1. Veri Sorumlusu
Greenwich Coffee Kahve Operasyon A.Ş. (Uluçınar V.D. · VKN 4111239574) · Adres: [eklenecek] · MERSİS: [eklenecek] · VERBİS: [eklenecek] · İletişim: kvkk@greenwichcoffee.io · KEP: [eklenecek]
Kapsam: Greenwich OS kullanan çalışanlar, yöneticiler ve franchise yetkilileri. Müşteriler için ayrı Müşteri Aydınlatma Metni vardır.
2. İşlenen kişisel veriler
| Kategori | Veriler |
|---|---|
| Kimlik ve iletişim | Ad soyad, kurumsal e-posta, telefon, rol, şube |
| Özlük | İşe giriş tarihi, SGK giriş/çıkış tarihi, doğum tarihi, pozisyon, sözleşme tipi, haftalık çalışma hedefi. T.C. kimlik numarası OS içinde tutulmaz. |
| Sağlık (özel nitelikli) | Portör muayenesi, periyodik sağlık kontrolü gibi mevzuatın gerektirdiği sağlık belgeleri ve bitiş tarihleri |
| Eğitim ve belge | Hijyen, İSG ve mesleki eğitim sertifikaları, sınav sonuçları |
| Puantaj ve vardiya | Vardiya planı, mesai giriş/çıkış saatleri, doğrulama yöntemi (QR, cihaz anahtarı), fazla mesai, izin kayıtları |
| Konum ve cihaz | Mesai ve denetim başlangıcında anlık konum (yalnız şube sınırı doğrulaması, sürekli takip yok); cihaz doğrulamasında yalnız açık anahtar (biyometrik veri cihazda kalır, sunucuya gelmez) |
| Performans ve iş kayıtları | Günlük kişisel hedefler ve gerçekleşme, satış işlemleri, form/denetim/CAPA kayıtları, zayi/ikram/gider kayıtları, onay geçmişi |
| Görsel kayıtlar | Görev kanıtı fotoğrafları; kamera denetiminden çıkan bulgu görüntüleri |
| İşlem güvenliği | Oturum kayıtları, IP (maskeli), tarayıcı ve cihaz bilgisi, MFA, bildirim aboneliği (cihaz uç noktası) |
3. Amaçlar
- İş sözleşmesinin ifası: vardiya, puantaj, izin, bordroya esas verilerin mali müşavire iletilmesi
- Gıda güvenliği ve İSG yükümlülükleri: portör ve hijyen belge takibi, denetim ve düzeltici faaliyet
- Operasyon yönetimi: satış, stok, gün sonu, onay süreçleri, performans hedefleri
- Güvenlik: yetkisiz erişimin ve suistimalin önlenmesi (dört göz kuralı, işlem kayıtları)
- Yasal yükümlülükler: vergi, iş ve sosyal güvenlik mevzuatı
4. Hukuki sebepler
| Veri | Hukuki sebep |
|---|---|
| Kimlik, iletişim, özlük, puantaj, iş kayıtları | Sözleşmenin ifası (md. 5/2-c), hukuki yükümlülük (md. 5/2-ç) |
| Sağlık belgeleri | İstihdam ve iş sağlığı-güvenliği alanındaki hukuki yükümlülüklerin yerine getirilmesi (md. 6/3-e) |
| Konum, işlem güvenliği, kamera bulguları, performans hedefleri | Meşru menfaat (md. 5/2-f) |
| Hata izleme (hata kaydı, teknik iz, cihaz/tarayıcı türü; çerezsiz, ad/e-posta gönderilmez) | Meşru menfaat (md. 5/2-f) — sistemin güvenli ve kesintisiz çalışması; kapatılamaz |
| Performans ölçümü ve hata anı ekran kaydı (metinler maskeli) | Açık rıza (md. 5/1) — çerez tercihlerinden, istendiğinde geri alınır |
| Metin onayı kaydı (kim, hangi sürüm, zaman, maskeli IP, tarayıcı) | Sözleşmenin ifası (md. 5/2-c) ve bir hakkın tesisi, kullanılması veya korunması (md. 5/2-e) |
5. Aktarım
| Alıcı | Yer | Amaç ve veri |
|---|---|---|
| Supabase, Inc. | AB (Frankfurt) | Veritabanı, kimlik doğrulama, dosya depolama — tüm uygulama verisi |
| Anthropic PBC (yapay zekâ) | ABD | Z raporu, fatura, irsaliye ve kanıt fotoğrafının okunması; SOP asistanı. Veri model eğitiminde kullanılmaz. Yurt dışı aktarım KVKK md. 9 kapsamındaki güvencelerle yapılır |
| Sentry (Functional Software, Inc.) | AB | Hata kayıtları (meşru menfaat); performans ölçümü ve maskeli hata anı ekran kaydı yalnız açık rızayla |
| Netlify, Inc. | Küresel CDN | Uygulama dosyaları (kişisel veri yok) |
| Bildirim servisleri (Google, Apple, Microsoft) | Yurt dışı | Yalnız şifreli bildirim içeriği ve cihaz uç noktası — bildirim izni verenler için |
| Mali müşavir | Türkiye | Bordro hazırlığı için puantaj, izin, prim ve yan hak verisi |
| Franchise sahibi | Türkiye | Kendi şubesinin operasyon verisi |
| Yetkili kamu kurumları | Türkiye | Yasal zorunluluk halinde |
6. Saklama süreleri
| Veri | Süre |
|---|---|
| Özlük, puantaj, izin | İş ilişkisi + 10 yıl |
| Sağlık belgeleri | İş ilişkisi + 15 yıl |
| Denetim, CAPA, form kayıtları | 5 yıl |
| Satış ve mali kayıtlar | 10 yıl (VUK) |
| Kamera bulgu görüntüleri | 2 yıl |
| Günlük hedefler | 2 yıl |
| Oturum ve erişim logları | 2 yıl |
| Sistem yedekleri | Sistem yedekleri şifreli olarak saklanır ve 90 gün sonunda otomatik silinir (silinen ya da anonimleştirilen veri yedeklerden de en geç bu sürede çıkar) |
| Yapay zekâ sağlayıcısındaki geçici kopya | Sağlayıcının ticari koşullarındaki sınırlı süre (en çok 30 gün) |
7. Otomatik karar
Yapay zekâ önerileri ve otomatik skorlar (şube skoru, risk, fire analizi) yalnız bilgi amaçlıdır; sizin hakkınızda sonuç doğuran kararlar yetkili bir kişi tarafından verilir. Münhasıran otomatik analize itiraz hakkınız saklıdır.
8. Güvenlik
- TLS şifreleme, rol ve şube bazlı satır güvenliği
- Yönetici hesaplarında çok faktörlü doğrulama
- Müşteri iletişim bilgileri maskeli; açma yalnız yetkili ve kayıtlı
- Günlük platform yedeği (7 gün) ve haftalık uygulama yedeği
- Erişim ve işlem kayıtları
Haklarınız ve başvuru
KVKK md. 11 kapsamındaki haklarınızı (bilgi talep etme, düzeltme, silme, itiraz, zararın giderilmesi) uygulamada Profil → Veri Haklarım, kvkk@greenwichcoffee.io, KEP ya da noter aracılığıyla kullanabilirsiniz. Başvurular kimlik teyidinden sonra en geç 30 gün içinde yanıtlanır.