Veri İşleme Sözleşmesi

1. Taraflar ve konu

Şirket'in ticaret unvanı, adresi, vergi, MERSİS ve iletişim bilgileri bu bölümün başında yer alır.

1.1. Bu Sözleşme, Riseluc'u kullanan kişi ya da işletme ("Kullanıcı") ile Riseluc hizmetini sunan Şirket arasında, Kullanım Koşulları'nın kabulüyle birlikte kurulur. Bu Sözleşme kapsamında Kullanıcı veri sorumlusu, Şirket veri işleyendir.

1.2. Sözleşme, Kullanıcı'nın pazaryeri müşterilerine (alıcılar, ürün sorusu soranlar, ürün yorumu yazanlar) ve Kullanıcı'nın Platform'a yüklediği dosyalardaki kişilere ait verilere uygulanır. Şirket'in kendi kullanıcılarına (hesap sahipleri ve ekip üyeleri) ait veriler bu Sözleşme'nin dışındadır; bu verilerde Şirket veri sorumlusudur ve KVKK Aydınlatma Metni ile Gizlilik Politikası uygulanır.

1.3. Bu Sözleşme'deki terimler 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki ("KVKK") anlamı taşır. "Platform", riseluc.com sitesi, Riseluc paneli ve arka plan işleridir.

1.4. Kullanıcı Avrupa Ekonomik Alanı'nda yerleşikse bu Sözleşme, Genel Veri Koruma Tüzüğü (GDPR) m.28 kapsamında veri işleme sözleşmesi olarak da uygulanır. Avrupa Ekonomik Alanı'ndan yapılan aktarıma ilişkin sorular ve talepler için info@riseluc.com adresine yazılabilir.

• Kullanım Koşulları
• KVKK Aydınlatma Metni
• Gizlilik Politikası

2. İşlemenin konusu ve süresi

2.1. Şirket verileri Kullanıcı'ya Riseluc hizmetini sunmak için işler: pazaryerinden okunan kayıtları saklar ve gösterir, kâr ve finans hesaplarını üretir, Kullanıcı'nın açtığı ya da onayladığı işlemleri pazaryerine iletir ve yapay zekâ özellikleriyle taslak hazırlar.

2.2. İşlenen veri kategorileri, kaynakları, amaçları ve saklama süreleri Ek-1'dedir.

2.3. İşleme, Kullanım Koşulları yürürlükte kaldığı ve ilgili mağaza Platform'a bağlı olduğu sürece sürer.

3. Talimatlar

3.1. Şirket verileri Kullanıcı'nın talimatıyla işler. Kullanım Koşulları, bu Sözleşme, Kullanıcı'nın panelde yaptığı ayarlar ve başlattığı ya da onayladığı işlemler talimat sayılır.

3.2. Şirket, bir talimatın mevzuata aykırı olduğu kanaatindeyse Kullanıcı'yı gecikmeden bilgilendirir ve talimat netleşene kadar o işlemi yapmayabilir.

3.3. Şirket verileri satmaz, reklam amacıyla üçüncü kişilerle paylaşmaz ve kendi ya da başkasının yapay zekâ modelini eğitmek için kullanmaz. Hizmetin işletilmesi için şu iki işlem yapılır:

• Şirket'in yetkili yöneticileri, destek ve hizmetin işletilmesi için mağazalar genelinde ürün bazında satış özetlerini (ürün, satış adedi ve tutarı, mağaza ve pazaryeri; alıcı bilgisi içermez) yönetim panelinde görebilir. Silinen mağazanın satış özeti bu amaçla 30 gün daha saklanır, sonra kendiliğinden silinir.
• Kategori karşılaştırması: pazaryerlerinin herkese açık arama sonuçlarından üretilen ve yalnız en az 5 farklı Kullanıcı'nın araştırdığı ve en az 20 ürünün bulunduğu kategorilerde gösterilen toplulaştırılmış istatistikler. Bu istatistikler tek bir Kullanıcı'yı ya da ilgili kişiyi tanımlamaz; Amazon'dan alınan veri bunlara girmez.

4. Şirket'in yükümlülükleri

4.1. Gizlilik: Şirket kişisel verileri gizli tutar. Verilere erişim, hizmetin gerektirdiği kişilerle ve en az yetki ilkesiyle sınırlanır.

