Veri İşleme Sözleşmesi

Sürüm ve geçerlilik

• Sürüm: 30 Ekim 2026. Bu sürüm o tarihten itibaren uygulanır.
• Son güncelleme: 30 Ekim 2026.
• Metni yayımlayan: CS Digital Wonders (CS Digital Wonders LLC, ABD'nin Wyoming eyaleti hukukuna göre kurulmuş limited şirket; 30 N Gould St Ste N, Sheridan, WY 82801, ABD). SemPost bir CS Digital Wonders ürünüdür.
• Değişikliklerin duyurulması: Esaslı bir değişiklik yürürlüğe girmeden en az 30 gün önce her çalışma alanının sahiplerine e-posta göndeririz . Küçük düzeltmeler bu sayfanın sonundaki Değişiklikler bölümüne yazılır. Alt işleyenlerdeki değişiklikler 8. bölüme göre duyurulur.

1. Kapsam

1.1 Bu Veri İşleme Sözleşmesi ("Sözleşme"), SemPost'u kişisel verileri veri sorumlusu olarak işlemek için kullandığınızda uygulanır; yani içeriğinizdeki kişisel verilerin hangi amaçla ve nasıl işleneceğine siz karar verdiğinizde. Bu durumda o verileri sizin adınıza, veri işleyeniniz olarak işleriz.

1.2 Bu Sözleşme, Kullanım Koşulları'nın bir parçasıdır. Koşulları kabul ettiğiniz anda, ayrıca imza gerekmeden uygulanmaya başlar. Tarafımızca imzalanmış bir nüsha gerekiyorsa [email protected] adresine yazın.

1.3 "Siz", müşteriyi ifade eder: çalışma alanının ait olduğu işletme ya da kişi. Çalışma alanının sahibi bu Sözleşme'yi müşteri adına kabul eder. "Biz" ve "SemPost", SemPost'u işleten CS Digital Wonders LLC'yi ("CS Digital Wonders") ifade eder.

1.4 SemPost işletmelere ve tüketicilere satılır. SemPost'u yalnız kişisel ya da ev içi amaçlarla kullanıyorsanız veri koruma mevzuatı sizi genellikle veri sorumlusu saymaz; bu Sözleşme o kullanıma uygulanmaz.

1.5 Türkiye'den yapılan aktarımlar için KVKK Standart Sözleşmeleri imzalanmalıdır. Bu Sözleşme'nin çevrim içi kabulü onları kurmaz (bkz. 9.5).

2. Tanımlar

• Veri koruma mevzuatı: Avrupa Birliği Genel Veri Koruma Tüzüğü 2016/679 ("GDPR"); Birleşik Krallık GDPR'ı ve 2018 tarihli Birleşik Krallık Veri Koruma Kanunu; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil düzenlemeleri; işlemeye uygulanan diğer veri koruma mevzuatı.
• Veri sorumlusu, veri işleyen, ilgili kişi, kişisel veri, işleme ve kişisel veri ihlali: KVKK'daki anlamlarıyla kullanılır. GDPR'daki karşılıkları controller, processor, data subject, personal data, processing ve personal data breach'tir.
• Müşteri Kişisel Verisi: SemPost'u size sunarken sizin adınıza işlediğimiz ve Ek I'de tanımlanan kişisel veriler.
• Alt işleyen: Görevlendirdiğimiz ve Müşteri Kişisel Verisini bizim için işleyen üçüncü kişi.
• Çalışma alanı: SemPost'ta bir müşterinin mağazalarının, sosyal hesaplarının, gönderilerinin, medyasının, otomasyon kurallarının, analitiğinin ve ekibinin bulunduğu alan.
• SCC: Avrupa Komisyonu'nun (AB) 2021/914 sayılı Uygulama Kararı ekindeki standart sözleşme hükümleri.
• UK Addendum: Birleşik Krallık Bilgi Komiseri'nin SCC'lere ek olarak yayımladığı Uluslararası Veri Aktarımı Eki.
• KVKK Standart Sözleşmeleri: Kişisel Verileri Koruma Kurulu'nun, Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete) kapsamında ilan ettiği standart sözleşmeler.

3. Roller

3.1 Müşteri Kişisel Verisi bakımından veri sorumlusu siz, veri işleyen biziz. Siz de başka bir veri sorumlusu adına veri işleyen olarak çalışıyorsanız (örneğin bir marka için çalışan bir ajans), bize verdiğiniz talimatlara o veri sorumlusunun izin verdiğini teyit edersiniz. Bu durumda biz sizin alt işleyeniniz oluruz.

3.2 Kendi işimizi yürütmek için gereken kişisel veriler bakımından ayrı bir veri sorumlusuyuz: kullanıcı hesapları ve oturum açma, giriş denemeleri ve denetim günlüğü gibi güvenlik kayıtları, faturalama kayıtları, destek talepleri ve gönderdiğimiz e-postalar. Bu işlemeyi Gizlilik Politikası ve Türkiye için KVKK Aydınlatma Metni anlatır. Bu Sözleşme o işlemeyi kapsamaz.

3.3 Web'de SemPost'u size Link (Stripe) satıcı (merchant of record) sıfatıyla satar ve ödeme verilerini bağımsız veri sorumlusu olarak işler. SemPost'u Shopify App Store'dan kurduysanız ücreti Shopify tahsil eder ve elindeki verileri kendi koşullarına göre işler. İkisi de bu işleme bakımından alt işleyenimiz değildir.

3.4 Paylaşım yaptığınız sosyal ağlar, yayımlamayı seçtiğiniz içeriği alır ve kendi koşullarına göre işler. Alt işleyenimiz değildir.

4. Yalnız talimatınızla işleme (GDPR m.28(3)(a))

4.1 Müşteri Kişisel Verisini, başka ülkelere aktarım dahil, yalnız belgelenmiş talimatlarınızla işleriz. Tek istisna, bize uygulanan bir hukuk kuralının başka bir işlemeyi zorunlu kılmasıdır. Bu durumda, o hukuk kuralı yasaklamadıkça bu yükümlülüğü işlemeden önce size bildiririz.

