Gizlilik Politikası

GURMEHUB BİLİŞİM YAZILIM TİCARET (“Şirketimiz” veya “Gurmehub”) olarak, Gurmehub teknoloji ekosisteminin bir parçası olan ÖdemeHub ödeme orkestrasyon platformumuzu ziyaret eden kullanıcılarımızın, üye işyerlerimizin ve bu platform aracılığıyla ödeme gerçekleştiren tüketicilerin kişisel verilerinin gizliliğine ve güvenliğine en üst düzeyde önem veriyoruz.

Bu Gizlilik Politikası; 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), ikincil mevzuat ve ilgili uluslararası güvenlik standartları uyarınca, ÖdemeHub web sitesi (odemehub.com), API servisleri, üye işyeri yönetim panelleri ve ödeme orkestrasyonu altyapımızı kullanırken işlenen kişisel veriler hakkında sizi bilgilendirmek amacıyla hazırlanmıştır.

Önemli Yasal Hatırlatma: ÖdemeHub teknik bir ödeme orkestrasyon platformudur. 6493 sayılı Kanun kapsamında ödeme hizmeti sağlayıcısı veya elektronik para kuruluşu değildir ve Türkiye Cumhuriyet Merkez Bankası’nın (TCMB) lisansına tabi bir kuruluş niteliği taşımaz. ÖdemeHub fon akışına dahil olmaz, para transferi yapmaz, sanal POS sağlamaz, doğrudan mevduat tutmaz ve elektronik para ihraç etmez. ÖdemeHub, işletmeler ile lisanslı bankalar ve ödeme kuruluşları arasında akıllı ve güvenli bir teknoloji katmanı görevi görür.

1. Veri Sorumlusunun Kimliği

6698 sayılı Kanun kapsamında kişisel verileriniz bakımından veri sorumlusu, aşağıda ticaret unvanı ve iletişim bilgileri yer alan GURMEHUB BİLİŞİM YAZILIM TİCARET‘tir:

2. Hangi Kişisel Verileri İşliyoruz?

ÖdemeHub platformunda sunduğumuz hizmetlerin kapsamına göre işlenen kişisel veri kategorileri aşağıda gruplandırılmıştır:

A. Üye İşyeri Temsilcileri ve Yetkililerine Ait Veriler

• Kimlik Verileri: Ad, soyad, T.C. kimlik numarası (şahıs şirketi sahipleri için), imza sirküleri ve yetki belgesi bilgileri.
• İletişim Verileri: Kurumsal e-posta adresi, telefon numarası, şirket tebligat adresi, fatura adresi.
• Hesap ve İşlem Güvenliği Verileri: Üye işyeri paneli kullanıcı adı, şifrelenmiş parola hash’leri, API Key, Secret Key, panel içi kullanıcı işlem günlükleri ve yetki seviyeleri.
• Finansal Bilgiler: Fatura bilgileri, ödeme ve komisyon mutabakat kayıtları.

B. Ödeme Yapan Tüketicilere (Son Kullanıcılara) Ait Veriler

ÖdemeHub, üye işyerlerinin web siteleri veya mobil uygulamaları üzerinden ödeme yapan müşterilerin kart verilerini doğrudan kendi bünyesinde açık ve düz metin olarak barındırmaz. Bu süreçte işlenen veriler şunlardır:

• Maskelenmiş Kart Verisi: Kartın ilk 6 hanesi (BIN kodu – banka ve kart programı tespiti için) ve son 4 hanesi, kart markası (Troy, Visa, Mastercard) ve kart tipi (kredi/banka kartı).
• Token (Jeton) Verisi: Kapalı devre kart saklama (Vault) özelliği kullanıldığında kart bilgileri PCI-DSS uyumlu altyapılarda veya lisanslı kuruluş nezdinde tutulur; ÖdemeHub sunucularında yalnızca rastgele üretilmiş güvenli bir token (referans kodu) saklanır.
• İşlem Detayları: Sipariş referans numarası, işlem tutarı, para birimi, taksit sayısı, işlem tarihi/saati, yönlendirilen banka/ödeme kuruluşu ve işlem sonuç kodu.

