Gizlilik Politikası — invum.com.tr
Yürürlük: 6 Temmuz 2026 · Son güncelleme: 7 Ekim 2026 Sürüm: 0.2
Bu Gizlilik Politikası, “Invum” markasını işleten E VİX E-Ticaret Reklam Ajansı ve Danışmanlık Hizmetleri Ltd. Şti.’nin sahibi olduğu invum.com.tr web sitesi ve sunduğu “Invum POS Entegratör” hizmetinin kişisel veri işleme uygulamalarını açıklar. KVKK Aydınlatma Metni ile birlikte okunmalıdır: KVKK Aydınlatma Metni.
1. Topladığımız Veriler
1.1. Otomatik Toplananlar
- IP adresi (HTTP loglarında, 90 gün)
- User-Agent string (tarayıcı + işletim sistemi)
- Ziyaret edilen sayfalar, tıklama/kaydırma hareketleri ve oturum kaydı — yalnız analitik çerez onayıyla (Google Analytics 4, Microsoft Clarity). Ödeme ve hesap sayfaları kayıtta tümüyle maskelenir; form alanlarına yazılan değerler kaydedilmez.
- Çerezler (Bölüm 5)
1.2. Sizin Sağladıklarınız
- İletişim formu: ad, e-posta, mesaj içeriği
- Pro lisans satın alma: ad-soyad, e-posta, fatura adresi, vergi/T.C. kimlik no
- Lisans aktivasyonu (plugin tarafından): site URL, IP (yalnızca aktivasyon anında)
- Destek talebi: e-posta + (opsiyonel) tanı paketi
1.3. Toplamadıklarımız
- Kart numarası (PAN), CVV/CVV2, son kullanma tarihi: Bu bilgiler ödeme akışı sırasında, kayda yazılmadan ve loglanmadan doğrudan seçilen ödeme sağlayıcıya / bankaya (iyzico, PayTR, Param, NestPay bankaları, Garanti BBVA, Yapı Kredi Posnet, Craftgate, Moka vb.) iletilir; bizim sunucularımızda hiçbir zaman saklanmaz. Plugin yalnızca maskeli PAN (son 4 hane) + PSP’nin ürettiği tokenize referansı tutar.
- Müşteri sitelerindeki kişisel veriler: Plugin’i kullanan e-ticaret işletmelerinin müşteri verileri (sipariş, adres, saklı kart token’ı) o işletmenin kendi sunucusunda/veritabanında kalır; bizim sunucularımıza aktarılmaz. Bu veriler bakımından veri sorumlusu ilgili e-ticaret işletmesidir.
PCI-DSS kapsamı: Plugin’in kart formunu mağaza sayfasında gösteren modlarında (ör. PayTR Direkt, banka sanal POS’ları) kart verisi mağaza sunucusundan geçerek PSP’ye/bankaya iletildiği için mağazanın kapsamı SAQ D‘dir; iyzico Ödeme Formu ve PayTR iFrame gibi barındırılan akışlarda SAQ A geçerlidir. Kart numarası ve CVV kalıcı olarak saklanmaz.
2. Verileri Nasıl Kullanıyoruz
| Amaç | Kullanılan Veri |
|---|---|
| Ürün/hizmet sunumu | E-posta, lisans bilgileri |
| Faturalama + vergi yükümlülüğü | Fatura bilgileri, ödeme makbuzları |
| Otomatik update kanalı | Lisans anahtarı, plugin sürümü |
| Destek talebi yanıtlama | E-posta, mesaj, tanı paketi |
| Güvenlik + fraud önleme | IP, aktivasyon zamanı, beklenmedik aktivasyon paterni |
| Site analitiği ve kullanılabilirlik iyileştirme (opt-in) | Ziyaret istatistikleri, satın alma adımları, oturum kayıtları ve ısı haritaları; çevrim içi tanımlayıcılar (çerez kimliği, IP’den türetilen yaklaşık konum) |
| Pazarlama (opt-in) | E-posta listesi (rıza geri çekilebilir) |
Otomatik karar verme: Hiçbir kullanım için otomatik karar verme süreci uygulanmaz; tüm önemli kararlar (lisans verme, fesih) insan denetiminde alınır.
