Gizlilik Politikası ve Kişisel Verilerin Korunması Hakkında Aydınlatma Metni

1.1. 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca veri sorumlusu, Sultanselim Mah. Yamaç Sk. No:6 D:3, 34415 Kağıthane/İstanbul adresinde mukim, 0769-2498-9370-0001 MERSİS numaralı ShineSoft Yazılım Hizmetleri ve Ticaret Limited Şirketi'dir ("ShineSoft" veya "Şirket").

1.2. ShineSoft, BugiBox marka ve alan adı altında işletilen internet sitesi ve mobil uygulama ("Platform") aracılığıyla, aşağıda belirtilen kişisel verileri, yine aşağıda belirtilen amaçlar ve hukuki sebepler çerçevesinde işlemektedir.

1.3. İşbu metinde kullanılan "Üye", "Alıcı", "Satıcı", "Ürün" ve "Sipariş" ifadeleri, Platform'da yayımlanan Kullanıcı Sözleşmesi'nde tanımlanan anlamları haizdir.

2.1. Kimlik Verileri: ad, soyad, Platform'da görüntülenen kullanıcı adı.

2.2. İletişim Verileri: elektronik posta adresi, cep telefonu numarası, teslimat ve gönderi adresleri (il, ilçe, açık adres, bina ve daire numarası, posta kodu).

2.3. Müşteri İşlem Verileri: Platform üzerinde oluşturulan ilanlar, verilen ve alınan teklifler, siparişler, sipariş durum geçmişi, gönderi ve teslimat kayıtları, iade talepleri ve bunlara ilişkin yazışmalar, değerlendirme ve yorumlar.

2.4. Finansal Veriler: Satıcı sıfatını haiz Üyeler bakımından IBAN bilgisi ile ödeme kuruluşu nezdinde yürütülen alt üye işyeri sürecine ilişkin kayıtlar; işlem tutarları, hizmet bedeli ve iade tutarlarına ilişkin kayıtlar.

2.5. Ödeme kartı numarası, son kullanma tarihi ve güvenlik kodu gibi kart verileri ShineSoft tarafından hiçbir surette kaydedilmemekte, saklanmamakta ve görüntülenmemektedir. Söz konusu veriler doğrudan anlaşmalı ödeme kuruluşunun altyapısı üzerinden işlenmektedir.

2.6. Görsel ve İşitsel Veriler: profil fotoğrafı, ilanlara yüklenen ürün görselleri ve videoları, mesajlaşma kapsamında paylaşılan görseller.

2.7. İşlem Güvenliği Verileri: parola özet değeri (parolalar hiçbir surette açık metin olarak saklanmaz), oturum ve yetkilendirme bilgileri, son giriş tarihi, hesap durumu kayıtları.

2.8. Kullanım ve Trafik Verileri: ziyaret edilen sayfa adresleri, yönlendiren alan adı, ziyaret tarihi ve ziyaretçi ayırt edici değeri. Ziyaretçi ayırt edici değeri, IP adresi ve tarayıcı bilgisinin gizli bir anahtar ile birlikte tek yönlü özetlenmesi suretiyle günlük olarak üretilmekte olup, IP adresi ham haliyle kaydedilmemektedir.

2.9. Pazarlama ve Bildirim Verileri: bildirim tercihleri, anlık bildirim (push) aboneliğine ilişkin cihaz tanımlayıcıları, tercih edilen dil.

2.10. Talep ve Şikâyet Yönetimi Verileri: destek kanalları üzerinden iletilen talep, şikâyet ve bunlara verilen yanıtlar.

