Gizlilik Politikası ve Kişisel Verilerin Korunması Aydınlatma Metni

Giriş

MercanWorks OÜ ("Biz", "Şirket" veya "N-XPlus") olarak, kişisel verilerinizin güvenliğine ve gizliliğine en üst düzeyde önem veriyoruz.

İşbu Gizlilik Politikası; https://n-xplus.com web sitesini ("Site") ve N-XPlus karar merkezi platformunu ("Hizmetler") kullandığınızda kişisel verilerinizin nasıl toplandığını, kullanıldığını, saklandığını ve korunduğunu açıklar.

MercanWorks OÜ, Estonya Cumhuriyeti yasalarına göre kurulmuş olup 17413775 sicil numarasıyla Harju maakond, Tallinn, Põhja-Tallinna linnaosa, Paavli tn 5a/1, 10412 adresinde mukimdir. Verileriniz, Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR") ve Türkiye Cumhuriyeti 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") standartlarına uygun olarak işlenmektedir.

1. Veri sorumlusu ve veri işleyen ayrımı (önemli)

Hizmetlerimizin işleyişi gereği, N-XPlus iki farklı sıfatla hareket etmektedir:

• 1.1. Veri Sorumlusu (Data Controller) olarak: N-XPlus'a başvuran ve üye olan Sizin (müşterimiz olan e-ticaret satıcısının) başvuru bilgilerinizi, hesap bilgilerinizi, fatura detaylarınızı ve iletişim verilerinizi işlerken "Veri Sorumlusu" sıfatıyla hareket ederiz.
• 1.2. Veri İşleyen (Data Processor) olarak: Pazaryeri raporlarınızı yüklediğinizde veya pazaryeri hesaplarınızı (Trendyol, Hepsiburada vb.) sisteme bağladığınızda, bu kayıtları Sizin adınıza ve talimatlarınızla işlerken "Veri İşleyen" sıfatıyla hareket ederiz. Bu verilerin sahibi ve sorumlusu Sizsiniz; N-XPlus yalnızca hizmeti sağlayan bir aracıdır.

2. Topladığımız veriler

Hizmetlerimizi sunabilmek için aşağıdaki veri kategorilerini topluyor ve işliyoruz:

2.1. Doğrudan sağladığınız bilgiler (başvuru ve hesap verileri)

• Firma bilgileri: ticaret unvanı, firma türü (şahıs firması / anonim-limited şirket), VKN veya TCKN, satıcı tipi (tacir / esnaf-sanatkâr), satış yapılacak kategori ve alt kategoriler.
• Yetkili kişi: ad-soyad, e-posta adresi, telefon numarası.
• Belge: başvuru değerlendirmesi için yüklediğiniz vergi levhası (PDF, JPG, PNG veya WEBP).
• İsteğe bağlı: diğer pazaryerlerindeki mağaza bağlantılarınız.
• Hesap: e-posta adresi ve parolanızın kriptografik özeti. Parolanız hiçbir zaman düz metin olarak saklanmaz ve tarafımızca görülemez.
• Müşteri hizmetleri: destek taleplerinizde veya bizimle e-posta yoluyla iletişime geçtiğinizde sağladığınız içerikler.
• İletişim formu: İletişim sayfasından yazdığınızda adınız, varsa firmanız, e-posta adresiniz, seçtiğiniz konu ve mesaj içeriği. Ayrıca kötüye kullanımı engellemek için IP adresinizin geri döndürülemez özü tutulur, ham IP saklanmaz.

2.2. Yüklediğiniz pazaryeri raporları (dosya verileri)

Pazaryeri panellerinden indirdiğiniz Excel/CSV çıktılarını yüklediğinizde, karar analizini üretebilmek için şu kayıtları işleriz:

• Sipariş kayıtları: sipariş numarası, tarih, ürün kalemleri, satış fiyatları, indirimler, kargo firması ve desi.
• İade ve iptal kayıtları: iade nedeni, tutar, net hak ediş, kargo bedeli.
• Ürün ve katalog: ürün adı, marka, model kodu, barkod, stok kodu (SKU), stok adedi, komisyon oranı.
• Değerlendirme ve yorumlar: ürün puanı ve yorum metni. Yorumlar pazaryerinin yayımladığı hâliyle işlenir; yorum sahibinin kimlik bilgileri sisteme alınmaz.
• Reklam ve kampanya: reklam harcaması, dönüşüm, komisyon ve kampanya bant bilgileri.
• Finans: hak ediş, komisyon kesintileri, kargo fatura tutarları.

