REZTORAN | Politique de Protection et de Traitement des Données Personnelles

1. Objectif et portée

Cette Politique définit les règles fondamentales concernant le traitement des données personnelles mené par Reztoran Elektronik İletişim Yazılım Ticaret Anonim Şirketi conformément à la Loi sur la Protection des Données Personnelles n° 6698 (« Loi » ou « KVKK »), à la législation secondaire pertinente et aux décisions du Conseil de Protection des Données Personnelles.

La Politique couvre l'application mobile Reztoran, le site internet www.reztoran.com, le panneau de gestion des restaurants / RezManager, les API et les intégrations de canaux, les réservations, les listes d'attente, les commandes, les livraisons ou les retraits, les prépaiements, la fidélité, les campagnes, le support client, les fonctionnalités sociales, l'intelligence client, l'analytique, la sécurité, les ressources humaines, les fournisseurs et les processus de visite physique.

Cette Politique est de nature générale. L'obligation d'éclaircissement au sens de l'article 10 de la Loi est remplie par des textes d'éclaircissement préparés spécifiquement pour la personne concernée et l'activité de traitement. Dans les opérations nécessitant un consentement explicite, les éclaircissements et les opérations de consentement explicite sont menés séparément ; il n'est pas nécessaire de rechercher le consentement ou l'approbation pour l'éclaircissement effectué.

2. Base juridique

• Loi sur la Protection des Données Personnelles n° 6698 et en particulier les articles 4, 5, 6, 7, 8, 9, 10, 11, 12 et 13;

• Règlement concernant les procédures et principes à suivre pour l'exécution de l'obligation d'éclaircissement;

• Règlement concernant les procédures et principes de demande auprès du responsable des données;

• Règlement concernant la suppression, la destruction ou l'anonymisation des données personnelles;

• Règlement concernant les procédures et principes de transfert des données personnelles à l'étranger et les contrats standards à jour;

• Décision de principe n° 2026/347 du Conseil de Protection des Données Personnelles en date du 18.02.2026 et les décisions et guides à jour connexes;

• Législation applicable en matière de communication commerciale électronique, de consommation, de commerce électronique, de fiscalité, de comptabilité, de travail, de sécurité sociale et d'autres législations applicables.

3. Définitions

4. Rôles de protection des données de Reztoran

Le rôle de protection des données de Reztoran est déterminé en fonction de qui détermine effectivement les finalités et les moyens de l'activité de traitement, plutôt que par la désignation dans le contrat.

Les rôles de responsable des données/sous-traitant dans les contrats avec les restaurants et autres partenaires commerciaux, les instructions, les sous-traitants, la sécurité, les notifications de violation, les demandes des personnes concernées, les obligations de retour et de destruction des données sont également réglementés.

5. Principes fondamentaux du traitement des données personnelles

1. Les actions sont conformes aux règles de légalité et d'intégrité.

2. Les données sont maintenues exactes et, si nécessaire, à jour.

3. Les finalités de traitement sont définies de manière précise, claire et légitime.

4. Les données sont conservées de manière liée, limitée et proportionnée aux finalités pour lesquelles elles sont traitées.

5. Les données ne sont pas conservées plus longtemps que nécessaire pour la durée prévue par la législation applicable ou pour la finalité de traitement.

6. Aucune donnée inutile n'est collectée ; les nouvelles fonctionnalités sont développées avec une conception de protection des données et des principes de confidentialité par défaut.

7. Si un même objectif peut être atteint avec moins de données, des méthodes traitant moins de données sont préférées.

8. Le consentement explicite n'est pas rendu obligatoire pour la conclusion ou l'exécution d'un contrat ; il doit être facilement rétractable.

9. Les données anonymes ou agrégées sont utilisées en priorité par rapport aux données personnelles.

6. Groupes de personnes concernées

• Membres, membres potentiels, personnes effectuant des réservations/commandes et invités inclus dans la réservation ;

• Clients de restaurants, participants au programme de fidélité, participants à des événements et expériences ;

• Propriétaires de restaurants, gestionnaires, employés, personnel de centre d'appels et utilisateurs autorisés ;

• Livreurs, personnel de livraison et employés de fournisseurs de services de livraison ;

• Employés et responsables de fournisseurs, partenaires, distributeurs, canaux, intégrations et sociétés de conseil ;

• Employés, stagiaires, candidats à l'emploi, anciens employés et, si nécessaire, leurs proches/références ;

• Visiteurs du site web et de l'application mobile ainsi que visiteurs des lieux physiques ;

• Personnes concernées dans le cadre de litiges juridiques ou de procédures de demande.

