Veri işleme sözleşmesi (DPA)

DPA'yı indirin (PDF)

27 Ekim 2026 tarihli 1.0 sürümü. Dayanak: madde 28, (AB) 2016/679 sayılı Tüzük (“GDPR”).

Taraflar ve kabul

Bu Veri İşleme Sözleşmesi (“DPA”) aşağıdaki taraflar arasında akdedilmiştir:

(1) müşteri, yani BigArena hizmetlerini BigArena Hizmet Koşulları (https://bigarena.net/tr/kullanim-kosullari) veya BigArena ile yapılmış bir fulfillment sözleşmesi kapsamında kullanan kişi (“Veri Sorumlusu”); ve

(2) Veri Sorumlusuna hizmetleri sunan BigArena şirketi (“Veri İşleyen”):

• Бигарена ООД (BIGARENA LTD) (UIC 204072747, kayıtlı merkez: Golyamokonarsko Shose 29B, 4204 Plovdiv, Bulgaristan) müşterileri için: Бигарена ООД;
• Bigarena Fulfillment Europe s.r.o. (IČO 54 736 374, kayıtlı merkez: Seredská 4084/30, 917 05 Trnava, Slovakya) müşterileri için: Bigarena Fulfillment Europe s.r.o.;
• Romanya, Yunanistan veya Sırbistan'daki bir BigArena şirketi ile sözleşmesi olan müşteriler için: o şirket.

Hizmet Koşulları, fulfillment sözleşmesi ve ilgili teklifler ve politikalar birlikte “Hizmet Sözleşmesi” olarak anılır. Bu DPA, Hizmet Sözleşmesinin bir parçasıdır (Hizmet Koşulları, madde 3.4).

Veri Sorumlusu bu DPA'yı, Hizmet Koşullarını kabul ederek veya bu DPA'ya atıf yapan bir sözleşme ya da ek protokol imzalayarak GDPR madde 28(9) uyarınca elektronik ortamda kabul eder. Fulfillment sözleşmesi olan Veri Sorumluları için bu DPA, o sözleşme kapsamındaki işleme faaliyetini ayrıntılı olarak düzenler ve sözleşmenin veri koruma hükümlerini tamamlar; Veri Sorumlusu bu hükümlerle kendisinin kişisel verilerin veri sorumlusu olduğunu ve müşterilerini, verilerinin teslimat amacıyla Veri İşleyene ve onun alt yüklenicilerine aktarıldığı konusunda bilgilendirdiğini teyit etmiştir. Talep üzerine Veri İşleyen, bu DPA'nın kendi adına imzalanmış, tarihli bir PDF kopyasını sağlar. Taraflar ayrı bir veri işleme sözleşmesi imzalamışsa o sözleşme önceliklidir.

1. Konu, süre, nitelik ve amaç

1.1 Veri İşleyen, kişisel verileri Veri Sorumlusu adına yalnızca Hizmet Sözleşmesi kapsamındaki hizmetleri sunmak için işler: Veri Sorumlusunun mallarının teslim alınması, depolanması, paketlenmesi ve gönderilmesi, iadelerin ve kapıda ödemenin yönetilmesi, my.bigarena.net panelinin uygulamaları ve entegrasyonlarıyla birlikte sağlanması ve müşteri kara listesi dahil olmak üzere Veri Sorumlusunun panelde etkinleştirdiği işlevlerin sunulması (madde 3).

1.2 Bu DPA, Veri İşleyen Veri Sorumlusu için kişisel veri işlediği sürece geçerlidir.

1.3 İşleme faaliyetinin ayrıntıları Ek 1'de yer alır.

2. Tarafların talimatları ve yükümlülükleri

2.1 Veri İşleyen, kişisel verileri yalnızca Veri Sorumlusunun belgelenmiş talimatlarına göre işler; üçüncü ülkelere aktarımlar da buna dahildir. Hizmet Sözleşmesi, bu DPA, Veri Sorumlusunun siparişleri ve veri aktarımları ile Veri Sorumlusunun panelde yaptığı ayarlar Veri Sorumlusunun talimatlarıdır. Veri İşleyenin tabi olduğu Birlik veya üye devlet hukuku başka bir işleme gerektiriyorsa, Veri İşleyen bu hukuk yasaklamadıkça Veri Sorumlusunu bu gereklilik hakkında önceden bilgilendirir.

2.2 Veri İşleyen, bir talimatın kendi görüşüne göre GDPR'ı veya başka bir veri koruma mevzuatını ihlal etmesi halinde Veri Sorumlusunu bilgilendirir.

2.3 Veri İşleyen, Veri Sorumlusunun kişisel verilerini kendi amaçları için kullanmaz. Hiçbir kişiyi tanımlamayan toplu istatistikler kişisel veri değildir.

2.4 Veri Sorumlusu, talimat verdiği işlemenin hukuka uygunluğundan sorumludur: Veri İşleyene verdiği veriler için hukuki bir dayanağa sahiptir, verilerin doğruluğunu sağlar ve müşterilerini gizlilik bildiriminde, verilerinin fulfillment hizmet sağlayıcıları ve kargo firmalarıyla paylaşıldığı da dahil olmak üzere bilgilendirir.

3. Müşteri kara listesi

3.1 Panel, Veri Sorumlusunun, siparişleri kendi incelemesi için işaretlenen son müşterilerin bir listesini (telefon numarası veya e-posta adresi, bir gerekçe ve isteğe bağlı bir not) tutmasına olanak tanır (“müşteri kara listesi”). Liste yalnızca Veri Sorumlusunun hesabı ve mağazaları için oluşturulur, tutulur ve kullanılır. Veri İşleyen listeyi diğer müşterilerle paylaşmaz, diğer müşterilerin listeleriyle karşılaştırmaz ve kendi amaçları için kullanmaz.

3.2 Listeye kimin ve neden ekleneceğine Veri Sorumlusu karar verir. Veri Sorumlusu şunlardan sorumludur:

(a) her kayıt için, normalde GDPR madde 6(1)(f) kapsamındaki meşru menfaatine dayanan hukuka uygun bir dayanağa sahip olmak ve madde 21 kapsamındaki itirazlara uymak;

(b) müşterilerini bu işleme hakkında gizlilik bildiriminde (madde 13) ve başka bir kaynaktan elde edilen verileri aktardığı durumlarda madde 14 uyarınca bilgilendirmek;

(c) yalnızca siparişlerle ilgili, hakaret içermeyen, özel nitelikli veri kategorileri (madde 9) içermeyen ve korunan bir özelliğe dayanmayan olgusal gerekçeler girmek;

(d) işaretlenen siparişleri kendisi incelemek; panel siparişleri otomatik olarak reddetmez ve Veri Sorumlusu listeyi insan incelemesi olmadan karar vermek için kullanmaz (madde 22);

(e) kayıtların doğruluğu.

3.3 Her kayıt, eklendiği veya en son uzatıldığı tarihten itibaren 24 ay saklanır. Bir kaydın süresi dolmadan önce panel Veri Sorumlusunu bilgilendirir; Veri Sorumlusu, yalnızca kaydın gerekçesi hâlâ mevcutsa, bir veya daha fazla kaydı her seferinde 24 ay daha uzatabilir. Veri Sorumlusu bir kaydı uzatmazsa kayıt, süresinin dolduğu tarihte silinir. Veri Sorumlusu herhangi bir kaydı istediği zaman silebilir.

3.4 Listeye kayıt aktarmak için yüklenen dosyalar yalnızca o aktarım için kullanılır.

4. Gizlilik

4.1 Veri İşleyen, kişisel verileri işlemeye yetkili kişilerin gizlilik yükümlülüğü altında olmasını sağlar. Personeli Veri Sorumlusunun verilerine yalnızca hizmetleri veya desteği sağlamak için gerektiği ölçüde erişir.

5. Güvenlik

5.1 Veri İşleyen, Ek 2'deki teknik ve idari tedbirleri (GDPR madde 32) uygular ve genel güvenlik seviyesi düşürülmemek kaydıyla bunları güncelleyebilir.

