KVKK Aydınlatma Metni

İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında, www.espeki.com.tr internet sitesi (“Site”) üzerinden hizmet sunan Relax by Espeki markası tarafından kişisel verilerinizin işlenmesine ilişkin esasları belirler.

1. Veri Sorumlusu

Veri Sorumlusu: ESRA PERUZE KIZILTUĞ TİNER – ESPEKİ

Adres: Yakacık Yeni Mah. Samandıra Cad. No:49/A Kartal / İstanbul

Telefon: +90 540 010 24 34

E-posta: [email protected]

Web: www.espeki.com.tr

2. İşlenen Kişisel Veriler ve Toplama Yöntemleri

Kişisel verileriniz; Site’deki sipariş, üyelik ve iletişim formları, çerezler, e-posta ve WhatsApp iletişim kanalları aracılığıyla otomatik veya kısmen otomatik yöntemlerle toplanır. İşlenen veri kategorileri:

• Kimlik bilgileri: ad, soyad

• İletişim bilgileri: e-posta adresi, telefon numarası, teslimat ve fatura adresi

• Müşteri işlem bilgileri: sipariş numarası, ürün, miktar, tutar, fatura/teslimat tercihi

• Ödeme bilgileri: ödeme yöntemi, işlem referans numarası (kart numarası tarafımızca saklanmaz; ödeme kuruluşu altyapısında işlenir)

• İşlem güvenliği bilgileri: IP adresi, tarayıcı ve cihaz bilgileri

• İletişim içeriği: WhatsApp, e-posta veya iletişim formu üzerinden bize ilettiğiniz mesaj içerikleri (yalnızca talep ettiğiniz konuya ilişkin)

• Pazarlama bilgileri: çerez verileri, site içi davranış verileri (yalnızca açık rıza ile)

3. Veri Minimizasyonu ve Doğruluk

Kişisel verileriniz; KVKK m.4 uyarınca yalnızca işleme amacının gerektirdiği ölçüde, amaçla bağlantılı ve sınırlı şekilde işlenir. Amacın gerçekleştirilmesi için zorunlu olmayan veriler talep edilmez ve işlenmez. Form alanlarımız bu ilkeye uygun olarak tasarlanmıştır; gönüllü ve zorunlu alanlar form üzerinde işaretlidir.

KVKK m.4(2)(d) uyarınca, kişisel verilerin doğru ve gerektiğinde güncel tutulması için gerekli süreçler işletilir. Üye iseniz hesap ayarları sayfası, üye değilseniz [email protected] adresine yapacağınız başvuru üzerinden bilgilerinizi düzeltebilir veya güncelleyebilirsiniz. Yanlış veya güncel olmayan veri bildirimleri makul süre içinde sonuçlandırılır.

4. İşleme Amaçları ve Hukuki Sebepler

Kişisel verileriniz aşağıdaki amaçlar ve hukuki sebeplere dayalı olarak işlenir. Meşru menfaate (m.5/2-f) dayalı tüm işleme faaliyetleri; ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, denge testi yapılarak yürütülür.

Pazarlama amaçlı işleme yalnızca açık rızanıza dayanır; rızanızı dilediğiniz zaman Hesabım → İletişim Tercihlerim sayfasından veya [email protected] adresine başvurarak geri çekebilirsiniz.

5. Yurt İçi Aktarım — Veri Sorumlusu / Veri İşleyen Sıfatları

Kişisel verileriniz, ilgili amaçla sınırlı olmak ve veri minimizasyonu ilkesine uygun olarak aşağıdaki taraflara aktarılabilir. Her bir tarafın KVKK kapsamındaki sıfatı; tarafımızla imzalanan sözleşme metinleri ve KVK Kurulu rehber/kararları ışığında aşağıda belirtilmiştir:

• PayTR Ödeme ve Elektronik Para Hizmetleri A.Ş. — Veri İşleyen. PayTR ile imzalanan Çerçeve Ödeme Hizmeti Sözleşmesi’nin 9.5. maddesi uyarınca PAYTR, tarafımıza ödeme hizmeti sunarken aktardığımız kişisel veriler bakımından “Veri İşleyen” sıfatını haizdir. Kart verileri PCI-DSS uyumlu PayTR altyapısında işlenir; tarafımızca saklanmaz.

• Geliver Bilişim Yazılım Lojistik Tic. Pazarlama AR-GE A.Ş. (Geliver.io) — Bağımsız Veri Sorumlusu. Geliver ile imzalanan Platform Sözleşmesi’nin 4.23.1. maddesi uyarınca, Geliver, kargo entegrasyonu kapsamında işlediği kişisel veriler bakımından “veri sorumlusu” sıfatıyla hareket eder ve kendi belirlediği amaç ve hukuki sebep doğrultusunda kargo firmalarına aktarım yapar. Aktarım kapsamı: alıcı ad-soyad, teslimat adresi, telefon ve sipariş bilgileri.

