Kısaca
- Merchifyt, işletmelerin saha ekipleri için geliştirilmiş bir iş uygulamasıdır. Hesabını işverenin açar; uygulamada bireysel kayıt yoktur.
- Konumun yalnız “Güne Başla” ile “Günü Bitir” arasında kaydedilir. İş günü kapalıyken konum toplanmaz.
- Kayıtlarını işvereninin yetkili yöneticileri görür; hizmet verdiğin markaların temsilcileri yalnız kendi markalarına ait işi görür.
- Verilerin bakımından veri sorumlusu işverenindir. Merchifyt, verileri işverenin adına ve talimatıyla işler.
- Reklam yoktur, verilerin satılmaz, uygulamalar ve web siteleri arasında izlenmezsin.
- Sunucular Türkiye'dedir. Hata izleme, bildirim, harita ve e-posta gibi sınırlı hizmetler için yurt dışındaki sağlayıcılar kullanılır (bkz. 8 ve 9).
1.Kapsam
Bu metin; Merchifyt iOS ve Android uygulamasını, Merchifyt yönetim panelini (web) ve bu sayfaların bulunduğu Merchifyt web sayfalarını (birlikte “Hizmet”) kapsar. Metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m.10 uyarınca aydınlatma metni niteliğindedir.
Hizmet, Merchifyt ile işletmeler arasında yapılan hizmet sözleşmesine dayanarak sunulur. İşverenin, çalışanlarına ayrıca kendi aydınlatma metnini sunması gerekebilir; bu metin onun yerine geçmez, onu tamamlar.
2.Tanımlar
- Hizmet
- Merchifyt mobil uygulaması, yönetim paneli ve bunlara bağlı sunucu altyapısı.
- İşveren (Müşteri)
- Merchifyt ile sözleşme yaparak Hizmet'i kendi ekibi için kullanan işletme.
- Kullanıcı
- İşverenin Hizmet'e eriştirdiği kişi: saha elemanı, yönetici ya da marka temsilcisi.
- Kişisel veri
- Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
- Veri sorumlusu
- Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen taraf.
- Veri işleyen
- Kişisel verileri veri sorumlusunun verdiği yetkiye dayanarak onun adına işleyen taraf.
- Alt işleyen
- Merchifyt'ın Hizmet'i sunmak için yararlandığı ve verileri onun adına işleyen altyapı veya hizmet sağlayıcısı.
3.Veri sorumlusu ve veri işleyen
Merchifyt veri işleyen olarak
Hizmet'i bir işverenin çalışanı ya da yetkilisi olarak kullanıyorsun. Hizmet aracılığıyla işlenen verilerin (hesap, konum, ziyaret, fotoğraf, mesaj ve iş kayıtları) bakımından veri sorumlusu işverenindir. Merchifyt bu verileri yalnız işverenin talimatları ve hizmet sözleşmesi çerçevesinde, Hizmet'i sunmak amacıyla işler; kendi amaçları için kullanmaz, satmaz ve başka bir amaçla paylaşmaz.
Merchifyt veri sorumlusu olarak
Aşağıdaki sınırlı veriler bakımından Merchifyt veri sorumlusudur:
- Destek talepleri ve support@merchifyt.me adresine gönderilen yazışmalar,
- İşverenle yapılan sözleşme ilişkisi kapsamında işverenin yetkililerinin iletişim bilgileri,
- Hizmet'in güvenliğini sağlamak, kötüye kullanımı önlemek ve hataları gidermek için tutulan güvenlik ve teşhis kayıtları.
4.İşlenen kişisel veriler
| Kategori | İçerik | Nasıl ve ne zaman |
|---|---|---|
| Hesap ve kimlik | Ad soyad, e-posta adresi, rol, kullanıcı kimliği, bağlı olunan işletme; işveren girdiyse telefon numarası ve araç plakası. | İşveren hesabı yönetim panelinden oluşturduğunda veya güncellediğinde. |
| Konum | Kesin konum ve doğruluk payı, kayıt zamanı; mağaza giriş ve çıkış konumu ile mağazaya mesafe; gün içinde kat edilen mesafe. | Yalnız iş günü açıkken (ayrıntı: bölüm 5). |
| Fotoğraflar | Raf, teşhir, etiket, sipariş ve kilometre sayacı fotoğrafları ile çekim zamanı. | Yalnız uygulamanın kendi kamerasıyla çektiğin anda. Fotoğraf galerine erişilmez. |
| İş kayıtları | Ziyaretler, marka sonuçları, açıklamalar, adetler, kilometre değerleri, atlama gerekçeleri, onay talepleri ve görevler. | Uygulamaya girdiğin anda. |
| Mesajlar | Aynı işletmedeki kullanıcılarla uygulama içi mesajlar ve cevaplar; uygunsuz diye bildirilen iletilere ilişkin kayıt. | Mesaj gönderdiğinde veya bir iletiyi bildirdiğinde. |
| Cihaz ve uygulama | Bildirim jetonu, cihaz modeli, işletim sistemi ve sürümü, uygulama sürümü, dil. | Bildirim göndermek ve hataları çözmek için, uygulamayı kullandığın sürece. |
| Teşhis | Çökme ve hata raporları, hata kayıtları, hatadan önceki ekran geçişleri ve dokunuşlar, uygulama açılış süresi. Mobil uygulamada yalnız Profil → “Kullanım Verisi” açıksa (varsayılan: kapalı) performans ölçümleri ve hata anına ait ekran kaydı; metin ve görseller maskelenir. Yönetim panelinde hata raporları, örneklenmiş performans ölçümleri ve hata anına ait maskeli ekran kaydı. | Hata oluştuğunda veya uygulama açıldığında, otomatik olarak. |
| Güvenlik ve erişim kayıtları | IP adresi, giriş ve oturum zamanları, oturum kimlikleri; hangi işlemin kim tarafından ve ne zaman yapıldığına dair denetim kaydı. | Hizmet'e her erişimde ve kayıt altına alınan işlemlerde. |
| Destek | “Sorun Bildir” formundaki konu ve açıklama; e-postayla gelen destek yazışmaları. | Destek talebi gönderdiğinde. |
İşlenmeyen veriler: reklam kimliği (IDFA/AAID), uygulamalar ve web siteleri arası izleme verisi, rehber, mikrofon ve ses kaydı, fotoğraf galerisi, sağlık verisi ve diğer özel nitelikli kişisel veriler. Hizmet'te ödeme bilgisi alınmaz.
5.Konum verisi
Konum, saha çalışmasının doğrulanması ve planlanması için gereklidir ve bilinçli olarak iş günüyle sınırlandırılmıştır.
- Ne zaman: Yalnız “Güne Başla”ya bastığın andan “Günü Bitir”e bastığın ana kadar. İş günü kapalıyken konum toplanmaz.
- Nasıl: Uygulama açıkken düzenli aralıklarla; “Her zaman” iznini verdiysen uygulama kapalıyken de. Konum kaydı sürerken Android'de “Merchifyt aktif” bildirimi görünür; iOS konumun kullanıldığını durum çubuğunda gösterir.
- Mağaza girişi: Girişte bulunduğun konum mağazanın kayıtlı konumuyla karşılaştırılır; giriş mağazaya en fazla 200 m mesafede yapılmalıdır. Ölçülen mesafe ziyaret kaydına yazılır. Telefonun yalnız yaklaşık konum paylaşıyorsa ya da (Android'de) sahte konum uygulaması algılanırsa giriş yapılamaz.
- Kim görür: İşverenin yetkili yöneticileri, iş günün açıkken rotanı ve konumunu görebilir. Marka temsilcileri canlı konumunu varsayılan olarak görmez; bu yetki ancak işverenin açıkça vermesiyle tanımlanabilir.
- Ne kadar saklanır: Ham konum kayıtları 90 gün sonra otomatik silinir. Mağaza giriş ve çıkış konumları ziyaret kaydıyla birlikte saklanır (bölüm 10).
Konum iznini telefonunun ayarlarından istediğin an değiştirebilirsin; ancak iş günü ve mağaza girişi özellikleri konum olmadan çalışmaz.
6.Amaçlar ve hukuki sebepler
| Amaç | İlgili veriler | Hukuki sebep (KVKK) |
|---|---|---|
| Hizmet'in sunulması: hesap ve oturum, günlük rota ve kat edilen mesafe, ziyaret, fotoğraf, mesajlaşma, onay ve görev akışları | Hesap, konum, fotoğraf, iş kayıtları, mesajlar, cihaz | Sözleşmenin kurulması ve ifası (m.5/2-c); işverenin meşru menfaati (m.5/2-f) |
| Ziyaretin mağazada yapıldığının doğrulanması ve sahte ziyaretin önlenmesi | Konum, iş kayıtları | Meşru menfaat (m.5/2-f) |
| Bildirimlerin gönderilmesi | Bildirim jetonu, hesap | Sözleşmenin ifası (m.5/2-c) |
| Destek taleplerinin yanıtlanması | Destek, hesap, cihaz, teşhis | Meşru menfaat (m.5/2-f) |
| Güvenlik, yetkisiz erişimin ve kötüye kullanımın önlenmesi, denetim kaydı | Güvenlik ve erişim kayıtları, hesap | Meşru menfaat (m.5/2-f); veri güvenliği yükümlülüğü (m.12) |
| Hataların tespiti ve Hizmet'in sürekliliği | Teşhis, cihaz, kullanıcı kimliği | Meşru menfaat (m.5/2-f) |
| Mobil performans ölçümleri ve hata anı ekran kaydı | Teşhis | Açık rıza (m.5/1); Profil → “Kullanım Verisi” ile istediğin an geri alınabilir |
| Yasal yükümlülükler ve uyuşmazlıklar | İlgili tüm veriler | Kanunlarda öngörülme, hukuki yükümlülük, hakkın tesisi, kullanılması veya korunması (m.5/2-a, ç, e) |
Merchifyt'ın veri işleyen olduğu durumlarda hukuki sebebi veri sorumlusu sıfatıyla işveren belirler; tablodaki sebepler bu kullanım için tipik olarak dayanılan sebeplerdir.
7.Verilere kimler erişebilir
- İşverenin yetkili yöneticileri: rollerine verilen izinler ölçüsünde rotanı, konumunu, ziyaretlerini, fotoğraflarını ve mesajlarını yönetim panelinde görür.
- Hizmet verilen markaların temsilcileri (marka yöneticileri): yalnız kendi markalarına ait ziyaret sonuçlarını, fotoğrafları ve ilgili mağaza bilgilerini görür.
- Diğer işletmeler: Hizmet işletmeleri birbirinden ayırır; bir işletmenin kullanıcıları başka bir işletmenin verisine erişemez.
- Merchifyt: yalnız yetkili kişiler, yalnız destek, bakım ve güvenlik için gerektiği ölçüde ve gizlilik yükümlülüğü altında.
- Alt işleyenler: bölüm 8'deki sağlayıcılar, yalnız sundukları hizmet için gereken veriye.
- Yetkili kamu kurum ve kuruluşları: yalnız yasal bir zorunluluk olduğunda ve yalnız gerekli ölçüde.
Merchifyt'ın faaliyetinin bir başka kuruluşa devri hâlinde veriler bu metindeki güvencelerle birlikte devredilir ve bu durum önceden duyurulur.
8.Alt işleyenler ve üçüncü taraflar
| Sağlayıcı | Hizmet | İşlenen veriler | Konum |
|---|---|---|---|
| Sunucu altyapısı | Uygulama sunucuları, veritabanı, dosya depolama ve yedekler | Hizmet verilerinin tamamı | Türkiye |
| Functional Software, Inc. (Sentry) | Hata, çökme ve performans izleme | Teşhis verileri, kullanıcı kimliği, cihaz bilgisi, maskeli ekran kaydı | AB veri bölgesi (Almanya) |
| Google LLC (Firebase Cloud Messaging) | Bildirim iletimi | Bildirim jetonu, bildirim içeriği | ABD ve küresel |
| Apple Inc. (Apple Push Notification service) | iOS bildirim iletimi | Bildirim jetonu, bildirim içeriği | ABD ve küresel |
| Mapbox, Inc. | Harita görüntüleri; haritaları iyileştirme verisi | Harita isteği sırasında IP adresi ve görüntülenen bölge. Mapbox harita kütüphanesi ayrıca, haritaları iyileştirmek için Mapbox'a kimliğinle ilişkilendirilmeyen konum ve kullanım verisi gönderir; bunu Profil → “Harita İyileştirme” anahtarından ya da haritadaki ⓘ simgesinden kapatabilirsin. | ABD |
| 650 Industries, Inc. (Expo) | Uygulama açılış performansının ölçülmesi | Açılış süreleri, cihaz modeli, işletim sistemi ve uygulama sürümü | ABD |
| Google (Google Workspace) | Destek e-postası (support@merchifyt.me) | Bize yazdığında ad, e-posta adresi, ileti içeriği ve ekler | ABD ve küresel |
Google Haritalar: Alt işleyen değildir. Uygulamada “Google Haritalar'da aç”a bastığında mağazanın koordinatı Google Haritalar'a gönderilir; bundan sonrası Google'ın kendi gizlilik politikasına tabidir.
Alt işleyenler, bu metindekinden daha az koruyucu olmayan sözleşmesel yükümlülüklere tabidir. Listede değişiklik olduğunda bu sayfa güncellenir.
9.Yurt dışına aktarım
Hizmet verileri Türkiye'deki sunucularda barındırılır; barındırma için veriler yurt dışına aktarılmaz. Konum kayıtların, fotoğrafların ve ziyaret kayıtların yurt dışına gönderilmez (Mapbox'ın kimliğinle ilişkilendirilmeyen harita iyileştirme verisi hariç). Bölüm 8'de konumu Türkiye dışında olan sağlayıcılara (Sentry, Google, Apple, Mapbox, Expo) yalnız orada belirtilen sınırlı veriler aktarılır.
Bu aktarımlar KVKK m.9'da öngörülen şartlara ve uygun güvencelere dayanılarak yapılır. Sağlayıcılarla yapılan veri işleme sözleşmeleri, verilerin yalnız ilgili hizmetin sunulması için işlenmesini ve korunmasını güvence altına alır.
Aktarılan veriler en aza indirilmiştir: hata ve performans kayıtlarında kimlik olarak yalnız kullanıcı numarası bulunur, adın ve e-posta adresin gönderilmez; ekran kayıtlarında metin ve görseller maskelenir; harita iyileştirme verisi kimliğinle ilişkilendirilmez ve kapatılabilir.
10.Saklama süreleri
| Veri | Saklama süresi |
|---|---|
| Ham konum kayıtları | 90 gün; süre dolunca otomatik silinir. |
| Ziyaret, fotoğraf, iş kayıtları ve mesajlar | İşverenin operasyonel kaydı olarak, işverenle hizmet ilişkisi sürdüğü müddetçe. İlişki sona erdiğinde işverenin talimatına göre silinir veya işverene teslim edilir. |
| Hesap bilgileri | Hesap açık olduğu sürece. Hesap kapatıldığında silinir; işverenin operasyonel kayıtlarında adının geçtiği kayıtlar üstteki süreye tabidir. |
| Oturum bilgileri | Erişim jetonları 15 dakika; oturum yenileme bilgisi en fazla 14 gün (“Beni hatırla” seçildiyse 30 gün). |
| Teşhis kayıtları (Sentry) | En fazla 90 gün. |
| Güvenlik ve denetim kayıtları | Güvenlik, kötüye kullanımın tespiti ve yasal yükümlülükler için gerekli olduğu süre. |
| Destek yazışmaları | Talep sonuçlandıktan sonra, olası tekrar başvurular ve yasal yükümlülükler için makul süre. |
| Yedekler | Veritabanı yedekleri dönüşümlü olarak 30 gün tutulur. Sistemden silinen fotoğraflar 30 gün sonra yedekten de silinir. Yedekler yalnız felaket kurtarma amacıyla kullanılır ve erişimi kısıtlıdır. |
Süreler dolduğunda veriler silinir, yok edilir veya anonim hâle getirilir. Anonim hâle getirilmiş istatistikler (örneğin toplam ziyaret sayıları) kişiyle ilişkilendirilmeden saklanabilir.
11.Güvenlik
Verileri yetkisiz erişime, kayba ve değişikliğe karşı korumak için teknik ve idari önlemler uygulanır:
- Tüm iletişim şifreli bağlantı (TLS 1.2 ve üzeri) üzerinden yapılır; yönetim paneli yalnız HTTPS ile açılır.
- Sunucular güvenlik duvarıyla korunur; yönetim erişimi yalnız anahtarla yapılır ve parolayla giriş kapalıdır. Güvenlik güncellemeleri otomatik uygulanır.
- Veritabanı internete kapalıdır; uygulama veritabanına yalnız gereken yetkilere sahip ayrı bir kullanıcıyla bağlanır.
- Parolalar geri döndürülemez biçimde (bcrypt) saklanır. Erişim jetonları kısa ömürlüdür; oturum yenileme bilgisi her kullanımda yenilenir ve çalınma girişimleri tespit edilir.
- Mobil uygulamada oturum bilgileri telefonun güvenli deposunda (iOS Anahtar Zinciri, Android Keystore) tutulur.
- Erişim rol ve işletme bazında sınırlıdır; işletmelerin verileri birbirinden ayrılır. Fotoğraflara yalnız yetkili oturumla erişilir.
- Önemli işlemler, sonradan değiştirildiğinde fark edilecek biçimde zincirlenen bir denetim kaydına yazılır.
- İstek sınırlaması ve kötüye kullanım koruması uygulanır; sistem sürekli izlenir ve her gün yedeklenir.
İhlal bildirimi: Verilerine yetkisiz erişildiğini öğrendiğimizde işverene gecikmeksizin bilgi veririz. KVKK m.12/5 uyarınca gereken durumlarda Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere en kısa sürede bildirim yapılır.
Hiçbir sistem tamamen güvenli değildir. Telefonunu ve parolanı korumak, parolanı kimseyle paylaşmamak da güvenliğin parçasıdır.
12.Çerezler ve cihazda saklanan bilgiler
Hizmet reklam, pazarlama ya da siteler arası izleme amaçlı çerez kullanmaz. Yalnız Hizmet'in çalışması için gerekli bilgiler saklanır:
| Ad / tür | Amaç | Süre |
|---|---|---|
| refresh_token (çerez, zorunlu) | Yönetim panelinde oturumun güvenli biçimde sürdürülmesi. Betiklerle okunamaz (HttpOnly), yalnız şifreli bağlantıda ve yalnız oturum adresine gönderilir. | Tarayıcı kapanınca; “Beni hatırla” seçildiyse 30 gün |
| Tarayıcı depolaması (yönetim paneli) | Dil ve tema tercihi, menü görünümü, bildirim sesi tercihi, rapor süzgeçleri; “Beni hatırla” seçildiyse e-posta adresi; hızlı açılış için önbellek. | Tercihler silinene kadar; e-posta 30 gün; önbellek çıkışta silinir |
| Telefondaki güvenli depo (mobil) | Oturum bilgileri ve tercihler. | Çıkış yapılana ya da uygulama silinene kadar |
| Telefondaki uygulama verisi (mobil) | İnternet yokken girilen kayıtlar ve fotoğraflar. | Gönderildikten sonra temizlenir |
Yönetim panelindeki hata izleme aracı, bir hatayı oturumla ilişkilendirmek için tarayıcının oturum deposunu kullanabilir; tarayıcı kapanınca silinir.
