# Veri İşleme Eki > GDPR veri işleme yükümlülüklerini kapsayan Shoprocket Veri İşleme Eki. Son güncelleme: 26 Nisan 2026 Bu çeviri size kolaylık sağlamak için sunulmuştur. Hukuken bağlayıcı sürüm: [İngilizce sürüm](https://v3.shoprocket.io/gdpr.md). İki metin arasında fark olursa o geçerlidir. Bu Shoprocket Veri İşleme Eki ("Ek"), sizinle ("Siz") **Shoprocket LTD** (şirket no. 12656598, İngiltere ve Galler'de 20-22 Wenlock Road, Londra, NG 17U adresinde kayıtlı) arasındaki Shoprocket Şartlar ve Koşullarını ("Sözleşme") değiştirir. Shoprocket ile ayrı bir SLA'nız varsa, Sözleşmeye yapılan atıflar o SLA anlamına gelir. Bu Ek, Sözleşmeye tabidir ve Sözleşmeye dahil edilmiştir. Burada tanımlanmayan büyük harfle başlayan her terim, Sözleşmede verilen anlama sahiptir. --- ## Tanımlar - **Hesap Ayarları**: Shoprocket'in Kişisel Verileri nasıl işlediğini yönetmenizi sağlayan Shoprocket Hesabınıza ilişkin yapılandırmalar (güvenlik dahil). - **İş Amaçları**: Sözleşmede tanımlanan Hizmetler. - **Müşteri Hesap Verileri**: Shoprocket ile ilişkinize dair Kişisel Veriler (örn. yetkili kişiler, fatura bilgileri) ile Shoprocket'in hesap yönetimi, kimlik kontrolleri veya yasal gereklilikler için topladığı bilgiler. - **Müşteri Kullanım Verileri**: Hizmetleri kullanımınızla bağlantılı olarak Shoprocket tarafından işlenen kullanım verileri (örn. günlükler, performans ölçümleri, kötüye kullanımı önleme verileri). - **Veri Koruma Mevzuatı**: CCPA, AB GDPR, İsviçre Federal Veri Koruma Yasası, BK GDPR, DPA 2018 ve PECR 2003'ü, her biri güncel haliyle kapsar. Terimler (örn. "Veri Sorumlusu," "Veri İşleyen") AB GDPR'ı izler. - **AEA**: Avrupa Ekonomik Alanı. - **AB SCC'leri**: 2021/914 sayılı Komisyon Kararı uyarınca Standart Sözleşme Maddeleri. - **AEA Dışına Aktarım**: Kişisel Verilerin (AB GDPR kapsamında), AB GDPR'ın 45. Maddesi uyarınca bir yeterlilik kararı olmaksızın AEA dışına aktarılması. - **BK Dışına Aktarım**: Kişisel Verilerin (BK GDPR kapsamında), Birleşik Krallık Dışişleri Bakanının bir yeterlilik kararı olmaksızın BK dışına aktarılması. - **Hizmet Sağlayıcı**: CCPA'da tanımlandığı şekliyle. - **Hizmetler**: Shoprocket'in çevrimiçi mağazalar oluşturma/yönetme ("Shoprocket Mağazası"), ürünleri, ödemeleri, kargoyu, pazarlamayı yönetme araçları ve Shoprocket'in sunabileceği her türlü araç veya hizmet. - **Shoprocket Hesabı**: Hesap Ayarları dahil Hizmetlere erişim sağlayan hesabınız, şu adreste: [https://www.shoprocket.io](https://www.shoprocket.io). - **Shoprocket Gizlilik Politikası**: [https://shoprocket.io/privacy](https://shoprocket.io/privacy) adresindeki, güncel haliyle bildirim. - **Shoprocket Mağazası**: Shoprocket tarafından barındırılan veya kolaylaştırılan e-ticaret siteniz. - **Özel Nitelikli Veri**: AB/BK GDPR'ın (uygulanabilir olduğu şekilde) 4(13), 4(14), 4(15) ve 9. Maddelerinde tanımlandığı şekliyle. - **Standart Sözleşme Maddeleri (SCC'ler)**: İlgili olduğu şekilde AB SCC'leri ve BK SCC'leri. - **BK SCC'leri**: BK ICO'nun IDTA Eki tarafından değiştirilen şekliyle AB SCC'leri. - **Biz/Bize/Bizim**: Shoprocket LTD ("Shoprocket" ve "Shoprocket.io" dahil). - **Siz/Sizin**: Sözleşmede adı geçen sözleşme tarafı. --- ## Müşteri Talimatları Bu Ek ve Sözleşme (Hesap Ayarlarınızdaki talimatlar dahil), Shoprocket'in Kişisel Verileri nasıl işleyeceğine ilişkin **Belgelenmiş Talimatları** oluşturur. Shoprocket, Kişisel Verileri yalnızca talimat verildiği şekilde işler. Bu şartların dışındaki ek talimatlar önceden yazılı anlaşma gerektirir (ve ek ücrete yol açabilir). Talimatlarınız Veri Koruma Mevzuatına aykırıysa veya üzerinde anlaşılan talimatlardan sapıyorsa, Shoprocket bu Eki ve Sözleşmeyi feshedebilir. İşlemenin doğası gereği, Shoprocket genellikle talimatlarınızın yasayı ihlal edip etmediğini değerlendiremez; böyle bir görüşe varırsa sizi bilgilendirir ve talimatları değiştirebilir veya geri çekebilirsiniz. --- ## Veri İşleme 1. **Shoprocket'in İşlemesi** - **Veri İşleyen/Hizmet Sağlayıcı**: Müşteri Hesap Verileri ve Müşteri Kullanım Verileri hariç, Shoprocket Kişisel Verileri (AB/BK GDPR kapsamında) veya kişisel bilgileri (CCPA kapsamında) sizin adınıza işler. - **Bağımsız Veri Sorumlusu**: Shoprocket, doğrudan Mağaza müşterilerinden toplanan Kişisel Veriler için ve Müşteri Hesap Verileri veya Müşteri Kullanım Verileri için bir Veri Sorumlusudur. 