C. Web Sitesi ve Teknik Erişim Verileri

• Teknik Veriler: IP adresi, internet servis sağlayıcısı, tarayıcı tipi ve versiyonu, işletim sistemi, erişilen sayfalar ve sitede geçirilen süre.
• 5651 Sayılı Kanun Kapsamındaki Loglar: Yasal zorunluluk gereği tutulan internet erişim ve trafik günlükleri.
• Çerez Kayıtları: Oturum çerezleri ve platformun temel işlevselliğini sağlayan zorunlu teknik çerezler.

3. Kişisel Verilerin İşlenme Amaçları

Toplanan kişisel verileriniz aşağıdaki amaçlarla işlenmektedir:

1. Ödeme Orkestrasyonu Hizmetlerinin Sunulması: Akıllı yönlendirme (smart routing), otomatik yedekleme (failover) ve tekrar deneme (retry) kurallarının çalıştırılması; ödeme taleplerinin en uygun banka veya ödeme kuruluşuna güvenle iletilmesi.
2. Üye İşyeri Yönetimi: Hesap açılışı, API entegrasyonu, yetkilendirme, kullanıcı doğrulama ve teknik destek süreçlerinin yürütülmesi.
3. Mutabakat ve Raporlama: Farklı banka ve ödeme kuruluşlarından gelen hesap ekstrelerinin ve işlem raporlarının üye işyeri panelinde tek merkezden mutabakatının sağlanması.
4. Gurmehub Ekosistem Entegrasyonu: Üye işyerinin tercih etmesi halinde; başarılı ödemenin ardından e-Fatura/e-Arşiv faturasının otomatik oluşturulması (faturaentegrator.com), kargo gönderi kaydının açılması (kargoentegrator.com) veya stok adetlerinin senkronize edilmesi (stokentegrator.com) süreçlerinin yürütülmesi.
5. Güvenlik ve Sahtecilik (Fraud) Önleme: Şüpheli işlemlerin analizi, kart dolandırıcılığı risklerinin azaltılması, sistem siber güvenliğinin sağlanması.
6. Yasal Yükümlülükler: 5651 sayılı Kanun, Vergi Usul Kanunu, Türk Ticaret Kanunu ve MASAK mevzuatı kapsamındaki hukuki yükümlülüklerin yerine getirilmesi.

4. Kişisel Veri Toplamanın Hukuki Sebepleri

Kişisel verileriniz, 6698 sayılı KVKK’nın 5. maddesinde yer alan aşağıdaki hukuki sebeplere dayalı olarak işlenmektedir:

• Sözleşmenin Kurulması veya İfası (Madde 5/2-c): Üye işyeri sözleşmesinin akdedilmesi ve ödeme orkestrasyonu teknik altyapısının işletilmesi.
• Hukuki Yükümlülüğün Yerine Getirilmesi (Madde 5/2-ç): İlgili mevzuat uyarınca bilgi saklama, raporlama, log tutma ve denetim yükümlülüklerinin karşılanması.
• Kanunlarda Açıkça Öngörülmesi (Madde 5/2-a): 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun ve ilgili mali düzenlemeler.
• Meşru Menfaat (Madde 5/2-f): Temel hak ve özgürlüklerinize zarar vermemek kaydıyla, bilgi güvenliği süreçlerinin yürütülmesi, platform optimizasyonu ve sahtecilikle mücadele edilmesi.

5. Kişisel Verilerin Aktarımı

Kişisel verileriniz, yalnızca yukarıda belirtilen amaçların gerçekleştirilmesi doğrultusunda ve KVKK’nın 8. ve 9. maddelerine uygun olarak aşağıdaki taraflara aktarılabilir:

• Anlaşmalı Bankalar ve Lisanslı Ödeme Kuruluşları: Ödeme provizyonu, kart çekimi, taksitlendirme ve iade/iptal süreçlerinin tamamlanabilmesi için işlemin yönlendirildiği finansal kurumlara.
• Gurmehub Ürün Ailesi: Üye işyerinin onayladığı entegrasyonlar kapsamında e-fatura, kargo ve stok otomasyonlarının sağlanması amacıyla Gurmehub bünyesindeki ilgili servis sağlayıcılarına.
• Altyapı ve Teknoloji Sağlayıcıları: Güvenli veri tabanı, yüksek uptime standartlarına sahip bulut sunucu ve fraud önleme hizmeti aldığımız yurt içindeki teknik iş ortaklarımıza.
• Yetkili Kamu Kurum ve Kuruluşları: Yasal bir gereklilik veya resmi bir talep halinde Cumhuriyet Başsavcılıkları, mahkemeler, TCMB, BDDK, MASAK veya icra müdürlükleri gibi yetkili mercilere.

