Gizlilik Politikası ve KVKK Aydınlatma Metni

1. Bu Politikanın Kapsamı

Bu politika, sefim.app platformunu kullanan tüm tarafları kapsar:

• Ziyaretçiler — siteyi gezen, hesap açmamış kullanıcılar.
• Müşteriler — restoran profili üzerinden sipariş veren tüketiciler.
• Şefler (işletmeler) — platforma hesap açan pastane ve evden satış yapan üreticiler.

Veri işleme süreçleri, Türkiye Cumhuriyeti Anayasası m.20, 6698 sayılı KVKK ve ilgili ikincil mevzuat (Kurul kararları, Veri Sorumlusuna Başvuru Usul ve Esasları Tebliği) çerçevesinde yürütülür.

2. Veri Sorumlusu

Müşteri siparişleri açısından sefim.app, sipariş alan şef/işletme ile birlikte ortak veri sorumlusu (joint controller) sıfatına sahiptir. Sipariş verilerinin teknik işlenmesinden sefim.app; siparişin hazırlanması, müşteri ile doğrudan iletişim ve teslimattan sipariş alan işletme sorumludur.

3. Yaş Sınırı

Platforma yalnızca 18 yaşını doldurmuş gerçek kişiler işletme hesabı oluşturabilir. Müşteri tarafında, sipariş veren kişinin reşit olduğu veya yasal temsilcisinin onayı bulunduğu varsayılır. 18 yaş altı kullanıcılara ait kişisel veriler bilerek toplanmaz; tespit halinde gecikmeksizin silinir.

4. İşlenen Kişisel Veri Kategorileri

5. İşleme Amaçları

• Hesap açma, doğrulama, oturum yönetimi
• Sipariş alma, işletmeye iletme, sürecin yürütülmesi
• Müşteri ve şef ile destek/bilgilendirme amacıyla iletişim
• Platform güvenliği, bot ve kötüye kullanım tespiti
• Yasal yükümlülüklerin yerine getirilmesi, resmi taleplere yanıt
• Anonim/istatistiksel analiz yoluyla hizmet kalitesinin geliştirilmesi

6. Hukuki Sebepler (KVKK m.5/6)

• Sözleşmenin kurulması ve ifası (m.5/2-c): hesap, sipariş, hizmet sunumu
• Kanunlarda öngörülmesi (m.5/2-a): mali ve hukuki kayıt tutma
• Meşru menfaat (m.5/2-f): güvenlik, dolandırıcılık önleme, ürün geliştirme
• Açık rıza (m.5/1): pazarlama amaçlı iletişim, isteğe bağlı sosyal medya yayını, analitik çerezler

7. Aktarım — Yurt İçi ve Yurt Dışı (m.8/9)

Hizmetin sunulabilmesi amacıyla aşağıdaki taraflara aktarım yapılır:

• Sipariş alan işletme (yurt içi): Müşteri sipariş verisi, ilgili işletmeye sipariş yönetimi amacıyla aktarılır.
• Altyapı sağlayıcıları (yurt dışı):
  • Supabase — veritabanı, kimlik doğrulama, dosya depolama
  • Vercel — uygulama barındırma, analitik (rıza varsa)
  • Sentry — hata izleme, performans
  • Google (Gmail SMTP) — bildirim e-postası iletimi
  • OpenStreetMap / Nominatim — harita ve adres çözümleme
• Yetkili kamu kurum ve kuruluşları (yurt içi): Yasal talep halinde adli ve idari makamlar.

Yurt dışı aktarımlar KVKK m.9 uyarınca hizmetin ifası için zorunludur ve sözleşmesel güvenlik tedbirleri ile bağlıdır. Veriler hiçbir surette reklam veya satış amacıyla üçüncü kişilere devredilmez.

8. Toplama Yöntemi

Kişisel veriler; kayıt formu, oturum açma ekranı, sipariş formu, iletişim formu ve platform içi etkileşimler aracılığıyla otomatik yöntemlerle elektronik ortamda, doğrudan ilgili kişiden toplanır.

9. Saklama Süresi

• Hesap verileri: hesap aktif olduğu sürece; silme talebi sonrası en geç 6 ay içinde silinir/anonimleştirilir.
• Sipariş verileri: Türk Ticaret Kanunu ve Vergi Usul Kanunu uyarınca en fazla 10 yıl.
• Log kayıtları: en fazla 2 yıl.
• Çerez verileri: oturum çerezleri tarayıcı kapanışında; analitik çerezler en fazla 12 ay.

10. Veri Güvenliği

Tüm trafik TLS ile şifrelenir. Parolalar geri döndürülemez biçimde hash'lenir. Yönetici paneline httpOnly çerez ile erişim sağlanır. Erişim asgari yetki ilkesine göre verilir. CSP başlığı ile script enjeksiyonu sınırlanır. Hata izleme ve anomali tespiti için Sentry kullanılır.

11. Çerez Politikası

Site iki kategoride çerez kullanır:

• Zorunlu çerezler: oturum yönetimi, güvenlik, dil tercihi. Bunlar rıza gerektirmez; devre dışı bırakılırsa platform çalışmaz.
• Analitik çerezler (opt-in): Vercel Analytics ve Speed Insights anonim performans ölçümü yapar. Yalnızca açık rıza verirseniz etkinleşir; çerez bildirim çubuğundan istediğiniz zaman değiştirilebilir.

12. KVKK Kapsamındaki Haklarınız (m.11)

• İşlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içi/yurt dışı aktarılan üçüncü kişileri bilme
• Eksik/yanlış işlenmişse düzeltilmesini isteme
• KVKK m.7 çerçevesinde silinmesini/yok edilmesini isteme
• Düzeltme/silme taleplerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Otomatik sistemlerle yapılan analiz sonucu aleyhe çıkan kararlara itiraz etme
• Kanuna aykırı işleme nedeniyle uğranan zararın giderilmesini talep etme

13. Başvuru Yöntemi

Madde 11 kapsamındaki haklarınızı kullanmak için talebinizi kimliğinizi doğrulayan bilgilerle birlikte aşağıdaki kanaldan iletebilirsiniz. Başvurular, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca en geç 30 gün içinde ücretsiz sonuçlandırılır. İşlemin ayrıca bir maliyeti varsa Kurul tarafından belirlenen tarife uygulanır.

14. Değişiklikler

Bu politika ihtiyaç duyuldukça güncellenebilir. Esaslı değişikliklerde platform üzerinden bilgilendirme yapılır. Yürürlük tarihi "Son Güncelleme" alanından takip edilebilir.