Gizlilik politikası

Bu web sitesinde, online sipariş sistemimizde ve burada açıklanan hizmetlerde verilerinizin işlenmesinden yukarıda adı geçen işletme sorumludur (veri sorumlusu). Veri korumayla ilgili her sorunuz için bize bu iletişim bilgilerinden ulaşabilirsiniz.

Kişisel verileri yalnızca ilgili amaç için gerektiği ölçüde işliyoruz. Aşağıdaki bölümler her amaç için hangi verileri, hangi hukuki dayanakla işlediğimizi, verileri kimin aldığını ve ne kadar süre sakladığımızı açıklar. Tüm saklama sürelerinin ve AB dışındaki tüm alıcıların özetini sonda bulabilirsiniz.

Bir sipariş, rezervasyon veya başvuru için zorunlu olarak işaretlenmiş alanlara ihtiyacımız var; bunlar olmadan sözleşmeyi kuramayız veya talebi işleme alamayız. Geri kalan her şey isteğe bağlıdır. GDPR Madde 22 anlamında yalnızca otomatik işlemeye dayalı kararlar almıyoruz.

Bu web sitesi, Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, İrlanda tarafından sağlanan Firebase Hosting üzerinden sunulur. Her istekte sağlayıcı teknik olarak gerekli verileri işler: IP adresi, tarih ve saat, istenen adres, aktarılan veri miktarı, yönlendiren sayfa ve tarayıcı tanımlayıcısı (user agent). Amaç siteyi güvenli ve güvenilir biçimde sunmaktır; hukuki dayanak GDPR Madde 6(1)(f)'dir. Google verileri ABD'deki Google LLC'ye de aktarabilir (bkz. “AB dışındaki alıcılar”).

Sunucu kayıtlarının saklanması: 30 gün.

Siparişler, müşteri hesapları, rezervasyonlar, talepler ve web sitesi üzerinden bize gönderdiğiniz diğer tüm veriler, veri işleyenimiz olarak Supabase Inc. (ABD) nezdinde saklanır ve işlenir (GDPR Madde 28). Supabase veritabanını, oturum açmayı, dosya depolamayı ve sunucu fonksiyonlarını sağlar; orada IP adresleri içeren teknik kayıtlar da oluşur. Örneğimizin sunucu konumu: Frankfurt am Main, Almanya (AWS bölgesi eu-central-1). ABD'ye aktarımlar, Supabase'in veri işleme sözleşmesindeki AB Standart Sözleşme Maddeleri kapsamındadır.

Sitenin çalışması için bazı bilgileri tarayıcınızda tutuyoruz (çerezler, local storage, session storage): diliniz, çerez tercihiniz, sepetiniz ve teslimat ya da gel-al bilgileriniz, güncel bir siparişin tanımlayıcısı ve erişim anahtarı, bir sohbetin tanımlayıcısı, ayarladığınız alerjen filtreleri ve yalnızca “Tercihler” için onay verdiyseniz renk düzeniniz. Bu bilgiler tarayıcınızda kalır; yalnızca ilgili özelliği kullandığınızda gönderilir.

Kesinlikle gerekli depolama onay olmadan gerçekleşir (§ 25(2) no. 2 TDDDG, GDPR Madde 6(1)(b) ve (f)). Bunun ötesindeki her şey, özellikle Google Analytics, yalnızca çerez banner'ı üzerinden onay vermenizle gerçekleşir (§ 25(1) TDDDG, GDPR Madde 6(1)(a)). Tercihinizi istediğiniz zaman ileriye dönük olarak değiştirebilir veya geri çekebilirsiniz:

Çerez banner'ında “Analiz” seçeneğine izin verirseniz, Google Ireland Limited'in (adres yukarıda) Google Analytics 4 hizmetini kullanırız. Google Analytics, tarayıcınız için rastgele oluşturulmuş bir tanımlayıcı (client ID) içeren çerezler (_ga, _ga_*) yerleştirir ve sayfa görüntülemelerini ve etkinlikleri Google'a bildirir: açtığınız sayfalar (sorgu parametreleri veya erişim anahtarları olmadan), zaman, yönlendiren sayfa, dil ayarı, ekran boyutu, cihaz ve tarayıcı türü ve Google'ın IP adresinizden çıkardığı yaklaşık konum. Veriler anonim değil, takma adlıdır: client ID, ziyaretlerinizin birbiriyle ilişkilendirilmesini sağlar.

