Gizlilik ve KVKK Aydınlatma Metni

1. Veri sorumlusu

1.1. Veri sorumlusu: Taha Erel. İletişim: support@reseryo.com.

1.2. Avrupa Birliği'ndeki kullanıcılar GDPR kapsamındaki taleplerini de support@reseryo.com adresine iletebilir.

1.3. Bu metin hem 6698 sayılı KVKK md. 10 kapsamındaki aydınlatma metni hem de GDPR m. 13–14 kapsamındaki bilgilendirmedir.

2. Roller

2.1. Reseryo şu işlemlerde veri sorumlusudur: Platform hesapları, giriş ve güvenlik, rezervasyon talebinin iletilmesi, hatırlatmalar, değerlendirmelerin yayımlanması, Gelmedi itirazları ve işletmeler arası kısıtlamalar, destek, iletişim formu, bekleme listesi ve kanuni yükümlülükler.

2.2. İşletmenin kendi müşteri kayıtları, panelden girdiği rezervasyonlar, kendi formundaki sorular, notlar, çalışan ve finans kayıtları bakımından işletme veri sorumlusudur; Reseryo veri işleyendir. Bu veriler hakkındaki talepler için ilgili işletmeye başvurabilirsiniz. Bize ulaşan talepleri de işletmeye iletiriz.

3. İşlenen veriler

• Ziyaretçiler: IP adresi, tarayıcı ve cihaz bilgisi, istek kayıtları, dil ve ülke tercihi, toplulaştırılmış kullanım ve performans ölçümleri.
• Müşteri hesabı: ad, soyad, e-posta, telefon, parola (yalnızca özet olarak), e-posta doğrulama kaydı, dil, favoriler, bildirim tercihleri.
• Google ile giriş: Google hesabınızdaki ad ve e-posta adresi; başka Google verisi alınmaz.
• Apple ile giriş: ad ve e-posta adresi; Apple'ın gizli yönlendirme adresi olabilir.
• Rezervasyon: işletme, hizmet, çalışan, kaynak/masa/oda, tarih ve saat, kişi sayısı, ek kişi adları, notlar ve işletme formuna verdiğiniz yanıtlar, durum geçmişi, iptal türü, saat değiştirme geçmişi, doğrulama kodu kayıtları.
• Gelmedi ve kısıtlama: Gelmedi kayıtları, itiraz açıklamaları, kararlar ve kısıtlamalar; hesap kimliğinizden veya telefon numaranızdan üretilen geri döndürülemez kimlik özeti (SHA-256).
• Değerlendirmeler: puan, yorum, tarih ve ad ile soyadın baş harfi biçimindeki görünen ad.
• Mobil uygulama: anlık bildirim belirteci, cihaz platformu, dil, uygulama sürümü.
• Konum: yalnızca izin verirseniz ve yalnızca cihazınızda, yakındaki ülke ve şehri seçmek için düşük hassasiyetle kullanılır. Koordinatlar adres çözümlemesi için cihazınızın işletim sistemi sağlayıcısına (Apple veya Google) gider. Reseryo sunucularına gönderilmez ve saklanmaz.
• İşletme kullanıcıları ve ekip: ad, e-posta, telefon, rol, davet kayıtları, iki adımlı doğrulama faktörü ve kurtarma kodlarının özetleri, işlem (audit) kayıtları; işletme bilgileri ve görselleri; çalışan adları ve unvanları.
• İletişim formu ve bekleme listesi: ad, işletme adı, e-posta, telefon, ülke, mesaj içeriği.
• Sağlık notu: yalnızca uygun bir sağlık işletmesi bu alanı açtıysa ve işletmenin sorumluluğunda.
• Teknik ve güvenlik: hata kayıtları, istek sınırlama sayaçları ve kötüye kullanım kayıtları.
• Ödeme: Reseryo müşteri kartı veya banka verisi işlemez. İşletme paketleri ücretli hale geldiğinde ödeme verileri ödeme sağlayıcısında işlenir ve bu metin önceden güncellenir.

4. Amaçlar ve hukuki sebepler

Her amacın KVKK md. 5/2 ve GDPR m. 6/1 karşılığı:

• Hesap açma, giriş, oturumun sürdürülmesi; rezervasyon talebinin oluşturulması, işletmeye iletilmesi, durumunun gösterilmesi; iptal ve saat değiştirme; işlemsel bildirimler: sözleşmenin kurulması ve ifası. KVKK 5/2-c; GDPR 6/1-b.
• Hatırlatma e-postası ve anlık bildirimleri: sözleşmenin ifası ve meşru menfaat. KVKK 5/2-c ve f; GDPR 6/1-b ve f. Dilediğiniz zaman kapatabilirsiniz.
• Değerlendirmelerin yayımlanması ve işletmeye gösterilmesi: sözleşmenin ifası ve diğer kullanıcıları bilgilendirmeye yönelik meşru menfaat. KVKK 5/2-c ve f; GDPR 6/1-b ve f.
• Çakışma ve günlük sınır kontrolleri, doğrulama kodları, dolandırıcılık ve kötüye kullanımın önlenmesi, Gelmedi kaydı, itirazların değerlendirilmesi ve kısıtlamalar: işletmelerin kapasitesini ve Platform'un güvenilirliğini korumaya yönelik meşru menfaat ile hakların tesisi ve korunması. KVKK 5/2-e ve f; GDPR 6/1-f.
• Güvenlik, hata izleme, performans ölçümü ve ürün geliştirme: meşru menfaat. KVKK 5/2-f; GDPR 6/1-f.
• Destek, şikâyet ve iletişim formu: meşru menfaat ve gerektiğinde sözleşmenin ifası.
• Bekleme listesi: talebiniz üzerine açılış duyurusu göndermek. KVKK 5/2-c ve f.
• Kanuni yükümlülükler ve resmî makam talepleri: KVKK 5/2-a ve ç; GDPR 6/1-c.
• Hukuki uyuşmazlıklar: KVKK 5/2-e; GDPR 6/1-f.
• Sağlık notu: işletmenin sorumluluğunda KVKK md. 6 uyarınca; gerektiğinde açık rıza, GDPR 9/2-a veya 9/2-h.
• Pazarlama iletileri: şu an gönderilmiyor. Gönderilirse yalnızca ayrı onayınızla.
• Hukuki sebebi meşru menfaat olan işlemlere itiraz: GDPR m. 21 kapsamında itiraz edebilirsiniz.
• Verilerin sağlanması: Hesap ve rezervasyon için istenen veriler sözleşme için zorunludur; vermezseniz hizmet sunulamaz.

5. Toplama yöntemi

Veriler web sitesi ve mobil uygulama formları, Google ve Apple ile giriş, e-posta doğrulaması, işletme paneli (işletmenin sizin adınıza girdiği kayıtlar dahil), destek iletişimi, çerezler ve benzeri teknolojiler ile sistem kayıtları aracılığıyla, otomatik veya kısmen otomatik yollarla toplanır.

6. Otomatik kararlar

6.1. Gelmedi kısıtlamaları (Kullanım Koşulları md. 7) işletmelerin oluşturduğu kayıtlar üzerinden otomatik olarak hesaplanır:

• Son 180 günde aynı işletmede 3 geçerli kayıt varsa o işletmeye yeni talep kısıtlanır.
• Son 180 günde en az iki işletmede toplam 3 geçerli kayıt varsa Platform genelinde 30 gün kısıtlama uygulanır.

6.2. İtiraz edilen kayıtlar karar verilene kadar hesaba katılmaz. İtirazları bir insan inceler.

6.3. KVKK md. 11/1-g ve GDPR m. 22 kapsamında, aleyhinize sonuç doğuran otomatik değerlendirmeye itiraz edebilir, insan müdahalesi isteyebilir ve görüşünüzü bildirebilirsiniz.