7. Catégories de données personnelles traitées

8. Méthodes et sources d'obtention des données personnelles

• Application mobile, site internet, RezManager et autres interfaces Reztoran ;

• Site web et application du restaurant, widget de réservation, personnel du restaurant, téléphone et centre d'appels ;

• Dans la mesure où cela est utilisé, Google, Michelin/Mozrest, WhatsApp et autres canaux de réservation ou de communication ;

• Intégrations POS, ERP, paiement, livraison, fidélité et similaires ;

• Résultats de traitement limités transmis à Reztoran par des banques et des établissements de paiement agréés ;

• Cookies, SDK, journaux système et fonctionnalités d'appareil autorisées ;

• E-mail, messagerie, réseaux sociaux, canaux de support, formulaires et contrats ;

• Documents physiques, demandes d'emploi, enregistrements de visiteurs et systèmes de caméra ;

• Autorités publiques compétentes, autorités judiciaires et tiers pouvant légalement partager des données.

Un utilisateur fournissant des informations de contact ou de réservation d'un tiers à Reztoran est responsable de s'assurer qu'il est autorisé à partager ces informations et de veiller à ce que la personne concernée reçoive les informations nécessaires. Reztoran informe également la personne concernée lors du premier contact, si cela est approprié.

9. Finalités de traitement et raisons juridiques

10. Données personnelles sensibles

Les données personnelles sensibles ne sont traitées que si l'une des conditions de traitement énoncées dans l'article 6 de la Loi est remplie, si le traitement est nécessaire et proportionné, et si des mesures suffisantes déterminées par le Conseil sont prises.

• Les informations sur la santé, les allergies, le handicap, l'accessibilité ou les croyances ne sont pas demandées si elles ne sont pas nécessaires dans les notes de réservation ou de commande.

• Dans le cadre d'une demande de service nécessaire, ces informations sont conservées dans des domaines structurés, limités et de courte durée autant que possible ; elles ne sont pas utilisées pour le marketing général ou la segmentation des clients.

• L'accès aux données sensibles est limité aux personnes qui doivent les connaître dans le cadre de leurs fonctions ; les accès sont enregistrés et des mesures de sécurité supplémentaires sont appliquées lors des transferts.

• Les données de santé et de condamnation pénale des employés sont limitées à la portée nécessaire pour l'emploi, la santé et la sécurité au travail, la sécurité sociale ou l'établissement/utilisation/protection d'un droit.

• Dans les cas nécessitant un consentement explicite, le consentement est obtenu de manière précise, distincte, informée et rétractable.

11. Intelligence client, profilage et intelligence artificielle

Reztoran peut produire des analyses à partir des données de traitement et d'utilisation pour la sécurité du service, la gestion de la capacité, la performance des restaurants, l'expérience utilisateur et la fourniture de recommandations demandées par l'utilisateur. Les campagnes personnalisées, le profilage comportemental ou la publicité ciblée dans des environnements tiers à des fins de marketing sont soumises à un consentement explicite séparé.

• Les enregistrements de différents canaux peuvent être mis en correspondance dans la mesure où cela est nécessaire et proportionné pour une identification correcte de la même personne et pour prévenir les enregistrements en double.

• Les informations sur le comportement et les dépenses entre restaurants ne sont pas divulguées à un autre restaurant sur une base individuelle sans notification explicite à la personne concernée et sans raison juridique appropriée.

• Les indicateurs de no-show, de fraude ou d'utilisation abusive ne sont pas utilisés comme un jugement définitif ; des évaluations humaines et des possibilités d'appel sont fournies pour des décisions pouvant avoir des conséquences négatives importantes.

• En cas de transfert de données aux fournisseurs d'intelligence artificielle, la minimisation des données, l'anonymisation lorsque cela est possible, l'interdiction de formation de modèles, la durée de conservation, les sous-traitants et les garanties de transfert à l'étranger sont déterminées par contrat.

• Les messages des utilisateurs ou les données opérationnelles envoyées à l'intelligence artificielle générative ne sont pas utilisées pour la formation de modèles généraux sans raison juridique et information à l'utilisateur.

12. Transfert de données personnelles à l'intérieur du pays

Les données personnelles peuvent être transférées aux groupes de destinataires suivants, conformément aux conditions énoncées dans l'article 8 de la Loi et limitées à la finalité :

• Restaurants où des réservations sont effectuées, des commandes sont passées ou des avantages de fidélité sont utilisés et uniquement leurs employés autorisés ;

• Banques, établissements de paiement agréés, fournisseurs de services de facturation et financiers ;

• Livreurs, fournisseurs de livraison et logistique ;

• Fournisseurs d'intégration de réservation, de commande, de POS, d'ERP, de CRM, de fidélité, de centre d'appels et de canaux ;

• Fournisseurs de services de cloud, d'hébergement, de sécurité, de vérification, d'e-mail, de SMS, de notifications push, de support, d'analytique et de suivi des erreurs ;

• Fournisseurs de publicité, de médias, de recherche et de campagnes dans le cadre de consentement explicite et de préférences de communication commerciale ;

• Avocats, conseillers financiers, auditeurs indépendants, compagnies d'assurance et fournisseurs de services de conseil ;

• Autorités publiques compétentes, autorités de régulation, forces de l'ordre et autorités judiciaires ;

• Parties sous obligation de confidentialité et de protection des données dans le cadre d'une fusion d'entreprise, d'un investissement, d'une restructuration ou d'un transfert d'actifs ; le transfert de données est limité par nécessité et proportionnalité.

13. Transfert de données personnelles à l'étranger

Les données personnelles peuvent être transférées à l'étranger dans le cadre de la fourniture de services de cloud, d'hébergement, d'e-mail, de notifications, de sécurité, d'analytique, de support client, de communication, d'intelligence artificielle ou de services technologiques similaires.

Les transferts réguliers à l'étranger sont réalisés en utilisant une décision d'adéquation ou l'une des méthodes de garantie appropriées conformément aux conditions et à la procédure énoncées dans l'article 9 de la Loi. En cas d'utilisation d'un contrat standard, une notification est faite à l'Autorité dans les cinq jours ouvrables suivant la signature du contrat. Les transferts occasionnels ne doivent pas être utilisés comme alternative à un transfert régulier et continu.

• Pour chaque fournisseur de services, le pays, le rôle, la catégorie de données, la finalité, les sous-traitants, le mécanisme de transfert et les mesures de sécurité sont conservés dans l'inventaire de transfert à l'étranger.

• Aucun transfert régulier n'est effectué sans décision d'adéquation ou garantie appropriée.

• Le recours au consentement explicite pour le transfert à l'étranger est limité à des conditions exceptionnelles et occasionnelles ; le consentement général n'est pas obtenu comme condition obligatoire du service.

• La personne concernée est informée du transfert et peut accéder aux groupes de destinataires actuels.

14. Conservation, suppression, destruction et anonymisation

Les données personnelles sont conservées pour la durée prévue par la législation applicable ou nécessaire pour la finalité de traitement. Les durées sont déterminées dans l'inventaire de traitement des données personnelles et dans la politique de conservation et de destruction, en tenant compte de la catégorie de données, de la finalité de traitement, de la prescription contractuelle et judiciaire, des exigences légales, des besoins de sécurité, de la preuve de consentement/retrait et des attentes raisonnables de la personne concernée.

Lorsque les conditions de traitement ne sont plus remplies, les données sont supprimées, détruites ou anonymisées lors de la première destruction périodique. L'intervalle de destruction périodique ne peut pas dépasser six mois. Les données dans les sauvegardes sont également incluses dans le plan de destruction par le biais de restrictions d'accès et de la complétion du cycle de sauvegarde.

15. Mesures de sécurité techniques et administratives

• Un inventaire de traitement des données, une carte des flux de données et une matrice de rôles/autorisation sont maintenus ; une évaluation d'impact sur la protection des données est réalisée pour les nouveaux produits.

• Dans les systèmes multi-locataires, l'isolement des données est appliqué par restaurant, marque, succursale et utilisateur.

• Le principe du moindre privilège, la séparation des tâches, l'authentification forte, la gestion des comptes privilégiés et l'examen périodique des accès sont appliqués.

• Chiffrement lors du transfert et du stockage dans des zones appropriées ; gestion des clés, mots de passe, API et informations confidentielles.

• Les opérations critiques et les accès administratifs sont enregistrés ; l'intégrité des journaux et le contrôle des accès non autorisés sont assurés.

• Les données de production ne sont pas transférées directement vers l'environnement de test ; si nécessaire, l'anonymisation ou le masquage est appliqué.

• La gestion des vulnérabilités, le développement de logiciels sécurisés, la révision de code, les mises à jour, les tests d'intrusion et les processus de suivi des incidents sont réalisés.

• Les fournisseurs et sous-traitants sont évalués avant le contrat et périodiquement sur la base des risques.

• Les employés reçoivent une formation régulière sur la confidentialité et la sécurité des données ; des engagements de confidentialité sont obtenus.

• Des mesures supplémentaires d'accès, de masquage et de transfert sont appliquées pour les données sensibles, les résultats de paiement, les messages et les notes de réservation.

• Les opérations de suppression et d'anonymisation sont enregistrées ; le risque de réidentification des données anonymes est testé.

16. Gestion des violations de données personnelles

En cas d'acquisition, d'accès, de divulgation, de modification, de perte ou de détérioration de la disponibilité des données personnelles de manière illégale, l'incident doit être immédiatement signalé aux responsables de la sécurité de l'information et de la protection des données. La violation est évaluée en termes de portée, de personnes affectées, de catégories de données, de risque, de mesures prises et d'obligations de notification.

Conformément aux décisions du Conseil, la notification à l'Autorité doit être faite sans délai et, en règle générale, au plus tard 72 heures après avoir pris connaissance de la violation. Les personnes concernées doivent être informées de manière appropriée et sans délai des conséquences négatives de la violation. Les sous-traitants doivent informer Reztoran de la violation dans le délai court spécifié dans le contrat dès qu'ils en prennent connaissance.

17. Droits de la personne concernée et demande

Les personnes concernées ont le droit, conformément à l'article 11 de la Loi ; d'apprendre si leurs données personnelles sont traitées, de demander des informations, de connaître la finalité du traitement et l'utilisation appropriée, de connaître les destinataires nationaux/internationaux, de demander des corrections, des suppressions/destruction, de demander que ces opérations soient notifiées aux destinataires, de s'opposer à l'analyse automatique exclusive et de demander la réparation des dommages causés par un traitement illégal.

Les demandes peuvent être soumises par écrit à l'adresse Suadiye Mah. Kazım Özalp Sk. C Blok No: 60 İç Kapı No: 2 Kadıköy / İstanbul, par KEP/ signature électronique sécurisée/ méthodes de signature mobile, à l'adresse e-mail info@reztoran.com enregistrée dans le système et précédemment notifiée à Reztoran ou via l'application soumise à la demande. Les demandes sont traitées dans un délai maximum de 30 jours. Des informations supplémentaires peuvent être demandées en fonction de la nature de la demande pour vérifier l'identité.

18. Organisation, audit et responsabilité

• La direction assure des ressources suffisantes et une attribution des responsabilités.

• La fonction juridique/KVKK coordonne la législation, l'éclaircissement, le contrat, les demandes des personnes concernées et les processus de violation.

• Les unités de sécurité de l'information et de technologie mettent en œuvre des mesures techniques, des contrôles d'accès, des journaux et des interventions en cas d'incidents.

• Les équipes produit effectuent un contrôle de conception de confidentialité avant de mettre en œuvre de nouvelles activités de traitement.

• Les ressources humaines, les ventes, le marketing, le service client et les unités opérationnelles ne traitent que des données autorisées et dans un but limité.

• La politique, l'inventaire de traitement des données et les enregistrements VERBIS sont mis à jour régulièrement et lors de changements importants.

19. Entrée en vigueur et mise à jour

Cette Politique entre en vigueur le 10.07.2026. Elle sera mise à jour en cas de modifications législatives, de produits, de flux de données, de fournisseurs ou d'organisation. La version actuelle sera publiée sur les canaux numériques appropriés de Reztoran. Les changements substantiels seront annoncés aux personnes concernées de manière appropriée.

Annexe-1 : Liste de contrôle minimale KVKK basée sur le processus