KVKK Aydınlatma Metni — Invum POS Entegratör
ℹ️ Bu metin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.10 (aydınlatma yükümlülüğü) ve “Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ” çerçevesinde hazırlanmıştır. Yayın URL: invum.com.tr/kvkk.
Yürürlük tarihi: 6 Temmuz 2026 Son güncelleme: 7 Ekim 2026
1. Veri Sorumlusu
| Bilgi | İçerik |
|---|---|
| Veri sorumlusu | E VİX E-Ticaret Reklam Ajansı ve Danışmanlık Hizmetleri Ltd. Şti. |
| İletişim adresi | Üniversite Mah. Civan Sk. Allure Tower İstanbul Sit. A Blok No:1 İç Kapı No:271 Avcılar/İstanbul |
| E-posta | support@invum.com.tr |
| Web | https://invum.com.tr |
| Telefon | 0533 520 0055 |
| KEP adresi | e.vixeticaretreklam@hs01.kep.tr |
| MERSİS no | 0323-1309-8690-0001 |
| Vergi kimlik no | 3231309869 (Avcılar V.D.) |
2. Hangi Kişisel Verileri İşliyoruz
2.1. Web Sitesi Ziyaretçileri (invum.com.tr)
- IP adresi (HTTP loglarında, 90 gün)
- User-Agent
- Çerez bilgileri (zorunlu çerezler + analitik çerezler — opt-in)
- Yalnız analitik onayıyla: sayfa gezinme, tıklama/kaydırma hareketleri ve oturum kaydı (Google Analytics 4, Microsoft Clarity); ödeme ve hesap sayfaları kayıtta tümüyle maskelenir
- İletişim formu girdileri: ad, soyad, e-posta, mesaj içeriği
2.2. Müşteriler (Lite kullanıcıları)
- Lite ürün ücretsiz olduğundan kullanım için kayıt gerekmez.
- WordPress.org üzerinden indiren kullanıcılar için herhangi bir kişisel veri tarafımızdan toplanmaz.
2.3. Pro Lisans Sahipleri
- E-posta adresi (lisans anahtarı + faturalama)
- Site URL’i (lisans aktivasyonu için)
- Site IP adresi (yalnızca aktivasyon anında, fraud önleme)
- Plugin sürümü, son heartbeat tarihi (otomatik update kanalı)
- Faturalama bilgileri: ad-soyad, T.C. kimlik no veya vergi kimlik no, fatura adresi
2.4. Destek Talebi Açanlar
- E-posta adresi, mesaj içeriği
- (Opsiyonel) tanı paketi: WordPress / WooCommerce / PHP sürümleri, plugin’in topladığı son 10 hata kaydı (hassas veri otomatik maskelenmiş)
2.5. Plugin’in Müşteri Sitesinde İşlediği Veriler
ÖNEMLİ: Müşterilerimizin web sitesinde plugin’imiz aşağıdaki verileri işler ancak bunların hiçbiri Invum’un sunucularına aktarılmaz:
- Sipariş bilgileri (WooCommerce DB’sinde)
- Ödeme transaction logları (
wp_invum_pos_transactionstablosunda — *müşterinin* DB’si) - Saklı kart token’ları (vault — yine *müşterinin* DB’si). Bu token’lar PSP tarafından üretilen takma değerlerdir (iyzico
cardToken, PayTRucToken, ParamKS_GUID); ham kart numarası içermezler ve tek başlarına ödeme alımında kullanılamazlar. - Hassas alanlar (kart numarası / PAN, CVV/CVV2, son kullanma tarihi) asla saklanmaz, kayda yazılmadan ve loglanmadan doğrudan ilgili PSP/banka API’sine iletilir).
- Yalnızca maskeli PAN (son 4 hane) + tokenize PSP referansı + işlem tutarı/durumu işlem tablosunda tutulur.
