KİŞİSEL VERİLERİN KORUNMASI, İŞLENMESİ VE GİZLİLİK POLİTİKASI

I. GİRİŞ

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca, Elite Global Danışmanlık Dış Ticaret Limited Şirketi (“Şirket”), CupMate Coffee markası altında sunduğu web sitesi, mobil uygulama(lar) ve ilgili dijital platformlarda (“Platform”) işlenen kişisel verilerin korunmasına önem verir ve KVKK’ya uyum için gerekli idari ve teknik tedbirleri almayı hedefler.

KVKK kapsamında kişisel veri; kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Kişisel verilerin işlenmesi ise kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, güncellenmesi, aktarılması, sınıflandırılması ve silinmesi dâhil veriler üzerinde gerçekleştirilen her türlü işlemi kapsar.

Bu Politika, Platformu kullanan müşteri/kullanıcılar başta olmak üzere aşağıda tanımlanan veri sahiplerine ilişkin kişisel verilerin işlenmesine dair esasları açıklar. Mevzuat ile Politika arasında çelişki olması halinde yürürlükteki mevzuat uygulanır. Politika, Platform üzerinden erişime sunulur ve gerektiğinde güncellenebilir.

II. KİŞİSEL VERİLERİN İŞLENMESİ

II.I. İŞLEME İLKELERİ

Şirket, kişisel verileri KVKK’nın 4. maddesinde belirtilen genel ilkelere uygun olarak işler. Bu ilkeler:

• Hukuka ve dürüstlük kurallarına uygun işleme,

• Doğru ve gerektiğinde güncel olma,

• Belirli, açık ve meşru amaçlarla işleme,

• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,

• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme.

II.II. İŞLEME ŞARTLARI VE AMAÇLARI

Kişisel veriler kural olarak veri sahibinin açık rızasıyla işlenir. Bununla birlikte KVKK’nın 5. maddesinde sayılan şartların varlığı halinde açık rıza aranmaksızın da işlenebilir (ör. bir sözleşmenin kurulması/ifası için gerekli olması, hukuki yükümlülüklerin yerine getirilmesi, hakkın tesisi/kullanılması/korunması, meşru menfaat, vb.).

Şirket, Platform kapsamında sağlık verisi gibi özel nitelikli kişisel verilerin işlenmesini kural olarak hedeflemez. Kullanıcı’nın sipariş notu gibi alanlara kendi iradesiyle özel nitelikli veri girmesi halinde, bu verilerin işlenmesi bakımından KVKK hükümleri çerçevesinde gerekli özen gösterilir; ancak Kullanıcı’nın ilgili alanlara bu nitelikte veri girmemesi önerilir.

Şirket, kişisel verileri aşağıdaki amaçlarla işleyebilir:

• Sipariş oluşturma, ödeme, hazırlama ve “belirlenmiş teslim noktası”nda teslim süreçlerinin yürütülmesi,

• Müşteri ilişkileri yönetimi, talep/şikâyet takibi ve destek hizmetleri,

• Bilgi güvenliği süreçleri, log kayıtları, dolandırıcılık/istismar önleme kontrolleri,

• Muhasebe/finans süreçleri ve mevzuattan doğan yükümlülüklerin yerine getirilmesi,

• Operasyonel planlama, kalite ve verimlilik analizleri, iş sürekliliği,

• Kampanya, promosyon ve pazarlama süreçleri (gerekli hallerde izin/tercihler doğrultusunda),

• Yetkili kurum ve kuruluşlara mevzuat gereği bilgi verilmesi,

• Hukuki süreçlerin ve sözleşme ilişkilerinin yürütülmesi.

III. KİŞİSEL VERİLERİN AKTARILMASI

III.I. YURT İÇİNDE AKTARIM

Şirket, kişisel verileri KVKK’nın 8. maddesi uyarınca; veri sahibinin açık rızası veya KVKK’da öngörülen işleme şartlarından birinin varlığı halinde ve gerekli güvenlik tedbirlerini alarak yurt içinde üçüncü kişilere aktarabilir.

III.II. YURT DIŞINA AKTARIM

Şirket, kişisel verileri KVKK’nın 9. maddesi çerçevesinde; yeterlilik kararı, uygun güvencelerin sağlanması veya Kanun’da öngörülen istisnai hallerin varlığı gibi şartlara uygun olarak yurt dışına aktarabilir. Yurt dışına aktarım söz konusu olduğunda, aktarımın kapsamı ve hukuki dayanağı Platform üzerinden veya ilgili aydınlatma metinleriyle ayrıca bildirilebilir.

III.III. AKTARIM YAPILABİLECEK ALICI GRUPLARI

Şirket, işleme amaçlarıyla sınırlı olmak üzere kişisel verileri aşağıdaki alıcı gruplarına aktarabilir:

• Ödeme altyapısı ve finans kuruluşları (ödeme işlemlerinin gerçekleştirilmesi),

• Bulut/altyapı, barındırma, yazılım, e-posta ve SMS sağlayıcıları gibi tedarikçiler,

• Lojistik/operasyon destek sağlayıcıları ve teslim sürecinde görev alan personel/iş ortakları (teslim noktasında teslim),

• Denetçiler, danışmanlar ve hukuk hizmeti sağlayıcıları (hukuki ve uyum süreçleri),

• Yetkili kamu kurum ve kuruluşları (mevzuat gereği).

IV. KİŞİSEL VERİLERİN KORUNMASI

Şirket, KVKK’nın 12. maddesi uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla makul seviyede idari ve teknik tedbirler uygular. Örnek olarak:

• Erişim yetkilerinin sınırlandırılması ve yetkilendirme,

• Ağ güvenliği, güvenlik duvarı, antivirüs ve zararlı yazılım önleme çözümleri,

• Log kayıtları, izleme ve denetim mekanizmaları,

• Yedekleme, veri bütünlüğü ve kurtarma süreçleri,

• Çalışanlara gizlilik ve veri koruma farkındalığı eğitimleri,

• Tedarikçilerle veri güvenliği hükümleri içeren sözleşmesel düzenlemeler.

Kişisel verilerin hukuka aykırı olarak üçüncü kişilerce elde edildiğinin tespiti halinde, Şirket mümkün olan en kısa sürede ilgili veri sahiplerini ve gerekli hallerde Kurul’u bilgilendirmek üzere süreçlerini yürütür.

V. VERİ SAHİBİNİN AYDINLATILMASI VE HAKLARI

V.I. AYDINLATMA

Şirket, KVKK’nın 10. maddesi uyarınca kişisel veriler elde edilirken veri sahiplerini; veri sorumlusu kimliği, işleme amaçları, aktarım alıcıları, toplama yöntemi ve hukuki sebep ile veri sahibi hakları konularında bilgilendirir.

V.II. VERİ SAHİBİ HAKLARI

KVKK’nın 11. maddesi uyarınca veri sahibi;

• Kişisel verilerinin işlenip işlenmediğini öğrenme,

• İşlenmişse bilgi talep etme,

• İşleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,

• Yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme,

• Eksik/yanlış işlenmişse düzeltilmesini isteme,

• KVKK’da öngörülen şartlarla silinmesini/yok edilmesini isteme,

• Otomatik sistemler ile analiz sonucu aleyhine sonuca itiraz etme,

• Kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme

haklarına sahiptir.

KVKK’nın 28. maddesindeki istisnalar saklıdır.

V.III. BAŞVURU USULÜ

Veri sahipleri, haklarına ilişkin taleplerini KVKK’nın 13. maddesi uyarınca Şirket’e iletebilir. Başvurular, niteliğine göre en geç 30 gün içinde sonuçlandırılır. Başvuru için iletişim e-postası: info@cupmatecoffee.com

Şirket, başvurunun kimden geldiğini doğrulamak ve talebi netleştirmek için ek bilgi isteyebilir.

VI. VERİ SAHİBİ VE KİŞİSEL VERİ KATEGORİZASYONU

VI.I. VERİ SAHİBİ KATEGORİLERİ

Şirket, işlediği kişisel verilerin sahiplerini örnek olarak aşağıdaki kategorilerde değerlendirebilir:

• Müşteri/Kullanıcı: Platformu kullanan, sipariş veren gerçek kişiler,

• Potansiyel Müşteri: Ürün/hizmetlere ilgi göstermiş olabilecek kişiler,

• Ziyaretçi: Web sitesi/uygulamayı ziyaret eden kişiler,

• Tedarikçi/İş Ortağı Yetkilisi ve Çalışanı: Şirket’le iş ilişkisi bulunan kurumların ilgili kişileri,

• Üçüncü Kişiler: Yukarıdaki kapsam dışında kalan ve verisi işlenen gerçek kişiler.

VI.II. KİŞİSEL VERİ KATEGORİLERİ

Platform kapsamında işlenebilecek kişisel veri kategorileri örnek olarak şunlardır:

• Kimlik ve Profil Bilgileri: Ad-soyad, kullanıcı bilgileri,

• İletişim Bilgileri: Telefon, e-posta, (teslim noktası seçimi için gerekli asgari bilgiler),

• Müşteri İşlem Bilgileri: Sipariş geçmişi, tercih ve işlem kayıtları,

• İşlem Güvenliği Bilgileri: IP, log kayıtları, oturum bilgileri,

• Finansal Bilgiler: Ödeme işlem kayıtları (kart bilgileri doğrudan Şirket sistemlerinde tutulmayabilir),

• Pazarlama Bilgileri: İzin/tercihler doğrultusunda kampanya etkileşimleri,

• Lokasyon Bilgileri: Kullanıcının seçtiği teslim noktası ve konum hizmetleri açık ise yaklaşık konum (tercihe bağlı).

VII. SAKLAMA SÜRELERİ

Kişisel veriler, ilgili mevzuatta öngörülen süreler ve işleme amaçları için gerekli olan süre boyunca saklanır. Süre sonunda veriler silinir, yok edilir veya anonim hale getirilir. Hukuki uyuşmazlıklarda delil teşkili gibi zorunlu hallerde, mevzuatın izin verdiği ölçüde daha uzun süre saklama yapılabilir.

VIII. SİLME, YOK ETME VE ANONİMLEŞTİRME

KVKK’nın 7. maddesi ve ilgili düzenlemeler uyarınca, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler Şirket’in kararı veya veri sahibinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.

IX. YÖNETİM YAPISI

Şirket, KVKK uyumu kapsamında politika ve süreçlerin yönetimi için gerekli organizasyonel yapıyı kurmayı ve güncel tutmayı hedefler. Veri sahipleri, bu Politika kapsamındaki taleplerini info@cupmatecoffee.com adresine iletebilir.