Gizlilik Politikası ve KVKK Aydınlatma Metni

Son güncelleme: 29 Eylül 2026

Bu metin, tapiko.app'da (müşterinin tarayıcıda açtığı Tapiko kartı ve işletme paneli dahil) ve Tapiko mobil uygulamasında kişisel verilerin nasıl toplandığını, neden işlendiğini, kimlerle paylaşıldığını, ne kadar saklandığını ve 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamındaki haklarınızı nasıl kullanacağınızı anlatır. Damga kartı kullanan müşterileri, siteyi ziyaret edenleri, işletme sahiplerini ve personelini ve bize yazan herkesi kapsar.

Bu metni okumanız bir onay vermeniz anlamına gelmez. Açık rızaya dayanan tek işlem (yurt dışına aktarım, bkz. madde 10) için onayınız ayrıca, ayrı bir kutuyla alınır.

1. Veri sorumlusu

Veri sorumlusu Cevdet Aslan (Pendik V.D. 0870214606), Kurtköy Mah. Ankara Cad. Yelken Plaza No: 289 İç Kapı No: 21, Pendik / İstanbul adresinde mukim işletmedir ("Tapiko", "biz"). Telefon: +90 539 322 17 37. Her türlü başvuru için: info@tapiko.app

2. Tapiko ile işletmelerin rolleri

Hesapların açılması, giriş, damganın doğrulanması, platformun güvenliği, abonelik ve faturalandırma gibi işlemlerin amacını ve yöntemini biz belirleriz; bunlar bakımından veri sorumlusu biziz.

Tapiko'i kullanan her işletme ise kendi sadakat programının kurallarını, ödülünü, müşterilerine gönderdiği duyuruları ve kendi müşteri ilişkisini kendisi belirler; bu faaliyetler bakımından işletme de ayrıca veri sorumlusudur. Bir işletmenin kendi kampanyası veya kendi müşteri ilişkisiyle ilgili talebinizi o işletmeye iletmeniz gerekebilir; bize yazarsanız doğru adrese ulaşmanıza yardımcı oluruz.

3. Hangi verileri işliyoruz?

Hesap bilgileri

E-posta adresiniz, adınız ve — varsa — profil fotoğrafınız; telefon numarasıyla giriş yaptıysanız telefon numaranız. Apple ya da Google ile girişte bu hizmetlerin bize ilettiği ad ve e-posta kullanılır; bu hesapların şifresi bize hiç ulaşmaz. İsterseniz Profil sayfasında doğum gününüzü (yalnızca gün ve ay, yıl değil) eklersiniz; bu, doğum günü hediyesi veren mekânların size o gün hediye bırakabilmesi içindir, zorunlu değildir ve dilediğiniz an silinebilir. Kimlik doğrulama altyapımız Clerk tarafından sağlanır; şifreniz bizim sunucularımızda tutulmaz.

Konum

Bir damga alınırken telefonunuzun konumu, o an bulunduğunuz şubenin yakınında olup olmadığınızı doğrulamak için okunur. Bu, damga sahteciliğini engelleyen tek mekanizmadır. Konumunuz bir iz olarak saklanmaz; kontrol anında kullanılır ve damga kaydına yazılmaz. Konumunuz yalnızca damgalayıcıya dokunduğunuz anda, tarayıcınızın size sorduğu izinle okunur; başka hiçbir zaman okunmaz. Kasadaki ekranda gösterilen karekodu okutarak aldığınız damgalarda konum hiç okunmaz. Konum iznini tarayıcınızın ya da telefonunuzun ayarlarından istediğiniz an kapatabilirsiniz.

Damga ve ödül kayıtları

Hangi şubeden, ne zaman, kaç damga aldığınız, damganın nasıl doğrulandığı (damgalayıcı, karekod veya kasa ekranı), damgayı veren personel (karekodla verilen damgalarda), hangi ödülü ne zaman kullandığınız ve bunlardan kazandığınız rozetler kaydedilir. Bu kayıt hem sizin kartınızın hem de işletmenin defterinin ta kendisidir.

Karekodunuz ve Cüzdan kartınız

Karekodunuzu üretmek için hesabınıza özel bir anahtar oluşturulur. Kartınızı Apple Cüzdan'a veya Google Cüzdan'a eklerseniz kart için bir kimlik ve güncellemeler için bir erişim anahtarı oluşturulur; Apple Cüzdan'da ayrıca cihazınızın Apple tarafından verilen kayıt kimliği ve kartı güncellemek için kullanılan bildirim anahtarı saklanır.

