РЕЗТОРАН | Политика защиты и обработки персональных данных

1. Цель и область применения

Эта Политика определяет основные правила, согласно которым Резторан Электроника Связь Программное Обеспечение Торговая Анонимная Компания осуществляет деятельность по обработке персональных данных в соответствии с Законом о защите персональных данных № 6698 («Закон» или «KVKK»), соответствующим вторичным законодательством и решениями Совета по защите персональных данных.

Политика охватывает мобильное приложение Резторан, веб-сайт www.reztoran.com, панель управления рестораном / RezManager, API и интеграции каналов, бронирование, список ожидания, заказы, доставка или самовывоз, предоплата, программа лояльности, акции, поддержка клиентов, социальные функции, клиентская аналитика, аналитика, безопасность, управление персоналом, поставщики и процессы физических посетителей.

Эта Политика является общей. Обязанность информирования в соответствии с 10-й статьей Закона выполняется отдельными текстами информирования, подготовленными для конкретного лица и деятельности по обработке. В случаях, когда требуется явное согласие, информирование и процедуры явного согласия проводятся отдельно; согласие или одобрение на подтверждение информирования не требуется.

2. Юридическая основа

• Закон о защите персональных данных № 6698 и особенно статьи 4, 5, 6, 7, 8, 9, 10, 11, 12 и 13;

• Уведомление о процедурах и принципах, которые должны соблюдаться при выполнении обязательств по информированию;

• Уведомление о процедурах и принципах обращения к ответственному за данные;

• Регламент о удалении, уничтожении или анонимизации персональных данных;

• Регламент о процедурах и принципах передачи персональных данных за границу и актуальные стандартные контракты;

• Актуальные решения и руководства Совета по защите персональных данных от 18.02.2026 и номер 2026/347;

• Электронная коммерция, потребитель, электронная торговля, налоги, бухгалтерия, бизнес, социальное обеспечение и другие применимые законодательства.

3. Определения

4. Роли Резторан в защите данных

Роль Резторан в защите данных определяется не по наименованию в контракте, а в зависимости от того, кто фактически определяет цели и средства обработки соответствующей деятельности.

В контрактах с ресторанами и другими деловыми партнерами роли ответственного за данные/обработчика данных, указания, субобработчики, безопасность, уведомление о нарушениях, обращения затронутых лиц, обязательства по возврату и уничтожению данных также регулируются.

5. Основные принципы обработки персональных данных

1. Действия соответствуют законам и принципам добросовестности.

2. Обеспечивается точность данных и их актуальность при необходимости.

3. Цели обработки определяются как конкретные, явные и законные.

4. Данные хранятся в пределах, связанных с целями их обработки, и в ограниченных объемах.

5. Данные не хранятся дольше, чем это необходимо для целей обработки или в соответствии с требованиями законодательства.

6. Не собираются ненужные данные; новые функции разрабатываются с учетом принципов защиты данных и конфиденциальности по умолчанию.

7. Если можно достичь той же цели с меньшим объемом данных, предпочтение отдается методам, обрабатывающим меньше данных.

8. Явное согласие не становится обязательным условием контракта или услуги; его можно легко отозвать.

9. Анонимные или агрегированные данные используются в приоритетном порядке по сравнению с персональными данными.

6. Группы затронутых лиц

• Члены, потенциальные члены, лица, создающие бронирование/заказ, и гости, включенные в бронирование;

• Клиенты ресторанов, участники программы лояльности, участники мероприятий и опытов;

• Владельцы ресторанов, управляющие, сотрудники, операторы колл-центров и уполномоченные пользователи;

• Курьеры, сотрудники доставки и работники поставщиков услуг доставки;

• Сотрудники и уполномоченные лица поставщиков, деловых партнеров, дистрибьюторов, каналов, интеграций и консалтинговых компаний;

• Сотрудники, стажеры, кандидаты на работу, бывшие сотрудники и при необходимости их близкие/референции;

• Посетители веб-сайта и мобильного приложения, а также физические посетители;

• Затронутые лица в юридических спорах или процессах обращения.

7. Категории обрабатываемых персональных данных

8. Методы и источники получения персональных данных

• Мобильное приложение, веб-сайт, RezManager и другие интерфейсы Резторан;

• Веб-сайт и приложение ресторана, виджет бронирования, персонал ресторана, телефон и колл-центр;

• При необходимости Google, Michelin/Mozrest, WhatsApp и аналогичные каналы бронирования или связи;

• POS, ERP, платежные, доставочные, лояльностные и аналогичные интеграции;

• Ограниченные результаты транзакций, переданные Резторану банками и лицензированными платежными учреждениями;

• Файлы cookie, SDK, системные журналы и разрешенные функции устройства;

• Электронная почта, сообщения, социальные сети, каналы поддержки, формы и контракты;

• Физические документы, заявки на работу, записи посетителей и системы видеонаблюдения;

• Уполномоченные государственные учреждения, судебные органы и третьи лица, которые могут законно делиться данными.

