Açık koşullar.
Güvenli bir başlangıç.

Merchantın talimatıyla işlenen kişisel veriler için rol, güvenlik, alt işleyen, aktarım, denetim ve veri çıkışı yükümlülüklerini belirler.

Bu belgede Şirket ifadesi yukarıda belirtilen tüzel kişiyi ifade eder.

1 Taraflar ve rol ayrımı

1.1. Bu ek, Şirket ile [MERCHANT UNVANI] arasında ana sözleşme kapsamında işlenen kişisel verilere uygulanır. Merchant, satış ve müşteri ilişkilerinin amaç ve vasıtalarını belirlediği işlemlerde veri sorumlusudur. Şirket, bu verileri Merchantın belgelenmiş talimatıyla barındırdığı ve yönettiği ölçüde veri işleyendir.

1.2. Şirketin kendi sözleşme, faturalama, güvenlik ve hukuki yükümlülüklerine ilişkin bağımsız amaçları bakımından veri sorumlusu rolü ayrıca değerlendirilir. Sıfatlar fiilî işlem temelinde belirlenir; bu ekte kullanılan adlandırma hukuki sorumluluğu yapay biçimde değiştirmez. Her iki taraf da kendi rolünün gerektirdiği yükümlülükleri yerine getirir.

2 İşleme konusu ve talimat çizelgesi

2.1. İşleme konusu [MAĞAZA SİPARİŞ DESTEK VE SEÇİLİ MODÜLLER]; süresi [HİZMET SÜRESİ VE KAPANIŞ TAKVİMİ]; ilgili kişi grupları [MÜŞTERİ YETKİLİ ÇALIŞAN DİĞER]; veri kategorileri [GERÇEK VERİ ALANLARI]; amaçları [SOMUT AMAÇLAR] ve veri merkezleri [YERLER] olarak çizelgede gösterilir.

2.2. Her işlem için veri kaynağı, erişen rol, alıcı, saklama süresi, silme yöntemi ve varsa yurt dışı erişim yazılır. Kart verisinin Şirket sisteminden geçtiği bir akış, yalnızca bankanın işlediği beyanıyla gizlenemez. Özel nitelikli veri ancak ayrı kapsam, uygulanabilir işleme şartı ve ek tedbirler belirlenerek işlenebilir.

2.3. Merchant, talimatının hukuka uygunluğunu ve gerekli aydınlatmanın yapılmasını sağlar. Şirket, görünürde hukuka aykırı talimatı gecikmeden bildirir; hukuka aykırılığın sürmesi durumunda ilgili işlemi hukuk ve güvenlik değerlendirmesiyle sınırlandırır. Bir talimatın yerine getirilmesi diğer tarafın bağımsız kanuni sorumluluğunu ortadan kaldırmaz.

3 Amaçla sınırlılık ve gizlilik

3.1. Şirket, Merchant verilerini hizmetin ifası ve kabul edilmiş talimatlar dışında kendi reklamı, veri satışı, ilgisiz profil oluşturma veya üçüncü kişiye ticari veri sağlama amacıyla kullanamaz. Anonim istatistik üretimi, yeniden kimliklendirme riski ve hukuki şartları değerlendirilmeden sınırsız kullanım yetkisi sayılmaz.

3.2. Erişen personel ve alt işleyenler gizlilik yükümlülüğü altında tutulur. Yetki, görev ve süreyle sınırlandırılır; destek erişimi gerekçesi ve kapanışıyla kaydedilir. İşten ayrılma veya görev değişikliğinde erişim gözden geçirilir. Gizlilik yükümlülüğü iş veya hizmet ilişkisinin bitmesiyle kendiliğinden sona ermez.

4 Güvenlik tedbirleri ve sorumluluk

4.1. Taraflar; erişim kontrolü, güçlü kimlik doğrulama, tenant ayrımı, aktarım güvenliği, sır yönetimi, log koruması, yedekleme, zafiyet yönetimi ve güvenli değişiklik tedbirlerini riskle orantılı uygular. Gerçekte uygulanan kontroller, sorumlu ve kanıtları [TEKNİK VE İDARİ TEDBİR ÇİZELGESİ] ile belgelenir.

4.2. Tedbir çizelgesinde uygulamada bulunmayan kontrol veya alınmamış sertifika mevcutmuş gibi gösterilemez. Önemli eksikliklerde kapatma planı, geçici kontrol ve risk kararı belirlenir. Risk kabulü, kişisel veri güvenliği ve ödeme güvenliğine ilişkin emredici yükümlülüklerin kaldırılması sonucunu doğurmaz.

4.3. Üretim verileri geliştirme ve testte gereksiz kullanılmaz. Test verisi mümkün olduğunda sentetik veya geri döndürülemez anonim nitelikte olur. Dosya ve yedeklerin erişimi üretim verilerinden daha gevşek bir güvenlik standardına bırakılamaz.

5 Alt veri işleyenler

5.1. İzin verilen alt işleyenler; unvan, hizmet, ülke, veri kategorisi, erişim biçimi ve aktarım dayanağıyla [ALT İŞLEYEN LİSTESİ] üzerinde gösterilir. Yeni veya değişen alt işleyen için bildirim süresi [SÜRE], itiraz kanalı [KANAL] ve makul itirazın çözümü [USUL] olarak kararlaştırılır.

