Gizlilik politikası

Son güncelleme: 2 Kasım 2026

Bu metin bir çeviridir; hukuken yalnızca Almanca metin bağlayıcıdır.

Bu politika; MeLocaly uygulamasını, işletmeler için MeLocaly panelini (panel.melocaly.com) ya da melocaly.com sitemizi kullandığınızda hangi kişisel verileri işlediğimizi, bunu neden yaptığımızı ve haklarınızı anlatır.

1. Veri sorumlusu

Genel Veri Koruma Tüzüğü (GDPR) kapsamında veri sorumlusu:

Bambu Games Yazılım Sanayi ve Ticaret A.Ş.
Altınşehir Mah. Muammer Aksoy Cad. Bina No:79 Neva Suite No:84
16230 Nilüfer/Bursa
Türkiye
E-posta: [email protected]

Veri korumayla ilgili her soru için bize [email protected] adresinden ulaşabilirsiniz.

2. Kısaca

  • Verileri yalnızca MeLocaly için gerektiği, yasa istediği ya da onay verdiğiniz ölçüde işleriz.
  • Veri satmayız, reklam göstermeyiz, analiz ya da izleme aracı kullanmayız.
  • Sunucularımız Frankfurt’ta; fotoğraflar, görseller ve yedekler AB’deki veri merkezlerinde saklanır. Şirketimiz Türkiye’dedir (17. bölüm).

3. Hesap ve giriş

Hesabınız için e-posta adresinizi, telefon numaranızı (e-postayla kayıtta zorunlu), şifrenizi (yalnızca özet değeri olarak, asla açık metin değil), adınızı ve soyadınızı, dilinizi ve profil resminizi (renkli zemin üzerinde bir emoji) saklarız. Doğum tarihi isteğe bağlıdır; yalnızca mekanların size doğum günü puanı verebilmesi için kullanılır.

E-posta adresinizi doğrulamak ve şifrenizi sıfırlamak için size bir kod göndeririz. Kod 15 dakika geçerlidir; yalnızca özet değeri olarak saklanır ve süresi dolduktan bir gün sonra silinir.

“Apple ile giriş yap”ı seçerseniz Apple bize Apple hesabınıza ait bir kimlik, e-posta adresinizi (isterseniz Apple’ın anonim yönlendirme adresini) ve ilk girişte adınızı iletir. Apple tarafındaki işleme Apple’ın gizlilik politikasına tabidir.

Amaç hesabınızı ve MeLocaly işlevlerini sunmaktır; hukuki dayanak GDPR m. 6/1-b’dir (kullanım sözleşmesi). Verileri hesabınızı silene kadar saklarız. E-posta adresi doğrulanmamış kayıtları kayıttan 30 gün sonra sileriz.

Her girişte zamanını ve geçerlilik süresini içeren bir kayıt tutarız. Bu kaydı girişleri uzatmak ve sonlandırmak için kullanır, bir dönemde MeLocaly’yi kaç kullanıcının etkin olarak kullandığını sayarız. Hukuki dayanak GDPR m. 6/1-b ve f’dir; meşru menfaatimiz hesap güvenliği ve kullanım istatistiğidir. Bu kayıtları oluşturulduktan 180 gün sonra sileriz.

4. Cihazınızda saklananlar

Uygulama, cihazınızın korumalı alanında (iOS Anahtar Zinciri ya da Android Keystore) giriş anahtarlarınızı ve dil, görünüm, seçili mod ve kampanya mesafesi gibi ayarları saklar. Giriş anahtarı 15 dakika, girişi uzatan anahtar 30 gün geçerlidir. Bu kayıt istediğiniz kullanım için zorunludur (TDDDG § 25/2 no. 2).

Uygulamada reklam ya da analiz hizmeti yoktur. Anlık bildirimi yalnızca izin verirseniz gönderir (11. bölüm).

Uygulama bir hatayla kapanırsa hata mesajını ve teknik ayrıntılarını, hatanın olduğu ekranı, kendi ve işletim sisteminin sürümünü ve cihaz modelini sunucumuza gönderir. Bu raporu hesabınıza bağlamadan yalnızca hatayı gidermek için kullanır, 30 gün sonra sileriz. Hukuki dayanak GDPR m. 6/1-f’dir; meşru menfaatimiz uygulamanın düzgün çalışmasıdır.

5. Konum

İzin verirseniz uygulama, kullanım sırasında konumunuzu alır ve mekanları ve kampanyaları mesafeye göre sıralayabilmemiz için isteğe ekleyerek sunucumuza gönderir. Konumunuzu saklamayız ve kayıt altına almayız. Uygulama konumunuzu arka planda hiç almaz.

Hukuki dayanak, cihazınızın konum izniyle verdiğiniz ve orada her zaman geri alabileceğiniz onayınızdır (GDPR m. 6/1-a, TDDDG § 25/1). İzin vermeden de uygulamayı kullanabilirsiniz; bu durumda mesafeler ve yakınınızdaki kampanyalar listesi gösterilmez.

6. Kamera ve fotoğraflar

Uygulama kamerayı yalnızca QR kod okutmak için kullanır (mekan, masa, rezervasyon; işletme modunda müşteri QR kodları da). Görüntüler yalnızca cihazınızda işlenir; saklanmaz ve gönderilmez.

Fotoğrafları işletim sisteminin fotoğraf seçicisiyle seçersiniz; uygulama yalnızca yoruma eklediğiniz fotoğrafı alır. Yüklemeden önce fotoğrafın üst verilerini (Exif), çekildiği yer dahil, siler. Hukuki dayanak GDPR m. 6/1-b’dir.

7. Mekanlar, puanlar ve ödüller

Bir mekanın ya da masanın QR kodunu okuttuğunuzda o mekana bağlanırsınız. Bağlantıyı zamanıyla, puan bakiyelerinizi ve tüm puan hareketlerini (tür, miktar, zaman, varsa not ve işlemi yapan kişi) saklarız. Puan için kişisel QR kodunuz 120 saniye geçerlidir ve saklanmaz. Mekanın sizinle ilgili ne gördüğü 12. bölümde yazar.

Mekan üye seviyelerini (Bronz, Gümüş, Altın, Platin) kullanıyorsa, o dönem orada kazandığınız puanlardan hangisine ulaştığınızı hesaplarız. Dönem bitince bu sayım yeniden başlar; puan bakiyeniz kalır. Yeni bir seviyeye çıktığınızda size bildirim göndeririz.

Bir mekanla bağlantınızı her zaman kesebilirsiniz. Bunu yaparken bir sebep ve isterseniz bir not sorarız; ikisi de mekana iletilir ve orada kalır. Dilerseniz aynı anda o mekandaki yorumlarınızı, rezervasyonlarınızı, puan hareketlerinizi, bakiyelerinizi ve mesajlarınızı da sileriz.

Hukuki dayanak GDPR m. 6/1-b’dir.

8. Masada sipariş ve hesap

Masada sipariş turu verebilir (ürünler, adetler, isteğe bağlı notlar) ve hesabı, ödemek istediğiniz yöntemle birlikte isteyebilirsiniz. Siparişleri, hesap isteklerini, masa değişikliklerini ve adisyonları (tutarlar, ödeme yöntemi, nakit/kart dağılımı, kimin ödediği) saklarız. Ödeme mekanda yapılır; MeLocaly ödeme ya da kart verisi işlemez.

Aynı masadaki misafirler masanın siparişlerini (kimin verdiğini değil) ve hesap isteklerini kısa adla (“Ad S.”) ve ödeme yöntemiyle görür.

İsterseniz fişi e-posta adresinize göndeririz. Personel, fişi sizin söylediğiniz bir adrese de gönderebilir; bu adresi saklamayız. Fişte mekanın logosu vardır; açtığınızda sunucumuzdan yüklenir.

Hukuki dayanak GDPR m. 6/1-b’dir. Adisyon ve siparişleri, yasal saklama yükümlülüğü olan mekanlar için genellikle on yıla kadar saklarız (GDPR m. 6/1-c ve f).

