KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN ÜYELİK AYDINLATMA METNİ

Alaylılar Makine Otomotiv Sanayi ve Ticaret Limited Şirketi (“Alaylılar” veya “Şirket”), www.alaylilar.com internet sitesi üzerinden üyelik hesabı oluşturulması ve yönetilmesi kapsamında işlenen kişisel veriler hakkında, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca ilgili kişileri bilgilendirmektedir.

Bu Aydınlatma Metni yalnızca üyelik hesabının oluşturulması ve kullanılmasıyla bağlantılı kişisel veri işleme faaliyetlerini kapsamaktadır. Sipariş, ödeme, teslimat, iade, çerez ve diğer veri işleme faaliyetlerine ilişkin ek bilgiler Alaylılar tarafından yayımlanan ilgili gizlilik ve aydınlatma metinlerinde yer alabilir.

1. Veri Sorumlusunun Kimliği

Veri Sorumlusu: Alaylılar Makine Otomotiv Sanayi ve Ticaret Limited Şirketi
Adres: Fevziçakmak Mah. 10659. Sk. No:1 Karatay / Konya
MERSİS No: 0049104819300001
E-posta: kvkk@alaylilar.com
Web Sitesi: www.alaylilar.com

2. İşlenen Kişisel Veriler

Üyelik hesabının oluşturulması ve kullanılması sırasında, kullanılan üyelik fonksiyonlarına bağlı olarak aşağıdaki kişisel veri kategorileri işlenebilir:

Kimlik Bilgileri

• Ad
• Soyad

İletişim Bilgileri

• E-posta adresi
• Telefon numarası, talep edilmesi veya kullanıcı tarafından sağlanması halinde

Hesap ve Üyelik Bilgileri

• Üyelik hesabına ilişkin kimlik doğrulama ve hesap erişim bilgileri
• Üyelik durumu
• Hesap oluşturma ve güncelleme bilgileri

İşlem Güvenliği Bilgileri

• IP adresi
• Oturum ve erişim kayıtları
• Cihaz ve tarayıcıya ilişkin teknik bilgiler
• Üyelik oluşturma ve hesap hareketlerine ilişkin tarih/saat kayıtları
• Güvenlik ve kötüye kullanım önleme kayıtları

Ticari Elektronik İleti Tercihleri

• Ticari elektronik ileti onay veya ret bilgisi
• İzin tarihi ve tercih edilen iletişim kanalı gibi ilgili kayıtlar

Burada eski metindeki:

“Kullanıcı adı, şifre — şifreler hashlenmiş şekilde saklanır”

ifadesini özellikle kaldırıyorum.

Shopify kullanıyorsunuz. Kimlik doğrulamanın teknik mimarisi Shopify müşteri hesabı yapılandırmasına göre değişebilir. Gerçekten sizin kontrolünüzde olmayan bir şifre saklama yöntemini hukuki metinde kategorik olarak taahhüt etmeyin.

3. Kişisel Verilerin İşlenme Amaçları

Kişisel verileriniz, ilgili veri kategorisine ve gerçekleştirilen işleme bağlı olarak aşağıdaki amaçlarla işlenebilir:

Üyelik ve Hesap Yönetimi

• üyelik hesabının oluşturulması,
• hesabın doğrulanması ve yönetilmesi,
• hesaba giriş ve erişim süreçlerinin yürütülmesi,
• kullanıcı tercihlerinin yönetilmesi,
• üyelik hesabına ilişkin gerekli bildirimlerin yapılması,
• müşteri ilişkilerinin yürütülmesi,
• talep ve şikâyetlerin yönetilmesi.

Bu işlemler esas olarak KVKK m.5/2-c kapsamında bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması hukuki sebebine dayanabilir.

Bilgi ve İşlem Güvenliği

• hesap güvenliğinin sağlanması,
• yetkisiz erişimlerin önlenmesi,
• kötüye kullanım ve şüpheli işlemlerin tespit edilmesi,
• teknik hataların araştırılması,
• sistem ve operasyon güvenliğinin sağlanması,
• bilgi güvenliği ve risk yönetimi süreçlerinin yürütülmesi.

Bu işlemler, işleme faaliyetinin niteliğine göre KVKK m.5/2-ç kapsamında hukuki yükümlülüklerin yerine getirilmesi veya KVKK m.5/2-f kapsamında ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirket’in meşru menfaatleri hukuki sebeplerine dayanabilir.

Hukuki Yükümlülüklerin Yerine Getirilmesi

• mevzuat uyarınca tutulması gereken kayıtların oluşturulması ve saklanması,
• yetkili kamu kurum ve kuruluşlarının hukuka uygun taleplerinin karşılanması,
• hukuki uyuşmazlıkların yönetilmesi,
• bir hakkın tesisi, kullanılması veya korunması,
• denetim, saklama ve arşiv faaliyetlerinin yürütülmesi.

Bu işlemler, niteliğine göre KVKK m.5/2-ç ve KVKK m.5/2-e kapsamında gerçekleştirilebilir.

