PASA · 0.2.1-TASLAK
Veri İşleme Ek Protokolü (B2B DPA)
Belge: 08 Sürüm: 0.2-TASLAK — YAYINA HAZIR DEĞİL Hazırlanma tarihi: 27 Ekim 2026 Taraflar: Veri sorumlusu = İşletme (restoran); veri işleyen = Pasa ([[LEGAL_OPERATOR_NAME]]) Kapsam: Misafir siparişi, masa / oturum, cihaz tanımlayıcısı, ziyaret geri bildirimi ve İşletme’nin Pasa’da barındırdığı menü içeriğinin kişisel veri içeren kısımları.
Bu protokol, Pasa’nın kendi sorumlu olduğu hesap / fatura / destek işlemlerini kapsamaz (04).
Otomatik her müşteriye “imzalandı” sayılması, kabul kaydı ve sürüm damgası üretimde bağlanınca netleşir. Taslakta 01’in eki olarak yayımlanır; avukat, ayrı imza gerekip gerekmediğine karar verir.
1. Konu, süre, nitelik, amaç
Pasa, İşletme’nin belgelenmiş talimatı (bu protokol + panel ayarları + API çağrıları) ile restoran operasyonu için kişisel veri işler. Süre: hesap ilişkisi + 11’deki saklama. Niteliği: barındırma, iletim, yedek, erişim kontrolü, canlı güncelleme.
Hukuka aykırı talimat tespitinde Pasa İşletme’yi bilgilendirir.
2. Kişi ve veri kategorileri
Misafirler: sipariş kalemleri, masa, sepet, cihaz id, puan, yorum, isteğe bağlı iletişim.
Özel nitelikli veri: kimliği belirli sağlık / alerji notu ürün tarafından zorunlu tutulmaz; oluşursa m. 6 koşulları LAWYER_REVIEW ve mümkünse kaçınma.
Personel: İşletme kendi personeli için ayrı sorumludur; Pasa hesap kullanıcı kaydını 04 kapsamında kendi adına da işleyebilir.
3. Gizlilik ve erişim
Pasa personeli tenant verisine rol ve destek ihtiyacı kadar erişir. Platform Admin ([[ADMIN_URL]]) işletme kullanıcısına açık değildir; iç operasyon yetkisi ayrı kontrol altındadır.
4. Güvenlik
Tenant ayrımı, parola özeti, HTTPS, oturum çerezi, CSRF, plan kapıları. Şifreleme / yedek ülkesi: [[HOSTING_PROVIDER]] / [[DATA_STORAGE_COUNTRIES]] doldurulunca somutlaşır. Bu maddeler pazarlama SLA’sı değildir.
5. Alt işleyenler
Liste: alt işleyenler / [[SUBPROCESSORS_URL]]. Değişiklik paneli veya e-posta ile duyurulur; itiraz / çözüm avukatın belirleyeceği sürede.
6. İlgili kişi başvuruları ve ihlal
Pasa, İşletme’nin m. 11 başvurularına teknik olarak yardımcı olur. İhlal fark edildiğinde İşletme’ye gecikmeksizin haber verilir. Kurul bildirimi sorumluluk dağılımı avukat teyidi.
7. İade / silme
Hesap kapanınca “her şey anında silinir” vaadi yoktur. Ziyaret iletişim alanı 90 gün sonra anonimleştirilir (kod: VisitFeedback.ContactRetention + hosted service). Sipariş, menü, görsel, yedek ve log için otomatik silme yoktur; süreler 11’de. Kanuni saklama istisnası saklıdır.
Veri dışa aktarma API’si henüz yoktur; talimat gelince teknik iş açılır.
8. Denetim
Pasa, uygulanabilir ölçüde uyum bilgisi sağlar. Yerinde sınırsız denetim taahhüdü yoktur.
9. Yurt dışı
Aktarım mekanizması 04 md. 4. Standart sözleşme imzalanmadan “kuruldu” denmez.