1.Konu ve roller
Bu sözleşme, Hizmet Sözleşmesi'nin ayrılmaz parçasıdır ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 12. maddesi uyarınca tarafların kişisel verilerin güvenliğine ilişkin yükümlülüklerini düzenler.
| Rol | Kim | Ne demek |
|---|---|---|
| Veri sorumlusu | Abone (distribütör, toptancı) | Müşterilerinin, çalışanlarının ve bayi sitesi ziyaretçilerinin verilerini hangi amaçla ve nasıl işleyeceğine Abone karar verir. |
| Veri işleyen | DistroSoft | Bu verileri yalnızca Abone adına, hizmeti sunmak ve Abone'nin talimatlarını yerine getirmek için işler. |
DistroSoft'nın kendi adına veri sorumlusu olarak işlediği veriler (ör. hesap sahibinin iletişim bilgileri, faturalama) bu sözleşmenin değil, KVKK Aydınlatma Metni'nin konusudur.
2.İşlenen veriler ve ilgili kişiler
| İlgili kişi grubu | Veri kategorileri |
|---|---|
| Abone'nin kullanıcıları (yönetici, plasiyer, şoför, depo) | Ad soyad, e-posta, telefon, rol ve yetkiler, şifre özeti (şifrenin kendisi saklanmaz), iki adımlı doğrulama anahtarı, giriş ve işlem kayıtları, IP adresi ve tarayıcı bilgisi; ziyaret kaydı sırasında, tarayıcı izni verilirse anlık konum |
| Müşteriler (bayi, market, bakkal) ve yetkilileri | Unvan, yetkili adı, telefon, e-posta, adres, harita konumu, vergi dairesi ve VKN/TCKN, e-belge mükellefiyet bilgisi, fiyat listesi, vade ve kredi limiti, sipariş, teslimat, fatura, irsaliye, iade, cari hareket ve tahsilat kayıtları, çek-senet bilgileri (keşideci, banka, numara, vade), online ödeme kayıtları (kart bilgisi hariç), Abone'nin müşteriye özel notları |
| Bayi sitesi ziyaretçileri | İletişim ve teklif formunda yazılan ad, işletme, telefon, e-posta ve mesaj; sipariş formundaki bilgiler; oturum çerezleri; erişim kayıtları (IP, tarih-saat, istenen adres) |
| Abone'nin tedarikçileri ve diğer kişiler | Abone'nin belgelere ve kayıtlara girdiği ad, unvan ve iletişim bilgileri |
Platform özel nitelikli kişisel veri işlemek için tasarlanmamıştır; Abone bu tür verileri platforma girmez.
3.İşleme amacı ve talimatlar
- DistroSoft kişisel verileri yalnızca Hizmet Sözleşmesi'ndeki hizmeti sunmak ve Abone'nin belgelenmiş talimatlarını yerine getirmek için işler. Abone'nin panelde yaptığı ayarlar, bağladığı entegrasyonlar, oluşturduğu API anahtarları ve verdiği paylaşım onayları (ör. sell-out) talimat sayılır.
- DistroSoft, bir talimatın mevzuata aykırı olduğunu düşünürse Abone'yi gecikmeksizin bilgilendirir.
- Verilerin kanunen yetkili bir kamu kurumuna verilmesi gerekirse, kanunen yasaklanmadıkça DistroSoft Abone'yi önceden bilgilendirir ve yalnızca istenen ölçüde veri verir.
4.Güvenlik tedbirleri
DistroSoft, KVKK m. 12 ve Kişisel Veri Güvenliği Rehberi'ni esas alarak aşağıdaki teknik ve idari tedbirleri uygular:
Teknik tedbirler
- Firma verisinin ayrılması: Her abonenin verisi, veritabanı seviyesinde satır güvenliği (row-level security) ile ayrılır; bir abonenin oturumu başka abonenin verisine sorgu düzeyinde erişemez.
- Şifreleme: Tüm trafik TLS (HTTPS) ile şifrelenir. Kullanıcı şifreleri bcrypt ile tek yönlü özetlenir. Entegrasyon şifreleri ve API anahtarları AES-256-GCM ile şifrelenmiş olarak saklanır.
