Gizlilik Politikası ve KVKK Aydınlatma Metni

Bu metin, Revoop hizmeti kapsamında işlenen kişisel verileri, işleme amaçlarını ve hukuki sebeplerini, verilerin kimlere aktarıldığını, nasıl korunduğunu ve 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamındaki haklarınızı açıklar. İki farklı rolümüz vardır: mağaza ekiplerinin hesap verileri için veri sorumlusuyuz; satıcılar adına yürüttüğümüz iade sürecindeki son müşteri verileri için ise veri işleyeniz, bu verilerin veri sorumlusu ilgili satıcıdır.

Veri sorumlusu ve rollerimiz

Revoop hizmetini TİDU TEKSTİL YAZILIM TİCARET LİMİTED ŞİRKETİ ("Revoop", "biz") sunar. Adres: FATİH MAH. 258. SK. EMANET APT. NO: 30 İÇ KAPI NO: 11 ESENLER/ İSTANBUL. İletişim: [email protected].

• Satıcı hesap verileri: Mağazanızın panelini kullanan ekip üyelerinin (mağaza sahibi, yönetici, görüntüleyici) hesap ve güvenlik verileri için Revoop veri sorumlusudur.
• Son müşteri verileri: Bir mağazadan alışveriş yapıp iade portalını kullanan müşterilerin verilerini, o mağaza adına ve onun talimatıyla işleriz. Bu verilerin veri sorumlusu satıcıdır; Revoop veri işleyendir.

Bir mağazanın müşterisiyseniz ve iade talebinizle ilgili verileriniz hakkında bilgi almak ya da hakkınızı kullanmak istiyorsanız, önce alışveriş yaptığınız mağazaya başvurun. Bize ulaşan bu tür başvuruları ilgili satıcıya iletir ve satıcının talimatıyla ona destek oluruz.

Hangi verileri işliyoruz

Satıcı ekip üyeleri (veri sorumlusu olduğumuz veriler)

• Kimlik ve iletişim: ad soyad, e-posta adresi.
• Hesap güvenliği: parolanın kendisi değil, yalnızca geri çözülemeyen bir özeti (argon2id); doğrulama uygulamasıyla iki adımlı doğrulama (TOTP) açılmışsa şifrelenmiş doğrulama anahtarı ve kurtarma kodlarının yalnızca geri çözülemeyen özetleri.
• Hesap ve yetki: üye olunan mağazalar ve roller, son giriş zamanı.
• Oturum ve işlem güvenliği: oturum çerezleri, oturum yenileme anahtarının (yenileme belirteci) geri çözülemeyen özeti, güvenlik açısından önemli işlemlerin denetim kayıtları (işlem, zaman, IP adresi ve tarayıcı bilgisi).
• Mağaza ve entegrasyon: mağaza ayarları, iade kuralları ve bağlanan e-ticaret platformu veya pazaryeri bilgileri. Platform erişim anahtarları şifreli saklanır.
• İletişim: bize gönderdiğiniz e-postalar ve destek talepleri.

Son müşteriler (satıcı adına işlediğimiz veriler)

• Sipariş bilgileri: sipariş numarası, sipariş tarihi, ürünler, varyantlar ve tutarlar; satıcının platformundan yalnızca iade süreci için gerekli alanlar alınır.
• İletişim bilgileri: ad soyad, e-posta adresi, telefon numarası ve teslimat adresi.
• İade bilgileri: iade edilen ürünler, seçilen iade nedeni, müşterinin yazdığı isteğe bağlı açıklama, sunulan teklifler ve müşterinin seçimi (değişim, mağaza kredisi veya standart iade).
• Fotoğraflar: yalnızca ürünün kusurlu, yanlış, eksik parçalı ya da kargoda hasar görmüş geldiği durumlarda ve müşteri isterse yüklenen ürün fotoğrafları.
• Mesajlar: iade süreciyle ilgili gönderilen doğrulama kodları ve bildirimler; WhatsApp üzerinden yürüyen iade adımlarındaki buton seçimleri ve mesaj kayıtları.
• İzin kayıtları: müşterinin WhatsApp ile bilgilendirilmeye onay verip vermediği ve onayın zamanı, mesaj almayı bırakma talepleri.
• Güvenlik: kötüye kullanımı önlemek için iade sayısı gibi sinyaller ile art arda yapılan denemeleri sınırlamak (hız sınırlaması) için IP adresi.

Verileri hangi amaçlarla işliyoruz

• Satıcı hesabını açmak, oturumu doğrulamak ve hesabı güvende tutmak.
• Hizmeti sunmak: siparişi doğrulamak, iade talebini almak, satıcının kurallarına ve anlık stoğa göre değişim veya mağaza kredisi teklifi üretmek, müşterinin seçimini satıcının platformuna iletmek.
• Müşteriye iade süreciyle ilgili işlemsel bildirimler göndermek (doğrulama kodu, durum bilgisi). Pazarlama veya kampanya mesajı göndermeyiz.
• Satıcıya iade ve kurtarılan ciro raporları sunmak ve başarı bedelini hesaplamak.
• Suistimali, yetkisiz erişimi ve saldırıları önlemek; denetim kaydı tutmak.
• Destek taleplerini yanıtlamak ve hizmeti geliştirmek.
• Hukuki yükümlülüklerimizi yerine getirmek ve olası uyuşmazlıklarda haklarımızı korumak.

