Kişisel Verilerin İşlenmesine İlişkin Ek Protokol

İşbu Kişisel Verilerin İşlenmesine İlişkin Ek Protokol ("Ek"), RestoRun Hizmet ve Abonelik Sözleşmesi'nin ("Sözleşme") ayrılmaz bir parçasıdır ve Sözleşme'nin elektronik ortamda onaylanmasıyla birlikte yürürlüğe girer.

Taraflar

Taraf	Sıfatı	Bilgiler
Sözleşme'yi akdeden işletme ("Müşteri")	Veri Sorumlusu	Sözleşme'nin onaylanması sırasında beyan edilen unvan, vergi kimlik numarası veya T.C. kimlik numarası, adres ve hesap sahibi bilgileri
1İN1000 Danışmanlık Hizmetleri Ticaret Limited Şirketi ("RestoRun")	Veri İşleyen	MERSİS: [MERSİS numarası: bilgi bekleniyor]; Adres: Mehmet Akif Ersoy Mah. 286. Sk. Profis A Blok No: 6 İç Kapı No: 47, Yenimahalle / Ankara; KEP: [KEP adresi: bilgi bekleniyor]; E-posta: [email protected]

Madde 1 — Tanımlar

Sözleşme'de tanımlanan terimler bu Ek'te de aynı anlamda kullanılır. Ayrıca:

Terim	Tanım
Kanun	6698 sayılı Kişisel Verilerin Korunması Kanunu ve ikincil mevzuatı
Kurul / Kurum	Kişisel Verileri Koruma Kurulu / Kişisel Verileri Koruma Kurumu
Kişisel Veri, İşleme, Veri Sorumlusu, Veri İşleyen, İlgili Kişi, Açık Rıza, Anonim Hâle Getirme	Kanun m.3'teki anlamları taşır
Platformlar	Trendyol GO ve Uber Eats çevrim içi yemek sipariş platformları ile Sözleşme kapsamına sonradan eklenen platformlar
Platform Verileri	Müşteri'nin Platform hesaplarından, Müşteri'nin API kimlik bilgileri kullanılarak RestoRun tarafından çekilen sipariş, iptal ve iade, yorum ve puan, menü, çalışma saati ve finansal ekstre kayıtları ile bunlardan türetilen veriler
Son Tüketici	Platformlar üzerinden Müşteri'den sipariş veren ve Platform Verilerinde kişisel verileri bulunan gerçek kişi
Hizmet	Sözleşme'de tanımlanan analitik, raporlama, yapay zekâ destekli içgörü, yorum yanıtlama ve isteğe bağlı Uzman Yönetim hizmetleri
Alt İşleyen	RestoRun'un Platform Verilerinin işlenmesinde hizmet aldığı ve Platform Verilerine erişen üçüncü kişi
Talimat	Müşteri'nin Platform Verilerinin işlenmesine ilişkin olarak Sözleşme, bu Ek, panel yapılandırmaları ve yazılı bildirimler yoluyla verdiği belgelenmiş yönlendirmeler
Veri İhlali	İşlenen Platform Verilerinin kanuni olmayan yollarla başkaları tarafından elde edilmesi, yetkisiz erişime uğraması, değiştirilmesi, kaybolması veya imha edilmesi
Standart Sözleşme	Kanun m.9/4-c uyarınca Kurul tarafından ilan edilen standart sözleşme
İş Günü	Türkiye'de resmî tatil olmayan hafta içi günler

Madde 2 — Konu ve Kapsam

2.1. Bu Ek, RestoRun'un Hizmet'in sunulması kapsamında Müşteri adına Platform Verilerini işlemesine ilişkin olarak tarafların Kanun'dan doğan hak ve yükümlülüklerini düzenler.

2.2. Platform Verileri bakımından Müşteri veri sorumlusu, RestoRun veri işleyendir. Taraflar, Kanun m.12/2 uyarınca Platform Verilerinin güvenliğine ilişkin tedbirlerin alınmasından müştereken sorumludur.

2.3. Müşteri'nin yetkililerine ve kullanıcılarına ait hesap verileri ile RestoRun'un kendi faaliyetleri çerçevesinde veri sorumlusu sıfatıyla işlediği veriler bu Ek'in kapsamı dışındadır; bu veriler RestoRun'un Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni'ne tabidir.

2.4. Platformlar, kendi kullanıcılarına karşı ayrı birer veri sorumlusudur. Müşteri ile Platformlar arasındaki ilişki bu Ek'in kapsamı dışındadır.

2.5. Kişisel verilerin işlenmesine ilişkin konularda bu Ek ile Sözleşme arasında çelişki bulunması hâlinde bu Ek öncelikle uygulanır.

Madde 3 — İşlemenin Konusu, Süresi, Niteliği ve Amacı

Unsur	Açıklama
Konu	Platform Verilerinin Müşteri'nin API kimlik bilgileriyle Platformlardan çekilmesi; analiz, rapor ve yapay zekâ destekli içgörü üretilmesi; Müşteri'nin talimatıyla yorum yanıtlarının Platformlara iletilmesi; Uzman Yönetim hizmeti kapsamında Müşteri adına Platform hesabında işlem yapılması
Süre	Sözleşme süresi ile Madde 15'te düzenlenen silme ve iade dönemi
Niteliği	Otomatik yollarla toplama, kaydetme, depolama, maskeleme, anonim hâle getirme, analiz etme, raporlama, Müşteri'nin talimatıyla Platformlara iletme ve silme
Amacı	Hizmet'in Sözleşme'de tanımlanan kapsamda Müşteri'ye sunulması
İlgili kişi grupları	Son Tüketiciler; Platform Verilerinde adı geçen Platform kuryeleri ve çalışanları (bu kişilere ait veriler Madde 7 uyarınca saklanmaz)
Veri kategorileri	Ek-1'de belirtilen kategoriler

Madde 4 — İşlenen Veri Kategorileri ve Özel Nitelikli Veriler

4.1. İşlenen veri kategorileri, alanlar ve her alana uygulanan işlem (saklanır, maskelenir veya saklanmaz) Ek-1'de gösterilmiştir.

4.2. Hizmet, Kanun m.6 anlamında özel nitelikli kişisel veri işlenmesini gerektirmez. Müşteri, RestoRun'a özel nitelikli kişisel veri işlemesi yönünde Talimat veremez. Yorum veya sipariş alanlarında rastlantısal olarak yer alan özel nitelikli veriler (sağlık bilgisi, alerji bilgisi) Madde 7 kapsamında saklanmaz.

Madde 5 — Veri Sorumlusunun Yükümlülükleri ve Talimatları

5.1. Müşteri, Platform Verilerinin hukuka uygun olarak elde edilmesinden, Son Tüketicilere karşı aydınlatma yükümlülüğünün yerine getirilmesinden ve işleme için Kanun m.5'teki şartlardan birinin bulunmasından tek başına sorumludur.

5.2. Müşteri, Platformlarla arasındaki sözleşmelerin, API kimlik bilgilerinin RestoRun'a verilmesine ve Platform Verilerinin RestoRun aracılığıyla işlenmesine izin verdiğini beyan ve garanti eder.

5.3. Müşteri'nin Talimatları; Sözleşme, bu Ek, panel üzerinden yapılan yapılandırmalar (bağlanan mağazalar, yorum yanıt kuralları, Uzman Yönetim kapsamı, yapay zekâ özelliklerinin açık veya kapalı olması) ve Müşteri'nin yetkili kullanıcıları tarafından panel ya da e-posta yoluyla verilen yazılı bildirimlerden oluşur. Sözlü Talimatlar yazılı teyit edilmedikçe uygulanmaz. Müşteri'nin yetkili kullanıcılarının panel üzerinden yaptığı işlemler Müşteri'nin Talimatı sayılır.

5.4. Müşteri; onayladığı veya önceden tanımladığı kurallarla otomatik gönderilmesine izin verdiği yorum yanıtlarının içeriğinden ve Platform kurallarına uygunluğundan sorumludur.

5.5. Son Tüketicilerin Kanun m.11 kapsamındaki başvurularını sonuçlandırma yükümlülüğü Müşteri'ye aittir.

5.6. Veri İhlali hâlinde Kurul'a ve İlgili Kişilere bildirim yükümlülüğü, veri sorumlusu sıfatıyla Müşteri'ye aittir; RestoRun Madde 11 uyarınca yardım sağlar.

5.7. Müşteri, RestoRun'un Madde 7'de belirtilen veri minimizasyonu tedbirlerinin Hizmet'in doğası gereği kaldırılamayacağını kabul eder; Müşteri, Hizmet kapsamında saklanmayan alanları Platform panellerinden doğrudan yönetir.

Madde 6 — Veri İşleyenin Yükümlülükleri

6.1. RestoRun, Platform Verilerini yalnızca Müşteri'nin Talimatları doğrultusunda ve Hizmet'in sunulması amacıyla işler.

6.2. RestoRun, bir Talimat'ın Kanun'a veya diğer mevzuata aykırı olduğu kanaatine varırsa Müşteri'yi derhal bilgilendirir ve Müşteri'nin yazılı ısrarına kadar Talimat'ı uygulamayı erteleyebilir.

6.3. RestoRun, Platform Verilerini kendi amaçları doğrultusunda işlemez, üçüncü kişilere satmaz ve Hizmet dışında kullanmaz. Müşteri, RestoRun'un Platform Verilerini yalnızca hiçbir Son Tüketici ve hiçbir müşteri işletme ile ilişkilendirilemeyecek biçimde, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.10'a uygun olarak anonim hâle getirerek sektör karşılaştırmaları ve Hizmet'in geliştirilmesi amacıyla kullanmasına izin verir. Müşteri, bu kullanımı panelde Ayarlar > Gizlilik bölümünden kapatabilir; kapatma, kapatma anından sonra üretilen anonim veri kümeleri bakımından geçerlidir.

6.4. RestoRun, Kanun m.12 uyarınca ve Ek-3'te sayılan teknik ve idari tedbirleri alır.

6.5. RestoRun, Platform Verilerine erişimi görev gereği erişmesi zorunlu olan personeliyle sınırlar; bu personelin yazılı gizlilik yükümlülüğü altında olmasını ve düzenli olarak kişisel verilerin korunması eğitimi almasını sağlar.

6.6. RestoRun; Talimatları, Alt İşleyen listesini, güvenlik tedbirlerini ve Veri İhlallerini kayıt altına alır ve bu kayıtları Müşteri'nin talebi üzerine sunar.

6.7. RestoRun, Müşteri'nin API kimlik bilgilerini yalnızca Müşteri'nin hesabına bağlı mağazalar için kullanır; bunları uygulama katmanında ayrı anahtarlarla şifreli saklar, günlük kayıtlarına yazmaz ve personelinin ham hâliyle görüntülemesini engeller.

6.8. RestoRun, yetkili bir makamdan Platform Verilerine ilişkin bir talep aldığında, mevzuat engel teşkil etmedikçe Müşteri'yi talebin yerine getirilmesinden önce bilgilendirir ve talebi yasal dayanağı ile sınırlı olarak karşılar.

6.9. RestoRun, Kanun'da veya Kurul kararlarında veri işleyenlere yüklenen diğer yükümlülüklere uyar ve Müşteri'nin Kanun'dan doğan yükümlülüklerini yerine getirmesinde Madde 11, 12 ve 13 çerçevesinde yardım eder.

Madde 7 — Veri Minimizasyonu ve Maskeleme Taahhüdü

7.1. RestoRun, Platform Verilerini Kanun m.4/2-ç uyarınca işlendikleri amaçla bağlantılı, sınırlı ve ölçülü tutmayı ve Son Tüketici verilerini en aza indirmeyi taahhüt eder.

7.2. Alınmayan veya alındığı anda silinen alanlar: Son Tüketicinin açık teslimat adresi (sokak, bina, kapı numarası, adres tarifi), telefon numarası, e-posta adresi, sipariş notu, Platform kuryesinin adı ve telefon numarası, her türlü ödeme ve kart bilgisi. Bu alanlar RestoRun veri tabanlarına, yedeklerine veya günlük kayıtlarına yazılmaz; API yanıtından ayrıştırılarak bellekte işlenir ve atılır.

7.3. Dönüştürülerek saklanan alanlar: Son Tüketicinin adı ve soyadı yalnızca baş harfleriyle; Platform müşteri kimliği, tekrar eden müşteri analizi için yalnızca tuzlanmış tek yönlü özet (hash) biçiminde; teslimat konumu yalnızca ilçe ve mahalle düzeyinde saklanır.

7.4. Saklanan alanlar: Sipariş ve iptal kimlikleri, sipariş kalemleri ve adetleri, tutar ve indirim bilgileri, sipariş, hazırlama ve teslimat zaman damgaları, teslimat süresi, iptal ve iade nedeni ile tutarı, yorum metni, puan, yorum tarihi, verilen yanıt metni, mağaza ve şube kimlikleri.

