Veri İşleme Sözleşmesi (Mağaza Sahibi – CIQRA)
CIQRA OÜ · Sürüm 1.1 · Son güncelleme: 30 Ekim 2026 · Bu sözleşme, İngilizce Data Processing Agreement sürüm 2.5 hükümlerini Türkçe olarak yeniden düzenler ve KVKK m. 9 ile m. 12'ye özgü hükümleri ekler. Türkiye'de yerleşik veri sorumluları bakımından KVKK'ya özgü hükümlerde bu Türkçe metin esastır; diğer hususlarda İngilizce sözleşmeyle birlikte yorumlanır.
Taraflar
Veri sorumlusu: CIQRA Hizmet Koşulları'nı kabul eden ve Türkiye'de yerleşik olan veya Türkiye'deki ilgili kişilerin verilerini işleyen satıcı ("Mağaza Sahibi"). Kimlik ve iletişim bilgileri hesabındaki bilgilerdir.
Veri işleyen: CIQRA OÜ, sicil numarası 16465907, Veskiposti tn 2, 10138 Tallinn, Harju maakond, Estonya · info@ciqra.com ("CIQRA").
1. Tanımlar, roller ve kapsam
1.1 Mağaza Kişisel Verisi: CIQRA'nın hizmetleri sunarken Mağaza Sahibi adına işlediği kişisel veriler; mağazadan alışveriş yapan müşterilerin, ziyaretçilerin ve Mağaza Sahibi'nin çalışan ve kullanıcılarının mağaza ve hesap üzerinden işlenen verileri dâhil. Diğer kavramlar 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), GDPR ve Hizmet Koşulları'ndaki anlamı taşır.
1.2 Mağaza Kişisel Verisi bakımından veri sorumlusu Mağaza Sahibi, veri işleyen CIQRA'dır. CIQRA bu verileri yalnızca hizmetleri sunmak için işler.
1.3 CIQRA'nın kendi amaçlarıyla işlediği veriler (satıcı hesabı ve faturalandırma, platform güvenliği ve dolandırıcılığın önlenmesi, toplulaştırılmış analiz, kendi pazarlaması) bu sözleşmenin değil, Gizlilik Politikası ve KVKK Aydınlatma Metni'nin konusudur.
1.4 Ödeme verilerini Stripe kendi sözleşmeleri uyarınca, büyük ölçüde bağımsız veri sorumlusu olarak işler. CIQRA Pay ödeme ekranında girilen kart bilgileri doğrudan Stripe tarafından alınır, CIQRA tarafından işlenmez. Mağaza Sahibi'nin kendi seçtiği ödeme kuruluşları (iyzico, PayTR, banka sanal POS'u gibi) Mağaza Sahibi ile o kuruluş arasındaki sözleşmeye tabidir.
1.5 Bu sözleşme, kişisel verilerin işlenmesine ilişkin olarak Hizmet Koşulları ve Satıcı Sözleşmesi'ndeki aykırı hükümlerden önce gelir.
2. Talimatlar
2.1 CIQRA, Mağaza Kişisel Verisini yalnızca Mağaza Sahibi'nin belgelenmiş talimatlarıyla işler. Belgelenmiş talimatlar; bu sözleşme, Hizmet Koşulları ve Mağaza Sahibi'nin hizmetleri yapılandırması ve kullanmasıdır (ör. mağaza ayarlarında seçtiği saklama süreleri). Yurt dışına aktarım da bu talimatlara ve Ek-4'e tabidir.
2.2 CIQRA, bir talimatın KVKK, GDPR veya diğer veri koruma mevzuatına aykırı olduğu kanaatine varırsa Mağaza Sahibi'ni gecikmeksizin bilgilendirir.
3. Gizlilik
CIQRA, Mağaza Kişisel Verisini işlemeye yetkili kişilerin gizlilik yükümlülüğü altında olmasını ve verilere yalnızca görevleri için gerekli ölçüde erişmesini sağlar. Bu yükümlülük görevden ayrılmadan sonra da sürer (KVKK m. 12/4).
4. Veri güvenliği (KVKK m. 12)
4.1 CIQRA, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için riske uygun güvenlik düzeyini temin etmeye yönelik Ek-2'deki teknik ve idari tedbirleri uygular. Genel güvenlik düzeyini düşürmemek kaydıyla tedbirleri güncelleyebilir.
4.2 Taraflar, KVKK m. 12/2 uyarınca kişisel verilerin Mağaza Sahibi adına CIQRA tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınması konusunda müştereken sorumlu olduklarını kabul eder. Mağaza Sahibi kendi hesabının, kullanıcılarının, parolalarının ve mağazasında yaptığı yapılandırmanın güvenliğinden sorumludur.
4.3 Mağaza Sahibi'nin KVKK m. 12/3 kapsamındaki denetim hakkı Bölüm 10'a göre kullanılır.
5. Alt işleyenler
5.1 Genel yetki. Mağaza Sahibi, Ek-3'te ve yayımlanmış Alt İşleyen Listesi'nde yer alan alt işleyenlerin kullanılmasına genel yetki verir. CIQRA her alt işleyene, en az bu sözleşmedeki koruma düzeyini sağlayan yükümlülükleri sözleşmeyle yükler ve alt işleyenin yükümlülüklerini yerine getirmesinden Mağaza Sahibi'ne karşı sorumlu kalır.
5.2 Bildirim ve itiraz. CIQRA, bir alt işleyenin eklenmesini veya değiştirilmesini en az 30 gün önceden, listeyi güncelleyerek ve e-posta veya yönetim paneli ile bildirerek duyurur. Mağaza Sahibi, makul veri koruma gerekçeleriyle bildirimden itibaren 30 gün içinde itiraz edebilir. Taraflar itirazı iyi niyetle çözmeye çalışır; çözülemezse Mağaza Sahibi tek çare olarak etkilenen hizmeti feshedebilir ve feshedilen kısım için peşin ödenmiş ücretlerin kıst iadesini alır. Süresinde itiraz edilmezse değişiklik kabul edilmiş sayılır.
5.3 Acil değişiklik. Hizmetin güvenliği veya sürekliliği için bir alt işleyenin acilen kullanılması gerekirse (ör. olay veya sağlayıcı arızası) CIQRA bunu bildirim süresi dolmadan yapabilir ve Mağaza Sahibi'ni gecikmeksizin bilgilendirir; itiraz hakkı bu bildirimden itibaren işler.
5.4 KVKK bakımından alt işleyen değişikliği. Bir alt işleyen değişikliği Ek-4'teki standart sözleşmenin eklerinin güncellenmesini ve Kuruma yeniden bildirim yapılmasını gerektiriyorsa, bu güncelleme ve bildirim Ek-4 §4'e göre yapılır.
6. İlgili kişi başvuruları
6.1 CIQRA, işlemenin niteliğini dikkate alarak, Mağaza Sahibi'ne KVKK m. 11 ve m. 13 ile GDPR Bölüm III kapsamındaki başvuruları yanıtlamasında uygun teknik ve idari tedbirlerle yardımcı olur. CIQRA'ya doğrudan gelen ve Mağaza Kişisel Verisine ilişkin bir başvuruyu gecikmeksizin Mağaza Sahibi'ne iletir; Mağaza Sahibi'nin talimatı veya kanuni zorunluluk olmadıkça kendisi yanıtlamaz.
