Veri işleme sözleşmesi

Kapsam ve tanımlar

• Veri koruma mevzuatı: işlemeye uygulanan kanunlar; 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), AB Genel Veri Koruma Tüzüğü 2016/679 (GDPR) ve uygulandıkları ölçüde Birleşik Krallık GDPR'ı ile İsviçre Federal Veri Koruma Kanunu dahil.
• Kişisel veri, işleme, veri sorumlusu, veri işleyen, ilgili kişi ve kişisel veri ihlali, veri koruma mevzuatındaki anlamlarını taşır.
• Mağaza kişisel verisi: Tryino'nun uygulama aracılığıyla mağaza adına işlediği kişisel veriler.
• Bu sözleşme, Tryino'nun mağazalara ilişkin kendi iş verilerini (iletişim bilgileri, destek yazışmaları gibi) kapsamaz; bunlar için Tryino veri sorumlusudur ve genel gizlilik politikası geçerlidir. Kendi sözleşmesi olan Ino Loyalty Engine'i de kapsamaz.

Roller

Mağaza, mağaza kişisel verilerinin veri sorumlusudur; verilerin neden ve nasıl işleneceğine karar verir. Tryino veri işleyendir ve verileri yalnızca mağaza adına işler. Her taraf kendisine uygulanan veri koruma mevzuatına uyar.

İşlemenin ayrıntıları

Konu ve süre

Ino Loyalty uygulamasının hizmet şartları kapsamında mağazaya sağlanması; uygulama kurulu kaldığı sürece ve sonrasında veriler “Silme ve iade” bölümüne göre silinene kadar.

Nitelik ve amaç

Mağazanın sadakat programını yürütmek için sadakat verilerini almak, saklamak, hesaplamak, göstermek, raporlamak ve silmek: puan kazanma ve harcama, kademeler, kampanyalar, davetler, görevler ve oyunlar; mağazaya üyelerini ve raporlarını göstermek; her üyenin puan bakiyesini ve kademesini Shopify müşteri kaydına uygulama alanı ve etiket olarak yazmak; Shopify gizlilik taleplerini yanıtlamak; hizmetin güvenli ve çalışır kalmasını sağlamak.

İlgili kişiler

• Mağazanın sadakat programına katılan müşterileri.
• Katılmadan önce ya da katılmadan siparişi uygulamaya gelen müşteriler. Bunlar için yalnızca sipariş kimlikleri ve Shopify müşteri kimliği kısa süre tutulur; üye olmayanların siparişleri ürünsüz, yalnızca sayı olarak tutulur.
• Uygulamayı kullanan mağaza personeli; Shopify personel kullanıcı kimliğiyle.

Kişisel veri kategorileri ve saklama

Okunan ama saklanmayan: müşterinin adı, uygulamanın yönetim sayfalarında mağaza personeline göstermek için Shopify'dan o an okunur; veritabanımıza, kayıtlara ya da raporlara hiç yazılmaz. Personelin üye aramasına yazdığı metin Shopify'ın müşteri aramasına iletilir ve saklanmaz.

İşlenmeyen: e-posta adresi, telefon numarası, posta adresi ve ödeme verisi saklanmaz. Özel nitelikli kişisel veri işlenmez.

Talimatla işleme

Tryino mağaza kişisel verilerini yalnızca mağazanın belgelenmiş talimatıyla işler. Bu şartlar, bu sözleşme ve mağazanın uygulamada seçtiği ayarlar bu talimatlardır. Tryino bir talimatın veri koruma mevzuatına aykırı olduğunu düşünürse mağazaya bildirir ve talimatı uygulamayı reddedebilir. Kanun Tryino'nun verileri başka şekilde işlemesini gerektirirse, kanun yasaklamadıkça önce mağazaya bildirir. Tryino mağaza kişisel verilerini satmaz, kendi amaçları ya da reklam için kullanmaz, başka mağazaların verileriyle birleştirmez.

Personelin gizlilik yükümlülüğü

Tryino mağaza kişisel verilerine yalnızca uygulamayı işletmek, desteklemek ya da güvenliğini sağlamak için ihtiyacı olan personele erişim verir ve bu kişilerin, işleri bittikten sonra da devam eden gizlilik yükümlülükleriyle bağlı olmasını sağlar.

Güvenlik önlemleri

Tryino, teknolojinin durumunu, maliyeti, işlemenin niteliğini ve risklerini dikkate alarak mağaza kişisel verilerini korumak için uygun teknik ve idari tedbirleri alır. Bugün uygulanan önlemler:

• Aktarımda şifreleme: uygulamanın tüm uçlarında yalnız HTTPS ve HSTS. Veritabanına özel ağ üzerinden TLS ile bağlanılır.
• Depolamada şifreleme: veritabanı depolaması ve yedekler Azure tarafından şifrelenir. Shopify erişim anahtarları ayrıca AES-GCM ile şifrelenir; anahtar Azure Key Vault'ta tutulur.
• Ağ: PostgreSQL veritabanı özel bir ağdadır, internetten erişilemez. Yönetim uçları üretimde kapalıdır.
• Sırlar: yalnız Azure Key Vault'ta tutulur ve yönetilen kimliklerle okunur; her servis yalnız kendi sırlarını okur.
• Mağazaların ayrımı: PostgreSQL satır düzeyinde güvenlik her mağazanın verisini ayrı tutar. Servis, bunu atlayabilecek bir veritabanı rolüyle açılmayı reddeder; otomatik testler mağazalar arası erişimi denetler.
• Veri azaltma: sipariş bildirimleri saklanmadan önce indirgenir; ad, e-posta, telefon ve adres hiç yazılmaz. Müşteri adları mağazanın yönetim ekranları için Shopify'dan o an okunur, saklanmaz. Kayıtlarda müşteri verisi yoktur.
• Mağaza tarafında erişim: uygulamanın yönetim sayfaları Shopify oturum anahtarını doğrular ve mağaza sahibi ile indirim yönetme izni olan personelle sınırlıdır. Personelin puan düzeltmelerinde günlük sınır vardır ve personel kullanıcı kimliğiyle kaydedilir.
• Webhook'lar: Shopify webhook'ları imzayla doğrulanır; başka bir mağazayı adlandıran istek reddedilir.
• Tryino erişimi: üretim erişimi Azure rol tabanlı erişim denetimiyle uygulamayı işleten kişilerle sınırlıdır.
• Kayıt tutma: Azure Key Vault'taki sırlara erişim (denetim olayları) ve veritabanı bağlantıları Azure Log Analytics'e kaydedilir ve 90 gün saklanır. Uygulama kayıtlarında müşteri verisi yoktur.
• Test ve üretim: üretim kendi ağı, veritabanı, anahtar kasası ve Shopify uygulamasıyla ayrı bir ortamda çalışır. Üretim verisi teste kopyalanmaz.
• Süreklilik: aynı bölgede 14 günlük, zamana dönük geri yüklenebilir yedekler; geri yükleme en az yılda bir denenir.
• Olaylar: yazılı bir güvenlik olayı müdahale politikası.

Tryino önlemleri değiştirebilir, ancak genel koruma düzeyini düşürecek şekilde değiştirmez.

Alt işleyenler

Mağaza, Tryino'ya alt işleyen kullanması için genel yetki verir. Güncel alt işleyenler:

• Shopify mağazanın kendi platformudur, Tryino'nun alt işleyeni değildir. Cloudflare yalnızca DNS hizmeti verir ve kişisel veri almaz.
• Tryino yeni ya da değişen bir alt işleyeni en az 30 gün önceden uygulamada ya da e-postayla bildirir ve bu listeyi günceller. Mağaza makul veri koruma gerekçeleriyle itiraz edebilir. İtirazı çözemezsek mağaza uygulamayı kaldırarak şartları sona erdirebilir.
• Tryino her alt işleyene bu sözleşmeden daha az koruyucu olmayan veri koruma yükümlülükleri yükler ve onlardan mağazaya karşı sorumlu kalır.

Yurt dışına aktarım

Mağaza kişisel verileri Microsoft Azure'da, France Central bölgesinde (Paris, AB) saklanır. Tryino Türkiye'dedir; personeli uygulamayı işletmek ve desteklemek için sistemlere Türkiye'den uzaktan erişebilir.

• Bu erişime GDPR uygulandığında, AB Standart Sözleşme Hükümleri (Komisyon Uygulama Kararı (AB) 2021/914, İkinci Modül: veri sorumlusundan veri işleyene) bu sözleşmeye atıfla dahil edilir; veri aktaran mağaza, veri alan Tryino'dur. İşlemenin ayrıntıları bu sözleşmedekilerdir.
• Yurt dışına aktarıma KVKK uygulandığında, Tryino mağazanın talebi üzerine Kişisel Verileri Koruma Kurulu'nun yayımladığı standart sözleşmeyi imzalar ve mağazanın Kurul'a yapması gereken bildirimlere yardım eder.
• Tryino mağaza kişisel verilerini, veri koruma mevzuatının kabul ettiği bir güvence olmadan başka bir ülkeye aktarmaz.

İlgili kişi talepleri

Tryino, ilgili kişilerin haklarını kullanma taleplerini yanıtlamasında mağazaya uygun teknik ve idari tedbirlerle yardım eder:

• Erişim (customers/data_request): Shopify bir talebi ilettiğinde Tryino müşteri hakkında tutulan sadakat verilerinin raporunu hazırlar; mağaza raporu uygulamadan indirir.
• Silme (customers/redact): Tryino üyeyi ve ona bağlı sadakat verilerini siler, sipariş özetlerini kişiden ayırır ve temizler; genellikle dakikalar içinde.
• Düzeltme ve diğer talepler: mağaza değişiklikleri uygulamada yapabilir ya da privacy@tryino.com adresine yazabilir; yardım ederiz.

