Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni

MADDE 1 — AMAÇ VE KAPSAM

İşbu Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni ("Aydınlatma Metni"), Arastasoft E-Ticaret Yazılım ve Tasarım Hizmetleri tarafından Carti markası altında sunulan elektronik ticaret altyapısı, yazılım hizmetleri ve bağlantılı dijital hizmetler kapsamında gerçekleştirilen kişisel veri işleme faaliyetleri hakkında ilgili kişileri bilgilendirmek amacıyla hazırlanmıştır.

Carti; işletmelere internet üzerinden mağaza oluşturma, ürün ve stok yönetimi, sipariş yönetimi, pazaryeri entegrasyonları, ödeme ve kargo entegrasyonları ile elektronik ticaret faaliyetlerini yönetme imkânı sunan bulut tabanlı bir yazılım platformudur.

Bu Aydınlatma Metni;

• Carti internet sitesini ziyaret eden kişileri,
• Carti platformuna üye olan kullanıcıları,
• Carti üzerinden hizmet veya abonelik satın alan müşterileri,
• Carti yönetim panelini kullanan işletme yetkililerini,
• Teknik destek ve iletişim kanallarını kullanan kişileri,
• Carti hizmetlerinden yararlanan işletmelerin çalışanlarını ve yetkililerini,
• Carti üzerinden bilgi veya teklif talep eden potansiyel müşterileri

kapsamaktadır.

Kişisel verilerin işlenmesinde başta 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") olmak üzere ilgili mevzuat hükümleri esas alınmaktadır.

Carti altyapısını kullanan bağımsız mağazaların kendi müşterilerine yönelik kişisel veri işleme faaliyetleri, ilgili mağazanın veri sorumlusu olduğu durumlarda mağazaya ait ayrı aydınlatma metinleri kapsamında değerlendirilir.

MADDE 2 — VERİ SORUMLUSUNUN KİMLİĞİ

6698 sayılı KVKK kapsamında, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirlediğimiz faaliyetlerde veri sorumlusu sıfatıyla hareket etmekteyiz.

Veri Sorumlusu Bilgileri

Ticari Unvan: Arastasoft E-Ticaret Yazılım ve Tasarım Hizmetleri

Marka: Carti

Vergi Dairesi: Çiğli

Vergi Numarası: 9420506879

Adres: Bestekar Sadi Hoşses Sk. No:39 D:15 Karşıyaka/İZMİR

İnternet Sitesi: https://carti.com.tr

KEP Adresi: [email protected]

İşbu Aydınlatma Metni kapsamında "Carti", "Arastasoft", "İşletme" veya "tarafımız" ifadeleri, yukarıda bilgileri belirtilen veri sorumlusunu ifade etmektedir.

MADDE 3 — İŞLENEN KİŞİSEL VERİLER

Carti tarafından sunulan hizmetlerin yürütülmesi ve ilgili yükümlülüklerin yerine getirilmesi amacıyla, kullanılan hizmetin niteliğine bağlı olarak aşağıdaki kişisel veri kategorileri işlenebilmektedir.

3.1. Kimlik Bilgileri

Ad, soyadı, işletme yetkilisine ait kimlik bilgileri ve mevzuatın gerekli kıldığı diğer kimlik bilgileri.

3.2. İletişim Bilgileri

E-posta adresi, telefon numarası, fatura adresi, iletişim adresi ve işletme iletişim bilgileri.

3.3. Üyelik ve Müşteri İşlem Bilgileri

• Kullanıcı hesap bilgileri,
• Üyelik ve kayıt tarihleri,
• Abonelik ve paket bilgileri,
• Mağaza oluşturma ve yapılandırma kayıtları,
• Kullanıcı yetki ve rol bilgileri,
• Hizmet kullanım ve işlem kayıtları,
• Abonelik yenileme ve iptal bilgileri.

3.4. Finansal ve Faturalandırma Bilgileri

• Fatura bilgileri,
• Ödeme işlem referansları,
• Tahsilat kayıtları,
• Abonelik ödemeleri,
• İade ve iptal kayıtları.

Ödeme kartlarına ilişkin verilerin işlenmesi, kullanılan ödeme altyapısına ve ilgili ödeme hizmeti sağlayıcısının faaliyetlerine göre ayrıca değerlendirilir.

3.5. İşlem Güvenliği Bilgileri

• IP adresi,
• Oturum ve erişim kayıtları,
• Sisteme giriş ve çıkış zamanları,
• Cihaz ve tarayıcı bilgileri,
• Yetkilendirme kayıtları,
• Sistem hata ve güvenlik kayıtları,
• Şüpheli işlem ve erişim kayıtları.

3.6. Talep ve Şikâyet Bilgileri

Teknik destek başvuruları, kullanıcı talepleri, şikâyetler, geri bildirimler, destek yazışmaları ve bunlara ilişkin işlem kayıtları.

3.7. Müşteri İlişkileri Bilgileri

• Müşteri ve potansiyel müşteri iletişim bilgileri,
• Teklif ve satış görüşmesi kayıtları,
• Müşteri talepleri,
• İletişim geçmişi,
• Hizmet ve ürün ilgileri,
• Müşteri ilişkileri kapsamında oluşturulan işlem notları,
• Pazarlama ve iletişim tercihleri.

3.8. İnternet Sitesi Kullanım ve Analiz Bilgileri

• Ziyaret edilen sayfalar,
• Ziyaret tarihi ve süresi,
• Trafik kaynağı bilgileri,
• Site içi etkileşimler,
• Cihaz ve tarayıcı bilgileri,
• Çerez ve ziyaretçi tanımlayıcıları,
• Teknik bağlantı bilgileri.

Bu veriler, kullanılan analiz teknolojilerinin özelliklerine, yapılandırmasına ve ilgili hukuki şartlara bağlı olarak işlenir.

Carti, sunduğu hizmetlerin yerine getirilmesi için gerekli olmayan özel nitelikli kişisel verilerin kullanıcılar tarafından paylaşılmasını talep etmez.

Özel nitelikli kişisel verilerin işlenmesini gerektiren bir faaliyet söz konusu olduğunda KVKK'nın 6. maddesinde düzenlenen şartlar ayrıca değerlendirilir.

MADDE 4 — KİŞİSEL VERİLERİN İŞLENME AMAÇLARI VE HUKUKİ SEBEPLERİ

Carti tarafından elde edilen kişisel veriler, aşağıda belirtilen amaçlar ve ilgili hukuki işleme şartları kapsamında işlenmektedir.

4.1. Üyelik ve Hesap Yönetimi

Kişisel veriler;

• Kullanıcı hesabı oluşturulması,
• Kullanıcı kimliğinin ve erişim yetkisinin doğrulanması,
• Üyelik işlemlerinin yürütülmesi,
• Kullanıcı rollerinin ve yetkilerinin yönetilmesi,
• Abonelik ve paket bilgilerinin kullanıcı hesabıyla ilişkilendirilmesi

amaçlarıyla işlenir.

Hukuki Sebep: KVKK madde 5/2-c kapsamında sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması kaydıyla veri işlemenin gerekli olması; işletme temsilcilerinin yetkilendirme ve hesap güvenliği işlemlerinde şartları mevcutsa madde 5/2-f kapsamında meşru menfaat.

4.2. Hizmetlerin Sunulması

Kişisel veriler;

• E-ticaret mağazalarının oluşturulması,
• Satın alınan yazılım hizmetlerinin kullanıma açılması,
• Abonelik işlemlerinin yürütülmesi,
• Yönetim paneline erişim sağlanması,
• Teknik destek hizmetlerinin sunulması,
• Hizmet kapsamında iletilen taleplerin yerine getirilmesi

amaçlarıyla işlenir.

Hukuki Sebep: KVKK madde 5/2-c kapsamında sözleşmenin kurulması veya ifası için veri işlemenin gerekli olması; ilgili işletme temsilcileri bakımından şartları mevcutsa madde 5/2-f kapsamında meşru menfaat.

4.3. Ödeme ve Faturalandırma

Kişisel veriler;

• Ödeme ve tahsilat işlemlerinin yürütülmesi,
• Fatura düzenlenmesi,
• Muhasebe kayıtlarının oluşturulması,
• Abonelik yenilemelerinin gerçekleştirilmesi,
• İade ve iptal işlemlerinin yürütülmesi,
• Vergisel yükümlülüklerin yerine getirilmesi

amaçlarıyla işlenir.

Hukuki Sebep: KVKK madde 5/2-c ve 5/2-ç kapsamında sözleşmenin ifası ve hukuki yükümlülüklerin yerine getirilmesi.

4.4. Bilgi ve Sistem Güvenliği

Kişisel veriler;

• Kullanıcı hesaplarının güvenliğinin sağlanması,
• Yetkisiz erişim girişimlerinin önlenmesi,
• Şüpheli işlemlerin tespit edilmesi,
• Güvenlik olaylarının araştırılması,
• Sistemlerin kötüye kullanımının önlenmesi,
• Hizmet sürekliliğinin ve veri güvenliğinin sağlanması

amaçlarıyla işlenir.

