Kişisel Verilerin Korunması Politikası

1.1. Kişisel veriler bakımından veri sorumlusu, web sitesi işletmecisidir:

• Ticaret unvanı veya adı soyadı: KEBAB HOUSE BONE’MA
• İşyeri adresi: třída T. G. Masaryka 1077, 293 01 Mladá Boleslav 1
• İşletme kimlik numarası (IČO): 03350339
• Vergi kimlik numarası (DIČ): CZ03350339
• Telefon: 326210955
• Web sitesi: kebab-house-bonema.vercel.app
• İletişim formu: İletişim sayfası
• Sohbet: web sitesindeki sohbet penceresi

1.2. Veri sorumlusu, GDPR madde 37 uyarınca böyle bir yükümlülüğü bulunmadığından veri koruma görevlisi atamamıştır. İlgili kişiler, kişisel verilerin korunmasına ilişkin tüm konularda 1.1. fıkrada belirtilen herhangi bir iletişim aracıyla (bundan sonra "1. maddede belirtilen iletişim bilgileri") doğrudan veri sorumlusuna başvurabilir.

2.1. Politika; veri sorumlusunun web sitesi (web uygulaması olarak yüklenmiş hâli dâhil), ürün siparişleri, müşteri hesabı, sadakat programı, müşteri desteği, bildirim gönderimi, kurye başvuruları, kuryelerle yapılan sözleşmeler ve kuryelerin çalışmalarına ilişkin kayıtlarla bağlantılı olarak kişisel verilerin işlenmesine uygulanır. Bu politikada tanımlanmayan terimler, satış koşullarında belirtilen anlamı taşır.

2.2. Veri sorumlusu kişisel verileri GDPR'ye, Kişisel Verilerin İşlenmesi Hakkında 110/2019 Sayılı Kanun'a, Elektronik Haberleşme Hakkında 127/2005 Sayılı Kanun'a ve Bazı Bilgi Toplumu Hizmetleri Hakkında 480/2004 Sayılı Kanun'a uygun olarak işler.

2.3. Politika, 11. maddede açıklanan işleme hariç olmak üzere, veri sorumlusunun çalışanlarının ve iş birliği yaptığı diğer kişilerin kişisel verilerinin işlenmesine uygulanmaz; bu kişiler söz konusu işleme hakkında ayrıca bilgilendirilir.

3.1. Aşağıdaki tablo işleme amaçlarını özetlemektedir; ayrıntılar 4 ila 11. maddelerde yer almaktadır.

• Amaç

  Siparişler

  Kişisel veriler

  ad, telefon, e-posta, teslimat adresi, sipariş içeriği ve notlar, ödeme bilgileri, durum geçmişi, zaman bilgileri

  Hukuki dayanak

  sözleşmenin ifası, hukuki yükümlülük, meşru menfaat

  Saklama süresi

  siparişin tamamlanmasından veya iptalinden itibaren 3 yıl; muhasebe ve vergi belgelerindeki veriler için kanunda belirlenen süre

• Amaç

  Müşteri hesabı ve sadakat programı

  Kişisel veriler

  e-posta, ad, telefon, şifre özeti (hash), adresler, favori yemekler, sepet, siparişler, puanlar, dil, ayarlar, verilen rızalar

  Hukuki dayanak

  sözleşmenin ifası, meşru menfaat

  Saklama süresi

  hesap silinene kadar

• Amaç

  Müşteri desteği

  Kişisel veriler

  ad, iletişim bilgileri, mesaj içeriği, ilgili sipariş

  Hukuki dayanak

  meşru menfaat, sözleşmenin ifası, hukuki yükümlülük

  Saklama süresi

  son mesajdan itibaren 24 ay; siparişlere ilişkin talepler ve ayıp başvuruları için sonuçlandırılmalarından itibaren 3 yıl

• Amaç

  Güvenlik ve kötüye kullanımın önlenmesi

  Kişisel veriler

  IP adresinin tuzlanmış özeti (hash), sunucu kayıtları, oturum açma kayıtları, denetim kayıtları

  Hukuki dayanak

  meşru menfaat

  Saklama süresi

  kaydın türüne göre 24 saat ila 3 yıl (5.3. fıkra ve 7. madde)

• Amaç

  Ticari iletiler

  Kişisel veriler

  e-posta, ad, dil, rıza kaydı

  Hukuki dayanak

  rıza

  Saklama süresi

  rıza geri alınana veya hesap silinene kadar

• Amaç

  Anlık bildirimler (push)

  Kişisel veriler

  abonelik adresi, şifreleme anahtarları, hesapla ilişkilendirme, tarayıcı tanımlama bilgisi

  Hukuki dayanak

  rıza

  Saklama süresi

  abonelik iptal edilene veya sona erene kadar

• Amaç

  Çerezler ve cihazdaki depolama

  Kişisel veriler

  bkz. çerez politikası

  Hukuki dayanak

  sözleşmenin ifası, meşru menfaat

  Saklama süresi

  bkz. çerez politikası

• Amaç

  Kurye başvuruları

  Kişisel veriler

  ad, telefon, e-posta, ulaşım aracı, bölge veya yerleşim yeri, müsaitlik durumu, mesaj, sayfa dili

  Hukuki dayanak

  sözleşmenin kurulmasından önceki adımlar

  Saklama süresi

  başvurudaki son değişiklikten itibaren 6 ay

• Amaç

  Kuryelerle yapılan sözleşmeler

  Kişisel veriler

  ad, doğum tarihi, vatandaşlık, daimi ikamet yeri, kişisel kimlik numarası (rodné číslo), hesap numarası, sağlık sigortası kurumu, vergi mükellefi beyanı, sürücü belgesi ve araç, kişisel e-posta, sözleşmenin imzalanmasına ilişkin kayıt

  Hukuki dayanak

  sözleşmenin ifası, hukuki yükümlülük, meşru menfaat

  Saklama süresi

  sözleşme süresince ve ardından sigorta, vergi ve muhasebe mevzuatında belirlenen süre boyunca; kurulmamış sözleşmeler 6 ay, cayılan sözleşmeler 1 yıl

• Amaç

  Kuryelerin çalışması

  Kişisel veriler

  oturum açma e-postası, ad, telefon, rol, geçiş anahtarları, vardiyalar ve molalar (çalışma süresi kayıtları), kat edilen kilometreler, üstlenilen teslimatlar ve bunların zamanları, siparişlerden alınan paylar, tahsil edilen nakit, hesaplaşma, teslimat sırasında konum

  Hukuki dayanak

  sözleşmenin ifası, hukuki yükümlülük, meşru menfaat

  Saklama süresi

  sözleşme süresince ve ardından sigorta, vergi ve muhasebe mevzuatında belirlenen süre boyunca; konum, sipariş teslim edilene veya iptal edilene kadar

4.1. Sipariş sırasında veri sorumlusu şu verileri işler: alıcının adı, telefon numarası ve e-posta adresi; adrese teslimatta teslimat adresi ve kurye için not; varyantlar, ekstralar ve notlar dâhil sipariş içeriği; fiyat, uygulanan indirimler ve sadakat puanları; teslim alma şekli; ödeme işleminin tanımlayıcısı ve ödeme iadesine ilişkin bilgiler dâhil ödeme yöntemi ve ödeme durumu; sipariş numarası ve sipariş durumu sayfasının bağlantısı; varsa iptal nedeni dâhil sipariş durumu ve bu durumdaki değişikliklerin geçmişi; zaman bilgileri ve siparişin dili ile kayıtlı alıcı açısından ayrıca siparişin müşteri hesabıyla ilişkilendirilmesi.

