Room Veri İşleme Sözleşmesi

Bu sözleşme, Room Hizmet Koşulları’nın ayrılmaz parçasıdır. Room’u kullanan işletme (“Müşteri”), mağaza ziyaretçilerinin kişisel verileri bakımından 6698 sayılı KVKK kapsamında veri sorumlusu, Kerem Altıntaş (“Sekizsoft”) ise Müşteri adına veri işleyen veri işleyendir (KVKK md. 3 ve 12/2).

1. İşlenen veriler ve amaç

Veri	Hangi uygulamada	Amaç	Nerede ve ne kadar
E-posta, telefon, ad soyad; ticari ileti onayının verilip verilmediği, onay metni ve zamanı; formun gönderildiği sayfa	Pop-up, çarkıfelek, oyun, anket (ziyaretçi formu doldurursa)	Kaydın Müşteriye panelde ve CSV ile sunulması; çark/oyun ödülünün aynı kişiye ikinci kez verilmemesi	Sekizsoft sunucusu (Türkiye). Müşteri silene veya site/hesap kapatılana kadar
Anket cevapları	Anket	Müşteriye sonuç sunulması	Aynı
IP adresinin site anahtarıyla tuzlanmış kısa özeti (IP adresinin kendisi saklanmaz)	Form ve sayaç uçları	Kötüye kullanım ve sahte kayıt sınırı	Sekizsoft sunucusu. Form kayıtlarında 7 gün, sayaç sınırında 2 gün
Uygulama gösterim, tıklama ve kapatma sayıları (site, gün ve uygulama bazında toplam; kişiyle ilişkilendirilmez)	Tüm uygulamalar	Panelde Müşteriye istatistik sunulması	Sekizsoft sunucusu
Ürün bazında görüntüleme, sepete ekleme ve satın alma sayıları (kişiyle ilişkilendirilmez)	Sosyal kanıt	Ürün sayfasında gerçek sayıların gösterilmesi	Sekizsoft sunucusu
IP adresi, tarayıcı bilgisi, istenen adres (geçiş verisi)	Room kodunun her yüklenişi	Kod ve ayar dosyalarının içerik dağıtım ağından (CDN) hızlı ve güvenli sunulması	Cloudflare ağı (yurt dışı); Room bu verileri saklamaz

Room, ziyaretçinin kimliğini tespit etmeye yönelik çerez yerleştirmez, ziyaretçiyi siteler arası izlemez ve topladığı verileri kendi amaçları için kullanmaz, satmaz, üçüncü kişilerle paylaşmaz.

2. Sekizsoft’un yükümlülükleri

Verileri yalnızca Müşterinin panelde yaptığı ayarlar ve bu sözleşme doğrultusunda işler.
KVKK md. 12/1’deki teknik ve idari tedbirleri alır: tüm iletişim HTTPS ile şifrelenir; panel erişimi şifre (geri döndürülemez özet) ve deneme sınırıyla korunur; her Müşteri yalnızca kendi sitelerinin kayıtlarını görür; IP adresi saklanmaz.
Bir veri ihlalini öğrendiğinde Müşteriye gecikmeksizin ve en geç 24 saat içinde bildirir; Müşterinin Kurul’a ve ilgili kişilere bildirim yükümlülüğünde (72 saat) gerekli bilgileri sağlar.
İlgili kişi başvurularında Müşteriye yardımcı olur: Müşteri, panelden tek bir kaydı veya tüm kayıtları silebilir ve CSV olarak dışa aktarabilir.
Hizmet sona erdiğinde veya site/hesap kapatıldığında ilgili kayıtları siler; yedeklerdeki kopyalar en geç 30 gün içinde yedek döngüsüyle silinir.
Bu sözleşmeye uyumu gösteren bilgileri Müşterinin makul talebi üzerine sağlar.