4.2 Talimatlarınız şunlardır:

• Kullanım Koşulları ve bu Sözleşme;
• SemPost'ta kurduklarınız ve yaptıklarınız: örneğin bağladığınız mağazalar ve sosyal hesaplar, ürettiğiniz, onayladığınız, planladığınız ve yayımladığınız içerik, otomasyon kurallarınız, Ayarlar › Yapay zekâ modelleri'nde seçtiğiniz modeller, dışa aktarma ve silme istekleriniz;
• bize yazılı olarak verdiğiniz ve yazılı olarak kabul ettiğimiz diğer talimatlar.

4.3 Bir talimatın veri koruma mevzuatına aykırı olduğu kanısındaysak bunu size hemen bildiririz. Siz teyit edene ya da değiştirene kadar o talimatı bekletebiliriz.

4.4 Müşteri Kişisel Verisini kendi amaçlarımız için kullanmayız ve satmayız. Bu veriyle yapay zekâ modeli eğitmeyiz. Anthropic'in ve Google'ın ücretli Gemini API'sinin koşullarına göre bu sağlayıcılar bu veriyle kendi modellerini eğitemez; fal.ai veriyi işletme müşterileri için koşullarına göre işler, Stability AI'a ise bu veriden hiçbir şey gitmez (bkz. Alt İşleyenler).

5. Sizin sorumluluklarınız

5.1 SemPost'a getirdiğiniz Müşteri Kişisel Verisi ve bizden istediğiniz her işlem için, sosyal ağlarda yayımlama dahil, hukuki bir dayanağınız bulunmasını sağlarsınız.

5.2 İlgili kişileri mevzuatın gerektirdiği şekilde aydınlatırsınız: örneğin fotoğraf ve videolarınızda görünen kişileri, gönderi ve seslendirme metinlerinizde adı geçen kişileri ve yorumdan DM ile mesaj alan kişileri.

5.3 SemPost, özel nitelikli kişisel veriler (ör. sağlık verileri) ya da çocuklara ait veriler için tasarlanmadı. Gerekmedikçe ve hukuken izin verilmedikçe bu verileri SemPost'a koymayın. SemPost yüz ya da ses tanıma yapmaz; gerçek kişilerin avatarını ya da ses kopyasını sunmaz.

5.4 Yorumdan DM varsayılan olarak kapalıdır ve yalnız bazı bölgelerde kullanılabilir. Açtığınızda bu mesajların göndericisi sizsiniz; ticari elektronik ileti kurallarının gerektirdiği onaylardan siz sorumlusunuz. Ayrıntı için Kabul Edilebilir Kullanım Politikası.

5.5 Hesaplarını bağladığınız sosyal ağların koşullarına uyarsınız. Ayrıntı için Platform Koşulları.

5.6 Bize verdiğiniz talimatlar veri koruma mevzuatına uygundur.

6. Gizlilik (GDPR m.28(3)(b))

6.1 Müşteri Kişisel Verisine yalnız SemPost'u sunmak, desteklemek ya da güvenliğini sağlamak için erişmesi gereken kişiler, görevlerinin gerektirdiği ölçüde erişebilir.

6.2 Bu kişilerin her birinin gizlilik taahhüdünde bulunmasını ya da uygun bir yasal sır saklama yükümlülüğü altında olmasını sağlarız.

6.3 Ekibimiz müşteri verisiyle yalnız yönetim konsolumuz (Global Admin) üzerinden çalışır. Konsol ayrı bir adreste ve Cloudflare Access arkasında çalışır; her girişte iki adımlı doğrulama, hassas işlemlerden önce de yeni bir kod ister. Salt okuma yetkili destek erişimini değişiklik yetkisinden ayırır ve işlemleri denetim günlüğüne yazar.

7. Güvenlik (GDPR m.28(3)(c) ve m.32)

7.1 Ek II'de anlatılan teknik ve idari tedbirleri alırız. Bu tedbirler teknolojinin geldiği düzeyi, uygulama maliyetini, işlemenin niteliğini, kapsamını, bağlamını ve amaçlarını ve kişiler için doğan riskleri gözetir.

7.2 Teknoloji ve riskler değiştikçe tedbirleri değiştirebiliriz; ancak genel koruma düzeyini düşürmeyiz.

7.3 KVKK m.12/2 uyarınca, Müşteri Kişisel Verisini sizin adınıza işlediğimiz durumda veri güvenliğine ilişkin tedbirlerin alınmasından sizinle birlikte müştereken sorumluyuz.

7.4 Güvenlikte sizin payınız: ekibinizin girişlerini koruyun (iki adımlı doğrulamayı kullanın; çalışma alanının tamamı için zorunlu kılabilirsiniz), her üyeye yetecek en düşük rolü verin (izleyici, editör, yönetici ya da sahip), ayrılan üyeleri çıkarın ve kaybetmeyi göze alamayacağınız dosyaların kendi kopyalarını saklayın (medya dosyaları veritabanı yedeklerimize dahil değildir; bkz. Ek II).

8. Alt işleyenler (GDPR m.28(2), 28(3)(d) ve 28(4))

8.1 Genel yetki. Alt işleyen görevlendirmemiz için bize genel yazılı yetki verirsiniz. Güncel liste her alt işleyenin ne yaptığını, hangi verileri aldığını, veriyi nerede işlediğini ve hangi aktarım güvencesinin uygulandığını gösterir. Liste Alt İşleyenler sayfasında yayımlanır ve bu Sözleşme'nin Ek III'üdür.

8.2 Aynı yükümlülükler. Bir alt işleyeni ancak ona bu Sözleşme'dekilerle aynı ya da eşdeğer veri koruma yükümlülüklerini, özellikle uygun güvenlik tedbirleri için yeterli güvenceleri yükleyen yazılı bir sözleşmeyle görevlendiririz. Alt işleyenlerimizin yükümlülüklerini yerine getirmesinden size karşı tam olarak sorumlu kalırız.

8.3 Değişikliklerin bildirilmesi. Yeni bir alt işleyen Müşteri Kişisel Verisini işlemeye başlamadan ya da mevcut bir alt işleyen onu yeni bir amaçla veya yeni bir ülkede işlemeden en az 14 gün önce size bildiririz:

• her çalışma alanının sahiplerine ve yöneticilerine e-postayla;
• her değişikliği tarihiyle gösteren Alt İşleyenler sayfasında.

