Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni
Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 10. maddesi uyarınca sizi bilgilendirmek için hazırlandı. Metin iki gruba hitap eder:
- İşletme kullanıcıları: Tabelo'ya kayıt olan, paneli kullanan kafe ve restoran sahipleri ya da çalışanları.
- Misafirler: Bir işletmenin QR kodunu okutup Tabelo üzerindeki menüyü görüntüleyen kişiler.
1. Veri sorumlusu
Kişisel verileriniz, veri sorumlusu (verinin neden ve nasıl işleneceğine karar veren kişi) sıfatıyla aşağıdaki kişi tarafından işlenir:
| Veri sorumlusu | Pixenzo – Fatih Özpolat — "Tabelo" hizmetinin sağlayıcısı |
| E-posta | [email protected] |
| VERBİS kaydı | Kurul kararıyla belirlenen kayıt yükümlülüğü istisnası kapsamında |
| Web sitesi | https://tabelo.tr |
2. İşletme kullanıcılarının verileri
2.1 Hangi verileri işliyoruz?
Ödeme şu an kapalıdır. Aşağıda "ödeme", "fatura" ve "onay kaydı" geçen satırlar yalnız ücretli paketler açıldığında uygulanır; o zamana kadar bu veriler toplanmaz.
| Veri kategorisi | Veriler | Nereden geliyor |
|---|---|---|
| Kimlik | Ad soyad (isteğe bağlı; kayıtta istenmez) | Panel "Hesap" sayfası, girerseniz |
| İletişim | E-posta adresi ve doğrulanıp doğrulanmadığı (doğrulama tarihi) | Kayıt formu; doğrulama bağlantısına tıkladığınızda |
| Sözleşme kaydı | Kullanım Koşulları'nı kabul ettiğiniz tarih ve kabul ettiğiniz sürüm | Otomatik, kayıt sırasında |
| Hesap güvenliği | Parola (yalnız geri çevrilemez özet/hash olarak), oturum kimliği, şifre sıfırlama ve e-posta doğrulama için tek kullanımlık, süreli bağlantılar | Kayıt ve giriş formu, tarayıcı çerezi, "Şifremi unuttum" formu |
| İşletme bilgisi | İşletme adı, menü adresi (/@adres), işletmenin telefonu, e-postası, adresi, harita bağlantısı, sosyal medya hesapları, açılış saatleri, logo ve kapak görseli | Kayıt formu ve panel "İşletme" sayfası |
| Menü içeriği | Kategori, ürün adı, açıklama, fiyat, fiyatın geçerlilik tarihi, alerjen ve etiket bilgisi, ürün görselleri, tema seçimi | Panel |
| Paket ve deneme bilgisi | Hesabınızın paketi (Başlangıç ya da Pro) ve deneme süresinin bitiş tarihi. Ödeme açıldığında ayrıca: ödeme dönemi (aylık/yıllık), dönemin başlangıç ve bitiş tarihi, yükseltme kaydı | Otomatik, kayıt sırasında atanır; ödeme açılınca paket seçiminizden ve ödeme sonucundan |
| Ödeme ve sipariş (ücretli paketler açıldığında, yalnız ödeme yaparsanız) | Ad soyad, e-posta, telefon, fatura adresi; sipariş numarası, satın alınan paket ve dönem, tutar (KDV dahil), ödeme tarihi ve sonucu (başarılı / başarısız); ödeme sırasındaki IP adresi | Panelin "Paket" ekranındaki ödeme formu; ücretli paketler açıldığında ödeme kuruluşu PayTR'ın ödeme sonucu bildirimi |
