Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("Sözleşme"), dojofood, Inc.'in ("dojofood", "biz") Hizmeti kullanan işletme ("siz", "Müşteri") adına kişisel verileri nasıl işlediğini düzenler. Kullanım Koşullarımızın bir parçasıdır ve Hizmeti kullanmaya başladığınız andan itibaren kendiliğinden uygulanır. Yürürlüğe girmesi için imza gerekmez. Kendi uyum süreciniz karşılıklı imzalı bir nüsha gerektiriyorsa [email protected] adresine yazın, göndeririz.

Bu Sözleşme, Avrupa Ekonomik Alanı'ndaki kişilere hizmet verdiğiniz her durumda uygulanan Avrupa Birliği Genel Veri Koruma Tüzüğü'nün (2016/679 sayılı Tüzük, "GDPR") 28. maddesini; Birleşik Krallık GDPR'ındaki eşdeğer yükümlülükleri; ve Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun veri işleyene ilişkin hükümlerini karşılayacak şekilde hazırlanmıştır.

Bu metin, bilgilendirme amacıyla hazırlanmış bir Türkçe çeviridir; çelişki halinde İngilizce sürüm esastır.

1. Kim neyden sorumlu

Ortada birbirinden farklı iki kişisel veri kümesi var ve ikisi aynı kurallara tabi değil.

Platforma girdiğiniz veriler. Müşterileriniz, cari hesap sahipleriniz ve kendi personeliniz. Neyi neden topladığınıza siz karar verirsiniz. GDPR'ın diliyle siz veri sorumlususunuz, dojofood ise veri işleyendir. Bu Sözleşme o veriyi düzenler.

Bizim sizin hakkınızda tuttuğumuz veriler. Hesabı açan kişi, fatura yetkilisi, sitemizde bir form dolduran kişi. Orada amaçları biz belirlediğimiz için veri sorumlusu dojofood'dur. O veri bu Sözleşmeye değil, Gizlilik Politikamıza ve Aydınlatma Metnimize tabidir.

Bu ayrımın doğru kurulması sizin lehinizedir: müşteri ilişkileriniz üzerinde bize bir hak doğmaz ve müşterilerinizin verisini kendi amaçlarımız için kullanamayız.

2. Konu, süre, nitelik ve amaç

3. bölümde tanımlanan kişisel verileri tek bir amaçla işleriz: Kullanım Koşulları kapsamında size Hizmeti sunmak. Bu, kataloğunuzu ve menülerinizi yürütmek, siparişleri kanallarınız arasında almak ve yönlendirmek, fiş ve adisyonları yazdırmak ve ekranda göstermek, cari bakiyeleri tutmak, raporlarınızı üretmek ve açtığınız entegrasyonları işletmek demektir.

İşleme, hesabınız aktif olduğu sürece ve 10. bölümdeki silme süresi boyunca devam eder.

3. Kimin verisi, hangi veri

Veri sahibi kategorileri

• Müşterileriniz: restoranınızda, QR menünüzden ya da bağladığınız bir paket servis kanalından sipariş veren kişiler
• Cari hesap sahipleriniz: nezdinizde açık hesabı olan kişi ve şirketler
• Personeliniz: kullanıcı tanımladığınız kişiler

Kişisel veri türleri

• Müşteriler: ad, telefon numarası, verilmişse e-posta adresi, teslimat adresi, sipariş ve ödeme geçmişi, siparişe veya masaya iliştirilen notlar, cari bakiyeler
• Personel: ad, rol, kullanıcı tanımı ve sistemde yapılan işlemlerin kaydı. Bu kayıt, kimin ne yaptığını görebilmeniz için vardır
• Açtığınız mali ve faturalama entegrasyonlarının ürettiği belgeler. Bunlar müşterinin adını, adresini ve vergi numarasını taşıyabilir

Özel nitelikli veriler. Hizmet, GDPR'ın 9. maddesi ve KVKK'nın 6. maddesi anlamında özel nitelikli kişisel veri tutmak üzere tasarlanmamıştır. Serbest metin alanlarına sağlık, inanç ve benzeri verileri girmeyin. Bir müşterinin verdiği beslenme notu uygulamada böyle bir bilgiyi açığa çıkarabilir; bu yüzden o notları siparişin gerçekten gerektirdiği kadarıyla tutun.

4. Neyi işlemiyoruz

Kart verisini asla tutmayız. dojofood, tahsil edilecek tutarı ödeme cihazınıza gönderir ve sonucun başarılı olup olmadığını okur. Kart numarası, son kullanma tarihi ve güvenlik kodu Hizmete hiç girmez. Bunları, sizinle kendi sözleşmesi kapsamında ödeme kuruluşunuz tutar ve o sözleşme bu Sözleşmeden etkilenmez.

