Kişisel Verilerin Korunması
Aydınlatma Metni

1.0. Taraf Rolleri ve Tanımlar: İşbu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamındaki aydınlatma yükümlülüğünün yerine getirilmesi amacıyla hazırlanmıştır. Platform işleticisi DeliwayPro ile Platformu kullanan kurumsal/bireysel müşteriler ("Müşteri/Kiracı") arasındaki veri işleme rollerinin sınırları aşağıda belirlenmiştir. 1.1. DeliwayPro'nun Veri Sorumlusu Olduğu Haller: DeliwayPro; kendi çalışanları, iş ortakları, tedarikçileri, Doğrudan Müşteri temsilcileri ve Platform üzerinde doğrudan hesap açan yetkili kullanıcıların kişisel verileri bakımından KVKK md. 3/1-ı uyarınca Veri Sorumlusudur. 1.2. Müşterinin Veri Sorumlusu Olduğu Haller: Platformu kiralamak/kullanmak suretiyle lojistik operasyonlarını yürüten Müşteri; kendi personeli, atadığı sürücüler, alt yüklenicileri (taşeron/nakliyeciler), müşterileri/alıcıları, depolama ve gümrük süreçlerindeki ilgililere ait veriler bakımından Veri Sorumlusudur. Müşteri; söz konusu kişisel verilerin Platforma aktarılması, işlenmesi ve muhafazası için gerekli hukuki sebeplere (açık rıza, sözleşmenin ifası, kanuni zorunluluk vb.) sahip olduğunu ve ilgili kişilere karşı aydınlatma yükümlülüğünü eksiksiz yerine getirdiğini kabul, beyan ve taahhüt eder. 1.3. DeliwayPro'nun Veri İşleyen Sıfatı: DeliwayPro, Müşteri tarafından Platforma girilen, yüklenen ve işlenen kurumsal ve operasyonel veriler üzerinde yalnızca Müşterinin talimatları doğrultusunda ve teknik altyapı hizmeti (bulut barındırma, veritabanı yönetimi, yedekleme, sistem güvenliği, erişim loglaması ve teknik destek/hata giderme) sunulması amacıyla KVKK md. 3/1-ğ uyarınca "Veri İşleyen" sıfatıyla hareket eder. DeliwayPro, Müşteri adına işlediği verilerin işleme amaçlarını ve vasıtalarını belirlemez. 1.4. Sorumluluğun Sınırı: DeliwayPro'nun Veri İşleyen sıfatından doğan sorumluluğu; Platformun teknik güvenlik standartlarını (şifreleme, erişim yetkilendirmesi, siber güvenlik) sağlamakla sınırlıdır. Müşterinin Veri Sorumlusu sıfatından kaynaklanan hiçbir idari, hukuki veya cezai sorumluluk (ilgili kişi başvurularının yanıtlanması, Kurul bildirimleri, hukuka aykırı veri girişi vb.) DeliwayPro'ya devredilemez.

