Veri İşleme Eki

Kişisel verilerin işlenmesine ilişkin hükümler
Sürüm 1.0 · Belge tarihi: 25.10.2026 · Ana Sözleşme eki

İşbu Veri İşleme Eki (“Ek”), Paketbot Hizmet Sözleşmesi’nin (“Ana Sözleşme”) ayrılmaz parçasıdır. Ek; Restoran tarafından Hizmet’e aktarılan veya Hizmet aracılığıyla oluşan kişisel veriler bakımından tarafların rol ve yükümlülüklerini düzenler. Taraflar, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve uygulanabilir ikincil mevzuata uygun davranır.

1. Taraflar ve veri koruma iletişimi

2. Roller ve işleme talimatları

2.1. Veri sorumlusu. Restoran, kendi müşteri ve sipariş ilişkisi kapsamında işlenen kişisel verilerin amaç ve vasıtalarını belirlediği ölçüde veri sorumlusu sıfatını taşır. Restoran; işleme amaçlarını, hukuki sebepleri, saklama sürelerini, ilgili kişi aydınlatmalarını ve gerektiğinde izin/onay süreçlerini belirlemekten sorumludur.

2.2. Veri işleyen. Hizmet Sağlayıcı, Ana Sözleşme’deki Hizmet’i sunmak, güvenli şekilde işletmek, destek vermek ve Restoran’ın belgelenmiş talimatlarını yerine getirmek amacıyla kişisel verileri Restoran adına işler. Hizmet Sağlayıcı, Restoran verilerini kendi reklamı için kullanmaz veya satmaz.

2.3. Bağımsız veri sorumluluğu. Hizmet Sağlayıcı; kendi sözleşme yetkilileri, faturalama, alacak takibi, bilgi güvenliği ve hukuki yükümlülükleri bakımından işlediği veriler için, ilgili faaliyet özelinde bağımsız veri sorumlusu olabilir. Bu tür işlemler, Restoran adına yapılan veri işleme faaliyetlerinden ayrı değerlendirilir.

2.4. Talimatlar. Ana Sözleşme, bu Ek, Restoran’ın hizmet paneli veya yazılı kanallar üzerinden ilettiği hukuka uygun talimatlar işleme talimatı sayılır. Talimatın mevzuata aykırı olabileceğini düşünen Hizmet Sağlayıcı, Restoran’ı bilgilendirir ve hukuka aykırı işlem yapmamak için gerekli ölçüde işlemi durdurabilir. Hukuken zorunlu hallerde açıklama yapılmaksızın uygulanması gereken işlemler saklıdır.

3. İşlemenin konusu, amacı ve kapsamı

3.1. Konu ve süre. İşlemenin konusu, Paketbot üzerinden sipariş alınması, siparişlerin mutfak ekranında görüntülenmesi, menü/stok ve gün sonu işlemleri, seçilmişse hatırlatma, kampanya, memnuniyet, yapay zekâ veya ses özelliklerinin sunulmasıdır. İşleme, Ana Sözleşme süresince ve bu Ek’teki iade/silme hükümlerine uygun sonlandırma işlemleri tamamlanıncaya kadar sürer.

3.2. İşleme faaliyetleri. Verilerin alınması, kaydedilmesi, düzenlenmesi, görüntülenmesi, siparişlerle ilişkilendirilmesi, iletilmesi, sınıflandırılması, teknik destek ve güvenlik amacıyla incelenmesi, yedeklenmesi, dışa aktarılması ve silinmesi veya anonimleştirilmesi işleme faaliyeti kapsamında olabilir.

3.3. İşleme amacı. Kişisel veriler yalnızca hizmetin sunulması ve geliştirilmesi için gerekli operasyonel işlevler, siparişin yönetimi, müşteri iletişimi, teknik destek, bilgi güvenliği, hata giderme, yasal yükümlülükler ve Restoran’ın talimatları doğrultusunda işlenir. Veriler bağımsız reklam veya veri satışı amacıyla kullanılmaz.

4. Veri kategorileri ve ilgili kişi grupları

4.1. İlgili kişi grupları. İşlenen veriler; Restoran müşterileri ve sipariş veren kişiler, teslimat alıcıları, Restoran personeli ve yöneticileri, destek talebinde bulunan kişiler ile hizmet iletişim kişilerine ilişkin olabilir.

