Gizlilik Politikası

Son güncelleme: 28 Ekim 2026

1. Biz kimiz

Cordi, İngiltere ve Galler'de 11925189 şirket numarasıyla kayıtlı, kayıtlı merkezi Demsa Accounts, 565 Green Lanes, Haringey, London, England, N8 0RL adresinde bulunan Morodo Limited ("Cordi" markasıyla faaliyet gösterir) tarafından işletilir.

Bu Politika'da açıklanan kişisel veriler bakımından Morodo Limited, Birleşik Krallık Genel Veri Koruma Tüzüğü ("UK GDPR") ve 2018 tarihli Veri Koruma Kanunu kapsamında veri sorumlusudur. Birleşik Krallık Bilgi Komiserliği'ne (ICO) ZC281474 numarasıyla kayıtlıyız. Türkiye'deki kullanıcılarımız bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında da veri sorumlusuyuz; KVKK'ya özgü bilgilendirme KVKK Aydınlatma Metni'nde yer alır.

Bu Politika veya kişisel verileriniz hakkında sorularınız için:

E-posta: [email protected]

2. Kapsam

Bu Politika şunlara uygulanır:

• Son kullanıcıların ("Müşteriler") katılımcı işletmelerde sadakat damgası toplamak ve ödül kullanmak için kullandığı Cordi mobil uygulaması;
• İşletme sahiplerinin ("İşletme Sahipleri") kaydolmak ve sadakat programlarını yönetmek için kullandığı, "Hemen katıl" kaydı dahil Cordi İşletme Paneli (web paneli); ve
• İletişim formu ve hesap silme sayfası dahil Cordi tanıtım sitesi (cordiloyalty.com).

Bunların tümüne birlikte "Hizmet" diyoruz.

3. Hangi kişisel verileri topluyoruz

3.1 Müşteriyseniz

Cordi'de ad alanı yoktur ve adınızı sormayız (Google ile girişte Google'ın ilettiği ad yukarıda açıklandığı gibi kullanılmaz). Konumunuzu arka planda takip etmeyiz. Konum yalnızca uygulama açıkken istenir: Keşfet haritasında ve damga topladığınız, ödül kullandığınız veya doğum günü hediyesi aldığınız anda.

3.2 İşletme Sahibiyseniz

3.3 Tanıtım sitesindeki iletişim formunu kullanırsanız

Yalnızca formu kullanmayı seçerseniz gönderilen adınız, işletme adınız (varsa), e-posta adresiniz, telefon numaranız ve yazdığınız mesaj.

3.4 Bize e-posta veya mesaj gönderirseniz

Bize e-posta veya WhatsApp ile yazarsanız — örneğin destek için, hesabınızın silinmesini istemek için veya Bölüm 14'teki haklarınızdan birini kullanmak için — e-posta adresinizi (WhatsApp'ta telefon numaranızı ve WhatsApp profil adınızı), mesajınızı ve eklerini alırız ve size cevap verebilmek ve talebinizi nasıl karşıladığımızı gösterebilmek için yazışmayı saklarız.

3.5 Özel nitelikli kişisel veriler

Hizmet; sağlık, biyometrik veya genetik veri, din, siyasi düşünce, sendika üyeliği ya da ceza mahkûmiyeti gibi özel nitelikli kişisel veri toplamak üzere tasarlanmamıştır. Lütfen kampanya metinlerine, notlara veya bize gönderdiğiniz mesajlara bu tür veriler yazmayın.

4. İşletme Sahipleri neleri görebilir

4.1 Müşteri hareketleri

Bir İşletme Sahibi yalnızca kendi müşterileri (işletmesinde en az bir damga toplamış kişiler) için şunları görebilir:

• Müşterinin e-posta adresinin maskelenmiş hâli (örneğin o***@gmail.com) — tam adres hiçbir zaman, ad da hiçbir zaman gösterilmez. Maskeleme sunucumuzda yapılır, bu nedenle tam adres işletmenin paneline veya dışa aktarımlarına hiç ulaşmaz. Henüz hesap oluşturmamış misafirler "Misafir" olarak görünür;
• O işletmedeki damga ve ziyaret geçmişi ile bundan türetilen istatistikler: son ziyaret tarihi, genellikle ne sıklıkla geldiği, kendi geçmiş ziyaret düzenine göre şu anda "gecikmiş" görünüp görünmediği ve işletmenin genel görünümünde hangi grupta (yeni, aktif, gecikmiş veya kaybedilmiş) olduğu.

İşletme Sahipleri e-posta adresiyle müşteri arayamaz, Müşterinin doğum gününü veya konumunu göremez. Yalnızca maskelenmiş e-posta gördükleri için sizinle Cordi dışında iletişime geçemezler.

