Pazaryeri Entegrasyonu — Gizlilik politikası

Yasal not. Bu metin bilgilendirme amaçlıdır ve hukukçu incelemesinden geçmemiştir. Nihai sürüm yayına alınmadan önce bir hukuk danışmanı tarafından gözden geçirilmelidir.

1. Bu politika neyi kapsar?

Bu politika, Shopify App Store üzerinden kurulan Pazaryeri Entegrasyonu uygulamasını ve uygulamanın bağlandığı Pazaryeri Merkezi hizmetini kapsar. İkisi birlikte “Hizmet” olarak anılır.

Hizmet, bir Shopify mağazası ile Türkiye’deki pazaryerleri (Trendyol, Hepsiburada, N11 vb.) arasında ürün, stok ve sipariş akışını yönetir. Bu akış sırasında sipariş edenin kişisel verisi işlenir.

Taraflar ve roller

Taraf	KVKK’daki rolü	GDPR’daki rolü
Satıcı (mağaza sahibi)	Veri sorumlusu	Controller
Lydros (Hanifi Ertuğrul Aslan) (Hizmet sağlayıcı)	Veri işleyen	Processor
Pazaryerleri, kargo firmaları, e-Fatura entegratörü	Kendi mevzuatları uyarınca ayrı veri sorumlusu / alt işleyen	Sub-processor / independent controller

Kısaca: müşteri verisi satıcıya aittir. Lydros (Hanifi Ertuğrul Aslan) bu veriyi yalnızca satıcının talimatı ve Hizmetin işleyişi için işler, kendi amaçları için kullanmaz.

2. Hangi verileri işliyoruz?

2.1 Shopify mağazanızdan alınan veriler

Veri	Neden gerekli
Mağaza alan adı ve Shopify oturum/erişim belirteci	Shopify Admin API’ye bağlanmak
Ürün, varyant, stok, konum bilgileri	Katalog ve stok eşleştirmesi
Sipariş bilgileri (sipariş numarası, kalemler, tutarlar, kargo/ödeme yöntemi)	Siparişin karşılanması ve muhasebeleştirilmesi
Alıcının adı-soyadı	Kargo etiketi ve fatura
Teslimat ve fatura adresi (açık adres, ilçe, il, posta kodu, ülke)	Kargo etiketi, taşıyıcı API’si, e-Fatura/e-Arşiv
Telefon numarası	Kargo firmasının teslimat bildirimi ve teslimat sorunlarının çözümü

Shopify’dan e-posta adresi talep etmiyoruz. Uygulama, Shopify’ın korumalı müşteri verisi kapsamında e-posta adresini istemez ve işlemez. Bu bilinçli bir veri minimizasyonu kararıdır: kargo etiketi ve e-Arşiv fatura süreçleri e-posta olmadan yürüdüğü için bu alan Shopify’dan hiç toplanmaz.

Ancak: pazaryerlerinden (Trendyol, Hepsiburada vb.) gelen siparişlerde alıcının e-posta adresi — çoğu kanalda maskeli biçimde — sipariş kaydının parçası olarak gelebilir ve saklanır. Bu veri Shopify’dan değil, satıcının kendi pazaryeri hesabından gelir; yalnızca siparişin işlenmesi ve faturalandırılması için kullanılır, pazarlama amacıyla kullanılmaz.

Bunların dışındaki Shopify verilerine (müşteri hesabı geçmişi, pazarlama izinleri, ödeme kartı verisi vb.) erişilmez. Ödeme kartı bilgisi Hizmete hiçbir zaman ulaşmaz; ödeme Shopify ve ödeme kuruluşları arasında gerçekleşir.

2.2 Satıcıdan alınan veriler

• Firma unvanı, adresi, vergi dairesi ve vergi/TCKN numarası (fatura ve irsaliye için).
• Satıcı hesabının adı, e-postası ve telefonu (hesap yönetimi ve destek için).
• Pazaryeri, kargo ve e-Fatura entegratörü kimlik bilgileri — AES-256-GCM ile şifrelenmiş olarak saklanır, düz metin olarak hiçbir yerde tutulmaz ve kayıtlara (log) yazılmaz.

2.3 Pazaryerlerinden gelen veriler

Satıcının bağladığı pazaryerlerinden gelen siparişler de aynı kişisel veri kategorilerini (ad, adres, telefon; bazı pazaryerlerinde maskeli e-posta ve vergi numarası) içerir. Bu veriler pazaryerinin kendi sisteminden gelir ve Shopify’a sipariş olarak yazılabilir.

2.4 Teknik kayıtlar

İstek kimliği, IP adresi, tarayıcı bilgisi, hata mesajları ve senkron kayıtları güvenlik ve arıza teşhisi amacıyla tutulur. Kişisel veriye erişim ayrıca ayrı bir erişim kaydına yazılır (bkz. bölüm 8).

