KVKK Aydınlatma Metni

1. Veri sorumlusu ve metnin kapsamı

Bu metin, KOOLİ platformunda hesap açan, bir işletmeyi temsil eden, firma doğrulamasına başvuran veya teklif, sipariş ve iletişim özelliklerini kullanan gerçek kişilerin kişisel verileri hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 10. maddesi kapsamında bilgi vermek amacıyla hazırlanmıştır. Veri sorumlusu, KOOLİ platformunun işletmecisidir.

Tüzel kişiye ait bilgiler, bir gerçek kişiyle ilişkilendirildikleri ölçüde kişisel veri niteliği taşır. Bu metin bir açık rıza talebi değildir. Metnin okunduğuna ilişkin beyan; reklam izni, tüm veri işleme faaliyetlerine genel onay veya yurt dışına aktarım için açık rıza anlamına gelmez.

2. Hangi kişisel veriler işlenir?

Kullandığınız özelliklere ve işlem aşamasına göre aşağıdaki bilgiler işlenir. Hesap açılışında bu bilgilerin tamamı istenmez; sonraki işlemler sırasında gerekli olan ek bilgiler alınır.

Kimlik ve iletişim: Yetkili kişinin adı ve soyadı, kurumsal e-posta adresi ve telefon numarası.
İşletme ve temsil bilgileri: Firma unvanı, hesap rolü, firma adresi, vergi dairesi ve vergi numarası ile başvuruda paylaşılan faaliyet ve yetki bilgileri; bunların gerçek kişi işletmesi veya temsilciyle ilişkilendirilebilen bölümleri.
Hesap ve işlem güvenliği: Hesap kimliği, parola doğrulaması için tutulan özet ve tuz değerleri, doğrulama bağlantısına ilişkin kayıtlar, e-posta/firma doğrulama durumu, oturum ve işlem zamanları, IP ve ilgili teknik erişim bilgileri. Parolanın kendisi yerine doğrulamada kullanılan kriptografik değerler saklanır.
Ticari işlem bilgileri: Fiyat erişimi talebi ve sonucu, fiyat grubu ve erişim süresi, teklif talepleri, teklifler, revizyonlar, sipariş kayıtları, teslim/iletişim bilgileri, mesajlar, ekler ve ilgili işlem geçmişleri.
İçerik ve destek bilgileri: Mağaza ve ürün içeriklerinde paylaşılan kişisel bilgiler, iletişim formu kayıtları, destek talepleri ve bunlara verilen cevaplar.
Bilgilendirme kayıtları: Kullanım Koşulları’nın kabul ve aydınlatma metninin okunduğuna ilişkin beyan zamanları; hesap ve işlem bildirimlerinin gönderim kayıtları.

3. İşleme amaçları ve hukuki sebepler

Her işlem için aşağıdaki dayanaklardan somut faaliyete uygun olanı uygulanır. Meşru menfaat dayanağı, temel hak ve özgürlüklerinize zarar vermemesi koşuluyla kullanılır. Bir şirket çalışanı veya temsilcisinin verileri, sırf şirket sözleşmenin tarafı olduğu için otomatik olarak sözleşme dayanağına bağlanmaz.

Hesap açılması, oturumun yönetilmesi ve talep edilen platform hizmetinin sunulması: Sözleşmenin tarafı olan gerçek kişi için sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve gerekli işlemler bakımından KVKK m.5/2-c; tüzel kişi temsilcisiyle kurumsal hesabın yürütülmesi bakımından gerekli ve ölçülü işlemler için m.5/2-f.
Firma başvurusunun ve temsil bilgilerinin incelenmesi, yetkilerin tanımlanması, sahte hesap ve kötüye kullanımın önlenmesi: Güvenilir ticari hizmet sunma ve platform güvenliğine ilişkin meşru menfaat kapsamında m.5/2-f; somut bir hukuki yükümlülüğün yerine getirilmesi gerektiğinde m.5/2-ç.
Fiyat erişimi, teklif, sipariş ve taraflar arasındaki mesajlaşma süreçlerinin sağlanması: Gerçek kişi sözleşme tarafı bakımından m.5/2-c; kurumsal temsilci bilgilerinin gerekli kullanımı için m.5/2-f; bir hakkın tesisi, kullanılması veya korunması için gerekli işlem kayıtları bakımından m.5/2-e.
Hesap güvenliği, doğrulama e-postaları, işlem bildirimleri ve teknik sorunların giderilmesi: Hizmetin ifasıyla doğrudan ilgili olduğu ölçüde m.5/2-c; sistemin ve kullanıcıların korunmasına yönelik gerekli işlemler bakımından m.5/2-f.
İlgili kişi başvurularının yanıtlanması, yetkili kamu mercilerinin hukuka uygun taleplerinin karşılanması ve bağlayıcı saklama yükümlülükleri: KVKK m.5/2-ç; kanunda açıkça öngörülen işlemler bakımından m.5/2-a. Hukuki uyuşmazlıklara ilişkin gerekli kayıtların korunması için m.5/2-e.
Ayrıca açık rıza gerektiren bir faaliyet gündeme gelirse kapsamı ve amacı ayrı olarak açıklanır. Bu kayıt beyanları, böyle bir faaliyet için peşinen açık rıza yerine kullanılamaz.