Bunlar, bir işletmenin kendi ziyaret kayıtlarından üretilen, kendi müşterilerine ilişkin açıklayıcı bilgilerdir. Hiçbir işletme başka bir işletmenin müşterilerini veya verilerini göremez; Cordi bu verileri işletmeler arasında veya reklamveren, veri simsarı gibi üçüncü kişilerle paylaşmaz, birleştirmez, satmaz veya aracılık etmez.

İşletme Sahipleri kendi müşterilerine — ya tümüne ya da "gecikmiş" görünenlere — kampanya yayımlayabilir. Kampanyalar yalnızca Cordi uygulamasının içinde gösterilir; size e-postayla gönderilmez. Bu hedefleme, işletmenin kendi geçmiş ziyaret verilerine ilişkin açıklayıcı bir analizdir; hakkınızda hukuki veya benzer ölçüde önemli sonuç doğuran otomatik bir karar içermez ve sonuçta bir insanın sorumlu olmadığı hiçbir karar alınmaz (neyin yayımlanacağına İşletme Sahibi karar verir). Bir kampanya yayımlandığında, işletme kampanyayı silene kadar hangi müşterilere gönderildiğinin kaydını tutarız (bkz. Bölüm 3.1).

4.2 Doğum günü hediyesi

Bir İşletme Sahibi doğum günü hediyesi (örneğin ücretsiz bir içecek) sunmayı seçebilir. Doğum gününüzü bize verdiyseniz, doğum gününüzden 7 gün önce ile 7 gün sonrası arasında, doğum gününüz en az 30 gündür kayıtlıysa ve o işletmeyi daha önce ziyaret ettiyseniz, her işletmenin hediyesini her doğum gününde bir kez, işletmede alabilirsiniz.

Hediye sunan bir işletme yalnızca, hediyesini verdiği müşterinin yanında 30 gün boyunca bir "Hediye verildi" işareti ve alınan hediye sayısını görür. Doğum tarihinizi veya yılınızı ya da doğum gününüzün yaklaşıp yaklaşmadığını hiçbir zaman görmez. Hediye sunmayan bir işletme doğum gününüz hakkında hiçbir şey görmez. İşletmeler başka bir işletmede hediye alıp almadığınızı göremez.

Bu Müşteri verilerinin veri sorumlusu Morodo Limited'dir. Bunları İşletme Panelinde görüntüleyen İşletme Sahibi, kendi sınırlı kullanımı bakımından ayrı bir veri sorumlusu olur; İşletme Koşulları'mız (Bölüm 9) bu kullanımı işletmenin Cordi üzerindeki sadakat programını yürütmesiyle sınırlar.

4.3 Sadakat işlemlerinin doğrulanması

Damga, ödül veya doğum günü hediyesi; başkasının telefon numarası, e-posta adresi veya benzeri bir bilgi söylenerek alınamaz. Bunlar yalnızca hesap sahibinin kendi telefonundaki Cordi uygulamasıyla, işletmedeki NFC etiketine dokunarak (veya QR kodunu okutarak) ya da kasada uygulamada onaylanarak ve her seferinde işletmede bulunduğunuz konumla doğrulanarak alınabilir.

5. Verileri kimlerle paylaşıyoruz

5.1 Hizmet sağlayıcılar

Cordi'yi işletmek için aşağıdaki hizmet sağlayıcıları ("alt işleyiciler") kullanırız. Her biri kişisel verileri yalnızca bize hizmetini sunmak için gerektiği ölçüde işler:

5.2 Diğer açıklamalar

Kişisel verileri ayrıca şu durumlarda açıklayabiliriz:

• Kanun gerektirdiğinde — kanunen zorunlu olduğumuz hâllerde mahkemeye, düzenleyici kuruma, kolluk veya diğer kamu makamlarına; ya da hukuki taleplerin tesisi, kullanılması veya savunulması için gerekli olduğunda (bu amaçla gizlilik yükümlülüğü altındaki hukuk danışmanlarımıza);
• Hizmet'i ve kullanıcılarını korumak için — sahteciliği (örneğin damga sahteciliğini), güvenlik olaylarını veya Hizmet'in kötüye kullanımını araştırmak veya önlemek için gerektiğinde; ve
• İşletmemiz el değiştirirse — Cordi veya varlıklarının tamamına yakını satılır, birleşir veya devredilirse kişisel veriler alıcıya veya halefe aktarılabilir; bu kişi verileri bu Politika'ya uygun kullanmaya devam etmek zorundadır. Verileriniz farklı bir gizlilik politikasına tabi olmadan önce sizi bilgilendiririz.

Kişisel verilerinizi hiçbir üçüncü kişiye satmayız; reklam ağları, reklam takip çerezleri veya SDK'ları kullanmayız.

