KVKK Aydınlatma Metni

1. Veri sorumlusu

Axtap ("biz", "Axtap"), 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında veri sorumlusu sıfatıyla, işlettiğin uygulama ve QR/NFC menü/sadakat platformu üzerinden aşağıda açıklanan kişisel verileri işler. [Ticari unvan, MERSİS numarası, vergi numarası, açık adres, KEP adresi ve varsa Veri Sorumluları Sicili (VERBİS) kayıt numarası hukuki inceleme sırasında eklenecektir.]

2. İşlenen kişisel veriler

Kategori bazında işlediğimiz veriler:

Kimlik ve iletişim: ad soyad (görünen isim), e-posta, telefon, doğum tarihi ve buna bağlı 18 yaş doğrulama durumu (age_verified).

Hesap ve işlem verisi: hesap oluşturma tarihi, giriş sağlayıcısı, kamuya açık akışta görünmek istemediğini belirttiğin tercih (public_feed_opt_out).

Konum verisi: yalnızca sabit QR/NFC noktalarının fiziksel olarak, gerçekten o işletmede okutulduğunu doğrulamak amacıyla, okutma anında bir kerelik alınan konum (enlem/boylam); sürekli konum takibi yapılmaz, arka planda konum toplanmaz.

Kullanım/etkileşim verisi: QR/NFC okutma kayıtları ve zaman damgaları, garson çağırma kayıtları, ürün detay sayfası görüntülemeleri (kullanıcı bazında, sahte sayım önleyici tekilleştirme ile — bkz. madde 3), ürün beğenileri, kazanılan ödül/kupon kayıtları (kupon kodu, kazanılma ve kullanılma zamanı).

Cihaz verisi (giriş yapılmadan yapılan görüntülemeler için): tarayıcının localStorage'ında saklanan, rastgele üretilmiş ve kimlikle eşleştirilmeyen anonim bir cihaz anahtarı. Bu anahtar yalnızca "bu cihaz bu ürünü daha önce gördü mü" sorusuna cevap vermek, yani görüntülenme sayaçlarının sayfa yenilenerek/sahte şekilde şişirilmesini engellemek için kullanılır; ad, e-posta gibi bir kimlik bilgisiyle ilişkilendirilmez ve tarayıcı verileri temizlendiğinde sıfırlanır.

İşletme personeli/yetkilisi verisi: Axtap'ta bir işletmeyi yöneten kişiler için hesap-işletme ilişkisi (rol: sahip/personel) ve bu role bağlı işlem kayıtları (ör. ödül/kampanya oluşturma, QR üretme, kupon ibraz etme) ayrıca işlenir.

Moderasyon/güvenlik günlükleri: kötüye kullanımı, sahte etkileşimi veya kural ihlallerini tespit etmek ve incelemek amacıyla, işletmelerin oluşturduğu kampanya/QR etkinlikleri ile ilgili iç günlük kayıtları (moderation_events) tutulur; bu kayıtlar yalnızca yetkili moderatörler ve platform yöneticisi tarafından görülebilir.

3. İşleme amaçları

Bu veriler aşağıdaki amaçlarla işlenir:

Hesabının oluşturulması, doğrulanması ve yönetilmesi; 18 yaş doğrulaması; QR/NFC okutmalarının gerçek bir konumda, gerçek bir kullanıcı tarafından yapıldığının teyidi ve bu şekilde dolandırıcılık/kötüye kullanımın (ör. aynı ödülün art arda talep edilmesi, sayfa yenileyerek sahte görüntülenme/beğeni sayısı üretme) önlenmesi; kural bazlı ödüllerin hesaplanması, kuponun tek kullanımlık ve süreli/koşullu olarak yönetilmesi; işletmenin kendi ürün/kampanya performansını (görüntülenme, beğeni, ödül katılım sayıları) görebilmesi; platform güvenliğinin ve hizmet kalitesinin sağlanması (moderasyon, şüpheli etkinliğin incelenmesi); seninle gerekli hallerde iletişim kurulması; yasal yükümlülüklerin yerine getirilmesi.

Görüntülenme/beğeni sayaçları ve ödül talep geçmişi, yalnızca "aynı kullanıcı/cihaz tekrar mı sayılıyor" sorusunu cevaplamak için teklik (tekilleştirme) amacıyla tutulur; bireysel davranışsal profil çıkarma veya pazarlama amacıyla üçüncü taraflarla paylaşma amacı taşımaz.

4. Hukuki sebep

Veriler, KVKK madde 5'te sayılan "bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması" (hesabının çalışması, ödül/kupon mekanizması) ve "veri sorumlusunun meşru menfaati" (dolandırıcılık/kötüye kullanım önleme, platform güvenliği) hukuki sebeplerine dayanarak; doğum tarihi gibi yaş sınırı doğrulaması gerektiren ve konum gibi daha hassas nitelikte olan veriler ise ayrıca açık rızan alınarak işlenir.

5. Aktarım ve yurt dışına aktarım

Verilerin, hizmeti sunmak için kullandığımız barındırma/altyapı sağlayıcıları dışında, açık rızan olmadan üçüncü kişilerle paylaşılması söz konusu değildir.

Önemli: Veritabanı ve sunucu altyapımız Supabase üzerinden, fiziksel olarak Türkiye dışında (AWS Asya-Pasifik/Seul bölgesi) barındırılmaktadır. Bu, KVKK madde 9 anlamında bir "yurt dışına veri aktarımı" teşkil eder ve Kişisel Verileri Koruma Kurulu'nun öngördüğü uygun güvence mekanizmalarından biri (açık rıza, Kurul onaylı taahhütname/BCB veya yeterlilik kararı) sağlanarak yapılmalıdır. Bu bölümün nihai hukuki dayanağı ve kullanıcıdan alınacak açık rıza metni avukat incelemesinde netleştirilecektir; barındırma bölgesi ileride Türkiye/AB içine taşınabilir.

6. Saklama süresi

Veriler, hesabının aktif olduğu süre boyunca ve ilgili mevzuattan doğan zamanaşımı/saklama yükümlülükleri boyunca saklanır; hesap silme talebinde mevzuatın izin verdiği ölçüde silinir veya anonim hale getirilir. Anonim cihaz anahtarı yalnızca kendi tarayıcında tutulur, bizim sunucularımızda ayrı bir kimlik kaydı oluşturmaz.

7. Haklarınız (KVKK m. 11)

KVKK madde 11 kapsamında; kişisel verinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde/dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, KVKK'da öngörülen şartlarda silinmesini/yok edilmesini isteme, yapılan işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme ve zarara uğraman halinde zararın giderilmesini talep etme haklarına sahipsin.

8. Başvuru yöntemi

Bu hakları kullanmak için bize uygulama içindeki iletişim kanalından ya da [başvuru e-postası eklenecek] adresinden ulaşabilirsin. Başvurular KVKK'da öngörülen süre (en geç 30 gün) içinde yanıtlanır. Konum, cihaz/davranış ve (ileride eklenecek) adım/harita verisi gibi ek veri türleri için ayrı, amaca özel aydınlatma metinleri ve açık rıza akışları uygulama içinde ayrıca sunulur.

9. Çocukların/reşit olmayanların verileri

Axtap, 18 yaş altı kullanıcıların üyeliğine izin vermez; doğum tarihi girişi bu amaçla alınır ve 18 yaş altı olduğu anlaşılan hesaplar için üyelik tamamlanamaz.