KVKK Aydınlatma Metni

Bu Aydınlatma Metni; CupyGift markası altında faaliyet gösteren Netgrap Bilişim Hizmetleri Ticaret Limited Şirketi tarafından aşağıdaki kişilerin kişisel verilerinin işlenmesi hakkında bilgilendirilmesi amacıyla, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10’uncu maddesi kapsamında hazırlanmıştır:

• internet sitesini ziyaret eden kişilerin,
• CupyGift ile iletişime geçen müşteri adaylarının,
• sipariş veren müşterilerin,
• müşteri destek veya iletişim formu kullanan kişilerin,
• sipariş kapsamında kişisel verileri CupyGift’e iletilen diğer kişilerin.

Bu metin bir açık rıza metni değildir. Kişisel veri işlemenin açık rızaya bağlı olduğu durumlarda açık rıza, bu metinden ayrı olarak ve isteğe bağlı biçimde alınır.

Çerezler ve benzeri teknolojiler hakkında ayrıntılı bilgi Çerez Politikası, genel gizlilik uygulamalarımız hakkında bilgi ise Gizlilik Politikası içerisinde sunulmaktadır.

Kişisel verileriniz, veri sorumlusu sıfatıyla aşağıdaki şirket tarafından işlenmektedir:

Bu metinde geçen “CupyGift”, “Şirket” veya “veri sorumlusu” ifadeleri Netgrap Bilişim Hizmetleri Ticaret Limited Şirketini ifade eder.

CupyGift ile olan ilişkinizin niteliğine göre aşağıdaki kişisel veri kategorileri işlenebilir.

3.1. Kimlik bilgileri

Ad, soyad ve fatura düzenlenmesi veya hukuki yükümlülüklerin yerine getirilmesi için gerekli olabilecek diğer kimlik bilgileri.

3.2. İletişim bilgileri

Telefon numarası, e-posta adresi, fatura adresi ve tarafınızca bildirilen diğer iletişim bilgileri. CupyGift ürünleri dijital olarak teslim edildiğinden, fiziksel kargo adresi hizmetin sunulması için gerekli olmadığı sürece talep edilmez.

3.3. Müşteri işlem bilgileri

Sipariş numarası, satın alınan ürün veya hizmet, ürün paketi, kişiselleştirme tercihleri, sipariş tarihi, sipariş durumu, dijital teslimat bilgileri, revizyon talepleri, müşteri destek kayıtları, iptal ve iade bilgileri.

3.4. Finans ve ödeme bilgileri

Sipariş tutarı, ödeme yöntemi, ödeme durumu, ödeme tarihi, ödeme kuruluşu işlem numarası, tahsilat ve iade bilgileri ile fatura kayıtları. Tam kart numarası, kart güvenlik kodu ve kart şifresi CupyGift tarafından doğrudan saklanmaz; bu bilgiler kullanılan ödeme hizmeti sağlayıcısının altyapısı üzerinden işlenir.

3.5. Kişiye özel üretim bilgileri

Kişiye özel dijital ürünün hazırlanması için iletilen:

• hikâye ve senaryo metinleri,
• isimler, tarihler ve özel mesajlar,
• fotoğraflar ve görseller,
• video ve ses kayıtları,
• müzik ve seslendirme tercihleri,
• karakter, sahne ve tasarım tercihleri,
• yaratıcı brief ve açıklamalar,
• revizyon notları,
• üretim için gerekli diğer içerikler.

Bu içerikler siparişi veren müşteriye veya müşterinin hediye hazırlattığı başka kişilere ait olabilir.

3.6. İletişim, talep ve şikâyet bilgileri

İletişim formu mesajları, e-posta yazışmaları, destek talepleri, şikâyetler, geri bildirimler, revizyon görüşmeleri ve uyuşmazlık kayıtları.

3.7. İşlem güvenliği ve teknik bilgiler

IP adresi, erişim tarihi ve saati, cihaz ve tarayıcı bilgileri, işletim sistemi, sunucu kayıtları, hata kayıtları, güvenlik kayıtları, oturum bilgileri ve çerez tercih kayıtları.

3.8. Analitik ve pazarlama bilgileri

Ayrı açık rıza verilmesi hâlinde ziyaret edilen sayfalar, görüntülenen ürünler, trafik kaynağı, reklam kampanyası bilgileri, sayfa etkileşimleri, sepete ekleme, ödeme başlatma ve satın alma etkinlikleri.

3.9. Hukuki işlem bilgileri

Başvuru, ihtar, uyuşmazlık, ödeme itirazı, ters ibraz, dava, icra, resmî kurum yazışması ve hukuki süreçlere ilişkin bilgi ve belgeler.

3.10. Onay ve tercih bilgileri

Çerez tercihleri, ticari elektronik ileti onayları, açık rıza kayıtları, portföy kullanım tercihleri ve bu tercihlerin verilme veya geri alınma tarihleri.

Kişisel verileriniz aşağıdaki faaliyetler kapsamında, belirtilen amaç ve hukuki sebeplere dayanılarak işlenmektedir.

Sözleşmenin kurulması veya ifası için gerekli kişisel veriler bakımından ayrıca açık rıza talep edilmez. Açık rıza; yalnızca analitik, reklam, pazarlama, portföy kullanımı veya başka bir veri işleme şartının bulunmadığı faaliyetlerde ayrı olarak alınır.

Kişisel verileriniz aşağıdaki kanallar aracılığıyla toplanabilir:

• internet sitesi üzerindeki iletişim ve sipariş formları,
• ödeme ve faturalandırma sayfaları,
• dosya ve içerik yükleme alanları,
• e-posta ve telefon iletişimi,
• müşteri destek kanalları,
• ödeme hizmeti sağlayıcıları,
• tarayıcı ve sunucu kayıtları,
• açık rıza verilmesi hâlinde çerez, etiket ve piksel teknolojileri,
• siparişi veren kişi tarafından iletilen üçüncü kişilere ait içerikler,
• hukuken yetkili kurum ve kuruluşlardan gelen bildirimler.

Bu veriler elektronik ortamda, tamamen veya kısmen otomatik yöntemlerle ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerle toplanabilir. Kişisel veriler, verinin elde edilme aşamasında ve ilgili veri işleme faaliyeti başlamadan önce sunulan bu Aydınlatma Metni kapsamında işlenir.

Kişisel verileriniz, işleme amacıyla sınırlı ve ölçülü olmak üzere aşağıdaki alıcı gruplarına aktarılabilir:

Aktarım yapılırken alıcıya yalnızca ilgili hizmetin yerine getirilmesi için gerekli kişisel verilerin sağlanması amaçlanır.

Müşteri tarafından yüklenen fotoğraf, video, ses ve hikâye içerikleri; ayrıca açık rıza verilmedikçe reklam ve tanıtım amacıyla üçüncü kişilere aktarılmaz.

Google Analytics 4, Meta Pixel, yurt dışı merkezli barındırma, bulut, dosya işleme veya üretim hizmetlerinin kullanılması hâlinde bazı kişisel veriler Türkiye dışında bulunan sunucularda işlenebilir veya yurt dışındaki hizmet sağlayıcılara aktarılabilir.

Yurt dışına veri aktarımı, 6698 sayılı Kanun’un 9’uncu maddesi kapsamında aşağıdaki şartlarla gerçekleştirilir:

• aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunması veya
• yeterlilik kararının bulunmaması hâlinde Kanun’da düzenlenen uygun güvencelerden birinin sağlanması.

Uygun güvence yöntemleri arasında Kişisel Verileri Koruma Kurulu tarafından yayımlanan standart sözleşmeler, bağlayıcı şirket kuralları veya Kurulca izin verilen taahhütnameler bulunabilir.

Google Analytics 4 ve Meta Pixel bakımından zorunlu olmayan veri işleme, ilgili çerez kategorisine açık rıza verilmeden başlatılmaz. Ancak çerez rızası, yurt dışı aktarım mekanizmasının yerine geçmez; yurt dışı aktarımı için Kanun’un 9’uncu maddesindeki koşullar ayrıca yerine getirilir. Standart sözleşme kullanılması hâlinde sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir.

CupyGift ürünlerinin hazırlanması sırasında müşteriler; eşine, arkadaşına, aile üyelerine veya başka kişilere ait fotoğraf, video, ses kaydı, isim, tarih ve hikâye içeriklerini iletebilir.