4.2. Güvenlik: Şirket, KVKK m.12 uyarınca Ek-3'teki teknik ve idari tedbirleri alır. Ek-3 bugünkü uygulamayı anlatır ve uygulama değiştiğinde güncellenir.

4.3. İlgili kişi başvuruları: Kullanıcı'nın veri sorumlusu olduğu verilere ilişkin olarak Şirket'e doğrudan gelen bir KVKK m.11 başvurusu Kullanıcı'ya gecikmeksizin iletilir. Şirket, Kullanıcı'nın bu başvuruları cevaplamasına makul ölçüde yardım eder.

4.4. İhlal bildirimi: Şirket, Kullanıcı'nın veri sorumlusu olduğu verileri etkileyen bir kişisel veri ihlalini öğrendiğinde Kullanıcı'ya gecikmeksizin ve en geç 48 saat içinde bildirir. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçlarını ve alınan ya da önerilen tedbirleri içerir; o anda bilinmeyen bilgiler öğrenildikçe tamamlanır. Bu süre, Kullanıcı'nın Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirim yapabilmesi için belirlenmiştir.

4.5. Amazon'dan alınan veriyi etkileyen bir güvenlik olayı, fark edilmesinden itibaren 24 saat içinde ayrıca Amazon'a (security@amazon.com) bildirilir.

4.6. Denetim: Kullanıcı, yılda en çok bir kez ve 30 gün önceden bildirerek bu Sözleşme'ye uyumu gösteren bilgi ve belgeleri isteyebilir. Yerinde denetim; masrafı Kullanıcı'ya ait olmak, işleyişi aksatmamak ve gizlilik taahhüdü vermek koşuluyla yapılır.

4.7. Amazon verisi: Amazon'dan alınan veride Şirket ayrıca Pazaryeri Entegrasyonları ve Otomatik İşlemler Ek Koşulları'ndaki Amazon hükümlerine uyar. Amazon alıcısının adı, adresi ve iletişim bilgileri saklanmaz.

• Pazaryeri Entegrasyonları ve Otomatik İşlemler Ek Koşulları

5. Alt işleyenler

5.1. Kullanıcı, Ek-2'deki Alt İşleyenler ve Veri Alıcıları Listesi'nde yer alan alt işleyenlerin kullanılmasına genel izin verir. Şirket, alt işleyenlerin bu Sözleşme'dekilerden daha az koruyucu olmayan veri koruma yükümlülükleri altında çalışmasını sağlamakla yükümlüdür ve onların bu kapsamdaki eylemlerinden Kullanıcı'ya karşı sorumludur.

5.2. Yeni bir alt işleyen eklenmeden ya da bir alt işleyen değiştirilmeden en az 30 gün önce Ek-2 güncellenir ve hesap sahiplerine e-postayla bildirilir. Kullanıcı'nın itiraz ve fesih hakkı Alt İşleyenler ve Veri Alıcıları Listesi'nin değişiklik bölümünde yazılıdır; itirazdan sonra fesheden Kullanıcı'ya ödenmiş ve kullanılmamış döneme ait bedel iade edilir.

• Alt İşleyenler ve Veri Alıcıları

6. Yurt dışına aktarım

Alt işleyenlerin bir kısmı Türkiye dışındadır; her birinin konumu Alt İşleyenler ve Veri Alıcıları Listesi'nde yazılıdır. Şirket, yurt dışındaki alt işleyenlere yapılan aktarımları KVKK m.9'a uygun yürütmekle yükümlüdür.

7. Kullanıcı'nın yükümlülükleri

7.1. Kullanıcı, pazaryeri müşterilerini kendi adına aydınlatmaktan ve verilerin Platform'da işlenmesi için gerekli hukuki sebebe sahip olmaktan sorumludur.

7.2. Kullanıcı, Platform'a hizmetin gerektirmediği kişisel veri (ör. iade kanıtı olarak alıcının kimlik belgesi) yüklememeye özen gösterir. Kıyafet denemesi için model fotoğrafı yükleyen Kullanıcı, fotoğraftaki kişinin iznine sahip olmaktan sorumludur.

8. Verilerin silinmesi

8.1. Kullanıcı bir mağazayı panelden sildiğinde o mağazanın şifreli erişim bilgileri ve Ek-1'deki kayıtları silinir. Hesabın kapatılması Ayarlar → Hesabı kapatma bölümünden istenir; hesap kalıcı olarak silinirken mağazaları da silinir.

8.2. Silinen mağazanın satılmış ürünleri için tutulan satış özeti (alıcı bilgisi içermez) 30 gün sonra kendiliğinden silinir. Veritabanı sağlayıcısının yedeklerinde kalan kopyalar, yedeklerin saklama döngüsü sonunda silinir.

8.3. Kanunen saklanması zorunlu veriler bu kuralın dışındadır; bunlar yalnız o yükümlülük için ve gerektiği süre boyunca saklanır.

9. Sorumluluk ve öncelik

9.1. Tarafların bu Sözleşme'den doğan sorumluluğu Kullanım Koşulları'ndaki sorumluluk sınırına tabidir. KVKK m.12/2 uyarınca veri güvenliğinden doğan müşterek sorumluluk saklıdır.

9.2. Kişisel verilerin işlenmesi konusunda bu Sözleşme, Kullanım Koşulları'ndan önce gelir.

Ek-1. İşleme ayrıntıları

İlgili kişiler: Kullanıcı'nın pazaryeri müşterileri (alıcılar, ürün sorusu soranlar, ürün yorumu yazanlar) ve Kullanıcı'nın Platform'a yüklediği dosyalardaki kişiler (ör. kıyafet denemesi için yüklenen model fotoğrafındaki kişi, iade kanıtında görünen kişiler).

• Müşteri sorusu: soranın pazaryerinde görünen adı, soru ve cevap metni. Kaynak: Trendyol, Hepsiburada ve n11 API'si. Amaç: Soruyu panelden cevaplamak ve yapay zekâyla cevap taslağı hazırlamak. Saklama: Soranın adı, soru Riseluc'ta cevaplanmış ya da kapanmış olarak kaydedildikten sonra en geç 90 gün içinde; soru kaydının tamamı soru tarihinden 12 ay sonra silinir.
• Ürün yorumu: puan, yorum metni ve pazaryerinin gösterdiği (çoğunlukla kısaltılmış) yorumcu adı. Kaynak: Trendyol'un herkese açık ürün sayfası, yalnız Kullanıcı yorum takibini açtığında. Amaç: Yorum analizi ve yorumlardan içerik önerisi. Saklama: Mağaza silinene kadar.
• Sipariş kaydı: sipariş ve paket numarası, ürün, adet, tutar, kesintiler, durum ve tarihler. Kaynak: Pazaryeri API'si. Amaç: Kâr hesabı, finans mutabakatı ve sipariş ekranı. Saklama: Mağaza silinene kadar.
• Kargo gönderi kaydı: sipariş ve takip numarası, kargo firması, durum ve tarihler; alıcı bilgisi ayıklanarak yazılır. Kaynak: Pazaryeri API'si. Amaç: Kargo takibi ve termin uyarısı. Saklama: Sipariş tarihinden 90 gün sonra; iptal ve iade durumundaki kayıtlar stok geri ekleme ve kargo maliyeti hesabı için mağaza silinene kadar.
• İade talebi kaydı: talep ve sipariş numarası, ürün, iade nedeni, durum, tarihler ve kargo takip numarası; Trendyol ve eMAG'de müşterinin adı, telefonu, adresi ve banka bilgisi ayıklanarak yazılır. Kaynak: Pazaryeri API'si. Amaç: İade analizi ve itiraz taslağı. Saklama: Mağaza silinene kadar.
• Alıcının teslimat bilgileri. Kaynak: eMAG API'si. Amaç: eMAG'de AWB (kargo etiketi) oluşturma. Saklama: Saklanmaz; yalnız işlem sırasında eMAG'den okunur ve eMAG'e gönderilir.
• Kargo etiketi ve fatura dosyası. Kaynak: Pazaryeri ya da Kullanıcı. Amaç: Pazaryerine iletme ve yazdırma. Saklama: Saklanmaz; işlem kaydında alıcının adı, adresi ve iletişim bilgileri yer almaz.
• İade kanıt dosyaları (fotoğraf, video, PDF). Kaynak: Kullanıcı yükler. Amaç: İade ve itiraz süreci. Saklama: Yüklemeden 180 gün sonra; mağaza ya da iade talebi silinince hemen.
• Model fotoğrafı ve bu fotoğrafla üretilen görsel. Kaynak: Kullanıcı yükler. Amaç: Ürün fotoğrafı stüdyosunda kıyafet denemesi. Saklama: Yüklenen fotoğraf 24 saat sonra; üretilen görsel pazaryerine gönderilmediyse 30 gün sonra silinir.
• Lucy sohbeti: Kullanıcı'nın mesajları ve cevap için okunan mağaza verisi (ör. müşteri sorusu metni; alıcının adı, adresi ve iletişim bilgileri gönderilmez). Kaynak: Kullanıcı ve Platform. Amaç: Lucy'nin cevapları. Saklama: Hesapta son 40 mesaj tutulur; Kullanıcı sohbeti istediği an temizleyebilir; hesap silinince silinir.

Ek-2. Alt işleyenler

Ek-2, ayrı sayfada yer alan Alt İşleyenler ve Veri Alıcıları Listesi'dir. Liste her sağlayıcının hizmetini, işlediği veriyi ve verinin bulunduğu yeri gösterir ve 5. maddeye göre güncellenir.

• Alt İşleyenler ve Veri Alıcıları

Ek-3. Teknik ve idari tedbirler

Aşağıdaki tedbirler bugün uygulamadadır ve uygulama değiştiğinde güncellenir. Riseluc'un bağımsız bir kuruluşça denetlenmiş bir güvenlik sertifikası (ör. ISO 27001 ya da SOC 2) yoktur.

• Veri konumu: veritabanı, kimlik doğrulama ve dosya deposu Avrupa Birliği'nde, Almanya'nın Frankfurt bölgesindedir; web uygulamasının sunucu işlemleri de Frankfurt bölgesinde çalışır. Diğer sağlayıcıların konumu Ek-2'dedir.
• Taşıma güvenliği: tüm bağlantılar HTTPS ile kurulur; HSTS başlığı iki yıl süreyle, alt alan adlarını da kapsayarak ve ön yükleme (preload) işaretiyle gönderilir.
• Tarayıcı güvenliği: her sayfada içerik güvenlik politikası (CSP), sitenin başka bir sitenin çerçevesi içinde açılmasını yasaklayan başlık, içerik türü tahminini kapatan başlık, sınırlı yönlendiren (referrer) politikası ve kamera, mikrofon ve konum erişimini kapatan izin politikası uygulanır; ödeme sayfalarının ayrı bir içerik güvenlik politikası vardır.
• Şifreleme: pazaryeri erişim bilgileri, Amazon yenileme jetonu, iyzico'nun verdiği kayıtlı kart anahtarları ve fatura için girilen T.C. kimlik ya da vergi numarası veritabanına yazılmadan önce uygulama katmanında AES-256-GCM ile şifrelenir. Her değer rastgele bir başlatma vektörüyle şifrelenir; şifreleme anahtarı veritabanında değil, yalnız sunucuların ortam değişkenlerinde durur ve anahtar döndürme desteklenir.
• Kart verisi: kart numarası, son kullanma tarihi ve güvenlik kodu iyzico'nun ödeme formuna girilir; kart numarasının tamamı ve güvenlik kodu Şirket'e ulaşmaz.
• Veri ayrımı: veritabanı tablolarında satır düzeyinde güvenlik (RLS) açıktır; tarayıcıdan gelen bir istek yalnız kullanıcının kendi hesabına ve ekibinin mağazalarına ait satırları okuyabilir. Şifreli alanlar tarayıcıdan okunamaz. Plan, abonelik ve faturalama alanlarını ve faturalama tablolarını yalnız sunucu tarafı yazar.
• Kimlik doğrulama: şifreler kimlik doğrulama sağlayıcısında tek yönlü özet (hash) olarak tutulur; Şirket ekibi şifreleri göremez. Giriş ve kayıt formlarında otomatik kayıt ve şifre deneme saldırılarına karşı bot denetimi uygulanır. İsteğe bağlı iki adımlı doğrulama (doğrulama uygulamasından kod ve yedek kodlar) açıkken panel ikinci adım olmadan açılmaz; fiyat ya da stok yazan ve mağaza bilgisi ekleyen istekler de ikinci adımı ister.
• Ekip yetkileri: ekip üyelerine rol verilir; görüntüleyici yalnız okur ve bu sınır veritabanında da uygulanır.
• Yönetici erişimi: yönetim paneline yalnız yazılı izin listesindeki yöneticiler girebilir ve onlar için iki adımlı doğrulama zorunludur. Yöneticinin yaptığı değişiklikler ile bir kullanıcının, mağazanın ya da destek yazışmasının görüntülenmesi ayrı bir denetim kaydına yazılır; bu kayıt tarayıcıdan okunamaz ve değiştirilemez.
• Erişimin sınırlanması: verilere erişim, hizmetin gerektirdiği kişilerle ve en az yetki ilkesiyle sınırlanır.
• Kötüye kullanıma karşı: mağaza doğrulama, pazaryerine yazma ve dosya yükleme gibi işlemlerde hesap başına istek sınırı, tek kullanımlık e-posta adresleriyle kayda engel ve kayıt engel listesi uygulanır. Tedarikçi XML bağlantıları yalnız internete açık adreslerden çekilir; yerel ağ, özel IP ve bulut sunucusu meta veri adresleri hem kayıtta hem çekimde reddedilir.
• Pazaryerine yazım: fiyat robotu ve otomatik stok gönderimi varsayılan olarak kapalıdır; Lucy'nin önerileri Kullanıcı "Uygula" demeden uygulanmaz. Bazı pazaryerlerinde yazımı tümden durduran acil durdurma anahtarı vardır.
• Veri en aza indirme: Amazon alıcısının adı, adresi ve iletişim bilgileri saklanmaz; kargo kayıtları alıcı bilgisi ayıklanarak yazılır; kargo etiketi ve fatura dosyası aktarılır, saklanmaz; yapay zekâ sağlayıcısına Kullanıcı'nın adı, e-postası, ödeme bilgisi ve erişim bilgileri gönderilmez; arka plan işlerinin hata kaydına yerel değişkenler ve kişisel veri alanları gönderilmez.
• Dosya deposu: iade kanıt dosyaları herkese kapalı bir depoda tutulur ve yalnız o mağazaya erişimi olan hesaplara 60 saniye geçerli bağlantılarla gösterilir.
• Otomatik silinme: Ek-1'deki süreler kendiliğinden uygulanır; ayrıca yapay zekâ uygulaması çağrı kaydı 90 gün, uygulama hata kaydı 30 gün sonra silinir.
• Yapay zekâ uygulaması bağlantısı (ChatGPT, Claude): OAuth 2.1 jetonu ve mağaza bazında izinle çalışır ve yalnız okur. Jeton veritabanına doğrudan erişemez, yalnız Riseluc'un bağlantı sunucusu üzerinden okur; uygulama başına dakikada en çok 60 istek kabul edilir; çağrı kaydı içerik olmadan tutulur.
• İzleme: arka plan işlerinin çalışma kayıtları, sistem bekçisinin açtığı olay uyarıları ve uygulama hata kaydı tutulur; arka plan işlerindeki hatalar ayrıca bir hata izleme hizmetine bildirilir.
• Yazılım geliştirme: kod her değişiklikte otomatik testlerden geçer; kullanılan yazılım bağımlılıkları haftada bir bilinen güvenlik açıklarına karşı taranır.
• Güvenlik açığı bildirimi: güvenlik açıkları info@riseluc.com adresine bildirilir; adres sitenin security.txt dosyasında da yazılıdır.
• İhlal yönetimi: bir kişisel veri ihlali fark edildiğinde Şirket ihlali durdurmak, etkisini belirlemek ve kayıt altına almak için gereken adımları atar. Şirket'in veri sorumlusu olduğu verilerde Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirim yapılır ve etkilenen kişilere en kısa sürede bilgi verilir (Kurul'un 2019/10 sayılı kararı). Şirket'in veri işleyen olduğu verilerde Kullanıcı'ya gecikmeksizin ve en geç 48 saat içinde bildirilir. Amazon'dan alınan veriyi etkileyen bir olay, fark edilmesinden itibaren 24 saat içinde security@amazon.com adresine de bildirilir.

• Güvenlik