6.2 Mağaza Sahibi'nin talimatıyla CIQRA silme talebini uygular: müşterinin hesabı ve kişisel verileri (destek talepleri, canlı sohbet, yorumlar, favoriler gibi) silinir veya anonim hâle getirilir; mali kayıtlarda kişi çıkarılır veya anonim hâle getirilir, işlem kaydı Bölüm 9.3'teki yasal süre boyunca korunur. İzin geri alma kayıtları, geri almanın uygulanmaya devam etmesi için saklanır. Mağaza Sahibi bu talimatı yönetim panelinde müşterinin sayfasındaki "Kişisel veriler" bölümünden kendisi verebilir (silme, hatalı veya sahte talebin durdurulabilmesi için bir bekleme süresinden sonra çalışır) ya da info@ciqra.com adresine iletebilir; aynı bölümden müşterinin verilerinin makinece okunabilir bir kopyası da alınabilir.
6.3 KVKK m. 13 uyarınca ilgili kişi başvurularının en geç 30 gün içinde sonuçlandırılması Mağaza Sahibi'nin yükümlülüğüdür; CIQRA, Mağaza Sahibi'nin bu süreye uyabilmesi için talimatı aldığı tarihten itibaren makul sürede gerekli yardımı sağlar.
7. Yardım
CIQRA, işlemenin niteliğini ve elindeki bilgileri dikkate alarak Mağaza Sahibi'ne veri güvenliği, ihlal bildirimi, veri koruma etki değerlendirmesi ve denetim makamıyla ön istişare yükümlülüklerinde yardımcı olur.
8. Kişisel veri ihlalleri
8.1 CIQRA, Mağaza Kişisel Verisini etkileyen bir kişisel veri ihlalini öğrenmesinden itibaren gecikmeksizin ve her hâlde 72 saat içinde Mağaza Sahibi'ne bildirir. Bildirim, Mağaza Sahibi'nin kendi yükümlülüklerini yerine getirmesi için gereken ve CIQRA'nın makul olarak elinde bulunan bilgileri içerir; yeni bilgi edinildikçe tamamlanır.
8.2 KVKK ihlal bildirimi. Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca, veri sorumlusu olarak Mağaza Sahibi ihlali öğrenmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula, etkilenen ilgili kişilere de makul en kısa sürede bildirir. CIQRA, Mağaza Sahibi'nin bu bildirimi yapabilmesi için 8.1'deki bildirimi Türkçe hazırlar ve Kurul'un ihlal bildirim formundaki başlıklara (ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, Türkiye'deki ilgili kişilerin sayısı, olası sonuçlar, alınan ve alınacak tedbirler, irtibat kişisi) uygun olarak düzenler.
8.3 Bildirimler, Mağaza Sahibi'nin hesabındaki sahip e-posta adresine ve yönetim paneline yapılır. Mağaza Sahibi, ihlal bildirimleri için ayrı bir irtibat adresi tanımlayabilir. CIQRA'ya ihlal bildirimi ve güvenlik konularında security@ciqra.com, KVKK konularında info@ciqra.com adresinden ulaşılır.
9. Saklama, silme ve iade
9.1 Hizmet süresince saklama. CIQRA, Mağaza Sahibi farklı ve hukuka uygun bir talimat vermedikçe şu varsayılan süreleri uygular: sipariş, fatura, ödeme ve muhasebe kayıtları — mağaza aktif olduğu sürece (kapanış sonrası için 9.3); müşteri hesapları ve müşteri kişisel verileri (destek talepleri, canlı sohbet, yorumlar, favoriler dâhil) — mağaza aktif olduğu sürece, kişi bazında silme talebiyle sona erer; iletişim ve talep formu kayıtları — mağaza aktif olduğu sürece, Mağaza Sahibi mağaza ayarlarından (Ayarlar → Müşteri gizliliği → Veri saklama) 6, 12, 24 veya 36 aylık daha kısa bir süre seçebilir ve bu seçim belgelenmiş talimatıdır; form kayıtlarındaki kimlik ve finans numaraları — varsayılan olarak gönderildiği gibi; Mağaza Sahibi varsayılanı kapalı bir seçenekle 7, 30, 90, 180 veya 365 gün sonra maskelenmelerini açabilir; önceki sistemden taşınan kayıtlar (IP adresi içerir) — mağaza aktif olduğu sürece, Mağaza Sahibi yalnızca 24 veya 36 ay seçebilir (5651 sayılı Kanun uyarınca en az 2 yıl); tamamlanmamış sepetler ve sepet hatırlatma e-postaları — 1 yıl; pazarlama izin kayıtları — izin geçerli olduğu sürece, geri alma kaydı varsayılan olarak saklanır; çerez izin kayıtları — 365 gün artı 3 yıl; güvenlik ve denetim kayıtları — 2 yıl; uygulama ve teslim kayıtları — 12 ay.
