MasaCheck Gizlilik Politikası ve KVKK Aydınlatma Metni

1. Amaç ve kapsam

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, MasaCheck Restoran Web uygulamasını ve buna bağlı hizmetleri ("Platform") kullanan kişileri; kişisel verilerinin kim tarafından, hangi amaçlarla, hangi hukuki sebeplere dayanılarak, hangi yöntemlerle işlendiği, kimlere ve hangi ülkelere aktarıldığı, ne kadar süre saklandığı ve KVKK m.11 kapsamındaki hakları konusunda bilgilendirmek amacıyla hazırlanmıştır.

Bu metin bir aydınlatma metnidir; açık rıza metni değildir. Platform'un kullanımı için sizden açık rıza talep edilmemekte ve hizmet açık rıza şartına bağlanmamaktadır. Aşağıda açıklanan işleme faaliyetlerinin tamamı KVKK m.5/2'de sayılan ve açık rıza gerektirmeyen hukuki sebeplere dayanır. Onay ekranındaki onay, bu metni okuduğunuzu ve bilgilendirildiğinizi kayıt altına almak içindir; bu onayı vermeniz kişisel verilerinizin işlenmesine rıza verdiğiniz anlamına gelmez.

Kişisel verileriniz, KVKK m.4'te sayılan hukuka ve dürüstlük kurallarına uygunluk, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ve gerekli olan süre kadar muhafaza edilme ilkelerine uygun olarak işlenir.

2. Veri sorumlusu ve veri işleyen ayrımı

Platform'u kullanan Kullanıcıların hesap, kimlik, iletişim, işlem güvenliği, işlem kaydı ve sözleşme kabul verileri bakımından veri sorumlusu, aşağıdaki kimlik bölümünde unvanı ve iletişim bilgileri yer alan MasaCheck platform işletmecisidir ("MasaCheck").

Restoran işletmelerinin ("İşletme") Platform'a kaydettiği müşteri, adres, sipariş, ödeme, masa, rezervasyon verileri ile İşletme'nin kendi çalışanı olan kuryelere ilişkin veriler bakımından veri sorumlusu ilgili İşletme'dir. MasaCheck bu veriler bakımından yalnızca İşletme adına ve talimatları doğrultusunda veri işleyen sıfatıyla hareket eder. Bu verilere ilişkin aydınlatma yükümlülüğü, hukuki sebebin sağlanması ve ilgili kişi başvurularının yanıtlanması ilgili İşletme'ye aittir. Bir İşletme'nin müşterisi iseniz, kişisel verilerinizle ilgili taleplerinizi öncelikle sipariş verdiğiniz İşletme'ye iletmeniz gerekir; MasaCheck'e ulaşan bu tür başvurular ilgili İşletme'ye yönlendirilir.

Bir İşletme'nin çalışanı olarak Platform'u kullanıyorsanız, işvereniniz olan İşletme de, iş ilişkiniz kapsamındaki kendi amaçları için (örneğin hangi işlemi kimin yaptığının takibi, yetkilerinizin belirlenmesi) Platform'daki kayıtlarınızı ayrıca veri sorumlusu sıfatıyla işler.

3. İşlenen kişisel veri kategorileri

Platform Kullanıcıları bakımından aşağıdaki kişisel veriler işlenmektedir:

• Kimlik: Ad, soyad.
• İletişim: E-posta adresi, giriş için kullanılan cep telefonu numarası.
• Mesleki ve hesap bilgileri: Bağlı olunan İşletme, rol, şube yetkileri, hesap durumu (kurulum bekliyor, aktif, devre dışı, kilitli), hesabın oluşturulma, kurulum ve değişiklik bilgileri.
• İşlem güvenliği: Geri döndürülemez biçimde özetlenmiş (hash) şifre, oturum ve yenileme anahtarlarının özetleri, kimlik doğrulama sürüm bilgisi, oturum açma, yenileme ve kapatma zamanları, başarısız giriş ve şifre değiştirme denemesi sayaçları, giriş isteklerinin geldiği IP adresi, yetki, rol, şube, şifre ve hesap durumu değişikliklerine ilişkin denetim kayıtları, Platform'a yapılan durum değiştiren isteklerin zamanı, türü, sonucu, süresi ve isteği yapan kullanıcı bilgisi.
• Müşteri işlem ve faaliyet kayıtları: Platform'da gerçekleştirilen işlemlerin (sipariş oluşturma ve güncelleme, ödeme kaydı, indirim, ikram, iptal, masa ve oturum işlemleri, rezervasyon, kurye görevlendirme, nakit mutabakatı, kurye ödeme kaydı, yazdırma, gün sonu ve raporlama) hangi Kullanıcı tarafından ve ne zaman yapıldığına ilişkin kayıtlar.
• Hukuki işlem: Kabul edilen Kullanım Koşulları ve bu metnin sürümü, kabul tarihi ve saati ile kabulün yapıldığı uygulama kanalı.
• Tercih ve çerez verileri: Seçilen dil, seçilen şube ve arayüz tercihleri.

Platform'da özel nitelikli kişisel veri işlenmesi amaçlanmamaktadır. Kullanıcıların serbest metin alanlarına sağlık, alerji, din, etnik köken veya benzeri özel nitelikli veri girmemesi gerekir.

4. Kişisel verilerin işlenme amaçları

Kişisel verileriniz aşağıdaki amaçlarla işlenmektedir:

• Kullanıcı hesabının oluşturulması, kurulumu, kimlik doğrulama ve oturum yönetimi.
• Rol ve şube bazlı yetkilendirme ile işletmeler arası veri ayrımının sağlanması.
• Platform hizmetlerinin (sipariş, masa, rezervasyon, ürün, müşteri, kurye, mutabakat, yazdırma, gün sonu ve raporlama işlevleri) sunulması.
• Bilgi güvenliği süreçlerinin yürütülmesi; yetkisiz erişimin, kaba kuvvet saldırılarının, hesap ele geçirme girişimlerinin ve kötüye kullanımın önlenmesi ve tespiti.
• İşlemlerin kim tarafından yapıldığının izlenebilmesi, denetim ve iç kontrol faaliyetlerinin yürütülmesi.
• Kullanım Koşulları'nın kabul edildiğinin ve bu metnin sunulduğunun ispatı ile sözleşme süreçlerinin yürütülmesi.
• Hukuki uyuşmazlıklarda hakların tesisi, kullanılması ve korunması.
• Yetkili kamu kurum ve kuruluşlarının hukuken yetkili olduğu bilgi taleplerinin karşılanması ve mevzuattan doğan yükümlülüklerin yerine getirilmesi.
• Platform'un işleyişinin, performansının ve hatalarının izlenmesi, teknik destek sağlanması ve hizmetin iyileştirilmesi.

Kişisel verileriniz pazarlama, reklam, profilleme veya kredi değerlendirmesi amacıyla işlenmez ve size ticari elektronik ileti gönderilmez.

5. Hukuki sebepler

Kişisel verileriniz KVKK m.5/2'de sayılan aşağıdaki hukuki sebeplere dayanılarak işlenir:

• (c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması: hesabın açılması, kimlik doğrulama, yetkilendirme ve Platform hizmetlerinin sunulması.
• (ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması: KVKK m.12 kapsamındaki veri güvenliği yükümlülüğü, 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun ve ilgili mevzuattan doğan kayıt yükümlülükleri ile yetkili makam talepleri.
• (e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması: sözleşme kabul kayıtları, işlem ve denetim kayıtları.
• (f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması: bilgi güvenliği, kötüye kullanımın önlenmesi, hata takibi ve hizmetin iyileştirilmesi.