Hukuki Sebep: Faaliyetin niteliğine göre KVKK madde 5/2-ç, 5/2-e ve 5/2-f kapsamında hukuki yükümlülüklerin yerine getirilmesi, hakların korunması ve meşru menfaatler.

4.5. Hizmet Kalitesinin ve Performansın İyileştirilmesi

Kişisel veriler;

• Yazılım hatalarının giderilmesi,
• Teknik sorunların tespit edilmesi,
• Sistem performansının izlenmesi,
• Hizmet kapasitesinin planlanması,
• Kullanıcı deneyiminin geliştirilmesi

amaçlarıyla, bu amaçların gerektirdiği ölçüde işlenebilir.

Hukuki Sebep: KVKK madde 5/2-c ve 5/2-f kapsamında sözleşmenin ifası ve ilgili kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaatler.

4.6. Müşteri İlişkileri Yönetimi

Müşteri ilişkileri yönetimi kapsamında kişisel veriler;

• Müşteri ve potansiyel müşteri taleplerinin değerlendirilmesi,
• Teklif süreçlerinin yürütülmesi,
• Satış görüşmelerinin takip edilmesi,
• Müşteri iletişim geçmişinin yönetilmesi,
• Abonelik ve hizmet ilişkilerinin sürdürülmesi,
• Müşteri destek süreçlerinin iyileştirilmesi

amaçlarıyla işlenebilir.

Hukuki Sebep: İlgili faaliyete göre KVKK madde 5/2-c ve 5/2-f kapsamında sözleşmenin kurulması veya ifası ve meşru menfaatler.

4.7. İnternet Sitesi Analizi

İlgili hukuki şartların sağlanması halinde kişisel veriler;

• İnternet sitesi kullanımının analiz edilmesi,
• Ziyaretçi etkileşimlerinin değerlendirilmesi,
• Site performansının ölçülmesi,
• Kullanıcı deneyiminin geliştirilmesi,
• Dijital içeriklerin iyileştirilmesi

amaçlarıyla işlenebilir.

Hukuki Sebep: Açık rıza gerektiren analiz çerezleri ve benzeri izleme faaliyetleri bakımından KVKK madde 5/1 kapsamında açık rıza.

4.8. Pazarlama ve Ticari Elektronik İletişim

İlgili hukuki şartların sağlanması halinde;

• Kampanya ve duyuruların iletilmesi,
• Ürün ve hizmet tanıtımlarının yapılması,
• Pazarlama iletişimlerinin yürütülmesi,
• Kullanıcı iletişim tercihlerinin yönetilmesi

amaçlarıyla kişisel veriler işlenebilir.

Hukuki Sebep: Faaliyetin niteliğine göre KVKK madde 5/1 kapsamında açık rıza veya uygulanabilir diğer veri işleme şartları.

Ticari elektronik iletiler bakımından 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili mevzuat hükümleri ayrıca uygulanır.

Pazarlama faaliyetleri için açık rıza verilmemesi, Carti'nin temel hizmetlerinden yararlanılmasına engel oluşturmaz.

4.9. Hukuki Yükümlülüklerin Yerine Getirilmesi

Kişisel veriler;

• Yetkili kamu kurumlarının hukuka uygun taleplerinin karşılanması,
• Yasal bildirim yükümlülüklerinin yerine getirilmesi,
• Hukuki uyuşmazlıklarda hakların korunması,
• Mevzuat kapsamında saklanması zorunlu kayıtların muhafaza edilmesi

amaçlarıyla işlenebilir.

Hukuki Sebep: KVKK madde 5/2-a, 5/2-ç ve 5/2-e kapsamında kanunlarda açıkça öngörülmesi, hukuki yükümlülüklerin yerine getirilmesi ve hakların korunması.

MADDE 5 — KİŞİSEL VERİLERİN TOPLANMA YÖNTEMLERİ

Kişisel veriler;

• Carti internet sitesi,
• Üyelik ve kayıt formları,
• Kullanıcı yönetim paneli,
• Abonelik ve ödeme işlemleri,
• Teknik destek ve iletişim kanalları,
• Elektronik posta yazışmaları,
• Sunucu ve uygulama kayıtları,
• İçerik dağıtım ve güvenlik sistemleri,
• Müşteri ilişkileri yönetimi sistemleri,
• İnternet sitesi analiz araçları,
• Çerezler ve benzeri teknolojiler

aracılığıyla elde edilebilir.