5.2. Şirket, alt işleyenle en az bu ekteki korumayı sağlayan yükümlülükler kurar ve kendi sözleşmesel sorumluluğunu korur. Alt işleyene yetkisiz ikincil kullanım veya belirsiz alt devir yetkisi verilmez. İtiraz hâlinde teknik alternatif, hizmetin ilgili kısmının sınırlandırılması ve gerekiyorsa sözleşmesel çıkış imkânı değerlendirilir.

6 Yurt içi ve yurt dışı aktarımlar

6.1. Her aktarım için amaç, veri, alıcı ve uygulanabilir şart kaydedilir. Yurt dışı aktarım değerlendirmesine yalnızca veri merkezi değil; uzaktan destek, izleme, yedek, e-posta ve SDK erişimleri de dâhildir. Şirketin yabancı bir hizmet kullanması, tek başına geçerli aktarım mekanizması kurulduğu anlamına gelmez.

6.2. KVKK kapsamında uygun aktarım mekanizması ayrıca tesis edilir. Bu ek, Kurumun yayımladığı resmî standart sözleşmelerin yerine geçmez. Standart sözleşme kullanılacaksa uygun rol modülü seçilir, resmî metin usulüne uygun tamamlanır ve uygulanabilir bildirim yükümlülüğü yerine getirilir. Salt çerez veya pazarlama onayıyla bu gerekliliklerin karşılandığı varsayılamaz.

7 İlgili kişi başvurularında yardım

7.1. Şirket, Merchantın veri sorumlusu olduğu işlemle ilgili başvuruyu gecikmeden [MERCHANT KVKK İRTİBATI] kanalına iletir ve aldığı tarihi kaydeder. Kendi işlemleri bakımından veri sorumlusu olduğu başvuruyu ayrıca sonuçlandırır. Yetkisiz kişi adına silme veya veri aktarımı yapılmaz.

7.2. Arama, erişim kopyası, düzeltme, silme, alıcılara bildirim ve itiraz değerlendirmesi için gereken teknik yardım sağlanır. Yardım süresi [İÇ YANIT HEDEFİ] olarak belirlenir; bu süre kanuni otuz günlük cevap süresini uzatamaz. Başvuru sahibinden otomatik olarak tam kimlik fotokopisi istenmez; riskle orantılı doğrulama uygulanır.

8 Güvenlik olayı ve veri ihlali

8.1. Şirket, Merchant verilerini etkileyen doğrulanmış veya makul şüphe doğuran olayı öğrenince [ACİL İRTİBAT] üzerinden gecikmeden bildirir. Sözleşmesel iç hedef [SÜRE] olarak ayrıca belirlenir. İlk bildirim; öğrenme zamanı, etkilenen sistem, bilinen veri ve kişi grupları, alınan tedbir ve irtibat kişisini içerir; eksik bilgiler sonradan tamamlanır.

8.2. Bildirim kararı için olayın tüm ayrıntılarının kesinleşmesi beklenmez. Taraflar delilleri korur, erişimi sınırlar ve etkileri azaltır. Kurula ve ilgili kişilere yapılacak bildirimlerin sorumlusu fiilî veri sorumlusu rolüne göre belirlenir. İç bildirim zinciri kanuni sürelerin işlemesini durdurmaz; gerekli hâllerde yetmiş iki saatlik süre ayrıca izlenir.

9 Denetim ve uygunluk kanıtı

9.1. Merchant, gerekli ve orantılı güvenlik bilgisini, kontrol kanıtını ve alt işleyen listesini talep edebilir. Denetimin sıklığı, bildirim süresi, kapsamı ve gizliliği [DENETİM USULÜ] ile düzenlenir. Ciddi ihlal veya yetkili makam talebinde olağan takvim riskle orantılı olarak kısaltılır.

9.2. Denetim başka müşterilerin kişisel verilerini, kaynak kodunu veya güvenlik sırlarını gereksiz açığa çıkaramaz. Gerekirse maskelenmiş kayıt, bağımsız rapor ve kontrollü erişim kullanılır. Denetim giderlerinin dağılımı [GİDER ESASI] olarak kabul edilir; kanuni denetim yetkileri kısıtlanmaz.

10 İade silme ve saklama

10.1. Hizmet sonunda Merchant, verilerin [FORMAT] ile iadesini ve/veya silinmesini [GÜVENLİ KANAL] üzerinden talimatlandırır. Tamamlama süresi [SÜRE] olarak belirlenir. Şirketin kanunen saklaması gereken kayıtlar amaç, kapsam ve süre bakımından ayrılır; bunlar başka amaçla kullanılamaz.

10.2. Silme; canlı sistem, kopya, arama dizini, dışa aktarım ve alt işleyenlerde izlenir. Yedek kopyalar onaylı döngüde imha edilir ve olağan kullanıma kapatılır. Geri yükleme yapılırsa önceki silme kararları yeniden uygulanır. Tamamlanma tutanağında kapsam, yöntem, tarih ve varsa yasal saklama istisnası bulunur.

11 İrtibat ve kabul

11.1. Şirket veri koruma irtibatı [ROL VE OPERASYONEL KANAL]; Merchant irtibatı [KİŞİ VE KANAL]; acil vekiller [KİŞİLER] olarak atanır. KEP ve merkez adresi hukuki başvurular için kullanılabilir. Operasyonel kişi değişiklikleri doğrulanabilir biçimde bildirilir.

11.2. İşleme ve alt işleyen çizelgeleri, güvenlik tedbirleri, saklama süreleri ve veri çıkış koşulları bu ekle birlikte kabul edilir. Ek sürümü 2.0; kabul tarihi [TARİH]; taraf temsilcileri [AD SOYAD VE İMZA] olarak kaydedilir.