Veri İşleme Ek Protokolü

Sürüm 1.0. Yürürlük tarihi: 20 Ağustos 2026

Bu protokol, Sevkora Kullanıcı Sözleşmesi'nin ayrılmaz parçasıdır ve kullanıcının Platform'a girdiği alıcı kişisel verileri bakımından tarafların 6698 sayılı Kanun kapsamındaki karşılıklı yükümlülüklerini düzenler.

1. Neden Bu Protokol Var?

Sevkora, kullanıcının kendi hesap verileri bakımından veri sorumlusu, ancak kullanıcının gönderi oluştururken girdiği alıcı verileri bakımından kullanıcının veri işleyenidir. Bu iki sıfat farklı yükümlülükler doğurur ve bu protokol yalnızca ikincisini düzenler.

	Veri sorumlusu	Veri işleyen
Alıcı verileri	Kullanıcı	Sevkora

2. Tanımlar

• Veri Sorumlusu: Platform'da hesap sahibi olan kullanıcı.
• Veri İşleyen: Sevkora.
• İlgili Kişi: Gönderinin alıcısı ve gönderiye ilişkin diğer gerçek kişiler.
• İşlenen Veri: Alıcı adı ve soyadı, telefon numarası, teslimat adresi, il/ilçe/mahalle bilgisi, gönderi içerik açıklaması ve gönderiyle ilişkili iletişim kayıtları.

3. İşlemenin Konusu, Süresi, Niteliği ve Amacı

Konu	Taşıma hizmetinin ifası için alıcı verilerinin işlenmesi
Nitelik	Kaydetme, saklama, taşıyıcıya aktarma, durum güncelleme, anonimleştirme
Amaç	Gönderinin oluşturulması, etiketlenmesi, taşınması, takibi, iptali ve hasar/kayıp süreçlerinin yürütülmesi
Süre	Madde 7'deki saklama süresi boyunca
İlgili kişi kategorisi	Gönderi alıcıları

4. Veri Sorumlusunun (Kullanıcının) Yükümlülükleri

Kullanıcı;

4.1. Alıcı kişisel verilerini hukuka uygun olarak topladığını ve Sevkora'ya aktarmaya yetkili olduğunu,

4.2. Alıcılara karşı Kanun'un 10. maddesindeki aydınlatma yükümlülüğünü kendisinin yerine getirdiğini; aydınlatmada verilerin taşıma amacıyla bir taşıma işleri organizatörüne ve taşıyıcıya aktarılacağını belirttiğini,

4.3. İşleme için gerekli hukuki sebebin varlığını sağladığını,

4.4. Platform'a yalnızca hizmetin ifası için gerekli asgari veriyi girdiğini; özel nitelikli kişisel veriyi (sağlık, biyometrik, din, etnik köken vb.) gönderi alanlarına girmeyeceğini,

4.5. Alıcıdan gelen talepleri kendisinin karşılayacağını, gerektiğinde Sevkora'dan destek isteyeceğini

kabul ve taahhüt eder.

5. Veri İşleyenin (Sevkora'nın) Yükümlülükleri

Sevkora;

5.1. Talimata bağlılık. Alıcı verilerini yalnızca hizmetin ifası ve kullanıcının talimatı doğrultusunda işler; kendi amaçları için kullanmaz, satmaz ve pazarlama amacıyla işlemez.

5.2. Gizlilik. Verilere erişen personelini gizlilik yükümlülüğü altına alır; erişimi görev gereği zorunlu olanlarla sınırlar.

5.3. Güvenlik. Kanun'un 12. maddesi uyarınca uygun teknik ve idari tedbirleri alır. Bunlar özellikle:

• Hesaplar arası veri izolasyonunun altyapı düzeyinde uygulanması,
• Aktarım ve saklama sırasında şifreleme,
• Erişim kayıtlarının tutulması,
• Sevkora personelinin kullanıcı kimliğiyle hesaba giriş yapamaması,
• Yönetimsel işlemlerin zorunlu iki adımlı doğrulama arkasında olması ve denetim kaydına yazılması,
• Kimlik bilgilerinin hiçbir günlük kaydına, yanıta veya hata mesajına yazılmaması.