4.2. İşlemenin amacı satış sözleşmesinin kurulması ve ifasıdır; bu kapsamda özellikle siparişin onaylanması, hazırlanması, işyerinde teslim edilmesi ve adrese teslimatı, ödemenin alınması, sipariş durumu hakkında bilgi verilmesi, sözleşmeden cayma bildirimlerinin ve ayıp başvurularının sonuçlandırılması ve sipariş kayıtlarının tutulması yer alır.

4.3. İşlemenin hukuki dayanağı; sözleşmenin ifası ve sözleşmenin kurulmasından önce ilgili kişinin talebi üzerine gerekli adımların atılması (GDPR madde 6/1-b), veri sorumlusunun özellikle muhasebe, vergi ve tüketicinin korunması alanlarındaki hukuki yükümlülüklerinin yerine getirilmesi (GDPR madde 6/1-c) ve veri sorumlusunun hukuki taleplerini koruma ve sipariş sisteminin kötüye kullanılmasını önleme yönündeki meşru menfaatidir (GDPR madde 6/1-f). Adın, telefon numarasının, e-posta adresinin ve adrese teslimatta teslimat adresinin verilmesi zorunludur; bunlar olmadan sipariş verilemez.

4.4. Sipariş verilerine yalnızca veri sorumlusunun yetkilendirilmiş çalışanları ve kuryeler, faaliyetleri için gerekli olduğu ölçüde erişebilir. İletişim bilgilerini ve teslimat adresini yalnızca siparişin yerine getirilmesi için bunlara ihtiyaç duyanlar, özellikle servis personeli ve siparişin teslimatını üstlenen kurye (4.9. fıkra) görebilir; mutfak çalışanlarının bu bilgilere erişimi yoktur.

4.5. Çevrim içi ödemeler, merkezi İrlanda'da bulunan Stripe Payments Europe, Limited şirketi tarafından işlenir. İlgili kişi ödeme kartı bilgilerini doğrudan ödeme ağ geçidinin sayfasına girer; veri sorumlusu bu bilgileri işlemez ve bunlara erişimi yoktur. Veri sorumlusu ödeme hizmeti sağlayıcısından yalnızca ödemenin sonucuna ilişkin bilgiyi, işlem tanımlayıcısını ve ödeme iadesine ilişkin bilgileri alır. Stripe şirketi ödeme verilerini kısmen veri işleyen olarak, kısmen de özellikle kendi hukuki yükümlülüklerini yerine getirmek ve dolandırıcılığı önlemek amacıyla bağımsız veri sorumlusu olarak işler; ayrıntılar Stripe şirketinin gizlilik politikasında yer almaktadır.

4.6. Veri sorumlusu siparişe ilişkin kişisel verileri satış sözleşmesinin ifası süresince ve ardından, satış sözleşmesinden doğan taleplerin ileri sürülmesine ilişkin genel zamanaşımı süresine karşılık gelen, siparişin tamamlanmasından veya iptalinden itibaren 3 yıllık süre boyunca saklar; bir talep hakkında yargılama başlatılmışsa verileri yargılama kesin olarak sona erene kadar saklar. Bu sürenin ardından iletişim bilgilerini, teslimat adresini ve notları siler veya anonim hâle getirir. Kayıtlı alıcının siparişleri, müşteri hesabı silinene kadar hesaptaki sipariş geçmişinin bir parçası olarak kalır; hesabın silinmesi hâlinde 5.5. fıkra uyarınca anonim hâle getirilir.

4.7. Veri sorumlusu, muhasebe kayıtlarının veya vergi belgelerinin parçası olan verileri mevzuatta belirlenen süre boyunca, özellikle işlemin gerçekleştirildiği vergilendirme döneminin sonundan itibaren 10 yıl (Katma Değer Vergisi Hakkında 235/2004 Sayılı Kanun'un 35. maddesi) ve ilgili oldukları hesap döneminin sonundan itibaren 5 yıl (Muhasebe Hakkında 563/1991 Sayılı Kanun'un 31. maddesi) saklar. Bu kayıtlar kural olarak alıcının iletişim bilgilerini içermez.

4.8. Sipariş onaylandıktan sonra sipariş durumu sayfasında işyerini gösteren bir harita görüntülenir. Adrese teslimatta siparişi götüren kurye, bir işyeri çalışanı veya bir sözleşme temelinde çalışan bir kurye (11. madde) olmasından bağımsız olarak, kendi konumunu paylaşabilir; bu durumda alıcı, kuryenin kabaca 10 metreye yuvarlanmış yaklaşık konumunu haritada ve yalnızca teslimat süresince görür. Veri sorumlusu kuryenin yalnızca son konumunu saklar, bu konumu sipariş teslim edildikten veya iptal edildikten sonra siler ve güzergâh geçmişi tutmaz. Alıcı haritada "Beni göster" seçeneğini seçerse alıcının konumu yalnızca kendi tarayıcısında belirlenir ve işlenir; bu konum veri sorumlusuna gönderilmez. Harita verileri OpenFreeMap hizmeti tarafından sağlanır (13. madde).

4.9. Adrese teslimatı kuryeler, yani işyeri çalışanları veya veri sorumlusu için İş Yapma Sözleşmesi (DPP) ya da Çalışma Faaliyeti Sözleşmesi (DPČ) temelinde çalışan kuryeler (11. madde) yapar; kuryeler veri sorumlusu adına hareket eder ve sır saklama yükümlülüğüyle bağlıdır. Kurye bir teslimatı üstlenmeden önce kurye portalında, teklif edilen sipariş için yalnızca kapı numarası olmadan sokak adını, yerleşim yerini, ürün sayısını, sipariş tutarını, kuryenin tahmini payını ve ödeme yöntemini görür. Teslimatı üstlenen kurye; alıcının adını ve telefon numarasını, teslimat adresini ve kurye için notu, sipariş notunu, sipariş edilen ürünleri ve ödenecek tutarı yalnızca bu teslimat için ve yalnızca teslimat aktif olduğu sürece görür. Teslimattan sonra kuryenin teslimat geçmişinde alıcının verileri değil, yalnızca sipariş numarası, tarih ve tutarlar görüntülenir.

5.1. Veri sorumlusu müşteri hesabıyla bağlantılı olarak e-posta adresini, adı, varsa telefon numarasını, kriptografik özet biçimindeki şifreyi, tercih edilen dili, kayıtlı teslimat adreslerini, favori yemekleri, kaydedilmiş sepetin içeriğini, sipariş geçmişini, sadakat puanlarına ve bunların hareketlerine ilişkin bilgileri, bildirim ayarlarını ve hesap içi bilgilendirmeleri, yüklü uygulamanın en son ne zaman açıldığına ilişkin bilgiyi (yalnızca tarayıcıda uygulama yükleme önerisinin gösterilmemesi için), zaman bilgisi dâhil olmak üzere verilen rızalara ve satış koşullarının onaylanmasına ilişkin bilgileri, varsa hesap silme talebini ve oturum açmaya ilişkin teknik bilgileri işler.

5.2. İşlemenin amacı müşteri hesabının açılması ve sürdürülmesi, hesabın işlevlerinin sunulması, sadakat programının yürütülmesi ve hesabın güvenliğinin sağlanmasıdır. Hukuki dayanak, sadakat programı kurallarının da parçasını oluşturduğu müşteri hesabı sözleşmesinin ifası (GDPR madde 6/1-b) ile veri sorumlusunun hesapların güvenliğini sağlama ve alıcının satış koşullarını kabul ettiğini ispatlama yönündeki meşru menfaatidir (GDPR madde 6/1-f). Hesap açmak için ad, e-posta adresi ve şifre verilmesi zorunludur; diğer bilgileri ilgili kişi, hesabın hangi işlevlerini kullandığına göre isteğe bağlı olarak ekler.

5.3. Oturum açma ve şifre yönetimi Supabase Auth kimlik doğrulama hizmeti tarafından sağlanır. Şifre yalnızca kriptografik özet (hash) biçiminde saklanır; veri sorumlusunun ve çalışanlarının şifreye erişimi yoktur. Kimlik doğrulama hizmeti; kayıt, oturum açma, şifre yenileme ve benzeri olaylar sırasında, hesabı yetkisiz erişime karşı korumaya yarayan güvenlik verilerini, özellikle olayın zamanını ve türünü, IP adresini ve tarayıcı tanımlama bilgisini kaydeder. Aktif oturuma ilişkin veriler oturum sürdüğü müddetçe, güvenlik olaylarına ilişkin kayıtlar ise en fazla 90 gün saklanır.

5.4. Veri sorumlusu müşteri hesabındaki kişisel verileri hesap var olduğu sürece işler. Müşteri hesabında görüntülenen bilgilendirmeler 180 gün sonra otomatik olarak silinir. Kaydedilmiş sepetin içeriği, sepet boşaltılana veya sipariş gönderilene kadar saklanır.

5.5. İlgili kişi, müşteri hesabının Gizlilik ve veriler bölümünde hesap silme talebinde bulunabilir ve talep sonuçlandırılana kadar talebini geri çekebilir. Talep, veri sorumlusunun yetkilendirilmiş bir çalışanı tarafından gereksiz gecikme olmaksızın, en geç bir ay içinde sonuçlandırılır. Talebi sonuçlandırırken veri sorumlusu hesaba erişimi kaldırır ve hesap verilerini siler; siparişlerdeki adı, telefon numarasını, e-posta adresini, teslimat adresini, kurye için notu, sipariş notunu ve tek tek ürünlere ilişkin notları anonim hâle getirir, siparişe ait destek formuyla iletilen taleplerin içeriğini anonim hâle getirir ve müşteri hesabıyla ilişkili sohbet yazışmalarını siler. Muhasebe ve vergi alanındaki yükümlülüklerin yerine getirilmesi için gerekli sipariş verilerini anonim hâle getirilmiş biçimde saklar. Veri sorumlusu, saklamaya devam etme hakkına sahip olduğu veya saklamakla yükümlü olduğu verileri, örneğin devam eden bir ayıp başvurusu veya uyuşmazlık varsa, kesinlikle gerekli olan süre boyunca saklar.

5.6. İlgili kişi aynı bölümde kişisel verilerinin, özellikle profilinin, adreslerinin, siparişlerinin, sadakat puanlarının, destek taleplerinin ve sohbet yazışmalarının bir kopyasını makine tarafından okunabilir JSON biçiminde istediği zaman indirebilir.

5.7. Müşteri BONE’MA Crew programına katılırsa veri sorumlusu, kişisel tavsiye kodunu, bu kodla verilen siparişlere ilişkin bilgileri (yeni bir müşterinin ilk siparişi olup olmadığı, tamamlanıp tamamlanmadığı veya iptal edilip edilmediği ve tavsiye edenin kendi hesabı, aynı telefon numarası ya da aynı teslimat adresi olmadığına ilişkin kontrolün sonucu) ve verilen puanları, ayrıca müşterinin onaya gönderdiği videoların bağlantılarını, belirttiği kullanıcı adını ve mesajı, yayınlama onayını ve değerlendirmenin sonucunu işler. Amaç, programı kurallarına göre yürütmek ve kötüye kullanıma karşı korumaktır. Hukuki dayanak, müşteri hesabı sözleşmesinin ifası (GDPR madde 6/1-b) ve veri sorumlusunun dolandırıcılığı önlemeye yönelik meşru menfaatidir (GDPR madde 6/1-f); veri sorumlusu videoları web sitesinde ve sosyal ağlarında yalnızca müşterinin her zaman geri alınabilecek onayıyla gösterir (GDPR madde 6/1-a). Tavsiye eden, tavsiye edilen müşterinin adını veya diğer verilerini değil, yalnızca tavsiye sayısını ve verilen puanları öğrenir. Veri sorumlusu verileri müşteri hesabı var olduğu sürece işler; hesap silindiğinde video bağlantıları silinir ve tavsiye kayıtlarının hesapla bağlantısı kaldırılır.

6.1. İlgili kişi veri sorumlusuna sohbet, iletişim formu, siparişe ait destek formu, e-posta veya telefon aracılığıyla başvurursa veri sorumlusu, ilgili kişinin adını, iletişim bilgilerini, zamanları dâhil mesajlarının içeriğini, varsa ilgili siparişin numarasını ve ilgili kişinin kendisinin verdiği diğer bilgileri işler. Web sitesi, oturum açmamış bir ziyaretçinin sohbet yazışmasını çerez politikasında açıklanan kh_chat çerezi aracılığıyla bu ziyaretçiyle eşleştirir.

6.2. İşlemenin amacı soru, talep, şikâyet veya ayıp başvurusunun sonuçlandırılmasıdır. Hukuki dayanak, veri sorumlusunun müşterilerle iletişim kurma ve onların başvurularını sonuçlandırma yönündeki meşru menfaatidir (GDPR madde 6/1-f); iletişim bir sözleşmenin kurulması veya ifasıyla ilgiliyse buna ek olarak GDPR madde 6/1-b, ayıp başvurularının sonuçlandırılmasında ise Tüketicinin Korunması Hakkında 634/1992 Sayılı Kanun'dan doğan hukuki yükümlülüklerin yerine getirilmesi (GDPR madde 6/1-c) de hukuki dayanak teşkil eder.

6.3. Sohbetteki mesajları veri sorumlusunun çalışanları yanıtlar. Sohbet, sık sorulan sorulara, örneğin çalışma saatleri, adres, adrese teslimat veya sipariş durumuyla ilgili sorulara önceden hazırlanmış içerikle otomatik yanıtlar verebilir. Veri sorumlusu şu anda ilgili kişilerle iletişimde yapay zekâ araçları kullanmamaktadır; gelecekte yapay zekâ kullanan bir asistanı devreye alırsa ilgili kişi bu konuda önceden ve açıkça bilgilendirilir ve bu politika buna uygun şekilde tamamlanır.

6.4. Veri sorumlusu sohbet mesajlarını, iletişim formundan gelen mesajları ve bunlarla ilgili verileri, ilgili yazışmadaki son mesajdan itibaren 24 ay boyunca saklar. Siparişe ait destek formuyla iletilen talepleri ve ayıp başvurularına ilişkin diğer belgeleri, bunların sonuçlandırılmasından itibaren 3 yıl boyunca saklar.

7.1. Veri sorumlusu, web sitesini otomatik saldırılara ve kötüye kullanıma, örneğin toplu oturum açma girişimlerine, siparişlerin tekrar tekrar gönderilmesine veya indirim kodlarının tahmin edilmeye çalışılmasına karşı korumak için tek bir kaynaktan gelen isteklerin sayısını sınırlar. Bu amaçla IP adresi yalnızca gizli bir anahtarla oluşturulan tek yönlü bir özet (tuzlanmış hash) biçiminde saklanır ve bu anahtar bilinmeden IP adresi bu özetten tespit edilemez; kayıtlar en geç 24 saat sonra silinir.

7.2. Barındırma hizmeti sağlayıcısı, web sitesine yapılan istekler sırasında teknik verileri, özellikle IP adresini, tarih ve saati, istenen adresi, tarayıcı tanımlama bilgisini ve isteğin sonucunu, işletimin sağlanmasına, hataların tespit edilmesine ve saldırılara karşı korunmaya yarayan sunucu kayıtlarına kaydeder. Bu kayıtlar kısa süreli olarak, kural olarak en fazla 30 gün saklanır. Uygulama hata kayıtları e-posta adreslerini veya telefon numaralarını içermez.

7.3. Veri sorumlusunun çalışanlarının sipariş sistemindeki işlemleri, örneğin sipariş durumlarının değiştirilmesi ve siparişlerin iptali, ödemelerin iadesi veya hesap silme taleplerinin sonuçlandırılması, işlemin zamanı ve işlemi yapan kişi belirtilerek denetim kayıtlarına kaydedilir. Denetim kayıtları hesap verebilirliğin ve güvenliğin sağlanmasına ve siparişlerin usulüne uygun olarak yerine getirildiğinin ispatlanmasına yarar ve 3 yıl boyunca saklanır.

7.4. Çalışanların hesapları iki adımlı doğrulama ile korunur (yönetim paneline erişimi olan hesaplar için zorunludur); kuryeler ve diğer kullanıcılar ise bunu isteğe bağlı olarak açabilir. Doğrulayıcı uygulamanın gizli anahtarı Supabase Auth kimlik doğrulama hizmeti tarafından saklanır. Kullanıcılar ayrıca geçiş anahtarıyla (passkey) giriş yapabilir: anahtar, kullanıcının cihazı veya şifre yöneticisi tarafından oluşturulur ve saklanır ve parmak izi, yüz tanıma veya cihazın PIN kodu ile korunur. Veri sorumlusuna iletilen ve Supabase Auth hizmeti tarafından saklanan bilgiler yalnızca anahtarın herkese açık kısmı, adı ve oluşturulma ile son kullanım zamanıdır; cihaz biyometrik verileri veri sorumlusuna göndermez ve veri sorumlusu bu verileri işlemez. Bir çalışan veya kurye giriş yaptığında veri sorumlusu, yeni bir cihazdan yapılan girişler konusunda uyarabilmek için giriş zamanını, cihazın tanımını (tarayıcı ve işletim sistemi) ve bir çerezde saklanan rastgele cihaz tanımlayıcısının tek yönlü özetini kaydeder. Güvenlik kayıtlarına ayrıca yetki değişiklikleri, iki adımlı doğrulamanın açılması ve kaldırılması, geçiş anahtarının eklenmesi ve kaldırılması, tekrarlanan başarısız giriş denemeleri (IP adresinin özetiyle) ve web sitesinde izin verilmeyen içeriğin yüklenmesine yönelik engellenen girişimler (kişisel veri olmadan) yazılır. Güvenlik kayıtları ve cihaz verileri 1 yıl saklanır.

7.5. Veri sorumlusu, siparişte belirtilen telefon numarasını kayıt olmadan verilen ve aynı anda açık olan siparişlerin sayısını sınırlamak için de kullanır.

7.6. Bu madde kapsamındaki işlemenin hukuki dayanağı, veri sorumlusunun web sitesinin güvenliğini ve işlevselliğini sağlama ve kötüye kullanıma, dolandırıcılığa ve saldırılara karşı korunma yönündeki meşru menfaatidir (GDPR madde 6/1-f); işleme aynı zamanda GDPR madde 32 uyarınca kişisel verilerin güvenliğinin sağlanmasına hizmet eder.

8.1. İlgili kişi kayıt sırasında veya daha sonra müşteri hesabının ayarlarında ticari ileti gönderimine rıza verirse veri sorumlusu kendisine e-postayla restoranın yenilikleri, teklifleri ve kampanyaları hakkında bilgi gönderebilir. Veri sorumlusu ticari iletileri yalnızca rıza üzerine gönderir.

8.2. Hukuki dayanak ilgili kişinin rızasıdır (GDPR madde 6/1-a ve 480/2004 Sayılı Kanun'un 7. maddesi). Rıza verilmesi isteğe bağlıdır ve satış sözleşmesinin kurulmasının veya müşteri hesabının açılmasının şartı değildir.

8.3. Rıza; müşteri hesabının Kişisel bilgiler bölümünde, her ticari iletide yer alacak abonelikten çıkma bağlantısı aracılığıyla veya 1. maddede belirtilen iletişim bilgileri aracılığıyla istenildiği zaman geri alınabilir. Rızanın geri alınması, geri alınmadan önce gerçekleştirilen işlemenin hukuka uygunluğunu etkilemez.

8.4. Veri sorumlusu ticari ileti gönderimine ilişkin verileri rıza geri alınana veya müşteri hesabı silinene kadar işler. Rızanın verildiğine ve geri alındığına ilişkin kaydı, gönderimin hukuka uygunluğunu ispatlayabilmek için rızanın geri alınmasından itibaren 3 yıl boyunca saklar (GDPR madde 6/1-f). Veri sorumlusu doğrudan pazarlama amacıyla profil oluşturma faaliyetinde bulunmaz.

