Gizlilik ve KVKK aydınlatma metni

1. Veri sorumlusu ve başvuru kanalları

Veri sorumlusu AS GRUP BİLGİ TEKNOLOJİLERİ PAZARLAMA VE TİCARET LİMİTED ŞİRKETİ olup kayıtlı adresi Hobyar Mah. Hocahanı Sk. Gürün Han Blok No:16 İç Kapı No:241 Fatih/İstanbul, Türkiye adresidir. 6698 sayılı Kanunun 11 ve 13. maddeleri kapsamındaki başvurular Türkçe olarak; ıslak imzalı dilekçenin “Kişisel Veri Başvurusu” ibaresiyle kayıtlı adrese elden veya posta yoluyla gönderilmesi, başvuru sahibine ait KEP hesabından asgrupbilgi@hs01.kep.tr adresine iletilmesi, güvenli elektronik imza veya mobil imzayla imzalanmış başvurunun KEP adresine gönderilmesi ya da başvuru sahibinin SUCU'ya daha önce bildirdiği ve sistemde kayıtlı bulunan e-posta adresinden asgrupbilgiteknolojileri@gmail.com adresine gönderilmesi yoluyla yapılabilir. Sistemde kayıtlı olmayan normal bir e-posta adresinden gönderilen ileti destek veya ön bildirim olarak alınır; resmî başvurunun işleme konulması için kimlik ve başvuru yöntemi mevzuata uygun biçimde doğrulanır.

2. İlgili kişi grupları ve veri kategorileri

Müşteri kullanıcılar, işletme yetkilileri ve çalışanları, yönetici kullanıcılar, destek talebi ileten kişiler ve internet sitesi ziyaretçileri bu metnin kapsamındadır. Kullanılan bölüme göre kimlik ve iletişim bilgileri; müşteri teslimat adresleri; işletme, yetkili ve vergi bilgileri; ürün ve işletme görselleri; mağaza bağlantısı, sepet, sipariş ve teslimat kayıtları; abonelik, fatura, ödeme ve iade işlem kayıtları; başvuru belgeleri; destek ve iletişim tercihleri; oturum, cihaz/bildirim kurulumu, IP, işlem güvenliği ve denetim kayıtları işlenebilir. Kart numarası ve CVV SUCU sunucularında saklanmaz; ödeme etkinleştirildiğinde bu veriler yetkili ödeme kuruluşunun güvenli ortamında işlenir.

3. İşleme amaçları

Veriler; hesap oluşturma ve kimlik doğrulama, telefon veya sağlayıcı hesabı bağlama, işletme başvurusunu değerlendirme, mağaza ve katalog yönetimi, müşteri-mağaza bağlantısı, su siparişinin oluşturulması ve takibi, bayi aboneliğinin yürütülmesi, fatura ve belge erişimi, kullanıcı desteği, işlem ve bildirim teslimi, hizmet kalitesi ve raporlama, bilgi güvenliği, kötüye kullanımın önlenmesi, hukuki taleplerin yönetimi ve yasal yükümlülüklerin yerine getirilmesi amaçlarıyla sınırlı olarak işlenir.

4. Toplama yöntemi ve hukuki sebepler

Veriler web ve mobil formlar, kullanıcı tarafından seçilen kamera/galeri/dosya içerikleri, uygulama işlemleri, ödeme ve iletişim sağlayıcılarından dönen işlem sonuçları, destek kanalları ve güvenlik kayıtları üzerinden elektronik ortamda elde edilir. KVKK'nın 5. ve 6. maddelerinde düzenlenen sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi, kullanılması veya korunması ve temel haklara zarar vermemek kaydıyla meşru menfaat sebeplerine dayanılır. Açık rıza yalnız mevzuatın ayrıca gerekli kıldığı akışlarda istenir ve geri alınabilir.

