Gizlilik Politikası

0. Kapsam — Bu Metin Hangi Ürün İçin Geçerli?

Bu politika iki ayrı ürünü kapsar ve maddelerin bir kısmı yalnızca birine uygulanır. Hangi maddenin nerede geçerli olduğu aşağıda yazılıdır; metnin devamını okurken bu ayrımı esas alın.

• iOS uygulaması (App Store'daki Komshia): uygulamada hesap, giriş, kayıt, sipariş, emanet (escrow), ödeme, ilan verme, mesajlaşma ve çerez YOKTUR. Uygulama sunucularımıza hiçbir veri YAZMAZ; yalnızca market, kur ve ürün katalogu verisini okumak için istek gönderir ve bu isteklerde hesap, oturum ya da cihaz tanımlayıcısı bulunmaz. Alışveriş listeniz yalnızca cihazınızın kendi belleğinde durur. Bu nedenle uygulama için silinecek bir hesap kaydı da oluşmaz. Aşağıdaki hesap, sipariş, ödeme, çerez ve satıcı maddeleri uygulamayı KAPSAMAZ. Uygulamanın okuma isteklerini kendi veritabanımıza ya da kendi kayıt (log) dosyalarımıza yazmayız; barındırma sağlayıcımız (Vercel) bağlantının IP adresini yalnızca yanıtı iletmek için işler ve yalnızca kısa süreli işletim kayıtlarında tutar. Bu nedenle 3. bölümdeki "Teknik veriler" maddesi ve 8. bölümdeki güvenlik ve erişim kayıtları saklama süresi uygulamayı KAPSAMAZ.
• iOS uygulamasında KAMERA KULLANILMAZ ve barkod okuma YOKTUR. Uygulama kamera izni istemez; iOS ayarlarında Komshia için bir kamera izni satırı görmezsiniz. 13. bölümdeki kamera maddesi uygulamayı KAPSAMAZ.
• komshia.com web sitesi: aşağıdaki maddelerin tamamı web sitesi için geçerlidir — sitede üyelik, sipariş, emanetli ödeme, satıcı paneli, çerezler ve barkod okuma ("Tara") ekranı bulunur.

1. Veri Sorumlusu

Veri sorumlusu, komshia.com platformunu işleten SMARTIA OOD (СМАРТИЯ ООД) · Tria City Center, Burgas · Bulgaristan’dir. Veri sorumlusu Bulgaristan’da (AB) yerleşiktir ve Genel Veri Koruma Tüzüğü’ne (GDPR, (AB) 2016/679) ile Bulgaristan Kişisel Verilerin Korunması Kanunu’na (ЗЗЛД) tabidir. Türkiye’de bulunan kullanıcılara hizmet sunulduğu ölçüde, 6698 sayılı KVKK md. 2 uyarınca KVKK hükümleri de uygulanır. Gizlilikle ilgili tüm taleplerinizi adresine iletebilirsiniz.

2. Kapsam

Bu politika; Platform’a üye olan alıcıları, satıcı başvurusu yapan ve onaylanan işletme temsilcilerini ve Platform’u ziyaret eden tüm kullanıcıları kapsar. Türkiye’de yerleşik kullanıcılar için KVKK, AB’de yerleşik kullanıcılar için GDPR hükümleri esas alınır; iki mevzuatın çatışması hâlinde kullanıcı lehine olan hüküm uygulanır.

3. Topladığımız Veriler

• Hesap verileri: ad-soyad, e-posta adresi, telefon numarası, şifre (geri döndürülemez şekilde özetlenmiş/hash).
• Satıcı işletme verileri: ticaret unvanı, vergi/şirket numarası, yetkili kişi bilgileri, banka hesap bilgileri (ödeme aktarımı için).
• Sipariş verileri: teslimat adresi, fatura bilgileri, sipariş geçmişi.
• Ödeme verileri: ödemeler Stripe (EUR) ve İyzico (TRY) üzerinden işlenir; kart numaranız hiçbir zaman sunucularımızda saklanmaz.
• Teknik veriler: oturum çerezleri, IP adresi (güvenlik kayıtlarında kısaltılmış/maskelenmiş olarak), tarayıcı bilgisi.

4. Takma Adlandırma ve Şifreleme

Platform, kişisel verilerin korunmasında bir takma adlandırma (pseudonymisation) mimarisi kullanır. Ad, e-posta, telefon ve adres gibi doğrudan kimlik belirleyici veriler (PII), veri tabanında AES-256-GCM algoritması ile şifrelenmiş olarak saklanır.

