Privacy Policy

1. Giriş ve Kapsam

Bu Gizlilik Politikası ("Politika"), Ari Teknoloji ("Şirket", "biz") tarafından ari adisyon markası altında sunulan bulut tabanlı adisyon, sipariş, masa yönetimi, QR menü, ödeme, stok, personel ve muhasebe hizmetleri ile bunlara bağlı tüm dijital bileşenlerin ("Hizmetler") kullanımı sırasında elde edilen kişisel verilerin işlenmesine ilişkin esasları açıklar.

Politika; ariadisyon.com alan adı ve alt alan adları (tanıtım sitesi, işletme siteleri, POS uygulaması, yönetim paneli), mobil ve tablet arayüzleri, müşteri ekranı, yerel yazıcı ajanı, API entegrasyonları ve destek kanalları dahil olmak üzere Hizmetler kapsamındaki tüm kanalları kapsar.

Politika; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), ikincil mevzuat ve Kişisel Verileri Koruma Kurulu kararları ile — Avrupa Birliği’nde yerleşik ilgili kişiler bakımından — Genel Veri Koruma Tüzüğü ("GDPR") çerçevesinde hazırlanmıştır. Kullanım Şartları ve KVKK Aydınlatma Metni ile birlikte bütün oluşturur; çelişki halinde KVKK Aydınlatma Metni’nin kişisel verilere ilişkin hükümleri esas alınır.

2. İki Ayrı Rol: Veri Sorumlusu ve Veri İşleyen

Hizmetlerin yapısı gereği Şirket iki farklı sıfatla hareket eder ve bu ayrım haklarınızı kime karşı kullanacağınızı belirler:

• Veri sorumlusu sıfatıyla: İşletme sahibi/yetkilisinin hesap, abonelik, faturalandırma, destek ve pazarlama verileri, referans programı iş ortaklarının (partnerlerin) verileri, web sitesi ziyaretçilerine ait teknik veriler ve personelin sistem duyurusunu okuduğu bilgisi (hangi personel, hangi duyuru, ne zaman). Duyuru okundu kaydının amacı ve vasıtalarını Şirket belirler; işletme sahibi başka personelin okuma bilgisini görmez.
• Veri işleyen sıfatıyla: İşletmenin (müşterimizin) kendi sistemine girdiği sipariş, masa, personel, müşteri/misafir, rezervasyon, paket servis ve satış verileri; sadakat (damga kartı) programı açıksa üye müşterinin adı, telefonu ve damga hareketleri; veresiye (cari hesap) satışında borcun yazıldığı müşterinin cari kaydı; bulut santral ek paketi açıksa işletmenin santraline ya da mobil uygulamamızın yüklü olduğu Android telefonuna gelen çağrının telefon numarası ve çağrı bilgisi (zaman, süre, cevaplanıp cevaplanmadığı, dahili); telefonla verilen siparişte müşterinin adı, telefonu, teslimat adresi ve sipariş notu ile müşterinin izniyle sonraki siparişler için kaydedilen teslimat adresleri (en fazla üç); Kurumsal pakette kurye uygulaması kullanılıyorsa işletmenin kuryesinin teslimat sırasındaki konumu ve teslim noktası ile kapıda tahsil ettiği ödeme. Bu veriler bakımından veri sorumlusu ilgili işletmedir; Şirket yalnızca işletmenin talimatı ve Kullanım Şartları’nın 15. maddesindeki veri işleyen hükümleri çerçevesinde işlem yapar. Bir kafenin misafiri veya personeli olarak talepleriniz için öncelikle ilgili işletmeye başvurmanız gerekir.

3. Veri Sorumlusunun Kimliği ve İletişim

• Ticari unvan: Ari Teknoloji
• Adres: İstanbul / Türkiye
• Vergi dairesi/numarası: Edremit Vergi Dairesi — 4530577723
• Genel iletişim: [email protected]
• Kişisel veri başvuruları: [email protected]

4. İşlenen Kişisel Veri Kategorileri

• Kimlik ve iletişim: ad, soyad, unvan, işletme adı, e-posta adresi, cep telefonu numarası, adres.
• Doğrulama verileri: kayıt sırasında gönderilen SMS tek kullanımlık kod (OTP). Kodun kendisi geri döndürülemez biçimde (anahtarlı özet) saklanır ve azami beş dakika sonra silinir; doğrulama denemeleri ayrıca kaydedilmez. Hesabın açıldığı an, IP adresi ve onay tercihleri hesap açılış kaydında tutulur.
• Müşteri işlem: abonelik planı, deneme süresi, fatura ve tahsilat kayıtları, destek talepleri ve yazışmaları.
• Finansal veriler: fatura bilgileri ve ödeme sonucu kayıtları. Kart numarası, son kullanma tarihi ve CVC bilgileri Şirket sistemlerinde HİÇBİR ZAMAN saklanmaz; bu veriler ödeme kuruluşu (iyzico) nezdinde tutulur ve Şirkete yalnızca kartı temsil eden bir referans (token) döner.
• İşlem güvenliği: IP adresi, oturum kimliği, cihaz ve tarayıcı bilgisi, başarılı ve başarısız giriş denemeleri, yetki değişiklikleri, denetim (audit) kayıtları. Hesapla eşleşmeyen denemede yazılan e-posta veya telefon kaydedilmez; PIN hiçbir zaman kaydedilmez.
• Sistem duyurusu okundu kaydı: personel kimliği ve okuma zamanı. IP adresi, cihaz bilgisi ve okuma süresi tutulmaz.
• Bildirim aboneliği: POS bildirimlerini kendi cihazında açan personel için cihazın bildirim adresi, tarayıcının verdiği şifreleme anahtarları, oluşturma ve son görülme zamanı; mobil uygulamada bildirime izin veren personel için Apple veya Google’ın cihaza verdiği bildirim jetonu. Cihaz modeli, IP adresi ve konum tutulmaz; bildirimleri açmayan personelin bu kapsamda verisi işlenmez.
• İletişim formu: ad, e-posta, telefon, konu, mesaj, IP adresi ve tarayıcı bilgisi; sistem değiştirme talebinde isteğe bağlı olarak eklenen menü dosyası. Menü dosyası çoğunlukla kişisel veri içermez, ancak fotoğrafta yüz, el yazısı not veya telefon numarası bulunabilir.
• Hesap ve yetki verileri: kullanıcı hesapları, roller, PIN ve parola özetleri (hiçbir zaman açık metin değil, argon2id ile özetlenmiş).
• Kullanım ve teknik veriler: hata ve performans kayıtları, yazıcı ajanı bağlantı kayıtları, çerezler ve benzeri teknolojiler.
• Pazarlama tercihleri: açık rıza vermeniz halinde bülten, kampanya ve ürün duyurusu iletişimi ve bu rızanın kaydı.
• Satış görüşmesi kayıtları: Hizmetlerimizle ilgilenen işletmelerin adı, yetkili kişinin adı, telefonu ve e-postası, adresi ile görüşme ve ziyaret notlarımız.
• Referans programı iş ortakları (partnerler): ad soyad veya unvan, e-posta, telefon, vergi dairesi, IBAN ve T.C. kimlik / vergi kimlik numarası (IBAN ve kimlik numarası şifreli saklanır), getirdiği işletmeler ve komisyon ile ödeme kayıtları. Referans bağlantısının ziyaretleri yalnızca sayılır; ziyaretçinin IP adresi tek yönlü işlenerek tekil ziyaretçi sayımına katılır, kendisi saklanmaz ve bu amaçla çerez kullanılmaz.
• Dışa aktarma kayıtları: panelden alınan Excel/PDF dosyaları ve tam veri ihraçları için kimin, hangi ekrandan, ne zaman ve kaç satır indirdiği (dosyanın içeriği kaydedilmez).

Özel nitelikli kişisel veri (sağlık, biyometri, din, üyelik vb.) talep etmez ve bilerek işlemeyiz. Serbest metin alanlarına bu tür verilerin girilmemesi önemle rica olunur.

5. Toplama Yöntemleri

Veriler; kayıt ve giriş ekranları, iletişim ve destek formları, POS/mobil uygulamalar, QR menü, API entegrasyonları, yazıcı ajanı, çerezler ve benzeri teknolojiler ile sözleşme ilişkisinin kurulması ve ifası sırasında; tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olarak otomatik olmayan yollarla toplanır.

6. İşleme Amaçları

• Hesabın oluşturulması, işletmenin kurulması ve Hizmetlerin sunulması.
• Telefon numarasının SMS OTP ile doğrulanması, sahte kayıt ve kötüye kullanımın önlenmesi.
• Abonelik, deneme süresi, yenileme ve iptal süreçlerinin yürütülmesi.
• Faturalandırma, tahsilat, muhasebe ve mali mevzuata uyum.
• Kimlik doğrulama, yetkilendirme, oturum güvenliği ve erişim kontrolü.
• Teknik destek, arıza giderme, hata ayıklama ve hizmet kalitesinin ölçülmesi.
• “Ari’ye sor” yapay zekâ asistanının iyileştirilmesi: kullanıcının “faydalı değil” olarak işaretlediği, rakamı doğrulanamadığı için gösterilmeyen ya da hiçbir rapora dayanmadan cevaplanan soruların metni ve cevabı, eksik özellikleri belirlemek için yetkili Şirket ekibince incelenebilir. İnceleme ekranında personel adları takma adla, telefon, e-posta ve T.C. kimlik numarası gizlenmiş olarak görünür; işletme ve kullanıcı bilgisi gösterilmez. Metinler bu amaçla yapay zekâ sağlayıcısına gönderilmez ve konuşmayla birlikte 30 gün sonra silinir.
• Sistem ve veri güvenliğinin sağlanması, yetkisiz erişimin tespiti, kayıtların tutulması ve olay incelemesi.
• Hizmete ilişkin duyuruların (güncelleme, bakım, güvenlik uyarısı) iletilmesi ve ulaştığının takibi.
• Personelin kendi cihazında açtığı duyuru ve bildirimlerin, uygulama kapalıyken cihaza iletilmesi.
• İletişim formunda e-posta adresinin tek kullanımlık kodla doğrulanması, talebe dönüş yapılması ve sistem değiştirme talebinde gönderilen menünün işletme hesabına yüklenmesi.
• Abonelik hatırlatması, ödeme makbuzu ve ödeme alınamadı bildirimlerinin e-posta ile gönderilmesi. Bu iletiler yeni bir veri kategorisi toplamaz.
• Referans programının yürütülmesi: partnerle sözleşmenin kurulması, getirdiği işletmenin kaydedilmesi, komisyonun hesaplanması ve ödenmesi, sahte referansın önlenmesi.
• Hukuki yükümlülüklerin yerine getirilmesi ve yetkili makam taleplerinin karşılanması.
• Açık rıza bulunması halinde pazarlama, bülten ve ürün duyurusu iletişimi.

7. Hukuki Sebepler

• KVKK m.5/2-c — sözleşmenin kurulması veya ifası: hesap açılışı, abonelik yönetimi, faturalandırma.
• KVKK m.5/2-ç — hukuki yükümlülük: vergi, ticaret ve elektronik ticaret mevzuatı kapsamındaki saklama ve raporlama.
• KVKK m.5/2-e — hakkın tesisi, kullanılması veya korunması: uyuşmazlık ve delil süreçleri.
• KVKK m.5/2-f — meşru menfaat: giriş kayıtları, dolandırıcılık önleme, duyurunun ulaştığının takibi, “Ari’ye sor” cevaplarının maskeli kalite incelemesi. Giriş kayıtları açık rızaya dayanmaz; rızanın geri alınması güvenlik kaydını durdurmaz.
• KVKK m.5/1 — açık rıza: ticari elektronik ileti ve tanıtım sitesindeki Google Ads dönüşüm çerezi bakımından. Zorunlu çerez ve benzeri teknolojiler için açık rıza aranmaz.
• GDPR kapsamındaki karşılıkları: m.6/1-b, m.6/1-c, m.6/1-f ve m.6/1-a.

8. Aktarım ve Hizmet Sağlayıcılar

Verileriniz, Hizmetlerin ifası için gerekli olduğu ölçüde ve gizlilik taahhüdü ile bağlı tedarikçilerle paylaşılır. Faaliyet gösteren başlıca alıcı grupları ve amaçları şunlardır:

• Contabo — sunucu barındırma ve yedekleme. Sunucular Almanya’da (Frankfurt) bulunur.
• Cloudflare — pos.ariadisyon.com, ödeme servisi ve QR menü ile işletme sitelerindeki görsellerin (media.ariadisyon.com) ağ üzerinden iletilmesi (IP adresi ve istek başlıkları). ABD merkezli.
• Backblaze, Inc. — işletmelerin yüklediği menü görselleri, logolar ve müşteri ekranı videoları, platform görselleri ile tanıtım sitesindeki iletişim formuna eklenen menü dosyalarının depolanması ile şifreli veritabanı yedeklerinin saklanması (anahtar yalnız Şirkette) (form dosyaları erişime kapalı alanda tutulur ve yalnızca yetkili ekip üyesi kısa süreli bağlantıyla açabilir). Dosyalar Avrupa Birliği’nde (Amsterdam) tutulur; şirket ABD merkezlidir. Görseller misafire Cloudflare üzerinden, müşteri ekranı videoları doğrudan Backblaze’den iletilir; bu sırada cihazın IP adresi ilgili sağlayıcıya ulaşır.
• iyzico Ödeme Hizmetleri A.Ş. — abonelik tahsilatı ve kart saklama (kart verisi yalnızca burada tutulur). Türkiye.
• Sent (SMS/mesajlaşma sağlayıcısı) — kayıt doğrulama kodlarının iletilmesi; yalnızca telefon numarası ve mesaj metni aktarılır.
• Purelymail — işlemsel e-posta iletimi ve iletişim formu doğrulama kodu (alıcı adresi ve ileti içeriği). Varsayılan sağlayıcı ABD merkezlidir.
• Tarayıcı bildirim servisleri — Google Firebase Cloud Messaging, Apple Push Notification service, Mozilla Push Service ve Microsoft Windows Push Notification Services (ABD merkezli). Yalnızca bildirimi açan personelin cihazına gönderimde kullanılır; hangi servisin kullanılacağını cihazın tarayıcısı belirler. Bildirim içeriği uçtan uca şifreli iletilir; servis cihaz adresini, sunucumuzun IP adresini, zamanı ve şifreli içeriğin boyutunu görür.
• Mobil uygulama bildirimleri — Apple Push Notification service (Apple Inc.) ve Google Firebase Cloud Messaging (Google LLC), ABD merkezli. Yalnızca mobil uygulamada bildirime izin veren personelin telefonuna gönderimde kullanılır. Bu kanalda içerik uçtan uca şifreli değildir, şifreli bağlantıyla taşınır ve Apple veya Google tarafından görülebilir; bu nedenle telefona kişisel veri içermeyen kısa metin gider (örnek: masa numarası ve tutar, "Ayrıntı için dokunun"). Personel adı, müşteri adı, adresi ve telefonu bildirime yazılmaz; ayrıntı uygulamada görülür.
• YouTube (Google LLC) — tanıtım sitesindeki eğitim videosu. Yalnızca ziyaretçi oynat’a bastığında yüklenir; öncesinde Google’a istek gitmez. ABD merkezli.
• Google Ads (Google LLC) — tanıtım sitesinde yalnızca çerez onayı verildiğinde; reklam dönüşüm ölçümü. ABD merkezli.
• Anthropic, PBC — yalnızca işletme kullanıcısı menüsünü aktarırken “Yapay zekâ ile oku” seçeneğini onaylarsa: menü sayfasının görüntüsü, web sayfası metni ya da kullanıcının yapıştırdığı menü metni ürün adı, fiyat, kategori ve açıklama taslağı çıkarılması için gönderilir. Şirket sistemlerinde saklanmaz; sağlayıcı varsayılan olarak 30 gün içinde siler, kullanım politikası ihlali olarak işaretlenen içeriği 2 yıla kadar saklayabilir. Uygulama bu içeriğe personel veya müşteri verisi eklemez. Ayrıca işletmede açıksa “Ari’ye sor” yapay zekâ asistanı için: işletme sahibi veya yöneticisinin yazdığı soru ile cevabı hazırlamak için gereken toplu işletme rakamları (satış, ürün ve kategori, şube, saatlik yoğunluk, stok, maliyet ve kâr marjı) ve kullanıcı fiyat değişikliği istediğinde menüdeki ürün adları ile fiyatları gönderilir. Uygulama, soruda geçen personel adlarını göndermeden önce takma ada (ör. “Personel 3”) çevirir, telefon, e-posta ve T.C. kimlik numarasını maskeler; müşteri adı, telefonu ve adresi gönderilmez. Personel bazında satış rakamı, Kişisel Verileri Koruma Kurulu’nun ilan ettiği standart sözleşme Anthropic ile imzalanıp Kurul’a bildirilmeden gönderilmez; bu koşulla da yalnızca takma adla gönderilir. Soru ve cevaplar Şirket sistemlerinde 30 gün saklanır, sonra silinir. ABD merkezli. Ari’nin satış tahmini ve bildirimleri işletmenin kendi verisinden Şirket sistemlerinde hesaplanır; kullanıcı Ari’ye sorduğunda ya da sabah özetinin yorum cümlesi için yalnız toplu rakamlar ile ürün, kategori ve şube adları yapay zekâ sağlayıcısına gönderilir.
• Netgsm İletişim ve Bilgi Teknolojileri A.Ş. — yalnızca bulut santral ek paketini kullanan işletmeler için. İşletmenin kendi sözleşme yaptığı santral hizmetidir; Şirketin alt işleyeni değildir. Çağrı bilgisi NetGSM’den Şirkete gelir; Şirket NetGSM’e yalnızca geri arama talebi (müşteri numarası, dahili) ve günlük görüşme listesi sorgusu gönderir. Türkiye.
• Verimor Telekomünikasyon A.Ş. — yalnızca bulut santral ek paketini Verimor santraliyle kullanan işletmeler için. İşletmenin kendi sözleşme yaptığı santral hizmetidir; Şirketin alt işleyeni değildir. Çağrı bilgisi Verimor’dan Şirkete gelir; Şirket Verimor’a yalnızca geri arama talebi (müşteri numarası, dahili), günlük görüşme listesi sorgusu ve işletme sahibinin istediği ses kaydının dinleme bağlantısı talebini gönderir. Türkiye.
• Harita hizmetleri — Google Maps, Apple Haritalar veya Yandex Haritalar; işletme QR menüsüne konum eklediyse ve yalnızca misafir "Konuma git" bağlantısına dokunduğunda açılır. Menü açılırken bu hizmetlere istek gönderilmez; bağlantıya dokunulduktan sonra ilgili hizmetin kendi gizlilik politikası geçerlidir.
• Referans programı iş ortakları (partnerler) — bir işletme partnerin referans koduyla kaydolduysa yalnızca işletmenin adı, kayıt tarihi ve abonelik ödemesine bağlı komisyon tutarı ilgili partnere bildirilir. İşletme sahibinin adı, telefonu ve e-postası partnere gönderilmez.
• e-Fatura/e-Arşiv entegratörü — mali belge düzenleme yükümlülüğü.
• Hukuk, mali müşavirlik, bağımsız denetim ve tahsilat hizmeti alınan profesyoneller.
• Yetkili kamu kurum ve kuruluşları — yalnızca mevzuatın zorunlu kıldığı hallerde ve talep edilen kapsamla sınırlı olarak.

Kişisel verileriniz pazarlama amacıyla üçüncü kişilere satılmaz, kiralanmaz ve devredilmez.

9. Yurt Dışına Aktarım

Barındırma (Contabo, sunucular Almanya / Frankfurt), ağ geçidi ve görsel iletimi (Cloudflare, ABD), dosya depolama (Backblaze, ABD şirketi; dosyalar AB / Amsterdam), işlemsel e-posta (Purelymail, ABD), personelin açtığı uygulama bildirimleri (Google, Apple, Mozilla ve Microsoft bildirim servisleri, ABD; tarayıcıda içerik uçtan uca şifreli, mobil uygulamada şifreli bağlantıyla ve kişisel veri içermeyen kısa metin olarak), ziyaretçinin oynat’a bastığı eğitim videoları (YouTube / Google LLC, ABD) çerez onayı verildiğinde reklam ölçümü (Google Ads / Google LLC, ABD) ve işletme kullanıcısının onayıyla yapay zekâ ile menü okuma (Anthropic, ABD; menü sayfası görüntüsü, web sayfası metni ya da kullanıcının yapıştırdığı menü metni; Şirket sistemlerinde saklanmaz; sağlayıcı varsayılan olarak 30 gün içinde siler, kullanım politikası ihlali olarak işaretlenen içeriği 2 yıla kadar saklayabilir), işletmede açıksa “Ari’ye sor” yapay zekâ asistanı (Anthropic, ABD; işletme sahibi veya yöneticisinin sorusu, toplu işletme rakamları ve fiyat değişikliği istendiğinde menüdeki ürün adları ile fiyatları; soruda geçen personel adları takma adla, müşteri verisi gönderilmez) yurt dışına aktarım doğurur. Ödeme kuruluşu iyzico Türkiye’dedir; kart numarası Şirket sistemlerinde tutulmaz. Aktarım, KVKK m.9 uyarınca yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları veya Kanun’un öngördüğü istisnalardan biri ile yapılır. “Ari’ye sor”da toplu işletme rakamları kişisel veri değildir; kullanıcının soruya kendisinin yazdığı bilgi, KVKK m.9/6 kapsamında arızi aktarım olarak kullanıcının ilk kullanımda verdiği açık rızaya dayanır. Personel bazında satış rakamı yalnızca Anthropic ile imzalanan ve Kurul’a bildirilen standart sözleşmeyle aktarılır. Yazı tipleri kendi sunucularımızdan sunulur; ziyaretçinin IP adresi bu amaçla Google Fonts’a gönderilmez.

10. Saklama Süreleri

• SMS doğrulama kodu: azami 5 dakika. Hesap açılış kaydı (açılış anı, IP, onay tercihleri) hesap verisiyle aynı süre.
• Hesap ve işletme verileri: abonelik süresince ve sona ermesinden itibaren 10 yıl (TBK m.146 zamanaşımı). Süre sonunda işletmenin adı ve adresi anonim hale getirilir, satış görüşmesi kaydı silinir.
• İşletmenin sisteme girdiği personel ve misafir verileri: abonelik süresince; fesihten sonra 90 gün (verilerin ihracı için), ardından silinir veya anonim hale getirilir. Personel adı “Personel N” biçiminde anonimleşir. Adisyon, ödeme, mali belge, muhasebe, stok hareketi ve işlem denetim kayıtları yasal saklama yükümlülüğü nedeniyle kişisel veri içermeyecek şekilde kalır. İstisna: işletmenin İK ekranından yaptığı maaş, avans ve ek ödeme kayıtlarında ve otomatik yazılan maaş giderlerinde kişinin adı, tutar ve tarih muhasebe defterinde yer alır; bu kayıtlar kişi işten ayrılsa ya da hesap silinse de yasal saklama süresi boyunca kalır. Son 90 günde adisyonu olan işletmeye bu silme uygulanmaz.
• Paket düşürüldüğünde veya abonelik/deneme sona erdiğinde yeni pakette bulunmayan modüllerin verisi: doksan gün boyunca olduğu gibi saklanır; bu süre içinde modülü içeren bir pakete geçilirse hiçbir veri silinmez. Süre sonunda yalnızca yasal saklama yükümlülüğü bulunmayan veriler silinir: reçeteler, hiç hareket görmemiş stok kalemi tanımları ve sayım taslakları; tekrarlayan gider tanımları ile hiçbir kayıtta geçmeyen cari, hesap ve kategori kartları; özlük ve maaş bilgisi, vardiya şablonları, çalışılmamış vardiyalar ve sonuçlanmamış izin talepleri; adisyona bağlanmamış ve kapora alınmamış rezervasyonlar ile misafir defteri; menü çevirileri; entegrasyon bağlantı ayarları. Adisyon, ödeme, mali belge, muhasebe defteri ve faturalar, kayıtta geçen cariler, stok hareketleri, tamamlanmış sayımlar, onaylı puantaj ve izinler silinmez. İşletme sahibi, silmeden önce paket değişikliği ekranında, uygulama içinde ve e-posta ile (90, 30, 7 ve 1 gün kala) bilgilendirilir.
• Rezervasyondaki misafir adı, telefonu ve notları: rezervasyon tarihinden itibaren 1 yıl, sonra silinir. Tarih, kişi sayısı ve kapora tutarı kalır.
• İşletmenin misafir defteri ve sadakat (damga kartı) üyeleri: 1 yıl boyunca hiç alışverişi, telefon siparişi ve rezervasyonu olmayan misafir anonim hale getirilir; adı, telefonu, e-postası, notu ve kayıtlı teslimat adresleri silinir, damgaları ve damga hareketleri silinir, adisyon ve rezervasyonlarla bağı kopar. İşletme, üyenin talebiyle bu işlemi panelden hemen de yapabilir. Ödül olarak verilen indirim adisyonun parçasıdır ve yasal kayıt olarak kalır.
• İşletmenin yüklediği görsel ve videolar: işletme sildiğinde depodan silinir ve önbellekten derhal kaldırılır; yanlış silmeye karşı depolama sağlayıcısında 30 gün erişilemez yedek sürüm olarak kalır, ardından kalıcı olarak silinir. Fesihten 90 gün sonra ya da işletme hesabı kalıcı olarak silindiğinde işletmenin tüm dosyaları aynı şekilde silinir.
• Şifreli yedekler: sunucuda 30 gün, yedek deposunda 30 gün değiştirilemez ve en geç 36 günde silinir.
• Fatura, ödeme ve muhasebe kayıtları: 10 yıl (TTK m.82, VUK m.253).
• Giriş kayıtları (IP adresi, cihaz bilgisi, başarılı ve başarısız giriş denemeleri): 6 ay, sonra otomatik silinir.
• Giriş onay talepleri: 6 ay.
• İşlem denetim kayıtları (iptal, fiyat ve yetki değişiklikleri, dışa aktarmalar): ticari kayıt niteliğinde; en az 5 yıl (VUK m.253). Bu kayıtlar silinmez.
• Sistem duyurusu okundu kaydı: okuma tarihinden itibaren 1 yıl. Arşivlenen duyuru, arşivden 1 yıl sonra okundu kayıtlarıyla birlikte silinir.
• Stok onay talebi ve merkez depo talebi (talep eden ve karar veren personel): talepten itibaren 2 yıl, sonra silinir. Sayım, stok hareketi, satın alma siparişi ve iptal kaydındaki personel bilgisi bağlı yasal kayıtla birlikte kalır.
• Paket servis siparişindeki (çevrim içi platform ve telefon siparişi) müşteri adı, telefonu, adresi ve notu: sipariş kapandıktan (teslim ya da iptal) 30 gün sonra silinir. Hiç kapanmamış siparişte süre, oluşturulmasından itibaren 45 gündür. Trendyol Go siparişindeki müşteri arama kodu da aynı sürede silinir. Sipariş satırı, tutarı ve ürünleri yasal kayıt olarak kalır. Platformun kendi kuryesinin (Yemeksepeti, Trendyol Go) götürdüğü siparişte müşteri kişisel verisi tutulmaz.
• Telefon siparişinde müşterinin izniyle kaydedilen teslimat adresleri (müşteri başına en fazla üç): misafir defteri kaydının parçasıdır; misafir 1 yıl boyunca hiç sipariş, alışveriş ve rezervasyon yapmazsa adı ve telefonuyla birlikte silinir. İzin verilmediyse adres yalnızca siparişte tutulur ve yukarıdaki 30 günlük süreyle silinir. İşletme, müşterinin talebiyle kayıtlı adresi hemen silebilir.
• Kurye uygulamasında konum: kuryenin üstünde teslim edilmemiş paket varken konumu yaklaşık 10 saniyede bir işletmeyle paylaşılır (uygulama arka plandayken de); yalnızca son nokta 5 dakika tutulur, veritabanına yazılmaz ve rota geçmişi oluşturulmaz; son paket teslim edilince paylaşım durur ve nokta silinir. Kuryenin "Teslim ettim" dediği nokta teslim kanıtı olarak sipariş kapandıktan 30 gün sonra silinir. Kuryenin kapıda tahsil ettiği ödemenin kaydı yasal kayıt olarak kalır.
• Yemeksepeti ve Trendyol Go istek kayıtları: kişisel alanlar yazılmadan maskelenir, 14 gün sonra silinir.
• Bulut santral çağrı bilgisi: veritabanına yazılmaz. Canlı çağrı 2 saat, cevapsız çağrı listesi 48 saat geçici bellekte tutulur ve kendiliğinden silinir. Görüşme geçmişi ve ses kayıtları işletmenin santral sağlayıcısındaki (NetGSM veya Verimor) hesabında durur; Şirket bunları saklamaz. İşletme sahibi bir Verimor ses kaydını dinlemek istediğinde Verimor’un verdiği geçici dinleme bağlantısı en fazla 50 dakika geçici bellekte tutulur; kaydın kendisi Şirkete gelmez.
• Bildirim aboneliği: kullanıcı çıkış yaptığında silinir; bildirim servisi cihazı tanımadığında ya da cihaz 90 gün boyunca hiç kullanılmadığında silinir. Mobil uygulama bildirim jetonu ayrıca oturum kapandığında (başka cihazda giriş, oturumun kapatılması, hesabın pasife alınması) silinir. Personel silindiğinde veya işletme sözleşmesi sona erdiğinde personel verisiyle birlikte silinir.
• İletişim formuna eklenen menü dosyası: gönderimden 90 gün sonra silinir; mesajın kendisi iletişim formu süresiyle saklanır. İletişim formu doğrulama kodu hiçbir yerde saklanmaz; 10 dakika geçerli, imzalı bir jetonla doğrulanır.
• Bildirimler: okunmuş olanlar 30 gün, tümü en geç 90 gün; kişi başı en fazla 200 kayıt.
• “Ari’ye sor” yapay zekâ asistanı konuşmaları (soru ve cevaplar): son mesajdan 30 gün sonra silinir.
• Yazdırma işleri: basılmış olanlar 14 gün, diğerleri 30 gün.
• Destek oturumları: 2 yıl.
• Pazarlama alıcı satırları: kampanya bitişinden 1 yıl.
• Son kullanma tarihi partisi: kişisel veri içermez; son kullanma tarihinden 1 yıl sonra silinir.
• İletişim formu mesajları: son güncellemeden (yanıt veya spam işaretinden) itibaren 2 yıl.
• Pazarlama izinleri: iznin geri alınmasından itibaren 3 yıl (Ticari İletişim Yönetmeliği). Bu sürenin sonunda kişi kaydı silinir; yeniden ileti gönderilmemesi amacıyla yalnızca e-posta adresi, ret talebi geçerli olduğu sürece engelli adres listesinde tutulur.
• Satış görüşmesi kayıtları: işletme hesabı açılmamışsa son görüşmeden itibaren 2 yıl.
• Referans programı partner verileri: sözleşme süresince ve partner arşivlendikten sonra 10 yıl (TTK m.82); süre sonunda adı, iletişim bilgileri, IBAN, kimlik numarası ve notlar silinerek anonim hale getirilir. Komisyon ve ödeme kayıtları mali kayıt olarak kalır. Referans bağlantısı ziyaret sayıları kişisel veri içermez ve en fazla 400 gün tutulur.

Süre sonunda veriler Kişisel Veri Saklama ve İmha Politikamız uyarınca silinir, yok edilir veya geri döndürülemez şekilde anonim hale getirilir.

11. Veri Güvenliği

• Aktarımda TLS şifrelemesi; hassas alanlarda (ödeme referansı, kimlik numarası, ücret bilgisi) AES-256-GCM ile at-rest şifreleme.
• Parola ve PIN bilgilerinin argon2id ile özetlenmesi; açık metin olarak hiçbir yerde tutulmaması.
• İşletmeler arası veri yalıtımının veritabanı seviyesinde satır bazlı güvenlik (RLS) ile zorunlu kılınması.
• Rol bazlı yetkilendirme, en az yetki ilkesi ve yetkisiz erişim denemelerine karşı hız sınırlama/kilitleme.
• Değiştirilemez denetim kayıtları, düzenli yedekleme ve yedekten dönüş tatbikatları.
• Personel gizlilik taahhütleri, erişim kayıtlarının izlenmesi ve tedarikçi güvenlik değerlendirmeleri.

Hiçbir sistem mutlak güvenlik sunmaz. Güçlü parola/PIN seçimi, personele verilen yetkilerin sınırlanması ve ayrılan personelin hesabının kapatılması işletmenin sorumluluğundadır.

12. Veri İhlali Bildirimi

Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edildiğinin tespiti halinde, durum en kısa sürede ve her hâlükârda öğrenilmesinden itibaren 72 saat içinde Kişisel Verileri Koruma Kurulu’na, makul olan en kısa sürede de ilgili kişilere bildirilir. Veri işleyen sıfatıyla tuttuğumuz verilere ilişkin ihlallerde, ilgili işletme gecikmeksizin bilgilendirilir.

13. Çerezler ve Benzeri Teknolojiler

Sistemin işleyişi için tek bir zorunlu çerez kullanılır. Ek olarak, tanıtım sitesinde (ariadisyon.com) yalnızca onay bandında "Kabul et" seçmeniz halinde Google Ads dönüşüm çerezleri (_gcl_au, _gcl_aw; 90 gün) kullanılır. Amaç, reklamlarımızın kayıt veya iletişim talebine dönüşüp dönüşmediğini ölçmektir; kişiselleştirilmiş reklam için kullanılmaz ve form içeriğiniz (ad, telefon, e-posta) Google’a gönderilmez. Reddederseniz Google’a hiçbir bilgi gönderilmez. Kararınız tarayıcınızda 12 ay saklanır; sayfanın altındaki "Çerez tercihleri" bağlantısından istediğiniz zaman değiştirebilirsiniz. Analitik aracı (Google Analytics ve benzeri) ve başka reklam pikseli kullanılmaz.