8.4 İtiraz. Bildirimden sonraki 14 gün içinde, veri korumayla ilgili makul gerekçelerle, [email protected] adresine yazarak itiraz edebilirsiniz. Bunun üzerine sizinle birlikte bir çözüm ararız. Bazı sağlayıcılar yalnız sizin seçtiğiniz özellikler ya da yapay zekâ modelleri için kullanılır (ör. Ayarlar › Yapay zekâ modelleri); bu durumda çözüm o özelliği kullanmamak olabilir. İtirazınızdan sonraki 30 gün içinde çözüm bulamazsak hizmetin etkilenen bölümünü, SemPost yeni alt işleyen olmadan kullanılamıyorsa sözleşmenin tamamını sona erdirebilirsiniz. Bu durumda artık kullanamayacağınız süre için peşin ödediğiniz bedeli, ödemeyi yaptığınız kanal üzerinden (Link ya da Shopify) kalan süreyle orantılı olarak iade ederiz.

8.5 Acil değişiklik. Bir alt işleyeni acilen değiştirmemiz gerekirse, örneğin hizmetini durdurursa ya da bir güvenlik sorunu yaşarsa, daha kısa bir bildirim süresiyle değiştirebiliriz. Bu durumda size en kısa sürede haber veririz; 8.4'teki itiraz hakkınız geçerlidir.

8.6 Zincir. İstek üzerine, alt işleyenlerimizin hangi alt işleyenleri kullandığını, bize açıkladıkları ölçüde size bildiririz. Kendi listelerini yayımlayanlara Alt İşleyenler sayfasından bağlantı veririz. Güncel listeyi isteyen herkese de göndeririz.

9. Başka ülkelere aktarım

9.1 Verinin işlendiği yerler. Sunucularımız ABD'dedir (Contabo). Önlerinde Cloudflare çalışır; medya dosyaları ve şifreli yedekler Cloudflare'de (Cloudflare R2) saklanır. R2 kovalarımız için bir depolama bölgesi seçilmedi; bu dosyaların nerede saklanacağını Cloudflare belirler ve bu yer AB ve Türkiye dışında olabilir. Alt işleyenlerimiz veriyi Alt İşleyenler sayfasında yazan yerlerde işler. ABD'de değilseniz bu, Müşteri Kişisel Verisinin başka bir ülkeye aktarıldığı anlamına gelir.

9.2 AB ve AEA'dan. Müşteri Kişisel Verisi AEA'dan yeterlilik kararı bulunmayan bir ülkeye aktarıldığında SCC'ler uygulanır ve atıf yoluyla bu Sözleşme'nin parçası olur:

• Veri sorumlusu olduğunuzda sizinle aramızda Modül 2 (veri sorumlusundan veri işleyene) uygulanır.
• Siz de başka bir veri sorumlusu için veri işleyen olduğunuzda Modül 3 (veri işleyenden veri işleyene) uygulanır.
• Alt işleyenlere sonraki aktarımlarımız, SCC'lerin 8.8 ve 9. maddelerini karşılayan yazılı sözleşmelerle yapılır.
• Madde 9(a): Seçenek 2 (genel yazılı yetki), 8.3'teki 14 günlük bildirimle.
• Madde 13: Ek I'in C bölümündeki denetim makamı.
• Madde 17: veri ihracatçısının yerleşik olduğu AB üye devletinin hukuku; o hukuk üçüncü kişi lehine hak tanımıyorsa İrlanda hukuku. Madde 18: aynı üye devletin mahkemeleri.
• SCC'lerin ekleri bu Sözleşme'nin Ek I, Ek II ve Ek III'üyle doldurulur.

GDPR işlememize doğrudan uygulandığında (GDPR m.3(2)) SCC'ler bu aktarım için tasarlanmamıştır ve bu durum için ayrı hükümler henüz kabul edilmemiştir; SCC'leri mevcut en uygun güvence olarak uygularız. SemPost'un kendisi AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalı değildir.

9.3 Birleşik Krallık'tan. Birleşik Krallık'tan yapılan aktarımlarda SCC'lerle birlikte UK Addendum uygulanır. Tablo 1 (taraflar) Ek I'in A bölümüyle, Tablo 2 9.2'deki modül ve seçeneklerle, Tablo 3 ise Ek I, II ve III'le doldurulur.

9.4 İsviçre'den. İsviçre'den yapılan aktarımlarda SCC'ler, İsviçre veri koruma mevzuatının gerektirdiği uyarlamalarla uygulanır.

9.5 Türkiye'den (KVKK). Türkiye'den yurt dışına aktarım, 7499 sayılı Kanun'la değişik KVKK m.9'daki güvencelerden birine dayanmalıdır. Önerimiz:

• sizinle (veriyi Türkiye'den aktaran taraf olarak) aramızda KVKK Standart Sözleşme 2 (veri sorumlusundan veri işleyene);
• bizimle alt işleyenlerimiz arasında KVKK Standart Sözleşme 3 (veri işleyenden veri işleyene).

Standart sözleşmeler isteğe bağlı bölümleri dışında değiştirilemez ve her tarafın imza yetkilisince Türkçe olarak imzalanır. Bu Sözleşme'nin çevrim içi kabulü yeterli değildir. Standart Sözleşme 2'yi bizimle imzalamak için [email protected] adresine yazın. Veriyi aktaran taraf, imzadan sonraki 5 iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirimde bulunur.

9.6 Kamu makamlarının talepleri. Bir kamu makamı bizden Müşteri Kişisel Verisi isterse, hukuk yasaklamadıkça size derhâl bildiririz. Talebin hukuka uygunluğunu inceleriz, makul gerekçe varsa itiraz ederiz ve talebin gerektirdiğinden fazlasını açıklamayız.

9.7 Aktarım etki değerlendirmesi. Bir aktarımı değerlendirmeniz için gereken ve elimizde bulunan bilgileri veririz; örneğin Alt İşleyenler sayfasındaki yerleri ve güvenceleri, Ek II'deki tedbirleri. Hazır bir aktarım etki değerlendirmesi belgemiz yoktur; istek üzerine bu konudaki sorularınızı genel hatlarıyla yanıtlarız.