Veriler, tamamen veya kısmen otomatik yöntemlerle ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerle toplanabilir.

Verilerin toplanması ve işlenmesinde, ilgili işleme faaliyeti için KVKK'nın 5. ve gerektiğinde 6. maddelerinde düzenlenen hukuki işleme şartları esas alınır.

MADDE 6 — KİŞİSEL VERİLERİN AKTARILMASI

Carti, sunduğu hizmetlerin yürütülmesi, bilgi güvenliğinin sağlanması, müşteri ilişkilerinin yönetilmesi ve hukuki yükümlülüklerinin yerine getirilmesi amacıyla üçüncü taraf teknoloji ve hizmet sağlayıcılarından yararlanmaktadır.

Kişisel veriler, ilgili hukuki şartların sağlanması ve aktarım amacıyla sınırlı olmak üzere aşağıdaki alıcı gruplarına aktarılabilir.

6.1. Sunucu ve Barındırma Hizmet Sağlayıcıları

Carti uygulamasının barındırılması, veritabanlarının çalıştırılması, kullanıcı ve mağaza verilerinin saklanması, teknik altyapının işletilmesi ve hizmet sürekliliğinin sağlanması amacıyla ilgili kişisel veriler sunucu ve barındırma hizmet sağlayıcılarının altyapısında işlenmektedir.

Bu kapsamda kullanıcı ve üyelik bilgileri, uygulama verileri, mağaza ve abonelik bilgileri, sistem kayıtları ve sunucu üzerinde saklanan diğer kişisel veriler ilgili altyapıda bulunabilir.

6.2. İçerik Dağıtım ve Siber Güvenlik Hizmet Sağlayıcıları

İnternet sitesi performansının artırılması, içeriklerin güvenli şekilde sunulması, siber saldırıların önlenmesi, şüpheli trafiklerin tespit edilmesi ve ağ güvenliğinin sağlanması amacıyla ilgili hizmet sağlayıcılarından yararlanılmaktadır.

Bu kapsamda;

• IP adresleri,
• Teknik bağlantı bilgileri,
• Cihaz ve tarayıcı bilgileri,
• Trafik ve erişim kayıtları,
• Güvenlik olaylarına ilişkin veriler

işlenebilir.

İletilen verilerin kapsamı, kullanılan hizmetin niteliğine ve teknik yapılandırmasına bağlıdır.

6.3. Müşteri İlişkileri Yönetimi Hizmet Sağlayıcıları

Müşteri taleplerinin yönetilmesi, teklif ve satış süreçlerinin yürütülmesi, müşteri iletişim geçmişinin takip edilmesi ve müşteri ilişkilerinin sürdürülmesi amacıyla ilgili hizmet sağlayıcılarından yararlanılmaktadır.

Bu kapsamda;

• Ad ve soyadı,
• E-posta adresi,
• Telefon numarası,
• İşletme bilgileri,
• Müşteri talepleri,
• İletişim ve satış işlem kayıtları

ilgili hizmet sağlayıcılarının altyapısında işlenebilir.

6.4. İnternet Sitesi Analiz Hizmet Sağlayıcıları

İnternet sitesi kullanımının analiz edilmesi, ziyaretçi etkileşimlerinin değerlendirilmesi ve kullanıcı deneyiminin geliştirilmesi amacıyla analiz hizmet sağlayıcılarından yararlanılmaktadır.

İlgili hukuki şartların sağlanması halinde ziyaretçi ve etkileşim bilgileri, teknik cihaz verileri ve çerez tanımlayıcıları bu hizmet sağlayıcıları tarafından işlenebilir.

Açık rıza gerektiren analiz faaliyetleri bakımından ilgili kişinin geçerli açık rızası esas alınır.

6.5. Elektronik Posta ve İletişim Altyapısı

Carti, elektronik posta iletişim süreçlerinde sunucu altyapısı üzerinde çalışan posta servislerinden yararlanmaktadır.

Bu servisler;

• Hesap ve üyelik bildirimleri,
• Abonelik bilgilendirmeleri,
• Güvenlik uyarıları,
• Teknik destek yazışmaları,
• Kullanıcı taleplerine verilen yanıtlar

için kullanılmaktadır.

Bu kapsamda e-posta adresleri, mesaj içerikleri, gönderim ve teslimat kayıtları ile ilgili teknik bilgiler işlenebilir.

