English

Veri hakların (KVKK m.11)

Telefonun bu cihazda doğrulanmışsa GroundBox verilerinin JSON kopyasını indirebilir veya şifreli telefon numaranı kalıcı olarak silerek kimlik bağını kaldırabilirsin.

GroundBox — 6698 Sayılı KVKK Kapsamında Birleştirilmiş Aydınlatma Metni, Açık Rıza Beyanları ve Saklama Politikası (KMZ-1, KMZ-24)

Sürüm: kvkk-v1 (Hukuki inceleme tamamlandı ve onaylandı — 10 Kasım 2026; pilot başvuru formu onay sürümü venue-pilot-signup-v1) Son Güncelleme: 3 Kasım 2026

Uygulama Notu: Bu doküman, GroundBox platformundaki tüm kişisel veri işleme süreçlerini (Misafir Girişi ve Şarkı Sırası, Pilot Mekân Başvuru Formu ve Mekân Yetkilisi / Personel / Spotify Bağlantısı) tek ve sade bir çatı altında toplar. Son onay sonrasında KMZ-12 (misafir girişi), KMZ-17 (personel/mekân kaydı) ve KMZ-38 (pilot başvuru formu) ekranlarındaki metin sürümleri bu dokümanla eşleştirilecektir.

1. Veri Sorumlusu ve İletişim Bilgileri

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca kişisel verileriniz, platform işletmecisi sıfatıyla Workouse Yazılım Ltd. Şti. (GroundBox hizmetinin işletmecisi; bundan sonra “GroundBox” olarak anılacaktır) tarafından aşağıda açıklanan kapsamda işlenmektedir.

  • E-posta / Başvuru Adresi: kvkk@workouse.com (veya belirlenen resmi iletişim adresi)
  • Ticaret Unvanı: Workouse Yazılım Ltd. Şti.
  • Vergi Kimlik Numarası (VKN): 8141022044
  • Şirket Web Sitesi: https://workouse.com
  • Hizmet Web Adresi: https://groundbox.app

(Not: Misafirin bulunduğu mekânda yaptığı kredi kodu alımı ve mekân personeli tarafından yürütülen sıra moderasyonu süreçlerinde ilgili mekân işletmesi kendi faaliyetleri bakımından ayrıca sorumludur.)

2. İşlenen Kişisel Veriler, İşleme Amaçları ve Hukuki Sebepler

GroundBox, veri minimizasyonu ilkesi gereğince yalnızca hizmetin çalışması ve kötüye kullanımın önlenmesi için zorunlu olan verileri işler:

Veri Sahibi Grubu İşlenen Kişisel Veri Kategorileri İşleme Amaçları KVKK m.5 Kapsamındaki Hukuki Sebep
1. Mekân Misafirleri (Guests) İletişim ve Kimlik Doğrulama: +90 cep telefonu numarası (HMAC-SHA256 arama özeti ve AES-256-GCM ile şifrelenmiş olarak; açık metin saklanmaz), 6 haneli SMS doğrulama kodu (OTP) kaydı, isteğe bağlı takma ad (Guest #<rastgele> varsayılanı).
İşlem ve Cihaz Güvenliği: 30 günlük imzalı HttpOnly doğrulama çerezi, IP alt ağ (/24 veya /48) hız sınırı özeti, Cloudflare Turnstile bot doğrulama sonucu.
Konum Doğrulama: Mekâna $\le 100\text{ metre}$ mesafede bulunulduğuna dair anlık tarayıcı GPS yakınlık teyidi (ham koordinat geçmişi veri tabanında saklanmaz).
Kullanım ve Kredi Kayıtları: Kullanılan 5 haneli kredi kodları, şarkı ekleme/öne taşıma (boost) işlemleri ve gece boyu geçici engelleme (banned_until) durumu.		 - Sahte istekleri ve spam’i önleyerek misafir kimliğini SMS ile doğrulamak
- Misafirin fiziksel olarak mekânda bulunduğunu girişte ve saatte bir teyit etmek
- Tek mekânda geçerli kredi bakiyesini, şarkı sırasını ve iadeleri (Skip & Refund) doğru hesaplamak
- 30 gün boyunca aynı cihazda tekrar SMS göndermeden hızlı giriş sağlamak		 - KVKK m.5/2-(c): Sözleşmenin / hizmetin kurulması ve ifası (telefon, OTP, kredi ve sıra işlemleri)
- KVKK m.5/2-(f): Veri sorumlusunun meşru menfaati ve dolandırıcılığın/bot saldırılarının önlenmesi (Turnstile, hız sınırları, şifreli saklama)
- KVKK m.5/1 (Açık Rıza): Aktif oturum süresince saatlik tarayıcı konum (GPS) yakınlık doğrulaması
2. Pilot Mekân Başvuru Sahipleri (venue-pilot-signup-v1) İletişim ve Başvuru Bilgileri: Mekân adı, yetkili adı-soyadı, şehir, +90 cep telefonu numarası (AES-256-GCM ile şifreli), başvuru dili, Turnstile doğrulama kaydı, onay zaman damgası. - Pilot programa yapılan başvuruyu değerlendirmek
- Kurulum ve demo süreci için mekân yetkilisiyle iletişime geçmek		 - KVKK m.5/2-(c): Sözleşme öncesi başvuru değerlendirmesi ve iletişime geçilmesi
- KVKK m.5/1 (Açık Rıza): Başvuru formundaki iletişim ve yurt dışı altyapı kullanımı onayı
3. Mekân Sahipleri ve Personeli (owner, bartender) Kimlik ve İletişim: Ad-soyad / görünen ad, +90 cep telefonu numarası (AES-256-GCM ile şifreli), rol (owner, bartender), işletme VKN/TCKN (isteğe bağlı) ve adres/koordinat bilgileri.
Operasyon ve Entegrasyon: Vardiya açılış/kapanışları, üretilen/iptal edilen kredi kodları, sıra moderasyon işlemleri (audit_log), mekâna bağlı Spotify OAuth 2.0 yenileme anahtarı (AES-256-GCM ile şifreli).		 - Yetkili personel girişini sağlamak ve vardiya/kredi güvenliğini denetlemek
- Mekânın kendi Spotify hesabına şarkı sırasını senkronize etmek
- Kötüye kullanım ve kasa/kod uyuşmazlıklarını önlemek		 - KVKK m.5/2-(c): B2B hizmet sözleşmesinin ifası
- KVKK m.5/2-(ç) ve (e): Hukuki yükümlülüğün yerine getirilmesi ve bir hakkın tesisi/korunması (audit_log ve kredi kayıtları)
- KVKK m.5/2-(f): İşletme güvenliği ve suistimalin önlenmesi

