Kişisel Verilerin Korunmasına ve İşlenmesine İlişkin Aydınlatma Metni

Madde 1 — Veri sorumlusu ve kapsam

1.1. Metin Çağatay Patlar, MAFİMON markasıyla www.mafimon.com üzerinden faaliyet göstermektedir. Adres: Abbasağa Mah. Jandarma Mektebi Sk. Altın Ap. No: 23 İç Kapı No: 4, Beşiktaş / İstanbul. Telefon: 0538 093 27 86. E-posta: info@mafimon.com. KEP: metincagatay.patlar@hs01.kep.tr.

1.2. 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında veri sorumlusu Metin Çağatay Patlar’dır. Bu metin; site ziyaretçilerinin, üyelerin, müşterilerin, sipariş alıcılarının ve kart alımına ilişkin başvuru yapan kişilerin verilerinin işlenmesini açıklar.

Madde 2 — Verilerin toplanma yöntemi

2.1. Veriler; üyelik ve giriş ekranları, sipariş ve teslimat formları, ödeme işlemlerinin sonuç bildirimleri, iletişim ve kart alım başvuruları, e-posta ve telefon üzerinden iletilen talepler ile siteye erişim sırasında oluşan teknik kayıtlar aracılığıyla elektronik ortamda; gerektiğinde teslimat, iade ve başvuru belgeleri üzerinden fiziki ortamda toplanır. Google ile giriş seçilirse, kimlik doğrulama hizmetinden izin verilen hesap bilgileri alınır. Çerezler ve benzeri tarayıcı depolama araçları ayrıca aşağıdaki Çerez Aydınlatma Metninde açıklanır.

Madde 3 — Veri kategorileri, amaçlar ve hukuki sebepler

3.1. Üyelik ve hesap yönetimi: Ad, soyad, e-posta, hesap tanımlayıcısı, kimlik doğrulama ve oturum kayıtları; hesap açılması, giriş yapılması ve hesabın yönetilmesi için Kanun m.5/2-c kapsamında sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve gerekli olduğu ölçüde işlenir. Google ile giriş kullanıldığında paylaşılan ad, e-posta ve teknik kimlik doğrulama bilgileri bu kapsamda değerlendirilir.

3.2. Sipariş ve teslimat: Ad, soyad, telefon, e-posta, teslimat ve fatura adresi, sipariş numarası, ürün, adet, tutar, teslimat ve iade kayıtları; satış sözleşmesinin kurulması, ifası, sipariş takibi ve teslimat için m.5/2-c uyarınca işlenir. Fatura ve vergi kayıtları, mevzuatın gerekli kıldığı alanlarla sınırlı olarak m.5/2-a ve ç kapsamında işlenir. T.C. kimlik numarası yalnızca somut bir yasal gereklilik varsa alınır.

3.3. Ödeme ve geri ödeme: İşlem referansı, ödeme durumu, tutar, taksit ve gerekli geri ödeme bilgileri; satışın ve iadenin yürütülmesi için m.5/2-c, mali yükümlülüklerin yerine getirilmesi için m.5/2-a ve ç kapsamında işlenir. Banka hesabı bilgileri yalnızca gerekli ödeme veya iade işlemi için alınır. Tam ödeme kartı numarası ve güvenlik kodu MAFİMON tarafından saklanmaz; ödeme kuruluşunun kendi işlemesi ayrıca kendi aydınlatmasına tabidir.

Kullanılan ödeme kuruluşu: PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş.

3.4. İletişim ve kart alım başvuruları: İletişim bilgileri, kart bilgileri, sunulan fotoğraflar, teklif ve yazışmalar; kişinin talep ettiği sözleşme öncesi işlemler ve sözleşmenin ifası için m.5/2-c kapsamında; şikâyet ve uyuşmazlık yönetimi için gerekli olduğunda m.5/2-e kapsamında işlenir. Talep dışındaki gereksiz kişisel bilgiler ve özel nitelikli veriler gönderilmemelidir.

3.5. İşlem güvenliği ve ürün kimliğinin ispatı: IP adresi, erişim zamanı, gerekli cihaz ve tarayıcı bilgileri, güvenlik olay kayıtları; temel hak ve özgürlüklere zarar vermemek ve ölçülülük değerlendirmesi yapmak koşuluyla site ve hesap güvenliği için m.5/2-f kapsamında işlenir. Siparişe bağlanan ürün fotoğrafları, sertifika numaraları ve paketleme kayıtları; satışın ifası için m.5/2-c, sahtecilik ve ürün değişimi uyuşmazlıklarında hakların korunması için gerekli olduğunda m.5/2-e kapsamında işlenir. Kayıtlar amaç dışı yayımlanmaz.

3.6. İsteğe bağlı pazarlama ve analiz: Kullanılması hâlinde, kişiye özel pazarlama ve zorunlu olmayan analiz araçları için gerekli veriler, başka bir uygulanabilir işleme şartı yoksa, m.5/1 kapsamında ayrı ve açık rıza ile işlenir. Ticari elektronik ileti gönderimi için 6563 sayılı Kanun kapsamındaki onay ayrıca alınır. Satın alma, üyelik veya aydınlatmanın okunması bu onayların yerine geçmez.

3.7. Ticari iletişim tercihleri, kullanılacak her kanal ve içerik açıklanarak ayrı ayrı sunulur; ticari elektronik iletiler yalnızca e-posta yoluyla gönderilir. Bu onay yurt dışı aktarım rızası veya tüm veri işlemlerine genel rıza değildir.

3.8. Site kullanım istatistikleri: Sitenin trafik yoğunluğunu, görüntülenen sayfaları ve ziyaret kaynaklarını ölçmek amacıyla ziyaret edilen sayfa, yönlendiren kaynak kategorisi, IP adresi ve gerekli tarayıcı bilgileri işlenir. Bu ölçümde çerez veya tarayıcı depolaması kullanılmaz. IP adresi istatistik kayıtlarında açık hâliyle saklanmaz; aynı gün içindeki tekrar ziyaretleri ayırt etmek amacıyla günlük değişen gizli bir anahtar kullanılarak teknik bir kod üretilir. Gün sonunda bu kod, kodla ilişkilendirilen ziyaret kayıtları ve günlük anahtar silinir; yalnızca kişilerle ilişkilendirilemeyen günlük toplu istatistikler tutulur. Kayıtlar üyelik veya sipariş bilgileriyle eşleştirilmez ve günler arasında ziyaretçi takibi yapılmaz. İşleme, site trafiğinin ölçülmesi ve ticari planlamanın yapılmasına yönelik meşru menfaat kapsamında, ilgili kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla Kanun’un 5/2-f maddesine dayanır. Bu ölçüm kapsamında kişiselleştirilmiş reklam veya kullanıcı profili oluşturulmaz. İş birliği ve tanıtım görüşmelerinde yalnızca kişilerle ilişkilendirilemeyen toplu istatistikler paylaşılır.

Madde 4 — Yurtiçindeki alıcılar ve aktarım amaçları

4.1. Sipariş ve ödeme için gerekli veriler, fiilen kullanılan ödeme kuruluşu ve bankalarla; teslimat için gerekli ad, adres ve iletişim bilgileri kargo ve lojistik hizmet sağlayıcılarıyla; mali kayıtlar ise muhasebe ve mali müşavirlik hizmet sağlayıcılarıyla paylaşılabilir. Hukuki uyuşmazlıklarda gerekli kayıtlar hukuki danışmanlarla ve yetkili mercilerle; hukuken zorunlu kayıtlar ise yetkili kamu kurumlarıyla paylaşılır.

4.2. Bu aktarımlar, her işlem için geçerli m.5/2-c, a, ç veya e şartına dayanılarak, m.8 kapsamında ve gerekli veriyle sınırlı olarak yapılır. Barındırma, kimlik doğrulama, e-posta ve teknik destek sağlayıcılarının erişimi de hizmetin gerektirdiği sınırlarla kısıtlanır. Bu alıcıların yurt dışındaki işlemleri için aşağıdaki ayrı rejim uygulanır.

Madde 5 — Yurtdışına aktarım

5.1. Yalnızca Türkiye’ye satış yapılması, verilerin Türkiye’de işlendiği anlamına gelmez. Yabancı sunucularda depolama, yurt dışından destek erişimi, kimlik doğrulama ve üçüncü taraf kaynakların tarayıcı tarafından çağrılması kişisel verilerin yurt dışına aktarılmasına yol açabilir. Hizmet sağlayıcılarına tüm veri kategorileri birlikte aktarılmaz. Kimlik doğrulama hizmetlerinde gerekli hesap ve oturum bilgileri; e-posta hizmetlerinde alıcının e-posta adresi ve bildirim içeriğinde yer alan bilgiler; barındırma ve veritabanı hizmetlerinde ise ilgili sistemde tutulan kayıtlar, hizmetin gerektirdiği ölçüde işlenir.

5.2. Düzenli aktarımlar, ilgili veri işleme şartına ek olarak Kanun m.9 kapsamındaki geçerli yeterlilik kararına veya uygun güvenceye dayanılarak yürütülür. Yeterlilik kararı bulunmuyorsa, ilgili kişilerin aktarım ülkesinde haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi koşulları değerlendirilir; uygun güvence olarak, tarafların rollerine uygun Kurul standart sözleşmesi veya somut olaya uygulanabilen diğer yasal mekanizma kullanılır.

5.3. Üyelik hesabının oluşturulması ve yönetilmesi, siparişlerin kaydedilmesi, sipariş ve teslimat bildirimlerinin gönderilmesi ile site güvenliğinin sağlanması amacıyla, ad ve soyad, e-posta adresi, telefon numarası, teslimat ve fatura adresi, sipariş ve ödeme durumu bilgileri, kullanıcı ve oturum tanımlayıcıları ile gerekli IP ve erişim kayıtları, kullanılan hizmetin gerektirdiği ölçüde barındırma, veritabanı, kimlik doğrulama ve e-posta hizmeti sağlayıcılarına aktarılır. Bu hizmetlerin yurt dışındaki sunucularda yürütülmesi veya verilere yurt dışından erişilmesi hâlinde, aktarım ilgili faaliyet bakımından Kanun’un 5. maddesindeki uygulanabilir işleme şartına ek olarak 9. maddesinde öngörülen aktarım koşulları sağlanarak gerçekleştirilir. Bu kapsamda kişisel veriler; sitenin barındırılması, veritabanı ve kimlik doğrulama, e-posta gönderimi ve bot koruması hizmetlerini sağlayan iş ortaklarının Amerika Birleşik Devletleri ve Avrupa Birliği’ndeki sunucularında işlenebilir.

5.4. Sürekli barındırma, kimlik doğrulama veya düzenli üçüncü taraf hizmet kullanımı için yalnızca genel bir açık rıza alınmasına dayanılmaz. Riskler hakkında bilgilendirilmiş açık rıza, m.9/6-a kapsamında ancak arızi aktarım koşulları oluşmuşsa değerlendirilebilir. Veri işleme için alınan açık rıza ile yurt dışına aktarımın hukuki mekanizması birbirinden ayrıdır.

Madde 6 — Saklama ve imha

6.1. Veriler, işleme amacının gerektirdiği süre ve uygulanabilir kanuni saklama süreleriyle sınırlı tutulur. Hesap verileri, üyeliğin sürdürülmesi için gerekli süre boyunca; sipariş ve mali kayıtlar, ilgili vergi, ticaret ve mesafeli satış yükümlülüklerinin gerektirdiği süre boyunca; uyuşmazlık kayıtları ise gerekli hak koruma ve zamanaşımı süreleri boyunca saklanır. Güvenlik kayıtları ve çerez verileri için amaçla orantılı ayrıca belirlenmiş süreler uygulanır.

6.2. Hesabın kapatılması, kanuni saklama yükümlülüğü bulunan sipariş ve mali kayıtların derhâl silinmesini gerektirmez. Saklama sebebi sona erdiğinde veriler silinir, yok edilir veya anonim hâle getirilir; veri işleyenlerdeki ve yedeklerdeki veriler de ilgili imha sürecine alınır.

Madde 7 — İlgili kişinin hakları ve başvuru

7.1. Kanun m.11 uyarınca kişisel verilerinizin işlenip işlenmediğini öğrenebilir, işlenmişse bilgi talep edebilir, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenebilir, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri öğrenebilirsiniz. Eksik veya yanlış verilerin düzeltilmesini; m.7 koşulları çerçevesinde silinmesini veya yok edilmesini; bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteyebilirsiniz. Münhasıran otomatik sistemlerle yapılan analiz sonucunda aleyhinize bir sonuç ortaya çıkmasına itiraz edebilir ve hukuka aykırı işleme nedeniyle uğradığınız zararın giderilmesini talep edebilirsiniz.

7.2. Başvurularınızı yukarıdaki adrese yazılı olarak, metincagatay.patlar@hs01.kep.tr kayıtlı elektronik posta (KEP) adresine veya Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’de belirtilen yöntemlerle iletebilirsiniz. Daha önce MAFİMON’a bildirdiğiniz ve sistemde kayıtlı e-posta adresiniz üzerinden info@mafimon.com adresine başvurabilirsiniz.

7.3. Başvuruda ad ve soyad, yazılı başvurularda imza, Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası; yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası, tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas e-posta adresi, telefon ve faks numarası ile talep konusu bulunmalıdır. Konuya ilişkin bilgi ve belgeler başvuruya eklenir.

7.4. Başvurular niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır. Kural olarak ücret alınmaz; işlem ayrıca bir maliyet gerektirirse Kurul tarifesi uygulanabilir. Veri sorumlusunun hatasından kaynaklanan başvuruda alınan ücret iade edilir. Rıza geri alındığında, rızaya dayalı gelecekteki işlemler durdurulur; ancak başka bir kanuni sebeple tutulması gereken kayıtlar korunur.

7.5. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde, ilgili kişi cevabı öğrendiği tarihten itibaren otuz gün içinde ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir. Kurula şikâyet etmeden önce veri sorumlusuna başvuru yolunun tüketilmesi gerekir.

Madde 8 — Aydınlatma ve açık rıza

8.1. Bu metin, kişisel verilerin işlenmesine ilişkin bilgilendirme amacı taşır; sözleşme kabulü veya açık rıza beyanı değildir. Açık rıza gerektiren işlemler için ilgili kişiye ayrıca bilgi verilir ve açık rıza ayrı olarak alınır. Metnin okunması, üyelik oluşturulması veya alışveriş yapılması, açık rızanın yerine geçmez.