REZTORAN | Kişisel Verilerin Korunması ve İşlenmesi Politikası

1. Amaç ve kapsam

Bu Politika, Reztoran Elektronik İletişim Yazılım Ticaret Anonim Şirketi tarafından yürütülen kişisel veri işleme faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun” veya “KVKK”), ilgili ikincil mevzuat ve Kişisel Verileri Koruma Kurulu kararlarına uygun olarak yürütülmesine ilişkin temel kuralları belirler.

Politika; Reztoran mobil uygulaması, www.reztoran.com alan adlı internet sitesi, restoran yönetim paneli/RezManager, API ve kanal entegrasyonları, rezervasyon, bekleme listesi, sipariş, teslimat veya gel-al, ön ödeme, sadakat, kampanya, müşteri destek, sosyal özellikler, müşteri zekâsı, analitik, güvenlik, insan kaynakları, tedarikçi ve fiziksel ziyaretçi süreçlerini kapsar.

Bu Politika genel niteliktedir. Kanun’un 10 uncu maddesi kapsamındaki aydınlatma yükümlülüğü, ilgili kişi ve işleme faaliyeti özelinde ayrıca hazırlanan aydınlatma metinleriyle yerine getirilir. Açık rıza gereken işlemlerde aydınlatma ve açık rıza işlemleri ayrı ayrı yürütülür; aydınlatmanın yapıldığına dair rıza veya onay aranmaz.

2. Hukuki dayanak

• 6698 sayılı Kişisel Verilerin Korunması Kanunu ve özellikle 4, 5, 6, 7, 8, 9, 10, 11, 12 ve 13 üncü maddeler;

• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ;

• Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ;

• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik;

• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ve güncel standart sözleşmeler;

• Kişisel Verileri Koruma Kurulunun 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı ile ilgili güncel karar ve rehberler;

• Elektronik ticari ileti, tüketici, elektronik ticaret, vergi, muhasebe, iş, sosyal güvenlik ve diğer uygulanabilir mevzuat.

3. Tanımlar

4. Reztoran’ın veri koruma rolleri

Reztoran’ın veri koruma rolü, sözleşmedeki isimlendirmeden ziyade ilgili işleme faaliyetinin amaç ve araçlarını fiilen kimin belirlediğine göre tespit edilir.

Restoranlarla ve diğer iş ortaklarıyla yapılan sözleşmelerde veri sorumlusu/veri işleyen rolleri, talimatlar, alt işleyenler, güvenlik, ihlal bildirimi, ilgili kişi başvuruları, veri iadesi ve imha yükümlülükleri ayrıca düzenlenir.

5. Kişisel verilerin işlenmesinde temel ilkeler

1. Hukuka ve dürüstlük kurallarına uygun hareket edilir.

2. Verilerin doğru ve gerektiğinde güncel olması sağlanır.

3. İşleme amaçları belirli, açık ve meşru olarak tanımlanır.

4. Veriler, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü tutulur.

5. Veriler, ilgili mevzuatta öngörülen veya işleme amacı için gerekli olan süreden daha uzun saklanmaz.

6. Gereksiz veri toplanmaz; yeni özellikler veri koruma tasarımı ve varsayılan gizlilik ilkeleriyle geliştirilir.

7. Aynı amaca daha az veriyle ulaşılabiliyorsa daha az veri işleyen yöntem tercih edilir.

8. Açık rıza, sözleşmenin veya hizmetin zorunlu şartı hâline getirilmez; kolayca geri alınabilir.

9. Anonim veya toplulaştırılmış veriler, kişisel veriye göre öncelikli kullanılır.

6. İlgili kişi grupları

• Üyeler, potansiyel üyeler, rezervasyon/sipariş oluşturan kişiler ve rezervasyona dâhil edilen misafirler;

• Restoran müşterileri, sadakat programı katılımcıları, etkinlik ve deneyim katılımcıları;

• Restoran sahipleri, yöneticileri, çalışanları, çağrı merkezi ve yetkili kullanıcıları;

• Kurye, teslimat personeli ve teslimat hizmet sağlayıcısı çalışanları;

• Tedarikçi, iş ortağı, bayi, kanal, entegrasyon ve danışmanlık firmalarının çalışan ve yetkilileri;

• Çalışanlar, stajyerler, çalışan adayları, eski çalışanlar ve gerektiğinde yakınları/referansları;

• Web sitesi ve mobil uygulama ziyaretçileri ile fiziksel mekân ziyaretçileri;

• Hukuki uyuşmazlık veya başvuru süreçlerindeki ilgili kişiler.

