Veri İşleme Sözleşmesi

(DATA PROCESSING AGREEMENT – DPA) · Stokta · v2.2 · 29.09.2026

1. TARAFLAR

1.1. VERİ SORUMLUSU (MÜŞTERİ)

Bundan böyle "VERİ SORUMLUSU" veya "MÜŞTERİ" olarak anılacaktır.

1.2. VERİ İŞLEYEN (SAAS SAĞLAYICI)

Bundan böyle "VERİ İŞLEYEN" veya "SAAS SAĞLAYICI" olarak anılacaktır.

Veri Sorumlusu ve Veri İşleyen bundan böyle birlikte "Taraflar", ayrı ayrı "Taraf" olarak anılacaktır.

2. TANIMLAR VE TARAFLARIN ROLLERİ

2.1. Sözleşme

İşbu Veri İşleme ve Yurt Dışı Aktarım Sözleşmesi'ni (DPA) ifade eder.

2.2. Ana Sözleşme

Taraflar arasında imzalanan Stokta Yazılım Lisans ve Hizmet Sözleşmesi'ni ifade eder.

2.3. Kanun (KVKK)

6698 sayılı Kişisel Verilerin Korunması Kanunu'nu ifade eder.

2.4. Tarafların Rolleri

Taraflar, Ana Sözleşme kapsamında sunulan hizmetlerin yerine getirilmesi sırasında;

• Müşteri'nin "Veri Sorumlusu",
• SaaS Sağlayıcı'nın ise "Veri İşleyen"

konumunda olduğunu kabul, beyan ve taahhüt ederler.

3. SÖZLEŞMENİN KONUSU VE KAPSAMI

3.1.

İşbu Sözleşme'nin konusu; Veri Sorumlusu'nun Stokta platformunu (app.stokta.tr web uygulaması ve aynı uygulamayı gösteren iOS ve Android uygulamaları) kullanımı sırasında sisteme kaydettiği kişisel verilerin, hizmet altyapısı gereği Frankfurt / Almanya lokasyonunda bulunan sunucularda barındırılması ve işlenmesi süreçlerinde KVKK mevzuatına uygun olarak korunması ile Tarafların karşılıklı hak ve yükümlülüklerinin belirlenmesidir.

3.2.

Veri İşleyen, kişisel verileri yalnızca Ana Sözleşme kapsamında sunulması gereken SaaS hizmetlerinin yerine getirilmesi amacıyla ve işbu Sözleşmede belirtilen esaslar doğrultusunda işler.

4. VERİ İŞLEYEN'İN YÜKÜMLÜLÜKLERİ

4.1. Talimatlara Uygunluk

Veri İşleyen, kişisel verileri yalnızca Veri Sorumlusu'nun Ana Sözleşme ve platform kullanımıyla sınırlı yazılı talimatları doğrultusunda işler.

Veri İşleyen, Veri Sorumlusu'nun talimatlarının dışına çıkarak kişisel verileri kendi amaçları doğrultusunda kullanamaz veya işleyemez.

4.2. Sır Saklama ve Gizlilik

Veri İşleyen;

• a) Kişisel verilere erişimi bulunan çalışanlarının ve hizmet kapsamında yetkilendirilen kişilerin gizlilik yükümlülüğü altında olmasını,
• b) Bu kişilerin kişisel verilere yalnızca görevlerinin gerektirdiği ölçüde erişmesini,
• c) Kişisel verilerin yetkisiz kişilerle paylaşılmamasını,

sağlamakla yükümlüdür.

4.3. Veri İhlali Bildirimi

Veri İşleyen, işlenen kişisel verilere yönelik herhangi bir yetkisiz erişim, veri kaybı, veri sızıntısı veya kişisel veri ihlali şüphesini tespit ettiği andan itibaren gecikmeksizin ve her hâlükârda en geç 72 saat içerisinde Veri Sorumlusu'na madde 1.1'de belirtilen bildirim e-posta adresi üzerinden bildirir.

