Kişisel Verilerin Korunması, İşlenmesi ve Gizlilik Politikası

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK" veya "Kanun") kapsamında GastroSkor olarak kişisel verilerinizi hukuka uygun şekilde işlemekte ve korumaktayız. Bu politika; mobil uygulama, web sitesi (gastroskor.com.tr) ve işletme paneli üzerinden sunduğumuz hizmetlerde işlenen kişisel verilere ilişkindir.

Yürürlükteki mevzuat ile bu politika arasında uyumsuzluk olması halinde öncelikle yürürlükteki mevzuat uygulanır. Politika güncellenebilir; güncel sürüm web sitemizde yayımlanır.

I. Veri sorumlusu

Veri sorumlusu: GastroSkor
İletişim / KVKK başvuruları: destek@gastroskor.com.tr

Şirket tescili tamamlandığında ticari unvan ve açık adres bu bölümde güncellenecektir.

II. Kişisel verilerin işlenmesi

II.I. İşleme ilkeleri

Kişisel verileriniz KVKK md. 4 kapsamında aşağıdaki ilkelere uygun işlenir:

• Hukuka ve dürüstlük kurallarına uygunluk
• Doğru ve gerektiğinde güncel olma
• Belirli, açık ve meşru amaçlarla işleme
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
• İlgili mevzuatta öngörülen veya işleme amacı için gerekli süre kadar muhafaza

II.II. Özel nitelikli kişisel veriler

KVKK md. 6 kapsamındaki özel nitelikli kişisel verileri (ırk, sağlık, biyometrik veri vb.) bilerek işlemiyoruz. Bu tür verileri gönüllü olarak paylaşmanız halinde ilgili içerik moderasyon veya destek süreçleri kapsamında sınırlı şekilde görülebilir; bu durumda veriyi silmenizi veya anonimleştirmemizi talep edebilirsiniz.

II.III. İşleme şartları ve amaçları

Kişisel verileriniz; KVKK md. 5 ve 6'da sayılan şartlardan birine dayanılarak — özellikle hizmet sözleşmesinin kurulması ve ifası, hukuki yükümlülük, meşru menfaat ve gerektiğinde açık rızanız — aşağıdaki amaçlarla işlenir:

• Hesap oluşturma, Google ile kimlik doğrulama ve oturum yönetimi
• Restoran keşfi, arama, listeleme ve konumunuza göre mesafe hesaplama
• Yorum, puan, fotoğraf, check-in ve GastroSkor puanının gösterilmesi
• Kullanıcıların yüklediği gezilecek yer / mekan fotoğraflarının moderasyonu, saklanması ve yayınlanması — içerik kullanım lisansına ilişkin şartlar Kullanım Koşulları (UGC) maddesinde; kişisel veri boyutu bu metinde düzenlenir
• Sosyal özellikler: takip, arkadaşlık, özel mesaj (DM), gurme sohbet odaları
• Canlı oyun ses sohbeti (Canlı Trivia, Kelime Sofrası vb.): oda içinde mikrofonla sesli iletişim; şikâyet kanıtı için cihazınızda kısa süreli gelen-yayın ses tamponu; şikâyet ses kayıtlarının metne çevrilmesi (STT); moderasyon ve itiraz süreçleri
• Online sipariş talebinin doğrulanmış telefon ile restorana iletilmesi; teslimat adresi (ilçe, mahalle, sokak, kapı no.)
• Siparişe bağlı müşteri–işletme yazışmaları: onaylanan siparişlerde hizmet iletişimi ve olası uyuşmazlık için saklanan mesajlar (serbest DM değildir)
• İsteğe bağlı rehber eşleştirmesi: mobil cihaz rehberindeki numaraların yalnızca eşleştirme amacıyla işlenmesi; kayıtlı kullanıcılarda telefon numarasının HMAC ile tek yönlü hash'lenmesi (phone_hash) — ham rehber sunucuda saklanmaz
• GastroJeton ekonomisi: görev/sipariş/takip/davet ile jeton kazanımı; oyun ipucu ve market harcaması; arkadaşlar arası jeton transferi (onay ve SMS OTP ile)
• Jeton ve hesap güvenliği: aynı telefon numarasının en fazla iki hesaba bağlanması; sahte/çoklu hesap ve kötüye kullanımın önlenmesi için cihaz tanımlayıcısının tek yönlü hash'i ve kısa süreli IP kayıtları
• İşletme paneli, mekan sahipliği başvurusu ve panel bildirimleri
• Telafi / kupon süreçleri (şikâyet sonrası telafi akışı)
• Hizmet bildirimleri (push): sipariş durumu, sipariş yazışması, yorum cevabı, takip, panel uyarıları — ticari pazarlama amaçlı ileti gönderilmez
• Platform güvenliği, kötüye kullanım ve spam önleme, hız sınırlama
• Hukuki uyuşmazlıklarda delil saklama ve yetkili kurumlara yasal bildirim
• Hizmet kalitesinin ölçülmesi ve ürün geliştirme (mümkün olduğunda anonim/istatistiksel)

III. Kişisel verilerin aktarılması

III.I. Genel ilkeler

Kişisel verileriniz; KVKK md. 8'deki şartlardan birinin bulunması halinde, işleme amacıyla sınırlı ve gerekli güvenlik önlemleri alınarak üçüncü kişilere aktarılabilir.