9. Rezervasyonlar

Bir rezervasyon için tarih, saat, kişi sayısı, isteğe bağlı notunuz, durum (ör. onaylandı, reddedildi, iptal edildi, gelinmedi), bir giriş kodu ve varsa mekanın mesajını saklarız. Mekan, soru olduğunda size ulaşabilmek için adınızı, telefon numaranızı, e-posta adresinizi ve dilinizi görür. Hukuki dayanak GDPR m. 6/1-b’dir.

Rezervasyon ve sipariş notları isteğe bağlıdır ve mekana gider. Lütfen yalnızca mekanın bilmesi gerekeni yazın.

10. Yorumlar, şikâyetler ve engellemeler

Mekanları ve ürünleri yıldızla puanlayabilir, isterseniz metin ve fotoğraf ekleyebilirsiniz. Yorumlar tüm uygulama kullanıcılarına kısa adınız (“Ad S.”), profil resminiz ve mekan üye seviyelerini kullanıyorsa oradaki güncel seviyenizle görünür; fotoğraflar internet adresleri üzerinden giriş yapmadan da açılabilir. Bir yorumu kimin faydalı bulduğu görünmez. Mekan herkese açık yanıt verebilir. Otomatik bir filtre, hakaret içeren sözcükler barındıran metinleri kabul etmez.

Başkalarının yorumlarını şikâyet edebilir (sebep ve isteğe bağlı notla) ve kişileri engelleyebilirsiniz; bu durumda onların yorumlarını artık görmezsiniz. Şikâyet ve engellemeleri yalnızca MeLocaly ekibi görür; ilgili kişi ve mekan görmez. Bunları inceler, hukuka aykırı ya da uygunsuz içerikleri gizler ve hesapları kapatabiliriz.

Hukuki dayanak GDPR m. 6/1-b’dir; içerik denetimi için ayrıca Dijital Hizmetler Yasası ile birlikte GDPR m. 6/1-c ve GDPR m. 6/1-f (kullanıcıları ve mekanları hukuka aykırı ve uygunsuz içerikten korumak). Yorumları siz ya da hesabınızı silene kadar; şikâyetleri, şikâyet edilen yorum durdukça ve en fazla hesabınız silinene kadar; engellemeleri kaldırana ya da hesabınızı silene kadar saklarız.

11. Uygulamadaki mesajlar

Gelen kutunuzda rezervasyonlarınız ve puanlarınızla ilgili bildirimler ile bağlı olduğunuz mekanların mesajları yer alır. Mekanlar mesajı tüm bağlı müşterilerine ya da belirli gruplara (ör. yeni müşteriler, belirli bir puanın üstündekiler, son 30 günde gelmeyenler) gönderebilir. Bağlantıyı kestiğinizde o mekandan mesaj almazsınız. Hukuki dayanak GDPR m. 6/1-b’dir.

İzin verirseniz bu mesajlar telefonunuza anlık bildirim olarak da gelir. Uygulama bunu bir mekana ilk bağlandığınızda sorar; sonradan uygulamanın ayarlarından da izin verebilirsiniz. Bunun için hesabınızla birlikte, bildirim hizmetinin cihazınıza ulaştığı bir push jetonu saklarız; uygulama bu jetonu cihazınızın korumalı alanında da tutar. Jeton; oturumu kapattığınızda, hesabınızı sildiğinizde ya da cihazınız bildirim almayı bıraktığında silinir. Uygulamada mekan duyurularını ve rezervasyon, puan ve sipariş bildirimlerini ayrı ayrı, telefonunuzun ayarlarında hepsini birden kapatabilirsiniz; bildirimler her durumda gelen kutunuzda kalır. Hukuki dayanak, bu yollarla her zaman geri alabileceğiniz rızanızdır (GDPR m. 6/1-a, TDDDG § 25/1).

12. Mekanların sizinle ilgili gördükleri

Bir mekana bağlıyken sahibi ve çalışanları, yetkilerine göre şunları görür:

  • kasada QR kodunuzu okuttuklarında ya da sizi aradıklarında: adınız ve soyadınız, telefon numaranızın son dört hanesi, profil resminiz, bu mekandaki puan bakiyeniz ve varsa üye seviyeniz, son 12 saatin hesap puanları;
  • son puan hareketleri, adlarıyla;
  • rezervasyonlarda: ad, telefon numarası, e-posta adresi, dil, kişi sayısı, not ve durum;
  • masada: kısa adınız, notlarıyla siparişleriniz, ödeme yöntemiyle hesap istekleri ve masa değişiklikleri;
  • yorumlarınız, tüm kullanıcılar gibi kısa ad, profil resmi ve varsa üye seviyesiyle;
  • raporlarda: kısa adınız, ziyaretlerinizin sayısı ve zamanıyla;
  • bağlandığınızı ya da bağlantıyı kestiğinizi (sebep ve notuyla) bildiren mesajlar ve yeni yorumlar.

Mekanlar doğum tarihinizi görmez; ancak doğum günü puanından gün anlaşılabilir. Tam telefon numaranızı ve e-posta adresinizi yalnızca rezervasyonlarda görürler.

Mekanlar bu verileri, hizmetlerinden yararlanabilmeniz için alır (GDPR m. 6/1-b). Kendi işlemlerinden, örneğin adisyonların vergi hukukuna göre saklanmasından, mekanlar kendileri sorumludur.

13. Hesap silme

Hesabınızı uygulamadan her zaman silebilir (Profil → Profili düzenle → “Hesabımı sil”) ya da hesabınızın e-posta adresinden [email protected] adresine yazabilirsiniz; bu durumda bir ay içinde sileriz. Ayrıntılar: Hesap silme.

Adınızı, e-posta adresinizi, telefon numaranızı, şifrenizi, doğum tarihinizi ve profil resminizi; oturumlarınızı ve Apple bağlantınızı; gelen kutunuzu; mekan ve masa bağlantılarınızı; fotoğraflarıyla yorumlarınızı, faydalı işaretlerinizi, şikâyet ve engellemelerinizi sileriz. Mekanlarda da sizinle ilgili bildirimleri, rezervasyon notlarınızı, ayrılma notlarınızı, masa değişikliği kayıtlarındaki adınızı ve davetlerdeki e-posta adresinizi sileriz. Yaklaşan rezervasyonlar iptal edilir ve mekana haber verilir.

Mekanların saklaması gereken adisyonlar, siparişler, puan hareketleri ve geçmiş rezervasyonlar ile ayrılma sebepleri adınız ve iletişim bilgileriniz olmadan kalır. Bir mekanda çalıştıysanız adınız, muhasebe belgesi olarak saklanan gün sonu raporlarında kalır. Puanlarınız geçersiz olur. Bir mekanın sahibiyseniz önce onu devredin; bunun için bize yazın.

14. İşletme paneli ve uygulamanın işletme modu

Mekan sahipleri ve çalışanları için ad, e-posta adresi, telefon numarası, şifre (özet değer olarak), rol ve yetkileri işleriz. Sahipler çalışanlarının bu bilgilerini görür. Yeni işletmeleri e-postayla davet ederiz; bunun için e-posta adresini, işletmenin adını ve davetin geçerlilik süresini (14 gün) saklarız.

İşletmenin mekanı hakkında verdiği bilgileri (adres, çalışma saatleri, telefon ve WhatsApp numarası gibi) uygulamanın tüm kullanıcılarına gösteririz.

Paneldeki önemli işlemleri (ör. adisyonlar, masa değişiklikleri, gün sonları) işlemi yapan kişiyle birlikte kaydederiz; böylece işletmeler süreçlerini izleyebilir. MeLocaly’ye gelen destek taleplerini mesajları ve en fazla üç ekran görüntüsüyle saklarız.

Menü içe aktarılırken işletmenin yüklediği dosyayı (PDF ya da görsel) veya belirttiği web sayfasının metnini, kategori, ürün ve fiyatları okumak için OpenAI’a göndeririz. Bunlarda misafir verisi yoktur; dosyayı saklamayız. Mekan adreslerini OpenStreetMap Vakfı’nın Nominatim hizmetiyle koordinata çeviririz; yalnızca adres gönderilir.

Panel, giriş anahtarlarınızı ve görünüm gibi ayarlarınızı tarayıcınızın yerel deposunda, seçtiğiniz dili ise bir yıl geçerli bir çerezde saklar. Bu kayıt istediğiniz kullanım için zorunludur (TDDDG § 25/2 no. 2).

Hukuki dayanak GDPR m. 6/1-b, kayıtlar için GDPR m. 6/1-f’dir (izlenebilirlik ve güvenlik).

15. Web sitesi

Siteyi açtığınızda sunucularımız, sayfaları sunmak ve saldırılara karşı korumak için IP adresi, zaman, istenen adres ve tarayıcı bilgileri gibi teknik olarak gerekli verileri işler. Erişim kaydı tutmayız. Dili, saklamadan, tarayıcınızın dil ayarına göre seçeriz. Hukuki dayanak GDPR m. 6/1-f’dir (güvenli ve kesintisiz işletim).

Site çerez kullanmaz, analiz ya da reklam hizmeti kullanmaz ve üçüncü taraflardan içerik yüklemez; yazı tiplerini kendimiz sunarız. Hizmet sağlayıcımız Cloudflare, saldırılara karşı koruma için teknik olarak gerekli çerezler kullanabilir.

İşletmeler için iletişim formunu gönderdiğinizde ad, işletmenin adı ve türü, telefon numarası, e-posta adresi, şehir, mesajınız, sayfanın dili ve bir reklam üzerinden geldiyseniz adresteki kampanya bilgileri (utm parametreleri) saklanır. MeLocaly ekibine e-postayla haber verilir. Amaç talebinizi yanıtlamak ve bir sözleşmeye hazırlıktır (GDPR m. 6/1-b). Talepleri gelişinden 24 ay sonra, isterseniz daha önce sileriz.

16. E-postalar

E-postaları Resend hizmetiyle, onun AB bölgesinden göndeririz: kodlar, fişler, davetler ve MeLocaly ekibine bildirimler (ör. destek talepleri, iletişim talepleri ve şikâyet edilen yorumlar). Reklam e-postası göndermeyiz.

Bize [email protected] adresinden yazdığınızda mesajınızı yanıtlamak için işleriz (GDPR m. 6/1-b ya da f). Bu posta kutusunu bizim için Türkiye’deki bir sağlayıcı (mnic.tr) işletir.

17. Alıcılar ve hizmet sağlayıcılar

Şu hizmet sağlayıcılar verileri bizim adımıza işler (GDPR m. 28):

  • Amazon Web Services EMEA SARL, Lüksemburg (sunucular Frankfurt’ta): uygulama sunucusu, veritabanı, panel ve sitenin işletimi;
  • Cloudflare, Inc., ABD: tüm MeLocaly adreslerinin sunulması ve korunması (vekil sunucu, TLS şifreleme) ile fotoğraf, görsel ve veritabanı yedeklerinin AB’deki veri merkezlerinde saklanması. Vekil sunucu olarak Cloudflare, uygulamanın isteklerindeki konum bilgileri dahil IP adreslerini ve istek verilerini işler;
  • Resend, ABD (AB bölgesinden gönderim): e-posta gönderimi;
  • 650 Industries, Inc. (Expo), ABD: anlık bildirimlerin Apple Push Notification service ya da Google’ın Firebase Cloud Messaging hizmeti üzerinden iletilmesi;
  • OpenAI, ABD: içe aktarmada menülerin okunması (yalnızca işletme verisi);
  • mnic.tr, Türkiye: [email protected] posta kutusu.

Ayrıca veri alanlar: bağlı olduğunuz mekanlar (12. bölüm), OpenStreetMap Vakfı, Birleşik Krallık (yalnızca mekan adresleri) ve Apple ile giriş yaparsanız Apple. Uygulamayı indirirken Apple ya da Google verileri kendi sorumluluklarında işler. Makamlar veriyi yalnızca yasal yükümlülüğümüz olduğunda alır.

Hizmet sağlayıcıların ABD’de yerleşik olduğu ya da verilere oradan erişebildiği durumlarda aktarımı, sağlayıcı sertifikalıysa AB-ABD Veri Gizliliği Çerçevesi yeterlilik kararına, değilse AB standart sözleşme maddelerine (GDPR m. 46/2-c) dayandırırız.

Şirketimiz Türkiye’dedir ve MeLocaly’yi oradan yönetiriz; bu nedenle AB’de saklanan verilere oradan erişiriz. Türkiye için Avrupa Komisyonu’nun yeterlilik kararı yoktur. AB’deki hizmet sağlayıcılarımızın verileri bize aktarması AB standart sözleşme maddelerine (GDPR m. 46/2-c) dayanır; bir kopyasını [email protected] adresine yazarak alabilirsiniz.

18. Güvenlik, kayıtlar ve yedekler

Tüm bağlantılar TLS ile şifrelenir. Veritabanını her gece AB’deki şifreli bir depolama alanına yedekler, her yedeği 30 gün sonra sileriz; silinen veriler bu yüzden en geç 30 gün sonra yedeklerden de çıkar.

Sunucumuzun hata mesajları tek tük bir e-posta adresi içerebilir, örneğin bir e-posta teslim edilemediğinde; bu kayıtların üzerine boyutlarına göre sürekli yazılır. Kötüye kullanımı önlemek için istekleri IP adresi başına yalnızca bellekte ve her seferinde 60 saniyeliğine sayarız. Hukuki dayanak GDPR m. 6/1-f’dir (güvenlik ve erişilebilirlik).

19. Saklama süreleri

  • hesap ve profil: hesap silinene kadar;
  • doğrulanmamış kayıtlar: 30 gün;
  • e-postayla gönderilen kodlar: 15 dakika geçerli, süresi dolduktan bir gün sonra silinir;
  • giriş kayıtları: 180 gün;
  • konum: saklanmaz;
  • çökme raporları: 30 gün;
  • işletmelerin iletişim talepleri: 24 ay;
  • adisyonlar, siparişler ve puan hareketleri: mekanların saklama yükümlülükleri için genellikle on yıla kadar, hesap silindikten sonra ad ve iletişim bilgisi olmadan;
  • yedekler: 30 gün.

20. Haklarınız

Erişim (GDPR m. 15), düzeltme (m. 16), silme (m. 17), işlemenin kısıtlanması (m. 18) ve veri taşınabilirliği (m. 20) haklarına sahipsiniz. Onayınızı ileriye dönük olarak her zaman geri alabilirsiniz (m. 7/3); konum iznini örneğin cihaz ayarlarından. Bunun için bize [email protected] adresinden yazın.

Bir veri koruma denetim makamına, özellikle yaşadığınız, çalıştığınız ya da ihlalin gerçekleştiği iddia edilen üye ülkede şikâyette bulunabilirsiniz (GDPR m. 77).

21. İtiraz hakkı

Verileri meşru menfaate dayanarak işlediğimiz durumlarda (GDPR m. 6/1-f), özel durumunuzdan kaynaklanan sebeplerle her zaman itiraz edebilirsiniz (GDPR m. 21). Bu durumda, zorlayıcı meşru gerekçeler gösteremediğimiz ya da işleme hukuki taleplerin ileri sürülmesi, kullanılması veya savunulması için gerekli olmadığı sürece verileri artık işlemeyiz.

22. Diğer bilgiler

Kayıtta istenen bilgiler hesap için gereklidir; onlarsız uygulamayı sunamayız. Diğer tüm bilgiler isteğe bağlıdır.

MeLocaly 16 yaş ve üzerindekiler içindir.

GDPR m. 22 anlamında yalnızca otomatik işlemeye dayalı kararlar vermeyiz. Yorumlardaki sözcük filtresi yalnızca bir metnin yayınlanmasını durdurur; metni değiştirip yeniden gönderebilirsiniz.

MeLocaly ya da mevzuat değiştiğinde bu politikayı güncelleriz. Burada yayımlanan sürüm geçerlidir.

Ana sayfaya dön