Hukuki nitelik. İşbu metin, platformu işleten veri sorumlusunun KVKK md. 10 aydınlatma yükümlülüğünü yerine getirmek üzere hazırlanmıştır. Metni kaleme alan yazılım geliştiricisi, danışman veya avukat veri sorumlusu sıfatını üstlenmez; Kurul’a karşı yükümlülük, idari para cezası ve tazminat veri sorumlusuna aittir. Avukatın metni incelemesi veya imzalaması, avukatın sızıntı, ihlal veya hukuka aykırı işlemeden dolayı üçüncü kişilere karşı sorumluluk üstlendiği anlamına gelmez. Avukat yalnızca müvekkiline karşı mesleki özen borcu altındadır.
1. Veri sorumlusu
Kişisel verileriniz, Exportaim markası altında https://exportaim.com adresinde sunulan ihracat / CRM yazılımı kapsamında işlenmektedir. Ticaret unvanı, yerleşim yeri, MERSİS ve VERBİS kaydı, ticaret sicili ve başvuru üzerine yazılı olarak bildirilir.
Başvuru kanalı: exportaim.destek@gmail.com
2. İşlenen kişisel veri kategorileri
- Kimlik ve iletişim: ad-soyad, e-posta, telefon, unvan, firma bilgisi, vergi dairesi / numarası.
- Müşteri / aday (cari) kayıtları: şirket unvanı, yetkili kişi, ülke, adres, ticari yazışma ve notlar.
- İşlem güvenliği: giriş IP adresi, oturum çerezi, bağlanmış (kilitli) IP, başarısız giriş denemeleri, tarayıcı bağlantı bilgisi.
- İletişim içeriği: platform üzerinden gönderilen e-postaların konusu, metni, ekleri, açılma bilgisi (izleme pikseli), Gmail gönderim hesabı (uygulama şifresi şifreli olarak).
- Belge ve dosyalar: teklif, fatura, paket listesi ve yüklenen ticari belgeler.
- Pazar araştırması (kullanıldığında): kamuya açık kaynaklardan veya üçüncü taraf arama hizmetlerinden çekilen firma / yetkili bilgisi.
Özel nitelikli kişisel veri (sağlık, sendika, din vb.) toplanması amaçlanmamaktadır. Böyle bir veri sisteme yanlışlıkla yazılırsa silinmesi talep edilmelidir.
3. İşleme amaçları ve hukuki sebepler (KVKK md. 5)
- Sözleşmenin kurulması ve ifası: hesap açılması, CRM, teklif, operasyon ve belge yönetimi.
- Meşru menfaat: bilgi güvenliği, yetkisiz erişimin önlenmesi, IP kilidi, suca konu kullanımların tespiti; menfaat, ilgili kişinin temel haklarını zedelemeyecek ölçüde kullanılır.
- Hukuki yükümlülük: vergi, ticari defter, KVKK ihlal bildirimi ve yetkili mercilerin talepleri.
- Açık rıza (gerektiğinde): e-posta açılma izleme pikseli ve pazarlama nitelikli gönderimler. Rıza, aynı kolaylıkta geri alınabilir; geri alma, rıza öncesi işlemleri hukuka aykırı kılmaz.
4. Toplama yöntemi
Veriler; kayıt formları, platform kullanımı, gönderilen / alınan e-postalar, yüklenen belgeler, sunucu günlükleri ve (kullanıcı başlattığında) üçüncü taraf arama API’leri aracılığıyla otomatik veya kısmen otomatik yollarla toplanır.
5. Aktarım ve işleyenler
Veriler, hizmetin sunulması için aşağıdaki işleyenlere / alıcılara aktarılabilir:
- Cloudflare, Inc. / bağlı kuruluşları: barındırma, veritabanı, dosya saklama, güvenlik (ABD / AB altyapısı).
- Google LLC: kullanıcının bağladığı Gmail / Google Workspace üzerinden e-posta gönderimi; isteğe bağlı harita / arama.
- Diğer arama sağlayıcıları (Apollo, Serper vb.), yalnızca ilgili modül kullanılırsa.
- Yetkili kamu kurumları, kanuni zorunluluk halinde.
- Kullanıcının kendi müşterileri: kullanıcının gönderdiği ticari e-posta ve ekler.