Yüklediğiniz dosya son kullanıcı bilgileri içerse dahi, çözümleme sırasında yalnız karar analizi için gerekli alanlar alınır; kimlik ve iletişim alanları sisteme aktarılmaz.

2.3. Pazaryeri bağlantıları yoluyla toplanan veriler

Pazaryeri API anahtarlarınızı tanımlayarak bağlantı kurduğunuzda, yalnızca analiz ve raporlama amacıyla ve yalnızca okuma yaparak şu verileri çekeriz:

• Sipariş ve paket kayıtları,
• Cari hesap ekstresi, kesinti kalemleri ve kargo faturası kalemleri,
• Onaylı ürün kataloğu ve varyant bilgileri.

Aktarım alan bazlı beyaz listeyle yapılır: listede olmayan hiçbir alan sistemimize geçmez. Müşteri alanları ve mağaza adresi bu listenin dışındadır. Ayrıntı için 6. maddeye bakınız.

2.4. Otomatik toplanan teknik veriler

• Kayıtlar (Logs): IP adresi, tarayıcı türü, işletim sistemi, erişim zamanları ve hata kayıtları.
• Tarayıcı yerel depolaması: oturumunuzu açık tutmak ve tercihlerinizi (maliyet girdileri, filtre seçimleri) hatırlamak için tarayıcınızda tutulan kayıtlar. Ayrıntı: Çerez Politikası.
• Ürün kullanım ölçümü (takma adlı): hizmeti hangi adımda bıraktığınızı ve hangi veri engeline takıldığınızı görebilmek için tuttuğumuz birinci taraf kullanım kaydı.

2.5. Ürün kullanım ölçümü — ne tutulur, ne tutulmaz

Hizmetin işinize yarayıp yaramadığını ölçebilmek için kendi altyapımızda sınırlı bir kullanım kaydı tutarız. Bu kayıt takma adlıdır (pseudonim); anonim olduğunu iddia etmiyoruz, çünkü teknik olarak firmanızla ilişkilendirilebilir ve bu nedenle kişisel veri mevzuatının tam koruması altındadır.

Saat çözünürlüğü bilinçli olarak tutulmaz: kayıtlarda yalnız gün bulunur, bu yüzden çalışma saatlerinize dair bir davranış profili çıkarılamaz. Kullanıcı kimliği her firma için ayrı türetilir; farklı firmalardaki kayıtlar birbirine bağlanamaz.

Hukuki sebep: meşru menfaat (KVKK m.5/2-f, GDPR m.6/1-f) hizmetin kullanılabilirliğini iyileştirmek. Saklama süresi: oturum ve veri engeli kayıtları 12 ay; "ilk değer" kaydı hesabınız açık kaldığı sürece (silinmesi hâlinde aynı kayıt yeniden oluşur ve ölçüm anlamını yitirir), hesap kapanışında tamamı silinir.

2.6. Reklam ölçümü (yalnız açık onayla)

Bu ölçüm şu anda devrede değildir — onay bandı gösterilmez ve Google'a hiçbir veri gitmez; aşağıdaki çerçeve, ölçüm ileride devreye alındığında geçerli olacaktır (bkz. Çerez Politikası 3.5).

Tanıtım sayfalarımızda, açık onay verdiyseniz, reklam kampanyalarının etkinliğini ölçmek için Google Analytics 4 çalışır. İşlenen veri: görüntülenen sayfa, geliş kaynağı (hangi reklam/kampanya) ve başvuru olayının gerçekleşmiş olması. IP adresiniz bu hizmetin doğası gereği Google tarafından işlenir. Ad, e-posta, telefon, vergi numarası ve form içerikleri gönderilmez. Hukuki dayanak açık rızadır (KVKK m.5/1, GDPR m.6/1-a); rıza verilmediğinde bu işleme hiç başlamaz. Ayrıntılar ve onayı geri alma: Çerez Politikası 3.5. maddesi.

Başvuru formu bir reklam bağlantısından açıldıysa, reklamın tıklama tanımlayıcısı (ör. gclid) başvuru kaydıyla birlikte tutulur. Bu tanımlayıcı tek başına kimlik ifade etmez; yalnız hangi kampanyanın başvuru getirdiğini anlamak için işlenir (meşru menfaat, KVKK m.5/2-f) ve başvuru kaydının saklama süresine tabidir.