6.6. Diğer Yetkili Alıcı Grupları

Kişisel veriler, ilgili hizmetin gerçekleştirilmesi veya hukuki yükümlülüklerin yerine getirilmesi amacıyla gerekli olduğu ölçüde;

• Ödeme hizmeti sağlayıcılarına,
• Muhasebe ve mali müşavirlik hizmeti sağlayıcılarına,
• Hukuki danışmanlara,
• Yetkili kamu kurum ve kuruluşlarına

aktarılabilir.

Kişisel veri aktarımlarında KVKK'nın 8. ve 9. maddelerinde düzenlenen şartlar esas alınır.

MADDE 7 — KİŞİSEL VERİLERİN YURT DIŞINA AKTARILMASI

Carti tarafından sunulan bulut tabanlı yazılım hizmetleri kapsamında kullanılan uygulama ve sunucu altyapısı Almanya'da bulunmaktadır.

Bu nedenle hizmetin sunulması kapsamında işlenen bazı kişisel verilerin Türkiye dışındaki sunucu altyapısına aktarılması ve bu altyapıda saklanması söz konusudur.

7.1. Sunucu ve Veri Barındırma

Carti'nin uygulama ve veritabanı altyapısı Almanya lokasyonlu veri merkezleri üzerinden hizmet vermektedir.

Bu kapsamda;

• Kullanıcı hesap ve üyelik bilgileri,
• Abonelik ve mağaza bilgileri,
• Uygulama ve işlem kayıtları,
• Sistem ve güvenlik kayıtları,
• Hizmetin sunulması için gerekli diğer kişisel veriler

Almanya'daki sunucu altyapısında işlenebilir ve saklanabilir.

7.2. İçerik Dağıtımı ve Siber Güvenlik

Carti'nin içerik dağıtımı, ağ performansı ve siber güvenlik hizmetleri kapsamında uluslararası teknik altyapılardan yararlanılmaktadır.

Bu hizmetler kapsamında IP adresleri, teknik bağlantı bilgileri, trafik kayıtları ve kullanılan hizmetin niteliğine bağlı diğer kişisel verilerin Türkiye dışındaki sistemler üzerinden işlenmesi söz konusu olabilir.

İşlenen verilerin kapsamı, kullanılan hizmetlerin özelliklerine ve teknik yapılandırmasına göre değişebilir.

7.3. Müşteri İlişkileri ve Analiz Hizmetleri

Carti'nin müşteri ilişkileri yönetimi ve internet sitesi analiz hizmetleri kapsamında uluslararası yazılım altyapılarından yararlanılmaktadır.

Bu kapsamda kullanılan özelliklere bağlı olarak;

• Müşteri ve potansiyel müşteri iletişim bilgileri,
• İletişim ve müşteri işlem kayıtları,
• İnternet sitesi ziyaret ve etkileşim bilgileri,
• Çerez ve analiz tanımlayıcıları

gibi kişisel verilerin yurt dışında işlenmesi söz konusu olabilir.

7.4. Yurt Dışına Aktarımın Hukuki Şartları

Kişisel verilerin yurt dışına aktarılması, 6698 sayılı KVKK'nın 9. maddesinde düzenlenen şartlara tabidir.

Yurt dışına aktarım gerçekleştirilebilmesi için ilgili kişisel veri işleme şartının bulunmasının yanında, Kanun'da öngörülen aktarım koşullarının da karşılanması gerekmektedir.

Bu kapsamda;

• Kişisel Verileri Koruma Kurulu tarafından verilmiş uygulanabilir bir yeterlilik kararının bulunması,
• Yeterlilik kararı bulunmaması halinde Kanun'da düzenlenen uygun güvencelerin sağlanması,
• Uygun güvencelerin sağlanamadığı durumlarda yalnızca Kanun'daki sınırlı ve arızi aktarım istisnalarının şartları çerçevesinde işlem yapılması

esas alınır.

Düzenli ve süreklilik gösteren kişisel veri aktarımlarının, yalnızca ilgili kişilerden genel nitelikte açık rıza alınmasına dayanılarak gerçekleştirilmesi öngörülmemektedir.

Yurt dışına veri aktarımı süreçlerinde ilgili kişilerin KVKK kapsamındaki hakları, uygulanabilir veri güvenliği yükümlülükleri ve aktarımın amaçla bağlantılı, sınırlı ve ölçülü olması ilkeleri dikkate alınır.

Bu aydınlatma hükmü, tek başına yurt dışına veri aktarımı için hukuki güvence oluşturmaz; her bir aktarım bakımından KVKK'nın 9. maddesindeki uygulanabilir koşulların ayrıca sağlanması gerekir.

MADDE 8 — CARTI ALTYAPISINI KULLANAN MAĞAZALARDAKİ KİŞİSEL VERİLER

Carti, işletmelere elektronik ticaret faaliyetlerini yürütebilecekleri bir yazılım altyapısı sunmaktadır.

Carti üzerinden oluşturulan mağazalarda;

• Mağaza müşterilerine ait kimlik ve iletişim bilgileri,
• Sipariş ve satış bilgileri,
• Teslimat ve kargo bilgileri,
• Fatura bilgileri,
• Müşteri hesap bilgileri,
• Sipariş ve işlem kayıtları

gibi kişisel veriler işlenebilir.

Bu veriler bakımından veri sorumlusu ve veri işleyen sıfatları, ilgili veri işleme faaliyetinin amaçlarını ve vasıtalarını kimin belirlediğine göre değerlendirilir.

8.1. Mağaza İşletmelerinin Sorumlulukları

Mağaza işletmesinin kendi müşterilerinin kişisel verilerinin işlenme amaç ve vasıtalarını belirlediği durumlarda, ilgili mağaza işletmesi veri sorumlusu sıfatıyla hareket eder.

Bu kapsamda mağaza işletmesi;

• Müşterilerine yönelik aydınlatma yükümlülüğünü yerine getirmekten,
• Kişisel verilerin işlenmesi için gerekli hukuki şartları sağlamaktan,
• Gereken durumlarda açık rıza almaktan,
• İlgili kişi başvurularını değerlendirmekten,
• Kendi faaliyetleri kapsamında gerekli veri koruma yükümlülüklerini yerine getirmekten

sorumludur.

8.2. Carti'nin Veri İşleyen Sıfatıyla Faaliyetleri

Carti, mağaza işletmesinin veri sorumlusu olduğu faaliyetlerde, sunduğu yazılım hizmetinin kapsamına göre veri işleyen sıfatıyla hareket edebilir.

Bu kapsamda Carti;

• Kişisel verileri ilgili veri sorumlusunun hukuka uygun talimatları çerçevesinde işler,
• Kendi sorumluluk alanında gerekli teknik ve idari güvenlik tedbirlerini almakla yükümlüdür,
• Verilere erişimi hizmetin gerektirdiği yetki ve ihtiyaçlarla sınırlandırır,
• Kişisel verileri ilgili sözleşme ve mevzuat hükümleri kapsamında işler.

Carti'nin kişisel veri işleme amaçlarını ve vasıtalarını kendisinin belirlediği faaliyetlerdeki hukuki sıfatı ve sorumlulukları ayrıca değerlendirilir.

Bu Aydınlatma Metni, bağımsız mağaza işletmelerinin kendi müşterilerine sunmakla yükümlü oldukları KVKK aydınlatma metinlerinin yerine geçmez.

MADDE 9 — KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI

Kişisel veriler, işlenme amaçlarının gerektirdiği süre boyunca ve ilgili mevzuatta öngörülen saklama süreleriyle sınırlı olarak muhafaza edilir.

Saklama süresinin belirlenmesinde;

• Hizmet ve abonelik ilişkisinin devam edip etmediği,
• İlgili mevzuatta öngörülen saklama yükümlülükleri,
• Vergi ve muhasebe mevzuatı,
• Sözleşmeden doğan yükümlülükler,
• Hukuki uyuşmazlıklara ilişkin zamanaşımı süreleri,
• Kişisel veri işleme amacının devam edip etmediği

dikkate alınır.

Kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde, ilgili veriler KVKK ve ilgili mevzuata uygun olarak silinir, yok edilir veya anonim hale getirilir.

Kullanıcı hesabının kapatılması veya aboneliğin sonlandırılması, mevzuat gereğince saklanması gereken bütün kayıtların derhal silinmesini gerektirmez.

Üçüncü taraf hizmet sağlayıcılarında işlenen kişisel verilerin saklanması ve imhası süreçlerinde ilgili veri işleme sözleşmeleri ve uygulanabilir mevzuat hükümleri dikkate alınır.

MADDE 10 — KİŞİSEL VERİLERİN GÜVENLİĞİ

Carti, kişisel verilerin hukuka aykırı işlenmesini ve kişisel verilere hukuka aykırı erişilmesini önlemek, ayrıca kişisel verilerin muhafazasını sağlamak amacıyla uygun teknik ve idari güvenlik tedbirlerinin uygulanmasını esas alır.