• Kargo firmaları (Yurtiçi Kargo, Aras Kargo, Sürat Kargo, Hepsijet) — Bağımsız Veri Sorumlusu. Kargo firmaları, taşıma sözleşmesi, gönderi takibi ve Posta Hizmetleri Kanunu / ilgili mevzuat kapsamındaki yükümlülükleri çerçevesinde kendi belirledikleri amaç ve hukuki sebebe dayalı olarak işleme yapar. KVK Kurulu uygulaması, kargo firmalarının kendi mevzuata dayalı yükümlülükleri nedeniyle bağımsız veri sorumlusu sayılması yönündedir. Aktarım, tarafımızca Geliver platformu üzerinden seçilen kargo firmasına yapılır.

• Mali müşavir ve hukuk müşaviri — Bağımsız Veri Sorumlusu. Kendi mesleki yükümlülükleri (3568 sayılı Kanun, Avukatlık Kanunu vb.) kapsamında, sözleşme ve yasal süreçlerin yürütülmesi amacıyla.

• Yetkili kamu kurum ve kuruluşları — Alıcı sıfatıyla, yalnızca yasal talep ve mevzuat çerçevesinde.

6. Yurt Dışına Aktarım ve Güvenlik Tedbirleri

Site’de kullanılan Google Analytics 4, Google Ads, Meta (Facebook/Instagram) Pixel ile müşteri iletişiminde kullandığımız WhatsApp Business hizmeti sebebiyle bazı kişisel veriler ilgili sağlayıcıların yurt dışındaki sunucularında işlenebilir:

• Google LLC (ABD) — analitik ve reklam çerez verileri, IP adresi (anonimleştirilmiş), cihaz/tarayıcı bilgileri

• Meta Platforms Ireland Ltd. (İrlanda) ve bağlı sağlayıcı altyapıları — Meta Pixel çerez verileri, dönüşüm verisi, WhatsApp Business üzerinden ilettiğiniz mesaj içeriği ve telefon numarası

Söz konusu yurt dışı aktarımlar; KVKK m.9 ve 10.07.2024 tarihli Resmî Gazete’de yayımlanan “Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik” uyarınca, Kişisel Verileri Koruma Kurulu tarafından ilan edilen Standart Sözleşme (SCC) hükümleri esas alınarak yapılır. SCC, imzalandığı tarihten itibaren 5 (beş) iş günü içinde Kurum’a bildirilir.

SCC’nin yanı sıra, KVKK m.12 kapsamında aşağıdaki teknik ve idari tedbirler uygulanır:

• Aktarımda HTTPS/TLS 1.2 ve üzeri şifreleme zorunluluğu; Site genelinde uçtan uca SSL

• Yetki bazlı erişim kontrolü (en az ayrıcalık ilkesi) ve günlük (log) tutulması

• Veri minimizasyonu: yurt dışı aktarımda yalnızca ilgili amaca özgü veri paylaşımı; Google Analytics IP anonimleştirme

• Düzenli yedekleme ve felaket kurtarma: günlük yedekleme alınması ve 7 gün boyunca saklanması; geri yükleme prosedürü test edilir

• Erişim yetkisi iptal prosedürü: yetkili kullanıcının görev/sözleşme bitiminde 24 saat içinde tüm sistem erişimleri iptal edilir, parolalar yenilenir

• Olay logu kapsamı: yetkilendirme/oturum açma denemeleri, yönetici işlemleri, ödeme ve sipariş yazma çağrıları, çerez tercihi değişiklikleri kayıt altına alınır

• Sağlayıcı uyum kontrolleri: tedarikçinin GDPR/SCC dokümantasyonu, Veri İşleme Sözleşmesi (DPA), sertifikasyonlar (ISO 27001, SOC 2)

• Periyodik risk değerlendirmesi ve aktarım kapsamının yıllık gözden geçirilmesi

Açık rızaya dayalı yurt dışı aktarımlardan rızanızı dilediğiniz zaman geri çekebilirsiniz; bu durumda ilgili kanal kapsamındaki çerez ve izleme tarafınız için devre dışı bırakılır. Sözleşmenin ifası veya yasal yükümlülük gibi diğer hukuki sebeplere dayanan aktarımlar, ilgili amaç ve hukuki sebep devam ettiği sürece sürdürülür.

7. Saklama Süreleri ve Dayanakları

Kişisel verileriniz, işleme amacının gerektirdiği süre ve aşağıdaki yasal/işletmesel dayanaklarla sınırlı olarak saklanır. Süre sona erdiğinde veriler silinir, yok edilir veya anonim hale getirilir.

8. Veri Güvenliği ve İç Politika Çerçevesi

KVKK m.12 kapsamında verilerinizin hukuka aykırı işlenmesini ve erişimi önlemek amacıyla uygun teknik ve idari tedbirler uygulanmakta olup yazılı dokümantasyon süreci tamamlanmaktadır. Mevcut güvenlik önlemlerimiz; SSL/TLS şifrelemesi, sunucu/eklenti güncelleme yönetimi, erişim ve değişiklik kayıtlarının tutulması, ödeme işlemlerinin PCI-DSS uyumlu PayTR altyapısı üzerinden gerçekleştirilmesi, düzenli yedekleme ve felaket kurtarma süreçleri, yetki sona erdiğinde erişim iptali ve olay logu uygulamalarını içerir.