Amaç, sayfalarımızın nasıl kullanıldığını anlamak ve onları iyileştirmektir. Hukuki dayanak onayınızdır (§ 25(1) TDDDG, GDPR Madde 6(1)(a)). Alıcı Google'dır; veriler, AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalı olan ABD'deki Google LLC'ye aktarılabilir. Çerezler en fazla 2 yıl sonra sona erer; Google etkinlik verilerini 2 ay süreyle saklar.

Geri çekme: Çerez ayarlarını açın (yukarıda “Çerezler ve tarayıcı depolaması” altındaki düğme ya da alt bilgideki bağlantı) ve “Analiz” seçeneğini kapatın. O andan itibaren Google'a hiçbir şey gönderilmez ve Analytics çerezleri silinir. Google'ın veri işleme süreçleri hakkında daha fazlası: policies.google.com/privacy.

Google Analytics'ten ayrı olarak, sayfa görüntülemelerini çerezsiz kendi istatistiklerimizde sayıyoruz. Her görüntüleme için sayfayı, cihaz türünü, saat diliminden türetilen ülkeyi, dili, yönlendiren sayfayı ve IP adresiniz ile tarayıcı tanımlayıcınızdan gizli bir anahtarla oluşturulan, her gün değişen bir kontrol değerini (hash) saklıyoruz. Kontrol değeri yalnızca bir günün ziyaretlerini iki kez saymamaya yarar; 2 gün sonra silinir. Bundan sonra yalnızca kişisel bağlantısı olmayan toplu rakamlar kalır. Hukuki dayanak, basit erişim ölçümüne yönelik meşru menfaatimizdir (GDPR Madde 6(1)(f)). Veriler Supabase'de saklanır.

QR kodlarımızdan veya kısa bağlantılarımızdan birini açtığınızda zamanı, tarayıcı tanımlayıcısını, yönlendiren sayfayı ve IP adresinizin her gün değişen bir kontrol değerini saklarız (IP adresinin kendisini asla saklamayız) ve bu kayıtları 90 gün sonra sileriz.

Bizden sipariş verdiğinizde sipariş formundaki bilgileri işleriz: ad, telefon numarası, e-posta adresi (online ödeme için zorunlu), teslimat için adres, araca teslim gel-al için plaka, renk ve model, notlarınız, sipariş edilen yemekler, seçilen seçenekler, bahşiş ve istenen saat. Amaç sözleşmeyi yerine getirmektir: hazırlamak, teslim etmek veya elden vermek, faturalamak ve sizi sürecin ilerleyişi hakkında bilgilendirmek (GDPR Madde 6(1)(b)). Gizli bir bağlantı sayesinde siparişinizi canlı takip edebilirsiniz.

Ödeme: Online ödemeler Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, İrlanda tarafından yürütülür. Kart bilgilerinizi doğrudan Stripe'a girersiniz; biz bu bilgileri asla almayız. Stripe dolandırıcılığı önlemek için cihaz ve bağlantı verilerini de işler ve verileri ABD'deki Stripe, Inc.'e aktarabilir (Data Privacy Framework). Stripe'ın ödemeleri kendi sorumluluğunda kontrol ettiği durumlarda (örneğin dolandırıcılık önleme) Stripe'ın gizlilik politikası geçerlidir.

Kasa fişi: Her sipariş, teknik bir güvenlik cihazıyla (TSE) kasa işlemi olarak imzalanır. Bunun için işlem verilerini (tutarlar, ürünler, zamanlar; iletişim bilgisi yok) TSE sağlayıcımız fiskaly'ye (AB merkezli) göndeririz. Hukuki dayanak yasal yükümlülüğümüzdür (Alman Vergi Usul Kanunu (AO) § 146a, GDPR Madde 6(1)(c)).

Saklama: Bir misafir siparişindeki ad, telefon, e-posta, adres, notlar ve araç bilgilerini, müşteri hesabınız veya onaylanmış bir damga kartınız yoksa, siparişten 12 ay sonra anonimleştiririz. Tutarları, ürünleri, fişleri ve faturaları vergi ve ticaret hukuku gereği 10 yıla kadar saklarız (§ 147 AO, § 257 HGB, § 14b UStG).

Wolt veya Lieferando gibi bir platform üzerinden sipariş verirseniz, sipariş sürecindeki verilerinizden platformun kendisi sorumludur. Sipariş (yemekler, saat ve platformun iletmesi ölçüsünde ad, telefon ve teslimat adresi) bize Mergeport (AB merkezli) arayüz hizmeti üzerinden ulaşır. Bu bilgileri yalnızca siparişi hazırlamak ve teslim etmek için kullanırız (GDPR Madde 6(1)(b)). Saklanan ham verilerden iletişim bilgilerini alındıktan 30 gün sonra sileriz; tutarlar ve ürünler her siparişte olduğu gibi saklanır.