9.1. Oturum açmış bir kullanıcı tarayıcıda veya yüklü web uygulamasında bildirim (anlık bildirim, push) gönderimine izin verirse veri sorumlusu aboneliğe ilişkin şu verileri işler: tarayıcının push hizmeti tarafından sağlanan abonelik adresi, şifreleme anahtarları, müşteri hesabıyla ilişkilendirme, dil, tarayıcı ve cihaz tanımlama bilgisi ile aboneliğin oluşturulma zamanı ve son başarılı iletim zamanı. Bildirimler, siparişlerin durumundaki değişiklikler ve veri sorumlusunun çalışanlarının sohbetteki yanıtları hakkında bilgi verir; kuryeler ise vardiyaları sırasında alınabilecek yeni teslimatlar ve üstlendikleri siparişin hazır olduğu hakkında bilgilendirilir.

9.2. Bildirimin içeriği belirli bir cihaz için şifrelenir ve yalnızca sipariş numarasını, olayın türünü ve varsa tutarı veya ürün sayısını, sohbet yanıtında ise yalnızca bir yanıt geldiği bilgisini içerir; ad, telefon numarası, adres veya mesaj metni içermez. Bildirimler, tarayıcı sağlayıcılarının, örneğin Google, Apple, Mozilla veya Microsoft'un, bildirimlerin içeriğini okuyamayan push hizmetleri tarafından iletilir.

9.3. Hukuki dayanak, ilgili kişinin bildirimlere izin vererek açıkladığı rızadır (GDPR madde 6/1-a). Rıza, bildirimleri müşteri hesabında veya tarayıcının ya da cihazın ayarlarında kapatarak istenildiği zaman geri alınabilir. Veri sorumlusu abonelik verilerini abonelik iptal edilene kadar işler; push hizmetinin geçersiz olarak işaretlediği abonelikler otomatik olarak silinir.

9.4. Veri sorumlusu, müşteri hesabındaki sipariş durumu değişikliklerine ilişkin bilgilendirmeleri ve siparişlere ve müşteri hesabına ilişkin e-posta mesajlarını, örneğin sipariş onayı, sipariş durumunun değişmesi, kayıt teyidi, şifre yenileme veya e-posta adresi değişikliğiyle ilgili mesajları, sözleşmenin ifasına dayanarak gönderir (GDPR madde 6/1-b); bunlar ticari ileti değildir.

10.1. Web sitesi yalnızca, işleyişine hizmet eden, örneğin oturum açmaya, sepetin saklanmasına, dilin hatırlanmasına ve çerez ayarlarının kaydedilmesine yarayan gerekli ve işlevsel birinci taraf çerezlerini ve benzer teknolojileri kullanır. Web sitesi şu anda analiz veya reklam çerezleri ya da üçüncü taraf çerezleri kullanmamaktadır. Ayrıntılar çerez politikasında yer almaktadır.

10.2. Yazı tipleri üçüncü taraf hizmetlerinden değil, web sitesinin sunucusundan yüklenir. Sipariş durumu sayfasındaki harita (4.8. fıkra) hariç olmak üzere haritalar ve sosyal ağlar web sitesinde yalnızca bağlantı olarak yer alır ve web sitesine gömülü değildir; bunlara geçildikten sonra kişisel verilerin işlenmesi bunların işletmecilerinin koşullarına tabidir. Çevrim içi ödeme, Stripe şirketinin politikalarına tabi olan Stripe ödeme ağ geçidi sayfalarında gerçekleşir.

Başvurular

11.1. Veri sorumlusuyla kurye olarak iş birliği yapmak isteyen kişi (bundan sonra "aday"), web sitesindeki kurye başvuru sayfasında yer alan form aracılığıyla başvurabilir. Veri sorumlusu bu kapsamda adayın adını, telefon numarasını, e-posta adresini ve ulaşım aracının türünü (otomobil, skuter veya motosiklet, bisiklet ya da diğer), aday tarafından belirtilmişse ayrıca bölge veya yerleşim yerini, müsaitlik durumuna ilişkin bilgiyi ve mesajını işler; başvuruyla birlikte başvurunun gönderildiği sayfanın dili de saklanır. Aday, formu doldurmak yerine veri sorumlusuna telefonla da başvurabilir.

11.2. İşlemenin amacı adayın değerlendirilmesi ve adayla kurye olarak iş birliği konusunda anlaşmaya varılmasıdır. Hukuki dayanak, sözleşmenin kurulmasından önce ilgili kişinin talebi üzerine gerekli adımların atılmasıdır (GDPR madde 6/1-b). Adın, telefon numarasının, e-posta adresinin ve ulaşım aracı türünün belirtilmesi zorunludur; bunlar olmadan başvuru gönderilemez. Formdaki diğer bilgileri aday isteğe bağlı olarak verir.

11.3. Başvurular veri sorumlusunun veri tabanında saklanır (13.2. fıkra) ve bunlara yalnızca veri sorumlusunun ekibi yöneten yetkilendirilmiş çalışanları erişebilir. Her başvuru için ayrıca işlem durumu, iç not, başvuruyu kimin ve ne zaman işleme aldığı ve onaylanan başvurularda sözleşmeyle ve kurye hesabıyla bağlantısı kaydedilir. Başvuruların değerlendirilmesinde otomatik karar verme uygulanmaz. Veri sorumlusu bir başvuruyu, onaylanmış, reddedilmiş veya yanıtsız kalmış olmasından bağımsız olarak, başvurudaki son değişiklikten itibaren 6 ay sonra otomatik olarak siler.

Kuryeyle yapılan sözleşme

11.4. Kuryeler, veri sorumlusu için Çek İş Kanunu uyarınca yapılan bir İş Yapma Sözleşmesi (DPP) veya Çalışma Faaliyeti Sözleşmesi (DPČ) temelinde çalışır; bu sözleşmeler bundan sonra "sözleşme" olarak anılır. Sözleşmeyi veri sorumlusunun yetkilendirilmiş bir çalışanı hazırlar; adayın başvuruda belirttiği e-posta adresine, 14 gün geçerli olan ve yalnızca tek yönlü özet biçiminde saklanan kişiye özel bir imza bağlantısı gönderilir.

11.5. Sözleşmenin imzalanması sırasında kurye şu bilgileri verir ve veri sorumlusu bunları işler: tam adı, doğum tarihi, vatandaşlığı, daimi ikamet adresi, atanmışsa kişisel kimlik numarası (rodné číslo), ücretin ödeneceği banka hesap numarası, sağlık sigortası kurumu ve vergi mükellefi beyanını imzalamak isteyip istemediğine ilişkin bilgi; kurye otomobil veya skuter kullanıyorsa ayrıca sürücü belgesinin sınıfları ve geçerliliği ile aracın plaka numarası ve yol giderlerinin karşılanması kararlaştırılmışsa aracın yakıt türü ve ortalama yakıt tüketimi. Kurye ayrıca, sözleşme nüshasının kendisine iletileceği kişisel e-posta adresini de belirtir. Kişisel kimlik numarası, hesap numarası, adres ve imzalanan sözleşmenin metni, veri tabanından ayrı olarak saklanan bir anahtarla şifrelenerek (AES-256-GCM) saklanır. Verilerin tamamını yalnızca veri sorumlusunun yetkilendirilmiş bir çalışanı, iki adımlı doğrulama ile kimliğini yeniden doğruladıktan sonra görüntüleyebilir ve her görüntüleme kaydedilir.

11.6. Kurye sözleşmeyi elektronik olarak imzalar: sözleşme metnini kabul ettiğini onaylar, tam adını yazar ve kişisel e-posta adresine gönderilen tek kullanımlık kodu girer. Sözleşmeyi veri sorumlusu adına, veri sorumlusunu temsile yetkili olan ve iki adımlı doğrulama ile oturum açmış bir kişi imzalar. İmzayla birlikte imza zamanı, sözleşme metninin özeti (SHA-256), IP adresinin tek yönlü özeti ve tarayıcının tanımı kaydedilir; sözleşme sürecindeki adımlar (gönderim, bağlantının açılması, kodlar, imzalar, iletim, sona erme) değişikliğe karşı korunan bir geçmişe yazılır. Veri sorumlusu sözleşmenin PDF biçimindeki nüshasını kuryenin kişisel e-posta adresine gönderir (Çek İş Kanunu'nun 21. maddesi) ve kurye bu nüshayı kurye portalından da indirebilir.

11.7. İşlemenin amacı; sözleşmenin kurulması ve ifası, ücretin hesaplanması ve ödenmesi, veri sorumlusunun işveren sıfatıyla Çek Sosyal Güvenlik İdaresine (Česká správa sociálního zabezpečení), sağlık sigortası kurumlarına ve vergi idaresine karşı yükümlülüklerinin yerine getirilmesi, çalışma süresi kayıtlarının tutulması ve veri sorumlusunun hukuki taleplerinin korunmasıdır. Hukuki dayanak; sözleşmenin ifası (GDPR madde 6/1-b), veri sorumlusunun iş hukuku, sosyal sigorta ve sağlık sigortası, vergi ve muhasebe mevzuatından doğan hukuki yükümlülüklerinin yerine getirilmesi (GDPR madde 6/1-c) ve veri sorumlusunun sözleşmenin kurulduğunu ve içeriğini ispatlama ve güvenliği sağlama yönündeki meşru menfaatidir (GDPR madde 6/1-f). 11.5. fıkrada belirtilen bilgilerin verilmesi yasal ve sözleşmeye dayalı bir gerekliliktir; bu bilgiler olmadan sözleşme kurulamaz. Sözleşmenin kurulmasında otomatik karar verme uygulanmaz.

Kurye portalı ve çalışma süresi kayıtları

11.8. Sözleşme her iki tarafça imzalandıktan sonra kurye, kurye portalına erişim kazanır. Kurye geçiş anahtarıyla (7.4. fıkra) veya şifreyle oturum açar; iki adımlı doğrulamayı isteğe bağlı olarak açabilir. Oturum açma, müşteri hesabında olduğu gibi Supabase Auth kimlik doğrulama hizmeti tarafından güvence altına alınır (5.3. fıkra). Kuryenin teslimat sırasında gördüğü alıcı verileri 4.9. fıkrada açıklanmıştır.

11.9. Kurye vardiyayı ve molaları portalda başlatır ve sona erdirir. Veri sorumlusu her çalışma diliminin başlangıcını ve bitişini, kuryenin kendi aracıyla kat ettiği kilometreleri (yol giderlerinin karşılanması kararlaştırılmışsa) ve veri sorumlusunun yetkilendirilmiş çalışanlarınca kayıtlarda yapılan düzeltmeleri, bu düzeltmelerin nedeni dâhil olmak üzere kaydeder. Bu kayıtlar, Çek İş Kanunu'nun 96. maddesi uyarınca tutulan çalışma süresi kayıtlarıdır ve ayrıca asgari ücrete tamamlama ödemesi ile ek ödemeler dâhil olmak üzere ücretin hesaplanmasına ve sözleşmeyle izin verilen çalışma kapsamının izlenmesine yarar. Kurye teslimatları yalnızca vardiyası sırasında üstlenebilir; yeni teslimatlara ilişkin bildirimleri de yalnızca vardiyası sırasında alır.

11.10. Veri sorumlusu kuryelere ilişkin olarak ayrıca şu verileri işler: oturum açmak için kullanılan e-posta adresi, ad, telefon numarası ve sistemdeki rol; kuryenin üstlendiği teslimatlara ilişkin veriler, yani sipariş numarası ile teslimatın üstlenildiği, siparişin işyerinden alındığı ve teslim edildiği zamanlar; kuryenin teslim edilen her siparişten sözleşmede kararlaştırılan yüzdeye göre aldığı pay; kuryenin teslimat sırasında alıcılardan tahsil ettiği nakit; ve bu nakdin hesaplaşmasına ilişkin kayıt.

11.11. Teslimat sırasında kurye, 4.8. fıkra uyarınca konumunu paylaşabilir: konum yalnızca teslimat süresince işlenir; veri sorumlusu yalnızca son konumu saklar, bu konumu alıcıya yuvarlanmış olarak gösterir ve sipariş teslim edildikten veya iptal edildikten sonra siler. Hukuki dayanak, veri sorumlusunun alıcıyı teslimatın ilerleyişi hakkında bilgilendirme yönündeki meşru menfaatidir (GDPR madde 6/1-f).

Saklama süresi

11.12. Veri sorumlusu, kendisinin iptal ettiği veya imza bağlantısının süresi dolduğu için kurulmamış olan bir sözleşmeyi iptalden veya sürenin dolmasından 6 ay sonra siler; kuryenin caydığı bir sözleşmeyi ise caymadan 1 yıl sonra siler. İmza bağlantıları ve tek kullanımlık kodlar yalnızca özet biçiminde saklanır ve geçerlilik sürelerinin sona ermesinden en geç 90 gün sonra silinir. Veri sorumlusu kurulmuş sözleşmeleri, ücretin ödenmesi, sigorta ve vergi için gerekli verileri, çalışma süresi kayıtlarını ve teslimatlara ilişkin verileri sözleşme süresince ve ardından emeklilik, hastalık ve sağlık sigortası, vergi ve muhasebe mevzuatında belirlenen süre boyunca saklar; bu sürenin sonunda bunları siler. Sözleşmenin sona ermesiyle kurye, kurye portalına erişimini kaybeder.

