Datenschutzrichtlinie

1. Giriş ve kapsam

WhileTrade (“WhileTrade”, “biz”), www.whiletrade.com internet sitesi ve varsa mobil uygulamaları üzerinden sunduğu hizmetlerde bilgi güvenliğine ve kişisel verilerin korunmasına önem verir. Bu Gizlilik ve Bilgi Güvenliği Politikası (“Politika”), Platform’u ziyaret eden, hesap oluşturan, alışveriş yapan, ürün veya hizmet listeleyen, satıcı başvurusu yapan ya da müşteri desteğiyle iletişim kuran kişilere yönelik genel güvenlik ve gizlilik yaklaşımımızı açıklar.

Bu Politika; veri güvenliği için uygulanan veya uygulanması planlanan tedbirlerin genel çerçevesini, ödeme işlemlerinin yürütülme biçimini, mobil uygulama izinlerini, ticari ileti tercihlerini, çerezleri ve güvenlik olaylarına ilişkin yaklaşımımızı kapsar. Kişisel verilerin hangi amaçlarla, hangi hukuki sebeplere dayanılarak işlendiği, kimlere aktarılabildiği, ne kadar süre saklandığı ve ilgili kişilerin hakları hakkında ayrıntılı bilgi için KVKK Aydınlatma Metni ayrıca incelenmelidir.

Bu metin, Platform’un gerçek işleyişiyle uyumlu olacak şekilde uygulanır. WhileTrade’in hangi faaliyetlerde veri sorumlusu, hangi faaliyetlerde veri işleyen olduğu ilgili işleme faaliyetine göre belirlenir. Satıcıların kendi müşteri kayıtları ve sipariş sonrası işlemleri bakımından veri sorumlusu oldukları durumlarda, satıcıların kendi aydınlatma ve veri güvenliği yükümlülükleri ayrıca devam eder.

Veri sorumlusu bilgileri:

• Unvan/ad soyad: [resmî ticari kayıtlarla doğrulanmış tam unvan veya gerçek kişi işletme sahibi]
• Adres: [tebligata uygun ve güncel adres]
• E-posta: [KVKK başvuruları için kullanılan e-posta adresi]
• Platform: www.whiletrade.com

Bu alanlar, Platform’un gerçek işletmecisi ve sözleşmelerde taraf olarak yer alan kişi/kuruluş ile doğrulanmadan yayımlanmamalıdır.

2. Bilgi güvenliği ve teknik önlemler

WhileTrade, işlediği bilgilerin niteliğine, risklere ve hizmetin yapısına uygun teknik ve idari tedbirleri uygulamayı hedefler. Tedbirler, sistemlerin gerçek mimarisi ve kullanılan hizmet sağlayıcılar doğrultusunda belirlenir. Hiçbir internet iletim veya depolama yönteminin mutlak güvenlik sağladığı garanti edilemez.

Uygulandığı ve doğrulandığı ölçüde alınan başlıca tedbirler şunlardır:

• Bağlantı güvenliği: Platform ile kullanıcı cihazı arasındaki bağlantılarda HTTPS/TLS gibi şifreli iletişim protokolleri kullanılır. Protokol ve şifreleme ayrıntıları, fiilen kullanılan sunucu yapılandırmasına göre belirlenir.
• Sunucu ve ağ güvenliği: Sunucu erişimleri yetkilendirme, güncelleme, güvenlik duvarı ve izleme mekanizmalarıyla korunur. DDoS koruması, saldırı tespit/önleme araçları veya harici güvenlik hizmetleri yalnızca gerçekten etkinleştirildikleri ölçüde bu kapsama dahildir.
• Erişim yetkileri: Kişisel verilere erişim, görev için gerekli olan kişilerle ve gerekli kapsamla sınırlandırılır. Yönetici hesapları, ayrıcalıklı erişimler ve uzaktan erişim yöntemleri uygun güvenlik kontrolleriyle korunur.
• Kimlik doğrulama ve parola güvenliği: Kullanıcı parolaları açık metin olarak saklanmamalı; güncel, uygun parola özetleme yöntemleri kullanılmalıdır. Çok faktörlü doğrulama, VPN ve benzeri kontroller yalnızca gerçekten uygulanıyorsa belirtilir.
• Kayıt ve izleme: Güvenlik açısından gerekli sistem ve erişim olayları, amaçla orantılı sürelerle kaydedilir; bu kayıtlara erişim sınırlandırılır.
• Yedekleme ve kurtarma: Hizmet sürekliliği için uygun yedekleme ve geri yükleme süreçleri yürütülür. Yedeklerin erişimi ve imhası da güvenlik süreçlerine tabidir.
• Personel ve tedarikçi güvenliği: Erişim yetkisi bulunan kişiler gizlilik ve güvenlik kurallarına tabi tutulur. Dış hizmet sağlayıcıların erişimleri ve sözleşmesel yükümlülükleri, ilgili hizmetin kapsamına göre yönetilir.

