KVKK Aydınlatma Metni

1. Veri Sorumlusu ve Rol Ayrımı

Abonelik, üyelik, fatura, iletişim ve pazarlama verileri bakımından Şirket veri sorumlusudur.

Kullanıcı'nın Hizmet'e yüklediği ve Bağlı Platformlardan (Yemeksepeti, Uber Eats Trendyol Go, Migros Yemek) aktarılan içerikler (menü, müşteri yorumları, sipariş/performans kayıtları vb.) içinde yer alabilecek kişisel veriler bakımından ise Kullanıcı veri sorumlusu, Şirket veri işleyen sıfatıyla hareket eder. Bu ilişki ayrı bir Veri İşleme Sözleşmesi (DPA) ile düzenlenir.

2. İşlenen Kişisel Veriler

• Kimlik ve iletişim verileri: ad-soyad/unvan, e-posta, telefon, adres, vergi/MERSİS bilgileri.
• Müşteri işlem verileri: abonelik, talep ve kullanım kayıtları.
• Finans verileri: fatura bilgileri ve havale/EFT ödeme kayıtları (iade hâlinde bildirilen banka hesabı dahil). Şirket ödeme kartı verisi toplamaz.
• İşlem güvenliği verileri: IP adresi, log kayıtları, zaman damgası, oturum/çerez bilgileri.
• Bağlantı Bilgileri: Bağlı Platform hesaplarına erişim bilgileri (şifreli saklanır).
• Pazarlama verileri: açık rıza halinde ileti tercihleri.

3. Kişisel Verilerin İşlenme Amaçları

Veriler; üyelik ve aboneliğin kurulması/yürütülmesi, Hizmet'in sunulması ve geliştirilmesi, faturalandırma ve tahsilat, müşteri destek, güvenlik ve dolandırıcılığın önlenmesi, hukuki yükümlülüklerin yerine getirilmesi ve (açık rıza ile) pazarlama amaçlarıyla işlenir.

4. Hukuki Sebepler

İşleme; sözleşmenin kurulması/ifası (KVKK m.5/2-c), hukuki yükümlülük (m.5/2-ç), meşru menfaat (m.5/2-f) ve gerekli hallerde açık rıza (m.5/1) hukuki sebeplerine dayanır.

5. Kişisel Verilerin Aktarılması ve Yurt Dışı Aktarımı

Veriler; hizmetin sunulması amacıyla barındırma/bulut sağlayıcıları, e-posta/iletişim hizmet sağlayıcıları gibi tedarikçilere, yasal muhasebe ve vergi yükümlülükleri için mali müşavire ve yetkili kamu kurumlarına, mevzuata uygun olarak aktarılabilir.

Yurt dışı aktarımı (AWS). Hizmet'in altyapısı Amazon Web Services (AWS) bulut platformunda (eu-central-1 / Frankfurt bölgesi) barındırılmaktadır; AWS sunucuları Türkiye dışında bulunduğundan, sisteme yüklenen kişisel veriler KVKK m.9 anlamında yurt dışına aktarılmaktadır. KVKK herhangi bir ülke için yeterlilik kararı yayımlamadığından — ve verilerin AB bölgesinde işlenmesi tek başına aktarımı uyumlu kılmayacağından — bu aktarım, KVKK m.9/4-(c) bendinde öngörülen uygun güvence kapsamında, Şirket ile AWS arasındaki Kişisel Verileri Koruma Kurulu standart sözleşmesi temelinde gerçekleştirilir. Aktarımın hukuki temeli açık rıza değildir; açık rıza, KVKK m.9/6 uyarınca yalnızca arızi aktarımlar için öngörülmüş bir yoldur ve Hizmet kapsamındaki aktarım süreklilik arz ettiğinden bu yola başvurulmaz. AWS'nin kendi alt işleyenlerine yapacağı sonraki aktarımlar bakımından da KVKK m.9/8 uyarınca aynı güvenceler aranır.

6. Saklama Süreleri

Kişisel veriler, işleme amacının gerektirdiği ve mevzuatın öngördüğü süreler boyunca (ör. ticari/vergisel kayıtlar bakımından kanuni süreler) saklanır; sürenin sonunda silinir, yok edilir veya anonim hale getirilir. Abonelik sona erdiğinde, Kullanıcı İçeriği bakımından 30 (otuz) günlük veri çıkış planı uygulanır; bu sürenin sonunda Kullanıcı İçeriği ve Bağlantı Bilgileri, mevzuatın saklamayı gerektirdiği haller saklı kalmak üzere güvenli biçimde silinir/imha edilir.

7. Haklarınız (KVKK m.11)

İlgili kişi; verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde/yurt dışında aktarıldığı üçüncü kişileri öğrenme, eksik veya yanlış işlenmişse düzeltilmesini isteme, mevzuatta öngörülen şartlar çerçevesinde silinmesini/yok edilmesini isteme, düzeltme/silme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhine bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme haklarına sahiptir.

Başvurular; [email protected] adresine yazılı olarak ya da Şirket'in Mithatpaşa Mah. Rumeli Yolu Cad. Bahçeşehir Ünv. Eğitim Binası No: 35/24 İç Kapı No: 4, Eyüpsultan / İstanbul adresine ıslak imzalı dilekçeyle yapılabilir.

8. Veri Güvenliği

Şirket; durağan ve hareket halindeki verilerin şifrelenmesi (SSL/TLS), erişim için rol tabanlı yetkilendirme (RBAC) ve en az yetki ilkesi, çok faktörlü kimlik doğrulama, güvenlik duvarı, düzenli yedekleme ve düzenli güvenlik incelemeleri dahil idari ve teknik tedbirleri alır. Veri ihlali halinde mevzuatın öngördüğü süre içinde Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yapılır.