3. Verileri işleme amaçlarımız ve hukuki sebepler

Verilerinizi aşağıdaki amaçlarla ve belirtilen hukuki sebeplere dayanarak işlemekteyiz:

• Sözleşmenin ifası (GDPR Madde 6/1-b, KVKK Madde 5/2-c): başvurunuzu değerlendirmek, hesabınızı oluşturmak, karar merkezi hizmetini sağlamak, kâr-katkı, ürün sağlığı ve yorum analizlerini üretmek.
• Yasal yükümlülükler (GDPR Madde 6/1-c, KVKK Madde 5/2-ç): muhasebe ve fatura kayıtlarını tutmak, yetkili makamların taleplerine yanıt vermek.
• Meşru menfaat (GDPR Madde 6/1-f, KVKK Madde 5/2-f): yazılım hatalarını tespit etmek, kötüye kullanımı ve yetkisiz erişimi önlemek, hizmet kalitesini ve doğruluğunu ölçmek, ürün kullanım ölçümü yoluyla hizmetin hangi adımda işe yaramadığını görüp iyileştirmek (bkz. 2.5). Bu son amaç için yaptığımız menfaat dengesi değerlendirmesinde işlemenin takma adlı ve gün çözünürlüklü tutulması, ticari değer ve kişisel veri içermemesi, kullanıcının makul beklentisi içinde kalması ve tek tıkla durdurulabilmesi belirleyici olmuştur. Bu özelliği dilediğiniz zaman Ayarlar → Güvenlik bölümünden kapatabilirsiniz.
• Açık rıza (GDPR Madde 6/1-a, KVKK Madde 5/1): yalnızca gerekli olduğu hâllerde, örneğin ürün duyuruları için e-posta göndermek. Rızanızı dilediğiniz zaman geri alabilirsiniz.

4. Veri paylaşımı ve alt işleyiciler (sub-processors)

Kişisel verilerinizi asla üçüncü taraflara pazarlamaz veya satmayız. Ancak Hizmet'i kesintisiz ve güvenli sunabilmek için aşağıdaki altyapı sağlayıcılarıyla (Alt İşleyiciler) veri paylaşabiliriz:

Uygulama içindeki döviz kuru göstergesi için tarayıcınız open.er-api.com adresinden güncel kur bilgisi çeker. Bu isteğe hiçbir kişisel veriniz veya ticari veriniz eklenmez; ancak istek tarayıcınızdan yapıldığı için IP adresiniz bu hizmete teknik olarak görünür.

N-XPlus, bu sağlayıcılarla yaptığı sözleşmelerde verilerin yalnızca N-XPlus'ın talimatları doğrultusunda işlenmesini garanti altına alır.

5. Otomatik çözümleme, yorum motoru ve yapay zekâ

N-XPlus'ın yorum zekâsı, müşteri yorumlarını konu (ör. çalışmıyor, kargo gecikmesi, güvenlik iddiası), duygu ve risk başlıklarına ayırır. Sistem iki katmanda çalışır: ürün sağlığı skoru ile para ve adet hesapları kendi altyapımızda üretilir; yorum metninin hangi konuya ait olduğu ise OpenAI API kullanılarak belirlenir. Sınıflandırma doğruluğu sabit test setleriyle ölçülür ve her sürüm ayrı olarak kayıt altına alınır.

Bu aktarım ABD'ye yapılır; yurt dışı aktarımlara ilişkin güvenceler 7. maddede ve KVKK Aydınlatma Metni'nin 4. maddesinde açıklanmıştır. Yorum sınıflandırmasını kullanmak istemiyorsanız bize yazabilirsiniz; bu durumda yorum analizi hesabınızda devre dışı bırakılır ve uygulamanın kalan bölümleri çalışmaya devam eder.

Modelin kararından emin olmadığı, yıldız ile metnin çeliştiği ve güvenlik iddiası taşıyan yorumlar otomatik olarak insan kontrolü kuyruğuna alınır; bu kayıtlar kesin sonuç olarak raporlanmaz.