5. Verilerin aktarılabileceği taraflar ve yurt dışı aktarım

Veriler, kullanılan özelliğe ve amaçla sınırlı olmak üzere şu alıcı gruplarına aktarılabilir: Netgsm'e telefon numarası ve tek kullanımlık doğrulama mesajı (SMS doğrulama etkinleştirildiğinde); iyzico'ya abonelik tutarı, işlem ve üye işyeri referansı ile ödeme sonucu verisi (online ödeme etkinleştirildiğinde; kart numarası ve CVV SUCU tarafından alınmaz); Google hizmetlerine sağlayıcı kullanıcı kimliği, doğrulanmış e-posta ve seçilen profil bilgileri ile Firebase bildirim ve Remote Config için kurulum, cihaz, push belirteci ve sınırlı teknik veriler; Apple hizmetlerine sağlayıcı kullanıcı kimliği, kullanıcının paylaşmayı seçtiği e-posta/ad bilgisi ve APNs cihaz belirteci; Resend'e alıcı e-posta adresi, operasyonel ileti içeriği ve teslim, geri dönme veya şikâyet metaverisi (e-posta gönderimi etkinleştirildiğinde). Veriler ayrıca sözleşmeli barındırma, veritabanı, dosya depolama, yedekleme, hukuk, muhasebe ve denetim sağlayıcıları ile yetkili kamu kurumlarına yalnız gerekli ölçüde aktarılabilir.

Google/Firebase, Apple veya Resend kullanımı, ilgili veri kategorilerinin yurt dışında bulunan sağlayıcıya ya da alt işleyenlerine aktarılmasına yol açabilir. Düzenli yurt dışı aktarım; KVKK'nın 9. maddesindeki işleme şartına ek olarak yeterlilik kararı bulunması veya standart sözleşme dâhil uygun bir güvencenin kurulması ve gerekli bildirimin yapılması sonrasında gerçekleştirilir. Arızi aktarım istisnaları düzenli hizmet aktarımının yerine kullanılmaz. Canlıya alınacak her sağlayıcının sözleşme tarafı, veri konumu, alt işleyenleri, veri kategorileri, saklama süresi ve kullanılan aktarım mekanizması üretim açılışından önce veri envanterinde doğrulanır ve bu metin güncellenir; bu doğrulama tamamlanmadıkça aktarım gerektiren üretim özelliği kapalı tutulur. Üretim barındırma ve dosya depolama sağlayıcısı henüz kesinleşmemiştir.

6. Çerezler, oturum ve cihaz verileri

Kamu sitesinde ve oturum açılmış panellerde hizmetin çalışması, tercihlerin korunması ve güvenli oturum için zorunlu çerezler kullanılabilir. Reklam veya davranışsal profil çerezleri kullanılmaz. İleride zorunlu olmayan ölçüm veya pazarlama çerezi eklenirse kullanım öncesi ayrı tercih mekanizması sunulur. Bildirim izni verilirse kurulum ve cihazla ilişkili teknik tanımlayıcılar yalnız bildirim teslimi ve güvenliği için işlenir; izin cihaz ayarlarından kapatılabilir.

7. Kamera, konum ve dosya erişimi

Müşteri kamerası yalnız mağaza QR kodunu cihazda okumak için kullanıcı eylemiyle açılır; QR görüntüsü sunucuya yüklenmez. Konum erişimi verilirse adres seçiminde kullanılır; kullanıcı adresi elle de düzenleyebilir. SUCU İşletme uygulamasında kamera veya galeri yalnız kullanıcının logo, ürün görseli ya da işletme belgesi seçtiği açık işlem sırasında kullanılır. Mikrofon, kişi listesi veya arka planda sürekli kamera erişimi kullanılmaz.

8. Saklama süreleri

Kişisel veriler, ilgili işleme amacı ve hukuki sebep devam ettiği sürece tutulur. Üyelik sona erse veya hesap kapatma talebi alınsa dahi açık siparişler, işletme sahipliği, güvenlik/dolandırıcılık incelemesi, uyuşmazlıklar ve kanuni saklama yükümlülükleri ayrıca değerlendirilir. Elektronik ticaret sözleşmeleri ve işlem kayıtları ile kanunen saklanması gereken ticari kayıtlar uygulanabildiği ölçüde 10 yıl; vergi belgeleri kendi mevzuatındaki süre boyunca; kişisel veri silme, yok etme veya anonimleştirme işlem kayıtları en az 3 yıl kısıtlı erişimle saklanır. İşleme şartlarının tamamı ortadan kalktığında veriler KVKK ve ilgili Yönetmelik uyarınca silinir, yok edilir veya anonimleştirilir. Saklama ve imha politikası hazırlama yükümlülüğü varsa işlem, yükümlülüğün doğduğu tarihi izleyen ilk periyodik imhada ve en çok altı aylık aralıklarla; bu yükümlülük yoksa silme yükümlülüğünün doğmasından itibaren en geç üç ay içinde yerine getirilir. İlgili kişi talebi en geç 30 gün içinde sonuçlandırılır; bu 30 günlük süre, kanunen saklanması gereken her kaydın aynı sürede silineceği anlamına gelmez. Devam eden uyuşmazlık veya resmî talep hâlinde yalnız ilgili kayıtlar sebep ortadan kalkana kadar muhafaza edilir. Yetkili silme/anonimleştirme tamamlama ve kayıt mekanizması teknik olarak doğrulanmadan online abonelik tahsilatı açılmaz.

