KVKK Aydınlatma Metni

Aydınlatmanın amacı ve kapsamı

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 10'uncu maddesi kapsamında Sağlık Çiftliği Market internet sitesinin müşteri, ziyaretçi ve üretici işlemleri sırasında işlenmesi öngörülen kişisel veriler hakkında aydınlatma sağlamak amacıyla hazırlanmıştır. Veri sorumlusu sıfatı ve alıcı grupları, işletmenin gerçekten yürüttüğü faaliyet ve taraflar arasındaki ilişkilere göre doğrulanmalıdır. Aydınlatma ile açık rıza birbirinden farklı hukuki süreçlerdir.

Veri sorumlusu ve iletişim

• İşletmenin kaşede bulunan adı ve kişi bilgisi: Fatih Alkan (Bursa Osmanlı Döner) — hukuki unvan teyit edilmeli.
• Adres: Yeşilova Mahallesi, Gazi Caddesi, No:105/B, Osmangazi/Bursa (kaşe bilgisi; teyit edilmeli).
• Hukuki kimlik ve veri sorumlusu sıfatı: [Satıcının platform mu yoksa doğrudan satıcı mı olduğu müşteriyle netleştirilecek].
• Veri koruma başvuruları için e-posta: [Müşteri hizmetleri e-postası doğrulanacak].
• Telefon: [İşletmenin telefon numarası girilecek].

Hangi kişisel veriler söz konusu olabilir?

Sipariş oluşturulması sırasında ad ve soyad, iletişim bilgisi, teslimat adresi, sipariş ürünleri, bedel ve ödeme yöntemi, teslimat ve iade kayıtları işlenebilir. İletişim kanalları kullanıldığında talebin içeriği ve başvuru kayıtları işlenebilir. Sitenin güvenliği ve oturum devamlılığı amacıyla çerez/oturum tanımlayıcıları ve hukuka uygun teknik günlük kayıtları tutulabilir.

Üretici/satıcı panelinin kullanılması hâlinde yetkili adı, satıcı ticari bilgileri, oturum ve erişim bilgileri, yüklenen ürün içeriği, ilgili satıcıya ait siparişler ve yetki kayıtları işlenebilir. İleride üyelik açılırsa üyelik hesabına ait ayrıca ve şeffaf biçimde açıklanmış veriler işlenebilir.

İşleme amaçları ve hukuki sebepleri

• Sözleşmenin kurulması ve ifası için gerekli sipariş, ödeme doğrulama, teslimat ve destek süreçleri: KVKK m.5/2(c) koşulları mevcut olduğunda sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması.
• Fatura, vergi ve diğer kanuni muhasebe yükümlülükleri: KVKK m.5/2(ç) kapsamında veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
• Başvuru ve uyuşmazlık kayıtlarının korunması: koşulları varsa KVKK m.5/2(e) kapsamında bir hakkın tesisi, kullanılması veya korunması için gerekli olması.
• Uygun teknik güvenlik ve kötüye kullanımın önlenmesi: veri sorumlusunun veya ilgili kişilerin menfaat dengesi gözetilerek koşulları varsa KVKK m.5/2(f) kapsamında meşru menfaat.
• İsteğe bağlı reklam, performans/analitik çerezleri veya kişiselleştirilmiş pazarlama: ayrıca belirlenmiş hukuki şart ve gereken durumda ayrı açık rıza ile gerçekleştirilmesi.

Toplama yöntemleri

Veriler sipariş/iletişim formları, ilgili satıcı panelleri, ödeme ve teslimat süreçleri ile zorunlu teknik oturum kayıtları üzerinden elektronik ortamda elde edilebilir. Her veri kategorisi için fiilen gerçekleşen işlem ve dayanak belirlenmelidir. İşletmede bulunmayan veri işleme faaliyetleri sırf örnek metinde geçiyor diye yürütülüyor kabul edilmez.

Kime ve hangi amaçlarla aktarım yapılabilir?

Siparişin teslimatını yapacak gerçek satıcıya ve gerektiği ölçüde kargo/lojistik hizmeti sağlayıcısına, ödeme sürecinde seçili ödeme kuruluşuna, teknik barındırma ve güvenlik hizmeti sağlayıcılarına ve hukuken yetkili kamu kurumlarına gerekli veriler aktarılabilir. Her aktarımın kapsamı ve alıcı rolü fiilen kullanılan hizmete göre belirlenmelidir. Veri yalnızca gerektiği ölçüde ve hukuka uygun şekilde paylaşılmalıdır.

Yurt dışı aktarım ihtimali

Cloudflare, dış kaynaklı görsel/CDN, ölçüm veya e-posta hizmetleri kullanılıyorsa bunların hangi kişisel verilere eriştiği ve yurt dışı aktarımın söz konusu olup olmadığı teknik envanterle belirlenmelidir. Yurt dışı aktarımı varsa KVKK m.9'daki koşullar ve uygun güvenceler ayrıca değerlendirilmelidir. Yurt dışına aktarım olmadığı veya açık rızayla yapıldığına ilişkin doğrulanmamış kesin ifade kullanılmaz.

Saklama ve imha yaklaşımı

Kişisel veriler, belirli işleme amacı ve ilgili mevzuatın gerektirdiği süreyle saklanmalıdır. Muhasebe ve yasal ispat kayıtlarının süreleri ilgili mevzuata göre; üyelik, pazarlama ve teknik kayıtlar ise süreç ve risklere göre ayrı ayrı belirlenmelidir. Amaç veya hukuki sebep ortadan kalktığında veri, mevzuata uygun yöntemlerle silinmeli, yok edilmeli veya anonimleştirilmelidir. Her veri kategorisi için somut süre envantere işlenmeden tek bir sürenin tüm veriler için geçerli olduğu söylenemez.

Kişinin KVKK kapsamındaki hakları

İlgili kişi KVKK'nın 11'inci maddesi kapsamındaki haklarını kullanabilir; başvurusunun koşullarına göre verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini isteme, mevzuattaki şartlarla silinmesini talep etme, kanuna aykırı işlemden kaynaklanan zararın giderilmesini isteme ve diğer kanuni hakları söz konusu olabilir. Başvuru yöntemleri Veri Sahibi Başvuru Rehberi'nde açıklanmıştır.

Aydınlatma ve açık rızanın ayrılması

Aydınlatma yapılması kural olarak onaya bağlı değildir. Açık rıza gereken faaliyetler için rıza talebi aydınlatma metninden ayrı sunulmalı, özgür iradeye dayanmalı, belirli ve bilgilendirilmiş olmalıdır. Tüketiciden sırf bu metni okudu diye pazarlama rızası verdiğini kabul eden zorunlu checkbox kullanılmamalıdır.

Güvenlik ve değişiklikler

Uygun erişim kontrolü, yetkilendirme, düzenli yedekleme ve güvenli iletişim gibi tedbirlerin gerçekten uygulanması gerekir. Belgelerin güncellenmesi geçmişteki hukuka aykırı veri işleme faaliyetlerini kendiliğinden hukuka uygun hale getirmez. Fiilî veri akışına göre bu aydınlatmanın ayrıca doğrulanması ve gerektiğinde veri sahibi gruplarına özel metinler hazırlanması gerekir.