3. Verileri Kimlerle Paylaşıyoruz
3.1. Veri İşleyenler (Processors)
Bu işleyenler bizim talimatımızla, dar bir kapsam dahilinde veri işler; her biri için sağlayıcının veri işleme şartları (DPA) uygulanır. Ödeme kuruluşları ödeme işlemi bakımından kendi mevzuatlarına tabi ayrı veri sorumlusudur:
| İşleyen | Hizmet | Konum | Yasal Dayanak |
|---|---|---|---|
| Hostinger International Ltd. | Web sitesi ve veritabanı barındırma (invum.com.tr) | Litvanya (AB) | Sözleşme ifası + Hostinger DPA |
| Resend | E-posta gönderimi | İrlanda (AB) | Sözleşme ifası + Resend DPA |
| ImprovMX (Reflectiv SAS) → Google (Gmail) | Destek e-postalarının alınması | Fransa (AB) → ABD | Talebinizin yanıtlanması (sözleşme ifası) |
| Google (Google Drive) | Şifreli yedek deposu (günlük yedek, 30 gün saklanır) | ABD / global | Hizmetin sürekliliği (sözleşme ifası); yedek yüklenmeden önce yalnız bizde bulunan anahtarla şifrelenir, Google içeriği okuyamaz |
| iyzico / PayTR / Param | Ödeme alımı (Pro lisans satışı) | Türkiye | Sözleşme ifası |
| Google (Google Analytics 4) | Site analitiği (opt-in) | ABD / global | Açık rıza (çerez onayı) + Google veri işleme şartları |
| Microsoft (Clarity) | Oturum kaydı ve ısı haritası (opt-in) | ABD | Açık rıza (çerez onayı) + Microsoft DPA |
Yurt dışı aktarımların hukuki dayanağı ve olası riskler: KVKK Aydınlatma Metni, Bölüm 4.2.
3.2. Yasal Olarak Paylaşmak Zorunda Olduklarımız
- Mahkeme kararı veya yetkili idari merci talebi (KVKK m.5/2/d, m.28)
- Yasal yükümlülük (vergi denetimi, mali müşavir incelemesi)
3.3. Asla Paylaşmadıklarımız
- E-posta listemizi 3rd parties ile satmayız veya kiraya vermeyiz.
- Müşteri tanı paketleri yalnızca destek ekibi tarafından okunur, dış paylaşım yapılmaz.
4. Veri Saklama
| Veri Tipi | Süre |
|---|---|
| Faturalama verileri | 10 yıl (vergi mevzuatı) |
| Aktif lisans + heartbeat | Lisansın aktif olduğu süre + 2 yıl |
| HTTP erişim logları | 90 gün |
| İletişim formu mesajları | 2 yıl |
| Destek talepleri (tanı paketi dahil) | 90 gün sonra silinir |
| Pazarlama listesi | Aboneliği iptal edene kadar |
| Analitik veriler (Google Analytics 4) | Google Analytics saklama ayarına göre, en fazla 14 ay |
| Oturum kayıtları (Microsoft Clarity) | 30 gün; ısı haritası ve özet veriler en fazla 13 ay |
Saklama süresi sonunda veriler güvenli şekilde silinir veya anonimize edilir (KVKK Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Yönetmeliği uyarınca).
5. Çerezler
5.1. Zorunlu Çerezler
wordpress_*,wordpress_logged_in_*— hesap oturumuwoocommerce_*,wp_woocommerce_session_*— sepet ve ödeme akışıcookieyes-consent— çerez tercihinizin hatırlanması
Bu çerezler kapatılırsa site işlevsiz hale gelir; bu yüzden açık rıza istemiyoruz (KVKK m.5/2/c).
5.2. Opsiyonel Çerezler
- Analitik: Google Analytics 4 (
_ga,_ga_*) ve Microsoft Clarity (_clck,_clsk) — yalnız çerez bandında “Analitik”e onay verirseniz yüklenir; onayınızı istediğiniz an “Çerez Tercihleri”nden geri çekebilirsiniz. Ayrıntı: Çerez Politikası.
5.3. 3rd Party Çerezler
Reklam/pazarlama amaçlı üçüncü taraf takip kullanılmamaktadır. Analitik amaçlı üçüncü taraf hizmetler (Google Analytics 4, Microsoft Clarity) yalnız onayınızla çalışır (Bölüm 5.2).
6. Güvenlik
Verilerinizi korumak için aldığımız tedbirler:
- TLS 1.2+ tüm trafikte (zayıf cipher / TLS 1.0–1.1 reddi)
- AES-256-CBC API anahtarları + hassas ayarlar (
wp_options‘ta şifreli; plain-text yasak) - Hassas veri maskeleme loglarda (kart no/PAN, CVV, API key) —
PayloadMaskerile yazım anında - Bcrypt/Argon2 WP user şifreleri (WP standart)
- İstek sınırlama giriş sayfasında (dakikada 10 istek/IP), lisans API’sinde (dakikada 60 istek/IP) ve ödeme adımında
- HMAC imzalama lisans API çağrılarında
- Düzenli güvenlik güncellemeleri (WP core, WC, plugin’in kendisi)
- Erişim kontrolü — üretim sunucusuna yalnız SSH anahtarıyla erişim (parola girişi kapalı); site yöneticisi girişinde iki aşamalı doğrulama (TOTP); her site ayrı sistem kullanıcısıyla çalışır
Önemli: Eklentiyi kullanan işletmeler kendi sitelerinin güvenliğinden ve kendi müşterilerine karşı KVKK yükümlülüklerinden (aydınlatma metni, çerez yönetimi, başvuruların yanıtlanması) sorumludur; sorularınız için support@invum.com.tr.