7. İşlenen kişisel veri kategorileri

8. Kişisel verilerin elde edilme yöntemleri ve kaynakları

• Mobil uygulama, internet sitesi, RezManager ve diğer Reztoran arayüzleri;

• Restoran web sitesi ve uygulaması, rezervasyon widget’ı, restoran personeli, telefon ve çağrı merkezi;

• Kullanıldığı ölçüde Google, Michelin/Mozrest, WhatsApp ve benzeri rezervasyon veya iletişim kanalları;

• POS, ERP, ödeme, teslimat, sadakat ve benzeri entegrasyonlar;

• Banka ve lisanslı ödeme kuruluşları tarafından Reztoran’a iletilen sınırlı işlem sonuçları;

• Çerezler, SDK’lar, sistem logları ve izin verilen cihaz özellikleri;

• E-posta, mesajlaşma, sosyal medya, destek kanalları, formlar ve sözleşmeler;

• Fiziki evrak, iş başvurusu, ziyaretçi kaydı ve kamera sistemleri;

• Yetkili kamu kurumları, adli makamlar ve hukuken veri paylaşabilecek üçüncü kişiler.

Üçüncü bir kişinin iletişim veya rezervasyon bilgilerini Reztoran’a sağlayan kullanıcı, bu bilgiyi paylaşmaya yetkili olduğunu ve ilgili kişiye gerekli bilgilendirmenin yapılmasını sağlamakla yükümlüdür. Reztoran, uygun olduğu durumlarda ilgili kişiyi ilk temas sırasında ayrıca aydınlatır.

9. İşleme amaçları ve hukuki sebepler

10. Özel nitelikli kişisel veriler

Özel nitelikli kişisel veriler yalnız Kanun’un 6 ncı maddesinde yer alan işleme şartlarından birinin mevcut olması, işlemenin gerekli ve ölçülü olması ve Kurul tarafından belirlenen yeterli önlemlerin alınması koşuluyla işlenir.

• Rezervasyon veya sipariş notlarında sağlık, alerji, engellilik, erişilebilirlik veya inançla bağlantılı bilgi gerekli değilse talep edilmez.

• Gerekli bir hizmet talebinde bu bilgiler mümkün olduğunca yapılandırılmış, sınırlı ve kısa süreli alanlarda tutulur; genel pazarlama veya müşteri segmentasyonunda kullanılmaz.

• Özel nitelikli verilere erişim görev gereği bilmesi gereken kişilerle sınırlandırılır; erişimler kayıt altına alınır ve aktarımda ek güvenlik uygulanır.

• Çalışan sağlık ve ceza mahkûmiyeti verileri, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik veya bir hakkın tesisi/kullanılması/korunması için gerekli olan kapsamla sınırlandırılır.

• Açık rıza gereken hallerde rıza belirli, ayrı, bilgilendirilmiş ve geri alınabilir şekilde alınır.

11. Müşteri zekâsı, profilleme ve yapay zekâ

Reztoran; hizmetin güvenliği, kapasite yönetimi, restoran performansı, kullanıcı deneyimi ve kullanıcı tarafından talep edilen önerilerin sunulması için işlem ve kullanım verilerinden analizler üretebilir. Pazarlama amacıyla kişiye özel kampanya, davranışsal profilleme veya üçüncü taraf ortamlarda hedefli reklam yapılması ayrı açık rızaya tabidir.

• Farklı kanallardaki kayıtlar, aynı kişinin doğru tanınması ve mükerrer kayıtların önlenmesi için gerekli ve ölçülü olduğu ölçüde eşleştirilebilir.

• Restoranlar arası davranış ve harcama bilgisi, ilgili kişiye açıkça bildirilmeden ve uygun hukuki sebep bulunmadan başka bir restorana kişi bazında açıklanmaz.

• No-show, dolandırıcılık veya kötüye kullanım göstergeleri kesin hüküm olarak kullanılmaz; önemli olumsuz sonuç doğurabilecek kararlarda insan değerlendirmesi ve itiraz imkânı sağlanır.

• Yapay zekâ sağlayıcılarına veri aktarımı yapılması halinde veri minimizasyonu, mümkün olduğunda takma adlandırma, model eğitimi yasağı, saklama süresi, alt işleyenler ve yurt dışı aktarım güvenceleri sözleşmeyle belirlenir.