Sipariş verdikten sonra, siparişinizin ilerleyişi hakkında anlık bildirimle haberdar edilmeyi seçebilirsiniz. Tarayıcınızda buna izin verirseniz, tarayıcınızın bunun için oluşturduğu push adresini ve anahtarları siparişle birlikte saklarız. Mesajlar, tarayıcınızın üreticisinin (ör. Google, Apple, Mozilla veya Microsoft) push hizmeti üzerinden iletilir; bu hizmet AB dışında bulunabilir. Hukuki dayanak onayınızdır (GDPR Madde 6(1)(a), § 25(1) TDDDG); bildirimleri tarayıcınızda kapatarak onayınızı geri çekersiniz. Push hizmeti adresi geçersiz ilan eder etmez push adresini sileriz; her durumda 12 ay kullanılmadığında sileriz.

Bir müşteri hesabı oluşturursanız, daha hızlı sipariş verebilmeniz ve önceki siparişlerinizi bulabilmeniz için e-posta adresinizi, adınızı, telefon numaranızı, kayıtlı adreslerinizi ve siparişlerinizi saklarız (GDPR Madde 6(1)(b)). Oturum açma Supabase üzerinden gerçekleşir. Google veya Facebook ile giriş yaparsanız, sağlayıcı (Google Ireland Limited veya Meta Platforms Ireland Limited) bize adınızı, e-posta adresinizi ve bir tanımlayıcı iletir; sağlayıcının kendisinin işledikleri, kendi gizlilik politikasına tabidir. Hesap, siz silene veya silmemizi isteyene kadar varlığını sürdürür; bundan sonra sipariş ve fiş verilerini yalnızca yasal süreler içinde saklarız.

Yalnızca sipariş verirken damga kartı kutusunu işaretlerseniz e-posta adresiniz adına bir damga kartı oluşturur ve onaylamanız için size bir e-posta göndeririz. E-posta adresini, her siparişe referansla toplanan damgaları, onay zamanını ve verilen kuponları saklarız. Amaç, damga programını katılım koşullarımız çerçevesinde yürütmektir (GDPR Madde 6(1)(b)). Damga kartı, silmemizi isteyene kadar varlığını sürdürür; 24 ay boyunca hiç damga almayan bir kartı otomatik olarak sileriz.

Bülten için e-posta adresinize ihtiyacımız var. Kaydolduktan sonra size onay bağlantısı içeren bir e-posta göndeririz (çift onay); ancak bundan sonra e-posta alırsınız. Onayınızı kanıtlayabilmek için e-posta adresinizi, dilinizi, seçtiğiniz konuları, kayıt ve onay zamanlarını, tarayıcı tanımlayıcınızı ve IP adresinizin bir kontrol değerini (hash) saklarız. Gönderim Amazon SES (Amazon Web Services, Frankfurt, aşağıya bakın) üzerinden yapılır.

Hedefleme (segmentler): Her mesaj herkese gitmesin diye alıcıları ayrıca dile, seçilen konulara, e-posta adresiniz altında sipariş verilip verilmediğine ve ne sıklıkla verildiğine (dönem, sayı, sipariş türü), damga kartınızda kaç damga olduğuna ve bir kurumsal müşteriye bağlı olup olmadığınıza göre seçeriz.

Açılma ve tıklama takibi: Bültenlerimiz görünmez bir takip pikseli ve Amazon SES üzerinden yönlendirilen bağlantılar içerir. Böylece her alıcı için bir mesajın açılıp açılmadığını, ne zaman açıldığını ve hangi bağlantıya tıklandığını görürüz. Bu sayede hangi içeriğin işe yaradığını anlarız.

Bülten, hedefleme ve takip için hukuki dayanak onayınızdır (GDPR Madde 6(1)(a), § 7(2) no. 2 UWG, § 25(1) TDDDG). Onayınızı her e-postadaki abonelikten çıkma bağlantısıyla istediğiniz zaman geri çekebilirsiniz. Abonelikten çıktıktan sonra size hiçbir şey göndermeyiz ve adresinizi 30 gün sonra sileriz. Örneğin yeni bir içe aktarma yüzünden yanlışlıkla yeniden e-posta almamanız için, engelleme listesinde yalnızca adresinizin bir kontrol değerini tutarız. Bu değer gizli bir anahtarla (HMAC) oluşturulur ve o anahtar olmadan adrese geri döndürülemez; hukuki dayanak, “hayır” cevabınıza saygı göstermeye yönelik meşru menfaatimizdir (GDPR Madde 6(1)(f)). Verilerinizin silinmesini istediğinizde de aynısı geçerlidir. Engeli yalnızca onay bağlantısıyla yapılan yeni bir kayıt kaldırır. Onayınızın kanıtını (kayıt ve onay zamanları), onayı belgeleyebilmek için abonelikten çıkmanızdan sonra 3 yıl saklarız (GDPR Madde 6(1)(c) ve (f)).