Yayımlama öncesi kontrol: “7/24 izleme”, “256-bit şifreleme”, “tüm erişimler VPN ve 2FA ile yapılır”, “Türkiye’de barındırılır” gibi kesin ifadeler ancak teknik kayıtlar ve tedarikçi sözleşmeleriyle doğrulanıyorsa kullanılmalıdır. Sunucuların Türkiye’de bulunması, trafik veya verilerin hiçbir şekilde yurt dışına aktarılmadığı anlamına tek başına gelmez.

3. Ödeme güvenliği ve kart bilgileri

Platform’da ödeme işlemleri, sipariş sırasında kullanıcıya gösterilen ödeme akışına ve kullanılan ödeme kuruluşuna göre yürütülür.

• Kart bilgilerinin işlenmesi: Kart numarası, son kullanma tarihi ve CVV/CVC bilgilerinin WhileTrade sistemlerine hiç ulaşmadığı ve WhileTrade tarafından görüntülenmediği yalnızca ödeme kuruluşunun barındırdığı/sağladığı ödeme ekranı veya teknik entegrasyon bunu doğruluyorsa belirtilmelidir. Kart bilgileri Platform’un sunucularına veya kayıtlarına herhangi bir şekilde ulaşıyorsa, bu ifade kullanılmamalı ve ilgili veri akışı ayrıca açıklanmalıdır.
• Ödeme kuruluşları: Kullanılan ödeme kuruluşunun tam ticari unvanı ve ilgili hizmeti, gerçek sözleşme ve entegrasyonla uyumlu olarak KVKK Aydınlatma Metni’nde açıklanır. Lisans veya yetkilendirme bilgileri güncel resmî kayıtlardan doğrulanmadan “lisanslı” ifadesi kullanılmamalıdır.
• Kart güvenliği standartları: PCI DSS gibi standartlara ilişkin ifadeler, WhileTrade’in kendisinin mi yoksa ödeme hizmeti sağlayıcısının mı bu standarda tabi olduğu açıkça belirtilerek ve doğrulanarak kullanılmalıdır. Ödeme sağlayıcısının standarda uyumlu olması, tek başına WhileTrade’in de sertifikalı olduğu anlamına gelmez.
• 3D Secure: 3D Secure’un kullanılıp kullanılmadığı, hangi kart ve işlem türlerinde sunulduğu ödeme altyapısına göre açıklanır. Tüm işlemlerde zorunlu olduğu doğrulanmadıkça “tüm işlemlerde zorunludur” denmemelidir.
• Ödeme kayıtları: Sipariş numarası, ödeme durumu, işlem referansı, iade ve mutabakat bilgileri gibi gerekli kayıtlar; muhasebe, sözleşmenin ifası, uyuşmazlıkların yönetimi ve hukuki yükümlülükler için, KVKK Aydınlatma Metni’nde açıklanan sürelerle saklanabilir.

Ödeme kuruluşunun kullanılması, WhileTrade’in sipariş ve ödeme kayıtlarına ilişkin kendi hukuki yükümlülüklerini ortadan kaldırmaz.

4. Mobil uygulama ve cihaz izinleri

WhileTrade’e ait bir mobil uygulama sunuluyorsa, uygulama cihazın bazı özelliklerine yalnızca ilgili işlev için ihtiyaç duyulduğunda erişim isteyebilir. Gerçekte kullanılmayan izinler ve özellikler bu bölümden çıkarılmalıdır.

• Kamera ve fotoğraf kütüphanesi: Kullanıcının ürün görseli, yorum, destek talebi, iade veya hasar bildirimi için fotoğraf yüklemek istemesi hâlinde kullanılabilir. İşletim sisteminin sunduğu seçici arayüzler destekleniyorsa yalnızca kullanıcının seçtiği fotoğraflara erişim tercih edilir.
• Bildirimler: Sipariş, teslimat, hesap güvenliği ve hizmet güncellemeleri için bildirim gönderilebilir. Pazarlama içerikli bildirimler, hizmet bildirimlerinden ayrıştırılmalı ve gerekli ticari ileti izinleri ayrıca yönetilmelidir.
• Konum: Konum izni yalnızca gerçekten sunulan bir özellik için gerekli olduğunda istenir. Adres girişi veya teslimat amacıyla konum kullanılıyorsa, hangi verinin ne zaman ve ne kadar süreyle işlendiği Aydınlatma Metni’nde açıklanır. Konum izninin kapatılması, ilgili özelliğin çalışmasını etkileyebilir; bu durum kullanıcıya açıkça bildirilir.
• İzinleri yönetme: Kullanıcı, cihazının işletim sistemi ayarlarından izinleri değiştirebilir. İznin kapatılması, daha önce hukuka uygun şekilde işlenmiş verilerin otomatik olarak silindiği anlamına gelmez; silme talepleri ilgili mevzuat ve saklama yükümlülükleri çerçevesinde değerlendirilir.

Uygulama konum verisini arka planda, sürekli veya hassas biçimde topluyorsa, bu durum genel bir “izin verildiğinde anlık olarak işlenir” ifadesiyle geçiştirilemez; ayrı ve açık bir açıklama yapılmalıdır.

5. Ticari iletişim, pazarlama ve İleti Yönetim Sistemi (İYS)

WhileTrade, reklam, kampanya, indirim ve tanıtım amaçlı ticari elektronik iletileri yalnızca ilgili mevzuatın gerektirdiği onay ve koşullar sağlandığında gönderir.

• Ticari elektronik ileti onayı, KVKK kapsamında kişisel verilerin işlenmesine ilişkin açık rızadan ayrı bir süreçtir. Birinin alınması, diğerinin otomatik olarak alındığı anlamına gelmez.
• Sipariş onayı, ödeme sonucu, teslimat bilgisi, hesap güvenliği veya talep edilen destek hizmetine ilişkin zorunlu/işlemsel bildirimler, içerik ve amaçları bakımından pazarlama iletilerinden ayrıştırılır.
• Kullanıcılar, ticari elektronik ileti ret haklarını iletide belirtilen yöntemle ve mevzuatın öngördüğü diğer kanallarla kullanabilir. İYS kapsamındaki izin ve ret tercihleri ilgili kayıtlarla uyumlu biçimde yönetilir.
• Ret bildirimi alındığında, mevzuatta öngörülen süre ve usule uygun olarak gönderim durdurulur; ret kaydı, ret hakkına uyulmasını sağlamak için gerekli ölçüde tutulabilir.
• İleti izinlerinin ne zaman, hangi kanal için ve hangi yöntemle alındığı ile ret kayıtları, gerektiğinde ispatlanabilir şekilde saklanır.

İYS’ye kayıt, onayların ve retlerin yönetimi ile kayıt yükümlülükleri, WhileTrade’in gerçek ticari modeline ve kullandığı hizmet sağlayıcıya göre ayrıca doğrulanmalıdır.

6. Çerezler ve benzeri izleme teknolojileri

Platform’da oturumun sürdürülmesi, sepetin çalışması, güvenliğin sağlanması veya tercihlerin hatırlanması gibi işlevler için çerezler ve benzeri teknolojiler kullanılabilir. Analitik, kişiselleştirme ve reklam teknolojileri de ancak fiilen kullanılıyorsa bu kapsama dahildir.

• Platform’un çalışması için kesinlikle gerekli çerezler, ilgili hukuki şartlar çerçevesinde kullanılabilir.
• Zorunlu olmayan analitik, reklam veya izleme çerezleri bakımından, uygulanabilir mevzuat uyarınca gerekli hukuki şart sağlanmadan bu çerezler etkinleştirilmemelidir. Açık rıza gereken durumlarda, kullanıcıya seçim sunulmalı ve varsayılan olarak ilgili çerezler kapalı tutulmalıdır.
• Kullanıcı, tercihlerini çerez yönetim arayüzünden sonradan değiştirebilmelidir. Tarayıcı ayarlarından çerezleri engellemek de mümkün olabilir; ancak bu, Platform’un bazı işlevlerini etkileyebilir.
• Çerez türleri, sağlayıcıları, amaçları, saklama süreleri ve varsa yurt dışına veri aktarımı hakkında ayrıntılar ayrı Çerez Politikası ve/veya çerez tercih panelinde açıklanmalıdır.

Yalnızca ayrı bir Çerez Politikası’na bağlantı vermek, gerekiyorsa çerez tercih paneli ve açık rıza mekanizması kurma yükümlülüğünün yerine geçmez. Platform’da kullanılan gerçek çerezler ve SDK’lar düzenli olarak envantere alınmalıdır.

7. Üçüncü taraf bağlantıları, satıcılar ve hizmet sağlayıcılar

Platform, satıcıların mağazalarına, kargo/teslimat hizmetlerine, ödeme kuruluşlarına, analiz araçlarına veya başka üçüncü taraf hizmetlere bağlantı ya da entegrasyon içerebilir.

• Kullanıcı üçüncü taraf bir siteye yönlendirildiğinde, o sitenin kendi gizlilik ve güvenlik uygulamaları da devreye girebilir. Kullanıcı, yönlendirildiği hizmetin koşullarını ve gizlilik metinlerini incelemelidir.
• Bu açıklama, WhileTrade’in kendi sorumluluğunu ortadan kaldırmaz. WhileTrade’in seçtiği veya entegre ettiği sağlayıcılar üzerinden gerçekleştirilen kişisel veri işleme faaliyetleri, ilgili hukuki yükümlülükler çerçevesinde yönetilir.
• Siparişin yerine getirilmesi için gerekli olduğu ölçüde, sipariş ve teslimat bilgileri ilgili satıcıya, kargo/lojistik sağlayıcısına, ödeme kuruluşuna ve mevzuat gereği yetkili kurumlara aktarılabilir. Aktarımın kapsamı ve hukuki sebebi KVKK Aydınlatma Metni’nde belirtilmelidir.
• Satıcıların müşteri verilerini kendi amaçları için kullandığı durumlarda satıcıların veri sorumlusu sıfatı ve kendi aydınlatma yükümlülükleri ayrıca değerlendirilir. WhileTrade ile satıcı arasındaki veri paylaşımı, erişim, güvenlik, ihlal bildirimi ve hizmet sona erdiğinde verilerin silinmesi gibi konular sözleşmelerde düzenlenmelidir.
• Yurt dışındaki hizmet sağlayıcılar veya yurt dışından erişim söz konusuysa, ilgili veri aktarımı KVKK’nın yürürlükteki yurt dışına aktarım hükümlerine uygun bir mekanizmaya dayanmalıdır. Yalnızca hizmet sağlayıcının adını açıklamak, aktarımı kendiliğinden hukuka uygun hâle getirmez.

8. Çocukların gizliliği

Platform’un hedef kitlesi ve üyelik koşulları, üyelik sözleşmesinde ve ilgili aydınlatma metinlerinde açıkça belirtilmelidir. 18 yaşından küçük kişilerin üyelik veya alışveriş yapıp yapamayacağı, yürürlükteki mevzuat ve Platform’un sözleşme koşullarıyla uyumlu biçimde düzenlenmelidir.

Platform, çocuklara ait kişisel verilerin işlenmesi söz konusu olduğunda yaşa ve faaliyetin niteliğine uygun hukuki değerlendirme yapar. Bir çocuğa ait verinin hukuka aykırı biçimde işlendiği tespit edilirse, ilgili veri ve kayıtlar hukuki saklama yükümlülükleri ile olayın koşulları dikkate alınarak değerlendirilir; hukuka aykırı işleme sona erdirilir ve silme/yok etme işlemleri gerektiği ölçüde yürütülür.

“Çocukların verileri her durumda derhâl silinir” gibi mutlak bir taahhüt, yasal saklama yükümlülükleri ve olayın koşulları değerlendirilmeden verilmemelidir. Ebeveyn gözetimine ilişkin ifade de gerçek üyelik ve sipariş akışıyla uyumlu olmalıdır.

9. Kişisel veri güvenliği ihlali ve bildirim süreçleri

WhileTrade, kişisel verilerin hukuka aykırı şekilde elde edilmesi veya güvenliğini etkileyen bir olaydan haberdar olduğunda, olayı değerlendirmek ve etkilerini sınırlamak için uygun teknik ve idari süreçleri işletir. Bu süreçler; olayın kayda alınmasını, kapsam ve etkisinin araştırılmasını, gerekli erişimlerin sınırlandırılmasını, delillerin korunmasını ve tekrarını önleyici tedbirlerin değerlendirilmesini içerebilir.

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu KVKK ve Kişisel Verileri Koruma Kurulu kararları uyarınca Kurula gecikmeksizin ve kural olarak ihlalin öğrenilmesinden itibaren en geç 72 saat içinde bildirimde bulunur. İhlalden etkilenen kişiler belirlenebildiğinde, ilgili kişilere makul olan en kısa sürede ve uygun yöntemle bildirim yapılır. Haklı bir nedenle Kurula 72 saat içinde bildirim yapılamaması hâlinde gecikmenin nedenleri açıklanır.

Bu süreç, her teknik arızanın otomatik olarak kişisel veri ihlali sayıldığı anlamına gelmez; olayın kişisel veriler üzerindeki etkisi ve uygulanabilir mevzuat değerlendirilir. Bununla birlikte, değerlendirme yapılması bildirim yükümlülüğünün gereksiz yere geciktirilmesine gerekçe oluşturmaz.

İhlal bildirimlerinin zamanında yapılabilmesi için olay müdahale sorumluları, iletişim kanalları ve kayıt süreçleri önceden belirlenmelidir.

10. Verilerin saklanması ve silinmesi

Kişisel veriler, ilgili işleme amacı için gerekli olan ve uygulanabilir mevzuatın öngördüğü süre boyunca saklanır. Süre sonunda, başka bir hukuki saklama nedeni bulunmadıkça veriler silinir, yok edilir veya anonim hâle getirilir.

Saklama süreleri veri kategorisine göre belirlenmeli; sipariş ve muhasebe kayıtları, güvenlik logları, destek talepleri, pazarlama izin/ret kayıtları, mobil uygulama kayıtları ve çerez tercihleri aynı süreye tabi tutulmamalıdır. Yedeklerdeki verilerin de belirlenen imha döngüsü içinde kaldırılması için süreç işletilir.

Ayrıntılı saklama süreleri ve imha koşulları, Platform’un fiilî veri envanteri ve KVKK Aydınlatma Metni ile uyumlu olmalıdır. Bir uyuşmazlık veya hukuki yükümlülük nedeniyle belirli kayıtların tutulması gerekiyorsa, yalnızca ilgili kayıtlar ve gerekli süre bakımından saklama devam ettirilir.

11. Kullanıcıların gizlilik hakları ve başvuru

Kullanıcıların KVKK kapsamındaki hakları, başvuru yöntemleri, veri sorumlusunun kimliği ve başvuru adresi KVKK Aydınlatma Metni içinde ayrıntılı olarak açıklanır. Başvurular, mevzuatta belirtilen yöntemler ve süreler çerçevesinde değerlendirilir.

Gizlilik veya güvenlik konusundaki bildirimlerinizi şu adrese iletebilirsiniz: [gerçekten izlenen iletişim adresi]. Bu iletişim kanalı üzerinden yapılan her mesajın otomatik olarak KVKK başvurusu sayılacağı varsayılmamalı; başvurunun niteliği ve kimlik doğrulaması gerektiğinde ayrıca değerlendirilmelidir.

12. Politika değişiklikleri ve iletişim

Bu Politika; hizmetlerde, kullanılan teknolojilerde, veri işleme faaliyetlerinde veya mevzuatta değişiklik olması hâlinde güncellenebilir. Güncel sürüm Platform’da yayımlanır. Kullanıcıları önemli değişiklikler hakkında ayrıca bilgilendirmek gerektiğinde, uygulanabilir mevzuata ve değişikliğin niteliğine uygun yöntem kullanılır.

Politikanın güncellenmesi, geçmişte gerçekleşmiş işlemlere geriye dönük olarak yeni bir hukuki sebep kazandırmaz. Yeni bir kişisel veri işleme amacı ortaya çıktığında, işleme başlamadan önce gerekli aydınlatma yapılır ve gerekiyorsa ilgili hukuki şart veya açık rıza ayrıca sağlanır.

Politika sürümü: [1.1]

Yürürlük tarihi: [11.10.2026]

Son güncelleme: [15.10.2026]