Gizlilik Politikası
Merilin Yemek – GİZLİLİK POLİTİKASI VE KVKK AYDINLATMA METNİ
Sürüm: 1.3.0 | Yürürlük: 13 Ekim 2026
1. GİRİŞ, AMAÇ VE HUKUKİ DAYANAK
1.1. Metnin amacı ve niteliği
1.1.1. İşbu Gizlilik Politikası ve KVKK Aydınlatma Metni (“Metin”), Merilin Yemek markası altında sunulan mobil uygulama, web siteleri (https://merilinapp.com dâhil) ve ilişkili dijital arayüzler (“Platform”) kapsamında kişisel verilerinizin işlenmesine ilişkin olarak sizi bilgilendirmek amacıyla hazırlanmıştır.
1.1.2. Metin; 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 10 uncu maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca yerine getirilmesi gereken aydınlatma yükümlülüğünü karşılamak üzere düzenlenmiştir. Metin aynı zamanda Platform’un gizlilik uygulamalarına ilişkin genel bilgilendirmeyi içerir.
1.1.3. Kişisel Verileri Koruma Kurumu’nun kamuya duyurularında vurgulandığı üzere; genel ve muğlak gizlilik politikaları tek başına aydınlatma metni yerine geçmez. Bu nedenle işbu Metin; veri sorumlusunun kimliği, işleme amaçları, aktarım, toplama yöntemi, hukuki sebepler ve KVKK m.11 haklarını, işleme faaliyetleriyle bağlantılı, belirli, açık ve meşru olacak şekilde sonraki maddelerde ayrıntılandırır.
1.1.4. Metin bir sözleşme teklifi veya açık rıza beyanı değildir. Açık rıza gerektiren işlemler (ör. kampanya/tanıtım nitelikli ticari elektronik iletiler veya mevzuatın açık rıza aradığı diğer hâller) uygulama içinde ayrı, özgür, bilgilendirilmiş ve spesifik onay mekanizmalarıyla alınır. Aydınlatma ile açık rıza birbirinin yerine geçmez.
1.2. Veri sorumlusu (özet)
1.2.1. KVKK kapsamında veri sorumlusu; Merilin Yemek markası altında Isparta, Türkiye adresinde faaliyet gösteren, Türkiye Cumhuriyeti’nde yerleşik gerçek kişi vergi mükellefidir (“Veri Sorumlusu”, “biz”, “bize”, “bizim”). Veri Sorumlusu tüzel kişilik (anonim, limited veya benzeri şirket) statüsünde değildir; marka adı ticari unvan yerine geçmez.
1.2.2. Veri sorumlusunun kimliği, iletişim kanalları, başvuru usulü ve ilgili kişi gruplarına ilişkin ayrıntılar Metin’in sonraki maddelerinde (özellikle “Veri Sorumlusu” ve “Başvuru” başlıkları altında) düzenlenir. KVKK başvuruları: kvkk@merilinapp.com.
1.3. Hukuki dayanak ve ilgili mevzuat
1.3.1. Kişisel verileriniz başta aşağıdaki mevzuat çerçevesinde işlenir ve korunur:
(a) 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ikincil düzenlemeleri;
(b) Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ;
(c) Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ;
(d) Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik;
(e) Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (KVKK m.9’un güncel uygulaması);
(f) 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ticari elektronik iletilere ilişkin ilgili yönetmelikler (İleti Yönetim Sistemi dâhil, uygulanabildiği ölçüde);
(g) Kişisel Verileri Koruma Kurulu kararları ve Kurum rehber/tavsiyeleri (mobil uygulamalarda mahremiyet tavsiyeleri dâhil);
(h) Platform faaliyetinin niteliğine göre uygulanabilen diğer Türkiye Cumhuriyeti mevzuatı (ör. 5651 sayılı Kanun kapsamında log/saklama yükümlülükleri, vergi ve ticari defter saklama kuralları).
1.3.2. Emredici kanun hükümleri ile işbu Metin arasında çelişki olması hâlinde emredici hükümler üstündür. Metin’deki sorumluluk sınırlamaları veya açıklamalar, KVKK ve ilgili mevzuatın Veri Sorumlusu’na yüklediği yükümlülükleri ortadan kaldırmaz; yalnızca Platform’un hukuki niteliğini, işleme kapsamını ve üçüncü taraf/Platform dışı süreçleri şeffaflaştırmayı amaçlar.
1.4. KVKK m.4 genel ilkeler
1.4.1. Veri Sorumlusu, kişisel verileri işlerken KVKK’nın 4 üncü maddesindeki şu ilkelere uygun hareket etmeyi taahhüt eder:
(a) hukuka ve dürüstlük kurallarına uygun olma;
(b) doğru ve gerektiğinde güncel olma;
(c) belirli, açık ve meşru amaçlar için işlenme;
(d) işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma;
(e) ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.
1.4.2. İşleme amacı ortadan kalktığında veya saklama süresinin dolması hâlinde kişisel veriler; KVKK m.7 ve Silme/Yok Etme/Anonim Hale Getirme Yönetmeliği uyarınca silinir, yok edilir veya anonim hâle getirilir (yasal saklama zorunlulukları saklıdır). Ayrıntılar “Saklama Süreleri ve İmha” maddesindedir.
1.5. Platform’un niteliği ve işbu Metin’in kapsam sınırı
1.5.1. Platform; Alıcıların yakınlarındaki işletme ve ilanları harita/liste üzerinden keşfetmesine imkân tanıyan dijital bilgilendirme ve keşif hizmetidir. Platform üzerinde Alıcı ile Satıcı arasında sipariş, ödeme, rezervasyon garantisi, stok ayırma veya teslimat ilişkisi kurulmaz.
1.5.2. Bu nedenle Metin; kural olarak yalnızca Veri Sorumlusu’nun Platform üzerinden veya Platform’un işletilmesiyle bağlantılı olarak yürüttüğü kişisel veri işleme faaliyetlerini kapsar. Alıcı ile Satıcı arasında Platform dışında gerçekleşen fiziksel ziyaret, yüz yüze/telefon/mesaj iletişimi, ödeme, fatura, teslimat ve benzeri süreçlerde paylaşılan kişisel veriler; ilgili Satıcı’nın (veya üçüncü kişinin) kendi veri sorumluluğunda işlenir. Bu Platform dışı işlemlerden Veri Sorumlusu kural olarak sorumlu değildir; ayrıntılar ilgili maddelerde düzenlenir.
1.5.3. Satıcı’nın Platform’da yayımladığı ilan, fiyat, indirim, iletişim bilgisi ve benzeri içerikler Satıcı kaynaklı Kullanıcı İçeriği’dir. Satıcı, kendi içeriği bakımından içerik sağlayıcı / kendi ilanı yönünden ilgili mevzuat kapsamında sorumlu taraftır.
1.6. İlişkili belgeler
1.6.1. Platform Kullanım Koşulları; hizmetin kullanımı, tarafların hak ve yükümlülükleri ile sorumluluk sınırlarını düzenler. İşbu Metin kişisel verilerin işlenmesine özgüdür. Çelişkide; kişisel veri işleme konusu bakımından işbu Metin ve KVKK hükümleri, kullanım/sözleşme konusu bakımından Kullanım Koşulları esas alınır. Emredici kanun hükümleri her hâlükârda saklıdır.
1.6.2. Web sitesinde çerez veya benzeri tanımlayıcılar kullanılması hâlinde; çerezlere ilişkin ayrı bir Çerez Aydınlatma Metni / Çerez Politikası yayımlanmışsa o metin, web ziyaretçileri bakımından tamamlayıcı niteliktedir. Yayımlanmamışsa, web’deki tanımlayıcı kullanımı işbu Metin’in ilgili maddeleri kapsamında açıklanır.
1.6.3. Satıcı doğrulama, mağaza veya ilan kuralları yayımlanırsa; bu kurallar kapsamında talep edilen ek veriler hakkında süreç bazlı ek aydınlatma yapılabilir. Ek aydınlatma ile işbu Metin çelişirse, ilgili süreç bakımından daha özel ve güncel aydınlatma önceliklidir.
1.7. İlgili kişi grupları (özet)
1.7.1. Metin başlıca şu ilgili kişi gruplarını kapsar: (a) harita/keşif amacıyla Platform’u kullanan Alıcılar; (b) mağaza profili oluşturan veya ilan yayımlayan Satıcılar / İşletme kullanıcıları; (c) destek, şikâyet veya KVKK başvurusu ileten kişiler; (d) web sitesini ziyaret eden kişiler (uygulanabildiği ölçüde).
1.7.2. Tüzel kişi unvanı tek başına kişisel veri değildir; ancak tüzel kişi adına hareket eden gerçek kişilere ait veriler (yetkili adı, e-posta, telefon, TCKN vb.) KVKK kapsamındadır ve Metin bu verilere uygulanır.
1.8. Sürüm, yürürlük, dil ve erişim
1.8.1. İşbu Metin’in sürümü 1.3.0, yürürlük tarihi 13 Ekim 2026’dir. Güncel metin Platform içinde ve https://merilinapp.com/legal/privacy adresinde yayımlanır.
1.8.2. Metin Türkçe asıl metin esas alınarak yorumlanır. Çeviriler yalnızca kolaylık içindir; çelişkide Türkçe metin üstündür.
1.8.3. Kişisel veri işleme faaliyetlerini etkileyen önemli değişiklikler makul süreyle uygulama içi bildirim, kalıcı duyuru ve/veya e-posta ile duyurulur. Kanun gereği ayrıca açık onay gereken hâllerde ilgili onay mekanizması uygulanır. Değişiklik usulünün ayrıntıları “Değişiklikler” maddesindedir.
1.8.4. Önceki sürümlerin arşiv kayıtları Veri Sorumlusu’nda tutulabilir; uyuşmazlıkta ilgili işleme anında yürürlükte olan veya size gösterilen sürüm esas alınır.
1.9. Aydınlatmanın zamanı ve sunuluşu
1.9.1. Aydınlatma; kişisel verilerin elde edilmesi sırasında, mümkün olan hâllerde elde edilmeden önce; elde etmenin fiilen mümkün olmadığı veya sonradan ortaya çıktığı hâllerde ise en kısa sürede ve her hâlükârda ilgili mevzuatın izin verdiği çerçevede yapılır.
1.9.2. Platform’da aydınlatma; uygulama içi yasal onay/kapı ekranları, kalıcı menü bağlantıları, web yayımları ve gerektiğinde süreç bazlı ek bilgilendirmeler yoluyla sunulabilir. Metin’i okumadan veya erişilebilir kılınmadan temel kişisel veri işleme süreçlerine geçilmemesi hedeflenir.
1.9.3. Aydınlatmanın yerine getirilmiş olması; açık rıza alınması gereken hâllerde ayrıca rıza alındığı anlamına gelmez.
1.10. Temel beyanlar (bilgilendirme özeti)
Platform’u kullanarak veya kişisel veri paylaşarak, özellikle şu hususlar hakkında bilgilendirildiğinizi kabul eder ve beyan edersiniz:
(a) Veri Sorumlusu’nun kimliği ve KVKK başvuru kanalı;
(b) kişisel verilerinizin Platform’un bilgilendirme/keşif hizmetinin sunulması, güvenlik, hukuki yükümlülükler ve Metin’de sayılan diğer amaçlarla işlenebileceği;
(c) konum, bildirim ve benzeri cihaz izinlerinin isteğe bağlı olduğu ve reddedilebileceği (reddın bazı özelliklerin çalışmamasına yol açabileceği);
(d) kampanya/tanıtım iletilerinin ayrı açık rıza ile gönderileceği;
(e) yurt dışı aktarımın söz konusu olabileceği ve bunun Metin’in ilgili maddesinde açıklandığı;
(f) KVKK m.11 haklarınız ve başvuru usulü;
(g) 18 yaşından büyük olduğunuz (Platform 18 yaş altına yönelik değildir).
2. VERİ SORUMLUSU KİMLİĞİ VE İLETİŞİM
2.1. Veri sorumlusunun kimliği
2.1.1. KVKK’nın 3 üncü maddesi uyarınca “veri sorumlusu”; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.
2.1.2. Platform kapsamında kişisel verilerinizin işlenmesi bakımından veri sorumlusu; Merilin Yemek markası altında Isparta, Türkiye adresinde faaliyet gösteren, Türkiye Cumhuriyeti’nde yerleşik gerçek kişi vergi mükellefidir (“Veri Sorumlusu”).
2.1.3. Veri Sorumlusu; anonim şirket, limited şirket veya benzeri bir tüzel kişilik statüsünde değildir. Merilin Yemek bir marka / ticari ad olup, tek başına ayrı bir hukuki kişilik veya ticari unvan oluşturmaz. Aydınlatma, başvuru ve sorumluluk bakımından muhatap, yukarıda tanımlanan gerçek kişi Veri Sorumlusu’dur.
2.1.4. Kullanım Koşulları’nda “Hizmet Sağlayıcı” olarak anılan taraf ile işbu Metin’deki Veri Sorumlusu aynı kişidir; ifadeler metin türüne göre değişir, kimlik birliğini bozmaz.
2.2. Temsilci
2.2.1. Veri Sorumlusu Türkiye’de yerleşik olduğundan, KVKK kapsamında yurt dışında yerleşik veri sorumluları için öngörülen “temsilci” atama yükümlülüğü kural olarak uygulanmaz.
2.2.2. Veri Sorumlusu, aydınlatma veya başvuru süreçlerinde kendisi adına hareket etmek üzere bir kişiyi yetkilendirebilir; bu durumda yetkilendirilen kişi aydınlatmada veya başvuru cevabında açıkça belirtilir. Aksi belirtilmedikçe başvurular doğrudan Veri Sorumlusu’na yöneltilir.
2.3. İletişim bilgileri
2.3.1. KVKK kapsamındaki haklarınızı kullanmak ve kişisel verilere ilişkin başvurularınız için birincil kanal:
KVKK e-posta: kvkk@merilinapp.com
2.3.2. Genel destek, teknik sorun ve hizmet talepleri (KVKK başvurusu niteliğinde olmayanlar):
Destek e-posta: destek@merilinapp.com
2.3.3. Posta / tebligat adresi: Isparta, Türkiye
2.3.4. Web: https://merilinapp.com · Gizlilik metni: https://merilinapp.com/legal/privacy · Kullanım koşulları: https://merilinapp.com/legal/terms
2.3.5. Başvuruların usulü, zorunlu unsurları, süreleri ve Kurul’a şikâyet yolu “Başvuru” maddesinde ayrıca düzenlenir. Kimliğinizi tevsik edici bilgi/belge istenmesi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ çerçevesinde ölçülü olarak yapılabilir.
2.4. VERBİS (Veri Sorumluları Sicili)
2.4.1. KVKK m.16 ve Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca, Kurulca belirlenen ölçütleri sağlayan veri sorumluları VERBİS’e kaydolmakla yükümlüdür. Kayıt yükümlülüğü; çalışan sayısı, yıllık mali bilanço toplamı ve yurt dışı yerleşiklik gibi ölçütlere bağlıdır ve zaman içinde değişebilir.
2.4.2. Veri Sorumlusu, yürürlükteki ölçütler kapsamında VERBİS’e kayıtla yükümlü olduğu takdirde Sicile kaydolur ve Sicilde yayımlanan bilgileri güncel tutar. Kayıtlı olması hâlinde VERBİS’te yer alan bilgiler ile işbu Metin arasında çelişki bulunmaması esastır; zorunlu güncelleme hâlinde Sicil kaydı ve/veya Metin güncellenir.
2.4.3. VERBİS’e kayıt yükümlülüğünün bulunmaması veya kaydın henüz tamamlanmamış olması; KVKK m.10 aydınlatma, m.11 ilgili kişi hakları, m.12 veri güvenliği ve diğer KVKK yükümlülüklerini ortadan kaldırmaz. Aydınlatma ve başvuru süreçleri her hâlükârda işbu Metin ve ilgili mevzuata göre yürütülür.
2.4.4. Sicile kayıtla yükümlü olunan dönemde kişisel veri işleme envanteri ve (yönetmelik gerekiyorsa) kişisel veri saklama ve imha politikası, Sicil beyanları ve aydınlatma ile uyumlu tutulur.