- Erişim: Rol ve yetki tabanlı erişim; iki adımlı doğrulama (TOTP); oturum çerezleri HttpOnly ve güvenli bayraklı; şifre denemelerinde sınırlama.
- Kayıt: Girişler, yetki değişiklikleri ve önemli işlemler kimin, ne zaman ve hangi IP adresinden yaptığıyla işlem kaydına yazılır; Abone bu kaydı panelden görebilir.
- Yedekleme: Veritabanı her gece yedeklenir; yedekler 14 gün saklanıp kendiliğinden silinir.
- Altyapı: Sunucular Türkiye'dedir; yönetim erişimi yetkili personelle sınırlıdır; işletim sistemi ve yazılım bağımlılıkları düzenli güncellenir; e-postalar kendi sunucumuzdan DKIM imzasıyla gönderilir.
İdari tedbirler
- Verilere yalnızca görevi gereği erişmesi gereken personel erişir; personel gizlilik yükümlülüğü altındadır.
- DistroSoft personeli, abone verisine yalnızca Abone'nin destek talebi, güvenlik incelemesi ya da kanuni zorunluluk hâlinde ve gereken ölçüde erişir.
- Tedbirler, teknolojik gelişmeler ve risklere göre düzenli olarak gözden geçirilir.
5.Alt işleyenler
Abone, DistroSoft'nın hizmeti sunmak için aşağıdaki alt işleyenlerle çalışmasına genel izin verir:
| Hizmet sağlayıcı | Ne için | Hangi veri | Konum |
|---|---|---|---|
| Sanal sunucu sağlayıcısı (Türkiye) | Platformun, veritabanının, yedeklerin ve yüklenen görsellerin barındırılması | Platformdaki tüm veriler (şifreli bağlantı, erişimi kısıtlı sunucu) | Türkiye |
| DistroSoft e-posta sunucusu | Bildirim, sipariş ve doğrulama e-postaları | Alıcı e-posta adresi ve e-postanın içeriği | Türkiye (kendi sunucumuz) |
| Cloudflare, Inc. | distrosoft.com.tr alan adının DNS kayıtları | Kişisel veri aktarılmaz; trafik Cloudflare'den geçmez, yalnızca alan adı çözümlenir | ABD (yalnızca DNS) |
| OpenStreetMap Vakfı (Nominatim) | Müşteri adresinin rota planlaması için haritada konumlandırılması | Yalnızca adres metni (mahalle, sokak, il, ilçe); ad, unvan, telefon gönderilmez | Birleşik Krallık / AB |
Aşağıdaki hizmetler ise yalnızca Abone kendi hesabını bağladığında ve Abone'nin talimatıyla çalışır. Bu sağlayıcılar Abone'nin kendi sözleşme ilişkisi içindedir; DistroSoft veriyi yalnızca Abone'nin istediği işlem için iletir:
| Hizmet | Ne zaman devreye girer | Aktarılan veri |
|---|---|---|
| Nilvera (e-Fatura, e-Arşiv, e-İrsaliye) | Firma kendi Nilvera hesabını bağladığında | Fatura ve irsaliyedeki alıcı bilgileri (unvan, VKN/TCKN, adres) ve kalemler |
| Paraşüt (ön muhasebe) | Firma Paraşüt hesabını bağladığında | Cari kartlar, faturalar ve tahsilatlar |
| PayTR, iyzico (online ödeme) | Firma kendi sanal POS hesabını bağladığında | Ödeyen müşterinin adı, e-postası, telefonu, adresi ve tutar. Kart bilgisi ödeme kuruluşunun sayfasında girilir; platforma gelmez ve saklanmaz |
| Yurtiçi, Aras, MNG Kargo | Firma kargo hesabını bağlayıp gönderi oluşturduğunda | Alıcının adı, telefonu ve teslimat adresi |
| Firmanın kendi yazılımları (API, webhook, stok ajanı) | Firma API anahtarı oluşturduğunda ya da stok ajanını kurduğunda | Firmanın izin verdiği kapsamda sipariş, cari, ürün ve stok verileri |
DistroSoft yeni bir alt işleyenle çalışmaya başlamadan ya da birini değiştirmeden en az 30 gün önce bu listeyi günceller ve Abone'ye e-postayla bildirir. Abone, makul bir gerekçeyle itiraz edebilir. Uzlaşma sağlanamazsa Abone sözleşmeyi feshedebilir ve kullanılmamış ödenmiş süreye düşen ücreti geri alır. DistroSoft, alt işleyenlerine bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler yükler.
6.Yurt dışına aktarım
Platformun verileri Türkiye'deki sunucularda tutulur. Yurt dışı ile ilgili tek durum, müşteri adresinin rota planlaması için haritada konumlandırılmasıdır: bu işlemde yalnızca adres metni OpenStreetMap Vakfı'nın Nominatim hizmetine gönderilir; ad, unvan, telefon ya da başka bir kimlik bilgisi gönderilmez. DistroSoft, bu işlemi Türkiye'de barındırılan bir konumlandırma hizmetine taşıma hakkını saklı tutar; böyle bir değişiklik bu sayfada duyurulur.
Abone'nin bağladığı entegrasyonlar (bkz. alt işleyenler) Türkiye'de yerleşik sağlayıcılardır. DistroSoft, kişisel verileri bunlar dışında yurt dışına aktarmaz; aktarması gerekirse KVKK m. 9'daki şartları (yeterlilik kararı ya da standart sözleşme ve Kurul'a bildirim) sağlamadan aktarım yapmaz.
7.İlgili kişi başvuruları
- Abone'nin müşterilerinden ya da çalışanlarından DistroSoft'ya doğrudan bir KVKK başvurusu gelirse, DistroSoft başvuruyu gecikmeksizin Abone'ye iletir ve başvuru sahibine Abone'ye başvurması gerektiğini bildirir; başvuruyu kendisi sonuçlandırmaz.
- Abone, başvuruları yanıtlarken platformun araçlarını kullanır: müşteri kartının ve cari ekstrenin görüntülenip yazdırılması, kayıtların düzeltilmesi, müşterinin pasife alınması, API ile veri alınması. Kanuni saklama yükümlülüğü bulunmayan verilerin silinmesi ya da anonim hâle getirilmesi gibi bu araçların yetmediği durumlarda DistroSoft, Abone'nin talebi üzerine makul sürede teknik destek verir.
8.Veri ihlali bildirimi
DistroSoft, Abone verisini etkileyen bir veri ihlalini öğrendiğinde Abone'yi gecikmeksizin ve en geç 24 saat içinde bilgilendirir. Bildirimde, o an bilinen ölçüde ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları ve alınan ya da önerilen tedbirler yer alır. Bu bilgi Abone'nin, ihlali 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirme yükümlülüğünü yerine getirebilmesi içindir. DistroSoft ihlalin etkisini azaltmak için gerekli tedbirleri derhâl alır.
9.Bilgi verme ve denetim
DistroSoft, Abone'nin bu sözleşmeye uyumu doğrulaması için gereken bilgi ve belgeleri makul süre içinde sağlar. Abone, en az 30 gün önceden yazılı bildirimde bulunarak, yılda en fazla bir kez, mesai saatleri içinde ve diğer abonelerin verisine ve güvenliğine zarar vermeyecek şekilde denetim talep edebilir. Denetim maliyeti Abone'ye aittir.
10.Sözleşme sonunda verilerin silinmesi
Hizmet Sözleşmesi sona erdiğinde Abone'ye verilerini dışa aktarması için 30 gün süre tanınır. Bu sürenin sonunda DistroSoft Abone verisini canlı sistemden siler; yedeklerdeki kopyalar en geç 14 gün içinde yedek döngüsüyle silinir. Kanunen saklanması zorunlu kayıtlar, yalnızca bu zorunluluk süresince ve başka amaçla kullanılmaksızın saklanır.
11.Yürürlük
Bu sözleşme Hizmet Sözleşmesi ile birlikte yürürlüğe girer ve onunla birlikte sona erer. Abone'nin kayıt sırasındaki elektronik onayı bu sözleşmeyi de kapsar. Değişiklikler Hizmet Sözleşmesi'ndeki usulle bildirilir.