Kişisel verilerin korunması aydınlatma metni
Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, Espressopark Meram mobil uygulaması ve üyelik programı kapsamında kişisel verilerinin nasıl işlendiğini anlatır.
1. Veri sorumlusu
- Unvan: OPERANDO GIDA YAZILIM SANAYİ VE TİCARET LİMİTED ŞİRKETİ
- Adres: Melikşah Mah. Zuhal Sk. No:10/A, 42060 Meram/Konya
- E-posta: operandocompany@gmail.com
2. Verilerin toplanma yöntemi
Kişisel verilerin; mobil uygulamadaki üyelik, profil, fatura bilgileri ve öğrenci doğrulama formlarından, uygulamayı kullanman sırasında oluşan işlem kayıtlarından (bakiye yükleme, kasada QR ile ödeme, puan, favori, değerlendirme), ödeme kuruluşundan dönen işlem sonucundan ve bize telefon veya e-postayla ulaştığında verdiğin bilgilerden, otomatik ve kısmen otomatik yollarla elektronik ortamda toplanır.
3. İşlenen veriler, amaçlar ve hukuki sebepler
| Veri | Amaç | Hukuki sebep (KVKK m.5) |
|---|---|---|
| Kimlik ve iletişim: ad soyad, cep telefonu, isteğe bağlı e-posta | Üyelik hesabını açmak, tek kullanımlık giriş kodu göndermek, kasada hesabını tanımak, taleplerini yanıtlamak | Sözleşmenin kurulması ve ifası (m.5/2-c) |
| Doğum tarihi (isteğe bağlı) | Doğum günü hediye puanını tanımlamak | Sözleşmenin ifası (m.5/2-c) |
| Müşteri işlem verisi: cüzdan bakiyesi ve hareketleri, uygulamada hazırlanan sipariş (sepet, not, sipariş kodu), kasada QR ödeme oturumu, sipariş ve tutar, puan ve kampanya ilerlemesi, davet kodu ve davet ilişkisi, favoriler, sipariş değerlendirmesi | Bakiye ve sadakat programını yürütmek, ödemeyi doğru hesap ve tutarla eşleştirmek, hediye puanları tanımlamak, hareket dökümünü göstermek | Sözleşmenin ifası (m.5/2-c) |
| Finans: ödeme işlem kaydı (tutar, durum, ödeme kuruluşu referansı), kayıtlı kart için PayTR kullanıcı anahtarı ve kartın son 4 hanesi, banka adı | Bakiye yüklemek, kayıtlı kartla ödemeyi sağlamak, hatalı veya mükerrer tahsilatı tespit edip iade etmek | Sözleşmenin ifası (m.5/2-c), hukuki yükümlülük (m.5/2-ç), bir hakkın tesisi, kullanılması veya korunması (m.5/2-e) |
| Fatura bilgileri: ad soyad ve T.C. kimlik no veya firma unvanı, vergi dairesi ve vergi no; e-posta, il, ilçe, açık adres | Bakiye yüklemesine ilişkin yasal faturayı düzenlemek ve saklamak | Hukuki yükümlülük (m.5/2-ç; 213 sayılı Vergi Usul Kanunu) |
| İşlem güvenliği: son giriş zamanı, IP adresi, başarısız giriş denemeleri, işlem IP'si | Hesabı yetkisiz erişime, kötüye kullanıma ve mükerrer işleme karşı korumak | Meşru menfaat (m.5/2-f), hukuki yükümlülük (m.5/2-ç) |
| Bildirim belirteci ve uygulama içi bildirim kayıtları | Hesap bildirimlerini (ör. ödeme, puan, başvuru sonucu) ve izin verdiysen kampanya bildirimlerini iletmek | Sözleşmenin ifası (m.5/2-c); kampanya iletileri için açık rıza (m.5/1) ve 6563 sayılı Kanun kapsamındaki ticari ileti onayı |
| Öğrenci doğrulama: ad soyad, T.C. kimlik no, okul, e-Devlet belge barkodu, varsa öğrenci belgesi fotoğrafı | Öğrenciliğini doğrulayıp öğrenci indirimini tanımlamak | Açık rıza (m.5/1) |
| T.C. kimlik numarasının geri döndürülemez şifreli özeti | Aynı kişinin birden fazla hesapla öğrenci indiriminden yararlanmasını önlemek | Meşru menfaat (m.5/2-f) |
| Aydınlatma, sözleşme ve izin kayıtları (tarihleriyle) | Bilgilendirme ve izinlerin ne zaman verildiğini ispat etmek | Hukuki yükümlülük (m.5/2-ç), bir hakkın tesisi (m.5/2-e) |
Kişisel verilerin yukarıdaki amaçlar dışında kullanılmaz, reklam ağlarına satılmaz veya kiralanmaz. Doğum tarihin pazarlama profili çıkarmak için kullanılmaz.
