GİZLİLİK POLİTİKASI

İşbu Gizlilik Politikası (“Politika”), PRIVON'un [Yemap Teknoloji ve Gıda Sanayi ve Dış Ticaret A.Ş.] (“PRIVON”) tarafından işletilen mobil uygulama ve internet sitesinden (birlikte “Platform”) oluşan iki kanal üzerinden yürütülen kişisel veri işleme faaliyetleri hakkında; 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m.10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca Üyeleri ve Platform ziyaretçilerini bilgilendirmek amacıyla hazırlanmıştır. İşbu Politika, hem KVKK m.10 kapsamındaki asgari yasal aydınlatma yükümlülüğünü yerine getirir hem de PRIVON'un veri işleme uygulamaları hakkında daha kapsamlı ve kullanıcı dostu bilgi sunar; PRIVON Üyelik Sözleşmesi ve Kullanım Koşulları'nın eki ve ayrılmaz bir parçasıdır.

İşbu Politika'nın gövde metni yalnızca bilgilendirme amacı taşır ve herhangi bir açık rıza beyanı içermez. Açık rıza gerektiren işleme faaliyetleri (pazarlama iletişimi, hassas konum verisi, yeterli korumanın bulunmadığı ülkelere istisnai aktarım), işbu Politika'nın EK-4'ünde yer alan ve Platform arayüzünde işbu Politika'nın onaylanmasından bağımsız, ayrı ve önceden işaretlenmemiş onay kutucuklarıyla sunulan Açık Rıza Metinleri ile ayrıca yürütülür.Üyeler, vermiş oldukları açık rızayı diledikleri zaman geri alabilir; rızanın geri alınması, geri alma anına kadar yapılan işlemlerin hukuka uygunluğunu etkilemez. Rızanın geri alınması halinde, ilgili işleme faaliyeti (pazarlama iletişimi, hassas konum verisi, yurt dışına istisnai aktarım) derhal sonlandırılır ve bu durumun sonuçları hakkında üyeye bilgi verilir.

1. AMAÇ VE KAPSAM

İşbu Politika, Platform'un hem web (internet sitesi) hem de mobil uygulama sürümü üzerinden gerçekleştirilen tüm kişisel veri işleme faaliyetlerini kapsar. Kanala özgü ek hususlar EK-1 (Çerez Politikası — yalnızca web) ve EK-2'de (Mobil Uygulama İzinleri ve SDK Bildirimi — yalnızca mobil uygulama) ayrıca düzenlenmiştir.

2. VERİ SORUMLUSU

Ticaret Unvanı:Yemap Teknoloji ve Gıda Sanayi ve Dış Ticaret A.Ş.

MERSİS No: 0947108275800001 Adres: HAMİDİYE MAH. CENDERE CAD. A BLOK NO:33A KAĞITHANE/İSTANBUL E-posta:[email protected]

KEP: [email protected]

3. TANIMLAR

4. İŞLENEN KİŞİSEL VERİ KATEGORİLERİ

5. ÖZEL NİTELİKLİ KİŞİSEL VERİLER VE İŞLENMESİ

5.1. KVKK m.6 uyarınca sağlık verisi dahil özel nitelikli kişisel veriler, ancak kanunlarda açıkça öngörülmesi veya ilgili kişinin açık rızasının bulunması hâlinde işlenebilir.

5.2. Platform üzerinden rezervasyon sürecinde Üye'nin kendi inisiyatifiyle ilettiği alerji, özel diyet veya sağlık durumuna ilişkin notlar, KVKK m.6 anlamında sağlık verisi niteliğinde özel nitelikli kişisel veri sayılabilir. PRIVON, bu tür verileri yalnızca Üye'nin açık rızasına dayanarak ve ilgili rezervasyonun güvenli biçimde Partner İşletme'ye iletilmesi amacıyla işler; bu veriler pazarlama, profilleme veya başka bir amaçla kullanılmaz ve rezervasyonun tamamlanmasını takiben en geç otuz (30) gün içinde silinir veya anonim hâle getirilir.