6. Veri Güvenliği ve Koruma Tedbirleri

GURMEHUB BİLİŞİM YAZILIM TİCARET olarak, kişisel verilerinizin hukuka aykırı işlenmesini, erişilmesini ve sızdırılmasını önlemek amacıyla teknik ve idari tedbirleri eksiksiz uygulamaktayız:

• Tüm iletişim kanalları uçtan uca TLS 1.3 / 256-bit SSL yüksek güvenlikli şifreleme protokolleri ile korunur.
• Kart kasası (Vault) çözümlerinde kart verileri tokenize edilir; hiçbir personelin veya yetkilinin açık kart bilgisine erişimi bulunmaz.
• Sistemlerimize erişimler rol tabanlı yetkilendirme, sıkı parola politikaları ve iki adımlı doğrulama (2FA) ile sınırlandırılmıştır.
• Sunucu altyapımız periyodik sızma (penetrasyon) testlerine ve güvenlik taramalarına tabi tutulmaktadır.
• Şirketimiz bünyesinde veri güvenliği ve gizliliğe ilişkin iç prosedürler uygulanmakta, tüm çalışanlar periyodik eğitimlere katılmaktadır.

7. Verilerin Saklanma Süresi ve İmhası

Kişisel verileriniz, işlenme amacının gerektirdiği süre boyunca ve ilgili yasal mevzuatta öngörülen zamanaşımı süreleri saklanmaktadır:

• Ticari ve Mali Kayıtlar: Türk Ticaret Kanunu ve Vergi Usul Kanunu uyarınca 10 yıl.
• İnternet Trafik Günlükleri (Loglar): 5651 sayılı Kanun uyarınca en az 2 yıl.
• Destek ve Talep Kayıtları: Talep çözümlendikten sonra zamanaşımı süresi boyunca (azami 3 yıl).

Saklama süresi sona eren veya işlenme şartları ortadan kalkan kişisel veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ilkelerine uygun olarak imha edilir.

8. İlgili Kişinin (Veri Sahibinin) Hakları

6698 sayılı KVKK’nın 11. maddesi kapsamında, kişisel veri sahibi olarak Şirketimize başvurarak aşağıdaki haklarınızı kullanabilirsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme,
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
6. KVKK’nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
7. Düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
9. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

9. Başvuru ve İletişim Yöntemi

KVKK kapsamındaki haklarınıza ilişkin başvurularınızı, kimliğinizi tevsik edici belgeler ile birlikte aşağıdaki kanallardan birini kullanarak Şirketimize iletebilirsiniz:

• Yazılı Başvuru: Islak imzalı başvuru dilekçeniz ile “GÖRÜKLE MAH. ÜNİVERSİTE-1 CAD. ULUTEK TEKNOLOJİ GELİŞTİRME BİNASI A-B-C-D-E-F-H BLOKLARI Kapı No:933 Daire No:B027 NİLÜFER / BURSA” adresimize şahsen veya noter kanalıyla,
• Kayıtlı Elektronik Posta (KEP): Güvenli elektronik imzanız ile [email protected] kayıtlı elektronik posta adresimize,
• E-Posta Başvurusu: Sistemimizde kayıtlı e-posta adresinizden [email protected] adresimize göndererek iletebilirsiniz.

Başvurularınız, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ hükümleri uyarınca talebin niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılacaktır.

10. Çerezler (Cookies)

Web sitemizde ve platform arayüzlerimizde kullanıcı deneyimini iyileştirmek, güvenliği sağlamak ve oturum yönetimini yürütmek amacıyla teknik çerezler kullanılmaktadır. Çerezlerin türleri ve yönetimi hakkında ayrıntılı bilgi için lütfen Çerez Politikamızı inceleyiniz.

11. Yürürlük ve Değişiklikler

Bu Gizlilik Politikası, web sitemizde yayınlandığı tarihte yürürlüğe girer. Mevzuat değişiklikleri veya platformumuzdaki teknolojik yenilikler doğrultusunda bu politikada zaman zaman güncellemeler yapılabilir. Güncellenen metin web sitemizde yayınlandığı andan itibaren geçerlilik kazanır.