RESTORAN | Şəxsi Məlumatların Qorunması və Emalı Siyasəti

1. Məqsəd və əhatə

Bu Siyasət, Restoran Elektron İletişim Proqramı Ticarət Anonim Şirkəti tərəfindən həyata keçirilən şəxsi məlumat emalı fəaliyyətlərinin 6698 saylı Şəxsi Məlumatların Qorunması Qanunu ("Qanun" və ya "KVKK"), müvafiq ikincil qanunvericilik və Şəxsi Məlumatları Qoruma Komitəsi qərarlarına uyğun olaraq həyata keçirilməsinə dair əsas qaydaları müəyyən edir.

Siyasət; Restoran mobil tətbiqi, www.restoran.com domen adlı internet saytı, restoran idarəetmə paneli/RezManager, API və kanal inteqrasiyaları, rezervasiya, gözləmə siyahısı, sifariş, çatdırılma və ya götürmə, ön ödəmə, sadiqlik, kampaniya, müştəri dəstəyi, sosial xüsusiyyətlər, müştəri zəka, analitik, təhlükəsizlik, insan resursları, təchizatçı və fiziki ziyarətçi proseslərini əhatə edir.

Bu Siyasət ümumi xarakterlidir. Qanunun 10-cu maddəsi çərçivəsindəki aydınlatma öhdəliyi, müvafiq şəxs və emal fəaliyyəti üzrə ayrıca hazırlanmış aydınlatma mətnləri ilə yerinə yetirilir. Aydın razılıq tələb olunan əməliyyatlarda aydınlatmanın edildiyinə dair razılıq və ya təsdiq tələb olunmur.

2. Hüquqi əsas

• 6698 saylı Şəxsi Məlumatların Qorunması Qanunu və xüsusilə 4, 5, 6, 7, 8, 9, 10, 11, 12 və 13-cü maddələr;

• Aydınlatma Öhdəliyinin Yerinə Yetirilməsində Uyulacaq Usul və Əsaslar Haqqında Təblig;

• Məlumat Məsul Şəxsinə Başvuru Usul və Əsasları Haqqında Təblig;

• Şəxsi Məlumatların Silinməsi, Yox Edilməsi və ya Anonim Hâl Getirilməsi Haqqında İdarəetmə;

• Şəxsi Məlumatların Xaricə Aktarılmasına İlişkin Usul və Əsaslar Haqqında İdarəetmə və cari standart müqavilələr;

• Şəxsi Məlumatları Qoruma Komitəsinin 18.02.2026 tarixli və 2026/347 sayılı İlke Qərarı ilə bağlı cari qərar və rəhbərlər;

• Elektron ticarət ünsiyyəti, istehlakçı, elektron ticarət, vergi, mühasibat, iş, sosial təhlükəsizlik və digər tətbiq olunan qanunvericilik.

3. Təriflər

4. Restoranın məlumat qoruma rolları

Restoranın məlumat qoruma rolu, müqavilədəki adlandırmadan daha çox müvafiq emal fəaliyyətinin məqsəd və vasitələrini faktiki olaraq kimin müəyyən etdiyinə görə müəyyən edilir.

Restoranlarla və digər iş ortaqlarıyla edilən müqavilələrdə məlumat məsul şəxsi/məlumat emal edən rolları, təlimatlar, alt emal edənlər, təhlükəsizlik, pozuntu bildirişi, müvafiq şəxs müraciətləri, məlumatın qaytarılması və məhv edilməsi öhdəlikləri ayrıca tənzimlənir.

5. Şəxsi məlumatların emalında əsas prinsiplər

1. Hüquqa və dürüstlük qaydalarına uyğun hərəkət edilir.

2. Məlumatların düzgün və lazım olduqda güncəl olması təmin edilir.

3. Emal məqsədləri müəyyən, aydın və qanuni olaraq təyin edilir.

4. Məlumatlar, emal edildikləri məqsədlə əlaqəli, məhdud və ölçülü saxlanılır.

5. Məlumatlar, müvafiq qanunvericilikdə nəzərdə tutulan və ya emal məqsədi üçün zəruri olan müddətdən daha uzun saxlanmır.

6. Gereksiz məlumat toplanmır; yeni xüsusiyyətlər məlumat qoruma dizaynı və varsayılan gizlilik prinsipləri ilə inkişaf etdirilir.

