Alıcılar ve diğer ilgili kişiler KVKK başvuru sayfasını kullanabilir.