3. Kişisel Verilerin Toplanma Yöntemi ve Güvenlik Önlemleri

Kişisel verileriniz; masadaki QR kodun okutulmasıyla açılan web arayüzü, pilot başvuru formu ve personel yönetim paneli üzerinden elektronik ortamda otomatik yollarla toplanmaktadır.

GroundBox tarafından uygulanan teknik güvenlik tedbirleri şunlardır:

  1. Uygulama Katmanında Şifreleme: Telefon numaraları ve Spotify OAuth anahtarları veri tabanında asla açık metin (plaintext) olarak saklanmaz; kayıt bazlı bağlam (guest:<id>:phone, staff:<id>:phone, venue_signup:<id>:phone) ile AES-256-GCM algoritması kullanılarak şifrelenir. Arama işlemleri yalnızca gizli anahtarlı HMAC-SHA256 özeti üzerinden yapılır.
  2. Ham Konum Kaydı Tutulmaması: Misafir cihazından alınan GPS koordinatı yalnızca mekân koordinatına $\le 100\text{ metre}$ mesafede olunup olunmadığını kontrol etmek için anlık olarak işlenir; misafirin ham GPS koordinat geçmişi veri tabanına kaydedilmez.
  3. Ticari SMS Gönderilmemesi: Telefon numaraları yalnızca tek kullanımlık doğrulama kodu (OTP) göndermek ve zorunlu başvuru/hizmet iletişimini sağlamak için kullanılır; reklam, kampanya veya pazarlama SMS’i gönderilmez.

4. Kişisel Verilerin Aktarılması ve Yurt Dışı Altyapı Kullanımı

Kişisel verileriniz üçüncü kişilere pazarlama amacıyla kesinlikle satılmaz veya paylaşılmaz. Hizmetin teknik olarak sunulabilmesi amacıyla yalnızca aşağıdaki altyapı sağlayıcılarıyla (veri işleyenlerle) sınırlı olarak paylaşılır:

  • Cloudflare, Inc. (ABD / Küresel Edge Ağı): Web uygulamasının barındırılması (Workers), şifreli veri tabanı (D1), canlı sıra yönetimi (Durable Objects), bot koruması (Turnstile) ve sistem bildirim e-postaları (Email Sending).
  • Twilio Inc. (ABD / Küresel Telekom Ağı): +90 cep telefonu numarasına 6 haneli tek kullanımlık SMS doğrulama kodunun (OTP) iletilmesi.
  • Spotify AB (İsveç / AB): Yalnızca mekân sahibinin bağladığı Spotify hesabında çalma sırasının güncellenmesi (misafir telefon numaraları Spotify ile paylaşılmaz).
  • Functional Software, Inc. / Sentry (ABD / AB): Kişisel veri (telefon numarası vb.) maskelenmiş şekilde yalnızca yazılım hatalarının ve sistem kesintilerinin izlenmesi.
  • Yetkili Kamu Kurum ve Kuruluşları: Hukuki uyuşmazlık veya mevzuattan doğan zorunluluk halinde yetkili adli/idari merciler.

