KVKK aydınlatma metni

Türkçe metin asıldır; İngilizce metin bilgi amaçlıdır.

1. Veri sorumlusu ve bu metnin kapsamı

Bu aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") madde 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca hazırlanmıştır.

Veri sorumlusu	Pyramid Works LLC ("Crossell"), Pennsylvania, USA kanunlarına göre kurulmuş, Türkiye'de yerleşik olmayan veri sorumlusu
Adres	15 Wheatley Walk, Lansdale, PA 19446, USA
Kişisel veri başvuruları	[email protected]

Veri sorumlusu yurt dışında yerleşiktir. Crossell Türkiye'de kurulu değildir ve bugün Türkiye'de atanmış bir veri sorumlusu temsilcisi yoktur; bu nedenle başvurular yukarıdaki e-posta adresine (ve varsa adrese) yapılır, Bölüm 7'de anlatıldığı gibi sonuçlandırılır. Temsilci atandığında bu metin güncellenir.

Bu metin bir rıza metni değildir. Hizmeti kullanmak hiçbir açık rızaya bağlı değildir. Kayıt sırasında veya uygulamada "Aydınlatma Metni'ni okudum" kutusunu işaretlemeniz yalnızca size bu bilgilendirmenin yapıldığını kaydeder; verdiğiniz bir izin anlamına gelmez ve işlemenin hukuki sebebini değiştirmez. Açık rıza yalnızca Bölüm 8'deki isteğe bağlı analitik ve oturum kaydı için istenir ve her an geri alınabilir.

Crossell iki ayrı rolde kişisel veri işler:

Veri sorumlusu olarak (Bölüm 2–8): Crossell'e üye olan işletmelerin hesap sahipleri ve ekip üyeleri, web sitesi ziyaretçileri, erken erişim ve iletişim formu dolduranlar.
Veri işleyen olarak (Bölüm 9): Satıcının bağladığı pazaryeri ve satış kanalı hesaplarından gelen alıcı verileri. Bu verilerin veri sorumlusu satıcıdır; Crossell yalnızca satıcı adına ve onun talimatıyla işler (KVKK md. 3/1-ğ).

2. Satıcılar ve kullanıcılar: veri kategorileri (Crossell veri sorumlusu)

Kişi grupları: (K1) hesap sahibi ve ekip üyeleri (satıcı kullanıcıları), (K2) davet edilen kişiler, (K3) web sitesi ziyaretçileri, (K4) erken erişim / iletişim / geri bildirim formu dolduranlar, (K5) satıcı adına sözleşme imzalayan yetkililer (KVKK Modül 2 standart sözleşmesi).

Hukuki sebep kısaltmaları (KVKK md. 5): 5/1 açık rıza; 5/2-a kanunlarda açıkça öngörülme; 5/2-c bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma; 5/2-ç hukuki yükümlülük; 5/2-e bir hakkın tesisi, kullanılması veya korunması; 5/2-f meşru menfaat. Özel nitelikli kişisel veri (md. 6) işlenmesi amaçlanmaz.

Kategori	Örnek veri alanları	Kişi grubu	Amaç	Hukuki sebep	Alıcı grupları	Yurt dışı	Saklama süresi
Kimlik	Ad soyad, Google ile girişte Google'dan gelen ad; imzacı adı ve unvanı; satıcının belge başlığına yazdığı işletme adı (şahıs işletmesinde kişisel veri olabilir)	K1, K5	Hesabın açılması ve yönetimi; sözleşmenin kurulması; standart sözleşmenin düzenlenmesi	5/2-c; 5/2-ç (md. 9 standart sözleşme ve bildirimi)	Barındırma ve yedekleme hizmet sağlayıcısı; e-posta hizmet sağlayıcısı; yetkili kamu kurumları (Kişisel Verileri Koruma Kurumu dahil)	Evet (ABD)	Hesap açık olduğu sürece; hesap silme talebinden 30 gün sonra (iptal penceresi bitince) silinir; standart sözleşme ve imzacı bilgisi ilişki süresi + 10 yıl
İletişim	E-posta; ekip daveti e-postası; erken erişim e-postası ve mağaza adresi; geri bildirim e-postası; belge başlığı adresi	K1, K2, K4	Hesap ve güvenlik bildirimleri; ekip daveti; talebe dönüş; hizmetle ilgili bilgilendirme	5/2-c; 5/2-f	E-posta hizmet sağlayıcısı; barındırma	Evet (ABD)	Hesap süresince; davet 7 gün geçerli, kayıt hesap süresince; erken erişim talepleri 12 ay
Müşteri işlem	Abonelik planı ve durumu; kullanım sayaçları; destek talepleri, mesajları ve ekleri; ürün geri bildirimi; uygulama içi bildirimler; yapay zekâ kullanım kayıtları (görev türü, model, belirteç sayısı, maliyet; istem metni değil); satıcının kendi ürün, stok, fiyat, sipariş ve rapor kayıtları	K1	Hizmetin sunulması; destek; plan sınırlarının uygulanması; hizmet kalitesi	5/2-c; 5/2-f	Barındırma; e-posta sağlayıcısı (destek yanıtı bildirimi, metin gönderilmez); yapay zekâ hizmet sağlayıcısı (yalnızca satıcının başlattığı yapay zekâ görevinde istem metni)	Evet (ABD)	Hesap süresince; destek ekleri talep kapandıktan 12 ay sonra silinir; destek metinleri (süre belirlenecek); bildirimler (süre belirlenecek)
Finans	Stripe müşteri ve abonelik kimlikleri, ödeme kayıtları (tutar, para birimi, ödeme yöntemi türü; kart numarası Crossell'e gelmez); vergi dairesi ve vergi numarası (tax_number; şahıs işletmesinde T.C. kimlik numarasıyla aynı olabilir); pazaryeri hakediş ve ekstre satırları; yüklenen banka ekstresi satırları (tarih, tutar, açıklama)	K1	Abonelik tahsilatı ve muhasebe; satıcının fatura/etiket belgesinin düzenlenmesi; hakediş ve banka mutabakatı hizmeti	5/2-c; 5/2-ç	Ödeme hizmet sağlayıcısı (Stripe); barındırma	Evet (ABD)	Ödeme kayıtları ilgili vergi ve ticaret mevzuatındaki süre boyunca (süre belirlenecek); diğerleri hesap süresince
İşlem güvenliği	Parola özeti; iki adımlı doğrulama sırrı ve kurtarma kodu özetleri; oturum çerezi; e-posta doğrulama ve parola sıfırlama belirteçlerinin özetleri; hukuki metin kabulünde IP adresinin özeti ve tarayıcı bilgisi; işlem ve denetim kayıtları; pazaryeri API anahtarları ve OAuth belirteçleri, kargo hesabı bilgileri (AES-256-GCM ile şifreli, ); takma adlı telemetri kimliği ve hata izleri (kendi sunucumuzdaki SigNoz); sunucu erişim günlükleri (IP adresi)	K1, K3	Bilgi güvenliği; hesabın kötüye kullanımının önlenmesi; olay incelemesi; bağlı mağazalarla çalışma	5/2-c; 5/2-ç (md. 12 veri güvenliği); 5/2-f	Barındırma ve yedekleme; yetkili kamu kurumları	Evet (ABD)	Pazaryeri kimlik bilgileri bağlantı kesilince temizlenir; oturum çerezi 30 gün; bazı kanallarda alıcı verisine erişim kaydı en az 12 ay; denetim kayıtları ve sunucu günlükleri (süre belirlenecek)
Pazarlama	Kayıt kaynağı ve kampanya parametreleri; tavsiye kodu; karşılama e-posta dizisinin durumu; e-posta teslim olayları (analytics_events, Resend webhook; açılma ve tıklama kaydedilmez); sunucuda kaydedilen birinci taraf ürün adımı olayları (kayıt, ödeme, ilk mağaza bağlantısı; sayfa yolu ve tarayıcı bilgisiyle, analytics_events, ); yalnızca açık rıza ile: Google Analytics 4 ve PostHog ölçüm verisi, maskeli oturum kaydı	K1, K3, K4	Kayıt kanallarının ölçülmesi; hizmetin tanıtımı ve geliştirilmesi; ürün analitiği	5/2-f (kanal ölçümü, hizmet e-postası); 5/1 açık rıza (analitik çerezler, oturum kaydı); ticari elektronik ileti için 6563 sayılı Kanun kapsamında onay	E-posta sağlayıcısı; analitik hizmet sağlayıcıları (Google, PostHog)	Evet (ABD; PostHog açıksa AB)	Hesap süresince; analitik veriler sağlayıcı hesabındaki saklama ayarı kadar (süre belirlenecek); rıza geri alınınca yeni toplama durur
Hukuki işlem	Kullanım Koşulları, Gizlilik ve diğer metinlerin hangi sürümünün ne zaman kabul edildiği; KVKK Modül 2 standart sözleşmesi, imzalı dosyalar, imza yetki belgeleri ve olay kaydı; ilgili kişi başvuruları ve yazışmalar	K1, K5	Hukuki yükümlülüklerin yerine getirilmesi; ispat; uyuşmazlıkların çözümü; Kurum'a bildirim	5/2-ç; 5/2-e	Kişisel Verileri Koruma Kurumu (bildirim); yetkili kamu kurumları ve mahkemeler	Evet (ABD'de saklanır)	Kabul kayıtları hesap süresi + zamanaşımı süresi 10 yıl; standart sözleşme dosyaları ilişki süresi + 10 yıl
Görsel ve işitsel kayıtlar	Bilerek işlenmez. Satıcının yüklediği ürün görselleri kişi içerebilir; yapay zekâ görsel görevlerinde bu görseller yapay zekâ sağlayıcısına gönderilir. Oturum kaydı ekran görüntüsü değildir (Bölüm 8).	K1	Ürün görseli düzenleme ve analizi	5/2-c	Yapay zekâ hizmet sağlayıcısı	Evet (ABD)	Satıcı silene veya hesap kapanana kadar
Lokasyon	Konum verisi toplanmaz. Google Analytics, rıza verilmişse IP'den kaba konum (ülke/şehir) türetebilir; Crossell IP'yi PostHog'a iletmez.	K3	—	5/1 (yalnızca analitik)	Google	Evet	Sağlayıcı ayarı

Kategori: Kimlik
Örnek veri alanları: Ad soyad, Google ile girişte Google'dan gelen ad; imzacı adı ve unvanı; satıcının belge başlığına yazdığı işletme adı (şahıs işletmesinde kişisel veri olabilir)
Kişi grubu: K1, K5
Amaç: Hesabın açılması ve yönetimi; sözleşmenin kurulması; standart sözleşmenin düzenlenmesi
Hukuki sebep: 5/2-c; 5/2-ç (md. 9 standart sözleşme ve bildirimi)
Alıcı grupları: Barındırma ve yedekleme hizmet sağlayıcısı; e-posta hizmet sağlayıcısı; yetkili kamu kurumları (Kişisel Verileri Koruma Kurumu dahil)
Yurt dışı: Evet (ABD)
Saklama süresi: Hesap açık olduğu sürece; hesap silme talebinden 30 gün sonra (iptal penceresi bitince) silinir; standart sözleşme ve imzacı bilgisi ilişki süresi + 10 yıl

Kategori: İletişim
Örnek veri alanları: E-posta; ekip daveti e-postası; erken erişim e-postası ve mağaza adresi; geri bildirim e-postası; belge başlığı adresi
Kişi grubu: K1, K2, K4
Amaç: Hesap ve güvenlik bildirimleri; ekip daveti; talebe dönüş; hizmetle ilgili bilgilendirme
Hukuki sebep: 5/2-c; 5/2-f
Alıcı grupları: E-posta hizmet sağlayıcısı; barındırma
Yurt dışı: Evet (ABD)
Saklama süresi: Hesap süresince; davet 7 gün geçerli, kayıt hesap süresince; erken erişim talepleri 12 ay

Kategori: Müşteri işlem
Örnek veri alanları: Abonelik planı ve durumu; kullanım sayaçları; destek talepleri, mesajları ve ekleri; ürün geri bildirimi; uygulama içi bildirimler; yapay zekâ kullanım kayıtları (görev türü, model, belirteç sayısı, maliyet; istem metni değil); satıcının kendi ürün, stok, fiyat, sipariş ve rapor kayıtları
Kişi grubu: K1
Amaç: Hizmetin sunulması; destek; plan sınırlarının uygulanması; hizmet kalitesi
Hukuki sebep: 5/2-c; 5/2-f
Alıcı grupları: Barındırma; e-posta sağlayıcısı (destek yanıtı bildirimi, metin gönderilmez); yapay zekâ hizmet sağlayıcısı (yalnızca satıcının başlattığı yapay zekâ görevinde istem metni)
Yurt dışı: Evet (ABD)
Saklama süresi: Hesap süresince; destek ekleri talep kapandıktan 12 ay sonra silinir; destek metinleri (süre belirlenecek); bildirimler (süre belirlenecek)

Kategori: Finans
Örnek veri alanları: Stripe müşteri ve abonelik kimlikleri, ödeme kayıtları (tutar, para birimi, ödeme yöntemi türü; kart numarası Crossell'e gelmez); vergi dairesi ve vergi numarası (tax_number; şahıs işletmesinde T.C. kimlik numarasıyla aynı olabilir); pazaryeri hakediş ve ekstre satırları; yüklenen banka ekstresi satırları (tarih, tutar, açıklama)
Kişi grubu: K1
Amaç: Abonelik tahsilatı ve muhasebe; satıcının fatura/etiket belgesinin düzenlenmesi; hakediş ve banka mutabakatı hizmeti
Hukuki sebep: 5/2-c; 5/2-ç
Alıcı grupları: Ödeme hizmet sağlayıcısı (Stripe); barındırma
Yurt dışı: Evet (ABD)
Saklama süresi: Ödeme kayıtları ilgili vergi ve ticaret mevzuatındaki süre boyunca (süre belirlenecek); diğerleri hesap süresince

Kategori: İşlem güvenliği
Örnek veri alanları: Parola özeti; iki adımlı doğrulama sırrı ve kurtarma kodu özetleri; oturum çerezi; e-posta doğrulama ve parola sıfırlama belirteçlerinin özetleri; hukuki metin kabulünde IP adresinin özeti ve tarayıcı bilgisi; işlem ve denetim kayıtları; pazaryeri API anahtarları ve OAuth belirteçleri, kargo hesabı bilgileri (AES-256-GCM ile şifreli, ); takma adlı telemetri kimliği ve hata izleri (kendi sunucumuzdaki SigNoz); sunucu erişim günlükleri (IP adresi)
Kişi grubu: K1, K3
Amaç: Bilgi güvenliği; hesabın kötüye kullanımının önlenmesi; olay incelemesi; bağlı mağazalarla çalışma
Hukuki sebep: 5/2-c; 5/2-ç (md. 12 veri güvenliği); 5/2-f
Alıcı grupları: Barındırma ve yedekleme; yetkili kamu kurumları
Yurt dışı: Evet (ABD)
Saklama süresi: Pazaryeri kimlik bilgileri bağlantı kesilince temizlenir; oturum çerezi 30 gün; bazı kanallarda alıcı verisine erişim kaydı en az 12 ay; denetim kayıtları ve sunucu günlükleri (süre belirlenecek)

