Veri İşleme Sözleşmesi

Sürüm 2026-11-07 · Yürürlük 7 Kasım 2026

Bu Veri İşleme Sözleşmesi (“DİS”), webcidayi Kullanıcı Sözleşmesi'nin (“Ana Sözleşme”) ayrılmaz ekidir ve Kullanıcının Ana Sözleşmeyi elektronik ortamda kabul etmesiyle, aynı anda yürürlüğe girer. DİS'te tanımlanmayan kavramlar Ana Sözleşmedeki anlamdadır.

Madde 1 – Taraflar ve sıfatlar

1.1. Veri işleyen: aşağıdaki kimliği yazılı Hizmet Sağlayıcı (“webcidayi”).

KEP adresi: [email protected]

Meslek odası: Kızıltepe Ticaret ve Sanayi Odası

1.2. Veri sorumlusu: Platforma üye olan ve Platform ile kurduğu Sitede Ziyaretçilerin kişisel verilerini toplayan Kullanıcı (“Kullanıcı”). Kullanıcı, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirler.

1.3. Bu DİS yalnız, Kullanıcının Sitesini ziyaret eden ya da Sitede form dolduran, rezervasyon yapan, üye olan veya sipariş veren kişilere (“İlgili Kişiler”) ait kişisel verilerin (“Kullanıcı Verisi”), webcidayi tarafından Kullanıcı adına işlenmesini düzenler. Kullanıcının Ziyaretçileri dışında; Kullanıcı kendi çalışanlarının, müşterilerinin ya da başkalarının verisini Sitesine yüklüyor ya da asistana yazıyorsa o veri de Kullanıcı Verisidir.

1.4. Kapsam dışı: webcidayi'nin kendi amaçları ve araçlarıyla işlediği veriler için (Kullanıcının hesap, kimlik, abonelik, ödeme ve fatura bilgileri, sözleşme ve onay kayıtları, webcidayi WhatsApp hattıyla yazışmaları, tanıtım sitesi ziyaretçileri, güvenlik ve erişim kayıtları) webcidayi veri sorumlusudur; bu veriler KVKK Aydınlatma Metni'ne tabidir, bu DİS kapsamında değildir.

Madde 2 – Dayanak ve tanımlar

2.1. DİS, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”), Kanun'un 12. maddesi ve ilgili ikincil düzenlemeler çerçevesinde yapılmıştır. “Kişisel veri”, “işleme”, “veri sorumlusu”, “veri işleyen”, “ilgili kişi”, “Kurul” Kanun'daki anlamdadır.

2.2. Güvenlik ihlali: Kullanıcı Verisinin yetkisiz kişilerce ele geçirilmesi, açıklanması, değiştirilmesi, silinmesi ya da kullanılamaz hâle getirilmesi sonucunu doğuran, kasıtlı ya da kazara her olay.

2.3. Alt işleyen: webcidayi adına Kullanıcı Verisini işleyen üçüncü kişi. Güncel liste “Alt İşleyen Listesi” belgesindedir (“Liste”) ve DİS'in ekidir.

Madde 3 – Konu, amaç ve süre

3.1. Konu ve amaç: Kullanıcı Verisinin yalnız Ana Sözleşmedeki hizmetin sunulması için işlenmesi: Sitenin barındırılması ve yayımlanması; formların, rezervasyon ve sipariş taleplerinin alınıp Kullanıcıya iletilmesi; üyelik ve oturum işlemleri; hizmet e-postalarının gönderilmesi; ziyaret analitiği ve performans ölçümü; sipariş belgelerinin yasal süre saklanması; yedekleme ve güvenlik. Ayrıntılar Ek-1'dedir.

3.2. Süre: DİS, Ana Sözleşme süresince yürürlüktedir ve Madde 15'teki iade ve silme işlemleri tamamlanana kadar, bu işlemlerle sınırlı olarak sürer.

3.3. İşlemenin niteliği: barındırma, depolama, aktarım, görüntüleme, yedekleme, silme ve bunlara yardımcı otomatik işlemler. webcidayi Kullanıcı Verisini tanıtım, profilleme, yapay zekâ modeli eğitimi, veri satışı ya da kendi diğer amaçları için kullanmaz; üçüncü kişilerle yalnız Madde 7 ve 8 uyarınca paylaşır.