• Üretken yapay zekâya gönderilen kullanıcı mesajları veya operasyon verileri, hukuki sebep ve kullanıcı bilgilendirmesi olmaksızın genel model eğitimi için kullandırılmaz.

12. Yurt içinde kişisel veri aktarımı

Kişisel veriler, Kanun’un 8 inci maddesindeki şartlara uygun ve amaçla sınırlı olarak aşağıdaki alıcı gruplarına aktarılabilir:

• Rezervasyon yapılan, sipariş verilen veya sadakat avantajının kullanıldığı restoranlar ve yalnız yetkili çalışanları;

• Banka, lisanslı ödeme kuruluşu, faturalama ve mali hizmet sağlayıcıları;

• Kurye, teslimat ve lojistik sağlayıcıları;

• Rezervasyon, sipariş, POS, ERP, CRM, sadakat, çağrı merkezi ve kanal entegrasyon sağlayıcıları;

• Bulut, barındırma, güvenlik, doğrulama, e-posta, SMS, push, destek, analitik ve hata izleme hizmet sağlayıcıları;

• Açık rıza ve ticari ileti tercihleri kapsamında reklam, medya, araştırma ve kampanya sağlayıcıları;

• Avukat, mali müşavir, bağımsız denetçi, sigorta ve danışmanlık hizmet sağlayıcıları;

• Yetkili kamu kurumları, düzenleyici otoriteler, kolluk ve adli makamlar;

• Şirket birleşmesi, yatırım, yeniden yapılandırma veya malvarlığı devri sürecinde gizlilik ve veri koruma yükümlülüğü altındaki taraflar; veri aktarımı gereklilik ve ölçülülükle sınırlandırılır.

13. Kişisel verilerin yurt dışına aktarılması

Bulut, barındırma, e-posta, bildirim, güvenlik, analitik, müşteri destek, iletişim, yapay zekâ veya benzeri teknoloji hizmetlerinin yurt dışında sunulması ya da yurt dışındaki alt işleyenlere erişim sağlanması hâlinde kişisel veri yurt dışına aktarılabilir.

Düzenli yurt dışı aktarımları, Kanun’un 9 uncu maddesinde öngörülen sıralama ve şartlar uyarınca yeterlilik kararı veya uygun güvence yöntemlerinden biri kullanılarak gerçekleştirilir. Standart sözleşme kullanılması hâlinde sözleşmenin imzalarının tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim yapılır. Arızi aktarım halleri düzenli ve sürekli aktarımın alternatifi olarak kullanılmaz.

• Her hizmet sağlayıcı bakımından ülke, rol, veri kategorisi, amaç, alt işleyen, aktarım mekanizması ve güvenlik önlemleri yurt dışı aktarım envanterinde tutulur.

• Yeterlilik veya uygun güvence bulunmadan düzenli aktarım yapılmaz.

• Yurt dışına aktarım için açık rızaya dayanılması istisnai ve arızi koşullarla sınırlıdır; hizmetin zorunlu şartı şeklinde genel rıza alınmaz.

• İlgili kişinin aktarım hakkında bilgilendirilmesi ve güncel alıcı gruplarına erişebilmesi sağlanır.

14. Saklama, silme, yok etme ve anonimleştirme

Kişisel veriler, ilgili mevzuatta öngörülen veya işleme amacı için gerekli olan süre kadar saklanır. Süreler; veri kategorisi, işleme amacı, sözleşme ve dava zamanaşımı, mali mevzuat, güvenlik ihtiyacı, açık rıza/ret ispatı ve ilgili kişinin makul beklentisi dikkate alınarak kişisel veri işleme envanteri ile saklama ve imha politikasında belirlenir.

İşleme şartları ortadan kalktığında veriler ilk periyodik imhada silinir, yok edilir veya anonim hâle getirilir. Periyodik imha aralığı altı ayı geçemez. Yedeklerdeki veriler de erişimin kısıtlanması ve yedek döngüsünün tamamlanması yoluyla imha planına dâhil edilir.

15. Teknik ve idari güvenlik tedbirleri

• Veri işleme envanteri, veri akış haritası ve rol/yetki matrisi tutulur; yeni ürünlerde veri koruma etki değerlendirmesi yapılır.

• Çok kiracılı sistemlerde restoran, marka, şube ve kullanıcı bazlı veri izolasyonu uygulanır.

• En az yetki, görevler ayrılığı, güçlü kimlik doğrulama, ayrıcalıklı hesap yönetimi ve periyodik erişim gözden geçirme uygulanır.

