Siparix Gizlilik Politikası
Son güncelleme: 16 Ekim 2026
Siparix ("Uygulama"), Stellar Virtex Danışmanlık (Girişim Teknoloji) ("biz") tarafından sunulan bir Shopify uygulamasıdır, Esentepe Mh. Talatpaşa Cd. No:5 İç kapı no:1, 34394 Şişli, İstanbul. Bu politika, Uygulama bir mağazaya kurulduğunda ve mağazanın müşterileri kapıda ödeme formunu kullandığında hangi verilerin işlendiğini açıklar.
Alıcıların kişisel verileri bakımından mağaza veri sorumlusu, biz ise mağaza adına hareket eden veri işleyeniz (6698 sayılı KVKK; GDPR md. 28). Mağaza hesap verileri bakımından veri sorumlusu biziz.
1. İşlenen veriler
| Veri | Kaynak | Amaç |
|---|---|---|
| Mağaza alan adı, erişim anahtarı, Uygulamayı açan personelin adı/e-postası, mağaza ayarları | Shopify | Kimlik doğrulama, hizmetin sunulması, destek, faturalama |
| Alıcının adı soyadı, cep telefonu, teslimat adresi (il, ilçe, adres), sipariş notu, ürün ve tutarlar | Alıcının doldurduğu form | Siparişin mağazanın Shopify hesabında oluşturulması |
| Alıcının IP adresi | Tarayıcı | Kötüye kullanımın önlenmesi, hız sınırı, risk puanı; siparişe not özelliği olarak eklenir |
| Tek kullanımlık doğrulama kodu (yalnızca tuzlanmış özet olarak) ve telefon numarası | Uygulama | Telefonun WhatsApp ile doğrulanması |
| Sipariş ve gönderi verileri (alıcı adı, telefon, adres, tahsilat tutarı, takip numarası, durum, etiket) | Shopify siparişleri ve mağazanın kargo firması | Mağazanın kargo hesabıyla gönderi/etiket oluşturma ve durumun Shopify'a aktarılması (Pro ve Plus) |
| Risk puanı ve gerekçeleri (telefon ve IP'nin anahtarlı özetiyle); mağazanın kara listesi (telefon, IP, adres) | Uygulama / mağaza | Şüpheli siparişlerin bekletilmesi veya engellenmesi |
| Mağazanın kendi WhatsApp Cloud API erişim anahtarı ve telefon numarası kimliği (isteğe bağlı) | Mağaza | Doğrulama kodlarının mağazanın kendi numarasından gönderilmesi; anahtar şifreli saklanır (AES-256-GCM), tekrar gösterilmez |
| Mağazanın kargo hesabı bilgileri | Mağaza | Kargo API çağrıları; şifreli saklanır (AES-256-GCM) |
Kart bilgisi toplamayız; kartlı ödemeler yalnızca Shopify ödeme sayfasında yapılır. Kişisel verileri satmayız, reklam amacıyla kullanmayız.
2. Hukuki sebep
KVKK md. 5/2-c (sözleşmenin kurulması ve ifası) ve 5/2-f (sahte kapıda ödeme siparişlerinin önlenmesinde meşru menfaat) ile hukuki yükümlülükler.
3. Aktarım ve alt işleyenler
- Shopify – platform, siparişler, faturalama
- Meta Platforms (WhatsApp Business Platform) – doğrulama kodunun iletilmesi. Kodlar varsayılan olarak Siparix WhatsApp numarasından gönderilir; mağaza kendi numarasını bağlarsa kendi Meta hesabı üzerinden o numaradan gönderilir
- Mağazanın kargo firması DHL eCommerce Türkiye (MNG Kargo) – gönderi, etiket, takip (alıcı adı, telefonu, adresi ve tahsilat tutarı; alıcının e-posta adresi paylaşılmaz)
- Railway Corp. – barındırma ve veritabanı (ABD, Doğu)
Bu sağlayıcıların bir kısmı verileri yurt dışında (ör. ABD/AB) işler; aktarımlar KVKK md. 9'daki güvencelere uygun yapılır.