Bildirim kapsamında, mevcut olduğu ölçüde;

• İhlalin niteliği,
• Etkilenen veri kategorileri,
• Etkilenen kişi grupları,
• İhlalin gerçekleştiği veya tespit edildiği zaman,
• Alınan veya alınması planlanan teknik ve idari tedbirler

hakkında bilgi sağlanır.

4.4. Alt Veri İşleyenler

Veri İşleyen, SaaS hizmetinin sunulması amacıyla aşağıdaki alt veri işleyenlerden yararlanır:

Veri İşleyen, alt veri işleyenlerde meydana gelecek değişiklikleri Veri Sorumlusu'na önceden bildirecektir.

5. YURT DIŞINA VERİ AKTARIMI

5.1. Veri Barındırma ve Aktarım Lokasyonu

Taraflar, SaaS platformunun veri tabanı ve depolama mimarisinin coğrafi olarak Frankfurt / Almanya lokasyonunda bulunduğunu ve hizmetin gerektirdiği ölçüde kişisel verilerin bu bölgedeki sistemlere aktarılabileceğini kabul eder.

Kalıcı verinin tutulduğu yer bakımından: veritabanı, kimlik doğrulama ve dosya depolama katmanları Frankfurt / Almanya (AWS eu-central-1) bölgesindedir.

Geçici işleme bakımından: sunucu tarafı fonksiyonlar (ödeme başlatma, hesap açma ve hesap silme işlemleri) hizmet sağlayıcının dağıtık ağında, varsayılan olarak isteği yapan kullanıcıya en yakın bölgede çalıştırılır. Bu işleme geçicidir ve veri saklamaz; kalıcı kayıt her hâlükârda Frankfurt bölgesindeki veritabanına yazılır.

Hizmet sağlayıcının destek ve yan hizmetleri kapsamında, hizmet sağlayıcının Singapur'da kurulu ana şirketi, Amerika Birleşik Devletleri'nde kurulu bağlı şirketi ve hizmet sağlayıcının yayımladığı listede yer alan alt işleyenler tarafından verilere erişilebilmektedir.

5.2. Standart Sözleşme

İşbu Sözleşme'nin eki ve ayrılmaz parçası niteliğinde olan, Kişisel Verileri Koruma Kurumu tarafından yayımlanan "Veri Sorumlusundan Veri İşleyene Standart Sözleşme" metni Taraflarca ayrıca ve eş zamanlı olarak imzalanacaktır.

5.3. Kuruma Bildirim

Mevzuat gereğince imzalanan Standart Sözleşme'nin 5 (beş) iş günü içerisinde Kişisel Verileri Koruma Kurumu'na bildirilmesi sorumluluğu Veri Sorumlusu'na (Müşteri) aittir.

Veri İşleyen, söz konusu bildirim işleminin gerçekleştirilebilmesi için Veri Sorumlusu tarafından ihtiyaç duyulan bilgi ve dokümantasyon desteğini sağlayacaktır.

6. SÜRE VE VERİLERİN İMHASI

6.1. Sözleşmenin Süresi

İşbu Sözleşme, Ana Sözleşme yürürlükte kaldığı sürece geçerlidir.

6.2. Hizmet İlişkisinin Sona Ermesi

SaaS aboneliğinin veya Taraflar arasındaki hizmet ilişkisinin herhangi bir nedenle sona ermesi hâlinde Veri İşleyen, sistemde bulunan kişisel verileri Veri Sorumlusu'nun talimatı doğrultusunda;

• a) güvenli bir şekilde Veri Sorumlusu'na iade eder veya
• b) KVKK ve ilgili mevzuat kapsamında yürürlükte bulunan kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin düzenlemelere uygun şekilde kalıcı olarak siler, yok eder veya anonim hâle getirir.

7. YÜRÜRLÜK

İşbu Veri İşleme ve Yurt Dışı Aktarım Sözleşmesi, Taraflarca imzalandığı tarihte yürürlüğe girer ve Ana Sözleşme'nin ayrılmaz bir eki ve tamamlayıcısı niteliğindedir.

İşbu Sözleşme, ekleriyle birlikte bir bütün olarak değerlendirilir.

