KVKK Aydınlatma Metni

1. TARAFLAR VE PROTOKOLÜN NİTELİĞİ

1.1. İşbu Kişisel Verilerin Korunmasına Yönelik Protokol (“Protokol”), Elektronik Ticaret Aracılık Sözleşmesi’nin (“Ana Sözleşme”) eki ve ayrılmaz bir parçası olarak, Aracı Hizmet Sağlayıcı ile Satıcı arasında akdedilmiştir.

1.2. İşbu Protokol, Satıcı tarafından elektronik ortamda onaylandığı veya Taraflarca karşılıklı olarak imzalandığı tarih itibarıyla yürürlüğe girer.

1.3. Aracı Hizmet Sağlayıcı ve Satıcı işbu Protokol kapsamında ayrı ayrı “Taraf”, birlikte “Taraflar” olarak anılacaktır.

1.4. İşbu Protokol’de tanımlanmayan kavramlar bakımından Ana Sözleşme’de yer alan tanımlar geçerli olacaktır.

1.5. İşbu Protokol ile Ana Sözleşme hükümleri arasında kişisel verilerin korunmasına ilişkin bir uyuşmazlık veya çelişki bulunması halinde, kişisel verilerin korunmasına ilişkin konular bakımından işbu Protokol hükümleri öncelikli olarak uygulanır.

2. KONU VE KAPSAM

2.1. İşbu Protokol’ün konusu; Ana Sözleşme kapsamında Taraflar arasında aktarılan, erişime açılan, işlenen veya işlenmesine imkân sağlanan kişisel verilere ilişkin olarak Taraflar’ın hak ve yükümlülüklerinin belirlenmesidir.

2.2. İşbu Protokol; Ana Sözleşme’nin kurulması, ifası, Platform üzerinden satış süreçlerinin yürütülmesi, sipariş, ödeme, teslimat, iade, cayma hakkı, müşteri talep ve şikâyetleri, fatura, mevzuata uyum, denetim, raporlama ve uyuşmazlık süreçleri kapsamında işlenen kişisel veriler bakımından uygulanır.

2.3. Taraflar, işbu Protokol kapsamındaki kişisel verilerin işlenmesi, aktarılması, saklanması, imhası, güvenliğinin sağlanması ve ilgili kişi başvurularının yönetilmesi süreçlerinde, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve ilgili mevzuat hükümlerine uygun hareket etmekle yükümlüdür.

3. TANIMLAR

3.1. İşbu Protokol’de geçen kişisel veri, özel nitelikli kişisel veri, kişisel verilerin işlenmesi, veri sorumlusu, veri işleyen, ilgili kişi, aktarım, açık rıza, imha, anonim hale getirme ve benzeri kavramlar KVKK ve ilgili mevzuatta kendilerine verilen anlamları ifade eder.

3.2. Ana Sözleşme’de tanımlanan Aracı Hizmet Sağlayıcı, Satıcı, Platform, Satıcı Paneli, Satıcı İletişim Sistemi, Alıcı, Ürün/Hizmet, Aracılık Hizmetleri ve sair kavramlar, işbu Protokol bakımından da Ana Sözleşme’deki anlamlarıyla kullanılacaktır.

4. TARAFLARIN KVKK KAPSAMINDAKİ SIFATLARI

4.1. Taraflar, Ana Sözleşme kapsamında yürütülen faaliyetlerde kendi sorumluluk alanları bakımından KVKK ve ilgili mevzuat uyarınca veri sorumlusu, veri işleyen veya ilgili mevzuatın gerektirdiği sair sıfatlarla hareket edebilir.

4.2. Tarafların KVKK kapsamındaki sıfatı, somut veri işleme faaliyeti, kişisel verinin işlenme amacı ve araçları ile Taraflar’ın ilgili veri işleme faaliyeti üzerindeki belirleme yetkisi dikkate alınarak değerlendirilir.

4.3. Taraflardan her biri, kendi sorumluluk alanına giren kişisel veri işleme faaliyetlerinde aydınlatma yükümlülüğünün yerine getirilmesi, gerekli hallerde açık rıza alınması, veri güvenliğinin sağlanması ve ilgili kişi başvurularının karşılanması dahil olmak üzere KVKK’dan kaynaklanan yükümlülüklerini yerine getirmekle yükümlüdür.

4.4. Satıcı, Ana Sözleşme’nin ifası veya Platform üzerindeki faaliyetleri ile ilgili olarak Aracı Hizmet Sağlayıcı tarafından kişisel verilerin korunması kapsamında yöneltilen bilgi, belge, açıklama, destek veya güncelleme taleplerini makul süre içerisinde, doğru, eksiksiz ve güncel şekilde karşılayacağını kabul eder.

5. MEVZUATA UYUM

5.1. Taraflar, kişisel verilerin korunması ve işlenmesi süreçlerinde KVKK, ikincil mevzuat, Kişisel Verileri Koruma Kurulu kararları, Kişisel Verileri Koruma Kurumu rehberleri, mahkeme kararları, yetkili idari makam kararları ve yürürlükteki sair kişisel verilerin korunması düzenlemelerine uygun hareket edeceklerini kabul, beyan ve taahhüt eder.

5.2. Taraflar, Ana Sözleşme kapsamında kendilerine aktarılan veya erişimlerine açılan kişisel verileri hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlar için, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü şekilde işleyeceklerini kabul eder.

5.3. Taraflar, kişisel verilerin işlenmesi süreçlerinde ilgili kişilere yapılması gereken aydınlatma yükümlülüklerinin yerine getirilmesi, gerekli hallerde açık rıza alınması ve kişisel veri işleme faaliyetlerinin hukuka uygun yürütülmesi için kendi sorumluluk alanları bakımından gerekli tüm işlemleri yapmakla yükümlüdür.

6. VERİ İŞLEME AMAÇLARI VE SINIRLAMALAR

6.1. Taraflar, Ana Sözleşme kapsamında kendilerine aktarılan kişisel verileri yalnızca aktarım amacı, Ana Sözleşme’nin ifası ve Platform üzerinden yürütülen satış, sipariş, teslimat, iade, cayma hakkı, ödeme, fatura, müşteri ilişkileri ve mevzuata uyum süreçleri ile sınırlı olarak işleyecektir.

6.2. Taraflar, kendilerine aktarılan kişisel verileri işbu Protokol, Ana Sözleşme ve kişisel verilerin korunmasına ilişkin mevzuata aykırı şekilde işlemeyeceklerini; aktarım amacı dışında kullanmayacaklarını; Ana Sözleşme’de öngörülen hizmetlerin sunulması amacı dışında gerçekleştirilecek kişisel veri işleme faaliyetlerinden bizzat sorumlu olacaklarını kabul eder.

6.3. Satıcı, Ana Sözleşme’nin ifası kapsamında elde ettiği veya Platform üzerinden eriştiği kişisel verileri;

a) Reklam, kampanya, promosyon, pazarlama veya tanıtım amacıyla işlemeyeceğini,

b) Alıcı veya ilgili kişilerle iletişime geçmek amacıyla kullanması gereken hallerde, iletişimi yalnızca Platform üzerinden, Satıcı İletişim Sistemi üzerinden veya Aracı Hizmet Sağlayıcı’nın yazılı/dijital olarak izin verdiği iletişim kanalları aracılığıyla gerçekleştireceğini,

c) Farklı kaynaklardan elde ettiği verilerle birleştirmeyeceğini,

ç) Kişisel veriler üzerinde hukuka aykırı herhangi bir işlem gerçekleştirmeyeceğini,

d) Sosyal medya mecraları dahil olmak üzere herhangi bir platformda yayımlamayacağını, paylaşmayacağını veya üçüncü kişilere açıklamayacağını,

e) Kendisine veya üçüncü kişilere ait veri tabanı, kayıt, rehber, müşteri listesi veya benzeri bir yapı oluşturmak, kontrol etmek, güncellemek, değiştirmek, genişletmek veya indirmek amacıyla işlemeyeceğini,

f) İlgili kişiye ait farklı kişisel verilere erişmek veya bu verileri kendi sistemlerine aktarmak amacıyla kullanmayacağını,

kabul, beyan ve taahhüt eder.