Пользователь, предоставляющий контактные или бронирования данные третьего лица Резторану, обязан удостовериться, что он имеет право делиться этой информацией и обеспечить необходимую информацию для затронутого лица. Резторан дополнительно информирует затронутое лицо при первом контакте, если это уместно.

9. Цели обработки и юридические основания

10. Специальные категории персональных данных

Специальные категории персональных данных обрабатываются только при наличии одного из условий, указанных в 6-й статье Закона, если обработка необходима и пропорциональна, и при условии, что приняты достаточные меры, определенные Советом.

• Информация о здоровье, аллергии, инвалидности, доступности или религиозных убеждениях не запрашивается, если это не необходимо в записях о бронировании или заказах.

• В случае запроса на необходимую услугу эти данные хранятся в максимально структурированном, ограниченном и краткосрочном формате; не используются для общего маркетинга или сегментации клиентов.

• Доступ к специальным категориям данных ограничивается лицами, которые должны знать их по служебной необходимости; доступы фиксируются, и при передаче применяются дополнительные меры безопасности.

• Данные о здоровье сотрудников и уголовные данные ограничиваются рамками, необходимыми для трудоустройства, охраны труда и безопасности, социального обеспечения или установления/использования/защиты прав.

• В случаях, когда требуется явное согласие, согласие должно быть конкретным, отдельным, информированным и отзывным.

11. Клиентская аналитика, профилирование и искусственный интеллект

Резторан может производить анализы из данных о транзакциях и использовании для обеспечения безопасности услуг, управления емкостью, оценки производительности ресторанов, улучшения пользовательского опыта и предоставления предложений, запрашиваемых пользователем. Проведение персонализированных кампаний, поведенческого профилирования или таргетированной рекламы в сторонних средах требует отдельного явного согласия.

• Записи из различных каналов могут быть сопоставлены в той мере, в какой это необходимо и пропорционально для правильного распознавания одного и того же лица и предотвращения дублирования записей.

• Информация о поведении и расходах между ресторанами не раскрывается другому ресторану на уровне лица без явного уведомления затронутого лица и без наличия соответствующего юридического основания.

• Показатели no-show, мошенничества или злоупотреблений не используются как окончательные решения; в случаях, которые могут привести к значительным негативным последствиям, обеспечивается человеческая оценка и возможность обжалования.

• В случае передачи данных поставщикам искусственного интеллекта применяются меры минимизации данных, анонимизации, запрета на обучение моделей, сроки хранения, субобработчики и гарантии передачи за границу, определяемые контрактом.

• Сообщения пользователей или операционные данные, отправленные в генеративный искусственный интеллект, не используются для общего обучения модели без юридического основания и информирования пользователя.

12. Передача персональных данных внутри страны

Персональные данные могут передаваться следующим группам получателей в соответствии с условиями, указанными в 8-й статье Закона и в пределах целей:

• Рестораны, в которых осуществляется бронирование, заказ или используется преимущество лояльности, и только уполномоченные сотрудники;

• Банки, лицензированные платежные учреждения, выставление счетов и финансовые поставщики услуг;

• Курьеры, поставщики доставки и логистики;

• Поставщики интеграции бронирования, заказов, POS, ERP, CRM, лояльности, колл-центров и каналов;

• Поставщики облачных, хостинговых, безопасности, аутентификации, электронной почты, SMS, push, поддержки, аналитики и мониторинга ошибок;

• Поставщики рекламы, медиа, исследований и кампаний в рамках явного согласия и предпочтений коммерческой связи;

• Адвокаты, финансовые консультанты, независимые аудиторы, страховые и консалтинговые поставщики услуг;

• Уполномоченные государственные органы, регулирующие органы, правоохранительные и судебные органы;

• Стороны, находящиеся под обязательствами конфиденциальности и защиты данных в процессе слияния компаний, инвестиций, реорганизации или передачи активов; передача данных ограничивается необходимостью и пропорциональностью.

13. Передача персональных данных за границу

Персональные данные могут быть переданы за границу в случае предоставления облачных, хостинговых, электронной почты, уведомлений, безопасности, аналитики, поддержки клиентов, связи, искусственного интеллекта или аналогичных технологических услуг.

Регулярные передачи за границу осуществляются с использованием одного из методов, предусмотренных в 9-й статье Закона, с учетом решения о достаточности или соответствующих гарантий. В случае использования стандартного контракта уведомление в органы должно быть сделано в течение пяти рабочих дней с момента подписания контракта. Случайные передачи не могут использоваться как альтернатива регулярным и постоянным передачам.

• Для каждого поставщика услуг фиксируются страна, роль, категория данных, цель, субобработчик, механизм передачи и меры безопасности в инвентаризации передачи за границу.

• Регулярные передачи не осуществляются без достаточности или соответствующих гарантий.

• Основание для явного согласия на передачу данных является исключительным и ограничивается случайными условиями; общее согласие не принимается как обязательное условие услуги.

• Обеспечивается информирование затронутого лица о передаче и доступ к актуальным группам получателей.

14. Хранение, удаление, уничтожение и анонимизация

Персональные данные хранятся в течение времени, предусмотренного законодательством или необходимого для целей обработки. Сроки определяются в инвентаризации обработки персональных данных и политике хранения и уничтожения с учетом категории данных, цели обработки, сроков давности по контрактам и искам, финансовых обязательств, необходимости безопасности, доказательства согласия/отказа и разумных ожиданий затронутого лица.

Когда условия обработки прекращаются, данные удаляются, уничтожаются или анонимизируются при первой периодической утилизации. Периодическая утилизация не может превышать шести месяцев. Данные в резервных копиях также включаются в план утилизации через ограничение доступа и завершение цикла резервного копирования.

15. Технические и административные меры безопасности

• Ведется инвентаризация обработки данных, карта потоков данных и матрица ролей/полномочий; проводится оценка воздействия на защиту данных для новых продуктов.

• В многопользовательских системах применяется изоляция данных на уровне ресторана, бренда, филиала и пользователя.

• Применяются минимальные полномочия, разделение обязанностей, надежная аутентификация, управление привилегированными учетными записями и периодический обзор доступа.

• Шифрование при передаче и хранении в соответствующих областях; управление ключами, паролями, API и конфиденциальной информацией.

• Критические операции и доступы управляющих фиксируются; обеспечивается целостность журналов и контроль несанкционированного доступа.

• Производственные данные не передаются напрямую в тестовую среду; при необходимости проводится анонимизация или маскировка.

• Управление уязвимостями, безопасная разработка программного обеспечения, проверка кода, патчи, тестирование на проникновение и процессы мониторинга инцидентов проводятся.

• Поставщики и субобработчики оцениваются до заключения контракта и периодически на основе рисков.

• Сотрудникам регулярно предоставляется обучение по конфиденциальности и безопасности данных; получаются обязательства по конфиденциальности.

• Для специальных категорий данных, результатов платежей, сообщений и заметок о бронировании применяются дополнительные меры доступа, маскировки и передачи.

• Процессы удаления и анонимизации фиксируются; проверяется риск повторной идентификации анонимных данных.

16. Управление нарушениями персональных данных

В случае незаконного получения, доступа, раскрытия, изменения, потери или ухудшения доступности персональных данных инцидент немедленно сообщается ответственным за безопасность информации и защиту данных. Нарушение оценивается по объему, затронутым лицам, категориям данных, рискам, принятым мерам и обязательствам по уведомлению.

В соответствии с решениями Совета уведомление в органы должно быть сделано без задержек и, как правило, в течение 72 часов с момента обнаружения нарушения. Затронутым лицам сообщается о негативных последствиях нарушения удобным способом и без задержек. Обработчики данных сообщают Резторану о нарушении в течение короткого срока, установленного в контракте, как только они узнают о нем.

17. Права затронутого лица и обращения

Затронутые лица имеют право в соответствии с 11-й статьей Закона; узнать, обрабатываются ли их персональные данные, запрашивать информацию, узнавать цель обработки и использование в соответствии с этой целью, знать получателей внутри страны/за границей, исправлять, удалять/уничтожать, требовать уведомления об этих действиях получателям, оспаривать результаты исключительно автоматического анализа и требовать возмещения ущерба из-за незаконной обработки.

Обращения могут быть направлены по адресу: Suadiye Mah. Kazım Özalp Sk. C Blok No: 60 İç Kapı No: 2 Kadıköy / İstanbul, в письменной форме, с использованием методов KEP/безопасной электронной подписи/мобильной подписи, на адрес электронной почты info@reztoran.com, который был ранее сообщен Резторану и зарегистрирован в системе, или через приложение, предоставленное для цели обращения. Обращения рассматриваются в течение 30 дней.

18. Организация, контроль и ответственность

• Управление обеспечивает достаточные ресурсы и назначение ответственности.

• Юридическая/функция KVKK координирует законодательство, информирование, контракты, обращения затронутых лиц и процессы нарушения.

• Подразделения информационной безопасности и технологий осуществляют технические меры, контроль доступа, журналы и реагирование на инциденты.

• Команды продуктов проводят контроль проектирования конфиденциальности перед запуском новой деятельности по обработке.

• Подразделения человеческих ресурсов, продаж, маркетинга, обслуживания клиентов и операций осуществляют обработку только уполномоченными и в рамках целей.

• Политика, инвентаризация обработки данных и записи VERBIS регулярно обновляются и при значительных изменениях.

19. Вступление в силу и обновление

Эта Политика вступает в силу 10.07.2026. Обновляется в случае изменений законодательства, продуктов, потоков данных, поставщиков или организации. Актуальная версия публикуется на соответствующих цифровых каналах Резторан. Существенные изменения сообщаются затронутым лицам удобным способом.

Приложение-1: Минимальный контрольный список KVKK на основе процессов