KVKK Aydınlatma Metni

1. Amaç ve Kapsam

Bu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (Kanun) 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, veri sorumlusu sıfatıyla NEXTGEN YAZILIM EĞİTİM İNŞAAT SANAYİ VE TİCARET LİMİTED ŞİRKETİ (NextGen Yazılım Ltd. Şti.) tarafından hazırlanmıştır. Amacı, L'Affogato markası altında yürütülen faaliyetler kapsamında kişisel verilerinizin kim tarafından, hangi amaçlarla, hangi hukuki sebeplere dayanılarak işlendiğini; kimlere ve hangi amaçla aktarıldığını; ne kadar süreyle saklandığını ve Kanun'un 11. maddesi kapsamındaki haklarınızı kullanabileceğiniz yöntemleri açık, anlaşılır ve ulaşılabilir biçimde ortaya koymaktır.

Aydınlatma yükümlülüğü, kişisel verinin elde edildiği sırada yerine getirilir ve ilgili kişinin açık rızasının alınıp alınmadığından bağımsızdır. Bu nedenle işbu metin, açık rızaya dayanan işleme faaliyetleri kadar, açık rıza dışındaki hukuki sebeplere dayanan işleme faaliyetlerini de kapsar. Aydınlatma metnini okumuş olmanız tek başına bir açık rıza beyanı anlamına gelmez; açık rıza gerektiren hâllerde rızanız, ilgili işlemin yapıldığı anda ayrı ve özgür iradeyle işaretlenen bir onay kutusu ile ayrıca alınır.

Metnin kapsamına şu kanallar girer: https://laffogato.net adresinde yayımlanan internet sitesi ve bu site üzerinden işletilen online mağaza (bottega); iOS ve Android platformları için yayımlanan L'Affogato mobil uygulaması; internet sitesi ve mobil uygulama üzerinden oluşturulan üyelik hesapları ile sadakat (damga) programı; online mağaza siparişleri ile mobil uygulamadan verilen kafe siparişlerine ilişkin sipariş, ödeme, teslimat, iade ve destek süreçleri; karaoke odası rezervasyonları; Postane Mah. Atatürk Cad. No: 28 İç Kapı No: 1, 34940 Tuzla/İstanbul, Türkiye adresindeki fiziki kafe ve bar işletmesi; info@nextgenlab.com.tr adresine ve +90 536 429 09 19 numarasına yapılan başvurular; @laffogatto kullanıcı adıyla işletilen sosyal medya hesapları üzerinden kurulan iletişim; tedarik, satın alma ve insan kaynakları süreçleri.

Bu metin genel niteliktedir. Belirli süreçlere özgü ek aydınlatmalar (örneğin çerez tercih paneli, mobil uygulamadaki izin ve bildirim tercihleri ekranı, ticari elektronik ileti onayı, işe alım başvuru formu, kamera kayıt bildirimi) ilgili kanalda ayrıca sunulur ve bu metni tamamlar.

2. Veri Sorumlusunun Kimliği

Kanun'un 3. maddesi uyarınca kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi veri sorumlusudur. L'Affogato, NEXTGEN YAZILIM EĞİTİM İNŞAAT SANAYİ VE TİCARET LİMİTED ŞİRKETİ tarafından işletilen bir markadır; hukuki muhatabınız ve veri sorumlusu aşağıda kimliği verilen tüzel kişidir.

3. Tanımlar

Bu metinde geçen kavramlar, Kanun'un 3. maddesindeki tanımlarla aynı anlamı taşır.

• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Özel nitelikli kişisel veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.
• İlgili kişi: Kişisel verisi işlenen gerçek kişi; bu metinde müşteri, üye, mobil uygulama kullanıcısı, ödül programı katılımcısı, ziyaretçi, bülten abonesi, tedarikçi yetkilisi ve çalışan adayı olarak siz.
• Veri sorumlusu: İşleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişi; bu metinde NEXTGEN YAZILIM EĞİTİM İNŞAAT SANAYİ VE TİCARET LİMİTED ŞİRKETİ.
• Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen kişi; örneğin barındırma, PostgreSQL veri tabanı, üyelik kimlik doğrulaması, e-posta gönderimi ve kargo gönderi platformu sağlayıcılarımız.
• Kişisel verilerin işlenmesi: Verilerin elde edilmesi, kaydedilmesi, depolanması, muhafazası, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, sınıflandırılması ya da kullanılmasının engellenmesi gibi her türlü işlem.
• Açık rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza.
• İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
• Kurum ve Kurul: Kişisel Verileri Koruma Kurumu ve Kişisel Verileri Koruma Kurulu.
• İYS: 6563 sayılı Kanun kapsamında ticari elektronik ileti onaylarının saklandığı ve yönetildiği İleti Yönetim Sistemi.

4. Kişisel Verilerin İşlenmesine İlişkin Genel İlkeler

Kanun'un 4. maddesi uyarınca kişisel verileriniz aşağıdaki ilkelere uygun olarak işlenir. Bu ilkeler, işbu metinde sayılan tüm amaç ve hukuki sebepler bakımından bağlayıcıdır; hiçbir işleme faaliyeti bu ilkelerin dışına çıkacak şekilde yürütülmez.

1. Hukuka ve dürüstlük kurallarına uygun olma: Veriler yalnızca bu metinde açıklanan amaçlarla ve ilgili kişinin makul beklentisini aşmayacak şekilde işlenir.
2. Doğru ve gerektiğinde güncel olma: Üyelik hesabınızdaki iletişim ve adres bilgilerinizi güncelleme imkânı size sunulur; hatalı veri tespit edildiğinde düzeltilir.
3. Belirli, açık ve meşru amaçlar için işlenme: Her veri kategorisi, bu metinde açıkça sayılmış bir amaca bağlıdır; sonradan bağdaşmayan bir amaç için kullanılmaz.
4. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Sipariş için gerekmeyen veri talep edilmez; formlarda zorunlu alanlar asgari düzeyde tutulur.
5. İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme: Saklama süreleri işbu metnin ilgili maddesinde ve Kişisel Veri Saklama ve İmha Politikası'nda gösterilmiştir.

5. İlgili Kişi Grupları

Bu metin, aşağıdaki ilgili kişi gruplarını kapsar. Bir kişi aynı anda birden fazla gruba dahil olabilir; bu hâlde her grup için öngörülen veri kategorileri, amaçlar ve hukuki sebepler birlikte uygulanır.

• Müşteri: https://laffogato.net veya mobil uygulama üzerinden sipariş veren (mobil uygulamadan verilen kafe siparişleri dâhil), ödeme yapan, kargo veya kurye ile teslimat alan ya da iade/cayma talebinde bulunan gerçek kişi.
• Üye: İnternet sitesinde veya mobil uygulamada hesap oluşturan ve e-posta adresini doğrulayan kullanıcı. Online mağazadan ve mobil uygulamadan sipariş yalnızca e-postası doğrulanmış üyelik hesabıyla verilebildiğinden, sipariş süreçleri üyelik verileriyle birlikte yürütülür.
• Mobil uygulama kullanıcısı: L'Affogato mobil uygulamasını iOS veya Android cihazına kuran; uygulama üzerinden menüyü görüntüleyen, kafe veya mağaza siparişi veren, üyelik hesabını kullanan, sadakat kartını (damga) takip eden, kafede kasada uygulamanın gösterdiği kasa kodunu göstererek damga ekleten, karaoke odası rezervasyonu yapan, Kahve Modu özelliğini kullanan veya cihazında planlanan hatırlatmaları alan kişi.
• Ödül programı katılımcısı: Sadakat (damga) programına katılan; mobil uygulamadan verdiği ve ödemesi tamamlanan kafe siparişleriyle veya kafede kasada eklenen damgalarla kartını dolduran ve dolan kartı ücretsiz içecek kuponuna çeviren üye.
• Ziyaretçi: Üye olmadan https://laffogato.net adresini görüntüleyen, menüyü inceleyen, sepet oluşturan ancak sipariş tamamlamayan kullanıcı.
• Bülten abonesi: Kampanya, yeni ürün ve etkinlik duyurularını almak üzere e-posta adresini paylaşan ve ticari elektronik ileti onayı veren kişi.
• Kafe ziyaretçisi: Postane Mah. Atatürk Cad. No: 28 İç Kapı No: 1, 34940 Tuzla/İstanbul, Türkiye adresindeki fiziki işletmeye gelen, internet sitesi veya mobil uygulama üzerinden, üye olarak ya da üye olmadan karaoke odası rezervasyonu yapan, kafe içi ödeme yapan veya güvenlik kamerası görüş alanına giren kişi.
• Tedarikçi, iş ortağı ve bunların yetkilileri: Kahve çekirdeği, gelato ve gıda malzemesi, ambalaj, ekipman, lojistik ve hizmet tedarikçilerinin gerçek kişi temsilcileri ve irtibat kişileri.
• Çalışan adayı: info@nextgenlab.com.tr adresine veya kariyer kanallarına özgeçmiş ve başvuru ileten kişi.
• İletişime geçen üçüncü kişiler: Basın mensupları, iş birliği teklifiyle başvuranlar, sosyal medya hesaplarımız üzerinden mesaj gönderenler ve yasal bildirim yapanlar.

6. İşlenen Kişisel Veri Kategorileri

Aşağıda, her ilgili kişi grubu bakımından işlenen veri kategorileri ve bunlara giren tipik veriler gösterilmiştir. Bir gruba ilişkin verinin işlenmesi, o kişinin ilgili süreci fiilen kullanmasına bağlıdır; örneğin sipariş vermeyen bir ziyaretçinin teslimat adresi işlenmez.

• Üye ve müşteri - Kimlik verisi: ad, soyad; fatura kurumsal ise şirket unvanı ve yetkili adı. Sipariş bazında talep edilmesi hâlinde T.C. kimlik numarası yalnızca vergi mevzuatının zorunlu kıldığı belge düzeni için işlenir.
• Üye ve müşteri - İletişim verisi: e-posta adresi, cep telefonu numarası, teslimat adresi, fatura adresi, il/ilçe bilgisi.
• Üye ve müşteri - Müşteri işlem verisi: sipariş numarası, sipariş tarihi, sepet içeriği (kavrulmuş kahve çekirdeği, yenilebilir waffle kupa, gelato kiti, moka pot/değirmen/tamper gibi ekipman, fincan/önlük/tote gibi marka ürünleri, pistacchio kreması ve şuruplar gibi kiler ürünleri), kafe siparişlerinde seçilen boy ve içecek seçenekleri, varyant ve öğütüm tercihi, adet, birim fiyat, indirim/promosyon kodu, siparişte kullanılan kupon, KDV tutarı, teslimat yöntemi (kargo, kafeden gel-al veya kurye) ve ücreti, ileri bir saate planlanan kafe siparişlerinde seçilen saat, sipariş durumu, iade ve cayma talepleri, değişim kayıtları, sipariş notu.
• Üye ve müşteri - Finansal veri: ödeme yöntemi (kredi kartı veya internetten alışverişe açık banka kartı, tek çekim); ödeme hizmeti sağlayıcısı PayNkolay'ın işlem referans kodu, işlem durumu, tahsil edilen tutar, para birimi ve işlem tarihi; PayNkolay işlem doğrulama servisinin döndürdüğü kayıtta yer alan maskelenmiş kart numarası, kartı veren banka, taksit sayısı (her zaman 1), 3D Secure bilgisi ve banka onay kodu; iptal, iade, kısmi iade ve ters ibraz (chargeback) kayıtları; kısmi iadenin karta yapılmasının teknik olarak mümkün olmadığı istisnai hâllerde iade için veya başka bir kargo firmasıyla gönderdiğiniz iadenin gönderim bedelinin ödenmesi için bildirdiğiniz banka hesap bilgisi. Kart numarası, son kullanma tarihi ve güvenlik kodu (CVV/CVC) ile kart üzerindeki ad, laffogato.net üzerindeki güvenli ödeme sayfasında girilir ve şifreli (TLS) bağlantıyla sunucumuza ve aynı istekte yalnızca PayNkolay'a iletilir; bu veriler tarafımızca veri tabanına, log kayıtlarına veya dosyalara yazılmaz, kaydedilmez ve saklanmaz. Kart sahibinin adı ödeme kaydında da tutulmaz. Kartını kaydetmeyi seçen üyelerin kartı PayNkolay'ın kart saklama hizmetinde saklanır; tarafımızca yalnızca PayNkolay'ın kayıtlı kartları üyeyle eşleştirmek için kullandığı, kişisel bilgi taşımayan rastgele 11 karakterlik bir üye anahtarı tutulur.
• Üye ve müşteri - Hesap ve güvenlik verisi: üyelik kimliği, isteğe bağlı olarak bildirdiğiniz doğum tarihi ve kayıtlı 'her zamanki' içecek seçiminiz, e-posta doğrulama durumu ve doğrulama zamanı, bcrypt algoritmasıyla özetlenmiş parola (parolanın açık hâli hiçbir aşamada saklanmaz), oturum ve giriş kayıtları, parola sıfırlama talepleri, başarısız giriş denemeleri ve hız sınırlama kayıtları. İnternet sitesi ve mobil uygulamadaki ortak üyelik girişi bir kimlik doğrulama hizmeti üzerinden sağlanır; bu hizmette e-posta adresiniz, parolanızın özeti, ad-soyadınız, uygulamadan kayıt olurken verdiyseniz telefon numaranız ile koşulların ve ticari elektronik ileti onayının kabul anı ve oturum belirteçleri tutulur.
• Üye ve müşteri - Hukuki işlem ve onay verisi: Ön Bilgilendirme Formu ve Mesafeli Satış Sözleşmesi'ni onayladığınız ayrı onay kutusuna ilişkin kayıt; onay tarihi ve saati, IP adresi, tarayıcı ve cihaz bilgisi (user-agent) ile onaylanan belge sürümü. Bu kayıt, 6102 ve 6098 sayılı Kanunlar ile 6100 sayılı Hukuk Muhakemeleri Kanunu kapsamında ispat amacıyla tutulur.
• Ziyaretçi - İşlem güvenliği ve kullanım verisi: IP adresi, cihaz ve tarayıcı bilgisi, işletim sistemi, dil tercihi, ziyaret edilen sayfalar ve tıklama akışı, oturum süresi, yönlendiren adres (referrer), zorunlu ve tercihe bağlı çerez kayıtları, sepet ve tercih bilgisi (yerel depolamada tutulan sepet dahil), hata ve performans kayıtları.
• Bülten abonesi - Pazarlama verisi: e-posta adresi, ad, aboneliğin geldiği kaynak, ticari elektronik ileti onayının alındığı tarih, IP adresi ve onaylanan metin, e-posta adresinin size ait olduğunu doğrulayan onay bağlantısının kullanıldığı kayıt, gönderim ve abonelikten çıkma kayıtları. Üyeler için ticari elektronik ileti onayının ve geri alınmasının geçmişi (tarih, kaynak, IP adresi, tarayıcı veya uygulama bilgisi) ayrıca kayıt altında tutulur.
• Kafe ziyaretçisi - Fiziksel mekân güvenliği ve işlem verisi: kapalı devre kamera görüntüsü (girişte bildirim levhası bulunan alanlarda), kafe içi satış fişine bağlı işlem kayıtları, etkinlik katılım listeleri.
• Tedarikçi yetkilisi - Kimlik, iletişim ve ticari veri: ad, soyad, görev/unvan, kurumsal e-posta ve telefon, imza sirküleri ve yetki belgelerinde yer alan bilgiler, sözleşme, sipariş, irsaliye ve fatura kayıtları, banka hesap bilgisi (yalnızca ödemenin gerçekleştirilmesi amacıyla).
• Çalışan adayı - Özlük öncesi veri: ad, soyad, iletişim bilgileri, özgeçmişte yer alan eğitim ve iş deneyimi bilgileri, referans bilgileri, mülakat notları, başvurulan pozisyon. Özgeçmişinizde kendi inisiyatifinizle paylaştığınız ve pozisyon için gerekli olmayan veriler (fotoğraf, medeni hâl, sağlık bilgisi gibi) tarafımızca değerlendirmede kullanılmaz.
• İletişime geçen üçüncü kişiler - İletişim ve talep verisi: ad, e-posta/telefon, mesaj içeriği ve ekleri, sosyal medya kullanıcı adı ve mesaj geçmişi, talebin sonuçlandırılmasına ilişkin kayıtlar.
• Üye ve müşteri - Sadakat (damga) programı verisi: üyelik kimliğiniz (e-posta adresi), damga hareketleriniz (kazanım, geri alma, ödül), hareketin kaynağı (uygulama siparişi veya kasa), kasada damga eklendiğinde işlemi yapan personelin kimliği, hesabınıza tanımlanan ücretsiz içecek, kilometre taşı ve davet kuponları, davet kodunuz ve davetlerinizin durumu ile son 365 gündeki ödenmiş sipariş sayınızdan hesaplanan kademeniz. Kasada damga eklenirken uygulamanın gösterdiği kasa kodunun yalnızca özet (hash) değeri, geçerlilik süresi ve kullanıldığı an kaydedilir; kasada işlem yapan personele adınız, maskelenmiş e-posta adresiniz ve kart durumunuz gösterilir. Hukuki sebep: KVKK m.5/2-c sözleşmenin kurulması ve ifası. Harcama geçmişine dayalı profilleme programın parçası değildir.
• Mobil uygulama kullanıcısı - Bağlantı verisi: sunucumuza yapılan isteklerde IP adresi, cihazın işletim sisteminin eklediği istemci bilgisi (user-agent) ve isteğin zamanı. Uygulama cihazın reklam tanımlayıcısına (iOS'ta IDFA, Android'de AAID) erişmez ve izleme (App Tracking Transparency) izni istemez; uygulamada reklam veya ölçümleme kiti bulunmaz, uygulama çökme kaydı veya ekran ve tıklama kaydı toplamaz. Hukuki sebep: uygulamanın çalıştırılması ve güvenliği bakımından KVKK m.5/2-c ve m.5/2-f.
• Mobil uygulama kullanıcısı - Bildirim jetonu (yalnızca bildirim izni vermeniz hâlinde): uygulamanın anlık bildirim hizmeti Expo'dan (650 Industries, Inc., ABD) alınan ve Apple Push Notification service veya Firebase Cloud Messaging cihaz jetonundan türetilen, cihazınıza özgü bildirim jetonu; jetonu üyeliğinizle ilişkilendiren üyelik e-posta adresiniz, cihazın platformu (iOS veya Android; isteğin istemci bilgisinden okunur) ve jetonun kaydedildiği ve en son yenilendiği zaman. Jeton yalnızca kendi siparişlerinizin durumuna ilişkin anlık bildirimler için kullanılır. Hukuki sebep: KVKK m.5/2-c sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma; bildirim izni işletim sistemi üzerinden sizin seçiminizle verilir.
• Mobil uygulama kullanıcısı - İzne bağlı cihaz erişimi: bildirim izni (yalnızca uygulamada kendi açtığınız hatırlatmaların ve siparişinizi verdikten sonra istemeniz hâlinde kendi siparişlerinizin durumuna ilişkin anlık bildirimlerin cihazınızda gösterilmesi için; hatırlatmalar cihazda planlanır, sunucudan yalnızca sipariş durumu bildirimleri gönderilir); kamera ve fotoğraf arşivi erişimi (Kahve Modu özelliğinde fotoğraf çekmeyi veya galeriden seçmeyi siz başlattığınızda; fotoğraf yalnızca cihazınızda işlenir ve şirketimize gönderilmez; kamera ayrıca masadaki QR kodunu okutarak sipariş vermeyi seçtiğinizde kullanılır, bu sırada görüntü kaydedilmez, yalnızca okunan masa kodu sunucuya iletilir); fotoğraflara kaydetme izni (yalnızca Kahve Modu Story görselini cihazınıza kaydetmeyi seçtiğinizde). Uygulama konum, mikrofon ve rehber izni istemez. Kasa yetkisi tanımlanmış personel hesaplarında kamera ayrıca üyenin kasa kodunu okutmak için kullanılır; bu sırada görüntü kaydedilmez ve gönderilmez, yalnızca okunan kodun içeriği sunucuya iletilir. Hukuki sebep: izinler işletim sistemi aracılığıyla onayınızla verilir ve cihaz ayarlarından geri alınabilir; Kahve Modu fotoğrafı cihazınızdan çıkmadığı için tarafımızca işlenmez ve aktarılmaz.
• Üye ve üyeliksiz rezervasyon yapan kişi - Karaoke rezervasyon verisi: rezervasyon numarası, tarih, başlangıç saati ve süre, kişi sayısı, rezervasyon durumu (ödeme bekliyor, kesinleşti, iptal edildi, iade edildi), ücret, uygulanan indirim, toplam tutar, ödenen ve iade edilen tutar, ödemenin PayNkolay işlem referansı ve zamanı, rezervasyonunuzu geç iptal etmek zorunda kalırsak verdiğimiz telafi (tutarı, ücretsiz saatin son günü, ücretsiz saat olarak mı yoksa ödeme olarak mı kullanıldığı ve ödeme tarihi), rezervasyon notunuz, adınız ve e-posta adresiniz; internet sitesinden yapılan rezervasyonlarda ayrıca iletişim için kullanılan e-posta adresi ve cep telefonu numarası ile Aydınlatma Metni'ni okuduğunuzu belirttiğiniz zaman. Ödemeden önce verdiğiniz onaylar (Ön Bilgilendirme Formu'nun onayı, Mesafeli Hizmet Sözleşmesi'nin kabulü ve Aydınlatma Metni'nin okunduğuna ilişkin teyit) onay anı, belge sürümü, IP adresiniz ve tarayıcı veya uygulama bilginizle birlikte rezervasyon kaydına yazılır. Karaoke odası rezervasyonunun ödemesi rezervasyon sırasında çevrim içi alınır; kart numarası, son kullanma tarihi ve güvenlik kodunuz kaydedilmez. Üye olmadan rezervasyon yapan kişinin adı, soyadı, cep telefonu ve e-posta adresi yalnızca rezervasyon kaydında tutulur, onun adına üyelik hesabı açılmaz. Telafinin banka hesabınıza ödenmesini seçerseniz e-postayla bildirdiğiniz kendi adınıza kayıtlı banka hesap bilgisi yalnızca bu ödeme için kullanılır; rezervasyon kaydına yazılmaz, ödemenin belgesiyle muhasebe kayıtlarında saklanır. Hukuki sebep: KVKK m.5/2-c sözleşmenin kurulması ve ifası; onay kaydı için m.5/2-a ve m.5/2-ç.
• Üye - Davet verisi: davet kodunuz, davet eden ve davet edilen üyenin e-posta adresleri, davetin durumu (bekliyor, katıldı, ödüllendirildi), tarihler ve davet nedeniyle tanımlanan kupon. Sizi davet eden üye, adınızı ve soyadınızın yalnızca baş harfini, davetin durumunu ve tarihini görür. Hukuki sebep: KVKK m.5/2-c sözleşmenin ifası (davet programı).

7. Kişisel Verilerin İşlenme Amaçları

Kişisel verileriniz, aşağıda gruplandırılan amaçlarla ve her amacın gerektirdiği ölçüde işlenir. Bir veri kategorisi yalnızca kendisiyle bağlantılı amaç için kullanılır; örneğin siparişinizi tamamlamak üzere alınan teslimat adresi, açık rızanız olmaksızın pazarlama amacıyla kullanılmaz.

• Üyelik ve hesap yönetimi: Üyelik kaydının oluşturulması, e-posta adresinin doğrulanması, internet sitesi ve mobil uygulama üzerinden oturum açma, parola sıfırlama, hesap güvenliğinin sağlanması, üyelik sözleşmesinden doğan yükümlülüklerin yerine getirilmesi ve hesabın kapatılması taleplerinin karşılanması.
• Sipariş ve sözleşme süreçlerinin yürütülmesi: Sepetin oluşturulması, stok ve fiyat doğrulaması, Ön Bilgilendirme Formu ve Mesafeli Satış Sözleşmesi'nin sunulması ve onayın kayda alınması, siparişin oluşturulması, sipariş onayının kalıcı veri saklayıcısıyla iletilmesi, sipariş durumunun güncellenmesi ve izin vermeniz hâlinde sipariş durumunun mobil uygulamaya anlık bildirimle iletilmesi.
• Ödeme işlemlerinin gerçekleştirilmesi ve güvenliği: Ödemenin ödeme hizmeti sağlayıcısı PayNkolay aracılığıyla tek çekim olarak tahsili (taksit ve ön provizyon uygulanmaz; tutar, ödemeyi onayladığınız anda tahsil edilir); kart bilgilerinin laffogato.net üzerindeki güvenli ödeme sayfasında alınması ve kaydedilmeden, şifreli bağlantıyla yalnızca PayNkolay'a iletilmesi; kartı veren bankanın ekranında 3D Secure doğrulaması; kartını kaydetmeyi seçen üyelerde kayıtlı kartların PayNkolay'ın kart saklama hizmeti üzerinden gösterilmesi, kullanılması ve silinmesi; ödeme sonucunun sunucumuzdan PayNkolay işlem doğrulama servisine sorularak teyit edilmesi ve sipariş kaydına işlenmesi; tutarın tamamı kupon veya promosyonla karşılanan siparişlerin kart ödemesi olmaksızın kapatılması; mükerrer işlemin önlenmesi, kart denemelerinin sınırlanması ve dolandırıcılık riskinin önlenmesi; iptal, iade, kısmi iade ve ters ibraz (chargeback) süreçlerinin yönetilmesi.
• Teslimat ve lojistik: Online mağaza siparişlerinin paketlenmesi, Geliver kargo gönderi platformu üzerinden gönderi anında seçilen anlaşmalı kargo firmasına teslim edilmesi, gönderi takip numarasının oluşturulması ve tarafınıza iletilmesi; mobil uygulamadan verilen kafe siparişlerinin kafeden gel-al için hazırlanması veya kurye ile teslim edilmesi; teslimat sorunlarının çözülmesi.
• Faturalandırma ve mali yükümlülükler: 213 sayılı Vergi Usul Kanunu ve ilgili mevzuat uyarınca fatura/fiş düzenlenmesi, KDV'nin hesaplanması ve beyanı, muhasebe kayıtlarının tutulması, ticari defter ve belge saklama yükümlülüklerinin yerine getirilmesi.
• Müşteri hizmetleri ve talep yönetimi: info@nextgenlab.com.tr ve +90 536 429 09 19 üzerinden gelen soru, şikâyet, ayıplı ürün ihbarı, cayma hakkı ve iade taleplerinin alınması, incelenmesi, sonuçlandırılması ve tarafınıza geri bildirim yapılması.
• Cayma hakkı ve iade süreçleri: Mesafeli Sözleşmeler Yönetmeliği kapsamındaki on dört günlük cayma hakkının kullanılması hâlinde bildirimin kayda alınması, ürünün geri alınması, bedelin ve teslimat masraflarının iadesi, iadeyi başka bir kargo firmasıyla gönderdiyseniz belgelediğiniz gönderim bedelinin ödenmesi, cayma hakkı istisnası kapsamındaki ürünlerde durumun değerlendirilmesi ve tarafınıza gerekçeli bilgi verilmesi.
• Gıda güvenliği ve tüketici bilgilendirmesi: 5996 sayılı Kanun ve Türk Gıda Kodeksi Gıda Etiketleme ve Tüketicileri Bilgilendirme Yönetmeliği kapsamında ürün içeriği, alerjen bilgisi, son tüketim tarihi ve saklama koşullarına ilişkin bilgilendirmelerin yapılması, gerektiğinde parti bazlı geri çağırma ve tüketici uyarısının ilgili müşterilere iletilmesi.
• Stok, ürün ve içerik yönetimi: Sipariş kaynaklı stok düşümü ve stok hareketlerinin kaydı, ürün ve menü içeriklerinin güncellenmesi, tükenen ürünlerin işaretlenmesi.
• Ticari iletişim ve pazarlama: Açık rızanıza dayalı olarak bülten, kampanya, doğum günü, yeni ürün ve etkinlik e-postalarının gönderilmesi; onayınızın tarih, kaynak ve IP adresiyle kaydedilmesi; iletişim tercihlerinizin yönetilmesi ve ret hakkının kolayca kullandırılması.
• Ölçümleme ve iyileştirme: Site kullanım istatistiklerinin toplanması, sayfa performansının ve hata oranlarının izlenmesi, ürün yelpazesinin ve kullanıcı deneyiminin geliştirilmesi. Bu amaçla mümkün olan hâllerde toplulaştırılmış veya anonim hale getirilmiş veriler kullanılır.
• Bilgi güvenliği ve suistimalin önlenmesi: Yetkisiz erişim girişimlerinin tespiti, giriş denemelerinin hız sınırlamasıyla engellenmesi, yönetici erişimlerinin iki aşamalı doğrulama (TOTP) ile korunması, tüm yönetici işlemlerinin değiştirilemez olay kaydına (audit log) yazılması, log kayıtlarının tutulması ve olay müdahalesi.
• Fiziksel mekân güvenliği: Kafe ve depo alanlarında can ve mal güvenliğinin sağlanması amacıyla, girişte bildirim levhası bulunan alanlarda kapalı devre kamera sistemiyle görüntü kaydı yapılması.
• Hukuki süreçlerin yönetimi: Uyuşmazlıkların çözümü, tüketici hakem heyeti ve mahkeme süreçlerinde savunma hakkının kullanılması, resmî kurum taleplerinin karşılanması, delil sözleşmesi kapsamındaki kayıtların muhafazası.
• Tedarik ve satın alma yönetimi: Tedarikçi ve iş ortaklarıyla sözleşme kurulması ve ifası, sipariş verilmesi, mal kabul, ödeme ve mutabakat süreçlerinin yürütülmesi.
• İşe alım süreçleri: Başvuruların değerlendirilmesi, mülakat planlanması, adaya geri bildirim yapılması ve adayın açık rızası hâlinde başvurunun ileride açılacak pozisyonlar için havuzda tutulması.
• Mobil uygulamanın sunulması ve yönetilmesi: Uygulamanın cihazınıza uygun sürümde çalıştırılması, oturumun sürdürülmesi, uygulama içi menü, kafe ve mağaza siparişi, sadakat kartı (damga), karaoke rezervasyonu ve Kahve Modu işlevlerinin sunulması, kafede kasa koduyla damga eklenmesi, sürüm güncellemelerinin uygulanması, sunucu tarafındaki hataların giderilmesi ve izin verdiğiniz ölçüde hatırlatmaların cihazınızda gösterilmesi.
• Sadakat (damga) programının yürütülmesi: Mobil uygulamadan verilip ödemesi tamamlanan ve Ödül Programı Kuralları'ndaki koşulları sağlayan kafe siparişleri ile kafede kasada eklenen damgaların kaydedilmesi, damga kartının ve kademenin gösterilmesi, dolan kartın ücretsiz içecek kuponuna çevrilmesi, kilometre taşı ve davet kuponlarının tanımlanması ve davet programının yürütülmesi, siparişin iptali, iadesi veya cayma hakkının kullanılması hâlinde o siparişten kazanılan damganın geri alınması ve iptal edilen siparişte kullanılan kuponun hesaba geri tanımlanması, damga ve kuponların kötüye kullanılmasının denetlenmesi.
• Karaoke odası rezervasyonu: Rezervasyonun alınması, uygunluğun ve ücretin hesaplanması, saatin ödeme sayfasının açık kaldığı 30 dakika boyunca sizin için tutulması, ödemenin PayNkolay üzerinden tahsili ve rezervasyonun ödemenin onaylanmasıyla kesinleşmesi, rezervasyonun iptali ve iadenin yapılması, rezervasyonunuzu ücretsiz iptal süresinin bitmesinden sonra iptal etmek zorunda kalırsak telafi olarak ücretsiz bir saatin ayrılması ya da telafi tutarının bildireceğiniz, kendi adınıza kayıtlı banka hesabına ödenmesi, rezervasyon bağlantısının e-postayla gönderilmesi, rezervasyonun ekibimize bildirilmesi ve bu konularda tarafınıza e-posta veya telefonla bilgi verilmesi; çevrim içi ödemenin kapalı olduğu hâllerde talebin ekibimizce onaylanması.
• Doğum günü kuponu ve doğum günü e-postası: Doğum tarihinizi isteğe bağlı olarak bildirdiyseniz, doğum gününüzde e-postası doğrulanmış üyelik hesabınıza yılda bir kez, yedi gün geçerli bir doğum günü kuponu tanımlanması; ticari elektronik ileti onayınız varsa aynı gün kutlama ve kampanya içeren bir e-posta gönderilmesi.

8. İşleme Amaçlarının Hukuki Sebepleri (KVKK m.5 ve m.6)

Kişisel verileriniz, aşağıdaki tabloda her amaç için gösterilen hukuki sebeplere dayanılarak işlenir. Açık rıza, yalnızca başka bir hukuki sebebin bulunmadığı hâllerde ve ilgili işlemin yapıldığı anda ayrıca alınır; hizmetin sunulması açık rıza verilmesi şartına bağlanmaz.

9. Açık Rızaya Dayalı İşleme ve Rızanın Geri Alınması

Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Bu nedenle rızanız; genel nitelikte, önceden işaretlenmiş kutucuklarla veya sözleşmenin kurulmasının ön şartı hâline getirilerek alınmaz. Ticari elektronik ileti onayı vermemeniz, üyelik oluşturmanıza veya sipariş vermenize engel değildir.

Açık rızaya dayanan işleme faaliyetlerimiz sınırlıdır ve aşağıda sayılmıştır. Bunların dışındaki faaliyetler, bu metnin ilgili maddesinde gösterilen ve açık rıza dışındaki hukuki sebeplere dayanır.

Açık rızanızı dilediğiniz zaman, gerekçe göstermeksizin ve ücretsiz olarak geri alabilirsiniz; bunun için info@nextgenlab.com.tr adresine talep gönderebilir, bültenlerin altındaki abonelikten çık bağlantısını kullanabilir, üyelik hesabınızın iletişim tercihleri bölümünden, çerez tercih panelinden, mobil uygulamanın bildirim tercihleri ekranından ya da cihazınızın işletim sistemi ayarlarından seçimlerinizi değiştirebilirsiniz. Geri alma talebi geleceğe etkilidir; geri alma anına kadar hukuka uygun olarak gerçekleştirilmiş işlemleri geçersiz kılmaz. Rızanın geri alınmasından sonra, veriye ilişkin başka bir hukuki sebep (örneğin mali mevzuattan doğan saklama yükümlülüğü) bulunmuyorsa veri, saklama ve imha politikamızdaki periyot içinde imha edilir.

• Ticari elektronik ileti (e-posta bülteni, kampanya ve doğum günü e-postaları) gönderimi; onayınız tarih, kaynak ve IP adresiyle kayda alınır ve her iletideki bağlantıdan veya hesap tercihlerinizden geri alınabilir.
• Mobil uygulamada kampanya, indirim, yeni ürün ve etkinlik duyurusu içeren anlık bildirim gönderilmesi; uygulamaya bugün sunucudan yalnızca, izin vermeniz hâlinde, kendi siparişlerinizin durumuna ilişkin işlemsel anlık bildirimler gönderilir; tanıtım içerikli bir gönderim başlatılırsa yalnızca ayrıca vereceğiniz onayla yapılır. Sipariş, ödeme, teslimat ve damga hareketlerine ilişkin işlemsel bilgilendirmeler bu kapsamda değildir.
• Zorunlu olmayan tercih çerezlerinin kullanılması; pazarlama çerezleri aracılığıyla Meta Pixel ile reklam ölçümü ve yeniden hedefleme yapılması. Analitik ve performans çerezleri için bugün veri işlenmediğinden rıza istenmez.
• Değerlendirme sonuçlanmış olsa dahi çalışan adayı başvurusunun ileride açılacak pozisyonlar için aday havuzunda saklanması.
• Tarafınızca gönderilen ve kimliğinizi tanınabilir kılan görsel/işitsel içeriğin (örneğin ürün fotoğrafı veya video) sosyal medya hesaplarımızda paylaşılması.

10. Kişisel Verilerin Toplanma Yöntemleri

Kişisel verileriniz, Kanun'un 5. ve 6. maddelerinde belirtilen işleme şartlarına dayanılarak, tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla aşağıdaki kanallardan toplanır.

• Elektronik formlar: https://laffogato.net ve mobil uygulama üzerindeki üyelik, giriş, parola sıfırlama, profil, adres, sepet, ödeme, karaoke rezervasyonu ve bülten abonelik formları; iade ve cayma talepleri e-posta veya telefonla iletilir.
• Otomatik altyapı kayıtları: Sunucu ve uygulama log kayıtları, güvenlik ve hata kayıtları, oturum bilgileri, yönetici işlemlerine ilişkin olay kaydı.
• Çerezler ve benzeri teknolojiler: Tarayıcınıza yerleştirilen çerezler ve yerel depolama (sepetin cihazınızda tutulması dahil). Pazarlama çerezlerine açık rıza vermeniz hâlinde ayrıca Meta Pixel çalışır: gezdiğiniz sayfaların adresi, ürün ve karaoke rezervasyonu olayları (içerik kimliği, tutar, para birimi), IP adresi, tarayıcı bilgisi ile _fbp ve _fbc tanımlayıcıları işlenir; ad, e-posta adresi ve telefon numarası bu olaylara eklenmez. İnternet sitemizde bugün analitik etiketi ve Google'ın reklam etiketleri kullanılmaz.
• Mobil uygulama: Uygulama üzerinden doldurduğunuz formlar ve gerçekleştirdiğiniz işlemler; sunucumuza yapılan isteklerde oluşan IP adresi, istemci bilgisi (user-agent) ve zaman kayıtları; kafede damga eklenirken kasada okutulan veya girilen kasa kodu. Uygulama konum, reklam tanımlayıcısı veya çökme kaydı toplamaz; sipariş durumu bildirimlerine izin vermeniz hâlinde cihazınıza özgü bildirim jetonu uygulama tarafından sunucumuza gönderilir.
• Sadakat programı kanalları: Mobil uygulamadan verilip ödemesi tamamlanan kafe siparişlerinden otomatik olarak oluşan damga kayıtları ile kafede kasada, uygulamanın gösterdiği kasa kodu okutularak ya da girilerek eklenen damga kayıtları.
• Ödeme altyapısı: laffogato.net üzerindeki güvenli ödeme sayfasında girdiğiniz kart bilgileri (kaydedilmeden yalnızca PayNkolay'a iletilir); ödeme hizmeti sağlayıcısı PayNkolay'ın işlem doğrulama servisine sunucumuzdan yapılan sorgu ile alınan işlem sonucu, referans kodu ve maskelenmiş kart bilgisi; kartını kaydetmeyi seçen üyeler için ödeme sayfasında gösterilmek üzere PayNkolay'ın kart saklama hizmetinden alınan kartın son dört hanesi, kartı veren banka veya kart markası ve kart takma adı; itirazlarda bankanın ve PayNkolay'ın ilettiği bilgiler.
• Kargo ve teslimat kanalları: Geliver kargo gönderi platformunun sitemize bildirdiği gönderi durumu ve takip bilgileri ile kafe siparişlerinde kurye teslimatına ilişkin kayıtlar.
• Yazılı ve sözlü iletişim: info@nextgenlab.com.tr adresine gönderilen e-postalar, +90 536 429 09 19 numarası üzerinden yapılan görüşmeler, Postane Mah. Atatürk Cad. No: 28 İç Kapı No: 1, 34940 Tuzla/İstanbul, Türkiye adresine yapılan yazılı başvurular.
• Sosyal medya kanalları: https://instagram.com/laffogatto, https://tiktok.com/@laffogatto ve https://youtube.com/@laffogatto hesapları üzerinden gönderdiğiniz mesaj ve yorumlar. Bu platformların kendi veri işleme faaliyetleri, ilgili platformun kendi politikalarına tabidir.
• Fiziki kanallar: Kafede doldurulan etkinlik formları, kafe içi satış belgeleri, giriş noktalarında bildirim levhası bulunan alanlardaki kapalı devre kamera sistemi.
• Üçüncü kişilerden dolaylı toplama: Hediye/başkasına gönderim siparişlerinde alıcının ad, adres ve telefon bilgisi sipariş veren tarafından iletilir. Bu hâlde sipariş veren, alıcıyı bu metin hakkında bilgilendirmekle yükümlüdür; tarafımız, teslimatın gerektirdiği asgari veriyi işler.

11. Çerezler ve Benzeri Teknolojiler

İnternet sitemizde, hizmetin sunulabilmesi ve deneyimin iyileştirilmesi amacıyla çerezler ve benzeri teknolojiler kullanılır. Çerezler işlevlerine göre ayrıştırılır ve zorunlu olmayan çerezler yalnızca açık rızanızla çalıştırılır. İnternet sitemizde bugün analitik etiketi ve Google'ın reklam etiketleri kullanılmaz; bu nedenle analitik/performans çerezleri yerleştirilmez ve çerez tercih paneli bu kategoriyi sormaz. Pazarlama çerezleri ise yalnızca panelde vereceğiniz açık rızayla çalışır: bu durumda Meta Platforms Ireland Ltd.'nin Meta Pixel'i yüklenir ve Meta'nın _fbp ile _fbc çerezleri yerleştirilir (ayrıntı ve süreler Çerez Politikası'ndadır). Rızanızı çerez tercihlerinden her zaman geri alabilirsiniz; geri aldığınızda Meta'ya yeni veri gönderilmez ve bu çerezler cihazınızdan silinir.

Çerez tercihlerinizi, siteye ilk girişte sunulan tercih paneli üzerinden veya daha sonra dilediğiniz zaman aynı panelden değiştirebilirsiniz. Tarayıcı ayarlarınızdan çerezleri silmeniz veya engellemeniz de mümkündür; ancak zorunlu çerezlerin engellenmesi hâlinde oturum açma, sepet ve ödeme gibi temel işlevler çalışmayabilir.

Mobil uygulamada çerez kullanılmaz; oturum bilgisi cihazın güvenli alanında, tercihler uygulama içi yerel depolamada tutulur. Uygulamada reklam, analitik veya ölçümleme amaçlı yazılım geliştirme kiti (SDK) bulunmaz ve cihazın reklam tanımlayıcısına erişilmez. Bildirim, kamera ve fotoğraf izinlerine ilişkin tercihlerinizi cihazınızın işletim sistemi ayarlarından her zaman değiştirebilirsiniz.

• Zorunlu (teknik) çerezler: Oturum kimliği, güvenlik doğrulaması, yük dengeleme ve sepetin korunması için gereklidir. Hukuki sebebi sözleşmenin ifası ve meşru menfaattir; açık rıza aranmaz.
• Tercih çerezleri: Dil, görünüm ve daha önce yapılmış seçimlerin hatırlanmasını sağlar. Açık rızaya tabidir.
• Analitik/performans çerezleri: Sayfa görüntüleme, gezinme akışı ve hata oranlarının ölçülmesini sağlar; mümkün olduğunca toplulaştırılmış biçimde kullanılır. Açık rızaya tabidir. Bugün kullanılmaz.
• Pazarlama çerezleri: Kampanya etkinliğinin ölçülmesi ve ilgi alanına göre içerik sunulması amacıyla kullanılabilir. Yalnızca açık rızanızla çalıştırılır; rıza verilmediğinde yerleştirilmez. Bugün kullanılmaz.
• Yerel depolama: Sepet içeriği tarayıcınızın yerel depolama alanında tutulabilir. Bu veri cihazınızda kalır; siparişi tamamlamadığınız sürece sunucularımıza taşınmaz.

12. Mobil Uygulamaya İlişkin Ek Aydınlatma

iOS ve Android platformları için yayımlanan L'Affogato mobil uygulaması; menü görüntüleme, kafe ve mağaza siparişi, üyelik yönetimi, sadakat kartının (damga) takibi ve kafede kasa koduyla damga eklenmesi, karaoke rezervasyonu, Kahve Modu ve cihazda planlanan hatırlatmalar işlevlerini sunar. Bu metinde internet sitesi için açıklanan işleme amaçları, hukuki sebepler, aktarım kuralları, saklama süreleri ve haklarınız, niteliğine uygun düştüğü ölçüde mobil uygulama için de geçerlidir; uygulamaya özgü hususlar aşağıda ayrıca gösterilmiştir.

Uygulama, App Store ve Google Play uygulama mağazaları üzerinden dağıtılır. İndirme, güncelleme ve mağaza hesabınıza ilişkin veriler ilgili mağaza işletmecisinin kendi politikalarına tabidir ve tarafımızca erişilmez. Uygulama içi satın alma yöntemi kullanılmaz; siparişlerinizin ödemesi, internet sitesinde olduğu gibi ödeme hizmeti sağlayıcısı PayNkolay altyapısı üzerinden ve her kartlı ödemede 3D Secure doğrulamasıyla gerçekleştirilir. Kart bilgileri, uygulamanın cihazınızın tarayıcı penceresinde açtığı laffogato.net güvenli ödeme sayfasında girilir.

Cihaz izinleri (bildirim; Kahve Modu için kamera ve fotoğraf arşivi; masadan sipariş için kamera) uygulamanın kurulumunda değil, ilgili özelliğin ilk kez kullanıldığı anda istenir. Uygulama konum izni istemez; tek şube bulunduğundan konuma bağlı bir işlev yoktur ve teslimat adresi üyenin kendi adres defterinden seçilir. İzin vermemeniz hâlinde yalnızca o özellik çalışmaz; uygulamanın geri kalanını kullanmaya devam edebilirsiniz. Verdiğiniz izinleri cihazınızın işletim sistemi ayarlarından dilediğiniz zaman geri alabilirsiniz.

Uygulamayı cihazınızdan kaldırmanız, üyelik hesabınızın ve bu hesaba bağlı verilerin silinmesi anlamına gelmez; hesabınızın kapatılmasını ve verilerinizin imhasını istiyorsanız bu metnin ilgili kişinin hakları ve başvuru maddelerinde gösterilen yolları kullanabilirsiniz. Sipariş durumu bildirimlerine izin verdiyseniz sunucumuzda tutulan bildirim jetonu, uygulamada oturumu kapattığınızda uygulamanın silme isteği sunucumuza ulaştığında hemen silinir; bu istek ulaşamazsa (telefon o sırada çevrim dışıysa) ya da uygulamayı oturumu kapatmadan kaldırırsanız jeton, Apple veya Google jetonun artık bir cihaza ulaşmadığını bildirdiğinde, en geç ise uygulama jetonu 180 gün boyunca yenilemediğinde periyodik imhada silinir.

Uygulama sürümlerinin güncel tutulması güvenlik açısından önemlidir; desteklenen en düşük sürümün altındaki sürümlerde bazı işlevler çalışmayabilir. Güncellemeler, uygulama mağazasının kuralları çerçevesinde sunulur.

Kahve Modu özelliğinde çektiğiniz veya seçtiğiniz içecek fotoğrafı yalnızca cihazınızda işlenir; Story görseli de cihazınızda oluşturulur ve fotoğraf şirketimize ya da başka bir yere gönderilmez. Görselin üzerindeki kahve modu fotoğrafa bakılarak seçilmez; görseli yalnızca siz, cihazınızın paylaşım ekranından seçtiğiniz yerde paylaşırsınız.

• Bağlantı verisi: sunucumuza yapılan isteklerde IP adresi, cihazın işletim sisteminin eklediği istemci bilgisi (user-agent) ve isteğin zamanı. Hukuki sebep: KVKK m.5/2-c hizmetin sunulması ve m.5/2-f meşru menfaat (güvenlik ve hata giderme). Uygulama cihazın reklam tanımlayıcısına (iOS'ta IDFA, Android'de AAID) erişmez ve izleme (App Tracking Transparency) izni istemez; uygulamada reklam veya ölçümleme kiti bulunmaz.
• Bildirimler: Uygulama bildirim iznini ilk açılışta istemez; işletim sisteminin izni yalnızca bir hatırlatmayı açtığınızda, ödenmiş karaoke odası rezervasyonunuzun hatırlatması için ya da siparişinizi verdikten sonra ödeme sonucu ve sipariş takip ekranlarında sunulan 'Siparişin hazır olunca haber verelim mi?' seçeneğine dokunduğunuzda istenir. Hatırlatmalar için verdiğiniz izin bildirim jetonunun sunucumuza gönderilmesine yol açmaz; jeton yalnızca bu seçeneğe dokunup izin verdiğinizde gönderilir (izin daha önce verilmişse yeniden sorulmaz, dokunmanız yeterlidir). Bu seçenekte izin verirseniz uygulama, anlık bildirim hizmeti Expo'dan cihazınıza özgü bildirim jetonunu alır ve oturum açtığınız üyelik hesabınız üzerinden sunucumuza gönderir; sunucumuzda jeton, üyelik e-posta adresiniz, cihazın platformu (iOS veya Android) ve jetonun kaydedildiği ve en son yenilendiği zaman tutulur. Jeton yalnızca kendi siparişlerinizin durumuna ilişkin işlemsel bildirimler için kullanılır: kafe siparişinin hazırlanmaya başlaması, gel-al siparişinin tezgâhta hazır olması, kurye siparişinin kuryeyle yola çıkması, online mağaza siparişinin kargoya verilmesi ve ödenmiş bir siparişin iptal edilmesi. Ödeme onayı e-postayla iletilir; siparişin masanıza getirilmesi ve kasada girilen siparişler için anlık bildirim gönderilmez. Bildirim yalnızca sipariş numarasını ve aşamayı içerir (örneğin '#10234 numaralı siparişin hazır, tezgâhta seni bekliyor.'); adınız, adresiniz, telefon numaranız, ürünler ve tutarlar yazılmaz. Bildirim ve jeton, Expo üzerinden Apple Push Notification service veya Firebase Cloud Messaging aracılığıyla cihazınıza ulaştırılır (14. ve 15. bölüm). Pazarlama içerikli anlık bildirim gönderilmez. Bu bildirimleri uygulamadaki Bildirimler ekranında veya sitede hesabınızın Bildirim tercihleri sayfasında sipariş durumu tercihini kapatarak ya da cihaz ayarlarından durdurabilirsiniz; sipariş durumu uygulama içindeki bildirimler ekranında, damgalarınız uygulamadaki damga kartınızda gösterilmeye devam eder. Gel-al siparişiniz hazır olduğunda bu bildirim cihazlarınızın hiçbirine ulaştırılamamışsa ve sipariş durumu tercihini kapatmadıysanız siparişin e-posta adresine bir kez 'Siparişin hazır' e-postası gönderilir. Hukuki sebep: KVKK m.5/2-c; bu bildirimler ve e-posta işlemseldir, 6563 sayılı Kanun anlamında ticari elektronik ileti sayılmaz. Hatırlatmalar cihazınızda planlanır ve sunucumuza bildirilmez.
• Çökme ve kullanım kayıtları: Uygulama çökme raporu, ekran görüntüleme veya tıklama kaydı toplamaz. Sunucumuzun kendi erişim ve hata kayıtları bilgi güvenliği ve hata giderme amacıyla tutulur. Hukuki sebep: KVKK m.5/2-f meşru menfaat.
• Konum: Uygulama konum izni istemez; tek şube bulunduğundan konuma bağlı bir işlev yoktur ve teslimat adresi üyenin kendi adres defterinden seçilir.
• Kamera ve fotoğraf arşivi: Kahve Modu özelliğinde fotoğraf çekmeyi veya galeriden seçmeyi siz başlattığınızda istenir; fotoğraf yalnızca cihazınızda işlenir ve şirketimize gönderilmez. Kahve Modu Story görselini cihazınıza kaydetmeyi seçtiğinizde fotoğraflara kaydetme izni istenir. Masadaki QR kodunu okutarak sipariş vermeyi seçtiğinizde kamera yalnızca okutma ekranında kullanılır; görüntü kaydedilmez, yalnızca masa kodu okunur. Kafede damga için uygulama sizin kameranızı kullanmaz: kasada, uygulamanın gösterdiği kasa kodunu personel okutur. Kasa yetkisi tanımlanmış personel hesaplarında kamera, üyenin kasa kodunu okutmak için de kullanılır; görüntü kaydedilmez ve yalnızca kodun içeriği okunur.

13. Sadakat (Damga) Programı Kapsamında Veri İşleme

L'Affogato sadakat programı damga esaslıdır. Mobil uygulamadan verilen ve ödemesi tamamlanan kafe siparişleri, Ödül Programı Kuralları'nda belirtilen koşullarda damga kazandırır; kafede kasada personel tarafından da damga eklenebilir. Online mağaza (kargo) siparişleri damga kazandırmaz. Kart dolduğunda talebinizle bir ücretsiz içecek kuponuna çevrilir. Programa katılım üyeliğe bağlıdır, zorunlu değildir ve katılmamanız alışveriş yapmanıza engel değildir.

Programda puan yoktur; damganın kendi başına parasal bir karşılığı yoktur ve sipariş bedeli damga ile ödenemez. Siparişin iptali, iadesi veya cayma hakkının kullanılması hâlinde o siparişten kazanılan damga geri alınır; sipariş iptal edilirse siparişte kullanılan kupon hesabınıza geri tanımlanır. Kuponla karşılanan kısım için hiçbir hâlde nakit ödeme yapılmaz; fiilen ödenen tutar ise iade hükümlerine göre iade edilir. Programın bütün kuralları https://laffogato.net/hukuk/odul-programi adresindeki Ödül Programı Kuralları'ndadır.

Programın yürütülmesi için yapılan veri işleme ile ticari elektronik iletiler birbirinden ayrılır: damga kazanımı, kart, kademe ve kupon takibi sözleşmenin ifasına dayanır; kampanya e-postaları ise yalnızca ayrıca verdiğiniz onayla gönderilir. Alışveriş veya harcama geçmişinize dayalı segmentasyon ya da profilleme yapılmaz.

• Damga ve kupon verisi: damga hareketleri (kazanım, geri alma, ödül), hareketin kaynağı (uygulama siparişi veya kasa), damgayı kazandıran sipariş ve hareketin tarihi; hesabınıza tanımlanan ücretsiz içecek, kilometre taşı ve davet kuponları ile bunların kullanım durumu. Hukuki sebep: KVKK m.5/2-c.
• Kademe verisi: son 365 gündeki ödenmiş sipariş sayınızdan hesaplanan kademeniz; kademe uygulamada gösterilir ve kademeye bağlı avantajların (örneğin karaoke rezervasyonunda kademe indirimi) uygulanmasında kullanılır. Hukuki sebep: KVKK m.5/2-c. Bu veriler segmentasyon veya profilleme amacıyla analiz edilmez.
• Kasada damga: Kasada damga eklenirken uygulamanın gösterdiği kasa kodunun yalnızca özet (hash) değeri, geçerlilik süresi ve kullanıldığı an kaydedilir; damga hareketine işlemi yapan personelin kimliği yazılır ve kasada işlem yapan personele adınız, maskelenmiş e-posta adresiniz ve kart durumunuz gösterilir. Kod okunamazsa personel kodun 8 karakterini elle girer; e-posta adresinizle damga eklenmez. Hukuki sebep: KVKK m.5/2-c. Uygulama damga için sizin kameranızı kullanmaz; kodu personel kendi cihazıyla okutur.
• Davet programı: davet kodunuz, davet eden ve edilen üye kaydı, davetin durumu ve tarihleri ile davet nedeniyle tanımlanan kupon işlenir; davet eden üye, davet ettiği kişinin adını ve soyadının yalnızca baş harfini görür. Hukuki sebep: KVKK m.5/2-c.
• Damga durumu, dolan kart ve tanımlanan kuponlara ilişkin işlemsel bilgiler sözleşmenin ifası kapsamında uygulama içinde ve kupon tanımlandığında e-posta ile iletilir; kampanya ve indirim duyuruları ise ticari elektronik ileti niteliğindedir ve yalnızca onayınızla gönderilir.
• Suistimalin önlenmesi: Aynı siparişten mükerrer damga kazanımı, kasa kodunun başkasıyla paylaşılması veya çoğaltılması ve program kurallarının kötüye kullanılması hâllerinin tespiti için damga ve kupon hareketleri incelenebilir. Hukuki sebep: KVKK m.5/2-f meşru menfaat.
• Damga ve kupon kayıtları üyelik devam ettiği sürece saklanır; hesap kapatıldığında bu kayıtlardaki e-posta adresi anonim bir değerle değiştirilir. Kasa kodu kayıtları, kullanıldıktan veya süresi dolduktan sonra, en geç bir sonraki kasa işleminde silinir.

14. Kişisel Verilerin Aktarılması

Kişisel verileriniz, Kanun'un 8. maddesinde öngörülen şartlar çerçevesinde ve yalnızca aşağıda gösterilen amaçlarla sınırlı olarak aktarılır. Aktarım her hâlde ölçülülük ilkesine uygun yapılır; alıcıya, amacın gerektirdiğinden fazla veri iletilmez. Kişisel verileriniz hiçbir koşulda satılmaz, kiralanmaz veya bu metinde gösterilmeyen bir amaçla üçüncü kişilerin serbest kullanımına açılmaz.

Veri işleyen sıfatıyla hizmet aldığımız tedarikçilerle, Kanun'un 12. maddesi uyarınca veri işleme sözleşmeleri akdedilir; bu sözleşmelerde gizlilik, amaçla sınırlı işleme, alt işleyen kullanımının denetimi, güvenlik tedbirleri ve ihlal bildirimi yükümlülükleri düzenlenir.

15. Kişisel Verilerin Yurt Dışına Aktarılması

Hizmet altyapımızın bir kısmı (uygulama barındırma ve içerik dağıtım ağı, PostgreSQL veri tabanı, üyelik kimlik doğrulaması, e-posta gönderimi ve mobil uygulamaya anlık bildirim iletimi) yurt dışında yerleşik hizmet sağlayıcılar tarafından sunulmaktadır. Uygulama barındırma hizmetinin sunucu işlevleri Almanya'da (Frankfurt), e-posta gönderim hizmeti İrlanda'daki bölgede çalışır; veri tabanının ve üyelik girişinin sunucu bölgeleri aşağıdaki alıcılar satırında yazılıdır. Bu nedenle kişisel verileriniz yurt dışındaki sunucularda işlenir ve yurt dışına aktarılır. Uygulama mağazaları (App Store ve Google Play) uygulamayı mağaza hesabınız kapsamında kendi adlarına dağıtır; bu kanalla tarafımızca kişisel veri aktarılmaz (14. bölüm). Sipariş durumu anlık bildirimleri ise mağaza kanalıyla değil, aşağıda sayılan anlık bildirim hizmeti üzerinden Apple ve Google'ın bildirim servislerine iletilir. Ziyaret sayfasındaki 'Haritayı göster' bağlantısı Google Haritalar'ı yeni sekmede açar; sayfamıza harita gömülmez ve bu bağlantıyla tarafımızca Google'a kişisel veri aktarılmaz. İnternet sitemizde bugün analitik etiketi ve Google'ın reklam etiketleri kullanılmaz. Meta Pixel ise yalnızca pazarlama çerezlerine açık rıza vermeniz hâlinde çalışır; bu durumda sayfa ve olay verileriniz aşağıdaki alıcılar satırında yazılı Meta Platforms Ireland Ltd.'ye (İrlanda; Meta, verileri grup şirketleri aracılığıyla ABD dâhil başka ülkelerde de işleyebilir) iletilir. Bu aktarım, diğerlerinden farklı olarak standart sözleşmeye değil, çerez panelinde verdiğiniz açık rızaya dayanır ve rızanızı geri aldığınızda durur.

Kanun'un 9. maddesi ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik yurt dışına aktarımı sıralı mekanizmalara bağlar. Öncelikle aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında Kurul tarafından verilmiş bir yeterlilik kararı bulunup bulunmadığına bakılır. Yeterlilik kararının bulunmadığı hâllerde aktarım, Kanun'da sayılan uygun güvencelerden birinin sağlanmasını gerektirir.

Aktarım yapılan ülkelerin hiçbiri hakkında Kurul'un verdiği bir yeterlilik kararı bulunmadığından, bu aktarımlar Kanun'un 9. maddesinin dördüncü fıkrası uyarınca Kurul tarafından ilan edilen standart sözleşmeye (veri sorumlusundan veri işleyene) dayandırılacaktır. Bu sözleşmeleri aşağıda sayılan sağlayıcılarla imzalama sürecimiz devam etmektedir; her sözleşme imzaların tamamlanmasından itibaren beş iş günü içinde Kurum'a bildirilir ve hangi sağlayıcıyla hangi tarihte imzalandığı bu bölümde yazılır. Bu aktarımlar her sayfa açılışında, girişte, siparişte, e-postada ve anlık bildirimde tekrarlandığından arızi değildir ve açık rızanıza dayandırılmaz. Bunun tek istisnası, yalnızca sizin pazarlama çerezlerine verdiğiniz açık rızayla çalışan Meta Pixel'dir (yukarıdaki açıklamaya ve alıcılar satırına bakınız). Tek seferlik, arızi bir aktarım gerekirse yalnızca Kanun'un 9. maddesinin altıncı fıkrasındaki hâllerde ve açık rızaya dayanacaksa olası riskler size ayrıca anlatılarak yapılır.

Yurt dışına aktarım her hâlde asgari veri ilkesiyle yürütülür: barındırma, veri tabanı, kimlik doğrulama, e-posta ve anlık bildirim altyapısı için ilgili sağlayıcıya yalnızca hizmetin sunulması için gereken veriler iletilir; anlık bildirim sağlayıcılarına yalnızca bildirim jetonu, bildirimin metni ve bildirime dokunulduğunda açılacak sipariş ekranının bağlantısı iletilir. Kart bilgileri laffogato.net üzerindeki güvenli ödeme sayfasında girilir ve şifreli bağlantıyla yalnızca ödeme hizmeti sağlayıcısı PayNkolay'a iletilir; bu sırada yalnızca işlem süresince barındırma hizmetinin sunucu belleğinde bulunur, hiçbir veri tabanına, log kaydına veya dosyaya yazılmaz.

• Aktarım gerekçeleri: Uygulama barındırma ve dağıtımı (içerik dağıtım ağı ile sunucu tarafındaki hata ve performans kayıtları dâhil), PostgreSQL veri tabanı hizmeti ve yedekleme, üyelik kimlik doğrulaması, e-posta gönderimi ile kesinleşen karaoke rezervasyonlarının ve ödeme uyarılarının ekibimize bildirilmesi ve izin vermeniz hâlinde sipariş durumu anlık bildirimlerinin mobil uygulamaya iletilmesi.
• Alıcılar ve bilinen konumlar (standart sözleşmenin durumu her alıcının yanında yazılıdır): uygulama barındırma, içerik dağıtım ağı ve sunucu hata ve performans kayıtları Vercel Inc. (ABD; sunucu işlevleri Almanya, Frankfurt; imza sürecinde); e-posta gönderimi Resend (Plus Five Five, Inc.; ABD; gönderim bölgesi İrlanda; imza sürecinde); PostgreSQL veri tabanı Neon (Databricks, Inc. / Neon, LLC; ABD; sunucu bölgesi ABD, Ohio; imza sürecinde); üyelik kimlik doğrulaması Supabase (Supabase Pte. Ltd.; Singapur; proje bölgesi Singapur; imza sürecinde); sipariş durumu anlık bildirimlerinin iletilmesi Expo (650 Industries, Inc.; ABD; sunucu bölgesi ABD, Google Cloud; imza sürecinde), bildirimin iOS cihazlara ulaştırılması Apple Inc. (ABD; Apple Push Notification service; imza sürecinde) ve Android cihazlara ulaştırılması Google LLC (ABD; Firebase Cloud Messaging; imza sürecinde); fatura düzenlenmesi Paraşüt Yazılım Teknolojileri A.Ş. (Türkiye; veriler ona yurt içinde aktarılır; Paraşüt kendi altyapı tedarikçilerinin yurt içinde veya yurt dışında bulunabileceğini bildirdiğinden, fatura verisinin hangi ülkede barındırıldığı Paraşüt'ün yazılı beyanıyla bu satıra yazılacaktır). Reklam ölçümü ve yeniden hedefleme (Meta Pixel) için yalnızca pazarlama çerezlerine açık rıza vermeniz hâlinde Meta Platforms Ireland Ltd. (İrlanda; Meta, verileri grup şirketleri aracılığıyla ABD dâhil başka ülkelerde de işleyebilir; bu alıcı için standart sözleşme kullanılmaz, aktarım açık rızanıza dayanır).
• Aktarılan veri kategorileri: Kimlik, iletişim, müşteri işlem, sadakat (damga) programı, karaoke rezervasyon, hesap-güvenlik ve işlem güvenliği verileri; internet sitesi ziyaretlerinde IP adresi ve tarayıcı bilgisi; pazarlama çerezlerine açık rıza vermeniz hâlinde Meta'ya sayfa adresi, ürün veya karaoke rezervasyonu olayları (içerik kimliği, tutar, para birimi) ile _fbp ve _fbc tanımlayıcıları; anlık bildirim sağlayıcılarına yalnızca bildirim jetonu, sipariş numarasını ve aşamayı içeren bildirim metni ve sipariş ekranının bağlantısı. Kart bilgileri PayNkolay'a iletilirken yalnızca işlem süresince barındırma hizmetinin sunucu belleğinde bulunur ve hiçbir yere kaydedilmez.
• Güvence yöntemi: Kurul tarafından ilan edilen standart sözleşme (veri sorumlusundan veri işleyene); her sağlayıcı için imza ve bildirim durumu yukarıdaki alıcılar satırında yazılıdır. Bu aktarımlar için bağlayıcı şirket kuralları, taahhütname veya açık rıza kullanılmaz. Meta Pixel bunun tek istisnasıdır: o aktarım yalnızca çerez panelinde pazarlama çerezlerine verdiğiniz açık rızaya dayanır; rızanızı geri aldığınızda yeni veri iletilmez.
• Ek teknik tedbirler: Aktarımda ve saklamada şifreleme, erişim yetkilerinin asgari yetki ilkesine göre sınırlanması, sağlayıcılarla veri işleme sözleşmesi akdedilmesi.
• Bilgi talebi hakkı: Hangi verinizin hangi ülkeye ve hangi güvenceyle aktarıldığını info@nextgenlab.com.tr adresine başvurarak öğrenebilirsiniz.

16. Saklama Süreleri ve İmha

Kişisel verileriniz, ilgili mevzuatta bir süre öngörülmüşse bu süre boyunca; öngörülmemişse işlendikleri amaç için gerekli olan süre kadar saklanır. Süre sona erdiğinde veya işlemenin dayanağı ortadan kalktığında veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca resen ya da talebiniz üzerine silinir, yok edilir veya anonim hale getirilir.

Periyodik imha, Yönetmelik'te öngörülen azami aralığı aşmayacak şekilde altı ayda bir gerçekleştirilir. İmha işlemleri kayıt altına alınır ve bu kayıtlar, Yönetmelik uyarınca ayrıca saklanır. Yedekleme ortamlarında bulunan veriler, teknik olarak anında silinemediği hâllerde erişime kapatılır ve ilk yedek döngüsünde imha edilir.

Saklama süreleri, Kişisel Veri Saklama ve İmha Politikası'nda süreç bazında ayrıntılı olarak gösterilmiştir. Başlıca süreler aşağıdaki gibidir.

17. Özel Nitelikli Kişisel Veriler ve Alerjen Bildirimleri

Faaliyetlerimiz kapsamında, kural olarak Kanun'un 6. maddesinde sayılan özel nitelikli kişisel veriler işlenmez. Üyelik, sipariş, ödeme, teslimat ve destek süreçlerinde sağlık, din, etnik köken, biyometrik veri gibi özel nitelikli veri talep edilmez; formlarımızda bu verilere ilişkin zorunlu alan bulunmaz.

Bununla birlikte, gıda ürünü satan ve kafe işleten bir işletme olarak alerjen bilgisi hassas bir konudur. Ürün sayfalarımızda ve menümüzde alerjen bilgilendirmesi, Türk Gıda Kodeksi Gıda Etiketleme ve Tüketicileri Bilgilendirme Yönetmeliği uyarınca ürün bazında yapılır; bu bilgilendirme, kişiye özgü bir veri işleme faaliyeti değildir.

Sipariş notunda veya kafede sözlü olarak kendi inisiyatifinizle bir alerji ya da diyet kısıtı bildirmeniz hâlinde, bu beyan sağlık verisi niteliği taşıyabilir. Böyle bir bildirimi, yalnızca ilgili siparişin hazırlanması ve size doğru ürünün sunulması amacıyla, Kanun'un 6. maddesi kapsamında açık rızanıza dayanarak işleriz. Bu veri, siparişi hazırlayan asgari sayıda yetkiliyle sınırlı olarak görülür, pazarlama amacıyla kullanılmaz, profilleme girdisi yapılmaz ve siparişin tamamlanmasının ardından sipariş notundan silinir veya anonimleştirilir.

Alerji bilgisini paylaşmak istemiyorsanız, sipariş öncesinde info@nextgenlab.com.tr veya +90 536 429 09 19 üzerinden ürün içeriğini sorabilir ve kararınızı bu bilgiye göre verebilirsiniz. Üretim alanlarımızda çapraz bulaşma riski bulunduğundan, ciddi alerjisi olan tüketicilerimizin ürünü tüketmeden önce mutlaka bilgi almasını öneririz.

Özgeçmişinizde veya bize gönderdiğiniz belgelerde talep edilmediği hâlde yer alan özel nitelikli veriler (sağlık raporu, adli sicil bilgisi, fotoğraf gibi) değerlendirmeye alınmaz; tespit edildiğinde ilk imha periyodunda silinir.

18. Çocukların Kişisel Verileri

https://laffogato.net üzerinden sunulan üyelik ve alışveriş hizmetleri, fiil ehliyetine sahip kişilere yöneliktir. Onsekiz yaşından küçük kişilerin kendi adlarına üyelik oluşturması ve sipariş vermesi öngörülmemiştir; sipariş süreçlerinde ödeme, kendi adına kart kullanma yetkisine sahip kişiler tarafından gerçekleştirilir.

Bir çocuğa ait kişisel verinin, veli veya vasinin onayı olmaksızın tarafımıza iletildiğini öğrendiğimizde, söz konusu veri gecikmeksizin ve saklama yükümlülüğü bulunmadığı sürece imha edilir. Bu yöndeki bildirimlerinizi info@nextgenlab.com.tr adresine iletebilirsiniz.

Kafe içi etkinliklerimizde çocuklara ilişkin görüntü alınması gerekiyorsa, bu yalnızca veli veya vasinin ayrıca alınmış açık rızasıyla ve rızanın kapsamıyla sınırlı olarak yapılır.

19. Veri Güvenliğine İlişkin Alınan Tedbirler

Kanun'un 12. maddesi uyarınca, kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik idari ve teknik tedbirler alınmaktadır. Alınan başlıca tedbirler aşağıda gösterilmiştir.

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin tespit edilmesi hâlinde, durum en kısa sürede ilgili kişiye ve Kurul'a bildirilir; bu kapsamda Kurul'un veri ihlali bildirimine ilişkin usul ve süreleri esas alınır.

• Teknik: Tüm trafiğin TLS ile şifrelenmesi; Veri tabanına erişimin yalnızca sunucu tarafından yapılması ve ayrıcalıklı anahtarların yalnızca sunucu tarafında tutulması; satır düzeyi güvenlik (RLS) politikalarının ek bir savunma katmanı olarak bırakılması.
• Teknik: Kullanıcı parolalarının bcrypt algoritmasıyla özetlenerek saklanması; parolaların açık metin olarak hiçbir aşamada kaydedilmemesi veya e-posta ile gönderilmemesi.
• Teknik: Yönetim paneline erişimin zaman tabanlı tek kullanımlık kod (TOTP) ile iki aşamalı doğrulamaya tabi tutulması; oturum çerezlerinin imzalanması, httpOnly ve sınırlı ömürle kullanılması.
• Teknik: Giriş denemelerine hız sınırlaması ve geçici kilitleme uygulanması; şüpheli erişim girişimlerinin loglanması ve incelenmesi.
• Teknik: Tüm yönetici mutasyonlarının değiştirilemez olay kaydına (audit log) yazılması; kim, ne zaman, hangi kaydı değiştirdi bilgisinin izlenebilir olması.
• Teknik: Kart bilgilerinin laffogato.net üzerindeki, üçüncü taraf betik çalıştırmayan ve başka bir siteye gömülemeyen güvenli ödeme sayfasında alınması, yalnızca şifreli bağlantılarla ve yalnızca ödeme hizmeti sağlayıcısı PayNkolay'a iletilmesi; kart numarası, son kullanma tarihi ve güvenlik kodunun hiçbir veri tabanına, log kaydına veya dosyaya yazılmaması; kart denemelerinin sipariş başına, reddedilen denemeler bakımından ayrıca bağlantı başına sınırlanması; her kartlı ödemede 3D Secure doğrulaması; ödeme sonucunun sunucumuzdan PayNkolay işlem doğrulama servisine sorularak teyit edilmesi ve tahsil edilen tutarın sipariş tutarıyla karşılaştırılması; aynı işlem referansının ikinci kez kaydedilememesi.
• Teknik: Düzenli yedekleme, yedeklerin şifreli tutulması, güncelleme ve yama yönetimi, bağımlılık güvenlik taramaları.
• İdari: Erişimlerin görev tanımıyla sınırlı (asgari yetki) verilmesi, yetki envanterinin periyodik gözden geçirilmesi ve görevden ayrılmada erişimin derhâl kaldırılması.
• İdari: Kişisel veriye erişen personel ve hizmet sağlayıcılarla gizlilik taahhütnamesi ve veri işleme sözleşmesi akdedilmesi.
• İdari: Kişisel veri işleme envanteri ile Kişisel Veri Saklama ve İmha Politikası'nın tutulması ve güncel tutulması.
• İdari: Personelin kişisel verilerin korunması ve bilgi güvenliği konusunda düzenli olarak bilgilendirilmesi; veri ihlali müdahale sürecinin tanımlı olması.
• İdari: Yeni bir işleme faaliyeti veya yeni bir hizmet sağlayıcı devreye alınmadan önce veri koruma açısından değerlendirme yapılması.
• Teknik: Mobil uygulamada sunucuyla tüm iletişimin TLS ile şifrelenmesi, oturum belirteçlerinin cihazın güvenli alanında (Keychain/Keystore) saklanması, cihaz izinlerinin yalnızca ilgili özellik ilk kez kullanıldığında istenmesi ve Kahve Modu fotoğrafının cihazdan çıkmaması.

20. Ticari Elektronik İletiler ve İYS

Kampanya, indirim, yeni ürün ve etkinlik duyurularını içeren ticari elektronik iletiler, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik uyarınca yalnızca önceden onayınız alınarak gönderilir. Onaylarınız tarih, kaynak ve IP adresiyle sistemimizde kayıt altına alınır; kampanya e-postaları yalnızca onayı bulunan üyelere ve abonelere gönderilir. İleti Yönetim Sistemi (İYS) kaydı ve doğrulaması, mevzuatın gerektirdiği ölçüde yapılır.

Sipariş onayı, ödeme bildirimi, kargo takibi, iade bilgilendirmesi, parola sıfırlama ve sözleşmesel değişiklik duyuruları gibi işlemsel bildirimler ticari elektronik ileti niteliğinde değildir; bunlar sözleşmenin ifası kapsamında, ayrı bir pazarlama onayına bağlı olmaksızın gönderilir ve bu bildirimlerden çıkmak mümkün değildir.

Mobil uygulamaya sunucudan yalnızca, izin vermeniz hâlinde, kendi siparişlerinizin durumuna ilişkin işlemsel anlık bildirimler (push) gönderilir; pazarlama içerikli anlık bildirim gönderilmez. Siparişinizin durumu, ödeme sonucu, kargo hareketi, iade süreci, damga kazanımı ve tanımlanan kuponlar gibi işlemsel bilgiler uygulamanın ilgili ekranlarında (sipariş durumu, ödülünüzün hazır olması ve kilometre taşı hediyeleri ayrıca bildirimler ekranında; damgalar damga kartınızda) ve gerektiğinde e-posta ile iletilir; bunlar sözleşmenin ifası kapsamındadır ve ticari elektronik ileti sayılmaz. Uygulamada kendi açtığınız hatırlatmalar cihazınızda planlanır ve sunucumuzdan gönderilmez; bunları uygulama içinden veya cihazınızın bildirim ayarlarından dilediğiniz zaman kapatabilirsiniz. Kampanya, indirim, yeni ürün ve etkinlik duyuruları ise ticari elektronik ileti niteliğindedir ve yalnızca ayrıca verdiğiniz onayla gönderilir; bildirimleri cihaz düzeyinde kapatmanız, işlemsel bilgilendirmelerin e-posta yoluyla iletilmesine engel değildir.

Ticari elektronik ileti almayı dilediğiniz zaman ve ücretsiz olarak reddedebilirsiniz. Ret hakkınızı, iletinin içindeki bağlantı üzerinden veya info@nextgenlab.com.tr adresine talep göndererek kullanabilirsiniz. Ret bildiriminiz, mevzuatta öngörülen süre içinde işleme alınır ve bu tarihten sonra tarafınıza ticari elektronik ileti gönderilmez.

21. Otomatik Sistemlerle Analiz ve Profilleme

Hakkınızda, münhasıran otomatik sistemler vasıtasıyla analiz edilmek suretiyle aleyhinize hukuki sonuç doğuran veya sizi benzer şekilde önemli ölçüde etkileyen bir karar alınmaz. Üyelik başvurusunun kabulü, siparişin onayı veya iade talebinin sonuçlandırılması gibi kararlar insan değerlendirmesini içerir.

Ödeme adımında, ödeme hizmeti sağlayıcısı ve kartı veren banka tarafından yürütülen risk ve dolandırıcılık kontrolleri uygulanabilir; bu kontroller sonucunda bir işlem reddedilirse, işlemin neden reddedildiğine ilişkin bilgi ilgili kuruluşun kuralları çerçevesinde sınırlı olabilir. Ayrıca kötüye kullanımı önlemek için kart denemeleri sipariş başına, reddedilen denemeler bakımından ayrıca bağlantı başına otomatik olarak sınırlanır; sınıra ulaşıldığında yeni deneme bir süre kabul edilmez. Böyle bir hâlde info@nextgenlab.com.tr adresine başvurarak konunun insan müdahalesiyle yeniden değerlendirilmesini talep edebilirsiniz.

Alışveriş veya harcama geçmişinize dayalı segmentasyon ya da kişiselleştirilmiş kampanya sunumu yapılmaz; kampanya e-postaları yalnızca onay tercihinize göre gönderilir ve ürün fiyatları, kargo ücretleri veya iade hakkınız hiçbir hâlde farklılaştırılmaz.

Sadakat programında damga kazanımı, kademe ve kuponlar önceden duyurulan program kurallarına göre otomatik olarak hesaplanır; bu hesaplama kişiliğinize yönelik bir değerlendirme içermez. Hesaplamanın hatalı olduğunu düşünüyorsanız info@nextgenlab.com.tr adresine başvurarak insan denetimiyle yeniden incelenmesini isteyebilirsiniz. Harcama geçmişine dayalı profilleme sadakat programının parçası değildir.

Kanun'un 11. maddesi uyarınca, işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkması hâlinde buna itiraz etme hakkınız saklıdır.

22. İlgili Kişinin Hakları (KVKK m.11)

Kanun'un 11. maddesi uyarınca, veri sorumlusu sıfatıyla NextGen Yazılım Ltd. Şti.'ye başvurarak aşağıdaki haklarınızı kullanabilirsiniz.

• Bu hakların kullanılması, açık rızanızı geri alma hakkınızı ve ticari elektronik iletileri reddetme hakkınızı ortadan kaldırmaz; bunlar ayrıca ve her zaman kullanılabilir.
• Silme veya yok etme talebiniz, mali mevzuat veya zamanaşımı gibi bir saklama yükümlülüğü nedeniyle tamamen karşılanamıyorsa, hangi verinin hangi hukuki sebeple ve ne kadar süreyle saklanmaya devam edeceği gerekçesiyle birlikte tarafınıza bildirilir; bu veriler erişimi kısıtlanmış şekilde muhafaza edilir.
• Talebiniz üzerine yapılan işlemlerin sonucu, başvurunuzda belirttiğiniz yönteme uygun olarak yazılı veya elektronik ortamda tarafınıza iletilir.

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme.
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme.
3. Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme.
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme.
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme.
6. Kanun'un 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme.
7. Düzeltme, silme ve yok etme talepleriniz uyarınca yapılan işlemlerin, kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme.
8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme.
9. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

23. Başvuru Yöntemi, Süreler ve Ücret

Kanun'un 13. maddesi ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca haklarınıza ilişkin taleplerinizi aşağıdaki yöntemlerden biriyle iletebilirsiniz. Başvurunuzun Türkçe olması ve kimliğinizi tespite yarayan bilgileri içermesi gerekir.

Başvurunuzda; ad, soyad ve başvuru yazılı ise imza, T.C. kimlik numarası (yabancılar için uyruk, pasaport numarası veya varsa kimlik numarası), tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas elektronik posta adresi, telefon ve faks numarası ile talep konusunun bulunması zorunludur. Talebinize ilişkin bilgi ve belgeleri de eklemeniz, sürecin hızlanmasını sağlar.

Başvurularınız, talebin niteliğine göre en kısa sürede ve her hâlde başvurunun tarafımıza ulaştığı tarihten itibaren en geç otuz gün içinde sonuçlandırılır. Bu süre, ek bilgi veya belge talep edilmesi hâlinde talebin karşılanmasıyla yeniden işlemeye başlayabilir. Kimliğinizin doğrulanamaması hâlinde, verilerin yetkisiz kişilerle paylaşılmaması amacıyla ek bilgi talep edilir.

Başvurunuz kural olarak ücretsiz sonuçlandırılır. Ancak işlemin ayrıca bir maliyet gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret talep edilebilir. Talebiniz tarafımız hatasından kaynaklanıyorsa, alınan ücret iade edilir.

Başvurularınızı üçüncü bir kişi aracılığıyla yapmak istiyorsanız, özel yetkiyi içeren noter onaylı vekâletname sunulması gerekir. Genel vekâletnameler bu kapsamda yeterli kabul edilmez.

24. Kurul'a Şikâyet Hakkı ve Süreleri

Kanun'un 14. maddesi uyarınca, tarafımıza yaptığınız başvurunun reddedilmesi, verdiğimiz cevabı yetersiz bulmanız veya süresinde başvurunuza cevap verilmemesi hâllerinde; cevabı öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

Kanun'un 14. maddesi gereğince, veri sorumlusuna başvuru yolu tüketilmeden Kurul'a şikâyet yoluna başvurulamaz. Bu nedenle, öncelikle bu metnin başvuru maddesinde gösterilen kanallardan biriyle tarafımıza başvurmanızı rica ederiz.

Kanun'un 15. maddesi uyarınca Kurul, şikâyet üzerine yapacağı inceleme sonucunu ilgili kişiye bildirir; şikâyet tarihinden itibaren altmış gün içinde cevap verilmediği takdirde talep reddedilmiş sayılır. Kurul, resen öğrendiği ihlal iddialarını da inceleyebilir.

Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı ile Kanun kapsamındaki suçlara ilişkin şikâyet hakkınız saklıdır. Ayrıca, tüketici sıfatıyla satın aldığınız ürün ve hizmetlere ilişkin uyuşmazlıklar bakımından, her yıl Ticaret Bakanlığınca yeniden değerleme oranında güncellenen parasal sınırlar çerçevesinde tüketici hakem heyetlerine veya tüketici mahkemelerine başvurabilirsiniz.

25. Aydınlatma Metninin Güncellenmesi ve Yürürlük

NextGen Yazılım Ltd. Şti., mevzuat değişiklikleri, Kurul kararları, yeni hizmet ve süreçlerin devreye alınması ya da altyapı sağlayıcılarında yaşanan değişiklikler nedeniyle bu Aydınlatma Metni'ni güncelleme hakkını saklı tutar. Güncel metin her zaman https://laffogato.net adresinde ve mobil uygulamanın ilgili bölümünde yayımlanır; metnin üzerinde sürüm ile son güncelleme tarihi gösterilir.

Kapsamlı değişiklikler (yeni bir işleme amacı eklenmesi, yeni bir alıcı grubuna aktarım başlatılması, saklama sürelerinin uzatılması gibi) hâlinde, üyelerimize kayıtlı e-posta adresleri üzerinden ayrıca bilgilendirme yapılır. Açık rıza gerektiren yeni bir faaliyet söz konusuysa, mevcut rızalar bu faaliyeti kapsamaz; rızanız ayrıca ve yeniden alınır.

Bu metin, bir sözleşme değil bilgilendirme belgesidir; Kanun'dan doğan haklarınızı sınırlandırmaz, bu haklardan feragat ettiğiniz anlamına gelmez ve tüketici mevzuatından doğan haklarınızı etkilemez. Metnin herhangi bir hükmünün emredici mevzuata aykırı olduğunun tespiti hâlinde, o hüküm yerine ilgili mevzuat hükmü uygulanır; metnin geri kalanı yürürlükte kalır.

Aydınlatma metninin uygulanmasına ilişkin her türlü soru, görüş ve talebinizi info@nextgenlab.com.tr adresine iletebilir; +90 536 429 09 19 numarasından bilgi alabilir, mobil uygulamadaki destek bölümünü kullanabilir veya Postane Mah. Atatürk Cad. No: 28 İç Kapı No: 1, 34940 Tuzla/İstanbul, Türkiye adresine yazılı olarak başvurabilirsiniz.