Veri işleme sözleşmesi (DPA)

İşlemenin konusu, işletmenin sipariş alma ve sipariş yönetimi hizmetini kullanmasıdır. İşleme, abonelik sürdüğü sürece devam eder. İşlemenin niteliği otomatik ve kısmen otomatik yollarla toplama, kaydetme, saklama, güncelleme, aktarma ve silmedir.

İşlenen veri kategorileri:

• Kimlik: ad, soyad, WhatsApp profil adı.
• İletişim: telefon numarası, WhatsApp kullanıcı kimliği, varsa e-posta.
• Konum ve adres: teslimat adresi, mahalle, adres tarifi, paylaşılan konum.
• Sipariş: ürünler, tutar, ödeme yöntemi, sipariş notu, değerlendirme.
• Yazışma: WhatsApp mesajları ve gönderilen ses kaydı, fotoğraf, belge.
• İşlem güvenliği: IP adresi, tarayıcı ve cihaz bilgisi, oturum ve erişim kayıtları.

İlgili kişi grupları: işletmenin son müşterileri, işletme personeli ve kuryeleri. İşletme, bu verileri hukuka uygun olarak topladığını ve aydınlatma yükümlülüğünü yerine getirdiğini beyan eder.

Yemek Gelsin, kişisel verileri yalnız işletmenin belgelenmiş talimatıyla ve bu sözleşmede yazılı amaçlarla işler. İşletmenin paneldeki ayarları (çalışma saatleri, teslimat bölgeleri, mesaj tercihleri, personel yetkileri, saklama ayarları) belgelenmiş talimat sayılır.

Yemek Gelsin verileri kendi amaçları için kullanmaz, başka işletmelerle paylaşmaz, son müşterilere kendi adına pazarlama yapmaz ve işletmenin müşteri listesini başka bir işletmeye açmaz. Hukuka aykırı göründüğü değerlendirilen bir talimat yazılı olarak işletmeye bildirilir ve bildirim yanıtlanana kadar uygulanmaz.

Yemek Gelsin personeli ve yüklenicileri yazılı gizlilik ve KVKK taahhütnamesi imzalar. Teknik ve idari tedbirler, Kişisel Verileri Koruma Kurumu’nun Kişisel Veri Güvenliği Rehberi esas alınarak uygulanır:

• Her kayıt işletme kimliğiyle (tenant) etiketlenir; sorgular işletme bağlamı olmadan çalışmaz.
• Aktarımda TLS; WhatsApp ve SMS sağlayıcı anahtarları veritabanında şifreli saklanır.
• Rol bazlı yetki; platform yöneticilerinde iki adımlı doğrulama (TOTP) zorunludur.
• Yetki değişikliği, veri görüntüleme ve dışa aktarma gibi işlemler denetim kaydına yazılır.
• Kayıtlarda telefon numarası ve adres maskelenir.
• Günlük yedek alınır; yedekler şifreli depolamada tutulur ve geri yükleme tatbikatı yapılır.
• Parolalar geri döndürülemez biçimde özetlenir; düz metin parola saklanmaz.

Son müşteriye ait özel nitelikli kişisel veri (sağlık, alerji) toplanacak bir alan üründe bilerek açılmaz. İşletme, sipariş notuna yazılan böyle bir bilgiyi müşteri kaydına taşımamayı kabul eder.

Yemek Gelsin destek ekibi işletmenin verisini yalnız işletmenin talebiyle ya da bir güvenlik olayına müdahale için görür. Her destek erişimi, erişen kişi ve zaman bilgisiyle denetim kaydına yazılır. Destek oturumunda son müşteri telefon numarası maskeli gösterilir ve erişim işletmeye bildirilir.

Yemek Gelsin hizmeti sağlamak için alt işleyen kullanır. Güncel alt işleyen listesi kamuya açık olarak yayımlanır; her alt işleyenin amacı, konumu ve yurt dışına aktarımda KVKK m.9 dayanağı orada yazılıdır.

Yeni bir alt işleyen eklenmesi ya da mevcut birinin değişmesi en az 30 gün önceden işletmeye bildirilir. İşletme bu süre içinde gerekçeli olarak itiraz edebilir; itiraz çözülemezse işletme aboneliği ek ücret ödemeden feshedebilir ve verilerini dışa aktarabilir.

Yemek Gelsin, alt işleyenlerine bu sözleşmedeki yükümlülüklerle en az aynı düzeyde yükümlülük getirir.