4. İşlemediğimiz veriler
- Kart bilgisi: Kart numarası, son kullanma tarihi ve güvenlik kodu sunucularımıza gönderilmez ve bizde saklanmaz. Kart bilgisi telefonundan doğrudan PayTR'ye iletilir. Kartını kaydetmeyi seçersen kart PayTR'nin güvenli kart saklama altyapısında tutulur; bize yalnızca kartı temsil eden anahtar ve son 4 hane döner.
- Konum: Uygulama konum izni istemez ve konumunu izlemez. Şube adresi yalnızca yol tarifi için gösterilir.
- Rehber, galeri, mikrofon: Okunmaz. Kamera yalnızca kasadaki QR kodu okutmak ve öğrenci doğrulamasında belgenin fotoğrafını çekmek için, senin başlatmanla açılır.
- Reklam kimliği ve çerez: Uygulama reklam kimliği toplamaz, üçüncü taraf takip aracı kullanmaz. Bu web sayfaları çerez bırakmaz. Ödeme ekranında açılan PayTR ve banka sayfaları kendi çerezlerini kullanabilir; bunlar ilgili kuruluşun politikasına tabidir.
- Şifre: Kalıcı bir şifre istenmez. Giriş kodu kısa süreli tutulur ve süresi dolunca geçersiz olur.
5. Kimlere aktarılır
Kişisel verilerin KVKK'nın 8. ve 9. maddelerine uygun olarak, yalnızca ilgili amaç için gereken kadarıyla şu alıcı gruplarına aktarılabilir:
- Ödeme kuruluşu (PayTR veya işletmenin etkin ödeme sağlayıcısı): Bakiye yüklemede ödeme ve, seçersen, kart saklama için ad, e-posta, telefon, fatura adresi, tutar ve işlem numarası.
- SMS hizmet sağlayıcısı (Netgsm): Giriş kodunu iletmek için telefon numarası ve mesaj içeriği.
- Fatura ve muhasebe: Faturayı düzenlemek için e-Arşiv/e-Fatura hizmet sağlayıcısı, Gelir İdaresi Başkanlığı ve mali müşavirimiz.
- Şubeler ve işletme yetkilileri: Kasada QR ile ödemede adın, tutar ve ödeme yöntemi kasa ekranında görünür. Öğrenci doğrulama başvurusu ve destek talepleri yalnızca işletmenin yetkili personelince incelenir.
- Teknoloji altyapısı: Uygulamanın barındırma hizmeti sağlayıcısı; bildirim ve uygulama güncellemesi için Expo, Apple ve Google.
- Yetkili kamu kurum ve kuruluşları ile yargı mercileri: Kanunen talep edilmesi hâlinde, taleple sınırlı olarak.
6. Yurt dışına aktarım
Bildirim iznin varsa cihaz belirtecin ve bildirim metni, bildirimin telefonuna ulaşması için Expo (ABD), Apple Push Notification service ve Google Firebase Cloud Messaging altyapısından geçer. Uygulama güncellemeleri de Expo sunucularından indirilir ve bu sırada cihaz ile uygulama sürüm bilgisi bu sunuculara iletilir. Bu aktarım, KVKK'nın 9. maddesinde öngörülen güvencelere uygun olarak ve yalnızca bu amaçla sınırlı yapılır. SMS ve ödeme hizmetleri Türkiye'de yürütülür.