2. **Depolama** - Kişisel Veriler şurada saklanır: 1. İrlanda'daki (veya diğer AEA bölgelerindeki) AWS sunucuları, 2. Nürnberg/Falkenstein'daki (Almanya) Hetzner sunucuları. 3. **Kapsam ve Amaç** - Shoprocket, Kişisel Verileri yalnızca belirttiğiniz İş Amaçları için (satın alınan Hizmetlerle tutarlı olarak) gerekli olduğu ölçüde ve Veri Koruma Mevzuatına uygun olarak işler. - Yasa gereği farklı işlemesi gerekiyorsa, Shoprocket yasaklanmadığı sürece sizi bilgilendirir. - Shoprocket, Kişisel Verileri değiştirme, aktarma veya silme ya da yetkisiz işlemeyi durdurma yönündeki yazılı talimatlarınıza derhal uyar. - Shoprocket, ifşa yetkilendirilmedikçe veya yasal olarak gerekmedikçe Kişisel Verileri gizli tutar. - Shoprocket, uyum yükümlülüklerinizde (örn. veri sahibi talepleri, DPIA'lar) ek bir maliyet olmaksızın size yardımcı olur. - Shoprocket, Sözleşmeyi veya bu Eki etkileyebilecek yasal değişiklikleri size bildirir. 4. **Bağımsız Veri Sorumlusu Olarak Shoprocket** - Müşteri Hesap Verileri ve Müşteri Kullanım Verileri bakımından Shoprocket ortak sorumlu değildir, ancak bu verileri sizinle ilişkisini yönetmek, dolandırıcılığı/güvenlik olaylarını önlemek, yasal yükümlülükleri yerine getirmek vb. için Shoprocket Gizlilik Politikasına uygun olarak işler. 5. **CCPA** - Müşteri Hesap Verileri ve Müşteri Kullanım Verileri hariç, Shoprocket CCPA kapsamında Hizmet Sağlayıcınızdır; bu tür kişisel bilgileri "satmaz" ve yalnızca Hizmetleri yerine getirmek veya yasanın başka şekilde izin verdiği ölçüde kullanır. 6. **Eklentiler** - Üçüncü taraf eklentileri ("Eklentiler") her yayıncıyla ayrı EULA'lar kapsamında entegre edebilirsiniz. Shoprocket, gerekli Kişisel Verileri Eklenti Yayıncısına aktarır, ancak onların işlemesinden sorumlu değildir. Shoprocket tarafından pazarlanan mevcut Eklentiler şunları içerir: - **Amazon, eBay, Facebook Marketplace, Google Shopping, Instagram Shopping**: Çok kanallı sipariş karşılama ve senkronizasyon. - **Affirm, Afterpay, Alipay, Apple Pay, Click to Pay, GrabPay, GooglePay, iDEAL, Klarna, Microsoft Pay, PayPal, P24, Sofort, Stripe, WeChat Pay**: Çeşitli yöntemleri/para birimlerini destekleyen ödeme entegrasyonları. - **Zapier**: Shoprocket ile diğer uygulamalar arasındaki veri aktarımlarını/iş akışlarını otomatikleştirir. - Shoprocket ve sizin aranızda SCC'ler varsa, Eklentileri entegre etme talimatınız, SCC'lerin gerektirmesi halinde Kişisel Verilerin bu Eklenti Yayıncılarına aktarılmasına rıza anlamına gelir. 7. **Sorumluluklarınız** - Shoprocket tarafından sizin adınıza toplanan veya işlenen tüm Kişisel Veriler için Veri Sorumlusu sizsiniz. - Bildirim/rıza gerekliliklerini karşılamaktan ve Veri Koruma Mevzuatına uyumu sağlamaktan siz sorumlusunuz. --- ## Kişisel Veri Türleri ve İşleme Amaçları - **Konu**: Hizmetlere, Shoprocket Hesabınız veya Mağazanız dahil, yüklediğiniz Kişisel Veriler. - **Süre**: Sizin tarafınızdan belirlenir (Shoprocket aboneliğinizi veya ilgili entegrasyonları askıya alana/sonlandırana kadar). - **Amaç**: Hizmetleri talimatınız doğrultusunda sağlamak (örn. Shoprocket Mağazanızı/Hesabınızı işletmek). - **İşlemenin Niteliği**: Shoprocket'in e-ticaret platformu (ve herhangi bir Alt işleyen/Eklenti Yayıncısı) Kişisel Verileri saklayabilir veya işleyebilir. - **Kişisel Veri Türleri**: Yüklediğiniz