Madde 4 – Talimatlar

4.1. webcidayi Kullanıcı Verisini yalnız Kullanıcının belgelenmiş talimatları doğrultusunda işler. Talimatlar: (a) Ana Sözleşme ve DİS; (b) Kullanıcının panel, asistan ya da WhatsApp hattı üzerinden verdiği komutlar ve ayarlar; (c) Kullanıcının destek kanalı üzerinden yazılı olarak ilettiği makul ek talimatlardır.

4.2. Kanun'a veya diğer mevzuata aykırı olduğunu düşündüğü bir talimatı webcidayi uygulamak zorunda değildir; durumu Kullanıcıya bildirir ve talimat düzeltilene kadar ilgili işlemi askıya alabilir. Mevzuattan doğan bir zorunluluk nedeniyle talimat dışı işleme gerekirse (ör. mahkeme kararı) webcidayi, yasak değilse, bunu önceden Kullanıcıya bildirir.

4.3. Yeni talimatın webcidayi için önemli bir ek maliyet doğurması hâlinde taraflar maliyeti ve uygulama şeklini önceden yazılı olarak kararlaştırır.

Madde 5 – Kullanıcının (veri sorumlusunun) yükümlülükleri

5.1. Kullanıcı; Ziyaretçileri aydınlatmak (Kanun m.10), gerektiğinde açık rıza almak, işlemenin hukuki sebebini belirlemek, İlgili Kişilerin başvurularını yanıtlamak, VERBİS ve benzeri sicil yükümlülüklerini yerine getirmek ve ticari ileti mevzuatına uymaktan sorumludur. Platformun sunduğu hazır aydınlatma ve sözleşme metin şablonları bir kolaylıktır; doğruluğunu ve Sitesine uygunluğunu kontrol etmek Kullanıcıya aittir.

5.2. Kullanıcı Verisinin hukuka uygun toplandığını, webcidayi'ye işleme talimatı vermeye yetkili olduğunu beyan eder.

5.3. Özel nitelikli kişisel veri: Hizmet; sağlık, din, ceza mahkûmiyeti, biyometrik ve benzeri özel nitelikli kişisel verileri işlemek üzere tasarlanmamıştır. Kullanıcı bu tür verileri Siteyi kullanarak toplamamayı, asistana ya da WhatsApp hattına yazmamayı kabul eder ve form alanlarına bu tür verinin yazılmaması için gerekli uyarıları Sitesinde gösterir. Kullanıcı yine de toplarsa bundan doğan sorumluluk ve Kurul'un özel nitelikli veri için aradığı ek önlemlerin sağlanması Kullanıcıya aittir; Ek-2'deki tedbirler bu veriler için yeterli olmayabilir.

5.4. Kullanıcı, asistana ya da WhatsApp hattına yazdığı komutlarda Ziyaretçilerin kişisel verilerini (ör. müşteri adı, telefonu) yazmamayı kabul eder. Madde 10'daki yapay zekâ ilkeleri bu kabule dayanır.

Madde 6 – Gizlilik

6.1. webcidayi, Kullanıcı Verisine erişebilen çalışanlarının, yetkili temsilcilerinin ve hizmet verdiği kişilerin gizlilik yükümlülüğü altında olmasını ve verilere yalnız görevlerinin gerektirdiği ölçüde erişmesini sağlar. Gizlilik yükümlülüğü, ilişki sona erdikten sonra da sürer.

6.2. Kullanıcı Verisi webcidayi'nin yetkili personeli tarafından yalnız destek talebinin çözümü, güvenlik, Kullanıcının talimatı ya da mevzuatın gerektirdiği durumlarda görüntülenir. T.C. kimlik numarası gibi hassas verilerin görüntülenmesi her seferinde kayıt altına alınır.

Madde 7 – Güvenlik tedbirleri (Kanun m.12)

7.1. webcidayi, Kullanıcı Verisinin hukuka aykırı işlenmesini, verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için Kanun'un 12. maddesi ve Kurul'un ilgili rehberleri çerçevesinde, verinin niteliğine ve teknolojik imkânlara uygun teknik ve idari tedbirleri alır ve sürdürür. Alınan tedbirler Ek-2'dedir.

7.2. Ek-2'deki tedbirler asgari düzeydir. webcidayi tedbirleri, genel güvenlik düzeyini düşürmemek şartıyla, teknolojik gelişmelere göre değiştirebilir.

7.3. Kullanıcı kendi tarafındaki güvenlikten sorumludur: hesap parolasını ve erişim araçlarını korumak, iki aşamalı doğrulamayı açmak (önerilir), yetkisiz kullanımdan şüphelendiğinde gecikmeksizin bildirmek, Sitesine eriştirdiği kişilerin yetkilerini yönetmek ve kendi cihaz ve ağ güvenliğini sağlamak.

Madde 8 – Alt işleyenler

8.1. Genel yazılı izin. Kullanıcı, webcidayi'nin Liste'de yazılı alt işleyenleri kullanmasına izin verir. Liste'deki her alt işleyenin ülkesi, işleme amacı ve işlediği veri Liste'de gösterilir.

8.2. webcidayi alt işleyenle, bu DİS'tekilerden daha az koruyucu olmayan yazılı bir sözleşme yapar ya da alt işleyenin standart hizmet koşullarının bu düzeyde koruma sağladığını denetler. Alt işleyenin yükümlülüklerini yerine getirmemesinden Kullanıcıya karşı webcidayi sorumludur (Madde 16 hükümleri saklıdır).

8.3. Değişiklik bildirimi. webcidayi yeni bir alt işleyen eklemeyi ya da mevcut bir alt işleyenin kapsamını veya işlediği veri kategorisini Kullanıcı aleyhine genişletmeyi planladığında, değişikliği yürürlüğe sokmadan makul bir süre önce Listeyi güncelleyerek yayımlar ve Kullanıcının kayıtlı e-posta adresine bildirmek için makul çabayı gösterir.

8.4. İtiraz. Kullanıcı, Listenin güncellendiğini öğrendiği tarihten itibaren makul bir süre içinde, değişikliğe somut bir veri koruma gerekçesiyle itiraz edebilir. webcidayi itiraz üzerine (a) değişikliği Kullanıcının verisi bakımından uygulamamayı, (b) Kullanıcının verisi için alternatif bir çözüm sunmayı ya da (c) değişikliği sürdürmeyi seçer. (c) hâlinde Kullanıcı, ilgili hizmeti sürdürmek istemiyorsa Ana Sözleşmeyi bildirim üzerine, cezai şart ve tazminat ödemeden sonlandırabilir; ücretli abonelikte ödenmiş ve kullanılmamış sürenin bedeli iade edilir. Tüketici Kullanıcının kanundan doğan hakları saklıdır.

8.5. Acil değişiklik. Güvenlik riskinin giderilmesi, bir alt işleyenin hizmeti sona erdirmesi ya da hukuki zorunluluk nedeniyle öngörülen süreye uyulamıyorsa değişiklik derhal uygulanır; Liste güncellenir, Kullanıcı gecikmeksizin bilgilendirilmeye çalışılır ve 8.4'teki haklar saklı kalır.

8.6. Bir alt işleyenin kaldırılması ya da daha az veri işlemesi gibi Kullanıcı lehine değişiklikler süre aranmadan Listeye yansıtılır.

Madde 9 – Yurt dışına aktarım

9.1. Liste'de ülkesi Türkiye dışı olan alt işleyenlere Kullanıcı Verisi, yalnız Madde 3.1'deki amaçlarla ve Liste'de yazılı kapsamda aktarılır. Kullanıcı, veri sorumlusu olarak, bu aktarımlara talimat verir.

9.2. Yurt dışına aktarım Kanun'un 9. maddesi ve Yurt Dışına Kişisel Veri Aktarımına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca; yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları, taahhütname ya da Kanun'daki diğer dayanaklardan biriyle yapılır. Alt işleyenlere aktarım için Kurul'un standart sözleşmeleri webcidayi tarafından imzalanır ve Kurul'a bildirilir; Kullanıcının kendi hukuki yükümlülükleri saklıdır ve Kullanıcı gerekli bilgi ve belgeyi sağlayarak işbirliği yapar.