5.3. PRIVON, özel nitelikli kişisel verilerin işlenmesinde, Kişisel Verileri Koruma Kurulu'nun özel nitelikli kişisel verilerin işlenmesinde alınması gereken yeterli önlemlere ilişkin kararında belirtilen tedbirleri (ayrı şifreleme, erişimin sınırlı personelle kısıtlanması ve loglanması, aktarım hâlinde ek güvenlik protokolleri vb.) uygular.

5.4. Ürün tasarımı önerisi: Rezervasyon formunda alerji/diyet alanının doldurulması isteğe bağlı tutulmalı ve alan üzerinde “Bu bilgi özel nitelikli kişisel veri sayılabilir, paylaşımı tamamen isteğinize bağlıdır” uyarısı gösterilmelidir.

6. KİŞİSEL VERİLERİN İŞLENME AMAÇLARI, VERİ KATEGORİLERİ VE HUKUKİ SEBEP

Kişisel verileriniz, aşağıdaki tabloda belirtilen amaçlarla, ilgili veri kategorileri bakımından ve belirtilen hukuki sebeplere dayanılarak işlenmektedir:

7. KİŞİSEL VERİLERİN TOPLANMA YÖNTEMİ

Kişisel verileriniz; Platform'un web ve mobil uygulama arayüzleri üzerinden doldurduğunuz formlar, üyelik başvurunuz, rezervasyon işlemleriniz, çerezler (yalnızca web, bkz. EK-1) ve mobil uygulamada kullanılan SDK'lar (bkz. EK-2) yoluyla, elektronik ortamda ve kısmen otomatik yollarla toplanmaktadır.

8. KİŞİSEL VERİLERİN YURT İÇİNDE AKTARILMASI

Aktarımlar, KVKK m.8 hükümlerine uygun olarak ve yalnızca aktarım amacıyla sınırlı, orantılı veriler bakımından gerçekleştirilir.Yukarıda belirtilen alıcı gruplarından Partner İşletmeler, Lisanslı Ödeme Kuruluşu ve Yetkili kamu kurum ve kuruluşları bağımsız veri sorumlusu sıfatıyla; Entegrasyon Sağlayıcıları ile Barındırma, bulut ve bildirim altyapısı sağlayıcıları ise veri işleyen sıfatıyla hareket eder. Veri işleyenlerle ilişkiler, işbu Politika'nın 10. maddesinde düzenlenen yükümlülüklere tabidir.

9. KİŞİSEL VERİLERİN YURT DIŞINA AKTARILMASI

9.1. KVKK m.9 (7499 sayılı Kanun ile değişik) uyarınca kişisel veriler yurt dışına, önceliğe göre aşağıdaki üç mekanizmadan biri çerçevesinde aktarılabilir:

(a) Yeterlilik Kararı: Kişisel Verileri Koruma Kurulu tarafından ilgili yabancı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı verilmiş olması;

(b) Uygun Güvenceler: Yeterlilik kararı bulunmaması hâlinde, veri sorumlusu ile alıcı arasında Kurul tarafından ilan edilen Standart Sözleşme'nin imzalanması ve imza tarihinden itibaren Kurul tarafından belirlenen süre içinde Kurul'a bildirilmesi, Kurul onaylı Bağlayıcı Şirket Kuralları'nın (PRIVON'un yurt dışı iştirakleriyle olan aktarımları için) uygulanması veya kamu kurumları arasında usulüne uygun akdedilmiş uluslararası sözleşme niteliğindeki anlaşmaların bulunması;

(c) İstisnai Hâller: Yukarıdaki mekanizmaların hiçbirinin uygulanamadığı, düzenli/sistematik olmayan (arizi) aktarımlarda; ilgili kişinin, aktarımın olası risklerinin kendisine bildirilmesi sonrasında açıkça verdiği rıza dahil KVKK m.9/6'da sınırlı biçimde sayılan istisnalar (bkz. EK-4/C).

9.2. Risk Değerlendirmesi ve PRIVON'un Tercihi: PRIVON'un yurt dışı genişleme planları (Dubai, Paris, Londra, Madrid vb.) kapsamındaki aktarımlar, tek seferlik değil düzenli ve sistematik nitelik taşıyacağından, bu aktarımların yalnızca açık rızaya (9.1-c) dayandırılması hukuken kırılgan bir temeldir; açık rıza her an geri alınabilir ve KVKK Kurulu, düzenli aktarımlarda açık rızanın asıl/tek mekanizma olarak kullanılmasını istisnai bir yöntemin sürekli hâle getirilmesi olarak değerlendirebilir. Bu nedenle PRIVON'a, ilgili ülkelerdeki Partner İşletmelerle ve/veya yerel iştiraklerle olan düzenli veri akışları için öncelikle Kurul'un ilan ettiği Standart Sözleşme'nin (9.1-b) imzalanması, açık rızanın (EK-4/C) yalnızca bu mekanizmanın devreye alınamadığı geçiş dönemi veya münferit işlemler için tamamlayıcı olarak kullanılması tavsiye edilir.

9.3. PRIVON, hangi ülkeler için hangi aktarım mekanizmasının uygulandığını gösteren güncel bir Yurt Dışı Aktarım Envanteri tutar ve Kurul'un ilgili kararlarındaki güncellemeleri takip eder.

10. VERİ İŞLEYENLERLE İLİŞKİLER VE YÜKÜMLÜLÜKLERİ

10.1. PRIVON, kişisel verileri kendi adına işleyen üçüncü taraflarla (entegrasyon sağlayıcıları, barındırma/bulut hizmeti sağlayıcıları, bildirim altyapısı sağlayıcıları, analitik araç sağlayıcıları vb. “Veri İşleyen”) yazılı sözleşmeler veya mevcut hizmet sözleşmelerine ek veri işleme protokolleri akdeder. Bu düzenlemeler asgari olarak; Veri İşleyen'in yalnızca PRIVON'un talimatları doğrultusunda işleme yapacağını, işbu Politika ve KVKK'da öngörülen güvenlik tedbirlerine uyacağını, alt işleyen (sub-processor) kullanımının PRIVON'un önceden yazılı onayına tabi olacağını, işleme faaliyetinin sona ermesiyle verilerin iade edileceğini veya imha edileceğini ve bir veri ihlali hâlinde PRIVON'u derhal (gecikmeksizin) bilgilendireceğini içerir.

10.2. PRIVON, Veri İşleyenlerin KVKK'ya uyumunu, akdedilen sözleşmelerdeki denetim hakları çerçevesinde yılda en az bir kez veya haklı bir gerekçenin varlığı hâlinde her zaman denetleme hakkına sahiptir. Denetim, makul bir ön bildirimle ve Veri İşleyen'in iş süreçlerini aksatmayacak şekilde gerçekleştirilir; denetim masrafları aksi kararlaştırılmadıkça PRIVON'a aittir. Uyumsuzluk tespit edilen Veri İşleyenlerle ilişkiyi askıya alma veya sonlandırma hakkı saklıdır.

11. OTOMATİK KARAR ALMA VE PROFİLLEME

Üyelik başvurularının değerlendirilmesi, PRIVON personeli tarafından belirlenen kriterler çerçevesinde ve nihai kararın bir gerçek kişi tarafından verilmesi suretiyle gerçekleştirilir; başvurunun tamamen otomatik sistemler tarafından, insan müdahalesi olmaksızın reddedilmesi söz konusu değildir. Bu nedenle KVKK m.11/1-g kapsamındaki “otomatik sistemlerle analiz sonucu aleyhe bir sonucun ortaya çıkmasına itiraz etme” hakkı, üyelik başvuru süreci bakımından şu an için uygulama alanı bulmamaktadır. PRIVON'un ileride bu süreci tamamen otomatik hâle getirmesi hâlinde, söz konusu sistemin devreye alınmasından önce işbu Politika güncellenecek ve KVKK m.11/1-g kapsamındaki itiraz hakkı ile başvuru mekanizması ilgili kişilere ayrıca ve açıkça duyurulacaktır.