Aktarımlar, KVKK m.8 ve m.9 hükümlerine uygun olarak şifreleme tedbirleri ve veri işleyen sözleşmeleri/standart sözleşmeler çerçevesinde gerçekleştirilir.

5. Kişisel Verileri Saklama ve İmha Süreleri (KMZ-24)

Veri Kaydı / Tablo Saklama Süresi Süre Sonunda Uygulanan İmha Yöntemi
SMS OTP Kayıtları (otp_challenges, staff_otp_challenges) 30 gün (saatlik/günlük hız sınırı penceresi tamamlandıktan sonra) Otomatik zamanlanmış görev (Cron Trigger) ile kalıcı silme (DELETE).
Turnstile ve Başvuru Hız Sınırı Kayıtları 15 dakika – 30 gün Otomatik zamanlanmış görev ile kalıcı silme.
Doğrulanmış Cihaz Çerezi (HttpOnly Cookie) 30 gün Tarayıcı tarafından sürenin sonunda otomatik silinir.
Saatlik Konum Doğrulama Oturumu (check_ins) Aktif oturum süresince (1 saatlik yenileme; çıkışta derhal sona erer) Ham koordinat hiç kaydedilmez; oturum kaydı 30 gün sonra temizlenir.
Misafir Şifreli Telefon Numarası (guests.phone_encrypted) Son mekân ziyaretinden itibaren 1 yıl (veya silme talebi anında derhal) phone_encrypted alanı silinir ve phone_hash anonimleştirilir.
Pilot Mekân Başvuruları (venue_signups) Değerlendirme süresince, en fazla 1 yıl Değerlendirilmeyen veya silme talep edilen başvuruların şifreli telefon verisi imha edilir.
Kredi Defteri (credit_ledger) ve Denetim Kayıtları (audit_log) Vergi ve ticari zamanaşımı süresince (5 – 10 yıl) Telefon numarasıyla bağı koparılmış (anonimleştirilmiş) muhasebe/denetim kaydı olarak saklanır.

6. İlgili Kişinin KVKK m.11 Kapsamındaki Hakları

KVKK’nın 11. maddesi uyarınca her zaman GroundBox’a başvurarak:

  1. Kişisel verilerinizin işlenip işlenmediğini öğrenme ve işlenmişse bilgi talep etme,
  2. İşlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
  3. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
  4. Eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
  5. KVKK m.7 çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini (telefon numaranızın şifreli kaydının silinerek anonimleştirilmesini) ve yapılan işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
  6. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz.

Başvurularınızı kvkk@workouse.com adresine veya uygulama içindeki veri silme/dışa aktarma aracılığıyla iletebilirsiniz; talebiniz en geç 30 gün içinde ücretsiz olarak sonuçlandırılır.

7. Uygulama Ekranlarında Kullanılacak Kısa Onay ve Katmanlı Aydınlatma Metinleri

A. Misafir Giriş Ekranı (KMZ-12)

  • Onay Kutusu 1 (Aydınlatma + Hizmet/Yurt Dışı Altyapı):

    [ ] KVKK Aydınlatma Metni’ni okudum; kimlik doğrulaması ve sıra hizmeti için telefon numaramın şifreli olarak işlenmesini kabul ediyorum.

  • Onay Kutusu 2 (Saatlik Konum Doğrulaması Açık Rızası):

    [ ] Mekânda giriş yaptığım sürece her saat tarayıcı üzerinden yakınlık (konum) doğrulaması yapılmasına açık rıza veriyorum. (İstediğiniz an “Çıkış yap” diyerek rızanızı geri alabilirsiniz; ham koordinatlarınız kaydedilmez.)

B. Pilot Mekân Başvuru Formu (KMZ-30 / KMZ-38 — venue-pilot-signup-v1)

  • Onay Kutusu:

    [ ] KVKK Aydınlatma Metni’ni okudum; pilot başvurumun değerlendirilmesi ve benimle iletişime geçilmesi amacıyla iletişim bilgilerimin işlenmesine onay veriyorum.

C. Mekân Kayıt ve Personel Ekranı (KMZ-17)

  • Onay Kutusu 1 (Müzik Lisansı Beyanı):

    [ ] İşyerinde umuma açık alanda müzik yayını için gereken tüm telif/lisansların (MESAM, MSG vb.) ve Spotify kullanım koşullarının mekânımızın sorumluluğunda olduğunu kabul ve beyan ederim.

  • Onay Kutusu 2 (KVKK):

    [ ] KVKK Aydınlatma Metni’ni okudum.