Bu veriler yalnızca aşağıdaki amaçlarla işlenir:

• sipariş edilen ürünün hazırlanması,
• kişiselleştirme işlemlerinin yapılması,
• revizyonların gerçekleştirilmesi,
• ürünün teslim edilmesi,
• siparişle ilgili destek sağlanması.

Siparişi veren kişinin, üçüncü kişilere ait içerikleri paylaşmaya yetkili olması ve ilgili kişilere bu Aydınlatma Metnine erişim sağlaması beklenir.

Kişisel verisi doğrudan kendisinden elde edilmeyen kişiler bakımından aydınlatma; kişisel verinin elde edilmesinden sonra makul süre içerisinde, ilgili kişiyle ilk iletişim sırasında veya veri ilk kez aktarılmadan önce uygun yöntemle gerçekleştirilebilir.

Kendisine ait bir içeriğin izinsiz şekilde CupyGift’e gönderildiğini düşünen kişiler, [email protected] adresi üzerinden inceleme, erişimin sınırlandırılması veya silme talebinde bulunabilir.

CupyGift, ürünlerin hazırlanması için zorunlu olmadığı sürece özel nitelikli kişisel veri talep etmez. Müşterilerin aşağıdaki bilgileri sipariş metinlerine veya dosya yükleme alanlarına eklememeleri gerekir:

• sağlık bilgileri,
• dinî veya felsefi inançlar,
• siyasi düşünceler,
• ceza mahkûmiyeti bilgileri,
• genetik veriler,
• biyometrik tanımlama amacıyla kullanılan veriler,
• cinsel hayata ilişkin bilgiler.

Fotoğraf, video, ses veya hikâye içeriklerinin özel nitelikli kişisel veri içermesi durumunda bu veriler ancak Kanun’un 6’ncı maddesinde bulunan uygun bir işleme şartının varlığı ve gerekli ek güvenlik önlemlerinin alınması hâlinde işlenir. Açık rıza gereken durumlarda ayrıca ve sınırlı bir açık rıza alınır; aksi hâlde ilgili içeriğin değiştirilmesi veya kaldırılması istenebilir.

Özel nitelikli kişisel veriler için uygulanabilecek işleme şartları 2024 yılında değiştirilmiş, bu değişiklikler doğrultusunda Kurum tarafından 2025 yılında güncel bir rehber yayımlanmıştır.

Kişisel veriler, ilgili veri işleme amacı için gerekli olan süre ve ilgili mevzuatta öngörülen zorunlu saklama süreleri boyunca muhafaza edilir. Temel saklama yaklaşımı aşağıdaki şekildedir:

• Sipariş, fatura, ödeme ve muhasebe kayıtları ilgili mali ve ticari mevzuatta öngörülen süreler boyunca saklanır.
• Müşteri destek ve uyuşmazlık kayıtları, talebin sonuçlandırılması ve hakların korunması için gerekli süre boyunca saklanır.
• Açık rıza ve tercih kayıtları, ilgili tercihin uygulanması ve hukuki yükümlülüklerin ispatlanması için gerekli süre boyunca saklanır.
• Fotoğraf, video, ses, hikâye, ham üretim ve proje dosyaları, nihai ürünün teslim edilmesinden sonra revizyon ve teknik destek sağlanabilmesi amacıyla 90 gün saklanır.
• Devam eden ödeme itirazı, uyuşmazlık veya resmî makam talebi bulunması hâlinde yalnızca gerekli kayıtlar ilgili süreç sonuçlanana kadar muhafaza edilebilir.

Saklama süresi sona eren ve işlenmesini gerektiren başka bir hukuki sebep bulunmayan kişisel veriler silinir, yok edilir veya anonim hâle getirilir.

Yedekleme ortamlarında bulunan kopyalar, normal yedekleme döngüsünün tamamlanmasıyla imha edilir ve bu süre içerisinde olağan iş süreçlerinde kullanılmaz.

CupyGift; kişisel verilerin hukuka aykırı olarak işlenmesini, yetkisiz kişiler tarafından erişilmesini, kaybolmasını, değiştirilmesini veya açıklanmasını önlemek amacıyla riskle orantılı teknik ve idari tedbirler uygular. Bu tedbirler kapsamında uygun olduğu ölçüde:

• HTTPS ve güvenli iletişim protokolleri,
• erişim ve yetki kontrolleri,
• güçlü parola ve çok faktörlü kimlik doğrulama,
• güvenli dosya yükleme ve depolama,
• yazılım ve sistem güncellemeleri,
• erişim ve güvenlik kayıtlarının tutulması,
• yedekleme ve felaket kurtarma süreçleri,
• çalışan ve hizmet sağlayıcı gizlilik yükümlülükleri,
• veri minimizasyonu ve saklama süresi kontrolleri

uygulanır.

6698 sayılı Kanun’un 11’inci maddesi kapsamında veri sorumlusuna başvurarak aşağıdaki haklara sahipsiniz:

• kişisel verilerinizin işlenip işlenmediğini öğrenme,
• işlenmişse buna ilişkin bilgi talep etme,
• işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
• verilerin aktarıldığı yurt içi veya yurt dışındaki üçüncü kişileri bilme,
• eksik veya yanlış işlenen verilerin düzeltilmesini isteme,
• kanuni şartların oluşması hâlinde verilerin silinmesini veya yok edilmesini isteme,
• düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı taraflara bildirilmesini isteme,
• yalnızca otomatik sistemlerle yapılan analiz sonucunda aleyhinize bir sonuç ortaya çıkmasına itiraz etme,
• kişisel verilerin hukuka aykırı işlenmesi nedeniyle zarara uğramanız hâlinde zararın giderilmesini isteme.

Kanun kapsamındaki taleplerinizi aşağıdaki yöntemlerden biriyle Netgrap Bilişim Hizmetleri Ticaret Limited Şirketine iletebilirsiniz:

Yazılı başvuru

Kimliğinizi doğrulayıcı bilgiler ve imzalı başvuru dilekçesiyle aşağıdaki adrese şahsen veya posta yoluyla başvurabilirsiniz: Hasanpaşa Mahallesi Selimiye Caddesi No:80/B, Sultanbeyli / İstanbul. Zarfın üzerine “Kişisel Verilerin Korunması Kanunu Kapsamında Başvuru” yazılması önerilir.

KEP, güvenli elektronik imza veya mobil imza

Başvurunuzu şirketin KEP adresine iletebilirsiniz: [Şirketin KEP adresi eklenecektir]

Kayıtlı e-posta adresi

Daha önce CupyGift’e bildirdiğiniz ve sistemlerimizde kayıtlı bulunan e-posta adresinizi kullanarak başvurunuzu [email protected] adresine gönderebilirsiniz.

Elektronik başvuru formu

İnternet sitesinde yayımlanan Kişisel Veri Başvuru Formu üzerinden başvuru yapılabilir.

Başvuruda aşağıdaki bilgiler bulunmalıdır:

• ad ve soyad,
• yazılı başvurularda imza,
• T.C. vatandaşları için T.C. kimlik numarası,
• yabancılar için uyruğu ve pasaport veya kimlik numarası,
• tebligata esas adres,
• varsa bildirime esas e-posta ve telefon numarası,
• talebin konusu,
• talebi destekleyen bilgi ve belgeler.

Kayıtlı olmayan sıradan bir e-posta adresinden yapılan başvuruların işleme alınabilmesi için başvuru sahibinden ek kimlik doğrulaması istenebilir. Kurum, e-posta başvurularında ilgili kişinin daha önce veri sorumlusuna bildirdiği ve sistemde kayıtlı adresin kullanılmasına özellikle dikkat çekmektedir.

Başvurular, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul tarafından belirlenen tarifedeki ücret talep edilebilir.

Bu Aydınlatma Metni aşağıdaki hâllerde güncellenebilir:

• işlenen kişisel veri kategorilerinin değişmesi,
• yeni bir ödeme, analiz veya reklam aracının kullanılması,
• üyelik veya müşteri panelinin devreye alınması,
• hizmet sağlayıcıların veya veri aktarım süreçlerinin değişmesi,
• mevzuat veya Kurul kararlarının güncellenmesi.

Güncel metin internet sitesinde yayımlandığı tarihten itibaren uygulanır. Önemli değişiklikler, uygun iletişim kanalları üzerinden ayrıca duyurulabilir.