Kişisel veri satmayız, verinizi başka müşteriler için model eğitmekte kullanmayız ve müşterilerinize pazarlama yapmak için kullanmayız.

5. Talimat sizden gelir

Kişisel verileri yalnızca sizin belgelenmiş talimatınızla işleriz. Hizmeti kullanma biçiminiz, seçtiğiniz ayarlar ve açtığınız entegrasyonlar bu talimatı oluşturur. Bunun dışındaki her şey sizden yazılı bir talep gerektirir; tabi olduğumuz bir hukukun işlemeyi zorunlu kıldığı haller saklıdır. O halde de, hukuk yasaklamadıkça, işlem yapmadan önce size bildiririz.

Bir talimatınızın veri koruma mevzuatını ihlal ettiğini düşünürsek size söyleriz. Size hukuki danışmanlık verme yükümlülüğümüz yoktur ve veri koruma görevliniz sıfatıyla hareket etmeyiz.

6. Sizin sorumluluğunuz

Neyin toplanacağına siz karar verirsiniz ve veri sorumlusunun yükümlülükleri sizdedir: hukuka uygun bir işleme sebebine sahip olmak, müşterilerinizi verileriyle ne yaptığınız konusunda aydınlatmak, taleplerini yanıtlamak, tuttuğunuz veriyi doğru ve ihtiyacınızdan fazla olmayacak şekilde tutmak. Açık rızaya dayandığınız yerde rızayı siz alırsınız. Hukuka uygun bir sebebe dayanmadan Hizmete kişisel veri girmeyin.

7. Gizlilik ve güvenlik

dojofood'da verinize erişimi olan herkes, görevi sona erdikten sonra da devam eden gizlilik yükümlülüğü altındadır ve erişim, Hizmeti yürütmek veya size destek vermek için buna ihtiyacı olan kişilerle sınırlıdır.

GDPR'ın 32. maddesinin gerektirdiği şekilde, riske uygun teknik ve idari tedbirleri sürdürürüz. Bunlar arasında aktarım sırasında şifreleme, verinin durağan halde şifrelenmesi, rol bazlı yetkilendirme ve müşteri hesapları arasında ayrım, yönetici erişiminin loglanması, düzenli yedekleme ve Hizmetin geri yüklenmesine ilişkin belgelenmiş bir süreç yer alır.

8. Alt işleyenler

Alt işleyen kullanmamıza genel yetki vermiş olursunuz. Şu kategorilerde alt işleyen kullanırız:

• Hizmetin verisini saklayan bulut barındırma ve veritabanı altyapısı
• Hizmetin sizin adınıza gönderdiği mesajlar için işlemsel e-posta altyapısı
• Hata ve performans izleme
• Kendi açtığınız paket servis, ödeme, mali ve mesajlaşma entegrasyonları

Her biri bu Sözleşmeden daha az koruyucu olmayan yazılı şartlara tabidir ve yaptıklarından size karşı biz sorumlu kalırız.

Alt işleyenlerin güncel listesi, her birinin ne yaptığı ve veriyi nerede tuttuğu bilgisiyle birlikte [email protected] adresinden temin edilebilir. Bir alt işleyen eklemeden veya değiştirmeden en az 30 gün önce size bildiririz. Veri korumasına ilişkin makul bir itirazınız varsa bu 30 gün içinde bize iletin, birlikte bir alternatif ararız; alternatif yoksa Hizmetin etkilenen kısmını, kullanılmayan süre için bir bedel ödemeden sonlandırabilirsiniz.

Bağladığınız bir paket servis pazaryeri bizim alt işleyenimiz değildir. Sizinle ve müşteriyle kendi ilişkisi olan, kendi amaçlarını kendi belirleyen ayrı bir şirkettir. Biz, sizin talimatınızla, o platform ile hesabınız arasında siparişleri taşırız.

9. Veri nerede tutulur, yurt dışına aktarım

Bugün Hizmetin verisi Almanya'da barındırılmaktadır. Barındırma bölgesini, Amerika Birleşik Devletleri ya da Türkiye dahil olmak üzere değiştirebiliriz. Bunu, geçerli bir aktarım mekanizması olmadan yapmayız; ayrıca bölge değişikliği alt işleyenlerimizde bir değişikliktir, dolayısıyla 8. bölüm uygulanır: en az 30 gün önceden bildirim alır ve itiraz hakkınızı kullanabilirsiniz.