2.11. **Cihaz tanıma sinyalleri (yalnızca değerleme sırasında, tarayıcıda):** "Ürünüm Kaç Para Eder?" akışında, satmak istediğiniz cihazın markasını ve modelini size sormak yerine önerebilmek için tarayıcınızın kendiliğinden bildirdiği bilgiler (kullanıcı aracısı, ekran çözünürlüğü ve piksel oranı, platform, ekran kartı adı, dokunmatik desteği) **yalnızca cihazınızın tarayıcısında** okunur. Bu sinyaller sunucularımıza **gönderilmez**, **saklanmaz** ve kimlik teşhisi ya da izleme amacıyla **kullanılmaz**; sunucuya yalnızca sizin onayladığınız marka ve model bilgisi ulaşır. Öneriyi reddedebilir, her alanı elle değiştirebilirsiniz.

3.1. Üyelik kaydının oluşturulması, hesabın yönetilmesi, kimlik doğrulama ve yetkilendirme işlemlerinin yürütülmesi.

3.2. Elektronik posta adresinin doğrulanması ve hesap güvenliğine ilişkin bildirimlerin yapılması.

3.3. Platform üzerinde ilan oluşturulması, ilanların yayımlanması, aranabilir hale getirilmesi ve içerik denetiminin yapılması.

3.4. Alıcı ile Satıcı arasındaki teklif, sipariş ve mesajlaşma süreçlerinin yürütülmesi.

3.5. Ödeme işlemlerinin gerçekleştirilmesi, bedelin Satıcı adına tahsil edilmesi, güvenli ödeme sürecinin işletilmesi ve Satıcı'ya yapılacak aktarımların yürütülmesi.

3.6. Gönderi oluşturulması, taşıma ve teslimat süreçlerinin yürütülmesi ile gönderi durumunun taraflara bildirilmesi.

3.7. Sipariş iptali, iade, uyuşmazlık ve inceleme süreçlerinin yürütülmesi ve sonuçlandırılması.

3.8. Talep, şikâyet ve destek başvurularının karşılanması ve takibi.

3.9. Platform'un işletilmesi, iyileştirilmesi, hata ve arızaların tespiti ile giderilmesi, performans ve kullanım istatistiklerinin oluşturulması.

3.10. Dolandırıcılık, kötüye kullanım, sahte ilan ve mevzuata aykırı kullanımın önlenmesi ile Platform güvenliğinin sağlanması.

3.11. Açık rıza bulunması halinde, ticari elektronik ileti gönderilmesi ve tanıtım faaliyetlerinin yürütülmesi.

3.12. Mevzuattan kaynaklanan saklama, bilgilendirme, raporlama ve resmî makamlara bilgi verme yükümlülüklerinin yerine getirilmesi.

3.13. Hukuki iddia ve savunma haklarının kullanılabilmesi ile uyuşmazlıkların takibi.

4.1. Kimlik, iletişim, müşteri işlem, finansal ve görsel verilerin işlenmesi, KVKK'nın 5/2-(c) maddesi uyarınca bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması hukuki sebebine dayanmaktadır.

4.2. Saklama, belge düzenleme, bilgilendirme ve resmî makamlara bilgi verme yükümlülükleri kapsamındaki işleme faaliyetleri, KVKK'nın 5/2-(ç) maddesi uyarınca veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi hukuki sebebine dayanmaktadır.

4.3. Platform güvenliğinin sağlanması, kötüye kullanımın önlenmesi, hizmet kalitesinin ölçülmesi ve iyileştirilmesine yönelik işleme faaliyetleri, KVKK'nın 5/2-(f) maddesi uyarınca veri sorumlusunun meşru menfaatleri hukuki sebebine dayanmaktadır.

4.4. Hukuki iddia ve savunma haklarının kullanılmasına yönelik işleme faaliyetleri, KVKK'nın 5/2-(e) maddesi uyarınca bir hakkın tesisi, kullanılması veya korunması hukuki sebebine dayanmaktadır.

4.5. Ticari elektronik ileti gönderilmesi ile zorunlu olmayan çerezlerin kullanılmasına yönelik işleme faaliyetleri, KVKK'nın 5/1 maddesi uyarınca ilgili kişinin açık rızasına dayanmaktadır. Açık rıza her zaman geri alınabilir.