13.İzinlerin ve tercihlerin
| Ne | Nasıl değiştirilir |
|---|---|
| Konum kaydı | “Günü Bitir”e bastığında durur. Konum iznini telefonunun Ayarlar → Merchifyt → Konum bölümünden değiştirebilirsin (iş günü özellikleri konum olmadan çalışmaz). |
| Kamera | Ayarlar → Merchifyt → Kamera. |
| Bildirimler | Uygulamada Profil → “Bildirimler” veya telefonun bildirim ayarları. |
| Performans verisi ve hata anı ekran kaydı | Profil → “Kullanım Verisi” anahtarını kapat (varsayılan: kapalı). |
| Mapbox harita iyileştirme verisi | Profil → “Harita İyileştirme” anahtarını kapat. |
| Yönetim panelinde kayıtlı e-posta | Girişte “Beni hatırla”yı işaretleme ya da tarayıcının site verilerini temizle. |
14.Hakların
KVKK m.11 uyarınca aşağıdaki haklara sahipsin:
- Kişisel verilerinin işlenip işlenmediğini öğrenme,
- İşlenmişse buna ilişkin bilgi talep etme,
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
- Eksik veya yanlış işlenmişse düzeltilmesini isteme,
- KVKK m.7'deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
- (e) ve (f) kapsamındaki işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonucun ortaya çıkmasına itiraz etme,
- Kanuna aykırı işlenmesi sebebiyle zarara uğraman hâlinde zararın giderilmesini talep etme.
Başvuru
Başvurunu support@merchifyt.me adresine “KVKK Başvurusu” konusuyla gönderebilirsin. Başvurunda adını soyadını, bağlı olduğun işletmeyi, talebini ve sana ulaşabileceğimiz iletişim bilgisini belirtmelisin; kimliğini doğrulamak için ek bilgi isteyebiliriz. Başvurular en geç 30 gün içinde ücretsiz yanıtlanır.
Verilerin bakımından veri sorumlusu işverenin olduğundan başvurunu doğrudan işverenine de yapabilirsin. Bize gelen ve işverenin kararını gerektiren başvuruları gecikmeden işverenine iletir, yanıtlanması için gerekli desteği sağlarız.
Başvurunun reddedilmesi, verilen yanıtı yetersiz bulman veya süresinde yanıt verilmemesi hâlinde KVKK m.14 uyarınca Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin.
Avrupa Ekonomik Alanı'ndaki kullanıcılar
Hizmet'i Avrupa Ekonomik Alanı'nda kullanıyorsan ve Genel Veri Koruma Tüzüğü (GDPR) uygulanıyorsa; erişim, düzeltme, silme, işlemeyi kısıtlama, veri taşınabilirliği ve itiraz haklarına ve yetkili denetim makamına şikâyet hakkına sahipsin. Başvurular aynı adrese yapılır.
15.Hesabın ve verilerin silinmesi
Merchifyt hesapları işverenin yönetim panelinden açılır ve kapatılır; uygulamada kayıt olma veya hesap silme düğmesi yoktur. Hesabının silinmesini işvereninin yöneticisinden ya da support@merchifyt.me adresinden isteyebilirsin.
Hesap silindiğinde oturum bilgilerin, cihaz bildirim kayıtların, kişisel bildirim kutun ve ham konum kayıtların silinir. Ziyaret, fotoğraf ve onay kayıtları işverenin operasyonel kaydı olduğu için bölüm 10'daki süre boyunca saklanır.
16.Otomatik kontroller
Hizmet, mağaza girişinde iki otomatik kontrol yapar: girişin mağazaya 200 m içinden yapılıp yapılmadığı ve (Android'de) sahte konum uygulaması kullanılıp kullanılmadığı. Bu kontroller yalnız girişin kabul edilip edilmeyeceğini belirler; Hizmet hakkında hukuki sonuç doğuran ya da seni benzer biçimde önemli ölçüde etkileyen başka bir otomatik karar vermez. Bir kontrolün hatalı sonuç verdiğini düşünüyorsan işverenine veya bize başvurabilirsin.
17.Çocuklar
Hizmet yalnız işverenler tarafından hesap açılan çalışanlara yöneliktir; 18 yaşından küçüklere yönelik değildir ve bilerek 18 yaşından küçüklerin verileri işlenmez.
18.Değişiklikler
Bu metni Hizmet'teki veya mevzuattaki değişikliklere göre güncelleyebiliriz. Güncellemede “Son güncelleme” tarihi değişir; önemli değişiklikler uygulama veya yönetim paneli üzerinden duyurulur.
19.İletişim
Bu metin ve kişisel verilerin hakkındaki her türlü soru için: support@merchifyt.me. Uygulama içinden de yazabilirsin: Profil → “Sorun Bildir”.