KVKK Aydınlatma Metni

İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK")'nın 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, Aşçı Ali Usta markası altında faaliyet gösteren veri sorumlusu tarafından, başta veliler ve velilerin yasal temsilcisi olduğu öğrenciler olmak üzere ilgili kişilere yönelik olarak hazırlanmıştır.

1. Veri Sorumlusunun Kimliği

KVKK'nın 3. maddesinin 1. fıkrasının (ı) bendi uyarınca veri sorumlusu sıfatını haiz işletmeye ilişkin bilgiler aşağıda yer almaktadır:

• Marka Adı: Aşçı Ali Usta
• Ticari Unvan: Kayın's Home & Aşçı Ali Usta Yemek Şirketi
• Mersis No: [Mersis No belirtilecek]
• Vergi Dairesi / Vergi No: [Vergi Dairesi belirtilecek] / [Vergi No belirtilecek]
• Adres: Maltepe Mahallesi, 243. Sokak No:6 Kat:1, 10100 Karesi / Balıkesir
• Telefon: +90 536 773 93 02
• E-posta: info@sumsel.com.tr
• KEP Adresi: [KEP adresi belirtilecek]
• Web Sitesi: https://sumsel.com.tr/aliusta
• Faaliyet Kodu (NACE): 56.29.01 (Toplu yemek üretim ve hizmetleri)

İşletme, toplu yemek üretimi ve okullara yönelik aylık abonelik bazlı öğrenci yemek tahsilat platformu ile kurumsal catering hizmetleri sunmaktadır.

2. İşlenen Kişisel Veri Kategorileri

Veri sorumlusu, sunduğu hizmetler kapsamında aşağıdaki kişisel veri kategorilerini işlemektedir:

2.1. Veli (Müşteri / Kullanıcı) Verileri

• Kimlik Verisi: Ad, soyad
• İletişim Verisi: E-posta adresi, cep telefonu numarası, fatura adresi
• Müşteri İşlem Verisi: Sipariş bilgileri, abonelik geçmişi, talep ve şikâyet kayıtları
• Finansal Veri: Fatura bilgileri, ödeme onay numaraları, iyzico tarafından üretilen işlem referansları (kart numarası, son kullanma tarihi ve CVV gibi tam kart verisi sistemde tutulmamaktadır; ödeme bilgileri PCI-DSS uyumlu ödeme hizmet sağlayıcısı iyzico üzerinden işlenmektedir)
• İşlem Güvenliği Verisi: Kullanıcı adı, şifre (özetlenmiş/hash olarak), IP adresi, oturum kayıtları, çerez kayıtları, log kayıtları
• Hukuki İşlem Verisi: Sözleşmeler, KVKK başvuruları, yetkili kurum ve mahkeme yazışmaları
• Pazarlama Verisi: E-posta bülten, SMS ve bildirim tercihleri (yalnızca açık rıza alındığı takdirde)

2.2. Öğrenci Verileri

Veliler tarafından, kendi yasal temsilcileri sıfatıyla sisteme girilen aşağıdaki veriler işlenmektedir:

• Kimlik Verisi: Ad, soyad, T.C. Kimlik Numarası, doğum tarihi
• Eğitim Verisi: Okul, sınıf bilgisi
• Müşteri İşlem Verisi: Yemek alımına ilişkin günlük katılım kayıtları

Öğrenci verileri 18 yaşından küçük bireylere ait olduğundan, KVKK Kurulu'nun çocukların kişisel verilerinin korunmasına ilişkin yaklaşımları çerçevesinde özel bir özen gösterilerek işlenir; öğrenci verilerinin sisteme girilmesi sırasında veli, çocuğun yasal temsilcisi sıfatıyla gerekli onayı veriyor kabul edilir.

3. Kişisel Verilerin İşlenme Amaçları

Kişisel veriler aşağıdaki amaçlarla işlenmektedir:

• Veli hesabının oluşturulması, kimlik doğrulanması ve hesap güvenliğinin sağlanması
• Aylık öğrenci yemek aboneliği sözleşmesinin kurulması, ifası ve takibi
• Online ödeme işlemlerinin gerçekleştirilmesi, faturalandırma ve tahsilat süreçlerinin yürütülmesi
• Hizmetin okula günlük olarak teslimi ve katılım takibi
• Müşteri talep, şikâyet ve memnuniyet süreçlerinin yönetilmesi
• Yasal yükümlülüklerin (Vergi Usul Kanunu, Türk Ticaret Kanunu, MASAK, Tüketicinin Korunması Hakkında Kanun ve ikincil mevzuat) yerine getirilmesi
• Bilgi güvenliği, dolandırıcılığın önlenmesi ve sistem suistimallerinin tespiti
• Hizmet kalitesinin ölçülmesi, sistemin geliştirilmesi ve hata izleme
• Açık rıza verilmesi halinde, ürün ve hizmetlere ilişkin tanıtım, kampanya, anket ve memnuniyet bildirimlerinin gönderilmesi
• Adli ve idari makamlardan gelen taleplere yanıt verilmesi
• Yasal saklama yükümlülüklerinin yerine getirilmesi ve hukuki uyuşmazlıkların çözümü

4. Kişisel Verilerin İşlenmesinin Hukuki Sebepleri

Kişisel veriler, KVKK'nın 5. ve 6. maddelerinde belirtilen aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:

• KVKK m.5/2-a — Kanunlarda açıkça öngörülmesi: Vergi Usul Kanunu, Türk Ticaret Kanunu, MASAK mevzuatı, Elektronik Ticaretin Düzenlenmesi Hakkında Kanun.
• KVKK m.5/2-c — Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması: Veli ile akdedilen yemek aboneliği ve mesafeli satış sözleşmesinin kurulması ve ifası; faturalandırma; teslimat.
• KVKK m.5/2-ç — Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması: Fatura saklama, defter tutma, vergisel beyanname yükümlülükleri, KVKK ve TKHK çerçevesinde kayıt tutma yükümlülükleri.
• KVKK m.5/2-e — Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması: Hukuki uyuşmazlıklarda ispat ve savunma.
• KVKK m.5/2-f — Veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması: Bilgi güvenliğinin sağlanması, dolandırıcılığın önlenmesi, hizmet kalitesinin iyileştirilmesi, log kayıtlarının tutulması — bu işleme ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla yapılır.
• KVKK m.5/1 — Açık Rıza: Ticari elektronik ileti gönderimi (e-posta bülten, SMS, kampanya bildirimi); yurt dışına aktarım gerektiren hizmetlerin (Sentry, Backblaze B2, Cloudflare) işbu Aydınlatma Metni çerçevesinde verilerin yurt dışına aktarılmasına ilişkin kısımları; pazarlama amaçlı profilleme.

5. Kişisel Verilerin Aktarımı

5.1. Yurt İçi Aktarım

Kişisel veriler, KVKK'nın 8. maddesine uygun olarak ve yalnızca aşağıdaki amaçlarla, ilgili hukuki sebebe dayanarak yurt içindeki aşağıdaki alıcı gruplarına aktarılmaktadır:

• Ödeme Hizmet Sağlayıcısı (iyzico — iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.): Ödeme işlemlerinin gerçekleştirilmesi amacıyla işlem tutarı, sipariş bilgisi ve fatura bilgisi aktarılır. iyzico, BDDK denetiminde elektronik para ve ödeme kuruluşudur. Kart verisi tamamen iyzico nezdinde işlenir; veri sorumlusunun sistemlerinde tam kart verisi saklanmaz.
• Barındırma Hizmet Sağlayıcısı (Türkiye yerleşik cPanel sunucu sağlayıcı): Sistemin teknik olarak çalıştırılması amacıyla. Veri merkezleri Türkiye sınırları içindedir.
• Yetkili Kamu Kurum ve Kuruluşları: Mahkemeler, savcılıklar, vergi daireleri, Tüketici Hakem Heyetleri, KVKK Kurumu, MASAK ve sair yetkili kamu otoritelerinin yazılı ve kanuna uygun talepleri kapsamında.
• Mali Müşavir / Bağımsız Denetçi: Yasal defter tutma ve vergisel yükümlülüklerin yerine getirilmesi amacıyla, sınırlı veri seti.
• Hukuk Müşavirleri: Hukuki uyuşmazlıkların çözümü ve hak takibi amacıyla, sınırlı veri seti.

5.2. Yurt Dışı Aktarım

KVKK'nın 9. maddesi ve KVKK Kurulu'nun yurt dışı aktarımına ilişkin güncel kararları (özellikle 2024 yılında yayımlanan Standart Sözleşme ve Bağlayıcı Şirket Kuralları çerçevesi) kapsamında, aşağıdaki yurt dışı alıcılara aktarım, ilgili kişinin açık rızası alınarak veya KVKK m.9'da düzenlenen diğer hukuki güvencelerden birinin sağlandığı (uygun güvenceli aktarım) durumlarda gerçekleştirilir:

• Sentry (Functional Software, Inc. — ABD): Uygulama hatalarının izlenmesi ve teknik istikrar amacıyla. Aktarılan veride kişisel veriler mümkün olduğunca anonimleştirilir veya maskelenir; PII (kişisel olarak tanımlanabilir bilgi) Sentry'ye aktarılmadan filtrelenir.
• Backblaze B2 (Backblaze, Inc. — ABD): Veritabanı yedeklerinin güvenli olarak saklanması amacıyla. Yedekler aktarımdan önce AES-256 standardı ile uçtan uca şifrelenir; şifreleme anahtarları Backblaze ile paylaşılmaz.
• Cloudflare, Inc. (Global / ABD merkezli CDN ve güvenlik hizmeti): İçerik dağıtım ağı, DDoS koruması ve TLS sonlandırma amacıyla. Trafiğin yönlendirilmesi sırasında IP adresi ve oturum verisi gibi işlem güvenliği verileri Cloudflare üzerinden geçer.

Yurt dışı aktarıma ilişkin açık rıza için ayrıca düzenlenen "Açık Rıza Metni" inceleninceye dek, ilgili kişi rıza vermeme tercihinde bulunabilir; bu durumda hizmetin temel işlevleri (hesap oluşturma, ödeme yapma, abonelik kullanımı) etkilenmeden sunulmaya çalışılacak olup, teknik olarak ayrıştırılamayan bileşenler için ilgili kişiye bilgilendirme yapılır.

6. Kişisel Verilerin Toplama Yöntemi

Kişisel veriler;

• Web sitesi (https://sumsel.com.tr/aliusta) üzerinden veli kayıt formu, öğrenci ekleme formu, abonelik ve ödeme formu, iletişim formu aracılığıyla,
• Müşteri hizmetleri kanalları (telefon, e-posta, KEP, fiziki yazışma) aracılığıyla,
• Ödeme hizmet sağlayıcısı (iyzico) tarafından dönen işlem yanıtları aracılığıyla,
• Çerezler, log kayıtları ve benzeri otomatik izleme araçları aracılığıyla,

elektronik ve fiziki ortamda, kısmen veya tamamen otomatik ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla toplanmaktadır.

7. Kişisel Verilerin Saklama Süreleri

Kişisel veriler, işleme amacının ortadan kalkması ve yasal saklama sürelerinin sona ermesinin ardından silinir, yok edilir veya anonim hale getirilir. Belirlenen saklama süreleri aşağıdaki gibidir:

Saklama sürelerinin sona ermesinin ardından Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik kapsamında imha gerçekleştirilir ve imha kayıtları tutulur.

8. İlgili Kişinin Hakları (KVKK Madde 11)

İlgili kişi (veri sahibi), KVKK'nın 11. maddesi kapsamında veri sorumlusuna başvurarak kendisi hakkında:

a) Kişisel verisinin işlenip işlenmediğini öğrenme, b) Kişisel verisi işlenmişse buna ilişkin bilgi talep etme, c) Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme, d) Kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, e) KVKK m.7'de öngörülen şartlar çerçevesinde kişisel verilerinin silinmesini veya yok edilmesini isteme, f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme, ğ) Kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme,

haklarına sahiptir.

9. Başvuru Yolları

İlgili kişiler, KVKK m.13 ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca, taleplerini aşağıdaki kanallar aracılığıyla iletebilir:

1. Veli Paneli (Self-Servis): https://sumsel.com.tr/aliusta adresindeki hesap panelinden "KVKK Talepleri" bölümü üzerinden talep oluşturarak — bu kanal üzerinden veri görüntüleme, düzeltme ve silme talepleri (KVKK m.11) doğrudan ilgili kişi tarafından gerçekleştirilebilir.
2. E-posta: info@sumsel.com.tr adresine, sistemde kayıtlı e-posta adresinden gönderilmek suretiyle.
3. KEP (Kayıtlı Elektronik Posta): [KEP adresi belirtilecek] adresine.
4. Yazılı (Posta) Başvuru: "Maltepe Mahallesi, 243. Sokak No:6 Kat:1, 10100 Karesi / Balıkesir" adresine ıslak imzalı dilekçe ile.
5. Noter Aracılığıyla: Noter kanalıyla tebliğ edilecek başvuru ile.

Başvuruda; ad, soyad, T.C. kimlik numarası (yabancı uyruklular için pasaport numarası), tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas elektronik posta adresi, telefon ve faks numarası ile talep konusu yer almalıdır. Veri sorumlusu, talebi en geç 30 gün içinde ücretsiz olarak sonuçlandırır. Ancak işlemin ayrıca bir maliyet gerektirmesi hâlinde, KVKK Kurulu tarafından belirlenen tarifedeki ücret talep edilebilir.

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hâllerinde, ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren 30 ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilir (KVKK m.14).

10. Veri Güvenliği

Veri sorumlusu, KVKK m.12 uyarınca kişisel verilerin hukuka aykırı işlenmesini önlemek, kişisel verilere hukuka aykırı erişilmesini önlemek ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almaktadır:

• TLS 1.2+ ile uçtan uca şifrelenmiş iletişim
• Şifrelerin uygun karma (hash) algoritmaları ile saklanması
• Yedeklerin AES-256 ile şifrelenmesi
• Rol bazlı erişim kontrolü (RBAC) ve en az yetki ilkesi
• Audit log ve değişiklik izleme kayıtlarının tutulması
• Düzenli güvenlik testleri ve güncellemeleri
• Personel için KVKK farkındalık eğitimleri ve gizlilik taahhütnameleri
• Veri ihlali müdahale prosedürünün bulunması ve KVKK m.12/5 kapsamındaki bildirim yükümlülüğüne uyum

11. Aydınlatma Metnindeki Değişiklikler

Veri sorumlusu, işbu Aydınlatma Metni'nde mevzuat değişiklikleri ve iş süreçlerindeki güncellemeler doğrultusunda değişiklik yapma hakkını saklı tutar. Güncel sürüm her zaman https://sumsel.com.tr/aliusta adresinde yayımlanır ve önemli değişiklikler ilgili kişilere e-posta veya sistem içi bildirim ile duyurulur.

Versiyon: v1.0 | Yürürlük: 22 Mayıs 2026 | Son Güncelleme: 22 Mayıs 2026