veriler (örn. iletişim bilgileri, müşteri ayrıntıları, işlem kayıtları). - **Veri Sahipleri**: Siz, müşterileriniz, çalışanlarınız, yüklenicileriniz, temsilcileriniz, tedarikçileriniz veya satıcılarınız. --- ## Veri İşleme Güvenliği Shoprocket, Kişisel Verileri yetkisiz veya hukuka aykırı işlemeye, kazara kayba veya imhaya karşı korumak için AB/BK GDPR'ın **32. Maddesi** ile uyumlu uygun teknik ve idari tedbirleri sürdürecektir. Tedbirler (uygun olduğu şekilde) şunları içerir: - Verilerin takma adlandırılması/şifrelenmesi; - Sistemlerin gizliliğini, bütünlüğünü, erişilebilirliğini ve dayanıklılığını sağlama; - Olaylardan sonra veri erişilebilirliğini zamanında geri yükleme; - Bu tedbirleri düzenli olarak test etme, değerlendirme ve ölçme. ### Shoprocket Çalışanları - Shoprocket, Kişisel Verileri işleyen çalışanların, yüklenicilerin ve temsilcilerin eğitimli olmasını, gizlilik yükümlülüğüne bağlı olmasını ve veri koruma yükümlülüklerinin tamamen farkında olmasını sağlar. ### Güvenlik (Yeniden Belirtildi) - Shoprocket, şifreleme, sistem dayanıklılığı, kurtarılabilirlik ve etkinlik testleri dahil yetkisiz işlemeyi önlemek için teknik/idari güvenceleri sürekli günceller. --- ## Kişisel Veri İhlali 1. **Bildirim** - Shoprocket, şunlardan haberdar olursa sizi **72 saat** içinde (ve gereksiz gecikme olmaksızın) bilgilendirir: 1. Kişisel Verilerin kaybı/zarar görmesi; 2. Herhangi bir kazara, yetkisiz veya hukuka aykırı işleme; 3. Bir Kişisel Veri İhlali. 2. **Bilgi** - Shoprocket, olayın bir açıklamasını, etkilenen veri kategorilerini/sayılarını ve etkiyi hafifletmek için alınan veya önerilen tedbirleri sağlar. 3. **İş Birliği** - Shoprocket, soruşturmayı sizinle koordine eder ve yasal olarak gerekmedikçe yazılı rızanız olmadan üçüncü taraflara bilgi vermez. 4. **Maliyetler** - Shoprocket, olay sizin talimatlarınızdan, ihmalinizden veya ihlalinizden kaynaklanmadıkça bu yükümlülükler için makul masrafları karşılar; aksi halde Shoprocket'in makul masraflarını (profesyonel danışmanlar dahil) siz karşılarsınız. --- ## Alt İşleyenler Shoprocket şu anda veri barındırma/işleme, altyapı/ağ hizmetleri veya diğer hizmet işlevleri için şu **Alt İşleyenleri** kullanmaktadır: | **Ad** | **Açıklama** | **Konum** | | --- | --- | --- | | **200OK LLC (Profitwell)** | Abonelik raporlama/analizi. | MA, ABD | | **Amazon Web Services EMEA SARL** | Bulut barındırma, bilgi işlem, depolama. | Lüksemburg, AB | | **Automattic, Inc. (Gravatar)** | Kullanıcıların Shoprocket hesaplarına profil görselleri yüklemesine olanak tanır. | CA, ABD | | **Cloudflare, Inc.** | Ağ güvenliği ve bağlantı. | CA, ABD | | **Crisp IM SAS** | Kullanıcı desteği için canlı sohbet ve müşteri mesajlaşma uygulaması. | Fransa, AB | | **Facebook Technologies Ireland** | Dönüşümler, reklam optimizasyonu, hedef kitle oluşturma için Facebook Pikselleri. | İrlanda, AB | | **Google Ireland Limited** | Google Analytics (davranış analizi), Adwords (reklam yerleştirme/gelir elde etme). | İrlanda, AB | | **GmbH** | Bulut barındırma, bilgi işlem ve depolama. | Almanya, AB | | **TPS Unlimited, Inc. (Taxjar)** | Shoprocket Mağazalarında AB KDV'si ve ABD satış vergisi için vergi otomasyonu. | CA, ABD | | **Twilio, Inc. (Sendgrid)** | Çok kanallı mesajlaşma (e-posta, SMS, WhatsApp). | İrlanda, AB | | **Twitter, Inc.** | Dönüşüm takibi ve reklam performansı ölçümleri için Twitter Pikseli. | CA, ABD | Yukarıdaki Alt İşleyenleri kullanması için Shoprocket'i yetkilendirir ve Shoprocket'in başkalarını eklemesi için genel yetki verirsiniz ("Yetkili Alt İşleyenler"). Shoprocket, yeni bir Alt İşleyen kullanmadan önce (web sitesi, e-posta veya Hesap bildirimi aracılığıyla) en az **30 gün** önceden bildirimde bulunur. Bildirimden itibaren **10 gün** içinde, makul veri koruma gerekçeleriyle yazılı olarak itiraz edebilirsiniz. Temel bir Alt İşleyen söz konusuysa ve **90 gün** içinde alternatif bulunamazsa, ilgili Hizmetleri sonlandırabilir veya feshedebilirsiniz (borçlu olduğunuz ücretleri ödemeye devam ederek). 