Ek-1: Veri İşleme Sözleşmesi

Bu sözleşme, GoBayi Hizmet ve Abonelik Sözleşmesi'nin ekidir. Abone verileri içindeki kişisel verilerde Abone, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) anlamında veri sorumlusu, GoBayi ise veri işleyendir.

GoBayi, kişisel verileri yalnızca portal hizmetini vermek için ve abonelik sözleşmesi süresince işler. Sözleşme sona erdiğinde 11. maddeye göre silme işlemi tamamlanıncaya kadar bu sözleşme geçerli kalır.

Veri sahipleri: Abone'nin yöneticileri ve çalışanları; Abone'nin bayileri (gerçek kişi tacirler) ile bayilerin yetkilileri ve çalışanları.

• Kimlik: ad soyad; şahıs işletmesi bayilerde vergi kimlik numarası olarak T.C. kimlik numarası.
• İletişim: e-posta adresi, telefon, işletme ve teslimat adresi.
• Müşteri işlem: siparişler, fiyat grubu, cari hesap hareketleri, faturalar, tahsilatlar.
• İşlem güvenliği: giriş kayıtları, IP adresi, işlem ve değişiklik kayıtları.

Özel nitelikli kişisel veri işlenmez. Abone, portala bu tür veri yüklememeyi taahhüt eder.

GoBayi kişisel verileri yalnızca Abone'nin talimatıyla işler. Abone'nin ve kullanıcılarının portalda yaptığı işlemler talimat sayılır. GoBayi, bir talimatın KVKK'ya aykırı olduğunu düşünürse bunu Abone'ye bildirir.

GoBayi kişisel verileri kendi amaçları için kullanmaz, satmaz ve reklam amacıyla işlemez.

GoBayi, KVKK m.12 uyarınca şu teknik ve idari tedbirleri uygular:

• Tüm bağlantılar TLS (https) ile şifrelenir.
• Her abonenin verisi veritabanında satır düzeyi erişim kurallarıyla diğer abonelerden ayrılır; kullanıcılar yalnızca rollerinin izin verdiği verilere erişir.
• Kullanıcı şifreleri geri döndürülemez biçimde (hash) saklanır; ödeme kuruluşu anahtarları AES-256 ile şifrelenir.
• GoBayi personelinin yönetim paneline erişimi iki adımlı doğrulama gerektirir; yetki ve kayıt değişiklikleri işlem kayıtlarına yazılır.
• Hız sınırı ve otomatik kötüye kullanım denetimleri uygulanır.
• Veriler düzenli olarak yedeklenir; personel gizlilik yükümlülüğü altındadır ve yalnızca gerektiği ölçüde erişir.

Abone, GoBayi'nin hizmeti vermek için aşağıdaki alt veri işleyenleri kullanmasına onay verir:

• Supabase Inc. — veritabanı, kimlik doğrulama ve dosya depolama (sunucular: Almanya, Frankfurt).
• Vercel Inc. — uygulama barındırma ve içerik dağıtımı (ABD ve küresel ağ).
• Resend (Plus Five Five, Inc.) — e-posta gönderimi (ABD).

GoBayi alt veri işleyenlerle bu sözleşmedekilerden az olmayan koruma yükümlülükleri içeren sözleşmeler yapar. Yeni bir alt veri işleyen eklemeden en az 30 gün önce Abone'ye bildirir. Haklı gerekçeyle itiraz eden Abone, kalan süreye düşen ücretin iadesiyle sözleşmeyi feshedebilir.

Abone kartla tahsilat için kendi ödeme kuruluşu hesabını bağlarsa, sipariş ve alıcı bilgileri Abone'nin talimatıyla o ödeme kuruluşuna iletilir. Bu ödeme kuruluşu Abone'nin kendi hizmet sağlayıcısıdır.

Bu sözleşmenin 6. maddesinde sayılan alt veri işleyenlerin sunucuları yurt dışında bulunduğundan kişisel veriler yurt dışına aktarılır. Taraflar bu aktarımın KVKK m.9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun yapılmasını sağlar. GoBayi, alt veri işleyenlerle Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeleri imzalar ve bunları kanuni süre içinde Kurum'a bildirir.

GoBayi, Abone verilerini etkileyen bir veri ihlalini öğrendiğinde Abone'ye gecikmeksizin ve en geç 24 saat içinde bildirir. Bildirimde, o an bilinen ölçüde, ihlalin niteliği, etkilenen veri ve kişi grupları, olası sonuçları ve alınan tedbirler yer alır. Abone'nin Kurum'a ve veri sahiplerine bildirim yükümlülüğünü yerine getirmesine yardımcı olur.

GoBayi'ye doğrudan gelen ve Abone verileriyle ilgili başvuruları GoBayi, yanıtlamadan Abone'ye iletir. Portaldaki dışa aktarma, düzeltme, pasifleştirme ve silme işlevleri Abone'nin başvuruları yanıtlamasına yardımcı olur; gerekirse GoBayi ek destek verir.

Abone, bu sözleşmeye uyumu denetlemek için GoBayi'den yılda bir kez, makul bir süre önceden bildirerek bilgi ve belge isteyebilir. Yerinde denetim, tarihi birlikte belirlenerek ve masrafı Abone'ye ait olmak üzere yapılır; diğer abonelerin verilerine ve GoBayi'nin ticari sırlarına erişim sağlamaz.

Abonelik sona erdiğinde GoBayi, Abone'nin 30 gün içindeki talebi üzerine verileri teslim eder ve sona ermeden itibaren 90 gün içinde kişisel verileri siler veya anonim hale getirir. Yedeklerdeki kopyalar yedekleme döngüsü içinde silinir. Abone isterse silme işlemi yazılı olarak teyit edilir.

Sorumluluk sınırları için abonelik sözleşmesinin 13. maddesi uygulanır. KVKK m.12/2 uyarınca tarafların güvenlik tedbirlerinden müştereken sorumlu olmasına ilişkin hüküm saklıdır.