4.2. Veri kategorileri. Hizmet yapılandırmasına göre aşağıdaki kategoriler işlenebilir:

• Kimlik ve iletişim verileri: ad-soyad, telefon numarası ve Restoran tarafından girilen sınırlı iletişim bilgileri.
• Sipariş ve işlem verileri: ürünler, adet, tutar, sipariş zamanı, teslimat adresi/bölgesi, sipariş notu, sipariş durumu ve işlem geçmişi.
• İletişim kayıtları: WhatsApp mesaj içerikleri, müşteri veya Restoran tarafından gönderilen kayıtlar; ses özelliği etkinse ses kaydı ve bu kayıttan oluşturulan metin.
• Tercih ve izin kayıtları: kampanya/ileti tercihleri, ret kayıtları ve Restoran tarafından sisteme girilen izin bilgileri.
• Teknik ve güvenlik verileri: erişim zamanı, işlem kayıtları, hata kayıtları, oturum veya cihaz bilgileri ve teknik olarak elde edilen IP/log bilgileri.

4.3. Özel nitelikli veriler ve ödeme verileri. Hizmet, özel nitelikli kişisel verilerin veya tam ödeme kartı güvenlik verilerinin işlenmesi amacıyla tasarlanmamıştır. Restoran bu tür verileri gerekli ve hukuka uygun dayanak ile ayrıca yazılı olarak kararlaştırılmadıkça sisteme girmemelidir. Alerji veya sağlıkla ilişkilendirilebilecek sipariş notları özel nitelikli kişisel veri niteliği doğurabilir; bu tür veriler asgari düzeyde tutulmalı ve hukuki dayanak ayrıca değerlendirilmelidir.

5. Restoranın yükümlülükleri

5.1. Hukuki dayanak ve aydınlatma. Restoran; kişisel verilerin her bir işleme amacı için geçerli hukuki sebebi belirler, ilgili kişileri aydınlatır, gerekiyorsa açık rıza veya ticari ileti onayı alır, izin/ret kayıtlarını saklar ve işleme faaliyetlerini mevzuata uygun yürütür. Aydınlatma, açık rıza ve ticari ileti onayı birbirinin yerine geçmez.

5.2. Veri minimizasyonu ve doğruluk. Restoran yalnızca belirli amaç için gerekli, doğru ve güncel verileri Hizmet’e aktarır; gereksiz veya aşırı veri girişi yapmaz ve hatalı verilerin düzeltilmesini sağlar. Kişisel verilerin saklama ve silme sürelerini belirler ve Hizmet Sağlayıcı’ya gerekli talimatları iletir.

5.3. İlgili kişi talepleri. Restoran, ilgili kişilerin başvuru ve taleplerini mevzuattaki süre ve yöntemlere uygun şekilde yanıtlamaktan sorumludur. Hizmet Sağlayıcı’nın teknik desteği gerekiyorsa Restoran talebi yeterli ayrıntıyla iletir; Hizmet Sağlayıcı, işleme niteliği ve erişim imkanları ölçüsünde makul destek sağlar.

6. Hizmet sağlayıcının yükümlülükleri

6.1. Talimatlara uygunluk. Hizmet Sağlayıcı, kişisel verileri yalnızca hizmeti sunmak ve Restoran’ın belgelenmiş talimatlarını yerine getirmek için işler; veri içeriğini satmaz veya kendi reklam amacıyla kullanmaz. Kanunen zorunlu olan işlem veya açıklamalar saklıdır; mümkün olduğu ölçüde Restoran’a önceden bilgi verilir.

6.2. Yetkili kişiler ve gizlilik. Hizmet Sağlayıcı, kişisel verilere erişimi görev gereği ihtiyaç duyan yetkili kişilerle sınırlandırır ve bu kişilerin gizlilik yükümlülüğü altında olmasını sağlar. Verilere erişen çalışan veya yükleniciler yalnızca kendilerine verilen görev kapsamındaki işlemleri yapar.

6.3. Güvenlik tedbirleri. Hizmet Sağlayıcı, işlenen verilerin niteliği ve risklerle orantılı teknik ve idari tedbirler uygular. Bu tedbirler, hizmetin teknik yapısına uygun erişim yetkilendirme ve kimlik doğrulama, gizli erişim bilgilerinin korunması, aktarım güvenliği, yetkisiz erişimin önlenmesi, güvenlik ve hata kayıtlarının tutulması, yedekleme/geri yükleme süreçleri ve güvenlik güncellemelerini kapsar.

6.4. Gizlilik ve eğitim. Hizmet Sağlayıcı, kişisel veriler konusunda erişim yetkisi bulunan kişilerin gizlilik ve veri güvenliği yükümlülüklerini bilmesini sağlar. Kişisel veriler, hukuka aykırı biçimde açıklanamaz veya işleme amacı dışında kullanılamaz.