3. Verileri hangi amaçla işliyoruz?

1. Pazaryeri siparişini Shopify siparişine (ve tersine) dönüştürmek.
2. Kargo etiketi oluşturmak ve taşıyıcı API’sine gönderi açmak.
3. e-Fatura / e-Arşiv faturası düzenlemek (Türk vergi mevzuatı).
4. İade, değişim ve iptal taleplerini yürütmek.
5. Stok ve fiyatı kanallar arasında tutarlı tutmak.
6. Satıcıya destek vermek ve arıza gidermek.
7. Hizmetin güvenliğini sağlamak, kötüye kullanımı tespit etmek.

Yapmadıklarımız. Kişisel veriyi satmayız, kiralamayız, reklam/pazarlama amacıyla kullanmayız, profilleme yapmayız, farklı satıcıların verisini birleştirmeyiz ve yapay zekâ modeli eğitmek için kullanmayız.

4. Hukuki dayanak

İşleme	KVKK	GDPR
Sipariş karşılama, kargo, iade	m. 5/2-c — sözleşmenin kurulması/ifası için zorunlu olması	Art. 6(1)(b)
Fatura düzenleme ve saklama	m. 5/2-ç — hukuki yükümlülüğün yerine getirilmesi (VUK m. 253 vd.)	Art. 6(1)(c)
Güvenlik kayıtları, arıza teşhisi, kötüye kullanım tespiti	m. 5/2-f — meşru menfaat	Art. 6(1)(f)

Hizmet, müşteriye pazarlama iletisi göndermez; bu nedenle açık rızaya dayanan bir işleme yapılmaz.

5. Veriler nerede saklanır?

• Veriler Pazaryeri Merkezi hizmetinin PostgreSQL veritabanında, her satıcıya ait tenantId alanıyla ayrıştırılmış olarak tutulur. Satıcılar birbirinin verisini göremez.
• Shopify uygulamasının kendi veritabanında müşteri kişisel verisi saklanmaz; yalnızca mağaza oturumu, şifreli API anahtarı ve senkron ayarları bulunur.
• Tüm ağ trafiği TLS (HTTPS) üzerinden akar. Üçüncü taraf kimlik bilgileri veritabanında AES-256-GCM ile şifrelenir.
• Barındırma: Hetzner Online GmbH (Almanya, AB).

6. Ne kadar süre saklanır?

Ayrıntılı tablo için Veri Saklama Politikası belgesine bakınız. Özetle:

• Sipariş ve adres verisi: fatura kaydına bağlı olduğu için Türk vergi mevzuatı uyarınca 10 yıl saklanır; bu sürenin sonunda kişisel alanlar silinir.
• Kişisel veriye erişim kayıtları: 1 yıl.
• Uygulama teknik kayıtları ve webhook teslim kayıtları: 90 gün.
• Mağaza oturumu (erişim belirteci): uygulama kaldırıldığında silinir (Shopify app/uninstalled ve shop/redact webhook’ları).
• Şifreli API anahtarı: aynı webhook’larda boşaltılır; hesabınız pasife alınır, verileriniz silinmez. Uygulamayı yeniden kurarsanız aynı hesaba bağlanırsınız.
• Müşteri veri talebi dökümü: uygulama içinde şifreli olarak 30 gün tutulur, sonra içeriği boşaltılır.

Silme talebi geldiğinde ne olur?

Shopify customers/redact talebi ulaştığında ilgili sipariş kaydı silinmez; kaydın kişisel alanları (ad, adres, telefon) maskelenir ve kayda personalDataRedactedAt damgası atılır. Gerekçe: fatura düzenlenmiş bir siparişin kaydı Türk vergi mevzuatı (VUK) uyarınca saklanmak zorundadır; kaydın tamamen silinmesi yasal bir yükümlülüğün ihlali olur. Maskeleme sonrası kayıt yalnızca tutar, tarih ve vergi bilgisi düzeyinde kalır, kişiyi tanımlamaz. Yasal saklama süresi dolunca kayıt bütünüyle anonim hâle getirilir.

Maskelenen alanlar: ad, e-posta, telefon, açık adres, posta kodu, alıcı vergi/TC kimlik numarası ve pazaryerinden gelen ham sipariş gövdesi. Korunan alanlar: tutar, para birimi, tarih, sipariş numarası, SKU, fatura bilgisi ve il/ilçe. shop/redact talebinde de aynı yol izlenir: mağazanın tüm kişisel verisi maskelenir, hesap kapatılır, kayıtlar yasal süre boyunca saklanır.

