Gizlilik Politikası

1. Veri Sorumlusu

Veri sorumlusu, Bulgaristan kanunlarına göre kurulmuş Komshia şirketidir (Burgas, Bulgaristan). Gizlilikle ilgili tüm taleplerinizi info@komshia.com adresine iletebilirsiniz.

2. Kapsam

Bu politika; Platform’a üye olan alıcıları, satıcı başvurusu yapan ve onaylanan işletme temsilcilerini ve Platform’u ziyaret eden tüm kullanıcıları kapsar. Türkiye’de yerleşik kullanıcılar için KVKK, AB’de yerleşik kullanıcılar için GDPR hükümleri esas alınır; iki mevzuatın çatışması hâlinde kullanıcı lehine olan hüküm uygulanır.

3. Topladığımız Veriler

• Hesap verileri: ad-soyad, e-posta adresi, telefon numarası, şifre (geri döndürülemez şekilde özetlenmiş/hash).
• Satıcı işletme verileri: ticaret unvanı, vergi/şirket numarası, yetkili kişi bilgileri, banka hesap bilgileri (ödeme aktarımı için).
• Sipariş verileri: teslimat adresi, fatura bilgileri, sipariş geçmişi.
• Ödeme verileri: ödemeler Stripe (EUR) ve İyzico (TRY) üzerinden işlenir; kart numaranız hiçbir zaman sunucularımızda saklanmaz.
• Teknik veriler: oturum çerezleri, IP adresi (güvenlik kayıtlarında kısaltılmış/maskelenmiş olarak), tarayıcı bilgisi.

4. Social-ID: Takma Adlandırma ve Şifreleme

Platform, kişisel verilerin korunmasında "Social-ID" adını verdiğimiz bir takma adlandırma (pseudonymisation) mimarisi kullanır. Ad, e-posta, telefon ve adres gibi doğrudan kimlik belirleyici veriler (PII), veri tabanında AES-256-GCM algoritması ile şifrelenmiş olarak saklanır.

Kullanıcılar Platform içi süreçlerde (sipariş kayıtları, destek talepleri, satıcı panelleri) gerçek kimlikleri yerine kendilerine atanan benzersiz bir numara (Social-ID) ile temsil edilir. Bu sayede operasyonel kayıtlara erişen hiçbir taraf, şifre çözme yetkisi olmaksızın kimliğinizi göremez.

Şifreleme anahtarları uygulama verisinden ayrı olarak yönetilir ve erişim en az yetki ilkesine göre sınırlandırılır.

5. İşleme Amaçları ve Hukuki Dayanaklar

• Üyelik sözleşmesinin kurulması ve ifası — sözleşmenin ifası (GDPR md. 6/1-b; KVKK md. 5/2-c).
• Sipariş, ödeme, escrow ve teslimat süreçlerinin yürütülmesi — sözleşmenin ifası.
• Yasal yükümlülüklerin yerine getirilmesi (vergi, muhasebe, kara para aklamayı önleme) — hukuki yükümlülük (GDPR md. 6/1-c; KVKK md. 5/2-ç).
• Dolandırıcılığın önlenmesi ve platform güvenliği — meşru menfaat (GDPR md. 6/1-f; KVKK md. 5/2-f).
• Pazarlama iletileri — yalnızca açık rızanızla (GDPR md. 6/1-a; KVKK md. 5/1).

6. Verilerin Paylaşıldığı Taraflar

• Ödeme kuruluşları: Stripe Payments Europe Ltd. ve İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. — ödemenin işlenmesi için.
• Kargo ve lojistik firmaları — teslimatın gerçekleştirilmesi için yalnızca gerekli teslimat bilgileri.
• Barındırma ve altyapı sağlayıcıları (AB bölgesi, Frankfurt) — şifreli veri saklama.
• Yetkili kamu kurum ve kuruluşları — yalnızca yasal zorunluluk hâlinde.
• Satıcılar — siparişin ifası için gerekli olan asgari teslimat bilgileri; alıcının diğer kişisel verileri satıcıyla paylaşılmaz.

7. Uluslararası Veri Aktarımı

Verileriniz öncelikli olarak Avrupa Birliği sınırları içindeki sunucularda (Frankfurt) saklanır. Türkiye ile AB arasındaki aktarımlar, KVKK md. 9 ve GDPR Bölüm V uyarınca uygun güvencelerle (standart sözleşme maddeleri ve açık rıza dâhil) gerçekleştirilir.

8. Saklama Süreleri

• Hesap verileri: üyelik süresince ve üyeliğin sona ermesinden itibaren yasal zamanaşımı süresi boyunca (azami 10 yıl).
• Sipariş ve fatura kayıtları: vergi mevzuatı gereği 10 yıl.
• Güvenlik ve erişim kayıtları: 2 yıl.
• Pazarlama rızası verileri: rıza geri alınana kadar.

9. Haklarınız

GDPR md. 15-22 ve KVKK md. 11 uyarınca aşağıdaki haklara sahipsiniz:

• Verilerinizin işlenip işlenmediğini öğrenme ve verilerinize erişme,
• Eksik veya yanlış işlenen verilerin düzeltilmesini isteme,
• Verilerin silinmesini veya yok edilmesini isteme ("unutulma hakkı"),
• İşlemenin kısıtlanmasını isteme ve işlemeye itiraz etme,
• Veri taşınabilirliği (verilerinizi yapılandırılmış bir formatta alma),
• Otomatik sistemlerle analiz sonucu aleyhinize çıkan sonuçlara itiraz etme,
• Zarara uğramanız hâlinde tazminat talep etme.

10. Başvuru ve Şikâyet

Haklarınızı kullanmak için info@komshia.com adresine yazılı başvuru yapabilirsiniz. Başvurular en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. Ayrıca Türkiye’de Kişisel Verileri Koruma Kurulu’na (KVKK), Bulgaristan’da Kişisel Verileri Koruma Komisyonu’na (CPDP) ve yerleşik olduğunuz AB üye devletindeki denetim makamına şikâyette bulunma hakkınız saklıdır.

11. Güvenlik Önlemleri

Tüm bağlantılar TLS ile şifrelenir; PII alanları AES-256-GCM ile şifrelenmiş olarak saklanır; erişim rol bazlı yetkilendirmeyle sınırlandırılır; sistem kayıtlarında kişisel veriler maskelenir; istek sınırlama (rate limiting) ve güvenlik başlıkları (CSP, HSTS) uygulanır.

12. Çocukların Verileri ve Değişiklikler

Platform 18 yaş altı kişilere yönelik değildir; 18 yaş altı kişilere ait olduğu tespit edilen hesaplar kapatılır ve veriler silinir.

Bu politika güncellenebilir; önemli değişiklikler Platform üzerinden duyurulur. Güncel sürüm her zaman bu sayfada yayımlanır.