Bir ilgili kişi mağaza kişisel verileri hakkında doğrudan Tryino'ya başvurursa Tryino talebi mağazaya iletir ve kişiye mağazaya başvurmasını söylemek dışında kendisi yanıt vermez. Mağazanın yasal süre içinde (örneğin KVKK'da 30 gün) yanıt vermesine yardım ederiz.

Kişisel veri ihlalleri

• Tryino, mağaza kişisel verilerini etkileyen bir kişisel veri ihlalini öğrendikten sonra mağazaya gecikmeksizin bildirir. Hedefimiz ilk bildirimi 48 saat içinde göndermektir; olgular netleştikçe güncelleme göndeririz.
• Bildirim, bilindiği ölçüde şunları içerir: ne olduğu ve ne zaman; ilgili veri kategorileri ve yaklaşık ilgili kişi ve kayıt sayısı; olası sonuçlar; alınan ya da önerilen önlemler; mağazanın ne yapması gerektiği; bir irtibat kişisi.
• Tryino, mağazanın kendi yükümlülüklerini yerine getirmesi için gereken bilgiyi verir; örneğin GDPR kapsamında denetim makamına 72 saat içinde, KVKK kapsamında Kişisel Verileri Koruma Kurulu'na 72 saat içinde ve ilgili kişilere en kısa sürede bildirim. Talep üzerine taslak metin sağlar.
• Tryino ihlali sınırlamak ve etkilerini azaltmak için güvenlik olayı müdahale politikamızda belirtilen makul adımları atar. İhlalin bildirilmesi kusur kabulü değildir.

Diğer yardım

Tryino, işlemenin niteliğini ve elindeki bilgileri dikkate alarak, uygulamaya ilişkin veri koruma etki değerlendirmelerinde ve denetim makamlarıyla ön istişarelerde mağazaya makul yardım sağlar.

Silme ve iade

• Kaldırma: Shopify, mağaza uygulamayı kaldırdıktan 48 saat sonra silme talebi (shop/redact) gönderir. Tryino bunun üzerine mağazanın tüm verisini siler. Silinen veri 14 gün içinde yedeklerden de çıkar. Müşteri verisi içermeyen sunucu kayıtları 90 gün sonra silinir.
• İade: mağaza, uygulamayı kaldırmadan önce privacy@tryino.com adresinden program verilerinin bir kopyasını isteyebilir; Tryino kopyayı yaygın, makine tarafından okunabilir bir biçimde verir.
• Mağazanın kendi Ino Loyalty Engine'ine geçiş: mağaza bir Ino Loyalty Engine sözleşmesi yaparsa Tryino, mağazanın talimatıyla program verilerini o motora taşır. Aktarım paketi ad, e-posta ya da telefon içermez ve taşıma bitince, en geç 30 gün sonra silinir. Ardından mağazanın motoru müşterinin adını, e-postasını ve telefonunu Shopify'dan kendisi okur; bu işleme motor sözleşmesine tabidir. Uygulamadaki kopya, mağazanın geçmiş dosyasını alabilmesi için taşımadan sonra 30 gün saklanır, sonra silinir; Shopify shop/redact gönderirse hemen silinir.
• Tryino verileri yalnızca kanunun gerektirdiği durumlarda daha uzun saklayabilir; bu durumda verileri gizli tutar ve yalnızca o amaçla işler.

Denetim ve bilgi

Tryino bu sözleşmeye uyumu göstermek için gereken bilgileri sağlar; örneğin mağazanın yazılı güvenlik sorularını yanıtlar. Bu yeterli olmazsa ya da bir denetim makamı gerektirirse mağaza, yılda bir kez, en az 30 gün önceden bildirerek, masrafı kendisine ait olmak üzere, mesai saatlerinde ve işleyişi aksatmadan Tryino'nun uyumunu denetleyebilir. Denetimi gizlilikle bağlı bağımsız bir denetçi yapabilir; denetim mağazanın verisini işleyen sistemlerle sınırlıdır. Tryino herhangi bir üçüncü taraf güvenlik sertifikası iddia etmez.

Sorumluluk

Tarafların bu sözleşme kapsamındaki sorumluluğu, veri koruma mevzuatının sınırlamaya izin vermediği haller dışında, hizmet şartlarındaki sınırlamalara tabidir.

Süre ve öncelik

• Bu sözleşme, Tryino mağaza kişisel verilerini işlediği sürece uygulanır.
• Bu sözleşme hizmet şartlarıyla çelişirse bu sözleşme geçerlidir. Standart Sözleşme Hükümleri uygulanıyor ve bu sözleşmeyle çelişiyorsa o Hükümler geçerlidir.
• Standart Sözleşme Hükümleri dışında bu sözleşme, hizmet şartlarıyla aynı hukuka ve mahkemelere tabidir.
• Bu sözleşmeyi hizmet şartlarında anlatıldığı şekilde güncelleyebiliriz; sayfanın başındaki tarih son sürümü gösterir. Ayrıca uygulama gizlilik politikasına bakın.

İletişim

Gizlilik ve veri koruma: privacy@tryino.com · Tryino, İstanbul, Türkiye