| Fatura (ücretli paketler açıldığında) | Faturadaki alıcı bilgileri (ad soyad, adres, telefon; isteğe bağlı olarak ticaret unvanı, vergi numarası ya da T.C. kimlik numarası), fatura tarihi, numarası ve tutarı. Gerçek kişi işletmesinde vergi numarası ya da T.C. kimlik numarası kişisel veridir. | Ödeme ve sipariş bilgilerinden; faturayı biz düzenleriz |
| Onay kaydı (ücretli paketler açıldığında, yalnız ödeme yaparsanız) | Ön Bilgilendirme Formu ve Mesafeli Satış Sözleşmesi'ni hangi sürümüyle, ne zaman onayladığınız, onaylayan kullanıcı ve IP adresi | Otomatik, ödeme adımında onay kutusunu işaretlediğinizde |
Kart bilgisi: Kart numaranızı, son kullanma tarihini ve güvenlik kodunu (CVV) biz almayız ve saklamayız. Bu bilgileri ödeme sayfamıza gömülü PayTR ödeme çerçevesine (iFrame) doğrudan girersiniz; yalnız PayTR işler. Kartınız bizde kayıtlı tutulmaz ve kartınızdan otomatik (tekrarlayan) çekim yapılmaz. | İşlem güvenliği | Panelde yaptığınız değişikliklerin kaydı (hangi kullanıcı, hangi kayıtta, hangi alanı, ne zaman değiştirdi) | Otomatik, panel kullanımı sırasında | | İşlem güvenliği | IP adresi, tarayıcı bilgisi (user-agent), istenen sayfa adresi, tarih-saat | Otomatik, sunucu erişim kaydı | | İşlem güvenliği | Giriş denemelerini sınırlamak için e-posta + IP adresinden oluşan geçici anahtar | Otomatik, giriş sırasında |
İşletme bilgileri bir tüzel kişiye aitse kişisel veri sayılmaz. Ancak gerçek kişi işletmelerinde işletmenin telefonu, e-postası ve adresi işletme sahibinin kişisel verisi olabilir.
Özel nitelikli kişisel veri (sağlık, biyometrik veri vb.) istemiyoruz. Ürünlerdeki alerjen bilgisi bir yiyeceğe aittir, kişiye ait değildir.
2.2 Hangi amaçlarla ve hangi hukuki sebeple?
| Amaç | Hukuki sebep (KVKK m.5/2) |
|---|---|
| Hesabınızı açmak, giriş yapmanızı sağlamak, menünüzü yayımlamak, QR kodunuzu üretmek | (c) Sözleşmenin kurulması ve ifası için gerekli olması — Kullanım Koşulları |
| E-posta adresinizi doğrulamak; şifre sıfırlama bağlantısı ve hizmetle ilgili zorunlu bildirimleri (deneme, paket, silme bildirimi) e-postayla göndermek | (c) Sözleşmenin ifası — Kullanım Koşulları madde 3, 4 ve 14 |
| Kullanım Koşulları'nı hangi sürümle ve ne zaman kabul ettiğinizi ispat etmek | (e) Bir hakkın tesisi, kullanılması veya korunması |
| Deneme süresini ve paketinizi takip etmek, deneme bitişini panelde (ödeme açıldığında ayrıca e-postayla) size bildirmek; deneme bitince Kullanım Koşulları madde 3.3'teki kuralı uygulamak (menünün yayında kalması ya da yayından kalkması, verinin saklanması ve silinmeden önce size haber verilmesi); ödeme açıldığında paket döneminizin bitişini hatırlatmak (yenileme sizin ödemenizle, elle yapılır), dönem bitince aynı kuralı uygulamak, cayma ve iade işlemlerini yürütmek | (c) Sözleşmenin ifası — Kullanım Koşulları madde 3 |