8. İMZA

İşbu Sözleşme, Taraflarca okunarak, içeriği anlaşılarak ve tüm hükümleri kabul edilerek imza tarihi tarihinde iki nüsha olarak imzalanmıştır.

Sözleşme, tarafların yetkili temsilcilerince iki nüsha hâlinde imzalanır.

EK-1 · VERİ AKTARIMININ AÇIKLANMASI (VERİ HARİTASI)

1. Veri Aktaran

Veri Sorumlusu (Müşteri) — müşterinin ticaret sicilindeki tam unvanı

2. Veri Alan

Veri İşleyen (SaaS Sağlayıcı) ve madde 4.4'te sayılan alt veri işleyenler. Platformun kalıcı verisi, alt veri işleyen Supabase Pte. Ltd. üzerinden Frankfurt / Almanya (AWS eu-central-1) lokasyonunda tutulur.

3. İşlenen Veri Kategorileri

Aşağıdaki kategoriler, 14.09.2026 tarihinde platformun veritabanı şeması ve kaynak kodu taranarak çıkarılmıştır. Şablonda yer alan ancak platformda karşılığı bulunmayan alanlar çıkarılmış, taramada tespit edilen ve şablonda bulunmayan alanlar eklenmiştir.

3.1. Hesap ve Kullanıcı Verileri

Platform veritabanında tutulanlar:

• Ad ve soyad,
• Telefon numarası,
• Kullanıcı rolü (işletme personeli / bayi) ve firma içindeki yetki düzeyi,
• Arayüz dili tercihi,
• KVKK aydınlatma onayının zaman damgası,
• Hesabın oluşturulma zamanı.

Kimlik doğrulama hizmetini sağlayan alt veri işleyen nezdinde tutulanlar:

• E-posta adresi (giriş kimliği),
• Şifrenin geri döndürülemez kriptografik özeti,
• E-posta doğrulama ve şifre kurtarma belirteçleri,
• Son giriş zamanı ve hesap durumu bilgileri,
• Yönetim yetkisi bayrağı.

3.2. Firma, Ticari İlişki ve Vitrin Verileri

• Firma unvanı,
• Sektör ve şehir bilgisi,
• Bayinin vergi kimlik numarası (VKN) veya T.C. kimlik numarası (TCKN),
• İşletme ile bayi arasındaki ticari koşullar: iskonto oranı, vade gün sayısı, müşteri grubu etiketi ve hangi ödeme yöntemlerinin açık olduğu bilgisi,
• Bayinin platforma hangi yolla ve hangi işletmenin daveti ile katıldığı bilgisi,
• Davet kayıtları: davet kodu, daveti oluşturan personelin kimliği, kodu kullanan bayi ve geçerlilik süresi,
• İşletmenin kendi isteğiyle herkese açık vitrin sayfasında yayımladığı bilgiler: tanıtım metni, adres, telefon, WhatsApp numarası, e-posta, web sitesi, Instagram hesabı, kapak görseli ve logo,
• İşletmenin ödeme kuruluşu nezdindeki üye işyeri anahtarı (banka bilgisi içermez).

Platformda fatura adresi, vergi dairesi, banka hesap bilgisi veya IBAN için yapılandırılmış bir alan bulunmaz ve bu veriler tutulmaz. Pazaryeri (alt üye işyeri) modeli devreye alındığında işletmenin banka bilgileri doğrudan ödeme kuruluşuna verilir; platformda tutulmaz.

3.3. Ticari İşlem Verileri

Platform üzerinde oluşan;

• Sipariş kayıtları: sipariş kalemleri, adet, birim fiyat ve toplam tutar, teslimat adresi (serbest metin), sipariş notu, sipariş durumu ve tarih bilgileri,
• Cari hesap hareketleri: borç ve alacak kayıtları, vade tarihi, açıklama ve bakiye,
• Çek ve senet portföy kayıtları: tür, tutar, evrak referansı (serbest metin — kullanıcı dilerse banka adını da buraya yazar), vade, durum ve tahsil tarihi. Bu kayıtlar yalnızca defter kaydıdır; platform üzerinden çek veya senetle ödeme yapılmaz,
• Ödeme kayıtları: ödeme kuruluşunun işlem ve konuşma numarası, tutar, taksit sayısı ve işlem durumu. Kart numarası, son kullanma tarihi ve güvenlik kodu hiçbir aşamada platforma iletilmez ve saklanmaz,
• Ürün katalog görselleri (kişisel veri içermez; katalog ve vitrin amacıyla herkese açık servis edilir).