Erişim ayrı bir sorudur ve bunu size varsayıma bırakmak yerine açıkça yazmayı tercih ediyoruz. dojofood, Inc. Amerika Birleşik Devletleri'nde kuruludur ve ekibimiz Türkiye'den, Avrupa'dan ve Amerika Birleşik Devletleri'nden çalışır. GDPR bakımından veriye AEA dışından erişmenin kendisi bir aktarımdır, veri Almanya'da dursa bile. Yani barındırma bölgesi ne olursa olsun burada aktarım vardır.

Bir aktarım gerçekleştiğinde Avrupa Komisyonu'nun Standart Sözleşme Hükümlerine (2021/914 sayılı Karar), Birleşik Krallık GDPR'ının uygulandığı yerde Birleşik Krallık Ek Protokolü ile birlikte dayanırız ve gerektiği hallerde aktarım etki değerlendirmesi yaparız. Bu bakımdan Türkiye bir üçüncü ülkedir: Türkiye'yi kapsayan bir yeterlilik kararı bulunmadığından, Türkiye'den erişim Amerika Birleşik Devletleri'nden erişimle aynı statüdedir ve aynı Hükümler kapsamındadır. Türkiye'den yapılan aktarımlarda 6698 sayılı Kanun kapsamında mevcut mekanizmalara dayanırız.

Alt işleyen listesi, her sağlayıcının veriyi hangi bölgede tuttuğunu belirtir. Sorun, herhangi biri için hangi aktarım mekanizmasının geçerli olduğunu size söyleriz.

10. Silme ve iade

Hesabınız aktif olduğu sürece kataloğunuzu, siparişlerinizi ve raporlarınızı dilediğiniz zaman dışa aktarabilirsiniz.

Hesabınız sona erdiğinde, sizin adınıza işlediğimiz kişisel verileri hesabınızın bitiminden itibaren 90 gün içinde sileriz; silme tarihinden önce talep etmeniz halinde size iade ederiz. Yedekler kendi olağan döngüsünde üzerine yazılır, bu da en fazla 90 gün daha sürer. Bu sürelerin ötesinde veriyi yalnızca tabi olduğumuz bir hukukun gerektirdiği hallerde ve gerektirdiği süre boyunca saklarız.

11. Yükümlülüklerinizde size yardım

Veri sahibi talepleri. Bir müşteriniz ya da personeliniz bir hakkını kullanmak için doğrudan bize başvurursa, sizin yerinize yanıt vermeyiz. Talebi gecikmeksizin size iletir ve yanıtlamanıza, Hizmetin kendi araçlarının kapsadığı ölçüde onları kullanarak yardımcı oluruz.

İhlaller. Verinizi etkileyen bir kişisel veri ihlalinden haberdar olursak, gecikmeksizin ve her halükârda 48 saat içinde, bildiğimizle birlikte size haber veririz: ne olduğu, hangi veri kategorilerinin ve yaklaşık kaç kişinin etkilendiği, olası sonuçları ve bu konuda ne yaptığımız. Denetim otoritesine ve gerektiğinde etkilenen kişilere bildirim yapmak, veri sorumlusu olarak sizin kararınız ve sorumluluğunuzdur.

Değerlendirmeler. Bir veri koruma etki değerlendirmesi ya da denetim otoritesine ön danışma için makul olarak ihtiyaç duyduğunuz bilgiyi size veririz.

12. Denetim

Makul bir yazılı bildirimle, bir denetim otoritesi ya da bir ihlal aksini gerektirmedikçe yılda birden fazla olmamak üzere, bu Sözleşmeye uygunluğu göstermek için gereken bilgiyi sunar ve sizin ya da rakibimiz olmayan bir denetçinin yürüteceği denetime izin veririz. Denetim mesai saatlerinde yapılır, Hizmeti aksatmamalıdır ve gizliliğe tabidir. Soruyu karşıladığı ölçüde bir denetim talebini güncel bir üçüncü taraf raporu veya sertifikasyonla karşılayabiliriz.

13. Öncelik sırası ve değişiklikler

Bu Sözleşme ile Kullanım Koşulları arasında kişisel verilerin işlenmesi konusunda bir çelişki olursa bu Sözleşme üstündür. Standart Sözleşme Hükümleriyle çelişirse o Hükümler üstündür.

Mevzuattaki, Hizmetteki ya da alt işleyenlerimizdeki bir değişikliği yansıtmak için bu Sözleşmeyi güncelleyebiliriz. Güncel sürümü yeni tarihiyle burada yayımlarız; esaslı bir değişiklikte yürürlüğe girmeden önce size bildiririz.

14. İletişim

Bu Sözleşmeye ilişkin her konu için, karşılıklı imzalı nüsha, alt işleyen listesi ve veri koruma soruları dahil: [email protected], ya da posta ile dojofood, Inc., 1111B South Governors Avenue, Suite 59952, Dover, DE 19904, Amerika Birleşik Devletleri.