| Ödeme açıldığında: paket ödemesini almak, ödemeyi PayTR aracılığıyla gerçekleştirmek, ödeme sonucuna göre paketinizi ve dönem bitişinizi işlemek, sipariş ve ödeme bilgisini size e-postayla iletmek | (c) Sözleşmenin kurulması ve ifası — Mesafeli Satış Sözleşmesi |
| Ödeme açıldığında: faturanızı düzenlemek, fatura ve muhasebe kayıtlarını kanuni süre boyunca saklamak | (ç) Hukuki yükümlülük — 213 s. Vergi Usul Kanunu ve 6102 s. Türk Ticaret Kanunu (bkz. 2.4) |
| Ödeme açıldığında: Ön Bilgilendirme Formu ve Mesafeli Satış Sözleşmesi'ni onayladığınızı ispat etmek | (ç) Hukuki yükümlülük — Mesafeli Sözleşmeler Yönetmeliği m.20/1 (satıcı, bilgilendirme ve cayma işlemlerine ilişkin bilgi ve belgeyi saklar) ve (e) bir hakkın tesisi, kullanılması veya korunması |
| Ödeme açıldığında: ödeme sırasında dolandırıcılığı ve kart kötüye kullanımını önlemek (IP adresinin PayTR'a iletilmesi) | (c) Sözleşmenin ifası ve (f) meşru menfaat |
| Menünüzde yayımlamak istediğiniz işletme iletişim bilgilerini göstermek | (c) Sözleşmenin ifası |
| Hesap ve sistem güvenliği: yetkisiz girişi ve kaba kuvvet denemelerini engellemek, hataları ve kötüye kullanımı tespit etmek | (f) Meşru menfaat |
| Panel değişiklik kaydını tutmak (kimin neyi değiştirdiğini izlemek, uyuşmazlıkta ispat) | (f) Meşru menfaat ve (e) bir hakkın tesisi, kullanılması veya korunması |
| Yetkili kurumların kanuna dayalı taleplerini karşılamak, erişim kayıtlarını mevzuatın gerektirdiği süre saklamak | (ç) Hukuki yükümlülük |
Açık rızanıza dayanan bir işleme yoktur. Pazarlama e-postası ya da SMS göndermiyoruz; bu değişirse ayrıca ve önceden izninizi isteriz.
2.3 Nasıl topluyoruz?
Verileri, kayıt, panel ve ödeme formlarına girdiğiniz bilgilerden, sistemin çalışırken otomatik tuttuğu kayıtlardan (sunucu erişim kaydı, değişiklik kaydı, oturum çerezi, onay kaydı) ve ödeme yaptığınızda PayTR'ın bize ilettiği ödeme sonucu bildiriminden tamamen otomatik yollarla elde ederiz.
2.4 Ne kadar saklıyoruz?
| Veri | Saklama süresi |
|---|---|
| Deneme bitmiş, ücretli pakete geçilmemiş hesabın ya da ücretli dönemi bitmiş ve yenilenmemiş hesabın hesap, işletme, menü, paket ve deneme verileri | Deneme bitiminden (ücretli pakette dönemin bitiş tarihinden) itibaren 90 gün; sonra silinir ya da anonim hâle getirilir. Silmeden en az 14 gün önce e-postayla ve panelde haber veririz (Kullanım Koşulları madde 3.3(b) ve 3.8). Ödeme, fatura ve onay kayıtları bu silmeden etkilenmez; aşağıdaki satırlarda yazan süre boyunca saklanır. Bu kural ödeme açıldıktan sonra uygulanır; ödeme açılana kadar deneme bitmiş hesabın verileri bir sonraki satırdaki gibi saklanır. |
| Paketi açık hesabın (deneme süren ya da ücretli) hesap, işletme, menü, paket ve deneme verileri | Hesabınız açık olduğu sürece. Hesabınızı panelden sildiğinizde hesap, işletme, menü, görsel ve panel değişiklik kayıtlarınız hemen ve kalıcı olarak silinir (yedekler için aşağıdaki satır). Ödeme yaptıysanız ödeme, fatura ve onay kayıtlarınız hesap silinse de aşağıdaki süre boyunca saklanır. |
| Fatura ile faturaya dayanak sipariş ve ödeme kayıtları (ad soyad ya da unvan, adres, e-posta, telefon, sipariş numarası, paket, dönem, tutar, ödeme tarihi) | Faturanın düzenlendiği takvim yılının bitişinden itibaren 10 yıl (6102 s. TTK m.82/5-6; 213 s. VUK m.253'teki 5 yıllık süre bunun içinde kalır). Süre sonunda silinir ya da yok edilir. |
| Ön Bilgilendirme Formu ve Mesafeli Satış Sözleşmesi onay kaydı | İşlem tarihinden itibaren 3 yıl (Mesafeli Sözleşmeler Yönetmeliği m.20/1). Onay kaydı bir faturaya bağlıysa fatura ile birlikte, yukarıdaki süre boyunca saklanır. |
| Başarısız ya da yarıda kalan ödeme denemeleri (faturası olmayan sipariş kayıtları) | Ödeme şu an kapalı olduğu için bu kayıt oluşmaz. Saklama süresi, ücretli paketler açılmadan önce bu metne yazılır. |
| Yedekler | Yedekler aynı sunucuda (Hosting Dünyam, Türkiye) tutulur ve 14 gün saklanır. Sildiğiniz veri, en geç bu sürenin sonunda yedeklerden de çıkar; bu sürede yedekler yalnız veri kaybını gidermek için kullanılır. |
| Oturum kaydı | Son işleminizden itibaren 120 dakika; çıkış yapınca hemen geçersiz olur |
| Giriş denemesi sınırlama anahtarı | Birkaç dakika (otomatik silinir) |
| E-posta doğrulama ve şifre sıfırlama bağlantıları | 60 dakika geçerlidir; süresi dolan şifre sıfırlama kayıtları otomatik silinir |
| Panel değişiklik kaydı | 365 gün; süresi dolan kayıtlar her gün otomatik silinir |
| Sunucu erişim kaydı (IP, tarayıcı, adres, zaman) | 12 ay; süre sonunda silinir. |
3. Misafirlerin (menüyü görüntüleyenlerin) verileri
Menü sayfaları çerez kullanmaz, form içermez ve sizden ad, telefon ya da konum istemez. Menüyü açtığınızda sunucumuz yalnızca şu teknik kaydı tutar:
| Veri | Amaç | Hukuki sebep |
|---|---|---|
| IP adresi, tarih-saat, görüntülenen sayfa adresi (hangi işletmenin menüsü), tarayıcı bilgisi (user-agent), yönlendiren sayfa | Hizmetin güvenliği, kötüye kullanım ve saldırıların tespiti, hata ayıklama; mevzuat gerektiriyorsa trafik bilgisini saklamak | KVKK m.5/2-(f) meşru menfaat; yer sağlayıcı sayılırsak (ç) hukuki yükümlülük |
- Toplama yöntemi: tarayıcınızın sunucuya gönderdiği istekten, otomatik olarak. İstek sunucumuza Cloudflare, Inc. (ABD) üzerinden ulaşır; IP adresiniz ve istek bilgisi bu yolla yurt dışına aktarılır (bölüm 4, "Yurt dışına aktarım").
- Saklama: 2.4'teki "sunucu erişim kaydı" satırı.
- Bu kaydı menü sahibi işletmeyle paylaşmayız; işletme panelinde ziyaretçi listesi ya da istatistiği yoktur.
- Menüde gördüğünüz fiyat, alerjen ve işletme bilgilerini işletme kendisi girer; bunların doğruluğundan işletme sorumludur.