6.4. Profil çıkarma amaçlı başka bir otomatik karar alınmaz.

7. Verilerin aktarıldığı taraflar

7.1. Seçtiğiniz işletme ve yetkili ekibi: rezervasyonun yürütülmesi için.

7.2. Herkese açık: değerlendirmeleriniz (puan, yorum ve "Ad S." biçimindeki adınız).

7.3. Hizmet sağlayıcılarımız (veri işleyenler):

• Supabase Inc.: veritabanı, kimlik doğrulama, dosya depolama. Konum: AB, Almanya (Frankfurt). Şirket ABD merkezli.
• Railway Corporation: API sunucusu. Konum: AB, Hollanda. Şirket ABD merkezli.
• Vercel Inc.: web barındırma, içerik dağıtımı, Web Analytics ve Speed Insights. Sunucu işlemleri AB'de (Frankfurt) yürütülür; statik içerik size en yakın uç noktadan sunulabilir. Şirket ABD merkezli.
• Functional Software Inc. (Sentry): hata ve performans izleme. Konum: AB veri bölgesi (Almanya). IP adresi ve istek gövdesi gönderilmeyecek şekilde yapılandırılmıştır.
• Hostinger: işlemsel e-posta ve kimlik doğrulama e-postaları gönderimi.
• 650 Industries Inc. (Expo): anlık bildirim iletimi ve mobil uygulama güncellemeleri. Konum: ABD.
• Apple: anlık bildirim servisi (APNs), Apple ile giriş ve e-posta aktarımı. Konum: ABD ve İrlanda.
• Google: Google ile giriş ve Firebase Cloud Messaging. Konum: ABD ve İrlanda.
• UptimeRobot: yalnızca herkese açık adreslerimizin erişilebilirliğini izler; kişisel verilerinize erişmez.
• Yazı tipleri sunucularımızda barındırılır. Ziyaretiniz sırasında Google Fonts'a istek gönderilmez.

7.4. Yetkili kamu kurum ve kuruluşları ve mahkemeler: kanuni zorunluluk halinde.

7.5. Hukuk, mali müşavirlik ve denetim danışmanları: gizlilik yükümlülüğü altında.

7.6. Olası bir devir veya birleşmede devralan taraf: önceden bildirimle.

7.7. Verileriniz satılmaz ve reklam amacıyla paylaşılmaz.

8. Yurt dışına aktarım

8.1. 7. maddedeki sağlayıcılar nedeniyle verileriniz Türkiye dışında, öncelikle AB'de ve kısmen ABD'de işlenir.

8.2. Bu aktarımlara uygulanan güvenceler (ör. sağlayıcıların standart sözleşme maddeleri ve AB-ABD Veri Gizliliği Çerçevesi kapsamındaki taahhütleri) hakkında bilgi almak için support@reseryo.com adresine yazabilirsiniz.

8.3. Google veya Apple ile giriş ve anlık bildirimler sizin talebinizle kullanılır. Bunları kullanmak zorunda değilsiniz: e-posta ve parolayla giriş yapabilir, bildirimleri kapatabilirsiniz.

8.4. Güvencelerin bir kopyasını support@reseryo.com'dan isteyebilirsiniz.

9. Saklama süreleri

• Hesap: hesabınızı silene kadar. Silme anında kimlik ve iletişim bilgileriniz silinir veya anonimleştirilir.
• Rezervasyon kayıtları: işletme hesabı açık olduğu sürece işletme adına saklanır. Hesabınızı silerseniz kimliğiniz derhal çıkarılır. İşletme kapanırsa kapanıştan 30 gün sonra kişisel veriler anonimleştirilir.
• Gelmedi, itiraz ve kısıtlama kayıtları: kısıtlama hesabı 180 günlük pencereye dayanır. Kayıtlar ispat için en fazla 2 yıl saklanır.
• Değerlendirmeler: siz silene, hesabınızı silene (görünen ad anonimleşir) veya işletme kapanana kadar.
• Anlık bildirim belirteçleri: oturumu kapatana, hesabı silene veya belirteç geçersizleşene kadar.
• Slot tutma kayıtları: süresi dolduktan 1 saat sonra. İstek sınırlama sayaçları: 1 gün. İşletme sahibi doğrulama kodları: süresi dolduktan 7 gün sonra.
• İletişim ve destek yazışmaları: talep sonuçlandıktan sonra en fazla 2 yıl.
• Bekleme listesi: kayıttan itibaren en fazla 1 yıl veya siz isteyene kadar.
• Teknik ve güvenlik kayıtları (bildirim ve işlem kayıtları, denetim kayıtları): en fazla 1 yıl. E-posta doğrulama oturumları: 30 gün. 180 gün kullanılmayan anlık bildirim belirteçleri silinir.
• Hata kayıtları: Sentry'nin saklama süresi boyunca, en fazla 90 gün.
• Ödeme ve fatura kayıtları (ileride): 10 yıl.
• Süresi dolan veriler periyodik olarak silinir, yok edilir veya anonimleştirilir.

10. Hesap silme ve veri kopyası

10.1. Hesabınızı web'deki hesap sayfasından veya mobil uygulamadan kendiniz silebilirsiniz. İleri tarihli aktif rezervasyonunuz ya da işletme paneline erişiminiz varsa önce bu durumların çözülmesi istenir.

10.2. Verilerinizin bir kopyasını veya taşınabilir bir biçimini almak için support@reseryo.com'a başvurabilirsiniz. Talebiniz kimliğiniz doğrulandıktan sonra en geç 30 gün içinde ücretsiz karşılanır.

11. Haklarınız

11.1. KVKK md. 11 kapsamında şu haklara sahipsiniz:

• (a) Verilerinizin işlenip işlenmediğini öğrenme.
• (b) İşlenmişse buna ilişkin bilgi talep etme.
• (c) İşleme amacını ve verilerin amacına uygun kullanılıp kullanılmadığını öğrenme.
• (ç) Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme.
• (d) Eksik veya yanlış işlenmişse düzeltilmesini isteme.
• (e) KVKK md. 7 şartlarıyla silinmesini veya yok edilmesini isteme.
• (f) (d) ve (e) uyarınca yapılan işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• (g) Münhasıran otomatik sistemlerle analiz sonucu aleyhinize bir sonuç çıkmasına itiraz etme.
• (ğ) Kanuna aykırı işleme nedeniyle zarara uğradıysanız zararın giderilmesini talep etme.

11.2. AB'deki kullanıcılar ayrıca şu haklara sahiptir: erişim, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği, itiraz, rızanın geri alınması ve yaşadığı ülkedeki denetim makamına şikâyet.

12. Başvuru yöntemi

12.1. Başvurunuzu şu yollardan biriyle yapabilirsiniz:

• Sistemimizde kayıtlı e-posta adresinizden support@reseryo.com'a.
• Güvenli elektronik imza veya mobil imza ile imzaladığınız başvuruyu support@reseryo.com adresine göndererek.

12.2. Başvuruda ad, soyad, T.C. kimlik numarası (yabancılar için uyruk ve pasaport numarası), adres, e-posta ve talebiniz yer almalıdır. Kimlik doğrulaması için yalnızca gerekli bilgiler istenir.

12.3. Başvurular en geç 30 gün içinde ücretsiz sonuçlandırılır. İşlem ayrıca bir maliyet gerektirirse Kurul'un belirlediği tarife uygulanabilir.

12.4. Başvurunuz reddedilirse, yanıtı yetersiz bulursanız veya süresinde yanıt verilmezse, yanıtı öğrendiğiniz tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

13. Çocuklar

Hesap açmak için en az 13 yaşında olmalısınız. 18 yaşından küçükler Platform'u veli veya vasilerinin bilgisi ve izniyle kullanır. Bir çocuğa ait verinin yetkisiz paylaşıldığını düşünüyorsanız support@reseryo.com'a yazın; inceleyip gerekirse sileriz.

14. Sağlık verileri

14.1. Sağlık notu genel rezervasyonlarda istenmez. Yalnızca uygun bir sağlık işletmesi, hizmet için gerekli olduğunda bu alanı açabilir. Bu durumda işletme veri sorumlusudur ve amacı, hukuki sebebi, erişimi ve saklama süresini ayrıca açıklar.

14.2. Açık rıza gerekiyorsa sağlık notu, ayrı ve önceden işaretlenmemiş bir onay olmadan kaydedilmez. 18 yaşından küçüklerin sağlık verisi için veli veya vasi süreci işletme tarafından yürütülür.

15. Güvenlik

Riske uygun teknik ve idari tedbirler uygularız: şifreli aktarım, rol ve işletme ayrımı, satır seviyesinde yetkilendirme, işlem kayıtları, yedekleme, parola ve kodların özetlenerek saklanması, yönetici hesaplarında zorunlu iki adımlı doğrulama. Bir ihlal olursa Kurul'a ve gerektiğinde size kanuni süreler içinde bildirim yapılır.

16. Pazarlama

Reseryo şu anda pazarlama iletisi göndermez. İleride göndermesi halinde yalnızca ayrı onayınız ve İYS kaydıyla gönderir. Bu onaydan dilediğiniz zaman çıkabilirsiniz.

17. Değişiklikler

Bu metin yeni özellik, sağlayıcı veya mevzuat değişikliklerinde güncellenir. Esaslı değişiklikler e-posta veya Platform bildirimiyle duyurulur. Önceki sürümleri support@reseryo.com'dan isteyebilirsiniz.