Gizlilik Politikası ve KVKK Aydınlatma Metni

Son güncelleme: 21 Ekim 2026

Gizlilik Politikası ve KVKK Aydınlatma Metni

1. Amaç ve kapsam

Bu metin, HANVERON markasıyla sunulan bulut tabanlı stok, fatura kayıtları ve kâr yönetimi hizmeti kapsamında kişisel verilerin nasıl işlendiğini açıklamak ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 10. maddesi uyarınca ilgili kişileri aydınlatmak amacıyla hazırlanmıştır.
Metin; internet sitesini ziyaret edenleri, ücretsiz deneme veya ücretli abonelik hesabı açan işletmeleri, bu işletmelerin yetkili kullanıcılarını, destek veya demo talebi ileten kişileri, işletmelerin sipariş sayfalarından sipariş veren kişileri ve müşteri işletmeler tarafından Hizmet’e kaydedilen kişisel verilerin ilgili olduğu kişileri kapsar.
HANVERON:
1. Hesap, abonelik, iletişim, güvenlik ve kendi operasyonlarına ilişkin kişisel veriler bakımından veri sorumlusudur.
2. Müşteri işletmenin kendi faaliyetleri kapsamında Hizmet’e girdiği çalışan, tedarikçi, müşteri veya diğer üçüncü kişilere ait kişisel veriler bakımından kural olarak veri işleyen sıfatıyla, ilgili müşterinin talimatları doğrultusunda hareket eder. Bu verilerin hangi amaç ve hukuki sebeple işleneceğini belirleme sorumluluğu müşteri işletmeye aittir.

2. Veri sorumlusunun kimliği

Veri sorumlusu: Özkan Yiğithan Gündoğdu
Marka: HANVERON
İletişim e-postası: yigithan@hanveron.com

3. İşlenen kişisel veri kategorileri

Kimlik ve hesap bilgileri: Ad, soyad, kullanıcı kimliği ve hesapla ilişkilendirilen işletme veya mağaza bilgileri.
İletişim bilgileri: E-posta adresi, telefon numarası ve destek taleplerinde paylaşılan iletişim bilgileri.
Yetkilendirme bilgileri: Kullanıcı rolü, mağaza erişimleri, izinler, hesap yöneticisi bilgisi ve rol değişiklikleri.
Abonelik ve işlem bilgileri: Seçilen plan, aktif mağaza sayısı, abonelik başlangıç ve sona erme bilgileri, faturalandırma ve ödeme durumu. Tam kart bilgileri ancak ayrıca açıkça belirtilen bir ödeme altyapısında gerekli olduğu ölçüde ilgili ödeme kuruluşu tarafından işlenir.
Kullanım ve güvenlik bilgileri: IP adresi, oturum bilgileri, giriş-çıkış zamanları, hata ve sistem logları, işlem kayıtları, denetim kayıtları, tarayıcı veya cihazdan otomatik olarak iletilen sınırlı teknik bilgiler ve kayıt formundaki otomatik (bot) başvuru doğrulamasının sonucu.
İletişim ve destek kayıtları: Destek talepleri, hata bildirimleri, e-posta yazışmaları ve talebin çözümlenmesi için paylaşılan bilgiler.
Demo talebi bilgileri: Demo talebi formunda paylaşılan ad, işletme adı, e-posta adresi, telefon numarası, mağaza sayısı ve mesaj; talep, tanıtım amaçlı etiketli bir bağlantı üzerinden gönderildiyse bu bağlantıdaki kampanya etiketi (örneğin talebin hangi tanıtım kanalından geldiği). Kampanya etiketi çerez veya benzeri bir teknolojiyle saklanmaz; yalnızca form gönderildiğinde talebe eklenir.
Sevkiyat konum bilgisi: Müşteri işletmenin sevkiyat bağlantısını açan sürücü konum paylaşımını kendisi başlatırsa, sevkiyat yoldayken cihazın konumu (enlem, boylam ve konum doğruluğu) işletmeye iletilir. Paylaşım teslim alındığında veya sevkiyat iptal edildiğinde kendiliğinden durur. Bu veri işletme adına, veri işleyen sıfatıyla işlenir.
Müşteri tarafından girilen ticari veriler: Stok, ürün, mağaza, tedarikçi, alış-satış, fatura, maliyet ve kâr kayıtları. Tüzel kişilere ait salt ticari bilgiler kişisel veri değildir; ancak bu kayıtların gerçek kişilerin adı, iletişim bilgisi, işlem bilgisi veya benzeri bilgiler içermesi hâlinde ilgili kısımlar kişisel veri sayılır.
Hizmet özel nitelikli kişisel verilerin saklanması amacıyla tasarlanmamıştır. Müşteriler, zorunlu ve hukuka uygun olmadıkça sağlık, biyometrik veri, ceza mahkûmiyeti bilgisi veya diğer özel nitelikli kişisel verileri Hizmet’e girmemelidir.

