Gizlilik ve Güvenlik Politikası

İşletme Pro olarak, kişisel verilerinizin güvenliği ve gizliliği en önemli önceliğimizdir. Bu Gizlilik ve Güvenlik Politikası, platformumuzu kullandığınızda hangi bilgilerin toplandığını, bu bilgilerin nasıl kullanıldığını, korunduğunu ve haklarınızın neler olduğunu açıklamaktadır.

Bu politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili mevzuat hükümleri çerçevesinde hazırlanmıştır.

1. Veri Sorumlusunun Kimliği

2. Toplanan Kişisel Veriler

2.1. Hesap Bilgileri

• Ad, soyad
• E-posta adresi
• Telefon numarası
• Şifre (şifrelenmiş halde saklanır)

2.2. İşletme Bilgileri

• İşletme adı ve türü
• İşletme adresi (il, ilçe, açık adres)
• İşletme telefon numarası ve e-posta adresi
• Vergi dairesi ve vergi numarası (isteğe bağlı)

2.3. Ödeme Bilgileri

• Kredi/banka kartı bilgileri, ödeme işlemi başlatılması amacıyla şifreli HTTPS bağlantısı üzerinden sunucularımız aracılığıyla PayTR Direkt API'ye iletilir. Kart bilgileri sunucularımızda saklanmaz, loglanmaz ve veri tabanına yazılmaz; yalnızca bellekte işlenir ve PayTR API çağrısının ardından derhal imha edilir
• Tekrarlayan ödemeler için yalnızca PayTR tarafından sağlanan kart token'ları (utoken/ctoken) saklanır; gerçek kart numaraları hiçbir koşulda sistemimizde tutulmaz
• Fatura bilgileri

2.4. Kullanım Verileri

• Oturum açma/kapama kayıtları
• IP adresi ve tarayıcı bilgileri
• Sayfa görüntüleme ve tıklama verileri
• Cihaz bilgileri (işletim sistemi, ekran çözünürlüğü)
• Kullanım istatistikleri ve hizmet performans ölçümleri

2.5. İşletme Müşteri Verileri

Platformumuz üzerinden işletmelerin girdiği müşteri verileri (randevu bilgileri, müşteri isimleri, telefon numaraları vb.) söz konusu işletmenin veri sorumluluğu altındadır. İşletme Pro, bu verilere yalnızca hizmetin ifası amacıyla ve veri işleyen sıfatıyla erişim sağlar.

2.6. Mobil Uygulamanın Cihaz İzinleriyle Eriştiği Veriler

İşletme Pro mobil uygulaması aşağıdaki cihaz izinlerini yalnızca ilgili özellik kullanıldığında ve siz izin verdiğinizde kullanır. Verdiğiniz izinleri dilediğiniz zaman cihazınızın ayarlarından geri alabilirsiniz; bu durumda yalnızca ilgili özellik çalışmaz.

a) Konum Verisi (Kurye Canlı Konum Paylaşımı)

• Kimden toplanır: Yalnızca uygulamanın kurye bölümünü kullanan teslimat kuryelerinden. İşletme yöneticilerinin, personelin ve müşterilerin konumu mobil uygulama tarafından toplanmaz.
• Ne zaman toplanır: Yalnızca kurye, uygulamadaki "Online" anahtarıyla vardiyasını kendisi başlattığında ve vardiya açık olduğu sürece. Uygulama, konum izni istemeden önce kuryeye bu toplamanın amacını ve kapsamını açıklayan bir bilgilendirme gösterir ve onayını alır. Kurye "Her zaman izin ver" seçeneğini seçtiyse konum, uygulama kapalıyken veya kullanılmıyorken de (arka planda) toplanmaya devam eder; bu süre boyunca cihazda "Teslimat takibi aktif" bildirimi kalıcı olarak gösterilir. Kurye vardiyayı kapattığında konum toplama durur.
• Hangi veriler toplanır: Enlem ve boylam, konumun doğruluk payı, hız, hareket yönü, cihazın pil seviyesi ve ölçüm zamanı.
• Hangi amaçla kullanılır: Kuryenin bağlı olduğu işletmenin (veya kurye filosunun) yönetim panelindeki canlı haritada kuryenin konumunun gösterilmesi, yeni paket siparişlerin en yakın uygun kuryeye atanması ve teslimat sürecinin takibi.
• Kimlerle paylaşılır: Kuryenin bağlı olduğu işletme veya kurye filosu. Ayrıca online sipariş veren müşteri, siparişi kurye teslim aldıktan sonra sipariş takip ekranında kuryenin anlık konumunu, adını ve araç tipini görebilir; kuryenin telefon numarası ve soyadı müşteriyle paylaşılmaz. Konum verisi reklam amacıyla kullanılmaz ve üçüncü taraflara satılmaz.
• Saklama: Kuryenin son bilinen konumu kurye kaydında tutulur ve her yeni konum bildirimiyle güncellenir. Konum geçmişi (iz kayıtları) 30 gün saklanır; bu süreyi aşan kayıtlar her gün otomatik olarak silinir.

b) Rehber (Kişiler)

• Yalnızca işletme kullanıcısı, müşteri listesine telefon rehberinden kişi aktarma özelliğini kullandığında ve rehber iznini verdiğinde erişilir.
• Rehberdeki kişilerin adı, soyadı, telefon numaraları ve e-posta adresleri yalnızca cihaz üzerinde listelenir. Sunucularımıza yalnızca kullanıcının seçtiği kişiler, işletmenin müşteri kaydı olarak gönderilir; seçilmeyen kişiler cihazdan çıkmaz.
• Aktarılan kişiler işletmenin müşteri verisi olarak işlenir (bkz. 2.5).

c) Kamera ve Fotoğraflar

• Kamera; masraf fişi, destek talebi eki ve dosya eki gibi fotoğrafları çekmek için yalnızca kullanıcı fotoğraf çekmeyi seçtiğinde kullanılır.
• Profil fotoğrafı, ürün görseli ve ekler için fotoğraf seçerken Android'de sistemin fotoğraf seçicisi kullanılır; uygulama galerinizin tamamına erişmez. Yalnızca çektiğiniz veya seçtiğiniz görseller sunucularımıza yüklenir ve ilgili kayıtla birlikte saklanır.

d) Bildirimler

• Bildirim iznini verirseniz cihazınıza ait bildirim anahtarı (push token), kullanıcı hesabınızla ilişkilendirilerek sunucularımızda saklanır ve sipariş, randevu ve hatırlatma bildirimleri göndermek için kullanılır.
• Bildirimler Expo bildirim hizmeti aracılığıyla Google (Firebase Cloud Messaging) ve Apple (Apple Push Notification Service) altyapısı üzerinden iletilir.

3. Verilerin İşlenme Amaçları

Kişisel verileriniz aşağıdaki amaçlarla işlenmektedir:

1. Sözleşmenin Kurulması ve İfası: Hesap oluşturma, abonelik yönetimi, hizmet sunumu, faturalandırma
2. Hizmet Kalitesinin Artırılması: Platform performansının ölçülmesi, hata tespiti, kullanıcı deneyiminin iyileştirilmesi
3. İletişim: Teknik destek, bildirimler, hizmet güncellemeleri, abonelik durumu hakkında bilgilendirme
4. Teslimat Operasyonu: Vardiyası açık kuryelerin konumunun işletmeye canlı haritada gösterilmesi, paket siparişlerin en yakın kuryeye atanması ve siparişi veren müşteriye teslimat takibi sunulması (bkz. 2.6)
5. Güvenlik: Yetkisiz erişimin önlenmesi, dolandırıcılığın tespiti, sistem güvenliğinin sağlanması
6. Yasal Yükümlülükler: Vergi mevzuatı, e-fatura düzenlemeleri, mahkeme kararları ve yetkili kurumların bilgi talepleri
7. Pazarlama: Yalnızca açık rızanızın bulunması halinde, kampanya, duyuru ve yenilikler hakkında bilgilendirme

