Veri İşleme Sözleşmesi

Bu sözleşme, Qando’yu kullanan işletmelerin kendi müşterilerine ait kişisel verilerin Qando tarafından nasıl işlendiğini düzenler ve abonelik sözleşmesinin ayrılmaz ekidir.

1. Tarafların Sıfatı

Pazaryerlerinden ve e-ticaret platformlarından alınan sipariş verileri bakımından veri sorumlusu, Qando’yu kullanan işletmedir. Qando bu veriler bakımından veri işleyen sıfatıyla, yalnızca işletmenin talimatı ve hizmetin gerektirdiği ölçüde hareket eder.

Qando, bu verileri kendi amaçları için kullanmaz; başka müşterilerine açmaz, satmaz, reklam amacıyla işlemez.

2. İşlenen Veri Kategorileri

VKN/TCKN bilgisi, yalnızca e-Fatura / e-Arşiv düzenlenmesi amacıyla işlenir. Bu işleme, KVKK m.5/2-ç uyarınca hukuki yükümlülüğün yerine getirilmesine dayanır ve ayrıca rıza gerektirmez.

3. İşleme Amacı ve Süresi

Veriler; siparişin işlenmesi, kargo süreci, fatura düzenlenmesi, müşteri iletişimi ve işletmenin kendi raporlaması amacıyla işlenir.

Saklama: Mali ve ticari kayıt niteliğindeki veriler, vergi ve ticaret mevzuatının öngördüğü süre (kural olarak 10 yıl) boyunca saklanır. Bu, tarafların takdirinde olan bir tercih değil, kanuni yükümlülüktür; bu nedenle söz konusu kayıtlar süre dolmadan silinemez. Süre dolduğunda veriler silinir, yok edilir veya anonim hâle getirilir.

4. Güvenlik Tedbirleri

• Veriler aktarım sırasında TLS ile şifrelenir.
• Veritabanının bulunduğu disk, tam disk şifrelemesi (LUKS2) ile korunur.
• Müşteri (kiracı) izolasyonu, uygulama katmanına ek olarak veritabanı seviyesinde satır bazlı güvenlik (Row Level Security) ile sağlanır.
• Erişim rol bazlı yetkilendirmeye tabidir; yetki değişiklikleri ve hassas işlemler denetim kaydına yazılır.
• Yedekler günlük alınır ve ayrı bir konumda saklanır.
• Ödeme kartı verisi Qando sistemlerine hiçbir aşamada girmez.
• Uygulama sunucuları ve veritabanı Türkiye’de barındırılır.

5. Alt İşleyenler

Qando, hizmeti sunabilmek için alt işleyen kullanır. Güncel liste, her bir sağlayıcının eriştiği veri ve bulunduğu ülke ile birlikte Alt İşleyen Listesi sayfasında yayımlanır. Listeye yeni bir sağlayıcı eklendiğinde sayfa güncellenir.

6. Veri İhlali Bildirimi

Qando, kişisel veri ihlalini öğrendiği andan itibaren gecikmeksizin ve en geç 24 saat içinde işletmeyi bilgilendirir; ihlalin kapsamı, etkilenen veri kategorileri ve alınan önlemler hakkında bilgi verir.

Bu süre bilinçli olarak kısa tutulmuştur: veri sorumlusu sıfatıyla işletmenin Kişisel Verileri Koruma Kurulu’na bildirim süresi 72 saattir; işletmenin değerlendirme ve bildirim için yeterli zamanı kalmalıdır.

7. İlgili Kişi Talepleri

Son müşteriden gelen erişim, düzeltme veya silme talepleri işletmeye yöneltilir. Qando, işletmenin bu talepleri karşılayabilmesi için gerekli teknik desteği sağlar; talebe doğrudan yanıt vermez.

8. Sözleşmenin Sona Ermesi

Abonelik sona erdiğinde işletme, verilerinin dışa aktarımını talep edebilir. Yasal saklama yükümlülüğü bulunmayan veriler, talep hâlinde veya makul süre sonunda silinir. Mevzuat gereği saklanması zorunlu kayıtlar, süre dolana kadar erişimi kısıtlanmış şekilde tutulur.