III.II. Yurt dışına aktarım

Altyapı ve kimlik doğrulama hizmetleri nedeniyle verileriniz yurt dışındaki sunucularda işlenebilir. Örneğin: Google (OAuth, Places API), barındırma sağlayıcıları (Railway, Vercel) ve push bildirim altyapısı (Expo). Yurt dışına aktarımda KVKK md. 9'a uygun olarak yeterli koruma, standart sözleşme veya Kanun'da öngörülen diğer güvenceler sağlanır.

III.III. Aktarım yapılan üçüncü taraflar

• Google: hesap girişi (OAuth) ve mekan bilgisi / fotoğraf (Places API) — Google gizlilik politikasına tabidir
• Barındırma: Railway (API/sunucu), Vercel (web sitesi), isteğe bağlı bulut depolama (ör. Cloudflare R2 / S3 uyumlu) — yorum ve panel görselleri
• Expo: mobil push bildirim token'larının iletimi
• LiveKit: canlı oyun odalarında gerçek zamanlı ses iletimi (yurt dışı altyapı)
• STT sağlayıcıları (Groq / OpenAI): şikâyet kanıtı ses kayıtlarının Türkçe metne çevrilmesi — yalnızca moderasyon amacıyla
• SMS sağlayıcısı (Netgsm, İleti Merkezi vb.): online sipariş ve jeton transferi telefon doğrulama (OTP) — yalnızca doğrulama amacıyla telefon numarası
• Restoran / işletme: online sipariş verdiğinizde sipariş detayı, doğrulanmış telefon ve teslimat adresi ilgili restorana iletilir; siparişe bağlı yazışmalar sipariş hizmeti kapsamında her iki tarafa gösterilir; restoran bu veride veri sorumlusu sıfatıyla ayrıca sorumludur
• Yetkili kamu kurumları: kanuni zorunluluk halinde, talep kapsamıyla sınırlı

IV. Kişisel verilerin korunması

Güvenlik için alınan önlemlerden örnekler:

• HTTPS ile şifreli iletişim
• Erişim yetkilendirme ve oturum token'ları (JWT)
• API hız sınırlama ve üretim ortamında geliştirici uçlarının kapatılması
• OTP kodlarının hash'lenerek saklanması ve kısa süreli geçerlilik
• Yetkisiz erişim risklerine karşı barındırma ve veritabanı erişim kontrolleri
• Veri ihlali halinde KVKK md. 12 uyarınca bildirim yükümlülüklerinin yerine getirilmesi

V. Aydınlatma, haklarınız ve başvuru

V.I. Aydınlatma

Kişisel verileriniz elde edilirken KVKK md. 10 uyarınca; veri sorumlusunun kimliği, işleme amaçları, aktarım alıcıları, toplama yöntemi ve hukuki sebebi ile md. 11 kapsamındaki haklarınız hakkında bilgilendirilirsiniz. Uygulama içi izin ekranları (konum, bildirim, kamera/galeri) bu kapsamdadır.

V.II. Haklarınız (KVKK md. 11)

Kanun kapsamında aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmişse düzeltilmesini isteme
• KVKK md. 7 kapsamında silinmesini veya yok edilmesini isteme; aktarıldığı üçüncü kişilere bildirilmesini talep etme
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme
• Kanuna aykırı işleme sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme

KVKK md. 28 uyarınca belirli istisnai hallerde (ör. resmi istatistik, soruşturma süreçleri) bu hakların kullanımı sınırlandırılabilir.

V.III. Başvuru yöntemi

Haklarınıza ilişkin taleplerinizi destek@gastroskor.com.tr adresine "KVKK başvurusu" konulu e-posta ile iletebilirsiniz. Başvurunuzda talebinizi açık belirtmeniz ve GastroSkor'a kayıtlı e-posta adresinizden yazmanız, kimliğinizin doğrulanması açısından gereklidir.

Talepler, niteliğine göre en geç 30 gün içinde ücretsiz olarak yanıtlanır. İşlemin ayrıca maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu tarifesi uygulanabilir.

Hesap ve veri silme adımları için Hesap ve veri silme sayfasına bakabilirsiniz.

Başvurunuzun reddedilmesi, yetersiz bulunması veya süresinde yanıt verilmemesi halinde KVKK md. 14 uyarınca Kişisel Verileri Koruma Kurulu'na şikâyet hakkınız saklıdır.