4. Verilerin Korunması ve Güvenlik Önlemleri

4.1. Teknik Güvenlik Önlemleri

• SSL/TLS Şifreleme: Tüm veri iletimi 256-bit SSL sertifikası ile şifrelenir
• Veri Tabanı Şifreleme: Hassas veriler AES-256 standardında şifrelenir
• Şifre Güvenliği: Parolalar bcrypt algoritması ile hash'lenerek saklanır, düz metin olarak asla tutulmaz
• Güvenlik Duvarı: Uygulama ve ağ seviyesinde güvenlik duvarları
• DDoS Koruması: Dağıtık hizmet aksatma saldırılarına karşı koruma
• Düzenli Yedekleme: Veriler günlük olarak yedeklenir ve coğrafi olarak farklı lokasyonlarda saklanır
• Penetrasyon Testleri: Düzenli güvenlik taramaları ve sızma testleri

4.2. İdari Güvenlik Önlemleri

• Çalışanlarımız kişisel veri koruma konusunda düzenli eğitim alır
• Verilere erişim yetki matrisi ile kontrol edilir, minimum yetki prensibi uygulanır
• Gizlilik sözleşmeleri ile çalışanlar ve iş ortakları bağlayıcı yükümlülükler altındadır
• Veri ihlali müdahale planı oluşturulmuştur

4.3. Veri Merkezi Güvenliği

Verileriniz, Türkiye'de bulunan ISO 27001 sertifikalı veri merkezlerinde saklanmaktadır. Veri merkezlerimiz 7/24 fiziksel güvenlik, çift yedekli enerji kaynağı ve yangın söndürme sistemleri ile donatılmıştır.

5. Çerez (Cookie) Politikası

Web sitemizde aşağıdaki çerez türleri kullanılmaktadır:

5.1. Google Analytics 4 Kullanımı

Web sitemizde, ziyaretçi davranışlarını anonim olarak analiz etmek amacıyla Google LLC tarafından sağlanan Google Analytics 4 (GA4) hizmeti kullanılmaktadır. Bu hizmet kapsamında aşağıdaki çerezler tarayıcınıza kaydedilebilir:

Veri Minimizasyonu: Google Analytics yapılandırmamızda IP adresi anonimleştirmesi (anonymize_ip) etkindir; tam IP adresiniz Google sunucularına iletilmez.

Yurt Dışı Aktarım: Google Analytics verileri Google LLC tarafından işlenir ve Avrupa Birliği ile Amerika Birleşik Devletleri'nde bulunan sunucularda saklanabilir. Google, AB-ABD Veri Gizliliği Çerçevesi (Data Privacy Framework) kapsamında sertifikalıdır.

5.2. Onay (Consent Mode v2) ve Tercihinizi Yönetme

Web sitemizi ilk ziyaret ettiğinizde alt kısımda bir çerez bildirimi gösterilir. Bu bildirim üzerinden:

• "Tümünü Kabul Et": Analiz ve pazarlama çerezleri için açık rızanız alınır; Google Analytics tam olarak çalışır.
• "Sadece Gerekli": Yalnızca zorunlu ve işlevsel çerezler kullanılır; Google Analytics çerezleri kullanılmaz, ölçüm verisi toplanmaz (Consent Mode v2 ile reddedildi olarak işaretlenir).

Tercihinizi sonradan değiştirmek için: tarayıcınızın depolama alanından cookie_consent anahtarını silebilir veya tüm site verilerini temizleyebilirsiniz. Bir sonraki ziyaretinizde çerez bildirimi yeniden gösterilecektir.