10. İlgili kişi başvurularında yardım (GDPR m.28(3)(e))

10.1 SemPost, başvuruların çoğunu kendiniz karşılayabilmeniz için araçlar sunar:

• çalışma alanının verisini, medya dosyalarının indirme bağlantılarıyla birlikte, JSON dosyalarından oluşan bir ZIP dosyası olarak dışa aktarma (sahipler ve yöneticiler) ;
• henüz gönderilmemiş gönderileri, medya dosyalarını, mağaza bağlantılarını, sosyal hesap bağlantılarını ve ekip üyelerini silme;
• çalışma alanının tamamını silme (sahip) .

10.2 Bir ilgili kişi Müşteri Kişisel Verisiyle ilgili olarak doğrudan bize başvurursa başvuruyu gecikmeksizin size iletiriz. Siz istemedikçe başvuruyu kendimiz yanıtlamayız; yalnız size ilettiğimizi bildiririz.

10.3 Bir başvuruyu bu araçlarla karşılayamıyorsanız size yardım ederiz. Ekibimiz sizin için bir çalışma alanını ya da bir hesabı silebilir; bu silmelerin her biri gerekçesiyle kaydedilir .

10.4 Yorumdan DM: kime mesaj gittiğinin kaydını SemPost değil, ağ geçidimiz Zernio tutar. Kaydın ne kadar tutulacağını Zernio belirler (bkz. Zernio'nun gizlilik politikası). Bir başvuru için bu kayıt gerekirse Zernio'dan isteriz; bir kişinin kaydının silinmesi istenirse isteği Zernio'ya iletiriz.

10.5 Başvurular açıkça dayanaksız ya da aşırı olmadıkça bu yardım için ücret almayız.

11. İhlaller, etki değerlendirmeleri ve ön danışma (GDPR m.28(3)(f) ve m.32–36)

11.1 İhlal bildirimi. Müşteri Kişisel Verisini etkileyen bir kişisel veri ihlalini öğrendikten sonra size gecikmeksizin ve her durumda 48 saat içinde bildiririz. Bildirimi etkilenen çalışma alanlarının sahiplerine e-postayla göndeririz; ayrı bir acil durum kanalı yoktur.

11.2 Bildirim, o an bildiğimiz ölçüde şunları içerir:

• ne olduğu ve ne zaman olduğu;
• etkilenen kişilerin ve kayıtların türleri ve yaklaşık sayısı;
• olası sonuçları;
• ihlali gidermek ve etkilerini azaltmak için aldığımız ve almayı önerdiğimiz tedbirler;
• daha fazla bilgi alınabilecek bir irtibat kişisi.

Bu bilgilerin tamamı aynı anda elimizde değilse onları ayrıca gecikmeden aşamalar hâlinde göndeririz. Bildirim kusur kabulü anlamına gelmez.

11.3 Denetim makamlarına ve ilgili kişilere bildirim yapılıp yapılmayacağına siz karar verirsiniz. GDPR'da makama bildirim süresi 72 saattir. KVKK'da Kişisel Verileri Koruma Kurulu bildirimin 72 saat içinde yapılmasını bekler. Elimizdeki bilgilerle size yardım ederiz.

11.4 Güvenlik, etki değerlendirmesi ve ön danışma. İşlemenin niteliğini ve elimizdeki bilgileri gözeterek GDPR m.32–36'daki yükümlülüklerinizi yerine getirmenize yardım ederiz. Özellikle veri koruma etki değerlendirmeleriniz ve bir denetim makamıyla yapacağınız ön danışma için bilgi veririz.

12. İade ve silme (GDPR m.28(3)(g))

12.1 Verinizi almak. SemPost'u kullandığınız sürece sahipler ve yöneticiler çalışma alanını dışa aktarabilir: JSON dosyalarından oluşan bir ZIP dosyası (çalışma alanı ve üyeleri, davetler, gizli bilgileri çıkarılmış mağaza bağlantıları, sosyal hesaplar, gönderiler ve geçmişleri, çalışmaları ve olaylarıyla otomasyon kuralları, analitik, krediler, denetim günlüğü ve marka ayarları) ve 24 saat geçerli indirme bağlantılarıyla medya dosyası listesi. Dışa aktarmayı arka planda hazırlarız ve hazır olunca size e-posta göndeririz; dosyayı 24 saat içinde, SemPost'ta sahip ya da yönetici olarak giriş yapmışken indirirsiniz. Bir çalışma alanı günde bir kez dışa aktarılabilir . Medya dosyaları Medya sayfasından da indirilebilir.

12.2 İşlemenin sona ermesi. Müşteri Kişisel Verisinin işlenmesi şu yollardan biriyle sona erer:

• Çalışma alanını silersiniz (Ayarlar › Çalışma alanı, yalnız sahip). Açık bir Stripe aboneliği önce iptal edilir; iade kuralları İade ve İptal Politikası sayfasındadır. Çalışma alanı hemen kapanır: yayın, otomasyon ve üretim durur. Silmeyi 7 gün içinde geri alabilirsiniz. Bu günlerde sosyal hesaplar ağ geçidimize bağlı kalır; silmeyi geri alırsanız hesapların yeniden bağlanması gerekmez. 7. gün çalışma alanını kalıcı olarak sileriz ve sosyal hesapların bağlantısı kesilir.
• Shopify uygulamasını kaldırırsınız. Yaklaşık 48 saat sonra Shopify bize mağaza için bir silme isteği (shop/redact) gönderir. Çalışma alanını kurulum açtıysa ve bu çalışma alanı web'de Link (Stripe) üzerinden hiç satın alma yapmadıysa çalışma alanını sileriz. Aksi hâlde yalnız o mağazanın bağlantı ve kurulum kayıtlarını sileriz; çalışma alanının geri kalanı siz silene kadar durur.
• Sözleşme başka bir yolla sona erer. Müşteri Kişisel Verisini sona ermeden sonraki 30 gün içinde sileriz. Bu 30 gün içinde bizden dışa aktarma isteyebilirsiniz.
• Açık planı olmayan bir çalışma alanı kullanılmadan kalır. Deneme ya da ücretli plan yeni bir ödeme olmadan bittiğinde çalışma alanı ve verisi yerinde kalır. Açık planı olmayan bir çalışma alanında, neden ne olursa olsun (örneğin deneme süresi bitmiş, abonelik iptal edilmiş ya da ödeme alınamamış olabilir), 150 gün boyunca hiçbir üye ne giriş yapar ne de bir işlem yaparsa sahiplerine e-posta göndeririz; 180. gün durum aynıysa çalışma alanını sileriz .