6. Alt veri işleyenler

6.1 Veri Sorumlusu, Ek 3'te listelenen alt veri işleyenler için genel yetki verir. Veri İşleyen, planlanan her ekleme veya değişikliği en az 30 gün önceden hesabın e-posta adresine e-posta göndererek Veri Sorumlusuna bildirir; güvenlik nedeniyle acil bir değişiklik gerekiyorsa Veri Sorumlusunu mümkün olan en kısa sürede bilgilendirir. Veri Sorumlusu bu süre içinde makul gerekçelerle itiraz edebilir. Veri İşleyen önce makul bir alternatif sunmaya çalışır; üzerinde anlaşılan bir alternatif olmazsa Veri Sorumlusu, Hizmet Sözleşmesinin hizmetin sona ermesine ilişkin hükümlerine tabi olarak etkilenen hizmetleri feshedebilir.

6.2 Veri İşleyen, her alt veri işleyene sözleşme yoluyla bu DPA ile aynı koruma düzeyini sağlayan veri koruma yükümlülükleri getirir ve alt veri işleyenin yükümlülüklerini yerine getirmesinden Veri Sorumlusuna karşı sorumlu olmaya devam eder.

6.3 Kargo firmaları ve posta operatörleri, teslimat için gereken teslimat verilerini alır ve posta mevzuatı kapsamında işlemenin amaçlarını ve araçlarını kendileri belirledikleri ölçüde bağımsız veri sorumlusu olarak hareket eder. Veri İşleyen bu verileri, Veri Sorumlusunun veya müşterilerinin seçtiği kargo firmaları da dahil olmak üzere, Veri Sorumlusunun talimatıyla iletir. Güncel kargo firmaları listesi panelde yer alır.

7. Yardım

7.1 Veri İşleyen, işlemenin niteliğini dikkate alarak Veri Sorumlusuna şu konularda yardımcı olur:

(a) ilgili kişilerin GDPR madde 15 ila 22 kapsamındaki taleplerine yanıt verilmesinde; esas olarak panel işlevleri aracılığıyla ve talep üzerine şu adrese yazılarak: support@bigarena.net. Veri İşleyene ulaşan talepler gecikmeksizin Veri Sorumlusuna iletilir ve Veri İşleyen tarafından kendiliğinden yanıtlanmaz;

(b) güvenlik, kişisel veri ihlallerinin bildirilmesi, veri koruma etki değerlendirmeleri ve ön istişare konularında (GDPR madde 32 ila 36). Panel işlevlerinin ve bu DPA'daki bilgilerin ötesindeki yardım makul bir bedel karşılığında ücretlendirilebilir.

8. Kişisel veri ihlalleri

8.1 Veri İşleyen, Veri Sorumlusunun verilerini etkileyen bir kişisel veri ihlalini öğrendikten sonra, Veri Sorumlusunu gecikmeksizin ve mümkünse 48 saat içinde, GDPR madde 33(3) kapsamında mevcut bilgilerle bilgilendirir ve ardından ek bilgileri elde edildikçe iletir. Veri İşleyen, kanun gerektirmedikçe, Veri Sorumlusunun talimatı olmadan onun adına denetim makamlarına veya ilgili kişilere bildirimde bulunmaz.

9. Denetimler ve bilgi

9.1 Veri İşleyen, GDPR madde 28'e uygunluğu göstermek için gerekli bilgileri, öncelikle Veri Sorumlusunun yazılı sorularını 30 gün içinde yanıtlayarak sağlar.

9.2 Bu bilgiler yeterli olmazsa Veri İşleyen, Veri Sorumlusu veya onun yetkilendirdiği ve gizlilik yükümlülüğü altındaki bir denetçi tarafından, yerinde incelemeler dahil denetimlere izin verir; bu denetimler en az 30 gün önceden bildirilerek, mesai saatleri içinde ve bir kişisel veri ihlali veya bir denetim makamı aksini gerektirmedikçe yılda en fazla bir kez yapılır. Denetimler diğer müşterilerin verilerine veya mallarına erişim sağlamamalıdır. Veri Sorumlusu kendi masraflarını ve Veri İşleyenin harcadığı zamanın makul maliyetini üstlenir.