2.1. Platformda İşlenen Veri Kategorileri: • Hesap ve Kullanıcı Kimlik Verileri: Ad, soyad, unvan, kurum içi kullanıcı adı, e-posta adresi, profil/hesap ayarları. • İletişim Verileri: Telefon numarası, iş/şirket adresi, kep adresi, bildirim tercihleri. • Yetkilendirme, Güvenlik ve Erişim Verileri: Parola özeti (salted cryptographic hash ile saklanır), oturum token'ları, IP adresi, cihaz ve tarayıcı bilgisi, sözleşme ve politika onay kayıtları (zaman damgası, IP kaydı). • Sürücü ve Lojistik Personeli Verileri: Sürücü adı-soyadı, T.C. Kimlik / Pasaport Numarası, doğum tarihi, ehliyet sınıfı/numarası ve geçerlilik tarihi, SRC1/2/3/4 belge numaraları, ADR tehlikeli madde taşıma belgesi, CPC kart numarası, takograf veri kayıtları. • Firma ve Ticari Veriler: Müşteri/Taşıyan/Sipariş veren firma unvanı, VKN/TKN, Vergi Dairesi, MERSİS/Ticaret Sicil No, yetkili imza sirküleri bilgileri, IBAN ve banka hesap detayları. • Lojistik ve Operasyonel Veri Grubu: Navlun teklif ve kabul detayları, taşıma irsaliyeleri, e-CMR / sevk irsaliyesi kayıtları, yükleme/boşaltma adresi ve kişileri, depo stok ve envanter hareketleri, araç ve gümrük evrakı verileri. • Finansal ve Mali Veriler: e-Fatura/e-Arşiv fatura bilgileri, cari hesap hareketleri, ödeme ve borç bildirim kayıtları, mali mutabakat verileri. • İşlem ve Denetim Kayıtları (Audit Logs): Sistem içinde hangi kullanıcının ne zaman, hangi IP'den hangi veriyi oluşturduğu, güncellediği veya sildiği bilgisi (activity_logs). 2.2. Veri İşleme Amaçları: • DeliwayPro SaaS platform hizmetlerinin kesintisiz sunulması, modüllerin (Lojistik, ERP, Depo, Filo, CRM, Finans) işletilmesi. • Kullanıcı hesaplarının oluşturulması, rol bazlı yetkilendirme ve güvenli oturum yönetimi. • Kara, deniz, hava ve demiryolu taşıma operasyonlarının yürütülmesi, e-CMR ve sevkiyat belgelerinin dijital oluşturulması. • Faturalandırma, e-fatura süreçleri, cari takipleri ve yasal mali yükümlülüklerin yerine getirilmesi. • Zorunlu resmi sistem entegrasyonları ve yasal bildirimlerin (U-ETDS, Ulaştırma Bakanlığı vb.) gerçekleştirilmesi. • Sistem güvenliğinin sağlanması, yetkisiz erişimlerin tespiti, hata ayıklama (debugging) ve performans optimizasyonu. 2.3. Hukuki Dayanaklar (KVKK md. 5/2): • md. 5/2-c — Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması. • md. 5/2-ç — Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması (TTK, VUK, Karayolu Taşıma Kanunu ve U-ETDS mevzuatı). • md. 5/2-e — Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. • md. 5/2-f — İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması (bilgi güvenliği, altyapı sürekliliği ve denetim izi oluşturma). 2.4. Otomatik Decision-Making (Karar Verme): Platform üzerinde kişilerin hukuki durumunu etkileyen, profillemeye dayalı tam otomatik karar alma mekanizmaları uygulanmamaktadır. Platform, kullanıcıların ve Veri Sorumlularının operasyonel kararlarını yönettiği bir yazılım aracıdır.

3.1. Özel Nitelikli Veri Kapsamı: KVKK md. 6 uyarınca kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi, kılık ve kıyafeti, dernek/vakıf/sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. (Not: T.C. Kimlik Numarası, Pasaport Numarası, Doğum Tarihi ve Sürücü Belgesi numaraları KVKK kapsamında genel nitelikli kişisel veri olup, özel nitelikli veri sayılmazlar). 3.2. Sağlık Verileri ve İstisnalar: Platform üzerinde Müşteri tarafından sürücüler veya personel için isteğe bağlı yüklenen "Sağlık Raporu / İşe Uygunluk / Engel Durumu / Periyodik Muayene" belgeleri KVKK md. 6 anlamında sağlık verisi (özel nitelikli veri) teşkil eder. 3.3. İşleme Şartı ve Açık Rıza: Özel nitelikli kişisel veriler, KVKK md. 6/2 uyarınca ilgili kişinin Açık Rızası bulunmaksızın işlenemez. Müşteri, sürücülerine veya personeline ait sağlık verilerini Platforma yüklemeden önce ilgili kişilerden mevzuata uygun Açık Rıza almakla yükümlüdür. Müşteri, bu verileri girmeden de Platform üzerindeki lojistik operasyonlarını yürütme hakkına sahiptir. 3.4. Rızanın Geri Alınması ve Müşterinin Yükümlülüğü: Sürücü veya personelin açık rızasını geri çekmesi halinde, söz konusu verilerin Platformdan silinmesi Müşterinin sorumluluğundadır. DeliwayPro, Müşterinin arayüz üzerinden gerçekleştirdiği silme taleplerini derhal işleme koyar. 3.5. Aydınlatma ve Rıza Takipleri: Sürücüler ve alt yüklenici personeli doğrudan DeliwayPro'nun kullanıcısı olmadığından; sürücülere yönelik KVKK aydınlatmasının yapılması ve açık rızaların toplanması tamamen Veri Sorumlusu olan Müşterinin yükümlülüğündedir. DeliwayPro, Müşterinin bu onayları aldığına dair sistem üzerindeki onay/beyan kayıtlarını (sürücü id, onay tarihi, versiyon) teknik veri olarak saklar.