7. Alt veri işleyenler ve üçüncü taraf hizmetleri

7.1. Kullanılan hizmet sağlayıcılar. Hizmet’in sunumu ve ilgili modüllerin çalışması için aşağıdaki üçüncü taraf hizmetler kullanılabilir:

7.2. Alt veri işleyen yönetimi. Hizmet Sağlayıcı, alt veri işleyenleri hizmetin sunulması için gerekli ölçüde kullanır ve kişisel veri güvenliği yükümlülüklerinin sözleşmesel olarak gözetilmesi için makul tedbirleri alır. Alt veri işleyenlerde esaslı değişiklik yapılacaksa, mümkün olan ölçüde en az 30 gün önceden Restoran’a bildirim yapılır. Restoran, gerekçeli veri koruma itirazını bildirim süresi içinde iletebilir; taraflar sorunu gidermek için iyi niyetle çalışır.

7.3. Üçüncü tarafların bağımsız işlemleri. Meta/WhatsApp gibi platformların kendi amaç ve vasıtalarını belirleyerek yürüttüğü işlemler bakımından, ilgili platformun kendi veri koruma metinleri ve hukuki yükümlülükleri ayrıca geçerlidir. Hizmet Sağlayıcı’nın bu platformların bağımsız kararlarını kontrol etme yetkisi bulunmayabilir.

8. Veri güvenliği olayları ve talepler

8.1. Güvenlik olayı bildirimi. Hizmet Sağlayıcı, Restoran adına işlenen kişisel verilerin güvenliğini etkileyen bir ihlali öğrendiğinde, mevcut bilgiler ölçüsünde gecikmeksizin ve mümkünse en geç 48 saat içinde Restoran’a bildirir. Bildirim; olayın bilinen niteliği, etkilenen veri/kişi gruplarına ilişkin mevcut bilgi, muhtemel etkiler ve alınan/önerilen önlemleri içerir. Yeni bilgi edinildikçe güncelleme yapılır.

8.2. İlgili kişi başvuruları. Hizmet Sağlayıcı, doğrudan Restoran’a ait veri işleme faaliyetleriyle ilgili bir ilgili kişi talebi alırsa, mevzuat gereği kendisinin cevap vermesi zorunlu olmadığı sürece talebi gecikmeksizin Restoran’a iletir. Restoran’ın talebi yanıtlamasına teknik olarak yardımcı olunur.

8.3. Kurum ve denetim talepleri. Taraflar, kişisel verilerin korunması konusunda yetkili kamu kurumlarından gelen ve kendi yükümlülüklerini ilgilendiren taleplerle ilgili olarak mevzuatın izin verdiği ölçüde birbirini bilgilendirir ve makul iş birliği sağlar.

9. Saklama, dışa aktarım, silme ve iade

9.1. Saklama süresi. Kişisel veriler, Ana Sözleşme’nin devamı boyunca hizmetin sunulması ve Restoran’ın talimatlarının uygulanması için gerekli süreyle işlenir. Restoran, mevzuat kapsamındaki saklama yükümlülükleri ve işletmesinin hukuki ihtiyaçları bakımından gerekli süreleri belirlemekten sorumludur.

9.2. Sözleşme sona erdiğinde. Sözleşme sona erdikten sonra Restoran, 30 gün içinde menü ve sipariş kayıtlarının dışa aktarımını talep edebilir. Restoran’ın talimatına bağlı olarak, veriler iade edilir veya silinir/anonimleştirilir; kanunen saklanması gereken veriler ve hukuki taleplerin tesisi, kullanılması veya savunulması için gerekli sınırlı kayıtlar istisnadır. Yedek kopyalar olağan yedekleme döngüsü içinde silinir veya üzerine yazılır; bu süre boyunca erişimleri kısıtlanır.

9.3. Silme talepleri. Müşteri tarafından WhatsApp üzerinden iletilen silme talebi, Hizmet’in desteklediği ölçüde işleme alınır veya Restoran’a yönlendirilir. Kimlik doğrulama, başkasının haklarının korunması ve hukuki saklama yükümlülükleri dikkate alınır. Talebin alınması, tüm kayıtların aynı anda ve her koşulda silinmesi anlamına gelmez; Restoran veri sorumlusu olarak talebin hukuki değerlendirmesinden sorumludur.

10. Yurt dışına kişisel veri aktarımı

10.1. Aktarımın şeffaflığı. WhatsApp/Meta, Cloudflare ve etkinleştirilmiş Google AI/ses hizmetlerinin altyapısı nedeniyle kişisel veriler Türkiye dışındaki sistemlerden geçebilir veya bu sistemlerde işlenebilir. Gerçek aktarım yerleri, ilgili hizmetlerin güncel teknik mimarisi ve sözleşme koşullarına göre değişebilir. Hizmet Sağlayıcı, kullandığı hizmetlere ilişkin güncel bilgi vermek için makul çaba gösterir.