5.4. Alt işleyenler. Sevkora, aşağıdaki alt işleyenlerden yararlanır:

Alt işleyen kategorisi	Amaç	Konum
Bulut altyapı sağlayıcısı	Uygulama ve veri tabanı barındırma	Almanya (Frankfurt)
Sözleşmeli taşıyıcılar	Taşımanın fiilen ifası	Türkiye
Ödeme kuruluşu	Bakiye yükleme işlemleri	Türkiye
Bot koruma hizmeti	Otomatik hesap açmanın engellenmesi	Yurt dışı

Sevkora, alt işleyenleri bu protokoldeki güvenlik ve gizlilik yükümlülükleriyle bağlar. Alt işleyen listesinde yapılacak değişiklikler yeni sürümle yayımlanır ve kullanıcılara duyurulur.

5.5. İhlal bildirimi. Sevkora, alıcı verilerini etkileyen bir veri ihlalini öğrenmesinden itibaren gecikmeksizin ve en geç 48 saat içinde kullanıcıya bildirir. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini, tahmini ilgili kişi sayısını, muhtemel sonuçlarını ve alınan önlemleri içerir. Kurul'a bildirim yükümlülüğü veri sorumlusu sıfatıyla kullanıcıya aittir; Sevkora bu bildirimin yapılabilmesi için gereken bilgiyi sağlar.

5.6. İlgili kişi taleplerine destek. Bir alıcı doğrudan Sevkora'ya başvurursa, Sevkora talebi kendisi sonuçlandırmaz; talebi ilgili kullanıcıya yönlendirir ve kullanıcıya talebi karşılamak için gereken teknik desteği verir.

5.7. Denetim. Sevkora, bu protokole uygunluğunu göstermek için gerekli bilgiyi kullanıcıya sağlar. Kullanıcı, makul bir bildirim süresiyle ve yılda en fazla bir kez olmak üzere, iş sürekliliğini aksatmayacak biçimde denetim talep edebilir.

6. Uluslararası Aktarım

Alıcı verileri, madde 5.4'te belirtilen barındırma altyapısı nedeniyle yurt dışına aktarılmaktadır. Aktarım, Kanun'un 9. maddesi kapsamında ve Kurul tarafından öngörülen güvenceler çerçevesinde gerçekleştirilir.

7. Saklama ve İmha

7.1. Alıcı kişisel verileri, Sevkora tarafından belirlenen platform tavanı olan 24 ayı aşmamak üzere saklanır.

7.2. Kullanıcı, hesap ayarlarından bu süreyi kısaltabilir. Uzatma mümkün değildir. Kullanıcı bir süre belirtmemişse platform tavanı uygulanır; "süresiz saklama" seçeneği bulunmamaktadır.

7.3. Süre dolduğunda alıcı adı, telefonu ve adresi geri döndürülemez biçimde anonimleştirilir. Anonimleştirme sonrası gönderi kaydı istatistik ve mutabakat amacıyla varlığını sürdürür ancak ilgili kişiye ulaştırılamaz.

7.4. Kullanıcı sözleşmesinin sona ermesi hâlinde alıcı verileri, mevzuattan doğan saklama yükümlülükleri saklı kalmak kaydıyla, sözleşme bitiminden itibaren azami 12 ay içinde anonimleştirilir.

8. Protokolün Sona Ermesi

Bu protokol, Kullanıcı Sözleşmesi ile birlikte sona erer. Sona erme hâlinde Sevkora, mevzuatın saklamayı zorunlu kıldığı kayıtlar dışındaki alıcı verilerini madde 7.4'teki süre içinde anonimleştirir.

9. Çelişki Hâlinde Öncelik

Bu protokol ile Kullanıcı Sözleşmesi arasında kişisel verilerin işlenmesine ilişkin bir çelişki bulunması hâlinde bu protokol uygulanır.