Veri işleme sözleşmesi

1. Roller ve kapsam

Satıcı, WhatCart’a girdiği veya WhatCart üzerinden aldığı; alıcılarının, sipariş alıcılarının ve kendisine yazan kişilerin kişisel verilerinin (“alıcı verileri”) veri sorumlusudur. WhatCart’ı işleten Bit Techs (18 Health Street, Ain Shams, Cairo 11728, Mısır), alıcı verilerini yalnızca hizmeti sunmak için satıcının veri işleyeni (hizmet sağlayıcısı) olarak işler. Satıcı hesabı verilerinde ise, Gizlilik Politikası https://whatcart.net/tr/privacy uyarınca veri sorumlusu biziz.

Bu sözleşme, alıcı verilerini satıcı adına işlediğimiz sürece geçerlidir: satıcının kaydından, alıcı verilerinin 11. bölüme göre silinmesine kadar.

2. Talimatla işleme

Alıcı verilerini yalnızca satıcının belgelenmiş talimatlarıyla işleriz: Hizmet Koşulları, bu sözleşme ve satıcının hizmeti kullanımı ile ayarları. Başka talimatlara yalnızca kanun gerektirdiğinde uyarız ve kanun yasaklamadıkça bunu önceden satıcıya bildiririz. Bir talimatın kanuna aykırı olduğunu düşünürsek satıcıya bildiririz. Alıcı verilerini satmayız; kendi amaçlarımız, pazarlamamız veya reklam için kullanmayız ve diğer satıcıların verileriyle birleştirmeyiz.

3. Konu, veriler ve ilgili kişiler

İlgili kişiler: satıcının alıcıları ve potansiyel alıcıları, hediye alıcıları ve satıcının WhatsApp numarasına yazan kişiler. Veri kategorileri:

• Kimlik ve iletişim verileri: ad, telefon numarası ve WhatsApp profil adı.
• Teslimat verileri: adresler ve alıcı gönderirse konum veya harita bağlantısı.
• Sipariş verileri: ürünler, fiyatlar, ödemeler, para iadeleri, iadeler ve gönderi durumu.
• Sohbet verileri: WhatsApp’ta paylaşılan mesajlar ve medya, mesaj durumları ve pazarlama izni veya izin iptali kayıtları.

İşlemenin niteliği ve amacı: siparişleri almak ve yerine getirmek, alıcılara satıcı adına WhatsApp’tan mesaj göndermek, ödemeleri, teslimatları ve iadeleri kaydetmek ve satıcının açtığı diğer özellikleri çalıştırmak için alıcı verilerini saklamak, düzenlemek, göstermek, göndermek ve almak. Hizmet özel nitelikli kişisel veriler (sağlık, din veya biyometrik veriler gibi) ve çocuklara ait veriler için tasarlanmamıştır; satıcı bu verileri hizmet üzerinden toplamamalıdır.

4. Satıcının sorumlulukları

Satıcı; işlediği alıcı verileri için hukuki sebebin bulunmasından, alıcılarına aydınlatma metni sunmaktan, kendi hukukunun gerektirdiği rızaları almaktan (WhatsApp Business Mesajlaşma Politikası’na göre pazarlama için WhatsApp izni ve Türkiye’de 6563 sayılı Kanun’un ticari elektronik ileti kuralları dahil) ve veri koruma otoritesine kayıt gibi, veri sorumlusu olarak kendi hukukunun öngördüğü her türlü kayıt, lisans veya bildirimden sorumludur. Satıcının talimatları hukuka uygun olmalıdır.

5. Gizlilik

WhatCart’ta alıcı verilerine erişebilen herkes gizlilik yükümlülüğü altındadır ve verilere yalnızca hizmeti işletmek ve desteklemek için gerektiği ölçüde erişir. Destek ekibimiz bir mağazayı yalnızca kayda geçirilen bir gerekçeyle açar ve bu tür her erişim kaydedilir.

6. Alt işleyenler

Satıcı, alt işleyen kullanmamıza genel yetki verir. Alıcı verileri için mevcut alt işleyenlerimiz:

• Hostinger (Hostinger International Ltd): sunucularımızın ve veritabanımızın Paris, Fransa’da (Avrupa Birliği) barındırılması.
• Cloudflare, Inc. (R2 nesne depolama): WhatsApp medyası, ürün görselleri ve ekler; veri merkezinin konumunu Cloudflare seçer.
• Meta Platforms (WhatsApp Business Platform): mesaj ve katalog iletimi.
• Google (Firebase Cloud Messaging): ekip üyelerinin telefonlarındaki WhatCart uygulamasına anlık bildirimler; bunlar alıcının adını veya telefon numarasını içerebilir.
• Google (Firebase Crashlytics): WhatCart mobil uygulamasından çökme tanılama verileri; alıcı verisi içermez.

Satıcının kendi sözleşmesiyle bağladığı ödeme sağlayıcıları (Paymob ve Stripe gibi) ve satıcının gönderi oluşturup takip etmek için hesabını bağladığı kargo firmaları satıcının kendi sağlayıcılarıdır, bizim alt işleyenlerimiz değildir. E-posta sağlayıcımız (Resend) yalnızca satıcının ekibine hesap e-postaları gönderir ve hiçbir alıcı verisi almaz; satıcıların sipariş paketlerini satın aldığı kayıtlı satıcı Gumroad de hiçbir alıcı verisi almaz.

Her alt işleyene yazılı sözleşmeyle en az bu sözleşme kadar koruyucu veri koruma yükümlülükleri yükleriz ve onlardan satıcıya karşı sorumlu kalırız. Yeni veya değişen bir alt işleyeni en az 30 gün önce bu sayfada (önemli değişikliklerde e-postayla da) duyururuz. Satıcı bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilir; itiraz çözülemezse hizmeti sonlandırabilir ve verilerinin silinmesini isteyebilir.