9.3. Durum şeffaflığı. Her yurt dışı alt işleyen için standart sözleşme ve Kurul'a bildirim durumu Liste'de (“Tamamlandı”, “Süreçte”, “Uygulanmıyor”) gösterilir. Yurt dışı alt işleyenlere aktarımın dayanağı (standart sözleşme imzası ve Kurul bildirimi) webcidayi tarafından kurulur ve Liste'de gösterilir; dayanağı tamamlanmamış bir alt işleyen bulunuyorsa bu eksiklik Liste'de açıkça “Süreçte” olarak belirtilir ve tamamlanması için çalışılır. Açık rıza, düzenli ve süreklilik arz eden aktarımlarda dayanak olarak kullanılmaz. Durum değiştikçe Liste güncellenir.

9.4. Kullanıcı, kendi Sitesi için yurt dışı aktarımı kabul etmek istemiyorsa Ana Sözleşmeyi sonlandırabilir; ücretli abonelikte Madde 8.4'teki iade hükmü uygulanır.

Madde 10 – Yapay zekâ

10.1. webcidayi, Platformda yapay zekâ sağlayıcılarını yalnız Kullanıcının komutunu Sitede yapılacak değişikliğe çevirmek, Kullanıcının talebiyle metin, görsel ve logo üretmek ve Kullanıcının talebiyle Siteye özel sayfa, stil ve widget kodu üretmek için kullanır.

10.2. Ziyaretçilerin form, sipariş, rezervasyon ve üyelik verileri yapay zekâ sağlayıcılarına gönderilmez. Yapay zekâ sağlayıcılarına yalnız işletme adı, Site içeriği ve Kullanıcının asistana yazdığı komutlar gider; e-posta, telefon, T.C. kimlik numarası, IBAN, kart numarası ve adres ipuçları gönderilmeden önce yer tutucuya çevrilir. Maskeleme iyi çaba süzgecidir; serbest metindeki ad soyadlar maskelenmez. Bu nedenle Kullanıcı Madde 5.4'e uyar.

10.3. Hukuki sonuç doğuran, yalnız otomatik işlemeye dayalı karar verilmez. Yapay zekâ sağlayıcıları Liste'de yazılıdır. Ayrıntılar ve sağlayıcıların veri kullanımına ilişkin bilgi Yapay Zekâ Kullanım Bilgilendirmesi'ndedir.

Madde 11 – İlgili Kişi başvuruları

11.1. İlgili Kişilerin Kanun'un 11. maddesindeki haklarını kullanmak için webcidayi'ye doğrudan yaptığı başvurular, Kullanıcı Verisi ile ilgiliyse, webcidayi tarafından yanıtlanmaz; başvuru sahibi Kullanıcıya yönlendirilir ve başvuru, kimliği ve içeriğiyle birlikte, gecikmeksizin ve en geç 5 iş günü içinde Kullanıcıya iletilir.

11.2. webcidayi, Kullanıcının İlgili Kişi başvurularını Kanun'un 13. maddesindeki süre (30 gün) içinde yanıtlayabilmesi için; teknik olarak mümkün olduğu ölçüde ve makul süre içinde, verilerin bulunması, dışa aktarılması, düzeltilmesi ya da silinmesi konusunda yardım eder. Kullanıcı kendi panelindeki araçları (site içeriği düzenleme, gelen kutusu, “Verilerimi indir” ve silme işlemleri) önce kullanır. Olağanüstü emek gerektiren yardımlar için makul bir ücret talep edilebilir; ücret önceden bildirilir.

Madde 12 – İhlal bildirimi ve olay yönetimi

12.1. webcidayi, Kullanıcı Verisini etkileyen bir güvenlik ihlalini öğrendiğinde Kullanıcıyı gecikmeksizin ve her hâlde öğrenmesinden itibaren 48 saat içinde, Kullanıcının kayıtlı e-posta adresine yazılı olarak bilgilendirir. Bildirim, o an biliniyorsa şunları içerir: olayın niteliği ve zamanı; etkilenen veri kategorileri ve yaklaşık kişi/kayıt sayısı; olası sonuçlar; alınan ve önerilen önlemler; webcidayi'deki iletişim noktası. Bilgi eksik olsa bile ilk bildirim geciktirilmez; kalan bilgi öğrenildikçe aşamalı verilir.

