KVKK Aydınlatma Metni ve Gizlilik Politikası

1. Veri sorumlusu

Bu aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, bidaha.app hizmetini işleten Bidaha ("Bidaha") tarafından hazırlanmıştır. Veri sorumlusu olarak bize iletisim@bidaha.app adresinden ulaşabilirsiniz.

Bidaha'yı kullanan işletmeler (kafe, restoran, mağaza vb.) kendi müşterilerinin verileri bakımından ayrı birer veri sorumlusudur; Bidaha bu ilişkide işletme adına veri işleyen olarak hareket eder. Bir işletmenin sadakat programıyla ilgili talepleriniz için doğrudan o işletmeye de başvurabilirsiniz.

2. İşlenen kişisel veriler

Sadakat kartı müşterileri (B2C): Kart, kimlik bilgisi verilmeden oluşturulabilir. Varsayılan kurulumda kart üzerinde yalnızca kriptografik yöntemlerle üretilen anonim tanımlayıcılar taşınır.

• Kart tanımlayıcısı (token / UUID), kart numarası ve referans kodu.
• Puan ve damga bakiyesi, işlem geçmişi, işlem zamanı ve şube bilgisi.
• Cüzdan güncellemeleri için cihaz kayıt tanımlayıcısı (Apple/Google Wallet push jetonu).
• İsteğe bağlı olarak kendi eklediğiniz ad.
• İşletme hesabı sahipleri (B2B): e-posta adresi, işletme adı, şifrenin geri döndürülemez özeti, işletme ayarları ve kart tasarımı.
• İşletme personeli: ad, rol, şube ve PIN özeti; her işlemde işlemi yapan personel kaydı.
• Web sitesi ziyaretçileri: yalnızca onay verdiyseniz Google Analytics aracılığıyla sayfa görüntüleme ve etkileşim verileri (bkz. Çerezler).

Telefon numaranız veya cihaz kimliğiniz açık formatta hiçbir işletmeyle paylaşılmaz ve reklam altyapılarında kullanılmaz. Özel nitelikli kişisel veri işlenmez.

3. Toplama yöntemi

Kişisel veriler tamamen veya kısmen otomatik yollarla, elektronik ortamda toplanır: işletmenin QR kodunu okutarak kart oluşturduğunuzda, kartınız kasada okutulduğunda, kartınız cüzdan uygulamanızda güncellendiğinde, işletme panelinde ve personel ekranında bilgi girildiğinde ve (onayınız varsa) web sitesini ziyaret ettiğinizde analitik çerezler aracılığıyla.

4. İşleme amaçları ve hukuki sebepler

• Sadakat programının yürütülmesi, kartın oluşturulması, puan ve ödül takibi, kartın cüzdanda güncellenmesi — KVKK m.5/2-c, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması.
• İşletme hesabının açılması ve yönetimi, destek ve faturalama — KVKK m.5/2-c.
• Suistimalin (puan çoğaltma, yetkisiz işlem) önlenmesi, bilgi güvenliği ve işlem kayıtlarının tutulması — KVKK m.5/2-f, meşru menfaat.
• Yasal saklama ve yetkili mercilere bilgi verme yükümlülükleri — KVKK m.5/2-a ve m.5/2-ç.
• Kampanya ve fırsat bildirimleri, kişiselleştirme — KVKK m.5/1, açık rıza. Bu rıza kart oluşturmanın koşulu değildir ve istediğiniz an geri alınabilir.
• Web sitesi kullanım istatistikleri (Google Analytics) — KVKK m.5/1, açık rıza; çerez tercihinizle verilir ve geri alınabilir.

5. Aktarım

Yurt içinde: hizmetin sunulması için barındırma ve altyapı hizmeti aldığımız tedarikçilere, yalnızca bu amaçla sınırlı olarak; talep hâlinde yetkili kamu kurum ve kuruluşlarına (KVKK m.8).

Yurt dışında: Sadakat kartınız Apple Wallet (Apple Inc., ABD) ve Google Wallet (Google LLC, ABD) altyapıları üzerinde çalışır; kart nesnesi ve güncellemeleri bu sağlayıcılara iletilir. Onay vermeniz hâlinde web sitesi kullanım verileri Google Analytics (Google LLC) ile, yazı tipleri yüklenirken IP adresiniz Google Fonts ile paylaşılır. Bu aktarımlar KVKK m.9 kapsamında; kartın cüzdana eklenmesi sizin talebinizle kurulan hizmet ilişkisinin ifası için zorunlu olduğundan ve analitik için açık rızanıza dayanılarak yapılır.