Burada eski metindeki:

“5651 sayılı Kanun uyarınca tüm üyelik loglarını tutuyoruz”

gibi kesin bir hükmü kullanmıyorum. Gerçekten hangi 5651 sıfatı ve yükümlülüğü altında olduğunuz ayrı değerlendirilmeden bu iddia yazılmamalı.

Ticari Elektronik İletişim ve Pazarlama

Ticari elektronik ileti onayı verilmesi halinde;

• kampanya,
• fırsat,
• indirim,
• reklam,
• tanıtım,
• promosyon

amaçlı ticari elektronik ileti süreçleri yürütülebilir.

Ticari elektronik ileti gönderimi, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, ilgili Yönetmelik ve İYS düzenlemeleri kapsamında alınan ticari elektronik ileti onayına göre gerçekleştirilir.

Bu faaliyetler kapsamında açık rıza gerektiren kişisel veri işleme faaliyetleri ayrıca KVKK m.5/1 kapsamında açık rızaya dayanılarak yürütülür.

Ticari elektronik ileti tercihinin İYS’ye kaydedilmesi ve mevzuat gereğince saklanması gibi işlemler ise ilgili hukuki yükümlülük kapsamında işlenebilir.

Ticari elektronik ileti onayı vermek üyelik oluşturmanın şartı değildir.

Bu son cümleyi özellikle koyardım.

4. Kişisel Verilerin Aktarılması

Kişisel verileriniz, işleme amacıyla sınırlı ve gerekli olduğu ölçüde aşağıdaki alıcı veya alıcı gruplarına aktarılabilir:

E-Ticaret ve Teknoloji Altyapısı Sağlayıcıları

Web Sitesi’nin ve üyelik altyapısının işletilmesi amacıyla;

• e-ticaret altyapısı sağlayıcıları,
• hosting, bulut ve veri barındırma hizmeti sağlayıcıları,
• yazılım ve entegrasyon sağlayıcıları,
• bilgi güvenliği ve teknik destek hizmeti sağlayıcıları

ile gerekli kişisel veriler paylaşılabilir.

İleti Yönetim Sistemi ve İlgili Hizmet Sağlayıcılar

Ticari elektronik ileti onayı veya ret tercihi bulunması halinde, ilgili iletişim ve izin kayıtları İleti Yönetim Sistemi (İYS) ve bu sürecin yürütülmesi için kullanılan ilgili hizmet sağlayıcılarla paylaşılabilir.

Yetkili Kamu Kurum ve Kuruluşları

Kanuni bir yükümlülüğün bulunması veya yetkili makamın hukuka uygun talebi halinde kişisel veriler;

• mahkemeler,
• savcılıklar,
• kolluk birimleri,
• düzenleyici ve denetleyici kamu kurumları,
• vergi idareleri,
• diğer kanunen yetkili kamu kurum ve kuruluşları

ile paylaşılabilir.

Hukuki ve Profesyonel Hizmet Sağlayıcıları

Bir hakkın tesisi, kullanılması veya korunması amacıyla gerekli olması halinde kişisel veriler;

• avukatlar,
• mali müşavirler,
• denetçiler,
• arabulucular,
• diğer yetkili profesyonel hizmet sağlayıcılar

ile paylaşılabilir.

5. Kişisel Verilerin Yurt Dışına Aktarılması

Eski metindeki “kişisel veriler yurt dışına aktarılmamaktadır” cümlesini kesinlikle kaldırın.

Alaylılar.com'un işletilmesinde kullanılan e-ticaret, bulut, teknoloji, güvenlik veya diğer hizmetlerin yurt dışında bulunan kuruluşlar veya sunucular üzerinden sağlanması nedeniyle kişisel verilerin yurt dışına aktarılması söz konusu olabilir.

Özellikle Shopify, küresel olarak faaliyet gösterdiğini ve kişisel verilerin Shopify grup şirketlerine ve belirli alt veri işleyenlere uluslararası olarak aktarılabileceğini açıkça belirtiyor. Shopify Help Center

Yurt dışına kişisel veri aktarımı, KVKK'nın 9. maddesinde ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'te öngörülen şartlara ve uygun aktarım mekanizmalarına göre gerçekleştirilir.

KVKK'nın yurt dışı aktarım rejiminde 1 Haziran 2024 tarihinde yürürlüğe giren değişiklikler kapsamında standart sözleşmeler ve bağlayıcı şirket kuralları dahil yeni aktarım mekanizmaları düzenlenmiştir. Kişisel Verileri Koruma Kurumu

Burada önemli bir uyarı: Sadece bu paragrafı yazmak teknik KVKK uyumunu sağlamaz. Shopify üzerinden gerçekten yurt dışı aktarım yapıyorsanız hangi KVKK m.9 aktarım mekanizmasını kullandığınızı şirket tarafında ayrıca hukuken çözmüş olmanız gerekir.

6. Kişisel Verilerin Toplanma Yöntemi

Kişisel verileriniz;

• üyelik formuna girdiğiniz bilgiler,
• Web Sitesi ve üyelik hesabını kullanmanız sırasında oluşan teknik kayıtlar,
• hesabınız üzerinde gerçekleştirdiğiniz işlemler,
• ticari elektronik ileti tercihlerinize ilişkin kayıtlar,
• Şirket ile gerçekleştirdiğiniz ilgili iletişimler

aracılığıyla elektronik ortamda ve işleme faaliyetine göre tamamen veya kısmen otomatik yöntemlerle elde edilebilir.

Eski metindeki:

“tamamen otomatik yöntemlerle”

ifadesini bu nedenle değiştirdim. Örneğin müşteri hizmetlerinin üyelik hesabıyla ilgili manuel işlem yapması halinde artık “tamamen otomatik” iddiası doğru olmaz.

7. Kişisel Verilerin Saklanması ve İmhası

Kişisel verileriniz, ilgili işleme amacı için gerekli olan süre boyunca ve uygulanabilir mevzuatta öngörülen saklama süreleri kapsamında muhafaza edilir.

İşleme amacı veya hukuki saklama sebebinin ortadan kalkması halinde kişisel veriler, KVKK'nın 7. maddesi ve ilgili ikincil mevzuat uyarınca silinir, yok edilir veya anonim hale getirilir.

Hukuki uyuşmazlıkların ortaya çıkması halinde ilgili veriler, bir hakkın tesisi, kullanılması veya korunması için gerekli olan süre boyunca ilgili mevzuata uygun şekilde saklanabilir.

Eski metindeki belirsiz:

“ticari yaşamın teamüllerine göre gerektiği kadar”

ifadesini kaldırıyorum. Saklama süresi keyfî görünmemeli.

8. KVKK Kapsamındaki Haklarınız

KVKK'nın 11. maddesi kapsamında ilgili kişi olarak;

• kişisel verilerinizin işlenip işlenmediğini öğrenme,
• kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• kişisel verilerinizin işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
• kişisel verilerinizin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• eksik veya yanlış işlenmiş kişisel verilerinizin düzeltilmesini isteme,
• KVKK'da belirtilen koşulların oluşması halinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
• düzeltme, silme veya yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucunda aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• kişisel verilerinizin Kanuna aykırı işlenmesi nedeniyle zarara uğramanız halinde zararın giderilmesini talep etme

haklarına sahipsiniz.

Bunlar KVKK Kurumu'nun güncel olarak yayımladığı 11. madde haklarıyla uyumludur. Kişisel Verileri Koruma Kurumu

9. Veri Sorumlusuna Başvuru

KVKK kapsamındaki taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de öngörülen yöntemlerden biriyle Şirket'e iletebilirsiniz.

Başvurular;

• Fevziçakmak Mah. 10659. Sk. No:1 Karatay / Konya adresine yazılı olarak,
• varsa Şirket'in kayıtlı elektronik posta (KEP) adresine,
• güvenli elektronik imza veya mobil imza kullanılarak,
• veya daha önce Şirket'e bildirdiğiniz ve Şirket sisteminde kayıtlı bulunan e-posta adresinizden kvkk@alaylilar.com adresine

iletilebilir.

Normal e-posta konusunda son şart önemli. KVKK Kurumu, sıradan e-postayla başvuru yapılacaksa e-posta adresinin veri sorumlusuna daha önce bildirilmiş ve sisteminde kayıtlı olması gerektiğini açıkça belirtiyor. Kişisel Verileri Koruma Kurumu

Başvuruda ilgili mevzuat uyarınca kimliğinizi ve talebinizi belirlemeye yetecek bilgiler bulunmalıdır.

Şirket, başvuruyu yapan kişinin ilgili kişi olduğunu doğrulamak amacıyla gerekli ve ölçülü kimlik doğrulama bilgilerini talep edebilir.

Vekil aracılığıyla yapılan başvurularda temsil yetkisini gösteren belgenin sunulması gerekir.

Burada eski:

“mutlaka noter tasdikli özel vekâletname”

şartını kaldırıyorum. Tebliğ ve Kurul uygulamasında vekâletname aranabiliyor; fakat KVKK Kurulu, Kanun ve Tebliğ'de bulunmayan ek maddi veya usuli külfetler yaratılmasına karşı açıkça uyarıyor. Kişisel Verileri Koruma Kurumu

10. Başvuruların Sonuçlandırılması

Usulüne uygun başvurular, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırılır.

Başvurular kural olarak ücretsizdir. İşlemin ayrıca bir maliyet gerektirmesi halinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen yürürlükteki tarifede öngörülen ücretler talep edilebilir. Kişisel Verileri Koruma Kurumu

Şirket başvuruyu kabul edebilir veya hukuki gerekçesini açıklayarak reddedebilir ve cevabını ilgili kişiye yazılı veya elektronik ortamda bildirir. Kişisel Verileri Koruma Kurumu

İlgili kişi, Şirket'e yaptığı başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde KVKK'nın 14. maddesinde belirtilen süreler içerisinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilir.