RestoRun Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni
Son güncelleme: 13 Ekim 2026 · Sürüm 1.0
İşbu Aydınlatma Metni ("Metin"), 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (RG 10.03.2018, 30356) ("Aydınlatma Tebliği") uyarınca, veri sorumlusu sıfatıyla 1İN1000 Danışmanlık Hizmetleri Ticaret Limited Şirketi tarafından hazırlanmıştır. Metin; RestoRun markası altında restorun.co ve app.restorun.co alan adları ile RestoRun mobil uygulaması üzerinden sunulan hizmetler ve bu hizmetlerle bağlantılı satış, kurulum ve destek süreçleri kapsamında işlenen kişisel verilere ilişkindir.
Metin yalnızca bilgilendirme amaçlıdır ve sizden herhangi bir onay istemez. Açık rızaya dayanan işleme faaliyetleri için rızanız, Aydınlatma Tebliği'nin 5. maddesi uyarınca bu Metin'den ayrı olarak ve önceden işaretlenmemiş ayrı onay kutularıyla alınır (bkz. Açık Rıza Metinleri).
1. Veri Sorumlusu
| Bilgi | Değer |
|---|---|
| Unvan | 1İN1000 Danışmanlık Hizmetleri Ticaret Limited Şirketi |
| MERSİS numarası | [MERSİS numarası: bilgi bekleniyor] |
| Vergi dairesi ve numarası | Ostim Vergi Dairesi / [Vergi kimlik numarası: bilgi bekleniyor] |
| Adres | Mehmet Akif Ersoy Mah. 286. Sk. Profis A Blok No: 6 İç Kapı No: 47, Yenimahalle / Ankara |
| KEP adresi | [KEP adresi: bilgi bekleniyor] |
| KVKK başvuru e-posta adresi | [email protected] |
| Telefon | [Telefon: bilgi bekleniyor] |
| Veri sorumlusu irtibat kişisi | [Veri sorumlusu irtibat kişisi: bilgi bekleniyor] |
| İnternet siteleri | restorun.co, app.restorun.co |
"RestoRun", 1İN1000 Danışmanlık Hizmetleri Ticaret Limited Şirketi adına tescilli bir markadır. Metin'de geçen "RestoRun" ve "Şirket" ifadeleri 1İN1000 Danışmanlık Hizmetleri Ticaret Limited Şirketi'nı ifade eder. Şirket Türkiye'de yerleşik olduğundan KVKK m.3 anlamında bir veri sorumlusu temsilcisi bulunmamaktadır.
2. Kapsam ve İlgili Kişi Grupları
Metin, aşağıdaki ilgili kişi gruplarına ait kişisel verilerin işlenmesini kapsar:
| İlgili kişi grubu | Tanım |
|---|---|
| Web sitesi ziyaretçisi | restorun.co ve alt alan adlarını ziyaret eden gerçek kişiler. |
| Potansiyel müşteri | İletişim veya demo talep formunu dolduran, telefon ya da e-posta ile bilgi talep eden veya satış ekibi tarafından ilk ticari temas kurulan işletme sahipleri ve yetkilileri. |
| Müşteri işletme yetkilisi ve kullanıcısı | Hizmet ve Abonelik Sözleşmesi'ni akdeden işletmenin sahibi, imza yetkilisi, hesap sahibi ve işletme tarafından app.restorun.co paneline erişim yetkisi verilen çalışanları. |
| Satış görüşmesi yapılan kişi | Satış ekibi ile telefonla veya yüz yüze (işletme ziyareti) görüşme yapılan; tanıtım, teklif, kurulum ve kullanım desteği süreçlerine katılan kişiler. |
| Mobil uygulama kullanıcısı | RestoRun mobil uygulamasını cihazına yükleyerek kullanan müşteri işletme yetkilisi veya kullanıcısı. |
Şirket çalışanları, çalışan adayları, stajyerler, tedarikçi ve iş ortağı yetkilileri ile ofis ziyaretçilerine ilişkin aydınlatma yükümlülüğü ayrı metinlerle yerine getirilir. Platformlardan çekilen verilerde yer alan son tüketicilere (restoranların müşterilerine) ilişkin açıklamalar için 12. bölüme bakınız.
3. İşlenen Kişisel Veri Kategorileri
| İlgili kişi grubu | Veri kategorisi | İşlenen kişisel veriler |
|---|---|---|
| Web sitesi ziyaretçisi | İşlem güvenliği | IP adresi, ziyaret tarihi ve saati, talep edilen sayfa adresi, yönlendiren adres, tarayıcı türü ve sürümü, işletim sistemi, cihaz türü, dil ayarı; 5651 sayılı Kanun kapsamındaki trafik kayıtları |
| Web sitesi ziyaretçisi | Pazarlama (yalnızca açık rıza ile) | Analitik ve pazarlama çerezleri aracılığıyla elde edilen çevrimiçi tanımlayıcılar, sayfa görüntüleme ve etkileşim verileri, kampanya ve reklam kaynağı bilgileri (UTM parametreleri) |
| Potansiyel müşteri | Kimlik | Ad, soyad |
| Potansiyel müşteri | İletişim | Telefon numarası, e-posta adresi, işletme adresi, il ve ilçe |
| Potansiyel müşteri | Müşteri işlem | İşletme adı, satış yapılan Platformlar ve Platformdaki mağaza adı, tahmini sipariş hacmi, talep konusu ve mesaj içeriği, demo tarihi, teklif bilgileri, görüşme notları ve sonucu, talebin geldiği kaynak (reklam, arama motoru, tavsiye) |
| Potansiyel müşteri | İşlem güvenliği | Formun gönderildiği IP adresi ve zaman damgası |
| Müşteri işletme yetkilisi ve kullanıcısı | Kimlik | Ad, soyad; şahıs işletmeleri için T.C. kimlik numarası (yalnızca e-belge düzenlenmesi ve ödeme kuruluşu kaydı için zorunlu olduğu ölçüde) |
| Müşteri işletme yetkilisi ve kullanıcısı | İletişim | E-posta adresi, cep telefonu numarası, işletme ve fatura adresi |
| Müşteri işletme yetkilisi ve kullanıcısı | Müşteri işlem | İşletme unvanı, vergi dairesi ve vergi kimlik numarası, hesap rolü (hesap sahibi, yönetici, kullanıcı), bağlı Platform mağaza kimlikleri, abonelik planı ve dönemi, sipariş ve fatura numaraları, ödeme tutarı ve tarihi, iade talepleri, destek talepleri ve yazışmaları, panelde oluşturulan ayarlar ve tercihler |
| Müşteri işletme yetkilisi ve kullanıcısı | Finans | Ödeme durumu, iyzico işlem referans numarası, iyzico tarafından iletilen maskelenmiş kart bilgisi (kartın son dört hanesi, kart markası ve bankası). Tam kart numarası, son kullanma tarihi ve güvenlik kodu RestoRun tarafından hiçbir şekilde alınmaz, görüntülenmez veya saklanmaz |
| Müşteri işletme yetkilisi ve kullanıcısı | İşlem güvenliği | Kullanıcı adı, şifre özeti (tek yönlü özet; şifrenin kendisi saklanmaz), oturum ve erişim kayıtları, IP adresi, cihaz ve tarayıcı bilgisi, doğrulama kodu gönderim kayıtları, Platform API kimlik bilgileri (şifrelenmiş olarak), sözleşme ve rıza onay kayıtları (onaylanan metnin sürümü, tarih ve saat, IP adresi, kanal) |
| Müşteri işletme yetkilisi ve kullanıcısı | Pazarlama | Ticari elektronik ileti onay ve ret kayıtları, iletişim kanalı tercihleri; açık rıza verilmişse kampanya etkileşim verileri |
| Müşteri işletme yetkilisi ve kullanıcısı | Hukuki işlem | Uyuşmazlık hâlinde yazışmalar, ihtarnameler, dava ve icra dosyası bilgileri |
| Satış görüşmesi yapılan kişi | Kimlik | Ad, soyad, unvan veya görev |
| Satış görüşmesi yapılan kişi | İletişim | Telefon numarası, e-posta adresi, görüşmenin yapıldığı işletme adresi |
| Satış görüşmesi yapılan kişi | Müşteri işlem | Görüşme tarihi, yeri ve kanalı; tanıtılan hizmet, iletilen teklif, kurulum desteği kapsamında yapılan işlemler, görüşme notları |
| Mobil uygulama kullanıcısı (yukarıdakilere ek olarak) | İşlem güvenliği | Cihaz modeli, işletim sistemi sürümü, uygulama sürümü, cihaz dili, anlık bildirim belirteci, çökme ve hata kayıtları |
| Mobil uygulama kullanıcısı | Pazarlama (yalnızca açık rıza ile) | Uygulama içi kullanım analitiği verileri |
Satış görüşmeleri ses veya görüntü kaydına alınmaz. RestoRun, hizmetleri kapsamında KVKK m.6 anlamında özel nitelikli kişisel veri talep etmez. İletişim formu ve destek talebi alanlarına özel nitelikli kişisel veri girilmemesi gerekir; bu alanlara girilen özel nitelikli veriler tespit edildiğinde silinir.
4. İşleme Amaçları ve Hukuki Sebepler
Kişisel verileriniz, KVKK m.4'teki genel ilkelere uygun olarak, yalnızca aşağıdaki tabloda belirtilen amaçlarla ve her amacın karşısında gösterilen hukuki sebebe dayanılarak işlenir. Hukuki sebep olarak gösterilen KVKK m.5/2 bentleri şunlardır: (a) kanunlarda açıkça öngörülmesi; (c) bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması; (ç) veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması; (d) ilgili kişinin kendisi tarafından alenileştirilmiş olması; (e) bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması; (f) ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması. "Açık rıza" ifadesi KVKK m.5/1'i belirtir.
| No | İşleme amacı | İlgili kişi grubu | Hukuki sebep |
|---|---|---|---|
| 1 | Web sitesinin görüntülenmesi, güvenliğinin ve kararlılığının sağlanması; saldırı, bot trafiği ve kötüye kullanım girişimlerinin tespit edilip engellenmesi | Web sitesi ziyaretçisi, tüm gruplar | KVKK m.5/2-f |
| 2 | 5651 sayılı Kanun kapsamında trafik kayıtlarının tutulması ve yetkili makamların talebi hâlinde sunulması | Web sitesi ziyaretçisi, müşteri işletme yetkilisi ve kullanıcısı | KVKK m.5/2-a, m.5/2-ç |
| 3 | Zorunlu çerezler aracılığıyla oturum yönetimi, kimlik doğrulama, güvenlik doğrulaması (CSRF koruması) ve çerez tercihinin hatırlanması | Web sitesi ziyaretçisi, müşteri işletme yetkilisi ve kullanıcısı | KVKK m.5/2-c, m.5/2-f |
| 4 | Analitik çerezler ile web sitesi ve ürün kullanımının ölçülmesi; pazarlama çerezleri ile reklam dönüşümünün ölçülmesi ve yeniden pazarlama | Web sitesi ziyaretçisi, müşteri işletme yetkilisi ve kullanıcısı | Açık rıza |
| 5 | İletişim ve demo taleplerinin alınması ve yanıtlanması, demo görüşmesinin planlanması, teklif hazırlanması | Potansiyel müşteri | KVKK m.5/2-c (ilgili kişinin talebi üzerine sözleşme öncesi adımların atılması), m.5/2-f |
| 6 | Satış ekibi tarafından telefonla veya yüz yüze hizmet tanıtımı yapılması, kurulum ve kullanım desteği verilmesi; görüşme notlarının müşteri ilişkileri yönetimi sisteminde tutulması | Potansiyel müşteri, satış görüşmesi yapılan kişi | KVKK m.5/2-c, m.5/2-f |
| 7 | Platform mağaza sayfaları, işletme web siteleri ve işletme rehberlerinde kamuya açık olarak yer alan işletme iletişim bilgileri üzerinden işletmelerle ilk ticari temasın kurulması | Potansiyel müşteri | KVKK m.5/2-f; iletişim bilgisinin ilgili kişi tarafından iş amaçlı iletişim için alenileştirilmiş olması ölçüsünde m.5/2-d |
| 8 | Hesabın oluşturulması, kimlik doğrulama, kullanıcı yetkilendirmesi ve hesap güvenliğine ilişkin bildirimlerin gönderilmesi | Müşteri işletme yetkilisi ve kullanıcısı, mobil uygulama kullanıcısı | KVKK m.5/2-c; müşteri işletmenin tüzel kişi olması hâlinde yetkilisi ve çalışanları bakımından m.5/2-f |
| 9 | Hizmetin sunulması: Platform API bağlantısının kurulması ve sürdürülmesi, raporların ve analizlerin üretilmesi, yapay zekâ destekli içgörülerin sunulması, müşteri işletmenin talimatıyla yorum yanıtlarının Platforma iletilmesi | Müşteri işletme yetkilisi ve kullanıcısı | KVKK m.5/2-c |
| 10 | Abonelik ücretlerinin tahsil edilmesi, ödeme bilgilerinin ödeme kuruluşuna iletilmesi, otomatik yenileme ve iade işlemlerinin yürütülmesi | Müşteri işletme yetkilisi | KVKK m.5/2-c |
| 11 | e-Fatura ve e-Arşiv fatura düzenlenmesi, muhasebe kayıtlarının tutulması, vergi yükümlülüklerinin yerine getirilmesi ve yasal defter ve belgelerin saklanması | Müşteri işletme yetkilisi | KVKK m.5/2-ç (213 sayılı Vergi Usul Kanunu, 6102 sayılı Türk Ticaret Kanunu), m.5/2-a |
| 12 | Destek taleplerinin alınması, kaydedilmesi ve çözüme kavuşturulması | Müşteri işletme yetkilisi ve kullanıcısı, mobil uygulama kullanıcısı | KVKK m.5/2-c |
| 13 | Hizmete ilişkin işlemsel bildirimlerin gönderilmesi (fatura, ödeme hatırlatması, yenileme bildirimi, güvenlik uyarısı, planlı kesinti, sözleşme ve politika değişiklikleri) | Müşteri işletme yetkilisi ve kullanıcısı | KVKK m.5/2-c, m.5/2-ç |
| 14 | Kampanya, indirim, yeni özellik ve etkinlik duyurularını içeren ticari elektronik iletilerin SMS, e-posta, telefon araması veya WhatsApp yoluyla gönderilmesi | Potansiyel müşteri, müşteri işletme yetkilisi ve kullanıcısı | Açık rıza; ayrıca 6563 sayılı Kanun m.6 uyarınca ticari elektronik ileti onayı ve İYS kaydı |
| 15 | Ticari elektronik ileti onay, ret ve gönderim kayıtlarının tutulması ve İleti Yönetim Sistemi'ne (İYS) bildirilmesi | Potansiyel müşteri, müşteri işletme yetkilisi ve kullanıcısı | KVKK m.5/2-ç (6563 sayılı Kanun; Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik m.13) |
| 16 | Sözleşme onaylarının, aydınlatmanın yapıldığının ve rıza beyanlarının ispat amacıyla kayıt altına alınması | Tüm gruplar | KVKK m.5/2-e; m.5/2-ç (Aydınlatma Tebliği m.5/1-e) |
| 17 | Bilgi güvenliği olaylarının ve veri ihlallerinin tespiti, incelenmesi, bildirimi; erişim ve işlem kayıtlarının tutulması | Tüm gruplar | KVKK m.5/2-ç (KVKK m.12), m.5/2-f |
| 18 | Uygulama hatalarının ve çökmelerinin tespit edilmesi ve giderilmesi (hata izleme) | Müşteri işletme yetkilisi ve kullanıcısı, mobil uygulama kullanıcısı | KVKK m.5/2-f |
| 19 | Panel ve mobil uygulama içinde özelliklerin kullanım sıklığının ölçülmesi (ürün analitiği) | Müşteri işletme yetkilisi ve kullanıcısı, mobil uygulama kullanıcısı | Açık rıza |
| 20 | Hukuki taleplerin, uyuşmazlıkların, icra ve dava süreçlerinin yürütülmesi; yetkili kurum ve kuruluşların taleplerinin karşılanması | Tüm gruplar | KVKK m.5/2-e, m.5/2-ç, m.5/2-a |
| 21 | KVKK kapsamındaki başvuruların alınması, kimlik teyidinin yapılması, yanıtlanması ve kayıt altına alınması | Tüm gruplar | KVKK m.5/2-ç (KVKK m.13) |
| 22 | Mobil uygulama üzerinden hizmete ilişkin anlık bildirimlerin gönderilmesi (sipariş ve performans uyarıları, bağlantı hataları, güvenlik uyarıları) | Mobil uygulama kullanıcısı | KVKK m.5/2-c |
| 23 | Mobil uygulama üzerinden kampanya içerikli anlık bildirimlerin gönderilmesi | Mobil uygulama kullanıcısı | Açık rıza; 6563 sayılı Kanun m.6 onayı |
Yukarıda belirtilenler dışında bir amaçla kişisel veri işlenmez. İşleme amacının değişmesi hâlinde, veri işleme faaliyetinden önce yeni amaç için ayrıca aydınlatma yapılır (Aydınlatma Tebliği m.5/1-b).
Kişisel verileriniz, münhasıran otomatik sistemler vasıtasıyla analiz edilmek suretiyle aleyhinize hukuki sonuç doğuran kararlara konu edilmez. Yapay zekâ destekli içgörüler müşteri işletmeye sunulan karar desteği niteliğindedir; nihai karar müşteri işletmeye aittir.
5. Kişisel Verilerin Toplanma Yöntemleri
Kişisel verileriniz aşağıdaki yöntemlerle, otomatik veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla toplanır:
| Yöntem | Açıklama |
|---|---|
| Web formları | restorun.co üzerindeki iletişim, demo talebi, kayıt ve giriş formları aracılığıyla doğrudan sizden |
| Panel ve mobil uygulama | app.restorun.co paneli ve RestoRun mobil uygulamasında hesap ayarları, kullanıcı davet etme, Platform API kimlik bilgisi girişi, destek talebi oluşturma ve ayarların yapılandırılması sırasında doğrudan sizden veya sizi hesaba ekleyen işletme yetkilisinden |
| Telefon, e-posta, WhatsApp ve yüz yüze görüşmeler | Satış ve kurulum görüşmeleri sırasında doğrudan sizden; görüşme bilgileri satış ekibi tarafından müşteri ilişkileri yönetimi sistemine kaydedilir |
| Çerezler ve yazılım geliştirme kitleri (SDK) | Zorunlu çerezler otomatik olarak; analitik, işlevsel ve pazarlama çerezleri yalnızca açık rızanız üzerine (bkz. Çerez Politikası) |
| iyzico ödeme formu dönüşleri | Kart bilgilerinizi doğrudan iyzico Ödeme Hizmetleri A.Ş.'nin ödeme formuna girersiniz; RestoRun'a yalnızca ödeme sonucu, işlem referans numarası, ödeme yapanın adı soyadı ve maskelenmiş kart bilgisi döner |
| e-Fatura entegratörü dönüşleri | Düzenlenen e-belgenin numarası, evrensel tekil tanımlayıcısı ve Gelir İdaresi Başkanlığı durum bilgisi |
| Platform API'leri | Müşteri işletmenin talimatıyla Trendyol GO ve Uber Eats API'lerinden işletme hesabına ilişkin bilgiler (mağaza adı, adresi, çalışma saatleri, menü, finansal ekstreler); son tüketici verileri için 12. bölüme bakınız |
| Kamuya açık kaynaklar | Satış öncesi ilk temas için Platform mağaza sayfaları, işletme web siteleri ve işletme rehberlerindeki iş amaçlı iletişim bilgileri |
| Sunucu günlükleri | Web sitesi, panel ve API sunucuları tarafından otomatik olarak oluşturulan erişim ve işlem günlükleri |
Kişisel verilerinizin doğrudan sizden elde edilmediği hâllerde (işletme yetkilisi tarafından panele kullanıcı olarak eklenmeniz veya kamuya açık kaynaklardan iletişim bilginize ulaşılması), Aydınlatma Tebliği m.6 uyarınca sizinle kurulan ilk iletişimde bu Metin'e erişim bağlantısı iletilir; telefon görüşmelerinde kısa sözlü bilgilendirme yapılır.
6. Kişisel Verilerin Aktarılması
6.1. Yurt içi aktarım
Kişisel verileriniz, KVKK m.8 uyarınca ve m.5'teki işleme şartlarına bağlı kalınarak, yalnızca aşağıdaki alıcı gruplarına ve belirtilen amaçlarla aktarılır:
| Alıcı grubu | Aktarılan veriler | Aktarım amacı | Hukuki sebep |
|---|---|---|---|
| Ödeme kuruluşu (iyzico Ödeme Hizmetleri A.Ş.) | Ad, soyad, e-posta adresi, telefon numarası, fatura adresi, şahıs işletmeleri için T.C. kimlik numarası, IP adresi, ödeme tutarı ve abonelik bilgisi | Abonelik ödemelerinin alınması, otomatik yenileme, iade ve dolandırıcılık önleme işlemlerinin ödeme kuruluşu tarafından yürütülmesi | KVKK m.5/2-c |
| e-Fatura ve e-Arşiv özel entegratörü ([e-Fatura entegratörü: bilgi bekleniyor]) | Unvan veya ad soyad, vergi kimlik numarası veya T.C. kimlik numarası, fatura adresi, e-posta adresi, fatura kalemleri | e-Belgelerin düzenlenmesi ve Gelir İdaresi Başkanlığı'na iletilmesi | KVKK m.5/2-ç |
| SMS gönderim sağlayıcısı ([SMS sağlayıcısı: bilgi bekleniyor]) | Telefon numarası, mesaj içeriği | Doğrulama kodlarının ve işlemsel bildirimlerin iletilmesi; onay verilmişse ticari elektronik iletilerin gönderilmesi | KVKK m.5/2-c (işlemsel); açık rıza (ticari ileti) |
| İleti Yönetim Sistemi A.Ş. (İYS) | Telefon numarası, e-posta adresi, onay ve ret tarihi, kanal ve onay kaynağı | 6563 sayılı Kanun kapsamındaki İYS kayıt yükümlülüğünün yerine getirilmesi | KVKK m.5/2-ç |
| Barındırma ve altyapı sağlayıcısı ([Barındırma sağlayıcısı: bilgi bekleniyor], Türkiye) | Hizmetin sunulması için işlenen tüm veriler (şifrelenmiş olarak) | Sunucu, veri tabanı ve yedekleme altyapısının sağlanması | KVKK m.5/2-c, m.5/2-f |
| Yetkili kamu kurum ve kuruluşları (mahkemeler, savcılıklar, Kişisel Verileri Koruma Kurumu, Gelir İdaresi Başkanlığı, Bilgi Teknolojileri ve İletişim Kurumu, Ticaret Bakanlığı) | Yasal dayanağı bulunan talep kapsamındaki veriler | Hukuki yükümlülüklerin yerine getirilmesi ve yetkili makam taleplerinin karşılanması | KVKK m.5/2-a, m.5/2-ç |
| Mali müşavir ve bağımsız denetçi | Fatura ve muhasebe kayıtlarındaki kimlik, iletişim ve finans verileri | Muhasebe, vergi beyanı ve denetim yükümlülüklerinin yerine getirilmesi | KVKK m.5/2-ç |
| Hukuk danışmanları ve avukatlar | Uyuşmazlık veya hukuki talep kapsamındaki veriler | Hukuki danışmanlık alınması, dava ve icra takiplerinin yürütülmesi | KVKK m.5/2-e |
Satış ekibi üyeleri Şirket çalışanı olup kişisel verilere erişimleri görev tanımı ile sınırlıdır; bu erişim bir aktarım değildir.