9.2 Hizmetin sona ermesi. Hizmet sona erdikten sonra Mağaza Sahibi Mağaza Kişisel Verisini 30 gün boyunca dışa aktarma araçlarıyla alabilir. CIQRA ardından kapanan mağazanın verisini erişimi kısıtlanmış olarak yalnızca saklama, tasfiye ve uyuşmazlıkların çözümü için tutar ve mağazanın kapanmasından 2 yıl sonra, mevcut kopyalar dâhil siler (9.3'teki kayıtlar hariç). Mağaza Sahibi'nin yazılı talimatıyla bu süre dolmadan gecikmeksizin silinir.
9.3 Kanunen saklanması gereken kayıtlar. Sipariş, fatura, ödeme, iade ve hesap hareketi kayıtları mağaza kapandıktan sonra 10 yıl saklanır (Türk Ticaret Kanunu m. 82 ve Vergi Usul Kanunu m. 253). Silme talebinde kişi bu kayıtlardan çıkarılır veya anonim hâle getirilir, işlem kaydı korunur.
9.4 Yedekler. CIQRA'nın yedekleri en fazla 35 gün saklanır ve sonra üzerine yazılır; silinen veri yedeklerden en geç 35 gün içinde çıkar. Bir yedek geri yüklenirse, yedekten sonra yapılmış silmeler veri kullanılmadan önce yeniden uygulanır. Mağaza Sahibi'nin kendi panelinden oluşturduğu yedek arşivleri, seçtiği süre boyunca saklanır.
9.5 Silme teyidi ve imha kayıtları. Yazılı talep üzerine CIQRA silmenin yapıldığını yazılı olarak teyit eder. Saklama süreleri uyarınca yapılan her silme veya maskeleme kayda geçirilir (kişisel veri içermez) ve bu kayıtlar Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca en az 3 yıl saklanır.
9.6 Yeni sürelerin devreye alınması. 9.1 ve 9.2'deki yeni silme sürelerinin bir kısmı aşamalı olarak devreye alınmaktadır; bir süre devreye alınana kadar ilgili veri daha uzun saklanır, belirtilenden önce silinmez.
9.7 Mağaza Sahibi'nin saklama ve imha politikası. Kendi kişisel veri saklama ve imha politikasını hazırlamak ve uygulamak Mağaza Sahibi'nin yükümlülüğüdür; CIQRA 9.1'deki seçeneklerle buna imkân sağlar.
10. Denetim
CIQRA, bu sözleşmeye uyumu göstermek için gerekli bilgileri Mağaza Sahibi'ne sağlar ve denetimlere şu şekilde katkıda bulunur: (a) öncelikle belgeler, güvenlik tedbirleri özetleri ve sahip olduğu üçüncü taraf belgelendirme veya denetim raporlarıyla yanıt verir; (b) bunlar yeterli olmazsa Mağaza Sahibi veya gizlilik yükümlülüğü altındaki bağımsız bir denetçi, 12 ayda en fazla bir kez (kanunen gerekli hâllerde veya bir ihlalden sonra daha sık), en az 30 gün önceden yazılı bildirimle, mesai saatlerinde, faaliyetleri makul olmayan ölçüde aksatmadan ve masrafı Mağaza Sahibi'ne ait olmak üzere denetim yapabilir. Denetim diğer müşterilerin verilerini kapsamaz.
11. Yurt dışına aktarım
11.1 Mağaza Kişisel Verisi Avrupa Birliği'nde (Microsoft Azure, Almanya) barındırılır; yapay zekâ özellikleri AB Veri Bölgesi'nde işlenir. Türkiye'deki Mağaza Sahibi'nin bu verileri CIQRA'ya erişilebilir kılması, KVKK m. 9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (RG 10.07.2024, sayı 32598) anlamında yurt dışına aktarımdır.
11.2 Bu aktarımın uygun güvencesi, Kişisel Verileri Koruma Kurulu'nun ilan ettiği Standart Sözleşme – 2 (Veri Sorumlusundan Veri İşleyene)'dir. Standart sözleşme Kurul'un yayımladığı metin değiştirilmeden, bu Veri İşleme Sözleşmesi'nden ayrı olarak imzalanır. İmza, bildirim ve güncelleme usulü Ek-4'tedir. Bu Veri İşleme Sözleşmesi standart sözleşmenin yerine geçmez; standart sözleşme ile bu sözleşme arasında çelişki olursa standart sözleşme hükümleri uygulanır.
11.3 CIQRA'nın alt işleyenlerine yapılan sonraki aktarımlarda, KVKK m. 9 ve Yönetmelik m. 7 uyarınca veri işleyen için öngörülen usul uygulanır. AB tarafında, AEA dışındaki alıcılara yapılan aktarımlar için AB Standart Sözleşme Hükümleri (2021/914) ve ABD'de sertifikalı alıcılar için 2023/1795 sayılı yeterlilik kararı uygulanır. CIQRA'nın aktarım etki değerlendirmesinin özeti Alt İşleyen Listesi Bölüm 9'dadır.
12. Sorumluluk
Tarafların bu sözleşmeden doğan sorumluluğu, kanunun izin verdiği ölçüde Hizmet Koşulları Bölüm 11'deki sınırlamalara tabidir. Bu hüküm ilgili kişilerin KVKK ve GDPR'dan doğan haklarını sınırlamaz.
13. Yapay zekâ özellikleri
Mağaza Sahibi yapay zekâ özelliklerini kullandığında CIQRA, Mağaza Kişisel Verisini Ek-3'teki yapay zekâ alt işleyeni (Microsoft Azure AI Foundry; AB Veri Bölgesi, Almanya ve İsveç) üzerinden yalnızca istenen özellik için gerekli ölçüde işler; müşteri girdileri ve çıktıları model eğitiminde kullanılmaz. Varsayılan olarak e-posta adresleri, telefon numaraları, kart numaraları ve IBAN'lar gönderilmeden önce yer tutucularla değiştirilir. Mağaza Sahibi, kendi hukuki sebebi ve uygun güvenceleri olmadan özel nitelikli kişisel verileri yapay zekâ özellikleriyle işlemez.
14. Süre, kabul ve değişiklik
14.1 Bu sözleşme, Mağaza Sahibi'nin kayıt veya abonelik sırasında ayrı onay kutusunu işaretleyerek kabul etmesiyle yürürlüğe girer ve hizmet ilişkisi ile Bölüm 9'daki süreler boyunca devam eder. CIQRA, kabulün kaydını (belge kimliği, sürüm, metnin özet değeri, zaman, kabul eden kullanıcı ve doğrulanabildiğinde IP adresi) saklar.
14.2 CIQRA bu sözleşmeyi değiştirdiğinde yeni sürümü yürürlüğe girmeden en az 30 gün önce Mağaza Sahibi'ne bildirir ve kabulünü ister; kanuni zorunluluktan doğan değişiklikler saklıdır.
14.3 Uyuşmazlıklarda Hizmet Koşulları'nın 15. bölümü uygulanır. Emredici KVKK hükümleri ve ilgili kişilerin hakları saklıdır.