7. Saklama ve imha
- Hesap, bakiye, puan, favori ve bildirim kayıtları üyeliğin süresince saklanır.
- Hesabını silince profilin (ad, telefon, e-posta, doğum tarihi), bakiye ve puan bilgilerin, favorilerin, bildirimlerin, değerlendirmelerin ve PayTR'deki kayıtlı kartların silinir; açık kasa oturumlarıyla bağın koparılır.
- Ödeme işlem kayıtları ile fatura bilgileri, Vergi Usul Kanunu ve Türk Ticaret Kanunu'ndaki saklama süreleri (10 yıla kadar) boyunca, hesap silinse bile saklanır. Bu kayıtlar kart numarası içermez.
- Öğrenci belgesi fotoğrafı ve açık T.C. kimlik numarası yalnızca inceleme süresince tutulur; başvuru onaylanınca veya reddedilince silinir. Onaylanan başvurunun T.C. özeti ve sonucu hesap silinene kadar saklanır; reddedilen başvurunun özeti silinir.
- Ticari ileti izin ve ret kayıtların, iznin geri alınmasından itibaren 3 yıl saklanır.
- Saklama süresi dolan veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik uyarınca ilk periyodik imha işleminde ve en geç 6 ay içinde silinir, yok edilir veya anonim hâle getirilir.
8. KVKK madde 11 kapsamındaki hakların
- Kişisel verilerinin işlenip işlenmediğini öğrenme,
- İşlenmişse buna ilişkin bilgi talep etme,
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
- Eksik veya yanlış işlenmişse düzeltilmesini isteme,
- KVKK'nın 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
- Düzeltme, silme ve yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme,
- Kanuna aykırı işleme nedeniyle zarara uğraman hâlinde zararın giderilmesini talep etme.
Açık rızaya dayanan işlemelerde (öğrenci doğrulama, kampanya iletileri) rızanı dilediğin zaman geri alabilirsin; geri alma, önceki işlemelerin hukuka uygunluğunu etkilemez.
9. Başvuru yöntemi
Haklarını kullanmak için Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca adını soyadını, T.C. kimlik numaranı (yabancıysan pasaport numaranı), tebligat adresini, varsa e-postanı ve telefonunu, talebinin konusunu içeren başvurunu:
- ıslak imzalı olarak Melikşah Mah. Zuhal Sk. No:10/A, 42060 Meram/Konya adresine elden veya posta yoluyla,
- uygulamadaki hesabında kayıtlı e-posta adresinden operandocompany@gmail.com adresine
iletebilirsin. Kimliğin doğrulandıktan sonra başvurun en geç 30 gün içinde ücretsiz yanıtlanır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu'nca belirlenen tarife uygulanabilir. Yanıtı yetersiz bulursan veya süresinde yanıt alamazsan Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin.
Hesabını silmek için başvuru yapman gerekmez; Profil ekranından hemen silebilirsin.
10. Çocuklar
Uygulama 13 yaşından küçüklere yönelik değildir ve bilerek bu yaştaki çocukların verisi işlenmez. Böyle bir hesap fark edilirse kapatılır. 18 yaşından küçüksen uygulamayı veli veya vasinin bilgisi ve izniyle kullanmalısın.
11. Güvenlik
Bağlantılar HTTPS ile şifrelenir. Giriş denemeleri ve hassas işlemler sınırlandırılır. T.C. kimlik numarası mükerrer başvuru kontrolü için yalnızca geri döndürülemez anahtarlı özet olarak saklanır. Öğrenci belgelerine yalnızca yetkili personel erişebilir. Buna rağmen hiçbir sistem mutlak güvenlik sağlayamaz; hesabında şüpheli bir işlem görürsen hemen bize bildir.
12. Değişiklikler
Bu metin güncellenirse yürürlük tarihi değişir ve güncel metin her zaman bu adreste yayınlanır. Önemli değişiklikler uygulama içinde ayrıca duyurulur.