4. Verileri kimlere, hangi amaçla aktarıyoruz?
| Alıcı grubu | Hangi veri | Amaç |
|---|---|---|
| Barındırma (sunucu) sağlayıcısı: Hosting Dünyam Bilişim Teknolojileri Tic. Ltd. Şti., İstanbul / Türkiye | Tüm veriler, görseller ve yedekler (sunucuda tutulduğu için) | Hizmetin çalışması; sağlayıcı bizim adımıza ve talimatımızla işler (veri işleyen) |
| Ağ ve güvenlik hizmeti (vekil sunucu / CDN): Cloudflare, Inc., ABD | Sitenin bütün sayfalarına (panel, tanıtım ve misafir menü sayfaları) yapılan her istekte IP adresi, tarayıcı bilgisi (user-agent), istenen adres, tarih-saat ve isteğin içeriği (panelde formlara girdiğiniz bilgiler dahil); sunulan sayfa ve görseller (görseller Cloudflare'de kalıcı saklanmaz, hız için geçici önbelleğe alınabilir) | Siteye erişimin sağlanması, saldırılara karşı koruma, içeriğin hızlı sunulması (veri işleyen). Yurt dışına aktarımdır, aşağıya bakın |
| E-posta gönderim sağlayıcısı: Resend (Plus Five Five, Inc., ABD) | Hesap e-posta adresiniz, adınız (girdiyseniz), size gönderdiğimiz e-postanın içeriği (doğrulama ve şifre sıfırlama bağlantıları, hizmet bildirimleri) ve gönderim/teslim kaydı | E-postaların size ulaştırılması (veri işleyen). Yurt dışına aktarımdır, aşağıya bakın |
| Ücretli paketler açıldığında ödeme kuruluşu PayTR (yalnız ödeme yaparsanız) | Ad soyad, e-posta, telefon, fatura adresi, IP adresi, sepet (paket, dönem, tutar), sipariş numarası. Kart bilgisini PayTR'a siz doğrudan girersiniz; bizden geçmez | Kartla ödemenin alınması, ödeme güvenliği ve dolandırıcılık kontrolü; ödeme kuruluşunun kendi mevzuatından doğan yükümlülükleri. Hukuki sebep: KVKK m.8/2-(a) ile m.5/2-(c) sözleşmenin ifası |
| Yetkili kamu kurum ve kuruluşları, yargı mercileri | Talep edilen veriler; fatura kayıtları vergi idaresine mevzuatın gerektirdiği ölçüde | Kanuni yükümlülüğün yerine getirilmesi |
| Menüyü görüntüleyen herkes | Menünüzde yayımladığınız işletme ve ürün bilgileri | Hizmetin kendisi: menü herkese açık bir sayfadır |
Ödeme verisinin yolu (ücretli paketler açıldığında). Panelde "Satın al" düğmesine bastığınızda ödeme bilgileriniz şu sırayla iletilir: Tabelo → Pixenzo Ödeme Merkezi → PayTR.
- Pixenzo Ödeme Merkezi pixenzo.net adresinde çalışır ve Tabelo'yu sunan aynı satıcının (Pixenzo – Fatih Özpolat) ödeme sistemidir. Ayrı bir şirket ya da ayrı bir veri sorumlusu değildir. Ödeme Merkezi'nin barındırma bilgisi, ücretli paketler açılmadan önce bu metne eklenir.
- Ödeme Merkezi'ne geçen veriler: e-posta, IP adresi, ad soyad, fatura adresi, telefon, sepet (paket, dönem), tutar ve sipariş numarası.
- Kart bilgisi yalnız PayTR'da işlenir.
- Kart ekstrenizde işyeri adı olarak "Tabelo" yerine "Pixenzo" ya da "pixenzo.net" görünebilir.
Verilerinizi reklam, pazarlama ya da satış amacıyla üçüncü kişilere vermeyiz.
Yurt dışına aktarım
Sunucumuz, yedekler ve görseller Türkiye'dedir (Hosting Dünyam). Ancak aşağıdaki iki hizmet sağlayıcımız ABD'de yerleşiktir; bu nedenle bazı kişisel verileriniz yurt dışına aktarılır:
| Alıcı (veri işleyen) | Ülke | Hangi veri | Amaç |
|---|---|---|---|
| Cloudflare, Inc. | ABD | Sitenin bütün sayfalarına (panel, tanıtım ve misafir menü sayfaları) yapılan her istekte IP adresi, tarayıcı bilgisi (user-agent), istenen adres, tarih-saat ve isteğin içeriği (panelde formlara girdiğiniz bilgiler dahil) | Siteye erişimi sağlamak, siteyi saldırılara (ör. DDoS) karşı korumak, sayfa ve görselleri hızlı sunmak. İstekler sunucumuza Cloudflare üzerinden ulaşır; misafirlerin IP adresi de bu yoldan geçer |
| Resend (Plus Five Five, Inc.) | ABD | Hesap e-posta adresiniz, adınız (girdiyseniz), size gönderdiğimiz e-postanın içeriği (doğrulama ve şifre sıfırlama bağlantıları, hizmet bildirimleri) ve gönderim/teslim kaydı | Doğrulama, şifre sıfırlama ve hizmet bildirimi e-postalarını [email protected] adresinden size ulaştırmak |
- Dayanak. ABD için Kişisel Verileri Koruma Kurulu'nun yeterlilik kararı yoktur (KVKK m.9/1). Bu aktarımları, KVKK m.9/4-(c)'deki uygun güvenceye, yani Kurul'un ilan ettiği 2 numaralı standart sözleşmeye (veri sorumlusundan veri işleyene aktarım) dayanarak yaparız. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kurum'a bildirilir (KVKK m.9/5; Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.14/5).
- Yeterlilik kararı ve uygun güvence bulunmadığı bir durumda aktarım, yalnız arızi olmak kaydıyla KVKK m.9/6'daki hâllerden birine dayanabilir; örneğin aktarımın sizinle aramızdaki sözleşmenin ifası için zorunlu olması (m.9/6-b).
- PayTR (ücretli paketler açıldığında): PayTR, Türkiye'de 6493 s. Kanun kapsamında faaliyet gösteren bir ödeme ve elektronik para kuruluşudur. Ödeme verisini Türkiye dışına aktarıp aktarmadığı (ör. yurt dışındaki kart kuruluşları ya da sunucular) bizce doğrulanmadı.
5. Haklarınız (KVKK m.11)
Veri sorumlusuna başvurarak şunları isteyebilirsiniz:
a) Kişisel verinizin işlenip işlenmediğini öğrenmek, b) İşlenmişse buna ilişkin bilgi istemek, c) İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenmek, ç) Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilmek, d) Eksik veya yanlış işlenmişse düzeltilmesini istemek, e) KVKK m.7'deki şartlar çerçevesinde silinmesini veya yok edilmesini istemek, f) (d) ve (e) bentlerindeki işlemlerin, verinin aktarıldığı üçüncü kişilere bildirilmesini istemek, g) Yalnız otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etmek, ğ) Kanuna aykırı işleme nedeniyle zarara uğradıysanız zararın giderilmesini istemek.
6. Nasıl başvurabilirsiniz?
Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.5'e göre başvurunuzu Türkçe olarak şu yollardan biriyle iletebilirsiniz:
- Güvenli elektronik imza ya da mobil imzalı e-postayla: [email protected]
- İşletme kullanıcıları için: Tabelo hesabınızda kayıtlı e-posta adresinizden [email protected] adresine.
Başvuruda adınız soyadınız, T.C. kimlik numaranız (yabancılar için uyruk ve pasaport ya da kimlik numarası), tebligat adresiniz, varsa e-posta ve telefonunuz ve talebiniz yer almalıdır (Tebliğ m.5/2). Başvurunuzu en geç 30 gün içinde ücretsiz sonuçlandırırız (KVKK m.13/2). İşlem ayrıca maliyet gerektirirse Tebliğ m.7'deki ücret alınabilir.
Başvurunuz reddedilirse, cevabı yetersiz bulursanız ya da süresinde cevap alamazsanız cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz (KVKK m.14/1).