4. Saklama süreleri
- Doğrulama kodları 5 dakika sonra geçersiz olur; doğrulama kayıtları (özetlenmiş telefon ve kod) 30 gün sonra silinir.
- Kapıda ödeme sipariş kayıtları ve risk değerlendirmeleri, mağazanın belirlediği süre sonunda (varsayılan 180 gün, en az 30 gün) otomatik silinir.
- Gönderi kayıtları (alıcı telefonu, takip ve durum bilgisi, ad ve adres içeren etiketler ve kargo yanıtları) takip ve tahsilat mutabakatı için 1 yıl saklanır, ardından otomatik silinir; customers/redact veya shop/redact talebinde daha önce silinir.
- customers/data_request için hazırlanan veri dökümleri en fazla 1 yıl saklanır ve shop/redact ile silinir.
- Uygulama kaldırıldığında erişim anahtarları silinir; Shopify'ın shop/redact bildirimiyle (kaldırmadan 48 saat sonra) tüm mağaza verileri silinir.
- customers/redact talebinde ilgili alıcı verileri silinir.
5. Güvenlik
Tüm trafik TLS ile şifrelenir; kargo bilgileri ve mağaza WhatsApp anahtarları şifreli saklanır; sipariş, doğrulama ve hız sınırı kayıtlarında telefon ve IP yalnızca anahtarlı özet olarak saklanır; mağaza istekleri Shopify HMAC imzasıyla doğrulanır; erişim yetkili kişilerle sınırlıdır.
Geliştirme ve test verileri, gerçek mağazaların verilerinden ayrı bir test veritabanında tutulur.
Personelin veya sistemin alıcı kişisel verilerine (ad, telefon, adres) her erişimi; kimin, ne zaman ve hangi siparişe eriştiği bilgisiyle denetim kaydına işlenir. Kişisel verinin kendisi bu kayda yazılmaz; denetim kayıtları yaklaşık 12 ay saklanır.
6. Haklarınız
Alıcılar öncelikle sipariş verdikleri mağazaya (veri sorumlusu) başvurmalıdır; bize de yazabilirsiniz, mağazaya iletir ve destek oluruz. KVKK md. 11 kapsamındaki haklarınızı kullanabilir, Kişisel Verileri Koruma Kurumu'na şikâyette bulunabilirsiniz.
7. İletişim
Girişim Teknoloji (Stellar Virtex Danışmanlık) – hello@girisimteknoloji.com – girisimteknoloji.com
Bu politikayı güncelleyebiliriz; değişiklikler bu sayfada yeni tarih ile yayımlanır.
Siparix Privacy Policy
Last updated: 16 October 2026
Siparix ("the App") is a Shopify app provided by Stellar Virtex Danışmanlık, trading as Girişim Teknoloji ("we", "us"), Esentepe Mh. Talatpaşa Cd. No:5 İç kapı no:1, 34394 Şişli, İstanbul, Türkiye. This policy explains what data the App processes when a merchant installs it and when the merchant's customers use the cash on delivery (COD) order form.
For buyers' personal data, the merchant is the data controller and we act as a data processor on the merchant's behalf (GDPR Art. 28 / KVKK Law No. 6698 "veri işleyen"). For merchant account data we are the controller.
