Gizlilik ve KVKK aydınlatma metni

Özet

İşlenen veriler

Müşteri hesaplarında ad soyad, giriş yöntemine göre telefon numarası veya e-posta adresi, seçilen şehir, sipariş ve ödeme kayıtları, favori işletmeler, destek yazışmaları ve bildirim izni verilmişse cihazın bildirim adresi işlenir. İşletme ve yönetim hesaplarında ayrıca giriş e-posta adresi işlenir.

Konum verisi

Yalnızca izin verilmesi hâlinde işlenir. Cihazın o anki konumu, yakındaki işletmelerin listelenmesi ve sipariş sırasında mesafe sınırının denetlenmesi amacıyla sunucuya iletilir; sipariş kaydına yazılmaz ve konum geçmişi tutulmaz. İzin verilmediğinde ilçe elle seçilebilir. Ayrıntılar Konum verisi bölümündedir.

Kart bilgisi

Kart numarası, son kullanma tarihi ve güvenlik kodu, yalnızca ödemenin alınması amacıyla şifreli bağlantı üzerinden lisanslı ödeme ve elektronik para kuruluşu iyzico'ya iletilir. Şirket bu bilgileri hiçbir veritabanına, kayda (log) veya dosyaya yazmaz ve saklamaz. Kartın kaydedilmesi tercih edilirse kart iyzico nezdinde saklanır; Şirket yalnızca kart numarası içermeyen kayıtlı kart anahtarını tutar.

Reklam ve izleme

Reklam kimliği toplanmaz. bahtal.com'da üçüncü taraf reklam veya analitik betiği çalıştırılmaz.

Yapay zekâ

Destek asistanı, yorum denetimi, güvenlik denetimi, işletme başvuru belgelerinin ön kontrolü, sosyal medya yanıtları ve telefon görüşmelerinde yapay zekâ hizmetlerinden yararlanılır. Yapay zekânın önerileri, Yapay zekâ ile işlenen veriler bölümünde açıkça belirtilen güvenlik istisnası dışında, insan onayı olmaksızın ilgili kişi aleyhine uygulanmaz.

Teslim kodu

Ayrı bir tabloda tutulur ve yalnızca siparişin sahibi tarafından görüntülenebilir. İşletme ve platform yönetimi kodu göremez; yalnızca doğrulatabilir.

Hesabın silinmesi

Uygulama içinden Profil > Hesabımı sil yoluyla, ayrıca bir başvuruya gerek olmaksızın yapılabilir.

Veri sorumlusunun kimliği#

İşbu aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, veri sorumlusu sıfatıyla ESERA Teknoloji ve Ticaret Limited Şirketi ("Şirket") tarafından, Bahtal mobil uygulamaları, bunların web sürümleri ve bahtal.com (birlikte "Platform") kapsamında hazırlanmıştır.

• Ticaret unvanı: ESERA TEKNOLOJİ VE TİCARET LİMİTED ŞİRKETİ
• Tebligat adresi: Altıntepe Mah. İstasyon Yolu Sk. No:3 İç Kapı No:1, Maltepe / İstanbul 34840
• Vergi dairesi ve numarası: Küçükyalı Vergi Dairesi / 3790919958
• MERSİS numarası: 0379091995800001
• KEP adresi bulunmamaktadır.
• VERBİS kaydı: Şirket, Kişisel Verileri Koruma Kurulu ("Kurul") kararlarıyla belirlenen kayıt yükümlülüğü eşiklerinin (yıllık çalışan sayısının 50'den veya yıllık mali bilanço toplamının 100 milyon TL'den fazla olması ya da ana faaliyet konusunun özel nitelikli kişisel veri işlemek olması) altında kaldığından VERBİS'e kayıt yükümlülüğü bulunmamaktadır. Eşiklerden birinin aşılması hâlinde kayıt, mevzuatta öngörülen süre içinde yapılır.
• E-posta: [email protected]

İşlenen kişisel veriler#

Platformda üç kullanıcı grubu bulunur: sipariş veren müşteri, paketi hazırlayan işletme ve platform yönetimi. Her grup için işlenen kişisel veriler aşağıda ayrı ayrı gösterilmiştir.

Müşteri hesapları

İşletme yetkilileri, personel ve başvuru sahipleri

• Başvuru formu (bahtal.com'daki form veya Bahtal Partner uygulamasındaki başvuru): işletme adı, işletme türü, il ve ilçe, açık adres, yetkili adı soyadı, telefon numarası, e-posta adresi, vergi numarası, işletmenin konumu (enlem ve boylam; zorunlu alan olup haritada işaretlenir ya da Partner uygulamasında cihazın konumundan alınır), günlük tahmini paket sayısı, serbest not alanı ile yüklenen vergi levhası ve imza sirküleri.
• Onaylanan işletme kaydı: açık adres, başvuruda işaretlenen konum, iletişim telefonu, vergi numarası, kapak görseli; fatura bilgileri (ticaret unvanı, yetkili adı, vergi dairesi, MERSİS ve ticaret sicil numarası, tebligat adresi, e-posta adresi), IBAN ve IBAN sahibinin adı; sipariş başına komisyon ve hakediş kayıtları. Müşteriye gösterilen mesafe bu konumdan hesaplanır.
• Personel: işletmeye bağlanan kullanıcı hesapları, giriş e-posta adresleri ve rolleri (sahip / personel); teslim ve "gelmedi" işlemlerinin hangi kullanıcı tarafından yapıldığı (denetim izi).
• Bildirim adresi: bildirim izni veren işletme kullanıcılarının cihazlarına, işletmeye yeni sipariş geldiğinde ve bir sipariş iptal edildiğinde bildirim gönderilir.
• Eski kodsuz teslim kayıtları: teslim 18 Ekim 2026'dan itibaren yalnızca teslim koduyla yapılmaktadır. Bu tarihten önce kod girilmeden yapılmış teslimlere ilişkin, teslimi yapan personelin yazdığı gerekçe metni denetim izi olarak saklanır.
• Vergi numarası: şahıs işletmelerinde bu alana T.C. kimlik numarası girilebilir; bu durumda veri, sözleşmenin kurulması ve vergi mevzuatından doğan yükümlülüklerin yerine getirilmesi kapsamında işlenir.

bahtal.com ziyaretçileri

bahtal.com'da oturum açma bulunmaz. İşletme başvuru formunun doldurulması hâlinde yukarıdaki başvuru alanları işlenir; bu durumda siteye gelinen bağlantıdaki kampanya etiketleri (utm parametreleri) başvuruyla birlikte kaydedilir. Sitede üçüncü taraf analitik veya reklam betiği çalıştırılmaz. Barındırma sağlayıcısı Cloudflare'in kendi altyapısında tuttuğu sunucu erişim kayıtları Şirket'in erişimi dışındadır ve Cloudflare'in saklama politikasına tabidir.

Bununla birlikte sayfalar, işlevsel amaçlarla aşağıdaki dış kaynaklara istek gönderir:

• Yazı tipleri. Sitenin yazı tipleri Google Fonts sunucularından (Google LLC) yüklenir; bu istekle tarayıcının IP adresi Google'a ulaşır.
• Kaydırma hareketi kütüphanesi. Hukuki metin sayfaları dâhil bazı sayfalardaki kaydırma animasyonlarını sağlayan açık kaynaklı kütüphane (GSAP) cdn.jsdelivr.net içerik dağıtım ağından yüklenir; bu istekle tarayıcının IP adresi ve sürüm bilgisi o ağa ulaşır. Kütüphane veri toplamaz, çerez yazmaz ve izleme yapmaz. Cihazda "hareketi azalt" ayarı açıksa yüklenmez.
• Konum haritaları (işletme başvuru sayfası ve uygulamadaki işletme sayfası). Harita görüntüleri ve adres araması Google Haritalar servislerinden (Google LLC) yüklenir; Google'a ulaşılamazsa OpenStreetMap sunucularına ve Nominatim adres arama servisine geri dönülür. Bu isteklerle cihazın IP adresi ve yalnızca "Adresten bul" işlemi kullanıldığında yazılan adres metni ilgili servise ulaşır. Tarayıcının sorduğu konum izni yalnızca haritayı bulunulan yere ortalamak içindir; sunucuya iletilen koordinat, haritada işaretlenen iğnenin koordinatıdır.

Yapay zekâ ile işlenen veriler

Aşağıdaki işlerde Amazon Web Services'in Amazon Bedrock hizmetindeki dil modellerinden yararlanılır; istekler Avrupa Birliği bölgesindeki sunuculara gönderilir. Sosyal medya ve telefon kanallarında kullanılan yapay zekâ hizmetleri ilgili bölümlerde ayrıca gösterilmiştir.

• Destek asistanı. Kullanıma açık olduğunda Destek ekranından ve sipariş sayfasından erişilir. Asistana yazılan mesajlar ile asistanın cevap verebilmek için kullanıcının kendi yetkisiyle okuduğu sipariş bilgileri (paket adı, adet, tutar, ödeme yöntemi ve durumu, alım saati, sipariş ve itiraz durumu, işletmenin adı ve adresi) modele gönderilir. Ad, telefon numarası, teslim kodu ve kart bilgisi modele ayrıca gönderilmez. Asistan karar vermez ve siparişe veya ödemeye müdahale etmez; iptal, itiraz veya ekibe aktarma yalnızca öneri olarak sunulur ve kullanıcının onayıyla Platformun olağan işlemleri üzerinden yapılır.
• Yorum denetimi. Yeni yazılan ve şikâyet edilen yorumlar hakaret, tehdit, kişisel bilgi paylaşımı veya spam bakımından değerlendirilir. Modele yalnızca yorum metni, puan, işletmenin türü ve varsa şikâyet nedenleri gönderilir; yorumu yazanın veya şikâyet edenin kimliği gönderilmez. Model yüksek güvenle uygunsuz bulursa yorum gizlenir; diğer durumlarda karar platform yönetimince verilir. Olumsuz ancak dürüst bir yorum bu yolla gizlenmez.
• Güvenlik denetimi. İşlem kayıt defterinden saatte bir çıkarılan özet (sipariş, ödeme ve hata sayıları gibi) değerlendirilir. Özette ad, telefon numarası, e-posta adresi, kart bilgisi ve teslim kodu bulunmaz; hesaplar yalnızca rastgele hesap kimliğiyle anılır. Özetin kısa sürede çok sayıda iptal veya sipariş gibi açık bir kötüye kullanım göstermesi ve bu durumun sunucuda verilerle de doğrulanması hâlinde, ilgili hesabın sipariş vermesi platform yönetiminin onayıyla ya da yönetimden 10 dakika içinde cevap alınamazsa kendiliğinden durdurulabilir. Bu karar platform yönetimince geri alınabilir ve ilgili kişi KVKK'nın 11. maddesi uyarınca bu sonuca itiraz edebilir.
• İşletme başvuru belgeleri. Başvuruda yüklenen vergi levhası ve imza sirküleri, başvuru bilgileriyle karşılaştırılmak üzere bir dil modeli tarafından okunur. Model başvuruyu onaylamaz veya reddetmez; karar platform yönetimince verilir.
• Sosyal medya yorumlarına yanıt önerisi. Bkz. Sosyal medya ve mesajlaşma kanalları.

Telefon görüşmeleri

Şirket'in 0850 346 81 79 numaralı hattına gelen aramalar ile görüşme talep eden işletme adaylarına yapılan aramalar, ElevenLabs Inc. altyapısında çalışan yapay zekâ destekli sesli asistanlar tarafından yürütülebilir. Görüşmenin başında görüşmenin kayıt altına alındığı bildirilir. Asistan, sorulması hâlinde yapay zekâ olduğunu açıkça belirtir ve hiçbir koşulda insan olduğunu beyan etmez.

• İşlenen veriler: arayan veya aranan telefon numarası, görüşmenin ses kaydı ve yazılı dökümü, görüşme özeti ile görüşmede beyan edilen bilgiler (işletme adı, uygun arama zamanı gibi).
• Arama ilkesi: talep edilmemiş arama yapılmaz. Yalnızca görüşme talep eden, daha sonra aranmak isteyen veya platform yönetimince seçilen adaylar; hafta içi 10.00–19.00 saatleri arasında ya da kişinin belirttiği saatte, her durumda 09.00–21.00 aralığında aranır.
• Hizmet sağlayıcılar: sesli asistan, kayıt ve döküm ElevenLabs Inc. (ABD); asistanın kullandığı dil modelleri, ElevenLabs'in alt işleyeni sıfatıyla OpenAI ve Google (ABD); telefon hattı Netgsm (Türkiye).
• Saklama: ses kaydı ve döküm Şirket sistemlerinde 90 gün, ElevenLabs nezdinde 10 gün saklanır. Görüşme özeti ve telefon numarası, görüşmenin bağlı olduğu aday kaydının saklama süresine tabidir.

Sosyal medya ve mesajlaşma kanalları

İlgili kişinin Bahtal'ın Facebook sayfasına Messenger üzerinden, @bahtalapp Instagram hesabına Instagram Direct üzerinden veya WhatsApp hattına mesaj göndermesi, Bahtal'ın gönderilerine yorum yazması ya da Facebook ve Instagram'daki potansiyel müşteri formlarını doldurması hâlinde, Meta Platforms Ireland Ltd. tarafından veri sorumlusuna şu kişisel veriler iletilir: Meta'nın ilgili kanalda atadığı kullanıcı kimliği, görünen ad, mesaj veya yorum metni ve formda beyan edilen bilgiler (ad soyad, telefon numarası, işletme adı, il ve ilçe gibi). WhatsApp kanalında bunlara telefon numarası da eklenir. [email protected] adresine gönderilen e-postalar da aynı amaçlarla işlenir.

• Mesajlar. İlk mesaja, önceden hazırlanmış metinler arasından seçilen otomatik bir yanıt gönderilir. İzlenecek adıma ilişkin öneri bir karar modeli (TypeSafe) tarafından üretilir; bu modele ad, telefon numarası ve e-posta adresi aktarılmaz. İlgili kişinin telefon görüşmesi talep etmesi hâlinde bildirdiği telefon numarası ve uygun zaman, görüşmenin planlanması amacıyla kaydedilir. Yazışma, yalnızca yetkili personelin erişebildiği müşteri ilişkileri yönetimi sisteminde aday kaydı olarak tutulur.
• Yorumlar. Bahtal'ın kendi gönderilerine yazılan yorumlara sayfa adına kısa bir yanıt verilir; bilgi talep eden yorum sahibine bir defaya mahsus özel mesaj gönderilir. Yanıt önerileri, yalnızca yorum metni kullanılarak Amazon Web Services'in Amazon Bedrock hizmetindeki bir dil modeli tarafından Avrupa Birliği bölgesinde üretilir; önceden belirlenmiş kurallara uymayan öneri gönderilmez. Yorum metni ve yorum sahibinin adı saklanmaz; aynı yoruma mükerrer yanıt verilmesini önlemek amacıyla yorum sahibinin kimliğinden geri döndürülemez biçimde türetilmiş özet değer tutulur.
• Potansiyel müşteri formları. Formda beyan edilen bilgiler Meta'dan alınır ve ilgili kişiyle iletişime geçilmesi amacıyla müşteri ilişkileri yönetimi sisteminde aday kaydı oluşturulur. Formda ticari elektronik ileti onayı verilmişse onay kaydı ayrıca tutulur.

İlgili kişi, bu kanallar aracılığıyla elde edilen kişisel verilerinin silinmesini [email protected] adresine yazılı olarak talep edebilir; talep en geç otuz gün içinde sonuçlandırılır. Meta'nın kendi sistemlerinde tuttuğu yazışma ve yorumlar Meta'nın gizlilik politikasına tabidir ve ilgili kişi tarafından Facebook, Instagram veya WhatsApp üzerinden silinebilir.

İşlenmeyen veriler

Aşağıdaki veriler işlenmemektedir:

• Konum geçmişi ve arka planda konum takibi. Konum yalnızca uygulama açıkken ve izin verilmişse okunur (bkz. Konum verisi); konum geçmişi kaydedilmez, arka planda takip yapılmaz.
• Kart numarası, son kullanma tarihi ve güvenlik kodu. Ödeme anında yalnızca iyzico'ya iletilmek üzere Şirket sunucusundan geçer ve hiçbir yere kaydedilmez; kaydedilen kart iyzico nezdinde saklanır. Müşterilerden T.C. kimlik numarası alınmaz.
• Reklam kimliği, uygulamalar arası izleme ve üçüncü taraf analitik.
• Rehber, uygulama içi ses kaydı ve kamera görüntüsü. Hiçbir uygulama rehbere erişmez ve ses kaydetmez; mikrofon hiçbir uygulamada kullanılmaz ve mikrofon izni istenmez. Telefon hattında yapılan görüşmeler bu kapsamın dışındadır (bkz. Telefon görüşmeleri). Kamera yalnızca işletme uygulamasında ve yalnızca teslim QR kodunun okutulması sırasında açılır; görüntü kaydedilmez, saklanmaz ve sunucuya gönderilmez, kameradan yalnızca çözülen teslim kodu elde edilir. Müşteri uygulaması kamerayı kullanmaz ve teslim kodu her platformda elle girilebilir. Galeri erişimi yalnızca işletme uygulamasında ve yalnızca mağaza kapak görseli seçilirken istenir.
• Özel nitelikli kişisel veri. Sağlık, din, dernek üyeliği gibi veriler işlenmez. Vejetaryen veya vegan gibi etiketler pakete aittir; kullanıcı profiline diyet veya alerji bilgisi yazılmaz. Serbest metin alanlarına (destek asistanı, öneri ve sorun bildirimi, yorum, itiraz notu, sosyal medya mesajları) bu tür bilgi yazılmaması gerekir; yazılan metin olduğu gibi kaydedilir.

Kişisel verilerin işlenme amaçları#

Kişisel veriler aşağıdaki amaçlarla işlenir:

• Üyeliğin oluşturulması, kimliğin doğrulanması ve hesabın yönetilmesi
• Siparişin alınması, paketin ilgili kişi adına ayrılması, teslim kodunun üretilmesi ve teslimin doğrulanması
• Yakındaki işletmelerin listelenmesi ve sipariş sırasında işletmeye olan kuş uçuşu mesafenin sınır içinde kaldığının denetlenmesi
• İşletmeye siparişte görünecek adın, paketin ve alım saatinin iletilmesi
• Ödemenin tahsil edilmesi, komisyon ve hakediş hesabının yapılması, faturanın düzenlenmesi
• İptal, "gelmedi" ve itiraz durumlarının çözülmesi ve gerekiyorsa iadenin yapılması
• Kötüye kullanımın önlenmesi: kişi başı paket limiti, hatalı kod denemelerinde kilitleme, SMS doğrulamasının kötüye kullanılmasının tespiti, tekrarlayan "gelmedi" veya kısa sürede çok sayıda iptal gibi durumlarda hesabın sipariş vermesinin durdurulması
• Hizmetin güvenliğinin ve sürekliliğinin izlenmesi; ödeme, altyapı ve güvenlik sorunlarında platform yönetiminin uyarılması
• Yorumların denetlenmesi: uygunsuz ifadenin süzülmesi, şikâyet edilen yorumun incelenmesi ve gerekirse gizlenmesi
• İşletme başvurularının değerlendirilmesi ve işletme adaylarıyla iletişim kurulması
• Sosyal medya, mesajlaşma, e-posta ve telefon kanallarından gelen talep ve soruların yanıtlanması
• Hukuki yükümlülüklerin yerine getirilmesi ve zorunlu saklama sürelerine uyulması
• Destek taleplerinin yanıtlanması: e-posta, uygulama içi öneri ve sorun bildirimi ile kullanıma açık olduğunda yapay zekâ destek asistanı
• Bildirim gönderilmesi: (1) sipariş bildirimleri; müşteriye alım saati yaklaşırken hatırlatma, teslimde puanlama daveti ve "gelmedi" bilgisi, işletme ekibine yeni sipariş ve iptal bilgisi. Bu bildirimler sözleşmenin ifası kapsamındadır ve izin gerektirmez; (2) hizmete ilişkin platform duyuruları; (3) yalnızca Profil ekranından açıkça etkinleştirilmişse, favori işletmede o gün paket açıldığına ilişkin duyuru. Kampanya içerikli ticari elektronik ileti, yalnızca önceden alınmış ve İleti Yönetim Sistemi'ne (İYS) kaydedilmiş onaya dayanılarak gönderilir; hâlihazırda böyle bir onay toplanmadığından kampanya iletisi gönderilmemektedir.

İşlemenin hukuki sebepleri#

Her işleme faaliyeti, KVKK'nın 5. maddesinde sayılan işleme şartlarından biri veya birkaçına dayanır.

Kişisel verilerin toplanma yöntemi#

Kişisel veriler otomatik veya kısmen otomatik yollarla, aşağıdaki kanallardan toplanır:

• Doğrudan ilgili kişiden: mobil uygulama ve web sürümündeki kayıt, profil ve sipariş ekranları
• Apple ve Google ile girişte, ilgili kişinin izin verdiği ölçüde Apple Inc. ve Google LLC'den
• bahtal.com'daki ve Bahtal Partner uygulamasındaki işletme başvuru formu; başvuruyu kendisi dolduramayan işletmenin bilgileri, işletme yetkilisinin verdiği bilgilerle platform yönetimince girilir
• Destek yazışmaları: [email protected], uygulama içi öneri ve sorun bildirimi ve kullanıma açık olduğunda destek asistanı
• Sosyal medya ve mesajlaşma kanalları (Meta Platforms Ireland Ltd. aracılığıyla) ile 0850 346 81 79 numaralı telefon hattı
• Cihazdan, yalnızca izin verilmesi hâlinde: konum ve bildirim adresi
• Otomatik yollarla: uygulama ve sunucu kayıtları, işlem kayıt defteri, oturum bilgileri; girişte insan doğrulaması açıkken Cloudflare Turnstile'ın doğrulama sonucu
• Ödeme kuruluşundan (iyzico): kartla ödemenin sonucu, işlem ve ödeme numaraları, varsa hata kodu ve kart kaydedilmişse kayıtlı kart anahtarı

Kişisel verilerin aktarılması#

Yurt içine aktarım

• Sipariş verilen işletmeye: siparişte görünen ad, paket ve adet bilgisi, alım penceresi ve siparişin durumu. Teslim kodu aktarılmaz; işletme kodu göremez, yalnızca müşterinin söylediği kodu sunucuya doğrulatır ve "doğru" ya da "yanlış" cevabını alır.
• Ödeme kuruluşuna: kartla ödemede iyzico'ya (İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.) ödemenin alınabilmesi için ad soyad, telefon numarası, e-posta adresi (hesapta e-posta adresi yoksa ilgili kişiye özel ve gerçek bir posta kutusuna ulaşmayan teknik bir adres), hesap kimliği, IP adresi, sipariş tutarı, paket adı ve paketin teslim alınacağı işletmenin il ve adresi aktarılır. Ödeme ekranına girilen kart bilgileri de ödemenin alınması için aynı anda iyzico'ya iletilir; Şirket bunları saklamaz. İşletmenin payının iyzico üzerinden ödenebilmesi için işletmenin fatura ve IBAN bilgileri de iyzico'ya aktarılır.
• Netgsm'e: SMS ile giriş kodunun gönderilmesi için telefon numarası ve kod; telefon hattı üzerinden yürütülen görüşmeler için arayan ve aranan numara.
• Muhasebe, hukuk ve denetim hizmeti alınan taraflar ile e-Fatura ve e-Arşiv hizmet sağlayıcısı
• Talep hâlinde ve mevzuat gereği yetkili kamu kurum ve kuruluşları

Yurt dışına aktarım

Platformun altyapı hizmetlerinin bir kısmı yurt dışında bulunan sunucularda çalışmaktadır. Kişisel veriler aşağıdaki alıcılara, belirtilen kapsamla sınırlı olarak aktarılır:

• Veritabanı, kimlik doğrulama ve dosya depolama: Supabase — bölge Frankfurt, Almanya (eu-central-1)
• Web yayını, önbellek ve bot koruması: Cloudflare — bahtal.com ile uygulamaların web sürümleri Cloudflare Pages üzerinden sunulur; Keşfet ekranındaki işletme ve paket listesi, yapılandırıldığında Cloudflare üzerindeki bir önbellekten okunur (bu okumada hesap, konum veya sipariş bilgisi taşınmaz, yalnızca IP adresi); girişte insan doğrulaması açıkken Cloudflare Turnstile cihaz ve tarayıcı sinyallerini ve IP adresini işler. Cloudflare'in ağı küresel olarak dağıtılmıştır
• Yazı tipleri ve kaydırma hareketi kütüphanesi: Google Fonts (Google LLC) ve jsDelivr içerik dağıtım ağı — yalnızca tarayıcının IP adresi ve sürüm bilgisi
• Harita görüntüleri ve adres araması: Google Haritalar (Google LLC, ABD merkezli küresel altyapı); Google'a ulaşılamadığında OpenStreetMap karo sunucuları ve Nominatim adres arama servisi — yalnızca cihazın IP adresi ve aranan adres metni
• Web sürümünde bulunulan ilçenin adının bulunması: BigDataCloud ters geokodlama servisi — yalnızca o anki enlem ve boylam ile IP adresi
• Apple ile giriş ve Google ile giriş: Apple Inc. ve Google LLC (ABD) — giriş sırasında kimlik doğrulamasına ilişkin veriler
• E-posta: Google LLC (Google Workspace, ABD) — e-posta ile giriş kodları ve [email protected] yazışmaları
• Bildirimler: Expo (650 Industries, Inc., ABD) bildirim servisi; bildirim iPhone'a Apple Push Notification service (Apple Inc.), Android'e Firebase Cloud Messaging (Google LLC) üzerinden iletilir — cihazın bildirim adresi ve bildirim metni
• Yapay zekâ: Amazon Web Services (Amazon Bedrock) — Avrupa Birliği bölgesi; destek asistanı yazışmaları ve konuşulan siparişin bilgileri, denetlenen yorum metinleri (yazarın kimliği olmaksızın), güvenlik denetiminin ad, telefon numarası ve e-posta adresi içermeyen özeti, işletme başvuru belgeleri ve sosyal medya yorum metinleri (bkz. Yapay zekâ ile işlenen veriler)
• Sosyal medya ve mesajlaşma kanalları: Meta Platforms Ireland Ltd. (İrlanda; küresel altyapı) — Messenger, Instagram ve WhatsApp mesajları, yorumlar ve potansiyel müşteri formu verileri; izlenecek adım önerisi: TypeSafe (ABD) — yalnızca mesaj metni, ad, telefon numarası ve e-posta adresi olmaksızın (bkz. Sosyal medya ve mesajlaşma kanalları)
• Telefon görüşmeleri: ElevenLabs Inc. (ABD) ve alt işleyeni sıfatıyla OpenAI ile Google (ABD) — telefon numarası, ses kaydı, döküm ve görüşme özeti (bkz. Telefon görüşmeleri)
• Platform yönetimine sesli uyarı araması: Twilio Inc. (ABD) — yalnızca yönetici telefon numarası ve uyarı metni; müşteri verisi aktarılmaz

Yurt dışına aktarım KVKK'nın 9. maddesi kapsamında gerçekleştirilir. Alıcıların bulunduğu ülkeler hakkında Kurul tarafından verilmiş bir yeterlilik kararı bulunmadığından aktarımlar, 9. maddenin dördüncü fıkrası uyarınca Kurul'un ilan ettiği standart sözleşmelere dayandırılır; standart sözleşmeler imzalanmalarından itibaren beş iş günü içinde Kurum'a bildirilir. İlgili kişinin bizzat başlattığı ve arızi nitelik taşıyan aktarımlarda (Bahtal'ın sosyal medya hesaplarına gönderilen mesajlar gibi) 9. maddenin altıncı fıkrasında sayılan istisnalara dayanılır.

Saklama süreleri#

Kişisel veriler, işleme amacının gerektirdiği süre ve mevzuatta öngörülen zorunlu saklama süreleri boyunca saklanır. Sürenin sona ermesiyle birlikte silinir, yok edilir veya anonim hâle getirilir.

Veri güvenliği tedbirleri#

KVKK'nın 12. maddesi uyarınca alınan teknik ve idari tedbirler şunlardır:

• Satır düzeyi yetkilendirme. Her kayıt yalnızca yetkili kişi tarafından okunabilir; sorgu istemciden gelse bile sahiplik denetimi veritabanının kendisi tarafından yapılır.
• Teslim kodunun ayrı tutulması. İşletme ve platform yönetimi teslim kodunu hiçbir sorguyla okuyamaz; yalnızca doğrulatabilir. Teslim yalnızca teslim koduyla yapılır.
• Denetimli yazma. Para ve sipariş durumunu değiştiren bütün yazma işlemleri sunucudaki denetimli fonksiyonlardan geçer. Stok, kişi başı limit, iptal kesim saati ve kod geçerliliği sunucuda zorlanır. Profil ve işletme bilgisi gibi diğer yazma işlemleri satır düzeyi yetkilendirme ve sütun bazında verilen yetkilerle sınırlandırılır.
• Kaba kuvvet koruması. Art arda hatalı kod denemesinde işletmenin kod ekranı geçici olarak kilitlenir.
• İki adımlı doğrulama. Yönetim panelinde veri değiştiren her işlem iki adımlı doğrulama gerektirir.
• Aktarımda şifreleme. Bütün trafik HTTPS üzerinden iletilir.
• Anahtar ayrımı. İstemcide yalnızca herkese açık anahtar bulunur; yönetim anahtarı hiçbir istemciye gömülmez.
• İdari tedbirler. Yönetim erişimi yalnızca şirket yetkilisine aittir ve üçüncü kişilere veri erişimi verilmez. Personel istihdamı hâlinde gizlilik taahhütnamesi, erişim yetki matrisi ve personel eğitimi uygulanır.

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, KVKK'nın 12. maddesinin beşinci fıkrası uyarınca durum en kısa sürede Kurul'a ve ilgili kişilere bildirilir. Bu durumda erişim anahtarları değiştirilir, etkilenen kayıtlar sınırlandırılır, etkinin kapsamı tespit edilir, Kurul'a en geç 72 saat içinde bildirim yapılır, etkilenen kişilere uygun yolla bilgi verilir ve olay kaydı tutulur.

Çerezler ve benzeri teknolojiler#

Uygulama, oturumun açık tutulması amacıyla cihazda bir oturum anahtarı saklar. Bu, hizmetin sunulması için zorunlu bir teknik gerekliliktir ve reklam amacı taşımaz.

• Zorunlu: oturum yönetimi ve güvenlik; cihazda ayrıca görünüm tercihi ve ilk kayıttaki onay işareti gibi işlevsel kayıtlar tutulur
• Analitik: kullanılmamaktadır
• Pazarlama: kullanılmamaktadır

Konum verisi#

Müşteri uygulaması açıldığında konum izni ister. İzin verilmesi hâlinde cihazın o anki enlemi ve boylamı okunur ve iki amaçla sunucuya iletilir: yakındaki işletmelerin listelenmesi ve sipariş sırasında işletmeye olan kuş uçuşu mesafenin sınır içinde kaldığının denetlenmesi. Sınır varsayılan olarak 6 km'dir ve platform yönetimince değiştirilebilir. İstanbul'da Boğaz'ın karşı yakasındaki işletmeler, kuş uçuşu yakın görünse de kapsam dışında kalır.

İletilen koordinat ayrı bir kayıt olarak saklanmaz: sipariş kaydına yazılmaz ve konum geçmişi tutulmaz. Reklam, analitik veya veri ticareti yapan hiçbir tarafla paylaşılmaz. Koordinat yalnızca altyapı sağlayıcısının veritabanı sunucusunda, talebin işlendiği anda değerlendirilir; bu sunucular yurt dışındadır ve listesi Yurt dışına aktarım bölümünde yer alır. Konum yalnızca uygulama açıkken okunur; arka planda takip yapılmaz. Listede gösterilen "800 m" gibi mesafeler bu koordinattan hesaplanır.

Keşfet ekranında bulunulan ilçenin gösterilmesi için telefon uygulaması işletim sisteminin adres çözümleme hizmetini kullanır (iOS'ta Apple'ın, Android'de genellikle Google'ın); bu sorgu Şirket sunucusundan geçmez. Web sürümünde o anki enlem ve boylam, ilçe adının bulunması için BigDataCloud'un ters geokodlama servisine gönderilir; bu servise kimlik, hesap veya sipariş bilgisi iletilmez.

İşletme tarafında konum ayrıca işlenir: başvuru sırasında işletmenin yeri haritada işaretlenir ya da Bahtal Partner uygulamasında cihazın konumundan alınır ve bu koordinat işletme kaydında kalıcı olarak saklanır. Müşteriye gösterilen mesafe bu koordinattan hesaplandığından konum zorunlu bir alandır; koordinatı bulunmayan başvuru onaylanmaz.

Çocukların kişisel verileri#

Platform 18 yaşından küçüklere yönelik değildir; hesap açılabilmesi için 18 yaşın doldurulmuş olması gerekir. Yaş beyana dayanır ve ayrıca doğrulanmaz. 18 yaşından küçük birine ait olduğu anlaşılan hesap kapatılır ve hesaba ait veriler silinir.

İlgili kişinin hakları#

KVKK'nın 11. maddesi uyarınca ilgili kişi, Şirket'e başvurarak:

• Kişisel verilerinin işlenip işlenmediğini öğrenme,
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinin silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin kişisel verilerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme

haklarına sahiptir.

Hesap ve veri silme#

Hesap, uygulama içinden ve herhangi bir başvuruya gerek olmaksızın Profil > Hesabımı sil yoluyla silinebilir. Onay adımından sonra silme işlemi derhâl gerçekleştirilir ve geri alınamaz.

• Silinen veriler: ad, e-posta adresi, telefon numarası, şehir tercihi, cihazın bildirim adresi, favori işletmeler, kayıtlı kart anahtarı, personel olarak bağlı olunan işletme kayıtları ve girişi sağlayan hesap. Apple ile giriş yapılmış hesaplarda Apple nezdindeki yetki de iptal edilir.
• Silinmeyip kimliksizleştirilen kayıtlar: geçmiş siparişler. Sipariş kaydı korunur; ancak üzerindeki ad "Silinmiş kullanıcı" ibaresiyle değiştirilir ve kayıt hiçbir hesapla eşleştirilemez. Verilen puan ve yorum işletme sayfasında adsız olarak ("Bahtal müşterisi") gösterilmeye devam eder.
• Hesapla bağı koparılan kayıtlar: öneri ve sorun bildirimleri, yorum şikâyetleri ve destek asistanı yazışmaları. Bu kayıtlar kimliksiz olarak kalır; asistan yazışmaları 90 günlük sürenin, işlem kayıt defterindeki kayıtlar 180 günlük sürenin dolmasıyla silinir.

Uygulama içindeki yolun yanı sıra silme talebi, aşağıdaki başvuru yolu kullanılarak da iletilebilir.

Başvuru yolu#

İlgili kişi, yukarıdaki haklarına ilişkin taleplerini Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak aşağıdaki yollarla iletebilir:

• E-posta: [email protected]
• Yazılı başvuru adresi: Altıntepe Mah. İstasyon Yolu Sk. No:3 İç Kapı No:1, Maltepe / İstanbul 34840
• KEP adresi bulunmamaktadır.
• Başvuruda bulunması gereken bilgiler: ad soyad ve imza, T.C. kimlik numarası (yabancılar için uyruk ile pasaport veya kimlik numarası), tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas e-posta adresi, telefon veya faks numarası ve talep konusu
• Yanıt süresi: talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'ca belirlenen tarifedeki ücret alınabilir.
• E-postayla iletilen silme talepleri: talep, gönderildiği adrese iletilen ve 24 saat geçerli olan tek kullanımlık bir onay bağlantısıyla doğrulanır; silme, bu bağlantıdaki onayla birlikte derhâl uygulanır. Onay bağlantısının açılmaması hâlinde hiçbir veri silinmez.

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi, KVKK'nın 14. maddesi uyarınca Kurul'a şikâyette bulunabilir.

Metinde yapılacak değişiklikler#

İşbu metin, mevzuatta ve Platformda meydana gelen değişikliklere göre güncellenir. Güncel sürüm her zaman bu sayfada yayımlanır. Esaslı değişikliklerde uygulama içi duyuru ve bildirim yoluyla bilgilendirme yapılır. Yürürlükteki sürüm numarası ve tarihi sayfanın başında yer alır.