12.3 Kalıcı silmenin kapsamı. Çalışma alanının ağ geçidimizdeki profili; çalışma alanı için saklanan bütün dosyalar (üretilmiş medya, küçük resimler, geçici dosyalar, marka dosyaları ve kütüphane yüklemeleri); çalışma alanı ve ona bağlı her kayıt; başka bir çalışma alanında üyeliği olmayan kullanıcılar, oturum ve giriş kayıtlarıyla birlikte .

12.4 Yedekler. Veritabanı yedekleri şifrelidir ve kayıt kayıt düzenlenemez. Silinen veri, yedeklerin süresi dolana, yani yedekleme döngüsü eski yedeklerin yerine yenilerini koyana kadar yaklaşık 4 hafta yedeklerde kalabilir. Bu sürede başka hiçbir amaçla kullanılmaz.

12.5 Silmeden sonra sakladıklarımız ve nedeni.

• Çalışma alanını yalnız iç kimlik numarasıyla anan kayıtlar: denetim günlüğü, kredi defteri, yayın olayları ve faturalama uyarıları. Bunları güvenlik, hesap verebilirlik, faturalama ve hukuki talepler için saklarız. Denetim günlüğünde silinen kişinin IP adresi ve tarayıcı bilgisi boşaltılır . Denetim günlüğü 2 yıl saklanır; IP adresleri ve tarayıcı bilgileri 1 yıl sonra boşaltılır .
• Çalışma alanı Shopify'dan geldiyse: Shopify'ın gizlilik isteklerinin kaydı (mağazanın alan adı) ve ücretsiz denemeyi mağaza başına bir kez vermek için kullandığımız, mağazanın Shopify kimliğinin özeti.
• Link (Stripe) ve Shopify'ın kendi koşullarına göre tuttuğu kayıtlar.
• Sosyal ağlarda yayımladığınız içerik orada kalır. Artık istemiyorsanız ağın kendisinde silin.

12.6 İstek üzerine silmeyi size yazılı olarak teyit ederiz.

13. Bilgi ve denetim (GDPR m.28(3)(h))

13.1 GDPR m.28'deki yükümlülüklerimizi yerine getirdiğimizi görebilmeniz için gereken bilgileri sunarız: ekleriyle birlikte bu Sözleşme, Güvenlik sayfası, Alt İşleyenler sayfası ve makul güvenlik anketlerine yazılı yanıtlar; yılda bir anketi ücretsiz yanıtlarız.

13.2 Bugün üçüncü kişilerce verilmiş bir güvenlik sertifikamız ya da denetim raporumuz yoktur.

13.3 Bu bilgiler uyumu göstermeye yetmezse ya da bir denetim makamı gerektirirse, Müşteri Kişisel Verisini işlememizi kendiniz ya da gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla denetleyebilirsiniz. Denetim:

• en az 30 gün önceden yazılı bildirimle;
• kişisel veri ihlali olmadıkça ya da bir denetim makamı istemedikçe 12 ayda en çok bir kez;
• mümkünse uzaktan, çalışma saatlerinde, hizmeti aksatmadan ve diğer müşterilerin verisine erişmeden;
• masrafı size ait olmak üzere yapılır.

13.4 Alt işleyenlerimiz sertifika ya da denetim raporu sunuyorsa, paylaşmamıza izin verilenleri size iletiriz.

14. Platform koşulları

14.1 Sosyal ağların geliştirici koşulları, ağa bağlanan uygulamanın sahibini bağlar. Bugün her ağın izin ekranında ağ geçidimiz Zernio'nun uygulaması görünür.

14.2 Bir ağın koşulları gerektirdiğinde, o ağdan aldığımız veriyi yalnız SemPost'u size sunmak için işleriz, o koşulların izin verdiğinden uzun saklamayız, hesabın bağlantısını kestiğinizde ya da ağ istediğinde sileriz ve yapay zekâ modeli eğitmek için kullanmayız.

14.3 Özellikle:

• LinkedIn: LinkedIn'den alınan veriler, hesabın bağlantısı kesildiğinde ya da silinmesini istediğinizde hemen silinir.
• YouTube: YouTube API Hizmetleri üzerinden alınan veriler, kanalın bağlantısını SemPost'ta kestiğinizde ya da silinmesini istediğinizde 7 gün içinde silinir . Bu verilerden sakladığımız analitik hiçbir zaman 30 günden eski olmaz: erişimi Google hesabınızdan geri alırsanız analitik artık tazelenemez ve 30 gün içinde silinir .
• Google İşletme Profili: sakladığımız analitik de hiçbir zaman 30 günden eski olmaz .
• Öbür ağlar: bağlantısını kestiğiniz hesabın adı, görseli ve analitiği 7 gün içinde silinir .

15. ABD eyalet gizlilik yasaları

15.1 Bir ABD eyaletinin gizlilik yasası Müşteri Kişisel Verisine uygulandığında, o yasa bakımından sizin hizmet sağlayıcınız (service provider) ya da veri işleyeniniz olarak hareket ederiz. Müşteri Kişisel Verisini satmayız ve paylaşmayız (sell or share). O yasanın izin verdiği durumlar dışında, onu sizinle doğrudan iş ilişkimizin dışında ya da SemPost'u size sunmak dışındaki bir amaçla saklamaz, kullanmaz ve açıklamayız. Bu yükümlülükleri artık yerine getiremeyeceksek size bildiririz.

16. Sorumluluk, süre, öncelik sırası ve uygulanacak hukuk

16.1 Sorumluluk. Tarafların bu Sözleşme'den doğan sorumluluğu Kullanım Koşulları'ndaki sınırlara tabidir. Bu sınırlar, GDPR m.82 uyarınca ilgili kişilere karşı sorumluluğu ve SCC'lerin ya da KVKK Standart Sözleşmelerinin sınırlanmasına izin vermediği sorumluluğu kısıtlamaz.

16.2 Süre. Bu Sözleşme, Müşteri Kişisel Verisini sizin için işlediğimiz sürece uygulanır. 12. ve 13. bölümler veri silinene kadar uygulanmaya devam eder.

16.3 Öncelik sırası. Belgeler arasında çelişki olursa şu sıra uygulanır: SCC'ler, UK Addendum ve KVKK Standart Sözleşmeleri; ardından bu Sözleşme; ardından Kullanım Koşulları.

16.4 Uygulanacak hukuk ve yetkili mahkeme. SCC'ler ya da KVKK Standart Sözleşmeleri başkasını gerektirmedikçe bu Sözleşme'ye Amerika Birleşik Devletleri'nin Wyoming eyaleti hukuku, kanunlar ihtilafı kuralları hariç uygulanır; bu Sözleşme'den doğan uyuşmazlıkları Kullanım Koşulları'nda belirtilen mahkemeler çözer: işletme müşterileri için Wyoming eyaletindeki eyalet ve federal mahkemeler.

16.5 Diller. Bu Sözleşme İngilizce ve Türkçe yayımlanır. Hangi sürümün esas alınacağı Kullanım Koşulları'nda yazılıdır.

17. İletişim

• Veri koruma soruları ve itirazlar: [email protected]
• İmzalı nüshalar, SCC'ler ve KVKK Standart Sözleşmeleri: [email protected]
• Güvenlik bildirimleri: [email protected]; ayrıca Güvenlik sayfasına bakın.
• Veri koruma görevlisi: atanmadı. Lütfen [email protected] adresine yazın.
• AB ve Birleşik Krallık temsilcileri: GDPR ve Birleşik Krallık GDPR m.27 kapsamında temsilci atanmadı. Lütfen [email protected] adresine ya da CS Digital Wonders LLC, 30 N Gould St Ste N, Sheridan, WY 82801, ABD posta adresine yazın.

Ek I: İşlemenin ayrıntıları

A. Taraflar

Veri ihracatçısı (veri sorumlusu ya da başka bir veri sorumlusu adına veri işleyen):

• Adı, adresi ve irtibat kişisi: SemPost'ta kayıtlı olduğu şekliyle müşteri ve çalışma alanının sahipleri.
• Faaliyeti: ürünleri hakkında sosyal medya içeriği oluşturmak, planlamak ve yayımlamak ve sosyal medya hesaplarını analiz etmek için SemPost'u kullanır.
• İmza ve tarih: Kullanım Koşulları'nın SemPost'ta kabulü; kabulün sürümü ve zamanı kaydedilir .

Veri ithalatçısı (veri işleyen):

• Adı: CS Digital Wonders LLC (ABD'nin Wyoming eyaleti hukukuna göre kurulmuş limited şirket).
• Adresi: 30 N Gould St Ste N, Sheridan, WY 82801, ABD.
• Veri koruma irtibatı: [email protected].
• Faaliyeti: SemPost'u sunar.
• İmza ve tarih: müşterinin kabul ettiği tarihten itibaren SemPost'u Kullanım Koşulları'na ve bu Sözleşme'ye göre sunarak; tarafımızca imzalanmış bir nüsha istek üzerine verilir (bkz. 1.2).

B. İşlemenin tanımı

İlgili kişi grupları

• SemPost'a getirdiğiniz ya da onunla oluşturduğunuz içerikte görünen, adı geçen ya da tanımlanan kişiler: mağazalarınızdan gelen ürün verisinde, adresiyle içe aktardığınız ürün sayfalarında, yüklediğiniz fotoğraf ve videolarda, gönderi metinlerinde, yorumdan DM mesajlarında ve seslendirme metinlerinde.
• Bağladığınız sosyal medya hesaplarının sahipleri; bunlar içerik üreticileri gibi gerçek kişiler olabilir.
• Gönderileri ve etkileşimleri bağlı hesaplarınızın analitiğinde görünen kişiler; SemPost dışında yapılan gönderiler de buna dahildir (SemPost tek tek takipçiler ya da yorum yapanlar hakkında veri saklamaz).
• Yorumdan DM'i açtığınızda gönderilerinize yorum yapan ve mesaj alan kişiler (SemPost onlar hakkında veri saklamaz; kime mesaj gittiğinin kaydını ağ geçidimiz Zernio tutar).
• Adları içeriğinizde ve içeriğin onay geçmişinde görünen ekip üyeleriniz.

Kişisel veri kategorileri

• Sosyal medya hesaplarının adı, kullanıcı adı, görünen adı ve profil görseli; ağın hesap kimlikleri.
• Fotoğraflarınızdan üretilen görseller dahil, kişilerin görselleri ve videoları.
• Kişisel veri içeren metinler: gönderi metinleri, yapay zekâ yazarına notlar, onay notları, mesajlar, seslendirme metinleri ve marka ayarları.
• İçe aktardığınız ürün sayfalarının adresleri (URL).
• Analitik: gönderi ve hesap başına ölçümler, bağlı hesaplarınızdaki gönderilerden kısa alıntılar (en çok 280 karakter), küçük resimler ve gönderi bağlantıları.
• Şahıs işletmelerinde çalışma alanındaki işletme bilgileri (ör. marka adı) de kişisel veri olabilir.

Özel nitelikli kişisel veriler

SemPost özel nitelikli kişisel veriler ya da çocuklara ait veriler için tasarlanmadı (bkz. 5.3). Bu veriler için Ek II'dekilerin ötesinde özel bir kısıtlama ya da ek güvence sunulmaz.

Aktarımın sıklığı

SemPost'u kullandığınız sürece sürekli.

İşlemenin niteliği

Mağaza ve sosyal ağ bağlantıları ile yüklemeleriniz üzerinden elde etme; saklama ve düzenleme; uyarlama (boyutlandırma, kırpma, yeniden kodlama, yapay zekâ modelleriyle düzenleme ve üretim); yapay zekâ sağlayıcılarına ve ağ geçidimiz üzerinden seçtiğiniz sosyal ağlara iletme; analiz; dışa aktarma ve silme.

Amaçlar

• Gönderi hazırlamak için mağazalarınızdan ve girdiğiniz ürün sayfalarından ürünleri okumak.
• Yapay zekâ sağlayıcılarıyla gönderileriniz için metin, görsel, video, seslendirme ve ortam sesi oluşturmak; kendi kütüphanemizden ya da bir ağın müzik kütüphanesinden müzik eklemek.
• Medya kütüphanenizi tutmak.
• Onay, takvim, planlama ve ağ geçidimiz üzerinden yayın; açarsanız yorumdan DM.
• Bağlı hesaplarınızın analitiği.
• Belirlediğiniz güvenceler içinde gönderi oluşturan otomasyon kuralları.
• Ekibinizle ortak çalışma.
• İstediğiniz destek.
• Hizmetin güvenliği, yedeklenmesi ve geri yüklenmesi.
• İsteğiniz üzerine dışa aktarma ve silme.