6.2. Yurt dışı aktarım
KVKK m.9, 7499 sayılı Kanun (RG 12.03.2024, 32487) ile değiştirilmiştir. Buna göre kişisel veriler yurt dışına; (i) Kişisel Verileri Koruma Kurulu ("Kurul") tarafından ilgili ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı verilmiş olması, (ii) yeterlilik kararı bulunmaması hâlinde m.9/4'te sayılan uygun güvencelerden birinin sağlanması (Kurul tarafından ilan edilen standart sözleşme, bağlayıcı şirket kuralları, Kurul izniyle yazılı taahhütname veya kamu kurumları arası anlaşma) veya (iii) bunların yokluğunda arızi olmak kaydıyla m.9/6'daki hâllerden birinin bulunması (muhtemel riskler hakkında bilgilendirilmiş açık rıza dâhil) şartıyla aktarılabilir. Standart sözleşmeler, imzalanmalarından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir (KVKK m.9/5).
RestoRun, aşağıdaki hizmetler bakımından kişisel verileri yurt dışına aktarmaktadır. Avrupa Birliği bölgesindeki veri merkezlerinin tercih edilmesi de KVKK anlamında yurt dışına aktarımdır.
| Hizmet | Alıcı ve ülke | Aktarılan veriler | Amaç ve KVKK m.5 şartı | Aktarım mekanizması (KVKK m.9) | Ek tedbirler |
|---|---|---|---|---|---|
| İçerik dağıtım ağı, DDoS koruması ve web uygulama güvenlik duvarı | Cloudflare, Inc. (ABD; küresel uç sunucu ağı) | IP adresi, HTTP istek üst bilgileri, oturum çerezi (şifreli trafiğin uç sunucuda işlenmesi sırasında geçici olarak) | Web sitesi ve panel güvenliği, erişilebilirlik; m.5/2-f | Kurul tarafından ilan edilen standart sözleşme (m.9/4-c) | Uçtan uca TLS şifreleme; güvenlik günlüklerinin asgari süre tutulması |
| Barındırma (yalnızca Avrupa Birliği bölgesinin seçilmesi hâlinde) | [Barındırma sağlayıcısı: bilgi bekleniyor] (Türkiye) | Hizmetin sunulması için işlenen tüm veriler (şifrelenmiş olarak) | Hizmetin sunulması; m.5/2-c | Standart sözleşme (m.9/4-c) | Depolamada ve iletimde şifreleme; Türkiye'de barındırma hâlinde yurt dışı aktarım yoktur |
| E-posta gönderim hizmeti | [E-posta servis sağlayıcısı: bilgi bekleniyor] ([E-posta servis ülkesi: bilgi bekleniyor]) | Ad, soyad, e-posta adresi, e-posta içeriği (işlemsel bildirimler, raporlar), teslim ve açılma kayıtları | İşlemsel e-postaların iletilmesi (m.5/2-c); onay verilmişse ticari e-postaların gönderilmesi (açık rıza) | Standart sözleşme (m.9/4-c); standart sözleşmenin yürürlüğe girmesine kadar arızi işlemler için bilgilendirilmiş açık rıza (m.9/6-a) | E-posta içeriğinde asgari kişisel veri; Avrupa Birliği bölgesinin tercih edilmesi |
| Hata izleme | Functional Software, Inc. (Sentry) (Avrupa Birliği veri bölgesi, Almanya) | Kullanıcı kimliği, kırpılmış IP adresi, tarayıcı ve cihaz bilgisi, hata anındaki istek bilgileri | Uygulama hatalarının tespiti ve giderilmesi; m.5/2-f | Standart sözleşme (m.9/4-c); standart sözleşmenin yürürlüğe girmesine kadar arızi işlemler için bilgilendirilmiş açık rıza (m.9/6-a) | Kişisel veri içerebilecek alanların gönderim öncesi otomatik ayıklanması; IP adresinin kırpılması |
| Ürün analitiği | PostHog, Inc. (Avrupa Birliği veri bölgesi, Almanya) | Çevrimiçi tanımlayıcı, kullanıcı kimliği, kullanılan özellikler, oturum süresi, cihaz bilgileri | Panel ve mobil uygulama kullanımının ölçülmesi; açık rıza | Standart sözleşme (m.9/4-c) | Açık rıza verilmemişse hiçbir veri gönderilmez; IP adresi anonimleştirilir |
| Yapay zekâ servisi | Anthropic, PBC (ABD) | Doğrudan tanımlayıcılardan arındırılmış yorum metinleri, toplulaştırılmış sipariş ve performans istatistikleri, kullanıcının yapay zekâ özelliklerine yazdığı serbest metin sorular | Yapay zekâ destekli içgörü ve yanıt önerilerinin üretilmesi; m.5/2-c | Standart sözleşme (m.9/4-c); standart sözleşmenin yürürlüğe girmesine kadar arızi işlemler için bilgilendirilmiş açık rıza (m.9/6-a) | Ad, telefon numarası, adres, e-posta adresi, sipariş numarası ve diğer doğrudan tanımlayıcıların gönderim öncesi otomatik olarak tespit edilip kaldırılması; sağlayıcının verileri model eğitiminde kullanmaması ve sınırlı süre saklaması yönünde sözleşmesel taahhüt |
| Anlık mesajlaşma (WhatsApp Business) | WhatsApp Ireland Ltd. / Meta Platforms, Inc. (İrlanda / ABD) | Telefon numarası, ad, mesaj içeriği | Satış ve destek iletişiminin ilgili kişinin tercih ettiği kanaldan yürütülmesi; m.5/2-c, m.5/2-f | Bilgilendirilmiş açık rıza (m.9/6-a) | Mesaj içeriğinde asgari kişisel veri; sözleşme ve ödeme bilgilerinin WhatsApp üzerinden paylaşılmaması |
| Mobil uygulama anlık bildirim altyapısı | Apple Inc. (APNs) ve Google LLC (FCM) (ABD) | Anlık bildirim belirteci, bildirim içeriği | Mobil uygulama bildirimlerinin iletilmesi; m.5/2-c | Standart sözleşme (m.9/4-c) | Bildirim içeriğinde kişisel veri bulundurulmaması |
| Kurumsal e-posta, müşteri ilişkileri yönetimi ve ofis yazılımları | [Kurumsal yazılım sağlayıcıları: bilgi bekleniyor] | Potansiyel müşteri ve müşteri yetkililerine ait kimlik, iletişim ve müşteri işlem verileri | Satış ve destek süreçlerinin yürütülmesi; m.5/2-c, m.5/2-f | Standart sözleşme (m.9/4-c) | Erişim yetkilerinin görev bazlı sınırlandırılması |
Aktarım mekanizmalarına ilişkin güncel bilgiyi [email protected] adresine başvurarak talep edebilirsiniz. Bilgilendirilmiş açık rızaya dayanan aktarımlar için ayrı bir açık rıza metni sunulur ve rızanızı her zaman geri alabilirsiniz.
7. Saklama Süreleri
Kişisel verileriniz, KVKK m.4/2-d ve m.7 ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (RG 28.10.2017, 30224) ("İmha Yönetmeliği") uyarınca, işleme amacının gerektirdiği ve ilgili mevzuatta öngörülen süre kadar saklanır.
| Veri veya kayıt türü | Saklama süresi | Dayanak |
|---|---|---|
| Fatura, muhasebe ve ödeme kayıtları (fatura bilgileri, ödeme referansları, iade kayıtları) | İlgili takvim yılını izleyen yılın başından itibaren 10 yıl | 6102 sayılı TTK m.82; 213 sayılı VUK m.253 |
| Hizmet ve Abonelik Sözleşmesi, ekleri, sözleşme onay kayıtları ve hesap (üyelik) kayıtları | Sözleşme ilişkisinin sona ermesinden itibaren 10 yıl | 6098 sayılı TBK m.146; TTK m.82 |
| Ticari elektronik ileti onay ve ret kayıtları | Onayın geçerliliğinin sona erdiği tarihten itibaren 3 yıl | Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik m.13 |
| Ticari elektronik ileti gönderim kayıtları | Kayıt tarihinden itibaren 3 yıl | Aynı Yönetmelik m.13 |
| İnternet trafik kayıtları (IP adresi, bağlantı zamanı, erişilen kaynak) | 2 yıl | 5651 sayılı Kanun m.5 ve ilgili Yönetmelik |
| Panel ve mobil uygulama erişim ve işlem günlükleri | 2 yıl | 5651 sayılı Kanun; KVKK m.12 |
| Potansiyel müşteri kayıtları (iletişim formu, demo talebi, satış görüşme notları) | Sözleşme ilişkisi kurulmaması hâlinde son temastan itibaren 1 yıl | KVKK m.4/2-d, m.7 |
| Müşteri destek talepleri ve yazışmaları | Talebin kapatılmasından itibaren 3 yıl | KVKK m.4/2-d; ispat |
| Platform API kimlik bilgileri | Müşteri tarafından kaldırıldığında veya abonelik sona erdiğinde derhal; yedeklerden en geç 30 gün içinde | Hizmet ve Abonelik Sözleşmesi; KVKK m.12 |
| Platformlardan çekilen veriler (sipariş, iptal ve iade, yorum ve puan, menü, ekstre) | Aboneliğin sona ermesinden itibaren 90 gün içinde silinir veya anonim hâle getirilir | Kişisel Verilerin İşlenmesine İlişkin Ek Protokol; KVKK m.7 |
| Açık rıza ve çerez tercihi kayıtları (verilme ve geri alma kayıtları) | Rızanın geri alınmasından itibaren 3 yıl | İspat; KVKK m.4/2-d |
| Çerezler | Çerez Politikası'ndaki çerez tablosunda belirtilen süreler | Çerez Politikası |
| KVKK başvuruları ve yanıtları | Başvurunun sonuçlandırılmasından itibaren 10 yıl | TBK m.146; ispat |
| Veri ihlali kayıtları | İhlal tarihinden itibaren 10 yıl | Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı; ispat |
| Mobil uygulama anlık bildirim belirteci | Uygulamanın kaldırılması, oturumun kapatılması veya hesabın silinmesi ile | KVKK m.4/2-d |
Saklama süresi dolan kişisel veriler, İmha Yönetmeliği m.11 uyarınca altı ayı aşmayan periyodik imha dönemlerinde silinir, yok edilir veya anonim hâle getirilir. Hukuki bir uyuşmazlığın veya yetkili makam talebinin bulunması hâlinde ilgili veriler, bu durumun sona ermesine kadar yalnızca bu amaçla sınırlı olarak saklanmaya devam eder.
8. Veri Güvenliği Tedbirleri
RestoRun, KVKK m.12 uyarınca ve Kurul'un Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) esas alınarak aşağıdaki tedbirleri uygular:
Teknik tedbirler
- Tüm veri iletiminde TLS 1.2 ve üzeri şifreleme; depolanan verilerde disk ve veri tabanı düzeyinde şifreleme.
- Platform API kimlik bilgilerinin (API anahtarı ve gizli anahtar) uygulama katmanında ayrı anahtarlarla şifrelenerek saklanması, şifreleme anahtarlarının anahtar yönetim sisteminde tutulması, panelde yalnızca maskelenmiş biçimde gösterilmesi ve günlük kayıtlarına yazılmaması.
- Kullanıcı şifrelerinin yalnızca güçlü tek yönlü özet fonksiyonlarıyla saklanması; şifre politikası ve iki aşamalı doğrulama seçeneği.
- Rol tabanlı erişim kontrolü, en az yetki ilkesi, çalışan erişimlerinde çok faktörlü doğrulama ve erişim yetkilerinin düzenli gözden geçirilmesi.
- Değiştirilemez ve zaman damgalı erişim ve işlem günlükleri; anormal erişim davranışlarının izlenmesi ve uyarı mekanizmaları.
- Web uygulama güvenlik duvarı, DDoS ve bot koruması; üretim, test ve geliştirme ortamlarının ayrılması; test ortamlarında gerçek kişisel veri kullanılmaması.
- Şifreli ve düzenli yedekleme, yedeklerden geri dönüş testleri.
- Güvenlik güncellemelerinin düzenli uygulanması, zafiyet taramaları ve yılda en az bir kez bağımsız sızma testi.
- Son tüketici verilerinde veri minimizasyonu ve maskeleme: teslimat adresi ve telefon numarasının saklanmaması, ad soyadın baş harflere indirgenmesi, sipariş notlarının saklanmaması.
- Yapay zekâ servisine gönderim öncesinde doğrudan tanımlayıcıları otomatik olarak tespit edip kaldıran veri temizleme katmanı.
- Saklama süresi dolan verilerin güvenli silinmesi için otomatik imha süreçleri.
İdari tedbirler
- Kişisel veri işleme envanteri, saklama ve imha politikası ile bilgi güvenliği politikalarının yürürlükte tutulması.
- Çalışanlardan gizlilik taahhütnamesi alınması ve düzenli KVKK ve bilgi güvenliği eğitimleri.
- Alt işleyen ve tedarikçilerle veri işleme hükümlerini içeren yazılı sözleşmeler yapılması ve tedarikçi güvenlik değerlendirmeleri.
- Veri ihlali müdahale planı: ihlalin öğrenilmesinden itibaren 72 saat içinde Kurul'a bildirim ve etkilenen ilgili kişilerin makul en kısa sürede bilgilendirilmesi (Kurul'un 2019/10 sayılı kararı).
- Periyodik iç denetim ve uyum kontrolleri.
9. KVKK m.11 Kapsamındaki Haklarınız
KVKK m.11 uyarınca veri sorumlusuna başvurarak;
- a) kişisel verilerinizin işlenip işlenmediğini öğrenme,
- b) kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
- c) kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
- ç) yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
- d) kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
- e) KVKK m.7'de öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
- f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- g) işlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
- ğ) kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme
haklarına sahipsiniz. Açık rızaya dayanan işleme faaliyetlerinde rızanızı her zaman, verdiğiniz kanalla aynı kolaylıkta geri alabilirsiniz; geri alma ileriye etkilidir ve geri almadan önce yapılan işlemlerin hukuka uygunluğunu etkilemez.
10. Başvuru Usulü
Haklarınıza ilişkin taleplerinizi, KVKK m.13 ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ (RG 10.03.2018, 30356) uyarınca aşağıdaki yollardan biriyle iletebilirsiniz:
| Başvuru yolu | Adres | Açıklama |
|---|---|---|
| Yazılı başvuru | Mehmet Akif Ersoy Mah. 286. Sk. Profis A Blok No: 6 İç Kapı No: 47, Yenimahalle / Ankara | Islak imzalı dilekçenin elden teslimi (kimlik ibrazı ile), noter aracılığıyla veya iadeli taahhütlü posta ile gönderilmesi; zarfın üzerine "KVKK Bilgi Talebi" yazılması |
| Kayıtlı elektronik posta (KEP) | [KEP adresi: bilgi bekleniyor] | KEP hesabınızdan gönderilen başvuru |
| Güvenli elektronik imza veya mobil imza ile e-posta | [email protected] | 5070 sayılı Kanun kapsamında güvenli elektronik imza veya mobil imza ile imzalanmış başvuru |
| Sistemde kayıtlı e-posta adresi | [email protected] | RestoRun hesabınızda kayıtlı ve daha önce Şirket'e bildirilmiş e-posta adresinizden gönderilen başvuru |
| Başvuru formu | restorun.co/yasal/kvkk-basvuru-formu | Yukarıdaki yollardan biriyle iletilmek üzere hazırlanmış İlgili Kişi Başvuru Formu |
Başvurunuzda; adınız, soyadınız ve başvuru yazılı ise imzanız, T.C. vatandaşı iseniz T.C. kimlik numaranız (yabancı iseniz uyruğunuz, pasaport numaranız veya varsa kimlik numaranız), tebligata esas yerleşim yeri veya iş yeri adresiniz, varsa bildirime esas e-posta adresiniz ve telefon numaranız ile talep konunuz bulunmalıdır. Talebinize ilişkin bilgi ve belgeleri başvurunuza ekleyiniz.