• Aktarım sırasında ve uygun alanlarda depolamada şifreleme; anahtar, parola, API ve gizli bilgi yönetimi uygulanır.

• Kritik işlemler ve yönetici erişimleri loglanır; log bütünlüğü ve yetkisiz erişim denetimi sağlanır.

• Üretim verileri test ortamına doğrudan taşınmaz; gerekiyorsa anonimleştirme veya maskeleme yapılır.

• Zafiyet yönetimi, güvenli yazılım geliştirme, kod inceleme, yama, sızma testi ve olay izleme süreçleri yürütülür.

• Tedarikçi ve alt işleyenler sözleşme öncesi ve risk temelli periyodik olarak değerlendirilir.

• Çalışanlara düzenli gizlilik ve veri güvenliği eğitimi verilir; gizlilik taahhütleri alınır.

• Özel nitelikli veri, ödeme sonucu, mesaj ve rezervasyon notları için ek erişim, maskeleme ve aktarım önlemleri uygulanır.

• Silme ve anonimleştirme işlemleri kayıt altına alınır; anonim verinin yeniden kimliklendirilme riski test edilir.

16. Kişisel veri ihlali yönetimi

Kişisel verilerin hukuka aykırı elde edilmesi, erişilmesi, açıklanması, değiştirilmesi, kaybı veya kullanılabilirliğinin bozulması ihtimalinde olay derhal bilgi güvenliği ve veri koruma sorumlularına bildirilir. İhlal; kapsam, etkilenen kişiler, veri kategorileri, risk, alınan önlemler ve bildirim yükümlülükleri bakımından değerlendirilir.

Kurul kararları uyarınca Kuruma bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve kural olarak en geç 72 saat içinde yapılır. İlgili kişilere, ihlalin olumsuz sonuçlarını azaltmaya elverişli yöntemle ve gecikmeksizin bildirim yapılır. Veri işleyenler, ihlali öğrendikleri anda sözleşmede belirlenen kısa süre içinde Reztoran’a bildirir.

17. İlgili kişinin hakları ve başvuru

İlgili kişiler Kanun’un 11 inci maddesi uyarınca; kişisel verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, işleme amacını ve amaca uygun kullanımı öğrenme, yurt içi/yurt dışı alıcıları bilme, düzeltme, silme/yok etme, bu işlemlerin alıcılara bildirilmesini isteme, münhasıran otomatik analiz sonucuna itiraz etme ve hukuka aykırı işleme nedeniyle zararın giderilmesini talep etme haklarına sahiptir.

Başvurular; Suadiye Mah. Kazım Özalp Sk. C Blok No: 60 İç Kapı No: 2 Kadıköy / İstanbul adresine yazılı olarak, KEP/güvenli elektronik imza/mobil imza yöntemleriyle, Reztoran’a daha önce bildirilmiş ve sistemde kayıtlı e-posta adresinden info@reztoran.com adresine veya başvuru amacına yönelik sunulan uygulama üzerinden iletilebilir. Başvurular en geç 30 gün içinde sonuçlandırılır. Kimlik doğrulama için talebin niteliğiyle ölçülü ek bilgi istenebilir.

18. Organizasyon, denetim ve sorumluluk

• Yönetim, yeterli kaynak ve sorumluluk atamasını sağlar.

• Hukuk/KVKK fonksiyonu mevzuat, aydınlatma, sözleşme, ilgili kişi başvurusu ve ihlal süreçlerini koordine eder.

• Bilgi güvenliği ve teknoloji birimleri teknik tedbirleri, erişim kontrollerini, log ve olay müdahalesini yürütür.

• Ürün ekipleri yeni işleme faaliyetini yayına almadan önce gizlilik tasarım kontrolü gerçekleştirir.

• İnsan kaynakları, satış, pazarlama, müşteri hizmetleri ve operasyon birimleri yalnız yetkili ve amaçla sınırlı işleme yapar.

• Politika, veri işleme envanteri ve VERBİS kayıtları düzenli olarak ve önemli değişikliklerde güncellenir.

19. Yürürlük ve güncelleme

Bu Politika 10.07.2026 tarihinde yürürlüğe girer. Mevzuat, ürün, veri akışı, tedarikçi veya organizasyon değişikliklerinde güncellenir. Güncel sürüm Reztoran’ın uygun dijital kanallarında yayımlanır. Esaslı değişiklikler, ilgili kişilere uygun yöntemle duyurulur.

Ek-1: Süreç bazlı asgari KVKK kontrol listesi