Hizmetin barındırıldığı altyapı Türkiye dışındadır. Kişisel veriler, alt işleyen listesi sayfasında konumu yazılı alt işleyenler üzerinden yurt dışında işlenir ve saklanır. Bu nedenle “verileriniz Türkiye’de tutulur” beyanı verilmez.

Aktarım KVKK m.9 uyarınca, Kişisel Verileri Koruma Kurulu’nun ilan ettiği standart sözleşme ile yapılır. Veri işleyen olarak Yemek Gelsin, kendi alt işleyenleriyle gereken modülü (Vİ→Vİ) imzalar ve imzadan itibaren 5 iş günü içinde Kurum’a bildirir; bildirim tarihleri alt işleyen listesinde yayımlanır. İşletmenin kendi veri sorumlusu sıfatıyla yapması gereken bildirimler için Yemek Gelsin gerekli bilgi ve belgeyi sağlar.

Son müşteri KVKK m.11 kapsamında bir başvuru yaptığında muhatap işletmedir. Yemek Gelsin, işletmenin 30 günlük cevap süresine yetişebilmesi için panelde teknik destek sağlar: müşterinin kayıtlı verisini makine okunabilir biçimde dışa aktarma, düzeltme ve silme (anonimleştirme) araçları. Doğrudan Yemek Gelsin’e ulaşan son müşteri başvuruları gecikmeksizin ilgili işletmeye yönlendirilir ve başvuru sahibine bilgi verilir.

Yemek Gelsin bir veri ihlalini öğrendiğinde, en geç 24 saat içinde etkilenen işletmeye bildirir. Bildirimde ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kayıt sayısı, alınan önlemler ve iletişim noktası yer alır. Bu süre, işletmenin Kurul’a karşı 72 saatlik bildirim yükümlülüğünü yerine getirebilmesi içindir. İşletmenin Kurul ve ilgili kişilere yapacağı bildirimler için Yemek Gelsin gereken bilgiyi sağlar.

İşletme, yılda bir kez, makul kapsamda ve yazılı olarak uyum bilgisi isteyebilir. Yemek Gelsin bu talebi güvenlik tedbirleri raporu, soru listesi yanıtı ya da varsa bağımsız denetim veya sertifika belgesiyle karşılar. Yerinde denetim, yalnız raporla giderilemeyen somut bir şüphe varsa ve önceden kararlaştırılan tarihte yapılır.

Taraflar kendi yükümlülüklerinin ihlalinden doğan zarardan sorumludur. Yemek Gelsin’in bu sözleşmeden doğan toplam sorumluluğu, ihlalden önceki 12 ayda işletmenin ödediği abonelik bedeli ile sınırlıdır; kasıt ve ağır ihmal hâlinde bu sınır uygulanmaz. İşletmenin hukuka aykırı talimatından ya da aydınlatma yükümlülüğünü yerine getirmemesinden doğan taleplerde sorumluluk işletmeye aittir.

Abonelik sona erdiğinde işletmeye en az 30 günlük dışa aktarma penceresi verilir: müşteri listesi ve sipariş geçmişi makine okunabilir biçimde indirilebilir. Pencere, gönüllü iptalde dönem sonundan, ödeme sorunlarında kapanış bildiriminden, deneme bitişinde askı süresinden işlemeye başlar.

Pencere kapandıktan sonra kişisel veriler silinir ya da anonim hâle getirilir; silinen veri en geç 35 gün içinde yedeklerden de düşer. Vergi ve ticaret mevzuatındaki saklama süreleri (fatura, sipariş kaydı) ile kabul kayıtlarının saklanması bu kuralın istisnasıdır; bu kayıtlar süresi boyunca yalnız yasal yükümlülük amacıyla saklanır.

• Son müşterilerine yönelik aydınlatma metnini yayımlamak; şablon Yemek Gelsin tarafından sağlanır ve otomatik doldurulur.
• Künye bilgilerini (unvan, adres, telefon, vergi kimlik no) doğru ve güncel tutmak.
• Kişisel verileri hukuka uygun toplamak ve Yemek Gelsin’e hukuka uygun talimat vermek.
• Ticari elektronik ileti gönderimi için gereken onayları almak ve İYS yükümlülüklerini yerine getirmek.
• Panelde personele yalnız gereken yetkiyi vermek, ayrılan personelin erişimini kapatmak, parolaları paylaşmamak.
• Varsa VERBİS kaydını güncel tutmak.
• Menü, fiyat, görsel ve alerjen bilgisinin doğruluğundan sorumlu olmak.