İşleyenlerle KVKK md. 12’ye uygun güvenlik ve, yurt dışı aktarımda md. 9’a uygun hukuki dayanak (standart sözleşme / Kurul kararı / açık rıza) sağlanması veri sorumlusunun yükümlülüğüdür.
6. Yurt dışına aktarım
Bulut altyapısı ve Gmail nedeniyle veriler Türkiye dışına çıkabilir. Bu aktarım, hizmetin ifası ve güvenlik meşru menfaati çerçevesinde; gerektiğinde ilgili kişinin aydınlatılmış açık rızasına dayanır. ABD’ye aktarımda ilgili ülkenin KVKK karşılığı koruma düzeyinin sınırlı olabileceği kabul edilir.
7. Saklama süresi
Veriler, hesabın aktif olduğu süre ve Türk Ticaret Kanunu ile vergi mevzuatındaki zamanaşımı (kural olarak 10 yıl) boyunca; güvenlik günlükleri daha kısa süreyle; IP kilit ve oturum kayıtları güvenlik amacı ortadan kalkınca silinir. Talep üzerine, kanuni saklama zorunluluğu yoksa silme / yok etme / anonimleştirme uygulanır.
8. İlgili kişinin hakları (KVKK md. 11)
Kişisel verisi işlenen gerçek kişi; verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde / dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlışsa düzeltilmesini, KVKK md. 7 şartlarında silinmesini / yok edilmesini, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini, münhasıran otomatik sistemlerle aleyhine bir sonucun analiz edilmesine itiraz, zararın giderilmesini talep etme haklarına sahiptir.
Başvurular exportaim.destek@gmail.com adresine, kimliği tevsik edilebilir şekilde yazılır. Veri sorumlusu, KVKK md. 13 uyarınca talebi en geç otuz gün içinde sonuçlandırır. Ücretsizdir; işlemin ayrıca bir maliyet gerektirmesi halinde Kurulca belirlenen tarifedeki ücret istenebilir. Başvuru reddedilirse veya cevap yetersizse, cevabı öğrendiği tarihten itibaren 30 ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu’na şikayette bulunulabilir.
9. Çerezler ve e-posta izleme
Zorunlu oturum çerezi (exportaim_session) girişin sürdürülmesi için kullanılır; HttpOnly ve SameSite=Lax olarak set edilir. Reklam çerezi kullanılmamaktadır.
Gönderilen HTML e-postalara, iletinin açılıp açılmadığını teknik olarak kaydetmek üzere 1×1 izleme görseli konabilir. Bu, ticari ileti takibi niteliğindedir; alıcı görselleri engellerse kayıt oluşmaz. Alıcı, görselleri kapatarak veya abonelikten çıkarak bu işlemeye itiraz edebilir.
10. IP adresi kilidi
Kullanıcı, hesabını o anki IP adresine bağlayabilir. Bağlandıktan sonra farklı bir IP’den giriş reddedilir. Bu işlem güvenlik meşru menfaatine dayanır. Mobil / ev internetinde IP sık değiştiğinden kilit, sabit ofis ağı için tasarlanmıştır. Kilit, kullanıcı tarafından tanımlı ağdayken veya yetkili yönetici tarafından kaldırılabilir.
10/a. İki adımlı doğrulama
Tüm hesaplarda TOTP (Authenticator) zorunludur; bağlanmadan CRM açılamaz. Şifreden sonra zaman temelli tek kullanımlık kod veya tek kullanımlık yedek kod istenir. Gizli anahtar şifreli saklanır; yedek kodlar yalnızca özet olarak tutulur. Yönetici, kilitlenen hesabın 2FA kaydını sıfırlayabilir; kullanıcı 2FA’yı kapatamaz. Ayrıntı müşteri sözleşmesindedir.
11. Güvenlik
Parolalar geri çevrilemez özet ile; Gmail uygulama şifreleri şifreli olarak saklanır. Org verisi başka firmanın hesabından API ile okunamaz. Buna rağmen %100 sızıntı imkânsızlığı taahhüt edilmez. İhlal halinde KVKK md. 12 uyarınca ilgili kişi ve gerekirse Kurul en kısa sürede bilgilendirilir.
12. Metnin güncellenmesi
İşbu metin, işleme faaliyetlerindeki değişiklikle güncellenebilir. Güncel sürüm her zaman https://exportaim.com/kvkk.html adresindedir. Önemli değişiklikler hesap içi duyuru veya e-posta ile bildirilebilir.