4. Kişisel verilerin elde edilme yöntemleri

Kişisel veriler;
1. Hesap açma, demo talebi, abonelik ve iletişim formları,
2. Hizmet’in web veya uygulama arayüzleri,
3. Destek yazışmaları,
4. Müşteri veya yetkili kullanıcılar tarafından yapılan veri girişleri ve aktarımlar,
5. Oturum, güvenlik, hata ve denetim kayıtlarının otomatik oluşturulması,
6. Mevzuatın izin verdiği durumlarda yetkili kurum veya hizmet sağlayıcılardan alınan bilgiler

yoluyla elektronik veya kısmen otomatik yöntemlerle elde edilir.

Veriler; hukuka ve dürüstlük kurallarına uygun, belirli ve meşru amaçlarla bağlantılı, sınırlı ve ölçülü olarak işlenir.

5. İşleme amaçları ve hukuki sebepler

Kişisel veriler aşağıdaki amaç ve hukuki sebeplerle işlenir. KVKK’nın güncel işleme şartlarına ilişkin açıklamalar Kişisel Verileri Koruma Kurumunun resmî sayfasında yer almaktadır.

Hesap oluşturmak ve 14 günlük ücretsiz denemeyi sunmak: Ad-soyad, e-posta, telefon, işletme ve rol bilgilerinin işlenmesi; KVKK m.5/2(c) kapsamında sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması nedeniyle gerçekleştirilir.
Abonelik hizmetini sunmak: Mağaza ve kullanıcı yönetimi, stok ve fatura kayıtlarının görüntülenmesi, raporların oluşturulması ve hesap özelliklerinin çalıştırılması; KVKK m.5/2(c) kapsamında sözleşmenin ifası için gerçekleştirilir.
Ücretlendirme, tahsilat ve faturalandırma işlemlerini yürütmek: Abonelik, fatura ve ödeme durumu bilgilerinin işlenmesi; KVKK m.5/2(c) kapsamında sözleşmenin ifası ile KVKK m.5/2(a) ve m.5/2(ç) kapsamında kanunlarda öngörülen mali ve ticari yükümlülüklerin yerine getirilmesi sebeplerine dayanır.
Kimlik doğrulama ve yetkilendirme sağlamak: Oturum, kullanıcı rolü ve erişim bilgilerinin işlenmesi; KVKK m.5/2(c) kapsamında hizmetin güvenli biçimde ifası ve KVKK m.5/2(f) kapsamında hesapların korunmasına yönelik meşru menfaat nedeniyle gerçekleştirilir.
Bilgi güvenliğini sağlamak ve kötüye kullanımı önlemek: IP, oturum, log ve denetim kayıtlarının işlenmesi; ilgili kişilerin temel haklarına zarar vermemek kaydıyla KVKK m.5/2(f) kapsamındaki meşru menfaate, uygulanabilir bir hukuki yükümlülük bulunması hâlinde ayrıca KVKK m.5/2(ç)’ye dayanır.
Destek taleplerini sonuçlandırmak: İletişim ve destek kayıtlarının işlenmesi; talebin niteliğine göre KVKK m.5/2(c) kapsamında sözleşmenin ifasına veya KVKK m.5/2(f) kapsamında hizmet kalitesinin ve müşteri ilişkilerinin korunmasına yönelik meşru menfaate dayanır.
Demo taleplerine dönüş yapmak: Demo talebi formunda paylaşılan bilgilerin talep sahibiyle iletişime geçilmesi ve ürün tanıtımının planlanması amacıyla işlenmesi, talep sahibinin isteğiyle sözleşme öncesinde atılan adımlarla doğrudan ilgili olduğundan KVKK m.5/2(c) kapsamında gerçekleştirilir. Talebin hangi tanıtım kanalından geldiğini gösteren kampanya etiketi, tanıtım kanallarının etkisinin toplu olarak değerlendirilmesine yönelik meşru menfaate (KVKK m.5/2(f)) dayanır; kişiye özel bir profil oluşturmak için kullanılmaz.
Hizmetin performansını, güvenilirliğini ve kullanılabilirliğini geliştirmek: Hata, kapasite ve teknik kullanım kayıtlarının mümkün olduğunca toplulaştırılmış ve veri minimizasyonuna uygun biçimde işlenmesi; KVKK m.5/2(f) kapsamındaki meşru menfaate dayanır.
Hukuki talepleri yönetmek ve hakları korumak: Sözleşme, iletişim, işlem ve denetim kayıtlarının işlenmesi; KVKK m.5/2(e) kapsamında bir hakkın tesisi, kullanılması veya korunması ve KVKK m.5/2(ç) kapsamında hukuki yükümlülüklerin yerine getirilmesi sebeplerine dayanır.
Müşteri tarafından girilen verileri barındırmak: Müşteri işletmenin Hizmet’e girdiği kişisel veriler, müşteri adına ve müşterinin belgelenmiş talimatları kapsamında işlenir. Müşteri; bu verileri toplamak için uygun hukuki sebebin bulunmasından, ilgili kişilere gerekli aydınlatmanın yapılmasından ve ilgili kişi taleplerinin karşılanmasından sorumludur.
Kişisel veriler satılmaz, davranışsal reklam amacıyla kullanılmaz ve pazarlama profili oluşturmak üzere analiz edilmez.