Varsayılan kurulumda kart nesnesi açık kimlik bilgisi taşımaz. İşletmenin kart alanlarına kimlik bilgisi eklemesi hâlinde bu veri de aktarım kapsamına girer. Verileriniz reklam amacıyla satılmaz veya kiralanmaz.

6. Çerezler ve benzeri teknolojiler

• Zorunlu: oturumunuzu, personel oturumunu ve kart bağlantınızı tarayıcıda saklayan yerel depolama kayıtları. Hizmetin çalışması için gereklidir, onaya tabi değildir.
• Analitik (isteğe bağlı): Google Analytics. Çerez bandında "Kabul et" demediğiniz sürece yüklenmez ve hiçbir veri gönderilmez (Google Consent Mode v2, varsayılan: reddedildi). Müşteri profil sayfası ve şifre sıfırlama sayfası hiçbir koşulda ölçülmez.
• Tercihinizi tarayıcınızın site verilerini silerek veya sayfanın altındaki "Çerez tercihleri" bağlantısıyla değiştirebilirsiniz.

7. İşletmeler (B2B) için veri yalıtımı

Bidaha altyapısına üye olan işletmelerin tanımladığı kural motorları, analizleri ve cüzdan üye ağı bilgileri çok kiracılı (multi-tenant) mimaride birbirinden yalıtılmış olarak tutulur. Bir işletmenin sadakat ağında oluşan trafik, başka bir işletme veya zincir tarafından görüntülenemez ve bu veriden çıkarım yapılamaz.

Personel erişimleri şube ve rol bazlıdır; her işlem, işlemi yapan personel kaydıyla birlikte saklanır.

8. Saklama ve imha

Kişisel veriler, işlenme amacının gerektirdiği süre boyunca ve ilgili mevzuatın öngördüğü asgari saklama süreleri kadar saklanır. Amaç ortadan kalktığında veriler KVKK m.7 uyarınca silinir, yok edilir veya anonim hâle getirilir. Kartınızı profil sayfanızdan dilediğiniz an silebilir ve verilerinizin bir kopyasını indirebilirsiniz.

9. KVKK m.11 kapsamındaki haklarınız

• Kişisel verinizin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme.
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme.
• Eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme.
• KVKK m.7 çerçevesinde silinmesini veya yok edilmesini isteme.
• Düzeltme, silme ve yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme.
• Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

10. Başvuru yolu

Haklarınıza ilişkin taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca; kimliğinizi ve talebinizi açıkça belirterek yazılı olarak, kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza veya mobil imza ile ya da iletisim@bidaha.app adresine e-posta göndererek iletebilirsiniz.

Anonim kart sahipleri için kimlik yerine kart: talebin size ait kartla ilgili olduğunu doğrulayabilmemiz için kartın arkasındaki kart numarasını veya profil bağlantısını paylaşmanız gerekebilir. Kartınızı ve verilerinizi profil sayfanızdan doğrudan da silebilirsiniz.

Başvurular en geç 30 gün içinde ücretsiz sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu'nca belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, cevabı yetersiz bulmanız veya süresinde cevap verilmemesi hâlinde KVKK m.14 uyarınca Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

11. Veri güvenliği

KVKK m.12 kapsamında; aktarım sırasında şifreleme, sunucu tarafında doğrulanan puan akışı, tek kullanımlık barkod, rol bazlı erişim kontrolü ve işlem kayıtları dâhil teknik ve idari tedbirler uygulanır.

12. İşletmeler için kullanım koşulları (özet)

• Hesap açan işletme, girdiği bilgilerin doğruluğundan ve hesabına erişimin güvenliğinden sorumludur.
• İşletme, kendi müşterileri bakımından veri sorumlusudur; müşterilerini bu sayfadaki bilgiler ve kendi aydınlatma metniyle bilgilendirmek, gerekiyorsa açık rıza almak işletmenin yükümlülüğüdür.
• Kampanya bildirimleri yalnızca müşteriye fayda sağlayan sadakat iletişimi için kullanılır; yanıltıcı, hukuka aykırı veya üçüncü kişi haklarını ihlal eden içerik gönderilemez.
• Ücretsiz plan kart ve özellik sınırlarıyla sunulur; ücretli planların kapsamı fiyatlandırma sayfasında belirtilir. Bidaha, hizmeti iyileştirmek için özellikleri güncelleyebilir.
• İşletme hesabını dilediği zaman kapatabilir; kapatma talebi üzerine veriler bu metindeki saklama ve imha ilkelerine göre silinir.

13. Değişiklikler

Bu metin, mevzuattaki veya hizmetteki değişikliklere bağlı olarak güncellenebilir. Güncel sürüm her zaman bu sayfada yayımlanır ve sayfanın başındaki güncelleme tarihi değiştirilir.