2.5. Veri sorumlusu – veri işleyen ayrımı
2.5.1. Veri Sorumlusu; Platform’daki kişisel veri işleme amaç ve vasıtalarını belirleyen taraftır. Hizmetin sunulması için barındırma, bildirim (FCM), harita/geocoding, e-posta/OTP, analitik, reklam, hata izleme veya benzeri alanlarda üçüncü taraf hizmet sağlayıcılar kullanılabilir.
2.5.2. Bu üçüncü taraflar:
(a) Veri Sorumlusu’nun talimatları ve sözleşmesel güvenceler çerçevesinde veri işleyen sıfatıyla hareket edebilir; veya
(b) kendi belirledikleri amaçlarla bağımsız veri sorumlusu olabilir (ör. kendi gizlilik politikası uyarınca reklam kimliği işleyen bir reklam ağı).
2.5.3. Sıfat ayrımı, aktarılan veri kategorileri, aktarım amacı ve hukuki sebep “Aktarım” maddelerinde açıklanır. Bağımsız veri sorumlusu olan üçüncü tarafların kendi işleme faaliyetlerinden Veri Sorumlusu, emredici hükümler saklı kalmak kaydıyla, kural olarak sorumlu tutulamaz; ancak Veri Sorumlusu kendi seçtiği işleyenler üzerinde KVKK m.12 çerçevesinde gerekli sözleşmesel ve denetim tedbirlerini almayı hedefler.
2.6. Ortak veri sorumluluğu
2.6.1. Platform’un olağan işletiminde Veri Sorumlusu, kişisel verilerin işleme amaç ve vasıtalarını tek başına belirler; Alıcı–Satıcı arasında Platform dışında kurulan ilişkiler bakımından ortak veri sorumluluğu doğurmaz.
2.6.2. İleride bir iş ortaklığı, grup içi paylaşım veya benzeri yapı nedeniyle ortak veri sorumluluğu doğması hâlinde; ilgili kişilere KVKK ve Kurul kararları çerçevesinde ayrıca bilgilendirme yapılır ve sorumluluk paylaşımı şeffaf biçimde açıklanır.
2.7. Yetki, muhataplık ve yanıltıcı unvan kullanımı
2.7.1. KVKK başvuruları, ihlal bildirimleri ve kişisel verilere ilişkin resmi yazışmalarda muhatap Veri Sorumlusu’dur. Marka adı veya uygulama adı tek başına ayrı bir muhatap oluşturmaz.
2.7.2. Üçüncü kişilerce Merilin Yemek adının yetkisiz kullanılması, sahte hesap veya benzeri durumlar Veri Sorumlusu’nun bilgisi ve kontrolü dışında olabilir; bu tür hâllerde Veri Sorumlusu, haberdar olduğu ölçüde makul önlemleri alır ancak üçüncü kişilerin bağımsız fiillerinden kural olarak sorumlu değildir.
2.7.3. Satıcı’nın kendi ilanı, müşteri listesi veya Platform dışı iletişimi kapsamında yürüttüğü kişisel veri işleme faaliyetlerinde Satıcı kendi veri sorumlusu (veya ilgili mevzuattaki sıfatı) olabilir; bu, Veri Sorumlusu’nun Platform içi işleme faaliyetlerindeki sıfatını değiştirmez.
2.8. İletişim bilgilerinin güncelliği
2.8.1. Yukarıdaki iletişim bilgileri Metin’in yayımlandığı tarihte geçerlidir. Değişiklikler güncel Metin sürümünde ve mümkünse Platform / web duyurusuyla yayımlanır.
2.8.2. KVKK başvurularında kvkk@merilinapp.com kanalının kullanılması; talebin doğru birime ulaşması ve sürelerin sağlıklı işlemesi bakımından önerilir. Destek kanalına gönderilen KVKK talepleri de işleme alınmaya çalışılır; ancak Tebliğ’e uygun birincil kanal KVKK e-postasıdır.
3. KAPSAM VE İLGİLİ KİŞİ GRUPLARI
3.1. Metnin maddi kapsamı
3.1.1. İşbu Metin; Veri Sorumlusu’nun Platform (mobil uygulama, https://merilinapp.com ve ilişkili dijital arayüzler) üzerinden veya Platform’un işletilmesiyle bağlantılı olarak gerçekleştirdiği kişisel veri işleme faaliyetlerini kapsar.
3.1.2. Kapsama giren başlıca süreçler şunlardır:
(a) Alıcı’nın harita, liste, favori, uyarı, kayıtlı adres tercihi ve benzeri keşif özelliklerini kullanması;
(b) Satıcı’nın hesap oluşturması, mağaza profili ve ilan yönetimi, doğrulama süreçleri;
(c) oturum, güvenlik, kötüye kullanım önleme ve teknik loglama;
(d) operasyonel bildirimler ve (ayrı açık rıza ile) kampanya/tanıtım iletileri;
(e) destek, şikâyet, geri bildirim ve KVKK başvuruları;
(f) analitik, performans, hata/çökme izleme ve (uygulanıyorsa) reklam sunumu;
(g) web sitesi ziyareti ve varsa çerez/tanımlayıcı kullanımı.
3.1.3. Metin; Veri Sorumlusu’nun çalışan adayları, çalışanları veya tedarikçi gerçek kişi temsilcilerine ilişkin ayrı insan kaynakları / iş ilişkisi aydınlatmalarını kural olarak kapsamaz. Bu gruplar için ayrı metin yayımlanmışsa o metin geçerlidir.
3.2. Platform’un hukuki niteliği bakımından kapsam sınırı
3.2.1. Platform yalnızca bilgilendirme ve keşif hizmeti sunar. Platform üzerinde Alıcı ile Satıcı arasında sipariş verme, ödeme alma, rezervasyon garantisi, stok ayırma, kurye veya teslimat ifası gerçekleşmez.
3.2.2. Bu nedenle Metin; pazaryeri sipariş verisi, Platform içi ödeme kartı işleme, fatura kesme veya teslimat rotası gibi — Platform’da yürütülmeyen — işlemlere ilişkin bir aydınlatma değildir. Bu tür veriler Platform’da işlenmiyorsa Metin bunları “işliyoruz” şeklinde sunmaz.
3.2.3. Alıcı’nın Satıcı ile Platform dışında kurduğu iletişim, ziyaret, satın alma, ödeme, iade veya şikâyet süreçlerinde paylaştığı kişisel veriler; ilgili Satıcı’nın (veya ödeme kuruluşu, kurye vb. üçüncü kişinin) kendi veri sorumluluğunda işlenir. Bu Platform dışı işleme, işbu Metin’in kapsamı dışındadır; Veri Sorumlusu bu aşamalardan kural olarak sorumlu değildir.
3.3. İlgili kişi grupları
3.3.1. “İlgili kişi”; KVKK m.3 uyarınca kişisel verisi işlenen gerçek kişidir. İşbu Metin bakımından başlıca ilgili kişi grupları aşağıdadır.
3.3.2. Alıcı
Harita, liste veya benzeri arayüzler üzerinden işletme ve fırsat keşfi amacıyla Platform’u kullanan son kullanıcı. Alıcı’dan e-posta, telefon veya benzeri kimlik bilgisiyle üyelik / Hesap oluşturması istenmez ve zorunlu değildir; Alıcı kural olarak Misafir Oturumu (cihaz/uygulama jetonu) ile Hizmet’i kullanır. Cihaz izinleri (konum, bildirim) vermiş veya vermemiş olabilir. Alıcı’nın Platform kullanımı, Satıcı ile Platform dışında sözleşme kurma zorunluluğu doğurmaz.
3.3.3. Satıcı / İşletme kullanıcısı
Platform’da mağaza profili oluşturan, yöneten veya ilan yayımlayan; kendi adına veya temsil ettiği işletme adına hareket eden kullanıcı. Satıcı tüzel kişi ise; işlenen kişisel veriler kural olarak yetkili / temsilci gerçek kişiye aittir (unvan tek başına kişisel veri değildir). Satıcı, kendi ilanı ve Platform’a yüklediği içerik bakımından içerik sağlayıcıdır; kendi müşterilerine ilişkin Platform dışında tuttuğu verilerden ayrıca sorumludur.
3.3.4. Destek ve başvuru sahipleri
Hesaplı veya hesapsız olarak destek e-postası, uygulama içi geri bildirim, şikâyet veya KVKK m.11 başvurusu ileten gerçek kişiler. Bu kişiler aynı zamanda Alıcı veya Satıcı olabilir.
3.3.5. Web ziyaretçileri
https://merilinapp.com veya ilişkili web sayfalarını ziyaret eden kişiler. Bu grup bakımından işleme; sayfa teknik logları, güvenlik ve (varsa) çerez/tanımlayıcılarla sınırlı olabilir. Ayrı Çerez Politikası yayımlanmışsa web ziyaretçileri için o metin tamamlayıcıdır.
3.3.6. Bir kişi birden fazla gruba girebilir (ör. hem Alıcı hem Satıcı). Sıfat farkı; işlenen veri kategorileri, amaçlar ve hukuki sebeplerin ilgili maddelerde ayrıştırılmasına yol açar. Genel hükümler aksi belirtilmedikçe tüm ilgili kişiler için geçerlidir.
3.4. Coğrafi ve dil kapsamı
3.4.1. Platform Türkiye’deki kullanıcılar ve Türkiye’de sunulan hizmet odaklıdır. Veri Sorumlusu Türkiye’de yerleşiktir. Yurt dışından erişim teknik olarak mümkün olsa da Metin Türk hukuku (özellikle KVKK) çerçevesinde hazırlanmıştır.
3.4.2. Metin’in aslı Türkçedir. Çeviriler kolaylık içindir; çelişkide Türkçe üstündür (Madde 1.8).
3.5. Yaş kapsamı
3.5.1. Platform 18 yaşını doldurmamış kişilere yönelik değildir. Veri Sorumlusu bilerek 18 yaş altından kişisel veri toplamayı hedeflemez. Ayrıntılar “Çocuklar ve Yaş” maddesindedir.
3.5.2. 18 yaş altı olduğu bildirilen veya tespit edilen hesap/oturumlar için erişim kısıtlanır; ilgili veriler KVKK m.7 çerçevesinde silinir, yok edilir veya anonimleştirilir (yasal saklama zorunlulukları saklıdır).
3.6. Kapsam dışı / sınırlı kapsama giren hâller
3.6.1. Aşağıdakiler işbu Metin kapsamı dışındadır veya yalnızca sınırlı atıf düzeyindedir:
(a) Satıcı’nın kendi fiziki işletmesinde, kendi POS/ödeme veya kendi CRM sisteminde yürüttüğü işleme;
(b) Alıcı’nın üçüncü taraf uygulamalar, mesajlaşma kanalları veya sosyal ağlar üzerinden Satıcı ile kurduğu iletişim;
(c) bağımsız veri sorumlusu sıfatıyla hareket eden reklam ağı, harita sağlayıcı veya benzeri üçüncü tarafların kendi amaçlarıyla yürüttüğü işleme (bunların politikaları ayrıca geçerlidir; Platform aktarımı “Aktarım” maddesinde açıklanır);
(d) kamu kurumlarının kendi yasal yetkileri çerçevesinde yürüttüğü işleme;
(e) tamamen anonim hâle getirilmiş ve ilgili kişiyi yeniden tanımlamaya elverişli olmayan istatistiksel veriler (anonim veri KVKK kapsamında kişisel veri değildir).
3.6.2. Kullanıcının Platform’a üçüncü kişilere ait kişisel veri yüklemesi (ör. Satıcı’nın çalışan veya müşteri verisini gereksiz yere iletmesi) yasaktır veya sınırlıdır; bu tür hukuka aykırı yüklemelerden doğan sonuçlardan yükleyen kullanıcı sorumludur. Veri Sorumlusu, haberdar olduğu ölçüde içeriği kaldırma ve hesap kısıtlama yetkisini saklı tutar.
3.7. Metin ile fiilî işleme uyumu
3.7.1. Veri Sorumlusu, işbu Metin’de açıklanan kapsamın fiilî işleme faaliyetleriyle uyumlu tutulmasına özen gösterir. Yeni bir özellik veya işleme amacı ortaya çıktığında; KVKK m.10 ve Aydınlatma Tebliği uyarınca Metin ve/veya süreç bazlı aydınlatma güncellenir.
3.7.2. Belirli, açık ve meşru olmayan; “ileride doğabilecek her türlü amaç” gibi muğlak ifadeler işleme dayanağı olarak kullanılmaz. Yeni amaçlar için ayrı aydınlatma (ve gerekiyorsa açık rıza veya diğer hukuki sebep) sağlanır.
4. TANIMLAR
İşbu Metin’de aksi açıkça belirtilmedikçe aşağıdaki terimler belirtilen anlamları taşır. Tekil ifadeler çoğulu, çoğul ifadeler tekili de kapsar. KVKK’da tanımlı kavramlar, Kanundaki anlamlarıyla kullanılır; aşağıdaki açıklamalar aydınlatmayı kolaylaştırmak içindir.
4.1. “Metin”: İşbu Gizlilik Politikası ve KVKK Aydınlatma Metni; güncel sürümü, Platform’da atıf yapılan tamamlayıcı aydınlatmalar ve (varsa) Çerez Politikası ile birlikte.
4.2. “KVKK”: 6698 sayılı Kişisel Verilerin Korunması Kanunu.
4.3. “Kurul” / “Kurum”: Kişisel Verileri Koruma Kurulu / Kişisel Verileri Koruma Kurumu.
4.4. “Kişisel Veri”: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (KVKK m.3). Tüzel kişi unvanı tek başına kişisel veri değildir; ancak tüzel kişi adına hareket eden gerçek kişiye ait bilgiler kişisel veridir.
4.5. “Özel Nitelikli Kişisel Veri”: KVKK m.6’da sayılan veriler (ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler).
4.6. “Kişisel Verilerin İşlenmesi”: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması veya kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem (KVKK m.3).
4.7. “İlgili Kişi”: Kişisel verisi işlenen gerçek kişi; “siz”, “sizin” ile aynı anlama gelebilir.
4.8. “Veri Sorumlusu”: Madde 2’de tanımlanan; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, Merilin Yemek markası altında Platform’u sunan Türkiye’de yerleşik gerçek kişi vergi mükellefi; “biz”, “bize”, “bizim” ile aynı anlama gelir. Kullanım Koşulları’ndaki “Hizmet Sağlayıcı” ile aynı kişidir.
4.9. “Veri İşleyen”: Veri Sorumlusu’nun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi (KVKK m.3). Bağımsız amaçlarla hareket eden üçüncü taraflar veri işleyen değil, kendi sıfatlarıyla veri sorumlusu olabilir.
4.10. “Açık Rıza”: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza (KVKK m.3). Aydınlatma metninin okunması tek başına açık rıza sayılmaz.
4.11. “Anonim Hale Getirme”: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.
4.12. “Platform”: Veri Sorumlusu’nun mobil uygulamaları, web siteleri (https://merilinapp.com dâhil), ilgili alan adları, uygulama programlama arayüzleri (API) ve aynı marka altında sunduğu diğer dijital arayüzlerin tamamı.
4.13. “Hizmet”: Platform üzerinden sunulan dijital bilgilendirme, keşif, görüntüleme, favori/uyarı, Alıcı Misafir Oturumu, Satıcı Hesap/mağaza yönetimi ve benzeri yazılım işlevleri. Hizmet; mal veya gıda satışı, sipariş alma, ödeme tahsilı, rezervasyon garantisi, stok ayırma, lojistik, kurye veya teslimat ifasını kapsamaz.
4.14. “Kullanım Koşulları”: Platform’un kullanımına ilişkin sözleşme metni; kişisel veri işleme konusunu düzenlemez, işbu Metin’in yerine geçmez.
4.15. “Alıcı”: Platform’u esas olarak harita, liste veya benzeri arayüzler üzerinden işletme ve fırsat keşfi amacıyla kullanan son kullanıcı. Alıcı için e-posta/telefon ile kayıt zorunlu değildir; kural olarak Misafir Oturumu kullanılır.
4.16. “Satıcı” / “İşletme”: Platform’da mağaza profili oluşturan, yöneten veya İlan yayımlayan kullanıcı. “Satıcı” ifadesi, Veri Sorumlusu’nun mal veya hizmet satıcısı olduğu anlamına gelmez.
4.17. “İlan”: Satıcı tarafından Platform’da yayımlanan fırsat, indirim, kampanya, menü/fiyat, stok, çalışma saati, adres veya benzeri bilgilendirme içeriği.
4.18. “Kullanıcı İçeriği”: Kullanıcı’nın Platform’a yüklediği, ilettiği veya görüntülenmesine neden olduğu metin, görsel, logo, fiyat, konum, iletişim bilgisi, profil, İlan, geri bildirim ve benzeri içerik.
4.19. “Hesap”: Kimlik doğrulama (ör. e-posta OTP) veya benzeri yöntemlerle oluşturulan kullanıcı kaydı. Hesap kural olarak Satıcı erişimi içindir; Alıcı’dan Hesap açması istenmez.
4.20. “Misafir Oturumu”: Alıcı’nın e-posta, telefon veya şifre ile kayıt olmadan cihaz/uygulama jetonu ile Hizmet’i kullanması. Misafir Oturumu e-posta OTP Hesabı değildir.
4.21. “Konum Verisi”: Cihaz izinleri veya manuel giriş yoluyla elde edilen yaklaşık veya kesin coğrafi konum bilgisi; IP’den türetilen kabaca konum tahminleri de bu kapsama girebilir.
4.22. “Ticari Elektronik İleti”: 6563 sayılı Kanun ve ilgili mevzuat kapsamında kampanya, tanıtım, pazarlama veya benzeri amaçlı elektronik ileti. Operasyonel / güvenlik / hizmet ifasına yönelik bildirimler, aksi mevzuattan doğmadıkça bu tanıma girmez.
4.23. “Üçüncü Taraf Hizmet”: Harita, konum, bildirim (FCM vb.), barındırma, analitik, reklam ağı, kimlik doğrulama, hata izleme veya benzeri amaçlarla Platform’a entegre edilen veya bağlantı verilen bağımsız sağlayıcıların hizmetleri.
4.24. “Aktarım”: Kişisel verilerin yurt içinde veya yurt dışında başka bir veri sorumlusu veya veri işleyene iletilmesi ya da başka suretle erişilebilir hâle getirilmesi (KVKK m.8 ve m.9 çerçevesinde).
4.25. “VERBİS”: Veri Sorumluları Sicil Bilgi Sistemi.
4.26. Bu maddede tanımlanmayan terimler; Metin’in ilgili hükümlerinde, Kullanım Koşulları’nda veya yürürlükteki Türkiye Cumhuriyeti mevzuatında taşıdıkları anlamda kullanılır. Başlıklar kolaylık içindir; yorumda bağlayıcı değildir.
5. İŞLENEN KİŞİSEL VERİ KATEGORİLERİ
5.1. Genel açıklama
5.1.1. Veri Sorumlusu, Platform kapsamında yalnızca Hizmet’in sunulması, güvenliğin sağlanması, hukuki yükümlülüklerin yerine getirilmesi ve Metin’de belirtilen diğer amaçlarla bağlantılı, sınırlı ve ölçülü kişisel veri işler. Aşağıdaki listeler örnekleyici olup, ilgili kişi grubu ve kullandığınız özelliklere göre fiilen işlenen veriler daha dar veya (yeni özellik eklenmesi hâlinde güncellenmiş Metin ile) daha geniş olabilir.
5.1.2. Platform üzerinde ödeme kartı numarası, CVV, banka hesabı IBAN’ı veya Platform içi sipariş sepeti verisi işlenmez; zira Platform sipariş/ödeme altyapısı sunmaz. Bu tür veriler yalnızca Alıcı ile Satıcı arasında Platform dışında paylaşılırsa, ilgili tarafın sorumluluğundadır.
5.1.3. Alıcı keşfi için e-posta, telefon veya OTP ile kayıt zorunlu değildir. Sizden talep edilen verilerin bir kısmı yalnızca ilgili özellik için zorunludur (ör. Satıcı Hesabı için e-posta/OTP); bir kısmı isteğe bağlıdır (ör. konum izni, pazarlama rızası, kayıtlı adres etiketi). Zorunlu veriyi vermemeniz ilgili özelliğin veya Satıcı Hesabı’nın sunulamamasına yol açabilir; Alıcı’nın Misafir Oturumu ile keşfi engellenmez.
5.1.4. Sunduğunuz bilgilerin doğru, güncel ve size (veya temsil ettiğiniz işletmeye) ait olması esastır. Yanlış, eksik veya üçüncü kişilere ait verilerin hukuka aykırı şekilde iletilmesinden doğan sonuçlardan ilgili kullanıcı sorumludur.
5.2. Alıcı bakımından işlenebilen veriler
Alıcı sıfatıyla Platform’u kullanmanız hâlinde (kural olarak Misafir Oturumu ile; e-posta/telefon kaydı olmadan) aşağıdaki kategoriler işlenebilir:
| Kategori | Örnek veri unsurları |
| --- | --- |
| Oturum / cihaz | Misafir Oturumu jetonu; anonim veya takma adlı cihaz/oturum tanımlayıcısı (e-posta OTP Hesabı değil) |
| İletişim | Yalnızca siz destek / KVKK başvurusunda paylaşırsanız e-posta, telefon veya diğer irtibat bilgisi — keşif için toplanmaz |
| Konum | Cihaz izni vermeniz hâlinde yaklaşık veya kesin coğrafi koordinatlar; kayıtlı adres / konum tercihleri; harita arama ve geocoding sonuçları; IP’den türetilen kabaca konum tahmini |
| Müşteri işlem / tercih | Favori işletmeler; uyarı / radar / tarama mesafesi tercihleri; dil ve uygulama tercihleri; harita ve liste etkileşimleri (görüntülenen ilanlar, kaydırma/arama özetleri) — Misafir Oturumu / yerel kayıt ile; üyelik gerektirmez |
| İşlem güvenliği | Cihaz modeli/adı, işletim sistemi ve sürümü, uygulama sürümü; IP adresi; Misafir Oturumu logları; güvenlik ve kötüye kullanım kayıtları |
| Bildirim | FCM (veya eşdeğeri) bildirim jetonu; bildirim açık/kapalı tercihi; operasyonel ve (ayrı rıza ile) pazarlama bildirimi etkileşim özetleri |
| Görsel | Yüklemeniz hâlinde profil veya geri bildirim görselleri (zorunlu değildir) |
| Reklam / ölçüm (uygulanıyorsa) | Reklam kimliği (AAID/IDFA veya eşdeğeri); reklam gösterim ve etkileşim özetleri; SDK teknik tanımlayıcıları |
| Performans / hata | Uygulama çökme, hata ve performans kayıtları; tanısal loglar |
| Hukuki işlem | Şikâyet, uyuşmazlık, resmi yazışma ve delil niteliğindeki kayıtlar (doğması hâlinde) |
5.3. Satıcı / İşletme kullanıcısı bakımından işlenebilen veriler
Satıcı sıfatıyla Platform’u kullanmanız hâlinde Alıcı kategorilerine ek olarak veya yerine aşağıdaki kategoriler işlenebilir:
| Kategori | Örnek veri unsurları |
| --- | --- |
| Kimlik | Yetkili / temsilci adı-soyadı (paylaşmanız hâlinde); doğum yılı (doğrulama sürecinde talep edilirse); T.C. kimlik numarası veya vergi kimlik numarası (doğrulama kapsamında) |
| İletişim | E-posta; işletme / yetkili telefonu; destek yazışmaları |
| İşletme / müşteri işlem | İşletme adı veya unvanı; kategori; adres ve konum koordinatları; çalışma saati; mağaza profili alanları; sosyal medya veya web bağlantıları; İlan içerikleri (metin, görsel, fiyat, indirim, stok/kampanya beyanları) |
| Doğrulama / uyum | Vergi dairesi; MERSİS veya benzeri sicil bilgisi; vergi kimlik türü ve numarası; doğrulama durumu ve inceleme notları; yasal zorunluluk kapsamında talep edilen diğer belgeler/bilgiler (yalnızca gerekli ölçüde) |
| Hesap / güvenlik | OTP ve oturum bilgileri; IP adresi; cihaz bilgisi; yetki / rol bilgisi (birden fazla kullanıcı desteklenirse) |
| Hukuki işlem | Sözleşme, uyuşmazlık, resmi makam talepleri ve içerik kaldırma süreçlerine ilişkin kayıtlar |
5.4. Destek, başvuru ve web ziyaretçisi bakımından işlenebilen veriler
5.4.1. Destek veya KVKK başvurusu ilettiğinizde: ad-soyad, e-posta, talep konusu, yazışma içeriği, kimlik tevsikine yarayan bilgiler (Tebliğ çerçevesinde ölçülü), ticket / kayıt numarası ve sonuçlandırma notları işlenebilir.
5.4.2. Web ziyaretinde: IP adresi, tarayıcı/cihaz türü, ziyaret edilen sayfa, tarih-saat, yönlendiren URL ve (varsa) çerez/tanımlayıcı verileri işlenebilir. Ayrı Çerez Politikası varsa o metin tamamlayıcıdır.
5.5. Özel nitelikli kişisel veriler
5.5.1. Veri Sorumlusu, Platform’un olağan işletiminde özel nitelikli kişisel veri işlemeyi hedeflemez; bu tür verilerin Platform’a yüklenmemesini ister.
5.5.2. Satıcı doğrulama veya hukuki uyum süreçlerinde TCKN, vergi kimliği veya benzeri kimlik/uyum verileri işlenebilir. Bunlar kural olarak KVKK m.6 anlamında “özel nitelikli kişisel veri” değildir; ancak yüksek riskli kabul edilerek ölçülü işlenir ve ek güvenlik tedbirleriyle korunur.
5.5.3. Kullanıcının kendi inisiyatifiyle sağlık, inanç, sendika üyeliği veya benzeri özel nitelikli veri içeren içerik yüklemesi hâlinde; Veri Sorumlusu bu veriyi işlemeyi amaçlamaz, mümkün olan ölçüde siler veya erişimi engeller ve ilgili içeriğin yeniden yüklenmemesini talep edebilir. Bilerek ve sistematik olarak özel nitelikli veri işlenmesi söz konusu olursa, KVKK m.6 şartları (açık rıza veya kanundaki istisnalar) ve Kurul’un öngördüğü ek tedbirler uygulanır.
5.6. İşlenmeyen veya Platform kapsamında olmayan veriler
Aşağıdakiler kural olarak Veri Sorumlusu tarafından Platform üzerinden işlenmez:
(a) ödeme kartı pan/CVV, 3D Secure şifreleri, Platform içi cüzdan bakiyesi;
(b) Alıcı–Satıcı arasında Platform dışında yapılan sipariş, teslimat rotası veya fatura içeriği (Satıcı’nın İlan’a koyduğu genel fiyat/menü bilgisi hariç);
(c) cihaz rehberi, SMS içeriği, mikrofon/kamera sürekli erişimi (açık özellik ve izin olmadıkça);
(d) bilerek toplanan 18 yaş altı çocuk verileri;
(e) Alıcı keşfi için zorunlu e-posta, telefon veya OTP kayıt verisi (Alıcı bunları vermek zorunda değildir);
(f) tamamen anonim istatistiksel özetler (kişisel veri değildir).
5.7. Kaynak ve güncellik
5.7.1. Veriler; doğrudan sizden (form, izin, içerik yükleme), cihazınızdan (otomatik teknik veriler), destek kanallarından ve Hizmet’in ifası için kullanılan Üçüncü Taraf Hizmet’lerden (ör. bildirim jetonu, harita/geocoding) elde edilebilir. Ayrıntılar “Toplama Yöntemi” maddesindedir.
5.7.2. İlan ve mağaza bilgilerinin doğruluğu Satıcı’ya aittir. Veri Sorumlusu, Satıcı kaynaklı içeriğin gerçeğe uygunluğunu garanti etmez; ancak hukuka aykırı içerik bildiriminde kaldırma yetkisini saklı tutar.
5.8. Kategori – amaç ilişkisi
Yukarıdaki kategorilerin hangi amaçla ve hangi hukuki sebeple işlendiği “İşleme Amaçları ve Hukuki Sebepler” maddesinde; kimlere aktarılabileceği “Aktarım” maddelerinde açıklanır. Aydınlatma Tebliği uyarınca amaçlar belirli, açık ve meşru tutulur; bu maddede sayılan her kategori her Alıcı/Satıcı için otomatik olarak işlenmez — yalnızca ilgili sürecin gerektirdiği ölçüde işlenir.
6. İŞLEME AMAÇLARI VE HUKUKİ SEBEPLER
6.1. Genel ilkeler
6.1.1. Kişisel verileriniz; KVKK’nın 4 üncü maddesindeki ilkelere uygun olarak, belirli, açık ve meşru amaçlarla; amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenir. “İleride doğabilecek her türlü amaç” veya benzeri muğlak ifadeler işleme dayanağı olarak kullanılmaz.
6.1.2. Hukuki sebep; Aydınlatma Tebliği uyarınca KVKK m.5 (ve özel nitelikli veriler bakımından m.6) bentlerinden hangisine dayanıldığını ifade eder. Aynı veri farklı süreçlerde farklı hukuki sebeplere dayanabilir.
6.1.3. Açık rıza (m.5/1); yalnızca ilgili sürecin hukuki sebebinin açık rıza olduğu hâllerde ve ayrı, özgür, bilgilendirilmiş, spesifik onay ile alınır. Aydınlatmanın okunması veya Kullanım Koşulları’nın kabulü tek başına açık rıza değildir.
6.1.4. Meşru menfaat (m.5/2-f) dayanak alındığında; Veri Sorumlusu’nun menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında denge gözetilir. İlgili kişi, meşru menfaate dayalı işlemeye ilişkin olarak Metin’deki başvuru kanalları üzerinden itirazını iletebilir (emredici hükümler saklıdır).
6.1.5. Özel nitelikli kişisel veri işlenmesi kural olarak hedeflenmez; istisnai hâllerde KVKK m.6 şartları uygulanır (Madde 5.5).
6.2. Amaç – veri – hukuki sebep tablosu
Platform kapsamında kişisel verileriniz, başlıca aşağıdaki amaçlarla ve karşılık gelen hukuki sebeplerle işlenebilir. Tablodaki veri örnekleri Madde 5’teki kategorilere atıftır; her satır yalnızca ilgili özelliği kullanan kişiler için geçerlidir.
| Süreç / amaç | İşlenebilen veri (örnek) | Hukuki sebep |
| --- | --- | --- |
| Alıcı Misafir Oturumu oluşturma / yenileme (e-posta veya telefon kaydı yok) | Misafir jetonu; cihaz ve IP; teknik oturum logları | Sözleşmenin ifası (m.5/2-c); meşru menfaat – oturum/güvenlik (m.5/2-f) |
| Satıcı Hesabı: e-posta OTP ile kayıt/giriş, oturum ve hesap güvenliği | E-posta; OTP/oturum jetonları; cihaz ve IP; güvenlik logları | Sözleşmenin kurulması veya ifası (m.5/2-c); meşru menfaat – hesap güvenliği (m.5/2-f) |
| Kullanım Koşulları ve yasal metinlerin kabul kayıtlarının tutulması; sürüm/aydınlatma ispatı | Kabul kaydı; sürüm; zaman damgası; cihaz / Misafir Oturumu tanımlayıcısı | Sözleşmenin kurulması/ifası (m.5/2-c); bir hakkın tesisi, kullanılması veya korunması (m.5/2-e) |
| Harita / liste üzerinden yakın işletme ve İlan keşfi; mesafe ve sıralama (Alıcı; üyelik zorunlu değil) | Konum (izinle); kayıtlı adres tercihi; cihaz; harita etkileşim özetleri; Misafir Oturumu | Sözleşmenin ifası (m.5/2-c); meşru menfaat – Hizmet’in temel işlevi (m.5/2-f). Konum izni cihaz OS düzeyinde ayrıca yönetilir |
| Favori işletmeler, uyarılar, radar/tarama mesafesi ve benzeri kişisel tercihler (Misafir Oturumu / yerel; üyelik zorunlu değil) | Tercih ve favori verileri; Misafir Oturumu / cihaz kimliği | Sözleşmenin ifası (m.5/2-c); meşru menfaat (m.5/2-f) |
| Satıcı mağaza profili, İlan yayımlama/güncelleme, mağaza yönetimi | İşletme, iletişim, adres/konum, İlan ve Kullanıcı İçeriği; Satıcı oturumu | Sözleşmenin kurulması/ifası (m.5/2-c) |
| Satıcı doğrulama ve uyum incelemeleri | Kimlik/vergi kimliği; vergi dairesi; MERSİS vb.; doğrulama durumu | Sözleşmenin ifası (m.5/2-c); hukuki yükümlülüğün yerine getirilmesi (m.5/2-ç); kanunlarda açıkça öngörülme (m.5/2-a) – ilgili yükümlülük doğduğu ölçüde |
| Operasyonel / hizmet bildirimleri (güvenlik, hesap, kritik hizmet duyuruları, İlan/uyarı ile ilgili teknik bildirimler) | FCM jetonu; bildirim tercihi; hesap/cihaz | Sözleşmenin ifası (m.5/2-c); meşru menfaat (m.5/2-f). 6563 kapsamında ticari elektronik ileti sayılmayan operasyonel iletiler |
| Kampanya, tanıtım, pazarlama bildirimleri ve ticari elektronik iletiler | FCM jetonu; e-posta (varsa); iletişim tercihleri; sınırlı kullanım özetleri | Açık rıza (m.5/1) – ayrı onay; 6563 ve ilgili yönetmelikler. Rıza yoksa gönderilmez |
| Destek, şikâyet, geri bildirim ve KVKK başvurularının alınması ve sonuçlandırılması | İletişim; talep içeriği; kimlik tevsiki (ölçülü); ticket kayıtları | Sözleşmenin ifası (m.5/2-c); hukuki yükümlülük – m.11/m.13 başvuruları (m.5/2-ç); hakkın tesisi/korunması (m.5/2-e); meşru menfaat (m.5/2-f) |
| Güvenlik; dolandırıcılık, spam, kötüye kullanım ve yetkisiz erişimin önlenmesi; olay incelemesi | IP; cihaz; oturum; kullanım logları; şüpheli işlem kayıtları | Meşru menfaat (m.5/2-f); hakkın tesisi/korunması (m.5/2-e); hukuki yükümlülük (m.5/2-ç) – ilgili olduğu ölçüde |
| Hizmet kalitesi, performans, hata/çökme ayıklama; ürün geliştirme (kişiselleştirilmiş pazarlama profili satışı değil) | Kullanım ve tanısal loglar; cihaz/uygulama sürümü; anonim/takma adlı ölçümler | Meşru menfaat (m.5/2-f). Mümkün olduğunda toplulaştırma veya anonimleştirme tercih edilir |
| Reklam sunumu ve reklam ölçümü (Platform’da reklam gösterilmesi hâlinde) | Reklam kimliği; gösterim/etkileşim özetleri; cihaz teknik verileri | Meşru menfaat – Hizmet’in sürdürülebilirliği (m.5/2-f) ve/veya açık rıza (m.5/1) – cihaz OS reklam tercihleri, SDK ayarları ve uygulanabilir mevzuata bağlı. Kişiselleştirilmiş reklam için gereken onaylar ayrıca yönetilir |
| Faaliyetlerin mevzuata uygun yürütülmesi; yetkili kişi, kurum ve kuruluşlara bilgi verilmesi; hukuki uyuşmazlıkların yürütülmesi | Kimlik/iletişim; hesap; doğrulama; log ve yazışma kayıtları; uyuşmazlık dosyası | Kanunlarda öngörülme (m.5/2-a); hukuki yükümlülük (m.5/2-ç); hakkın tesisi/korunması (m.5/2-e) |
| Saklama süreleri dolan verilerin silinmesi, yok edilmesi veya anonimleştirilmesi; imha kayıtlarının tutulması | İlgili veri kategorileri; imha logları | Hukuki yükümlülük (m.5/2-ç); kanunlarda öngörülme (m.5/2-a) |
| Birleşme, devir, varlık transferi veya benzeri kurumsal işlemlerin hukuki/finansal incelemesi (doğması hâlinde) | Sınırlı hesap ve işlem kayıtları | Meşru menfaat (m.5/2-f); hakkın tesisi (m.5/2-e). Gerekli hâllerde ayrıca açık rıza veya ayrı bilgilendirme |
6.3. Hukuki sebeplerin kısa açıklaması
6.3.1. m.5/1 – Açık rıza: Özellikle pazarlama/ticari elektronik iletiler ve mevzuatın veya cihaz platform kurallarının açık rıza aradığı hâller.
6.3.2. m.5/2-a – Kanunlarda açıkça öngörülme: İlgili kanunun açıkça işleme öngördüğü kayıt ve bildirimler.
6.3.3. m.5/2-c – Sözleşmenin kurulması veya ifası: Kullanım Koşulları kapsamındaki Hizmet’in sunulması (Alıcı Misafir Oturumu / keşif, Satıcı Hesabı / ilan, tercihler, operasyonel bildirimler).
6.3.4. m.5/2-ç – Hukuki yükümlülük: KVKK başvuru cevapları, saklama/imha, yetkili makam talepleri, vergi/ticari kayıt yükümlülükleri (uygulanabildiği ölçüde).
6.3.5. m.5/2-e – Hakkın tesisi, kullanılması veya korunması: Uyuşmazlık, ispat, hukuki taleplerin savunulması.
6.3.6. m.5/2-f – Meşru menfaat: Güvenlik, dolandırıcılık önleme, temel keşif işlevi, ölçülü analitik ve (koşulları oluştuğunda) reklam sürdürülebilirliği; ilgili kişinin temel haklarına zarar vermemek kaydıyla.
6.4. Konum verisine özel not
6.4.1. Konum verisi, harita tabanlı keşif Hizmet’inin sunulması için işlenebilir. Cihaz işletim sisteminin konum izni verilmeden kesin konum alınmaz; izin reddedilirse konum gerektiren özellikler kısıtlı çalışabilir veya çalışmayabilir.
6.4.2. Konum izninin verilmesi, pazarlama amaçlı konum profillemesi için açık rıza anlamına gelmez. Pazarlama iletileri Madde 6.2’deki ayrı açık rıza rejimine tabidir.
6.4.3. Konum işlemenin hukuki dayanağı; Hizmet’in ifası (m.5/2-c) ve/veya meşru menfaat (m.5/2-f) olup, cihaz izni teknik bir ön koşuldur. İzin yönetimi “Konum ve Cihaz İzinleri” maddesinde ayrıca düzenlenir.
6.5. Amaç değişikliği
6.5.1. Kişisel veriler, toplandıkları amaç dışında işlenmez. Yeni bir amaç ortaya çıkarsa; KVKK ve Aydınlatma Tebliği uyarınca ilgili kişiler bilgilendirilir; gerekliyse yeni hukuki sebep (açık rıza dâhil) sağlanır.
6.5.2. Anonim hâle getirilmiş veriler kişisel veri olmadığından, istatistik ve ürün geliştirme amacıyla kullanılabilir.
6.6. Toplama yöntemi ile ilişki
Verilerin elde edilme yöntemleri (elektronik formlar, cihaz izinleri, otomatik loglar, Üçüncü Taraf Hizmet’ler vb.) “Toplama Yöntemi” maddesinde; aktarım “Aktarım” maddelerinde açıklanır. Aydınlatma yükümlülüğü bakımından amaç, yöntem ve hukuki sebep birlikte okunmalıdır.
7. TOPLAMA YÖNTEMİ VE KAYNAKLAR
7.1. Genel
7.1.1. Kişisel verileriniz; KVKK m.10 aydınlatma yükümlülüğü kapsamında, tamamen veya kısmen otomatik yollarla ve/veya bir veri kayıt sisteminin parçası olmak kaydıyla elektronik ortamda toplanır. Fiziki form ile toplama Platform’un olağan işletiminde öngörülmez; istisnai yazılı başvuru (posta) hâlinde de elektronik kayda alınabilir.
7.1.2. Toplama; ilgili sürecin amacı ve hukuki sebebiyle (Madde 6) bağlantılı, sınırlı ve ölçülü yürütülür. Hizmet için gerekli olmayan veriler talep edilmez.
7.1.3. Verilerin elde edilme anında veya mümkün olan en kısa sürede aydınlatma sağlanır (Madde 1.9).
7.2. Doğrudan ilgili kişiden toplama
Aşağıdaki kanallarla bizzat sizden veri elde edilebilir:
(a) Satıcı Hesabı için uygulama içi kayıt, giriş ve e-posta OTP doğrulama formları (Alıcı keşfi için kullanılmaz; Alıcı kayıt olmak zorunda değildir);
(b) Satıcı mağaza profili, İlan oluşturma/güncelleme ve doğrulama formları;
(c) Favori, uyarı, kayıtlı adres, dil ve bildirim tercih ekranları (Alıcı’da Misafir Oturumu / yerel tercihler; üyelik gerektirmez);
(d) Yasal onay / aydınlatma kapısı ve (gerektiğinde) açık rıza kutuları;
(e) Uygulama içi geri bildirim, destek veya şikâyet formları;
(f) kvkk@merilinapp.com / destek@merilinapp.com üzerinden e-posta yazışmaları;
(g) Posta ile iletilen yazılı KVKK veya destek başvuruları (varsa);
(h) Web sitesindeki iletişim veya abonelik formları (yayımlanmışsa).
7.3. Otomatik ve teknik toplama
Platform’u kullandığınızda aşağıdaki veriler otomatik veya yarı otomatik toplanabilir:
(a) Cihaz ve uygulama meta verileri (model, OS, uygulama sürümü);
(b) IP adresi; Alıcı için Misafir Oturumu oluşturma/yenileme logları; Satıcı için OTP/oturum logları; zaman damgaları;
(c) Anonim veya takma adlı cihaz / Misafir Oturumu tanımlayıcıları;
(d) Harita/liste etkileşim özetleri, API çağrı kayıtları;
(e) Hata, çökme ve performans tanısal logları;
(f) Güvenlik ve kötüye kullanım tespitine ilişkin teknik sinyaller;
(g) (Uygulanıyorsa) reklam SDK’sının ürettiği gösterim/etkileşim teknik kayıtları.
Bu toplama, Hizmet’in çalışması, güvenliği ve Madde 6’daki amaçlar için gereklidir; gizli “arka plan profilleme” amacıyla sınırsız veri toplama yapılmaz.
7.4. Cihaz izinleri (konum, bildirim ve diğerleri)
7.4.1. Belirli özellikler, cihaz işletim sisteminin izin diyaloğu üzerinden sizin onayınıza bağlıdır. İzin verilmeden ilgili veri türü (ör. kesin konum) alınmaz.
7.4.2. Başlıca izinler:
(a) Konum (yaklaşık / kesin): Yakın İlan keşfi, mesafe, kayıtlı adres ve harita işlevleri için. İzin reddedilirse konum gerektiren özellikler kısıtlı çalışır veya çalışmaz; diğer Hizmet özellikleri mümkün olduğunca sunulmaya devam eder.
(b) Bildirimler: Operasyonel ve (ayrı açık rıza ile) pazarlama push bildirimleri için. Bildirim izni nesnel olarak FCM jetonu oluşturulmasını sağlar; pazarlama içeriği göndermek için ayrıca 6563 / KVKK açık rızası aranır (Madde 6.2).
(c) Fotoğraf / medya / kamera (yalnızca ilgili özellik kullanıldığında): Örneğin Satıcı’nın İlan görseli yüklemesi. Sürekli erişim istenmez.
(d) Diğer izinler: Yalnızca ilgili özelliğin fiilen gerektirdiği ölçüde ve özellik sunulurken talep edilir.
7.4.3. İzinler cihaz ayarlarından istenildiğinde geri alınabilir. Geri alma, geri alma öncesi hukuka uygun işlemenin geçerliliğini etkilemez; geri almadan sonra ilgili veri türünün yeni toplanması durur (yasal saklama zorunlulukları saklıdır).
7.4.4. Veri Sorumlusu, KVKK’nın mobil uygulamalara ilişkin mahremiyet tavsiyelerine uygun olarak; özelliğin gerektirmadığı izinleri istememeyi ve varsayılan gizlilik ayarlarını mümkün olduğunca kısıtlı tutmayı hedefler.
7.4.5. Konum izninin verilmesi pazarlama amaçlı konum bazlı profilleme veya ticari elektronik ileti rızası sayılmaz (Madde 6.4).
7.5. Üçüncü taraf kaynaklar ve SDK’lar
7.5.1. Hizmet’in ifası için Üçüncü Taraf Hizmet’lerden teknik veri alınabilir veya bu taraflara veri iletilebilir (ayrıntılar “Aktarım” maddelerinde):
(a) Bildirim altyapısı (ör. Firebase Cloud Messaging) – bildirim jetonu ve teslimat durumu;
(b) Harita / geocoding sağlayıcıları (ör. TomTom) – konum veya adres sorgularının işlenmesi;
(c) E-posta / OTP iletim altyapısı;
(d) Barındırma / bulut altyapısı;
(e) (Uygulanıyorsa) analitik, hata izleme ve reklam ağları (ör. Google AdMob).
7.5.2. Bu taraflar Veri Sorumlusu’nun talimatıyla veri işleyen olabilir veya kendi amaçlarıyla bağımsız veri sorumlusu olabilir. Bağımsız veri sorumlularının kendi aydınlatma metinleri ayrıca geçerlidir.
7.5.3. Veri Sorumlusu, üçüncü taraflardan hukuka aykırı şekilde elde edilmiş kişisel veri satın almaz veya bilerek böyle kaynaklardan toplama yapmaz.
7.6. Kullanıcı İçeriği ve alenileştirme
7.6.1. Satıcı’nın yayımladığı İlan, mağaza profili, iletişim bilgisi ve görseller; Alıcı’nın (varsa) yorum veya geri bildirimleri, Platform’da görüntülenmek üzere Kullanıcı İçeriği olarak işlenir.
7.6.2. Kamuya açık yayımlanan İlan ve profil alanları, Hizmet’in doğası gereği diğer kullanıcılara gösterilir. Alenileştirme, içeriğin her türlü amaçla sınırsız işlenebileceği anlamına gelmez; işleme Madde 6 amaçlarıyla sınırlıdır.
7.6.3. Başkasına ait kişisel veriyi (ör. çalışan, müşteri, üçüncü kişi kimliği) hukuka aykırı veya gereksiz biçimde yüklemek yasaktır. Böyle bir yükleme tespit edilirse içerik kaldırılabilir; sorumluluk yükleyene aittir (Madde 3.6.2).
7.7. Platform dışı kaynaklar
7.7.1. Alıcı ile Satıcı arasında Platform dışında gerçekleşen görüşme, ziyaret, ödeme veya sipariş sırasında paylaşılan veriler Veri Sorumlusu tarafından toplanmaz (Madde 3.2).
7.7.2. Yetkili kamu kurum ve kuruluşlarından, yalnızca hukuki yükümlülük veya hakkın korunması kapsamında ve ölçülü olarak veri alınabilir.
7.8. Toplama yöntemi – hukuki sebep ilişkisi
7.8.1. Aydınlatma Tebliği uyarınca “toplama yöntemi” ile “hukuki sebep” birlikte değerlendirilir. Elektronik form ve otomatik loglarla toplanan verilerin hukuki sebepleri Madde 6 tablosunda; aktarım Madde 8 ve devamında açıklanır.
7.8.2. Aynı veri unsuru birden fazla kanaldan gelebilir (ör. e-posta hem kayıt formundan hem destek yazışmasından). Her kanal, ilgili amaç ve saklama süresiyle bağlantılı işlenir.
8. AKTARIM, VERİ İŞLEYENLER VE YURT DIŞI AKTARIM
8.1. Genel ilkeler
8.1.1. Kişisel verileriniz; KVKK’nın 8 inci (yurt içi) ve 9 uncu (yurt dışı) maddeleri ile Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik çerçevesinde; işleme amacıyla bağlantılı, sınırlı ve ölçülü olarak aktarılabilir.