• ari_rt — oturum yenileme jetonu. Sayfa yenilendiğinde yeniden giriş gerekmesin diye kullanılır. HttpOnly, SameSite=Strict ve üretimde Secure bayraklıdır. Hizmetin sunulması için zorunludur; açık rıza gerektirmez, bu Politikada listelenir.
• Tarayıcı yerel deposu (localStorage): erişim jetonu, yazdırma kuyruğu, vardiya taslağı, müşteri ekranı durumu ve deneme süresi bilgisi. Teknik olarak çerez değildir; terminal ekipmanına erişim sayılır ve tamamı işlevseldir.
• Service worker önbelleği ve bildirim aboneliği (POS uygulaması): uygulamanın hızlı açılması ve uygulama kapalıyken bildirim alınabilmesi için. Bildirim aboneliği yalnızca personel tarayıcının izin penceresinde izin verirse oluşur ve tarayıcı ayarlarından her an kapatılabilir.
• ari_country — tanıtım sitesinde alt bilgideki ülke seçicisinden kendi seçtiğiniz ülkenin iki harfli kodu (ör. DE). Fiyatlar, yasal metinler ve entegrasyonlar bu ülkeye göre gösterilir; kişisel veri içermez ve yalnızca siz seçince yazılır. 1 yıl. İşlevsel çerezdir; açık rıza gerektirmez. Seçim yapılmadığında ülke, bağlantınızın IP adresinin ülkesinden belirlenir; bu bilgi yalnızca sayfayı seçmek için okunur, saklanmaz.
• _gcl_au, _gcl_aw (Google Ads) — yalnızca tanıtım sitesinde ve yalnızca onay verilirse; reklam tıklamasının kayıt veya iletişim talebine dönüşüp dönüşmediğini ölçer. 90 gün. Onay kararınız tarayıcının yerel deposunda (ari_ads_consent) 12 ay tutulur.

Tanıtım sitesindeki eğitim videoları sayfa açıldığında yüklenmez. Kapak görseli kendi sunucumuzdan gelir. Oynatıcı (youtube-nocookie.com) yalnızca ziyaretçi oynat’a bastığında yüklenir; bundan sonra YouTube kendi depolamasını yazabilir ve IP adresi Google’a (ABD) gider. Bu, ziyaretçinin kendi talebiyle olur.

14. Otomatik Karar ve Profilleme

Hukuki sonuç doğuran veya sizi önemli ölçüde etkileyen tamamen otomatik karar verme süreçleri uygulanmaz. İşletmenin kayıp önleme raporunda personelin iptal ve fire tutarı kendi satışına oranlanır ve eşik aşılırsa yetkiliye bildirim gider. Rapor anlık hesaplanır, saklanmaz ve otomatik yaptırım veya karar üretmez; bir soru listesidir. İtiraz hakkı KVKK m.11/1-g kapsamındadır ve veri sorumlusu olan işletmeye yöneltilir.

15. Veri Sahibi Hakları (KVKK m.11)

• Kişisel verilerinizin işlenip işlenmediğini öğrenme ve işlenmişse bilgi talep etme.
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme.
• Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme.
• KVKK m.7 çerçevesinde silinmesini veya yok edilmesini isteme.
• Düzeltme, silme ve yok etme işlemlerinin aktarım yapılan üçüncü kişilere bildirilmesini isteme.
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme.
• Kanuna aykırı işleme nedeniyle uğradığınız zararın giderilmesini talep etme.
• GDPR kapsamındaki ilgili kişiler için ayrıca taşınabilirlik ve işlemeye itiraz hakları.

Hesabınızı mobil uygulamada Uygulama ayarları → Hesap → Hesabımı sil yolundan ya da ariadisyon.com/hesap-silme sayfasında anlatılan yöntemle silebilirsiniz. Personel hesabı hemen silinir; işletme hesabını kapatma talepleri en geç 30 gün içinde işlenir.

16. Başvuru Usulü

Taleplerinizi; Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca ad-soyad, T.C. kimlik numarası (yabancılar için pasaport numarası), tebligata esas adres, varsa bildirime esas e-posta/telefon ve talep konusunu içerecek şekilde ıslak imzalı olarak İstanbul / Türkiye adresine ya da sistemimizde kayıtlı e-posta adresinizden [email protected] adresine iletebilirsiniz.

Başvurular en geç otuz gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi halinde Kurul’ca belirlenen tarifedeki ücret alınabilir. Talebinizin reddi, verilen yanıtın yetersiz bulunması veya süresinde yanıt verilmemesi halinde Kişisel Verileri Koruma Kurulu’na şikâyet hakkınız saklıdır.

17. Çocukların Verileri

Hizmetler ticari işletmelere yöneliktir ve 18 yaş altı bireylerin kullanımı için tasarlanmamıştır. Bilerek çocuklardan kişisel veri toplamayız; böyle bir verinin işlendiğinin tespiti halinde gecikmeksizin silinir.

18. Politika Değişiklikleri

Bu Politika güncellenebilir. Güncel metin ariadisyon.com üzerinde yayımlandığı tarihte yürürlüğe girer; esaslı değişikliklerde kayıtlı kullanıcılar e-posta veya uygulama içi bildirim ile makul süre önce bilgilendirilir.

Yürürlük tarihi: 12 Kasım 2026.