6698 Sayılı KVKK Uyarınca Aydınlatma Metni

1. Veri Sorumlusunun Kimliği

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca, kişisel verileriniz veri sorumlusu sıfatıyla Naponi İnternet Alışveriş ve Mağazacılık İthalat İhracat Limited Şirketi ("Naponi" veya "Şirket") tarafından aşağıda açıklanan kapsam ve şartlarda işlenmektedir.

2. İşlenen Kişisel Verileriniz ve Toplanma Yöntemleri

• İşletme Yetkilileri ve Çalışanlar İçin: Ad, soyad, e-posta adresi, telefon numarası, IBAN numarası, işletme unvanı, şube bilgisi ve çalışma vardiyası verileri.
• Misafirler (QR menü, bahşiş ve yorum ekranlarını kullananlar) İçin: İşlem tutarı, bahşiş bırakılan personel/masa bilgisi, isteğe bağlı yıldızlı puan ve yorum metni, menü asistanına yazılan sorular ve sohbet geçmişi (soruda paylaşılırsa alerji veya diyet tercihi dahil), IP adresi, tarayıcı/cihaz bilgisi ve bot koruması doğrulama sinyalleri. (Not: Kredi kartı bilgileri asla sunucularımızda tutulmaz.)
• Web Sitesi Ziyaretçileri İçin: IP adresi, tarayıcı/cihaz bilgisi, ziyaret edilen sayfalar, yönlendiren URL, hata kayıtları; yalnızca açık onay verilirse Google Analytics ve Microsoft Clarity çerez kimlikleri ve kullanım kayıtları.

3. Kişisel Verilerin İşlenme Amaçları ve Hukuki Sebepleri

• KVKK m. 5/2-c uyarınca bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması (Bahşiş transferlerinin hesaplanması ve IBAN'a aktarımı).
• KVKK m. 5/2-ç uyarınca veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi (Vergi mevzuatı, muhasebe kayıtları ve 5651 sayılı kanun kapsamındaki log kayıtları).
• KVKK m. 5/2-f uyarınca ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri (Platform güvenliği, sahtekarlık/dolandırıcılık önleme ve hizmet kalitesini ölçümleme).

4. Kişisel Verilerin Aktarımı

• Toplanan kişisel veriler; yasal yükümlülüklerimizin yerine getirilmesi için yetkili adli ve idari mercilere, ödeme altyapısının işletilmesi için lisanslı ödeme kuruluşlarına (Iyzico, PayTR, Stripe vb.) ve bankalara aktarılabilir.
• Hizmetin teknik olarak sunulabilmesi için aşağıdaki hizmet sağlayıcılarla (veri işleyenlerle) çalışırız. Bu sağlayıcıların sunucuları ABD dahil yurt dışında bulunur; bu nedenle verileriniz yurt dışına aktarılır:
• Cloudflare, Inc.: içerik dağıtımı (CDN), ağ güvenliği, Turnstile bot koruması, dosya depolama (R2); çerezsiz ziyaret istatistiği için Cloudflare Web Analytics kullanılabilir. Aktarılan veriler: IP adresi, tarayıcı/cihaz bilgisi, istek bilgileri; işletmelerin yüklediği görsel ve belgeler.
• Railway Corp.: uygulama barındırma ve veritabanı. Platformda tutulan tüm hesap, personel, bahşiş ve geri bildirim verileri bu altyapıda saklanır.
• Functional Software, Inc. (Sentry): uygulama hatalarının tespiti. Aktarılan veriler: hata ayrıntıları, sayfa adresi, tarayıcı/cihaz bilgisi, IP adresi.
• Resend: işlemsel e-posta gönderimi (şifre sıfırlama, bildirim). Aktarılan veriler: e-posta adresi, ad ve e-posta içeriği.
• Google LLC: Gemini API ile yapay zekâ hizmetleri (bkz. Bölüm 6); yalnızca açık onayınızla Google Analytics.
• Microsoft Corporation: yalnızca açık onayınızla, yalnızca tanıtım sayfalarında Microsoft Clarity ile kullanım analizi ve ısı haritası; form alanları maskelenir.
• Google Analytics ve Microsoft Clarity; işletme paneli, çalışan ekranları ve misafir menü/bahşiş/sadakat ekranlarında çalışmaz. Yurt dışı aktarımlar KVKK'nın 9. maddesi uyarınca, hizmet sağlayıcılarla imzalanan standart sözleşmeler çerçevesinde yapılır. Şirketimiz verilerinizi reklam veya pazarlama amacıyla üçüncü kişilere satmaz.

5. İlgili Kişinin KVKK Madde 11 Kapsamındaki Hakları

KVKK'nın 11. maddesi uyarınca; verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde/yurt dışında aktarıldığı 3. kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini isteme ve silinmesini/yok edilmesini talep etme haklarına sahipsiniz. Taleplerinizi [email protected] adresine iletebilirsiniz.

6. Yapay Zekâ Destekli Menü İşleme ve Yurt Dışı Veri Aktarımı

• İşletmelerin yüklediği menü görselleri, PDF belgeleri ve menü metinleri; menü yapısının çıkarılması, çok dilli çeviri, besin değeri ve diyet etiketi önerisi ile ürün görseli iyileştirme için Google LLC'nin Gemini API hizmetiyle işlenir. Bu veriler ABD dahil yurt dışındaki sunuculara aktarılabilir.
• İşletme menü asistanını açtıysa, misafirin asistana yazdığı soru, aynı oturumdaki önceki mesajlar ve seçtiği dil, yanıt üretilmesi için işletmenin menü bilgileriyle birlikte Gemini API'ye gönderilir. Misafirin adı, telefonu, e-postası, ödeme bilgisi ve IP adresi asistan isteğine eklenmez. Ancak misafirin kendi yazdığı metin (örneğin bir alerji veya diyet tercihi) olduğu gibi iletilir; bu nedenle asistana kimlik veya sağlık bilgisi yazılmaması önerilir.
• Yüklenen menü kaynak dosyaları, işletmenin geçmiş kayıtlarını ve içe aktarma taslaklarını doğrulayabilmesi için işletme hesabı süresince erişimi kısıtlı bir depolama alanında (Cloudflare R2) saklanır.