10 gün içinde itiraz etmezseniz, yeni Alt İşleyen onaylanmış sayılır. Shoprocket bir Alt İşleyen görevlendirdiğinde: - Erişimi yalnızca Hizmetleri sağlamak veya geliştirmek için gerekli olanla sınırlar; - Onlara aynı veri koruma yükümlülüklerini getirir; - Onların uyumundan sorumlu olmaya devam eder. SCC'ler geçerliyse, yetkilendirmeniz 9(c) Maddesi veya ilgili BK SCC maddeleri uyarınca önceden yazılı rıza sayılır. Shoprocket, alt işleme sözleşmelerini sizinle paylaşmadan önce temel olmayan ticari ayrıntıları karartabilir. --- ## Kişisel Verilerin Aktarımı Shoprocket, Hizmetleri sağlamak için Kişisel Verileri AEA, BK veya İsviçre dışına aktarabilir (örn. ABD'deki bazı Eklenti Yayıncıları/Alt İşleyenler). Yeterlilik kararının geçerli olmadığı durumlarda Shoprocket, Veri Koruma Mevzuatı uyarınca uygun güvenceleri sağlayacaktır. - **AEA Dışına Aktarımlar**: AB SCC'leri kapsamındadır (Sorumlu olarak Shoprocket için Birinci Modül, İşleyen olarak Shoprocket için İkinci Modül). Bazı maddeler (örn. 7. Maddenin katılma hükmü) uygulanmaz; uyuşmazlıklar İrlanda hukuku/mahkemeleri altındadır. - **BK Dışına Aktarımlar**: IDTA Eki kapsamındadır. - **İsviçre'den Aktarımlar**: AB SCC'lerine benzer, İsviçre FADP için değişikliklerle. - **Tamamlayıcı Tedbirler**: - Bu Ekin tarihi itibarıyla resmi bir devlet veri erişim talebi bulunmamaktadır. - Verilerinizi ifşa etmeye zorlanırsa, Shoprocket sizi bilgilendirir (yasaklanmadıkça) ve koruyucu tedbirler aramanıza yardımcı olur. - Shoprocket ve siz, ithalatçı ülkedeki yasaların eşdeğer koruma sağlayıp sağlamadığını veya ek tedbirler gerektirip gerektirmediğini düzenli olarak görüşürsünüz. - Herhangi bir aktarım mekanizması geçerliliğini yitirirse veya bir Denetim Makamı onu askıya alırsa, Shoprocket alternatif düzenlemeler uygulayabilir veya aktarımları askıya alabilir. AEA dışındaki bir Alt İşleyeni/Eklentiyi onayladığınızda, Shoprocket'in sizin adınıza SCC'leri imzalamasını da yetkilendirmiş olursunuz. --- ## Şikayetler, Veri Sahibi Talepleri ve Üçüncü Taraf Hakları Shoprocket, şunlar için ihtiyaç duyduğunuz her türlü bilgiyi veya yardımı derhal size sağlar: 1. Veri Sahibi haklarını (erişim, düzeltme, silme, taşınabilirlik, itiraz vb.) yerine getirmek. 2. Düzenleyicilerden gelen bilgi/değerlendirme bildirimlerini ele almak veya bunlara uymak. Shoprocket, işlemeyle ilgili şikayetler veya iletişimler aldığında sizi derhal, bir Veri Sahibi talebi aldığında ise **14 gün** içinde bilgilendirir. Shoprocket yanıt vermeye yardımcı olur ve yasa veya talimatlarınız gerektirmedikçe Kişisel Verileri üçüncü taraflara ifşa etmez. --- ## Süre ve Fesih Bu Ek, Sözleşme yürürlükte olduğu sürece veya Shoprocket ilgili Kişisel Verileri elinde tuttuğu sürece yürürlükte kalır. Veri koruması için geçerliliğini sürdürmesi gereken hükümler yürürlükte kalır. Bu DPA'nın herhangi bir esaslı ihlali, Sözleşmenin esaslı ihlali sayılır ve ek bir sorumluluk olmaksızın derhal fesih hakkı verir. Veri Koruma Mevzuatındaki değişiklikler bir tarafın yükümlülüklerini yerine getirmesini engellerse, taraflar uyum sağlanana kadar işlemeyi askıya alabilir. **90 gün** içinde çözülmezse, her iki taraf da bildirimle derhal yürürlüğe girecek şekilde feshedebilir. --- ## Verilerin İadesi ve İmhası - **Talep üzerine**, Shoprocket size (veya yazılı olarak belirlediğiniz bir üçüncü tarafa) Kişisel Verilerin kopyalarını veya bunlara erişimi, belirttiğiniz biçimde (makul olduğunda) sağlar. - **Fesih üzerine**, yasal olarak devam eden saklama gerekmedikçe Shoprocket Kişisel Verileri iade eder veya siler. Silme uygulanamaz veya yasa dışıysa Shoprocket sonraki işlemeyi engeller ve