6. Veri kategorisi, amaç, hukuki sebep ve saklama süresi eşleştirmesi

• Kimlik ve iletişim — hesap yönetimi, kimlik doğrulama, bildirimler — m.5/2-c — hesap süresince ve kapanıştan sonra on yıl.
• Mesleki ve hesap bilgileri — yetkilendirme, işletmeler arası ayrım — m.5/2-c ve f — hesap süresince ve kapanıştan sonra on yıl.
• Şifre özeti, oturum ve yenileme anahtarı özetleri — kimlik doğrulama, oturum güvenliği — m.5/2-c ve ç — oturum süresince ve sona ermesinden sonra güvenlik incelemesi için makul süre; şifre özeti yeni şifre belirlendiğinde değiştirilir.
• Başarısız deneme sayaçları ve IP adresi — kaba kuvvet saldırılarının önlenmesi — m.5/2-ç ve f — geçici önbellekte sınırlama penceresi süresince.
• Yetki ve hesap denetim kayıtları — denetim, iç kontrol, ispat — m.5/2-ç, e ve f — kaydın oluşumundan itibaren on yıl.
• Durum değiştiren istek kayıtları — güvenlik, hata takibi, destek — m.5/2-ç ve f — yüz seksen gün.
• İşlem ve faaliyet kayıtları — hizmetin sunulması, denetim, ispat — m.5/2-c, e ve f — kaydın oluşumundan itibaren on yıl.
• Sözleşme kabul kayıtları — ispat — m.5/2-c ve e — kabulden itibaren on yıl ve her halde ilgili sözleşme ilişkisi sona erdikten sonra on yıl.
• Dil ve arayüz tercihleri — hizmetin sunulması — m.5/2-c ve f — tarayıcınızda, siz silene kadar veya çerezin süresi dolana kadar.

7. Kişisel verilerin toplanma yöntemi

Kişisel verileriniz; hesabınız MasaCheck veya İşletme yöneticisi tarafından oluşturulurken girilen bilgiler, hesap kurulum, giriş ve şifre değiştirme formları, Platform'u kullanımınız sırasında oluşan işlem kayıtları ve tarayıcınızın sunucularımıza ilettiği teknik bilgiler aracılığıyla, elektronik ortamda, kısmen otomatik yollarla toplanır.

8. Kişisel verilerin aktarıldığı alıcı grupları

Kişisel verileriniz, yukarıdaki amaçlarla ve KVKK m.8 ve m.9'a uygun olarak aşağıdaki alıcı gruplarına aktarılabilir:

• Bağlı olduğunuz İşletme'nin yetkili yöneticileri: Hesap, rol, şube yetkisi ve işlem kayıtlarınız, İşletme'nin kendi kullanıcılarını yönetmesi ve iç denetimi amacıyla.
• Barındırma hizmeti sağlayıcısı Contabo GmbH (Almanya): Platform'un tüm sunucu altyapısının sağlanması amacıyla, veri işleyen sıfatıyla.
• Yetkili kamu kurum ve kuruluşları ile adli makamlar: Hukuken yetkili oldukları talepler ve mevzuattan doğan yükümlülükler kapsamında.
• Hukuk ve mali danışmanlar ile denetçiler: Hakların tesisi, kullanılması ve korunması amacıyla, gizlilik yükümlülüğü altında ve gerekli olduğu ölçüde.
• MasaCheck'in birleşme, bölünme veya devralma işlemlerinde devralan taraf: Platform'un sürdürülmesi amacıyla ve mevzuata uygun şekilde.

Kişisel verileriniz pazarlama veya reklam amacıyla üçüncü kişilere satılmaz, kiralanmaz veya aktarılmaz.

9. Sunucu konumu ve yurt dışına aktarım

Platform'un uygulama sunucuları, veritabanı, dosya depolama, önbellek, harita, adres arama ve rota servisleri ile yedekleri, merkezi Almanya'da bulunan Contabo GmbH tarafından işletilen ve Avrupa Birliği sınırları içindeki veri merkezlerinde barındırılmaktadır. Bu nedenle Platform'da işlenen tüm kişisel veriler Türkiye dışında, Avrupa Birliği'nde saklanır ve işlenir.