Bir rezervasyon için masayı ayırmak ve sorularınız olduğunda size ulaşmak amacıyla adınızı, telefon numaranızı, e-posta adresinizi, tarihi, saati, kişi sayısını ve notunuzu işleriz (GDPR Madde 6(1)(b)). Onayı Amazon SES üzerinden e-postayla göndeririz. Ziyaretten 12 ay sonra adı, iletişim bilgilerini ve notları anonimleştiririz.

Bir catering talebi için size teklif hazırlamak ve siparişi yerine getirmek amacıyla adınızı, e-posta adresinizi, telefon numaranızı, etkinliği, tarihi, misafir sayısını, yemek ve beslenme isteklerini ve mesajınızı işleriz (GDPR Madde 6(1)(b)). Kötüye kullanımı önlemek için IP adresinin bir kontrol değerini (hash) saklarız. Saklama: teklifler ve siparişler yasal saklama süreleri içinde; siparişle sonuçlanmayan talepleri 6 ay sonra sileriz.

Bize iletişim formu veya e-posta yoluyla yazarsanız, yanıt verebilmek için adınızı, e-posta adresinizi ve mesajınızı işleriz (GDPR Madde 6(1)(b), genel talepler için (f)). Mesaj bize Amazon SES üzerinden ulaşır; kötüye kullanımı önlemek için e-posta adresinin yalnızca bir kontrol değerini (hash) saklarız.

Ad veya e-posta adresi vermeden geri bildirimde bulunabilirsiniz. Bunları verirseniz, geri bildiriminize yanıt vermek için kullanırız (GDPR Madde 6(1)(f)). Geri bildirimleri 12 ay sonra sileriz.

Web sitesindeki sohbette sorularınızı yanıtlamak için adınızı, e-posta adresinizi (verdiyseniz), mesajlarınızı, dilinizi ve tarayıcı tanımlayıcınızı işleriz (GDPR Madde 6(1)(b), genel sorular için (f)).

Sesli mesajlar isteğe bağlıdır. İlk kayıttan önce sizi bilgilendiririz; kaydı başlatarak kaydı, yani sesinizi, saklamamıza ve dinlememize onay vermiş olursunuz (GDPR Madde 6(1)(a)). Onayınızı istediğiniz zaman geri çekebilirsiniz; bunu bize sohbette veya e-postayla söylemeniz yeterli.

Sohbet geçmişini ve sesli mesajları son mesajdan 90 gün sonra sileriz. Veriler Supabase'de saklanır.

Bize başvurduğunuzda, başvurunuz hakkında karar vermek için formdaki bilgileri (ad, e-posta, telefon, mesaj, tercih edilen alan ve çalışma saatleri) ve yüklediğiniz belgeleri işleriz (§ 26 BDSG, GDPR Madde 6(1)(b) ve Madde 88). Kötüye kullanımı önlemek için tarayıcı tanımlayıcınızı ve IP adresinin bir kontrol değerini (hash) saklarız. Yalnızca işe alım kararını verenlerin erişimi vardır. Alman Genel Eşit Muamele Kanunu (AGG) kapsamındaki olası taleplere karşı kendimizi savunabilmek için başvuruyu ve belgeleri kararımızdan (teklif veya ret) 6 ay sonra ya da karar vermediysek başvurunun ulaşmasından 6 ay sonra sileriz. İşe alınırsanız gerekli verileri personel dosyanıza aktarırız.

Başvuru için onaya ihtiyacımız yok. Yalnızca formdaki isteğe bağlı “yetenek havuzu” kutusunu işaretlerseniz, onayınızla (GDPR Madde 6(1)(a)) başvurunuzu başka veya ileriki pozisyonlar için de değerlendiririz. Bu onayı istediğiniz zaman ileriye dönük olarak geri çekebilirsiniz; kısa bir mesaj yeterlidir. Bu onayla başvurunuzu ulaşmasından itibaren 2 yıla kadar saklarız; onay olmadan 6 aylık süre geçerlidir.

Kurumsal müşteriler: Bir şirket hesabı için sözleşmeyi yerine getirmek ve faturalamak amacıyla şirket bilgilerini ve irtibat kişilerinin adını, e-postasını ve telefon numarasını işleriz (GDPR Madde 6(1)(b)).

