Veri İşleme Sözleşmesi

Bu sözleşme, Fidelo'da işletme hesabı açan işletme (“Veri Sorumlusu”) ile [ŞİRKET UNVANI] (doldurulacak) (“Fidelo” veya “Veri İşleyen”) arasında, Kullanım Şartları'nın eki olarak hesap açılışıyla yürürlüğe girer ve hizmet sözleşmesi sürdükçe geçerlidir.

Konusu, Fidelo'nun hizmeti sunarken Veri Sorumlusunun müşterilerine (kart sahiplerine) ait kişisel verileri 6698 sayılı Kanun'a (KVKK) uygun olarak işlemesinin kurallarıdır.

İşletme sahibi ve ekip üyelerinin hesap verileri bu sözleşmenin konusu değildir; onlar için Fidelo veri sorumlusudur (KVKK Aydınlatma Metni).

İlgili kişiler: Veri Sorumlusunun sadakat kartı kullanan müşterileri.

Veri kategorileri:

• kimlik: ad veya takma ad,
• iletişim: telefon numarası veya e-posta adresi (biri),
• müşteri işlem: kart kodu, damga, ödül ve ziyaret kayıtları (tarih, saat, şube, işlemi yapan personel), işletmenin eklediği etiketler ve en fazla 500 karakterlik tarihli notlar (yazan personelin adıyla), kampanya kayıtları, kart sahibinin isteğe bağlı eklediği doğum günü (yalnızca gün ve ay),
• pazarlama: ticari ileti izni ve izin tarihi,
• hukuki işlem: aydınlatma metninin okunduğu an, veri talepleri kaydı (indirme, silme, izin geri alma),
• işlem güvenliği: kart anahtarının geri döndürülemez özeti.

Özel nitelikli kişisel veri işlenmesi öngörülmez. Veri Sorumlusu, not ve etiket alanlarına bu tür veri girmemeyi kabul eder.

Fidelo kişisel verileri yalnızca şu amaçlarla işler: sadakat kartının ve damga/ödül sisteminin çalıştırılması, müşteri defterinin ve raporların Veri Sorumlusuna sunulması, kart sayfası ve QR menünün gösterilmesi, hizmetin güvenliğinin sağlanması ve hataların giderilmesi.

İşleme; kaydetme, saklama, güncelleme, görüntüleme, toplu istatistik üretme, dışa aktarma, silme ve anonim hâle getirmeden oluşur.

Fidelo verileri satmaz, reklam için kullanmaz, kendi adına başka bir amaçla işlemez ve başka işletmelerle paylaşmaz. Hizmeti geliştirmek için yalnızca kişiyi belirlemeye imkân vermeyen toplu ve anonim istatistikler kullanabilir.

Veri Sorumlusunun paneli kullanması (müşteri eklemek, damga basmak, dışa aktarmak, silmek vb.) ve bu sözleşme, Fidelo'ya verilmiş talimat sayılır. Ek talimatlar yazılı olarak [E-POSTA] (doldurulacak) adresine iletilir.

Fidelo, bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusunu derhâl bilgilendirir ve talimat netleşene kadar uygulamayabilir.

• Müşterilerini KVKK md. 10'a göre aydınlatmak. Fidelo bunun için kart kayıt ekranında kısa bir bilgilendirme ve /m/işletme-adı/aydinlatma adresinde işletme adıyla hazırlanmış bir aydınlatma metni sunar; Veri Sorumlusu metni kontrol eder, ticari unvanını ve iletişim bilgilerini müşterilerine ayrıca duyurur.
• İşlemenin bir hukuki sebebe dayandığından emin olmak; ticari ileti için izin vermemiş müşterilere ileti göndermemek, gönderiyorsa İYS kaydını yapmak.
• Gerekiyorsa VERBİS'e kaydolmak ve kendi kişisel veri envanterini tutmak.
• Panel şifresini, kasa PIN'lerini ve personel yetkilerini güvenli yönetmek; işten ayrılan personelin erişimini kaldırmak.
• Müşterilerinden gelen KVKK başvurularını 30 gün içinde cevaplamak.

Fidelo, KVKK md. 12 uyarınca verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun teknik ve idari tedbirleri alır. Mevcut başlıca tedbirler:

• veritabanında satır düzeyinde erişim kuralları: her işletme yalnızca kendi müşterilerini görür,
• rol bazlı yetki: işletme sahibi, yönetici ve kasa personeli farklı yetkilere sahiptir; müşteri silme yalnızca işletme sahibine açıktır,
• şifre, kasa PIN'i, oturum anahtarı ve müşteri kart anahtarının yalnızca geri döndürülemez özetlerinin saklanması,
• kasa PIN'i için hatalı deneme sınırı; personelin damga ve iptal işlemlerinin kaydı,
• Fidelo yöneticilerinin işletme hesaplarında yaptığı işlemlerin ayrıca kaydedilmesi,
• AI özelliklerine müşteri kişisel verisi gönderilmemesi (yalnızca toplu istatistik),
• hata raporlarından kişisel verilerin ayıklanması,
• verilere yalnızca görevi gereği erişmesi gereken çalışanların erişmesi ve bu kişilerin gizlilik yükümlülüğü altında olması.