Bildirimler

Bildirimlere izin verirseniz tarayıcınızın bildirim aboneliği (bir bildirim adresi ve şifreleme anahtarları) ya da mobil uygulamada telefonunuzun bildirim anahtarı (push token) ve cihaz türü saklanır. Gelen kutunuzdaki mesajların okunup okunmadığı da kaydedilir.

Cihazınızda saklananlar

Karekodunuz internet olmadan da gösterilebilsin diye, karekodu üreten kişisel anahtarınız ve kartlarınızın listesi bu tarayıcının kendi deposunda tutulur; Kartlarım sayfası da çevrimdışı açılabilsin diye tarayıcınızda önbelleğe alınır. Çıkış yapmak ya da tarayıcı verilerini silmek bunları kaldırır. Ayrıntılar Çerez Politikası'ndadır.

Takip ödülü ve bağlantı tıklamaları

Bir işletmenin sosyal medya hesabını takip ederek ek damga aldığınızda, hangi şubede hangi kanal için bu ödülü aldığınız kaydedilir. Kartınızdan bir işletmenin sosyal medya bağlantısına tıkladığınızda hangi kanala ne zaman tıkladığınız kaydedilir ve işletme bunu adınızla görebilir. Google değerlendirme bağlantısına yapılan tıklamalar ise kim tarafından yapıldığı kaydedilmeden, yalnızca sayı olarak tutulur.

İşletme sahipleri ve personel

İşletme sahipleri kayıt sırasında ad soyad, telefon, işletme türü ve isteğe bağlı olarak bizi nereden duyduklarını; şube adı, adresi, konumu, çalışma saatleri ve sosyal medya hesapları gibi işletme bilgilerini; fatura için unvan, vergi dairesi ve vergi numarası (şahıs işletmelerinde bu, T.C. kimlik numarası olabilir), ticaret sicil numarası, fatura adresi ve e-postası ile damgalayıcı kitinin gönderileceği teslimat adresini verir. Şube bilgilerinin bir kısmı, işletme sahibinin seçtiği Google Haritalar kaydından doldurulur. Personel, işletme sahibinin kendisini davet ederken yazdığı adla, e-posta adresiyle ve rolüyle (Personel, Yönetici, Admin) kaydedilir; personelin yaptığı karekod işlemleri kendi adıyla işaretlenir.

Ödeme bilgileri

Abonelik ödemelerinde kart bilgileri, Abonelik sayfasındaki formdan doğrudan lisanslı ödeme kuruluşu PayTR'ye gönderilir; sunucularımıza ulaşmaz. Biz yalnızca ödemenin tutarını, zamanını, sonucunu, PayTR'nin yenileme için verdiği kart referansını ve PayTR'nin güvenlik kontrolü için istediği, ödemeyi yapanın IP adresini saklarız.

Destek ve iletişim

Bize e-posta veya telefonla ulaştığınızda adınız, iletişim bilginiz ve yazışmanın içeriği, talebiniz sonuçlanana ve olası bir uyuşmazlıkta gerektiği sürece saklanır.

Otomatik toplanan teknik veriler

İstek kayıtlarında IP adresi, cihaz ve tarayıcı bilgisi, zaman damgaları ve hata kayıtları gibi standart teknik veriler oluşur. Bunlar güvenlik, kötüye kullanımın önlenmesi ve hata ayıklama amacıyla kullanılır. Sitede reklam amaçlı ya da sizi başka sitelerde izleyen bir takip aracı kullanmıyoruz. Tanıtım sayfalarının ve işletme kurulumunun kaç kez açıldığını, çerez kullanmayan ve bize yalnızca toplam sayıları gösteren Vercel Web Analytics ile sayıyoruz (bkz. Çerez Politikası, madde 3a). Damgalayıcı bağlantısının kaç kez açıldığını da kendi veritabanımızda, kişi bilgisi olmadan, yalnızca şube ve gün başına bir sayı olarak tutarız.

4. Verileri nasıl topluyoruz?

Verileri doğrudan sizden (kayıt ve profil formları, damga ve ödül işlemleri), giriş için kullandığınız Apple, Google veya telefon doğrulaması üzerinden, tarayıcınızdan (konum, yalnızca izin verdiğinizde ve damga anında), işletme sahibinin seçtiği Google Haritalar kaydından ve ödemelerde PayTR'den; elektronik ortamda, otomatik veya kısmen otomatik yollarla topluyoruz.

5. Neden işliyoruz ve hukuki sebebimiz nedir?

6. İşletmeler sizinle ilgili neyi görür?

Kartınızın bulunduğu işletme, yalnızca kendi şubelerindeki ilişkinizi görür: adınızı, o işletmeye ne zaman katıldığınızı, orada topladığınız damga sayısını, tamamladığınız kartları, bekleyen hediyelerinizi, son ziyaret tarihinizi, o işletmedeki müşteri grubunuzu (bkz. madde 8) ve kartınızdan tıkladığınız sosyal medya bağlantılarını. E-posta adresiniz, telefon numaranız ve doğum gününüz işletmeye gösterilmez.

İşletmeler birbirinin müşterisini göremez; bir işletmedeki geçmişiniz başka bir işletmeye gösterilmez. İşletmenin size duyuru göndermesi yalnızca Tapiko'in gelen kutusu ve izin verdiyseniz bildirim üzerinden olur; işletme bu yolla iletişim bilgilerinize erişmez.

7. Damganın doğrulanması

Bir sadakat kartında başkasının adına damga veya ödül işlemi yapılması hem işletmeyi hem de sizi yanıltan hatalı bir kayıt demektir. Bu yüzden bir damga yalnızca şu yollardan biriyle verilir: hesabınıza giriş yapılmışken şubenin yakınında damgalayıcıya dokunmak, personelin sizin telefonunuzdaki ve kısa sürede yenilenen karekodu okutması ya da kasadaki ekranda gösterilen tek kullanımlık karekodu kendi telefonunuzla okutmak. Bir kişinin adını, telefon numarasını veya başka sabit bir bilgisini söylemek damga almak için yeterli değildir. Aynı işlemin tekrarlanması veritabanı düzeyinde engellenir; şüpheli veya hatalı işlemler düzeltilebilir ya da geri alınabilir.

8. Müşteri grupları ve otomatik analiz

İşletmeye, müşterilerini ziyaret sayısına göre gruplar hâlinde gösteririz: Yeni (bir ziyaret), Düzenli (2–4), Müdavim (5 ve üzeri) ve Uykuda (30 gündür ziyaret yok). Bu gruplar yalnızca o işletmedeki ziyaretlerinizden hesaplanır ve işletmenin duyurusunu hangi müşterilere göndereceğini seçmesi için kullanılır. Hakkınızda hukuki sonuç doğuran veya sizi benzer ölçüde etkileyen, yalnızca otomatik sistemlere dayanan bir karar almayız.

9. Kiminle paylaşıyoruz?

İşletmeler

Damga aldığınız işletme, madde 6'da sayılan bilgileri görür.

Hizmet sağlayıcılarımız

Hizmeti sunmak için çalıştığımız ve verileri yalnızca bizim adımıza işleyen sağlayıcılar:

• Clerk — kimlik doğrulama ve hesap yönetimi.
• Neon — veritabanı (PostgreSQL).
• Vercel — uygulama sunucusu, işletme logolarının depolanması ve tanıtım sayfalarının çerezsiz ziyaret sayımı.
• Tarayıcınızın bildirim hizmeti (Apple, Google ya da Mozilla) — bildirimleri tarayıcınıza iletir; içerik bu hizmete şifreli olarak gönderilir.
• Apple ve Google — kartınızı Apple Cüzdan'a veya Google Cüzdan'a eklerseniz kartın oluşturulması ve güncellenmesi.
• Expo — Tapiko mobil uygulamasını kullanıyorsanız bildirimlerin telefonunuza iletilmesi.
• PayTR — abonelik ödemeleri (yalnızca işletmeler için).
• Resend — işletmelere giden e-postalar (davet, ödeme ve haftalık özet).
• Meta (WhatsApp) — işletme sahibine haftalık özet mesajı.
• Google Places — işletme sahibi şubesini ararken; müşteri verisi gönderilmez.
• Kargo şirketi — damgalayıcı kitinin gönderimi için işletmenin teslimat adresi ve iletişim bilgisi.

Yetkili kurum ve kuruluşlar

Kanunen zorunlu olduğunda veya hukuka uygun bir talep olduğunda mahkemeler, savcılıklar, kolluk ve vergi makamları gibi yetkili kurumlarla, yalnızca talep edilen kapsamda paylaşırız.

Danışmanlar ve şirket işlemleri

Muhasebe, denetim ve hukuki danışmanlık için sır saklama yükümlülüğü olan danışmanlarımızla; olası bir birleşme, devir veya yatırım sürecinde gizlilik taahhüdü altındaki taraflarla gerektiği kadar paylaşabiliriz.

Kişisel verilerinizi reklam amacıyla kimseye satmıyoruz, kiralamıyoruz, aktarmıyoruz.

10. Yurt dışına aktarım

PayTR ve kargo şirketi dışındaki sağlayıcıların sunucuları Türkiye dışındadır (ağırlıklı olarak ABD ve Avrupa Birliği); bu nedenle verileriniz yurt dışına aktarılır. Bu aktarım, KVKK'nın 9. maddesi uyarınca açık rızanıza dayanır. Rızanızı hesap oluştururken — ya da Apple veya Google ile ilk girişinizden sonra — ayrı bir onay kutusuyla verirsiniz; verdiğiniz an hesabınıza kaydedilir. Bu metnin kabulü tek başına aktarım rızası sayılmaz. Aktarılan veri, ilgili hizmetin gerektirdiğiyle sınırlıdır.

Rızanızı dilediğiniz an info@tapiko.app adresine yazarak geri alabilirsiniz. Hizmet bu sağlayıcılar olmadan sunulamadığı için rızanın geri alınması hesabınızın kapatılması sonucunu doğurur; geri almadan önce yapılmış aktarımlar bundan etkilenmez.

11. Çerezler ve cihazda saklama

Yalnızca oturumunuzu açık tutmak ve kartınızı çevrimdışı gösterebilmek için zorunlu olan çerezleri ve tarayıcı depolamasını kullanırız; analitik, reklam veya takip çerezi kullanmayız; ziyaret sayımımız çerez kullanmaz. Ayrıntılar: Çerez Politikası.

12. Ticari iletiler

Hesabınız, ödemeniz ve güvenliğinizle ilgili bildirimler hizmetin parçasıdır ve pazarlama iletisi sayılmaz. Size Tapiko adına pazarlama e-postası veya SMS'i göndermiyoruz; ileride gönderirsek bunu yalnızca ayrıca vereceğiniz izinle ve İleti Yönetim Sistemi (İYS) dahil ilgili mevzuata uygun şekilde yaparız.

Kartınızın bulunduğu işletmelerin duyuruları gelen kutunuza düşer; bildirim olarak gelmeleri, verdiğiniz bildirim iznine bağlıdır ve bu izni dilediğiniz an kapatabilirsiniz. Duyurunun içeriğinden ve ilgili mevzuata uygunluğundan gönderen işletme sorumludur.

13. Ne kadar süreyle saklıyoruz?

Verileriniz işlenme amacının gerektirdiği süre boyunca, hesabınız açık olduğu ve işletmeyle sözleşmemiz sürdüğü müddetçe saklanır. Amaç ortadan kalktığında veriler silinir, yok edilir veya anonim hâle getirilir. İşletmelere ait fatura ve ödeme kayıtları Vergi Usul Kanunu ve Türk Ticaret Kanunu'nun öngördüğü yasal süreler boyunca (genel olarak 10 yıl) saklanır. Yedeklerdeki veriler, yedekleme döngüsü içinde erişimi kısıtlı olarak kalır ve döngü tamamlandığında silinir. Geri döndürülemeyecek şekilde anonimleştirilmiş veriler, kişisel veri niteliği taşımadığından istatistik amacıyla saklanabilir.

14. Hesabınızı silmek

Hesabınızı Profil sayfasından (tapiko.app/profil) ya da Hesap Silme sayfasında anlatıldığı gibi e-postayla sildirebilirsiniz. Silindiğinde adınız, e-posta adresiniz, doğum gününüz, bildirim anahtarlarınız ve abonelikleriniz silinir; damga ve ödül kayıtları sizinle ilişkisi kesilerek, anonim hâlde işletmenin istatistiklerinde kalır. Kanunen saklanması zorunlu kayıtlar ilgili süre boyunca tutulur.

