Kişisel Verilerin Korunması

GURMEHUB BİLİŞİM YAZILIM TİCARET (“Şirketimiz” veya “Gurmehub”) olarak, Gurmehub bünyesinde geliştirilen ÖdemeHub ödeme orkestrasyon platformumuzda (odemehub.com), 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve ilgili mevzuat uyarınca kişisel verilerinizin güvenliğine, gizliliğine ve hukuka uygun şekilde işlenmesine azami hassasiyet göstermekteyiz.

İşbu Kişisel Verilerin Korunması ve İşlenmesi Aydınlatma Metni; veri sorumlusu sıfatıyla Şirketimiz tarafından toplanan kişisel verilerin niteliğini, işlenme amaçlarını, hukuki sebeplerini, aktarıldığı tarafları ve KVKK’nın 11. maddesi uyarınca sahip olduğunuz hakları açıklamak amacıyla hazırlanmıştır.

Önemli Yasal Statü Açıklaması: ÖdemeHub teknik bir ödeme orkestrasyon platformudur. 6493 sayılı Kanun kapsamında ödeme hizmeti sağlayıcısı veya elektronik para kuruluşu değildir ve Türkiye Cumhuriyet Merkez Bankası’nın (TCMB) lisansına tabi bir kuruluş niteliği taşımaz. ÖdemeHub fon akışına dahil olmaz, para transferi yapmaz, sanal POS sağlamaz, doğrudan mevduat tutmaz ve elektronik para ihraç etmez. ÖdemeHub, Üye İşyeri ile lisanslı bankalar ve ödeme kuruluşları arasında teknik yönlendirme, akıllı kurallar ve mutabakat sağlayan bağımsız (PSP-agnostic) bir teknoloji köprüsüdür.

1. Hangi Kişisel Verileriniz İşlenmektedir?

ÖdemeHub platformunda sunduğumuz hizmetlerin niteliği gereği işlenen kişisel veriler, veri sahibi gruplarına göre aşağıda belirtilmiştir:

A. Üye İşyeri Yetkilileri, Ortakları ve Temsilcileri

• Kimlik Verileri: Ad, soyad, T.C. kimlik numarası (şahıs şirketi sahipleri için), imza sirküleri, ticaret sicil gazetesi ve yetki belgesi kayıtları.
• İletişim Verileri: Kurumsal e-posta adresi, telefon numarası, şirket fatura ve tebligat adresi.
• Finansal ve Hesap Verileri: Banka hesap numarası (IBAN), vergi dairesi ve vergi numarası, fatura ve cari hesap kayıtları, komisyon mutabakat verileri.
• İşlem Güvenliği Verileri: Üye işyeri yönetim paneli kullanıcı adı, şifrelenmiş parola hash’leri, API anahtarları (API Key / Secret), kullanıcı işlem logları ve yetkilendirme seviyeleri.

B. Ödeme Yapan Tüketiciler (Son Kullanıcılar)

ÖdemeHub, üye işyerlerinin web siteleri veya mobil uygulamaları üzerinden ödeme gerçekleştiren tüketicilerin hassas kart verilerini kendi sunucularında düz metin olarak kesinlikle saklamaz. Bu kapsamda işlenen veriler:

• Maskelenmiş Kart Verisi: Kartın ilk 6 hanesi (BIN kodu – banka ve kart programı tespiti için) ve son 4 hanesi, kart ailesi (Troy, Visa, Mastercard) ve kart tipi (kredi/banka kartı).
• Token (Jeton) Verisi: Kapalı devre kart saklama (Vault) özelliği kullanıldığında kart bilgileri doğrudan PCI-DSS uyumlu altyapılarda veya lisanslı kuruluş nezdinde saklanır; platformumuzda yalnızca bu işleme karşılık gelen rastgele bir token (referans kodu) tutulur.
• İşlem ve Sipariş Detayları: Sipariş referans kodu, ödeme tutarı, para birimi, taksit sayısı, işlem tarihi/saati ve işlemin yönlendirildiği banka/ödeme kuruluşu bilgisi.

C. Web Sitesi Ziyaretçileri ve Çevrimiçi Kullanıcılar

• Trafik ve Erişim Verileri: IP adresi, port bilgisi, erişim tarihi ve saati, yönlendiren URL (referrer), tarayıcı ve işletim sistemi bilgileri.
• Yasal Loglar: 5651 sayılı Kanun uyarınca tutulması zorunlu olan internet erişim ve trafik günlükleri.
• Zorunlu Teknik Çerezler: Oturum güvenliği ve CSRF saldırı koruması sağlayan teknik çerezler.

2. Kişisel Verilerin İşlenme Amaçları

Kişisel verileriniz, 6698 sayılı Kanun’un 5. ve 6. maddelerinde belirtilen kişisel veri işleme şartları dahilinde aşağıdaki amaçlarla işlenmektedir:

1. Ödeme Orkestrasyonu Hizmetlerinin İfası: Sanal POS entegrasyonu, akıllı yönlendirme (smart routing), otomatik yedekleme (failover), başarısız ödeme tekrar deneme (retry) süreçlerinin teknik olarak yürütülmesi.
2. Üye İşyeri Yönetimi: Hesap açılış ve sözleşme süreçlerinin yürütülmesi, API anahtarlarının tahsisi, yetkilendirme ve teknik destek hizmetlerinin verilmesi.
3. Mutabakat ve Raporlama: Farklı finansal kuruluşlardan gelen hesap ekstrelerinin eşleştirilmesi, üye işyerine konsolide rapor ve analitik sunulması.
4. Gurmehub Ekosistem Entegrasyonu: Üye işyerinin talep ve yapılandırması doğrultusunda; ödeme onayı sonrasında otomatik e-Fatura/e-Arşiv faturası düzenlenmesi (faturaentegrator.com), kargo gönderi kaydı açılması (kargoentegrator.com) ve stok senkronizasyonu (stokentegrator.com) süreçlerinin yürütülmesi.
5. Siber Güvenlik ve Sahtecilik (Fraud) Önleme: Ödeme işlemlerindeki risk skorlarının hesaplanması, şüpheli işlem kontrolleri ve platform güvenliğinin temini.
6. Hukuki ve Mali Yükümlülükler: 5651 sayılı Kanun, Türk Ticaret Kanunu, Vergi Usul Kanunu ve MASAK düzenlemeleri kapsamındaki yasal gerekliliklerin yerine getirilmesi.

3. Kişisel Veri Toplamanın Yöntemi ve Hukuki Sebepleri

Kişisel verileriniz; web sitemiz, üye işyeri portalı, API servisleri, e-posta, destek formları ve entegrasyon modülleri aracılığıyla otomatik veya kısmen otomatik yöntemlerle toplanmaktadır. Kişisel veri işlemenin hukuki sebepleri şunlardır:

• KVKK Madde 5/2-c: Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması (Üye işyeri sözleşmesi ve orkestrasyon hizmetinin işletilmesi).
• KVKK Madde 5/2-ç: Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması (Vergi, ticaret ve log tutma mevzuatı).
• KVKK Madde 5/2-a: Kanunlarda açıkça öngörülmesi (5651 sayılı Kanun ve ilgili ikincil düzenlemeler).
• KVKK Madde 5/2-f: İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması (Platform güvenliği, fraud tespiti ve hizmet kalitesinin artırılması).

4. Kişisel Verilerin Aktarılması

Kişisel verileriniz, Kanun’un 8. ve 9. maddelerinde belirtilen şartlara uygun olarak ve yalnızca yukarıda sayılan amaçlar doğrultusunda aşağıdaki alıcı gruplarına aktarılabilir:

• Yetkili Bankalar ve Lisanslı Ödeme/Elektronik Para Kuruluşları: Ödeme provizyonu, kart tahsilatı, taksit ve iptal/iade işlemlerinin sonuçlandırılması amacıyla ilgili finans kuruluşlarına.
• Gurmehub Ürün Ailesi: Üye işyerinin onayladığı entegrasyonlar çerçevesinde e-fatura, kargo ve stok otomasyonlarının sağlanması amacıyla ilgili ekosistem servis sağlayıcılarına.
• Güvenlik ve Altyapı İş Ortakları: Yüksek güvenlik standartlarına sahip yurt içindeki veri merkezleri, bulut altyapı sağlayıcıları ve fraud analiz sistemlerine.
• Yetkili Kamu Kurum ve Kuruluşları: Kanunen yetkili adli merciler, TCMB, BDDK, MASAK veya icra dairelerinin yasal talepleri doğrultusunda.

5. Kişisel Verilerin Saklanması ve Güvenliği

Şirketimiz, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek amacıyla teknik ve idari tedbirleri eksiksiz olarak almaktadır:

• Uçtan uca TLS 1.3 / 256-bit SSL şifreleme ve güçlü ağ güvenlik duvarları,
• PCI-DSS ilkelerine tam uyumlu kapalı devre tokenizasyon mekanizması,
• Rol bazlı yetkilendirme, çift faktörlü kimlik doğrulama (2FA) ve düzenli siber güvenlik sızma testleri,
• Verilerin işlenme amacının ve yasal zamanaşımı sürelerinin (TTK ve VUK gereği 10 yıl, 5651 logları gereği 2 yıl) sona ermesi halinde usulüne uygun olarak imha edilmesi.

6. İlgili Kişinin (Veri Sahibinin) Hakları (KVKK Madde 11)

6698 sayılı Kanun’un 11. maddesi uyarınca veri sahibi olarak Şirketimize başvurarak aşağıdaki haklarınızı kullanabilirsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme,
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
6. KVKK’nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
7. Düzeltme, silme veya yok etme işlemlerinin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
9. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

7. Veri Sorumlusuna Başvuru Usulü

KVKK kapsamındaki haklarınıza ilişkin taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ‘e uygun olarak kimliğinizi tevsik edici belgeler ile birlikte aşağıdaki yöntemlerle Şirketimize iletebilirsiniz:

• Yazılı Başvuru: Islak imzalı başvuru dilekçeniz ile “GÖRÜKLE MAH. ÜNİVERSİTE-1 CAD. ULUTEK TEKNOLOJİ GELİŞTİRME BİNASI A-B-C-D-E-F-H BLOKLARI Kapı No:933 Daire No:B027 NİLÜFER / BURSA” adresimize şahsen veya noter vasıtasıyla,
• Kayıtlı Elektronik Posta (KEP): Güvenli elektronik imza veya mobil imza kullanarak [email protected] KEP adresimize,
• E-Posta Yoluyla: Sistemimizde daha önce bildirilmiş ve teyit edilmiş e-posta adresinizden [email protected] adresimize göndererek.

Başvurularınız, talebin niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılacak ve yazılı veya elektronik ortamda tarafınıza bildirilecektir.