verileri korumaya devam eder. - **SCC Onayları**: SCC'ler geçerliyse, Shoprocket yazılı talebiniz üzerine AB SCC'lerinin (veya BK SCC'lerinin) 8.1(d) Maddesi uyarınca silmeyi onaylar. - Herhangi bir yasa/düzenleme Shoprocket'in belirli verileri saklamasını gerektiriyorsa, Shoprocket dayanağı ve zaman çizelgesini size bildirir, ardından artık gerekmediğinde siler. - Shoprocket, silmeyi tamamladıktan sonra **30 gün** içinde silmeyi onaylar. --- ## Kayıtlar Shoprocket, tüm Kişisel Veri işlemelerinin (örn. güvenlik tedbirleri, alt işleyenler, işleme amaçları, uluslararası aktarımlar) ayrıntılı, doğru ve güncel kayıtlarını tutar. Bu kayıtlar, Shoprocket'in uyumunu doğrulamanıza olanak tanımalıdır. Talep üzerine kopyalar sağlanır. --- ## Garantiler Shoprocket şunları garanti eder: 1. Kişisel Verilere erişimi olan çalışanları, alt yüklenicileri veya temsilcileri güvenilir, itibarlı ve uygun şekilde eğitilmiştir. 2. Kişisel Verileri Veri Koruma Mevzuatına ve ilgili yasalara tam uyumla işleyecektir. 3. Yasanın kararlaştırılan Hizmetlerin sağlanmasını engellediğine inanmak için bir nedeni yoktur. 4. Teknolojiyi ve maliyetleri göz önünde bulundurarak, yetkisiz işlemeyi veya kazara zarar/kaybı önlemek için uygun tedbirleri alacak ve riske ve verinin hassasiyetine orantılı güvenlik sağlayacaktır. --- ## Yürütme ve Değişiklikler Sözleşmeyi imzalayarak bu Eki kabul eder ve onunla bağlı olursunuz. Shoprocket, yasal veya düzenleyici nedenlerle gerekirse bu Eki **30 gün yazılı bildirimle** güncelleyebilir. İtiraz eder ve karşılıklı bir çözüme ulaşılamazsa, bu süre içinde yazılı bildirimle etkilenen Hizmetleri feshedebilirsiniz (doğan ücretleri ödeyerek). Bu fesihten başka bir talep doğmaz. ## Ek A **Shoprocket Güvenlik Standartları** (Burada tanımlanmayan büyük harfle başlayan terimler, Ekte verilen anlamlara sahiptir.) Bu Ek, Shoprocket'in şu amaçlarla aldığı teknik ve idari tedbirleri özetler: 1. Kişisel Verileri kazara veya hukuka aykırı kayba, erişime veya ifşaya karşı korumak; 2. Güvenliğe yönelik öngörülebilir riskleri belirlemek ve Hizmetlere (Shoprocket hesabınız dahil) yetkisiz erişimi önlemek; 3. Risk değerlendirmesi ve testler aracılığıyla güvenlik risklerini en aza indirmek. Shoprocket, bu bilgi güvenliği uygulamalarını denetlemek ve ilgili sorulara yanıt vermek üzere bir veya daha fazla çalışan görevlendirir. --- ## 1. Paylaşılan Sorumluluk Modeli Shoprocket, şunlar tarafından barındırılan **bulut tabanlı, SaaS** bir uygulamadır: - eu-west-1 bölgesinde (İrlanda) **Amazon Web Services (AWS)** - Falkenstein, Almanya'da **Hetzner Online** **AWS**, ana Shoprocket platformunu, altyapıyı ve veri barındırmayı çalıştırır. **Hetzner Online**, görseller, dijital indirmeler, günlükler ve faturalar için ek özel sunucu alanı sağlar. Bu modelde: - **Shoprocket**, uygulama düzeyindeki güvenliği (örn. kullanıcı erişimi, uygulama yamaları) yönetir. - **AWS / Hetzner**, fiziksel güvenliği ve altta yatan bulut ortamını yönetir. AWS'nin ve Hetzner'in güvenliği hakkında daha fazla ayrıntı için lütfen ilgili belgelerine bakın. --- ## 2. AWS ve Hetzner Online Sunucuları ### AWS Shoprocket, BK GDPR'ın 28(3)(c) ve 32. Maddeleri uyarınca dikkatli bir inceleme sonrasında AWS'yi seçmiştir. AWS birçok standartta (örn. SOC 1/2/3, ISO 27001/27017/27018, PCI DSS, FedRAMP, HITRUST) sertifikalıdır ve kapsamlı uyumluluk belgeleri sağlar. Shoprocket, AWS'yi Kişisel Verileri yalnızca AB/AEA'da saklayacak şekilde yapılandırır. ### Hetzner Online DIN ISO/IEC 27001 sertifikalı Hetzner Online, belirli veri yedekleri ve günlükler için özel sunucu alanı sağlar. Hetzner Online'ın Nürnberg ve Falkenstein'daki veri merkezleri, bir Bilgi Güvenliği Yönetim Sistemi (ISMS) uygulayan üçüncü taraflarca denetlenmiş ve sertifikalandırılmıştır. --- ## 3. Shoprocket Uygulamasının Tasarımı, Bütünlüğü ve Erişilebilirliği - **Mimari**: Bir JavaScript çerçevesiyle oluşturulan Shoprocket uygulaması, MySQL için Amazon'un İlişkisel Veritabanı Hizmetine (Amazon RDS) dayanır. - **Yüksek Performans ve Yedeklilik**: AWS yük dengelemeyi otomatik olarak yönetir ve Shoprocket, Amazon S3 üzerinde günlük yedekler tutar. Yedekler dayanıklılık için farklı AWS bölgelerinde saklanır. Ayrıca yedekler Hetzner Online'ın özel sunucularında (RAID-1 disk sistemleriyle) saklanır. - **Tasarım Gereği Güvenlik**: Shoprocket, bilinen web güvenlik açıklarını (örn. OWASP İlk On) düzenli olarak kontrol eder ve XSS koruması ile temizleme uygular. Uzman bir üçüncü taraf, kodu ve altyapıyı her yıl güvenlik açıkları için test eder; buna bir üçüncü taraf güvenlik açığı tarama hizmeti eşlik eder. --- ## 4. Şifreleme - **Beklemede**: AWS/Hetzner üzerindeki Kişisel Veriler **AES-256** veya daha yüksek bir standartla şifrelenir. - **Anahtar Yönetimi**: AWS Key Management Service (KMS), hiç kimsenin (AWS personeli dahil) düz metin anahtarlara erişememesini sağlar; anahtarlar yıllık olarak döndürülür. Hetzner, tam disk AES-256 şifrelemesi ile zorunlu kimlik doğrulaması uygular. - **Aktarım Sırasında**: Tüm harici veri aktarımları **TLS 1.2+** kullanır. API'ler ve web arayüzleri HTTPS gerektirir (şifrelenmemiş bağlantı yok). --- ## 5. Sunucu Konumlarının AEA/AB ile Sınırlandırılması Shoprocket verileri **yalnızca AEA'da** saklar (İrlanda'da AWS, Almanya'da Hetzner); bu da AEA dışı veri aktarımlarına bağlı riskleri (örn. Schrems II kararına uyum) en aza indirir. --- ## 6. Erişilebilirlik Bölgeleri Shoprocket'in ön uç/arka uç sistemleri, birden fazla erişilebilirlik bölgesine (hem AWS hem Hetzner) **yedekli olarak dağıtılmıştır**. Her bölgede birden fazla ISS, güç kaynağı ve yüksek hızlı bağlantı bulunur; bu da yüksek erişilebilirlik ve en iyi performansı sağlar. --- ## 7. Saldırı Tespiti Shoprocket şunları izlemek için bir **Saldırı Tespit Sistemi (IDS)** kullanır: - Olağandışı girdiler için günlük dosyaları, - Dosya bütünlüğü değişiklikleri, - Ağ trafiği (sahtecilik, bilinen istismarlar, rootkit'ler), - Bağlantı noktası değişiklikleri ve - AWS hesap olayları (örn. yapılandırmadaki değişiklikler). Kritik anomaliler otomatik önleyici tedbirleri tetikler. IDS ayrıca PCI DSS 3.0 gerekliliklerini de destekler. --- ## 8. Günlük Kaydı / Denetim İzi Shoprocket şunları kaydeder: - Sistem olayları, - Hatalar, - Kullanıcı etkinliği, - Veritabanı oturum açmaları/istekleri, - Diğer güvenlikle ilgili olaylar. Shoprocket, şeffaflık ve adli analiz için **AWS CloudTrail** kullanarak bulut ortamlarındaki tüm olayları kaydeder. --- ## 9. İzleme Shoprocket, erişilebilirliği ve performansı sağlamak için birden fazla **izleme aracı** kullanır ve şunları takip eder: - **Erişilebilirlik**: Uygulama erişilebilirliği, arka uç/sistem sağlığı; - **Kaynaklar**: CPU, ağ arayüzleri, depolama kullanımı; - **Performans**: Uygulama/veritabanı yanıt süreleri; - **Güvenlik**: IDS durumu, sistem güncellemeleri, hata/erişim günlükleri. Shoprocket personeli ayrıca güvenlik güncellemelerini, güvenlik açığı raporlarını ve ilgili güvenlik bloglarını (OWASP gibi) izler. --- ## 10. Güvenlik Denetimleri ve Sızma Testleri Shoprocket, düzenli aralıklarla **iç ve dış güvenlik testleri** gerçekleştirir. Dış sağlayıcılar güvenlik açıklarını kontrol ederken, iç denetimler teknik ve idari tedbirlerin etkinliğini değerlendirir. --- ## 11. Değişiklik Yönetimi Shoprocket, kod değişiklikleri için üretimi yansıtan bir hazırlık ortamıyla birlikte sürüm kontrollü **depolar** tutar. Değişiklikler dağıtımdan önce test edilir ve zaman/içerik izlenebilirliği sağlanır. --- ## 12. Erişim Kontrolü - **Bilmesi Gereken Prensibi**: Sistem erişimi yalnızca rolü gerektiren çalışanlara verilir. - **IAM Sistemleri**: Erişim kontrolü AWS/Hetzner kimlik