Bu veriler için veri sorumlusu plugin’i kullanan e-ticaret işletmesidir (KVKK m.3/1/ı anlamında); Invum bu kapsamda veri sorumlusu değildir. Bir AB müşterisi söz konusu olduğunda ve Invum’un destek/altyapı hizmetiyle bu verilere erişimi gündeme geldiğinde, taraflar arasında veri işleyen (data processor) sıfatıyla ek bir sözleşme imzalanır). Müşterilerimiz kendi KVKK / GDPR uyumluluklarını (aydınlatma metni, açık rıza/çerez yönetimi, veri sahibi başvuruları, ihlal bildirimi) ayrıca yönetmekle yükümlüdür.
3. İşleme Amaçları ve Hukuki Sebepleri
| Amaç | İşlenen Veri | Hukuki Sebep (KVKK m.5) |
|---|---|---|
| Lisans satışı + faturalama | E-posta, fatura bilgileri | m.5/2/c (sözleşmenin kurulması ve ifası) |
| Lisans aktivasyonu + heartbeat | Site URL, IP (aktivasyonda), plugin version | m.5/2/c (sözleşme ifası) + m.5/2/f (meşru menfaat — fraud önleme) |
| Otomatik update kanalı | Plugin version, license key | m.5/2/c (sözleşme ifası) |
| Destek talebi yanıtlama | E-posta, mesaj içeriği, tanı paketi | m.5/2/c |
| Pazarlama e-postaları | E-posta | m.5/1 (açık rıza — opt-in) |
| Yasal yükümlülük (vergi/fatura) | Faturalama verileri | m.5/2/a (açıkça öngörülmesi) |
4. Verilerin Aktarılması
4.1. Yurt İçi Aktarım
- iyzico / PayTR / Param vb. (PSP) — müşterilerimizin Pro lisans satın alımında ödeme alımı
4.2. Yurt Dışı Aktarım
Mevzuat notu: KVKK m.9, 12.03.2024 tarih ve 7499 sayılı Kanun ile köklü biçimde değiştirilmiştir. Yeni rejimde yurt dışı aktarım sırasıyla şu hukuki zeminlere dayanır: (i) Kurul tarafından ilan edilen yeterlilik kararı bulunan ülkelere aktarım, (ii) yeterlilik kararı yoksa uygun güvenceler (taraflar arası standart sözleşme — Kurul’a 5 iş günü içinde bildirim, bağlayıcı şirket kuralları/BCR, taahhütname + Kurul izni), (iii) bu güvenceler de sağlanamıyorsa arızi (istisnai) hâller (m.9/6 — örn. açık rıza, sözleşmenin ifası için zorunluluk). Aşağıdaki aktarımların hukuki dayanağı her bir veri işleyen için ayrı belirtilmiştir.
| Veri İşleyen | Konum | Amaç | Hukuki Dayanak / Güvence |
|---|---|---|---|
| Hostinger International Ltd. | Litvanya (AB) | Web sitesi, lisans paneli ve veritabanının barındırılması | Hizmetin sunulması için zorunlu (sözleşmenin ifası); Hostinger veri işleme sözleşmesi (DPA, GDPR) |
| Resend | İrlanda (AB) | E-posta gönderimi (sipariş, lisans ve hesap e-postaları) | Sözleşmenin ifası için zorunlu, işlem bazlı aktarım (m.9/6-b); Resend DPA (GDPR) |
| ImprovMX (Reflectiv SAS) → Google (Gmail) | Fransa (AB) → ABD | Destek e-postalarınızın alınması ve yanıtlanması | Talebinizin yanıtlanması için zorunlu, işlem bazlı aktarım (m.9/6-b) |
| Google (Google Drive) | ABD / global | Sitenin ve lisans panelinin günlük yedeğinin saklanması (30 gün) | Hizmetin sürekliliği için zorunlu (m.9/6-b); yedek yüklenmeden önce yalnız bizde bulunan anahtarla şifrelenir, Google içeriği okuyamaz |
| Google (Google Analytics 4) | ABD / global | Site analitiği — yalnız çerez onayıyla | Açık rıza (m.9/6-a; çerez bandında risk bilgilendirmesiyle); Google veri işleme şartları ek güvence |
| Microsoft (Clarity) | ABD | Oturum kaydı ve ısı haritası — yalnız çerez onayıyla | Açık rıza (m.9/6-a; çerez bandında risk bilgilendirmesiyle); Microsoft DPA ek güvence |
Aktarımların dayanağı: Kullandığımız sağlayıcılar Kurul’un ilan ettiği standart sözleşmeyi imzalamamaktadır ve AB ile ABD için Kurul’un yeterlilik kararı henüz bulunmamaktadır. Bu nedenle hizmetin sunulması için zorunlu aktarımlar sözleşmenin kurulması ve ifasına (m.9/6-b), analitik aktarımlar ise yalnız çerez bandındaki açık rızanıza (m.9/6-a) dayanır. Sağlayıcıların veri işleme sözleşmeleri (DPA) ek güvence olarak uygulanır. Barındırma ve e-posta gönderim sağlayıcılarımız verileri AB’de, GDPR kapsamında işler.