15. Veri güvenliği

Verilerinizi yetkisiz erişime, kayba ve kötüye kullanıma karşı korumak için riskle orantılı teknik ve idari tedbirler alırız: tüm bağlantılarda şifreli iletişim, rol bazlı yetki (işletme personeli yalnızca kendi işletmesinin verisine, rolünün izin verdiği kadar erişir), işletmeler arasında veritabanı sorgusu düzeyinde veri ayrımı, kısa ömürlü ve tek kullanımlık doğrulama kodları, tekrar ve hız sınırlamaları, erişim ve hata kayıtları. Kart bilgileri hiçbir zaman sunucularımıza ulaşmaz. Buna karşın internet üzerinden hiçbir aktarımın mutlak güvenliği garanti edilemez.

16. Veri ihlali

Kişisel verilerin hukuka aykırı olarak başkalarınca ele geçirildiğini fark edersek olayı sınırlamak için gereken önlemleri alır, Kişisel Verileri Koruma Kurulu'na ve etkilenen kişilere KVKK ve Kurul kararlarında öngörülen süre ve yöntemlerle bildirimde bulunuruz.

17. KVKK madde 11 kapsamındaki haklarınız

Kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme ve zarara uğramanız hâlinde giderilmesini talep etme haklarına sahipsiniz.

18. Başvuru nasıl yapılır?

Başvurunuzu, hesabınıza kayıtlı e-posta adresinden info@tapiko.app adresine, yazılı olarak yukarıdaki adresimize ya da kayıtlı elektronik posta (KEP), güvenli elektronik imza veya mobil imza ile iletebilirsiniz. Başvuruda adınızı, talebinizi ve size ulaşabileceğimiz bir iletişim bilgisini belirtmeniz yeterlidir; kimliğinizi doğrulamak için talebin niteliğiyle orantılı ek bilgi isteyebiliriz.

Başvurunuz en geç otuz gün içinde ücretsiz olarak sonuçlandırılır; işlem ayrıca bir maliyet gerektirirse Kişisel Verileri Koruma Kurulu'nun belirlediği tarife uygulanabilir. Başvurunuz reddedilir, yanıtı yetersiz bulursanız veya süresinde yanıt verilmezse, yanıtı öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

19. Özel nitelikli kişisel veriler

Tapiko sağlık, biyometri, din, siyasi görüş gibi özel nitelikli kişisel veri gerektirecek şekilde tasarlanmamıştır ve bu tür veri istemez. Lütfen ödül metni, duyuru veya destek yazışması gibi serbest alanlara bu tür bilgileri yazmayın.

20. Çocuklar

Bu hizmet 18 yaşından küçükler için tasarlanmamıştır ve bilerek çocuklardan veri toplamayız. Bir çocuğa ait verinin işlendiğini düşünen veli veya vasi bize yazabilir; veriyi sileriz.

21. İşletmelerin yükümlülükleri

Tapiko'i kullanan işletmeler şunları kabul eder:

• Panelde gördükleri müşteri verisini yalnızca kendi sadakat programları için ve hukuka uygun kullanmak;
• Panel erişimini yalnızca yetkili personele vermek ve ayrılan personeli derhal çıkarmak;
• Müşteri listesini hukuki dayanak olmadan başka bir sisteme aktarmamak veya üçüncü kişilere açıklamamak;
• Müşteri adına, müşterinin bilgisi dışında damga veya ödül işlemi yapmamak;
• Gönderdikleri duyuruların içeriğinden ve ticari ileti mevzuatına uygunluğundan sorumlu olmak;
• KVKK kapsamındaki kendi yükümlülüklerini yerine getirmek.

22. Üçüncü taraf bağlantıları

Kartınızda işletmelerin sosyal medya hesaplarına ve Google Haritalar'a bağlantılar bulunabilir. Bu sitelerin kendi veri işleme faaliyetlerinden onlar sorumludur; kendi gizlilik politikalarını incelemenizi öneririz.

23. Değişiklikler

Bu metni mevzuat, Kurul kararları, ürün özellikleri veya çalıştığımız sağlayıcılar değiştiğinde güncelleyebiliriz. Güncellediğimizde yukarıdaki tarihi değiştirir, esaslı değişikliklerde Kartlarım sayfasında bilgilendirme yaparız; hukuken gerekiyorsa yeniden onayınızı isteriz.

24. İletişim

Cevdet Aslan · Kurtköy Mah. Ankara Cad. Yelken Plaza No: 289 İç Kapı No: 21, Pendik / İstanbul · +90 539 322 17 37 · info@tapiko.app

Ayrıca bakınız: Kullanım Koşulları, Çerez Politikası.