Kişisel Verilerin Korunması Hakkında Aydınlatma Metni
6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca hazırlanmıştır.
1. Veri sorumlusu
Asaka Academy Danışmanlık Dış Ticaret Limited Şirketi (“jookpos”), bu metinde açıklanan kişisel veriler bakımından veri sorumlusudur. İletişim: bilgi@jookpos.com
2. Hangi veriler işleniyor
İşletme ve personel verileri
- İşletme adı, adresi, telefonu, e-posta adresi, vergi bilgileri
- Personelin adı, e-posta adresi ve rolü
- Mesai kayıtları: giriş ve çıkış saatleri, çalışılan süre
- Mesai kayıtlarından kuralla çıkarılan vardiya önerisi: son 8 haftada saat saat rol başına (garson, mutfak, kasiyer) kaç kişinin çalıştığı ile o saatlerde açılan adisyon, mutfağa giden kalem ve kasiyerin kapattığı hesap sayısı karşılaştırılır, önümüzdeki günler için kişi sayısı önerilir. Hesabı kapatan kişinin yalnızca rolü kullanılır; bir rolde tek kişi çalışıyorsa kişi başına iş fiilen o kişinin iş miktarını gösterir. Hesapta ve sonuçta çalışan adı yer almaz; yalnızca personel yönetme yetkisi olanlar görür, yapay zekâ kullanılmaz. Yetkili kişi aynı soruyu yapay zekâ asistanına sorarsa rol başına kişi, adisyon, kalem ve hesap sayıları cevabı yazmak için asistanın sağlayıcısına (aşağıdaki tabloda OpenAI) gider; çalışan adı gitmez
- Bordro kayıtları: ücret türü ve tutarı, hak edilen tutar, avans, ödeme ve kesintiler. Bu bilgilere yalnızca işletmede bordro yetkisi verilmiş kişiler erişebilir
- Kurye hesaplarında, kurye kendisi açtıysa son bilinen konum (bkz. aşağıdaki Konum bölümü)
- Giriş bilgileri: PIN ve parola geri döndürülemez biçimde saklanır (scrypt); bunları biz de okuyamayız
- Şubeli işletmelerde merkezden şubeye personel aktarımı: işletme sahibi bir çalışanı şubeye aktardığında adı, telefonu, unvanı, fotoğrafı ve rolü şubedeki yeni kayda kopyalanır ve iki kayıt birbirine bağlanır. PIN, parola, giriş e-postası ve ücret bilgisi kopyalanmaz. Aktarım 7 gün içinde geri alınabilir; geri alınınca şubede kaydı olmayan kişi silinir, kaydı olan pasife alınır. Geri alma için tutulan aktarım kaydında kişinin şubedeki eski telefonu ve fotoğrafı saklanmaz. Bu işlemede veri sorumlusu işletme, jookpos veri işleyendir; çalışanı bilgilendirmek işletmeye düşer
- Giriş kayıtları: hangi cihazdan, hangi IP adresinden, ne zaman giriş yapıldığı ve başarısız denemeler
- İşlem kayıtlarından (iptal, ikram, indirim, iade, ödeme silme, ödenmiş adisyonu yeniden açma) kuralla çıkarılan inceleme önerisi: bir çalışan bu işlemleri kendi alışkanlığının ya da aynı gün çalışanların çok üstünde yaptıysa veya bilinen bir örüntü görüldüyse (ödemesi silinip sonra iptal edilen adisyon, kapanıştan hemen önce yoğun iptal, nakit ödeme silme ya da nakit iade ile aynı gün kasa eksiği; bu örüntülere yeni başlayan çalışan için de bakılır) ertesi sabah yalnızca işletme sahibine bildirim gider. Sabah bildirimi yapay zekâ kullanmaz ve üçüncü bir tarafa gitmez. İşletme sahibi aynı soruyu yapay zekâ asistanına sorarsa sonuç (çalışan adları, işlem sayıları ve tutarları, kasa eksiği) cevabı yazmak için asistanın sağlayıcısına (aşağıdaki tabloda OpenAI) gider. Otomatik yaptırım ya da puan üretilmez. Bu işlemede işletme veri sorumlusu, jookpos veri işleyendir; işletme personelini bu takip hakkında bilgilendirmelidir