Başvurunuzun size ait olduğunun teyidi için, talebin niteliğine göre kimlik doğrulaması yapılabilir; bu amaçla sizden ek bilgi veya belge istenebilir. Üçüncü kişiler adına yapılan başvurularda noter onaylı özel vekâletname aranır.
Başvurunuz, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılır. Yanıtın yazılı olarak verilmesi hâlinde on sayfaya kadar ücret alınmaz; on sayfanın üzerindeki sayfalar için ve yanıtın CD, flash bellek gibi bir kayıt ortamında verilmesi hâlinde kayıt ortamının maliyetini aşmamak üzere, anılan Tebliğ'in 7. maddesinde öngörülen ücret talep edilebilir. Başvurunun Şirket'in hatasından kaynaklandığının anlaşılması hâlinde alınan ücret iade edilir.
Başvurunuzun reddedilmesi, verilen yanıtı yetersiz bulmanız veya süresinde yanıt verilmemesi hâlinde, yanıtı öğrendiğiniz tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilirsiniz (KVKK m.14).
11. Değişiklikler
Bu Metin, mevzuat değişiklikleri, işleme faaliyetlerindeki değişiklikler veya yeni hizmetlerin devreye alınması hâlinde güncellenir. Güncel sürüm, sürüm numarası ve son güncelleme tarihi ile birlikte restorun.co/yasal/kvkk-aydinlatma adresinde yayımlanır. İşleme amaçlarını, aktarım alıcılarını veya hukuki sebepleri etkileyen değişiklikler, yürürlüğe girmeden önce müşteri işletme yetkililerine panel bildirimi ve e-posta ile duyurulur. Önceki sürümler, ispat yükümlülüğü kapsamında saklanır ve talep hâlinde sunulur.
12. Platform Verilerindeki Son Tüketici Bilgileri
RestoRun hizmeti, müşteri işletmenin Trendyol GO ve Uber Eats ("Platformlar") hesaplarına ait verilerin, müşteri işletmenin kendi API kimlik bilgileri kullanılarak çekilmesine dayanır. Bu veriler arasında, Platformlar üzerinden sipariş veren son tüketicilere (restoranın müşterilerine) ait kişisel veriler (ad, teslimat adresi, telefon numarası, sipariş içeriği, yorum metni ve puan) bulunabilir. Bu veriler bakımından geçerli olan esaslar şunlardır:
- Roller. Son tüketici verileri bakımından veri sorumlusu, bu verileri Platformlar üzerinden kendi ticari faaliyeti için elde eden müşteri işletmedir (restoran). RestoRun, bu verileri yalnızca müşteri işletmenin talimatıyla, Hizmet ve Abonelik Sözleşmesi ile eki olan Kişisel Verilerin İşlenmesine İlişkin Ek Protokol çerçevesinde işleyen veri işleyendir (KVKK m.3/1-ğ, m.12/2). Platformlar, kendi kullanıcılarına karşı ayrı birer veri sorumlusudur. Son tüketicilere yönelik aydınlatma yükümlülüğü, veri sorumlusu sıfatıyla ilgili restorana ve Platformlara aittir.
- Veri minimizasyonu ve maskeleme. RestoRun, son tüketici verilerini yalnızca analiz için gerekli alanlarla sınırlı tutar. Son tüketicinin teslimat adresi ve telefon numarası RestoRun sistemlerinde saklanmaz; veri çekildiği anda silinir veya maskelenir. Ad ve soyad baş harflerine indirgenerek saklanır; sipariş notları saklanmaz. Sipariş kalemleri, tutar, sipariş ve teslimat zamanları, iptal ve iade nedenleri, yorum metinleri ve puanlar ile tekrar eden müşteri analizi için Platform müşteri kimliğinin tek yönlü özeti tutulur.
- Yapay zekâ destekli özellikler. Yorum metinleri, doğrudan tanımlayıcılar otomatik olarak temizlendikten sonra yapay zekâ servisine iletilir. Üretilen yanıt önerileri, müşteri işletmenin onayı veya önceden tanımladığı talimatlar doğrultusunda Platforma gönderilir.
- Amaç sınırlaması. RestoRun, son tüketici verilerini kendi amaçları doğrultusunda işlemez ve üçüncü kişilere satmaz. Ek Protokol'de belirtilen şartlarla, hiçbir gerçek kişiyle ilişkilendirilemeyecek biçimde anonim hâle getirilmiş toplu istatistikler üretilebilir; anonim veriler KVKK m.3 ve m.7 anlamında kişisel veri değildir.
- Başvurular. Son tüketiciler, KVKK m.11 kapsamındaki taleplerini veri sorumlusu olan ilgili restorana iletir. RestoRun'a ulaşan son tüketici talepleri gecikmeksizin ilgili restorana yönlendirilir ve talebin karşılanması için restorana teknik destek sağlanır. RestoRun, son tüketicinin kimliğini kendi başına doğrulayamadığından bu talepleri doğrudan sonuçlandırmaz.
- Saklama. Son tüketici verileri, aboneliğin sona ermesinden itibaren 90 gün içinde silinir veya anonim hâle getirilir; müşteri işletme bu süre içinde verilerini dışa aktarabilir.
13. İlgili Belgeler
Bu Metin; Gizlilik Politikası, Çerez Politikası, Açık Rıza Metinleri ve müşteri işletmelerle akdedilen Kişisel Verilerin İşlenmesine İlişkin Ek Protokol ile birlikte bir bütün oluşturur. Belgeler arasında farklılık bulunması hâlinde, veri sorumlusu sıfatıyla yürütülen işleme faaliyetleri bakımından bu Metin esas alınır.