Satıcının müşterisi,
satıcının veri alanıdır.

1. Roller

Satıcı, kendi mağazasındaki müşterilerin adı, iletişim, teslimat, sipariş, fatura ve müşteri hizmeti verileri bakımından veri işleme amaç ve vasıtalarını belirlediği ölçüde veri sorumlusudur. InstaSat, bu verileri mağaza, checkout, sipariş, destek, bildirim ve entegrasyon hizmetini Satıcı adına yürütmek için işlediği ölçüde veri işleyendir. InstaSat’ın kendi güvenlik, faturalama, yasal kayıt ve platform savunması için bağımsız amaçla işlediği veriler bakımından kendi rolü ayrıca değerlendirilir.

2. Belgelenmiş talimat

InstaSat, Satıcı müşteri verilerini yalnız sözleşme, panel ayarları, API çağrıları, destek talepleri ve Satıcı’nın hukuka uygun diğer belgelenmiş talimatları doğrultusunda işler. Hukuken zorunlu işlem varsa, yasak olmadığı ölçüde Satıcı bilgilendirilir. Hukuka açıkça aykırı bir talimat uygulanmayabilir ve Satıcı uyarılabilir.

3. Veri konusu kişiler ve veri kategorileri

Veri konusu kişiler; mağaza ziyaretçileri, alıcılar, teslimat/fatura alıcıları ve Satıcı ile müşteri hizmeti ilişkisine giren kişiler olabilir. Veriler; kimlik, iletişim, adres, sipariş, ürün, teslimat, fatura, iade/şikâyet, işlem referansı, teknik/güvenlik kayıtları ve Satıcı’nın hukuka uygun şekilde sisteme girdiği müşteri notlarıyla sınırlıdır. Özel nitelikli kişisel veri varsayılan ürün kapsamı değildir.

4. İşlemenin konusu, amacı ve süresi

İşleme; mağazanın çalışması, siparişin oluşturulması ve Satıcı’ya iletilmesi, ödeme durumunun eşleştirilmesi, teslimat/iade akışı, müşteri desteği, güvenlik ve Satıcı’nın talep ettiği raporlama için yapılır. İşleme sözleşme süresiyle ve yasal/uyuşmazlık saklama süreleriyle sınırlıdır.

5. Teknik ve idari güvenlik

• Tenant/merchant sahiplik ayrımı ve varsayılan kapalı erişim.
• Şifre özetleme, güvenli oturum, CSRF/origin kontrolü ve yetkilendirme.
• HTTPS, şifreli token/secret saklama ve erişim minimizasyonu.
• Taslak mağaza/medyanın yayın kararına kadar kamuya kapalı tutulması.
• Yedek, güvenlik olayı, erişim ve kritik işlem kayıtları.
• Gerektiğinde veri minimizasyonu, silme/anonimleştirme ve rol tabanlı destek erişimi.

6. Gizlilik yükümlülüğü

İlgili verilere erişen personel ve yetkili yükleniciler görev, gizlilik ve bilme-gereği sınırlarına tabi tutulur. Destek ekibinin özel mağaza müşteri verilerine varsayılan erişimi yoktur; gerekli erişim amaç/kapsam/süreyle sınırlandırılır.

7. Alt veri işleyenler

Barındırma, e-posta/SMS, yapay zekâ, ödeme, kargo, fatura, gözlemleme ve benzeri sağlayıcılar hizmet için gerekli ölçüde alt veri işleyen olabilir. InstaSat uygun sözleşmesel/güvenlik yükümlülüklerini alt işleyene yansıtır. Önemli alt işleyen değişiklikleri, hukuken veya sözleşmeyle gerektiği ölçüde Satıcı’ya bildirilir.

8. Yurt dışı aktarım

Yurt dışındaki alt işleyene kişisel veri aktarımı gerekiyorsa KVKK m.9 ve güncel ikincil mevzuata uygun aktarım mekanizması kurulmadan ilgili üretim akışı açılmaz. Gerekli durumda uygun standart sözleşme veya diğer güvence mekanizması kullanılır ve bildirim/evrak yükümlülükleri yerine getirilir.

9. İlgili kişi talepleri

InstaSat, Satıcı’nın müşterisinden doğrudan gelen erişim, düzeltme, silme veya itiraz talebini veri sorumlusu Satıcı’ya yönlendirebilir ve hizmetin niteliğine göre Satıcı’nın talebi yerine getirmesine makul teknik destek verir. InstaSat kendi veri sorumlusu olduğu alanlarda ilgili talepleri ayrıca değerlendirir.

10. Kişisel veri ihlali

Satıcı müşteri verisini etkileyen teyit edilmiş güvenlik olayı tespit edilirse, uygulanabilir hukuk ve olayın niteliği çerçevesinde Satıcı’ya gecikmeksizin makul bilgi verilir; olayın niteliği, etkilenen veri, alınan/önerilen tedbir ve iletişim noktası kayıt altına alınır. Resmî bildirim sorumlulukları tarafların hukuki rolüne göre yerine getirilir.

11. İade, silme ve çıkış

Sözleşme sona erdiğinde Satıcı müşteri verisi, Satıcı’ya uygulanabilir dışa aktarım imkânı sağlandıktan ve zorunlu saklama/uyuşmazlık ihtiyacı ayrıldıktan sonra silinir veya anonimleştirilir. Yedeklerde kalan veri, olağan yedek döngüsü ve erişim kısıtı çerçevesinde kullanım dışı tutulur.

12. Kayıt, denetim ve ispat

InstaSat, bu sözleşmeye uyumu göstermek için güvenlik kontrolleri, alt işleyen envanteri, işlem kayıtları ve gerekli teknik/organizasyonel tedbir dokümantasyonunu tutar. Denetim talepleri gizlilik, güvenlik ve diğer müşterilerin verisini koruyacak makul yöntemlerle karşılanır.

13. Satıcı’nın yükümlülükleri

Satıcı, müşterilerinden veriyi hukuka uygun toplamak, gerekli aydınlatmayı yapmak, uygun hukuki sebebi belirlemek, mağaza çalışanlarının erişimini yönetmek, müşteri taleplerini sonuçlandırmak, gereksiz veriyi sisteme girmemek ve özel nitelikli veri işleme ihtiyacı varsa InstaSat’ın açıkça desteklediği güvenli akış dışında işlem yapmamakla yükümlüdür.

14. Süre, öncelik ve yürürlük

Bu sözleşme Satıcı Sözleşmesinin eki ve ayrılmaz parçasıdır; Satıcı’nın elektronik kabulüyle yürürlüğe girer. Kişisel veri işleme konusunda bu özel sözleşme, genel kullanım hükümlerine göre önceliklidir. Emredici KVKK hükümleri saklıdır.