12.1. Veri sorumlusu sağlık durumuna ilişkin veri talep etmez. İlgili kişi sipariş notunda, sohbette veya başka bir mesajda alerji, intolerans veya başka bir sağlık kısıtlaması hakkında isteğe bağlı olarak bilgi verirse veri sorumlusu bu bilgiyi, ilgili kişinin bu bilgiyi vermek suretiyle açıkladığı açık rızasına dayanarak (GDPR madde 9/2-a) yalnızca siparişin hazırlanması veya soruya yanıt verilmesi için kullanır. Rıza istenildiği zaman geri alınabilir; bu tür bilgiler sipariş verileriyle veya içinde yer aldıkları mesajla birlikte saklanır ve silinir. İlgili kişilere yalnızca yemeğin hazırlanması için gerekli bilgileri vermeleri önerilir.

12.2. Web sitesinin hizmetleri 15 yaşından küçük çocuklara yönelik değildir ve müşteri hesabını yalnızca 15 yaşını doldurmuş kişiler açabilir (110/2019 Sayılı Kanun'un 7. maddesi). Veri sorumlusu, hesabın 15 yaşından küçük bir kişi tarafından açıldığını tespit ederse hesabı ve kişisel verileri siler.

13.1. Veri sorumlusu kişisel verileri yalnızca ilgili amaç için gerekli olduğu ölçüde aşağıdaki tarafların erişimine sunar:

• sır saklama yükümlülüğüyle bağlı olan, veri sorumlusunun yetkilendirilmiş çalışanları ve veri sorumlusu adına adrese teslimat yapan kuryeler (4.9. fıkra);
• kişisel verileri GDPR madde 28 uyarınca yapılmış bir kişisel veri işleme sözleşmesine dayanarak veri sorumlusu adına işleyen, 13.2. fıkrada belirtilen veri işleyenler;
• kişisel verileri kısmen bağımsız veri sorumlusu olarak işleyen hizmet sağlayıcıları, özellikle ödeme hizmeti sağlayıcısı ve tarayıcıların push hizmetlerinin işletmecileri;
• sır saklama yükümlülüğüyle bağlı harici muhasebe, vergi, hukuk ve bilişim hizmeti sağlayıcıları;
• mevzuatın öngörmesi hâlinde kamu makamları, özellikle mahkemeler, ceza yargılamasında görev alan makamlar, vergi idareleri ve denetim makamları; kuryeler bakımından ayrıca, sigorta mevzuatının gerektirdiği ölçüde Çek Sosyal Güvenlik İdaresi ve sağlık sigortası kurumları.

13.2. Başlıca veri işleyenler ve diğer veri alıcıları şunlardır:

• Veri alıcısı

  Supabase Pte. Ltd.

  Faaliyet

  veri tabanı, kullanıcı kimlik doğrulaması, dosya depolama

  Merkez ve işleme yeri

  Singapur; veriler AB'de (Frankfurt am Main, Almanya) saklanır; teknik destek ABD'deki bir Supabase grubu şirketi tarafından da sağlanabilir

  Avrupa Ekonomik Alanı (AEA) dışına aktarımda güvenceler

  standart sözleşme maddeleri

• Veri alıcısı

  Vercel Inc.

  Faaliyet

  web sitesi barındırma, içerik dağıtım ağı (CDN), sunucu işlevleri

  Merkez ve işleme yeri

  ABD; web sitesinin sunucu işlevleri Frankfurt am Main bölgesinde çalışır

  Avrupa Ekonomik Alanı (AEA) dışına aktarımda güvenceler

  EU–US Data Privacy Framework (AB–ABD Veri Gizliliği Çerçevesi), standart sözleşme maddeleri

• Veri alıcısı

  kullanılıyorsa, siparişlere, müşteri hesabına ve kuryelerle yapılan sözleşmelere ilişkin e-postaların gönderimi için hizmet sağlayıcısı (örn. Resend, Inc.)

  Faaliyet

  e-posta mesajlarının iletilmesi, kuryeler bakımından imza kodu ve sözleşme nüshası dâhil

  Merkez ve işleme yeri

  ABD

  Avrupa Ekonomik Alanı (AEA) dışına aktarımda güvenceler

  EU–US Data Privacy Framework

• Veri alıcısı

  web sitesinde çevrim içi ödeme sunuluyorsa Stripe Payments Europe, Limited

  Faaliyet

  çevrim içi ödemelerin işlenmesi

  Merkez ve işleme yeri

  İrlanda

  Avrupa Ekonomik Alanı (AEA) dışına aktarımda güvenceler

  Stripe şirketinin politikalarına göre, özellikle EU–US Data Privacy Framework ve standart sözleşme maddeleri

• Veri alıcısı

  tarayıcıların push hizmetlerinin işletmecileri (örn. Google, Apple, Mozilla, Microsoft)

  Faaliyet

  şifrelenmiş bildirimlerin iletilmesi

  Merkez ve işleme yeri

  tarayıcı sağlayıcısına göre

  Avrupa Ekonomik Alanı (AEA) dışına aktarımda güvenceler

  işletmecinin koşullarına göre

• Veri alıcısı

  sipariş haritası görüntüleniyorsa Hyperknot Software Kft. (OpenFreeMap hizmeti)

  Faaliyet

  sipariş durumu sayfasındaki harita için harita verileri; harita görüntülenirken tarayıcı bu hizmetin sunucularına bağlanır ve bu sunucular böylece IP adresini, tarayıcıya ilişkin bilgileri ve haritanın görüntülenen alanını görür; hizmetin gizlilik politikasına göre IP adresi yalnızca hata kayıtlarında (en fazla 7 gün) ve güvenlik olaylarının incelenmesi sırasında (en fazla 30 gün) saklanır

  Merkez ve işleme yeri

  Macaristan (AB); hizmet Cloudflare içerik dağıtım ağını kullanabilir

  Avrupa Ekonomik Alanı (AEA) dışına aktarımda güvenceler

  Cloudflare ağı için EU–US Data Privacy Framework

13.3. Veri sorumlusu kişisel verileri satmaz ve üçüncü kişilere onların pazarlama amaçları için aktarmaz.

14.1. Bazı veri alıcılarının merkezi Avrupa Ekonomik Alanı dışındadır veya bu alıcılar verilere AEA dışındaki ülkelerden, özellikle ABD'den ve Singapur'dan erişebilir. Veri sorumlusu kişisel verileri üçüncü ülkelere yalnızca GDPR'nin V. Bölümündeki koşullar çerçevesinde ve şu şekilde aktarır:

• ABD'deki, EU–US Data Privacy Framework kapsamında sertifikalı veri alıcılarına, Komisyonun kişisel verilerin yeterli düzeyde korunmasına ilişkin 10 Temmuz 2023 tarihli (AB) 2023/1795 sayılı Uygulama Kararı'na dayanarak (GDPR madde 45); bu kararın geçerliliği Avrupa Birliği Genel Mahkemesinin T-553/23 sayılı davada verdiği 3 Eylül 2025 tarihli kararla teyit edilmiştir;
• diğer durumlarda, Komisyonun (AB) 2021/914 sayılı Uygulama Kararı ile kabul edilen ve gerektiğinde ek koruma tedbirleriyle desteklenen standart sözleşme maddelerine dayanarak (GDPR madde 46/2-c).