4. Toplama yöntemleri ve veri paylaşırken dikkat edilecekler

Veriler; kayıt ve firma başvuru formları, hesap/panel ekranları, fiyat erişimi başvuruları, teklif ve sipariş işlemleri, mesajlar, dosya yüklemeleri, iletişim formu ve destek yazışmaları yoluyla elektronik ortamda elde edilir. Teknik erişim ve güvenlik bilgileri hizmetin kullanımı sırasında otomatik yollarla oluşur. İşlem karşı tarafının sisteme girdiği temsilci veya teslim iletişim bilgileri de ilgili işlem kapsamında alınabilir.

Formlarda yalnızca işlem için gerekli bilgileri paylaşınız. Kimlik belgesinin tam kopyası, sağlık bilgileri, biyometrik veriler, ceza mahkûmiyeti bilgileri veya başka özel nitelikli kişisel veriler, ilgili işlem için açıkça ve hukuka uygun olarak istenmedikçe yüklenmemelidir. Başka kişilere ait bilgileri paylaşırken yetkiniz ve hukuki dayanağınız bulunmalıdır.

5. Veriler kimlere, hangi amaçla aktarılır?

Paylaşım, ilgili hizmet veya yükümlülüğün gerektirdiği veriyle sınırlandırılır. Yurt içi aktarımlar bakımından KVKK m.8 ile yukarıda açıklanan ilgili işleme şartları dikkate alınır. Yurt dışı aktarım şartları ayrıca aşağıdaki bölümde ele alınır.

İlgili üretici, bayi veya proje alıcısı: Başlatılan fiyat erişimi, teklif, sipariş ve mesajlaşma sürecinin yürütülmesi için gerekli firma/temsilci, iletişim ve işlem bilgileri paylaşılır. Her üreticiye tüm hesap bilgilerinin veya tüm ticari geçmişin açılması amaçlanmaz.
Kamuya açık ziyaretçiler: Yayınlanması için girilen mağaza, ürün ve firma profili içerikleri kapsamında yer alan bilgiler internet üzerinden görülebilir. Bu alanlara özel iletişim veya üçüncü kişi verileri eklerken yayın kapsamını dikkate alınız.
Teknik hizmet sağlayıcılar: Veritabanı ve dosya saklama, web barındırma, e-posta gönderimi, bakım ve güvenlik hizmetlerinin sağlanması için gerekli veriler işlenir. Mevcut uygulamada Supabase ve Resend entegrasyonları bulunur; web barındırma için Hostinger kullanılmaktadır. Sağlayıcıların işleme yerleri ve aktarım koşulları ayrıca doğrulanmalıdır.
Hukuk ve diğer yetkili profesyonel hizmet sağlayıcılar: Bir uyuşmazlığın takibi, hakların korunması veya hukuki yükümlülüğün yerine getirilmesi için gerekli olduğunda sınırlı paylaşım yapılabilir.
Yetkili kamu kurumları ve yargı mercileri: Hukuken geçerli talep veya bağlayıcı yükümlülük kapsamında gerekli kayıtlar paylaşılabilir.

6. Yurt dışına aktarım

Supabase, Hostinger ve e-posta hizmetinin veri merkezi, yedekleme, destek erişimi ve alt hizmet sağlayıcılarının ülkeleri ile uygulanan aktarım mekanizması henüz doğrulanmamıştır. Bu nedenle verilerin yalnızca Türkiye’de tutulduğu veya belirli bir aktarım güvencesinin mevcut olduğu yönünde beyanda bulunulmamaktadır.

Düzenli yurt dışı aktarımı için KVKK m.9’daki şartlar değerlendirilmelidir; bir hizmet sağlayıcının genel sözleşmesine sahip olmak tek başına bu şartların sağlandığını göstermez.

Kayıt sırasında bu metnin okunduğunun belirtilmesi yurt dışına veri aktarımına açık rıza değildir. Açık rızaya dayanan arızi aktarım istisnası, düzenli altyapı kullanımına ilişkin genel ve sürekli bir izin olarak ele alınamaz.