12.2. webcidayi ihlalin nedenini araştırır, etkisini sınırlandırmak için gerekli önlemleri alır, olayı ve alınan önlemleri kayıt altına alır ve Kullanıcının yükümlülüklerini yerine getirmesi için makul destek verir (ör. etkilenen kayıtların tespiti).

12.3. Kurul ve ilgili kişilere bildirim. Kanun'un 12. maddesinin beşinci fıkrası uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde bunu ilgili kişiye ve Kurul'a bildirmek, Kullanıcı Verisi bakımından veri sorumlusu olan Kullanıcının yükümlülüğüdür. Kurul'un kararlarına göre bildirim, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde Kurul'a yapılır; Kullanıcı bu süreyi dikkate alarak hareket eder. webcidayi, kendisinin veri sorumlusu olduğu veriler (Madde 1.4) bakımından bildirim yükümlülüğünü kendisi yerine getirir.

12.4. webcidayi, Kullanıcının önceden yazılı izni olmadan, yasal zorunluluk dışında, ihlali Kullanıcı adına İlgili Kişilere ya da Kurul'a bildirmez; ihlale ilişkin kamuya açıklamalarda Kullanıcıyı ad vererek anmaz.

12.5. Bu madde kapsamındaki bildirim ve yardım, webcidayi'nin kusurunu veya sorumluluğunu kabul anlamına gelmez.

Madde 13 – Denetim ve bilgi verme

13.1. webcidayi, DİS'teki yükümlülüklerine uyduğunu göstermek için gerekli bilgileri Kullanıcının yazılı talebi üzerine makul sürede verir. Bilgi talebi öncelikle yazılı açıklama, ilgili politika ve tedbir özetleri ve (varsa) üçüncü kişilerce hazırlanmış rapor ya da sertifika sunulması yoluyla karşılanır.

13.2. Bilgi talebi yetersiz kalırsa ya da Kurul/yetkili makam talep ederse Kullanıcı, kendisi ya da bağımsız ve gizlilik yükümlülüğü altındaki bir denetçi aracılığıyla, webcidayi'nin DİS ile ilgili işlemlerini yerinde veya uzaktan denetleyebilir. Denetim: yılda bir kezle sınırlıdır (ihlal veya Kurul talebi gibi olağanüstü durumlar hariç); en az 30 gün önceden yazılı bildirilir; kapsamı ve süresi önceden kararlaştırılır; webcidayi'nin olağan işleyişini aksatmayacak biçimde iş saatlerinde yapılır; webcidayi'nin diğer müşterilerine ait verilere, kaynak koduna, sır ve anahtarlara erişimi ve sistemlere sızma testi gibi müdahaleyi kapsamaz; gizlilik taahhüdüne bağlıdır. Denetim masrafları Kullanıcıya aittir; denetimde webcidayi'nın DİS'e aykırılığı tespit edilirse makul denetim masrafı webcidayi'ce karşılanır. Bu madde Tüketici Kullanıcı bakımından uygulanmaz; Tüketici Kullanıcının bilgi talebi 13.1'e göre karşılanır.

13.3. webcidayi, Kurul'un talep ettiği bilgi ve belgeleri, denetim ve incelemelerde Kurul'la işbirliği yapar. Yetkili makamlardan Kullanıcı Verisine ilişkin gelen talepler Madde 14'e tabidir.

Madde 14 – Yetkili makam talepleri

webcidayi, Kullanıcı Verisini bir kamu kurumuna yalnız bağlayıcı bir hukuki yükümlülük varsa (mahkeme kararı, savcılık talebi, kanunla yetkili kurumun yazılı talebi) verir; talebin hukuka uygunluğunu inceler, yalnız gereken asgari veriyi verir, talebi kayıt altına alır ve kanunen yasaklanmadıkça Kullanıcıyı gecikmeksizin bilgilendirir.