6. Kişisel verilerin aktarılması

Kişisel veriler, işin gerektirdiği ölçüde;
1. Yetkilendirilmiş personel ve hizmetin yürütülmesine destek veren tedarikçilerle (güncel liste 7. bölümde),
2. Muhasebe, hukuk ve denetim hizmeti sağlayan kişilerle,
3. Ödeme işlemi kullanılıyorsa ilgili banka veya ödeme kuruluşuyla,
4. Kanuni talep bulunması hâlinde mahkemeler, icra daireleri, düzenleyici kurumlar ve diğer yetkili kamu mercileriyle,
5. Müşteri işletme bir paket servis platformu hesabını (örneğin Trendyol Go) Hizmet’e bağlarsa, o platformdaki siparişlerin işletmenin hesabına aktarılması ve sipariş durumunun platforma bildirilmesi amacıyla ilgili platformla

paylaşılabilir.

Bu aktarımlar; sözleşmenin ifası, hukuki yükümlülüklerin yerine getirilmesi, bir hakkın tesisi veya korunması ve veri sorumlusunun ölçülü meşru menfaatleri kapsamında gerçekleştirilir.

7. Yurt dışına veri aktarımı

HANVERON; Vercel üzerinde `fra1` bölgesinde barındırılmakta, PostgreSQL veritabanı hizmeti Neon’un Avrupa Birliği bölgesinde kullanılmaktadır. Türkiye dışındaki bu altyapılarda veri saklanması veya verilere erişilebilmesi, KVKK bakımından yurt dışına veri aktarımıdır.
Barındırma ve veritabanı dışında aşağıdaki hizmet sağlayıcılar, yalnızca belirtilen işlev için ve o işlevin gerektirdiği verilerle kullanılır:
1. Resend (ABD): Hesap doğrulama kodu, parola sıfırlama bağlantısı ve günlük özet gibi işlem e-postalarının iletilmesi; aktarılan veri: alıcının e-posta adresi ve e-postanın içeriği.
2. Cloudflare (ABD): Kayıt formunda otomatik (bot) başvuruların engellenmesi (Turnstile); aktarılan veri: doğrulama sırasında IP adresi ile tarayıcı ve cihaza ilişkin teknik sinyaller.
3. Telegram: Sistem hatası ve güvenlik uyarılarının hizmet yöneticisine iletilmesi; aktarılan veri: hata ayrıntısı ve ilgili işletmenin sistem kimliği. Uyarılara kişisel veri konmaması esastır.
4. Anthropic (ABD): Müşteri fatura okuma özelliğini kullandığında, yüklenen fatura görüntüsünün metne çevrilmesi; aktarılan veri: faturanın içeriği.
5. Tarayıcı bildirim servisleri (Google, Apple, Mozilla, Microsoft): Kullanıcı veya müşteri bildirimleri açtığında bildirimin cihaza ulaştırılması; aktarılan veri: tarayıcının ürettiği abonelik adresi; bildirimin içeriği şifrelenmiş olarak iletilir.
6. SMS hizmet sağlayıcısı (Türkiye) ve WhatsApp (Meta): Doğrulama kodlarının ve müşteri işletmenin etkinleştirdiği günlük özetlerin iletilmesi; aktarılan veri: alıcının telefon numarası ve mesaj metni.
7. Vercel Web Analytics (ABD): Sitenin toplu ziyaret ve sayfa görüntüleme istatistiklerinin çıkarılması; aktarılan veri: ziyaret edilen sayfanın adresi (erişim anahtarları ayıklanmış), yönlendiren site, kampanya etiketi, yaklaşık konum (ülke/şehir), cihaz türü, işletim sistemi ve tarayıcı sürümü.
Seçili ana veri bölgeleri Avrupa Birliği’nde olsa da yalnızca AB bölgesinin seçilmiş olması KVKK m.9 uyumunu tek başına sağlamaz. Hizmet sağlayıcıların destek operasyonları ve alt işleyenleri nedeniyle başka ülkelerden sınırlı erişim ihtimali de ayrıca değerlendirilir.
Yurt dışına düzenli kişisel veri aktarımı, KVKK m.9’da açıklanan aktarım rejimine uygun olarak gerçekleştirilir:
1. İlgili ülke, sektör veya uluslararası kuruluş hakkında Kurul tarafından geçerli bir yeterlilik kararı bulunuyorsa aktarım bu karara dayanabilir.
2. Yeterlilik kararı bulunmuyorsa KVKK m.5 veya m.6’daki işleme şartlarından birinin varlığına ek olarak m.9/4’teki uygun güvencelerden biri sağlanır.
3. Vercel, Neon, yukarıda sayılan yurt dışındaki hizmet sağlayıcılar ve varsa ilgili alt işleyenlerle yapılacak düzenli aktarımlarda, tarafların veri sorumlusu/veri işleyen rolleri dikkate alınarak Kurulun ilan ettiği uygun standart sözleşme modeli imzalanır ve sözleşme, imzadan itibaren beş iş günü içinde Kuruma bildirilir; bunun mümkün olmadığı durumlarda ancak KVKK m.9’daki başka bir geçerli aktarım mekanizması kurulmuşsa aktarım yapılır.
4. Arızi aktarım istisnaları, düzenli ve sürekli bulut barındırma faaliyetlerinin genel dayanağı olarak kullanılmaz.
Yurt dışındaki alıcıların verilere erişimi hizmetin sunulması, güvenliği, yedeklenmesi ve teknik desteği için gerekli olan kapsamla sınırlandırılır; erişim yetkileri ve alt işleyen kullanımı sözleşmesel ve teknik tedbirlerle kontrol edilir.