Olası riskler: Verilerinizin aktarıldığı ülkelerde kişisel verilerin korunma düzeyi Türkiye’dekinden farklı olabilir. Özellikle ABD’de yerleşik sağlayıcıların tabi olduğu mevzuat, o ülkenin kamu makamlarına verilere erişim imkânı tanıyabilir; bu durumda Kanun’daki haklarınızı o ülkede kullanmanız güçleşebilir. Analitik çerezlere onay vermezseniz Google ve Microsoft’a hiçbir veri aktarılmaz; onayınızı istediğiniz an “Çerez Tercihleri”nden geri çekebilirsiniz.
5. Saklama Süreleri
| Veri Kategorisi | Süre | Sebep |
|---|---|---|
| Faturalama verileri | 10 yıl | Vergi Usul Kanunu m.253 |
| Lisans + heartbeat verileri | Lisansın aktif olduğu süre + 2 yıl | İhtilaf çözümü |
| HTTP erişim logları | 90 gün | Güvenlik olaylarının incelenmesi (meşru menfaat) |
| İletişim formu mesajları | 2 yıl | İhtilaf çözümü |
| Pazarlama listesi | Aboneliği iptal edene kadar | Açık rıza geri alınana kadar |
| Tanı paketleri (destek talepleri) | 90 gün | Hata analizi sonrası silinir |
6. Veri Sahibi Hakları (KVKK m.11)
Aşağıdaki haklarınız bulunmaktadır:
a. Kişisel verilerinizin işlenip işlenmediğini öğrenme, b. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme, c. İşleme amacı ve amacına uygun kullanılıp kullanılmadığını öğrenme, ç. Yurt içinde veya yurt dışında aktarıldığı 3. kişileri bilme, d. Eksik veya yanlış işlenmişse düzeltilmesini isteme, e. KVKK m.7 çerçevesinde silinmesini veya yok edilmesini isteme, f. Düzeltme/silme/yok etme işlemlerinin aktarıldığı 3. kişilere bildirilmesini isteme, g. Otomatik sistemlerce analiz edilerek aleyhinize bir sonuç doğmasına itiraz etme, ğ. Kanuna aykırı işleme nedeniyle zarara uğramışsanız tazminat talep etme.
7. Başvuru Yöntemi
KVKK m.13 ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca:
- E-posta: support@invum.com.tr — bize daha önce bildirdiğiniz ve sistemimizde kayıtlı olan e-posta adresinizden (Tebliğ m.5/1); güvenli elektronik imza veya mobil imzalı başvurular da kabul edilir
- KEP: e.vixeticaretreklam@hs01.kep.tr
- Posta: Üniversite Mah. Civan Sk. Allure Tower İstanbul Sit. A Blok No:1 İç Kapı No:271 Avcılar/İstanbul
- Form: invum.com.tr/iletisim (KVKK kategorisi)
Yanıt süresi: 30 gün (KVKK m.13/2). Talep ücretsiz olarak ele alınır; ancak işlem ek bir maliyet gerektiriyorsa Kurul tarafından belirlenen tarifeye göre ücret alınır.
