Gizlilik politikası — Cafe Brewly

1. Özet

Cafe Brewly bir SaaS kafe yönetim platformudur — QR menü, sipariş akışı, mutfak ve kasiyer ekranları ve kafene ait satış verisini okuyan Çırak adlı bir yapay zeka asistanı. Hizmeti çalıştırmak için hesap, kafe, sipariş ve kullanım verilerini işleriz. Kişisel veri satmayız ve kafenin verisini reklam için kullanmayız.

2. İşlenen veriler

Yalnızca hizmetin çalışması için gereken verileri toplarız:

• Hesap: e-posta, ad, isteğe bağlı telefon (personel OTP girişi), kullanıcı rolü ve şube erişimi.
• Kafe/organizasyon: isim, logo, adres, telefon, vergi bilgileri ve sağladığın diğer ayarlar.
• Operasyonel: girdiğin sipariş, ürün, fiyat ve diğer iş kayıtları.
• Ödeme: işlem başına ödeme yöntemi türü (nakit/kart) — kart numarası asla saklanmaz.
• Müşteri geri bildirimi: isteğe bağlı puan, yorum ve (sağlanırsa) iletişim e-postası.
• Bülten (opt-in): pazarlama için topladığın müşteri e-postaları.
• AI konuşmaları: Çırak ile yapılan mesajlar ve yanıt üretmek için kullanılan satış verisi özetleri.
• Kullanım verisi: PostHog üzerinden ürün analitiği için anonim eventler.
• Tanılama: Sentry üzerinden çökme ve hata raporları.
• Oturum: Supabase SSR üzerinden kısa ömürlü kimlik doğrulama çerezleri.

3. Verileri ne için kullanırız

Verilerin temel hizmeti çalıştırır ve sağlıklı tutar:

• Platformu çalıştırmak — siparişler, menüler, rol bazlı erişim, AI yanıtları.
• Hesabını, kafenizi ve personel kimliklerinizi yönetmek.
• Hata tespiti, kötüye kullanımı önleme (hız sınırlama) ve performans iyileştirme.
• İşlemsel ve (opt-in) bülten e-postalarını göndermek.
• Yasal yükümlülüklere uymak.

4. Hukuki sebepler (GDPR)

Sözleşmenin ifası (Md. 6(1)(b)), güvenlik ve iyileştirmedeki meşru menfaat (Md. 6(1)(f)), gereken hâllerde bülten ve analitik için açık rıza (Md. 6(1)(a)) ve yasal yükümlülük (Md. 6(1)(c)).

5. Verileri kimlerle paylaşırız

Alt işleyenler talimatımız doğrultusunda hareket eder — kişisel veri satmayız:

• Supabase — kimlik doğrulama, veritabanı ve dosya depolama (e-posta, ad, telefon, tüm uygulama verisi, oturum tokenları).
• Google (Gemini API) — Çırak’ın AI yanıtlarını üretir (gönderdiğin sorular + ilgili satış özeti).
• Upstash (Redis) — kötüye kullanımı önlemek için hız sınırlama (hash’lenmiş kullanıcı ID + sayaç; içerik saklanmaz).
• PostHog — ürün analitiği (anonim kullanıcı ID, sayfa görüntüleme, özellik eventleri).
• Sentry — çökme raporlama (hata stack trace’leri, bağlamsal kullanıcı ID, cihaz/tarayıcı bilgisi).
• Resend — işlemsel e-posta (alıcı adresi, ad, e-posta içeriği).
• Vercel — barındırma ve Edge runtime (istek logları, geçici IP adresi, runtime meta verisi).

6. Çırak (AI asistanı) ve kafe verin

Çırak’a bir soru sorduğunda, mesajını ve kafene ait satış verisinin ilgili bir özetini Google Gemini API’ye yanıt üretmek için göndeririz. Çırak verini model eğitimi için kullanmaz, başka kafelerle paylaşmaz ve müşterilerini profillemek için kullanılmaz. Çırak’ın yanıtları bilgilendirme amaçlıdır — finansal, hukuki veya iş danışmanlığı yerine geçmez.

7. Saklama süreleri

Farklı veriler ne kadar saklanır:

• Hesap ve kafe verisi: hesabın aktif olduğu sürece saklanır.
• Sipariş ve operasyonel veri: hesabın aktif olduğu sürece (geçerli muhasebe/vergi saklama yükümlülüklerine tabi).
• AI konuşmaları: bağlam ve özellik iyileştirme için hesabın aktif olduğu sürece saklanır.
• Analitik ve tanılama: sağlayıcı varsayılanlarına göre.
• Oturum çerezleri: kısa ömürlüdür ve çıkışta yenilenir.

8. Yurt dışı aktarım

Çoğu sağlayıcı (Supabase, Google, Upstash, PostHog, Sentry, Resend, Vercel) verileri Türkiye dışında, ABD ve AB dahil işler. Aktarımlar uygun güvenceler (Standart Sözleşme Hükümleri) ve gerekli hâllerde açık rızana dayanır.

9. Hakların ve hesap silme

GDPR/KVKK kapsamında erişim, düzeltme, silme, kısıtlama, taşınabilirlik ve itiraz haklarına sahipsin. Uygulama içi hesap silme arayüzü yapım aşamasında; bu süre içinde mustafa@mustafaevleksiz.com adresine yaz, 30 gün içinde hesabını ve ilişkili verilerini sileriz.

10. Çerezler

Cafe Brewly, oturum açmanın çalışması için kısa ömürlü kimlik doğrulama çerezleri kullanır (Supabase SSR). Üçüncü taraf reklam veya siteler arası takip çerezi kullanmayız.

11. Güvenlik

Endüstri standardı önlemler uygulanır — aktarımda şifreleme, rol bazlı erişim kontrolleri, hassas uçnoktalarda hız sınırlama. Hiçbir yöntem %100 güvenli değildir; mutlak güvenlik garanti edilemez.

12. Değişiklikler

Bu politikayı güncelleyebiliriz; önemli değişiklikler uygulama içinde veya bu sayfanın tarihi güncellenerek bildirilir.

13. İletişim

Mustafa Evleksiz — mustafa@mustafaevleksiz.com.