Kişisel Verilerin Korunması Aydınlatma Metni

1. Veri sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m. 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, kişisel verileriniz veri sorumlusu sıfatıyla aşağıda bilgileri bulunan şirketimiz tarafından bu metinde açıklanan kapsamda işlenir.

• Ticaret unvanı: SEDİLLA MAKARNA OTOMOTİV SAN. TİC. LTD. ŞTİ. (“Sedilla”)
• MERSİS numarası: 0758065263600001 · Vergi kimlik numarası: 7580652636
• Adres: Davutpaşa, Davutpaşa Cd. No:97C, 34220 Esenler/İstanbul
• Telefon: (0212) 562 61 62 · E-posta: info@sedillamakarna.com.tr

2. Kapsam

Bu metin; Sedilla Pass üyelerimizi, Sedilla Mobil uygulamasını kullananları, internet sitemizi (sedillamakarna.com.tr) ziyaret edenleri ve iletişim formu, “Bize yaz”, e-posta ya da telefonla bize ulaşanları kapsar. Mağazamızdaki alışverişlerin ödeme ve fatura işlemleri ile çalışanlarımızın kişisel verileri bu metnin konusu değildir.

3. İşlenen kişisel veriler

• Kimlik: ad, soyad; üyeliğinize verilen 8 karakterlik, değişmeyen okunur üye kodu.
• İletişim: cep telefonu numarası ve e-posta adresi.
• Müşteri işlem: Sedilla Puan bakiyeniz, toplam kazandığınız puan ve kullandığınız ödül sayısı; her puan hareketinin tarihi, türü (kazanma, ödül kullanımı, düzeltme), kaynağı (kasadaki QR kod ya da yöneticinin elle yaptığı işlem) ve işlemi yapan ya da QR kodu üreten personel; üyelik tarihi.
• Hukuki işlem: onayladığınız KVKK aydınlatma metni ve Sedilla Pass Katılım Koşulları sürümü ile onay zamanı; uygulama kullanım istatistiklerine verdiğiniz onay ya da ret, zamanı ve metin sürümü; hesap silme talebinizin tarihi.
• Pazarlama: kampanya e-postası onayınız ya da reddiniz, zamanı, verildiği yer (kayıt formu ya da Hesabım sekmesi) ve onay metninin sürümü; yalnızca onay verdiyseniz e-posta adresiniz bu amaçla kullanılır.
• Cihaz: bildirimlere izin verdiyseniz cihazınızın bildirim anahtarı (push token); üyelik başına en yeni 5 cihazın anahtarı tutulur.
• Talep ve şikâyet: iletişim formunda adınız, e-posta adresiniz, isteğe bağlı telefon numaranız, konu ve mesajınız; uygulamadaki “Bize yaz” formunda konu ve mesajınız (ad, e-posta, telefon ve üye kodunuz üyelikten eklenir); e-posta ya da telefonla ilettiğiniz talepler.
• Görsel: “Bize yaz” ile kendi isteğinizle eklediğiniz ekran görüntüsü; konum gibi dosya üst verileri silinerek saklanır.
• Site kullanımı: internet sitemizde hangi sayfaların görüntülendiği, cihaz ve tarayıcı türü, yaklaşık konum (ülke/şehir) gibi istatistikler; Google Analytics 4 ile toplanır. Çerez ve sizi ayırt eden kimlik yalnızca çerez onayınızla kullanılır.
• Uygulama kullanımı: yalnızca Sedilla Mobil’de kullanım istatistiklerine açık rıza verdiyseniz; hangi ekranların açıldığı ve uygulamadaki belirli işlemlerin (ör. QR okutmanın sonuçlanması ya da hata türü, üye kodunun gösterilmesi, menü filtresinin kullanılması, “Bize yaz” konusunun seçilmesi) sayıları, cihaz ve işletim sistemi türü, uygulama sürümü, yaklaşık konum (ülke/şehir); Google Analytics for Firebase ile toplanır. Reklam kimliği (IDFA, Android reklam kimliği) toplanmaz; adınız, telefon numaranız, e-posta adresiniz, üye kodunuz ve üyelik kimliğiniz bu verilere eklenmez, Google’a gönderilmez.
• İşlem güvenliği: giriş için e-postanıza gönderilen tek kullanımlık kod ve oturum anahtarları (yalnızca geri döndürülemez özetleri), istek sınırlarını uygulamak için IP adresi ve hata ile işlem kayıtları (kötüye kullanımı önlemek için kısa süreli).

Özel nitelikli kişisel veri (ör. sağlık, din, biyometrik veri) işlemeyiz. Menüdeki alerjen bilgisi ürünlerimize aittir; alerjinizi bize bildirmeniz gerekmez. Mesajlarınıza ve ekran görüntülerinize özel nitelikli kişisel veri ya da başkasına ait kişisel veri eklememenizi rica ederiz.

Uygulama, kasadaki QR kodu okutmak için kameranızı kullanır; kamera görüntüsü cihazınızda işlenir, bize gönderilmez ve saklanmaz. Uygulama cihazınızın konum servisini kullanmaz ve konum verinizi toplamaz; kullanım istatistiklerindeki yaklaşık ülke ve şehir bilgisini Google, bağlantının IP adresinden çıkarır.

4. İşleme amaçları ve hukuki sebepler

• Sedilla Pass üyeliği: üyeliğin kurulması, hesabınıza giriş, Sedilla Puan ve ödüllerin tutulması, kasada üyeliğinizin bulunması ve ödülün kullandırılması, puan geçmişinizin gösterilmesi (kimlik, iletişim, müşteri işlem, hukuki işlem): bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması (KVKK m. 5/2-c).
• Üyelik iletileri: giriş ve doğrulama kodlarının e-postayla gönderilmesi; bildirime izin verdiyseniz puan, ödül ve düzeltme bildirimleri (iletişim, cihaz, müşteri işlem): sözleşmenin ifası (m. 5/2-c). Bu iletiler reklam içermez.
• Kampanya e-postaları: kampanya, indirim ve yeni ürün duyurularının e-postayla gönderilmesi (iletişim, pazarlama): yalnızca kayıt sırasında ya da Hesabım sekmesinde ayrıca verdiğiniz açık rıza (m. 5/1) ve 6563 sayılı Kanun kapsamındaki ticari elektronik ileti onayınız ile. Onay vermemeniz üyeliğinizi etkilemez.
• Kampanya bildirimleri: cihazınızda Sedilla bildirimlerine izin verdiyseniz kampanya ve duyuruların uygulama bildirimi olarak gönderilmesi (cihaz): meşru menfaat (m. 5/2-f). Bildirim iznini dilediğiniz an telefonunuzun ayarlarından kapatabilirsiniz.
• Taleplerin yanıtlanması: iletişim formu, “Bize yaz”, e-posta ve telefonla ilettiğiniz talep ve şikâyetlerin incelenmesi ve yanıtlanması (kimlik, iletişim, talep ve şikâyet, görsel): meşru menfaat (m. 5/2-f); üyeliğinizle ilgili taleplerde sözleşmenin ifası (m. 5/2-c).
• Site istatistikleri: internet sitemizin nasıl kullanıldığının ölçülmesi ve iyileştirilmesi (Google Analytics 4; site kullanımı): yalnızca çerez onayınızla, açık rıza (m. 5/1). Onay vermezseniz Google Analytics çerez yazmaz ve sizi ayırt eden bir kimlik tutmaz; yalnızca çerezsiz ve kimliksiz ölçüm sinyalleri (ör. bir sayfanın görüntülendiği) Google’a gider ve Google bunları toplu modelleme için kullanabilir. Reklam izinleri her durumda kapalıdır; site aynı şekilde çalışır.
• Uygulama istatistikleri: Sedilla Mobil’in nasıl kullanıldığının ölçülmesi ve uygulamanın geliştirilmesi (Google Analytics for Firebase; uygulama kullanımı): yalnızca uygulamada ayrıca verdiğiniz açık rıza (m. 5/1). Uygulama girişten sonra bir kez sorar; onay vermezseniz uygulama hiçbir kullanım verisi göndermez ve aynı şekilde çalışır. Onayınızı dilediğiniz an Hesabım sekmesindeki “Kullanım istatistikleri” anahtarından geri çekebilirsiniz. Reklam izinleri (reklam depolama, reklam için kullanıcı verisi, kişiselleştirilmiş reklam) her durumda kapalıdır.
• Güvenlik ve kötüye kullanımın önlenmesi: tek kullanımlık kodlar, oturumların yönetimi, istek sınırları, sahte kayıtların ve QR kodların kötüye kullanılmasının önlenmesi, hata kayıtları (işlem güvenliği): veri güvenliğini sağlama yükümlülüğü (KVKK m. 12; m. 5/2-ç) ve meşru menfaat (m. 5/2-f).
• İspat ve hukuki süreçler: onay ve ret kayıtlarının saklanması, uyuşmazlıklarda delil olarak kullanılması: hukuki yükümlülük (m. 5/2-ç) ve bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (m. 5/2-e).
• Yetkili mercilerin talepleri: mahkeme, savcılık ve diğer yetkili kamu kurumlarının kanuna dayalı taleplerinin karşılanması: kanunlarda açıkça öngörülmesi (m. 5/2-a) ve hukuki yükümlülük (m. 5/2-ç).

5. Toplama yöntemi

• Sedilla Mobil uygulamasındaki üyelik formu ve Hesabım sekmesi aracılığıyla doğrudan sizden,
• mağazamızda kasa ekranındaki QR kodu okuttuğunuzda ya da kasada üye QR’ınızı veya üye kodunuzu gösterdiğinizde kasa sistemi aracılığıyla,
• internet sitemizdeki iletişim formu, uygulamadaki “Bize yaz” formu, e-posta ve telefon aracılığıyla,
• Sedilla Mobil’de kullanım istatistiklerine onay verdiyseniz uygulamadan (Google Analytics for Firebase ile),
• internet sitemizi ziyaretinizde tarayıcınızdan (çerez onayınıza bağlı olarak Google Analytics 4 ile) ve uygulama ile sunucularımızın otomatik kayıtlarıyla

tamamen veya kısmen otomatik yollarla elektronik ortamda, telefonla ulaştığınızda sözlü olarak toplanır.

6. Kişisel verilerin aktarılması

Kişisel verileriniz satılmaz, kiralanmaz ve üçüncü kişilerin pazarlama faaliyetleri için paylaşılmaz. Verileriniz yalnızca aşağıdaki hizmet sağlayıcılara, hizmeti sunmak için gerektiği kadarıyla aktarılır:

• Barındırma: internet sitemiz, üyelik veritabanımız, görsel depomuz ve yedeklerimiz Türkiye’deki bir veri merkezinde kiraladığımız sanal sunucuda, kendi yönetimimizdeki yazılımlarla çalışır.
• E-posta gönderimi: giriş ve doğrulama kodları ile iletişim formu ve “Bize yaz” mesajları Amazon Web Services (Amazon SES) üzerinden iletilir.
• Kurumsal e-posta: iletişim formu ve “Bize yaz” mesajlarının ulaştığı ve size yanıt verdiğimiz e-posta kutumuz Google LLC (Google Workspace) hizmetlerindedir.
• Site istatistikleri: çerez onayı verdiyseniz site kullanım istatistikleri Google LLC (Google Analytics 4, Google Tag Manager) tarafından işlenir.
• Uygulama istatistikleri: uygulamada onay verdiyseniz uygulama kullanım istatistikleri Google LLC (Google Analytics for Firebase) tarafından işlenir; adınız, iletişim bilgileriniz ve üyelik kimliğiniz aktarılmaz.
• Uygulama bildirimleri: bildirim anahtarınız ve bildirim içeriği Expo (650 Industries, Inc.), Apple Inc. (Apple Push Notification service) ve Google LLC (Firebase Cloud Messaging) bildirim servisleri üzerinden iletilir.
• Yetkili kurumlar: kanunen zorunlu hâllerde, talep ettikleri ölçüde yetkili kamu kurum ve kuruluşlarına ve yargı mercilerine.

Mağazamızdaki kasiyerlerimiz kasa işlemi için gereken üyelik bilgilerinize, yöneticilerimiz üyelik yönetimi için üyelik bilgilerinin tamamına erişebilir; üye listesinin dışa aktarılması ve üyeliğin silinmesi yalnızca yöneticidedir. Bu erişim şirket içidir, üçüncü kişiye aktarım değildir.

7. Yurt dışına aktarım

Amazon SES, Google Workspace, Google Analytics 4, Google Analytics for Firebase, Google Tag Manager, Expo, Apple ve Google bildirim servislerinin sunucuları yurt dışında bulunabildiğinden, bu hizmetlerin kullanımı kişisel verilerin yurt dışına aktarılması sonucunu doğurur. Bu aktarımlar KVKK m. 9 uyarınca, Kişisel Verileri Koruma Kurulu’nca ilan edilen standart sözleşmeler ile gerekli teknik ve idari tedbirler alınarak yapılır.

8. Saklama süreleri ve imha

• Sedilla Pass üyeliği: üyelik devam ettiği sürece; puan ve ödül geçmişi üyelikle birlikte silinir. Hesabınızı sildiğinizde üyeliğiniz 30 gün dondurulur; bu sürede yeniden giriş yaparak hesabınızı puanlarınızla birlikte geri açabilirsiniz. Dondurulmuş üyelik puan kazanamaz; size bildirim ve kampanya e-postası gönderilmez. 30 günün sonunda üyeliğiniz ve puan geçmişiniz kalıcı olarak silinir.
• Hareketsiz üyelik: 24 ay boyunca hiçbir işlem görmeyen üyelikler otomatik olarak silinir.
• Kampanya e-postası onayı: onayınızı geri çektiğinizde e-postanız artık bu amaçla kullanılmaz; onay ve ret kayıtları, ispat yükümlülüğü nedeniyle onayın sona ermesinden (geri çekilmesinden ya da üyeliğin silinmesinden) itibaren 1 yıl saklanır.
• Oturum ve giriş kodları: uygulama oturumu 60 gün kullanılmazsa, her durumda en geç 1 yıl sonra sona erer ve kaydı silinir. Giriş kodları 5 dakika geçerlidir ve süresi dolunca silinir.
• Bildirim anahtarı: uygulamadan çıkış yaptığınızda, hesabınızı sildiğinizde ya da uygulama kaldırıldığı için anahtar geçersiz olduğunda silinir.
• Güvenlik ve teknik kayıtlar: güvenlik amaçlı istek kayıtları (IP adresi) en fazla 1 gün, IP adresi içermeyen teknik istek ve hata kayıtları 30 gün saklanır.
• Talepler: iletişim formu ve “Bize yaz” mesajları, talep yanıtlandıktan sonra en geç 1 yıl içinde silinir.
• Ekran görüntüleri: “Bize yaz” ile gönderdiğiniz ekran görüntüleri gönderimden 1 yıl sonra otomatik olarak silinir.
• Site istatistikleri: Google Analytics 4 ölçüm verileri Google’da en fazla 14 ay saklanır; çerez onayınızı dilediğiniz an sitenin alt bilgisindeki “Çerez tercihleri” bağlantısından geri çekebilirsiniz.
• Uygulama istatistikleri: Google Analytics for Firebase ölçüm verileri Google’da en fazla 14 ay saklanır. Onayınızı Hesabım sekmesindeki “Kullanım istatistikleri” anahtarından geri çektiğinizde uygulama veri göndermeyi bırakır ve cihazınızdaki istatistik kimliği sıfırlanır. Onay ya da ret kaydınız üyeliğinizle birlikte saklanır ve üyelikle silinir.
• Yedekler: sunucumuzun günlük yedekleri 14 gün saklanır; silinen veriler bu sürenin sonunda yedeklerden de kalkar.

Saklama süresi dolan veriler sunucumuzdaki otomatik bakım işleriyle saatlik ya da günlük olarak silinir. Kanunen daha uzun süre saklanması gereken ya da bir uyuşmazlıkta delil olarak gereken veriler, yalnızca bu amaçla ve gerektiği süre boyunca saklanır.

9. Veri güvenliği

KVKK m. 12 uyarınca kişisel verilerinizin hukuka aykırı işlenmesini ve erişilmesini önlemek için başlıca şu tedbirleri alırız:

• Site, uygulama ve sunucu arasındaki bütün bağlantılar HTTPS ile şifrelenir.
• Giriş kodları ve oturum anahtarları veritabanında yalnızca geri döndürülemez özet (hash) olarak saklanır; giriş kodu 5 dakika geçerlidir ve en fazla 5 kez denenebilir.
• Kod isteklerine, giriş denemelerine ve formlara istek sınırları uygulanır; tekrarlanan hatalı denemeler otomatik engellenir.
• Personel yetkileri role göre sınırlıdır (kasiyer, yönetici); personel girişi e-posta koduyla yapılır ve oturumu her gece kendiliğinden kapanır. Puan hareketleri işlemi yapan personelle birlikte kaydedilir.
• Uygulamadaki oturum anahtarlarınız cihazınızın güvenli deposunda (iOS Anahtar Zinciri, Android Keystore) tutulur.
• Ekran görüntüleri sunucuda yeniden işlenir; konum gibi dosya üst verileri silinir.
• Veritabanı ve görsel deposu her gün yedeklenir.

Kişisel verilerinizin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde, KVKK m. 12/5 uyarınca bu durumu en kısa sürede size ve Kişisel Verileri Koruma Kurulu’na bildiririz.

10. Çocukların kişisel verileri

Sedilla Pass 13 yaş ve üzeri kullanıcılar içindir; 18 yaşından küçükler velisinin veya vasisinin onayıyla üye olabilir. 13 yaşından küçük olduğu anlaşılan kişilerin üyelikleri silinir. Veli veya vasi, çocuğun kişisel verileriyle ilgili haklarını bu metindeki başvuru yollarıyla kullanabilir.

11. KVKK m. 11 kapsamındaki haklarınız

Veri sahibi olarak, kişisel verilerinizle ilgili olarak:

• a) işlenip işlenmediğini öğrenme,
• b) işlenmişse buna ilişkin bilgi talep etme,
• c) işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• ç) yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• d) eksik veya yanlış işlenmişse düzeltilmesini isteme,
• e) KVKK m. 7’deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• f) (d) ve (e) bentlerindeki işlemlerin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• g) münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• ğ) kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz. Açık rızaya dayanan işlemler için verdiğiniz rızayı dilediğiniz an geri alabilirsiniz; geri alma, o ana kadar yapılan işlemeyi etkilemez.

12. Başvuru yolları

Sedilla Pass üyeliğinizi ve tüm verilerinizi dilediğiniz an Sedilla Mobil uygulamasındaki Hesabım sekmesinden, “Hesabımı sil” düğmesiyle kendiniz silebilirsiniz: üyeliğiniz 30 gün dondurulur, sonra kalıcı olarak silinir. Hemen silinmesini isterseniz aşağıdaki yollardan başvurabilirsiniz. Ad, soyad, telefon numarası, e-posta adresi, kampanya e-postası ve kullanım istatistikleri tercihinizi Hesabım sekmesinden değiştirebilir, puan geçmişinizi uygulamada görebilirsiniz.

KVKK m. 11 kapsamındaki diğer talepleriniz için, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca başvurunuzu Türkçe ve yazılı olarak şu yollardan iletebilirsiniz:

• ıslak imzalı dilekçeyle Davutpaşa, Davutpaşa Cd. No:97C, 34220 Esenler/İstanbul adresine elden, iadeli taahhütlü posta ya da noter aracılığıyla,
• güvenli elektronik imza ya da mobil imza ile imzalayarak info@sedillamakarna.com.tr adresine e-postayla,
• Sedilla Pass üyeliğinizde kayıtlı e-posta adresinizden info@sedillamakarna.com.tr adresine e-postayla.

Başvuruda adınız ve soyadınız, yazılı başvuruda imzanız, Türk vatandaşıysanız T.C. kimlik numaranız, değilseniz uyruğunuz ile pasaport ya da kimlik numaranız, tebligata esas yerleşim yeri veya iş yeri adresiniz, varsa bildirime esas e-posta adresiniz, telefon numaranız ve talebinizin konusu bulunmalıdır. Kimliğinizi doğrulayamazsak ek bilgi isteyebiliriz. (0212) 562 61 62 numarasından bilgi alabilirsiniz; KVKK kapsamındaki başvurular ise yukarıdaki yollardan yapılır.

13. Başvurunun sonuçlandırılması

Başvurunuz, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu’nca belirlenen tarifedeki ücret alınabilir. Talebinizi kabul eder ya da gerekçesini açıklayarak reddeder, cevabımızı yazılı olarak ya da elektronik ortamda iletiriz.

Başvurunuzun reddedilmesi, verilen cevabı yetersiz bulmanız veya süresinde cevap verilmemesi hâlinde, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz (KVKK m. 14).

14. Metindeki değişiklikler

Bu metni, işleme faaliyetlerimiz ya da mevzuat değiştiğinde güncelleriz; güncel sürüm her zaman bu sayfada, güncelleme tarihiyle birlikte yayımlanır. Metin değiştiğinde Sedilla Pass üyeleri uygulamada güncel metni görür ve okuduklarını onaylar.