Süre ve saklama

SemPost'u kullandığınız sürece ve sonrasında 12. bölümde anlatıldığı gibi silinene kadar. Bu süre içinde:

Alt işleyenlere aktarım

Ek III'te listelendiği gibi: her alt işleyen Müşteri Kişisel Verisini yalnız orada anlatılan iş için ve yalnız o iş için gerektiği sürece işler.

C. Yetkili denetim makamı

Yerleşik olduğunuz AB ya da AEA ülkesinin denetim makamı; AEA'da yerleşik değilseniz ama GDPR size uygulanıyorsa AB temsilcinizin yerleşik olduğu ülkenin makamı. Birleşik Krallık için Bilgi Komiserliği (Information Commissioner's Office). Türkiye için Kişisel Verileri Koruma Kurulu.

Ek II: Teknik ve idari tedbirler

1. Şifreleme ve takma adlandırma

• İletimde şifreleme: kullanıcılarla Cloudflare arasında ve Cloudflare ile sunucularımız arasında TLS (TLS 1.2 ve 1.3, Cloudflare kaynak sunucu sertifikası).
• Veritabanında alan düzeyinde şifreleme (Fernet, anahtar yenilemeli): iki adımlı doğrulama sırları ve saklanan her sır ve erişim anahtarı; örneğin mağaza erişim bilgileri, Shopify erişim anahtarları, ağ geçidimizin anahtarları, sağlayıcılarımızın API anahtarları ve webhook sırları.
• Parolalar Argon2id özetiyle saklanır. Oturum, e-posta bağlantısı ve davet anahtarları yalnız SHA-256 özetiyle saklanır. Kurtarma kodları HMAC değeri olarak saklanır.
• Yedekler, yüklenmeden önce sunucumuzda şifrelenir (AES-256-CBC).
• Cloudflare R2, sakladığı dosyaları şifreler.
• Silmeden sonra saklanan kayıtlar çalışma alanını yalnız iç kimlik numarasıyla anar. Sızmış parola denetimi, parolanın kendisini değil, yalnız SHA-1 özetinin ilk 5 karakterini gönderir.

2. Erişim denetimi ve müşterilerin birbirinden ayrılması

• Çalışma alanı verisi tutan her tabloda etkin ve zorunlu kılınmış PostgreSQL satır düzeyi güvenliği (RLS). Uygulamanın veritabanı rolü kimlik ve platform tablolarını okuyamaz.
• Otomatik bir test, uygulamanın her yolunun doğru yetkiyi istediğini denetler.
• Çalışma alanı içindeki roller: izleyici, editör, yönetici ve sahip.
• Yönetim konsolu ayrı bir adreste, sunucularımızın ayrıca doğruladığı Cloudflare Access arkasında çalışır. Her girişte iki adımlı doğrulama, hassas işlemler için de en çok 15 dakikalık yeni bir kod ister. Oturumlar 30 dakika işlemsizlikten sonra, her durumda en geç 12 saatte sona erer. Destek ekibi hassas ayarları görebilir ama değiştiremez.
• Sosyal ağlarınızın erişim anahtarlarını biz tutmayız; ağ geçidimiz Zernio tutar. Biz yalnız çalışma alanınızın profiliyle sınırlı bir anahtarı şifreli olarak saklarız.
• Kart numaraları bize hiç ulaşmaz: ödeme bilgilerini Link (Stripe) kendi sayfalarında alır.
• Medya dosyaları özel bir depolama kovasında tutulur ve yalnız kısa ömürlü imzalı bağlantılarla açılır: uygulamada 5 dakika, yapay zekâ sağlayıcıları için 1 saat, yedek yayın yolu için 24 saat.
• Shopify uygulaması her isteği Shopify'ın kimlik belirteciyle (ID token) doğrular ve çerez kullanmaz. Shopify uygulama sırrı yalnız mağazanın kendi myshopify.com adresine gönderilir.

3. Oturum açma güvenliği

• Parola kuralları ve bilinen sızmış parolalara karşı denetim; ilk girişten önce e-posta doğrulaması.
• 10 başarısız girişten sonra kilit (15 dakika, her seferinde ikiye katlanır); 3 başarısız denemeden sonra ve kayıt, parola sıfırlama ve davet formlarında Cloudflare Turnstile.
• İsteğe bağlı iki adımlı doğrulama (TOTP), 10 kurtarma kodu ve tekrar kullanıma karşı koruma; bir çalışma alanı bunu bütün üyeleri için zorunlu kılabilir.
• Sunucu tarafında tutulan oturumlar: 7 gün işlemsizlik, en çok 30 gün. Kullanıcılar oturumlarını görebilir ve sonlandırabilir. Parola değiştirmek ya da sıfırlamak diğer oturumları kapatır.
• Oturum çerezleri HttpOnly, Secure ve SameSite=Lax özelliklidir ve __Host- önekini taşır.

4. Bütünlük ve isteklerin korunması

• Siteler arası istek sahteciliğine karşı koruma (köken denetimi ve imzalı çift gönderim değeri).
• Giriş ve hesap işlemleri, davetler, faturalama, yüklemeler, yapay zekâ ile üretim ve maliyetli diğer istekler için hız sınırları.
• Ürün sayfalarının yalnız HTTPS üzerinden ve yalnız herkese açık adreslerden okunması (sunucu taraflı istek sahteciliğine karşı koruma).
• Gelen bütün webhook'larda imza denetimi (Stripe, Shopify ve diğerleri).
• Denetim günlüğüne, kredi defterine ve yayın olaylarına yalnız ekleme yapılabilir; kayıtlar değiştirilemez (veritabanı tetikleyicileri).
• Yüklenen görseller yeniden kodlanır ve üst verileri silinir; videolar yalıtılmış bir süreçte dönüştürülür; boyut ve günlük sınırlar vardır.
• Yüklenen dosyalar açılmadan önce zararlı yazılıma karşı taranır; zararlı bulunan dosya reddedilir ve hiç saklanmaz .
• Yapay zekâ ile üretilen görsel ve videolar C2PA içerik kimlik bilgisi taşır.

5. Ağın ve sistemlerin sağlamlaştırılması

• Sunucularımız web trafiğini yalnız Cloudflare ağından kabul eder ve Cloudflare'den gelen gizli bir başlığı denetler; bilinmeyen alan adlarına gelen istekler reddedilir.
• Veritabanı ve önbellek yalnız sunucunun kendisinden bağlantı kabul eder; önbellek parola ister.
• Her hizmet kısıtlanmış bir systemd yalıtım alanında çalışır.
• Çerçeveye almayı, içerik türü tahminini, yönlendiren bilgisini ve tarayıcı özelliklerini sınırlayan güvenlik başlıkları. HTTP Strict Transport Security (HSTS). Web sitelerimizde uygulanan; uygulama, yönetim konsolu ve Shopify uygulamasında ise nonce'lu olarak yalnız raporlama kipinde gönderilen bir İçerik Güvenliği Politikası (CSP) .
• Sunucularımızın önünde Cloudflare'in hizmet engelleme saldırılarına karşı koruması .

6. Süreklilik ve geri yükleme

• pgBackRest ile Cloudflare R2'ye veritabanı yedekleri: her pazar tam yedek, her gün fark yedeği ve en geç 5 dakikada bir işlem günlüğü (WAL). Dört tam yedek tutulur; bu, yaklaşık 4 haftalık zamanda geri dönüşe (point-in-time recovery) imkân verir.
• Yedeklerin saatlik denetimi ve sağlık denetimi; hata durumunda e-posta uyarısı.
• R2'deki medya dosyaları ve önbellek bu yedeklere dahil değildir.
• Son yedeği her ay ayrı bir kopyaya geri yükleyip canlı veritabanıyla karşılaştıran otomatik bir deneme .
• Hizmeti etkileyen olaylar etkilenen çalışma alanlarına e-postayla duyurulur .

7. Günlük kayıtları

• Uygulama günlükleri yapılandırılmış biçimdedir. E-posta adresleri, erişim anahtarları ve parolalar maskelenir; yalnız listelenmiş alanlar yazılır. Yavaş ya da hatalı isteklerde yalnız yol, yöntem ve durum kodu kaydedilir. Veritabanı hatalarında sorgu değerleri gizlenir.
• Web sunucusu erişim günlüklerinde sorgu dizgileri yoktur.
• Veritabanı günlükleri yarım saniyeden uzun süren sorguları kaydeder; böyle bir kayıt sorguda kullanılan değerleri de içerebilir .
• Sunucu günlükleri dönüşümlü tutulur; eski kayıtlar kendiliğinden silinir .
• Denetim günlüğü yaklaşık 110 tür işlemi zaman, IP adresi ve tarayıcı bilgisiyle kaydeder. Çalışma alanı yöneticileri IP adreslerini kısaltılmış görür . Kayıtlar 2 yıl saklanır; IP adresi ve tarayıcı bilgisi 1 yıl sonra boşaltılır .

8. Veri en aza indirme ve saklama

• Ek I'deki saklama süreleri, veriyi ya da çalışma alanını sildiğinizde ve gece çalışan işlerle uygulanır: örneğin kütüphaneye kaydedilmemiş üretilmiş dosyalar son kullanımdan 30 gün sonra, tamamlanmamış yüklemeler 1 gün sonra kaldırılır .
• Bir kayıt listesi kişisel veri tutan veritabanı alanlarını sayar; otomatik bir test, nasıl silineceğine karar verilmemiş yeni bir alanın eklenmesini engeller .
• SemPost tek tek takipçiler, yorum yapanlar ya da yorumdan DM alıcıları hakkında veri saklamaz. Yorumdan DM mesajlarında bağlantı izleme kapalıdır.
• Adresiyle okunan ürün sayfalarında site yalnız alan adının özetiyle kaydedilir.
• Uygulamada analitik, etiket yöneticisi ya da hata izleme yazılımı yoktur.

9. Güvenli geliştirme

• Yukarıdaki yetki testi dahil otomatik testler.
• Faturalama ve Shopify uygulamasındaki değişikliklerin yayından önce güvenlik incelemesi.
• Derleme hattında gizli bilgi taraması. Derleme sunucusu yalnız dağıtım işini çalıştırır.
• Bağımlılık taraması ve OWASP ASVS 2. seviyenin seçilmiş maddelerine göre iç inceleme .

10. Fiziksel güvenlik

• Sunucularımız Contabo'nun ABD'deki veri merkezlerinde, dosyalarımız Cloudflare'dedir. Fiziksel güvenliği bu sağlayıcılar sağlar.

11. Alt işleyenler

• Veri koruma yükümlülükleri içeren sözleşmeler (bkz. 8. bölüm). Sağlayıcı API anahtarları yapılandırma dosyalarında değil, veritabanımızda şifreli olarak saklanır. Bir yapay zekâ sağlayıcısı depomuzdan bir dosya aldığında 1 saat sonra geçersizleşen bir bağlantı kullanır; diğer görseller isteğin içinde gönderilir.

12. Olaylar

• Olayların ele alınması ve bildirimi 11. bölümde ve Güvenlik sayfasında anlatıldığı gibidir.

Ek III: Alt işleyenler

Alt işleyenlerin listesi Alt İşleyenler sayfasında yayımlanır ve bu Ek III'ü oluşturur. Esas alınan sürüm o sayfadır. Bu sürümün tarihinde listede şunlar yer alır: Contabo (barındırma), Cloudflare (ağ koruması, erişim denetimi, bot koruması ve dosya depolama), Zernio (sosyal medya ağ geçidi), Anthropic (metin için yapay zekâ), Google (görsel ve ses için Gemini API), fal.ai (video, ses ve görsel yapay zekâ modelleri), Resend (e-posta) ve Have I Been Pwned (kişisel veri almayan sızmış parola denetimi). Stability AI yalnız kendi müzik kütüphanemiz için kullanılır ve müşteri verisi almaz. Link (Stripe) ve Shopify bağımsız veri sorumlusudur; ayrı listelenir.

Değişiklikler