8.1.2. Aktarım; (a) Veri Sorumlusu’nun talimatıyla hareket eden veri işleyenlere, (b) kendi amaçlarıyla bağımsız veri sorumlusu olan alıcılara veya (c) yetkili kişi/kurum/kuruluşlara yapılabilir. Sıfat ayrımı Madde 2.5 ile uyumludur.
8.1.3. Veri Sorumlusu, kişisel verilerinizi satmaz. “Aktarım”, Hizmet’in ifası, güvenlik, hukuki yükümlülük veya Metin’de sayılan diğer amaçlar içindir.
8.1.4. Alıcı–Satıcı arasında Platform dışında gerçekleşen iletişim, ziyaret, ödeme veya siparişte paylaşılan veriler Veri Sorumlusu’nun aktarımı değildir (Madde 3.2). Satıcı’nın İlan’da yayımladığı iletişim bilgisine Alıcı’nın kendi inisiyatifiyle ulaşması, Platform’un teknik görüntüleme işlevinin sonucudur; bu, Satıcı’nın kendi veri sorumluluğunu ortadan kaldırmaz.
8.2. Yurt içi aktarım (KVKK m.8)
Kişisel verileriniz, Madde 6’daki amaçlarla sınırlı olarak aşağıdaki alıcı gruplarına yurt içinde aktarılabilir:
| Alıcı grubu | Aktarım amacı (örnek) | Aktarılabilen veri (örnek) | Dayanak (örnek) |
| --- | --- | --- | --- |
| Barındırma / bulut / altyapı sağlayıcıları | Platform’un barındırılması, yedekleme, kesintisiz Hizmet | Hesap, içerik, log ve teknik veriler | m.5/2-c, m.5/2-f |
| E-posta / OTP iletim sağlayıcıları | Giriş doğrulama, hesap güvenliği, operasyonel e-posta | E-posta; OTP iletimine ilişkin teknik kayıtlar | m.5/2-c, m.5/2-f |
| Bildirim altyapısı (FCM veya eşdeğeri – yurt içi işleme söz konusuysa) | Push bildirim teslimi | Bildirim jetonu; cihaz teknik verileri | m.5/2-c, m.5/2-f; pazarlamada ayrıca m.5/1 |
| Harita / geocoding sağlayıcıları | Harita karosu, adres çözümleme, mesafe | Konum/adres sorgusu; teknik istek verileri | m.5/2-c, m.5/2-f |
| Analitik / hata izleme (yurt içi) | Performans, çökme ayıklama | Tanısal ve kullanım özetleri | m.5/2-f |
| Reklam ortakları (uygulanıyorsa, yurt içi) | Reklam gösterimi ve ölçümü | Reklam kimliği; etkileşim özetleri | m.5/2-f ve/veya m.5/1 |
| Profesyonel danışmanlar (hukuk, mali, denetim – gizlilik yükümlülüğü altında) | Uyuşmazlık, uyum, mali süreçler | İhtiyaca göre sınırlı dosya verisi | m.5/2-ç, m.5/2-e, m.5/2-f |
| Yetkili kişi, kurum ve kuruluşlar | Kanunî talep, soruşturma, denetim, mahkeme/icra | Talep kapsamıyla sınırlı veriler | m.5/2-a, m.5/2-ç, m.5/2-e |
| Diğer Platform kullanıcıları (görüntüleme) | İlan ve mağaza profilinin keşfi | Satıcı’nın yayımladığı İlan/profil alanları | m.5/2-c (Hizmet’in ifası); Satıcı’nın alenileştirmesi |
8.3. Veri işleyenlere ilişkin güvenceler
8.3.1. Veri işleyen sıfatıyla çalışan sağlayıcılarla; işlenen veri kapsamı, talimata bağlılık, gizlilik, güvenlik tedbirleri, alt işleyen (varsa), silme/iade ve denetim konularını içeren sözleşmeler veya eşdeğer hukuki güvenceler hedeflenir (KVKK m.12).
8.3.2. Veri işleyen, kişisel verileri yalnızca Veri Sorumlusu’nun verdiği talimatlar doğrultusunda ve sözleşme süresiyle sınırlı işler; kendi pazarlama amaçları için kullanamaz (bağımsız veri sorumlusu olduğu açıkça düzenlenen hâller hariç).
8.4. Yurt dışı aktarım (KVKK m.9 – güncel rejim)
8.4.1. Platform’un işletiminde kullanılan bazı Üçüncü Taraf Hizmet’ler sunucuları, destek ekipleri veya alt işleyenleri yurt dışında bulunabilir. Bu durumda kişisel verileriniz yurt dışına aktarılmış veya yurt dışından erişilebilir hâle gelmiş sayılabilir.
8.4.2. Yurt dışına aktarım; KVKK m.9 ve Yurt Dışına Aktarım Yönetmeliği uyarınca şu yollardan biriyle gerçekleştirilir:
(a) Aktarımın yapılacağı ülke, uluslararası kuruluş veya sektörler hakkında Kurul’un yeterlilik kararı bulunması;
(b) Yeterlilik kararı yoksa; m.5/m.6’daki işleme şartlarından birinin varlığı ve uygun güvencelerden birinin sağlanması — özellikle Kurul’un ilan ettiği **standart sözleşmenin** taraflarca imzalanması (ve Yönetmelik uyarınca Kuruma bildirilmesi), bağlayıcı şirket kuralları veya Kanunda öngörülen diğer uygun güvenceler;
(c) Uygun güvence sağlanamayan arızi / istisnai hâllerde Kanunun öngördüğü istisnalar (ilgili kişinin, olası riskler hakkında bilgilendirilerek verdiği açık rıza dâhil). Düzenli ve sürekli aktarımlar için açık rıza tek başına yeterli güvence olarak tasarlanmaz; öncelik yeterlilik veya standart sözleşme / diğer uygun güvencelerdedir.
8.4.3. Yurt dışına aktarımı gündeme getirebilen başlıca hizmet kategorileri (sağlayıcı ve ülke/bölge fiilî mimariye göre değişebilir):
| Hizmet kategorisi | Örnek sağlayıcı / işlev | Aktarılabilen veri (örnek) |
| --- | --- | --- |
| Push bildirim | Firebase Cloud Messaging (FCM) | Bildirim jetonu; cihaz teknik verileri; bildirim teslimat meta verisi |
| Harita / geocoding | TomTom veya eşdeğeri | Konum/adres sorguları; teknik istek verileri |
| Barındırma / bulut | Bulut altyapı sağlayıcıları | Hesap, içerik, yedek ve log verileri (mimarinin yurt dışı bileşeni varsa) |
| E-posta / OTP | E-posta iletim altyapısı | E-posta adresi; iletim meta verisi |
| Reklam | Google AdMob veya eşdeğeri (uygulanıyorsa) | Reklam kimliği; etkileşim/ölçüm verileri |
| Analitik / hata izleme | İlgili SDK veya hizmet (kullanılıyorsa) | Tanısal ve kullanım özetleri |
8.4.4. Standart sözleşme kullanıldığında; sözleşme metni Kurul’un ilan ettiği hâliyle (seçimlik maddeler hariç değiştirilmeksizin) akdedilir ve imzadan itibaren mevzuatta öngörülen süre içinde Kuruma bildirilir. İlgili kişi, yurt dışı aktarıma ilişkin ek bilgiyi kvkk@merilinapp.com üzerinden talep edebilir (ticari sır ve güvenlik kısıtları saklıdır).
8.4.5. Yurt dışı aktarımın hukuki dayanağı değişirse (yeni yeterlilik kararı, sağlayıcı değişikliği vb.) Veri Sorumlusu Metin’i ve/veya süreç bazlı aydınlatmayı günceller.
8.5. Resmi makamlar ve zorunlu açıklamalar
8.5.1. Mahkeme, savcılık, kolluk, düzenleyici kurum veya diğer yetkili mercilerin usulüne uygun talepleri ile kanunî bildirim yükümlülükleri kapsamında veri aktarılabilir veya açıklanabilir.
8.5.2. Aktarım, talep ve kanunla sınırlı tutulur; gereksiz veri paylaşılmaz.
8.6. Kurumsal işlemler
Birleşme, devir, varlık veya hisse transferi gibi kurumsal işlemlerde; Hizmet’in sürekliliği ve hukuki/finansal inceleme için sınırlı kişisel veri, gizlilik yükümlülüğü altındaki taraflara aktarılabilir (Madde 6.2). Gerekli hâllerde ilgili kişiler bilgilendirilir veya açık rıza alınır.
8.7. Platform dışı ve bağımsız sorumlular
8.7.1. Reklam ağı, harita sağlayıcı veya benzeri tarafların kendi gizlilik politikaları uyarınca bağımsız veri sorumlusu olarak yürüttüğü işleme, o tarafın sorumluluğundadır. Veri Sorumlusu, kendi seçtiği işleyenler üzerinde m.12 tedbirlerini almayı hedefler; ancak bağımsız sorumluların kendi sistemlerindeki ihlallerden, emredici hükümler saklı kalmak kaydıyla, kural olarak sorumlu tutulamaz.
8.7.2. Satıcı’nın Alıcı ile Platform dışında kurduğu ilişkide işlediği veriler Satıcı’nın (veya ilgili üçüncü kişinin) sorumluluğundadır.
8.8. Aktarım kayıtları ve bilgilendirme
8.8.1. İlgili kişi; KVKK m.11 uyarınca kişisel verilerinin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilmeyi talep edebilir. Başvuru usulü ilgili maddede düzenlenir.
8.8.2. Veri Sorumlusu, aktarım ilişkilerini ve (yurt dışı için) başvurulan güvence mekanizmasını güncel tutmaya özen gösterir; sağlayıcı listesi operasyonel nedenlerle değişebilir, esas olan kategori ve amaç şeffaflığıdır.
9. REKLAM, ANALİTİK, ÇEREZLER VE TANIMLAYICILAR
9.1. Amaç ve kapsam
9.1.1. Platform’un sürdürülebilirliği, Hizmet kalitesinin ölçülmesi ve (uygulanıyorsa) reklam gösterimi için analitik, hata izleme, tanımlayıcı teknolojiler ve üçüncü taraf reklam SDK’ları kullanılabilir.
9.1.2. Bu madde; mobil uygulamadaki reklam/analitik SDK’larını, cihaz reklam kimliklerini ve web sitesindeki çerez / benzeri tanımlayıcıları kapsar. Push bildirimleri ve 6563 kapsamındaki ticari elektronik iletiler Madde 6.2 ve (ayrıntılı düzenleme yapıldığında) ilgili bildirim maddesine tabidir; bildirim izni tek başına kişiselleştirilmiş reklam veya pazarlama rızası değildir.
9.1.3. Kişisel verileriniz pazarlama listesi olarak üçüncü kişilere satılmaz.
9.2. Analitik ve performans / hata izleme
9.2.1. Analitik veriler; özellik kullanımını anlamak, performans darboğazlarını görmek, ürün geliştirmek ve Hizmet’i iyileştirmek için işlenir.
9.2.2. Hata / çökme izleme; uygulamanın kararlılığını artırmak ve güvenlik olaylarını tespit etmek için tanısal loglar toplayabilir.
9.2.3. Hukuki sebep kural olarak meşru menfaattir (KVKK m.5/2-f). Mümkün olduğunda veriler toplulaştırılır, takma adlandırılır veya anonimleştirilir. Analitik, Madde 6.2’deki pazarlama açık rızasının yerine geçmez.
9.3. Reklam sunumu (uygulanıyorsa)
9.3.1. Platform’da üçüncü taraf reklam ağları (ör. Google AdMob veya eşdeğeri) aracılığıyla reklam gösterilebilir. Reklam sağlayıcıları; reklam kimliği, cihaz teknik verileri, yaklaşık konum (izin ve SDK yapılandırmasına bağlı), uygulama içi olaylar ve reklam etkileşim özetlerini işleyebilir.
9.3.2. Reklam sağlayıcısı çoğu durumda kendi gizlilik politikası uyarınca bağımsız veri sorumlusu veya ortak sorumluluk rejimine tabi olabilir. Veri Sorumlusu’nun Platform’a entegre ettiği SDK nedeniyle gerçekleşen aktarım Madde 8 kapsamında açıklanır; sağlayıcının kendi işleme amaçları kendi metnine tabidir.
9.3.3. Hukuki sebep: Hizmet’in sürdürülebilirliğine ilişkin meşru menfaat (m.5/2-f) ve/veya kişiselleştirilmiş reklam için açık rıza (m.5/1) ile cihaz işletim sistemi / reklam platformu kurallarının gerektirdiği onaylar. Yurt dışı aktarım söz konusuysa Madde 8.4 uygulanır.
9.4. Reklam kimlikleri ve kişiselleştirme tercihleri
9.4.1. Mobil cihazlarda reklam kimliği (Android AAID, iOS IDFA veya eşdeğeri) kullanılabilir. Bu kimlikler cihaz ayarlarından sıfırlanabilir veya (işletim sisteminin imkân verdiği ölçüde) sınırlandırılabilir.
9.4.2. Kişiselleştirilmiş / ilgi alanına dayalı reklamı sınırlamak için:
(a) cihazınızın reklam veya gizlilik ayarlarını;
(b) (varsa) uygulama içi reklam tercih ekranını;
(c) ilgili reklam ağının sunduğu opt-out araçlarını
kullanabilirsiniz.
9.4.3. Kişiselleştirmeyi kapatmanız reklamların tamamen kalkacağı anlamına gelmez; bağlamsal veya kişiselleştirilmemiş reklamlar gösterilmeye devam edebilir.
9.4.4. Çocuklara yönelik kişiselleştirilmiş reklam veya profilleme yapılmaz (Platform 18+; Madde 16 / çocuklar maddesi).
9.5. Çerezler ve web tanımlayıcıları
9.5.1. https://merilinapp.com ve ilişkili web sayfalarında; zorunlu (teknik), işlevsel, analitik ve (varsa) pazarlama çerezleri veya benzeri teknolojiler (yerel depolama, piksel, SDK) kullanılabilir.
9.5.2. Zorunlu çerezler; oturum, güvenlik, yük dengeleme ve sitenin temel işlemesi için gereklidir. Analitik / pazarlama çerezleri mümkün olduğunca bilgilendirme ve (mevzuatın gerektirdiği hâllerde) onay mekanizmasıyla yönetilir.
9.5.3. Ayrı bir Çerez Aydınlatma Metni / Çerez Politikası yayımlanmışsa web ziyaretçileri bakımından o metin tamamlayıcı ve ilgili konuda önceliklidir. Yayımlanmamışsa bu Madde 9.5 ile Madde 5.4.2 uygulanır.
9.5.4. Tarayıcı ayarlarından çerezleri silebilir veya engelleyebilirsiniz; bazı site işlevleri bozulabilir.
9.6. Tanımlayıcı teknolojilerin sınırları
9.6.1. Tanımlayıcılar; Madde 6’da sayılan amaçlar dışında, ilgili kişinin aleyhine hukuki sonuç doğuran otomatik kararlar üretmek için kullanılmaz (otomatik işleme maddesine bakınız).
9.6.2. Veri Sorumlusu, SDK’ları düzenli gözden geçirmeyi ve Hizmet için gerekli olmayan veri toplama kapsamını azaltmayı hedefler.
9.6.3. Üçüncü taraf sitelere veya mağaza bağlantılarına tıkladığınızda o tarafların kendi çerez / gizlilik uygulamaları geçerli olur; Veri Sorumlusu bunları kontrol etmez.
9.7. Haklar ve başvuru
9.7.1. Analitik, reklam ve çerezlere dayanan işlemlere ilişkin KVKK m.11 haklarınızı Madde 13–14’teki usulle kullanabilirsiniz.
9.7.2. Pazarlama bildirimleri / ticari elektronik iletiler için rıza geri alma kanalları ayrıca geçerlidir; reklam kimliği sıfırlama ile ticari ileti rızasının geri alınması farklı mekanizmalardır.
10. OTOMATİK İŞLEME VE PROFİLLEME
10.1. Kapsam
10.1.1. Platform; Hizmet’in sunulması için kişisel veriler üzerinde tamamen veya kısmen otomatik işlemler gerçekleştirebilir. Bunlar; yazılım algoritmaları, sıralama kuralları, güvenlik filtreleri ve benzeri teknik süreçleri kapsar.
