RESTAURANTE | Política de Protección y Procesamiento de Datos Personales

1. Objetivo y alcance

Esta Política establece las reglas básicas para el procesamiento de datos personales llevadas a cabo por Restaurante Elektronik İletişim Yazılım Ticaret Anonim Şirketi de acuerdo con la Ley de Protección de Datos Personales No. 6698 ("Ley" o "KVKK"), la legislación secundaria correspondiente y las decisiones de la Junta de Protección de Datos Personales.

La política abarca la aplicación móvil de Restaurante, el sitio web www.reztoran.com, el panel de gestión del restaurante/RezManager, API e integraciones de canal, reservas, lista de espera, pedidos, entrega o recogida, pago anticipado, lealtad, campañas, soporte al cliente, características sociales, inteligencia del cliente, análisis, seguridad, recursos humanos, proveedores y procesos de visitantes físicos.

Esta Política es de carácter general. La obligación de información en el marco del artículo 10 de la Ley se cumple mediante textos de información preparados específicamente para la persona interesada y la actividad de procesamiento. En los procesos que requieren consentimiento explícito, la información y los procedimientos de consentimiento se llevan a cabo por separado; no se busca el consentimiento o aprobación de que se ha realizado la información.

2. Base legal

• Ley de Protección de Datos Personales No. 6698 y en particular los artículos 4, 5, 6, 7, 8, 9, 10, 11, 12 y 13;

• Comunicado sobre los Procedimientos y Principios a Seguir en el Cumplimiento de la Obligación de Información;

• Comunicado sobre los Procedimientos y Principios de Solicitud al Responsable de Datos;

• Reglamento sobre la Eliminación, Destrucción o Anonimización de Datos Personales;

• Reglamento sobre los Procedimientos y Principios Relativos a la Transferencia de Datos Personales al Extranjero y contratos estándar actualizados;

• Decisiones actuales y guías de la Junta de Protección de Datos Personales con fecha 18.02.2026 y número de decisión 2026/347;

• Legislación aplicable sobre comercio electrónico, consumidores, comercio electrónico, impuestos, contabilidad, negocios, seguridad social y otros.

3. Definiciones

4. Roles de protección de datos de Restaurante

El rol de protección de datos de Restaurante se determina en función de quién realmente establece los fines y medios de la actividad de procesamiento en lugar de la nomenclatura en el contrato.

Los roles de responsable de datos/procesador de datos, instrucciones, subprocesadores, seguridad, notificación de violaciones, solicitudes de personas interesadas, obligaciones de devolución y destrucción se regulan en los contratos con restaurantes y otros socios comerciales.

5. Principios básicos en el procesamiento de datos personales

1. Se actúa de acuerdo con las reglas de legalidad y honestidad.

2. Se asegura que los datos sean correctos y actualizados cuando sea necesario.

3. Los fines del procesamiento se definen de manera específica, clara y legítima.

4. Los datos se mantienen limitados y proporcionales a los fines para los cuales se procesan.

5. No se almacenan datos por más tiempo del necesario según la legislación aplicable o el propósito del procesamiento.

6. No se recopilan datos innecesarios; las nuevas características se desarrollan con principios de diseño de protección de datos y privacidad por defecto.

7. Si se puede lograr el mismo propósito con menos datos, se prefiere un método que procese menos datos.

8. El consentimiento explícito no se convierte en una condición obligatoria para el contrato o servicio; debe ser fácilmente revocable.

9. Los datos anónimos o agregados se utilizan preferentemente sobre los datos personales.

6. Grupos de personas interesadas

• Miembros, potenciales miembros, personas que realizan reservas/pedidos y huéspedes incluidos en la reserva;

• Clientes de restaurantes, participantes de programas de lealtad, participantes de eventos y experiencias;

• Propietarios de restaurantes, gerentes, empleados, personal de call center y usuarios autorizados;

• Mensajeros, personal de entrega y empleados de proveedores de servicios de entrega;

• Empleados y representantes de proveedores, socios, distribuidores, canales, integraciones y empresas de consultoría;

• Empleados, pasantes, candidatos a empleo, exempleados y, cuando sea necesario, sus familiares/referencias;

• Visitantes del sitio web y la aplicación móvil, así como visitantes de lugares físicos;

• Personas interesadas en procesos de litigios o solicitudes legales.

