Veri İşleme Sözleşmesi

Son güncelleme: 14.10.2026  |  Yürürlük tarihi: 13.11.2026 (bu sürümü panelde daha önce onaylayan Müşteri bakımından onay tarihi)

Bu Veri İşleme Sözleşmesi ("VİS"), Abonelik ve Hizmet Sözleşmesi'nin ("Hizmet Sözleşmesi") eki ve ayrılmaz parçasıdır. Hizmet Sözleşmesi'ni kabul eden müşteri işletme ("Müşteri") ile Piriyoz Yazılım İnşaat Nakliye Turizm Sanayi Balıkçılık Ltd. Şti. ("Hekzen") arasında, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") md. 12/2 uyarınca kurulmuştur.

1. Taraflar ve Roller

• Müşteri, Hekzen hizmetlerine kendi çalışanları, kuryeleri, iş ortakları, müşterileri ve site sakinleri gibi kişilere ait verileri girdiği ya da bu kişilerin hizmetleri kullanmasını sağladığı için bu veriler bakımından veri sorumlusudur.
• Hekzen, bu verileri yalnızca Müşteri adına ve Müşteri'nin talimatıyla işlediği için veri işleyendir.
• Hekzen'in kendi müşteri ilişkisi kapsamında işlediği veriler (Müşteri yetkilisinin ve panel kullanıcılarının hesap, fatura ve iletişim verileri, hizmet güvenliği kayıtları) bu VİS'in değil, Hekzen'in Aydınlatma Metni'nin konusudur; bu veriler bakımından Hekzen veri sorumlusudur.

2. Konu, Süre, Nitelik ve Amaç

Hekzen, Müşteri'nin abone olduğu modüllerin çalışması için gereken ölçüde kişisel verileri toplar, kaydeder, depolar, görüntüler, düzenler, aktarır ve siler. İşleme, Hizmet Sözleşmesi süresince ve Madde 11'deki iade ve imha süreleri boyunca sürer. İşleme amacı yalnızca Müşteri'ye hizmetin sunulmasıdır; Hekzen bu verileri kendi amaçları için (reklam, profil çıkarma, üçüncü kişiye satış) kullanmaz. Madde 14'teki ortak müşteri kaydı bu kuralın tek istisnasıdır ve orada sayılan veri ve amaçla sınırlıdır.

3. İlgili Kişi Grupları ve Veri Kategorileri

Müşteri, hizmetin açıkça gerektirdiği hâller dışında özel nitelikli kişisel veriyi (sağlık, din, kan grubu, biyometrik veri gibi) serbest metin alanlarına, notlara veya belge görüntülerine girmeyecektir. Kurye kimlik ve ehliyet görüntüsü yüklenmesi gerekiyorsa, Müşteri yükleme öncesinde kan grubu ve din hanesi gibi alanların kapatılmasını sağlar.

4. Talimat

Hekzen kişisel verileri yalnızca Hizmet Sözleşmesi, bu VİS ve Müşteri'nin panel ayarları ile verdiği yazılı talimatlar çerçevesinde işler. Bir talimatın KVKK'ya veya diğer mevzuata aykırı olduğu kanaatine varırsa Müşteri'yi gecikmeksizin bilgilendirir ve aykırılık giderilene kadar o talimatı uygulamayabilir. Hekzen'in yasal bir yükümlülük nedeniyle veriyi işlemesi veya bir kurum ya da mahkemeye vermesi gerekirse, yasal olarak yasaklanmadıkça Müşteri'yi önceden bilgilendirir.

5. Gizlilik

Hekzen, kişisel verilere erişebilen çalışanlarını ve yardımcı kişilerini yazılı gizlilik yükümlülüğü altına alır ve erişimi görevin gerektirdiği kişilerle sınırlar. Hekzen yöneticilerinin Müşteri kayıtlarında yaptıkları düzeltme ve silmeler, eski ve yeni değerleriyle kalıcı denetim kaydına yazılır.

