Bu Gizlilik Politikası, Rhinomenu Productions OÜ’nün herkese açık web sitesi ve web uygulamasıyla bağlantılı olarak kişisel verileri nasıl işlediğini açıklar. Politika, sağlanan Veri Akış Haritası’na dayanmaktadır. Politikada işleme rolleri, amaçlar, veri kategorileri, saklama, hizmet sağlayıcılar ve bireysel haklar açıklanmaktadır.
Bu politika, Rhinomenu’nun kendi web sitesi ile restoran hesabı/yönetim verilerine uygulanır. Bir restoran, müşterileri, çalışanları veya irtibat kişileri hakkındaki bilgileri toplamak ya da yönetmek için Rhinomenu’yu kullandığında, söz konusu işlemenin amaçlarını ve araçlarını Rhinomenu değil, hizmet koşulları ve Veri İşleme Sözleşmesi (DPA) saklı kalmak kaydıyla restoran belirler.
Şirket: Rhinomenu Productions OÜ | Sicil kodu: 17303064 | Tallinn, Harju İli, Estonya Cumhuriyeti
1. Sorumlu kimdir ve hangi rol geçerlidir
Rhinomenu Productions OÜ (“Rhinomenu”, “biz”), aşağıda açıklanan web sitesi ziyaretçi verileri ve restoran hesabı kayıt verileri dâhil olmak üzere, işleme amaçlarını ve araçlarını kendisinin belirlediği kişisel veriler bakımından veri sorumlusudur. Restoran hesap sahibi, kendi hesap yönetimi ile müşteriler, çalışanlar, irtibat kişileri veya diğer bireyler hakkında girdiği kişisel veriler bakımından ayrı bir veri sorumlusudur.
Bir restoranın müşterileri, çalışanları ve irtibat kişilerine ilişkin olarak Rhinomenu SaaS hizmetine ilettiği veya bu hizmet aracılığıyla topladığı kişisel veriler bakımından veri sorumlusu restorandır ve Rhinomenu, söz konusu verileri yalnızca belgelenmiş talimatlar doğrultusunda ve hizmeti sağlamak, güvenliğini temin etmek ve desteklemek amacıyla işleyerek restoranın veri işleyeni olarak hareket eder. Restoran; kendi aydınlatma bildirimlerinden, hukuki dayanağından ve kendi işlemesine ilişkin taleplere yanıt verilmesinden sorumludur. Tarafların işleme koşulları, geçerli Veri İşleme Sözleşmesi’nde (DPA) belirlenmiştir.
Roller, ilgili işleme faaliyetine bağlıdır; bir hizmet sağlayıcının kullanılması, veri sorumlusu/veri işleyen dağılımını tek başına değiştirmez.
2. Kişisel veriler ve veri akışları
Aşağıdaki kategoriler ve amaçlar, sağlanan Veri Akış Haritası’nı yansıtmaktadır. Veriler, faaliyete uygun şekilde hizmet veritabanında, CRM’de, çerez teknolojilerinde veya pazarlama araçlarında saklanabilir.
Restoran kaydı — veri sorumlusu olarak Rhinomenu
- Veriler: kullanıcı adı, e-posta adresi, restoran adı, konum (ülke, şehir, açık adres ve posta kodu) ve telefon numarası.
- Amaçlar: hesap oluşturmak ve yönetmek, hizmet hakkında iletişim kurmak, izin verilen durumlarda pazarlama ve dahili veri analizi.
- Kaynak ve dayanak: restoran tarafından sağlanır; harita, hukuki dayanak olarak rızayı belirtmektedir. Rızaya dayanıldığı durumlarda rıza, önceki işlemeyi etkilemeksizin ileriye dönük olarak geri alınabilir.
- Saklama: Veri Akış Haritası’nda belirtildiği üzere 2 yıl.
Web sitesi ziyaretleri — veri sorumlusu olarak Rhinomenu
- Veriler: IP adresi, tarayıcı bilgileri, ülke, tıklamalar ve ziyaret/etkinlik bilgileri; çerezler veya benzeri teknolojiler kullanılabilir.