Platformda fatura, irsaliye, teklif, makbuz veya benzeri serbest doküman yükleme özelliği bulunmaz. Ürün ve stok listeleri Excel veya CSV dosyasından içe aktarılabilir; bu dosya sunucuya yüklenmez, yalnızca kullanıcının tarayıcısında okunur. Raporlar da kullanıcının cihazına indirilir.

3.4. Ödeme Kuruluşuna Aktarılan Veriler

Kart ile ödeme başlatıldığında, ödemenin gerçekleştirilebilmesi ve ödeme kuruluşunun mevzuattan doğan yükümlülükleri için aşağıdaki veriler ödeme kuruluşuna (iyzico) iletilir: alıcının adı ve soyadı, e-posta adresi, vergi veya T.C. kimlik numarası, adres bilgisi, şehir ve ülke, işlem anındaki IP adresi ve sipariş tutarı.

3.5. İşlem Güvenliği Verileri

• Kimlik doğrulama (giriş) kayıtları,
• Kritik işlemler için denetim kaydı: işlemi yapan kullanıcının kimliği, işlemin türü, ilgili kayıt ve zaman,
• Kötüye kullanımı önlemek amacıyla tutulan hız sınırlama kayıtları: IP adresi veya kullanıcı kimliği ile işlem sayacı,
• Altyapı sağlayıcıları nezdinde tutulan IP adresi ve erişim kayıtları.

3.6. Çerezler ve Web Analitiği

Platformda yalnızca çalışması için zorunlu çerezler ve yerel kayıtlar (oturum, tercih ve görünüm bilgisi) kullanılır. Platformun gerçek kullanıcı hesaplarında, giriş ekranı dâhil, web analitiği ve oturum kaydı araçları yüklenmez; daha önce verilmiş bir analitik onayı bulunsa dahi yüklenmez ve varsa analitik çerezleri silinir. Mobil uygulama kabuğunda da yüklenmez.

Veri İşleyen'in tanıtım sitesinde ve gerçek kişisel veri içermeyen örnek veri modunda, ziyaretçinin açık rızasına bağlı analitik araçları kullanılabilir. Bu yüzeyler işbu Sözleşme kapsamındaki kişisel verileri işlemez.

3.7. Veri Sorumlusu Tarafından Yüklenebilecek Üçüncü Kişi Verileri

İşbu Sözleşme'nin imza tarihi itibarıyla platformda, Veri Sorumlusu'nun kendi müşterilerine ait iletişim bilgilerini toplu olarak yükleyebileceği bir özellik bulunmamaktadır; bayi hesapları yalnızca bayinin kendisi tarafından, davet kodu ile açılır.

Böyle bir özelliğin ileride devreye alınması hâlinde: yüklenen kişisel verilerin hukuka uygun olarak elde edilmiş olması ve ilgili kişilerin aydınlatılması Veri Sorumlusu'nun sorumluluğundadır; Veri İşleyen bu verileri yalnızca eşleştirme ve bağlantı kurma amacıyla işler.

4. İşleme Amaçları

Kişisel veriler aşağıdaki amaçlarla işlenebilir:

• Kullanıcı hesaplarının oluşturulması ve yönetilmesi,
• Rol bazlı yetkilendirmelerin gerçekleştirilmesi,
• Davet ve işletme–bayi bağlantılarının yönetilmesi,
• Ürün kataloğu, stok, sipariş ve cari hesap süreçlerinin yürütülmesi,
• Kart ödemelerinin ödeme kuruluşu aracılığıyla başlatılması ve sonucunun kaydedilmesi,
• İşletmenin talebi hâlinde herkese açık vitrin sayfasının yayımlanması,
• Veri saklama ve bulut yedekleme,
• Teknik destek hizmetlerinin yürütülmesi,
• Bilgi güvenliğinin sağlanması, kötüye kullanımın önlenmesi ve denetim izinin tutulması.