7.5. Yorum metinleri yapay zekâ servisine gönderilmeden önce ad, telefon numarası, e-posta adresi, adres, sipariş numarası, kullanıcı adı ve bağlantı adresi gibi doğrudan tanımlayıcıları tespit eden ve kaldıran otomatik veri temizleme katmanından geçirilir. Temizleme işleminin uygulanamadığı metinler gönderilmez.

7.6. RestoRun, Platform Verilerine yeni bir alan eklemeyi planladığında Ek-1'i günceller ve Müşteri'yi en az 15 gün önceden bilgilendirir. Madde 7.2'de sayılan alanlar hiçbir koşulda saklanan alanlar arasına eklenmez.

7.7. RestoRun, bu Madde'deki tedbirlerin teknik olarak uygulandığını belgeler ve belgeleri Müşteri'nin talebi üzerine sunar.

Madde 8 — Gizlilik

8.1. RestoRun, Platform Verilerini gizli tutar; Müşteri'nin Talimatı, bu Ek veya mevzuat gerektirmedikçe üçüncü kişilere açıklamaz.

8.2. Gizlilik yükümlülüğü, RestoRun personeli ve Alt İşleyenler için de geçerlidir ve Sözleşme'nin sona ermesinden sonra da süresiz olarak devam eder.

Madde 9 — Alt İşleyenler

9.1. Müşteri, RestoRun'un Ek-2'de listelenen Alt İşleyenleri kullanmasına bu Ek ile genel olarak yetki verir.

9.2. RestoRun, yeni bir Alt İşleyen eklemeyi veya mevcut bir Alt İşleyeni değiştirmeyi planladığında, değişikliğin yürürlüğe girmesinden en az 15 gün önce Müşteri'yi panel bildirimi ve hesap sahibinin e-posta adresine gönderilen bildirimle bilgilendirir. Güncel liste restorun.co/yasal/alt-isleyenler adresinde yayımlanır.

9.3. Müşteri, bildirimden itibaren 15 gün içinde, kişisel verilerin korunmasına ilişkin haklı gerekçelerle yazılı olarak itiraz edebilir. Taraflar makul bir çözüm için iyi niyetle görüşür. Çözüm bulunamazsa Müşteri, değişiklikten etkilenen hizmet bileşenini veya Sözleşme'yi feshedebilir; bu hâlde kullanılmayan abonelik dönemine ait ücret iade edilir.

9.4. RestoRun, her Alt İşleyen ile bu Ek'te öngörülen koruma düzeyinden daha düşük olmayan yükümlülükler içeren yazılı bir sözleşme yapar ve Alt İşleyenlerin yalnızca ilgili hizmet için gerekli verilere erişmesini sağlar.

9.5. RestoRun, Alt İşleyenlerin bu Ek'e aykırı fiil ve ihmallerinden Müşteri'ye karşı kendi fiili gibi sorumludur.

Madde 10 — Veri Güvenliği Tedbirleri

10.1. RestoRun, Kanun m.12/1 ve Kurul'un Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) doğrultusunda, Ek-3'te sayılan teknik ve idari tedbirleri alır ve bunları en az yılda bir gözden geçirir.

10.2. Ek-3'teki tedbirler teknolojik gelişmelere göre güncellenebilir; ancak Sözleşme süresince Müşteri'nin aleyhine olacak biçimde azaltılmaz.

10.3. RestoRun, Platform Verilerini Müşteri'nin diğer müşterilerin verilerinden mantıksal olarak ayırır ve bir müşterinin verilerine başka bir müşterinin erişmesini engeller.

Madde 11 — Veri İhlali Bildirimi

11.1. RestoRun, Platform Verilerini etkileyen bir Veri İhlalini öğrendiğinde Müşteri'yi herhangi bir gecikmeye yer vermeksizin ve her hâlde öğrenme anından itibaren en geç 48 saat içinde; hesap sahibinin kayıtlı e-posta adresine ve panel bildirimiyle haberdar eder.

11.2. Bildirim, Ek-4'te sayılan bilgileri içerir. Bilgilerin tamamının aynı anda sağlanamaması hâlinde mevcut bilgiler derhal, kalan bilgiler ise elde edildikçe gecikmeksizin iletilir.