8. Çerez Politikası
Web sitemizde aşağıdaki çerez kategorileri kullanılır:
- Zorunlu çerezler: Oturum yönetimi, güvenlik (CSRF). Kapatılırsa site işlevsiz hale gelir.
- Analitik çerezler (opsiyonel): Google Analytics 4 ve Microsoft Clarity — ziyaret istatistikleri, tıklama/kaydırma hareketleri ve oturum kaydı. Yalnız onayınızla çalışır; ayrıntı Çerez Politikası.
- Pazarlama çerezleri: Şu anda kullanılmıyor.
Çerez tercihlerinizi tarayıcı ayarlarından veya sayfa altındaki “Çerez Tercihleri” bağlantısından yönetebilirsiniz.
9. Veri Güvenliği Tedbirleri (KVKK m.12)
Kişisel verilerin hukuka aykırı erişimini ve işlenmesini önlemek için aldığımız teknik ve idari tedbirler:
- Aktarımda şifreleme: Tüm uç noktalarda TLS 1.2+; zayıf cipher / TLS 1.0–1.1 reddi.
- Beklemede şifreleme: PSP/banka API anahtarları ve hassas ayarlar AES-256-CBC ile şifreli saklanır (plain-text yasak).
- Maskeleme: Kart numarası, CVV ve API anahtarı gibi hassas alanlar loglara yazılmadan önce maskelenir; ham değerler asla kalıcı hâle getirilmez.
- Erişim kontrolü: Üretim sunucusuna yalnız SSH anahtarıyla erişim (parola girişi kapalı); site yöneticisi girişinde iki aşamalı doğrulama (TOTP); her site ayrı sistem kullanıcısı ve PHP havuzuyla çalışır; paylaşımlı hesap yok.
- İzleme ve loglama: Sunucu erişim kayıtları 90 gün tutulur; lisans aktivasyon ve doğrulamaları zaman damgasıyla kaydedilir; çekirdek dosya bütünlüğü, eklenti ve yönetici hesabı listeleri her gün otomatik taranır ve raporlanır; hassas yükler maskelenir.
- Açık güncelleme yönetimi: WordPress core, bağımlılıklar ve eklenti için düzenli güvenlik yamaları.
- İhlal müdahalesi: Veri ihlali tespitinde KVKK m.12/5 ve Kurul’un 2019/10 sayılı kararı uyarınca Kurul’a ihlali öğrendiğimiz andan itibaren en geç 72 saat içinde, etkilenen ilgili kişilere ise kişiler belirlendikten sonra makul en kısa sürede bildirim yapılır.
10. Otomatik Karar Verme
Kişisel verileriniz, münhasıran otomatik sistemlerle analiz edilerek aleyhinize hukuki sonuç doğuran ya da sizi önemli ölçüde etkileyen bir karar alınmasında kullanılmaz. Lisans verme, askıya alma veya fesih gibi önemli kararlar insan denetiminde alınır (KVKK m.11/1/g).
11. Ticari Elektronik İleti (6563 sayılı Kanun)
Pazarlama / tanıtım amaçlı elektronik iletiler yalnızca 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve “Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik” kapsamında önceden alınmış onay (opt-in) ile gönderilir; her iletide ücretsiz ret (opt-out) imkânı sunulur. Ticari elektronik ileti göndermeye başladığımızda onay ve ret kayıtlarınız İYS (İleti Yönetim Sistemi) üzerinden tutulur. Şu an yalnız sipariş, lisans ve hesap işlemleriyle ilgili bilgilendirme e-postaları gönderiyoruz; bunlar için ayrıca onay gerekmez.
12. Değişiklikler
Bu metin gerektiğinde güncellenir. Önemli değişiklikler için kayıtlı e-posta adresinize bildirim gönderilir; site üzerinden de güncel sürüm her zaman bu adreste yayınlanır.