Madde 15 – Sona erme: iade ve silme

15.1. Dışa aktarma. Kullanıcı, Ana Sözleşme süresince ve hesap silme talebini izleyen 30 günlük bekleme süresi içinde, panelde “Verilerimi indir” aracıyla hesabına ve Sitelerine ait verilerin (siteler, ayarlar, yayın geçmişi, yazılar, siparişler, mesajlar, rezervasyonlar, sohbetler, üyeler ve benzeri) makine tarafından okunabilir (JSON) kopyasını alabilir. Dosya imzalı bağlantıyla 24 saat süreyle indirilebilir, bağlantı süresi dolduktan sonra özel depolamadan silinir; araç günde bir istekle sınırlıdır. Dışa aktarma dosyası parola özetleri, erişim belirteçleri ve iç kimlikleri içermez. Görsel ve logo dosyalarının kendileri ayrıca talep edilebilir.

15.2. Silme. Ana Sözleşmenin sona ermesi (hesap silme, fesih) hâlinde, hesap silme talebini izleyen 30 günlük bekleme süresinin sonunda Kullanıcının hesabı, Siteleri ve Kullanıcı Verisi canlı sistemlerden silinir. Bekleme süresi içinde talep geri alınabilir. Kullanıcının silinmesini daha erken istediği Kullanıcı Verisi için destek kanalından yazılı talepte bulunabilir.

15.3. Yedekler. Silinen veri, yedeklerin saklama süresi dolup yedekler döndürülerek silinene kadar şifreli yedeklerde kalabilir; bu yedekler canlı sistemde kullanılmaz ve yedekten geri yükleme yapılırsa silinen veri tekrar silinir. Yedeklerin saklama süresi KVKK Aydınlatma Metni'nin “Saklama süreleri, silme ve yedekler” bölümünde yazılıdır.

15.4. Yasal saklama. Mağaza şablonlu Sitelerde oluşturulan sipariş belgeleri (doldurulmuş ön bilgilendirme formu ve sözleşme, onay kayıtları), Kullanıcının elektronik ticaret hizmet sağlayıcı olarak kayıt saklama yükümlülüğü nedeniyle, hesap silinse de yasal süre boyunca Kullanıcı adına saklanır, yalnız yasal amaçla kullanılır, talep hâlinde Kullanıcıya verilir ve sürenin sonunda silinir. webcidayi'nin kendi veri sorumlusu olduğu kayıtların (Madde 1.4) saklanması KVKK Aydınlatma Metni'ne tabidir.

15.5. webcidayi Ana Sözleşmeyi Kullanıcının aykırılığı dışındaki bir sebeple sona erdirir ya da Platformu tümüyle kapatırsa, Ana Sözleşmenin ilgili hükmü uyarınca Kullanıcıya Site içeriklerinin bir kopyasını verir ve veri bakımından Madde 15.2–15.4 uygulanır.

15.6. webcidayi talep üzerine Kullanıcı Verisinin silindiğini yazılı olarak teyit eder.

Madde 16 – Sorumluluk

16.1. Taraflar, Kanun'dan doğan yükümlülüklerini yerine getirmeyenden kaynaklanan idari para cezası ve tazminat taleplerinde, ilgili kişilere ve Kurul'a karşı Kanun'daki sorumluluklarının saklı olduğunu; kendi aralarındaki iç ilişkide ise sorumluluğun, kusurlarına göre paylaşılacağını kabul eder.

16.2. Kullanıcı; Kullanıcı Verisini hukuka aykırı topladığı, aydınlatma/açık rıza yükümlülüklerini yerine getirmediği, Madde 5.3 ve 5.4'ü ihlal ettiği ya da hukuka aykırı bir talimat verdiği ölçüde, bundan doğan haklı üçüncü kişi taleplerini kusuru oranında karşılar; idari yaptırımlar bakımından kanunun kusurlu faile yüklediği sorumluluk saklıdır ve tarafların birbirine karşı rücu hakları geçerlidir. Tüketici Kullanıcı bakımından bu fıkra yalnız kendi kusurundan doğan ve kanuna göre sorumlu olduğu zararlarla sınırlıdır.

16.3. webcidayi; DİS'e aykırı işleme yaptığı ya da Ek-2'deki tedbirleri almadığı ölçüde sorumludur. DİS'ten doğan sorumluluk, kast ve ağır ihmal hâlleri dışında, Kullanıcı Sözleşmesi'nin Sorumluluk maddesi (Madde 19) ve (Tacir Kullanıcılar için) Madde 25 hükümleriyle belirlenen sınırlara tabidir; kast ve ağır ihmalden doğan sorumluluk sınırlandırılamaz. Tüketici Kullanıcının kanundan doğan hakları saklıdır.

16.4. Alt işleyenin kusurundan doğan zarar bakımından webcidayi, alt işleyene karşı sahip olduğu haklarla sınırlı olmaksızın Kullanıcıya karşı Madde 8.2 uyarınca sorumludur.

Madde 17 – Genel hükümler

17.1. Hiyerarşi. Kullanıcı Verisinin işlenmesine ilişkin konularda DİS ile Ana Sözleşme ve diğer belgeler arasında çelişki varsa DİS; sorumluluk sınırlaması dışındaki diğer konularda tüketici lehine olan hüküm uygulanır.

17.2. Değişiklik. webcidayi DİS'in yeni sürümünü yayımlayabilir; Alt İşleyen Listesi'nin güncellenmesi DİS'in yeniden sürümlenmesini gerektirmez (Madde 8). DİS'in diğer hükümlerindeki esaslı değişiklikler Kullanıcı Sözleşmesi Madde 20'deki usule tabidir; Kullanıcı aleyhine esaslı değişiklikler yalnız Kullanıcının kabulüyle ve yenileme/yeni satın alma anında uygulanır. Mevzuat ya da Kurul kararı nedeniyle zorunlu değişiklikler, zorunluluğun gerektirdiği tarihte uygulanır ve Kullanıcıya bildirilir.

17.3. Bildirimler. DİS'e ilişkin bildirimler Kullanıcı Sözleşmesi Madde 21'e tabidir. İhlal bildirimleri için Kullanıcı, güncel ve izlenen bir e-posta adresi tutmakla yükümlüdür.

17.4. Uygulanacak hukuk ve yetki. DİS'e Türk hukuku uygulanır; uyuşmazlıklarda Ana Sözleşmedeki uyuşmazlık çözüm maddeleri (tüketici için hakem heyeti/mahkeme, tacir için Madde 25) geçerlidir.

17.5. Kayıt. Kullanıcının kabul ettiği DİS sürümü, kabul zamanı ve metnin özeti Ana Sözleşmeyle birlikte kayıt altına alınır; tüm sürümler Belgeler sayfasında yayımlanır.

EK-1 – İşlemenin ayrıntıları

EK-2 – Teknik ve idari tedbirler (Kanun m.12)

A. Erişim ve yetki yönetimi

1. Her Kullanıcının verisi kendi hesabıyla sınırlıdır; uygulamadaki sahiplik denetimlerine ek olarak veritabanında satır düzeyi güvenlik (Row-Level Security) politikaları, bir Kullanıcının verisinin başka bir Kullanıcıya görünmesini veritabanı katmanında da engeller.

2. Panel ve arka plan işleri, tüm yetkilere sahip olmayan, sınırlı yetkili veritabanı rolleriyle çalışır; yönetici düzeyi veritabanı yetkisi yalnız bakım işlemlerinde kullanılır.

3. En az yetki ilkesi: Kullanıcı Verisine erişim yetkisi görev gerektirdiği kadarıyla ve gerektiği süre boyunca verilir. Yönetim alanına yalnız yönetici rolü olan hesaplar girebilir.

4. Dosya depolamada (görseller, dışa aktarma dosyaları) Kullanıcıya özgü anahtar önekleri ve süreli imzalı bağlantılar kullanılır; dışa aktarma dosyaları özel depolamada tutulur ve kısa sürede silinir.

5. Gizli anahtarlar ve parolalar kaynak koduna ve depoya konmaz; ayrı gizli bilgi deposunda tutulur.

B. Kimlik doğrulama

1. Kullanıcı parolaları tek yönlü (bcrypt) özetlenerek saklanır; doğrulama ve sıfırlama belirteçlerinin yalnız özeti tutulur.