8. Saklama süreleri

Aktif hesap verileri: Hesap ve abonelik devam ettiği sürece saklanır.
İlişki sonrası hesap verileri: İlişkinin sona ermesinden sonra rutin hesap bilgileri erişime kapatılır; hukuki talepler, güvenlik incelemeleri, dolandırıcılığın önlenmesi ve uyuşmazlıkların çözümü için gerekli olan sınırlı kayıtlar, bu amaçların gerektirdiği makul süre ve uygulanabilir zamanaşımı süresi boyunca saklanır.
Ticari ve mali kayıtlar: Veri sorumlusunun kendi ticari defterleri, faturaları ve dayanak belgeleri 6102 sayılı Türk Ticaret Kanunu kapsamında 10 yıl; 213 sayılı Vergi Usul Kanunu kapsamındaki defter ve vesikalar ise ilgili yılı izleyen takvim yılından başlayarak genel olarak 5 yıl saklanır. Aynı kayda birden fazla süre uygulanıyorsa daha uzun olan yasal süre esas alınabilir. VUK m.253’ün güncel metnine Gelir İdaresi Başkanlığından, TTK’ya ise Ticaret Bakanlığından ulaşılabilir.
Güvenlik, log ve denetim kayıtları: Giriş denemesi kayıtları 7 gün, hesap açma ve demo talebi deneme kayıtları 30 gün sonra silinir. Oturum kayıtlarındaki IP adresi ve tarayıcı bilgisi oturumun sona ermesinden itibaren 1 yıl, işlem (denetim) kayıtlarındaki IP adresleri 1 yıl saklanır ve ardından silinir; işlem kaydının kendisi, müşteri hesabındaki hareketlerin denetim izi olarak müşteri verileriyle birlikte saklanır. Personelin mesai giriş-çıkış kayıtlarındaki IP adresleri 1 yıl saklanır ve ardından silinir; kayıtta yalnız giriş-çıkışın mağaza ağından yapılıp yapılmadığı bilgisi kalır. Bu süreler, ilgili mevzuattaki trafik bilgisi saklama yükümlülükleri gözetilerek belirlenmiştir. Sayfa açılış süresi gibi teknik performans ölçümleri 90 gün sonra silinir. Tanıtım sayfalarının ziyaret kayıtları 30 gün sonra silinir.
Demo talepleri: 2 yıl sonra silinir. Talep bir müşteri ilişkisine dönüşürse bilgiler hesap verileri kapsamında işlenmeye devam eder.
Tamamlanmayan hesap açma başvuruları: E-posta doğrulaması tamamlanmayan başvurular 24 saat sonra silinir. Teslim alınan veya iptal edilen sevkiyatların konum kayıtları 30 gün sonra silinir.
Müşteri verileri: Abonelik süresince ve fesih sonrasındaki makul dışa aktarma süresi boyunca saklanır. Sonrasında aktif sistemlerden silinir; yedek kopyalar olağan yedek döngüsü içinde geri döndürülemeyecek şekilde silinir veya üzerine yazılır. Kanunen saklanması gereken sınırlı kayıtlar bu işlemin dışındadır.
HANVERON, müşterinin kendi ticari defter ve belgelerini mevzuat gereği saklama yükümlülüğünü kendiliğinden üstlenmez. Müşteri, saklamakla yükümlü olduğu kayıtları abonelik sona ermeden önce dışa aktarmalıdır.
Saklama amacı veya hukuki sebebi ortadan kalkan kişisel veriler, KVKK ve ilgili ikincil mevzuata uygun olarak silinir, yok edilir veya anonim hâle getirilir.

9. Çerezler ve cihazda saklanan bilgiler

Pazarlama, reklam veya kullanıcıları siteler arasında takip etme amaçlı çerez ya da benzeri bir teknoloji kullanılmaz; sayfalara üçüncü taraf reklam betiği yüklenmez. Sitenin toplu ziyaret ve sayfa görüntüleme sayılarını görmek için çerez kullanmayan Vercel Web Analytics kullanılır: cihaza hiçbir bilgi yazılmaz; ziyaretçi, gelen istekten üretilen ve 24 saat sonra kendiliğinden silinen bir özetle ayırt edilir; sayfa adresindeki erişim anahtarları ve kampanya etiketi dışındaki sorgu parametreleri gönderilmeden önce ayıklanır. Ayrıca tanıtım sayfalarındaki ziyaretlerin akışı kendi sistemimizde kaydedilir: ziyaretin başlangıç ve bitiş zamanı, gezilen sayfalar (erişim anahtarları ayıklanmış), yaklaşık konum (şehir ve ülke), cihaz türü, tarayıcı, yönlendiren site ve kampanya etiketi; IP adresi saklanmaz. Analitik çereze onay vermediyseniz bu kayıt kimliksizdir: kayıt için çerez ya da cihazda saklanan bir bilgi kullanılmaz (yalnızca ret kararınızı hatırlayan tercih çerezi yazılır); ziyaret yalnızca açık sekme süresince geçerli rastgele bir numarayla izlenir, farklı sekmelerdeki ya da farklı günlerdeki ziyaretler birbirine bağlanmaz ve kayıt sitenin içeriğini ve tanıtım kanallarını değerlendirmek amacıyla, KVKK m.5/2(f) kapsamındaki meşru menfaate dayanılarak işlenir. Onay verdiyseniz ziyaretleriniz aşağıdaki analitik çerezdeki rastgele ziyaretçi numarasıyla birbirine bağlanır.
Kullanılan çerezler yalnızca şunlardır:
1. Oturum çerezleri: Giriş yapan kullanıcının, yönetim paneli yetkilisinin ve müşteri uygulaması (“Kartım”) kullanıcısının oturumunu taşır; oturum kapatıldığında veya süresi dolduğunda geçerliliğini yitirir.
2. Güvenlik çerezleri: İki adımlı doğrulamanın tamamlanmasını bekleyen girişi ve müşteri uygulamasında doğrulama kodu beklenen telefon numarasını en çok 10 dakika tutar.
3. Dil tercihi çerezi: Sipariş ve müşteri ekranlarında ziyaretçinin kendisinin seçtiği dili hatırlar; yalnızca dil kodunu içerir ve 180 gün sonra kendiliğinden silinir.
4. İşlem çerezleri: Hesap açılırken e-posta doğrulaması tamamlanana kadar başvuruyu tanımak için (en çok 24 saat) ve bildirim ayarlarındaki deneme gönderimi başarısız olursa hatanın nedenini ekranda gösterebilmek için (2 dakika) kullanılır.
5. Çerez tercihi çerezi: Tanıtım sayfalarındaki çerez bandında verdiğiniz kararı (kabul ya da ret) hatırlar; yalnızca kararı içerir ve 6 ay sonra silinir, ardından tercihiniz yeniden sorulur.
6. Analitik çerezi (yalnızca açık rızanızla): Tanıtım sayfalarını yeniden ziyaret ettiğinizi tanımak için rastgele bir ziyaretçi numarası taşır. Bu numara adınız, iletişim bilgileriniz veya IP adresinizle ilişkilendirilmez; reklam veya siteler arası takip için kullanılmaz, üçüncü taraflarla paylaşılmaz ve 6 ay sonra silinir. Onayınızı sayfaların altındaki “Çerez tercihleri” bağlantısından her zaman geri alabilirsiniz; geri aldığınızda çerez silinir ve önceki ziyaretlerinizle bağı kaldırılır.
Bazı tercihler ve yarım kalan işler sunucuya gönderilmeden yalnızca kullanıcının kendi cihazında, tarayıcının yerel depolama alanında tutulur: açık/koyu tema seçimi, menü düzeni, komut paletindeki son aramalar, tamamlanmamış sayım girişleri ve internet bağlantısı yokken kasada yapılan satışların gönderim kuyruğu. Uygulamanın hızlı açılabilmesi için yalnızca sayfa dosyaları ve simgeler tarayıcı önbelleğinde saklanır. Bu bilgiler tarayıcı ayarlarından silinebilir.
Kayıt formunda otomatik (bot) başvuruları engellemek için Cloudflare Turnstile doğrulaması kullanılır; doğrulama sırasında tarayıcı ve cihaza ilişkin teknik sinyaller Cloudflare tarafından değerlendirilir. Bu doğrulama reklam veya takip amacıyla kullanılmaz.
Tanıtım bağlantılarındaki kampanya etiketleri (“utm_” ile başlayan parametreler) çerezle veya cihazda saklanmaz; etiketli bağlantının açtığı demo talebi formu gönderilirse talebe eklenir; ayrıca toplu ziyaret istatistiğinde (Vercel Web Analytics) ziyaretin hangi kanaldan geldiğini göstermek için kullanılır.
Analitik çerezi dışındaki çerezler ve cihazda tutulan bilgiler, kullanıcının talep ettiği hizmetin ve seçtiği tercihin çalışması için gereklidir; KVKK m.5/2(c) kapsamında hizmetin ifası ve m.5/2(f) kapsamında hesap güvenliğinin sağlanması amacıyla kullanılır. Analitik çerezi yalnızca KVKK m.5/1 kapsamındaki açık rızanıza dayanır: tanıtım sayfalarına ilk girişinizde çıkan bantta kabul etmediğiniz sürece yazılmaz; reddetmek kabul etmek kadar kolaydır ve sitenin hiçbir bölümünü kullanmanızı engellemez.
Zorunlu çerezlerin tarayıcı ayarlarından engellenmesi Hizmet’in tamamının veya bazı özelliklerinin çalışmamasına neden olabilir.