10.1.2. KVKK m.11/1-(g) uyarınca ilgili kişi; kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkına sahiptir. Bu madde, Platform’daki otomatik işlemleri şeffaflaştırır ve bu hakkın nasıl kullanılacağını açıklar.
10.2. Platform’da yapılan başlıca otomatik işlemler
Aşağıdaki işlemler Hizmet’in doğal parçasıdır ve kural olarak hukuki sonuç doğuran “otomatik karar” niteliği taşımaz:
(a) Konumunuza veya seçtiğiniz adrese göre işletme / İlan’ların mesafeye veya yakınlığa göre sıralanması ve filtrelenmesi;
(b) Favori, uyarı, radar/tarama mesafesi ve dil gibi tercihlerinize göre içeriğin gösterilmesi;
(c) Harita karosu, geocoding ve teknik önbellekleme;
(d) OTP doğrulama, oturum yönetimi ve yetkisiz erişim denemelerinin teknik olarak engellenmesi;
(e) Spam, kötüye kullanım, bot ve dolandırıcılık belirtilerinin kural tabanlı veya model tabanlı tespiti;
(f) Performans, hata ve çökme loglarının otomatik toplanması ve önceliklendirilmesi;
(g) (Uygulanıyorsa) reklamın teknik teslimi ve ölçümü – Madde 9;
(h) Saklama süresi dolan kayıtların periyodik imha / anonimleştirme kuyruklarına alınması.
10.3. Hukuki sonuç doğuran otomatik karar – mevcut durum
10.3.1. Veri Sorumlusu; kredi skoru, istihdam, sigorta, hukuki ehliyet veya benzeri alanlarda ilgili kişi aleyhine münhasıran otomatik sistemlerle bağlayıcı karar vermez.
10.3.2. Satıcı doğrulama, hesap askıya alma, İlan kaldırma veya benzeri işlemler; kural olarak insan incelemesi, Kullanım Koşulları ve içerik politikaları çerçevesinde yürütülür. Otomatik güvenlik sinyalleri inceleme başlatabilir; nihai kısıtlama kararı mümkün olduğunca insan gözetimiyle alınır.
10.3.3. İleride münhasıran otomatik ve ilgili kişi aleyhine hukuki veya benzer şekilde önemli sonuç doğuran bir karar mekanizması getirilirse; KVKK ve Kurul kararları çerçevesinde ayrıca aydınlatma yapılır, gerekli hukuki dayanak (açık rıza dâhil) sağlanır ve itiraz / insan müdahalesi imkânı sunulur.
10.4. Profilleme
10.4.1. “Profilleme”; kişisel verilerin bir gerçek kişinin belirli kişisel tercihlerine, ilgi alanlarına, konumuna veya davranışına ilişkin özellikleri değerlendirmek üzere otomatik işlenmesidir.
10.4.2. Platform’da sınırlı profilleme; örneğin yakın İlan önerisi, tercihlerinize göre uyarılar veya (ayrı rıza ve Madde 9 kapsamında) reklam kişiselleştirmesi için kullanılabilir. Bu işlemler Hizmet’in ifası (m.5/2-c), meşru menfaat (m.5/2-f) veya açık rıza (m.5/1) hukuki sebeplerine dayanır.
10.4.3. Pazarlama amaçlı profilleme ve ticari elektronik iletiler ayrı açık rıza rejimine tabidir. Konum izni veya analitik SDK kullanımı tek başına pazarlama profillemesi rızası sayılmaz.
10.4.4. Ayrımcılık yasağına aykırı; etnik köken, inanç, sağlık veya benzeri özel nitelikli verilere dayalı profilleme yapılmaz. Özel nitelikli veri politikası Madde 5.5’tedir.
10.5. Şeffaflık ve insan müdahalesi
10.5.1. Otomatik sıralama ve filtreleme mantığı ticari sır ve güvenlik nedeniyle satır satır açıklanmayabilir; ancak ilgili kişi, işlemenin varlığı, amaçları ve sonuçları hakkında Metin ve başvuru yoluyla bilgilendirilir.
10.5.2. Güvenlik veya içerik nedeniyle hesabınızın kısıtlandığını düşünüyorsanız destek veya KVKK kanalından açıklama ve insan incelemesi talep edebilirsiniz. Kullanım Koşulları’ndaki askıya alma hükümleri saklıdır.
10.5.3. m.11/1-(g) kapsamındaki itirazınızı kvkk@merilinapp.com üzerinden iletebilirsiniz; başvuru usulü ilgili maddede düzenlenir.
10.6. Üçüncü taraf otomatik sistemler
Reklam, harita, bildirim veya dolandırıcılık önleme sağlayıcılarının kendi otomatik sistemleri onların sorumluluğunda olabilir. Veri Sorumlusu’nun aktarımı Madde 8’de; reklam/analitik Madde 9’da açıklanır. Bu tarafların münhasıran otomatik kararları varsa, ilgili kişinin hakları o tarafın aydınlatma metni ve KVKK çerçevesinde ayrıca değerlendirilir.
11. SAKLAMA SÜRELERİ VE İMHA
11.1. Genel ilkeler
11.1.1. Kişisel veriler; KVKK m.4 uyarınca ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilir. Amaç ortadan kalktığında veya saklama süresi dolduğunda veriler silinir, yok edilir veya anonim hâle getirilir (KVKK m.7; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik).
11.1.2. Birden fazla amacın veya yasal saklama yükümlülüğünün çakışması hâlinde; en uzun geçerli süre uygulanır, ancak veri yalnızca o yükümlülüğün gerektirdiği amaç ve erişimle sınırlı tutulur (amaç dışı kullanıma kapatılır / arşivlenir).
11.1.3. VERBİS’e kayıtla yükümlü olunan dönemde Veri Sorumlusu, kişisel veri işleme envanterine uygun bir kişisel veri saklama ve imha politikası bulundurur. Yükümlülük doğmasa bile, aşağıdaki süreler ve imha esasları fiilî uygulamaya yol gösterir (Madde 2.4).
11.1.4. Aşağıdaki süreler azami / tipik sürelerdir; somut olayda daha kısa süre yeterliyse veriler daha erken imha edilebilir. Mevzuat değişikliği veya uyuşmazlık hâlinde süreler güncellenebilir.
11.2. Kategori bazlı saklama süreleri
| Veri / kayıt türü | Tipik saklama süresi | Dayanak / açıklama |
| --- | --- | --- |
| Alıcı Misafir Oturumu, tercih, favori, uyarı ayarları | Oturum/cihaz aktif olduğu süre + kapanma veya sıfırlama sonrası makul süre (kural olarak 1 yıl) veya ilgili zamanaşımı | Hizmet ifası; misafir veri silme; ispat |
| Satıcı Hesabı / mağaza profili | Hesap aktif olduğu süre + kapanma sonrası makul süre (kural olarak 1 yıl) veya ilgili zamanaşımı | Hizmet ifası; hesap silme talebi; ispat |
| Satıcı OTP / Alıcı Misafir Oturumu teknik kayıtları | Azami 1–2 yıl (güvenlik olayları için gerekli olduğu ölçüde) | Güvenlik; kötüye kullanım önleme |
| Konum (canlı / sık güncellenen) | Hizmet için gerekli olduğu sürece; uzun süreli arşivlenmez. Kayıtlı adres tercihleri hesap süresine bağlı | Keşif Hizmet’i; ölçülülük |
| Satıcı İlan ve mağaza içerikleri | İlan/profil yayında olduğu süre; kaldırma veya hesap kapanması sonrası yasal/ispat ihtiyacı kadar | Sözleşme ifası; içerik uyuşmazlıkları |
| Satıcı doğrulama / vergi-kimlik / uyum kayıtları | Mevzuatın öngördüğü süre; ticari ve vergi kayıtları bakımından sıklıkla **10 yıl** | Hukuki yükümlülük; TTK / vergi mevzuatı (uygulanabildiği ölçüde) |
| Güvenlik, erişim, IP ve kötüye kullanım logları | Kural olarak **2 yıl**; ciddi olaylarda uyuşmazlık süresi kadar | Meşru menfaat; ispat; 5651 vb. log yükümlülükleri (uygulanabildiği ölçüde) |
| Destek / şikâyet yazışmaları | Talebin sonuçlanması + **3 yıl** (veya uyuşmazlık süresince) | Destek ifası; hakkın korunması |
| KVKK başvuru dosyaları ve cevapları | Başvurunun sonuçlanması + en az **3 yıl** (Yönetmelik / ispat) | m.13; silme-imha işlem kayıtları |
| Yasal onay / aydınlatma / sözleşme kabul kayıtları | Hesap süresi + zamanaşımı boyunca (ispat için) | Sözleşme; aydınlatma ispatı |
| Pazarlama / ticari elektronik ileti rızası ve ret kayıtları | Rıza geri alınana veya ret edilene kadar; ret/onay kayıtları mevzuatın aradığı süreyle (İYS yükümlülüğü varsa buna uygun) | 6563; açık rıza yönetimi |
| Analitik / çökme / performans logları | Kural olarak **12–24 ay**; mümkünse daha önce toplulaştırma/anonimleştirme | Meşru menfaat; ürün geliştirme |
| Reklam kimliği / reklam etkileşim özetleri (uygulanıyorsa) | SDK/sağlayıcı politikası ve Hizmet ihtiyacıyla sınırlı; tipik olarak **12–24 ay** | Madde 9; opt-out sonrası yeni toplama durur |
| Hukuki uyuşmazlık, icra, soruşturma dosyaları | Uyuşmazlık kesinleşene + ilgili zamanaşımı boyunca | Hakkın tesisi ve korunması |
| İmha / silme işlemine ilişkin kayıtlar | Diğer yükümlülükler saklı kalmak kaydıyla Yönetmelik uyarınca en az **3 yıl** | Silme-İmha Yönetmeliği |
11.3. Hesap silme ve saklamanın devamı
11.3.1. Hesabınızı silmeniz veya silinmesini talep etmeniz hâlinde; Hizmet’in ifası için gerekli aktif işleme durur. Ancak (a) yasal saklama zorunlulukları, (b) uyuşmazlık ve ispat, (c) güvenlik/kötüye kullanım kayıtları, (d) muhasebe/vergi kayıtları kapsamında bazı veriler süreleri dolana kadar saklanmaya devam edebilir.
11.3.2. Bu tür devam eden saklama; ilgili amaca kilitlenir, günlük Hizmet işlemlerinde kullanılmaz ve süre sonunda imha edilir veya anonimleştirilir.
11.3.3. Satıcı doğrulama ve ticari kayıtlar, hesap silinse bile mevzuatın zorunlu kıldığı süre boyunca muhafaza edilebilir.
11.4. Silme, yok etme ve anonimleştirme
11.4.1. İşleme şartlarının tamamı ortadan kalktığında Veri Sorumlusu resen veya ilgili kişinin talebi üzerine verileri siler, yok eder veya anonim hâle getirir (Yönetmelik m.7).
11.4.2. **Silme:** İlgili kullanıcılar için erişilemez ve tekrar kullanılamaz hâle getirme. **Yok etme:** Verinin tekrar elde edilemeyecek biçimde imhası. **Anonimleştirme:** Başka verilerle eşleştirilerek dahi kimliği belirlenebilir kişiyle ilişkilendirilemeyecek hâle getirme.
11.4.3. Periyodik imha: Saklama-imha politikası bulunan dönemlerde periyodik imha aralığı Yönetmelik uyarınca azami **6 ay**ı geçmez. Politika yükümlülüğü yoksa, imha yükümlülüğünün doğduğu tarihi izleyen **3 ay** içinde işlem tamamlanır.
11.4.4. Yedekleme sistemlerindeki kopyalar; teknik döngü tamamlanana kadar geçici olarak kalabilir, ardından imha edilir veya üzerine yazılır. Yedeklerden aktif işleme yapılmaz.
11.5. İlgili kişi talebi
11.5.1. KVKK m.11 kapsamında silme / yok etme talebinizi kvkk@merilinapp.com üzerinden iletebilirsiniz. Talepler, işleme şartlarının devam edip etmediği değerlendirilerek sonuçlandırılır; yasal saklama zorunluluğu varsa gerekçesiyle birlikte kısmen reddedilebilir.
11.5.2. Silme talebinin kabulü, rıza öncesi veya başka hukuki sebebe dayalı hukuka uygun işlemenin geçmişteki geçerliliğini etkilemez.
11.5.3. Aktarıldığı üçüncü kişilere bildirim talepleri, KVKK’nın öngördüğü şartlarda ve teknik olarak mümkün olduğu ölçüde yerine getirilir.
11.6. Süre güncellemeleri
Saklama süreleri; mevzuat, Kurul kararları, uyuşmazlık riski veya Hizmet değişikliği nedeniyle güncellenebilir. Önemli değişiklikler Metin sürümüyle duyurulur.
12. GÜVENLİK TEDBİRLERİ VE İHLAL BİLDİRİMİ
12.1. Yükümlülük
12.1.1. Veri Sorumlusu; KVKK’nın 12 nci maddesi uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almakla yükümlüdür.
12.1.2. Alınan tedbirler; işlenen verinin niteliği, işleme kapsamı, teknolojik imkânlar ve uygulama maliyeti dikkate alınarak riskle orantılıdır. İnternet ve mobil ortamda mutlak güvenlik garanti edilemez; Veri Sorumlusu makul ve güncel azami özeni gösterir.
12.1.3. Veri işleyenlerle kurulan ilişkilerde güvenlik ve gizlilik yükümlülükleri sözleşmelerle peşinleştirilir (Madde 8.3).
12.2. Teknik tedbirler (örnekleyici)
Veri Sorumlusu, risk ve mimariye uygun olarak başlıca şu teknik tedbirleri uygular veya uygulamayı hedefler:
(a) İletimde şifreleme (TLS/HTTPS veya eşdeğeri);
(b) Dinlenme hâlinde (at-rest) şifreleme veya eşdeğer koruma (sistemin elverdiği ölçüde);
(c) Güvenli oturum yönetimi, OTP tabanlı kimlik doğrulama, jeton süreleri ve yenileme kontrolleri;
(d) Erişim kontrolü, kimlik doğrulama ve yetkilendirme;
(e) Ağ ve uygulama katmanında güvenlik duvarı, hız sınırlama, bot/kötüye kullanım engelleme;
(f) Günlükleme (log), izleme ve olağandışı erişim/deneme tespiti;
(g) Düzenli yedekleme ve felaket kurtarma / iş sürekliliği planlaması;
(h) Güvenlik yamaları ve bağımlılık güncellemeleri;
(i) Test / geliştirme ortamlarında üretim verisinin mümkün olduğunca kullanılmaması veya maskelenmesi;
(j) Özel nitelikli veya yüksek riskli veriler (ör. kimlik/vergi doğrulama) için ek erişim kısıtı ve ölçülü saklama.
12.3. İdari tedbirler (örnekleyici)
(a) Kişisel veri işleme envanteri ve (yükümlülük doğduğunda) saklama-imha politikası ile uyum;
(b) Asgari yetki (need-to-know) ve görev ayrılığı ilkesi;
(c) Gizlilik ve güvenlik taahhütleri; erişim verilen kişilerde farkındalık;
(d) Veri işleyen seçiminde özen ve sözleşmesel güvenceler;
(e) İç prosedürler: başvuru cevaplama, ihlal müdahalesi, erişim yetkisi gözden geçirme;
(f) Olay müdahale (incident response) çerçevesi: tespit, sınırlama, değerlendirme, bildirim, iyileştirme;
(g) Düzenli gözden geçirme; önemli mimari veya mevzuat değişikliklerinde tedbirlerin güncellenmesi.
12.4. Kullanıcının sorumlulukları
12.4.1. Güvenlik ortak bir çabadır. Sizden beklenenler:
(a) OTP, e-posta ve cihaz kilidini gizli tutmak; üçüncü kişilerle paylaşmamak;
(b) Cihaz ve işletim sistemini güncel tutmak;
(c) Ortak / halka açık cihazlarda oturumu kapatmak;
(d) Şüpheli erişim veya hesap ele geçirilmesini derhâl destek@merilinapp.com veya kvkk@merilinapp.com üzerinden bildirmek.