- Amaç: pazarlama ve web sitesi kullanım analizi ile web sitesinin işletilmesi/güvenliği.
- Kaynak ve dayanak: web sitesi etkileşimlerinden toplanır. Harita, talep üzerine silmeyi belirtmekte olup her bir analiz teknolojisi için hukuki dayanak belirtmemektedir; rızanın yasal olarak gerekli olduğu durumlarda (zorunlu olmayan çerezler dâhil) kullanımdan önce rıza talep edeceğiz. Çerez tercihleri, mevcut tarayıcı veya site kontrolleri kullanılarak yönetilebilir.
- Saklama: haritada belirtildiği üzere 1 yıl.
Restoran profilinin tamamlanması ve menü oluşturucu — veri sorumlusu restoran, veri işleyen Rhinomenu
- Veriler: restoran logosu ve marka unsurları, sosyal medya profil adları, telefon numarası, şube konumları ve mekân görselleri.
- Amaç: SaaS profil, menü oluşturma ve ilgili işlevleri sağlamak. Kaynak: restoran. Haritada belirtilen dayanak: sözleşme. Saklama: sözleşme süresi boyunca.
Çalışan / rol yönetimi bilgileri — veri sorumlusu restoran, veri işleyen Rhinomenu
- Veriler: çalışan adı, telefon numarası ve e-posta adresi. Kaynak: restoran. Amaç: SaaS rol yönetimi işlevi. Haritada belirtilen dayanak: sözleşme. Saklama: sözleşme süresi.
Restoran irtibat kişileri — veri sorumlusu restoran, veri işleyen Rhinomenu
- Veriler: irtibat kişisinin adı, telefon numarası ve e-posta adresi. Kaynak: restoran. Amaç: irtibat kişileri işlevi. Haritada belirtilen dayanak: sözleşme. Saklama: sözleşme süresi. Bu bilgilerin sahibi restorandır ve bu bilgiler üzerinde kontrol restorana aittir; harita, Rhinomenu için bağımsız bir hak taleplerini karşılama rolü öngörmemektedir.
Çevrim içi sipariş — veri sorumlusu restoran, veri işleyen Rhinomenu
- Veriler: müşteri adı, telefon numarası, e-posta, adres ve GPS/konum bilgileri. Kaynak: müşteri. Amaçlar: restoran tarafından belirlendiği şekilde yemek siparişi ve restoran pazarlaması. Haritada belirtilen dayanak: rıza. Saklama: sözleşme süresi. İlgili müşteri aydınlatma bildirimini sağlamaktan ve gerekli durumlarda geçerli rızayı almaktan restoran sorumludur.
Müşteri kulübü kaydı — veri sorumlusu restoran, veri işleyen Rhinomenu
- Veriler: müşteri adı, telefon numarası, e-posta, adres, GPS/konum bilgileri ve doğum günü. Kaynak: müşteri. Amaçlar: restoran tarafından belirlendiği şekilde müşteri kulübü/sipariş işlevleri ve restoran pazarlaması. Haritada belirtilen dayanak: rıza. Saklama: sözleşme süresi. Kulübün aydınlatma bildirimlerinden ve rızadan restoran sorumludur.
Veri Akış Haritası, barındırma veya erişim konumlarını AB/BAE olarak tanımlamakta ve ilgili veri akışları için Estonya, AB ve BAE erişim konumlarını listelemektedir. Fiili erişim, hizmet ve destek ihtiyaçlarına bağlıdır. Restoranın veri sorumlusu olduğu bilgiler bakımından Rhinomenu, bu bilgileri restoranın talimatları doğrultusunda kullanır ve kendi bağımsız amaçları için kullanmaz.