5. Özel Nitelikli Kişisel Verilere İlişkin Kısıtlama

Veri Sorumlusu, platforma 6698 sayılı KVKK'nın 6. maddesi kapsamında özel nitelikli kişisel veri niteliğindeki sağlık, din, biyometrik veri ve benzeri verileri yüklemeyeceğini kabul, beyan ve taahhüt eder.

Veri Sorumlusu tarafından bu yükümlülüğe aykırı şekilde özel nitelikli kişisel verilerin platforma yüklenmesinden kaynaklanan hukuki sorumluluk, mevzuatın emredici hükümleri saklı kalmak kaydıyla, Veri Sorumlusu'na aittir.

EK-2 · TEKNİK VE İDARİ TEDBİRLER

Veri İşleyen, Frankfurt / Almanya lokasyonunda bulunan sunucularda işlenen kişisel verilerin güvenliğini sağlamak amacıyla aşağıdaki teknik ve idari tedbirleri uygulamayı taahhüt eder.

Aşağıdaki maddeler şablondaki genel ifadelerin yerine, platformun 14.09.2026 tarihindeki fiilî kurulumuna göre yazılmıştır. Kaynak kodda karşılığı doğrulanamayan hiçbir tedbir beyan edilmemiştir.

1. Mimari ve Mantıksal Ayrıştırma

Kullanıcı, sipariş ve cari yönetim verileri Frankfurt / Almanya (AWS eu-central-1) lokasyonundaki PostgreSQL ilişkisel veritabanında tutulur. Sisteme yüklenen ürün görselleri ise aynı lokasyondaki ayrı ve izole edilmiş bir Nesne Depolama (Object Storage) servisinde, firma başına ayrılmış klasör yapısında saklanır. Nesne depolamada ürün görseli dışında dosya tutulmaz.

2. Depolama Şifrelemesi — Encryption at Rest

Veritabanı ve nesne depolama içerikleri, disk düzeyinde endüstri standardı AES-256 algoritmasıyla şifrelenmiş olarak saklanır; düzenli yedekler de aynı yöntemle şifrelenir. Şifreleme anahtarları FIPS 140-2 uyumlu donanım güvenlik modülleriyle korunur.

3. Veri Transfer Güvenliği — Encryption in Transit

Kullanıcının internet tarayıcısı veya mobil uygulaması ile sunucular arasındaki veri trafiği ve servisler arasındaki veri iletişimi TLS 1.2 ve üzeri protokoller üzerinden şifrelenir.

4. Kimlik Doğrulama, Hesap Açma ve Şifre Politikası

Kullanıcı şifreleri veritabanında açık metin olarak tutulmaz; kimlik doğrulama hizmetini sağlayan alt veri işleyen tarafından, her biri rastgele üretilmiş bir tuz (salt) değeriyle birlikte güçlü bir özet fonksiyonuyla (bu Sözleşme tarihi itibarıyla bcrypt) geri döndürülemez biçimde saklanır. Veri İşleyen'in uygulaması şifreyi hiçbir aşamada kendisi işlemez veya saklamaz.

Platforma herkese açık kayıt yoktur. Bayi hesapları yalnızca işletme tarafından üretilen, süreli ve tek kullanımlık davet kodu ile ve sunucu tarafında açılır; davet kodu denemelerine karşı hız sınırlaması uygulanır. Kimlik doğrulama sağlayıcısı düzeyindeki doğrudan kayıt uç noktası da kapalıdır. Oturumlar süreli kimlik belirteçleri (JWT) ile yönetilir ve yenileme belirteçleri döndürülür.