7. Categorías de datos personales procesados

8. Métodos y fuentes de obtención de datos personales

• Aplicación móvil, sitio web, RezManager y otras interfaces de Restaurante;

• Sitio web y aplicación del restaurante, widget de reserva, personal del restaurante, teléfono y centro de llamadas;

• Google, Michelin/Mozrest, WhatsApp y otros canales de reserva o comunicación según sea necesario;

• Integraciones de POS, ERP, pago, entrega, lealtad y similares;

• Resultados de transacciones limitadas transmitidos a Restaurante por bancos y proveedores de pago con licencia;

• Cookies, SDK, registros del sistema y características de dispositivos permitidos;

• Correo electrónico, mensajería, redes sociales, canales de soporte, formularios y contratos;

• Documentos físicos, solicitudes de empleo, registros de visitantes y sistemas de cámaras;

• Autoridades públicas competentes, autoridades reguladoras, fuerzas del orden y autoridades judiciales;

• Partes bajo obligaciones de privacidad y protección de datos durante procesos de fusión de empresas, inversión, reestructuración o transferencia de activos; la transferencia de datos se limita a la necesidad y proporcionalidad.

El usuario que proporciona información de contacto o reserva de un tercero a Restaurante es responsable de asegurar que tiene la autoridad para compartir esta información y de garantizar que se proporcione la información necesaria a la persona interesada. Restaurante informará a la persona interesada en el primer contacto cuando sea apropiado.

9. Fines de procesamiento y razones legales

10. Datos personales sensibles

Los datos personales sensibles solo se procesan si existe una de las condiciones de procesamiento establecidas en el artículo 6 de la Ley, si el procesamiento es necesario y proporcional, y si se han tomado las medidas adecuadas determinadas por la Junta.

• No se solicitan datos sobre salud, alergias, discapacidad, accesibilidad o información relacionada con creencias en notas de reservas o pedidos si no son necesarios.

• En una solicitud de servicio necesaria, esta información se mantiene en áreas estructuradas, limitadas y de corta duración; no se utiliza en marketing general o segmentación de clientes.

• El acceso a datos sensibles se limita a las personas que necesitan conocerlos por razones de trabajo; los accesos se registran y se aplican medidas de seguridad adicionales en la transferencia.

• Los datos de salud y condenas penales de empleados se limitan al alcance necesario para el empleo, salud y seguridad laboral, seguridad social o establecimiento/uso/protección de un derecho.

• En los casos que requieren consentimiento explícito, el consentimiento se obtiene de manera específica, separada, informada y revocable.

11. Inteligencia del cliente, perfilado y inteligencia artificial

Restaurante puede generar análisis a partir de datos de procesamiento y uso para la seguridad del servicio, gestión de capacidad, rendimiento del restaurante, experiencia del usuario y presentación de recomendaciones solicitadas por el usuario. La publicidad dirigida, el perfilado conductual o las campañas personalizadas en entornos de terceros están sujetas a consentimiento explícito separado.

• Los registros de diferentes canales pueden ser emparejados en la medida en que sea necesario y proporcional para reconocer correctamente a la misma persona y prevenir registros duplicados.

• La información sobre comportamiento y gastos entre restaurantes no se revela a otro restaurante a nivel personal sin el conocimiento explícito de la persona interesada y sin una razón legal adecuada.

• Los indicadores de no-show, fraude o uso indebido no se utilizan como juicio definitivo; se proporciona evaluación humana y posibilidad de apelación en decisiones que puedan resultar en consecuencias negativas significativas.

• En caso de transferencia de datos a proveedores de inteligencia artificial, se determinan mediante contrato la minimización de datos, seudonimización cuando sea posible, prohibición de entrenamiento de modelos, duración de almacenamiento, subprocesadores y garantías de transferencia al extranjero.