6.4. Satıcı, Platform üzerinden elde ettiği kişisel verileri yalnızca ilgili sipariş, teslimat, iade, cayma hakkı, fatura, müşteri talebi veya Ana Sözleşme’den kaynaklanan yükümlülüklerin yerine getirilmesi için gerekli olduğu ölçüde kullanabilir.

6.5. Satıcı, kişisel verileri Ana Sözleşme’de ve işbu Protokol’de belirtilen amaçlar dışında işlemesi halinde, bu işlem nedeniyle doğabilecek tüm idari, hukuki, cezai ve mali sorumluluğun kendisine ait olduğunu kabul eder.

7. VERİ AKTARIMI

7.1. Taraflar, Ana Sözleşme kapsamında kendilerine aktarılan kişisel verileri üçüncü kişilere aktarırken KVKK’nın kişisel verilerin aktarılmasına ilişkin 8. ve 9. maddelerine ve ilgili sair mevzuat hükümlerine uygun hareket edeceklerini kabul eder.

7.2. Kişisel veriler, yalnızca Ana Sözleşme’de belirtilen hizmetlerin sunulması, Platform faaliyetlerinin yürütülmesi, sipariş, ödeme, teslimat, iade, cayma hakkı, fatura, müşteri talebi, teknik destek, denetim, raporlama, hukuki yükümlülüklerin yerine getirilmesi ve uyuşmazlık süreçlerinin yürütülmesi amaçlarıyla sınırlı olarak aktarılabilir.

7.3. Taraflar, üçüncü kişilere aktarılan kişisel verilerin güvenliğini sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlüdür. Taraflar, kişisel verilerin yetkisiz kişilere aktarılmaması, hukuka aykırı şekilde erişime açılmaması ve aktarım amacının dışında kullanılmaması için gerekli özeni gösterecektir.

7.4. Taraflardan birinin Ana Sözleşme kapsamında elde ettiği kişisel verileri yurt dışına aktarması halinde, bu aktarım KVKK’nın 9. maddesinde düzenlenen yeterlilik kararı, uygun güvenceler veya ilgili mevzuatta öngörülen istisnai haller kapsamında ve hukuka uygun şekilde gerçekleştirilecektir.

7.5. Yurt dışına kişisel veri aktarımının Kişisel Verileri Koruma Kurulu tarafından yayımlanan standart sözleşme veya ilgili mevzuatta öngörülen sair uygun güvenceye dayanması halinde, aktarımı gerçekleştiren Taraf gerekli sözleşmelerin yapılmasından, Kurum’a yapılması gereken bildirimlerin süresinde gerçekleştirilmesinden ve aktarım sürecinin mevzuata uygun yürütülmesinden sorumludur.

7.6. Taraflar, kişisel verilerin üçüncü kişilere aktarılması kapsamında kendi kusur, ihmal veya mevzuata aykırı işlemlerinden doğacak tüm sorumluluğun kendilerine ait olduğunu kabul eder.

8. VERİ GÜVENLİĞİ VE TEKNİK-İDARİ TEDBİRLER

8.1. Taraflar, işbu Protokol kapsamında işledikleri veya kendilerine aktarılan kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür.

8.2. Taraflar, kişisel verilerin güvenliğini sağlamak amacıyla erişim yetkilerinin sınırlandırılması, yetkisiz erişimin önlenmesi, kullanıcı adı ve şifre güvenliğinin sağlanması, log kayıtlarının tutulması, sistem güvenliğinin korunması, çalışanların bilgilendirilmesi ve gerekli gizlilik yükümlülüklerinin uygulanması dahil olmak üzere makul ve gerekli tedbirleri alacaktır.