Çalışanlar: Bir kurumsal müşterinin çalışanlarının şirket hesabına veya şirket katkısıyla sipariş verebilmesi için, işverenlerinden veya doğrudan kendilerinden adlarını, e-posta adreslerini, varsa telefon numaralarını, personel numaralarını ve departmanlarını alırız. Bu bilgileri siparişleri eşleştirmek, personel numarasını mutfak fişlerine ve kasa fişlerine yazdırmak ve işverene siparişleri ve hesap özetlerini sunmak için kullanırız (GDPR Madde 6(1)(b) ve (f)). Kurumsal müşteri ve biz, her birimiz bağımsız veri sorumlularıyız. Tüm ayrıntılar kurumsal müşterilerin çalışanlarına yönelik gizlilik bildiriminde yer alır.

Web sitesinde, misafirlerin Google'da yayımladığı yorumları gösteriyoruz: ad veya görünen ad, yıldızlar, metin ve tarih. Restoranımızı gerçek seslerle tanıtmak için bunları Google'ın arayüzü üzerinden alır ve saklarız (GDPR Madde 6(1)(f)). Yorumunuzun artık burada görünmesini istemiyorsanız bize yazın; yorumun kendisini Google hesabınızdan Google'da yönetirsiniz.

Sipariş onaylarını, rezervasyon ve damga kartı e-postalarını, bültenleri ve formlara verilen yanıtları veri işleyenimiz olarak Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Lüksemburg'un Amazon Simple Email Service (Amazon SES) hizmeti üzerinden göndeririz (GVKT md. 28). AWS e-posta adresini, içeriği ve teslimat bilgilerini, bir bültenin açılıp açılmadığı ve hangi bağlantıya tıklandığı dahil olmak üzere işler. Sunucu konumu: Frankfurt am Main, Almanya (AWS bölgesi eu-central-1). ABD'deki Amazon Web Services, Inc.'e aktarımlar göz ardı edilemez; bu aktarımlar, Amazon Web Services, Inc.'in sertifikalı olduğu AB-ABD Veri Gizliliği Çerçevesi ve AWS veri işleme ekindeki AB Standart Sözleşme Maddeleri kapsamındadır. E-postalarımızdaki yazı tipleri Google'dan değil, kendi sunucumuzdan yüklenir.

Bu web sitesindeki ve e-postalarımızdaki tüm yazı tiplerini kendi sunucumuzdan sunuyoruz. Google Fonts'a veya başka bir yazı tipi sağlayıcısına bağlantı kurulmaz.

Bir harita yerleştirmiyoruz; Google Maps'e bağlantı veriyoruz. Ancak böyle bir bağlantıya tıkladığınızda sitemizden ayrılırsınız ve Google verilerinizi kendi sorumluluğunda işler: policies.google.com/privacy.

Bir şeyi daha önce silerseniz veya silmemizi isterseniz, yasal bir saklama yükümlülüğü engel olmadıkça daha erken sileriz.

Hizmet sağlayıcılarımızdan bazıları ABD merkezlidir veya verileri oraya aktarabilir. Bu yalnızca şu dayanaklardan biriyle gerçekleşir: sertifikalı şirketler için Avrupa Komisyonu'nun AB-ABD Veri Gizliliği Çerçevesi (DPF) hakkındaki yeterlilik kararı veya AB Standart Sözleşme Maddeleri (GDPR Madde 46(2)(c)).

fiskaly (TSE) verileri AB içinde işler.

Erişim (GDPR Madde 15), düzeltme (Madde 16), silme (Madde 17), işlemenin kısıtlanması (Madde 18) ve veri taşınabilirliği (Madde 20) haklarına sahipsiniz. Bir onayı istediğiniz zaman ileriye dönük olarak geri çekebilirsiniz (Madde 7(3)); geri çekmeye kadar yapılan işleme hukuka uygun olmaya devam eder.

İtiraz hakkı (GDPR Madde 21): Verileri meşru menfaatimize dayanarak işlediğimiz durumlarda (Madde 6(1)(f)), özel durumunuzdan kaynaklanan gerekçelerle istediğiniz zaman itiraz edebilirsiniz. E-posta yoluyla yapılan reklama ise gerekçe göstermeden istediğiniz zaman itiraz edebilirsiniz.

Bunun için info@alsafi-heidelberg.de adresine yazmanız yeterli. Ayrıca bir veri koruma denetim makamına şikâyette bulunabilirsiniz (GDPR Madde 77), örneğin bizden sorumlu olan makama: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (Baden-Württemberg Eyaleti Veri Koruma ve Bilgi Edinme Özgürlüğü Komiseri), Lautenschlagerstraße 20, 70173 Stuttgart, Almanya.