4.1. Veri Saklama Süreleri: Kişisel veriler, işlenme amacının gerektirdiği süre boyunca ve ilgili mevzuatta öngörülen zamanaşımı ve saklama süreleri müddetince muhafaza edilir: • Ticari, Finansal Kayıtlar ve Taşıma Belgeleri (Fatura, irsaliye, e-CMR, navlun sözleşmeleri, ödeme kayıtları): 6102 sayılı Türk Ticaret Kanunu (TTK md. 82) uyarınca 10 yıl. • Vergi Mevzuatı Kayıtları (e-Fatura, defter ve belge kayıtları): 213 sayılı Vergi Usul Kanunu (VUK md. 253) uyarınca 5 yıl (Zamanaşımı risklerine binaen TTK ile paralel 10 yıl uygulanır). • Müşteri ve Kullanıcı Sözleşme Kayıtları: Türk Borçlar Kanunu genel zamanaşımı süresi uyarınca sözleşme bitiminden itibaren 10 yıl. • Personel ve Sürücü Operasyonel Kayıtları: 4857 sayılı İş Kanunu ve Türk Borçlar Kanunu uyarınca sözleşme ilişkisinin sona ermesinden itibaren 10 yıl. • Denetim ve Erişim Logları (Activity Logs, Yetki Kayıtları): 5651 sayılı Kanun ve bilgi güvenliği standartları uyarınca 2 yıl. • Oturum ve Geçici Çerez Verileri: Oturum süresince veya tarayıcı kapatılana kadar. 4.2. İmha Usulleri: Saklama süreleri dolan veya işleme amacı tamamen ortadan kalkan kişisel veriler; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun olarak, DeliwayPro tarafından periyodik imha süreçlerinde veya Müşterinin yazılı talebi üzerine silinir, yok edilir veya anonim hale getirilir. 4.3. Müşteri Talebiyle Silme (Tenant Veri Hijyeni): Müşteri (Kiracı), ana firma yetkilisi sıfatıyla paneli üzerinden kendi verilerini, pasif sürücülerini veya alt kiracı (sub-tenant) kayıtlarını CSV/Excel olarak dışa aktarabilir ve iki aşamalı doğrulama ile silme/anonimleştirme talebi oluşturabilir. 4.4. Yedekleme Döngüleri (Backup Retention): Sistem güvenliği ve iş sürekliliği kapsamında alınan veritabanı yedeklerindeki (backups) silinen veriler, yedek döngülerinin üzerinin yazılması esasıyla en geç 30 gün içerisinde yedekleme medyalarından tamamen temizlenir.