7. Verileri kimlerle paylaşıyoruz?

Veriler yalnızca Hizmetin yürütülmesi için, yalnızca gereken kadarıyla aşağıdaki taraflara aktarılır:

Alıcı	Aktarılan veri	Amaç
Pazaryerleri: Trendyol, Hepsiburada, N11, Pazarama, Çiçeksepeti, İdefix, Koçtaş, PttAVM	Sipariş durumu, kargo takip numarası, fatura bilgisi	Siparişin pazaryerindeki durumunun güncellenmesi
Kargo firmaları (satıcının seçtiği taşıyıcı)	Alıcı adı, adresi, telefonu, paket bilgisi	Gönderi açmak, etiket basmak, teslimat takibi
e-Fatura / e-Arşiv entegratörü	Alıcı adı, adresi, varsa vergi bilgisi, tutarlar	Yasal fatura düzenlenmesi
Barındırma sağlayıcısı (Hetzner Online GmbH (Almanya, AB))	Altyapı üzerinde bulunan tüm veri (erişilmez, yalnız barındırılır)	Sunucu ve veritabanı barındırma
Shopify Inc.	Sipariş ve stok verisi	Mağaza verisinin kaynağı/hedefi

Pazaryerleri ve kargo firmaları, kendi mevzuatları gereği bu veriler üzerinde ayrıca kendi veri sorumlusu sıfatını taşır; bu tarafların kendi gizlilik politikaları geçerlidir. Güncel alt işleyen listesi Veri İşleme Sözleşmesi belgesinde tutulur ve değişiklikler satıcıya önceden duyurulur.

Bunların dışında veri, yalnızca yetkili kamu kurumlarının mevzuata uygun ve yazılı talebi hâlinde paylaşılır.

8. Güvenlik tedbirleri

• Tüm iletişim TLS (HTTPS) ile şifrelenir.
• Pazaryeri, kargo ve e-Fatura kimlik bilgileri ile satıcının API anahtarı veritabanında AES-256-GCM ile şifrelenir.
• API anahtarları düz metin saklanmaz; yalnızca tek yönlü özeti (HMAC-SHA256) tutulur.
• Kiracı izolasyonu: her sorgu tenantId ile sınırlıdır.
• Shopify webhook’larının tamamı HMAC imzası doğrulanarak işlenir; imzasız istek reddedilir.
• Yetkiler asgari kapsam ilkesine göre istenir (bkz. bölüm 2.1).
• Kişisel veriye erişim için ayrı bir erişim kaydı tutulacak şekilde tasarlandık: kayıt, erişim amacını ve okunan alanları içerir, müşteri kimliğini ise düz metin değil, tek yönlü özet (hash) olarak tutar. Bu kaydın tüm okuma yollarına bağlanması sürmektedir.

Güvenlik olaylarına nasıl müdahale ettiğimiz Güvenlik Olay Müdahale Politikası belgesinde yazılıdır. Kişisel veri ihlali hâlinde satıcıya gecikmeksizin, en geç 72 saat içinde bildirim yapılır.

9. Haklarınız

9.1 Alıcı (müşteri) iseniz

Verinizin sorumlusu, alışveriş yaptığınız satıcıdır. KVKK m. 11 ve GDPR Madde 15–22 kapsamındaki haklarınızı (bilgi talep etme, düzeltme, silme, işlemeye itiraz, veri taşınabilirliği) kullanmak için önce satıcıya başvurun. Satıcı talebi bize ilettiğinde 30 gün içinde gereğini yaparız.

9.2 Satıcı iseniz

• Mağazanıza ait verileri makine okunur biçimde dışa aktarmamızı isteyebilirsiniz.
• Hizmeti sonlandırdığınızda verinizin iadesini veya imhasını talep edebilirsiniz.
• Alt işleyen listesine itiraz edebilirsiniz.
• Veri İşleme Sözleşmesi (DPA) imzalamamızı talep edebilirsiniz.

10. Çerezler

Uygulama Shopify yöneticisine gömülü çalışır ve kimlik doğrulaması için oturum belirteci (session token) kullanır; üçüncü taraf çerezine bağımlı değildir. Takip, reklam veya analitik çerezi kullanılmaz. Bu gizlilik sayfası çerez kullanmaz.

11. Çocukların verileri

Hizmet işletmelere yöneliktir ve çocuklardan bilerek veri toplamaz. Siparişte yer alan kişisel veri, alıcının kendi verdiği teslimat bilgisidir.

12. Değişiklikler

Bu politika değiştiğinde sayfa başındaki sürüm ve tarih güncellenir. Satıcıyı etkileyen esaslı değişiklikler (örneğin yeni bir alt işleyen) yürürlüğe girmeden en az 30 gün önce duyurulur.

13. İletişim

• Veri işleyen: Lydros (Hanifi Ertuğrul Aslan)
• Adres: [ADRES]
• E-posta: [İLETİŞİM E-POSTASI]
• Destek talebi: destek formu
• KEP adresi: [KEP ADRESİ]
• VERBİS kaydı: [VERBİS KAYIT NUMARASI]