3. Veri işleyenler ve diğer hizmet sağlayıcılar
Hizmeti desteklemek için hizmet sağlayıcılardan yararlanıyoruz. Sağlanan bilgiler aşağıdakileri belirtmektedir:
- Hetzner Online GmbH — barındırma ve altyapı. Şirket düzeyindeki barındırma bilgileri Hetzner’i (AB veri merkezleri) belirtmektedir; Veri Akış Haritası ayrıca ilk barındırma konumlarını AB/BAE olarak ve erişim konumlarını Estonya, AB ve BAE dâhil olmak üzere listelemektedir. Avrupa Ekonomik Alanı (AEA) dışındaki her türlü erişim veya işlemeye, geçerli hizmet yapılandırması ve aktarım güvenceleri uygulanır.
- Paddle Payments — kayıtlı satıcı (merchant of record) / ödeme altyapısı ve faturalandırma ortağı. Paddle, ödeme işlemlerini kendi geçerli gizlilik koşulları çerçevesinde yürütür ve ödemeyle ilgili işleme bakımından bağımsız bir veri sorumlusu olarak hareket edebilir.
- Mailchimp — e-posta pazarlaması ve otomatik kampanyalar / pazarlama araçları. Faaliyete bağlı olarak, e-posta gönderimi ve kampanya işlevleri için irtibat bilgilerini talimatlarımız veya kendi geçerli koşulları doğrultusunda işleyebilir.
Veri işleyenlerin kişisel verileri korumasını ve bunları geçerli sözleşmelere ve mevzuata uygun olarak işlemesini şart koşuyoruz. Sağlayıcı konumları, alt veri işleyen ayrıntıları ve uluslararası aktarım mekanizmaları değişebilir; güncel bilgi için bizimle iletişime geçiniz. Kişisel verilerin AEA dışına aktarıldığı durumlarda, sorumlu veri sorumlusu Genel Veri Koruma Tüzüğü’ne (GDPR) uygun bir aktarım mekanizmasını ve gerekli olduğu hâllerde ek güvenceleri temin edecektir.
4. Hukuki dayanaklar
Veri Akış Haritası; kayıt, web sitesi ziyaretleri, çevrim içi sipariş ve müşteri kulübü kaydı için rızayı, SaaS profil, çalışan ve irtibat kişileri işlevleri için ise sözleşmeyi belirtmektedir. Kesin hukuki dayanak; veri sorumlusuna, amaca ve uygulanacak hukuka bağlıdır. Rhinomenu’nun veri işleyen olduğu durumlarda hukuki dayanağı, veri sorumlusu sıfatıyla restoran belirler ve belgeler. Rhinomenu, geçerli dengeleme gerekliliklerine tabi olmak kaydıyla, hizmet güvenliği, dolandırıcılığın önlenmesi ve destek taleplerinin ele alınması gibi meşru menfaatler için gerekli olduğu durumlarda sınırlı verileri de işleyebilir.
5. Saklama ve silme
Veri Akış Haritası’nda belirtilen saklama süreleri şunlardır: restoran kaydı, 2 yıl; web sitesinde gezinme, 1 yıl; SaaS profilleri, çalışan/irtibat kişisi verileri, çevrim içi siparişler ve müşteri kulübü kayıtları ise sözleşme süresi boyunca. Harita, sözleşme sonrasına ilişkin ayrı bir ek süre öngörmemektedir. Sözleşmenin sona ermesi üzerine, restoranın veri sorumlusu olduğu veriler DPA ve hizmet sözleşmesi kapsamında ele alınır: bu veriler geçerli süre boyunca dışa aktarılmak üzere erişime açık tutulur ve ardından silinir veya iade edilir; ancak saklamanın yasal olarak zorunlu olduğu ya da verilerin üzerine yazılana kadar erişimi kısıtlı olağan yedeklerde kaldığı durumlar bunun istisnasıdır. Restoranlar, ihtiyaç duydukları verileri sözleşmenin feshinden önce dışa aktarmalıdır. Veri sorumlusunun elinde bulunan kayıtlar, yasal olarak gerekli olduğu veya hukuki taleplerin tesisi, kullanılması ya da savunulması için gerekli olduğu durumlarda daha uzun süre saklanabilir.
6. Genel Veri Koruma Tüzüğü (GDPR) kapsamındaki haklarınız
Rhinomenu’nun veri sorumlusu olduğu durumlarda bireyler, GDPR’daki koşul ve istisnalara tabi olarak aşağıdaki hakları kullanabilir:
- Madde 15 — kişisel verilere ve bunların işlenmesine ilişkin bilgilere erişim.
- Madde 16 — yanlış veya eksik verilerin düzeltilmesi.
- Madde 17 — silme (“unutulma hakkı”).
- Madde 18 — işlemenin kısıtlanması.
- Madde 19 — gerekli durumlarda düzeltme, silme veya kısıtlamanın alıcılara bildirilmesi.
- Madde 20 — uygulanabilir olduğu durumlarda veri taşınabilirliği.
- Madde 21 — meşru menfaatlere dayanan işlemeye ve doğrudan pazarlamaya itiraz dâhil olmak üzere itiraz.
- Madde 22 — profilleme dâhil olmak üzere, yalnızca otomatik işlemeye dayanan ve hukuki ya da benzer şekilde önemli etkiler doğuran kararlara ilişkin güvenceler.
Ayrıca, işlemenin rızaya dayandığı durumlarda, geri almadan önceki işlemenin hukuka uygunluğunu etkilemeksizin rızanızı dilediğiniz zaman geri alabilir ve yetkili bir denetim otoritesine şikâyette bulunabilirsiniz. Estonya’da denetim otoritesi, Estonya Veri Koruma Müfettişliği’dir (Andmekaitse Inspektsioon).
Talebiniz bir restoranın kendi hesabı aracılığıyla işlediği bilgilere ilişkinse, öncelikle o restoranla iletişime geçiniz: veri sorumlusu odur. Rhinomenu, DPA’nın gerektirdiği şekilde restorana yardımcı olacaktır. Kimliğinizi doğrulamamız gerekebilir ve bir talebin yasal bir istisna nedeniyle karşılanamaması durumunda bunu açıklayabiliriz.
7. Güvenlik ve olay yönetimi
Kişisel verileri kazara veya hukuka aykırı olarak yok edilmeye, kaybolmaya, değiştirilmeye, yetkisiz şekilde ifşa edilmeye veya bunlara yetkisiz erişime karşı korumak üzere tasarlanmış uygun teknik ve idari tedbirler kullanıyoruz. Hiçbir internet iletiminin veya depolama sisteminin tamamen güvenli olduğu garanti edilemez. Restoranın veri sorumlusu olduğu veriler bakımından, veri sorumlusunun bildirim yükümlülüklerini yerine getirebilmesi için kişisel veri ihlallerini DPA’nın ve geçerli mevzuatın gerektirdiği şekilde restorana bildiririz.
8. Çocuklar
Hizmet işletmelere yöneliktir ve çocuklara yönelik değildir. Restoranlar, reşit olmayanlara ilişkin bilgiler dâhil olmak üzere müşteri verilerinin her türlü toplanmasının hukuka uygun olmasını ve gerekli tüm ebeveyn/vasi onaylarına dayanmasını sağlamaktan sorumludur.
9. Bu politikadaki değişiklikler
Bu politikayı hizmetimizdeki, sağlayıcılarımızdaki veya yasal gerekliliklerdeki değişiklikleri yansıtmak amacıyla güncelleyebiliriz. Güncellenmiş sürümü, güncellenmiş bir yürürlük tarihiyle yayımlayacak ve mevzuatın gerektirdiği her türlü ek bildirimi yapacağız.
10. İletişim
Rhinomenu’nun veri sorumlusu sıfatıyla gerçekleştirdiği işlemeye ilişkin gizlilik soruları veya hak talepleri: privacy@rhinomenu.com
Hizmet ve destek: support@rhinomenu.com
Rhinomenu Productions OÜ | Sicil kodu: 17303064 | Tallinn, Harju İli, Estonya Cumhuriyeti