7. Saklama, silme ve güvenlik

Veriler, ilgili işleme amacının gerektirdiği süreyle ve varsa uygulanabilir kanuni saklama süresiyle sınırlı tutulmalıdır. Hesap kayıtları, ticari işlem kayıtları, güvenlik kayıtları ve destek yazışmalarının saklama gerekçeleri birbirinden farklıdır; tüm veriler için tek ve sınırsız bir saklama süresi uygulanamaz.

Hesabın kapatılması, devam eden işlem veya hukuki yükümlülük nedeniyle tutulması gereken kayıtların aynı anda silineceği anlamına gelmez. İşleme şartlarının tamamı ortadan kalktığında veriler, mevzuattaki usule uygun olarak silinir, yok edilir veya anonim hâle getirilir. Silme talepleri verinin türü, devam eden yükümlülük ve hakların korunması ihtiyacı yönünden değerlendirilir.

Veri sorumlusu, hukuka aykırı işleme ve erişimi önlemek ve verilerin korunmasını sağlamak için faaliyetin niteliğine uygun teknik ve idari tedbirleri almakla yükümlüdür. Mevcut uygulamada parola özetleme, oturum kontrolü ve rol/işlem yetkisi kontrolleri kullanılır. Bu önlemler mutlak güvenlik garantisi anlamına gelmez.

8. Oturum, tarayıcı saklaması ve bildirimler

Hesaba giriş ve oturumun sürdürülmesi için gerekli oturum çerezi kullanılır. Kullanıcı oturumunun mevcut süresi 7 gündür; çıkış işlemi oturum çerezini temizler. Teklif listesi gibi kullanıcı tarafından talep edilen özellikler için tarayıcının yerel saklama alanı da kullanılır. Bu kayıtlar ilgili özellikten veya tarayıcı ayarlarından temizlenebilir; temizlenmeleri oturumun veya kaydedilmiş listenin kaybolmasına yol açabilir.

Hesap doğrulaması, güvenlik ve devam eden ticari işlemlere ilişkin hizmet bildirimleri ile reklam/pazarlama iletileri farklı amaçlara hizmet eder. Kayıt olmak veya aydınlatma metnini okumak pazarlama izni olarak değerlendirilmez. Rıza gerektiren izleme veya pazarlama faaliyeti eklenirse bunun bilgilendirme ve tercih süreçleri ayrıca sağlanmalıdır.

9. KVKK kapsamındaki haklarınız

KVKK’nın 11. maddesi uyarınca veri sorumlusuna başvurarak aşağıdaki haklarınızı kullanabilirsiniz:

Kişisel verilerinizin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi isteme.
İşlemenin amacını ve verilerin bu amaca uygun kullanılıp kullanılmadığını öğrenme.
Verilerin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme.
Eksik ya da yanlış verilerin düzeltilmesini isteme.
Kanuni şartlar oluştuğunda verilerin silinmesini veya yok edilmesini isteme.
Düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
Verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucunda aleyhinize bir sonucun ortaya çıkmasına itiraz etme.
Verilerin kanuna aykırı işlenmesi nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

10. Başvuru yöntemi ve yanıt süresi

Haklarınıza ilişkin talepleri, veri sorumlusuna yazılı olarak veya mevzuatta öngörülen diğer başvuru yöntemleriyle iletebilirsiniz. KEP, güvenli elektronik imza, mobil imza veya daha önce veri sorumlusuna bildirdiğiniz ve sistemde kayıtlı e-posta adresinizle yapılacak başvurularda ilgili usul şartları uygulanır. Genel iletişim formu, kimlik doğrulaması gereken her başvurunun tamamlanmış olduğu anlamına gelmez.

Başvurunuzda ad ve soyadınız, yazılı başvuruda imzanız, Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası; yabancılar için uyruk, pasaport numarası veya varsa kimlik numarası, tebligat adresi, varsa bildirim e-postası/telefonu ve talebiniz bulunmalıdır. Konuyla ilgili belgeler eklenebilir. Kimlik doğrulaması için yalnızca gerekli ve ölçülü bilgi istenir; hesap parolanızı hiçbir başvuruya eklemeyiniz.

Başvurular, niteliğine göre mümkün olan en kısa sürede ve en geç 30 gün içinde sonuçlandırılır. İşlem kural olarak ücretsizdir; ayrıca maliyet doğması hâlinde yalnızca Kurul tarafından belirlenen tarifedeki ücret istenebilir. Talebin reddi hâlinde gerekçesi açıklanır.

Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde; cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kuruluna şikâyet hakkınız bulunmaktadır. Kanundaki veri sorumlusuna başvuru yolunun öncelikle tüketilmesi gerekir.