Kısaca: Menünü tarayan misafirlerinden kişisel veri toplamıyoruz — ne IP, ne çerez, ne parmak izi. Senden ise hesabını çalıştırmak için gereken en az bilgiyi alıyoruz. Kart bilgin bize hiç ulaşmıyor. Veriyi kimseye satmıyoruz.
1. Veri sorumlusu
Bu politikadaki işlemlerden HAPTONE EDUCATIONAL TECHNOLOGIES RESEARCH & DEVELOPMENT - FZCO ("QRpuz", "biz") sorumludur. Adres: Dubai Digital Park, Dubai Silicon Oasis, Building A1, Dubai, United Arab Emirates. Şirket kayıt numarası: 81025. İletişim: destek@qrpuz.com.
Şirket Birleşik Arap Emirlikleri'nde kayıtlıdır. Hizmet uluslararası sunulduğu için bu politika; UAE 45/2021 sayılı Kişisel Verilerin Korunması Kanunu (PDPL), Türkiye'de yerleşik kullanıcılar bakımından 6698 sayılı KVKK ve Avrupa Ekonomik Alanı'nda yerleşik kullanıcılar bakımından GDPR'ın gerektirdiği bilgileri birlikte içerecek şekilde hazırlanmıştır.
2. Bu politika kimi kapsar
- İşletme kullanıcıları — QRpuz'da hesabı olan restoran sahipleri ve çalışanları.
- Menü ziyaretçileri — QR kodu okutup menüye bakan misafirler. Bölüm 3.6'ya bak; bu grup hakkında kişisel veri işlemiyoruz.
3. İşlediğimiz veriler
3.1 Hesap bilgileri
Ad, e-posta adresi, isteğe bağlı telefon numarası, arayüz dili ve bildirim tercihleri.
3.2 İşletme bilgileri
Restoran adı, telefonu, adresi, konsepti ve logosu. Adres bilgisi veritabanında şifreli olarak saklanır.
3.3 Menü içeriğin
Kategoriler, ürünler, fiyatlar, açıklamalar ve yüklediğin görseller. Bu içerik yayınladığında herkese açık hâle gelir — menü zaten misafirlerin görmesi için vardır.
3.4 Ödeme bilgileri
Kart numaranı, son kullanma tarihini veya CVV'ni hiçbir zaman görmez ve saklamayız. Ödeme, ödeme kuruluşunun kendi güvenli sayfasında alınır. Bizde yalnızca ödemenin tutarı, para birimi, tarihi ve durumu ile fatura numarası kalır. Kimlik numarası, vergi numarası veya fatura adresi saklamıyoruz.
3.5 Yapay zekâ kullanımı
Bir ürün açıklaması ürettiğinde veya bir fotoğrafı iyileştirdiğinde, ürün adın/açıklaman ve ilgili ürün görselin işlemi gerçekleştirmek üzere yapay zekâ sağlayıcımıza iletilir (Bölüm 6). Bu içerik ayrıca kullanım geçmişi olarak hesabında kaydedilir. Yapay zekâ özelliklerini kullanmazsan bu aktarım hiç gerçekleşmez.
3.6 Rıza kayıtları
Politikalarımızı onayladığında, ispat yükümlülüğümüz gereği onayın tarihini, onay verdiğin metin sürümünü, IP adresini ve tarayıcı bilgini kaydederiz.
3.7 Destek talepleri
Bize yazdığın destek taleplerinin konusu ve mesaj içeriği saklanır. Mesajın içine yazdığın her şey burada tutulacağı için gereksiz kişisel bilgi paylaşmamanı öneririz.
3.8 Menü ziyaretçileri hakkında ne topluyoruz
Kişisel veri toplamıyoruz. Bir misafir QR kodunu okuttuğunda yalnızca şunları kaydediyoruz: hangi menünün görüntülendiği, hangi ürüne bakıldığı, zaman damgası ve seçilen dil. IP adresi, çerez, cihaz parmak izi, tarayıcı bilgisi veya yönlendiren site kaydedilmez. Bu veriler tek tek kişilere bağlanamaz; sana yalnızca toplam sayı olarak gösterilir.
Tek istisna: kötüye kullanımı engellemek için IP adresi geçici olarak (yalnızca hız sınırlama amacıyla, kalıcı kayıt olmadan) işlenir ve tüm site trafiği Bölüm 6'da belirtilen ağ sağlayıcımızın altyapısından geçer.
4. Neden işliyoruz — amaç ve hukuki dayanak
- Sözleşmenin ifası: hesabın oluşturulması, menünün yayınlanması, aboneliğin yönetimi, faturalandırma.
- Meşru menfaat: hizmet güvenliği, dolandırıcılık ve kötüye kullanım önleme, hata ayıklama, ürünün iyileştirilmesi.
- Açık rıza: yapay zekâ özelliklerini kullanman, pazarlama iletisi almayı seçmen. Rızanı istediğin zaman geri alabilirsin.
- Hukuki yükümlülük: mali kayıtların ve rıza kanıtlarının saklanması.
Kişisel verilerini satmıyoruz, kiralamıyoruz ve üçüncü tarafların kendi pazarlaması için kullanmasına izin vermiyoruz.
5. Çerezler ve tarayıcı depolaması
Tek bir çerez kullanıyoruz: qrpuz_refresh. Oturumunu
açık tutmaya yarar, JavaScript tarafından okunamaz (httpOnly), yalnızca şifreli
bağlantı üzerinden gönderilir ve 30 dakikada bir yenilenir.
- Ürün tarafında (app.qrpuz.com panelinde ve dijital menülerde) reklam, takip veya analitik çerezi kullanmıyoruz. Google Analytics, Meta Pixel benzeri hiçbir üçüncü taraf takip aracı panelde veya menü sayfalarında yok.
- Menü sayfalarında hiç çerez yoktur. Misafirin tarayıcısında yalnızca aynı ziyarette aynı taramanın iki kez sayılmasını önleyen, sekme kapanınca silinen teknik bir işaret tutulur.
- Panelde ayrıca tarayıcının yerel depolamasında dil tercihin ve "bu bildirimi bir daha gösterme" gibi arayüz tercihlerin tutulur. Bunlar bize gönderilmez.
- Bu tanıtım sitesinde (qrpuz.com) sayfa altındaki çerez bandından "Kabul Et" dersen Google Ads dönüşüm takibi ve Microsoft Clarity (kullanım analizi ve ısı haritası) çalışmaya başlar; "Reddet" dersen ya da bandı kapatmadan geçersen bu araçlar hiç yüklenmez. Tercihin bu tarayıcıda saklanır, dilediğin zaman tarayıcı depolamanı temizleyerek değiştirebilirsin.
6. Kimlerle paylaşıyoruz
Hizmeti sunabilmek için aşağıdaki sağlayıcıları kullanıyoruz. Her birine yalnızca o işi yapmak için gereken veri gider:
| Sağlayıcı | Amaç | Aktarılan veri |
|---|---|---|
| Keycloak kendi altyapımızda | Kimlik doğrulama ve oturum yönetimi | E-posta adresi, şifre (tek yönlü özetlenmiş), ad |
| Google (OAuth) | Google ile giriş seçeneği | Yalnızca bu yöntemi seçersen: Google hesabının e-posta ve temel profil bilgisi |
| Stripe | Uluslararası kart ödemeleri | İşletme kimliği (UUID), tutar, para birimi, ürün adı. Kart bilgin doğrudan Stripe’ın kendi sayfasında girilir; bize hiç ulaşmaz. |
| Iyzico | Türk Lirası kart ödemeleri | İşletme kimliği (UUID), tutar, para birimi. Alıcı alanları teknik zorunluluk nedeniyle yer tutucu değerlerle doldurulur — gerçek ad, telefon veya kimlik bilgin gönderilmez. Kart bilgin Iyzico’nun kendi sayfasında girilir. |
| OpenAI | Ürün açıklaması üretimi ve fotoğraf iyileştirme | Yalnızca yapay zekâ özelliğini kullandığında: ürün adı/açıklaması ve iyileştirmek için yüklediğin ürün görseli |
| Google (Gemini) | Ürün açıklaması üretimi ve görsel işleme | Yalnızca yapay zekâ özelliğini kullandığında: ürün metni ve/veya ürün görseli |
| OpenRouter | Yapay zekâ modeli yönlendirme katmanı (talebi seçilen modele iletir) | Ürün metni ve/veya ürün görseli. OpenRouter talebi seçtiğimiz modelin sağlayıcısına iletir — bunlar OpenAI, Google, Anthropic ve DeepSeek olabilir. |
| Resend | İşlemsel e-posta gönderimi | E-posta adresin ve gönderilen iletinin içeriği (doğrulama linki, şifre sıfırlama, veri dışa aktarma dosyası) |
| Cloudflare | Ağ güvenliği, şifreli bağlantı ve içerik dağıtımı | Tüm site trafiği buradan geçer: IP adresi, tarayıcı bilgisi ve istek üstverisi Cloudflare tarafından işlenir |
| MinIO kendi altyapımızda | Görsel depolama (logo, ürün fotoğrafları) | Yüklediğin görseller |
| imgproxy kendi altyapımızda | Görsel boyutlandırma ve optimizasyon | Menüde gösterilen görseller |
| GlitchTip kendi altyapımızda | Hata izleme | Teknik hata kayıtları. Kişisel veri eklenmesi kapalıdır (IP, çerez ve başlıklar gönderilmez). |
| Google Ads | Tanıtım sitesinde (qrpuz.com) dönüşüm takibi — yalnızca çerez bandından onay verirsen | Tıklama zaman damgası ve tarayıcı tanımlayıcısı. Onay vermezsen hiç yüklenmez. |
| Microsoft Clarity | Tanıtım sitesinde kullanım analizi (ısı haritası, oturum kaydı) — yalnızca çerez bandından onay verirsen | Sayfa etkileşimleri (tıklama, kaydırma), tarayıcı ve cihaz bilgisi. Onay vermezsen hiç yüklenmez. |
| Grafana Loki kendi altyapımızda | Uygulama günlükleri | Teknik günlük kayıtları; kullanıcı ve işletme kimliği (UUID) içerir |
Bunların dışında, yasal olarak zorunlu olduğumuz hâllerde yetkili kamu kurumlarına bilgi verebiliriz.
7. Verilerin yurt dışına aktarılması
Sunucularımız Türkiye'de barındırılmaktadır; hesap bilgilerin, işletme kaydın, menü içeriğin ve görsellerin burada saklanır.
Bölüm 6'daki sağlayıcıların bir kısmı ise yurt dışında yerleşiktir — özellikle yapay zekâ, e-posta ve uluslararası ödeme sağlayıcıları Amerika Birleşik Devletleri merkezlidir; ağ güvenliği sağlayıcımız ise küresel bir altyapı kullanır. Bu nedenle bazı veriler yurt dışına aktarılır:
- Yapay zekâ özelliklerini kullandığında ürün metnin ve ürün görselin — kullanmadığın sürece bu aktarım hiç gerçekleşmez.
- Sana e-posta gönderdiğimizde e-posta adresin ve iletinin içeriği.
- Uluslararası kartla ödeme yaptığında ödeme üstverisi (kart bilgin değil).
- Siteyi her ziyaret ettiğinde bağlantı üstverisi, ağ güvenliği sağlayıcımızın altyapısından geçtiği için.
Bu aktarımlarda sağlayıcıların sözleşmesel veri koruma taahhütlerine ve gerekli olduğu hâllerde onayına dayanıyoruz. Sunucularımızın bulunduğu ülke değişirse bu politikayı güncelleyip seni bilgilendireceğiz.
8. Ne kadar saklıyoruz
- Hesap ve menü verileri: hesabın açık olduğu sürece.
- Ham menü görüntüleme kayıtları: 90 gün; ardından otomatik olarak silinir. Geriye yalnızca kişiye bağlanamayan toplam sayılar kalır.
- Uygulama günlükleri: 30 gün.
- Fatura ve ödeme kayıtları: mali mevzuatın gerektirdiği süre boyunca — hesabın silinse dahi.
- Rıza kayıtları: ispat yükümlülüğü nedeniyle saklanır; hesap silindiğinde içindeki IP ve tarayıcı bilgisi temizlenir.
- Değişiklik geçmişi kayıtları: güvenlik ve hukuki denetim amacıyla saklanır.
9. Haklarınız
Bulunduğun ülkeye göre PDPL, KVKK (özellikle Madde 11) veya GDPR kapsamında şu haklara sahipsin: verilerinin işlenip işlenmediğini öğrenme, bunlara erişme ve kopya alma, düzeltilmesini isteme, silinmesini isteme, işlemeye itiraz etme, işlemenin sınırlandırılmasını isteme, verilerini taşınabilir bir biçimde alma ve verdiğin rızayı geri çekme.
Bunların ikisini doğrudan panelden, talep açmadan kullanabilirsin:
- Verilerini indir — Hesap → Gizlilik ve Güvenlik. Profilin, rıza kayıtların, işletme bilgilerin, menülerin ve ürünlerin e-posta ile sana gönderilir.
- Hesabını sil — Hesap → Gizlilik ve Güvenlik. Talebinden sonra 30 günlük bir bekleme süresi başlar; bu süre içinde vazgeçebilirsin. Süre dolduğunda adın, e-postan ve telefonun anonim hâle getirilir, işletme kaydın kapatılır ve kimlik hesabın silinir. Mali kayıtlar ile hukuki denetim kayıtları yukarıda açıklandığı şekilde saklanmaya devam eder.
Diğer talepler ve şikâyetler için: destek@qrpuz.com. Taleplere 30 gün içinde yanıt veriyoruz. Yanıtımızdan memnun kalmazsan bulunduğun ülkenin veri koruma otoritesine başvurma hakkın saklıdır.
10. Güvenlik
- Tüm bağlantılar şifrelidir (TLS); şifreler tek yönlü olarak özetlenir.
- İşletme adres bilgisi veritabanında ayrıca şifrelenir.
- Her işletmenin verisi diğerlerinden yalıtılmıştır; bu yalıtım kod düzeyinde otomatik testlerle zorunlu kılınır.
- Kayıtlar üzerinde kim neyi ne zaman değiştirdi bilgisi tutulur; hassas işlemler denetlenebilir.
- Ödeme sağlayıcılarından gelen bildirimler imza doğrulamasından geçirilir.
- API anahtarları yalnızca ortam değişkenlerinde tutulur, veritabanında saklanmaz.
- Hata izleme aracımızda kişisel veri toplanması kapalıdır; görsellerin içeriği hiçbir zaman günlüklere yazılmaz.
Hiçbir sistem tamamen risksiz değildir. Bir güvenlik açığı fark edersen lütfen destek@qrpuz.com adresine bildir.
11. Çocukların verileri
QRpuz işletmelere yönelik bir hizmettir ve 18 yaşın altındaki kişilere yönelik değildir. Bilerek çocuklardan kişisel veri toplamıyoruz.
12. Bu politikadaki değişiklikler
Politikayı güncellersek yürürlük tarihini değiştirir ve önemli değişikliklerde hesabındaki e-posta adresine bildirim göndeririz. Yeni sürümü onaylaman gereken durumlarda panele girdiğinde bir onay ekranı görürsün.
13. İletişim
HAPTONE EDUCATIONAL TECHNOLOGIES RESEARCH & DEVELOPMENT - FZCO
Dubai Digital Park, Dubai Silicon Oasis, Building A1, Dubai, United Arab Emirates
destek@qrpuz.com ·
+971 58 543 4720
İlgili sayfalar: İptal, İade ve İtiraz · Hizmet Kapsamı · İletişim