5. Yetki ve Erişim Yönetimi

Veritabanı ve nesne depolama erişim yetkileri birbirinden bağımsız olarak yönetilir. Uygulama, veriye kullanıcı bazlı kimlik doğrulama (JWT) ve satır seviyesinde erişim politikaları (Row Level Security) ile erişir. Tüm tablolarda satır seviyesi güvenlik etkindir ve varsayılan davranış REDdir; her firmanın verisi veritabanı düzeyinde diğer firmalardan yalıtılmıştır. Ödeme kayıtları ve denetim kaydı gibi tablolara uygulama kullanıcılarının hiçbir erişimi yoktur.

Bu yalıtım, sürüm öncesinde çalıştırılan izolasyon testleriyle doğrulanır: farklı kullanıcı kimlikleriyle uçtan uca erişim denemeleri ve veritabanı düzeyinde persona kontrolleri.

Yönetimsel anahtarlar yalnız sunucu tarafında, en az yetki (least privilege) ilkesiyle kullanılır; istemciye hiçbir gizli anahtar iletilmez.

6. Ürün Görseli Yükleme

Görsel yükleme yalnızca kimliği doğrulanmış firma personeli tarafından ve yalnızca kendi firmasının klasörüne yapılabilir. Dosya türü (JPEG, PNG, WebP) ve boyut sınırı (3 MB) sunucu tarafında uygulanır; istemci tarafındaki kontrol yalnızca ikinci bir katmandır. Ürün görselleri kişisel veri içermediğinden katalog ve vitrin amacıyla herkese açık servis edilir.

7. Ödeme Verisi

Ödeme işlemi, PCI-DSS sertifikalı ödeme kuruluşunun (iyzico) barındırdığı ödeme sayfasında gerçekleşir. Kart numarası, son kullanma tarihi ve kart güvenlik kodu Veri İşleyen'in sistemlerine iletilmez, işlenmez ve saklanmaz. Ödeme sonucu, istemciden gelen bildirime güvenilmeden sunucu tarafından doğrulanır; ödenen tutar sipariş tutarıyla eşleşmezse işlem kabul edilmez, sipariş iptal edilir ve stok iade edilir.

Sipariş tutarları istemciden alınmaz: sepet, sunucu tarafında veritabanındaki güncel fiyatlarla ve kayıt kilidi altında yeniden hesaplanır.

8. Kötüye Kullanım Önlemleri

Hesap açma, ödeme başlatma, ödeme dönüşü ve hesap silme işlemlerinin tamamında sunucu tarafında hız sınırlaması uygulanır. Tekrarlanan ödeme bildirimleri idempotent olarak işlenir: sonuçlanmış bir sipariş ikinci kez işlenmez ve aynı ödeme kaydı iki kez oluşturulamaz.

9. İzlenebilirlik

Sipariş oluşturma ve iptali, sipariş durumu değişiklikleri, fiyat değişiklikleri, tahsilat kayıtları, ödeme sonuçları, hesap açma ve hesap silme işlemleri için kim-ne-ne zaman denetim kaydı tutulur. Denetim kaydı ad, telefon veya e-posta gibi doğrudan tanımlayıcı veriler içermez; işlemi yapan kullanıcı yalnızca kimlik numarasıyla anılır.

10. Yedekleme

Veritabanı, hizmet sağlayıcının ücretli planı kapsamında günde bir kez otomatik olarak yedeklenir ve son yedi güne ait günlük yedeklere geri dönülebilir. Yedekler aktarımda ve saklamada şifrelenir ve proje kaynaklarından bağımsız bir depolama sisteminde tutulur.

Dosya depolama (Object Storage) alanındaki nesneler günlük veritabanı yedeğinin kapsamına dahil değildir.

11. Hesap Silme ve İmha

Kullanıcı, uygulama içinden hesabının silinmesini talep edebilir. Talep üzerine kimlik doğrulama kaydı ve kullanıcı profili silinir, böylece giriş imkânı ortadan kalkar; yasal saklama yükümlülüğü altındaki ticari kayıtlar (sipariş, cari hareket, ödeme) kişiyle ilişkisi koparılarak saklanmaya devam eder ve ilgili işletme bağlantısı askıya alınır.