Otomatik çözümleme sonucunda üretilen skorlar, risk etiketleri ve aksiyon önerileri yönetimsel karar desteği niteliğindedir; kesin sonuç veya finansal danışmanlık değildir. Ayrıntı için Kullanım Koşulları'nın 8. maddesine bakınız.

KVKK Madde 11/(g) ve GDPR Madde 22 kapsamında, verilerinizin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme hakkınız saklıdır.

6. Pazaryeri anahtarları: salt okuma ve şifreleme

Pazaryeri entegrasyonu N-XPlus'ın en hassas noktasıdır; bu nedenle tasarımı değiştirilemez kurallara bağlanmıştır:

• Yalnızca okuma: Tüm pazaryeri istekleri GET yöntemiyle yapılır. N-XPlus hiçbir koşulda pazaryerine ürün, stok, fiyat, sipariş, iade, teklif veya başka bir kayıt göndermez, değiştirmez veya silmez. İstek gövdesi gönderilmez ve yönlendirme takip edilmez.
• Beyaz liste: Hangi adreslerin ve parametrelerin çağrılabileceği kodda sabittir; listede olmayan bir adrese istek hiç gitmez.
• Şifreleme: Anahtarlarınız AES-256-GCM zarf şifrelemesiyle, firma ve platform bağlamına bağlanarak saklanır. Ana şifreleme anahtarı (KEK) yalnızca barındırma sağlayıcısının gizli değişkeninde tutulur; veritabanında bulunmaz.
• Tarayıcıya asla gönderilmez: Anahtarların saklandığı tabloda satır seviyesi güvenlik (RLS) açıktır ve istemci için bilinçli olarak hiçbir erişim politikası tanımlanmamıştır; şifreli zarf tarayıcıya hiçbir uç noktadan dönmez.
• Denetim: Salt okuma kuralı, her yayından önce otomatik testlerle doğrulanır. Hem giden isteklerin yöntemi ve adresi, hem de kaynak kodda yazma çağrısı bulunup bulunmadığı taranır. Denetim kırmızıysa yayın yapılmaz.
• Kontrol sizde: Bağlantınızı dilediğiniz zaman tek tıkla silebilirsiniz; silindiğinde şifreli anahtar da kaydınızdan kaldırılır.

7. Uluslararası veri transferi

MercanWorks OÜ bir Estonya şirketidir. Verileriniz, Avrupa Birliği sınırları içerisindeki güvenli sunucularda — Frankfurt, Almanya (eu-central-1) bölgesinde — saklanmaktadır.

Türkiye'deki kullanıcılar için (KVKK Madde 9): Hizmetin sunulması, verilerinizin Türkiye Cumhuriyeti sınırları dışına — Estonya'da yerleşik MercanWorks OÜ'ye ve yukarıda sayılan AB/ABD merkezli alt işleyicilere — aktarılmasını ve orada işlenmesini gerektirir. Estonya, AB üyesi olarak GDPR'a tabidir. Bu aktarımlar KVKK'nın 9. maddesindeki usullere tabidir; aktarılan taraflar ve kapsam KVKK Aydınlatma Metni'nin 4. maddesinde ayrıca bildirilmiştir.

AB dışına (örneğin ABD'de yerleşik bir alt işleyiciye) yapılan sınırlı aktarımlarda, sağlayıcılarla yapılan veri işleme sözleşmelerindeki güvenceler (Avrupa Komisyonu Standart Sözleşme Maddeleri dâhil) ve gerekli teknik-idari tedbirler uygulanır.

Açık onayınıza bağlı reklam ölçümünde (bkz. 2.6) veriler Google Ireland Ltd. (İrlanda) ve alt işleyicisi Google LLC (ABD) tarafından işlenir; bu aktarım KVKK m.9 kapsamında açık rızanıza dayanır ve yukarıdaki sözleşmesel güvence çerçevesine tabidir. Onay vermezseniz bu aktarım hiç gerçekleşmez.