10. Hizmetlerin sona ermesi

10.1 Hizmetlerin sona ermesinde Veri İşleyen, Veri Sorumlusunun 30 gün içinde yapacağı seçime göre kişisel verileri panel dışa aktarımı yoluyla iade eder veya siler. Veri İşleyen kişisel verileri canlı sistemlerinden 90 gün içinde siler; yedek kopyalar olağan yedekleme döngüsü içinde üzerine yazılır. Faturalarda, kapıda ödeme mutabakatlarında ve diğer muhasebe kayıtlarında yer alan veriler kanunun gerektirdiği süre boyunca saklanır. Talep üzerine Veri İşleyen silme işlemini yazılı olarak teyit eder.

11. AEA dışına aktarımlar

11.1 Veri İşleyen kişisel verileri Avrupa Ekonomik Alanı dışına yalnızca Ek 3'te listelenen alıcılara ve madde 6.3 kapsamındaki kargo firmalarına aktarır; bunu da yalnızca AB-ABD Veri Gizliliği Çerçevesi dahil Avrupa Komisyonunun bir yeterlilik kararına veya (AB) 2021/914 sayılı Komisyon Uygulama Kararı ile kabul edilen standart sözleşme maddelerine, gerekli ek tedbirlerle birlikte dayanarak yapar. İlgili maddelerin bir kopyası talep üzerine sağlanır.

12. Sorumluluk, öncelik, değişiklikler ve uygulanacak hukuk

12.1 Bu DPA kapsamındaki sorumluluk, kast ve ağır ihmal hariç olmak üzere ve her tarafın herhangi bir zararın kendi payından sorumlu olduğu GDPR madde 82 saklı kalmak kaydıyla, Hizmet Sözleşmesine tabidir. Veri Sorumlusu, kendi hukuka aykırı talimatlarından veya müşteri kara listesine girdiği kayıtlardan doğan talepler ve para cezaları nedeniyle Veri İşleyenin uğradığı zararları tazmin eder.

12.2 Bu DPA veri koruma konusunda Hizmet Sözleşmesi ile çelişirse bu DPA önceliklidir.

12.3 Veri İşleyen, mevzuattaki, hizmetlerdeki veya alt veri işleyenlerdeki değişiklikleri yansıtmak için bu DPA'yı güncelleyebilir; bunu yeni bir sürümü şu adreste yayımlayarak https://bigarena.net/dpa ve yürürlüğe girmesinden en az 30 gün önce Veri Sorumlusunu e-posta ile bilgilendirerek yapar. Değişiklikler kişisel verilerin korunmasını azaltamaz. Bu süre içinde yazılı olarak itiraz eden bir Veri Sorumlusu etkilenen hizmetleri feshedebilir; o zamana kadar kendisine önceki sürüm uygulanır.

12.4 Bu DPA, Veri İşleyenin kayıtlı olduğu ülkenin hukukuna tabidir ve Hizmet Koşullarında olduğu gibi Veri İşleyenin kayıtlı merkezinin bulunduğu yerdeki yetkili mahkemeler yetkilidir.

12.5 Bu DPA Bulgarca ve İngilizce olarak yayımlanmıştır. Sürümler arasında farklılık olması halinde Бигарена ООД için Bulgarca sürüm, diğer BigArena şirketleri için İngilizce sürüm esas alınır.

12.6 Veri koruma sorularınız için iletişim: support@bigarena.net.

---

Ek 1: İşleme faaliyetinin ayrıntıları

Ek 2: Teknik ve idari tedbirler

• Panel ve veritabanları Avrupa Birliği'ndeki (Almanya) bir veri merkezinde barındırılır.
• Panele hesap ve kullanıcı bazında, kişisel kullanıcı adı ve şifre ile erişim; her müşteri yalnızca kendi verilerini görür.
• Panele ve API'lere şifreli bağlantılar (HTTPS/TLS); web sitelerinin ve panelin saldırılara karşı ağ koruması.
• BigArena personeli müşteri verilerine yalnızca hizmetleri veya desteği sağlamak için gerektiği ölçüde erişir ve gizlilik yükümlülüğü altındadır; bir kişi ayrıldığında erişimi kaldırılır.
• Paketleme ve iade videolarına yalnızca yetkili personel ve ilgili müşteri erişebilir; videolar 90 güne kadar saklanır.
• Kişisel veri ihlalleri madde 8'de belirtildiği şekilde ele alınır ve bildirilir.

Ek 3: Alt veri işleyenler