Bu kapsamda ilgili sistemlerde;

• Kimlik doğrulama ve yetkilendirme kontrolleri,
• Kullanıcı ve mağaza bazlı erişim sınırlamaları,
• Güvenli veri iletişimi,
• Sistem ve güvenlik kayıtlarının tutulması,
• Yetkisiz erişimlerin önlenmesine yönelik kontroller,
• Güvenlik açıklarının tespit edilmesi ve giderilmesi,
• Veri yedekleme ve kurtarma süreçleri,
• Erişim yetkilerinin kontrol edilmesi,
• Güvenlik olaylarına müdahale süreçleri

gibi teknik ve idari tedbirler uygulanır.

Carti, çok kiracılı yazılım mimarisinde farklı mağazalara ait kişisel verilere erişimin, ilgili kullanıcıların yetki ve ihtiyaçları doğrultusunda sınırlandırılmasını esas alır.

Alınacak güvenlik tedbirlerinin kapsamı, sistemin teknik özellikleri, işlenen verilerin niteliği ve mevcut riskler dikkate alınarak belirlenir.

Kişisel veri güvenliği ihlallerinde ilgili mevzuat kapsamında gerekli müdahale ve bildirim yükümlülükleri yerine getirilir.

MADDE 11 — ÇEREZLER VE BENZERİ TEKNOLOJİLER

Carti internet sitesi ve yönetim panelinde, hizmetlerin çalışması, güvenliğin sağlanması ve ilgili hukuki şartların mevcut olması halinde kullanıcı etkileşimlerinin analiz edilmesi amacıyla çerezler ve benzeri teknolojiler kullanılmaktadır.

Çerezler kullanım amaçlarına göre aşağıdaki kategorilerde değerlendirilebilir.

11.1. Zorunlu Çerezler

İnternet sitesinin ve kullanıcı hesaplarının çalışması için gerekli olan çerezlerdir.

Bu çerezler;

• Oturum yönetimi,
• Kullanıcı kimlik doğrulaması,
• Güvenlik kontrolleri,
• Oturum sürekliliği,
• Kullanıcı tarafından talep edilen temel işlevlerin yerine getirilmesi

amaçlarıyla kullanılabilir.

11.2. Güvenlik Çerezleri

Ağ ve uygulama güvenliğinin sağlanması amacıyla kullanılan çerezler ve benzeri teknik tanımlayıcılardır.

Bu teknolojiler;

• Şüpheli ve zararlı trafiklerin tespit edilmesi,
• Otomatik saldırıların önlenmesi,
• Güvenlik kontrollerinin gerçekleştirilmesi,
• İnternet sitesi güvenliğinin sağlanması

amaçlarıyla kullanılabilir.

Bu çerezlerin hukuki niteliği, kullanım amacı ve zorunluluk durumu dikkate alınarak değerlendirilir.

11.3. Analiz ve Performans Çerezleri

İnternet sitesi kullanımının analiz edilmesi ve kullanıcı deneyiminin geliştirilmesi amacıyla kullanılabilecek çerezlerdir.

Bu kapsamda;

• Ziyaret edilen sayfalar,
• Ziyaret süreleri,
• Trafik kaynakları,
• Kullanıcı etkileşimleri,
• Çerez ve ziyaretçi tanımlayıcıları

işlenebilir.

Açık rıza gerektiren analiz ve performans çerezleri, ilgili kişinin geçerli açık rızası alınmadan kullanılmaz.

11.4. Pazarlama Çerezleri

Pazarlama faaliyetlerinin etkinliğinin ölçülmesi, ilgili hukuki şartların mevcut olması halinde reklam ve kampanya çalışmalarının değerlendirilmesi amacıyla çerezler kullanılabilir.

Açık rıza gerektiren pazarlama çerezleri, ilgili kişinin geçerli açık rızası alınmadan kullanılmaz.

11.5. Çerez Tercihlerinin Yönetimi

Kullanıcılar, zorunlu olmayan çerezlere ilişkin tercihlerini sunulan çerez yönetim mekanizması üzerinden belirleyebilir.

Açık rızaya dayanan çerezler bakımından verilen rızanın geri alınabilmesi sağlanır.