12.4.2. Kullanıcının kendi cihazı, ağ ortamı veya ihmalinden kaynaklanan yetkisiz erişimlerden Veri Sorumlusu, emredici hükümler saklı kalmak kaydıyla, kural olarak sorumlu tutulamaz.
12.5. Kişisel veri ihlali bildirimi
12.5.1. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde Veri Sorumlusu; KVKK m.12/5 uyarınca bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirir. Kurul, gerekirse durumu kendi internet sitesinde veya başka bir yöntemle ilan edebilir.
12.5.2. “En kısa süre”; Kurul kararları ve uygulamada sıklıkla **72 saat** içinde Kurula bildirim beklentisiyle yorumlanır (somut olayın elverdiği ölçüde). İlgili kişiye bildirim; ihlalin riski, etkilenen veri türleri ve alınabilecek önlemler dikkate alınarak makul sürede yapılır.
12.5.3. Bildirim; ihlalin niteliği, olası sonuçları, alınan / önerilen tedbirler ve iletişim kanalları hakkında, ilgili kişinin korunmasını sağlayacak ölçüde bilgi içerir. Soruşturmayı veya güvenliği tehlikeye atacak teknik ayrıntılar sınırlı tutulabilir.
12.5.4. Veri işleyen nezdinde meydana gelen ihlallerde; sözleşmesel bildirim yükümlülükleri çerçevesinde Veri Sorumlusu’na derhâl haber verilmesi esastır; Kurul ve ilgili kişi bildirimleri Veri Sorumlusu tarafından (veya onun talimatıyla) yürütülür.
12.6. Sızma testi, zafiyet ve sorumlu açıklama
12.6.1. Veri Sorumlusu, imkânları ölçüsünde güvenlik testleri ve zafiyet değerlendirmeleri yaptırabilir.
12.6.2. İyi niyetli güvenlik araştırmacılarının sorumlu açıklama (responsible disclosure) yoluyla bildirdiği zafiyetler destek@merilinapp.com veya kvkk@merilinapp.com üzerinden incelenir. Yetkisiz erişim, veri tahribi veya hizmet engelleme teşebbüsleri hukuka aykırıdır ve yasal işleme konu olabilir.
12.7. Sınırlamalar
12.7.1. Üçüncü taraf bağımsız veri sorumlularının (reklam ağı, harita sağlayıcı vb.) kendi sistemlerindeki güvenlik olayları o tarafların sorumluluğundadır; Veri Sorumlusu haberdar olduğu ve kendi kontrolündeki ölçüde makul önlemleri alır (Madde 8.7).
12.7.2. Bu maddedeki tedbir listesi örnekleyicidir; tamamı her ortamda aynı anda uygulanmak zorunda değildir. Risk azalttıkça tedbirler artırılır veya uyarlanır.
12.7.3. Güvenlik tedbirlerinin varlığı; KVKK kapsamındaki diğer yükümlülükleri (aydınlatma, haklar, saklama vb.) ortadan kaldırmaz.
13. KVKK KAPSAMINDAKİ HAKLARINIZ (m.11)
13.1. Hak sahipliği
13.1.1. KVKK’nın 11 inci maddesi uyarınca herkes, veri sorumlusuna başvurarak kendisiyle ilgili aşağıda sayılan hakları kullanabilir. Bu haklar yalnızca gerçek kişilere aittir; tüzel kişiler KVKK kapsamında “ilgili kişi” değildir. Tüzel kişi adına hareket eden gerçek kişilerin kendi kişisel verilerine ilişkin hakları saklıdır.
13.1.2. Haklarınız; KVKK m.28’deki istisnalar (ör. kişisel verilerin resmi istatistik, araştırma, soruşturma, yargı veya benzeri amaçlarla işlenmesi hâlleri) saklı kalmak kaydıyla uygulanır.
13.1.3. Hak kullanımı, başvuru usulü, süreler ve ücret Madde 14’te; Kurula şikâyet yolu da orada düzenlenir.
13.2. Kanunda sayılan haklar
KVKK m.11 uyarınca Veri Sorumlusu’na başvurarak:
(a) Kişisel verilerinizin işlenip işlenmediğini öğrenme;
(b) Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme;
(c) Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme;
(d) Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme;
(e) Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme;
(f) KVKK ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerinizin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme;
(g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme;
(h) Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme
haklarına sahipsiniz.
13.3. Hakların kapsamına ilişkin açıklamalar
13.3.1. Bilgi talep etme (b)–(d): İşlemenin varlığı, amaçları, aktarılan alıcı grupları ve Metin’de açıklanan kapsam hakkında bilgilendirilirsiniz. Ticari sır, güvenlik veya üçüncü kişilerin haklarını ihlal edecek ayrıntılar ölçülü biçimde sınırlandırılabilir; bu durumda gerekçe bildirilir.
13.3.2. Düzeltme (e): Yanlış veya eksik verilerin düzeltilmesi için mümkün olduğunca güncel ve doğru bilgi sağlamanız gerekir. Satıcı İlan / profil bilgilerinizi uygulama üzerinden de güncelleyebilirsiniz.
13.3.3. Silme / yok etme (f): İşleme şartlarının tamamı ortadan kalkmışsa talep yerine getirilir. Yasal saklama, uyuşmazlık, güvenlik veya muhasebe yükümlülüğü devam ediyorsa talep kısmen reddedilebilir veya saklama Madde 11.3’e göre amaçla sınırlı sürdürülebilir; gerekçe bildirilir.
13.3.4. Üçüncü kişilere bildirim (e)–(f): Bildirim, KVKK’nın öngördüğü şartlarda ve teknik olarak mümkün olduğu ölçüde yapılır. Bağımsız veri sorumlusu olan üçüncü tarafların kendi sistemlerindeki işlemler için ayrıca o tarafa başvurmanız gerekebilir.
13.3.5. Otomatik analize itiraz (g): Madde 10’daki otomatik işleme ve profilleme çerçevesinde uygulanır. Platform’da münhasıran otomatik hukuki sonuç doğuran karar kural olarak yoktur; yine de itiraz hakkınız saklıdır.
13.3.6. Zararın giderilmesi (h): Kanuna aykırı işlemeden doğan zararlar için genel hükümlere (TBK vb.) ve KVKK’ya göre talepte bulunabilirsiniz. Bu madde tek başına tazminat miktarı taahhüdü değildir; uyuşmazlıkta yetkili merciler karar verir.
13.4. Açık rıza ve diğer tercihler
13.4.1. Açık rızaya dayanan işlemlerde (ör. pazarlama bildirimleri) rızanızı istediğiniz zaman geri alabilirsiniz. Rızanın geri alınması, geri alma öncesi hukuka uygun işlemenin geçerliliğini etkilemez.
13.4.2. Cihaz izinleri (konum, bildirim), reklam kimliği ve çerez tercihleri Madde 7 ve 9’daki mekanizmalarla ayrıca yönetilebilir; bunlar m.11 başvurusunun alternatifidir, yerine geçmez.
13.5. Hakların kötüye kullanılması
Aynı konuda makul sürede tekrarlayan, kimliği doğrulanamayan, açıkça hukuka aykırı veya başkasına ait veriler hakkında yetkisiz talepler; Başvuru Tebliği ve dürüstlük kuralı çerçevesinde reddedilebilir veya kimlik tevsiki istenebilir. Redde gerekçe bildirilir.
14. BAŞVURU USULÜ (KVKK m.13 VE BAŞVURU TEBLİĞİ)
14.1. Başvurunun konusu
14.1.1. Madde 13’te sayılan haklarınızı kullanmak için başvurularınızı Veri Sorumlusu’na yöneltirsiniz. Başvuru; KVKK’nın 13 üncü maddesi ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e tabidir.
14.1.2. Başvurular **Türkçe** yapılır. Tebliğ uyarınca başvuruda bulunması zorunlu unsurlar eksikse tamamlatılması istenebilir.
14.2. Başvuru kanalları
Taleplerinizi aşağıdaki yöntemlerden biriyle iletebilirsiniz:
(a) Birincil kanal: Sistemimizde kayıtlı e-posta adresinizden kvkk@merilinapp.com adresine elektronik posta;
(b) Kayıtlı elektronik posta (KEP), güvenli elektronik imza veya mobil imza ile Veri Sorumlusu’na (iletişim bilgileri Madde 2.3);
(c) Kimliğinizi tevsik edici belgelerle birlikte yazılı olarak Isparta, Türkiye adresine;
(d) Veri Sorumlusu’nun ileride sunması hâlinde, başvuru amacına yönelik uygulama içi veya web formu.
Genel destek talepleri için destek@merilinapp.com kullanılabilir; ancak KVKK başvurularında süre ve usul güvenliği bakımından kvkk@merilinapp.com tercih edilmelidir (Madde 2.8).
14.3. Başvuruda bulunması gereken bilgiler
Tebliğ m.5 uyarınca başvurunuzda en az şunlar yer almalıdır:
(a) Adınız, soyadınız ve başvuru yazılı ise imzanız;
(b) T.C. vatandaşları için T.C. kimlik numaranız; yabancı iseniz uyruğunuz, pasaport numaranız veya varsa kimlik numaranız;
(c) Tebligata esas yerleşim yeri veya iş yeri adresiniz;
(d) Varsa bildirime esas e-posta, telefon ve faks numaranız;
(e) Talep konunuz (hangi m.11 hakkına dayandığınız ve somut isteminiz).
Kimlik tevsiki; ölçülü olmalı, başvuruyu fiilen imkânsız kılacak gereksiz külfet yaratmamalıdır. Yalnızca kimlik teyidi yapılamadığı gerekçesiyle başvurunun otomatik reddi hedeflenmez; kimlik doğrulanamadığında tamamlatma istenebilir.
14.4. Başvuru tarihi
14.4.1. Yazılı başvurularda; evrakın Veri Sorumlusu’na veya temsilcisine tebliğ edildiği tarih başvuru tarihidir.
14.4.2. Diğer yöntemlerde (e-posta, KEP vb.); başvurunun Veri Sorumlusu’na ulaştığı tarih başvuru tarihidir.
14.5. İnceleme, süre ve ücret
14.5.1. Veri Sorumlusu başvuruları etkin, hukuka ve dürüstlük kuralına uygun sonuçlandırmak için gerekli idari ve teknik tedbirleri alır.
14.5.2. Talepleriniz; niteliğine göre **en kısa sürede** ve her hâlükârda en geç **otuz (30) gün** içinde ücretsiz sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu’nca belirlenen tarife uygulanabilir; ücret Veri Sorumlusu’nun hatasından kaynaklanıyorsa iade edilir.
14.5.3. Başvuru kabul edilebilir veya gerekçesi açıklanarak reddedilebilir. Cevap; yazılı veya elektronik ortamda, Tebliğ’de aranan unsurları içerecek şekilde bildirilir (Veri Sorumlusu bilgileri, başvuru sahibi kimlik/iletişim özeti, talep konusu, açıklamalar).
14.5.4. Talebin kabulü hâlinde gereği yerine getirilir. Kısmi kabul / kısmi red mümkündür (ör. yasal saklama nedeniyle silme talebinin kısmen reddi).
14.6. Temsilci ile başvuru
Başka bir kişi adına başvuru yapılıyorsa; yetkiyi gösteren özel vekâletname veya kanunen öngörülen yetki belgesi ile kimlik tevsiki istenebilir. Yetkisiz temsil hâlinde başvuru işleme alınmayabilir.
14.7. Kurula şikâyet
14.7.1. Başvurunuzun reddedilmesi, verdiğimiz cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde; KVKK m.14 uyarınca cevabı öğrendiğiniz tarihten itibaren **otuz (30) gün** ve her hâlükârda başvuru tarihinden itibaren **altmış (60) gün** içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz.
14.7.2. Kurula şikâyet, kural olarak veri sorumlusuna başvuru yolunun tüketilmesinden sonra kullanılır (Kanunun öngördüğü istisnalar saklıdır).
14.7.3. Kurul ve yargı yolları, emredici mevzuat çerçevesinde saklıdır; bu Madde 14 hak arama yollarını daraltmaz.
14.8. Başvuru dışı talepler
Hizmet, teknik arıza veya hesap kullanımıyla sınırlı destek talepleri KVKK başvurusu sayılmaz; destek@merilinapp.com üzerinden yürütülür. Bir ileti hem destek hem KVKK talebi içeriyorsa, KVKK kısmı Madde 14 usulüne göre ayrıştırılarak işlenir.
15. AÇIK RIZA, BİLDİRİMLER VE TİCARİ ELEKTRONİK İLETİLER
15.1. Aydınlatma ile açık rızanın ayrımı
15.1.1. İşbu Metin bir aydınlatma metnidir; okunması veya Kullanım Koşulları’nın kabulü tek başına KVKK anlamında açık rıza değildir (Madde 1.1.4).
15.1.2. Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır (KVKK m.3). Rıza; ilgili işleme faaliyetiyle sınırlı, açık ve geri alınabilir olmalıdır.
15.1.3. Açık rıza gerektiren işlemler (özellikle kampanya/tanıtım) uygulama içinde ayrı onay kutusu, tercih anahtarı veya eşdeğer mekanizma ile alınır. Önceden işaretli kutular veya “hepsini kabul” ile gizlenmiş pazarlama rızası kullanılmaz.
15.2. Operasyonel bildirimler ile pazarlama ayrımı
15.2.1. **Operasyonel / hizmet bildirimleri:** Hesap güvenliği, OTP, oturum, kritik Hizmet değişiklikleri, yasal metin güncellemeleri, destek talebi durumu, (Alıcı için) verdiğiniz uyarı/radar tercihlerine bağlı teknik bildirimler ve benzeri iletiler. Bunlar kural olarak sözleşmenin ifası (m.5/2-c) ve/veya meşru menfaat (m.5/2-f) kapsamında gönderilir; 6563 anlamında ticari elektronik ileti sayılmayan hâller ayrıca onay gerektirmeyebilir.
15.2.2. **Ticari elektronik iletiler / pazarlama:** Kampanya, tanıtım, indirim duyurusu, genel pazarlama veya benzeri ticari amaçlı push, e-posta, SMS veya eşdeğer iletiler. Bunlar 6563 sayılı Kanun ve ilgili yönetmelikler ile KVKK m.5/1 açık rıza rejimine tabidir; ayrı onay olmadan gönderilmez.
15.2.3. Cihaz “bildirim izni”nin açılması; yalnızca push kanalının teknik olarak kullanılabilmesini sağlar. Pazarlama içeriği için ayrıca Madde 15.2.2 rızası aranır (Madde 7.4.2).
15.3. 6563 ve İleti Yönetim Sistemi (İYS)
15.3.1. Ticari elektronik ileti onayları; yazılı veya her türlü elektronik iletişim aracıyla alınabilir. Alıcı, gerekçe göstermeksizin iletileri reddedebilir.
15.3.2. Mevzuatın zorunlu kıldığı hâllerde onay ve ret kayıtları İleti Yönetim Sistemi’ne (İYS) aktarılır; sisteme süresi içinde aktarılmayan onaylar geçersiz sayılabilir. İYS yükümlülüğünün doğduğu ölçek ve kanallarda Veri Sorumlusu bu usule uyar.
15.3.3. Ret talebi; uygulama tercihleri, iletideki opt-out, kvkk@merilinapp.com / destek@merilinapp.com veya (uygulanıyorsa) İYS / e-Devlet kanalları üzerinden kullanılabilir. Ret, mümkün olan en kısa sürede ve mevzuattaki süreler içinde işleme alınır.
15.4. Rızanın geri alınması ve tercih yönetimi
15.4.1. Açık rızanızı dilediğiniz zaman:
(a) uygulama içi bildirim / pazarlama tercih ayarlarından;
(b) (varsa) iletideki “abonelikten çık” / “ret” bağlantısından;
(c) kvkk@merilinapp.com üzerinden KVKK / rıza talebiyle
geri alabilirsiniz.
15.4.2. Rızanın geri alınması ileriye etkilidir; geri alma öncesi rızaya dayalı hukuka uygun işlemenin geçerliliğini bozmaz.