Ek-1 — İşlemeye ilişkin ayrıntılar
| Başlık | İçerik |
|---|---|
| Veri sorumlusu (veri aktaran) | Mağaza Sahibi — hesabındaki unvan, adres, MERSİS/vergi no, KEP (varsa), VERBİS sicil bilgisi (varsa) |
| Veri işleyen (veri alıcısı) | CIQRA OÜ, Veskiposti tn 2, 10138 Tallinn, Estonya · info@ciqra.com |
| İlgili kişi grupları | mağaza müşterileri ve ziyaretçileri; Mağaza Sahibi'nin çalışan ve kullanıcıları; pazarlama iletilerinin alıcıları; yorum ve kullanıcı içeriği yazarları; mağaza formlarını dolduran kişiler (ör. iletişim, teklif, başvuru formları) |
| Kişisel veri kategorileri | kimlik ve iletişim (ad, e-posta, telefon, adres); sipariş ve işlem (ürünler, tutarlar, sipariş geçmişi — tam kart numarası hariç); hesap bilgileri (parola özetlenmiş biçimde); yazışma ve destek; pazarlama tercihleri ve izin kayıtları; cihaz, kullanım ve kayıt verileri, çevrim içi tanımlayıcılar; kullanıcı içeriği; Mağaza Sahibi'nin mağaza formlarıyla toplamayı seçtiği diğer veriler |
| Özel nitelikli kişisel veriler | işlenmesi amaçlanmaz. Mağaza Sahibi mağazasını bu verileri toplayacak şekilde yapılandırırsa, KVKK m. 6'daki şartlar ve Kurul'un belirlediği yeterli önlemler bakımından sorumluluk Mağaza Sahibi'ndedir |
| İşlemenin niteliği ve amacı | barındırma, depolama ve görüntüleme; sipariş işleme; arama ve öneriler; Mağaza Sahibi'nin talimatıyla işlemsel ve pazarlama iletileri; Mağaza Sahibi'nin yapılandırdığı analiz; kullanılırsa yapay zekâ destekli özellikler; platformun işletilmesi, güvenliği ve destek |
| Aktarımın sıklığı | sürekli, hizmet süresince |
| Süre | hizmet süresi artı sözleşme Bölüm 9'daki saklama, dışa aktarma ve silme süreleri |
| Aktarılan ülkeler | Almanya ve İsveç (AB, Microsoft Azure); Ek-3'te belirtilen alt işleyenlerin bulunduğu ülkeler |
| Alt işleyenlere aktarım | Ek-3 |
Ek-2 — Teknik ve idari tedbirler
| Alan | Tedbir |
|---|---|
| Kiracı ayrımı | her mağazanın verisi veritabanında satır düzeyi güvenlikle ayrılır; uygulama bu kuralı atlayamayan bir rolle bağlanır; her sorguya kiracı kapsamı uygulanır; değişiklikler yayına alınmadan önce otomatik kiracılar arası ayrım testleri çalışır |
| Erişim kontrolü | kimlik doğrulama, rol tabanlı yetkilendirme, ayrıcalıklı erişimde çok faktörlü kimlik doğrulama, en az yetki ilkesi, erişim belirteçlerinin kiracıya bağlanması |
| Şifreleme | aktarımda TLS; depolamada barındırma platformunun şifrelemesi; Azure Key Vault'ta tutulan anahtar şifreleme anahtarlarıyla sarılan kiracı başına veri şifreleme anahtarları |
| Ödemeler | PCI DSS SAQ A kapsamı — tam kart numaraları Stripe tarafından alınır, CIQRA sistemlerine ulaşmaz |
| Veri konumu | barındırma, işlem, veritabanı, depolama ve anahtar yönetimi Microsoft Azure Almanya'da (Germany West Central); coğrafi yedekler Germany North'ta; yapay zekâ işlemleri AB Veri Bölgesi'nde (Germany West Central ve Sweden Central); çıplak alan adı yönlendirme hizmeti Sweden Central'da |
| İzleme ve olay müdahalesi | merkezi kayıt tutma, metrikler ve hata izleme; istek sınırlama ve hesap kilitleme; yazılı ihlal bildirim prosedürü |
| Süreklilik | otomatik, coğrafi yedekli veritabanı yedekleri ve belirli bir ana geri dönüş; silinen dosyaların kurtarılabilir kopyaları; hepsi en fazla 35 gün |
| Güvenli geliştirme | kod incelemesi, kiracı ayrımı testleri dâhil otomatik testler, değişikliklerin yayın öncesi güvenlik incelemesi |
| Tedarikçi yönetimi | alt işleyenler yazılı veri koruma hükümleriyle çalıştırılır (Bölüm 5) |
| Personel | gizlilik yükümlülüğü; görev gereği erişim |
| İmha | saklama sürelerine göre silme ve maskeleme; imha kayıtları en az 3 yıl |
Bu tablo İngilizce DPA Annex II ile aynıdır. CIQRA bu tarihte ISO 27001 veya SOC 2 belgesine sahip değildir; bu sözleşme böyle bir belge olduğunu iddia etmez.
Ek-3 — Alt işleyenler
Esas liste: yayımlanmış Alt İşleyen Listesi sürüm 2.3 (30 Ekim 2026). Aşağıdaki tablo o listenin, Mağaza Kişisel Verisini işleyen satırlarının Türkçe özetidir; liste değiştiğinde bu Ek de aynı sürümde güncellenir.
| Alt işleyen | Hizmet | Konum | AB tarafındaki güvence |
|---|---|---|---|
| Microsoft Ireland Operations Ltd (Microsoft Azure) | barındırma, işlem, veritabanı, dosya depolama, yedekler, anahtar yönetimi | AB — Germany West Central; yedekler Germany North; çıplak alan adı yönlendirme Sweden Central | AEA içinde işleme; AEA dışından erişim için SCC |
| Microsoft Ireland Operations Ltd (Azure Communication Services) | işlemsel e-posta gönderimi | AB | AEA içinde işleme; AEA dışından erişim için SCC |
| Cloudflare, Inc. | içerik dağıtımı, DNS, web uygulama güvenlik duvarı, DDoS ve bot koruması, özel alan adları, Turnstile | küresel ağ; ABD (ana şirket) | AB-ABD DPF (sertifikalıysa) ve SCC |
| Microsoft Ireland Operations Ltd (Azure AI Foundry, Azure OpenAI modelleri) | yalnızca yapay zekâ özelliği kullanıldığında: metin, çeviri, gömme, görsel, asistanlar | AB Veri Bölgesi — Germany West Central ve Sweden Central | AEA içinde işleme; AEA dışından erişim için SCC |
| Stripe Payments Europe, Limited (İrlanda) ve Stripe, Inc. (ABD) | CIQRA Pay: ödeme, Connect hesapları, doğrulama, dolandırıcılık önleme, ödeme aktarımı | AB ve ABD | büyük ölçüde bağımsız veri sorumlusu; DPF ve SCC |
| Google Cloud EMEA Limited (reCAPTCHA) | Mağaza Sahibi'nin açtığı formlarda bot koruması | İrlanda; Google küresel altyapısı | işleyen olarak; DPF ve SCC |
| Hosting Concepts B.V. (Openprovider) | CIQRA üzerinden alınan alan adlarının kaydı | Hollanda (AB) | AEA içinde işleme |
| REKLAM BEŞ TANITIM VE BİLİŞİM HİZMETLERİ DANIŞMANLIK TURİZM SAN. TİC. LTD. ŞTİ. (Reklam5) | CIQRA'nın iş e-postası altyapısının işletilmesi (destek yazışmalarındaki Mağaza Kişisel Verisi) | Türkiye | SCC Modül 3 (Alt İşleyen Listesi §5, §9.2) |
Mağaza Sahibi'nin kendisinin seçip sözleşme yaptığı üçüncü kişiler (kargo şirketleri, SMS sağlayıcıları, pazar yerleri, kendi ödeme kuruluşları, İYS bağlantısı, reklam ve analiz araçları) CIQRA'nın alt işleyeni değildir; Mağaza Sahibi ile o kişi arasındaki sözleşmeye tabidir (Alt İşleyen Listesi §6). Bu üçüncü kişilere yurt dışına aktarım varsa KVKK m. 9 yükümlülükleri Mağaza Sahibi'ne aittir.
Ek-4 — Yurt dışına aktarım (KVKK m. 9)
1. Dayanak. Kurul'un 04.06.2024 tarihli ve 2024/959 sayılı kararıyla ilan edilen Kişisel Verilerin Yurt Dışına Aktarılmasında Kullanılacak Standart Sözleşme – 2 (Veri Sorumlusundan Veri İşleyene). Resmî metin: https://www.kvkk.gov.tr/Icerik/7931/Kisisel-Verilerin-Yurt-Disina-Aktarilmasinda-Kullanilacak-Standart-Sozlesme-2-Veri-Sorumlusundan-Veri-Isleyene-. Bu Ek resmî metni çoğaltmaz ve değiştirmez; imza nüshası olarak Kurul'un yayımladığı metin kullanılır.
2. Taraflar ve doldurulacak alanlar. Veri aktaran: Mağaza Sahibi. Veri alıcısı: CIQRA OÜ. Resmî metnin yalnızca tarafların seçimine bıraktığı alanlar doldurulur: alt veri işleyen maddesinde genel yetkilendirme ve 30 günlük bildirim süresi (bu sözleşmenin 5.2 maddesiyle aynı); bildirim maddesinde bildirimi yapacak taraf (§3); ekler (taraflar, aktarımın ayrıntıları — Ek-1 ile aynı; teknik ve idari tedbirler — Ek-2 ile aynı; alt veri işleyenler — Ek-3 ile aynı). Başka hiçbir kelime eklenmez, çıkarılmaz.
3. Kuruma bildirim. Yönetmelik m. 14/5 uyarınca standart sözleşme, imzaların tamamlanmasından itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir; taraflar bildirimi kimin yapacağını belirleyebilir, belirlemezlerse veri aktaran bildirir. CIQRA'nın yayımlanmış Türkiye Pazarına İlişkin Ek Hükümler'i (§4.2) bildirimi CIQRA'nın yapacağını öngörür; standart sözleşmenin bildirim maddesinde bildirim yükümlüsü olarak "veri alıcısı" seçilir. Bildirim, Kurum'un Standart Sözleşme Bildirim Modülü (https://standartsozlesme.kvkk.gov.tr/) üzerinden, mümkün değilse KEP veya fiziken yapılır. CIQRA, bildirimin yapıldığı tarihi ve Kurum'un verdiği alındı/başvuru numarasını Mağaza Sahibi'ne e-postayla iletir. Mağaza Sahibi, VERBİS kaydı varsa kendi sicil bilgilerini (aktarılan veri kategorileri, alıcı grupları, yabancı ülkeler) günceller.
4. Güncelleme. Taraflar, standart sözleşmenin tarafları veya içeriği değiştiğinde, ekleri değiştiğinde ya da sözleşme sona erdiğinde Yönetmelik m. 14/8 uyarınca yeniden bildirim yapar. Ek-3'teki bir alt işleyen değişikliği bu kapsamdaysa, CIQRA güncel ekleri 5.2'deki bildirimle birlikte Mağaza Sahibi'ne sunar ve bildirimi §3'e göre yapar.
5. İmza yöntemi. Resmî metin imza yetkilileri tarafından ıslak imza veya güvenli elektronik imza ile imzalanır; tıklayarak onay (clickwrap) standart sözleşme için kullanılmaz. Yabancı dildeki belgeler (CIQRA OÜ'nün Estonya ticaret sicili kaydı ve imza yetki belgesi gibi) bildirime noter onaylı Türkçe tercümesiyle eklenir (Yönetmelik m. 14/6).