Kullanıcılar Platform içi süreçlerde (sipariş kayıtları, destek talepleri, satıcı panelleri) gerçek kimlikleri yerine kendilerine atanan benzersiz bir üye numarası (#10482937 biçiminde) ile temsil edilir. Web sitesinde SocialID ile kaydolduysanız, SocialID'nin size verdiği numara üye numaranız olarak kullanılır. Bu sayede operasyonel kayıtlara erişen hiçbir taraf, şifre çözme yetkisi olmaksızın kimliğinizi göremez.

Şifreleme anahtarları uygulama verisinden ayrı olarak yönetilir ve erişim en az yetki ilkesine göre sınırlandırılır.

5. İşleme Amaçları ve Hukuki Dayanaklar

• Üyelik sözleşmesinin kurulması ve ifası — sözleşmenin ifası (GDPR md. 6/1-b; KVKK md. 5/2-c).
• Sipariş, ödeme, escrow ve teslimat süreçlerinin yürütülmesi — sözleşmenin ifası.
• Yasal yükümlülüklerin yerine getirilmesi (vergi, muhasebe, kara para aklamayı önleme) — hukuki yükümlülük (GDPR md. 6/1-c; KVKK md. 5/2-ç).
• Dolandırıcılığın önlenmesi ve platform güvenliği — meşru menfaat (GDPR md. 6/1-f; KVKK md. 5/2-f).
• Pazarlama iletileri — yalnızca açık rızanızla (GDPR md. 6/1-a; KVKK md. 5/1).

6. Verilerin Paylaşıldığı Taraflar

• Ödeme kuruluşları: Stripe Payments Europe Ltd. ve İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. — ödemenin işlenmesi için.
• Kargo ve lojistik firmaları — teslimatın gerçekleştirilmesi için yalnızca gerekli teslimat bilgileri.
• Barındırma ve altyapı sağlayıcıları (AB bölgesi, Frankfurt) — şifreli veri saklama; barındırma sağlayıcımız Vercel ayrıca çerez kullanmayan ziyaretçi ölçümünü (Vercel Analytics ve Speed Insights) yürütür — ayrıntı için Çerez Politikası’nın 5. bölümüne bakınız.
• Yetkili kamu kurum ve kuruluşları — yalnızca yasal zorunluluk hâlinde.
• Satıcılar — siparişin ifası için gerekli olan asgari teslimat bilgileri; alıcının diğer kişisel verileri satıcıyla paylaşılmaz.
• SocialID (yalnız web sitesinde, "SocialID ile giriş yap" düğmesiyle giriş yaparsanız; iOS uygulamasında hesap ve giriş yoktur) — SocialID'nin veri sorumlusu SOSYAL TURİZM BİLİŞİM REKLAM TEKSTİL SANAYİ VE TİCARET LİMİTED ŞİRKETİ'dir; Komshia'dan ayrı, bağımsız bir veri sorumlusudur ve Türkiye'de yerleşiktir. SocialID politikasına göre üye sitelere yalnızca SocialID numaranız ve görünen adınız aktarılır. Altyapı sağlayıcıları ve veri tabanı bölgesi için SocialID'nin gizlilik politikasına bakın: https://www.socialid.me/gizlilik. (Bu hizmet, 4. bölümde anlatılan Platform içi üye numarasından ayrıdır.)
• Google (yalnız web sitesinde, Google ile giriş yaparsanız; iOS uygulamasında hesap ve giriş yoktur) — Google hesabınızla girişte veri sorumlusu, Avrupa Ekonomik Alanı'ndaki kullanıcılar için Google Ireland Limited'dir (Gordon House, Barrow Street, Dublin 4, İrlanda); Komshia'dan ayrı, bağımsız bir veri sorumlusudur. Google'dan Komshia'ya e-posta adresiniz, adınız ve profil resminizin adresi aktarılır; Komshia bunları hesabınızı oluşturmak/bağlamak için kullanır ve Google hesap kimliğinizi hesabınıza bağlı tutar. Google'ın işlemesi için Google Gizlilik Politikası'na bakın: https://policies.google.com/privacy

