Hukuki

Veri İşleme Eki

Son güncelleme: 11 Ekim 2026

Bu çeviri yalnızca kolaylık sağlamak amacıyla sunulmuştur. Herhangi bir çelişki hâlinde İngilizce metin esas alınır.

Bu Veri İşleme Eki ("DPA"), Summer Apps ("Summer Apps", "biz") ile Shopify uygulamamız Summer Upsell & Cross Sell'i yükleyen mağaza sahibi ("Mağaza Sahibi", "siz") arasındaki Hizmet Şartları'nın bir parçasıdır. Uygulama ile bağlantılı olarak sizin adınıza kişisel veri işlediğimiz her durumda geçerlidir.

Uygulamayı yükleyerek veya kullanmaya devam ederek bu DPA'yı kabul edersiniz. İmzalı bir kopyaya ihtiyacınız varsa veya kuruluşunuz ek koşullar gerektiriyorsa iletişim sayfamız üzerinden bize ulaşın.

1. Taraflar ve roller

Uygulamayı sunmak için işlediğimiz mağaza verileri — ürün kataloğunuz, kampanya yapılandırması, toplu widget analitiği ve sipariş satırları — bakımından siz veri sorumlusu (veya ABD eyalet gizlilik yasaları kapsamında "işletme"), Summer Apps ise veri işleyen ("hizmet sağlayıcı") sıfatını taşır.

Kendi amaçlarımız için topladığımız veriler — hesap ve iletişim bilgileriniz, faturalandırma kayıtları, uygulama içi etkinlik günlüğü ve yönetici ürün analitiği — bakımından Summer Apps bağımsız bir veri sorumlusudur. Bu işleme Gizlilik Politikamız'da açıklanmıştır.

"Kişisel veri", "işleme", "veri sorumlusu", "veri işleyen", "ilgili kişi" ve "denetim makamı" ifadeleri, AB Genel Veri Koruma Tüzüğü (GDPR) ve geçerli olduğu hâllerde Birleşik Krallık GDPR'ındaki anlamlarını taşır.

2. Konu ve süre

İşlemenin konusu, Summer Upsell & Cross Sell uygulamasının ve mağaza widget'larının Shopify mağazanıza sunulmasıdır. İşleme, uygulama yüklü kaldığı sürece devam eder ve uygulama kaldırılıp verileriniz Bölüm 6'ya uygun olarak silindiğinde sona erer.

3. İşlemenin niteliği ve amacı

Kişisel verileri yalnızca aşağıdakiler için gerekli olduğu ölçüde işleriz:

  • mağazanızda upsell ve cross-sell widget'larını göstermek ve yapılandırdığınız indirimleri uygulamak;
  • widget performansını (gösterimler, sepete ekle tıklamaları, dönüşümler ve atfedilen gelir) ölçmek ve size uygulamada göstermek;
  • talep ettiğinizde Summer AI ile ürün önerileri oluşturmak;
  • uygulamayı işletmek, güvenliğini sağlamak ve desteklemek.

4. İlgili kişi kategorileri

  • Mağaza sahibi personeli: mağaza sahibi ve uygulamayı Shopify yöneticisinde kullanan personel üyeleri.
  • Son müşteriler: mağazanızı ziyaret eden veya sipariş veren alışverişçiler. Verilerini yalnızca toplu olarak (sayımlar ve sipariş satırları) işleriz; ad, adres, e-posta adresi, telefon numarası veya herhangi bir alışverişçi tanımlayıcısı saklamayız.

5. Kişisel veri kategorileri

Kişisel veri kategorileri Gizlilik Politikamız'ın 2.3 Bölümünde açıklanmıştır. Özetle:

  • Mağaza ve hesap verileri: mağaza alan adı, mağaza adı, mağaza sahibinin adı ve e-postası, mağazanın dili, para birimi ve pazarları, ürün kataloğu.
  • Personel oturum verileri: uygulamayı kullanan personelin adı, e-postası ve dili.
  • Sipariş verileri: sipariş kimliği ve sipariş satırları (ürün, adet, fiyat, indirimler, kampanya özelliği).
  • Toplu mağaza analitiği: gösterimler, tıklamalar, dönüşümler ve atfedilen gelir; alışverişçi tanımlayıcısı içermez.
  • Etkinlik günlüğü: yapılan işlem, mağaza alan adı ve mevcutsa işlemi yapan personelin e-postası.

Özel nitelikli kişisel veri işlemeyiz.

6. Veri işleyenin yükümlülükleri

Summer Apps şunları yapacaktır:

  • kişisel verileri yalnızca belgelenmiş talimatlarınız doğrultusunda işlemek — uygulamayı yüklemeniz ve yapılandırmanız, Shopify API'leri ve bu DPA bu talimatları oluşturur — yasa aksini gerektirmedikçe; bu durumda yasal olarak izin verildiği ölçüde işlemeden önce sizi bilgilendiririz;
  • kişisel veri işlemeye yetkili her kişinin gizlilik yükümlülüğüne tabi olmasını sağlamak;
  • Bölüm 7'de açıklanan teknik ve idari tedbirleri uygulamak;
  • alt işleyicileri yalnızca Bölüm 8'de belirtildiği şekilde kullanmak;
  • işlemenin niteliğini göz önünde bulundurarak ilgili kişi taleplerine yanıt vermenizde ve güvenlik, ihlal bildirimi ve veri koruma etki değerlendirmelerine ilişkin yükümlülüklerinizi yerine getirmenizde size yardımcı olmak;
  • verilerinizi etkileyen bir kişisel veri ihlalini gereksiz gecikme olmaksızın ve her durumda farkına vardıktan sonra 72 saat içinde size bildirmek ve kendi bildirim yükümlülüklerinizi yerine getirmeniz için gereken bilgileri sağlamak;
  • uygulama kaldırıldığında veya bu DPA sona erdiğinde kişisel verilerinizi, yasa saklamayı gerektirmedikçe, Gizlilik Politikası'nın 7. Bölümünde belirtilen süreler içinde silmek;
  • bu DPA'ya uyumu göstermek için gereken bilgileri talep üzerine sunmak ve sizin veya yetkilendirdiğiniz bir denetçinin, makul bir bildirimle ve bir denetim makamı aksini gerektirmedikçe yılda en fazla bir kez gerçekleştireceği denetimlere (incelemeler dâhil) izin vermek ve katkıda bulunmak.

7. Güvenlik tedbirleri

Aşağıdakiler dâhil uygun teknik ve idari tedbirleri uygularız:

  • alışverişçiler, Shopify yöneticisi, sunucularımız ve sağlayıcılarımız arasındaki tüm trafik için aktarım sırasında şifreleme (HTTPS/TLS);
  • veritabanımız (MongoDB Atlas) için bekleme hâlinde şifreleme;
  • gereken asgari erişim izinleriyle Shopify OAuth ve her webhook ile mağaza proxy isteğinin imza (HMAC) doğrulaması;
  • üretim sistemlerine yetkili personelle sınırlı, rol tabanlı erişim ve sunucularımızın önünde Cloudflare;
  • en fazla 90 gün saklanan sunucu günlükleri ve kaldırma sırasında uygulama verilerinin silinmesi.

8. Alt işleyiciler

Gizlilik Politikamız'ın 5. Bölümünde listelenen ve güncel alt işleyici listesini oluşturan alt işleyicileri kullanmamıza yetki verirsiniz. Kişisel verilerinizi işleyen bir alt işleyici eklemeden veya değiştirmeden önce bu listeyi güncelleyecek ve size — e-posta veya uygulama içi bildirimle — en az 30 gün önceden haber vereceğiz. Makul veri koruma gerekçeleriyle itiraz eder ve itirazı çözemezsek uygulamayı kaldırarak sözleşmeyi sona erdirebilirsiniz.

Her alt işleyiciye bu DPA'dakilerden daha az koruyucu olmayan veri koruma yükümlülükleri getiririz ve bunların ifasından sorumlu olmaya devam ederiz.

9. Uluslararası aktarımlar

Merkezimiz ABD'dedir ve verilerinizi orada işleriz. Verileriniz AEA, Birleşik Krallık veya İsviçre kaynaklı olduğunda aktarım, bu DPA'ya atıf yoluyla dâhil edilen AB Standart Sözleşme Maddeleri (Modül 2, veri sorumlusundan veri işleyene) ve Birleşik Krallık Uluslararası Veri Aktarımı Eki ile alt işleyicilerimizle yaptığımız sözleşmelerdeki eşdeğer hükümlere tabidir. Bir alt işleyici AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalı olduğunda bu sertifikaya da dayanırız. Uygulanabilir mekanizmanın bir kopyası iletişim sayfamız üzerinden talep edilebilir.

10. İlgili kişi talepleri

Mağazanızla ilgili bir ilgili kişi talebi alırsak bunu gereksiz gecikme olmaksızın size ileteceğiz ve alındığını onaylamak veya yasanın gerektirdiği hâller dışında doğrudan yanıt vermeyeceğiz. Shopify gizlilik talebi akışı üzerinden gönderilen talepler bize customers/data_request ve customers/redact webhook'ları olarak ulaşır ve bunları 30 gün içinde yanıtlarız. Son müşterilere ait kişisel veri tutmadığımız için bir veri talebine, iade edilecek bir veri bulunmadığına dair bir onayla yanıt verilir.

11. Sorumluluk

Her bir tarafın bu DPA kapsamındaki sorumluluğu, Hizmet Şartları'nda belirtilen istisna ve sınırlamalara tabidir. Bu DPA'daki hiçbir hüküm, geçerli yasanın böyle bir sınırlamayı yasakladığı hâllerde taraflardan birinin ilgili kişilere veya denetim makamlarına karşı sorumluluğunu sınırlamaz.

12. Uygulanacak hukuk ve iletişim

Bu DPA, Hizmet Şartları'na uygulanan hukuka tabidir. Standart Sözleşme Maddeleri'nin uygulandığı hâllerde, kapsadıkları konular bakımından bunların uygulanacak hukuk ve yetki hükümleri önceliklidir. Bu DPA ile Şartlar arasında çelişki olması hâlinde veri koruma konularında bu DPA esas alınır.

Bu DPA hakkında sorular için: