THE VERSION OF ENGLISH IS AT THE BOTTOM OF THE PAGE

 

Reztoran platformu, mobil uygulaması, web sitesi, RezManager, rezervasyon, sipariş, sadakat, müşteri zekâsı ve iş süreçleri için üst politika

Veri Sorumlusu	Reztoran Elektronik İletişim Yazılım Ticaret Anonim Şirketi
Belge Türü	Kurumsal Üst Politika
Versiyon / Tarih	2.0 / 10.07.2026
İletişim	info@reztoran.com | Suadiye Mah. Kazım Özalp Sk. C Blok No: 60 İç Kapı No: 2 Kadıköy / İstanbul

 

Önemli: Bu belge, yürürlükteki kişisel veri işleme faaliyetlerine göre uygulanır. Yeni bir ürün, entegrasyon, yapay zekâ aracı, yurt dışı hizmet sağlayıcı veya veri kategorisi devreye alınmadan önce veri işleme envanteri, hukuki sebep, aydınlatma ve aktarım mekanizması ayrıca güncellenir.

Versiyon 2.0 | Son Güncelleme: 10.07.2026 

1. Amaç ve kapsam

Bu Politika, Reztoran Elektronik İletişim Yazılım Ticaret Anonim Şirketi tarafından yürütülen kişisel veri işleme faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun” veya “KVKK”), ilgili ikincil mevzuat ve Kişisel Verileri Koruma Kurulu kararlarına uygun olarak yürütülmesine ilişkin temel kuralları belirler.

Politika; Reztoran mobil uygulaması, www.reztoran.com alan adlı internet sitesi, restoran yönetim paneli/RezManager, API ve kanal entegrasyonları, rezervasyon, bekleme listesi, sipariş, teslimat veya gel-al, ön ödeme, sadakat, kampanya, müşteri destek, sosyal özellikler, müşteri zekâsı, analitik, güvenlik, insan kaynakları, tedarikçi ve fiziksel ziyaretçi süreçlerini kapsar.

Bu Politika genel niteliktedir. Kanun’un 10 uncu maddesi kapsamındaki aydınlatma yükümlülüğü, ilgili kişi ve işleme faaliyeti özelinde ayrıca hazırlanan aydınlatma metinleriyle yerine getirilir. Açık rıza gereken işlemlerde aydınlatma ve açık rıza işlemleri ayrı ayrı yürütülür; aydınlatmanın yapıldığına dair rıza veya onay aranmaz.

2. Hukuki dayanak

• 6698 sayılı Kişisel Verilerin Korunması Kanunu ve özellikle 4, 5, 6, 7, 8, 9, 10, 11, 12 ve 13 üncü maddeler;

• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ;

• Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ;

• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik;

• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ve güncel standart sözleşmeler;

• Kişisel Verileri Koruma Kurulunun 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı ile ilgili güncel karar ve rehberler;

• Elektronik ticari ileti, tüketici, elektronik ticaret, vergi, muhasebe, iş, sosyal güvenlik ve diğer uygulanabilir mevzuat.

3. Tanımlar

Terim	Açıklama
Açık rıza	Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza.
İlgili kişi	Kişisel verisi işlenen gerçek kişi.
Kişisel veri	Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
Özel nitelikli kişisel veri	Kanun’un 6 ncı maddesinde sınırlı olarak sayılan; ırk, etnik köken, siyasi düşünce, felsefi inanç, din/mezhep veya diğer inançlar, kılık ve kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler.
Veri işleme	Kişisel veriler üzerinde gerçekleştirilen elde etme, kaydetme, saklama, değiştirme, açıklama, aktarma, sınıflandırma, analiz etme, silme ve benzeri her türlü işlem.
Veri sorumlusu	Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulması ve yönetiminden sorumlu kişi.
Veri işleyen	Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen kişi.
Profil oluşturma	Bir gerçek kişiye ilişkin tercih, davranış, ziyaret sıklığı, harcama, ilgi, güvenlik veya benzeri özellikleri değerlendirmek ya da tahmin etmek için kişisel verilerin otomatik işlenmesi.
Anonimleştirme	Kişisel verilerin başka verilerle eşleştirilse dahi belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmesi.
Platform	Reztoran mobil uygulaması, web sitesi, RezManager, API’ler, widget’lar ve bağlantılı dijital hizmetler.

4. Reztoran’ın veri koruma rolleri

Reztoran’ın veri koruma rolü, sözleşmedeki isimlendirmeden ziyade ilgili işleme faaliyetinin amaç ve araçlarını fiilen kimin belirlediğine göre tespit edilir.

Faaliyet	Reztoran’ın esas rolü	Açıklama
Üyelik, hesap, kimlik doğrulama, platform güvenliği	Veri sorumlusu	Üyelik ve platformun güvenli işletilmesine ilişkin amaç ve araçları Reztoran belirler.
Reztoran sadakat ağı, platform içi avantaj ve seviye yönetimi	Veri sorumlusu	Puan, indirim, ödül, seviye, kötüye kullanım kontrolleri ve ağ kuralları Reztoran tarafından belirlenir.
Reztoran’a ait hizmet analitiği, müşteri zekâsı ve ürün geliştirme	Veri sorumlusu	Kapsam, veri birleştirme, analiz ve çıktıların kullanım amaçları Reztoran tarafından belirlenir.
Kişiselleştirilmiş pazarlama ve reklam	Veri sorumlusu	Ayrı açık rıza ve ticari ileti tercihleri çerçevesinde yürütülür.
Bir restoranın yalnızca kendi talimatlarıyla yönettiği müşteri kayıtlarının teknik olarak barındırılması	Veri işleyen olabilir	Reztoran’ın veriyi kendi amaçları için kullanmadığı ve işleme araçlarına ilişkin esas kararları restoranın verdiği ölçüde.
Rezervasyon veya siparişin ilgili restorana iletilmesi ve restoran hizmetinin sunulması	Taraflar ayrı veri sorumlusu olabilir	Reztoran platform hizmetleri; restoran ise kendi rezervasyon, hizmet, müşteri ilişkisi, mali ve yasal yükümlülükleri bakımından ayrı amaçlar belirleyebilir.
Banka, ödeme kuruluşu ve bağımsız kanal sağlayıcılarının kendi mevzuat süreçleri	Bağımsız veri sorumluları	Bu tarafların kendi hukuki yükümlülükleri ve hizmet süreçleri ayrıca değerlendirilir.

Restoranlarla ve diğer iş ortaklarıyla yapılan sözleşmelerde veri sorumlusu/veri işleyen rolleri, talimatlar, alt işleyenler, güvenlik, ihlal bildirimi, ilgili kişi başvuruları, veri iadesi ve imha yükümlülükleri ayrıca düzenlenir.

5. Kişisel verilerin işlenmesinde temel ilkeler

1. Hukuka ve dürüstlük kurallarına uygun hareket edilir.

2. Verilerin doğru ve gerektiğinde güncel olması sağlanır.

3. İşleme amaçları belirli, açık ve meşru olarak tanımlanır.

4. Veriler, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü tutulur.

5. Veriler, ilgili mevzuatta öngörülen veya işleme amacı için gerekli olan süreden daha uzun saklanmaz.

6. Gereksiz veri toplanmaz; yeni özellikler veri koruma tasarımı ve varsayılan gizlilik ilkeleriyle geliştirilir.

7. Aynı amaca daha az veriyle ulaşılabiliyorsa daha az veri işleyen yöntem tercih edilir.

8. Açık rıza, sözleşmenin veya hizmetin zorunlu şartı hâline getirilmez; kolayca geri alınabilir.

9. Anonim veya toplulaştırılmış veriler, kişisel veriye göre öncelikli kullanılır.

6. İlgili kişi grupları

• Üyeler, potansiyel üyeler, rezervasyon/sipariş oluşturan kişiler ve rezervasyona dâhil edilen misafirler;

• Restoran müşterileri, sadakat programı katılımcıları, etkinlik ve deneyim katılımcıları;

• Restoran sahipleri, yöneticileri, çalışanları, çağrı merkezi ve yetkili kullanıcıları;

• Kurye, teslimat personeli ve teslimat hizmet sağlayıcısı çalışanları;

• Tedarikçi, iş ortağı, bayi, kanal, entegrasyon ve danışmanlık firmalarının çalışan ve yetkilileri;

• Çalışanlar, stajyerler, çalışan adayları, eski çalışanlar ve gerektiğinde yakınları/referansları;

• Web sitesi ve mobil uygulama ziyaretçileri ile fiziksel mekân ziyaretçileri;

• Hukuki uyuşmazlık veya başvuru süreçlerindeki ilgili kişiler.

7. İşlenen kişisel veri kategorileri

Veri kategorisi	Başlıca veri örnekleri
Kimlik	Ad, soyad, kullanıcı adı, doğum tarihi gerekli olduğu ölçüde, T.C. kimlik veya vergi kimlik bilgisi yalnız mevzuat/faturalama gerektiriyorsa, profil fotoğrafı.
İletişim	Telefon, e-posta, teslimat veya fatura adresi, iletişim tercihleri, doğrulama bilgileri.
Üyelik ve hesap	Üyelik tarihi, hesap durumu, tercih ve ayarlar, bağlı hesaplar, kimlik doğrulama ve oturum bilgileri.
Rezervasyon	Restoran, tarih-saat, kişi sayısı, masa/alan tercihi, kanal, değişiklik, iptal, bekleme listesi, no-show, ön ödeme, özel istek, misafir ve personel notları.
Sipariş ve teslimat	Ürünler, seçenekler, tutar, indirim, teslimat/gel-al tercihi, adres ve talimat, hazırlık/teslimat durumu, kurye, iptal/iade, grup veya çoklu sepet bilgileri.
Finans ve işlem güvenliği	Ödeme tutarı, tarih, işlem numarası, token, kartın maskeli bölümü, banka/ödeme kuruluşu, ön ödeme, iade, başarısız işlem, chargeback ve risk kayıtları. Tam kart verisi Reztoran tarafından saklanmaması esastır.
Sadakat	Puan, indirim, ödül, avantaj, seviye, kazanım/kullanım hareketi, katılımcı restoran ve kötüye kullanım kayıtları.
Müşteri ilişkileri	Talep, şikâyet, destek yazışması, çağrı veya mesaj içeriği, değerlendirme, çözüm ve memnuniyet bilgisi.
Sosyal ve kullanıcı içeriği	Profil içeriği, arkadaş/bağlantı, paylaşılan liste, grup sepeti, mesaj, yorum ve kullanıcı tarafından görünür hâle getirilen içerik.
Konum	Kullanıcının özelliği talep etmesine bağlı yaklaşık veya kesin cihaz konumu; teslimat adresi ve konum doğruluğu.
Teknik ve kullanım	IP, cihaz/işletim sistemi, uygulama sürümü, tarayıcı, cihaz ve reklam kimlikleri kullanıldığı ölçüde, çerez/SDK/beacon verileri, loglar, hata ve performans kayıtları.
Analiz ve çıkarım	Ziyaret sıklığı, tercih, segment, harcama aralığı, sadakat, geri kazanım, öneri, no-show veya kötüye kullanım göstergeleri; kişisel veri niteliği devam ettiği sürece ilgili güvenlik ve hukuki şartlara tabidir.
Özlük ve çalışma	İş sözleşmesi, ücret, banka, SGK, eğitim, performans, izin, seyahat, iş sağlığı ve güvenliği, erişim ve kurumsal sistem kayıtları.
Hukuki işlem ve uyum	Sözleşme, ihtar, başvuru, dava/icra, denetim, resmi makam talebi, izin ve ret kayıtları.
Fiziksel güvenlik	Ziyaretçi kayıtları ve gerekli alanlarda kamera görüntüsü.
Özel nitelikli veri	Kullanıcının gerekli hizmet talebi kapsamında bildirdiği alerji, sağlık veya erişilebilirlik bilgileri; çalışan sağlık/ceza mahkûmiyeti verileri ve Kanun’un 6 ncı maddesindeki diğer veriler yalnız gerekli ve hukuka uygun olduğu ölçüde.

8. Kişisel verilerin elde edilme yöntemleri ve kaynakları

• Mobil uygulama, internet sitesi, RezManager ve diğer Reztoran arayüzleri;

• Restoran web sitesi ve uygulaması, rezervasyon widget’ı, restoran personeli, telefon ve çağrı merkezi;

• Kullanıldığı ölçüde Google, Michelin/Mozrest, WhatsApp ve benzeri rezervasyon veya iletişim kanalları;

• POS, ERP, ödeme, teslimat, sadakat ve benzeri entegrasyonlar;

• Banka ve lisanslı ödeme kuruluşları tarafından Reztoran’a iletilen sınırlı işlem sonuçları;

• Çerezler, SDK’lar, sistem logları ve izin verilen cihaz özellikleri;

• E-posta, mesajlaşma, sosyal medya, destek kanalları, formlar ve sözleşmeler;

• Fiziki evrak, iş başvurusu, ziyaretçi kaydı ve kamera sistemleri;

• Yetkili kamu kurumları, adli makamlar ve hukuken veri paylaşabilecek üçüncü kişiler.

Üçüncü bir kişinin iletişim veya rezervasyon bilgilerini Reztoran’a sağlayan kullanıcı, bu bilgiyi paylaşmaya yetkili olduğunu ve ilgili kişiye gerekli bilgilendirmenin yapılmasını sağlamakla yükümlüdür. Reztoran, uygun olduğu durumlarda ilgili kişiyi ilk temas sırasında ayrıca aydınlatır.

9. İşleme amaçları ve hukuki sebepler

Süreç / amaç	Başlıca veri	Hukuki sebep
Üyelik ve hesabın kurulması, doğrulanması ve yönetimi	Kimlik, iletişim, hesap, güvenlik	Kanun m.5/2(c): sözleşmenin kurulması veya ifası için gerekli olması; gerekli güvenlik işlemlerinde m.5/2(f).
Rezervasyon, bekleme listesi, değişiklik, iptal, hatırlatma ve restoranla iletişim	İletişim, rezervasyon, özel talep, işlem	m.5/2(c); mali/yasal zorunluluklarda m.5/2(a) ve (ç); uyuşmazlıkta m.5/2(e).
Sipariş, teslimat/gel-al, hazırlık, kurye, iade ve grup sepeti	Sipariş, adres, konum, ödeme, kullanıcı içeriği	m.5/2(c); hukuki yükümlülükte m.5/2(a)/(ç); hakların korunmasında m.5/2(e).
Ön ödeme ve ödeme sonuçlarının yönetimi	Finans, işlem ve güvenlik	m.5/2(c), m.5/2(a)/(ç), m.5/2(e) ve güvenlik bakımından m.5/2(f).
Sadakat puanı, indirim, seviye ve ödül yönetimi	Sadakat ve işlem	m.5/2(c); kötüye kullanımın önlenmesinde m.5/2(f).
Müşteri destek, şikâyet, uyuşmazlık ve başvuru yönetimi	İletişim, müşteri işlemi, hukuki işlem	m.5/2(e), m.5/2(ç) ve ilgili hizmete göre m.5/2(c).
Platform güvenliği, erişim kontrolü, sahteciliğin ve kötüye kullanımın önlenmesi	Teknik, güvenlik, işlem, risk	m.5/2(f); bir hakkın korunması gerektiğinde m.5/2(e).
Hizmet kalitesi, kapasite, anonim/toplu istatistik, ürün geliştirme	Teknik, kullanım, işlem	Temel haklara zarar vermemek kaydıyla m.5/2(f); mümkün olduğunda anonim veya toplulaştırılmış veri.
Kişiselleştirilmiş kampanya, davranışsal profilleme ve hedefli reklam	İletişim, davranış, işlem, çıkarım	Kanun m.5/1 kapsamında ayrı açık rıza; ticari elektronik iletiler için ayrıca ilgili mevzuata uygun onay.
Sosyal özellik, kullanıcılar arası iletişim ve paylaşım	Profil, bağlantı, mesaj, içerik	Talep edilen fonksiyonun sunulması için m.5/2(c); rehber senkronizasyonu veya pazarlama amaçlı analiz gibi ek işlemler için ayrı hukuki değerlendirme/açık rıza.
Yakındaki restoranı gösterme ve teslimat konumu	Konum, adres	Kullanıcının talep ettiği hizmet için m.5/2(c); arka plan/sürekli veya pazarlama amaçlı konum için ayrı açık rıza. Cihaz izni tek başına KVKK hukuki sebebi değildir.
İnsan kaynakları, bordro, SGK, iş sağlığı ve güvenliği	Kimlik, özlük, finans, sağlık	m.5/2(a), (c), (ç), (e), (f); özel nitelikli veriler için Kanun m.6/2’deki uygun şartlar.
Tedarikçi ve iş ortağı ilişkileri	Kimlik, iletişim, finans, hukuki işlem	m.5/2(c), (ç), (e), (f).
Fiziksel güvenlik ve ziyaret yönetimi	Kimlik, ziyaret, görüntü	m.5/2(f); gerektiğinde m.5/2(ç)/(e).

10. Özel nitelikli kişisel veriler

Özel nitelikli kişisel veriler yalnız Kanun’un 6 ncı maddesinde yer alan işleme şartlarından birinin mevcut olması, işlemenin gerekli ve ölçülü olması ve Kurul tarafından belirlenen yeterli önlemlerin alınması koşuluyla işlenir.

• Rezervasyon veya sipariş notlarında sağlık, alerji, engellilik, erişilebilirlik veya inançla bağlantılı bilgi gerekli değilse talep edilmez.

• Gerekli bir hizmet talebinde bu bilgiler mümkün olduğunca yapılandırılmış, sınırlı ve kısa süreli alanlarda tutulur; genel pazarlama veya müşteri segmentasyonunda kullanılmaz.

• Özel nitelikli verilere erişim görev gereği bilmesi gereken kişilerle sınırlandırılır; erişimler kayıt altına alınır ve aktarımda ek güvenlik uygulanır.

• Çalışan sağlık ve ceza mahkûmiyeti verileri, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik veya bir hakkın tesisi/kullanılması/korunması için gerekli olan kapsamla sınırlandırılır.

• Açık rıza gereken hallerde rıza belirli, ayrı, bilgilendirilmiş ve geri alınabilir şekilde alınır.

11. Müşteri zekâsı, profilleme ve yapay zekâ

Reztoran; hizmetin güvenliği, kapasite yönetimi, restoran performansı, kullanıcı deneyimi ve kullanıcı tarafından talep edilen önerilerin sunulması için işlem ve kullanım verilerinden analizler üretebilir. Pazarlama amacıyla kişiye özel kampanya, davranışsal profilleme veya üçüncü taraf ortamlarda hedefli reklam yapılması ayrı açık rızaya tabidir.

• Farklı kanallardaki kayıtlar, aynı kişinin doğru tanınması ve mükerrer kayıtların önlenmesi için gerekli ve ölçülü olduğu ölçüde eşleştirilebilir.

• Restoranlar arası davranış ve harcama bilgisi, ilgili kişiye açıkça bildirilmeden ve uygun hukuki sebep bulunmadan başka bir restorana kişi bazında açıklanmaz.

• No-show, dolandırıcılık veya kötüye kullanım göstergeleri kesin hüküm olarak kullanılmaz; önemli olumsuz sonuç doğurabilecek kararlarda insan değerlendirmesi ve itiraz imkânı sağlanır.

• Yapay zekâ sağlayıcılarına veri aktarımı yapılması halinde veri minimizasyonu, mümkün olduğunda takma adlandırma, model eğitimi yasağı, saklama süresi, alt işleyenler ve yurt dışı aktarım güvenceleri sözleşmeyle belirlenir.

• Üretken yapay zekâya gönderilen kullanıcı mesajları veya operasyon verileri, hukuki sebep ve kullanıcı bilgilendirmesi olmaksızın genel model eğitimi için kullandırılmaz.

12. Yurt içinde kişisel veri aktarımı

Kişisel veriler, Kanun’un 8 inci maddesindeki şartlara uygun ve amaçla sınırlı olarak aşağıdaki alıcı gruplarına aktarılabilir:

• Rezervasyon yapılan, sipariş verilen veya sadakat avantajının kullanıldığı restoranlar ve yalnız yetkili çalışanları;

• Banka, lisanslı ödeme kuruluşu, faturalama ve mali hizmet sağlayıcıları;

• Kurye, teslimat ve lojistik sağlayıcıları;

• Rezervasyon, sipariş, POS, ERP, CRM, sadakat, çağrı merkezi ve kanal entegrasyon sağlayıcıları;

• Bulut, barındırma, güvenlik, doğrulama, e-posta, SMS, push, destek, analitik ve hata izleme hizmet sağlayıcıları;

• Açık rıza ve ticari ileti tercihleri kapsamında reklam, medya, araştırma ve kampanya sağlayıcıları;

• Avukat, mali müşavir, bağımsız denetçi, sigorta ve danışmanlık hizmet sağlayıcıları;

• Yetkili kamu kurumları, düzenleyici otoriteler, kolluk ve adli makamlar;

• Şirket birleşmesi, yatırım, yeniden yapılandırma veya malvarlığı devri sürecinde gizlilik ve veri koruma yükümlülüğü altındaki taraflar; veri aktarımı gereklilik ve ölçülülükle sınırlandırılır.

13. Kişisel verilerin yurt dışına aktarılması

Bulut, barındırma, e-posta, bildirim, güvenlik, analitik, müşteri destek, iletişim, yapay zekâ veya benzeri teknoloji hizmetlerinin yurt dışında sunulması ya da yurt dışındaki alt işleyenlere erişim sağlanması hâlinde kişisel veri yurt dışına aktarılabilir.

Düzenli yurt dışı aktarımları, Kanun’un 9 uncu maddesinde öngörülen sıralama ve şartlar uyarınca yeterlilik kararı veya uygun güvence yöntemlerinden biri kullanılarak gerçekleştirilir. Standart sözleşme kullanılması hâlinde sözleşmenin imzalarının tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim yapılır. Arızi aktarım halleri düzenli ve sürekli aktarımın alternatifi olarak kullanılmaz.

• Her hizmet sağlayıcı bakımından ülke, rol, veri kategorisi, amaç, alt işleyen, aktarım mekanizması ve güvenlik önlemleri yurt dışı aktarım envanterinde tutulur.

• Yeterlilik veya uygun güvence bulunmadan düzenli aktarım yapılmaz.

• Yurt dışına aktarım için açık rızaya dayanılması istisnai ve arızi koşullarla sınırlıdır; hizmetin zorunlu şartı şeklinde genel rıza alınmaz.

• İlgili kişinin aktarım hakkında bilgilendirilmesi ve güncel alıcı gruplarına erişebilmesi sağlanır.

14. Saklama, silme, yok etme ve anonimleştirme

Kişisel veriler, ilgili mevzuatta öngörülen veya işleme amacı için gerekli olan süre kadar saklanır. Süreler; veri kategorisi, işleme amacı, sözleşme ve dava zamanaşımı, mali mevzuat, güvenlik ihtiyacı, açık rıza/ret ispatı ve ilgili kişinin makul beklentisi dikkate alınarak kişisel veri işleme envanteri ile saklama ve imha politikasında belirlenir.

Kayıt grubu	Saklama yaklaşımı
Üyelik ve hesap	Aktif üyelik boyunca; hesap kapandıktan sonra yalnız hukuki yükümlülük, güvenlik, uyuşmazlık ve ispat için gerekli sınırlı kayıtlar ilgili süre boyunca.
Rezervasyon ve sipariş	Hizmetin sunulması, müşteri desteği, mali kayıt ve hakların korunması için gerekli süre; operasyon notları finansal kayıtlardan ayrı ve daha kısa tutulur.
Finans ve muhasebe	Vergi, ticaret ve mali mevzuattaki zorunlu süreler boyunca.
Pazarlama açık rızası ve ticari ileti	Rıza/onay geri alınana kadar aktif kullanım; geri alma ve ret kayıtları hukuki ispat için gerekli süre boyunca.
Teknik ve güvenlik logları	Güvenlik, olay inceleme ve hizmet sürekliliği için riskle orantılı sınırlı süre.
Mesaj ve kullanıcı içeriği	Fonksiyonun gerektirdiği süre; kullanıcı silme tercihleri, şikâyet/uyuşmazlık ve yedek döngüsü dikkate alınarak.
Çalışan ve aday	İş ilişkisi ve mevzuat süreleri; işe alınmayan adaylar için yeniden değerlendirme açık rızası varsa belirlenen sınırlı süre.
Kamera ve ziyaretçi	Fiziksel güvenlik ihtiyacıyla orantılı kısa süre; olay veya hukuki uyuşmazlık varsa ilgili kayıt ayrıştırılarak saklanır.

İşleme şartları ortadan kalktığında veriler ilk periyodik imhada silinir, yok edilir veya anonim hâle getirilir. Periyodik imha aralığı altı ayı geçemez. Yedeklerdeki veriler de erişimin kısıtlanması ve yedek döngüsünün tamamlanması yoluyla imha planına dâhil edilir.

15. Teknik ve idari güvenlik tedbirleri

• Veri işleme envanteri, veri akış haritası ve rol/yetki matrisi tutulur; yeni ürünlerde veri koruma etki değerlendirmesi yapılır.

• Çok kiracılı sistemlerde restoran, marka, şube ve kullanıcı bazlı veri izolasyonu uygulanır.

• En az yetki, görevler ayrılığı, güçlü kimlik doğrulama, ayrıcalıklı hesap yönetimi ve periyodik erişim gözden geçirme uygulanır.

• Aktarım sırasında ve uygun alanlarda depolamada şifreleme; anahtar, parola, API ve gizli bilgi yönetimi uygulanır.

• Kritik işlemler ve yönetici erişimleri loglanır; log bütünlüğü ve yetkisiz erişim denetimi sağlanır.

• Üretim verileri test ortamına doğrudan taşınmaz; gerekiyorsa anonimleştirme veya maskeleme yapılır.

• Zafiyet yönetimi, güvenli yazılım geliştirme, kod inceleme, yama, sızma testi ve olay izleme süreçleri yürütülür.

• Tedarikçi ve alt işleyenler sözleşme öncesi ve risk temelli periyodik olarak değerlendirilir.

• Çalışanlara düzenli gizlilik ve veri güvenliği eğitimi verilir; gizlilik taahhütleri alınır.

• Özel nitelikli veri, ödeme sonucu, mesaj ve rezervasyon notları için ek erişim, maskeleme ve aktarım önlemleri uygulanır.

• Silme ve anonimleştirme işlemleri kayıt altına alınır; anonim verinin yeniden kimliklendirilme riski test edilir.

16. Kişisel veri ihlali yönetimi

Kişisel verilerin hukuka aykırı elde edilmesi, erişilmesi, açıklanması, değiştirilmesi, kaybı veya kullanılabilirliğinin bozulması ihtimalinde olay derhal bilgi güvenliği ve veri koruma sorumlularına bildirilir. İhlal; kapsam, etkilenen kişiler, veri kategorileri, risk, alınan önlemler ve bildirim yükümlülükleri bakımından değerlendirilir.

Kurul kararları uyarınca Kuruma bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve kural olarak en geç 72 saat içinde yapılır. İlgili kişilere, ihlalin olumsuz sonuçlarını azaltmaya elverişli yöntemle ve gecikmeksizin bildirim yapılır. Veri işleyenler, ihlali öğrendikleri anda sözleşmede belirlenen kısa süre içinde Reztoran’a bildirir.

17. İlgili kişinin hakları ve başvuru

İlgili kişiler Kanun’un 11 inci maddesi uyarınca; kişisel verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, işleme amacını ve amaca uygun kullanımı öğrenme, yurt içi/yurt dışı alıcıları bilme, düzeltme, silme/yok etme, bu işlemlerin alıcılara bildirilmesini isteme, münhasıran otomatik analiz sonucuna itiraz etme ve hukuka aykırı işleme nedeniyle zararın giderilmesini talep etme haklarına sahiptir.

Başvurular; Suadiye Mah. Kazım Özalp Sk. C Blok No: 60 İç Kapı No: 2 Kadıköy / İstanbul adresine yazılı olarak, KEP/güvenli elektronik imza/mobil imza yöntemleriyle, Reztoran’a daha önce bildirilmiş ve sistemde kayıtlı e-posta adresinden info@reztoran.com adresine veya başvuru amacına yönelik sunulan uygulama üzerinden iletilebilir. Başvurular en geç 30 gün içinde sonuçlandırılır. Kimlik doğrulama için talebin niteliğiyle ölçülü ek bilgi istenebilir.

18. Organizasyon, denetim ve sorumluluk

• Yönetim, yeterli kaynak ve sorumluluk atamasını sağlar.

• Hukuk/KVKK fonksiyonu mevzuat, aydınlatma, sözleşme, ilgili kişi başvurusu ve ihlal süreçlerini koordine eder.

• Bilgi güvenliği ve teknoloji birimleri teknik tedbirleri, erişim kontrollerini, log ve olay müdahalesini yürütür.

• Ürün ekipleri yeni işleme faaliyetini yayına almadan önce gizlilik tasarım kontrolü gerçekleştirir.

• İnsan kaynakları, satış, pazarlama, müşteri hizmetleri ve operasyon birimleri yalnız yetkili ve amaçla sınırlı işleme yapar.

• Politika, veri işleme envanteri ve VERBİS kayıtları düzenli olarak ve önemli değişikliklerde güncellenir.

19. Yürürlük ve güncelleme

Bu Politika 10.07.2026 tarihinde yürürlüğe girer. Mevzuat, ürün, veri akışı, tedarikçi veya organizasyon değişikliklerinde güncellenir. Güncel sürüm Reztoran’ın uygun dijital kanallarında yayımlanır. Esaslı değişiklikler, ilgili kişilere uygun yöntemle duyurulur.

Ek-1: Süreç bazlı asgari KVKK kontrol listesi

Kontrol	Asgari gereklilik
Yeni entegrasyon	Rol analizi, veri akışı, hukuki sebep, aydınlatma, sözleşme, güvenlik, yurt dışı aktarım ve saklama süresi tamamlanmadan canlıya alınmaz.
Yeni analitik/AI modeli	Amaç, veri kaynağı, ayrımcılık/yanlış eşleşme riski, insan kontrolü, model eğitimi, veri minimizasyonu ve etki değerlendirmesi yapılır.
Yeni pazarlama faaliyeti	Açık rıza ve ticari ileti onayı ayrılır; ret/geri alma derhal uygulanır; zorunlu hizmet bildirimi pazarlamadan ayrıştırılır.
Restoran veri erişimi	Yalnız ilgili restoran/şube ve yetkili rol; çapraz restoran görünürlüğü özel olarak onaylanmadıkça kapalıdır.
Yurt dışı sağlayıcı	Aktarım mekanizması, standart sözleşme tipi, 5 iş günü bildirimi, alt işleyen ve veri lokasyonu kayıt altına alınır.
Özel nitelikli veri	Gereklilik testi, ayrı alan, ek erişim ve güvenlik, kısa saklama, pazarlamada kullanmama.
Hesap kapatma	Aktif profili kapatma, zorunlu kayıtları ayırma, yedek ve alt işleyen imha döngüsünü başlatma.

 

REZTORAN

PERSONAL DATA PROTECTION AND PROCESSING POLICY

Master policy for the Reztoran platform, mobile application, website, RezManager, reservations, orders, loyalty, customer intelligence and business processes

Data Controller	Reztoran Elektronik İletişim Yazılım Ticaret Anonim Şirketi
Document Type	Corporate Master Policy
Version / Date	2.0 / 10 July 2026
Contact	info@reztoran.com | Suadiye Mah. Kazım Özalp Sk. C Blok No: 60 İç Kapı No: 2 Kadıköy / Istanbul

Version 2.0 | Last Updated: 10 July 2026

1. Purpose and scope

This Policy sets out the fundamental rules governing the personal-data processing activities carried out by Reztoran Elektronik İletişim Yazılım Ticaret Anonim Şirketi, in accordance with Law No. 6698 on the Protection of Personal Data ("the Law" or "KVKK"), its secondary legislation, and the decisions of the Personal Data Protection Board.

The Policy covers the Reztoran mobile application, the website at www.reztoran.com, the restaurant management panel/RezManager, API and channel integrations, and the processes relating to reservations, waitlists, orders, delivery or pickup, prepayment, loyalty, campaigns, customer support, social features, customer intelligence, analytics, security, human resources, suppliers and physical visitors.

This Policy is general in nature. The obligation to inform under Article 10 of the Law is fulfilled through separate privacy notices prepared for the relevant data subject and processing activity. Where explicit consent is required, the information and consent processes are carried out separately; consent or approval confirming that the information notice has been provided is not required.

2. Legal basis

• Law No. 6698 on the Protection of Personal Data, in particular Articles 4, 5, 6, 7, 8, 9, 10, 11, 12 and 13;
• The Communiqué on the Procedures and Principles to be Followed in Fulfilling the Obligation to Inform;
• The Communiqué on the Procedures and Principles for Application to the Data Controller;
• The Regulation on the Deletion, Destruction or Anonymisation of Personal Data;
• The Regulation on the Procedures and Principles Regarding the Transfer of Personal Data Abroad and the current standard contractual clauses;
• The Personal Data Protection Board's Principle Decision dated 18 February 2026 and numbered 2026/347, together with related current decisions and guidance;
• Applicable legislation on commercial electronic communications, consumer protection, electronic commerce, tax, accounting, labour, social security and other relevant matters.

3. Definitions

Term	Description
Explicit consent	Consent relating to a specific matter, based on information, and declared by free will.
Data subject	The natural person whose personal data are processed.
Personal data	Any information relating to an identified or identifiable natural person.
Special category of personal data	The categories listed exhaustively in Article 6 of the Law: race, ethnic origin, political opinion, philosophical belief, religion, sect or other beliefs, appearance and dress, membership of associations, foundations or trade unions, health, sexual life, criminal conviction and security measures, and biometric and genetic data.
Data processing	Any operation performed on personal data, such as obtaining, recording, storing, altering, disclosing, transferring, classifying, analysing, deleting or any similar operation.
Data controller	The person who determines the purposes and means of processing personal data and is responsible for establishing and managing the data recording system.
Data processor	The person who processes personal data on behalf of the data controller, based on authority granted by the data controller.
Profiling	The automated processing of personal data to evaluate or predict a natural person's preferences, behaviour, visit frequency, spending, interests, security or similar characteristics.
Anonymisation	Rendering personal data incapable of being associated with an identified or identifiable person, even when matched with other data.
Platform	The Reztoran mobile application, website, RezManager, APIs, widgets and connected digital services.

4. Reztoran's data protection roles

Reztoran's data protection role is determined not by contractual labelling, but by who in practice determines the purposes and means of the relevant processing activity.

Activity	Reztoran's primary role	Description
Membership, account, authentication and platform security	Data controller	Reztoran determines the purposes and means relating to the secure operation of membership and the Platform.
Reztoran loyalty network, in-platform benefits and tier management	Data controller	Points, discounts, rewards, tiers, misuse controls and network rules are determined by Reztoran.
Reztoran's own service analytics, customer intelligence and product development	Data controller	The scope, combination of data, analysis and the purposes for which outputs are used are determined by Reztoran.
Personalised marketing and advertising	Data controller	Carried out within the framework of separate explicit consent and commercial-communication preferences.
Technical hosting of customer records managed solely on a restaurant's own instructions	May act as a data processor	To the extent Reztoran does not use the data for its own purposes and the essential decisions on the means of processing are made by the restaurant.
Transmission of the reservation or order to the relevant restaurant and provision of the restaurant's service	The parties may be separate data controllers	Reztoran provides platform services; the restaurant may determine separate purposes for its own reservation, service, customer relationship, and financial and legal obligations.
The banks', payment institutions' and independent channel providers' own regulatory processes	Independent data controllers	The own legal obligations and service processes of these parties are assessed separately.

Agreements with restaurants and other business partners separately regulate the roles of data controller/data processor, instructions, sub-processors, security, breach notification, data-subject applications, and data-return and destruction obligations.

5. Fundamental principles in the processing of personal data

1. Acting in accordance with the law and the requirements of good faith.
2. Ensuring that data are accurate and, where necessary, kept up to date.
3. Defining processing purposes in a specific, explicit and legitimate manner.
4. Keeping data relevant to, and limited and proportionate to, the purposes for which they are processed.
5. Not retaining data for longer than is stipulated by applicable legislation or required for the purpose of processing.
6. Not collecting unnecessary data; developing new features in accordance with the principles of data protection by design and by default.
7. Preferring the method that processes less data wherever the same purpose can be achieved with less data.
8. Not making explicit consent a mandatory condition of a contract or service; ensuring it can be easily withdrawn.
9. Giving priority to anonymous or aggregated data over personal data wherever possible.

6. Categories of data subjects

• Members, prospective members, persons creating reservations/orders, and guests included in a reservation;
• Restaurant customers, loyalty-programme participants, and participants in events and experiences;
• Restaurant owners, managers, employees, call-centre staff and authorised users;
• Couriers, delivery personnel and employees of delivery service providers;
• Employees and authorised representatives of suppliers, business partners, dealers, channel and integration providers, and consultancy firms;
• Employees, interns, job candidates, former employees and, where necessary, their relatives/references;
• Visitors to the website and mobile application, and visitors to physical premises;
• Data subjects involved in legal dispute or application processes.

7. Categories of personal data processed

Data category	Main data examples
Identity	First name, surname, username, date of birth where necessary, Turkish identity or tax identification information only where required by law/invoicing, and profile photograph.
Contact	Telephone number, email, delivery or billing address, communication preferences, and verification information.
Membership and account	Membership date, account status, preferences and settings, linked accounts, and authentication and session information.
Reservation	Restaurant, date and time, party size, table/area preference, channel, amendment, cancellation, waitlist, no-show, prepayment, special requests, and guest and personnel notes.
Order and delivery	Products, options, amount, discount, delivery/pickup preference, address and instructions, preparation/delivery status, courier, cancellation/refund, and group or multi-restaurant basket information.
Finance and transaction security	Payment amount, date, transaction number, token, masked card portion, bank/payment institution, prepayment, refund, failed transaction, chargeback and risk records. Full card data are, in principle, not stored by Reztoran.
Loyalty	Points, discounts, rewards, benefits, tier, earning/redemption activity, participating restaurant, and misuse records.
Customer relations	Requests, complaints, support correspondence, call or message content, evaluation, resolution and satisfaction information.
Social and user content	Profile content, friends/connections, shared lists, group baskets, messages, comments, and content made visible by the user.
Location	Approximate or precise device location, delivery address and location accuracy, where the user requests the relevant feature.
Technical and usage	IP address, device/operating system, application version, browser, device and advertising identifiers where used, cookie/SDK/beacon data, logs, error and performance records.
Analytics and inference	Visit frequency, preferences, segment, spending range, loyalty, re-engagement, recommendation, no-show or misuse indicators; subject to applicable security and legal requirements for as long as the data retain the character of personal data.
Personnel and employment	Employment contract, salary, bank, social security, training, performance, leave, travel, occupational health and safety, and access and corporate-system records.
Legal transactions and compliance	Contracts, notices, applications, litigation/enforcement, audit, official-authority requests, and permission and refusal records.
Physical security	Visitor records and, in necessary areas, camera footage.
Special category data	Allergy, health or accessibility information reported by a user solely within the scope of a necessary service request; employee health/criminal-record data and other data under Article 6 of the Law, only to the extent necessary and lawful.

8. Methods and sources of collecting personal data

• The mobile application, website, RezManager and other Reztoran interfaces;
• The restaurant website and application, the reservation widget, restaurant personnel, and telephone and call-centre channels;
• To the extent used, Google, Michelin/Mozrest, WhatsApp and similar reservation or communication channels;
• POS, ERP, payment, delivery, loyalty and similar integrations;
• Limited transaction results transmitted to Reztoran by banks and licensed payment institutions;
• Cookies, SDKs, system logs and permitted device features;
• Email, messaging, social media, support channels, forms and contracts;
• Physical documents, job applications, visitor records and camera systems;
• Authorised public institutions, judicial authorities and other third parties lawfully entitled to share data.

A user who provides Reztoran with a third party's contact or reservation information is responsible for being authorised to share that information and for ensuring the relevant person receives the necessary notice. Where appropriate, Reztoran will also separately inform the relevant person at the time of first contact.

9. Processing purposes and legal grounds

Process / purpose	Main data	Legal ground
Establishment, verification and management of membership and the account	Identity, contact, account, security	Article 5(2)(c) of the Law: necessary for the establishment or performance of a contract; Article 5(2)(f) for necessary security operations.
Reservation creation, waitlist, amendment, cancellation, reminder and communication with the restaurant	Contact, reservation, special request, transaction	Article 5(2)(c); Article 5(2)(a)/(ç) for financial/legal obligations; Article 5(2)(e) in the event of a dispute.
Order, delivery/pickup, preparation, courier, refund and group-basket processes	Order, address, location, payment, user content	Article 5(2)(c); Article 5(2)(a)/(ç) for legal obligations; Article 5(2)(e) for the protection of rights.
Management of prepayment and payment results	Finance, transaction and security	Article 5(2)(c), 5(2)(a)/(ç), 5(2)(e), and, for security purposes, 5(2)(f).
Management of loyalty points, discounts, tiers and rewards	Loyalty and transaction	Article 5(2)(c); Article 5(2)(f) to prevent misuse.
Management of customer support, complaints, disputes and applications	Contact, customer transaction, legal transaction	Article 5(2)(e), 5(2)(ç), and, depending on the relevant service, 5(2)(c).
Platform security, access control, and prevention of fraud and misuse	Technical, security, transaction, risk	Article 5(2)(f); Article 5(2)(e) where necessary to protect a right.
Service quality, capacity, anonymous/aggregate statistics and product development	Technical, usage, transaction	Article 5(2)(f), provided fundamental rights are not prejudiced; anonymous or aggregated data used where possible.
Personalised campaigns, behavioural profiling and targeted advertising	Contact, behaviour, transaction, inference	Separate explicit consent under Article 5(1) of the Law; separate approval under applicable legislation is additionally obtained for commercial electronic communications.
Social features, communication and sharing between users	Profile, connection, message, content	Article 5(2)(c) to provide the requested function; separate legal assessment/explicit consent for additional processing such as contact synchronisation or marketing-related analysis.
Showing nearby restaurants and providing the delivery location	Location, address	Article 5(2)(c) for the service requested by the user; separate explicit consent for background, continuous or marketing-related location use. Device permission alone does not constitute a legal ground under the Law.
Human resources, payroll, social security, and occupational health and safety	Identity, personnel, finance, health	Article 5(2)(a), (c), (ç), (e), (f); for special-category data, the applicable conditions under Article 6(2) of the Law.
Supplier and business-partner relations	Identity, contact, finance, legal transaction	Article 5(2)(c), (ç), (e), (f).
Physical security and visit management	Identity, visit, footage	Article 5(2)(f); where necessary, 5(2)(ç)/(e).

10. Special categories of personal data

Special categories of personal data are processed only where one of the processing conditions in Article 6 of the Law is met, the processing is necessary and proportionate, and the adequate measures determined by the Board have been taken.

• Health, allergy, disability, accessibility or belief-related information is not requested in reservation or order notes unless necessary.
• Where necessary for a service request, such information is kept, as far as possible, in structured, limited and short-retention fields; it is not used for general marketing or customer segmentation.
• Access to special-category data is restricted to persons who need to know it for their duties; access is logged and additional security is applied during transfer.
• Employee health and criminal-record data are limited to the scope necessary for employment, occupational health and safety, social security, or the establishment, exercise or protection of a right.
• Where explicit consent is required, it is obtained in a specific, separate, informed and withdrawable manner.

11. Customer intelligence, profiling and artificial intelligence

Reztoran may generate analytics from transaction and usage data for service security, capacity management, restaurant performance, user experience, and the provision of recommendations requested by the user. Personalised campaigns for marketing purposes, behavioural profiling, or targeted advertising on third-party platforms are subject to separate explicit consent.

• Records across different channels may be matched to the extent necessary and proportionate to correctly identify the same person and prevent duplicate records.
• Cross-restaurant behavioural and spending information is not disclosed to another restaurant on an individual basis without clear notice to the data subject and an appropriate legal ground.
• Indicators of no-show, fraud or misuse are not used as conclusive determinations; human review and a right to object are provided for decisions capable of producing a significant adverse effect.
• Where data are transferred to artificial-intelligence providers, data minimisation, pseudonymisation where possible, a prohibition on model training, retention period, sub-processors and international-transfer safeguards are set out contractually.
• User messages or operational data sent to generative artificial-intelligence systems are not used to train general models without a legal ground and notice to the user.

12. Domestic transfer of personal data

Personal data may be transferred to the following recipient groups in accordance with the conditions of Article 8 of the Law and limited to the relevant purpose:

• Restaurants at which a reservation is made, an order is placed, or a loyalty benefit is used, and only their authorised employees;
• Banks, licensed payment institutions, and invoicing and financial-service providers;
• Courier, delivery and logistics providers;
• Reservation, order, POS, ERP, CRM, loyalty, call-centre and channel-integration providers;
• Cloud, hosting, security, verification, email, SMS, push, support, analytics and error-monitoring service providers;
• Advertising, media, research and campaign providers, within the scope of explicit consent and commercial-communication preferences;
• Lawyers, certified public accountants, independent auditors, insurers and consultancy service providers;
• Authorised public institutions, regulatory authorities, law enforcement and judicial authorities;
• Parties bound by confidentiality and data-protection obligations in the course of a merger, investment, restructuring or asset-transfer process; data transfer is limited to what is necessary and proportionate.

13. Transfer of personal data abroad

Personal data may be transferred abroad where the cloud, hosting, email, notification, security, analytics, customer-support, communication, artificial-intelligence or similar technology services used are provided from abroad, or where sub-processors abroad are given access to the data.

Regular international transfers are carried out using an adequacy decision or one of the appropriate safeguard mechanisms, in the order and under the conditions set out in Article 9 of the Law. Where a standard contractual clause is used, notification is made to the Board within five business days of completion of the signatures. Occasional-transfer provisions are not used as an alternative to regular and continuous transfers.

• For each service provider, the country, role, data category, purpose, sub-processor, transfer mechanism and security measures are recorded in the international-transfer inventory.
• Regular transfers are not made without an adequacy decision or an appropriate safeguard.
• Reliance on explicit consent as the basis for a transfer abroad is limited to exceptional and occasional circumstances; general consent is not obtained as a mandatory condition of the service.
• The data subject is informed about the transfer and is able to access the current recipient groups.

14. Retention, deletion, destruction and anonymisation

Personal data are retained for the period stipulated by applicable legislation or required for the purpose of processing. Retention periods are determined in the personal-data processing inventory and the retention and destruction policy, taking into account the data category, processing purpose, contractual and statute-of-limitations periods, financial legislation, security needs, proof of consent/objection, and the reasonable expectations of the data subject.

Record group	Retention approach
Account and membership	For the duration of active membership; after account closure, only limited records required for legal obligations, security, dispute and evidentiary purposes, for the relevant period.
Reservations and orders	For the period required for the service, customer support, financial records and the protection of rights; operational notes are kept separately from financial records and for a shorter period.
Finance and accounting	For the mandatory periods under tax, commercial and financial legislation.
Marketing consent and commercial communications	Actively used until the consent/approval is withdrawn; withdrawal and objection records are kept for the period required for legal evidence.
Technical and security logs	For a limited period proportionate to risk, for security, incident investigation and service continuity.
Messages and user content	For the period required by the function, taking into account user deletion preferences, complaints/disputes and the backup cycle.
Employees and candidates	For the duration of the employment relationship and the relevant statutory periods; for candidates not hired, a limited period where separate explicit consent for re-evaluation exists.
Camera footage and visitors	A short period proportionate to physical-security needs; where an incident or legal dispute exists, the relevant record is separated and retained accordingly.

Once the conditions for processing no longer apply, data are deleted, destroyed or anonymised at the first periodic destruction. The periodic destruction interval does not exceed six months. Data held in backups are also included in the destruction plan through restriction of access and completion of the backup cycle.

15. Technical and administrative security measures

• A processing inventory, data-flow map and role/authority matrix are maintained; a data protection impact assessment is carried out for new products.
• In multi-tenant systems, data isolation is applied by restaurant, brand, branch and user.
• The principles of least privilege, segregation of duties, strong authentication, privileged-account management and periodic access review are applied.
• Encryption is applied in transit and, in appropriate areas, at rest; key, password, API and secrets management practices are applied.
• Critical operations and administrative access are logged; log integrity and unauthorised-access monitoring are ensured.
• Production data are not moved directly to test environments; anonymisation or masking is applied where necessary.
• Vulnerability management, secure software development, code review, patching, penetration testing and incident-monitoring processes are maintained.
• Suppliers and sub-processors are assessed before contracting and periodically thereafter on a risk basis.
• Employees receive regular privacy and data-security training; confidentiality undertakings are obtained.
• Additional access, masking and transfer controls are applied to special-category data, payment results, messages and reservation notes.
• Deletion and anonymisation operations are logged; the risk of re-identification of anonymised data is tested.

16. Personal data breach management

In the event of a possibility that personal data have been unlawfully obtained, accessed, disclosed or altered, or lost or rendered unavailable, the matter is reported immediately to the information-security and data-protection officers. The breach is assessed in terms of scope, affected persons, data categories, risk, measures taken and notification obligations.

In accordance with Board decisions, notification to the Board is made without delay upon becoming aware of the breach and, as a rule, no later than 72 hours. Data subjects are notified without delay, using a method suited to mitigating the adverse effects of the breach. Data processors notify Reztoran within the short period set out in the relevant contract as soon as they become aware of a breach.

17. Rights of the data subject and application

Under Article 11 of the Law, data subjects have the right to learn whether their personal data are being processed, to request information, to learn the purpose of processing and whether the data are used in accordance with that purpose, to know the recipients to whom data are transferred domestically or abroad, to request rectification, to request deletion or destruction, to request notification of these operations to the recipients, to object to a result arising from analysis carried out solely by automated means, and to request compensation for damage arising from unlawful processing.

Applications may be submitted in writing to Suadiye Mah. Kazım Özalp Sk. C Blok No: 60 İç Kapı No: 2 Kadıköy / Istanbul; by registered electronic mail (KEP), secure electronic signature or mobile signature; from an email address previously notified to and registered with Reztoran, to info@reztoran.com; or through the application made available for this purpose. Applications are concluded within no more than 30 days. Additional information proportionate to the nature of the request may be requested to verify identity.

18. Organisation, oversight and accountability

• Management ensures adequate resources and the allocation of responsibility.
• The legal/KVKK function coordinates legislation, privacy notices, contracts, data-subject applications and breach processes.
• The information-security and technology units carry out technical measures, access controls, logging and incident response.
• Product teams carry out a privacy-by-design review before releasing a new processing activity.
• Human resources, sales, marketing, customer service and operations units process data only within their authority and limited to the relevant purpose.
• This Policy, the processing inventory and VERBİS records are updated regularly and upon material change.

19. Entry into force and updates

This Policy enters into force on 10 July 2026. It is updated in the event of changes to legislation, products, data flows, suppliers or organisation. The current version is published on Reztoran's relevant digital channels. Material changes are announced to data subjects by an appropriate method.

APPENDIX 1 — Process-based minimum KVKK checklist

Control	Minimum requirement
New integration	Not released into production until the role analysis, data flow, legal ground, privacy notice, contract, security, international transfer and retention period have been completed.
New analytics/AI model	Purpose, data source, risk of discrimination/mismatching, human oversight, model training, data minimisation and impact assessment are carried out.
New marketing activity	Explicit consent and commercial-communication approval are kept separate; opt-out/withdrawal is applied immediately; mandatory service notifications are separated from marketing.
Restaurant data access	Limited to the relevant restaurant/branch and authorised role; cross-restaurant visibility is closed unless specifically approved.
Foreign service provider	Transfer mechanism, type of standard contractual clause, the five-business-day notification, sub-processor and data location are recorded.
Special-category data	Necessity test, separate field, additional access and security, short retention, and no use for marketing.
Account closure	Closure of the active profile, separation of mandatory records, and initiation of the backup and sub-processor destruction cycle.

Versiyon 2.0 | Son Güncelleme: 10.07.2026