yönetimini kullanır. - **Güvenlik**: Arka uç sistemlerine yalnızca güvenli, kimliği doğrulanmış bağlantılarla erişilebilir. Çok sınırlı sayıda personelin tanılama amacıyla verilere doğrudan erişimi vardır; bu erişim günlüğe kaydedilir ve izlenir. ## Ek B **Sınır Ötesi Aktarımlar** ## BÖLÜM 1 - AEA dışına aktarımlar 1. **Standart Sözleşme Maddelerinin (SCC'ler) Ek I.A'sı** - **Veri İhracatçısı**: Siz (Sözleşme uyarınca). - İletişim bilgileri: Sözleşmedeki gibi. - Rol: Veri Sorumlusu. - **Birinci Modül**: Veri İthalatçısı bir Veri Sorumlusudur (Müşteri Hesap Verileri ve Müşteri Kullanım Verileri için). - **İkinci Modül**: Veri İthalatçısı bir Veri İşleyendir (diğer tüm Kişisel Veriler için). - İmza/Tarih: Sözleşmeye ve DPA'ya taraf olarak, Veri İhracatçısı SCC'leri Yürürlük Tarihi itibarıyla imzalamış sayılır. - **Veri İthalatçısı**: Shoprocket. - İletişim bilgileri: Sözleşmedeki gibi. - İmza/Tarih: Sözleşmeye ve DPA'ya taraf olarak, Veri İthalatçısı SCC'leri Yürürlük Tarihi itibarıyla imzalamış sayılır. 2. **SCC'lerin Ek I.B'si** - Veri Sahipleri: Ek madde 4.6'da açıklanmıştır. - Kişisel Veri kategorileri: Ek madde 4.5'te açıklanmıştır. - Aktarılması amaçlanan Özel Nitelikli Veri yoktur. - Sıklık: Sözleşmenin süresi boyunca sürekli. - Nitelik: Ek madde 4.4'e bakın. - Amaç: Ek madde 4.3'e bakın. - Saklama: Aksi belirtilmedikçe Sözleşmenin süresi. - Alt işleyen aktarımları: Konu, nitelik ve süre Ek madde 9'a göre. 3. **SCC'lerin Ek I.C'si** - Yetkili Denetim Makamı: Ekin 10(e) maddesindeki gibi. - **Shoprocket Güvenlik Standartları (Ek A)**, SCC Ek II gerekliliklerini karşılar. 4. **Çelişki** - SCC'ler ile DPA veya Sözleşme arasında herhangi bir çelişki ortaya çıkarsa, SCC'ler önceliklidir. --- ## BÖLÜM 2 - BK dışına aktarımlar 1. **IDTA Eki**, **21 Mart 2022** tarihinden geçerli olmak üzere BK Dışına Aktarımlar için geçerlidir. 2. Sözleşmede veya DPA'da tanımlanmayan terimler, **Ek 2'nin 2. Bölümündeki** (Zorunlu Maddeler) anlamı izler. ### Bölüm 1: Tablolar ### IDTA Ekinin Tablo 1'i 1. **Tablo 1** - **Veri İhracatçısı**: Siz (Sözleşme uyarınca). - İletişim bilgileri: Sözleşmedeki gibi. - İmza/Tarih: Sözleşmeye ve Eke taraf olarak, İhracatçı IDTA Ekini Yürürlük Tarihi itibarıyla imzalamış sayılır. - **Veri İthalatçısı**: Shoprocket. - İletişim bilgileri: Sözleşmedeki gibi. - İmza/Tarih: Sözleşmeye ve DPA'ya taraf olarak, İthalatçı IDTA Ekini Yürürlük Tarihi itibarıyla imzalamış sayılır. ### IDTA Ekinin Tablo 2'si 1. **Tablo 2** - **Onaylı AB SCC'leri**: Bu Ek için yürürlükte olan Onaylı AB SCC'lerindeki maddeler/modüller. - Kullanılan modüller/maddeler: - Modül 1 ve Modül 2, Madde 7 ve Madde 11 (seçenek) uygulanmaz, Madde 9a, 30 günlük bildirim süresiyle Genel Yetkilendirmedir (Ek madde 9.2). - İthalatçıdan gelen Kişisel Verilerin İhracatçı verileriyle birleştirilmesi yoktur. ### IDTA Ekinin Tablo 3'ü 1. **Ek I.A** - **Veri İhracatçısı**: Siz (sorumlu). - **Veri İthalatçısı**: Shoprocket (Müşteri Hesap/Kullanım Verileri için sorumlu; diğer Kişisel Veriler için işleyen). - İmza/Tarih: Sözleşmeye ve DPA'ya taraf olunduğunda imzalanmış sayılır. 2. **Ek I.B** - Veri sahipleri, veri kategorileri, Özel Nitelikli Veri bulunmaması, sürekli aktarımlar, işlemenin niteliği/amacı ve saklama, Ekin 4.4, 4.3, 4.5, 4.6 maddeleriyle eşleşir. - Alt işleyen bilgileri Ek madde 9'a göredir. - Ek III (Alt İşleyenler listesi), Shoprocket genel yetkilendirme kullandığı için uygulanmaz. ### IDTA Ekinin Tablo 4'ü 1. İthalatçı, bu IDTA Ekinin 26. maddesi uyarınca bu IDTA Ekini sona erdirebilir. ### Bölüm 2: Zorunlu Maddeler 1. Her Taraf, diğer Tarafın kabulüne karşılık bu IDTA Eki şartlarıyla bağlıdır ve bu, veri sahiplerinin belirtilen hakları uygulatmasına olanak tanır. 