12. SAKLAMA SÜRELERİ

Kişisel verileriniz, işlenme amacının gerektirdiği süre ve ilgili mevzuatta öngörülen asgari/azami saklama süreleriyle sınırlı olarak muhafaza edilir; sürelerin sonunda silinir, yok edilir veya anonim hâle getirilir. Aşağıda belirtilen saklama süreleri asgari süreler olup, PRIVON'un Kişisel Veri Saklama ve İmha Politikası'nda bu süreler detaylandırılır ve güncellenir.

13. VERİ GÜVENLİĞİ TEDBİRLERİ

PRIVON, KVKK m.12 uyarınca kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak amacıyla aşağıdaki başta olmak üzere idari ve teknik tedbirleri alır:

İdari Tedbirler: Erişim yetkilendirmesi ve yetki matrisi uygulaması; personel ile gizlilik taahhütnamesi imzalanması; düzenli KVKK farkındalık eğitimleri; tedarikçilerle veri işleyen sıfatıyla yazılı sözleşme/veri işleme eki akdedilmesi; kişisel veri işleme envanterinin ve saklama-imha politikasının güncel tutulması.

Teknik Tedbirler: Verilerin şifrelenerek saklanması ve iletilmesi (transit ve at-rest şifreleme); güvenlik duvarı ve saldırı tespit sistemleri; düzenli yedekleme; erişim ve işlem loglarının tutulması; periyodik sızma testleri ve güvenlik açığı taramaları; yetkisiz erişime karşı çok faktörlü kimlik doğrulama; özel nitelikli veriler için ayrıca güçlendirilmiş erişim kısıtlaması ve şifreleme.

14. KİŞİSEL VERİ İHLALİ MÜDAHALE PROSEDÜRÜ

PRIVON, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, KVKK m.12/5 uyarınca durumu en kısa sürede ve her hâlükârda öğrendiği tarihten itibaren yetmiş iki (72) saat içinde Kişisel Verileri Koruma Kurulu'na bildirir. İhlalin, ilgili kişilerin kişilik haklarına veya özel hayatına zarar verme riski taşıması hâlinde, etkilenen Üyeler, ihlalin niteliği ve muhtemel sonuçları hakkında PRIVON tarafından uygun yöntemlerle (e-posta, Platform içi bildirim vb.) en kısa sürede ve her hâlükârda yetmiş iki (72) saat içinde bilgilendirilir. PRIVON, tüm veri ihlali olaylarını, etki değerlendirmesini ve alınan aksiyonları kayıt altına alır ve bu kayıtları Kurul'un talebi hâlinde ibraz eder.

15. ÇOCUKLARIN KİŞİSEL VERİLERİ

Platform, 18 yaşından küçük bireylere yönelik olarak tasarlanmamıştır ve bu kişilerden bilerek kişisel veri toplanmaz. 18 yaşından küçük bir bireye ait kişisel verinin işlendiğinin tespiti hâlinde, PRIVON söz konusu veriyi makul süre içinde siler veya anonim hâle getirir.

16. ULUSLARARASI KULLANICILAR

PRIVON'un yurt dışı genişleme planları (Dubai, Paris, Londra, Madrid vb.) kapsamında, ilgili ülkelerde yerleşik Üyelerin veya Partner İşletmelerin kişisel verilerinin işlenmesi söz konusu olduğunda, KVKK'ya ek olarak ilgili ülkenin yerel veri koruma mevzuatı (ör. Avrupa Birliği üyesi ülkeler bakımından GDPR, Birleşik Arap Emirlikleri bakımından ilgili serbest bölge/federal veri koruma mevzuatı) da uygulanabilir. PRIVON, faaliyet gösterdiği her pazarda yerel mevzuata uyum için gerekli ek düzenlemeleri (yerel dilde aydınlatma metni, yerel temsilci atanması vb. dahil) ayrıca hazırlayacaktır.

17. VERBİS KAYIT YÜKÜMLÜLÜĞÜ

6698 sayılı Kanun'un 16. maddesi uyarınca, Kişisel Verileri Koruma Kurulu tarafından belirlenen kriterlere (yıllık çalışan sayısı, mali bilanço büyüklüğü, ana faaliyet konusunun özel nitelikli veri işleme olması vb.) göre veri sorumlularının Veri Sorumluları Siciline (VERBİS) kayıt olması gerekebilir. PRIVON, güncel çalışan sayısı ve mali durumu itibarıyla VERBİS kayıt yükümlülüğü kapsamına girip girmediğini düzenli olarak değerlendirir; kayıt yükümlülüğü doğduğu takdirde, yükümlülüğün başladığı tarihten itibaren Kurul tarafından ilan edilen süre içinde kayıt işlemini tamamlar ve işbu Politika'da VERBİS kayıt numarasını güncelleyerek yayımlar.

18. İLGİLİ KİŞİNİN HAKLARI VE BAŞVURU USULÜ

KVKK m.11 uyarınca; kişisel verinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini isteme, KVKK m.7'de öngörülen şartlar çerçevesinde silinmesini/yok edilmesini isteme, düzeltme/silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi nedeniyle aleyhinize bir sonucun ortaya çıkması hâlinde bu sonuca itiraz etme ve kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz. Bu haklarınızı, işbu Politika'nın EK-3'ünde yer alan Başvuru Formu'nu doldurarak veya Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de öngörülen diğer yöntemlerle PRIVON'a iletebilirsiniz; talepleriniz niteliğine göre en geç otuz (30) gün içinde ve ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu'nca belirlenen tarifedeki ücret talep edilebilir.

19. KİŞİSEL VERİLERİ KORUMA KURULU'NA ŞİKÂYET HAKKI

PRIVON'a yaptığınız başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde; cevabı öğrendiğiniz tarihten itibaren otuz (30) gün ve her hâlde başvuru tarihinden itibaren altmış (60) gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız bulunmaktadır.Şikâyet başvurusu, Kurul'un belirlediği usul ve esaslara uygun olarak yapılmalıdır. Şikâyetinizde, PRIVON'a yaptığınız başvuruya ilişkin bilgileri ve başvurunuzun sonucunu veya sonuçlandırılmama durumunu belirtmeniz gerekmektedir.

20. POLİTİKADA DEĞİŞİKLİK

PRIVON, işbu Politika'da ve eklerinde değişiklik yapma hakkını saklı tutar. Değişiklikler Platform üzerinden yayımlandığı tarihte yürürlüğe girer. İşleme amaçlarında, hukuki sebeplerde, aktarım alıcılarında veya veri kategorilerinde esaslı değişiklik yapılması halinde, bu değişiklikler yürürlük tarihinden önce Üyelere e-posta ve/veya Platform bildirimi ile ayrıca duyurulur.

21. YÜRÜRLÜK

İşbu Politika, kullanıcıya veri işleme faaliyetleri hakkında gerekli aydınlatmanın yapılmasını takiben, Platform'a üye olunması veya Platform'un ziyaret edilmesiyle birlikte yürürlüğe girer.

EK-1: ÇEREZ POLİTİKASI (YALNIZCA WEB)

Bu ek, yalnızca Platform'un internet sitesi (web) sürümü için geçerlidir; mobil uygulama çerez kullanmaz, mobil uygulamaya özgü veri toplama araçları EK-2'de düzenlenmiştir.

1. Çerez Nedir

Çerezler, ziyaret ettiğiniz internet sitesi tarafından tarayıcınıza veya cihazınıza yerleştirilen küçük metin dosyalarıdır.

2. Kullanılan Çerez Türleri

Zorunlu olmayan çerezler, ziyaretçinin siteye ilk girişinde sunulan çerez onay bandı üzerinden açık rızası alınmadan aktif hale getirilmez; Çerez onay bandında, her bir çerez türünün amacı ve işlediği veriler hakkında açık ve anlaşılır bilgilendirme yapılır; ziyaretçi, onayını önceden işaretlenmemiş onay kutucukları aracılığıyla özgür iradesiyle verir. ziyaretçi, tercihlerini istediği zaman site üzerindeki çerez tercih merkezinden değiştirebilir.

3. Çerezlerin Yönetimi

Ziyaretçiler, tarayıcı ayarları üzerinden çerezleri engelleyebilir veya silebilir; ancak zorunlu çerezlerin engellenmesi hâlinde sitenin bazı işlevleri düzgün çalışmayabilir.

EK-2: MOBİL UYGULAMA İZİNLERİ VE SDK BİLDİRİMİ (YALNIZCA APP)

Bu ek, yalnızca Platform'un mobil uygulama sürümü için geçerlidir. [Aşağıdaki izin ve SDK listesi, canlıya almadan önce ürün/mobil geliştirme ekibiyle teyit edilerek güncellenmeli ve Google Play Data Safety formu ile Apple App Privacy (Nutrition Label) beyanlarıyla birebir uyumlu hale getirilmelidir.]

1. Cihaz İzinleri

2. Üçüncü Taraf SDK'lar

Mobil uygulama; performans/hata izleme (crash reporting), kullanım analitiği ve (kullanılıyorsa) push bildirim altyapısı için üçüncü taraf yazılım geliştirme kitleri (SDK) kullanabilir. Bu SDK'lar aracılığıyla toplanan cihaz ve kullanım verileri, yalnızca uygulamanın işlerliğinin sağlanması ve geliştirilmesi amacıyla ilgili SDK sağlayıcılarına (veri işleyen sıfatıyla) aktarılır. Kullanılan SDK'ların güncel listesi ve her birinin veri işleme kapsamı, Google Play Data Safety formunda ve Apple App Privacy beyanında ayrıca ve güncel olarak yayımlanır.

3. İzinlerin Geri Alınması

Üye, cihaz işletim sistemi ayarları üzerinden verdiği izinleri istediği zaman geri alabilir; bu durumda ilgili izne bağlı işlevlerin (ör. konum bazlı öneriler) çalışmayabileceğini kabul eder. İzinlerin geri alınması, üyeliğin veya Platform'un temel işlevlerine erişimi engellemez.

EK-3: VERİ SORUMLUSUNA BAŞVURU FORMU

(Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak hazırlanmıştır)

Ad-Soyad: [•] T.C. Kimlik No: [•] Adres: [•] E-posta: [•] Telefon: [•]

PRIVON ile İlişkiniz: [ ] Üye [ ] Eski Üye [ ] Ziyaretçi [ ] Diğer: [•]

Talep Konusu (KVKK m.11 kapsamında): [•]

Talebinizin Detaylı Açıklaması: [•]

Başvuru Yöntemi: [ ] E-posta [ ] KEP [ ] Yazılı Başvuru (Islak İmzalı)Kimlik Doğrulama: Başvuru sahibinin kimliği, başvuru formunda beyan edilen bilgiler ile PRIVON nezdinde kayıtlı bilgilerin karşılaştırılması suretiyle doğrulanır. Kimlik doğrulaması yapılamayan başvurular, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'in 5. maddesi uyarınca eksik başvuru olarak değerlendirilir ve başvuru sahibine eksiklik bildirilir.

Tarih: [•] İmza (yazılı başvurularda): [•]