Tüm tarayıcı çerezlerini engellemek için tarayıcı ayarlarınızdan çerezleri devre dışı bırakabilirsiniz. Google Analytics'i tarayıcı genelinde devre dışı bırakmak için Google'ın resmi opt-out eklentisini kullanabilirsiniz: tools.google.com/dlpage/gaoptout.

Zorunlu çerezlerin devre dışı bırakılması hizmetin düzgün çalışmasını engelleyebilir.

6. Verilerin Aktarılması

6.1. Yurt İçi Aktarım

Kişisel verileriniz, aşağıdaki taraflarla paylaşılabilir:

• Ödeme kuruluşları: Ödeme işlemlerinin gerçekleştirilmesi amacıyla (PCI DSS uyumlu)
• SMS ve e-posta hizmet sağlayıcıları: Bildirim gönderimi amacıyla
• Yasal zorunluluklar: Mahkemeler, savcılıklar, düzenleyici kurumlar
• Denetim firmaları: Yasal denetim yükümlülükleri kapsamında

6.2. Yurt Dışı Aktarım

Kişisel verileriniz kural olarak yurt dışına aktarılmaz. Teknik altyapı gereksinimleri nedeniyle yurt dışı aktarım zorunlu olması halinde, KVKK'nın 9. maddesi kapsamında gerekli güvenlik önlemleri alınarak (açık rıza veya yeterli koruma bulunan ülkeler) gerçekleştirilir.

Web sitemizdeki kullanım analitiği için tercih ettiğiniz takdirde (çerez bildirimi üzerinden açık rıza vermeniz halinde) Google Analytics 4 üzerinden anonimleştirilmiş trafik verileri Google LLC sunucularına iletilir. Google, AB-ABD Veri Gizliliği Çerçevesi (Data Privacy Framework) kapsamında sertifikalı olup; veri aktarımı, IP anonimleştirmesi ve standart sözleşme hükümleri ile korunmaktadır. Ödeme akışında ise hiçbir kart bilgisi yurt dışına aktarılmaz; ödeme PayTR (yurt içi PCI DSS sertifikalı kuruluş) üzerinden işlenir.

7. Verilerin Saklanma Süresi

Saklama süresi dolan veriler, periyodik imha dönemlerinde (6 aylık dönemler) silinir, yok edilir veya anonim hale getirilir.

8. Veri İhlali Bildirimi

Herhangi bir veri ihlali tespit edilmesi halinde, KVKK'nın 12. maddesi gereğince, ihlalden etkilenen kişiler ve Kişisel Verileri Koruma Kurulu en kısa sürede (en geç 72 saat içinde) bilgilendirilir. İhlalin niteliği, etkilenen veri kategorileri, olası sonuçları ve alınan önlemler bu bildirimde yer alır.

9. Üçüncü Taraf Hizmetler

Platformumuz, hizmet kalitesini artırmak amacıyla üçüncü taraf hizmet sağlayıcılarla çalışmaktadır. Bu sağlayıcılar, verilerinize yalnızca hizmet ifası kapsamında ve gizlilik sözleşmeleri çerçevesinde erişebilir. Üçüncü tarafların kendi gizlilik politikaları ayrıca geçerlidir.

10. Çocukların Gizliliği

İşletme Pro, 18 yaşın altındaki bireylere yönelik bir hizmet sunmamaktadır. 18 yaşın altındaki kişilerden bilinçli olarak kişisel veri toplamayız. Böyle bir durumun tespiti halinde ilgili veriler derhal silinir.

11. Politika Güncellemeleri

Bu gizlilik ve güvenlik politikası, yasal düzenlemeler, teknolojik gelişmeler veya hizmet değişiklikleri doğrultusunda güncellenebilir. Önemli değişiklikler yapılması halinde, kayıtlı e-posta adresinize bildirim gönderilir ve platform üzerinden duyurulur. Güncel politikayı düzenli olarak kontrol etmenizi öneririz.

12. İletişim

Gizlilik ve güvenlik politikamız hakkında sorularınız veya talepleriniz için: