Partner İşletme KVKK Aydınlatma Metni

Partner işletmeler için

Son Güncelleme: 12 Kasım 2026

İşbu Aydınlatma Metni, Bi’boxy partner işletme başvuruları, Üye İşyeri / Partner İşletme Sözleşmesi ve işletme paneli kullanımı kapsamında işlenen gerçek kişilere ait kişisel veriler hakkında bilgilendirme amacıyla hazırlanmıştır.

1. VERİ SORUMLUSU

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında veri sorumlusu:

BUSE BARAN — Bi’boxy

Adres: MERDİVENKÖY MAH. DİKYOL SK. B BLOK NO: 2 D: 179 KADIKÖY / İSTANBUL Web: https://biboxy.com E-posta: info@biboxy.com KEP: buse.baran@hs01.kep.tr

Partner işletmenin tüzel kişi olması halinde bu metin özellikle işletmenin;

yetkilileri,
çalışanları,
iletişim kişileri,
şube sorumluları ve
Platform hesabını kullanan diğer gerçek kişiler

bakımından uygulanır.

2. İŞLENEBİLECEK KİŞİSEL VERİLER

Kimlik Bilgileri

ad,
soyad,
T.C. kimlik numarası gerekli olduğu ölçüde,
yetkili kişi bilgileri,
imza ve yetki bilgileri.

İletişim Bilgileri

telefon numarası,
e-posta adresi,
iş adresi,
işletme konumu (harita pini); işletme panelindeki “Bulunduğum konumu kullan” seçeneği kullanılırsa, izin verildiğinde cihazın o anki konumu yalnızca dükkân pinini belirlemek için alınır,
KEP adresi,
diğer kurumsal iletişim bilgileri.

İşletme ve Mesleki Bilgiler

Gerçek kişiyle ilişkilendirilebildiği ölçüde;

işletme unvanı,
görev ve unvan,
şube bilgisi,
yetki bilgileri,
ticaret veya esnaf siciliyle ilişkili kayıtlar,
vergi ve işletme kayıt bilgileri (vergi kimlik/T.C. kimlik numarası, vergi dairesi, MERSİS ve ticaret sicil numarası).

Finans Bilgileri

fatura ve iletişim bilgileri,
hizmet bedeli ödemelerine ilişkin bilgiler,
mutabakat kayıtları,
fatura ve hizmet bedeli bilgileri,
kullanıcıya yapılan iadelerin bildirim kayıtları.

İşlem Güvenliği Bilgileri

IP adresi,
cihaz ve oturum bilgileri; işletme uygulamasında bildirim izni verilirse telefonun bildirim jetonu (yeni rezervasyon bildirimi için),
giriş kayıtları,
OTP/doğrulama kayıtları,
işletme panelinde gerçekleştirilen işlemlere ilişkin loglar,
güvenlik olayları.

Partner İşlem Bilgileri

kutu oluşturma ve düzenleme kayıtları,
sipariş işlemleri,
teslim kayıtları,
QR doğrulamaları,
iptal ve iade süreçleri,
kullanıcı şikâyetleriyle ilişkili işletme yanıtları,
performans ve mutabakat kayıtları.

Hukuki İşlem Bilgileri

sözleşme kayıtları,
uyuşmazlıklar,
resmi başvurular,
ihtar veya hukuki yazışmalar,
yetkili kurumlarla gerçekleştirilen işlemler.

İletişim ve Destek Kayıtları

destek talepleri,
e-posta yazışmaları,
telefon görüşmelerine ilişkin gerekli kayıtlar,
operasyonel bildirimler.

3. KİŞİSEL VERİLERİN İŞLENME AMAÇLARI

Partner işletme ve yetkililerine ait kişisel veriler aşağıdaki amaçlarla işlenebilir:

partner işletme başvurusunun alınması ve değerlendirilmesi,
işletme ve yetkili bilgilerinin doğrulanması,
Üye İşyeri / Partner İşletme Sözleşmesi’nin kurulması,
sözleşme ilişkisinin yürütülmesi,
işletme paneli hesabının oluşturulması ve yönetilmesi,
yetkilendirme ve hesap güvenliği süreçlerinin yürütülmesi,
işletmelerin ve kutuların Platform üzerinde yayımlanması,
kullanıcı rezervasyonlarının işletmeye iletilmesi,
teslim alma ve QR doğrulama süreçlerinin (işletme panelindeki QR okuyucu dâhil) yürütülmesi,
hizmet bedeli ve mutabakat işlemlerinin yürütülmesi,
faturalandırma ve muhasebe süreçlerinin gerçekleştirilmesi,
rezervasyon iptali, no-show ve iade bildirimlerinin yönetilmesi,
kullanıcı talepleri ve şikâyetlerinin çözülmesi,
gıda güvenliği ve Platform kurallarına uyum süreçlerinin yürütülmesi,
sahtecilik ve dolandırıcılığın önlenmesi,
bilgi güvenliğinin sağlanması,
sözleşmeden veya mevzuattan doğan hakların korunması,
denetim ve hukuki süreçlerin yürütülmesi,
yasal yükümlülüklerin yerine getirilmesi,
Platform performansı ve işletme hizmetlerinin geliştirilmesi.

4. KİŞİSEL VERİLERİN İŞLENMESİNİN HUKUKİ SEBEPLERİ

Kişisel veriler olayın niteliğine göre KVKK’da düzenlenen;

bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması,
veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemenin zorunlu olması ve
gerekli olduğu istisnai durumlarda açık rıza

hukuki sebeplerinden uygun olanına dayanılarak işlenebilir.

Bi’boxy, açık rızanın gerekli olmadığı bir işlemi sırf kolaylık amacıyla açık rızaya dayandırmaz.

5. VERİLERİN TOPLANMA YÖNTEMLERİ

Kişisel veriler;

partner işletme başvuru formu,
işletme onboarding süreci,
Üye İşyeri / Partner İşletme Sözleşmesi,
işletme paneli,
web sitesi ve mobil uygulamalar,
destek görüşmeleri,
e-posta yazışmaları,
hizmet bedeli ve mutabakat süreçleri,
işletme tarafından sağlanan belgeler,
yetkili kamu veya sicil kayıtları ve
teknik sistem logları

üzerinden otomatik, kısmen otomatik veya bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerle toplanabilir.

Ön Bilgilendirme Formu ve Mesafeli Satış Sözleşmesi’nde satıcı olarak gösterilmek amacıyla, işletmenin Platform’daki “Satıcı bilgileri” bölümüne girdiği yasal unvanı, vergi kimlik/T.C. kimlik numarası, vergi dairesi, varsa MERSİS ve ticaret sicil numarası, adresi, telefon ve e-posta bilgileri işlenir. Bu bilgilerden yasal unvan, adres, iletişim bilgileri, vergi dairesi, MERSİS ve ticaret sicil numarası ile 10 haneli vergi kimlik numarası rezervasyon öncesinde kullanıcılara gösterilir ve doldurulmuş sözleşme metinleriyle birlikte kullanıcıya e-postayla gönderilir; şahıs işletmelerinde T.C. kimlik numarası kullanıcılara gösterilmez. Daha önce yüklenmiş vergi levhalarına yalnızca Bi’boxy yetkilileri erişebilir; bu belgeler üyelik süresince ve ilgili mevzuatta öngörülen saklama süreleri boyunca saklanır.

6. KİŞİSEL VERİLERİN AKTARILMASI

Kişisel veriler, ilgili hizmet için gerekli ve ölçülü olmak kaydıyla aşağıdaki alıcı gruplarıyla paylaşılabilir.

Bankalar

Hizmet bedeli tahsilatı ve finansal süreçlerin yürütülmesi amacıyla;

bankalar ve
ilgili yetkili ödeme/finans kuruluşları.

Teknik Hizmet Sağlayıcıları

Bi’boxy altyapısında aktif olarak kullanılan hizmetlere göre;

Render (sunucu barındırma),
MongoDB Atlas (veritabanı),
Resend (e-posta gönderimi),
Vercel (web sitesi barındırma),
OpenStreetMap, Nominatim ve Photon (işletme adresinden harita konumu bulunması ve işletme panelinde adres arama),
Google (yol tarifi bağlantıları; işletme panelinde menü okuma için Gemini API — yalnızca menü içeriği; işletme adresinden kapı düzeyinde harita konumu bulunması için Google Geocoding API — yalnızca yazılan adres),
Firebase (web sitesinin önceki bekleme listesi ve başvuru kayıtları, yeni kayıt alınmaz; işletme uygulamasına yeni rezervasyon bildirimi için Firebase Cloud Messaging) ve
diğer yetkili teknik altyapı sağlayıcıları.

Profesyonel Danışmanlar

Gerekli olduğu ölçüde;

mali müşavir,
avukat,
denetçi ve
diğer yetkili profesyonel danışmanlar.

Yetkili Kamu Kurumları

Kanuni zorunluluk veya usulüne uygun talep halinde;

vergi makamları,
mahkemeler,
icra makamları,
Ticaret Bakanlığı,
Kişisel Verileri Koruma Kurumu,
Tarım ve Orman Bakanlığı ve
diğer yetkili kamu kurum ve kuruluşları.

Kullanıcılar

Partner işletmenin;

işletme adı,
şube adı,
adresi,
kullanıcıya yönelik kurumsal iletişim bilgileri ve
Platform üzerinde yayımlanması gereken diğer işletme bilgileri

sipariş ve Platform kullanımı kapsamında son kullanıcılara gösterilebilir.

Kişisel nitelikte olmayan kurumsal işletme bilgileri KVKK kapsamında kişisel veri sayılmayabilir.

7. YURT DIŞINA VERİ AKTARIMI

Bi’boxy tarafından kullanılan teknik hizmet sağlayıcılarının sunucuları Türkiye dışında bulunmaktadır. Bu nedenle kişisel veriler, aşağıdaki sağlayıcılar aracılığıyla yurt dışına aktarılmakta ve orada saklanmakta veya işlenmektedir:

MongoDB Atlas (Amazon Web Services altyapısı) — Almanya (Frankfurt): işletme, şube, yetkili, menü, kutu, rezervasyon ve teslim kayıtları ile satıcı bilgilerinin saklandığı ana veritabanı,
Render — Amerika Birleşik Devletleri (Oregon): uygulama sunucusu; işletme panelindeki işlemler sırasında veriler bu sunucuda işlenir ve teknik sunucu kayıtları tutulur,
Vercel — Amerika Birleşik Devletleri: web sitesinin ve web işletme panelinin barındırılması ile teknik erişim kayıtları,
Resend — Amerika Birleşik Devletleri; e-postalar Japonya (Tokyo) bölgesindeki altyapı üzerinden gönderilir: e-posta adresi ve gönderilen e-postanın içeriği,
Google (Gemini API) — Amerika Birleşik Devletleri ve Google’ın küresel altyapısı: işletme panelinde “Fiyatları menüden oku” kullanıldığında yüklenen menü fotoğrafı, PDF’i veya QR menü sayfasının metni; yalnızca ürün ve fiyat önerisi için işlenir, hesap ve iletişim bilgisi gönderilmez, ücretli hizmette Google bu içeriği kendi ürünlerini geliştirmek için kullanmaz,
Google (Geocoding API) — Amerika Birleşik Devletleri ve Google’ın küresel altyapısı: işletme kaydında veya işletme panelinde kapı numarası içeren bir adres yazıldığında, dükkânın harita konumunun bulunması için yalnızca yazılan adres metni Bi’boxy sunucusu üzerinden gönderilir; hesap, iletişim ve cihaz bilgisi gönderilmez,
Firebase (Google) — Avrupa Birliği (Belçika ve Hollanda’daki veri merkezleri): web sitesinin önceki bekleme listesi ve başvuru kayıtları; bu sistemde yeni kayıt alınmaz,
Firebase Cloud Messaging (Google LLC) — Amerika Birleşik Devletleri ve Google’ın küresel altyapısı: işletme uygulamasında bildirim izni verildiğinde telefonun bildirim jetonu ve bildirim metni (“Yeni rezervasyon”, kutu türü ve teslim saati); müşterinin kişisel verileri gönderilmez,
OpenStreetMap Vakfı (Nominatim) — Avrupa Birliği ve Birleşik Krallık: işletme adresinden harita konumunun bulunması için yalnızca işletme adresi gönderilir.
Photon (Komoot GmbH) — Almanya: işletme panelindeki konum aramasında yazılan adres veya yer adı, öneri gösterilmesi için Bi’boxy sunucusu üzerinden gönderilir; hesap ve iletişim bilgisi gönderilmez.

Yurt dışına kişisel veri aktarımı gereken hallerde aktarım, KVKK’nın 9. maddesi ve ilgili ikincil mevzuat kapsamında;

yeterlilik kararı,
uygun güvence,
standart sözleşme veya
kanunda öngörülen diğer geçerli aktarım mekanizmalarından

uygun olanına dayanılarak gerçekleştirilir.

8. İŞLETME PANELİ VE GÜVENLİK

İşletme panelindeki işlemler;

hesap güvenliği,
işlemlerin ispatı,
yetkisiz erişimin önlenmesi,
kullanıcı uyuşmazlıklarının çözülmesi ve
dolandırıcılığın önlenmesi

amacıyla loglanabilir.

Partner işletme, kendi kullanıcı hesabını yalnız yetkili kişilerin kullanmasını sağlamakla sorumludur.

Bi’boxy gerekli güvenlik tedbirlerini uygularken işletmenin kendi iç erişim güvenliği yükümlülükleri devam eder.

9. KULLANICI VERİLERİYLE İLİŞKİ

Partner işletmenin Bi’boxy üzerinden aldığı son kullanıcı verileri bu Partner İşletme Aydınlatma Metni’nin konusu değildir.

Partner işletme, kendisine siparişin ifası amacıyla iletilen kullanıcı verilerini kendi sorumluluk alanında KVKK’ya uygun şekilde işlemekle yükümlüdür.

Üye İşyeri / Partner İşletme Sözleşmesi’nde yer alan veri koruma hükümleri ayrıca uygulanır.

10. VERİLERİN SAKLANMASI

Kişisel veriler;

sözleşme ilişkisinin devamı,
hizmet bedeli ve mutabakat işlemleri,
vergi ve muhasebe yükümlülükleri,
hukuki uyuşmazlıklar,
bilgi güvenliği ve
diğer yasal zorunluluklar

için gerekli süre boyunca saklanır.

İşleme şartlarının tamamının ortadan kalkması halinde veriler ilgili mevzuat doğrultusunda silinir, yok edilir veya anonim hâle getirilir.

11. KVKK KAPSAMINDAKİ HAKLAR

İlgili kişiler KVKK’nın 11. maddesi kapsamında;

kişisel verilerinin işlenip işlenmediğini öğrenme,
işlenmişse bilgi talep etme,
işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
verilerin aktarıldığı üçüncü kişileri bilme,
eksik veya yanlış verilerin düzeltilmesini isteme,
şartların oluşması halinde verilerin silinmesini veya yok edilmesini isteme,
düzeltme veya imha işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
münhasıran otomatik sistemlerle yapılan analiz sonucu aleyhe ortaya çıkan sonuca itiraz etme ve
hukuka aykırı veri işleme nedeniyle zararın giderilmesini talep etme

haklarına sahiptir.

12. BAŞVURU YÖNTEMİ

KVKK kapsamındaki talepler;

MERDİVENKÖY MAH. DİKYOL SK. B BLOK NO: 2 D: 179 KADIKÖY / İSTANBUL adresine yazılı olarak,
buse.baran@hs01.kep.tr üzerinden,
güvenli elektronik imza veya mobil imza ile veya
ilgili kişinin Bi’boxy sisteminde kayıtlı bulunan e-posta adresi üzerinden info@biboxy.com adresine

iletilebilir.

Başvurunun ilgili kişiye ait olduğunun doğrulanması amacıyla ek bilgi talep edilebilir.

Başvurular yürürlükteki mevzuatta öngörülen süreler içerisinde sonuçlandırılır.

Veri Sorumlusu: BUSE BARAN Marka: Bi’boxy Web: https://biboxy.com Adres: MERDİVENKÖY MAH. DİKYOL SK. B BLOK NO: 2 D: 179 KADIKÖY / İSTANBUL E-posta: info@biboxy.com KEP: buse.baran@hs01.kep.tr