5.1. Kişisel veriler, işbu metinde belirtilen amaçlarla sınırlı olmak üzere ve KVKK'nın 8. ve 9. maddelerinde öngörülen şartlara uygun olarak aşağıda belirtilen taraflara aktarılmaktadır.

5.2. Platform'un yapısı gereği, bir Sipariş oluşması halinde Alıcı'nın ad, soyad, teslimat adresi ve telefon bilgileri, gönderinin oluşturulabilmesi ve teslimatın gerçekleştirilebilmesi amacıyla ilgili Satıcı ile paylaşılır. Aynı şekilde bir iade süreci başlatılması halinde Satıcı'nın gönderi adresi bilgileri Alıcı ile paylaşılabilir. Üyeler, bu bilgileri yalnızca ilgili işlemin ifası amacıyla kullanmakla yükümlüdür.

5.3. Anlaşmalı ödeme kuruluşuna, ödeme işlemlerinin gerçekleştirilmesi, güvenli ödeme sürecinin işletilmesi, Satıcı'nın alt üye işyeri kaydının oluşturulması ve mevzuattan kaynaklanan kimlik tespiti yükümlülüklerinin yerine getirilmesi amacıyla kimlik, iletişim ve finansal veriler aktarılmaktadır.

5.4. Anlaşmalı taşıma hizmeti sağlayıcısına ve ilgili kargo şirketlerine, gönderinin oluşturulması ve teslimatın gerçekleştirilmesi amacıyla alıcı ve gönderici ad, adres ve telefon bilgileri aktarılmaktadır.

5.5. Sunucu barındırma, veri tabanı, dosya depolama ve elektronik posta gönderim hizmetleri, Avrupa Birliği sınırları içerisinde (Frankfurt/Almanya) konumlandırılmış bulut altyapı hizmet sağlayıcısı üzerinden yürütülmektedir.

5.6. Platform'da meydana gelen hata ve arızaların tespiti amacıyla, hata kayıtları ile bu kayıtlarla birlikte oluşan teknik veriler, hata izleme hizmeti sağlayıcısına aktarılabilmektedir.

5.7. İlan oluşturma sürecinde Satıcı'nın talebi üzerine ürün özelliklerinin otomatik olarak çıkarılması amacıyla, ilana yüklenen ürün görselleri yapay zekâ hizmet sağlayıcısına aktarılmaktadır. Bu süreçte Üye'nin kimlik ve iletişim bilgileri aktarılmamakta olup, aktarım yalnızca Satıcı'nın söz konusu özelliği kullanmayı tercih etmesi halinde gerçekleşir.

5.8. Destek ve iletişim süreçlerinin yürütülmesi amacıyla, elektronik posta yazışmaları kurumsal elektronik posta hizmeti sağlayıcısı altyapısında işlenmektedir.

5.9. Yukarıda belirtilen hizmet sağlayıcılarının bir kısmının sunucuları yurt dışında bulunmaktadır. Bu kapsamdaki aktarımlar, KVKK'nın 9. maddesinde öngörülen şartlara uygun olarak gerçekleştirilir.

5.10. Kişisel veriler, kanunen yetkili kamu kurum ve kuruluşları ile adli makamlara, mevzuattan kaynaklanan yükümlülükler çerçevesinde ve talep edilmesi halinde aktarılabilir.

5.11. Kişisel veriler, işbu metinde belirtilenler dışında hiçbir üçüncü kişiye satılmaz, kiralanmaz veya pazarlama amacıyla devredilmez.

6.1. Kişisel veriler; Platform üzerindeki kayıt, profil, adres, ilan, teklif, sipariş, mesajlaşma ve iade formları aracılığıyla doğrudan ilgili kişiden elektronik ortamda toplanmaktadır.

6.2. Kullanım ve trafik verileri, Platform'un kendi altyapısında yer alan ölçümleme mekanizması ve çerezler aracılığıyla otomatik yollarla toplanmaktadır.