9. Hesap kapatma ve silme süreci

Mağaza bağlantısını kaldırmak, bildirimleri kapatmak, uygulamayı silmek veya oturumu sonlandırmak hesap kapatma değildir. Hesap kapatma talebi kimlik ve yetki doğrulamasıyla alınır; talep durumu kullanıcıya gösterilir. “İnceleniyor” durumu yalnız talebin kaydedildiğini ifade eder, verinin silindiği veya işlemin tamamlandığı anlamına gelmez. Şirket talebi en geç 30 gün içinde sonuçlandırır. İşleme şartlarının tamamı ortadan kalkmışsa ilgili veriler mevzuata uygun yöntem ve sürede silinir, yok edilir veya anonimleştirilir; şartlar devam ediyorsa talep gerekçesi açıklanarak reddedilebilir. Kanunen saklanan kayıtlar günlük kullanımdan ayrılır, erişimleri sınırlandırılır ve saklama süresi sonunda imha edilir. Yedek kopyalar olağan kullanıcı erişimine kapalı tutulur; felaket kurtarma nedeniyle geri yükleme yapılırsa sonuçlandırılmış silme kararları yeniden uygulanır. Bu süreci tamamlayan yetkili operasyon ve denetim kaydı teknik olarak doğrulanmadan online abonelik tahsilatı açılmaz.

10. İlgili kişi hakları ve başvuru

KVKK'nın 11. maddesi kapsamında verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, aktarılan üçüncü kişileri bilme, eksik veya yanlış veriyi düzeltme, şartları varsa silme/yok etme, bu işlemlerin aktarılan taraflara bildirilmesini isteme, münhasıran otomatik sistem sonucuna itiraz etme ve hukuka aykırı işlem nedeniyle zararın giderilmesini isteme haklarına sahipsiniz. Başvuruda ad ve soyad; Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruk ve pasaport numarası veya varsa kimlik numarası; tebligata esas yerleşim yeri ya da işyeri adresi; varsa bildirime esas e-posta adresi, telefon ve faks numarası ile talep konusu bulunmalıdır; yazılı başvuru imzalanmalıdır. Kimlik ve hesap doğrulaması için talep konusu ile ölçülü ek bilgi istenebilir; ilgisiz veya gereğinden fazla belge talep edilmez. Başvurular talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz sonuçlandırılır; işlemin ayrıca maliyet gerektirmesi hâlinde yalnız ilgili mevzuattaki tarife uygulanır.

11. Çocukların verileri

SUCU bayi hizmeti işletmeler ve yetkili yetişkinler içindir. Çocuklara bilerek bayi hesabı sunulmaz. Bir çocuğa ait verinin yetkisiz işlendiğini düşünüyorsanız yukarıdaki kanallardan bildirebilirsiniz.

12. Güvenlik ve ihlal yönetimi

Yetki ayrımı, erişim kontrolü, şifreli iletişim, işlem kaydı, dosya doğrulama, yedekleme ve olay müdahalesi gibi riskle orantılı teknik ve idari tedbirler uygulanır. Ayrıntılar Güvenlik sayfasında özetlenir. Olası ihlaller yürürlükteki mevzuata göre değerlendirilir ve gerekli bildirimler yapılır.

13. Metin değişiklikleri ve yürürlük

Bu metindeki önemli değişiklikler yeni yürürlük tarihiyle yayımlanır ve uygun kanallardan duyurulur. Yürürlük tarihi: 25.10.2026.