10. Veri güvenliği

KVKK m.12 kapsamındaki yükümlülükler doğrultusunda riskle orantılı teknik ve idari tedbirler uygulanır. Kurumun konuya ilişkin açıklamalarına Veri Güvenliğine İlişkin Yükümlülükler sayfasından ulaşılabilir.
Başlıca tedbirler şunlardır:
1. Verilerin aktarım sırasında ve uygun olduğu ölçüde saklama sırasında şifrelenmesi,
2. Rol bazlı erişim kontrolü ve en az yetki ilkesi,
3. Mağaza ve kullanıcı yetkilerinin birbirinden ayrılması,
4. Kritik işlemler için denetim kaydı tutulması,
5. Erişim ve oturum hareketlerinin izlenmesi,
6. Yedekleme, güncelleme ve güvenlik açığı yönetimi,
7. Tedarikçi ve alt işleyenlerin veri güvenliği yükümlülüklerinin sözleşmelerle düzenlenmesi,
8. Şüpheli erişim ve kişisel veri ihlalleri için müdahale süreçleri uygulanması.
İnternet üzerinden çalışan hiçbir sistem için mutlak güvenlik garantisi verilemez. Bununla birlikte, tespit edilen riskler değerlendirilir ve uygun tedbirler güncellenir.

11. İlgili kişinin hakları

KVKK m.11 uyarınca ilgili kişiler aşağıdaki haklara sahiptir. Hakların resmî açıklaması Kişisel Verileri Koruma Kurumunun ilgili kişi hakları sayfasında bulunmaktadır.

Kişisel verilerinin işlenip işlenmediğini öğrenme,
İşlenmişse buna ilişkin bilgi talep etme,
İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
Eksik veya yanlış işlenen verilerin düzeltilmesini isteme,
KVKK m.7’deki şartlar kapsamında verilerin silinmesini veya yok edilmesini isteme,
Düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
Münhasıran otomatik sistemlerle yapılan analiz sonucunda aleyhe bir sonucun ortaya çıkmasına itiraz etme,
Kanuna aykırı veri işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme.