Bu barındırma, KVKK m.9 anlamında kişisel verilerin yurt dışına aktarılması niteliğindedir. Avrupa Birliği ülkeleri hakkında Kişisel Verileri Koruma Kurulu ("Kurul") tarafından verilmiş bir yeterlilik kararı bulunmadığından aktarım; KVKK m.9 ile Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca, KVKK m.5'te sayılan işleme şartlarından birinin varlığı ve Kurul'ca ilan edilen standart sözleşme gibi uygun güvencelerden birinin sağlanması suretiyle gerçekleştirilir. Standart sözleşme, KVKK m.9/5 uyarınca imzalanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir. Aktarımın yapıldığı Avrupa Birliği ülkelerinde, Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) kapsamında ilgili kişilerin haklarını kullanma ve etkili kanun yollarına başvurma imkânı bulunmaktadır.

Harita görüntüleri, adres arama ve rota hesaplaması, üçüncü taraf harita sağlayıcılarına veri gönderilmeden, aynı altyapı üzerinde MasaCheck tarafından işletilen servislerle yapılır.

10. Çerezler ve benzeri teknolojiler

Platform yalnızca hizmetin çalışması için zorunlu olan çerezleri ve tarayıcı depolamasını kullanır:

• Oturum çerezi: Giriş yaptıktan sonra oturumunuzu tanımak için kullanılan, JavaScript tarafından okunamayan (HttpOnly) ve rastgele üretilmiş bir tanımlayıcıdır. Kimlik doğrulama anahtarları tarayıcınıza verilmez, sunucu tarafında tutulur. Oturum kapatıldığında veya süresi dolduğunda geçerliliğini yitirir.
• Dil tercihi çerezi: Seçtiğiniz arayüz dilini hatırlamak için kullanılır.
• Tarayıcı yerel depolaması: Menü gruplarının açık veya kapalı durumu gibi yalnızca cihazınızda kalan arayüz tercihleri için kullanılır ve sunucularımıza gönderilmez.

Platform'da reklam, profilleme, pazarlama, sosyal medya veya üçüncü taraf analiz çerezi kullanılmamaktadır. Zorunlu çerezler hizmetin sunulması için gerekli olduğundan açık rızaya tabi değildir. Tarayıcınızın ayarlarından çerezleri silebilirsiniz; ancak oturum çerezini engellemeniz halinde Platform'a giriş yapamazsınız.

11. Saklama süreleri ve imha

Kişisel verileriniz, 6. maddede belirtilen süreler ve ilgili mevzuatta öngörülen süreler boyunca saklanır. Sürelerin belirlenmesinde 6098 sayılı Türk Borçlar Kanunu m.146'daki on yıllık genel zamanaşımı süresi, 6102 sayılı Türk Ticaret Kanunu m.82'deki on yıllık ticari defter ve belge saklama süresi ve 5651 sayılı Kanun ile ilgili mevzuatta öngörülen kayıt saklama süreleri esas alınmıştır.

Sürelerin sona ermesiyle veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun olarak periyodik imha süreçlerinde silinir, yok edilir veya anonim hale getirilir. Yedeklerdeki kopyalar, yedeklerin olağan yenilenme döngüsü içinde silinir.

Mevzuatta daha uzun bir saklama süresi öngörülmesi veya bir uyuşmazlık, soruşturma ya da yetkili makam talebi bulunması halinde, ilgili veriler bu süre veya sürecin sonuna kadar saklanabilir.

12. Veri güvenliği

MasaCheck, KVKK m.12 uyarınca ve Kurul'un yayımladığı Kişisel Veri Güvenliği Rehberi dikkate alınarak, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri alır. Bu tedbirler arasında aktarım sırasında şifreleme (TLS), şifrelerin geri döndürülemez özetlerle saklanması, yalnızca sunucuda tutulan kısa ömürlü erişim anahtarları, rol ve şube bazlı yetkilendirme, işletmeler arası veri ayrımı, giriş denemesi sınırlaması, erişim ve işlem kayıtlarının tutulması, kayıtlarda şifre, anahtar, telefon numarası ve tam adres gibi verilerin yazılmaması, düzenli yedekleme ve yazılım güncellemeleri yer alır.