6.1. Veri İhlali Bildirimi
Verilerinizi etkileyen bir kişisel veri ihlali tespit edersek:
- KVKK m.12/5: İhlali öğrendiğimiz andan itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na; etkilenen kişileri belirledikten sonra makul en kısa sürede size bildirim yaparız.
- GDPR Md.33–34: AB veri sahipleri etkilenmişse, ihlalden haberdar olduktan sonra 72 saat içinde ilgili denetim makamına; yüksek risk varsa ilgili kişilere bildirim yaparız.
- Müşteri (merchant) sitesinde, bizim kontrolümüz dışında oluşan ihlallerde bildirim yükümlülüğü ilgili merchant’a aittir; talep hâlinde teknik destek sağlarız.
7. Haklarınız (KVKK m.11)
Aşağıdaki haklara sahipsiniz:
- Verilerinizin işlenip işlenmediğini öğrenme
- Verilerinize erişim talep etme
- Yanlış veya eksik verilerin düzeltilmesini isteme
- Verilerinizin silinmesini isteme (yasal saklama yükümlülükleri saklı kalmak kaydıyla)
- Otomatik karar süreçlerine itiraz etme
Başvuru: Başvuru yolları KVKK Aydınlatma Metni‘nde yer alır (e-postada bize daha önce bildirdiğiniz ve sistemimizde kayıtlı adresinizden). Başvurular en geç 30 gün içinde ücretsiz yanıtlanır.
8. Çocukların Verileri
Hizmetlerimiz 18 yaş altındaki kişilere yönelik değildir. Bilerek 18 yaş altı kişilerden veri toplamayız. Eğer bir çocuğun verilerini topladığımızı fark edersek, derhal silinir.
9. AB Vatandaşları (GDPR)
Pro lisansı AB/AEA merkezli olarak alıyorsanız, GDPR Madde 6 uyarınca işleme dayanaklarımız:
- Madde 6(1)(b) — sözleşme ifası (lisans, aktivasyon, güncelleme)
- Madde 6(1)(f) — meşru menfaat (dolandırıcılık önleme, otomatik güncelleme altyapısı)
- Madde 6(1)(a) — açık rıza (pazarlama listesi, opsiyonel analytics çerezi)
- Madde 6(1)(c) — yasal yükümlülük (vergi/fatura)
Veri sahibi GDPR hakları: erişim (Md.15), düzeltme (Md.16), silme/”unutulma” (Md.17), işlemeyi kısıtlama (Md.18), veri taşınabilirliği (Md.20), itiraz (Md.21) ve denetim makamına şikâyet (Md.77) hakları. Talepler 1 ay içinde yanıtlanır.
Uluslararası aktarım: AB’den Türkiye’ye veya üçüncü ülkelere yapılan aktarımlarda GDPR Bölüm V uyarınca Standart Sözleşme Hükümleri (SCC) veya yeterlilik kararına dayanılır. KVKK tarafında ise m.9 (7499 sayılı reform) rejimi uygulanır.
GDPR Madde 28 kapsamında veri işleme sözleşmesi (DPA) talebiniz için: support@invum.com.tr
Veri Koruma Yetkilisi (DPO): Mevcut işleme ölçeği “büyük ölçekli özel nitelikli veri” veya “düzenli ve sistematik izleme” eşiğinin altında olduğundan GDPR Md.37 zorunlu DPO ataması beklenmemektedir. AB temsilcisi (Md.27): Hizmetimiz Türkiye pazarına yöneliktir (yalnız Türkçe site, yalnız Türk lirası fiyat, AB’ye yönelik pazarlama yok). GDPR Md.3(2)(a) anlamında AB’deki kişilere mal veya hizmet sunmayı hedeflemediğimizden AB temsilcisi atanmamıştır. AB’ye yönelik aktif satışa başlarsak bu değerlendirmeyi yeniler ve burada duyururuz.
10. Değişiklikler
Bu politika güncellenirse:
- Sayfanın üst kısmında yeni “yürürlük tarihi” görünür
- Önemli değişikliklerde kayıtlı e-postanıza bildirim gelir
- Önceki sürümleri support@invum.com.tr adresinden isteyebilirsiniz
11. İletişim
| Konu | Kanal |
|---|---|
| Genel | support@invum.com.tr |
| KVKK başvurusu | support@invum.com.tr (KVKK kategorisi) |
| Hukuki | e.vixeticaretreklam@hs01.kep.tr |
| Şikayet | KVKK Kurumu (kvkk.gov.tr) / AB için yerel denetim makamı |