8. Veri güvenliği

Verilerinizi yetkisiz erişime, kayba veya ifşaya karşı korumak için endüstri standardı önlemler alıyoruz:

• Şifreleme: Hassas veriler (pazaryeri anahtarları) AES-256-GCM ile şifreli saklanır (encryption at rest). Tüm veri transferleri TLS ile şifrelenir (encryption in transit) ve site HSTS ile yalnızca HTTPS üzerinden sunulur.
• Satır seviyesi güvenlik (RLS): Veritabanı mimarimizde RLS kullanılır. Bu sayede teknik bir hata olsa dahi bir kullanıcı başka bir kullanıcının verisini sorgulayamaz.
• Belge deposu: Vergi levhaları özel (public olmayan) bir depoda tutulur; yalnız başvurunuzu değerlendiren yetkili ekip, süreli ve imzalı bağlantı ile görüntüleyebilir.
• Erişim kısıtlaması: Kişisel verilere erişim, yalnızca işini yapmak için bu bilgiye ihtiyacı olan yetkili personelimizle sınırlandırılmıştır.
• Otomatik denetim kapıları: Her yayından önce salt okuma denetimi, şifreleme denetimi ve kişisel veri sızıntısı taraması koşulur; herhangi biri başarısızsa yayın durur.

9. Veri saklama süreleri

• Hesap açıkken: Hizmetlerimizi kullandığınız süre boyunca verilerinizi saklarız.
• Hesap kapandıktan sonra: Hesabınızı kapatmanız durumunda verileriniz (yasal saklama zorunluluğu bulunanlar hariç) 90 gün içinde kalıcı olarak silinir veya geri döndürülemez şekilde anonim hâle getirilir.
• Muhasebe ve fatura kayıtları: Estonya Muhasebe Yasası uyarınca 7 yıl saklanır.
• Reddedilen başvurular: Başvuru kaydı ve yüklenen vergi levhası, itiraz süresi de dikkate alınarak en geç 6 ay içinde silinir.
• İletişim formu mesajları: talebin kapanmasından sonra en geç 24 ay.
• Teknik kayıtlar (loglar): en fazla 12 ay.
• Pazaryeri bağlantı anahtarları: bağlantıyı sildiğiniz anda kaldırılır.

10. Haklarınız

GDPR ve KVKK (Madde 11) kapsamında aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenen verilerinizin bir kopyasını talep etme (veri taşınabilirliği — CSV/Excel biçiminde),
• Yanlış veya eksik verilerin düzeltilmesini isteme,
• Verilerinizin silinmesini (unutulma hakkı) isteme,
• Düzeltme, silme veya yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesine itiraz etme,
• Meşru menfaate dayanan işlemelere itiraz etme (GDPR Madde 21) — ürün kullanım ölçümü için bu hak Ayarlar → Güvenlik bölümünde tek tıkla, başvuru beklemeden kullanılabilir,
• Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Bu haklarınızı kullanmak için kayıtlı e-posta adresinizden legal@n-xplus.com adresine yazabilirsiniz. Talebiniz yasal süre içinde (en geç 30 gün) ücretsiz olarak yanıtlanır. Başvuru yönteminin ayrıntısı için KVKK Aydınlatma Metni'nin 9. maddesine bakınız.

11. Çerezler ve tarayıcı yerel depolaması

N-XPlus yalnızca hizmetin çalışması için zorunlu olan teknik kayıtları kullanır; reklam veya davranışsal izleme çerezi kullanmaz. Hangi kaydın ne amaçla ve ne kadar süreyle tutulduğunu Çerez Politikası sayfasında bulabilirsiniz.

2.5. maddede anlatılan ürün kullanım ölçümü cihazınıza hiçbir kayıt yazmaz: çerez ya da yerel depolama kullanmaz, mevcut oturumunuz üzerinden çalışır ve kayıtlar yalnızca kendi sunucularımızda tutulur. Bu nedenle ölçüm, çerez rızası gerektiren bir işleme değildir; yine de tek tıkla kapatılabilir.

12. İletişim

Gizlilik politikamızla ilgili sorularınız veya veri güvenliği endişeleriniz için veri koruma irtibat noktamızla iletişime geçebilirsiniz:

Şirket

MercanWorks OÜ

Sicil numarası

17413775

KDV (VAT) numarası

EE103019451

Adres

Harju maakond, Tallinn, Põhja-Tallinna linnaosa, Paavli tn 5a/1, 10412, Estonya

Veri koruma

legal@n-xplus.com

Destek

support@n-xplus.com

Genel

info@n-xplus.com

AB vatandaşıysanız, Estonya Veri Koruma Müfettişliği'ne (Andmekaitse Inspektsioon) şikâyette bulunma hakkına sahipsiniz. Türkiye'de yerleşikseniz, başvurunuzun reddedilmesi veya süresinde yanıtlanmaması hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.