CheckMasa Uygulama Gizlilik Politikası
Bu politika, CheckMasa adisyon (POS) uygulamasını kullanan işletme sahiplerinin, yöneticilerin ve personelin kişisel verilerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında nasıl işlendiğini ve işletmelerin müşterilerine ait verilerde rolümüzü açıklar. Aynı zamanda KVKK m.10 uyarınca aydınlatma metnidir.
Kısaca: Verileriniz yalnızca hizmeti sunmak, güvenliği sağlamak ve yasal yükümlülükleri yerine getirmek için işlenir; reklam, pazarlama veya profil oluşturma için kullanılmaz, satılmaz. Uygulamada reklam, analiz veya izleme (tracking) yazılımı yoktur. Sunucularımız Türkiye’dedir.
1. Veri Sorumlusu
| Unvan | ARKAN TEKNOLOJİ VE DİJİTAL HİZMETLER LİMİTED ŞİRKETİ |
| Marka | CheckMasa |
| Vergi dairesi / no | Alemdar V.D. / 0790918211 |
| MERSİS No | 0079091821100001 |
| Ticaret Sicil No | 41268 (Kocaeli Ticaret Sicili Müdürlüğü) |
| Adres | Alikahya Fatih Mah. Muhabbet Sk. No: 2 İç Kapı No: 14, 41310 İzmit / Kocaeli |
| Telefon | 0 554 194 60 41 |
| E-posta | destek@checkmasa.com |
2. Kapsam
CheckMasa, restoran ve kafelere sunulan bulut tabanlı bir adisyon (POS) programıdır. Bu politika şunları kapsar:
- CheckMasa iOS ve Android uygulaması,
- checkmasa.com üzerindeki web paneli: kasa / POS ekranı, garson uygulaması (/app), patron uygulaması (/boss), mutfak ekranı, işletme ayarları ve raporlar,
- Windows için CheckMasa Kasa uygulaması ve yazıcı ajanı.
Uygulamayı işletme sahipleri, yöneticiler ve personel kullanır. Hesaplar işletme adına firmamız, yetkili satış ortağımız (bayi) veya işletme yöneticisi tarafından açılır; uygulamada herkese açık kayıt yoktur. Web sitesi ve demo talepleri için Gizlilik Politikası, QR menü ürünümüz için CheckQR Gizlilik Politikası geçerlidir.
3. Rol Ayrımı: Veri Sorumlusu ve Veri İşleyen
İşletmelerin kendi müşterilerine ait verilerde (sipariş, müşteri adı, telefonu, e-postası, teslimat adresi, cari hesap, fatura bilgisi) veri sorumlusu ilgili işletmedir. ARKAN Teknoloji bu verilerde KVKK anlamında veri işleyendir: bu verileri yalnızca işletmenin talimatıyla ve hizmetin sunulması için işler, kendi amaçları için kullanmaz.
Bir işletmenin müşterisiyseniz kişisel verilerinize ilişkin taleplerinizi öncelikle o işletmeye iletin. Bize ulaşan talepleri ilgili işletmeye yönlendirir, işletmenin talebi yerine getirmesine teknik olarak yardımcı oluruz.
ARKAN Teknoloji’nin veri sorumlusu olduğu veriler: işletme hesabı, işletme yetkilisi ve personel hesap bilgileri, lisans ve ödeme kayıtları, destek talepleri, güvenlik ve işlem kayıtları, cihaz ve kullanım verileri.
4. İşlenen Kişisel Veriler
| Kategori | Veriler | Kimin verisi / rolümüz |
|---|---|---|
| Kimlik | Ad soyad, kullanıcı rolü (yönetici, kasiyer, garson, kurye vb.) | İşletme yetkilisi ve personel / veri sorumlusu |
| İletişim | E-posta adresi (giriş için), işletme telefonu | İşletme yetkilisi ve personel / veri sorumlusu |
| Hesap ve güvenlik | Şifre ve PIN (yalnızca geri döndürülemez özetleri saklanır), oturum belirteçleri, yöneticiler için iki adımlı doğrulama anahtarı (şifreli), güvenilir cihaz kaydı (cihaz/tarayıcı türü, IP adresi), hatalı giriş sayacı, işlem kayıtları (kim hangi siparişi açtı, iptal etti, ödeme aldı) | İşletme yetkilisi ve personel / veri sorumlusu |
| İşletme ve lisans | İşletme adı, lisans süresi, lisans ödeme kayıtları; satış ortaklarında vergi bilgisi ve IBAN | İşletme ve bayi / veri sorumlusu |
| İşletme müşterisi verileri | Müşteri adı soyadı, telefonu, e-postası, teslimat adresi ve tarifi, vergi dairesi / numarası (fatura için), cari hesap hareketleri, sipariş içeriği ve notları; QR menüden gelen siparişlerde misafirin yazdığı ad ve not | İşletmenin müşterileri / veri işleyen |
| İşletmenin diğer kayıtları | Kurye adı ve telefonu, tedarikçi firma yetkilisi ve iletişim bilgileri, vardiya ve kasa kayıtları, finans kayıtları ve ekleri | İşletmenin çalışanları ve iş ortakları / veri işleyen |
| Cihaz ve kullanım | Kasa uygulamasında bilgisayar adı, işletim sistemi sürümü, ekran bilgisi ve lisans güvenliği için donanım parmak izinin geri döndürülemez özeti (SHA-256); yazıcı ajanında bilgisayar adı ve yerel IP adresi; izin verirseniz bildirim aboneliği; çevrimdışı çalışma için cihazda tutulan geçici önbellek | İşletme / veri sorumlusu |
Ödeme kartı bilgisi işlenmez; uygulama kart bilgisi istemez veya saklamaz, yalnızca ödeme türü (nakit, kart vb.) ve tutar kaydedilir. Uygulama sağlık verisi veya başka özel nitelikli kişisel veri toplamak için tasarlanmamıştır; müşteri notlarına bu tür bilgiler yazılmamalıdır.
Uygulama izinleri
| İzin | Neden |
|---|---|
| İnternet | Sunucuyla bağlantı (siparişler, menü, raporlar) |
| Bluetooth (Android) | Fiş yazıcısını bulmak ve bağlanmak. Bluetooth taraması konum bilgisi üretmek için kullanılmaz. |
| Konum (yalnız Android 11 ve öncesi) | Bu Android sürümlerinde işletim sistemi Bluetooth yazıcı taraması için konum iznini şart koşar. Konumunuz okunmaz, kaydedilmez, gönderilmez. Android 12 ve sonrasında istenmez. |
| Bildirim (isteğe bağlı) | Mutfakta hazır olan siparişler ve patron uyarıları. Cihaz ayarlarından istediğiniz zaman kapatabilirsiniz. |
İstenmeyen izinler: kamera, mikrofon, fotoğraflar, rehber, takvim, sağlık verileri ve arka planda konum takibi. iOS uygulaması hiçbir cihaz izni istemez.
5. İşleme Amaçları ve Hukuki Sebepler
| Amaç | Hukuki sebep (KVKK m.5/2) |
|---|---|
| Hesap açmak, giriş yapmak, adisyon, sipariş, ödeme, mutfak, kurye, stok, finans ve rapor hizmetlerini sunmak | (c) Sözleşmenin kurulması ve ifası |
| İşletme müşterisi verilerini işletme adına saklamak ve işlemek | İşletmenin talimatı (veri işleyen sıfatıyla; hukuki sebep işletmeye aittir) |
| Bilgi güvenliği, yetkisiz erişimin ve kötüye kullanımın önlenmesi, işlem kayıtları | (ç) Hukuki yükümlülük (KVKK m.12); (f) meşru menfaat |
| Lisans, abonelik ve faturalandırma | (c) Sözleşmenin ifası; (ç) vergi mevzuatı |
| Destek taleplerini yanıtlamak, hataları gidermek | (c) Sözleşmenin ifası; (f) meşru menfaat |
| Uyuşmazlıklarda hakların korunması | (e) Bir hakkın tesisi, kullanılması veya korunması |
Verileriniz reklam, pazarlama veya profil oluşturma için kullanılmaz ve satılmaz. Uygulamada üçüncü taraf reklam, analiz, hata raporlama veya izleme (tracking) yazılımı bulunmaz.
6. Toplama Yöntemi
Veriler elektronik ortamda; hesabınızın firmamız, bayimiz veya işletme yöneticiniz tarafından oluşturulması, uygulamaya sizin ya da işletme personelinin girdiği bilgiler, QR menüden gelen siparişler ve uygulamanın çalışırken otomatik ürettiği teknik kayıtlar (oturum, işlem kaydı, cihaz bilgisi) yoluyla toplanır. Bildirim aboneliği yalnızca bildirimlere izin verdiğinizde oluşur.
7. Kişisel Verilerin Aktarılması
- İlgili işletme: İşletmeye ait veriler, işletmenin yetkilendirdiği kullanıcılar tarafından görülür. Personelin işlem kayıtları işletme yöneticisine açıktır.
- CheckQR (aynı şirketin ürünü): İşletme CheckQR’ı bağladıysa menü, fiyat ve masa bilgileri CheckQR’a gönderilir; QR menüden verilen siparişler CheckMasa’ya aktarılır.
- Yetkili satış ortağı (bayi): İşletmeyi getiren bayi; işletmenin adını, işletme yetkilisinin adını ve e-posta adresini, lisans ve abonelik durumunu görür. Sipariş, satış ve müşteri verilerine erişemez.
- Google (Gemini yapay zekâ hizmeti): Yalnızca menü ayarlarındaki toplu ürün ekleme ekranında yapıştırdığınız menü metnini yapay zekâ ile düzenlettiğinizde, o metin gönderilir. Bu alana kişisel veri yazmayın.
- Bildirim altyapıları: Bildirimlere izin verdiyseniz bildirimler tarayıcınızın veya cihazınızın bildirim servisi (Google, Apple, Mozilla) üzerinden iletilir; bildirim içeriği uçtan uca şifreli gönderilir.
- E-posta hizmeti: Destek kutumuzdan gönderilen e-postalar Brevo (Sendinblue SAS, Fransa) iletim altyapısı üzerinden gönderilir.
- Uygulama mağazaları: Uygulamayı indirmeniz ve güncellemeniz Apple App Store ve Google Play üzerinden, bu şirketlerin kendi gizlilik politikalarına göre gerçekleşir.
- Yetkili kamu kurum ve kuruluşları: Kanunen yetkili mercilerin talebi halinde, talep edilen kapsamla sınırlı olarak.
Yemeksepeti, Trendyol Yemek, Migros Yemek, Getir gibi platformlardan gelen siparişler bugün uygulamaya işletme tarafından elle girilir; bu platformlarla otomatik veri alışverişi yapılmaz. Bir entegrasyon eklendiğinde bu politika güncellenir.
8. Yurt Dışına Aktarım (KVKK m.9)
Hesap, işletme ve müşteri verileri Türkiye’de (İstanbul) bulunan veri merkezindeki sunucularımızda saklanır ve yurt dışına aktarılmaz. Yalnızca aşağıdaki sınırlı durumlarda, KVKK m.9’da öngörülen usullere uygun olarak yurt dışına aktarım olur:
- Toplu ürün eklemede yapay zekâ ile menü düzenlemeyi kullandığınızda menü metni (Google, ABD),
- bildirimlere izin verdiyseniz bildirim aboneliği ve şifreli bildirim içeriği (cihazınızın bildirim servisi),
- destek e-postaları (Brevo, Avrupa Birliği).
Bildirimleri cihaz ayarlarından kapatarak veya yapay zekâ özelliğini kullanmayarak bu aktarımları önleyebilirsiniz.
9. Saklama Süreleri ve İmha
| Veri | Saklama süresi |
|---|---|
| Personel ve yönetici hesap bilgileri | Hesap açık olduğu sürece. Personel hesabını uygulamadan sildiğinde ad, e-posta, şifre, PIN ve oturumlar hemen silinir. |
| İşletme verileri (sipariş, satış, müşteri, stok, finans) | İşletme hesabı açık olduğu sürece işletme adına saklanır. Hesap kapatma talebinden 30 gün sonra silinir. |
| İşletmenin yasal saklama yükümlülüğü | Satış ve sipariş kayıtları için Vergi Usul Kanunu m.253 (5 yıl) ve Türk Ticaret Kanunu m.82 (10 yıl) yükümlülükleri ilgili işletmeye aittir; işletme bu kayıtları hesabı kapatmadan önce raporlardan dışa aktarmalıdır. |
| Firmamızın lisans ödeme ve fatura kayıtları | VUK m.253 gereği 5 yıl, ticari defter ve belgeler TTK m.82 gereği 10 yıl |
| İşlem kayıtları (sipariş, iptal, ödeme geçmişi) | 2 yıl; sonra otomatik silinir |
| Oturum belirteçleri ve güvenilir cihaz kayıtları | Süreleri dolunca (güvenilir cihaz 90 gün) otomatik silinir |
| Kasa ve yazıcı cihaz kayıtları | Cihaz işletmeden kaldırılana veya işletme hesabı kapanana kadar |
| Ekranda gösterilen (sanal) fiş çıktıları | 7 gün |
| Cihazdaki çevrimdışı önbellek | En fazla 14 gün; oturum kapatıldığında veya uygulama silindiğinde cihazdan kalkar |
| Bildirim aboneliği | Bildirimi kapattığınızda, hesabınız silindiğinde veya uygulamayı kaldırdığınızda |
| Sunucu erişim kayıtları ve sistem yedekleri | 14 gün |
Süresi dolan veya işleme amacı ortadan kalkan veriler KVKK m.7 ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca silinir, yok edilir veya anonim hale getirilir. Silinen verilerin yedeklerdeki kopyaları en geç 14 gün içinde ortadan kalkar.
10. Hesabınızı ve Verilerinizi Silme
Personel hesabınızı uygulamanın içinden hemen silebilirsiniz; işletme sahipleri işletme hesabını kapatma talebi oluşturabilir. Adımlar, silinen ve yasal zorunluluk nedeniyle saklanan veriler Hesap Silme sayfasında açıklanmıştır. E-postayla talep için: destek@checkmasa.com.
11. Çocukların Verileri
CheckMasa işletmelere yönelik bir hizmettir ve 18 yaşından küçüklere yönelik değildir. 18 yaşından küçüklerin uygulamayı kullanması amaçlanmaz; bilerek çocuklardan kişisel veri toplamayız.
12. Veri Güvenliği
- Uygulama ile sunucu arasındaki tüm trafik HTTPS (TLS) ile şifrelenir.
- Şifre ve PIN’ler yalnızca geri döndürülemez özetleriyle (bcrypt) saklanır; iki adımlı doğrulama anahtarları şifrelenir.
- Her işletmenin verisi diğer işletmelerden ayrılmıştır; kullanıcılar rollerinin izin verdiği verilere erişir. Yönetici hesaplarında iki adımlı doğrulama desteklenir.
- Hatalı PIN denemeleri sınırlandırılır; pasife alınan veya silinen hesapların oturumları hemen geçersiz olur.
- Sunucular güvenlik duvarı arkasındadır, veritabanı internete kapalıdır; veriler her gün yedeklenir.
- Kişisel verilere erişim, hizmetin gerektirdiği çalışanlarla sınırlıdır.
13. KVKK m.11 Kapsamındaki Haklarınız ve Başvuru
KVKK’nın 11. maddesi uyarınca şirketimize başvurarak:
- kişisel verilerinizin işlenip işlenmediğini öğrenme,
- işlenmişse buna ilişkin bilgi talep etme,
- işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
- yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
- eksik veya yanlış işlenmişse düzeltilmesini isteme,
- KVKK m.7’deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
- 5. ve 6. maddeler uyarınca yapılan işlemlerin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
- kanuna aykırı işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme
haklarına sahipsiniz. Bir işletmenin müşterisiyseniz (bkz. Rol Ayrımı) talebinizi öncelikle ilgili işletmeye iletin.
Başvuru yolu
- E-posta: destek@checkmasa.com adresine “KVKK Başvurusu” konulu e-posta (mümkünse uygulamada kayıtlı e-posta adresinizden),
- Posta / elden: Alikahya Fatih Mah. Muhabbet Sk. No: 2 İç Kapı No: 14, 41310 İzmit / Kocaeli adresine ıslak imzalı dilekçe ile (elden veya iadeli taahhütlü posta).
Başvurunuzda adınızı soyadınızı, kullandığınız işletmeyi, iletişim bilginizi ve talebinizi belirtin. Kimliğinizi doğrulamak için ek bilgi isteyebiliriz. Başvurunuz, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu’nca belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, verilen cevabı yetersiz bulmanız veya süresinde cevap verilmemesi halinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz.
14. Değişiklikler
Bu politikayı mevzuat, uygulama özellikleri veya hizmet sağlayıcılarımızdaki değişikliklere göre güncelleyebiliriz. Güncel sürüm her zaman bu sayfada yayımlanır; önemli değişiklikleri uygulama içinde duyururuz.