14.2. Web sitesinin veri tabanı Almanya'daki bir veri merkezinde saklanır. Veri sorumlusu, talep üzerine 14.1. fıkrada belirtilen güvencelerin bir kopyasını veya bunların nerede erişilebilir kılındığına ilişkin bilgiyi sağlar.

15.1. Veri sorumlusu, ilgili kişiler bakımından hukuki sonuç doğuracak veya onları benzer şekilde önemli ölçüde etkileyecek, profil oluşturma dâhil otomatik karar verme faaliyetinde bulunmaz (GDPR madde 22).

15.2. Sipariş fiyatının yayımlanan fiyatlara ve indirim koşullarına göre hesaplanması, sohbetteki otomatik yanıtlar ve teknik güvenlik tedbirleri, örneğin isteklerin veya aynı anda açık olan siparişlerin sayısının geçici olarak sınırlanması, GDPR madde 22 anlamında karar verme niteliğinde değildir. Bunlar teknik ve geçici niteliktedir ve ilgili kişi bunların olası etkilerini veri sorumlusunun çalışanlarıyla birlikte çözebilir.

16.1. Veri sorumlusu kişisel verilerin korunması için teknik ve organizasyonel tedbirler almıştır; bu tedbirler özellikle şifrelenmiş veri aktarımı (HTTPS), gerekli en düşük yetki düzeyine dayanan ve veri tabanı düzeyinde yetki denetimi içeren rol tabanlı erişim yönetimi, şifrelerin yalnızca kriptografik özet biçiminde saklanması, kuryelerin kişisel kimlik numaralarının, hesap numaralarının, adreslerinin ve sözleşmelerinin uygulama düzeyinde şifrelenmesi, siparişlerdeki iletişim bilgilerinin ayrı olarak saklanması, çalışanların işlemlerine ilişkin denetim kayıtları ve ödeme verilerinin yalnızca ödeme hizmeti sağlayıcısı tarafından işlenmesidir.

16.2. Saklama süresinin dolmasından sonra veri sorumlusu kişisel verileri siler veya anonim hâle getirir. Veriler, veri tabanı yedeklerinde bu yedeklerin saklandığı süre boyunca, kural olarak en fazla 30 gün kalabilir; yedekler yalnızca verilerin geri yüklenmesi amacıyla kullanılır.

16.3. Kişisel veri ihlali meydana gelirse veri sorumlusu GDPR madde 33 ve 34 uyarınca hareket eder.

17.1. İlgili kişi, GDPR'de belirlenen koşullar çerçevesinde aşağıdaki haklara sahiptir:

• kişisel verilere erişim ve bunların bir kopyasını alma hakkı (GDPR madde 15);
• yanlış kişisel verilerin düzeltilmesini ve eksik kişisel verilerin tamamlanmasını isteme hakkı (GDPR madde 16);
• işlenmesi hukuki bir yükümlülüğün yerine getirilmesi veya hukuki taleplerin tesisi, kullanılması ya da savunulması için gerekli olan veriler hariç olmak üzere kişisel verilerin silinmesini isteme hakkı (GDPR madde 17);
• işlemenin kısıtlanmasını isteme hakkı (GDPR madde 18);
• bir sözleşmeye veya rızaya dayanarak otomatik yollarla işlenen verilerin taşınabilirliği hakkı (GDPR madde 20);
• meşru menfaate dayanan işlemeye itiraz etme hakkı; doğrudan pazarlama amacıyla yapılan işlemeye her zaman itiraz edilebilir ve bu durumda veri sorumlusu verileri artık bu amaçla işlemez (GDPR madde 21);
• verilen rızayı, geri alınmadan önce gerçekleştirilen işlemenin hukuka uygunluğunu etkilemeksizin istediği zaman geri alma hakkı (GDPR madde 7/3);
• yalnızca otomatik işlemeye dayanan bir karara tabi olmama hakkı (GDPR madde 22);
• bir denetim makamına şikâyette bulunma hakkı (GDPR madde 77).

17.2. Kayıtlı alıcı birçok hakkını doğrudan müşteri hesabında kullanabilir: profildeki bilgileri ve kayıtlı adresleri düzeltebilir veya silebilir, ticari ileti gönderimine verdiği rızayı ve bildirim iznini hesap ayarlarında geri alabilir ve Gizlilik ve veriler bölümünde verilerinin bir kopyasını JSON biçiminde indirebilir veya hesabın silinmesini talep edebilir.

18.1. Haklar, 1. maddede belirtilen iletişim bilgileri aracılığıyla kullanılabilir. Veri sorumlusu, başvuru sahibinin kimliğini doğrulama, özellikle talebin müşteri hesabında veya siparişte belirtilen e-posta adresinden gönderilmesini ya da başvuru sahibinin sipariş numarasını ve yalnızca alıcının bildiği diğer bilgileri belirtmesini isteme hakkına sahiptir.

18.2. Veri sorumlusu talebi gereksiz gecikme olmaksızın, en geç talebin alınmasından itibaren bir ay içinde sonuçlandırır; taleplerin karmaşıklığını ve sayısını dikkate alarak bu süreyi iki ay daha uzatabilir ve bu durumu gerekçeleriyle birlikte başvuru sahibine bildirir. Hakların kullanılması ücretsizdir; talepler, özellikle tekrar eden nitelikte olmaları nedeniyle açıkça dayanaksız veya aşırı ise veri sorumlusu makul bir ücret talep edebilir veya talepleri yerine getirmeyi reddedebilir (GDPR madde 12).

18.3. İlgili kişi, merkezi Pplk. Sochora 727/27, 170 00 Praha 7 adresinde bulunan Kişisel Verilerin Korunması Ofisine (Úřad pro ochranu osobních údajů), e-posta: posta@uoou.gov.cz, veri kutusu (datová schránka): qkbaa2n, web sitesi: https://uoou.gov.cz, veya mutad meskeninin ya da çalıştığı yerin bulunduğu ya da iddia edilen ihlalin gerçekleştiği Avrupa Birliği üye devletinin denetim makamına şikâyette bulunma hakkına sahiptir.

19.1. Veri sorumlusu, özellikle işleme yönteminde, veri alıcılarında veya mevzuatta değişiklik olması hâlinde bu politikayı güncelleme hakkına sahiptir. Güncel metin, yürürlük tarihi belirtilerek web sitesinde yayımlanır. Veri sorumlusu, kayıtlı alıcıları etkileyen önemli değişiklikleri, bunlar yürürlüğe girmeden önce müşteri hesabında veya e-postayla kayıtlı alıcılara bildirir.