• Los mensajes de usuario o datos operativos enviados a inteligencia artificial generativa no se utilizan para entrenamiento de modelos generales sin razón legal y sin informar al usuario.

12. Transferencia de datos personales dentro del país

Los datos personales pueden ser transferidos a los siguientes grupos de destinatarios de acuerdo con las condiciones del artículo 8 de la Ley y limitados por el propósito:

• Restaurantes donde se realiza la reserva, se realiza el pedido o se utiliza la ventaja de lealtad y solo su personal autorizado;

• Banco, institución de pago con licencia, proveedores de facturación y servicios financieros;

• Proveedores de mensajería, entrega y logística;

• Proveedores de integración de reservas, pedidos, POS, ERP, CRM, lealtad, call center y canal;

• Proveedores de servicios de nube, alojamiento, seguridad, verificación, correo electrónico, SMS, push, soporte, análisis y monitoreo de errores;

• Proveedores de publicidad, medios, investigación y campañas bajo consentimiento explícito y preferencias de comunicación comercial;

• Abogados, asesores financieros, auditores independientes, proveedores de seguros y consultoría;

• Autoridades públicas competentes, autoridades reguladoras, fuerzas del orden y autoridades judiciales;

• Partes bajo obligaciones de privacidad y protección de datos durante procesos de fusión de empresas, inversión, reestructuración o transferencia de activos; la transferencia de datos se limita a la necesidad y proporcionalidad.

13. Transferencia de datos personales al extranjero

Los datos personales pueden ser transferidos al extranjero en caso de que se ofrezcan servicios de nube, alojamiento, correo electrónico, notificación, seguridad, análisis, soporte al cliente, comunicación, inteligencia artificial o tecnología similar en el extranjero o se proporcione acceso a subprocesadores en el extranjero.

Las transferencias regulares al extranjero se realizan utilizando una decisión de adecuación o uno de los métodos de garantía adecuados según lo previsto en el artículo 9 de la Ley. En caso de uso de contratos estándar, se notificará a la Autoridad dentro de cinco días hábiles a partir de la firma del contrato. Las transferencias ocasionales no se utilizan como alternativa a transferencias regulares y continuas.

• Para cada proveedor de servicios, se registran el país, rol, categoría de datos, propósito, subprocesador, mecanismo de transferencia y medidas de seguridad en el inventario de transferencias al extranjero.

• No se realizan transferencias regulares sin una decisión de adecuación o garantía adecuada.

• La dependencia del consentimiento explícito para la transferencia al extranjero es excepcional y se limita a condiciones ocasionales; no se obtiene un consentimiento general como condición obligatoria para el servicio.

• Se asegura que la persona interesada sea informada sobre la transferencia y tenga acceso a los grupos de destinatarios actualizados.

14. Almacenamiento, eliminación, destrucción y anonimización

Los datos personales se almacenan durante el tiempo necesario según la legislación aplicable o el propósito del procesamiento. Los plazos se determinan en el inventario de procesamiento de datos personales y en la política de almacenamiento y destrucción, teniendo en cuenta la categoría de datos, el propósito del procesamiento, la prescripción de contratos y litigios, la necesidad de seguridad, la prueba de consentimiento/rechazo y las expectativas razonables de la persona interesada.

Cuando las condiciones de procesamiento ya no existan, los datos se eliminan, destruyen o anonimizan en la primera eliminación periódica. El intervalo de eliminación periódica no puede exceder de seis meses. Los datos en copias de seguridad también se incluyen en el plan de eliminación mediante la restricción de acceso y la finalización del ciclo de respaldo.

15. Medidas de seguridad técnicas y administrativas

• Se mantiene un inventario de procesamiento de datos, un mapa de flujo de datos y una matriz de roles/autoridades; se realiza una evaluación de impacto en la protección de datos en nuevos productos.

• En sistemas de múltiples inquilinos, se aplica aislamiento de datos basado en restaurantes, marcas, sucursales y usuarios.

• Se aplica el principio de menor privilegio, separación de funciones, autenticación fuerte, gestión de cuentas privilegiadas y revisión periódica de acceso.

• Se aplica cifrado durante la transferencia y almacenamiento en áreas adecuadas; gestión de claves, contraseñas, API e información confidencial.

• Las operaciones críticas y los accesos de administradores se registran; se asegura la integridad de los registros y la supervisión de accesos no autorizados.

• Los datos de producción no se trasladan directamente al entorno de prueba; si es necesario, se realiza anonimización o enmascaramiento.

• Se llevan a cabo procesos de gestión de vulnerabilidades, desarrollo seguro de software, revisión de código, parches, pruebas de penetración y monitoreo de incidentes.

• Los proveedores y subprocesadores se evalúan periódicamente antes del contrato y basándose en riesgos.

• Se proporciona capacitación regular sobre privacidad y seguridad de datos a los empleados; se obtienen compromisos de privacidad.

• Se aplican medidas adicionales de acceso, enmascaramiento y transferencia para datos sensibles, resultados de pagos, mensajes y notas de reservas.

• Las operaciones de eliminación y anonimización se registran; se prueba el riesgo de reidentificación de datos anónimos.

16. Gestión de violaciones de datos personales

En caso de obtención, acceso, divulgación, modificación, pérdida o deterioro de la disponibilidad de datos personales de manera ilegal, el incidente se informa de inmediato a los responsables de seguridad de la información y protección de datos. La violación se evalúa en términos de alcance, personas afectadas, categorías de datos, riesgo, medidas tomadas y obligaciones de notificación.

De acuerdo con las decisiones de la Junta, se notificará a la Autoridad sin demora y, por regla general, dentro de las 72 horas a partir del conocimiento de la violación. Se notificará a las personas interesadas de manera que se reduzcan las consecuencias negativas de la violación y sin demora. Los procesadores de datos informan a Restaurante dentro del tiempo corto especificado en el contrato desde que se enteran de la violación.

17. Derechos de la persona interesada y solicitud

Las personas interesadas tienen derecho, de acuerdo con el artículo 11 de la Ley; a conocer si sus datos personales están siendo procesados, solicitar información, conocer el propósito del procesamiento y su uso adecuado, conocer los destinatarios nacionales/internacionales, rectificar, eliminar/destruir, solicitar que se notifique a los destinatarios sobre estas operaciones, oponerse a la evaluación automática y solicitar la compensación por daños debido a un procesamiento ilegal.

Las solicitudes se pueden enviar por escrito a la dirección Suadiye Mah. Kazım Özalp Sk. C Blok No: 60 İçi Kapı No: 2 Kadıköy / İstanbul, mediante métodos de KEP/firma electrónica segura/firma móvil, o a la dirección de correo electrónico info@reztoran.com que ha sido previamente notificada a Restaurante y está registrada en el sistema, o a través de la aplicación presentada para el propósito de la solicitud. Las solicitudes se procesan en un plazo máximo de 30 días. Se puede solicitar información adicional para la verificación de identidad según la naturaleza de la solicitud.

18. Organización, supervisión y responsabilidad

• La gestión proporciona recursos suficientes y asignación de responsabilidades.

• La función de legal/KVKK coordina la legislación, información, contratos, solicitudes de personas interesadas y procesos de violación.

• Las unidades de seguridad de la información y tecnología llevan a cabo medidas técnicas, controles de acceso, registros y respuesta a incidentes.

• Los equipos de producto realizan controles de diseño de privacidad antes de lanzar nuevas actividades de procesamiento.

• Recursos humanos, ventas, marketing, servicios al cliente y unidades operativas solo procesan datos autorizados y limitados por el propósito.

• La política, el inventario de procesamiento de datos y los registros de VERBİS se actualizan regularmente y en cambios significativos.

19. Vigencia y actualización

Esta Política entra en vigor el 10.07.2026. Se actualizará en caso de cambios en la legislación, productos, flujo de datos, proveedores u organización. La versión actual se publicará en los canales digitales apropiados de Restaurante. Los cambios sustanciales se anunciarán a las personas interesadas de manera adecuada.

Anexo-1: Lista de control mínima de KVKK basada en procesos