11.3. RestoRun; Müşteri'nin Kanun m.12/5 ve Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca ihlali öğrenmesinden itibaren 72 saat içinde Kurul'a bildirim yapma ve etkilenen İlgili Kişileri makul en kısa sürede bilgilendirme yükümlülüklerini yerine getirebilmesi için gerekli tüm bilgi ve belgeleri sağlar ve Kurul'un Kişisel Veri İhlali Bildirim Formu'nun doldurulmasında yardım eder.

11.4. RestoRun, ihlalin nedenini araştırır, etkilerini sınırlandırmak ve tekrarını önlemek için gerekli tedbirleri alır ve ihlale ilişkin tüm bilgileri kayıt altına alır.

11.5. İhlale ilişkin kamuya açıklama ve İlgili Kişilere bildirim Müşteri tarafından yapılır. RestoRun, mevzuattan kaynaklanan bir zorunluluk bulunmadıkça Müşteri'yi tanımlayan bir açıklama yapmaz.

11.6. RestoRun, aynı olayın kendi veri sorumlusu sıfatıyla işlediği verileri de etkilemesi hâlinde, bu veriler bakımından Kurul'a bildirim yükümlülüğünü ayrıca yerine getirir.

Madde 12 — İlgili Kişi Başvurularında ve Kurum Taleplerinde Yardım

12.1. RestoRun'a doğrudan ulaşan Son Tüketici başvuruları, başvurunun alınmasından itibaren 3 İş Günü içinde Müşteri'ye iletilir. RestoRun, Müşteri'nin Talimatı olmaksızın Son Tüketiciye yanıt vermez; yalnızca başvurunun veri sorumlusu olan Müşteri'ye iletildiğini bildirir.

12.2. RestoRun, Müşteri'nin Kanun m.13 uyarınca 30 gün içinde yanıt verme yükümlülüğünü yerine getirebilmesi için; panelde Son Tüketici verilerinde arama, dışa aktarma, düzeltme ve silme araçları sunar; panel araçlarıyla karşılanamayan talepler için Müşteri'nin yazılı talebinden itibaren 10 gün içinde teknik yardım sağlar.

12.3. RestoRun, Kurul veya Kurum tarafından Müşteri hakkında yürütülen inceleme ve denetimlerde, Platform Verilerinin işlenmesine ilişkin bilgi ve belgeleri Müşteri'ye sağlar.

12.4. Bu Madde kapsamındaki yardım ücretsizdir; aynı takvim yılı içinde makul ölçüyü açıkça aşan ve Hizmet'in olağan işleyişi dışında geliştirme gerektiren talepler Sözleşme'deki ek hizmet ücretlendirmesine tabidir.

Madde 13 — Denetim

13.1. RestoRun, bu Ek'e uyumunu gösteren bilgileri (güvenlik politikalarının özeti, bağımsız sızma testi özet raporu, varsa bilgi güvenliği sertifikaları ve Alt İşleyen sözleşmelerinin veri koruma hükümleri) Müşteri'nin talebi üzerine yılda bir kez sunar.

13.2. Müşteri, 13.1'deki bilgilerin yeterli olmadığını haklı gerekçelerle belirtmesi hâlinde; yılda en fazla bir kez, en az 15 İş Günü önceden yazılı bildirimde bulunarak, mesai saatleri içinde ve RestoRun'un olağan faaliyetini aksatmayacak biçimde, bizzat veya RestoRun'un rakibi olmayan ve gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla bu Ek'e uyumu denetleyebilir.

13.3. Denetimin kapsamı Platform Verilerinin işlenmesiyle sınırlıdır; RestoRun'un diğer müşterilerine ait verilere ve ticari sırlarına erişim sağlanmaz.

13.4. Bir Veri İhlali sonrasında veya Kurul'un talebi üzerine yapılan denetimler 13.2'deki sayı sınırına tabi değildir.

13.5. Her taraf denetime ilişkin kendi masraflarını karşılar. Denetimde tespit edilen uygunsuzluklar RestoRun tarafından makul bir süre içinde giderilir ve Müşteri bilgilendirilir.

Madde 14 — Yurt Dışına Aktarım

14.1. Platform Verileri, [Barındırma sağlayıcısı: bilgi bekleniyor] tarafından Türkiye'de işletilen veri merkezlerinde barındırılır. Barındırmanın Avrupa Birliği bölgesine taşınması Alt İşleyen değişikliği sayılır ve Madde 9 ile bu Madde hükümlerine tabidir.

14.2. Platform Verilerinin yurt dışına aktarıldığı Alt İşleyenler, aktarılan veri kategorileri ve aktarım mekanizması Ek-2'de gösterilmiştir. Müşteri, bu Ek ile RestoRun'u Ek-2'de belirtilen yurt dışı aktarımları gerçekleştirmek üzere yetkilendirir.

14.3. Yurt dışı aktarımlar Kanun m.9'a uygun olarak; Kurul'un yeterlilik kararı bulunan ülkelere yeterlilik kararına dayanılarak, diğer hâllerde RestoRun ile yurt dışındaki Alt İşleyen arasında imzalanan ve Kurul tarafından ilan edilen veri işleyenden veri işleyene Standart Sözleşme'ye dayanılarak gerçekleştirilir. RestoRun, Standart Sözleşmeleri imzalanmalarından itibaren 5 İş Günü içinde Kurum'a bildirir.

14.4. Yapay zekâ servisine yalnızca Madde 7.5 uyarınca doğrudan tanımlayıcılardan arındırılmış yorum metinleri ve toplulaştırılmış istatistikler iletilir. RestoRun, yapay zekâ servis sağlayıcısının verileri model eğitiminde kullanmaması ve sınırlı süre saklaması yönünde sözleşmesel taahhüt alır.

14.5. RestoRun, Müşteri'nin talebi üzerine, Standart Sözleşmelerin ticari sırlar karartılmış bir örneğini ve Kurum'a yapılan bildirimin kaydını sunar; Müşteri'nin veri sorumlusu sıfatıyla kendi bildirim veya kayıt yükümlülüğü bulunması hâlinde gerekli bilgileri sağlar.

14.6. Bir aktarım mekanizmasının geçersiz hâle gelmesi veya Kurul tarafından durdurulması hâlinde RestoRun ilgili aktarımı askıya alır, Müşteri'yi bilgilendirir ve alternatif bir mekanizma veya Türkiye içinde alternatif bir hizmet sağlar.

Madde 15 — Sözleşmenin Sona Ermesi: Silme ve İade

15.1. Sözleşme'nin herhangi bir nedenle sona ermesi hâlinde RestoRun, Müşteri'nin API kimlik bilgilerini derhal siler; yedeklerdeki kopyalar en geç 30 gün içinde temizlenir. Platformlardan yeni veri çekilmez.

15.2. Müşteri, sona erme tarihinden itibaren 30 gün içinde Platform Verilerini ve raporlarını panel üzerinden yapılandırılmış ve makine tarafından okunabilir biçimde (CSV ve JSON) dışa aktarabilir.

15.3. RestoRun, sona erme tarihinden itibaren 90 günün sonunda Platform Verilerini, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.7 ila m.10'daki yöntemlerle siler, yok eder veya anonim hâle getirir. Yedeklerdeki kopyalar yedekleme döngüsünün tamamlanmasıyla ve her hâlde silme tarihinden itibaren en geç 30 gün içinde silinir.

15.4. RestoRun'un mevzuattan kaynaklanan saklama yükümlülüğüne tabi kayıtları (erişim ve işlem günlükleri) bu yükümlülük süresince, erişimi kısıtlanmış biçimde ve yalnızca bu amaçla saklanır.

15.5. RestoRun, Müşteri'nin talebi üzerine silme ve anonim hâle getirme işlemlerinin tamamlandığını gösteren yazılı bir beyanı 10 İş Günü içinde sunar.

15.6. Müşteri, Sözleşme süresince de belirli Son Tüketici kayıtlarının silinmesini panel araçlarıyla veya yazılı Talimatla isteyebilir; RestoRun bu Talimatı en geç 10 gün içinde yerine getirir.

Madde 16 — Sorumluluk

16.1. Her taraf, Kanun'dan doğan kendi yükümlülüklerine aykırılıktan sorumludur. Kanun m.12/2 uyarınca veri güvenliğine ilişkin tedbirler bakımından taraflar müştereken sorumludur; tarafların birbirine karşı sorumluluğu kusurları oranında belirlenir.

16.2. RestoRun, Talimatlara veya bu Ek'e aykırı işlemesi nedeniyle Müşteri'nin uğradığı doğrudan zararlardan sorumludur. Müşteri; hukuka aykırı Talimatlarından, Platformlarla arasındaki sözleşmelere aykırılıktan, Son Tüketicilere karşı aydınlatma ve işleme şartı yükümlülüklerini yerine getirmemesinden ve 5.4 kapsamındaki yanıt içeriklerinden doğan zararlardan ve idari yaptırımlardan sorumludur.

16.3. Taraflardan birine Kurul tarafından uygulanan idari para cezasının diğer tarafın bu Ek'e aykırılığından kaynaklanması hâlinde, cezayı ödeyen taraf kusur oranında rücu hakkına sahiptir.

16.4. İlgili Kişilerin veya üçüncü kişilerin tazminat taleplerinde taraflar, talepten haberdar olduklarında birbirlerini gecikmeksizin bilgilendirir ve savunmada iş birliği yapar.

16.5. Sözleşme'de öngörülen sorumluluk sınırları bu Ek bakımından da geçerlidir; ancak kasıt veya ağır ihmalden doğan zararlar ile mevzuatın sınırlandırılmasına izin vermediği sorumluluklar bu sınırlara tabi değildir (6098 sayılı Türk Borçlar Kanunu m.115).

Madde 17 — Diğer Hükümler

17.1. Değişiklik. Kanun'da, ikincil mevzuatta veya Kurul kararlarında bu Ek'i etkileyen bir değişiklik olması hâlinde RestoRun, Ek'i günceller ve güncel sürümü yürürlüğe girmesinden en az 30 gün önce Müşteri'ye bildirir. Müşteri, değişikliğin aleyhine olduğu kanaatindeyse yürürlük tarihine kadar Sözleşme'yi feshedebilir; bu hâlde kullanılmayan dönem ücreti iade edilir.

17.2. Bölünebilirlik. Bu Ek'in herhangi bir hükmünün geçersiz sayılması diğer hükümlerin geçerliliğini etkilemez; geçersiz hüküm, amacına en yakın geçerli hükümle ikame edilir.

17.3. Bildirimler. Bu Ek kapsamındaki bildirimler, Müşteri için hesap sahibinin kayıtlı e-posta adresine ve panel bildirimine; RestoRun için [email protected] adresine yapılır. Fesih ve temerrüde ilişkin bildirimler Sözleşme'deki bildirim hükümlerine tabidir.

17.4. Uygulanacak hukuk ve yetki. Bu Ek Türk hukukuna tabidir. Uyuşmazlıklarda Ankara Mahkemeleri ve İcra Daireleri yetkilidir.

17.5. Yürürlük. Bu Ek, Sözleşme'nin elektronik ortamda onaylanmasıyla yürürlüğe girer ve Madde 15'teki silme ve iade yükümlülükleri tamamlanana kadar yürürlükte kalır. Madde 8 süresiz olarak yürürlükte kalır.

---

Ek-1 — İşlenen Veri Kategorileri ve Uygulanan İşlem

Veri kategorisi	Alanlar	Uygulanan işlem
Son Tüketici kimlik	Ad ve soyad	Yalnızca baş harfler saklanır
Son Tüketici kimlik	Platform müşteri kimliği	Tuzlanmış tek yönlü özet olarak saklanır
Son Tüketici iletişim	Telefon numarası, e-posta adresi	Saklanmaz; API yanıtından ayrıştırılarak atılır
Son Tüketici konum	Açık teslimat adresi	Saklanmaz; yalnızca ilçe ve mahalle düzeyi saklanır
Sipariş	Sipariş kimliği, kalemler, adetler, tutar, indirim, ödeme yöntemi türü (nakit veya çevrim içi)	Saklanır
Sipariş	Sipariş notu	Saklanmaz
Sipariş zamanlaması	Sipariş, onay, hazırlama ve teslimat zaman damgaları, teslimat süresi	Saklanır
İptal ve iade	İptal ve iade kimliği, nedeni, tutarı, zamanı	Saklanır
Yorum ve puan	Yorum metni, puan, tarih, yanıt metni	Saklanır; yapay zekâ servisine gönderim öncesi doğrudan tanımlayıcılar temizlenir
Kurye ve Platform çalışanı	Ad, telefon numarası	Saklanmaz
Ödeme	Kart ve ödeme aracı bilgileri	Alınmaz
İşletme verileri	Menü, çalışma saatleri, mağaza bilgileri, finansal ekstreler	Saklanır (kişisel veri niteliği taşımaz; Müşteri'nin ticari verisidir)

Ek-2 — Alt İşleyen Listesi

Alt İşleyen	Hizmet	Konum	Erişilen Platform Verileri	Aktarım mekanizması (Kanun m.9)
[Barındırma sağlayıcısı: bilgi bekleniyor]	Sunucu, veri tabanı ve yedekleme altyapısı	Türkiye	Tüm Platform Verileri (şifrelenmiş)	Yurt içi; aktarım mekanizması gerekmez
Cloudflare, Inc.	İçerik dağıtım ağı, DDoS koruması, web uygulama güvenlik duvarı	ABD (küresel ağ)	Panel üzerinden görüntülenen veriler, şifreli trafiğin uç sunucuda işlenmesi sırasında geçici olarak	Standart Sözleşme (m.9/4-c)
Functional Software, Inc. (Sentry)	Hata izleme	Avrupa Birliği veri bölgesi (Almanya)	Hata anındaki istek bilgilerinde kalan veri parçaları (otomatik ayıklama uygulanır)	Standart Sözleşme (m.9/4-c)
Anthropic, PBC	Yapay zekâ servisi	ABD	Doğrudan tanımlayıcılardan arındırılmış yorum metinleri, toplulaştırılmış istatistikler	Standart Sözleşme (m.9/4-c)

PostHog (ürün analitiği), e-posta ve SMS gönderim sağlayıcıları ile iyzico Platform Verilerine erişmez; bu sağlayıcılar yalnızca RestoRun'un veri sorumlusu sıfatıyla işlediği hesap verileri bakımından Aydınlatma Metni'nde açıklanmıştır.

Ek-3 — Teknik ve İdari Tedbirler

Teknik tedbirler

1. İletimde TLS 1.2 ve üzeri; depolamada disk ve veri tabanı düzeyinde şifreleme.
2. API kimlik bilgilerinin uygulama katmanında ayrı anahtarlarla şifrelenmesi; anahtarların anahtar yönetim sisteminde tutulması; panelde yalnızca maskelenmiş gösterim; günlük kayıtlarına yazılmaması.
3. Madde 7'deki minimizasyon ve maskeleme kurallarının veri alım katmanında kod düzeyinde uygulanması ve otomatik testlerle doğrulanması.
4. Yapay zekâ servisine gönderim öncesi otomatik veri temizleme katmanı.
5. Rol tabanlı erişim kontrolü, en az yetki ilkesi, personel erişimlerinde çok faktörlü doğrulama, erişim yetkilerinin üç ayda bir gözden geçirilmesi.
6. Değiştirilemez ve zaman damgalı erişim ve işlem günlükleri; anomali izleme ve uyarı.
7. Müşteriler arasında mantıksal veri ayrımı; üretim, test ve geliştirme ortamlarının ayrılması; test ortamlarında gerçek Platform Verisi kullanılmaması.
8. Web uygulama güvenlik duvarı, DDoS ve bot koruması, hız sınırlama.
9. Şifreli ve düzenli yedekleme; yedeklerden geri dönüş testleri; yedek saklama süresinin 30 günle sınırlandırılması.
10. Güvenlik yamalarının düzenli uygulanması; zafiyet taramaları; yılda en az bir bağımsız sızma testi.
11. Otomatik imha süreçleri ve silme işlemlerinin kayıt altına alınması.

İdari tedbirler

1. Bilgi güvenliği ve kişisel veri koruma politikaları; saklama ve imha politikası; veri işleme envanteri.
2. Personel gizlilik taahhütnameleri; işe giriş ve yıllık eğitimler; görev ayrılığı.
3. Alt İşleyenlerle yazılı veri işleme sözleşmeleri ve yıllık tedarikçi değerlendirmesi.
4. Veri ihlali müdahale planı; yıllık tatbikat; Madde 11'deki bildirim süreçleri.
5. Yıllık iç denetim ve yönetim gözden geçirmesi.

Ek-4 — Veri İhlali Bildiriminin İçeriği

1. İhlalin niteliği ve nasıl gerçekleştiği.
2. İhlalin gerçekleştiği ve tespit edildiği tarih ve saat.
3. Etkilenen veri kategorileri ile yaklaşık İlgili Kişi ve kayıt sayısı.
4. Etkilenen Müşteri mağazaları ve dönem.
5. İhlalin İlgili Kişiler bakımından muhtemel sonuçları.
6. Alınan ve alınması önerilen tedbirler.
7. RestoRun tarafındaki irtibat kişisi ve iletişim bilgileri.
8. Kurul'a yapılacak bildirim için RestoRun'un sağlayabileceği ek belge ve kayıtların listesi.