6.3. Ödeme ve taşıma süreçlerine ilişkin bazı veriler, ilgili hizmet sağlayıcılardan işlem sonucu bildirimi olarak elektronik ortamda temin edilmektedir.

6.4. Destek talepleri kapsamındaki veriler, elektronik posta ve Platform içi iletişim kanalları aracılığıyla toplanmaktadır.

7.1. Çerezler, ziyaret edilen internet siteleri tarafından kullanıcıların cihazlarına kaydedilen küçük metin dosyalarıdır. Platform'da, hizmetin sunulabilmesi ve kullanıcı deneyiminin iyileştirilmesi amacıyla çerezler ve benzeri teknolojiler kullanılmaktadır.

7.2. Zorunlu Çerezler: Oturumun açık tutulması ve yetkilendirmenin sağlanması amacıyla kullanılan oturum ve yenileme belirteçleri ile kullanıcı rolü bilgisini taşıyan çerezlerdir. Yenileme belirteci, tarayıcı tarafından okunamayacak şekilde (HttpOnly) saklanır. Bu çerezler olmaksızın Platform'un temel işlevleri çalışmaz ve kullanımları açık rızaya tabi değildir.

7.3. Tercih Çerezleri: Dil tercihi ve çerez onayına ilişkin seçimin hatırlanması amacıyla kullanılan çerezler ile yerel depolama kayıtlarıdır.

7.4. Ölçümleme: Platform, ziyaret istatistiklerini kendi altyapısında oluşturmakta olup, bu kapsamda üçüncü taraf reklam veya izleme çerezleri kullanılmamaktadır. Ziyaretçi ayırt edici değeri, işbu metnin 2.8. maddesinde açıklandığı şekilde tek yönlü özet fonksiyonu ile üretilmekte ve IP adresi ham haliyle saklanmamaktadır.

7.5. Kullanıcılar, tarayıcı ayarları üzerinden çerezleri silebilir veya engelleyebilir. Zorunlu çerezlerin engellenmesi halinde Platform'un oturum gerektiren işlevlerinden yararlanılamaz.

7.6. Çerez tercihleri, Platform'da yer alan çerez bilgilendirme bandı üzerinden yönetilebilir.

8.1. Kişisel veriler, işlendikleri amacın gerektirdiği süre boyunca ve her hâlükârda mevzuatta öngörülen asgari saklama sürelerine uygun olarak saklanır.

8.2. Üyelik ilişkisi kapsamındaki kimlik ve iletişim verileri, üyeliğin devam ettiği süre boyunca; üyeliğin sona ermesi halinde, mevzuattan kaynaklanan zamanaşımı süreleri ile sınırlı olmak üzere saklanır.

8.3. Sipariş, ödeme ve faturalandırma süreçlerine ilişkin kayıtlar, vergi ve ticaret mevzuatından kaynaklanan yükümlülükler çerçevesinde öngörülen süreler boyunca saklanır.

8.4. Kullanım ve trafik verileri, istatistiksel amaçlarla ve ilgili kişiyi doğrudan tanımlamaya elverişli olmayacak şekilde saklanır.

8.5. Saklama süresinin sona ermesi halinde kişisel veriler silinir, yok edilir veya anonim hale getirilir.

8.6. Hesabın kapatılmasına ve verilerin silinmesine ilişkin talepler, Platform'da yer alan veri silme sayfası üzerinden veya işbu metnin 11. maddesinde belirtilen başvuru usulü ile iletilebilir. Mevzuat uyarınca saklanması zorunlu olan veriler, saklama süresi boyunca muhafaza edilmeye devam eder.

9.1. Platform ile kullanıcı arasındaki tüm veri iletişimi, güncel şifreleme protokolleri (TLS) kullanılarak şifreli olarak gerçekleştirilir.

9.2. Parolalar açık metin olarak saklanmaz; yalnızca geri döndürülemez özet değerleri muhafaza edilir.

9.3. Kişisel verilere erişim, görev tanımı gereği erişmesi gereken personel ile sınırlandırılmış olup, yetkilendirme ve rol bazlı erişim kontrolü uygulanmaktadır.

9.4. Ödeme kartı verileri Platform altyapısında hiçbir surette işlenmemekte ve saklanmamakta olup, ödeme süreçleri lisanslı ödeme kuruluşu altyapısı ve 3D Secure doğrulaması ile yürütülmektedir.

9.5. Sistemler düzenli olarak güncellenmekte, erişim kayıtları tutulmakta ve olağan dışı erişim denemelerine karşı hız sınırlama ve izleme mekanizmaları uygulanmaktadır.

9.6. Alınan tüm teknik ve idari tedbirlere rağmen, internet üzerinden yapılan veri iletiminin mutlak güvenliğinin taahhüt edilemeyeceği hususu ilgili kişilerin bilgisine sunulur.

10.1. KVKK'nın 11. maddesi uyarınca her ilgili kişi, veri sorumlusuna başvurarak kendisiyle ilgili olarak aşağıdaki haklara sahiptir.

10.2. Kişisel verisinin işlenip işlenmediğini öğrenme.

10.3. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme.

10.4. Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme.

10.5. Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme.

10.6. Kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.

10.7. KVKK ve ilgili diğer mevzuat hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerinin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.

10.8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme.

10.9. Kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

11.1. İlgili kişiler, işbu metnin 10. maddesinde sayılan haklarına ilişkin taleplerini, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de öngörülen usullere uygun olarak ShineSoft'a iletebilir.

11.2. Başvurular, destek@bugibox.com adresine elektronik posta gönderilmek suretiyle veya işbu metnin 1.1. maddesinde belirtilen adrese yazılı olarak yapılabilir.

11.3. Başvuruda; ad, soyad, başvuru yazılı ise imza, iletişim bilgileri ve talep konusunun açık şekilde yer alması gerekmektedir. Talebe ilişkin bilgi ve belgelerin başvuruya eklenmesi, başvurunun sonuçlandırılmasını kolaylaştıracaktır.

11.4. Başvurular, talebin niteliğine göre en kısa sürede ve her hâlükârda en geç 30 (otuz) gün içerisinde sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret talep edilebilir.

11.5. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde ilgili kişi, Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkını haizdir.

12.1. Platform, 18 yaşını doldurmamış kişilerin kullanımına yönelik değildir. 18 yaşını doldurmamış kişiler Platform'a üye olamaz ve Platform üzerinden işlem gerçekleştiremez.

12.2. 18 yaşını doldurmamış bir kişiye ait kişisel verinin işlendiğinin tespit edilmesi hâlinde, söz konusu veriler gecikmeksizin silinir ve ilgili hesap kapatılır.

13.1. ShineSoft, işbu metni, mevzuat değişiklikleri ile Platform'da sunulan hizmetlerdeki değişiklikler doğrultusunda güncelleme hakkını saklı tutar.

13.2. Güncellemeler, Platform'da yayımlandığı tarihte yürürlüğe girer. Metnin en güncel hâli her zaman Platform üzerinden erişilebilir durumda tutulur.

13.3. Açık rızaya dayanan işleme faaliyetlerinin kapsamında bir genişleme söz konusu olması hâlinde, ilgili kişilerin rızası ayrıca temin edilir.

14.1. İşbu metin kapsamındaki soru ve talepler için destek@bugibox.com adresi üzerinden ShineSoft ile iletişime geçilebilir.

14.2. Veri sorumlusuna ait unvan, adres, MERSİS numarası ve diğer iletişim bilgileri Platform'un "Hakkımızda" sayfasında yer almaktadır.

14.3. İşbu metin, Platform'da yayımlandığı tarihte yürürlüğe girmiştir.