2. Kullanıcı hesapları için iki aşamalı doğrulama (TOTP) sunulur. Yönetim alanı yalnız yönetici rolü olan hesaplara açıktır; yönetici hesapları için de ikinci adım doğrulaması (TOTP) desteklenir.

3. Giriş ve doğrulama kod denemeleri hız sınırına tabidir; oturumlar tüm cihazlardan sonlandırılabilir.

C. Şifreleme

1. İletişim HTTPS (TLS) ile korunur.

2. T.C. kimlik numarası, Meta erişim belirteçleri ve iki aşamalı doğrulama sırları veritabanında AES-256-GCM ile şifreli saklanır.

3. Yedekler şifrelidir (istemci tarafı). Yedek deposu bugün Platformun barındırma ortamında yerel olarak tutulmaktadır; sunucu dışı bir depo kurulduğunda bu madde güncellenir.

D. Kayıt ve izlenebilirlik

1. Platforma ve Sitelere yapılan isteklere ilişkin erişim kayıtları (IP, zaman, adres, yanıt kodu) ve uygulama hata kayıtları tutulur; erişim kaydı arşivi 2 yıl saklanır.

2. Yönetim alanındaki yazma işlemleri için yalnız eklenebilen bir denetim kaydı altyapısı bulunur (kim, ne zaman, hangi eylem, hangi hedef; IP yalnız tuzlu özet olarak); kaydın kapsamı genişletilmektedir. Hassas verinin yönetici tarafından görüntülenmesi (ör. T.C. kimlik numarası) kayıt altına alınır.

3. Sözleşme, onay, ödeme ve fesih kayıtları veritabanı düzeyinde değiştirilemez; her belgenin içerik özeti (SHA-256) saklanır.

E. Yedekleme ve süreklilik

1. Veritabanı ve dosya depolaması düzenli (günlük) olarak yedeklenir; yedekler şifrelidir. Yedekten geri yükleme tatbikatı yapılır.

2. Yayımlanmış site yapılandırmaları değiştirilemez sürümler olarak saklanır; önceki sürüme dönülebilir.

3. Hizmetin durumu otomatik olarak izlenir; olağan dışı durumlarda yönetici uyarı alır. Hizmet durumu Platformun halka açık durum sayfasında gösterilir. Tam kesintisizlik garanti edilmez (Kullanıcı Sözleşmesi Madde 16 ve Ek-2).

F. Ağ ve uygulama güvenliği

1. Alan adları ağ/CDN katmanından geçer; yüksek istek oranlarına karşı site bazlı hız sınırları uygulanır.

2. Formlarda kötüye kullanım ve bot önleme katmanları (görünmez alan, süre ve istek sınırları) uygulanır.

3. Çerezsiz ziyaret analitiğinde ham IP adresi saklanmaz.

4. Panelde sahte istek (CSRF) koruması zorunlu kipte çalışır.

G. Yapay zekâ

Yapay zekâ sağlayıcılarına yalnız işletme adı, Site içeriği ve Kullanıcı komutları, kişisel veri maskelemesinden geçirilerek gönderilir; Ziyaretçi form, sipariş, rezervasyon ve üyelik verisi gönderilmez (DİS Madde 10).

H. İdari tedbirler

1. Kullanıcı Verisine erişebilecek kişiler gizlilik yükümlülüğü altındadır (DİS Madde 6).

2. Güvenlik olayı müdahale süreci: şüphe hâlinde etkilenen erişimin kapatılması, kanıtın toplanması, etkilenen Kullanıcıların ve (webcidayi'nin veri sorumlusu olduğu durumlarda) Kurul'un süresinde bilgilendirilmesi (DİS Madde 12).

3. Alt işleyen seçimi ve değişimi Liste ve DİS Madde 8'e göre yürütülür.

4. Silme ve saklama süreleri KVKK Aydınlatma Metni'nde belirtilen sürelere göre uygulanır.

5. Yeni özellikler ve veri akışları, kişisel veri açısından (veri minimizasyonu, ziyaretçi verisinin yapay zekâya gitmemesi, yurt dışı aktarım) değerlendirilmeden canlıya alınmaz.