5.1. Sunucu ve Veritabanı Lokasyonu: DeliwayPro altyapısı, yüksek erişilebilirlik, kesintisiz veri güvenliği ve felaket kurtarma standartları gereğince Almanya'da yerleşik Hetzner Online GmbH (Falkenstein / Veri Merkezi) veri merkezlerinde bulunan güvenli sunucularda barındırılmaktadır. Veritabanı ve dosya depolama birimleri bu sunucular üzerinde çalışmaktadır. 5.2. Hukuki Niteliği: Kişisel verilerin Türkiye sınırları dışındaki sunucularda tutulması, KVKK md. 9 anlamında "Yurt Dışına Veri Aktarımı" olarak kabul edilir. 5.3. Yurt Dışına Aktarım Hukuki Dayanakları (Yeni KVKK md. 9 Rejimi): Yurt dışı aktarımı, KVKK'nın 7499 sayılı Kanun ile değişen 9. maddesindeki aşağıdaki mekanizmalardan birine dayanılarak gerçekleştirilir: • Uygun Güvenceler / Standart Sözleşme (SCC): Veri sorumlusu/veri işleyen sıfatıyla Hetzner Online GmbH ile Kişisel Verileri Koruma Kurulu tarafından ilan edilen Standart Sözleşme (Standard Contractual Clauses) akdedilerek Kurul'a gerekli bildirimler yapılır. • İstisnai Haller / Açık Rıza (md. 9/6): Uygun güvencelerin bulunmadığı veya münferit operasyonel zorunlulukların gerektiği hallerde, ilgili kişilerin yurt dışı aktarımına ilişkin muhtemel riskler hakkında bilgilendirilerek Açık Rızalarının alınması usulü uygulanır. 5.4. Müşteri (Kiracı) Taahhüdü: Müşteri, DeliwayPro Platformunu kullanmaya başlayarak, sunucuların yurt dışında yer aldığını bildiğini; Platforma tanımladığı kendi çalışanları, sürücüleri ve müşterileri açısından gerekli KVKK md. 9 bilgilendirmelerini ve aktarım onaylarını/açık rızalarını aldığını kabul ve beyan eder. 5.5. Uluslararası Taşıma Operasyonları: Uluslararası lojistik (e-CMR, gümrük, sınır geçişleri, yabancı alıcılar) süreçlerinde verilerin yurt dışındaki üçüncü taraf firmalara/makamlara aktarılması Müşterinin kendi operasyonel kararı ve sorumluluğundadır.

6.1. İlgili Kişilerin Hakları: KVKK md. 11 uyarınca, kişisel verisi işlenen tüm gerçek kişiler (sürücüler, personel, Müşteri temsilcileri) Veri Sorumlusuna başvurarak şu hakları kullanabilir: • Kişisel verilerinin işlenip işlenmediğini öğrenme, • Kişisel verileri işlenmişse buna ilişkin bilgi talep etme, • İşleme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, • Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, • Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, • KVKK md. 7 çerçevesinde verilerin silinmesini veya yok edilmesini isteme, • Düzeltme, silme ve yok edilme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, • İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, • Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme. 6.2. Başvuru Makamı ve Yöntemi: • Sürücüler, Müşterilerin Müşterileri ve Müşteri Personeli İçin: Veri Sorumlusu olan Müşteri'ye (Platformu kullanan kiracı firmaya) başvurulmalıdır. DeliwayPro'ya doğrudan gelen talepler, ilgili Veri Sorumlusu Müşteri'ye yönlendirilir. • Doğrudan DeliwayPro Müşteri Temsilcileri ve Kullanıcıları İçin: Talepler, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak DeliwayPro'nun resmi iletişim kanallarına veya KEP adresine iletilmelidir. 6.3. Yanıt Süresi (KVKK md. 13): Veri Sorumlusu, talebin niteliğine göre başvuruyu en kısa sürede ve en geç 30 (otuz) gün içerisinde ücretsiz olarak sonuçlandırmakla yükümlüdür. İşlemin ayrıca bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu tarafından belirlenen tarife uygulanabilir.

7.1. Mevzuata Uygunluk: İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ve ilgili alt mevzuata uygun olarak hazırlanmıştır. 7.2. Yürürlük ve Onay Mekanizması: İşbu metin, Platform üzerinde yayımlandığı andan itibaren yürürlüğe girer ve Platforma ilk girişte veya güncellemelerde ekrana gelen onay ekranı aracılığıyla Müşteri/Kullanıcı tarafından dijital olarak onaylanır. Onay anındaki Kullanıcı ID, Tarih, Saat ve IP Adresi loglanarak kanıt niteliğinde saklanır. 7.3. Metin Değişiklikleri ve Sürüm Kontrolü: Mevzuat değişiklikleri veya Platforma eklenen yeni modüller/özellikler doğrultusunda metin güncellenebilir. Metin güncellendiğinde sürüm numarası (v1.0, v2.0 vb.) ve yürürlük tarihi değiştirilir; kritik değişiklikler Platform içi bildirimler veya e-posta yoluyla Müşterilere duyurulur.