Amazon SP-API Data Protection Policy (DPP) & KVKK / GDPR Uyumlu

Privacy Policy & Amazon Selling Partner API Data Protection Clause

NLKSoft Yazılım ve Teknoloji (nlksoft.com · nlkgo.com · apps.nlkgo.com) — Effective Date: 2026-11-10

Security & Privacy Contact (IMPOC): Abdulkadir Kar

Official Security Alias: security@nlksoft.com

1. Amazon Selling Partner API Data Protection & Privacy Clause (English)

NLKGO / NLKSoft ("Solution Provider") integrates with the Amazon Selling Partner API (SP-API) strictly on behalf of authorized Amazon Selling Partners to automate catalog listing, pricing, inventory synchronization, Direct-to-Consumer (D2C) shipping fulfillment, and statutory tax invoicing in full compliance with the Amazon Data Protection Policy (DPP) and the Amazon Acceptable Use Policy (AUP).

1.1 Scope of Collected Information & RDT

Through short-lived Amazon Restricted Data Tokens (RDT), NLKGO retrieves Personally Identifiable Information (PII) strictly limited to: Buyer Full Name, Shipping Address, Billing Address, Telephone Number, Buyer Masked/Order Email, Tax/National Identification Number (solely where legally required for statutory invoicing), and Selling Partner OAuth tokens.

1.2 Strict Purpose Limitation & Zero Sharing

Amazon Information and Buyer PII are processed exclusively to generate shipping carrier labels (Direct-to-Consumer Shipping) and issue mandatory statutory tax invoices (Turkish GİB e-Fatura / e-Arşiv & EU VAT). PII is never used for marketing, buyer profiling, remarketing, or cross-merchant analytics, and is never sold, rented, or disclosed to unauthorized third parties.

1.3 Cryptographic Protection (At Rest & In Transit)

All network traffic and external carrier/e-invoice API calls enforce TLS 1.2 / TLS 1.3 with strict certificate verification. All Amazon PII columns and SP-API OAuth tokens at rest are encrypted at the application layer using AES-256-GCM with KMS/Vault-managed annual key rotation and HMAC-SHA256 blind indexing. Plaintext PII is strictly prohibited in application logs, caches, and queue payloads.

1.4 Automated ≤ 30-Day Retention & Tax Archive Isolation

Operational Amazon customer PII is retained for no more than 30 days after order shipment (automatically purged and redacted on Day 29 via daily scheduled enforcement). Where statutory tax laws (Turkish Tax Procedure Law VUK 5–10 years / EU VAT) mandate retention of official tax invoices, records are transferred to an isolated, AES-256-GCM encrypted cold archive accessible exclusively to authorized finance/compliance officers and removed from active seller dashboards.

Seller Deauthorization, Data Deletion & Incident Reporting: When a Selling Partner revokes authorization in Amazon Seller Central or terminates their NLKGO subscription, all OAuth tokens and active Amazon operational PII for that merchant are immediately purged via our automated deauthorization pipeline. Data subjects, Selling Partners, or Amazon Security teams may submit data deletion requests or security notifications 24/7 to security@nlksoft.com. Confirmed security incidents involving Amazon Information are reported to security@amazon.com within 24 hours.

2. Amazon Selling Partner API (SP-API) Veri Koruma ve Gizlilik Maddesi (Türkçe)

NLKGO / NLKSoft e-ticaret ve pazaryeri entegrasyon platformu, Amazon Selling Partner API (SP-API) üzerinden erişilen tüm satıcı ve alıcı verilerini Amazon Veri Koruma Politikası (DPP), 6698 sayılı KVKK ve GDPR hükümlerine tam uyumlu olarak işler:

Veri İşleme Amacı Kısıtlaması: SP-API (ve Restricted Data Token — RDT) aracılığıyla alınan Alıcı Ad-Soyad, Teslimat/Fatura Adresi, Telefon, E-posta ve Vergi/TCKN bilgileri yalnızca siparişin kargolanması (anlaşmalı kargo barkodu üretimi) ve yasal e-Fatura/e-Arşiv düzenlenmesi amacıyla kullanılır; pazarlama, profilleme veya reklam amacıyla kesinlikle işlenmez ve yetkisiz üçüncü taraflarla paylaşılmaz.
Uçtan Uca Şifreleme: Aktarım halindeki tüm veriler TLS 1.2 / TLS 1.3 ile korunur; durağan veriler (veritabanındaki PII alanları ve SP-API OAuth anahtarları) uygulama katmanında versiyonlu AES-256-GCM algoritması ile şifrelenir ve yıllık anahtar rotasyonuna tabi tutulur. Uygulama loglarında, önbellekte ve kuyruk mesajlarında düz metin kişisel veri tutulmaz.
30 Günlük Otomatik İmha ve Yasal Vergi Arşivi Ayrımı: Kargolanan Amazon siparişlerine ait operasyonel müşteri kişisel verileri (PII), kargo çıkışından itibaren en geç 29. günde (30 günü aşmadan) günlük otomatik görev (spapi:purge-expired-pii) ile silinir/anonimleştirilir. Vergi Usul Kanunu (VUK) ve AB KDV mevzuatı gereği saklanması zorunlu resmi fatura kayıtları ise aktif operasyonel panelden tamamen ayrıştırılmış, şifreli soğuk mali arşivde yalnızca yetkili finans/denetim personeli erişimine açık olarak muhafaza edilir.
Yetki İptali ve Başvuru Kanalı: Satıcının Amazon Seller Central üzerinden yetkiyi kaldırması veya NLKGO aboneliğini sonlandırması halinde, ilgili satıcıya ait tüm OAuth anahtarları ve aktif Amazon PII kayıtları derhal imha edilir. Veri silme talepleri ve güvenlik bildirimleri için resmi iletişim adresi: security@nlksoft.com.