Veri işleme sözleşmesi

Son güncelleme: 13 Ekim 2026

Bu sözleşme, Tepsico uygulamasını kullanan işletme ("Veri Sorumlusu") ile TANITEK EĞİTİM VE ROBOT TEKNOLOJİLERİ YAZILIM ELEKTRONİK TİCARET LİMİTED ŞİRKETİ ("Veri İşleyen") arasında, Veri Sorumlusu'nun uygulamaya girdiği kişisel verilerin işlenmesine ilişkindir ve abonelik sözleşmesinin ekidir.

1. Kapsam

İşlenen veri kategorileri: işletmenin müşterileri (ad, telefon, adres, sipariş geçmişi, cari bakiye, sadakat puanı, pazarlama izinleri), personeli (ad, rol, PIN özeti, vardiya ve satış kayıtları, kurye konumu yalnız teslimat süresince) ve rezervasyon bilgileri. Amaç: adisyon, sipariş, teslimat, rezervasyon, cari hesap, sadakat ve raporlama hizmetinin sunulması.

2. Talimat

Veri İşleyen, kişisel verileri yalnız Veri Sorumlusu'nun uygulama üzerinden ya da yazılı olarak verdiği talimatlarla ve hizmeti sunmak için işler; kendi amaçları için kullanmaz, satmaz.

3. Güvenlik

• Aktarımda şifreleme (TLS); parolalar ve PIN'ler geri döndürülemez özet olarak, entegrasyon anahtarları şifreli saklanır; işletmeler arası veri ayrımı; rol ve şube bazlı yetki; iki adımlı doğrulama seçeneği.
• Satış ve ödeme kayıtları değiştirilemez biçimde tutulur; yetkili işlemler kayıt altındadır.
• Personel gizlilik yükümlülüğü altındadır; erişim, görev gereğiyle sınırlıdır.
• Veriler her gece ayrı bir diske yedeklenir; yedekler şifreli tutulur ve geri yükleme düzenli olarak denenir.

4. Alt işleyenler

Veri İşleyen; barındırma, e-posta/SMS, ödeme ve yapay zekâ hizmetleri için alt işleyen kullanabilir. Güncel liste: barındırma ve yedekleme — Veri İşleyen'in kendi sunucuları (Türkiye); e-posta — Purelymail (ABD); yapay zekâ asistanı — OpenRouter, Inc. (ABD); abonelik ödemeleri — iyzico ya da PayTR (Türkiye, etkinleştirildiğinde); SMS — sağlayıcı seçildiğinde bu listeye eklenir. Yeni alt işleyen eklenmeden en az 15 gün önce Veri Sorumlusu'na e-posta ile bildirilir; Veri Sorumlusu bu sürede haklı gerekçeyle itiraz edebilir, itirazın giderilememesi hâlinde aboneliği bedel ödemeden sona erdirebilir. Veri İşleyen, alt işleyenlere bu sözleşmedekilerle aynı düzeyde yükümlülük yükler ve onların fiillerinden Veri Sorumlusu'na karşı sorumludur. ABD'deki alt işleyenlere aktarım KVKK m.9/4 uyarınca standart sözleşme ve Kurum'a bildirimle yapılır.

5. İlgili kişi başvuruları

Uygulama, Veri Sorumlusu'nun müşteri verisini dışa aktarmasına, düzeltmesine ve kişisel alanları anonimleştirmesine imkân verir. Vergi mevzuatı gereği saklanması zorunlu satış kayıtları silinmez; bunlardaki kişisel alanlar maskelenir.

6. Pazarlama izinleri

Ticari ileti için müşterinin açık rızası ve İYS onayı Veri Sorumlusu'nun sorumluluğundadır. Uygulama, onayı olmayan alıcıya ticari ileti göndermeyi engeller ve her iletiye ret bağlantısı ekler.

7. İhlal bildirimi

Veri İşleyen, bir veri ihlalini öğrendiğinde Veri Sorumlusu'na gecikmeksizin bildirir ve Kurul'a 72 saat içinde yapılacak bildirim için gereken bilgileri (etkilenen veri ve kişi sayısı, zaman, alınan önlemler) sağlar.

8. Sözleşme sonu

Abonelik sona erdiğinde Veri Sorumlusu verilerini dışa aktarabilir. Dışa aktarma için abonelik sona erdikten sonra 90 gün süre tanınır; bu süre sonunda kanuni saklama süresine tabi olmayan kişisel veriler en geç 30 gün içinde silinir ya da anonimleştirilir (yedeklerdeki kopyalar yedek döngüsüyle en geç 30 gün sonra kendiliğinden silinir). Kanuni süreye tabi kayıtlar süre sonunda ilk periyodik imhada yok edilir.

9. Denetim

Veri Sorumlusu, makul bildirimle bu sözleşmeye uyumu gösteren bilgi ve belgeleri talep edebilir; Veri İşleyen talebi 30 gün içinde yazılı olarak cevaplar. Kurul'un ya da yetkili makamların talepleri bakımından taraflar birbirine gecikmeksizin bilgi verir ve iş birliği yapar.

10. Gizlilik

Veri İşleyen ve çalışanları, sözleşme kapsamında öğrendikleri kişisel verileri sözleşme sona erdikten sonra da süresiz olarak gizli tutar ve KVKK m.12/4 uyarınca başkasına açıklamaz.