- Personel adayları: işletmenin iş görüşmesi yaptığı kişilerin adı, telefonu, e-posta adresi, başvurduğu görev, görüşme tarihi, görüşmenin durumu ve işletmenin yazdığı görüşme notu. Yalnızca işletmede personel yönetme yetkisi olanlar görür; yapay zekâ asistanına ve üçüncü bir tarafa gönderilmez. İşe alınmayan adayın bilgileri kayıttaki son değişiklikten 6 ay sonra kendiliğinden silinir; işe alınan adayın kaydı personel kaydıyla birlikte kalır. İşletme, aday notuna sağlık, din, sendika üyeliği gibi özel nitelikli veri yazmamalıdır. Bu işlemede işletme veri sorumlusu, jookpos veri işleyendir; adayı bilgilendirmek işletmeye düşer
Müşteri verileri
QR menüden sipariş verildiğinde, siparişi alan işletme için işlenir:
- Ad
- Telefon numarası
- Adrese teslim siparişlerde teslimat adresi
- Sipariş içeriği, tutarı ve zamanı
- Varsa sipariş notu ve değerlendirme yorumu
- Sipariş notuna kendi isteğinizle yazdığınız ya da eklediğiniz alerji veya diyet bilgisi (örneğin “Alerji: gluten”): yalnızca siparişin hazırlanması için işletmeye iletilir. QR menüdeki alerji süzgecinde yaptığınız seçim saklanmaz ve gönderilmez.
Bu verilerde işletme veri sorumlusu, jookpos veri işleyendir: veriyi siz değil, sipariş verdiğiniz işletme toplar; biz yalnızca onun adına saklarız.
Misafir notu (tercih özeti): Müşteri, işletmede bir adisyona telefon numarası ya da adıyla bağlanmışsa, işletme adına son 6 aydaki ödenmiş siparişlerinden kuralla bir tercih özeti çıkarılır: en sık alınan ürünler, sık seçilen seçenekler, personelin sipariş satırına yazdığı ve birebir tekrar eden notlar, genellikle gelinen saat ve gün, son geliş ve ortalama hesap. Bu, sipariş geçmişine dayanan otomatik bir profillemedir; amacı personelin düzenli misafiri tanıyıp “her zamankinden mi?” diyebilmesidir. Misafir hakkında otomatik bir karar verilmez; fiyat ya da hizmet değişmez. Özet yapay zekâ kullanmaz, sayım ve sabit bir cümle kalıbıyla üretilir. Alerji, hastalık, diyet ya da inanç çıkarımı yapılmaz; sağlıkla, beslenme kısıtıyla (alerjen besin adları ve diyet dahil) ya da inançla ilgili bir kelime geçen sipariş notları özete hiç alınmaz. Tamamı iade edilen siparişler sayılmaz. Özet ayrıca saklanmaz, her gösterimde sipariş kayıtlarından yeniden hesaplanır; müşteri kaydı silindiğinde özet de kalmaz. Tercih özeti işletmenin kasa, arayan numara ve rezervasyon ekranlarında personele görünür; ortalama hesap ve toplam harcama yalnızca işletmenin müşteri listesini görme yetkisi olan kişilere görünür. Yetkili bir kişi yapay zekâ asistanına bir müşterinin alışkanlığını sorarsa özet cevabı yazmak için asistanın sağlayıcısına (aşağıdaki tabloda OpenAI) gider. Bu işlemede de işletme veri sorumlusu, jookpos veri işleyendir; itiraz ve silme talebiniz için siparişi verdiğiniz işletmeye başvurabilirsiniz.
Uzun süredir gelmeyen düzenli misafirler: Aynı sipariş geçmişinden, yine kuralla ve yapay zekâ kullanmadan, son 6 ayda en az 3 ayrı gün gelmiş ve son gelişinden bu yana 21 günden ve kendi ortalama geliş aralığının iki katından uzun süre geçmiş misafirler listelenir (ad, son geliş, ortalama geliş aralığı, geliş sayısı, sık alınan ürünler; müşteri listesini görme yetkisi olan kişiye ayrıca ortalama hesap ve 6 aylık toplam harcama). Liste yalnızca işletmenin müşteri listesini görme yetkisi olan kişilere görünür; bu misafir yeniden gelip masada adisyonu açıldığında o adisyonu görüntüleyen personele yalnızca “uzun süredir gelmiyordu” bilgisi gösterilir. jookpos bu listeden misafire toplu, otomatik ya da hazır kampanya veya tanıtım mesajı göndermez ve hazırlamaz; asistan bu listedeki misafire yalnızca hizmet mesajı (rezervasyon, sipariş, adres teyidi gibi) taslağı hazırlar. İşletmenin müşterisine kampanya iletisi göndermesi müşterinin ticari ileti izni ve İYS kaydına tabidir. Liste de ayrıca saklanmaz, her gösterimde yeniden hesaplanır.
Değerlendirme yorumlarının analizi: Verdiğiniz puan ve yazdığınız yorum, işletmenin rapor ekranında kuralla (yapay zekâ kullanılmadan) sayılır: puan ortalaması, “soğuk geldi”, “geç geldi” gibi sık geçen konular ve düşük puanın kanal, masa, saat ve ürüne göre dağılımı. Amaç işletmenin hizmetini düzeltmesidir; hakkınızda bir karar verilmez. Ekranda gösterilen örnek yorumlarda telefon, e-posta, adres ve bilinen kişi adları gizlenir; analiz ayrıca saklanmaz, her gösterimde yeniden hesaplanır. Yetkili bir kişi yapay zekâ asistanına yorumların özetini sorarsa bu sayılar ve en fazla altı kısaltılmış, maskelenmiş örnek yorum asistanın sağlayıcısına (aşağıdaki tabloda OpenAI) gider; sağlık ya da inançla ilgili bir kelime geçen yorum örnek olarak gönderilmez. Bu işlemede de işletme veri sorumlusu, jookpos veri işleyendir.
Konum
“Yakınımdakiler” listesinde uzaklık hesabı için konum izni istenir. Bu konum sunucuya gönderilmez ve saklanmaz; hesap tarayıcınızda yapılır.
Kurye konum paylaşımında ise konum sunucuya gönderilir ve saklanır. Bu özellik yalnızca işletmenin kurye hesabı verdiği kişilerde çalışır ve şu kurallarla:
- Paylaşımı kurye kendisi açar ve kapatır; zorunlu değildir, kapalıyken konum hiç alınmaz.
- Konum yalnızca çalıştığı işletmenin kasa ekranındagörünür. Müşterilere, başka işletmelere ya da üçüncü taraflara gönderilmez.
- Yalnızca son bilinen konum tutulur; geçmiş bir iz kaydı oluşturulmaz.
- Kurye paylaşımı kapattığında kayıtlı son konum da silinir.
3. İşleme amaçları
- Hizmetin sunulması: adisyon, sipariş, ödeme ve stok takibi
- Hesap güvenliği: giriş doğrulama, yetkisiz erişimin tespiti
- Siparişin işletmeye iletilmesi ve müşteriye durum bildirimi
- İşletme adına, düzenli misafirin sipariş tercihlerinin personele gösterilmesi (misafir notu) ve uzun süredir gelmeyen düzenli misafirlerin işletmeye listelenmesi (mesaj gönderilmez)
- Abonelik ve faturalandırma
- Yasal saklama ve bilgi verme yükümlülüklerinin yerine getirilmesi
- Hata kayıtları üzerinden arıza giderme
- Yapay zekâ asistanının kötüye kullanımının önlenmesi: asistanın reddettiği mesajların denetlenmesi
- Tanıtım sitesinin (jookpos.com tanıtım sayfaları) nasıl bulunduğunu ve kullanıldığını ölçmek — yalnızca çerez onayı verenlerde
4. Hukuki sebep
- Sözleşmenin kurulması ve ifası (KVKK m.5/2-c): hesap açılışı, sipariş ve ödeme kayıtları
- Hukuki yükümlülük (m.5/2-ç): vergi ve ticaret mevzuatı gereği saklanması gereken kayıtlar
- Meşru menfaat (m.5/2-f): güvenlik kayıtları, hata kayıtları ve kötüye kullanımın önlenmesi
- Açık rıza (m.5/1): tarayıcı bildirimlerinin gönderilmesi ve “Yakınımdakiler” listesinde konum kullanımı; tanıtım sayfalarında Google Analytics ile ziyaret istatistiği ve bunun için Google'ın yurt dışındaki sunucularına aktarım (m.9) — onay penceresinde “Kabul et” denirse. Onay Çerez Politikası sayfasından her an geri alınabilir
5. Kimlere aktarılıyor
Kişisel veriler satılmaz ve pazarlama amacıyla üçüncü kişilerle paylaşılmaz. Hizmetin çalışması için kullanılan sağlayıcılar:
| Sağlayıcı | Ne için | Nerede |
|---|---|---|
| Amazon Web Services (AWS) | Uygulamanın çalıştırılması, veritabanı, dosya saklama ve e-posta gönderimi (doğrulama, PIN sıfırlama, bildirim) | Yurt dışı — İrlanda (eu-west-1) |
| iyzico Ödeme Hizmetleri A.Ş. | Kartla ödeme alınması (abonelik ve asistan paketi; işletmenin kendi iyzico hesabıyla QR menüden ödeme) — ad, e-posta, telefon, fatura bilgisi ve tutar. Kart bilgileri doğrudan iyzico'ya girilir. | Yurt içi — Türkiye |
| İşletmenin belirttiği muhasebeci | Yalnızca işletme Ayarlar → Muhasebeci ekranından adres yazıp gönderimi açarsa ya da paketi elle gönderirse: işletmenin aylık muhasebe paketi — ayın satış, KDV, gider ve alış özetleri; indirme bağlantısıyla aylık rapor, satış, gider ve alış faturası dosyaları (tedarikçi adı ve vergi numarası dahil). jookpos'un müşteri ve personel kayıtlarındaki adlar, müşteri telefonu ve adresi ile kayıtlara yazılan notlar pakete konmaz; işletmenin gider adı olarak kendi yazdığı metin (ör. "Diğer" türündeki giderin adı) ise postada ve gider dosyasında olduğu gibi yer alır. Aktarım işletmenin talimatıyla yapılır; veri sorumlusu işletmedir. | İşletmenin belirttiği adres |
| İşletmenin bağladığı e-fatura ve pazaryeri servisleri | Yalnızca işletme bu bağlantıyı açarsa: faturalandırma için alıcının fatura bilgileri ve adisyon satırları; pazaryerine sipariş durumu. Bu aktarımda veri sorumlusu işletmedir. | Sağlayıcıya göre |
| Google (FCM) / Apple / Mozilla | Tarayıcı bildirimlerinin cihaza ulaştırılması — yalnızca bildirimi açan kullanıcılar için | Yurt dışı |
| Google (Google Analytics) | Tanıtım sayfalarının ziyaret istatistiği — yalnızca çerez onayı verenler için; ziyaret edilen sayfa, gelinen kaynak, tarayıcı ve cihaz türü, yaklaşık konum (şehir) | Yurt dışı |
| OpenAI | Yapay zekâ asistanı; asistanda bas-konuş sesinin yazıya çevrilmesi ve cevabın sesli okunması; mutfak sesli komutu (istasyon ekranında bas-konuş sesinin yazıya çevrilmesi); faturayı, fişi ve menüyü fotoğraftan okuma; ürün adından reçete taslağı önerme; ürünlere alerjen önerisi; kasada WhatsApp mesajından sipariş — yalnızca işletmede bu özellikler kullanıldığında; gönderilen, asistana yazılan ya da söylenen mesaj, cevap için gereken işletme kayıtları (ör. menü ve fiyatlar, personel adları, tedarikçi bakiyeleri, gerektiğinde müşteri adı ve telefonu), ses kaydı (jookpos'ta saklanmaz; mutfak sesli komutunda da yalnızca ses kaydı ile ürün, kategori ve bölüm/masa adları gider — personel adları, yazıya çevrilen komut ve siparişler gönderilmez, komut jookpos'ta kuralla işlenir), seslendirilen cevap metni, yüklenen görüntü ve reçete taslağı için ürün adları ile malzeme listesi (kişisel veri içermez); alerjen önerisi için ürün ve malzeme adları, kategori ve açıklama (kişisel veri içermez); işletme sahibi asistana personel inceleme önerisini sorduğunda çalışan adları ile iptal, ikram, indirim, iade ve ödeme silme sayı ve tutarları; yetkili bir kişi asistana bir müşterinin alışkanlığını sorduğunda o müşterinin adı, telefonunun son dört hanesi, sipariş geçmişinden kuralla çıkarılan tercih özeti ve soranın yetkisi varsa ortalama hesabı; aynı adla birden çok kayıt varsa hangisinin sorulduğunu ayırmak için o kayıtların adları ve telefonlarının son dört hanesi (müşteri kartındaki not ve toplam harcama gönderilmez); yetkili bir kişi asistana uzun süredir gelmeyen düzenli müşterileri sorduğunda en fazla 10 misafirin adı, son gelişi, ortalama geliş aralığı, geliş sayısı ve sık aldığı ürünler (telefon, müşteri kartındaki not ve harcama gönderilmez); şubeli işletmede asistana şube önerileri sorulduğunda merkezin ve şubelerin ürün adları, son 30 günün ürün satış adetleri, ciroları ve fiyatları (kişisel veri içermez); asistana vardiya önerisi sorulduğunda rol başına çalışan sayıları ile adisyon, kalem ve hesap sayıları (çalışan adı gönderilmez); yetkili bir kişi asistana misafir yorumlarının özetini sorduğunda puan sayıları ve ortalamaları, kuralla bulunan konu sayıları, kanal, masa ve ürün adları ile en fazla altı kısaltılmış örnek yorum (telefon, e-posta, adres ve bilinen kişi adları gizlenerek; sağlık ya da inançla ilgili kelime geçen yorum gönderilmez); işletme personeli WhatsApp mesajından sipariş özelliğini kullandığında, müşterinin işletmeye yazdığı ve personelin yapıştırdığı sipariş mesajı (ad, adres ve sipariş içerebilir) ile işletmenin ürün, boy ve seçenek adları — mesajdaki telefon numaraları gönderilmeden önce kodla ayıklanır (alışılmadık biçimde yazılmış bir numara metinde kalıp gidebilir), mesaj jookpos'ta saklanmaz; personelin onayladığı adisyon ve müşteri kaydı (ad, telefon, teslimat adresi) elle girilmiş sipariş gibi saklanır. Ayrıca sabah özetinin yorum cümlesi — kendiliğinden, her sabah, özet alıcısı olan ve önceki gün olağan dışı bir durum bulunan işletmede: önceki günün toplamları (net satış, adisyon sayısı, ziyan, iptal ve ikram tutarları), önceki haftaların karşılaştırma toplamları ve ürün satış adetleri ile ürün ve malzeme adları; kişisel veri (müşteri ya da personel adı, telefon, e-posta) gönderilmez. Ayrıca aylık muhasebe paketinin tek cümlelik özeti — kendiliğinden, her aylık paket için en fazla bir kez, yalnızca işletme paketi muhasebecisine göndermeyi açtığında ya da elle gönderdiğinde: ayın toplamları (net satış, adisyon sayısı, indirim, ikram, iptal ve iade tutarları, hesaplanan ve indirilecek KDV, gider ve alış toplamları) ile kuralla bulunan olağan dışı kalemler (gider türü ve tutarı gibi); işletme, müşteri, personel ya da tedarikçi adı ve kişisel veri gönderilmez | Yurt dışı — ABD |
| Anthropic | Yapay zekâ asistanının yedek sağlayıcısı. Asistan OpenAI üzerinden çalışır; jookpos yönetimi sunucu ayarıyla Anthropic'e geçirirse asistana yazılan ya da söylenen mesaj ve cevap için gereken işletme kayıtları Anthropic'e gönderilir. Ses ve fotoğraf okuma her durumda OpenAI'dedir | Yurt dışı — ABD |
Yapay zekâ özellikleri (asistan, bas-konuş, sesli cevap, fotoğraftan fatura, fiş ve menü okuma) isteğe bağlıdır; işletmede kullanılmadıkça ABD'deki yapay zekâ sağlayıcılarına hiçbir kişisel veri gönderilmez. Kendiliğinden çalışan üç yapay zekâ işi vardır. Birincisi jookpos blogu için haftalık yazı taslağıdır (Anthropic); ona yalnızca jookpos ekibinin yazdığı metinler gider: yazının konusu, hedef arama ifadesi, editör notu ve blogdaki başlıklar; işletme, personel ya da müşteri verisi gitmez. İkincisi sabah özetinin yorum cümlesidir (OpenAI): önceki gün kuralla bulunan olağan dışı bir durum varsa işletmenin önceki günkü toplamları (net satış, adisyon sayısı, ziyan, iptal ve ikram tutarları), önceki haftaların karşılaştırma toplamları ve ürün satış adetleri ile ürün ve malzeme adları gönderilir; müşteri ya da personel adı, telefon, e-posta gibi kişisel veri gönderilmez. Sabah özetini alan kimse yoksa (Bildirimler ekranında telefon ve e-posta tercihi kapalıysa) bu aktarım da yapılmaz. Üçüncüsü aylık muhasebe paketinin tek cümlelik özetidir (OpenAI): yalnızca işletme paketi muhasebecisine göndermeyi açtığında ya da elle gönderdiğinde, her aylık paket için en fazla bir kez, ayın toplamları (satış, indirim, ikram, iptal, iade, KDV, gider ve alış toplamları) ile kuralla bulunan olağan dışı kalemler gönderilir; işletme, müşteri, personel ya da tedarikçi adı ve kişisel veri gönderilmez. Ayrıca yetkili kamu kurumlarına, yalnızca mevzuatın zorunlu kıldığı hâllerde aktarım yapılır.
6. Saklama süresi
- Sipariş, ödeme ve fatura kayıtları: ilgili mevzuatın öngördüğü süre boyunca (kural olarak 10 yıl)
- Giriş ve güvenlik kayıtları: 1 yıl
- Hata kayıtları: hatanın son görüldüğü tarihten itibaren 1 yıl
- Asistanın reddettiği mesajlar: 90 gün
- İşe alınmayan personel adaylarının bilgileri: kayıttaki son değişiklikten 6 ay; işletme daha önce de silebilir
- Asistan konuşma geçmişi: kullanıcı başına son 10 konuşma; yenisi başlayınca en eskisi, kullanıcı silinince hepsi silinir. Yalnızca kullanıcının kendisi görür.
- QR menüden sipariş veren misafirin telefonu ve IP adresi (kötüye kullanımın önlenmesi): 24 saat
- QR menüden rezervasyon ya da randevu isteyen misafirin IP adresi (kötüye kullanımın önlenmesi): 24 saat
- Abonelik sona erdiğinde: veriler kendiliğinden silinmez; işletme sahibi dışa aktarabilir ya da hesabın silinmesini isteyebilir
- Hesap silindiğinde: işletme verileri ve yüklenen görseller silinir; yasal saklama yükümlülüğü olan ödeme ve fatura kayıtları süre boyunca arşivde tutulur ve süre dolduğunda silinir
7. Haklarınız
KVKK madde 11 uyarınca:
- Kişisel verinizin işlenip işlenmediğini öğrenme
- İşlenmişse buna ilişkin bilgi talep etme
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
- Yurt içinde veya dışında aktarıldığı üçüncü kişileri bilme
- Eksik veya yanlış işlenmişse düzeltilmesini isteme
- Silinmesini veya yok edilmesini isteme
- Düzeltme, silme ve yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
- Yalnızca otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etme
- Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde giderim talep etme
Taleplerinizi bilgi@jookpos.com iletebilirsiniz. Başvurunuz en geç 30 gün içinde sonuçlandırılır.
QR menüden sipariş vermiş bir müşteriyseniz, verinizin sorumlusu sipariş verdiğiniz işletmedir; talebinizi doğrudan ona veya bize iletebilirsiniz — bize ilettiğinizde işletmeye yönlendiririz.
8. Veri güvenliği
- Bağlantılar şifreli (HTTPS)
- PIN ve parolalar geri döndürülemez biçimde saklanır
- Her işletmenin verisi ayrı tutulur; sorgular işletme kimliğiyle sınırlandırılır ve bu, otomatik denetimlerle sürekli kontrol edilir
- Hatalı giriş denemeleri sınırlanır ve kaydedilir
- Veritabanı yedeği alınır ve geri yükleme düzenli olarak denenir