7. Güvenlik

Uygun teknik ve idari tedbirleri uygularız; örneğin:

• Aktarımda şifreleme (HTTPS/TLS), erişim tokenlarının ve gizli bilgilerin depolamada şifrelenmesi.
• Her mağazanın verilerinin diğer mağazalardan ayrılması.
• Role dayalı yetkiler, hassas işlemlerden önce ek kimlik doğrulaması ve denetim günlüğü.
• Gizlilik Politikası’nda belirtilen saklama ve silme takvimleri ile yedekler.

Bu tedbirleri hizmet ve riskler değiştikçe gözden geçiririz.

8. Kişisel veri ihlalleri

Alıcı verilerini etkileyen bir kişisel veri ihlalini öğrenirsek satıcıyı gecikmeksizin ve öğrenmemizden itibaren en geç 48 saat içinde; ihlalin niteliği, ilgili veriler ve kişiler, olası sonuçları ve alınan veya önerilen tedbirler hakkında bildiklerimizle bilgilendirir, yeni bilgi edindikçe paylaşırız. Böylece satıcı kendi hukukunun, bazıları kısa olan sürelerine uyabilir (örneğin Suudi Arabistan, Mısır, Türkiye, Umman ve Ürdün’de düzenleyici kuruma 72 saat, Ürdün’de etkilenen kişilere 24 saat). Satıcıya yetkili makamları ve etkilenen kişileri bilgilendirmesinde yardımcı oluruz; satıcı istemedikçe veya kanun gerektirmedikçe onlar adına bildirim yapmayız.

9. Taleplerde ve değerlendirmelerde yardım

İşlemenin niteliğini dikkate alarak, alıcıların haklarını kullanma taleplerini yanıtlamasında satıcıya yardımcı oluruz. Satıcı bir alıcının kişisel verilerini müşteri sayfasından kendisi dışa aktarabilir veya silebilir ve mağaza verilerini istediği zaman indirebilir. Bir alıcı talebini bize gönderirse bunu 7 gün içinde satıcıya iletiriz ve satıcı istemedikçe kendimiz yanıtlamayız. Gerektiğinde veri koruma etki değerlendirmelerinde ve yetkili makamlarla istişarelerde de yardımcı oluruz.

10. Uluslararası aktarımlar

Alıcı verileri satıcının ülkesi dışında işlenir: sunucularımız Fransa’dadır ve yukarıdaki alt işleyenler verileri Amerika Birleşik Devletleri’nde ve başka ülkelerde işler. Bu aktarımları yalnızca uygulanacak hukukun tanıdığı bir güvenceyle (alt işleyen sözleşmelerimizdeki standart sözleşme hükümleri gibi) ve Gizlilik Politikası’nda açıklandığı üzere kanunun gerektirdiği lisans, izin veya bildirimlerle yaparız. Satıcının hukuku satıcı ile aramızda bir aktarım sözleşmesi gerektiriyorsa bu sözleşme o sözleşmeyle birlikte uygulanır; örneğin Suudi Arabistan’daki satıcılar için, talep üzerine SDAIA’nın veri sorumlusundan veri işleyene aktarım için yayımladığı standart sözleşme hükümlerini imzalarız.

Türkiye: Türkiye’deki satıcılar için alıcı verilerinin yurt dışına aktarımı, Kişisel Verileri Koruma Kurumu’nun (KVKK) yayımladığı veri sorumlusundan veri işleyene aktarım standart sözleşmesiyle yapılır; bu sözleşmeyi talep üzerine metnini değiştirmeden satıcıyla imzalarız. Standart sözleşme imzalanmasından itibaren beş iş günü içinde Kurum’a bildirilmelidir; taraflar aksini kararlaştırmadıkça bildirimi veri aktaran sıfatıyla satıcı yapar ve gereken belgeleri biz sağlarız.

11. Sona ermede silme veya iade

Mağaza silinmeden önce satıcı mağaza verilerini Ayarlar → Mağaza verilerini dışa aktar bölümünden indirebilir veya bizden bir kopya isteyebilir. Mağaza silindiğinde alıcı verilerini hemen, silme talebinden itibaren ise 30 gün içinde, Gizlilik Politikası ve Veri Silme Talimatları https://whatcart.net/tr/data-deletion uyarınca sileriz. Günlüklerde, olay bildirimlerinde ve yedeklerde kalan kopyaların süresi 12 ay içinde dolar. Alıcı verilerini yalnızca kanun gerektiriyorsa ve yalnızca bu amaçla daha uzun saklarız.

12. Bilgi ve denetim

Talep üzerine, bu sözleşmeye uyduğumuzu göstermek için gereken bilgileri (güvenlik tedbirlerimizin ve alt işleyenlerimizin açıklaması gibi) satıcıya veririz. Bu yeterli olmazsa veya bir düzenleyici kurum gerektirirse, satıcı (veya gizlilik yükümlülüğü altındaki bağımsız bir denetçi) 30 gün önceden bildirimle, bir ihlal sonrası hariç yılda en fazla bir kez, masrafı kendisine ait olmak üzere ve diğer satıcıların verilerine erişmeden uyumumuzu denetleyebilir.

13. Öncelik

Bu sözleşme alıcı verileri konusunda Hizmet Koşulları ile çelişirse bu sözleşme geçerlidir. Satıcı ile aramızda kanunen gereken bir standart sözleşme imzalanırsa, çelişki hâlinde o sözleşme bu sözleşmeye üstün gelir.

14. İletişim

Veri koruma soruları: privacy@whatcart.net.

WhatCart, Bit Techs (18 Health Street, Ain Shams, Cairo 11728, Mısır) tarafından işletilir.