12. Başvuru yöntemi

KVKK kapsamındaki taleplerinizi, tercihen hesabınızda kayıtlı e-posta adresinden yigithan@hanveron.com adresine, konu satırına “KVKK İlgili Kişi Başvurusu” yazarak iletebilirsiniz.
Başvurular ayrıca;
1. Güvenli elektronik imza veya mobil imza kullanılarak,
2. Mevzuatın izin verdiği diğer yöntemlerle

iletilebilir. Islak imzalı yazılı başvuru yapmak isterseniz posta adresimizi yigithan@hanveron.com adresinden talep edebilirsiniz; adres size yazılı olarak bildirilir.

Başvuruda ad-soyad, başvurunun konusu, talebin ayrıntıları ve yanıtın gönderilmesini istediğiniz iletişim bilgisi bulunmalıdır. Kimliğin doğrulanması için yalnızca gerekli ve ölçülü ek bilgi talep edilebilir.
Başvurular talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca maliyet gerektirmesi hâlinde yalnızca Kurul tarafından belirlenen tarifedeki ücret istenebilir. Ayrıntılı başvuru ve şikâyet süreleri Kurumun resmî açıklamasında yer almaktadır.
Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren 30 gün ve her durumda başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir.

13. Müşterilerin sorumluluğu

Müşteri işletme, Hizmet’e girdiği kişisel veriler bakımından;
1. Geçerli bir işleme şartına sahip olduğunu,
2. İlgili kişilere gerekli aydınlatmayı yaptığını,
3. Yalnızca gerekli ve ölçülü verileri girdiğini,
4. Kullanıcılara görevleriyle uyumlu erişim yetkisi verdiğini,
5. İlgili kişi taleplerini süresinde değerlendirdiğini

kabul eder.

HANVERON, müşteri işletmenin ilgili kişi taleplerini yerine getirebilmesi için teknik imkânları ölçüsünde makul destek sağlar. İşletme, kendi müşterisinin silme talebini müşteri kartındaki anonimleştirme işlemiyle yerine getirebilir: müşterinin adı, telefon numarası, notu, doğum günü, müşteri uygulaması bağı ve siparişlerindeki ad, telefon ve adres bilgileri silinir; satış ve sadakat kayıtları, yasal saklama ve raporlama amacıyla kimliksiz olarak kalır.

14. Müşteri uygulaması (“Kartım”)

Müşteri uygulaması, hizmeti kullanan işletmelerin kendi müşterilerine yöneliktir. Bir müşteri, telefon numarasıyla giriş yaparak alışveriş yaptığı işletmelerdeki sadakat kartını, puan bakiyesini ve puan hareketlerini görüntüleyebilir.
Bu kapsamda işlenen kişisel veriler:

a. Telefon numarası. Kimliğin doğrulanması ve müşteri kaydının bulunabilmesi için işlenir. Numara, işletmelerin kayıtlarıyla eşleştirilebilmesi için standart bir biçime dönüştürülerek saklanır.

b. Tek kullanımlık doğrulama kodu. Kodun kendisi saklanmaz; yalnızca geri döndürülemez bir özeti, geçerlilik süresi ve deneme sayısı tutulur. Kod kullanıldığında ya da süresi dolduğunda bu kayıtlar silinir.

c. Giriş bilgileri. Doğrulama tarihi ve son giriş zamanı.

d. Doğum günü (isteğe bağlı). İşletmenin doğum günü ikramı açıksa müşteri, doğum gününü (yalnızca gün ve ay; yıl istenmez) açık rızasıyla kaydedebilir. Rıza aynı ekrandan her an geri alınabilir; geri alındığında doğum günü bilgisi silinir. İşlem kaydında yalnızca rızanın verildiği ve geri alındığı an tutulur, doğum gününün kendisi tutulmaz.

e. Bildirim aboneliği. Müşteri bildirimleri açtığında, bildirimin iletilebilmesi için tarayıcının ürettiği abonelik adresi ve ona ait anahtarlar saklanır. Bu kayıt cihaza özgüdür ve bildirimler kapatıldığında silinir.