8.3. Satıcı, Platform, Satıcı Paneli veya Satıcı İletişim Sistemi üzerinden eriştiği kişisel verilerin yalnızca yetkili kişiler tarafından ve yalnızca görevlerinin gerektirdiği ölçüde işlenmesini sağlamakla yükümlüdür.

8.4. Satıcı, kendi çalışanlarının, temsilcilerinin, alt yüklenicilerinin, hizmet sağlayıcılarının veya kendisi adına işlem yapan kişilerin kişisel verilere hukuka aykırı erişmesini, kişisel verileri yetkisiz şekilde işlemesini, aktarmasını, paylaşmasını veya ifşa etmesini önlemek için gerekli tedbirleri almakla yükümlüdür.

9. VERİ İHLALİ VE BİLDİRİM YÜKÜMLÜLÜĞÜ

9.1. Taraflardan veri alan Taraf, kendisine aktarılan kişisel verilerin hukuka aykırı olarak üçüncü kişiler tarafından elde edilmesi, işlenmesi, ifşa edilmesi, kaybolması, bozulması, yetkisiz şekilde erişime açılması veya fiziksel/bilişim altyapısında kişisel verileri etkileyen herhangi bir bilgi güvenliği ihlali veya riski doğması halinde, söz konusu hukuka aykırılığı veya riski ortadan kaldırmak için gerekli teknik ve idari tedbirleri gecikmeksizin alacaktır.

9.2. Taraflardan veri alan Taraf, kişisel verilerle ilgili ihlali veya riski öğrenmesinden itibaren en geç 24 (yirmi dört) saat içerisinde, veri aktaran Taraf’a ihlalin niteliği, kapsamı, etkilediği veri kategorileri, ilgili kişi grupları, alınan ve alınması planlanan tedbirler hakkında kapsamlı bilgi verecek ve veri aktaran Taraf ile iş birliği içinde hareket edecektir.

9.3. Taraflar, kişisel veri ihlali veya riski nedeniyle Kişisel Verileri Koruma Kurumu’na, ilgili kişilere veya diğer yetkili kurum ve kuruluşlara bildirim yapılması gereken hallerde, kendi sorumluluk alanları bakımından gerekli bildirimlerin süresinde ve mevzuata uygun şekilde yapılmasını sağlayacaktır.

9.4. Satıcı, kişisel verilerin güvenliğine ilişkin herhangi bir ihlal, şüphe, risk, yetkisiz erişim, veri kaybı, veri sızıntısı veya benzeri durumdan haberdar olması halinde, Aracı Hizmet Sağlayıcı’ya derhal bilgi verecek ve Aracı Hizmet Sağlayıcı tarafından talep edilen bilgi, belge ve açıklamaları gecikmeksizin sağlayacaktır.

10. VERİLERİN SAKLANMASI VE İMHASI

10.1. Taraflar, Ana Sözleşme kapsamında kendilerine aktarılan kişisel verileri, yalnızca Ana Sözleşme kapsamındaki yükümlülüklerin ifası için gerekli süre boyunca veya ilgili mevzuatta daha uzun bir yasal saklama süresi öngörülmüşse bu süre boyunca saklayacaktır.

10.2. Saklama süresinin sona ermesi veya işleme amacının ortadan kalkması halinde Taraflar, kendilerine aktarılan kişisel verileri KVKK ve ilgili mevzuata uygun şekilde silecek, yok edecek veya anonim hale getirecektir.

10.3. Satıcı, Ana Sözleşme’nin sona ermesi veya herhangi bir nedenle feshedilmesi halinde, mevzuat uyarınca saklamakla yükümlü olduğu kişisel veriler saklı kalmak kaydıyla, Aracı Hizmet Sağlayıcı tarafından kendisine aktarılan veya erişimine açılan kişisel verileri makul süre içerisinde imha edeceğini kabul eder.

10.4. Satıcı, Aracı Hizmet Sağlayıcı’nın talebi halinde, kişisel verilerin silindiğine, yok edildiğine veya anonim hale getirildiğine ilişkin gerekli açıklama, bilgi veya belgeyi Aracı Hizmet Sağlayıcı’ya sunacaktır.