VI. Veri sahibi ve veri kategorileri

VI.I. Veri sahibi kategorileri

• Kullanıcı: uygulama veya web sitesini kullanan gerçek kişiler
• İşletme paneli kullanıcısı: mekan sahibi veya yetkili temsilciler
• Potansiyel işletme başvurusu: işletme başvuru formu dolduranlar
• Ziyaretçi: giriş yapmadan siteyi ziyaret edenler (sınırlı teknik veriler)

VI.II. Kişisel veri kategorileri

• Kimlik / profil: ad, takma ad (nickname), avatar, Google hesap kimliği
• İletişim: e-posta; online sipariş ve jeton işlemleri için doğrulanmış telefon numarası (bir numara en fazla iki hesaba bağlanabilir); isteğe bağlı rehber eşleştirmesi için telefon hash'i (phone_hash, ham numara yerine)
• Konum: cihaz konumu (izin verdiğinizde); check-in kayıtları
• Müşteri işlem: yorum, puan, sipariş, siparişe bağlı müşteri–işletme yazışmaları, DM, gurme sohbet mesajları, takip ve arkadaşlık kayıtları, telafi kuponları, GastroJeton bakiye/ledger ve jeton transfer kayıtları
• Görsel kayıtlar: yorum ve panel yüklemeleri
• İşlem güvenliği: oturum token'ları, push token, teknik loglar, IP (kısa süreli), cihaz tanımlayıcı hash'i (jeton/dolandırıcılık önleme)
• Ses kayıtları (canlı oyun): şikâyet kanıtı olarak iletilen kısa ses klipleri; cihazdaki gelen-yayın tamponundan üretilen kanıt parçaları; STT çıktısı (metin)
• İşletme / hukuki işlem: panel başvurusu, sahiplik talebi ve destek yazışmaları

Ödeme kartı bilgisi işlenmez; uygulama içi ödeme altyapısı bulunmamaktadır.

VII. Saklama süreleri

Kişisel veriler; ilgili mevzuatta öngörülen süreler ve işleme amacının gerektirdiği süre boyunca saklanır. Örnekler:

• Hesap verileri: hesabınız aktif olduğu sürece
• OTP kayıtları: doğrulama sonrası kısa süre; güvenlik amaçlı sınırlı tutulur
• Jeton ledger kayıtları: hesap aktif olduğu sürece ve olası uyuşmazlık/zamanaşımı süreleri boyunca
• Telefon–hesap eşleştirmeleri: bağlantı süresince; hesap silinince ilişki ve phone_hash kaldırılır
• Kayıtlı teslimat adresleri: cihazınızda (SecureStore) saklanır; sunucuya yalnızca sipariş anında iletilir
• Yorum ve sipariş kayıtları: hizmet sunumu ve olası hukuki talepler için makul süre
• Siparişe bağlı müşteri–işletme yazışmaları: ilgili sipariş kaydıyla birlikte; sipariş saklama / anonimleştirme süreleriyle uyumlu
• Canlı oyun ses şikâyet kanıtları: genelde en fazla 7 gün; tehdit, nefret söylemi, cinsel taciz veya çocuk güvenliği gibi ciddi ihlallerde inceleme bitene kadar daha uzun saklanabilir; çocuk güvenliği kanıtları ayrıca korunur
• İşleme amacı ortadan kalktığında veya silme talebiniz üzerine veriler silinir, yok edilir veya anonimleştirilir; yalnızca hukuki uyuşmazlık veya zamanaşımı süreleri için sınırlı saklama yapılabilir

Canlı oyun ses sohbeti

Canlı oyun odalarında mikrofon kullanımı isteğe bağlıdır. Ses iletimi LiveKit altyapısı ile yapılır; sunucular yurt dışında olabilir. Şikâyet bildirdiğinizde, cihazınızda o ana kadar gelen yayın sesinden kısa bir tampon parçası kanıt olarak sunucuya iletilebilir; ayrıca siz de kısa bir ses kaydı yükleyebilirsiniz. Bu kayıtlar moderasyon için metne çevrilebilir (STT). Ortam sesi (TV, müzik, yanınızdaki konuşmalar) kayda karışabilir — mümkünse sessiz ortamda oynamanızı öneririz. Kanıtlar genelde 7 gün içinde silinir; ciddi ihlallerde daha uzun saklanabilir. Mikrofon kapatma veya uyarı aldıysanız uygulama içinden itiraz edebilirsiniz; hedef yanıt süresi bilgilendirme amaçlıdır, kesin bir yasal taahhüt değildir.

VIII. Silinme, yok edilme ve anonimleştirme

KVKK md. 7 ve ilgili mevzuat uyarınca, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verileriniz silinir, yok edilir veya anonim hale getirilir. Talebinizi hesap silme sayfası veya destek@gastroskor.com.tr üzerinden iletebilirsiniz.

İlgili metinler

• Gizlilik Politikası — özet kullanıcı bilgilendirmesi
• Kullanım Koşulları
• Hesap ve veri silme