Gizlilik Politikası ve Kişisel Verilerin Korunması Aydınlatma Metni

Giriş

MercanWorks OÜ ("Biz", "Şirket" veya "N-XPLUS") olarak, kişisel verilerinizin güvenliğine ve gizliliğine en üst düzeyde önem veriyoruz.

İşbu Gizlilik Politikası; https://n-xplus.com web sitesini ("Site") ve N-XPLUS karar merkezi platformunu ("Hizmetler") kullandığınızda kişisel verilerinizin nasıl toplandığını, kullanıldığını, saklandığını ve korunduğunu açıklar.

MercanWorks OÜ, Estonya Cumhuriyeti yasalarına göre kurulmuş olup 17413775 sicil numarasıyla Harju maakond, Tallinn, Põhja-Tallinna linnaosa, Paavli tn 5a/1, 10412 adresinde mukimdir. Verileriniz, Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR") ve Türkiye Cumhuriyeti 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") standartlarına uygun olarak işlenmektedir.

1. Veri sorumlusu ve veri işleyen ayrımı (önemli)

Hizmetlerimizin işleyişi gereği, N-XPLUS iki farklı sıfatla hareket etmektedir:

• 1.1. Veri Sorumlusu (Data Controller) olarak: N-XPLUS'a başvuran ve üye olan Sizin (müşterimiz olan e-ticaret satıcısının) başvuru bilgilerinizi, hesap bilgilerinizi, fatura detaylarınızı ve iletişim verilerinizi işlerken "Veri Sorumlusu" sıfatıyla hareket ederiz.
• 1.2. Veri İşleyen (Data Processor) olarak: Pazaryeri raporlarınızı yüklediğinizde veya pazaryeri hesaplarınızı (Trendyol, Hepsiburada vb.) sisteme bağladığınızda, bu kayıtları Sizin adınıza ve talimatlarınızla işlerken "Veri İşleyen" sıfatıyla hareket ederiz. Bu verilerin sahibi ve sorumlusu Sizsiniz; N-XPLUS yalnızca hizmeti sağlayan bir aracıdır.

2. Topladığımız veriler

Hizmetlerimizi sunabilmek için aşağıdaki veri kategorilerini topluyor ve işliyoruz:

2.1. Doğrudan sağladığınız bilgiler (başvuru ve hesap verileri)

• Firma bilgileri: ticaret unvanı, firma türü (şahıs firması / anonim-limited şirket), VKN veya TCKN, satıcı tipi (tacir / esnaf-sanatkâr), satış yapılacak kategori ve alt kategoriler.
• Yetkili kişi: ad-soyad, e-posta adresi, telefon numarası.
• Belge: başvuru değerlendirmesi için yüklediğiniz vergi levhası (PDF, JPG, PNG veya WEBP).
• İsteğe bağlı: diğer pazaryerlerindeki mağaza bağlantılarınız.
• Hesap: e-posta adresi ve parolanızın kriptografik özeti. Parolanız hiçbir zaman düz metin olarak saklanmaz ve tarafımızca görülemez.
• Müşteri hizmetleri: destek taleplerinizde veya bizimle e-posta yoluyla iletişime geçtiğinizde sağladığınız içerikler.
• İletişim formu: /iletisim sayfasından yazdığınızda adınız, varsa firmanız, e-posta adresiniz, seçtiğiniz konu ve mesaj içeriği. Ayrıca kötüye kullanımı engellemek için IP adresinizin geri döndürülemez özü tutulur — ham IP saklanmaz.

2.2. Yüklediğiniz pazaryeri raporları (dosya verileri)

Pazaryeri panellerinden indirdiğiniz Excel/CSV çıktılarını yüklediğinizde, karar analizini üretebilmek için şu kayıtları işleriz:

• Sipariş kayıtları: sipariş numarası, tarih, ürün kalemleri, satış fiyatları, indirimler, kargo firması ve desi.
• İade ve iptal kayıtları: iade nedeni, tutar, net hak ediş, kargo bedeli.
• Ürün ve katalog: ürün adı, marka, model kodu, barkod, stok kodu (SKU), stok adedi, komisyon oranı.
• Değerlendirme ve yorumlar: ürün puanı ve yorum metni. Yorumlar pazaryerinin yayımladığı hâliyle işlenir; yorum sahibinin kimlik bilgileri sisteme alınmaz.
• Reklam ve kampanya: reklam harcaması, dönüşüm, komisyon ve kampanya bant bilgileri.
• Finans: hak ediş, komisyon kesintileri, kargo fatura tutarları.

Yüklediğiniz dosya son kullanıcı bilgileri içerse dahi, çözümleme sırasında yalnız karar analizi için gerekli alanlar alınır; kimlik ve iletişim alanları sisteme aktarılmaz.

2.3. Pazaryeri bağlantıları yoluyla toplanan veriler

Pazaryeri API anahtarlarınızı tanımlayarak bağlantı kurduğunuzda, yalnızca analiz ve raporlama amacıyla ve yalnızca okuma yaparak şu verileri çekeriz:

• Sipariş ve paket kayıtları,
• Cari hesap ekstresi, kesinti kalemleri ve kargo faturası kalemleri,
• Onaylı ürün kataloğu ve varyant bilgileri.

Aktarım alan bazlı beyaz listeyle yapılır: listede olmayan hiçbir alan sistemimize geçmez. Müşteri alanları ve mağaza adresi bu listenin dışındadır. Ayrıntı için 6. maddeye bakınız.

2.4. Otomatik toplanan teknik veriler

• Kayıtlar (Logs): IP adresi, tarayıcı türü, işletim sistemi, erişim zamanları ve hata kayıtları.
• Tarayıcı yerel depolaması: oturumunuzu açık tutmak ve tercihlerinizi (maliyet girdileri, filtre seçimleri) hatırlamak için tarayıcınızda tutulan kayıtlar. Ayrıntı: Çerez Politikası.

3. Verileri işleme amaçlarımız ve hukuki sebepler

Verilerinizi aşağıdaki amaçlarla ve belirtilen hukuki sebeplere dayanarak işlemekteyiz:

• Sözleşmenin ifası (GDPR Madde 6/1-b, KVKK Madde 5/2-c): başvurunuzu değerlendirmek, hesabınızı oluşturmak, karar merkezi hizmetini sağlamak, kâr-katkı, ürün sağlığı ve yorum analizlerini üretmek.
• Yasal yükümlülükler (GDPR Madde 6/1-c, KVKK Madde 5/2-ç): muhasebe ve fatura kayıtlarını tutmak, yetkili makamların taleplerine yanıt vermek.
• Meşru menfaat (GDPR Madde 6/1-f, KVKK Madde 5/2-f): yazılım hatalarını tespit etmek, kötüye kullanımı ve yetkisiz erişimi önlemek, hizmet kalitesini ve doğruluğunu ölçmek.
• Açık rıza (GDPR Madde 6/1-a, KVKK Madde 5/1): yalnızca gerekli olduğu hâllerde — örneğin ürün duyuruları için e-posta göndermek. Rızanızı dilediğiniz zaman geri alabilirsiniz.

4. Veri paylaşımı ve alt işleyiciler (sub-processors)

Kişisel verilerinizi asla üçüncü taraflara pazarlamaz veya satmayız. Ancak Hizmet'i kesintisiz ve güvenli sunabilmek için aşağıdaki altyapı sağlayıcılarıyla (Alt İşleyiciler) veri paylaşabiliriz:

Uygulama içindeki döviz kuru göstergesi için tarayıcınız open.er-api.com adresinden güncel kur bilgisi çeker. Bu isteğe hiçbir kişisel veriniz veya ticari veriniz eklenmez.

N-XPLUS, bu sağlayıcılarla yaptığı sözleşmelerde verilerin yalnızca N-XPLUS'ın talimatları doğrultusunda işlenmesini garanti altına alır.

5. Otomatik çözümleme, yorum motoru ve yapay zekâ

N-XPLUS'ın yorum zekâsı ve ürün sağlığı skoru; insan doğrulamalı kayıtlarla kalibre edilmiş, Türkçeye özel kural tabanlı bir motorla üretilir. Bu motor kendi altyapımızda çalışır.

Otomatik çözümleme sonucunda üretilen skorlar, risk etiketleri ve aksiyon önerileri yönetimsel karar desteği niteliğindedir; kesin sonuç veya finansal danışmanlık değildir. Ayrıntı için Kullanım Koşulları'nın 8. maddesine bakınız.

KVKK Madde 11/(g) ve GDPR Madde 22 kapsamında, verilerinizin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme hakkınız saklıdır.

6. Pazaryeri anahtarları: salt okuma ve şifreleme

Pazaryeri entegrasyonu N-XPLUS'ın en hassas noktasıdır; bu nedenle tasarımı değiştirilemez kurallara bağlanmıştır:

• Yalnızca okuma: Tüm pazaryeri istekleri GET yöntemiyle yapılır. N-XPLUS hiçbir koşulda pazaryerine ürün, stok, fiyat, sipariş, iade, teklif veya başka bir kayıt göndermez, değiştirmez veya silmez. İstek gövdesi gönderilmez ve yönlendirme takip edilmez.
• Beyaz liste: Hangi adreslerin ve parametrelerin çağrılabileceği kodda sabittir; listede olmayan bir adrese istek hiç gitmez.
• Şifreleme: Anahtarlarınız AES-256-GCM zarf şifrelemesiyle, firma ve platform bağlamına bağlanarak saklanır. Ana şifreleme anahtarı (KEK) yalnızca barındırma sağlayıcısının gizli değişkeninde tutulur; veritabanında bulunmaz.
• Tarayıcıya asla gönderilmez: Anahtarların saklandığı tabloda satır seviyesi güvenlik (RLS) açıktır ve istemci için bilinçli olarak hiçbir erişim politikası tanımlanmamıştır; şifreli zarf tarayıcıya hiçbir uç noktadan dönmez.
• Denetim: Salt okuma kuralı, her yayından önce otomatik testlerle doğrulanır — hem giden isteklerin yöntemi ve adresi, hem de kaynak kodda yazma çağrısı bulunup bulunmadığı taranır. Denetim kırmızıysa yayın yapılmaz.
• Kontrol sizde: Bağlantınızı dilediğiniz zaman tek tıkla silebilirsiniz; silindiğinde şifreli anahtar da kaydınızdan kaldırılır.

7. Uluslararası veri transferi

MercanWorks OÜ bir Estonya şirketidir. Verileriniz, Avrupa Birliği sınırları içerisindeki güvenli sunucularda — Frankfurt, Almanya (eu-central-1) bölgesinde — saklanmaktadır.

Türkiye'deki kullanıcılar için (KVKK açık rıza/taahhüt): Hizmetlerimizi kullanarak, verilerinizin Türkiye Cumhuriyeti sınırları dışına (Estonya/AB) aktarılmasına ve orada işlenmesine, KVKK Madde 9 uyarınca açık rıza göstermiş sayılırsınız. Estonya, KVKK kapsamında yeterli koruma sağlayan AB veri koruma standartlarına tabidir.

AB dışına (örneğin ABD'de yerleşik bir alt işleyiciye) yapılan sınırlı aktarımlar, Avrupa Komisyonu Standart Sözleşme Maddeleri (SCC) ile korunur.

8. Veri güvenliği

Verilerinizi yetkisiz erişime, kayba veya ifşaya karşı korumak için endüstri standardı önlemler alıyoruz:

• Şifreleme: Hassas veriler (pazaryeri anahtarları) AES-256-GCM ile şifreli saklanır (encryption at rest). Tüm veri transferleri TLS ile şifrelenir (encryption in transit) ve site HSTS ile yalnızca HTTPS üzerinden sunulur.
• Satır seviyesi güvenlik (RLS): Veritabanı mimarimizde RLS kullanılır. Bu sayede teknik bir hata olsa dahi bir kullanıcı başka bir kullanıcının verisini sorgulayamaz.
• Belge deposu: Vergi levhaları özel (public olmayan) bir depoda tutulur; yalnız başvurunuzu değerlendiren yetkili ekip, süreli ve imzalı bağlantı ile görüntüleyebilir.
• Erişim kısıtlaması: Kişisel verilere erişim, yalnızca işini yapmak için bu bilgiye ihtiyacı olan yetkili personelimizle sınırlandırılmıştır.
• Otomatik denetim kapıları: Her yayından önce salt okuma denetimi, şifreleme denetimi ve kişisel veri sızıntısı taraması koşulur; herhangi biri başarısızsa yayın durur.

9. Veri saklama süreleri

• Hesap açıkken: Hizmetlerimizi kullandığınız süre boyunca verilerinizi saklarız.
• Hesap kapandıktan sonra: Hesabınızı kapatmanız durumunda verileriniz (yasal saklama zorunluluğu bulunanlar hariç) 90 gün içinde kalıcı olarak silinir veya geri döndürülemez şekilde anonim hâle getirilir.
• Muhasebe ve fatura kayıtları: Estonya Muhasebe Yasası uyarınca 7 yıl saklanır.
• Reddedilen başvurular: Başvuru kaydı ve yüklenen vergi levhası, itiraz süresi de dikkate alınarak en geç 6 ay içinde silinir.
• İletişim formu mesajları: talebin kapanmasından sonra en geç 24 ay.
• Teknik kayıtlar (loglar): en fazla 12 ay.
• Pazaryeri bağlantı anahtarları: bağlantıyı sildiğiniz anda kaldırılır.

10. Haklarınız

GDPR ve KVKK (Madde 11) kapsamında aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenen verilerinizin bir kopyasını talep etme (veri taşınabilirliği — CSV/Excel biçiminde),
• Yanlış veya eksik verilerin düzeltilmesini isteme,
• Verilerinizin silinmesini (unutulma hakkı) isteme,
• Düzeltme, silme veya yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesine itiraz etme,
• Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Bu haklarınızı kullanmak için kayıtlı e-posta adresinizden [email protected] adresine yazabilirsiniz. Talebiniz yasal süre içinde (en geç 30 gün) ücretsiz olarak yanıtlanır. Başvuru yönteminin ayrıntısı için KVKK Aydınlatma Metni'nin 9. maddesine bakınız.

11. Çerezler ve tarayıcı yerel depolaması

N-XPLUS yalnızca hizmetin çalışması için zorunlu olan teknik kayıtları kullanır; reklam veya davranışsal izleme çerezi kullanmaz. Hangi kaydın ne amaçla ve ne kadar süreyle tutulduğunu Çerez Politikası sayfasında bulabilirsiniz.

12. İletişim

Gizlilik politikamızla ilgili sorularınız veya veri güvenliği endişeleriniz için veri koruma irtibat noktamızla iletişime geçebilirsiniz:

Şirket

MercanWorks OÜ

Sicil numarası

17413775

Adres

Harju maakond, Tallinn, Põhja-Tallinna linnaosa, Paavli tn 5a/1, 10412, Estonya

Veri koruma

[email protected]

Destek

[email protected]

Genel

[email protected]

AB vatandaşıysanız, Estonya Veri Koruma Müfettişliği'ne (Andmekaitse Inspektsioon) şikâyette bulunma hakkına sahipsiniz. Türkiye'de yerleşikseniz, başvurunuzun reddedilmesi veya süresinde yanıtlanmaması hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.