Kategori: Pazarlama
Örnek veri alanları: Kayıt kaynağı ve kampanya parametreleri; tavsiye kodu; karşılama e-posta dizisinin durumu; e-posta teslim olayları (analytics_events, Resend webhook; açılma ve tıklama kaydedilmez); sunucuda kaydedilen birinci taraf ürün adımı olayları (kayıt, ödeme, ilk mağaza bağlantısı; sayfa yolu ve tarayıcı bilgisiyle, analytics_events, ); yalnızca açık rıza ile: Google Analytics 4 ve PostHog ölçüm verisi, maskeli oturum kaydı
Kişi grubu: K1, K3, K4
Amaç: Kayıt kanallarının ölçülmesi; hizmetin tanıtımı ve geliştirilmesi; ürün analitiği
Hukuki sebep: 5/2-f (kanal ölçümü, hizmet e-postası); 5/1 açık rıza (analitik çerezler, oturum kaydı); ticari elektronik ileti için 6563 sayılı Kanun kapsamında onay
Alıcı grupları: E-posta sağlayıcısı; analitik hizmet sağlayıcıları (Google, PostHog)
Yurt dışı: Evet (ABD; PostHog açıksa AB)
Saklama süresi: Hesap süresince; analitik veriler sağlayıcı hesabındaki saklama ayarı kadar (süre belirlenecek); rıza geri alınınca yeni toplama durur

Kategori: Hukuki işlem
Örnek veri alanları: Kullanım Koşulları, Gizlilik ve diğer metinlerin hangi sürümünün ne zaman kabul edildiği; KVKK Modül 2 standart sözleşmesi, imzalı dosyalar, imza yetki belgeleri ve olay kaydı; ilgili kişi başvuruları ve yazışmalar
Kişi grubu: K1, K5
Amaç: Hukuki yükümlülüklerin yerine getirilmesi; ispat; uyuşmazlıkların çözümü; Kurum'a bildirim
Hukuki sebep: 5/2-ç; 5/2-e
Alıcı grupları: Kişisel Verileri Koruma Kurumu (bildirim); yetkili kamu kurumları ve mahkemeler
Yurt dışı: Evet (ABD'de saklanır)
Saklama süresi: Kabul kayıtları hesap süresi + zamanaşımı süresi 10 yıl; standart sözleşme dosyaları ilişki süresi + 10 yıl

Kategori: Görsel ve işitsel kayıtlar
Örnek veri alanları: Bilerek işlenmez. Satıcının yüklediği ürün görselleri kişi içerebilir; yapay zekâ görsel görevlerinde bu görseller yapay zekâ sağlayıcısına gönderilir. Oturum kaydı ekran görüntüsü değildir (Bölüm 8).
Kişi grubu: K1
Amaç: Ürün görseli düzenleme ve analizi
Hukuki sebep: 5/2-c
Alıcı grupları: Yapay zekâ hizmet sağlayıcısı
Yurt dışı: Evet (ABD)
Saklama süresi: Satıcı silene veya hesap kapanana kadar

Kategori: Lokasyon
Örnek veri alanları: Konum verisi toplanmaz. Google Analytics, rıza verilmişse IP'den kaba konum (ülke/şehir) türetebilir; Crossell IP'yi PostHog'a iletmez.
Kişi grubu: K3
Amaç: —
Hukuki sebep: 5/1 (yalnızca analitik)
Alıcı grupları: Google
Yurt dışı: Evet
Saklama süresi: Sağlayıcı ayarı

3. Toplama yöntemi

Sizden, elektronik ortamda: kayıt ve giriş formu, Ayarlar, ekip daveti, destek talebi, geri bildirim, erken erişim ve iletişim formları, KVKK Modül 2 imza akışı.
Otomatik yollarla: oturum ve güvenlik kayıtları, çerezler, yalnızca izin verirseniz analitik araçlar.
Üçüncü kişilerden: Google ile girişte Google'dan e-posta, ad ve hesap kimliği; Stripe'tan ödeme sonucu; bağladığınız pazaryeri ve satış kanallarından, sizin verdiğiniz yetki (API anahtarı veya OAuth) ile.

4. Aktarılan alıcı grupları (md. 8 ve 10/1-c)

Crossell kişisel verileri satmaz ve reklam amacıyla paylaşmaz. Veriler yalnızca aşağıdaki gruplara, yukarıdaki amaçlarla sınırlı olarak aktarılır. Hizmet sağlayıcıların güncel listesi: /subprocessors.