Fidelo bu tedbirleri teknolojik gelişmelere göre günceller; güvenlik seviyesini düşürecek bir değişiklik yapmaz.

Veri Sorumlusu, Fidelo'nun hizmeti sunmak için aşağıdaki alt işleyenleri kullanmasına genel izin verir:

• barındırma ve veritabanı: [BARINDIRMA SAĞLAYICISI / ÜLKE] (doldurulacak),
• e-posta gönderimi (yalnızca işletme hesapları için; müşteri verisine erişmez): [E-POSTA GÖNDERİM SAĞLAYICISI / ÜLKE] (doldurulacak).

AI sağlayıcısına ([AI SAĞLAYICISI / ÜLKE] (doldurulacak)) müşteri kişisel verisi aktarılmaz; bu nedenle müşteri verisi bakımından alt işleyen değildir.

Fidelo, yeni bir alt işleyen eklemeden veya değiştirmeden en az 30 gün önce Veri Sorumlusunu e-posta veya panel duyurusuyla bilgilendirir. Veri Sorumlusu haklı bir sebeple itiraz ederse ve taraflar uzlaşamazsa sözleşmeyi feshedebilir; ödenmiş ücretin kullanılmayan kısmı iade edilir.

Fidelo, alt işleyenlere bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler yükler ve onların işlemlerinden Veri Sorumlusuna karşı sorumludur.

Bir alt işleyenin sunucuları Türkiye dışındaysa aktarım KVKK md. 9'a uygun yapılır: yeterlilik kararı yoksa Kurul'un ilan ettiği standart sözleşme imzalanır ve imzadan itibaren 5 iş günü içinde Kurul'a bildirilir. Veri Sorumlusu, bu amaçla gereken standart sözleşmelerin taraflarca imzalanması için Fidelo ile iş birliği yapar.

Barındırma ülkesi: [BARINDIRMA SAĞLAYICISI / ÜLKE] (doldurulacak).

Fidelo, müşterilerin KVKK md. 11 haklarını kullanmasını kolaylaştıran şu araçları sunar:

• Müşteri kendi telefonundan, kart ekranındaki “Verilerim ve izinlerim” bölümünde (/m/işletme-adı/gizlilik) verilerini JSON olarak indirebilir, ticari ileti iznini geri alabilir ve kartını silebilir.
• Veri Sorumlusu, panelde müşteri kaydından verileri dışa aktarabilir (sahip ve yönetici) ve kartı silebilir (yalnızca sahip). Müşteri listesi Müşteriler sayfasından CSV olarak alınabilir.
• Tüm bu talepler panelde Ayarlar → Veri talepleri (KVKK) bölümünde listelenir; sistem talebi hemen uygular, Veri Sorumlusu görüp kapatır.

Fidelo'ya doğrudan bir müşteri başvurusu gelirse Fidelo başvuruyu cevaplamaz, gecikmeksizin (en geç 5 iş günü içinde) Veri Sorumlusuna iletir ve başvuruyu ilgiliye bildirir.

Bir kart silindiğinde müşterinin adı “Silinmiş müşteri” olarak değiştirilir; iletişim bilgisi, notları ve kart anahtarı silinir, ileti izni kapatılır. Damga ve ödül kayıtları, işletme istatistiklerinin bütünlüğü için bu kimliksiz kayda bağlı olarak kalır.

Sözleşme sona erdiğinde Veri Sorumlusu verilerini panelden indirebilir. Hesap kapandıktan sonra 30 gün içinde müşteri verileri silinir veya anonim hâle getirilir; yedeklerdeki kopyalar yedekleme döngüsü içinde ve en geç 90 gün içinde silinir. Mevzuat gereği saklanması zorunlu veriler bu sürelerin dışındadır.

Fidelo, müşteri verilerini etkileyen bir veri ihlalini öğrendiğinde Veri Sorumlusuna gecikmeksizin ve mümkünse 24 saat içinde; ihlalin niteliğini, etkilenen veri ve kişi sayısını (biliniyorsa), olası sonuçlarını ve alınan önlemleri bildirir.

Kurul'a ve ilgili kişilere bildirim (KVKK md. 12/5; Kurul kararına göre en geç 72 saat) Veri Sorumlusunun yükümlülüğüdür; Fidelo bunun için gereken bilgi ve desteği sağlar.

Fidelo, bu sözleşmeye uyduğunu göstermek için makul bilgi ve belgeleri Veri Sorumlusunun yazılı talebi üzerine sağlar. Yerinde denetim; en az 30 gün önceden bildirimle, yılda en fazla bir kez, mesai saatlerinde, diğer müşterilerin verilerinin gizliliğini koruyacak şekilde ve masrafları talep edene ait olmak üzere yapılabilir. Kurul'un talepleri bu sınırlamaya tabi değildir.

Tarafların bu sözleşmeden doğan sorumluluğu Kullanım Şartları'ndaki sınırlara tabidir; ancak her taraf kendi kusuruyla KVKK'ya aykırılıktan doğan zararlardan sorumludur.

Bu sözleşme hizmet sözleşmesiyle birlikte sona erer. Gizlilik ve silme yükümlülükleri sona ermeden sonra da devam eder.