2. Bu IDTA Ekini akdetmek, Onaylı AB SCC'lerini imzalamaya (Ek 1A/Madde 7 uyarınca gereken herhangi bir imza dahil) eşdeğerdir. ### Yorum 1. Onaylı AB SCC'lerindeki terimler burada aynı anlama gelir; ilgili ek terimler (örn. "Ek AB SCC'leri," "Onaylı Ek," "BK Veri Koruma Yasaları") bu IDTA Eki içinde tanımlanmıştır. 2. Bu IDTA Eki, BK Veri Koruma Yasalarıyla tutarlı şekilde yorumlanmalı ve "Uygun Güvenceleri" karşılamalıdır. 3. Onaylı AB SCC'lerinde veya Onaylı Ekte izin verilmeyen herhangi bir değişiklik geçersizdir. Çelişen hükümler, değiştirilmemiş SCC şartlarına döner. 4. BK Veri Koruma Yasalarıyla bir çelişki varsa, sonuncusu geçerlidir. 5. Herhangi bir belirsizlik, BK Veri Koruma Yasalarıyla en iyi uyumu sağlayacak şekilde çözülür. 6. Mevzuata yapılan atıflar, revize edilmiş veya konsolide edilmiş sürümleri içerir. ### Hiyerarşi 1. Onaylı AB SCC'lerinin 5. Maddesi, diğer sözleşmelere üstün geldiklerini belirtir, ancak Kısıtlı Aktarımlar için aşağıdaki 17. Bölümdeki hiyerarşi geçerlidir. 2. Onaylı AB SCC'leriyle tutarsız veya çelişkiliyse, SCC'lerin veri sahiplerine **daha fazla koruma** sağladığı durumlar hariç Onaylı Ek geçerlidir; bu durumda SCC şartları geçerlidir. 3. Buradaki hiçbir şey, tarafların AB GDPR uyumu için kullandığı SCC'leri etkilemez. ### AB SCC'lerinin Dahil Edilmesi ve Değiştirilmesi 1. IDTA Eki, Onaylı AB SCC'lerini, BK ile ilgili aktarımlar için işlev görmeleri, 5. Maddenin hiyerarşisini geçersiz kılmaları ve **İngiliz hukuku/mahkemelerine** tabi olmaları (İskoçya veya Kuzey İrlanda için aksi seçilmedikçe) için gerekli değişikliklerle dahil eder. 2. Belirli bir alternatif üzerinde anlaşılmadıysa, 22. Bölüm geçerlidir. 3. 19. Bölümde gerekenin ötesinde Onaylı AB SCC'lerinde başka değişikliğe izin verilmez. 4. Ek AB SCC'lerine yapılan **Değişiklikler**; BK Veri Koruma Yasalarına yapılan atıflara ilişkin açıklamaları, (AB) 2016/679 sayılı Tüzüğe yapılan atıfların "BK Veri Koruma Yasaları" ile değiştirilmesini, (AB) 2018/1725 sayılı Tüzüğe yapılan atıfların kaldırılmasını, 17/18. Maddenin İngiliz hukuku/mahkemelerine uyarlanmasını vb. içerir. Dipnotlar, 8, 9, 10, 11 numaralı dipnotlar dışında IDTA'nın parçası değildir. ### Bu IDTA'ya Yapılan Değişiklikler 1. Taraflar, 17. veya 18. Maddeleri İskoç veya Kuzey İrlanda mahkemelerine atıf yapacak şekilde değiştirebilir. 2. Taraflar ayrıca, aynı düzeyde korumanın sürmesini sağlayarak, karşılıklı yazılı anlaşmayla Tablo biçimlendirmesini ayarlayabilir. 3. ICO, zaman zaman revize edilmiş bir Onaylı Ek yayınlayabilir; bu, yürürlük tarihinden itibaren bu IDTA Ekini otomatik olarak değiştirir ve tarafların bir inceleme yapmasını gerektirebilir. 4. ICO'nun değişiklikleri bir tarafın maliyetlerini veya riskini önemli ölçüde ve orantısız biçimde artırıyorsa ve bu maliyetlerin/risklerin azaltılması mümkün değilse, o taraf revize edilmiş Ek yürürlüğe girmeden önce diğer tarafa makul bir bildirimde bulunarak bu IDTA'yı sona erdirebilir. 5. Değişiklikler için hiçbir üçüncü tarafın rızası gerekmez, ancak değişiklikler bu IDTA Ekinin şartlarını karşılamalıdır. --- - HTML version: https://v3.shoprocket.io/tr/gdpr - Language: Türkçe (tr) - Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Deutsch](https://v3.shoprocket.io/de/dsgvo.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Español](https://v3.shoprocket.io/es/rgpd.md), [Français](https://v3.shoprocket.io/fr/rgpd.md), [עברית](https://v3.shoprocket.io/he/gdpr.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/gdpr.md), [Italiano](https://v3.shoprocket.io/it/gdpr.md), [日本語](https://v3.shoprocket.io/ja/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Norsk](https://v3.shoprocket.io/nb/gdpr.md), [Nederlands](https://v3.shoprocket.io/nl/avg.md), [Polski](https://v3.shoprocket.io/pl/rodo.md), [Português](https://v3.shoprocket.io/pt/rgpd.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [中文](https://v3.shoprocket.io/zh/gdpr.md)