Veri işleme sözleşmesi

Taraflar ve kapsam

Bu sözleşme (GDPR m. 28), veri sorumlusu olarak siz, yani restoran, ile veri işleyen olarak Ospitera arasındadır. Hizmet koşullarının bir parçasını oluşturur ve sizin adınıza kişisel veri işlediğimiz sürece uygulanır. Sürüm 2026-11-05.

İşlediğimiz veriler

Konu ve amaç: müşterilerinizin siparişlerini almak, göstermek, yazdırmak ve teslim etmek, etkinleştirdiğiniz kısa mesajları göndermek ve ilgili destek.

İlgili kişiler: müşterileriniz ve yönetim panelini ve personel ekranını kullanan kendi personeliniz.

Kişisel veriler: müşteri adı, telefon numarası, teslimat adresi, notlar ve sipariş içeriği; personel kullanıcı adları; IP adresleri gibi teknik veriler (yalnızca anahtarlı özetler olarak saklanır).

Süre: Teslimat adresi ve notlar, bir sipariş kapatıldıktan 24 saat sonra, telefon numarası ve soyadı 72 saat sonra silinir; kapatılmamış siparişlerde bu bilgiler 7 gün sonra silinir. Sipariş içeriği ve tutarları, restoranın muhasebesi için restoranın faaliyeti veya hizmet sona erene kadar saklanır.

Yükümlülüklerimiz

Belgelenmiş talimatlar: kişisel verilerinizi yalnızca bu sözleşmedeki amaçlar ve talimatlar, yönetim panelinizde seçtiğiniz ayarlar ve yetkili irtibat kişilerinizin sonraki talimatları doğrultusunda, yurt dışına aktarımlar dahil, işleriz. AB'nin veya bir Üye Devletin hukuku başka bir işleme gerektirirse, o hukuk yasaklamadıkça önce size bildiririz. Bir talimatın veri koruma mevzuatını ihlal ettiğini düşünürsek, size derhal bildirir ve nasıl ilerleyeceğimiz konusunda anlaşana kadar o talimatı askıya alırız.

Ospitera'da erişimi olan herkes gizlilik yükümlülüğü altındadır.

Uygun güvenlik önlemlerini uygularız; bunlar arasında: aktarım sırasında şifreleme, müşteri iletişim verilerinin ve ödeme kimlik bilgilerinin saklanırken şifrelenmesi, özetlenmiş (hash) parolalar ve PIN kodları, restoran başına sınırlandırılmış erişim, istek sınırlama, hassas işlemlerin kayıt altına alınması, yukarıda belirtildiği şekilde otomatik silme ve veritabanı yedekleri yer alır.

Yardım: işlemenin niteliğini ve elimizdeki bilgileri dikkate alarak; müşterilerin haklarını kullanma taleplerinde, güvenlikte, ihlallerin değerlendirilmesi ve bildirilmesinde, etki değerlendirmelerinde ve otoritelerle istişarelerde size yardımcı oluruz. Yönetim panelinizde tek bir müşterinin verilerini dışa aktarmak veya silmek için bir araç bulunur; bu aracın kapsamadığı her şey için desteğe yazın. Sizin işlemenize ilişkin talepleri size derhal iletir ve yasa gerektirmedikçe bunları kendimiz yanıtlamayız; makul olarak elimizde bulunan bilgileri, sürelerinize yetişecek şekilde size veririz.

Verilerinizi etkileyen bir kişisel veri ihlalini, gereksiz gecikme olmaksızın ve öğrendiğimiz andan itibaren 48 saat içinde, kendi yükümlülüklerinizi yerine getirmek için ihtiyaç duyduğunuz bilgilerle birlikte size bildiririz.

Hizmetin sona ermesi: yeni siparişler sona erme tarihinde durur. Bu tarihten sonra 30 gün boyunca hâlâ giriş yapabilir ve dışa aktarabilirsiniz (koşullar 9.4); 30. günde, daha erken silmemizi istemediğiniz sürece, sizin için tuttuğumuz kişisel verileri (siparişler, müşteri verileri, personel ve sahip hesapları, menü ve ayarlarınızdaki iletişim bilgileri) sileriz. Veritabanı yedekleri, veritabanı sağlayıcımızın geri yükleme takvimine göre sona erer ve hiçbir zaman olağan işlemler için kullanılmaz; bir yedek geri yüklenirse silme işlemleri yeniden uygulanır. Yalnızca yasanın bizden gerektirdiklerini saklarız: size kestiğimiz faturalar ve koşulları kabul ettiğinize ilişkin kayıt.

Uyum ve denetimler: bu sözleşmeye uyumu göstermek için makul olarak gerekli bilgileri size verir; sizin veya atadığınız bağımsız bir denetçinin yapacağı, yerinde incelemeler dahil denetimlere, makul bir önceden bildirimle ve gizlilik içinde izin verir ve katkıda bulunuruz. Tekrarı önlemek için rutin denetimler birleştirilebilir; esaslı bir olaydan, işlemede esaslı bir değişiklikten veya uyumsuzluğa dair makul işaretlerden sonra ya da bir denetim otoritesinin talebi üzerine ek denetimler her zaman mümkündür.

Ayrı roller: müşterilerinizin siparişleri ve yönettiğiniz personel hesapları bakımından veri işleyeniniziz. Sizinle müşteri ilişkimiz, faturalandırma, kendi platformumuzun güvenliği ve hukuki talepler bakımından ise gizlilik politikamızda (/legal/privacy) açıklandığı üzere ayrı bir veri sorumlusuyuz. Bu rollerin hiçbiri, müşteri verilerini reklam, ilgisiz profilleme veya yapay zekâ modellerini eğitmek için kullanmamıza izin vermez.

Alt veri işleyenler

/legal/subprocessors sayfasında listelenen alt veri işleyenlere yetki verirsiniz. Onlara aynı veri koruma yükümlülüklerini yükler ve onlardan sorumlu olmaya devam ederiz.

Yeni alt veri işleyenleri yönetim panelinizde en az 30 gün önceden duyururuz. Makul gerekçelerle itiraz edebilirsiniz; sorunu çözemezsek, değişiklikten önce hizmeti sona erdirebilirsiniz.

Yurt dışına aktarımlar

Alt veri işleyen listesi, her sağlayıcının verileri nerede işlediğini belirtir. Veriler Avrupa Ekonomik Alanı'ndan çıktığında, aktarım bir yeterlilik kararına veya böyle bir karar yoksa, gerektiğinde ek önlemlerle birlikte, o sağlayıcıyla kararlaştırdığımız Avrupa Komisyonu standart sözleşme hükümlerine (modül 3, veri işleyenden veri işleyene) dayanır. Sağlayıcılarımızın sonraki aktarımlarını ayrıca değerlendiririz. Geçerli bir mekanizma olmadan aktarım başlamaz. Talep üzerine güvencelerin bir kopyasını, yalnızca ticari açıdan gerekli olduğu ölçüde karartılmış olarak size veririz.

Ülke ekleri

Birleşik Krallık: Birleşik Krallık'tan gelen kişisel veriler, Birleşik Krallık'ın AEA'ya ilişkin yeterlilik düzenlemeleri kapsamında AEA'ya aktarılabilir. Kısıtlı bir aktarım AEA'nın ötesine geçtiğinde, o sağlayıcıyla yaptığımız hükümlere ilişkin Birleşik Krallık Uluslararası Veri Aktarımı Eki (UK International Data Transfer Addendum) kullanılır.

İsviçre: AEA'ya aktarımlar, Federal Konsey'in oradaki korumanın yeterli olduğunu tanımasına dayanır; başka yerlere aktarımlarda, İsviçre Federal Veri Koruma ve Bilgi Komiseri tarafından o varış yeri için tanınan standart sözleşme hükümleri kullanılır.

Brezilya: Belçika'ya ve AB'nin geri kalanına aktarımlar, kapsadığı ölçüde, Brezilya veri koruma otoritesinin (ANPD) Avrupa Birliği'ne ilişkin yeterlilik kararına dayanır. Diğer varış yerleri ve sonraki aktarımlar için onlar için belirtilen mekanizma kullanılır; bu mekanizma ANPD standart sözleşme hükümleri (Karar CD/ANPD 19/2024) ise, bunların tam metni ve doldurulmuş ekleri değiştirilmeden eklenir.

Türkiye: güvence olarak Kişisel Verileri Koruma Kurulu'nun standart sözleşmesi kullanıldığında, herhangi bir aktarım başlamadan önce doğru Türkçe modülü sizinle birlikte doldurur ve imzalarız; imzalanan sözleşme, imzalanmasından itibaren beş iş günü içinde, sözleşmede belirtilen tarafça Kişisel Verileri Koruma Kurumuna bildirilir. Bundan önce Türkiye'deki bir restoran için işlemeye başlamayız.

Quebec: kişisel bilgiler Quebec'ten çıkmadan önce, Özel Sektörde Kişisel Bilgilerin Korunmasına İlişkin Kanun kapsamındaki kendi değerlendirmeniz için ihtiyaç duyduğunuz bilgileri ve yazılı güvenceleri size veririz; değerlendirme size aittir.

Kişisel verilerin yurt dışına gönderilmesine ilişkin kendi kuralları olan diğer ülkeler (örneğin Arjantin, Kolombiya ve Peru): işlememiz hakkında ihtiyaç duyduğunuz bilgileri size verir ve aktarım başlamadan önce o yasanın gerektirdiği hükümleri yürürlüğe koyarız.

Öncelik sırası

Yukarıda belirtilen bir aktarım aracının emredici hükümleri, bu sözleşmeye ve hizmet koşullarına göre önceliklidir. Bunlara tabi olmak kaydıyla, bir ülke eki o ülke bakımından bu sözleşmenin geri kalanına göre önceliklidir ve bu sözleşme kişisel veriler konusunda hizmet koşullarına göre önceliklidir.

İletişim

Gizlilik soruları ve ihlal bildirimleri için irtibat: support@ospitera.com.