10.2. Uygun aktarım mekanizması. Taraflar, yurt dışına aktarım için KVKK’nın 9. maddesi ve ilgili mevzuat uyarınca gerekli hukuki sebep ile uygun güvence veya istisnanın bulunmasını sağlar. Gerektiği durumda, fiilî taraf rollerine uygun Kurul standart sözleşmesi veya diğer hukuken geçerli aktarım mekanizması ayrıca tesis edilir. İşbu Veri İşleme Eki, tek başına KVKK m. 9 kapsamındaki standart sözleşme yerine geçmez.

10.3. Bildirim yükümlülüğü. Standart sözleşme yönteminin kullanıldığı hallerde standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilir. Taraflar; imza yetkisi, taraf bilgileri, imza tarihleri ve bildirim dahil olmak üzere kendilerine düşen yükümlülükleri ve süreleri yerine getirir. Uygun aktarım mekanizması kurulmadan, hukuken aktarım için gerekli şartlar oluşmamışsa aktarım gerçekleştirilmez.

11. Denetim ve uyum bilgisi

11.1. Bilgi sağlama. Hizmet Sağlayıcı, talep üzerine ve makul kapsamda bu Ek’e uyumu göstermeye yönelik mevcut bilgi ve belgeleri Restoran’a sunar. Ticari sır, diğer müşterilerin verileri ve sistem güvenliğini zayıflatabilecek hassas ayrıntılar korunur.

11.2. Denetim. Restoran, yılda en fazla bir kez ve en az 15 gün önceden yazılı bildirimle, normal çalışma saatlerinde ve hizmet güvenliğini kesintiye uğratmadan bu Ek’e uyum konusunda makul denetim talep edebilir. Denetimin kapsamı, yöntemi, gizlilik yükümlülüğü ve maliyeti taraflarca önceden kararlaştırılır. Haklı bir güvenlik olayı veya yetkili kurum talebi varsa makul ölçüde farklı bir takvim uygulanabilir.

12. Gizlilik, değişiklik ve sorumluluk

12.1. Gizlilik. Taraflar, kişisel verilere ve güvenlik tedbirlerine ilişkin kamuya açık olmayan bilgileri gizli tutar ve yalnızca sözleşme kapsamında kullanır. Gizlilik yükümlülüğü Ek sona erdikten sonra da devam eder.

12.2. İhlal ve tazmin. Her taraf, kendi mevzuata aykırı eylemi, talimatı veya sözleşme ihlali nedeniyle doğan sonuçlardan, yürürlükteki mevzuatın öngördüğü ölçüde sorumludur. Taraflar, ilgili kişi veya yetkili kurum taleplerinin karşılanması için gerekli bilgileri makul ölçüde paylaşır; hiçbir hüküm emredici kanuni sorumlulukları ortadan kaldırmaz.

12.3. Değişiklik. Bu Ek’te yapılacak esaslı değişiklikler Restoran’a e-posta veya Ana Sözleşme’de belirtilen iletişim kanalından bildirilir. Taraflar, değişikliğin yürürlüğe girmesinden önce gereken veri koruma ve aktarım adımlarını tamamlar. Kişisel veriler konusunda çelişki olması halinde bu Ek önceliklidir.

12.4. Uygulanacak hukuk. Bu Ek Türk hukukuna tabidir. Uyuşmazlıkların çözümünde Ana Sözleşme’deki usul ve yürürlükteki emredici hükümler uygulanır.

13. Kabul ve imza

Taraflar, bu Veri İşleme Eki’nin Sürüm 1.0 ve 25.10.2026 tarihli nüshasını Ana Sözleşme ile birlikte teslim aldıklarını, içerdiği işleme rolleri ve yükümlülükleri kabul ettiklerini beyan eder. Bu Ek, Ana Sözleşme ile aynı tarihte veya Ana Sözleşme’de belirtilen yürürlük tarihinde yürürlüğe girer.

Önemli uygulama notu: Bu Ek, genel veri işleme şartlarını düzenler; yurt dışına aktarım gerektiğinde KVKK m. 9 kapsamındaki uygun mekanizmanın ve varsa standart sözleşme bildiriminin ayrıca tamamlanmasının yerine geçmez. Bilgi amaçlı bağlantı: https://paketbot.app/veri-isleme.