9. Veri İhlali Bildirimi

Kişisel verilerinizin yetkisiz ele geçirilmesi, sızdırılması veya hukuka aykırı erişime maruz kalması durumunda; ihlalden haberdar olmamızı takiben, KVKK m.12/5 ve Kurul’un 2019/10 sayılı kararı uyarınca en geç 72 saat içinde Kişisel Verileri Koruma Kurumu’na bildirim yapılır. İhlalden etkilenen veri sahiplerine de uygun yöntemlerle bilgilendirme yapılır. Bildirim; ihlalin niteliği, etkilenen kişi sayısı/kategorisi, olası sonuçları ve alınan/önerilen tedbirleri içerir.

10. Profilleme ve Otomatik İşleme

Açık rıza vermeniz halinde, çerezler ve site içi davranış verileri kullanılarak sınırlı kapsamlı profilleme yapılır. Bu profilleme; reklamların ilgi alanlarınıza göre kişiselleştirilmesi, dönüşüm ölçümü ve kullanıcı deneyimi iyileştirmesi amaçlarıyla sınırlıdır.

Otomatik işleme yoluyla; fiyatlandırma, ürüne erişim, hesap kısıtlaması veya benzeri aleyhinize sonuç doğurabilecek herhangi bir karar verilmez. KVKK m.11(g) uyarınca, kişisel verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz hakkınız bulunmaktadır. Pazarlama iletişim rızanızı Hesabım → İletişim Tercihlerim sayfasından, çerez/profilleme rızanızı çerez ayarları üzerinden, diğer rızalarınızı [email protected] başvuru kanalı üzerinden dilediğiniz zaman geri çekebilirsiniz.

11. İlgili Kişinin Hakları

KVKK m.11 uyarınca aşağıdaki haklara sahipsiniz:

• Kişisel verinizin işlenip işlenmediğini öğrenme

• İşlendiyse buna ilişkin bilgi talep etme

• İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme

• Yurt içinde ve yurt dışında aktarıldığı tarafları bilme

• Eksik veya yanlış işlenmiş ise düzeltilmesini isteme

• Silinmesini veya yok edilmesini isteme

• Düzeltme/silme/yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme

• Yalnızca otomatik işleme yoluyla aleyhe sonuç doğmasına itiraz etme

• Kanuna aykırı işleme nedeniyle uğranılan zararın giderilmesini talep etme

12. Başvuru ve Şikayet Hakkı

Haklarınızı kullanmak için talebinizi; kimliğinizi tevsik edici belgelerle birlikte yazılı olarak Yakacık Yeni Mah. Samandıra Cad. No:49/A Kartal / İstanbul adresine ya da [email protected] e-posta adresine iletebilirsiniz. Başvurunuzun hızlı ve doğru biçimde sınıflandırılabilmesi için, e-posta veya yazılı dilekçenin konu kısmına “KVKK Başvuru” ifadesinin yazılması önerilir.

Başvurunuz, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ kapsamında en geç 30 (otuz) gün içinde sonuçlandırılır.

Başvurunuzun reddedilmesi, verdiğimiz cevabı yetersiz bulmanız veya 30 gün içinde cevap verilmemesi durumunda; KVKK m.14 uyarınca, cevap tarihinden itibaren 30 gün ve her halükarda başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurumu’na şikayette bulunma hakkınız bulunmaktadır (kvkk.gov.tr).

13. VERBİS Kayıt Durumu

İşletmemizin yıllık çalışan sayısı 50’nin altında, yıllık mali bilanço toplamı 100 milyon TL’nin altında olup ana faaliyet konusu özel nitelikli kişisel veri işleme değildir. Bu kapsamda; KVKK m.16, Veri Sorumluları Sicili Hakkında Yönetmelik ve 2017/62 sayılı Kurul kararındaki kriterler ışığında, mevcut eşikler kapsamında VERBİS’e kayıt yükümlülüğünden istisna olduğu değerlendirilmiştir.

Bu değerlendirme yıllık olarak yeniden gözden geçirilir; eşiklerin aşılması, faaliyet konusunun değişmesi veya mevzuat güncellemesi halinde VERBİS kaydı yapılır ve işbu metin güncellenir.

14. Güncelleme

İşbu Aydınlatma Metni, mevzuat değişiklikleri veya işleme süreçlerindeki güncellemeler sebebiyle değiştirilebilir. Yürürlük tarihi: 01.05.2026. Güncel sürüm Site üzerinde yayımlanır. Sürüm geçmişi, belgenin başında yer alan Sürüm Geçmişi tablosunda izlenebilir.