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde MasaCheck, KVKK m.12/5 uyarınca durumu en kısa sürede ilgili kişiye ve, Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde, Kurul'a bildirir.

Hiçbir bilişim sistemi tam olarak güvenli değildir. Hesabınızın güvenliği bakımından şifrenizi gizli tutmanız, başkalarıyla paylaşmamanız ve ortak cihazlarda oturumu kapatmanız sizin sorumluluğunuzdadır.

13. Otomatik karar alma

Platform, hakkınızda hukuki sonuç doğuran veya sizi önemli ölçüde etkileyen, münhasıran otomatik işleme dayalı bir karar almaz. Giriş denemesi sınırlaması gibi otomatik güvenlik önlemleri geçicidir ve hesabınızla ilgili kalıcı kararlar insan müdahalesiyle verilir. KVKK m.11/1-g uyarınca, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme hakkınız saklıdır.

14. Çocuklar

Platform yalnızca on sekiz yaşını doldurmuş kişilerin kullanımına yöneliktir. On sekiz yaşından küçüklere ait kişisel verilerin bilerek Kullanıcı hesabı kapsamında işlenmesi amaçlanmamaktadır.

15. KVKK m.11 kapsamındaki haklarınız

KVKK m.11 uyarınca veri sorumlusuna başvurarak:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme,
• KVKK m.7'de öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
• Düzeltme, silme veya yok etme işlemlerinin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme

haklarına sahipsiniz.

Silme talebiniz, kanuni saklama yükümlülükleri veya hakların tesisi, kullanılması ya da korunması için verinin saklanmasının zorunlu olduğu hallerde, bu yükümlülük veya ihtiyaç sona erinceye kadar karşılanamayabilir; bu durumda size gerekçesiyle bilgi verilir.

16. Başvuru usulü

Haklarınıza ilişkin taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca; kimliğinizi tespit edici bilgiler ile talebinizi içeren ve imzalı bir dilekçeyle kimlik bölümündeki adrese yazılı olarak, kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza veya mobil imza kullanarak ya da Platform'da kayıtlı e-posta adresinizden kimlik bölümündeki e-posta adresine gönderebilirsiniz. Başvurunuzda ad, soyad, imza (yazılı başvurularda), T.C. kimlik numarası (yabancılar için uyruk ve pasaport ya da kimlik numarası), tebligata esas adres veya e-posta adresi ve talep konusunun bulunması zorunludur. Talebinize ilişkin bilgi ve belgeler başvuruya eklenmelidir.

Başvurunuz, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi halinde, Kurul'ca belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, verilen cevabı yetersiz bulmanız veya süresinde cevap verilmemesi halinde, KVKK m.14 uyarınca cevabı öğrendiğiniz tarihten itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilirsiniz.

Kimliğinizi doğrulayamadığımız başvurular, üçüncü kişilerin haklarını korumak amacıyla sonuçlandırılamaz; bu durumda ek bilgi istenebilir. Başka bir kişi adına yapılan başvurularda, bu konuda özel yetki içeren noter onaylı vekâletname aranır.

17. Değişiklikler

Bu metin, mevzuat, Kurul kararları veya işleme faaliyetlerindeki değişikliklere göre güncellenebilir. Güncel sürüm, sürüm ve yürürlük tarihiyle birlikte yayımlanır ve bir sonraki girişinizde onay ekranında size sunulur. Kişisel verilerinizin işlenme amacının değişmesi halinde, KVKK ve Aydınlatma Tebliği uyarınca yeni amaç için işleme başlamadan önce ayrıca aydınlatma yapılır.