15.4.3. Pazarlama rızasını geri almanız; operasyonel bildirimleri, hesap güvenliğini veya Hizmet’in ifası için zorunlu iletişimleri otomatik olarak kapatmaz. Operasyonel kanalları tamamen kapatırsanız bazı güvenlik veya hizmet uyarılarını alamayabilirsiniz; risk size aittir.
15.4.4. Konum, reklam kimliği ve çerez tercihleri Madde 7 ve 9’daki mekanizmalarla yönetilir; pazarlama rızasından bağımsızdır.
15.5. Rıza kayıtları ve ispat
15.5.1. Açık rıza, ret ve tercih değişikliklerine ilişkin kayıtlar (zaman damgası, kanal, sürüm, cihaz/oturum özeti) ispat ve 6563/İYS uyumu için Madde 11’deki sürelerle saklanabilir.
15.5.2. Bu kayıtlar elektronik delil / delil başlangıcı niteliği taşıyabilir; kişisel veri mevzuatı saklıdır.
15.6. Zorunlu olmayan rızalar
15.6.1. Hizmet’in temel keşif işlevini kullanmak, pazarlama rızası vermenize bağlı değildir. Rıza vermemeniz yalnızca ilgili isteğe bağlı işlemin (ör. kampanya bildirimi, kişiselleştirilmiş reklamın belirli türleri) sunulmamasına yol açar.
15.6.2. Konum izni vermemek, konum gerektiren özelliklerin kısıtlanmasına yol açar; bu bir “ceza” değil, teknik ön koşuldur.
15.7. Üçüncü taraf pazarlama
Veri Sorumlusu, açık rızanız olmadan iletişim bilgilerinizi üçüncü tarafların kendi pazarlama listelerine satmaz veya bu amaçla aktarmaz. Bağımsız reklam ağlarının kendi işleme faaliyetleri Madde 8–9 kapsamındadır.
16. ÇOCUKLAR VE YAŞ
16.1. Yaş sınırı
16.1.1. Platform yalnızca **18 yaşını doldurmuş** gerçek kişilere yöneliktir. 18 yaş altı çocuklara (çocuklara yönelik hizmet olarak) tasarlanmamış ve sunulmamıştır.
16.1.2. Kullanım Koşulları’ndaki ehliyet / yaş beyanı ile bu madde birlikte uygulanır. Hizmeti kullanarak 18 yaşından büyük olduğunuzu ve kişisel verilerinizin bu Metin kapsamında işlenmesine ilişkin aydınlatmayı aldığınızı beyan edersiniz.
16.1.3. Satıcı sıfatıyla hareket ediyorsanız; ilgili işletmeyi temsil etmeye ve İlan vermeye ehil olduğunuzu ayrıca beyan edersiniz.
16.2. Bilerek çocuk verisi toplanmaması
16.2.1. Veri Sorumlusu, 18 yaş altındaki kişilerden bilerek kişisel veri toplamaz, bilerek pazarlama izni almaz ve bilerek çocuklara yönelik profilleme veya kişiselleştirilmiş reklam yapmaz.
16.2.2. Platform’da yaş veya kimlik için ayrı bir zorunlu doğrulama (ör. kimlik belgesi ile yaş teyidi) kural olarak yapılmaz; beyanınıza güvenilir. Bu, bilerek çocuk verisi topluma iradesi anlamına gelmez.
16.3. Tespit ve müdahale
16.3.1. Bir kullanıcının 18 yaşından küçük olduğu; ebeveyn, vasi, ilgili kişi, yetkili merci bildirimi veya makul başka yollarla Veri Sorumlusu’nun bilgisine geldiğinde:
(a) ilgili hesaba / oturuma erişim derhâl kısıtlanır veya sonlandırılır;
(b) çocukla ilişkilendirilebilen kişisel veri işleme durdurulur;
(c) veriler KVKK m.7 ve Silme-İmha Yönetmeliği uyarınca silinir, yok edilir veya anonim hâle getirilir;
(d) yasal saklama zorunluluğu (ör. uyuşmazlık, güvenlik olayı ispatı) varsa yalnızca o amaçla ve ölçülü süreyle muhafaza edilir (Madde 11.3).
16.3.2. Yanlış yaş beyanı nedeniyle doğabilecek sonuçlardan Veri Sorumlusu, emredici hükümler saklı kalmak kaydıyla, kural olarak sorumlu tutulamaz; tespit sonrası Madde 16.3.1 uygulanır.
16.4. Ebeveyn / vasi başvuruları
18 yaş altı olduğu iddia edilen bir kişiye ait verinin silinmesi veya erişimin kesilmesi için ebeveyn, vasi veya kanuni temsilci; kimliğini ve yetkisini tevsik ederek kvkk@merilinapp.com üzerinden başvurabilir. Başvuru Madde 14 usulüne tabidir.
16.5. Reklam, analitik ve pazarlama
16.5.1. 18 yaş altı kullanıcılara yönelik bilerek reklam, yeniden pazarlama veya ilgi alanına dayalı profilleme yapılmaz.
16.5.2. Genel analitik ve güvenlik logları yaş bilgisi içermeksizin teknik olarak toplanabilir; çocuk olduğu anlaşılan kayıtlara Madde 16.3 uygulanır.
16.6. Üçüncü kişi içeriği
Satıcı veya diğer kullanıcıların İlan / içeriklerinde bilerek çocuklara ait özel nitelikli veya kimliği belirlenebilir kişisel veri yayımlaması yasaktır. Tespit hâlinde içerik kaldırılabilir; sorumluluk yükleyene aittir.
17. SORUMLULUK SINIRI, ÜÇÜNCÜ TARAFLAR VE PLATFORM DIŞI İŞLEMLER
17.1. Emredici hükümler saklıdır
17.1.1. Bu madde; KVKK ve ilgili mevzuatın Veri Sorumlusu’na yüklediği emredici yükümlülükleri (aydınlatma, güvenlik, başvuru cevaplama, ihlal bildirimi, saklama-imha vb.) ortadan kaldırmaz, daraltmaz veya feragat konusu yapmaz.
17.1.2. Metin’deki herhangi bir sınırlama; emredici hukuka aykırı olduğu ölçüde uygulanmaz. Bu durumda sınırlama, emredici hükmün izin verdiği en geniş ölçüde geçerliliğini korur (ayrılabilirlik).
17.1.3. KVKK m.11/1-(h) ve genel hükümlere göre kanuna aykırı işlemeden doğan zararların giderilmesi talepleri saklıdır; bu madde o hakları yok saymaz.
17.2. Platform’un niteliği ve veri kapsamı
17.2.1. Platform bilgilendirme / keşif hizmetidir; sipariş, ödeme, teslimat veya mesafeli satış altyapısı değildir (Madde 3.2). Bu nedenle Veri Sorumlusu; Alıcı–Satıcı arasında Platform dışında kurulan ticari ilişkinin tarafı veya o ilişkideki kişisel veri işleme faaliyetinin veri sorumlusu değildir.
17.2.2. Satıcı kaynaklı İlan, fiyat, indirim, stok, alerjen, hijyen veya iletişim bilgilerinin doğruluğu Satıcı’ya aittir. Veri Sorumlusu bu içerikleri genel olarak önceden denetlemekle yükümlü değildir; hukuka aykırı içerikte kaldırma yetkisi saklıdır.
17.3. Üçüncü taraf hizmetler ve bağımsız veri sorumluları
17.3.1. Harita, bildirim (FCM), barındırma, OTP, analitik, reklam (AdMob vb.) ve benzeri Üçüncü Taraf Hizmet’ler Madde 8–9’da açıklanır.
17.3.2. Bağımsız veri sorumlusu sıfatıyla hareket eden üçüncü tarafların kendi sistemleri, politikaları veya güvenlik olaylarından doğan sonuçlardan Veri Sorumlusu; kendi seçim ve talimat alanındaki kusuru ile emredici hükümler saklı kalmak kaydıyla, kural olarak sorumlu tutulamaz.
17.3.3. Veri işleyen nezdindeki işlemlerden doğan sorumluluk; KVKK, sözleşmeler ve kusur durumuna göre belirlenir. Veri Sorumlusu işleyen seçiminde ve sözleşmesel güvencelerde özen göstermeyi hedefler (Madde 8.3, 12.3).
17.4. Platform dışı iletişim ve bağlantılar
17.4.1. Platform’daki telefon, mesaj, e-posta, web, harita yol tarifi veya sosyal medya bağlantıları aracılığıyla başlattığınız Platform dışı iletişim ve ziyaretlerden; bu kanallarda paylaştığınız kişisel verilerden Veri Sorumlusu sorumlu değildir.
17.4.2. Üçüncü taraf web siteleri veya uygulamaların gizlilik uygulamaları kendi metinlerine tabidir. Dış bağlantı, o tarafın uygulamalarının onaylandığı anlamına gelmez.
17.5. Hizmetin “olduğu gibi” sunulması
17.5.1. Platform ve veri işleme altyapısı; kesintisiz, hatasız, gecikmesiz veya tüm cihaz/OS sürümleriyle tam uyumlu olacak şekilde garanti edilmez.
17.5.2. Planlı bakım, mücbir sebep, üçüncü taraf kesintisi, ağ arızası veya güvenlik önlemi nedeniyle geçici erişim kısıtları uygulanabilir. Emredici KVKK yükümlülükleri saklıdır.
17.6. Kullanıcı yükümlülükleri
17.6.1. Kullanıcı; OTP/e-posta/cihaz güvenliğini sağlamak, doğru bilgi vermek, başkasına ait veriyi hukuka aykırı yüklememek ve şüpheli erişimi bildirmekle yükümlüdür (Madde 5.1.4, 12.4).
17.6.2. Kullanıcının kendi kusuru, ihmali veya Kullanım Koşulları / Metin ihlalinden doğan sonuçlardan Veri Sorumlusu sorumlu tutulamaz.
17.6.3. Kullanıcı; kendi içerik veya kullanımından kaynaklanan üçüncü kişi taleplerine karşı, emredici hukukun izin verdiği ölçüde Veri Sorumlusu’nu zararsız tutmayı kabul eder (tazminat / rücu – Kullanım Koşulları’ndaki ilgili hükümlerle birlikte).
17.7. Sorumluluğun kapsamı (sözleşme / haksız fiil iddiaları)
17.7.1. Emredici hükümler saklı kalmak kaydıyla; Veri Sorumlusu’nun Metin veya Hizmet’ten doğan sorumluluğu, kanunen yasaklanmayan ölçüde, doğrudan kusuruna atfedilebilen ve ispatlanan zararlarla sınırlıdır.
17.7.2. Dolaylı, spekülatif, kâr kaybı, veri kaybı (kullanıcı yedeği olmayan hâller), itibar veya cezai nitelikteki talepler; emredici hukukun yasakladığı hâller dışında ileri sürülemez.
17.7.3. Tüketici işlemi niteliği taşıyan hâllerde 6502 sayılı Kanun’un emredici hükümleri saklıdır.
17.8. Kullanım Koşulları ile ilişki
Hizmetin kullanımı, askıya alma, fesih ve genel sözleşme sorumluluğu Kullanım Koşulları’nda düzenlenir. Kişisel veri işleme bakımından işbu Metin ve KVKK önceliklidir; çelişmeyen hükümler birlikte uygulanır.
18. DEĞİŞİKLİKLER
18.1. Güncelleme hakkı
18.1.1. Veri Sorumlusu; mevzuat değişikliği, Kurul kararları, Hizmet kapsamı, güvenlik, üçüncü taraf altyapı veya meşru işletme ihtiyacı nedeniyle işbu Metin’i güncelleyebilir.
18.1.2. Güncel sürüm Platform içinde ve https://merilinapp.com/legal/privacy adresinde yayımlanır. Sürüm numarası 1.3.0 ve yürürlük tarihi Metin başlığında gösterilir.
18.2. Bildirim
18.2.1. Kişisel veri işleme faaliyetlerini önemli ölçüde etkileyen değişiklikler; makul süreyle uygulama içi bildirim, kalıcı duyuru ve/veya e-posta ile duyurulur.
18.2.2. “Önemli” değişiklik örnekleri: yeni amaç veya veri kategorisi, yeni yurt dışı aktarım mekanizması, pazarlama / açık rıza rejiminde esaslı değişiklik, veri sorumlusu kimliğinde değişiklik.
18.2.3. Biçimsel, açıklayıcı veya kullanıcı aleyhine olmayan düzenlemeler yayımlanmakla yürürlüğe girebilir; ayrıca bildirim zorunlu değildir.
18.3. Kabul, devam eden kullanım ve yeniden rıza
18.3.1. Duyuru sonrası Platform’u kullanmaya devam etmeniz; güncel Metin kapsamında aydınlatıldığınız anlamına gelir.
18.3.2. Kanun gereği ayrıca açık onay / açık rıza gereken hâllerde (ör. yeni pazarlama amacı, belirli yurt dışı aktarım istisnası) ilgili ayrı onay mekanizması uygulanır; devam eden kullanım tek başına bu rızanın yerine geçmez.
18.3.3. Güncel Metin’i kabul etmiyorsanız Platform’u kullanmayı bırakmalı, uygulamayı silmeli ve varsa hesabınızı kapatmalısınız. Hesap silme / saklama Madde 11.3’e tabidir.
18.4. Önceki sürümler
Önceki sürümlerin arşiv kayıtları Veri Sorumlusu’nda tutulabilir. Uyuşmazlıkta; ilgili işleme anında yürürlükte olan veya size gösterilen / kabul kaydı alınan sürüm esas alınır.
18.5. Süreç bazlı ek aydınlatma
Belirli özellikler için yayımlanan ek aydınlatma metinleri, ilgili süreç bakımından işbu Metin’i tamamlar; çelişkide daha özel ve güncel metin önceliklidir (Madde 1.6.3).
19. UYGULANACAK HUKUK, DİL VE İLETİŞİM
19.1. Uygulanacak hukuk
19.1.1. İşbu Metin ve kişisel veri işleme faaliyetleri; başta 6698 sayılı KVKK ve ilgili ikincil mevzuat olmak üzere Türkiye Cumhuriyeti hukukuna tabidir.
19.1.2. Kullanım Koşulları’ndaki yetki ve uyuşmazlık hükümleri, sözleşme uyuşmazlıkları bakımından saklıdır. KVKK kapsamındaki Kurul’a şikâyet ve yasal başvuru yolları Madde 14.7 uyarınca saklıdır; bu madde o yolları daraltmaz.
19.2. Dil ve yorum
19.2.1. Metin’in aslı Türkçedir. Çeviriler yalnızca kolaylık içindir; çelişkide Türkçe metin üstündür.
19.2.2. Başlıklar kolaylık içindir; yorumda bağlayıcı değildir. Tanımlar Madde 4’tedir.
19.2.3. Metin’deki bir hükmün geçersiz sayılması diğer hükümleri etkilemez; geçersiz hüküm emredici hukuka en yakın geçerli hükümle ikame edilmiş sayılır.
19.3. Metnin bütünlüğü
19.3.1. İşbu Metin; Platform’a ilişkin Gizlilik Politikası ve KVKK aydınlatma yükümlülüğünün yerine getirilmesine dair esas metindir. Önceki sözlü veya yazılı genel gizlilik açıklamalarının yerine, yürürlükteki sürüm geçer.
19.3.2. Kullanım Koşulları, (varsa) Çerez Politikası ve süreç bazlı aydınlatmalar tamamlayıcı belgelerdir (Madde 1.6).
19.4. İletişim
19.4.1. KVKK başvuruları ve kişisel verilere ilişkin talepler: kvkk@merilinapp.com
19.4.2. Genel destek: destek@merilinapp.com
19.4.3. Posta / tebligat adresi: Isparta, Türkiye
19.4.4. Web: https://merilinapp.com · Gizlilik: https://merilinapp.com/legal/privacy · Kullanım koşulları: https://merilinapp.com/legal/terms
19.4.5. Veri Sorumlusu kimliği ve kanallar Madde 2’de; başvuru usulü Madde 14’te ayrıntılıdır.
— Metin sonu —
Sürüm 1.3.0 | Yürürlük 13 Ekim 2026 | Merilin Yemek