6. Teknik ve İdari Tedbirler

Hekzen, KVKK md. 12 ve Kişisel Veri Güvenliği Rehberi doğrultusunda en az aşağıdaki tedbirleri uygular:

• Tüm bağlantılarda TLS şifrelemesi ve HSTS; veritabanı ve dosya depolamada sağlayıcı düzeyinde şifreleme,
• Parola ve PIN'lerin tuzlanmış tek yönlü özetle (PBKDF2-SHA256) saklanması; entegrasyon anahtarları ve erişim belirteçlerinin uygulama düzeyinde şifrelenmesi (AES-GCM),
• Yetki tabanlı erişim; her istekte kaydın Müşteri'ye ait olduğunun sunucuda denetlenmesi; dosyalara sahiplik denetimli erişim,
• Hekzen yönetim paneline iki adımlı doğrulama ve ayrı erişim katmanıyla giriş,
• Giriş, şifre sıfırlama ve kayıt işlemlerinde deneme sınırlaması,
• Kritik işlemlerin denetim kaydına yazılması,
• Dış servislere giden verinin amaçla sınırlanması (örneğin yapay zekâ ve WhatsApp'a müşteri adı, telefonu ve adresi gönderilmemesi),
• Kurye konumunun yalnızca vardiya açıkken toplanması ve sunucuda yalnızca son konumun tutulup vardiya kapanınca silinmesi,
• Güvenlik başlıkları (HSTS, içerik türü koruması, çerçeve koruması, yönlendiren politikası).

Tedbirler teknolojik gelişmelere göre güncellenir; güncelleme koruma düzeyini düşüremez.

7. Alt İşleyenler

Müşteri, Alt İşleyenler ve Yurt Dışı Aktarım sayfasında listelenen alt işleyenlerin kullanılmasına genel yetki verir. Hekzen, alt işleyenlerle bu VİS'teki yükümlülüklerden daha az koruyucu olmayan yazılı sözleşmeler yapar ve alt işleyenlerin fiillerinden Müşteri'ye karşı sorumludur. Yeni alt işleyen eklenmesi veya değişiklik en az 15 gün önce bildirilir; Müşteri haklı gerekçeyle itiraz edebilir, itiraz giderilemezse ilgili hizmeti cezasız feshedebilir.

8. Yurt Dışına Aktarım

Alt işleyenlerin bir kısmı yurt dışındadır. Hekzen bu aktarımları KVKK md. 9 uyarınca Kurul'un ilan ettiği standart sözleşmeler (Modül 3) güvencesine dayandırır ve sözleşmeleri imzadan itibaren 5 iş günü içinde Kurul'a bildirir. Müşteri, kendi ilgili kişilerini bu aktarımlar hakkında aydınlatmak için Alt İşleyenler sayfasındaki bilgileri kullanabilir.

9. İlgili Kişi Başvuruları

Hekzen'e doğrudan ulaşan ve Müşteri'nin veri sorumlusu olduğu verilere ilişkin başvurular, en geç 3 (üç) iş günü içinde Müşteri'ye iletilir ve başvuru sahibi Müşteri'ye yönlendirilir. Hekzen, Müşteri'nin KVKK md. 11 kapsamındaki başvuruları 30 günlük yasal süre içinde cevaplayabilmesi için gereken bilgi ve dışa aktarım imkânlarını sağlar; panelde sunulan silme ve düzeltme araçları bu desteğin parçasıdır.

10. Veri İhlali

Hekzen, Müşteri'nin verilerini etkileyen bir veri ihlalini öğrendiğinde Müşteri'yi gecikmeksizin ve en geç 24 (yirmi dört) saat içinde bilgilendirir. Bildirim, o an bilinen ölçüde şunları içerir: ihlalin niteliği ve zamanı, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçlar, alınan ve önerilen tedbirler, iletişim kişisi. Hekzen, Müşteri'nin KVKK md. 12/5 uyarınca Kurul'a 72 saat içinde ve ilgili kişilere bildirim yapabilmesi için makul desteği verir. Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir.

11. Sözleşmenin Sona Ermesi: İade ve İmha

• Hizmet Sözleşmesi sona erdiğinde Müşteri, sona erme tarihinden itibaren 30 gün içinde panelde sunulan dışa aktarma araçlarıyla veya yazılı talebiyle verilerinin bir kopyasını alabilir.
• Bu sürenin bitiminden itibaren en geç 90 gün içinde Hekzen, Müşteri'ye ait kişisel verileri canlı sistemlerden ve yedeklerden siler veya anonim hâle getirir.
• Vergi, ticaret ve diğer mevzuattan doğan saklama yükümlülükleri (ör. fatura, mali fiş ve ticari defter kayıtları için 10 yıl) Müşteri'ye aittir; Müşteri bu kayıtları süresi içinde dışa aktararak kendisi saklar. Hekzen'in kendi yasal yükümlülüğü nedeniyle saklaması gereken kayıtlar (Hekzen'in Müşteri'ye kestiği faturalar, 5651 sayılı Kanun kapsamındaki trafik kayıtları gibi) yalnızca o yükümlülük süresince ve başka amaçla kullanılmadan saklanır.

12. Bilgi Verme ve Denetim

Hekzen, bu VİS'e uyumu gösteren bilgileri Müşteri'nin yazılı talebi üzerine makul sürede sağlar. Müşteri, yılda en fazla bir kez ve en az 30 gün önceden bildirmek kaydıyla, kendi masrafıyla ve gizlilik taahhüdü vermiş bağımsız bir denetçi aracılığıyla Hekzen'in bu VİS'e uyumunu denetletebilir. Denetim, diğer müşterilerin verilerine ve Hekzen'in ticari sırlarına erişim sağlamayacak biçimde yapılır.

13. Sorumluluk

Taraflar, KVKK md. 12/2 uyarınca veri güvenliği tedbirlerinden ilgili kişilere karşı müştereken sorumludur. İç ilişkide her taraf kendi kusuruyla orantılı olarak sorumludur ve diğer tarafın ödediği tazminat ile idari para cezası bakımından kusuru oranında rücu edilebilir. Hizmet Sözleşmesi'ndeki sorumluluk sınırları, kast, ağır ihmal ve KVKK'dan doğan emredici sorumluluklar bakımından uygulanmaz.

14. Ortak Müşteri Kaydı

• Aktarılan veri: Kurye, kasa ve çevrim içi sipariş modüllerinde teslim edilen paketlerin ve ödenip kapanan paket hesaplarının son müşterisine ait ad soyad, telefon numarası, teslimat adresi ve tarifi ile mahalle, ilçe ve il bilgisi Hekzen'in ortak müşteri kaydına aktarılır. Sipariş içeriği, tutar, ödeme bilgisi ve konum aktarılmaz. Yemeksepeti ve Getir gibi pazaryerlerinden gelen siparişler de aktarılır; bu platformların müşteri yerine verdiği gizlenmiş (çağrı merkezi) telefon numaraları kayda alınmaz. Trendyol siparişleri, deneme kayıtları ve iptal edilen siparişler aktarılmaz.
• Rol: Ortak müşteri kaydı bakımından Hekzen veri sorumlusudur; bu kayıt Hekzen'in Aydınlatma Metni'nin konusudur. Müşteri, kendi sipariş kayıtları bakımından veri sorumlusu olmaya devam eder.
• Amaç: Aynı kişi Hekzen kullanan başka bir işletmeden paket sipariş verdiğinde, teslimat bilgisinin hızlı ve doğru doldurulması. Kayıt reklam, kampanya, profil çıkarma ve satış amacıyla kullanılmaz.
• Gösterim kuralları: Kayıt, bir işletme kullanıcısı kendi listesinde bulunmayan bir müşterinin telefon numarasını on haneli ve tam olarak ya da adını (en az üç harf) yazdığında öneri olarak gösterilir; bir isim aramasında en çok beş kayıt gösterilir. Kayıtlar işletmelere toplu olarak listelenmez, parça numarayla aranamaz ve dışa aktarılamaz. Her sorgu ve gösterilen her kayıt, sorgulayan işletme, kullanıcı ve zamanla kaydedilir; şube ve firma başına saatlik ve günlük sınırlar uygulanır. Aynı numaraya farklı kişilerin yazıldığı anlaşılan kayıtlar kimseye gösterilmez.
• Müşteri'nin yükümlülükleri: Müşteri ortak kayıtta yalnızca siparişi veren kişinin kendi verdiği telefon numarası ya da adıyla ve yalnızca o siparişin teslimatı için arama yapar, gelen bilgiyi müşteriyle teyit eder, numara ya da isim deneyerek kayıt toplamaz ve öğrendiği bilgiyi teslimat dışındaki bir amaçla (pazarlama, profil çıkarma, üçüncü kişiye aktarım) kullanmaz. Aykırılık hâlinde Hekzen ilgili işletmenin ortak kayda erişimini askıya alabilir.
• Aydınlatma: Müşteri, kendi müşterilerini teslimat bilgilerinin ortak müşteri kaydına aktarıldığı konusunda bilgilendirir. Firma Şablonları sayfasındaki paket sipariş metni bu amaçla güncellenmiştir.
• Başvuru ve itiraz: Ortak kayda ilişkin başvurular Hekzen'e yapılır. Kaydın silinmesini isteyen kişinin kaydı silinir ve numarası kayda yeniden eklenmemek üzere engellenir. Müşteri'ye ulaşan bu tür başvurular en geç 3 iş günü içinde Hekzen'e iletilir.
• Saklama: Kayıt son siparişten itibaren 2 yıl, sorgu kayıtları 1 yıl saklanır (Saklama ve İmha Politikası).

15. Öncelik

Kişisel verilerin işlenmesi konusunda bu VİS ile Hizmet Sözleşmesi arasında çelişki olursa bu VİS uygulanır.