Alıcı grubu	Kim	Ne için	Ülke
Barındırma	Hivelocity, LLC (sunucu, veritabanı, kuyruklar, kendi telemetrimiz)	Tüm uygulama verisinin saklanması	ABD (veri merkezi şehri doğrulanmadı)
Yedekleme ve dosya depolama	Cloudflare, Inc. (R2)	Şifreli veritabanı yedekleri; destek ekleri ve özel belgeler (şifreli)	ABD (bölge doğrulanmadı)
Ağ ve alan adı	Cloudflare, Inc.	Alan adı (DNS), e-posta yönlendirme	ABD
E-posta	Plus Five Five, Inc. (Resend)	Hesap, güvenlik, fatura, davet, destek ve karşılama e-postaları	ABD
Ödeme	Stripe	Abonelik tahsilatı, fatura	ABD
Yapay zekâ	OpenRouter, Inc. ve onun üzerinden Google (Gemini modelleri), bir görevde yedek olarak OpenAI	Satıcının başlattığı yapay zekâ görevleri (taslak yanıt, çeviri, ürün metni, kategori eşleme, görsel)	ABD
Analitik (yalnızca açık rıza ile)	Google LLC (Google Analytics 4); PostHog (yalnızca açıldığında)	Ürün kullanımının ölçülmesi	ABD; PostHog AB (Frankfurt)
Kimlik doğrulama	Google LLC (Google ile giriş)	Giriş	ABD
e-Fatura (yalnızca satıcı fatura kestiğinde)	e-Faturam	e-Arşiv / e-Fatura düzenleme	Türkiye
Satıcının bağladığı pazaryerleri ve satış kanalları	Satıcının yetkilendirdiği kanallar	Satıcının talimatıyla veri okunması ve gönderilmesi	Kanala göre
Yetkili kamu kurum ve kuruluşları	Kişisel Verileri Koruma Kurumu, yargı mercileri	Kanuni yükümlülük	Türkiye / ilgili ülke

5. Yurt dışına aktarım (md. 9, 7499 sayılı Kanunla değişik hali, 1 Haziran 2024'ten beri)

Crossell Türkiye'de yerleşik olmadığından, Türkiye'deki kullanıcılardan topladığımız verilerin sunucularımızda ve hizmet sağlayıcılarımızda işlenmesi yurt dışına aktarım niteliğindedir. Verilerin işlendiği ülkeler hizmet sağlayıcı listesinde (/subprocessors) tek tek gösterilir. Sunucularımız ve hizmet sağlayıcılarımızın çoğu ABD'dedir; PostHog açıksa veri AB'de saklanır. Kurul'un ABD veya AB için yeterlilik kararı bulunmadığından her ikisi de yurt dışına aktarımdır.

Dayanak: md. 9/4-c uyarınca Kurul'un ilan ettiği standart sözleşmeler ve imzadan sonra 5 iş günü içinde Kurum'a bildirim. Crossell'in kendi verileri için Crossell (veri sorumlusu) ile her hizmet sağlayıcı arasında Modül 2; satıcı adına işlenen alıcı verisi için satıcı ile Crossell arasında Modül 2 ve Crossell ile alt işleyenler arasında Modül 3. Durum: imzalanmadı.
Açık rızaya dayanılmaz. md. 9/6'daki istisnalar (açık rıza dahil) yalnızca arızi (düzenli olmayan) aktarımlar içindir (Yurt Dışına Aktarım Yönetmeliği md. 16/1); Crossell'in aktarımları süreklidir. Analitik çerezler için istenen açık rıza işleme içindir; aktarımın dayanağı değildir.
Aktarılan veri kategorileri ve alıcı grupları Bölüm 2 ve Bölüm 4'te, aktarımın amaçları ve hukuki sebepleri Bölüm 2'de gösterilmiştir. Ayrıntı ve sözleşmelerin bir örneği talep üzerine verilir.

6. Saklama ve imha

Veriler Bölüm 2'deki sürelerle saklanır, süre sonunda Kişisel Veri Saklama ve İmha Politikası'na göre silinir, yok edilir veya anonim hale getirilir (/data-deletion; taslak ). Onaylanan süreler (sahip, 28.10.2026): (1) satıcının kendi yanıtları: hesap etkin olduğu sürece (alıcı adı 2 yıl sonra içlerinden çıkarılır); (2) alıcı adıyla soru ve mesajlar: son mesajdan 2 yıl, sonra ad ve tüm alıcı tanımlayıcıları kaldırılır, soru ve yanıt metni anonim kalır; (3) siparişlerdeki müşteri adları: hesap etkin olduğu sürece, hesapla birlikte silinir; (4) hesap silindikten sonra: 30 günlük iptal penceresinin ardından silinir; (5) kargo etiketi dosyaları: 30 gün. Yapay zekâ kredilerinin süresi dolar (Hizmet Sözleşmesi 6.4).

Veritabanı yedekleri 30 gün, haftalık disk yedekleri 84 gün, noktasal geri dönüş arşivi (süre belirlenecek) tutulur; silinen bir veri bu yedeklerden en geç bu sürelerin sonunda kalkar.

7. Haklarınız (md. 11) ve başvuru (md. 13)

Kişisel verilerinizin işlenip işlenmediğini öğrenme; işlenmişse bilgi talep etme; işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmişse düzeltilmesini isteme; md. 7 çerçevesinde silinmesini veya yok edilmesini isteme; bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etme; kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz.

Başvuru yolları (Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ md. 5):

Islak imzalı dilekçe ile 15 Wheatley Walk, Lansdale, PA 19446, USA adresine;
Güvenli elektronik imza veya mobil imza ile [email protected] adresine;
Crossell hesabınızda kayıtlı e-posta adresinizden [email protected] adresine.

Türkiye'de atanmış bir temsilcimiz ve KEP adresimiz olmadığı için en kolay yol, hesabınızda kayıtlı e-posta adresinizden [email protected] adresine yazmaktır (5. yol); hesabınız yoksa güvenli elektronik veya mobil imzalı e-posta (4. yol) veya yazılı dilekçe kullanılabilir.

Başvuruda ad soyad, (başvuru yazılıysa) imza, T.C. kimlik numarası (yabancılar için uyruk ve pasaport/kimlik numarası), tebligata esas adres, varsa e-posta / telefon ve talep konusu bulunmalıdır. Başvurunuzu niteliğine göre en geç 30 gün içinde ücretsiz sonuçlandırırız; cevap yazılı verilecekse on sayfaya kadar ücret alınmaz, sonraki her sayfa için 1 TL, kayıt ortamı gerekiyorsa ortamın maliyeti alınabilir (Tebliğ md. 7). Cevap vermezsek, başvurunuz reddedilirse veya cevabı yetersiz bulursanız cevabı öğrendiğiniz tarihten itibaren 30 gün, her hâlde başvurudan itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz (md. 14).

Not: Bir pazaryeri alıcısıysanız ve verileriniz bir satıcının Crossell hesabından işleniyorsa, başvurunuzun muhatabı o satıcıdır (Bölüm 9). Crossell'e gelen böyle bir başvuruyu 5 iş günü içinde satıcıya iletiriz.

8. Ürün analitiği ve oturum kaydı (yalnızca açık rıza ile)

Çerez tercihlerinizde "Analitik" kategorisine izin verirseniz Google Analytics 4 ve (açıkken) PostHog yüklenir. İzin vermezseniz bu araçlar tarayıcınıza hiç yüklenmez. İzni sayfanın altındaki "Çerez ayarları" bağlantısından istediğiniz an geri alabilirsiniz; geri alınca ölçüm durur ve ilgili çerezler silinir.

PostHog oturum kaydı ekran görüntüsü değildir: sayfa yapısını ve tıklama zamanlamasını kaydeder; uygulama ekranlarında tüm metinler ve form alanları maskelenir, parola alanları hiç kaydedilmez; giriş, kayıt, parola, davet, ayarlar, yönetim ve pazaryeri bağlantı sayfalarında hiçbir şey kaydedilmez. IP adresiniz PostHog'a iletilmez. PostHog'da e-postanızla değil, sunucumuzda gizli anahtarla üretilen geri çevrilemez bir kimlikle tanınırsınız. Alıcılarınıza ait ad, adres, telefon veya sipariş tutarı PostHog'a gönderilmez. PostHog bugün kapalıdır (CROSSELL_POSTHOG=on gerekir, ).

9. Satıcı adına işlenen alıcı verisi (Crossell veri işleyen)

Kime yönelik: Bu bölüm hem satıcıya (veri sorumlusu olarak kendi aydınlatma yükümlülüğünü yerine getirebilmesi için) hem de pazaryeri alıcılarına bilgi içindir. Alıcı verisinin veri sorumlusu satıcıdır; pazaryeri kendi kopyası için ayrı veri sorumlusudur. Hukuki sebebi satıcı belirler; Crossell bu verileri kendi amaçları için kullanmaz, satmaz, yapay zekâ modeli eğitiminde kullanmaz. Satıcı ile Crossell arasındaki ilişki Veri İşleme Sözleşmesi ve KVKK Modül 2 standart sözleşmesiyle düzenlenir.

Kişi grubu: satıcının pazaryeri ve satış kanalı alıcıları (ve soru soran potansiyel alıcılar).

Kategori	Örnek veri alanları (kaynak)	Amaç (satıcının talimatıyla)	Alt işleyen / alıcı	Yurt dışı	Saklama (bugün kodda)
Kimlik	Pazaryerinin gösterdiği alıcı adı; aynı alıcıyı tanımak için geri çevrilemez anahtar (HMAC-SHA256; orders.provider_buyer_key; bazı kanallarda karma kullanıcı adı)	Sipariş ve mesaj yönetimi; aynı alıcının önceki yazışmasını gösterme	Barındırma, yedekleme	Evet (ABD)	Siparişlerdeki alıcı adı: hesap etkin olduğu sürece (işletme kaydı), hesapla birlikte silinir; konuşmalardaki alıcı adı, alıcı anahtarı ve pazaryeri alıcı kimliği: son mesajdan 2 yıl sonra kaldırılır (aşağıdaki İletişim satırı); bazı kanallarda alıcı alanları (süre belirlenecek); kanal silme bildirimi gelince hemen boşaltılır
İletişim	Alıcının soru ve mesaj metinleri, konusu, eki; orders.customer_email sütunu (bugün yazan bir kod yolu bulunamadı, eski kayıtlar olabilir)	Müşteri sorularının yanıtlanması; isteğe bağlı yapay zekâ yanıt taslağı ve çeviri	Barındırma, yedekleme; yapay zekâ sağlayıcısı (maskeli metin)	Evet (ABD)	Konuşmanın son mesajından 2 yıl sonra alıcının adı, alıcı anahtarı, pazaryeri alıcı kimliği ve metin içinde geçen alıcı adı kaldırılır; soru ve yanıt metni anonim olarak kalır (yapay zekâ yanıt önerileri için anonim örnek). Satıcının kendi yanıtları hesap etkin olduğu sürece saklanır; alıcı adı, konuşmanın son mesajından 2 yıl sonra içlerinden çıkarılır. Mesajdan türetilen analiz kayıtları (message_request_extractions, inceleme ve düzeltme notları) denetim tetikleyicileri nedeniyle yeniden yazılmaz, hesapla silinir. Hesap silinince hepsi silinir.
Adres / lokasyon	Türk pazaryerlerinde yalnızca il ve ilçe, kurumsal/bireysel işareti; diğer kanallarda ülke, bölge ve posta kodu; teslimat adresi tipi kodu. Açık adres, telefon ve vergi/T.C. kimlik numarası veritabanına yazılmaz: etiket basımı ve e-fatura anında pazaryerinden okunur ve yalnızca o işlem için kullanılır. İstisna: pazaryerinden alınan kargo etiketi dosyası (ZPL) alıcı adı ile teslimat adresini içerebilir; oluşturulmasından 30 gün sonra saatlik saklama işiyle boşaltılır	Bölge raporları; kargo etiketi; e-fatura	Barındırma, yedekleme; e-Faturam (yalnızca fatura kesiminde ad ve vergi bilgisi)	Evet (ABD); e-Faturam Türkiye	İl/ilçe ve bölge hesap süresince; etiket dosyası süresiz; ham pazaryeri kayıtları 90 gün
Müşteri işlem	Sipariş numarası, satırlar, ürün, adet, tutar, para birimi, durum, kargo firması ve takip numarası, paket bilgileri, ödeme yöntemi kodu (kart verisi değil), iade ve talep kayıtları, e-fatura numarası/ETTN ve tutarları	Sipariş, stok, kargo, iade, finans raporları; satıcının başlattığı sipariş işlemleri	Barındırma, yedekleme; satıcının talimatıyla pazaryeri	Evet (ABD)	Hesap süresince
Görsel	İade talebi fotoğrafları (yalnızca iade fotoğrafı sunan bir kanalda)	İade inceleme	Barındırma	Evet (ABD)	En fazla 7 gün

Kategori: Kimlik
Örnek veri alanları (kaynak): Pazaryerinin gösterdiği alıcı adı; aynı alıcıyı tanımak için geri çevrilemez anahtar (HMAC-SHA256; orders.provider_buyer_key; bazı kanallarda karma kullanıcı adı)
Amaç (satıcının talimatıyla): Sipariş ve mesaj yönetimi; aynı alıcının önceki yazışmasını gösterme
Alt işleyen / alıcı: Barındırma, yedekleme
Yurt dışı: Evet (ABD)
Saklama (bugün kodda): Siparişlerdeki alıcı adı: hesap etkin olduğu sürece (işletme kaydı), hesapla birlikte silinir; konuşmalardaki alıcı adı, alıcı anahtarı ve pazaryeri alıcı kimliği: son mesajdan 2 yıl sonra kaldırılır (aşağıdaki İletişim satırı); bazı kanallarda alıcı alanları (süre belirlenecek); kanal silme bildirimi gelince hemen boşaltılır

Kategori: İletişim
Örnek veri alanları (kaynak): Alıcının soru ve mesaj metinleri, konusu, eki; orders.customer_email sütunu (bugün yazan bir kod yolu bulunamadı, eski kayıtlar olabilir)
Amaç (satıcının talimatıyla): Müşteri sorularının yanıtlanması; isteğe bağlı yapay zekâ yanıt taslağı ve çeviri
Alt işleyen / alıcı: Barındırma, yedekleme; yapay zekâ sağlayıcısı (maskeli metin)
Yurt dışı: Evet (ABD)
Saklama (bugün kodda): Konuşmanın son mesajından 2 yıl sonra alıcının adı, alıcı anahtarı, pazaryeri alıcı kimliği ve metin içinde geçen alıcı adı kaldırılır; soru ve yanıt metni anonim olarak kalır (yapay zekâ yanıt önerileri için anonim örnek). Satıcının kendi yanıtları hesap etkin olduğu sürece saklanır; alıcı adı, konuşmanın son mesajından 2 yıl sonra içlerinden çıkarılır. Mesajdan türetilen analiz kayıtları (message_request_extractions, inceleme ve düzeltme notları) denetim tetikleyicileri nedeniyle yeniden yazılmaz, hesapla silinir. Hesap silinince hepsi silinir.