3. Müşterinin yükümlülükleri

Veri toplayan uygulamaları kullanmadan önce kendi KVKK aydınlatma metnini hazırlamak ve uygulama ayarındaki “Aydınlatma metni bağlantısı” alanına girmek; aydınlatma metninde Room’u (Sekizsoft) veri işleyen ve aşağıdaki alt işleyenleri belirtmek.
Ticari elektronik ileti onayını 6563 sayılı Kanun’a uygun almak ve İYS’ye kaydetmek; indirim veya ödülü ileti onayı verilmesi şartına bağlamamak.
Formlarda özel nitelikli kişisel veri (sağlık, din vb.) istememek; anket sorularını buna göre hazırlamak.
Kayıtları yalnızca aydınlatma metninde belirttiği amaçla ve süre boyunca tutmak, süresi dolanları panelden silmek.
6. bölümdeki tarayıcı depolamasını kendi çerez politikasına eklemek.

4. Alt işleyenler

Alt işleyen	Hizmet	Konum
Sekizsoft’un barındırma (hosting) sağlayıcısı	Panel, veritabanı (form kayıtları), e-posta	Türkiye
Cloudflare, Inc.	Room kodu ve uygulama ayarlarının dağıtımı (CDN, R2 depolama), panel trafiğinin korunması. Form kayıtları Cloudflare’de saklanmaz.	Küresel ağ (ABD merkezli)

Cloudflare’e yapılan aktarım, KVKK md. 9’da öngörülen güvencelere (standart sözleşme) dayanılarak yapılır. Sekizsoft yeni bir alt işleyen eklemeden önce Müşteriye e-postayla bildirir; Müşteri 15 gün içinde itiraz edebilir ve itiraz hâlinde aboneliğini ücret iadesiyle sona erdirebilir.

5. Gizlilik

Sekizsoft, öğrendiği kişisel verileri bu sözleşmeye aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu yükümlülük sözleşme sona erdikten sonra da devam eder (KVKK md. 12/4).

6. Mağaza sitesinde kullanılan tarayıcı depolaması

Room çerez yerleştirmez. Uygulamaların düzgün çalışması için ziyaretçinin tarayıcısında aşağıdaki kayıtları tutar; bu kayıtlar sunucuya gönderilmez ve ziyaretçiyi tanımlamaz. Müşteri bunları çerez politikasında “işlevsel” olarak listeleyebilir.

Anahtar	Tür	Amaç	Süre
`room_seen_*`	localStorage / sessionStorage	Bir pop-up, bar veya bildirimin ne sıklıkla gösterileceği (“günde bir”, “bir kez”)	Oturum, 1 gün veya ziyaretçi silene kadar
`room_t_*`	sessionStorage	Aynı oturumdaki gösterimin istatistikte bir kez sayılması	Oturum
`room_` + ürün sorgusu	sessionStorage	Öneri ve ürün listeleri için mağazanın ürün verisinin kısa süreli önbelleği	Oturum
`room_*` (ör. kapatılan bar, tamamlanan anket, çark sonucu ve kupon kodu)	localStorage	Kapatılan içeriğin tekrar gösterilmemesi; çark/oyun sonucunun ve kazanılan kodun yeniden gösterilmesi	Ziyaretçi silene kadar
`room_beden_olcu`	localStorage	Beden önerisinde ziyaretçinin girdiği ölçülerin bir sonraki üründe hazır gelmesi	1 yıl
`room_oneri_h`	localStorage	Son bakılan ürünlere göre öneri (yalnızca ürün ve kategori numaraları)	60 gün
`room_hikaye_seen`, `room_can_seen`, `room_erisim*`	localStorage / sessionStorage	İzlenen hikâyeler, okunan bildirimler, erişilebilirlik tercihleri	30 gün / ziyaretçi silene kadar / oturum
`room_sepet_bar`, sosyal kanıt anahtarları	sessionStorage	Aynı oturumda tekrar gösterimi ve çift saymayı önleme	Oturum

Room, Google Analytics betiğini kendisi yüklemez. Müşteri uygulama ayarında Google Analytics ölçüm kimliği girerse, olaylar yalnızca mağazanın kendi çerez onayıyla yüklenmiş Google Analytics’e iletilir.

7. Süre

Bu sözleşme Room aboneliği (deneme süresi dâhil) boyunca geçerlidir; 2. bölümdeki silme ve 5. bölümdeki gizlilik yükümlülükleri sona ermeden sonra da devam eder.