10.5. Taraflar, yasal saklama yükümlülükleri kapsamında muhafaza ettikleri kişisel verileri yalnızca ilgili saklama yükümlülüğünün gerektirdiği amaçlarla sınırlı olarak saklayacak ve bu veriler üzerinde başka bir işlem gerçekleştirmeyecektir.

11. İLGİLİ KİŞİ BAŞVURULARI VE KURUM TALEPLERİ

11.1. Taraflar, ilgili kişiler tarafından kişisel verilere ilişkin olarak kendilerine yapılan ve Ana Sözleşme kapsamındaki veri işleme süreçlerini etkileyen başvuruları mevzuatta öngörülen süreler içinde yanıtlamak için gerekli işlemleri yapmakla yükümlüdür.

11.2. Taraflardan birine, diğer Taraf’ın sorumluluk alanına giren kişisel veri işleme süreçlerine ilişkin bir ilgili kişi başvurusu, şikâyet, talep veya resmi/idari kurum talebi ulaşması halinde, talebi alan Taraf mümkün olan en kısa sürede durumu talebin asıl muhatabı olan diğer Taraf ile paylaşacaktır.

11.3. Taraflar, ilgili kişi başvurularının, şikâyetlerin veya resmi/idari kurum taleplerinin süresinde ve hukuka uygun şekilde yanıtlanabilmesi için birbirlerine makul ölçüde destek sağlayacaklarını kabul eder.

11.4. Satıcı, Aracı Hizmet Sağlayıcı tarafından ilgili kişi başvurusu, resmi kurum talebi, denetim, şikâyet veya kişisel verilerin korunmasına ilişkin herhangi bir süreç kapsamında kendisinden talep edilen bilgi, belge, kayıt, açıklama ve desteği gecikmeksizin sağlayacaktır.

11.5. Taraflardan herhangi biri, kendi kusuru veya mevzuata aykırı işlemleri sebebiyle ilgili kişi başvurusunun süresinde veya hukuka uygun şekilde yanıtlanamamasından doğabilecek sorumluluktan bizzat sorumludur.

12. VERİ İŞLEYEN / HİZMET SAĞLAYICI KULLANIMI

12.1. Taraflar, Ana Sözleşme kapsamındaki yükümlülüklerinin ifası sırasında kişisel verilerin işlenmesi için üçüncü kişi hizmet sağlayıcılardan, alt yüklenicilerden, teknik hizmet sağlayıcılardan, bilişim altyapısı sağlayıcılarından, kargo/lojistik firmalarından, ödeme kuruluşlarından veya sair veri işleyenlerden yararlanabilir.

12.2. Taraflar, kişisel veri işleme süreçlerinde yararlandıkları veri işleyenlerin ve hizmet sağlayıcıların KVKK’ya ve ilgili mevzuata uygun hareket etmelerini sağlamakla yükümlüdür.

12.3. Taraflar, veri işleyen veya hizmet sağlayıcı kullanmalarının, işbu Protokol ve ilgili mevzuattan kaynaklanan sorumluluklarını ortadan kaldırmayacağını kabul eder.

12.4. Satıcı, kendi adına veya hesabına hareket eden çalışan, temsilci, alt yüklenici, hizmet sağlayıcı veya veri işleyenlerin kişisel verilerin korunmasına ilişkin yükümlülüklere aykırı davranışlarından Aracı Hizmet Sağlayıcı’ya karşı sorumlu olduğunu kabul eder.

12.5. Taraflar, veri işleyen veya hizmet sağlayıcılarla kurdukları ilişkilerde kişisel verilerin gizliliğini ve güvenliğini sağlayacak sözleşmesel, teknik ve idari tedbirleri almakla yükümlüdür.

13. DENETİM, BİLGİ VE BELGE TALEBİ

13.1. Aracı Hizmet Sağlayıcı, Ana Sözleşme’nin ifası, kişisel verilerin korunmasına ilişkin yükümlülüklerin yerine getirilmesi, mevzuata uyumun sağlanması veya veri güvenliği süreçlerinin kontrol edilmesi amacıyla Satıcı’dan bilgi, belge, açıklama, kayıt veya taahhüt talep edebilir.