Kategori: Adres / lokasyon
Örnek veri alanları (kaynak): Türk pazaryerlerinde yalnızca il ve ilçe, kurumsal/bireysel işareti; diğer kanallarda ülke, bölge ve posta kodu; teslimat adresi tipi kodu. Açık adres, telefon ve vergi/T.C. kimlik numarası veritabanına yazılmaz: etiket basımı ve e-fatura anında pazaryerinden okunur ve yalnızca o işlem için kullanılır. İstisna: pazaryerinden alınan kargo etiketi dosyası (ZPL) alıcı adı ile teslimat adresini içerebilir; oluşturulmasından 30 gün sonra saatlik saklama işiyle boşaltılır
Amaç (satıcının talimatıyla): Bölge raporları; kargo etiketi; e-fatura
Alt işleyen / alıcı: Barındırma, yedekleme; e-Faturam (yalnızca fatura kesiminde ad ve vergi bilgisi)
Yurt dışı: Evet (ABD); e-Faturam Türkiye
Saklama (bugün kodda): İl/ilçe ve bölge hesap süresince; etiket dosyası süresiz; ham pazaryeri kayıtları 90 gün

Kategori: Müşteri işlem
Örnek veri alanları (kaynak): Sipariş numarası, satırlar, ürün, adet, tutar, para birimi, durum, kargo firması ve takip numarası, paket bilgileri, ödeme yöntemi kodu (kart verisi değil), iade ve talep kayıtları, e-fatura numarası/ETTN ve tutarları
Amaç (satıcının talimatıyla): Sipariş, stok, kargo, iade, finans raporları; satıcının başlattığı sipariş işlemleri
Alt işleyen / alıcı: Barındırma, yedekleme; satıcının talimatıyla pazaryeri
Yurt dışı: Evet (ABD)
Saklama (bugün kodda): Hesap süresince

Kategori: Görsel
Örnek veri alanları (kaynak): İade talebi fotoğrafları (yalnızca iade fotoğrafı sunan bir kanalda)
Amaç (satıcının talimatıyla): İade inceleme
Alt işleyen / alıcı: Barındırma
Yurt dışı: Evet (ABD)
Saklama (bugün kodda): En fazla 7 gün

Yapay zekâ: Satıcı bir yapay zekâ özelliğini kullandığında, alıcı mesajı OpenRouter üzerinden Google Gemini modeline gönderilmeden önce ad, e-posta, telefon, kimlik ve sipariş numaraları maskelenir. Bu takma adlaştırmadır, anonimleştirme değildir. Yapay zekâ taslağı satıcı onaylamadan gönderilmez.

Alıcının başvurusu: Alıcılar KVKK md. 11 haklarını satıcıya karşı kullanır. Crossell'e gelen başvuru 5 iş günü içinde satıcıya iletilir, satıcının talimatı olmadan cevaplanmaz.

Satıcılar için örnek paragraf (kendi aydınlatma metninize uyarlayarak ekleyebilirsiniz):

10. Güvenlik (md. 12)

Uyguladığımız başlıca tedbirler: aktarımda HTTPS; pazaryeri kimlik bilgileri, belirteçler ve kargo hesap bilgileri AES-256-GCM ile şifreli; özel dosyalar (destek ekleri, sözleşmeler) zarf şifrelemesiyle (private_artifacts: dosya başına anahtar, ); parola en az 12 karakter ve parolalı her hesapta 365 günde bir yenilenir; kullanıcılar için isteğe bağlı, yöneticiler için zorunlu iki adımlı doğrulama (TOTP); rol ve özellik bazlı ekip yetkisi, kısıtlı ekip üyelerinden parasal verilerin gizlenmesi; yönetici işlemleri ve hassas alan erişimleri için denetim kayıtları; günlük yedekleme; sunucuda güvenlik duvarı ve saldırı tespiti; yapay zekâya giden metinde maskeleme; veri minimizasyonu. Bir veri ihlalinde Kurul'a ve ilgili kişilere bildirim, Kurul'un 2019/10 sayılı kararındaki 72 saatlik süreye göre yapılır.

11. Değişiklikler

Bu metin değişirse yeni sürüm tarihiyle yayınlanır; esaslı değişikliklerde hesabınızdaki e-postaya bildirim yapılır ve yeni sürümün kabulü istenir. Sürüm: (süre belirlenecek).

KVKK md. 11 kapsamındaki bir hakkınızı kullanmak için başvuru formunu kullanın. Veri başvuru formu