7. Uluslararası Veri Aktarımı

Veri sorumlusu AB’de (Bulgaristan) yerleşiktir ve veritabanı AB’de (Frankfurt) tutulur; ancak aşağıdaki hizmetler verilerin Avrupa Ekonomik Alanı (AEA) dışına çıkmasına yol açabilir. Bu nedenle “üçüncü ülkeye aktarım yoktur” denmez; aktarımlar şunlardır:

• Barındırma sağlayıcımız Vercel Inc. (Amerika Birleşik Devletleri) hizmeti sunarken IP adresiniz gibi teknik verileri işleyebilir. Verilerin Avrupa Ekonomik Alanı dışına aktarıldığı durumlarda, sağlayıcının veri işleme ekinde yer alan Avrupa Komisyonu Standart Sözleşme Maddelerine (GDPR m.46/2-c) dayanırız. Ek metin: https://vercel.com/legal/dpa
• Neon — veritabanı barındırma (veriler AB bölgesinde tutulur; sağlayıcı şirket ABD merkezlidir). AB dışından erişimin söz konusu olabildiği durumlarda ilgili sağlayıcının veri işleme eki (DPA) ve Standart Sözleşme Maddeleri geçerlidir.
• Resend — hesap, bekleme listesi ve sipariş e-postaları: e-posta adresiniz ile hesap doğrulama/şifre sıfırlama bağlantısı; bekleme listesine katılırsanız size karşılama e-postası ve bize adınız, e-posta adresiniz, (verdiyseniz) şirketiniz ve rolünüzle kayıt bildirimi; sipariş verdiğinizde ya da size sipariş geldiğinde sipariş numarası ve kargo bilgisini içeren bildirim, e-posta olarak iletilirken. Veriler ABD'ye aktarılır; aktarım dayanağı, sağlayıcının veri işleme ekindeki Avrupa Komisyonu Standart Sözleşme Maddeleridir (GDPR m.46/2-c). https://resend.com/legal/dpa
• İyzico (yalnız web sitesinde, İyzico ile ödeme yaparsanız): İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. Türkiye’de yerleşiktir; ödemeyi işlemek için gereken veriler Türkiye’ye aktarılır. Türkiye için Avrupa Komisyonu yeterlilik kararı bulunmadığından bu aktarım yalnızca verdiğiniz siparişin ifası için gerekli olduğu ölçüde yapılır (GDPR m.49/1-b).
• SocialID (yalnız web sitesinde, “SocialID ile giriş yap” düğmesiyle giriş yaparsanız): Türkiye’de yerleşik bağımsız veri sorumlusuyla SocialID numaranız ve görünen adınız paylaşılır; aktarımı giriş yöntemini seçerek siz başlatırsınız. Dayanak ve ayrıntı için 6. bölümdeki SocialID bağlantısına bakınız.
• iOS uygulaması hesap, giriş ve ödeme içermez; uygulamanın yaptığı tek şey yukarıdaki barındırma sağlayıcısı üzerinden fiyat verisini okumaktır.

8. Saklama Süreleri

• Hesap verileri: üyelik süresince ve üyeliğin sona ermesinden itibaren yasal zamanaşımı süresi boyunca (azami 10 yıl).
• Sipariş ve fatura kayıtları: vergi mevzuatı gereği 10 yıl.
• Güvenlik ve erişim kayıtları: 2 yıl.
• Pazarlama rızası verileri: rıza geri alınana kadar.

9. Haklarınız

GDPR md. 15-22 ve KVKK md. 11 uyarınca aşağıdaki haklara sahipsiniz:

Verilerinizin bir kopyasını giriş yaptıktan sonra https://www.komshia.com/tr/account/profile sayfasındaki indirme bağlantısıyla kendiniz alabilirsiniz: hesabınıza bağlı verileriniz makinece okunabilir bir JSON dosyası olarak iner (erişim m.15, taşınabilirlik m.20).

• Verilerinizin işlenip işlenmediğini öğrenme ve verilerinize erişme,
• Eksik veya yanlış işlenen verilerin düzeltilmesini isteme,
• Verilerin silinmesini veya yok edilmesini isteme ("unutulma hakkı"),
• İşlemenin kısıtlanmasını isteme ve işlemeye itiraz etme,
• Veri taşınabilirliği (verilerinizi yapılandırılmış bir formatta alma),
• Otomatik sistemlerle analiz sonucu aleyhinize çıkan sonuçlara itiraz etme,
• Zarara uğramanız hâlinde tazminat talep etme.

10. Başvuru ve Şikâyet

Haklarınızı kullanmak için adresine yazılı başvuru yapabilirsiniz. Başvurular en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. Ayrıca Türkiye’de Kişisel Verileri Koruma Kurulu’na (KVKK), Bulgaristan’da Kişisel Verileri Koruma Komisyonu’na (CPDP) ve yerleşik olduğunuz AB üye devletindeki denetim makamına şikâyette bulunma hakkınız saklıdır.

11. Güvenlik Önlemleri

Tüm bağlantılar TLS ile şifrelenir; PII alanları AES-256-GCM ile şifrelenmiş olarak saklanır; erişim rol bazlı yetkilendirmeyle sınırlandırılır; sistem kayıtlarında kişisel veriler maskelenir; istek sınırlama (rate limiting) ve güvenlik başlıkları (CSP, HSTS) uygulanır.

12. Çocukların Verileri ve Değişiklikler

Platform 18 yaş altı kişilere yönelik değildir; 18 yaş altı kişilere ait olduğu tespit edilen hesaplar kapatılır ve veriler silinir.

Bu politika güncellenebilir; önemli değişiklikler Platform üzerinden duyurulur. Güncel sürüm her zaman bu sayfada yayımlanır.

13. Uygulama Cihaz Yetenekleri (iOS / Android)

Bu bölüm cihaz yeteneklerini anlatır. 0. bölümdeki kapsam ayrımı burada da geçerlidir: KAMERA ve barkod okuma YALNIZCA web sitesinin "Tara" ekranına aittir ve App Store'daki iOS uygulamasında YOKTUR; cihaz belleği hem uygulamada hem sitede bulunur, yerel bildirim (günlük hatırlatma) ise yalnızca uygulamada bulunur. Yeteneklerin tamamı isteğe bağlıdır ve izin verilmediğinde uygulamanın ya da sitenin geri kalanı normal çalışmaya devam eder.

• Kamera (barkod okuma) — YALNIZCA WEB SİTESİ, App Store uygulamasında YOKTUR: Sitenin "Tara" ekranında ve yalnızca siz tarama düğmesine bastığınızda açılır. Barkod, cihaz üzerinde çözülür; hiçbir fotoğraf veya video karesi kaydedilmez, saklanmaz ve sunucularımıza ya da üçüncü taraflara gönderilmez. Sunucuya giden tek veri, okunan barkodun rakamlarıdır — ürünü katalogda aramak için. Bu istek hesap, oturum veya cihaz tanımlayıcısı taşımaz. Kamera izni, siteyi bir uygulama kabuğu içinde açtığınız durumda cihaz ayarlarından istediğiniz zaman geri alınabilir; izin verilmezse barkodu elle yazabilirsiniz.
• Yerel bildirimler: iOS uygulamasında tek bir bildirim vardır — seçtiğiniz saatte günde bir kez gelen ve uygulamayı açmanızı hatırlatan bildirim; fiyat düşüşü bildirmez. komshia.com web sitesi bildirim göndermez: sitenin "Tara" ekranında takip listenizdeki bir fiyat düşüşü yalnızca sayfada gösterilir. Hatırlatma cihazın kendisi tarafından zamanlanır; uzaktan gönderim (push) kullanılmaz, cihaz bildirim jetonu (token) toplanmaz ve bildirim içeriği sunucularımızdan geçmez. İzin iOS Ayarlar › Komshia › Bildirimler bölümünden geri alınabilir; alındığında uygulamanın geri kalanı çalışmaya devam eder, yalnızca hatırlatma gösterilmez.
• Cihaz belleği (alışveriş listesi ve takip listesi): "Cebim" alışveriş listeniz ve "Tara" takip listeniz cihazınızın kendi belleğinde saklanır (iOS'ta UserDefaults, tarayıcıda localStorage). Bu listeler sunucularımıza yüklenmez ve tarafımızca görülemez. Web sitesinde güncel fiyatı öğrenmek için sunucuya yalnızca listedeki ürünlerin kimlikleri gönderilir; kim olduğunuza dair hiçbir bilgi eşlik etmez. iOS uygulaması ise listenizdeki ürünler için sunucuya hiçbir istek göndermez: yalnızca herkese açık katalog, market ve döviz kuru verisini, listenizde hangi ürünlerin bulunduğu bilgisi olmadan indirir. Listeler, uygulamayı silerek veya listedeki kayıtları tek tek çıkararak silinir.