1. Data we process
| Data | Source | Purpose |
|---|---|---|
| Store domain, OAuth access token, staff name/email of the user who installs or opens the App, store settings | Shopify | Authenticating the App, providing the service, support, billing |
| Buyer first and last name, mobile phone number, shipping address (province, district, address line), order note, products and amounts | COD form filled in by the buyer | Creating the order in the merchant's Shopify store |
| Buyer IP address | Buyer's browser | Abuse prevention, rate limiting, risk scoring; stored on the order as a note attribute |
| One-time verification code (stored only as a salted hash) and phone number | Generated by the App | Verifying the buyer's phone via WhatsApp |
| Order and shipping data (recipient name, phone, address, COD amount, tracking number, shipment status, shipping labels) | Shopify orders and the merchant's carrier | Creating shipments and labels with the merchant's carrier account and syncing status back to Shopify (Pro and Plus plans) |
| Risk score and reasons, keyed by hashed phone and IP; merchant-maintained blacklist (phone, IP, address) | Derived by the App / entered by the merchant | Helping the merchant hold or block suspicious orders |
| Merchant's own WhatsApp Cloud API access token and phone number ID (optional) | Merchant | Sending verification codes from the merchant's own number; token stored encrypted (AES-256-GCM), never shown again |
| Carrier account credentials of the merchant | Merchant | Calling the carrier API; stored encrypted (AES-256-GCM) |
We do not collect or process payment card data. Card payments happen only in Shopify checkout. We do not sell personal data or use it for advertising or profiling beyond the merchant's own fraud-prevention settings.
2. Legal basis
Performance of a contract (the buyer's order and the merchant's subscription), the merchant's legitimate interest in preventing fraudulent COD orders, and legal obligations. Under KVKK, processing is based on Art. 5(2)(c) and (f).
3. Sharing and sub-processors
- Shopify Inc. / Shopify International – platform, orders, billing
- Meta Platforms (WhatsApp Business Platform) – delivering verification codes to the buyer's phone. Codes are sent from the Siparix WhatsApp number by default; if the merchant connects its own WhatsApp number, codes are sent from that number through the merchant's own Meta account
- The merchant's carrier, DHL eCommerce Türkiye (MNG Kargo) – shipment creation, labels, tracking (recipient name, phone, address and COD amount; the buyer's email is not shared)
- Railway Corp. – application hosting and database (USA, US East)
Some of these providers process data outside Türkiye (e.g. USA/EU). Such transfers are made under the safeguards required by KVKK Art. 9 and GDPR Chapter V.
4. Retention
- Verification codes expire after 5 minutes; verification records (hashed phone, hashed code) are deleted after 30 days.
- COD order records and risk assessments are deleted automatically after the merchant's retention period (default 180 days, minimum 30 days).
- Shipment records (recipient phone, tracking and status data, shipping labels and carrier responses containing name and address) are kept for 1 year for tracking and COD reconciliation, then deleted automatically; they are erased earlier on a customers/redact or shop/redact request.
- Data exports prepared for a customers/data_request are kept for up to 1 year and deleted on shop/redact.
- When the App is uninstalled, access tokens are deleted; all store data is erased when Shopify sends the shop/redact request (48 hours after uninstall).
- Buyer data is erased when the merchant or Shopify sends a customers/redact request.
5. Security
All traffic uses TLS. Carrier credentials and merchant WhatsApp tokens are encrypted at rest; phone numbers and IP addresses in COD order, verification and rate-limit records are stored only as keyed hashes; storefront requests are verified with Shopify's HMAC signature; access is limited to authorised personnel.
Development and test data is kept in a separate test database, apart from real merchants' data.
Every staff or system access to buyer personal data (name, phone, address) is recorded in an audit log showing who accessed it, when, and for which order. The personal data itself is not written to the log; audit logs are kept for about 12 months.
6. Your rights
Buyers should first contact the store where they placed the order, which is the controller. You may also contact us; we will forward and assist the merchant. Under KVKK Art. 11 and GDPR you can request access, correction, deletion, restriction, objection and portability, and complain to the Personal Data Protection Authority (KVKK) or your local supervisory authority.
7. Contact
Girişim Teknoloji (Stellar Virtex Danışmanlık) – hello@girisimteknoloji.com – girisimteknoloji.com
We may update this policy; changes are posted on this page with a new date.