Hangi işletmede kaydı olduğu bilgisi. Müşterinin telefon numarası doğrulandığında, aynı numaraya ait müşteri kayıtlarının hangi işletmelerde bulunduğu tespit edilir ve bu bağ saklanır. Bağ yalnızca kimlik eşleştirmesi içindir; müşterinin adı, puanı ve alışveriş geçmişi ilgili işletmenin kendi kayıtlarında kalır ve yalnızca müşteri o işletmeyi seçtiğinde görüntülenir.
İşleme amaçları: kimliğin doğrulanması ve yetkisiz erişimin önlenmesi; sadakat kartının ve puan hareketlerinin ilgili kişiye gösterilmesi; müşteri talep ettiğinde, kendi hesabında gerçekleşen puan hareketine ilişkin bildirim iletilmesi.
Hukuki sebepler: hizmetin sunulabilmesi için ilgili kişinin talebiyle işleme; hesabın güvenliğinin sağlanmasına yönelik meşru menfaat. Bildirim aboneliği yalnızca müşterinin kendi açık tercihiyle kurulur ve istediği an kapatılabilir. Doğum günü, KVKK m.5/1 kapsamında açık rızaya dayanır. *(Bu nitelendirme taslaktır ve hukuk danışmanınca teyit edilmelidir.)*
Ticari elektronik ileti gönderilmez. Bu kapsamda iletilen bildirimler, kişinin kendi hesabında gerçekleşen bir harekete ilişkin bilgilendirmedir; kampanya, tanıtım veya pazarlama içermez. Pazarlama amaçlı ileti gönderilmesi hâlinde bunun için ayrı, açık ve geri alınabilir bir onay alınır. *(Bu ayrımın mevzuat karşısındaki sonucu hukuk danışmanınca teyit edilmelidir.)*
Aktarım. Doğrulama kodunun iletilebilmesi için telefon numarası ve mesaj metni, SMS hizmet sağlayıcısına aktarılır. Bildirimler, tarayıcı üreticilerinin işlettiği bildirim servisleri üzerinden iletilir; bu iletim, tarayıcının ürettiği abonelik adresine yapılır.
Saklama. Doğrulama kodu özeti kullanıldığında ya da süresi dolduğunda silinir. Bildirim aboneliği, müşteri bildirimleri kapattığında veya abonelik geçersiz hâle geldiğinde silinir. Telefon numarası ve bağ kaydı, müşteri uygulaması hesabı var olduğu sürece saklanır; doğrulama kodu istenip hiç doğrulanmayan telefon numaraları 7 gün sonra silinir.
Haklar. Müşteri uygulamasına ilişkin taleplerde de bu metnin “İlgili kişinin hakları” ve “Başvuru yöntemi” bölümleri uygulanır.

15. İşletmelerin sipariş sayfaları

Hizmeti kullanan işletmeler, kendi müşterilerine HANVERON üzerinden online sipariş (gel-al veya kurye) ve masadan sipariş sayfası açabilir.
Online sipariş formunda ad-soyad, telefon numarası, kurye seçilirse teslimat adresi ve isteğe bağlı sipariş notu istenir. Masadan siparişte kişisel bilgi istenmez; sipariş notuna kişisel bilgi yazılmaması önerilir.
Bu bilgiler siparişin hazırlanması, teslim edilmesi ve gerektiğinde müşteriye ulaşılması amacıyla siparişin verildiği işletmeye iletilir. Bu verilerin veri sorumlusu siparişin verildiği işletmedir; HANVERON bu verileri işletme adına ve onun talimatları doğrultusunda, veri işleyen sıfatıyla işler (1.3.2).
Sipariş kayıtları işletmenin hesabında, işletme hizmeti kullandığı sürece ve 8. bölümdeki müşteri verileri kuralına göre saklanır.
İşletme bir paket servis platformu hesabını (örneğin Trendyol Go) Hizmet’e bağlarsa, o platformda verilen siparişler, platformun ilettiği müşteri adı, teslimat bilgileri ve sipariş notu dahil, işletmenin hesabına aktarılır ve bu bölümdeki kurallarla, işletme adına saklanır. Bu kayıtlar müşteri profili oluşturmak veya pazarlama amacıyla kullanılmaz. Platform siparişindeki müşteri adı, teslimat adresi ve konumu, telefon numarası ve sipariş notu, siparişten 1 yıl sonra silinir; siparişin tutarı ve ürün satırları işletmenin satış kaydı olarak kalır.
Siparişinize ilişkin KVKK taleplerinizi doğrudan siparişi verdiğiniz işletmeye iletebilirsiniz. HANVERON’a ulaşan bu tür talepler gecikmeksizin ilgili işletmeye yönlendirilir ve işletmenin talebi yanıtlayabilmesi için gerekli teknik destek sağlanır.

16. Değişiklikler ve iletişim

Bu metin; mevzuat, altyapı sağlayıcıları veya veri işleme faaliyetleri değiştiğinde güncellenebilir.
İlgili kişilerin haklarını önemli ölçüde etkileyen değişiklikler, yürürlüğe girmeden önce kayıtlı e-posta adresi, Hizmet içi bildirim veya internet sitesi üzerinden duyurulur.
Gizlilik ve kişisel verilerin korunmasıyla ilgili sorularınız için yigithan@hanveron.com adresiyle iletişime geçebilirsiniz.