Kullanılan çerezlerin adları, sağlayıcıları, kullanım amaçları, saklama süreleri ve diğer teknik özellikleri hakkında ayrıntılı bilgilendirme, ayrı olarak yayımlanan Carti Çerez Politikası aracılığıyla yapılır.

MADDE 12 — İLGİLİ KİŞİNİN HAKLARI

6698 sayılı KVKK'nın 11. maddesi kapsamında ilgili kişiler, veri sorumlusuna başvurarak;

1. Kişisel verilerinin işlenip işlenmediğini öğrenme,
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinin eksik veya yanlış işlenmiş olması halinde düzeltilmesini isteme,
6. KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinin silinmesini veya yok edilmesini isteme,
7. Düzeltme, silme veya yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi sonucunda aleyhlerine bir sonucun ortaya çıkmasına itiraz etme,
9. Kişisel verilerinin Kanun'a aykırı işlenmesi sebebiyle zarara uğramaları halinde zararın giderilmesini talep etme

haklarına sahiptir.

Bu hakların kullanılması, ilgili mevzuatta öngörülen koşul ve istisnalara tabidir.

MADDE 13 — KVKK BAŞVURU YÖNTEMLERİ

İlgili kişiler, KVKK'nın 11. maddesi kapsamındaki haklarına ilişkin taleplerini aşağıdaki iletişim kanallarını kullanarak veri sorumlusuna iletebilir.

Veri Sorumlusu İletişim Bilgileri

Ticari Unvan:

Arastasoft E-Ticaret Yazılım ve Tasarım Hizmetleri

Posta Adresi:

Bestekar Sadi Hoşses Sk. No:39 D:15 Karşıyaka/İZMİR

KEP Adresi:

[email protected]

İnternet Sitesi:

https://carti.com.tr

Başvuru Usulleri

Başvurular;

• Veri sorumlusunun yukarıda belirtilen posta adresine yazılı olarak,
• Kayıtlı elektronik posta (KEP) aracılığıyla,
• Güvenli elektronik imza veya mobil imza kullanılarak,
• İlgili kişinin veri sorumlusuna daha önce bildirdiği ve sistemde kayıtlı bulunan e-posta adresinden,
• Mevzuatta öngörülen diğer uygun yöntemlerle

gerçekleştirilebilir.

Başvurularda ilgili kişinin kimlik bilgileri, iletişim bilgileri, talep konusu ve mevzuatın gerektirdiği diğer bilgiler bulunmalıdır.

Başvurular, talebin niteliğine göre mümkün olan en kısa sürede ve en geç 30 gün içerisinde sonuçlandırılır.

Başvurular kural olarak ücretsizdir. İşlemin ayrıca maliyet gerektirmesi halinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifeye uygun ücret talep edilebilir.

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde, ilgili kişinin KVKK'nın 14. maddesinde belirtilen şartlar ve süreler çerçevesinde Kişisel Verileri Koruma Kuruluna şikâyette bulunma hakkı bulunmaktadır.

MADDE 14 — AYDINLATMA METNİNİN GÜNCELLENMESİ

Carti, kişisel veri işleme faaliyetlerinin, kullanılan hizmet sağlayıcıların, teknik altyapının veya ilgili mevzuatın değişmesi halinde bu Aydınlatma Metni'ni güncelleyebilir.

Güncel metin https://carti.com.tr üzerinden erişime sunulur.

Kişisel veri işleme amaçlarının değişmesi halinde, yeni işleme faaliyetine başlanmadan önce ilgili mevzuat kapsamında gerekli aydınlatma gerçekleştirilir.

Açık rıza gerektiren yeni veri işleme faaliyetleri için gerekli durumlarda ilgili kişiden ayrıca açık rıza alınır.

MADDE 15 — YÜRÜRLÜK

İşbu Aydınlatma Metni, belirtilen yürürlük tarihi itibarıyla geçerlidir.

Bu metin, kişisel verilerin işlenmesi hakkında bilgilendirme amacı taşımaktadır.

Aydınlatma Metni'nin kullanıcıya sunulması veya okunması, tek başına kişisel verilerin işlenmesine yönelik açık rıza verildiği anlamına gelmez.

ARASTASOFT E-TİCARET YAZILIM VE TASARIM HİZMETLERİ

CARTI — E-Ticaret Altyapısı ve Yazılım Hizmetleri

Adres: Bestekar Sadi Hoşses Sk. No:39 D:15 Karşıyaka/İZMİR

Vergi Dairesi: Çiğli

Vergi No: 9420506879

KEP: [email protected]

İnternet Sitesi: https://carti.com.tr