Hukuki sebepler

Kişisel verileri KVKK madde 5'teki şu hukuki sebeplere dayanarak işleriz:

• Sözleşmenin kurulması veya ifası (md. 5/2-c): satıcı hesabının açılması ve hizmetin sunulması.
• Hukuki yükümlülük (md. 5/2-ç): mevzuattan doğan saklama ve bilgi verme yükümlülükleri.
• Bir hakkın tesisi, kullanılması veya korunması (md. 5/2-e): uyuşmazlıklarda delil olarak kullanılacak kayıtlar.
• Meşru menfaat (md. 5/2-f): hesap ve sistem güvenliği, suistimalin önlenmesi, hizmetin iyileştirilmesi; temel hak ve özgürlüklerinize zarar vermemek kaydıyla.
• Açık rıza (md. 5/1): yalnızca gerçekten gerektiği yerlerde. Örneğin müşteriye WhatsApp üzerinden mesaj, müşteri bunu açıkça onayladıysa gönderilir ve onay her an geri alınabilir.

Son müşteri verilerinde hangi hukuki sebebe dayanılacağını veri sorumlusu olarak satıcı belirler; biz bu verileri yalnızca satıcının talimatı ve hizmetin gerektirdiği ölçüde işleriz.

Yapay zekâ destekli özellikler

Yapay zekâ destekli yardımcılar varsayılan olarak kapalıdır ve yalnızca mağaza sahibi açabilir. Açıldıklarında:

• Bir dil modeli yalnızca öneride bulunur; teklif ve iade kararlarını hiçbir zaman model vermez, kararlar satıcının kurallarıyla verilir.
• Modele müşterinin adı, iletişim bilgileri, adresi veya sipariş bilgileri gönderilmez. Yalnızca müşterinin iade açıklaması, e-posta, telefon, IBAN, kart numarası, T.C. kimlik numarası ve adres parçaları maskelendikten sonra gönderilir.
• Satıcıya yönelik özet metinler yalnızca sayısal ve kategorik olgulardan üretilir; müşteri verisi içermez. Müşteriye yapay zekâ tarafından yazılmış metin gösterilmez.
• Benzer iade açıklamalarını bir araya getirebilmek ve açıklamalarda arama yapabilmek için her açıklamanın sayısal bir karşılığı (anlam vektörü) hesaplanır. Bu hesaplama kendi sunucularımızda yapılır ve özellik kapatıldığında bu kayıtlar silinir.
• Yapay zekâya gönderilen metin ve gelen yanıt saklanmaz; yalnızca hangi özelliğin kullanıldığı, sonucun ne olduğu, ne kadar sürdüğü ve ne kadar kullanıldığı kaydedilir.

Verilerin aktarılması

Kişisel verileri satmayız ve reklam amacıyla paylaşmayız. Hizmeti sunabilmek için verileri yalnızca gerekli olduğu ölçüde şu alıcı gruplarına aktarırız:

• Satıcı: son müşteri verileri, veri sorumlusu olan satıcının panelinde görüntülenir. Panelde iletişim bilgileri maskeli gösterilir; tam hâli yalnızca yetkili kullanıcının açık talebiyle gösterilir ve bu işlem kayda alınır.
• E-ticaret platformları ve pazaryerleri: satıcının bağladığı platformdan sipariş ve stok bilgisi alınır; müşterinin seçimine göre kupon, değişim siparişi veya iade kaydı satıcının hesabında oluşturulur.
• İletişim hizmeti sağlayıcıları: e-posta gönderimi (Resend), SMS ile doğrulama kodu gönderimi (Netgsm) ve satıcının bağladığı WhatsApp Business hesabı üzerinden mesajlaşma (Meta).
• Yapay zekâ hizmet sağlayıcıları: yalnızca mağaza sahibi bu özelliği açtıysa ve yukarıda anlatılan şekilde maskelenmiş metinle.
• Altyapı hizmet sağlayıcıları: verilerin barındırıldığı bulut altyapısı ve sunucu hizmetleri.
• Yetkili kurum ve kuruluşlar: hukuken zorunlu olduğu durumlarda.

Hizmet sağlayıcılarımızın bir kısmı yurt dışında bulunabilir. Yurt dışına aktarım gerektiğinde bunu KVKK madde 9'a uygun olarak yaparız.

Saklama süreleri

Kişisel verileri işleme amacının gerektirdiği süre ve ilgili mevzuattaki saklama süreleri boyunca saklarız; süre dolduğunda siler, yok eder veya anonim hâle getiririz. Hizmetin işleyişinden kaynaklanan bazı süreler:

• Portal doğrulama kodları: 1 gün.
• Müşteri tarafından yüklenen ve bir iadeye bağlanmayan fotoğraflar: 24 saat.
• İade fotoğrafları: iade kapandıktan sonra 90 gün.
• Platformlardan gelen bildirimlerin ham içeriği: 90 gün.
• Müşteriye ve mağazaya gönderilen mesajların ve mağaza adına platforma iletilen işlemlerin (kupon, değişim siparişi, pazaryeri iade kararı) kayıtları: gönderildikten sonra 30 gün.
• İadeye bağlı kişisel veriler (iade notu, mesajlardaki ad ve iletişim bilgisi, teslimat adresi): iade kapandıktan sonra 2 yıl; ardından anonim hâle getirilir. Bu süre içinde yeni bir iadesi veya siparişi olmayan müşterinin adı ve iletişim bilgileri de anonimleştirilir.

Satıcının talebi üzerine ya da satıcının platformundan gelen silme talebiyle (örneğin Shopify müşteri verisi silme bildirimi) son müşteriye ait kişisel veriler anonim hâle getirilir. Kurtarılan ciro kayıtları ve istatistikler kişisel veri içermeyecek şekilde korunur.

Verilerinizi nasıl koruyoruz

• Şifreleme: müşterinin adı, e-posta adresi, telefon numarası, adresi, iade açıklaması ve fotoğrafları güçlü şifrelemeyle saklanır (uygulama düzeyinde AES-256-GCM). Bir kaydı bulmak için bu bilgilerin kendisi değil, yalnızca geri çözülemeyen anahtarlı özetleri kullanılır (HMAC-SHA256).
• Mağazalar arası ayrım: her mağaza yalnızca kendi verisine erişebilir; bu sınır uygulamamızın yanı sıra veritabanının kendisinde de uygulanır (satır düzeyinde güvenlik, row-level security), böylece bir mağazanın verisi başka bir mağazanın oturumundan görülemez.
• Hesap güvenliği: parolalar geri çözülemeyecek biçimde saklanır (argon2id); doğrulama uygulamasıyla iki adımlı doğrulama (TOTP) her kullanıcı için kullanılabilir ve mağaza sahibi tüm ekip için zorunlu kılabilir. Oturum çerezlerini sayfada çalışan kodlar okuyamaz (tarayıcı betikleri).
• Kayıtlarda kişisel veri yok: sistem kayıtlarımızda (uygulama günlükleri) e-posta, telefon, adres, oturum ve gizli anahtar bilgileri gizlenir.
• Fotoğraflar: yalnızca JPEG kabul edilir; fotoğrafın içine kaydedilmiş konum (GPS) gibi ek bilgiler (meta veri) silinir; fotoğraflar herkese açık bir adresle değil, yalnızca satıcının oturumuyla görüntülenir.
• Erişim sınırları: her ekip üyesine rolüne göre yetki, giriş ve doğrulama denemelerinde deneme sınırı (hız sınırı), güvenlik açısından önemli işlemlerde denetim kaydı.
• Müşteri portalı: hesap gerekmez; müşteri sipariş numarası ile e-posta veya telefon numarasını girer ve tek kullanımlık kodla doğrulanır. Bilgiler eşleşmediğinde siparişin var olup olmadığı açıklanmaz.

Haklarınız

KVKK madde 11 uyarınca herkes, veri sorumlusuna başvurarak:

1. Kişisel verilerinin işlenip işlenmediğini öğrenme,
2. İşlenmişse buna ilişkin bilgi talep etme,
3. İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
5. Eksik veya yanlış işlenmişse düzeltilmesini isteme,
6. KVKK madde 7'deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
7. Düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. İşlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme,
9. Kanuna aykırı işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

Başvuru

Satıcı hesabınıza ilişkin başvurularınızı, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak yazılı şekilde veya [email protected] adresine, sistemimizde kayıtlı e-posta adresinizden gönderebilirsiniz. Başvurunuzda adınızı soyadınızı, iletişim bilginizi ve talebinizi açıkça belirtin. Başvurunuzu niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırırız; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulunca belirlenen tarife uygulanabilir.

Bir mağazanın müşterisiyseniz başvurunuzu öncelikle o mağazaya yapın. Mağazaya ulaşamadıysanız [email protected] adresine yazabilirsiniz; başvurunuzu ilgili satıcıya iletiriz.

Başvurunuzun reddedilmesi, verilen yanıtı yetersiz bulmanız veya süresinde yanıt verilmemesi hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

Avrupa Birliği'ndeki kullanıcılar

Avrupa Birliği Genel Veri Koruma Tüzüğü'nün (GDPR) uygulanabildiği durumlarda, bu Tüzük kapsamındaki haklarınızı da aynı iletişim kanalları üzerinden kullanabilirsiniz.

Çerezler

Sitemizde ve uygulamamızda yalnızca hizmetin çalışması için zorunlu çerezler kullanılır. Ayrıntılar için Çerez Politikası sayfasına bakın.

Değişiklikler

Bu metni hizmetteki veya mevzuattaki değişikliklere göre güncelleyebiliriz. Güncel metin her zaman bu sayfada yayımlanır; önemli değişiklikleri satıcılara ayrıca bildiririz.