7. Eyni məqsada daha az məlumatla çatmaq mümkündürsə, daha az məlumat emal edən metod seçilir.

8. Aydın razılıq, müqavilənin və ya xidmətin məcburi şərti halına gətirilmir; asanlıqla geri alınabilir.

9. Anonim və ya toplulaşdırılmış məlumatlar, şəxsi məlumatlara görə prioritet istifadə olunur.

6. Müvafiq şəxs qrupları

• Üzvlər, potensial üzvlər, rezervasiya/sifariş yaradan şəxslər və rezervasiyaya daxil edilən qonaqlar;

• Restoran müştəriləri, sadiqlik proqramı iştirakçıları, tədbir və təcrübə iştirakçıları;

• Restoran sahibləri, menecerləri, işçiləri, çağrı mərkəzi və səlahiyyətli istifadəçiləri;

• Kuryer, çatdırılma işçiləri və çatdırılma xidmət təminatçısı işçiləri;

• Təchizatçı, iş ortağı, distribyutor, kanal, inteqrasiya və məsləhət firmalarının işçiləri və səlahiyyətliləri;

• İşçilər, təcrübəçilər, işçi namizədləri, keçmiş işçilər və lazım olduqda yaxınları/referansları;

• Veb saytı və mobil tətbiq ziyarətçiləri ilə fiziki məkan ziyarətçiləri;

• Hüquqi mübahisə və ya müraciət proseslərində müvafiq şəxslər.

7. Emal olunan şəxsi məlumat kateqoriyaları

8. Şəxsi məlumatların əldə edilmə metodları və mənbələri

• Mobil tətbiq, internet saytı, RezManager və digər Restoran interfeysləri;

• Restoran veb saytı və tətbiqi, rezervasiya widget-ı, restoran personalı, telefon və çağrı mərkəzi;

• İstifadə edildiyi ölçüdə Google, Michelin/Mozrest, WhatsApp və bənzəri rezervasiya və ya ünsiyyət kanalları;

• POS, ERP, ödəniş, çatdırılma, sadiqlik və bənzəri inteqrasiyalar;

• Bank və lisenziyalı ödəniş qurumları tərəfindən Restorana ötürülən məhdud əməliyyat nəticələri;

• Çerezlər, SDK-lar, sistem logları və icazə verilən cihaz xüsusiyyətləri;

• E-poçt, mesajlaşma, sosial media, dəstək kanalları, formalar və müqavilələr;

• Fiziki sənəd, iş müraciəti, ziyarətçi qeydi və kamera sistemləri;

• Səlahiyyətli dövlət orqanları, hüquqi orqanlar və hüquqi olaraq məlumat paylaşa biləcək üçüncü şəxslər.

Üçüncü bir şəxsin ünsiyyət və ya rezervasiya məlumatlarını Restorana təqdim edən istifadəçi, bu məlumatı paylaşmağa səlahiyyətli olduğunu və müvafiq şəxsə lazım olan məlumatlandırmanın edilməsini təmin etməlidir. Restoran, uyğun olduğu hallarda müvafiq şəxsi ilk təmas zamanı ayrıca aydınlatır.

9. Emal məqsədləri və hüquqi səbəblər

10. Xüsusi keyfiyyətli şəxsi məlumatlar

Xüsusi keyfiyyətli şəxsi məlumatlar yalnız Qanunun 6-cı maddəsində yer alan emal şərtlərindən birinin mövcud olması, emalın zəruri və ölçülü olması və Komitə tərəfindən müəyyən edilmiş kifayət qədər tədbirlərin alınması şərti ilə emal edilir.

• Rezervasiya və ya sifariş qeydlərində sağlamlıq, allergiya, əlillik, əlçatanlıq və ya inancla bağlı məlumat tələb olunmur.

• Lazım olan bir xidmət tələbində bu məlumatlar mümkün olduğu qədər strukturlaşdırılmış, məhdud və qısa müddətli sahələrdə saxlanılır; ümumi marketinq və ya müştəri seqmentasiyasında istifadə edilmir.

• Xüsusi keyfiyyətli məlumatlara giriş vəzifə üzrə bilməli olan şəxslərlə məhdudlaşdırılır; girişlər qeyd altına alınır və ötürmədə əlavə təhlükəsizlik tətbiq olunur.

• İşçi sağlamlığı və cinayət məhkumluğu məlumatları, işə qəbul, iş sağlamlığı və təhlükəsizliyi, sosial təhlükəsizlik və ya bir hüququn təsisi/istifadəsi/qorunması üçün zəruri olan kapsamla məhdudlaşdırılır.

• Aydın razılıq tələb olunan hallarda razılıq müəyyən, ayrı, məlumatlandırılmış və geri alınabilir şəkildə alınır.

11. Müştəri zəka, profilləmə və süni zəka

Restoran; xidmətin təhlükəsizliyi, tutum idarəçiliyi, restoran performansı, istifadəçi təcrübəsi və istifadəçi tərəfindən tələb olunan təkliflərin təqdim edilməsi üçün emal və istifadə məlumatlarından analizlər istehsal edə bilər. Marketinq məqsədilə şəxsə xüsusi kampaniya, davranışsal profilləmə və ya üçüncü tərəf mühitlərdə hədəfli reklam edilməsi ayrı aydın razılığa tabidir.

• Fərqli kanallardakı qeydlər, eyni şəxsin düzgün tanınması və mükərrər qeydlərin qarşısının alınması üçün zəruri və ölçülü olduğu ölçüdə uyğunlaşdırıla bilər.

• Restoranlar arası davranış və xərcləmə məlumatı, müvafiq şəxsə aydın şəkildə bildirilmeden və uyğun hüquqi səbəb olmadan başqa bir restorana şəxs üzrə açıqlanmaz.

• No-show, saxtakarlıq və ya sui-istifadə göstəriciləri kesin hökm olaraq istifadə edilmir; əhəmiyyətli mənfi nəticə doğura biləcək qərarlarda insan qiymətləndirməsi və etiraz imkanı təmin edilir.

• Süni zəka təminatçılarına məlumat ötürülməsi halında məlumat minimizasiyası, mümkün olduğu halda təxəllüs, model təlimi qadağası, saxlanma müddəti, alt emal edənlər və xaricə ötürmə təminatları müqavilə ilə müəyyən edilir.

• İstehsalçı süni zəka üçün göndərilən istifadəçi mesajları və ya əməliyyat məlumatları, hüquqi səbəb və istifadəçi məlumatlandırması olmadan ümumi model təlimi üçün istifadə edilmir.

12. Yurt içində şəxsi məlumat ötürülməsi

Şəxsi məlumatlar, Qanunun 8-ci maddəsindəki şərtlərə uyğun və məqsədlə məhdud olaraq aşağıdakı alıcı qruplarına ötürülə bilər:

• Rezervasiya edilən, sifariş verilən və ya sadiqlik üstünlüyünün istifadə edildiyi restoranlar və yalnız səlahiyyətli işçiləri;

• Bank, lisenziyalı ödəniş qurumu, faktura və maliyyə xidmət təminatçıları;

• Kuryer, çatdırılma və logistika təminatçıları;

• Rezervasiya, sifariş, POS, ERP, CRM, sadiqlik, çağrı mərkəzi və kanal inteqrasiya təminatçıları;

• Bulud, yerləşdirmə, təhlükəsizlik, doğrulama, e-poçt, SMS, push, dəstək, analitik və xəta izləmə xidmət təminatçıları;

• Aydın razılıq və ticarət ünsiyyəti seçimləri çərçivəsində reklam, media, araşdırma və kampaniya təminatçıları;

• Vəkil, maliyyə müşaviri, müstəqil auditor, sığorta və məsləhət xidmət təminatçıları;

• Səlahiyyətli dövlət orqanları, tənzimləyici orqanlar, hüquq mühafizə və hüquqi orqanlar;

• Şirkət birləşməsi, investisiya, yenidən qurma və ya əmlakın ötürülməsi prosesində gizlilik və məlumat qoruma öhdəlikləri altındakı tərəflər; məlumat ötürülməsi tələbləri və ölçülülüklə məhdudlaşdırılır.

13. Şəxsi məlumatların xaricə ötürülməsi

Bulud, yerləşdirmə, e-poçt, bildiriş, təhlükəsizlik, analitik, müştəri dəstəyi, ünsiyyət, süni zəka və ya bənzəri texnologiya xidmətlərinin xaricdə təqdim edilməsi və ya xaricdəki alt emal edənlərə giriş təmin edilməsi halında şəxsi məlumat xaricə ötürülə bilər.

Daimi xaricə ötürmələr, Qanunun 9-cu maddəsində nəzərdə tutulan sıralama və şərtlər əsasında kifayətlilik qərarı və ya uyğun təminat metodlarından biri istifadə edilərək həyata keçirilir. Standart müqavilə istifadə edildiyi halda müqavilənin imzalarının tamamlanmasından etibarən beş iş günü ərzində Kuruma bildiriş edilir. Arızi ötürmə halları daimi və müntəzəm ötürmənin alternativi olaraq istifadə edilmir.

• Hər xidmət təminatçısı üçün ölkə, rol, məlumat kateqoriyası, məqsəd, alt emal edən, ötürmə mexanizması və təhlükəsizlik tədbirləri xaricə ötürmə inventarında saxlanılır.

• Kifayətlilik və ya uyğun təminat olmadan daimi ötürmə edilmir.

• Xaricə ötürmə üçün aydın razılığa dayanılması istisnai və arızi şərtlərlə məhdudlaşdırılır; xidmətin məcburi şərti şəklində ümumi razılıq alınmır.

• Müvafiq şəxsin ötürmə haqqında məlumatlandırılması və cari alıcı qruplarına giriş imkanı təmin edilir.

14. Saxlama, silmə, yox etmə və anonimləşdirmə

Şəxsi məlumatlar, müvafiq qanunvericilikdə nəzərdə tutulan və ya emal məqsədi üçün zəruri olan müddətə qədər saxlanılır. Müddətlər; məlumat kateqoriyası, emal məqsədi, müqavilə və məhkəmə zamanaşımı, maliyyə qanunvericiliyi, təhlükəsizlik ehtiyacı, aydın razılıq/rədd sübutu və müvafiq şəxsin məqbul gözləntisi nəzərə alınaraq şəxsi məlumat emalı inventarları ilə saxlanma və məhv etmə siyasətində müəyyən edilir.

Emal şərtləri ortadan qalxdıqda məlumatlar ilk dövri məhv edilmədə silinir, yox edilir və ya anonim hala gətirilir. Dövri məhv aralığı altı ayı keçə bilməz. Ehtiyatlardakı məlumatlar da girişin məhdudlaşdırılması və ehtiyat döngüsünün tamamlanması yolu ilə məhv etmə planına daxil edilir.

15. Texniki və idarəvi təhlükəsizlik tədbirləri

• Məlumat emalı inventarı, məlumat axın xəritəsi və rol/yetki matrisi saxlanılır; yeni məhsullarda məlumat qoruma təsir qiymətləndirməsi aparılır.

• Çox kirayəçi sistemlərdə restoran, marka, filial və istifadəçi əsaslı məlumat izolyasiyası tətbiq olunur.

• Ən az yetki, vəzifələrin ayrılması, güclü kimlik doğrulama, ayrıcalıklı hesab idarəçiliyi və dövri giriş gözdən keçirmə tətbiq olunur.

• Ötürmə zamanı və uyğun sahələrdə saxlamada şifrələmə; açar, parol, API və gizli məlumat idarəçiliyi tətbiq olunur.

• Kritik əməliyyatlar və idarəçi girişləri loglanır; log bütövlüyü və icazəsiz giriş nəzarəti təmin edilir.

• İstehsal məlumatları test mühitinə birbaşa daşınmaz; lazım olduqda anonimləşdirmə və ya maskalama aparılır.

• Zəiflik idarəçiliyi, təhlükəsiz proqram inkişafı, kod araşdırması, yaman, sızma testi və hadisə izləmə prosesləri həyata keçirilir.

• Təchizatçılar və alt emal edənlər müqavilə öncəsi və risk əsaslı dövri olaraq qiymətləndirilir.

• İşçilərə müntəzəm gizlilik və məlumat təhlükəsizliyi təhsili verilir; gizlilik öhdəlikləri alınır.

• Xüsusi keyfiyyətli məlumat, ödəniş nəticəsi, mesaj və rezervasiya qeydləri üçün əlavə giriş, maskalama və ötürmə tədbirləri tətbiq olunur.

• Silmə və anonimləşdirmə əməliyyatları qeyd altına alınır; anonim məlumatın yenidən kimlikləşdirilmə riski test edilir.

16. Şəxsi məlumat pozuntusu idarəçiliyi

Şəxsi məlumatların qanunsuz əldə edilməsi, erişilməsi, açıqlanması, dəyişdirilməsi, itirilməsi və ya istifadə edilə bilməz hala gəlməsi ehtimalında hadisə dərhal məlumat təhlükəsizliyi və məlumat qoruma məsul şəxslərinə bildirilir. Pozuntu; əhatə, təsirlənən şəxslər, məlumat kateqoriyaları, risk, alınan tədbirlər və bildiriş öhdəlikləri baxımından qiymətləndirilir.

Komitə qərarlarına uyğun olaraq Kuruma bildiriş, pozuntunun öyrənilməsindən etibarən gecikmədən və qayda olaraq ən gec 72 saat ərzində edilir. Müvafiq şəxslərə, pozuntunun mənfi nəticələrini azaltmağa əlverişli üsulla və gecikmədən bildiriş edilir. Məlumat emal edənlər, pozuntunu öyrəndikləri anda müqavilədə müəyyən edilmiş qısa müddət ərzində Restorana bildirir.

17. Müvafiq şəxsin hüquqları və müraciət

Müvafiq şəxslər Qanunun 11-ci maddəsi çərçivəsində; şəxsi məlumatlarının emal olunub-olunmadığını öyrənmə, məlumat tələb etmə, emal məqsədini və məqsədə uyğun istifadəsini öyrənmə, yurt içi/yurt xarici alıcıları bilmək, düzəltmə, silmə/yox etmə, bu əməliyyatların alıcılara bildirilmesini istəmə, münhasıran avtomatik analiz nəticəsinə etiraz etmə və hüquqa zidd emal səbəbindən ziyanın ödənilməsini tələb etmə hüquqlarına malikdir.

Müraciətlər; Suadiye Mah. Kazım Özalp Sk. C Blok No: 60 İç Kapı No: 2 Kadıköy / İstanbul ünvanına yazılı olaraq, KEP/güvənli elektron imza/mobil imza metodlarıyla, Restorana daha əvvəl bildirilmiş və sistemdə qeydli e-poçt ünvanından info@restoran.com ünvanına və ya müraciət məqsədinə yönəlik təqdim olunan tətbiq üzərindən ilətilə bilər. Müraciətlər ən gec 30 gün ərzində nəticələndirilir. Kimlik doğrulama üçün tələbin niteliği ilə ölçülə biləcək əlavə məlumat istənilə bilər.

18. Təşkilat, nəzarət və məsuliyyət

• İdarəetmə, kifayət qədər resurs və məsuliyyət təyini təmin edir.

• Hüquq/KVKK funksiyası qanunvericilik, aydınlatma, müqavilə, müvafiq şəxs müraciəti və pozuntu proseslərini koordinasiya edir.

• Məlumat təhlükəsizliyi və texnologiya bölmələri texniki tədbirləri, giriş nəzarətlərini, log və hadisə müdaxiləsini həyata keçirir.

• Məhsul komandaları yeni emal fəaliyyətini yayına almadan əvvəl gizlilik dizayn kontrolu həyata keçirir.

• İnsan resursları, satış, marketinq, müştəri xidmətləri və əməliyyat bölmələri yalnız səlahiyyətli və məqsədlə məhdud emal edir.

• Siyasət, məlumat emalı inventarı və VERBİS qeydləri müntəzəm olaraq və mühüm dəyişikliklərdə yenilənir.

19. Qüvvədə olma və yeniləmə

Bu Siyasət 10.07.2026 tarixində qüvvəyə minir. Qanunvericilik, məhsul, məlumat axını, təchizatçı və ya təşkilat dəyişikliklərində yenilənir. Cari versiya Restoranın uyğun rəqəmsal kanallarında yayımlanır. Əsaslı dəyişikliklər, müvafiq şəxslərə uyğun üsulla duyurulur.

Əlavə-1: Proses əsaslı minimum KVKK kontrol siyahısı