13.2. Satıcı, Aracı Hizmet Sağlayıcı tarafından kişisel verilerin korunmasına ilişkin olarak talep edilen bilgi, belge, açıklama ve kayıtları doğru, eksiksiz ve güncel şekilde sunmakla yükümlüdür.

13.3. Satıcı, kişisel verilerin korunmasına ilişkin süreçlerde Aracı Hizmet Sağlayıcı ile iş birliği içinde hareket edeceğini; Aracı Hizmet Sağlayıcı’nın makul taleplerini gecikmeksizin karşılayacağını kabul, beyan ve taahhüt eder.

14. SORUMLULUK, TAZMİNAT, YÜRÜRLÜK VE SON HÜKÜMLER

14.1. Taraflar, işbu Protokol, Ana Sözleşme ve kişisel verilerin korunmasına ilişkin mevzuat hükümlerine aykırı hareket etmeleri halinde, bu aykırılıktan doğan tüm idari, hukuki, cezai ve mali sorumluluğun aykırı davranan Taraf’a ait olduğunu kabul eder.

14.2. Satıcı’nın işbu Protokol’e, Ana Sözleşme’ye veya kişisel verilerin korunmasına ilişkin mevzuata aykırı hareket etmesi nedeniyle Aracı Hizmet Sağlayıcı’nın herhangi bir idari para cezası, tazminat, yargılama gideri, resmi kurum masrafı, avukatlık ücreti, veri ihlali gideri, üçüncü kişi talebi veya sair mali külfete katlanması halinde, Aracı Hizmet Sağlayıcı söz konusu tutarları fer’ileriyle birlikte Satıcı’ya rücu edebilir.

14.3. Satıcı, kişisel verileri aktarım amacı dışında işlemesi, hukuka aykırı şekilde üçüncü kişilere aktarması, ilgili kişilere izinsiz iletişim göndermesi, kişisel verileri reklam, kampanya, promosyon veya pazarlama amacıyla kullanması, veri güvenliği yükümlülüklerini ihlal etmesi veya kişisel verileri hukuka aykırı olarak kaydetmesi, saklaması, paylaşması ya da ifşa etmesi halinde doğacak tüm zararlardan sorumludur.

14.4. Aracı Hizmet Sağlayıcı’nın, Satıcı’nın kişisel verilerin korunmasına ilişkin yükümlülüklerini ihlal etmesi nedeniyle herhangi bir ödeme yapmak zorunda kalması halinde, söz konusu tutarlar Satıcı’nın hak edişlerinden mahsup edilebilir, Satıcı adına tutulan cari hesaba işlenebilir veya ayrıca tahsil edilebilir.

14.5. İşbu Protokol, Ana Sözleşme’nin eki ve ayrılmaz parçasıdır. Satıcı tarafından elektronik ortamda onaylandığı veya Taraflarca karşılıklı olarak imzalandığı tarihte yürürlüğe girer.

14.6. İşbu Protokol’de hüküm bulunmayan hallerde Ana Sözleşme hükümleri uygulanır.

14.7. İşbu Protokol kapsamındaki kişisel verilerin korunmasına, gizliliğe, veri güvenliğine, saklamaya, imhaya, sorumluluğa, tazminata ve rücuya ilişkin yükümlülükler, Ana Sözleşme’nin herhangi bir nedenle sona ermesi veya feshedilmesi halinde dahi, niteliği gereği uygulanması gerektiği sürece yürürlükte kalmaya devam eder.

14.8. Satıcı, işbu Protokol’e Satıcı Paneli üzerinden erişebileceğini, Protokol’ü okuduğunu, anladığını, elektronik ortamda onayladığını ve Ana Sözleşme kapsamında kişisel verilerin korunmasına ilişkin tüm yükümlülüklere uygun hareket edeceğini kabul, beyan ve taahhüt eder.