6. Uluslararası veri aktarımları

Morodo Limited Birleşik Krallık'tadır ve verilerinize Birleşik Krallık'tan erişilir. Ana veritabanımız (Frankfurt, Almanya) ve uygulama sunucumuz (Hollanda) Birleşik Krallık'ın yeterli kabul ettiği Avrupa Birliği'nde barındırılır. Bazı sağlayıcılar ABD'de bulunur veya verileri ABD'de işler: Railway (ABD şirketi; platform kayıtları), Vercel (İşletme Paneli), Resend, Cloudflare, Google (Gmail, Google Haritalar ve Google ile giriş), Apple (Apple Haritalar ve Apple ile giriş), WhatsApp, Stripe ve FormSubmit.

Kişisel veriler Birleşik Krallık'tan, Birleşik Krallık'ın yeterli kabul etmediği bir ülkeye aktarıldığında şu güvencelerden birine dayanırız:

• Bu çerçeve kapsamında sertifikalı sağlayıcılar için (Google, Apple, Cloudflare, Stripe ve WhatsApp'ı işleten Meta) AB–ABD Veri Gizliliği Çerçevesi'nin Birleşik Krallık Uzantısı; veya
• Sağlayıcının bizimle yaptığı veri işleme sözleşmesine dahil edilen (Railway, Vercel ve Resend) Avrupa Komisyonu Standart Sözleşme Hükümlerine ek Birleşik Krallık Uluslararası Veri Aktarım Eki (IDTA Addendum).

Birleşik Krallık AB'yi yeterli kabul ettiğinden, AB'ye yapılan aktarımlar (Frankfurt'taki veritabanımız ve Hollanda'daki uygulama sunucumuz dahil) ek bir güvence gerektirmez. FormSubmit'in ilettiği iletişim formu gönderimleri yalnızca formu kullanarak bize mesaj göndermeyi seçtiğiniz için ABD'ye aktarılır. Bu güvenceler hakkında Bölüm 17'deki iletişim bilgilerinden ek bilgi isteyebilirsiniz.

Türkiye'deki kullanıcılar için: Cordi'yi Türkiye'den kullandığınızda verileriniz yurt dışına aktarılır. Bu aktarımların KVKK 9. maddesi kapsamındaki dayanağı KVKK Aydınlatma Metni'nde (Bölüm 7) açıklanır.

7. E-postalar ve bildirimler

Size yalnızca hesabınızın işlemesi için gereken hizmet e-postalarını göndeririz; örneğin e-posta doğrulama kodları ve şifre sıfırlama kodları. Pazarlama e-postası veya bülten göndermeyiz ve işletmeler Cordi üzerinden size e-posta gönderemez. İleride pazarlama e-postası göndermeye başlarsak, bunu yalnızca açıkça izin verdiyseniz yaparız; Türkiye'deki alıcılar bakımından bu izinler 6563 sayılı Kanun ve İleti Yönetim Sistemi (İYS) dahil ilgili mevzuata uygun şekilde yönetilir. Her e-postada abonelikten çıkma yolu bulunur ve hayır demeniz Cordi'yi kullanmanızı etkilemez.

Cordi şu anda anlık bildirim (push) göndermemektedir. Bu özellik Hizmet'te etkin değildir.

İşletme Sahibiyseniz, kurulum ziyaretiniz, destek veya Hizmet'te işletmenizi etkileyen bir sorun hakkında sizi arayabilir veya size mesaj gönderebiliriz. Pazarlama araması yapmayız ve pazarlama mesajı göndermeyiz.

8. Ödemeler

Müşteriler Cordi üzerinden hiçbir ödeme yapmaz. İşletme Sahipleri aboneliklerini ödeme sağlayıcımız Stripe üzerinden kartla öder. Kart bilgilerinizi Stripe'ın güvenli ödeme sayfasına girersiniz ve bunları Stripe saklar; kart numaranızın tamamını hiçbir zaman görmeyiz ve saklamayız. Stripe, ödeme verilerini kendi gizlilik politikasında açıklandığı gibi, sahteciliğin önlenmesi ve yasal yükümlülüklerini yerine getirmesi gibi kendi amaçları için de işler. Lütfen kart numaranızı veya güvenlik kodunuzu bize e-postayla veya mesajla göndermeyin.

9. Çerezler ve takip

Tanıtım sitemiz reklam veya analiz çerezi kullanmaz; uygulama ve İşletme Paneli de üçüncü taraf analiz veya reklam SDK'sı kullanmaz. Uygulama ve panel yalnızca çalışmaları için gerekenleri saklar; örneğin oturumunuzu açık tutmak ve dil tercihinizi hatırlamak. Ayrıntılar Çerez Politikası'ndadır. İletişim formu FormSubmit tarafından işlenir (bkz. Bölüm 5); bu sizin için önemliyse, kontrolümüz dışındaki FormSubmit'in çerez ve gizlilik uygulamalarını incelemenizi öneririz.

10. Verileri işlemenin hukuki dayanağı (UK GDPR)

Türk hukuku (KVKK md. 5) kapsamındaki hukuki sebepler KVKK Aydınlatma Metni'nde (Bölüm 4) ayrıca gösterilir.

11. Verilerinizi ne kadar süre saklıyoruz

12. Hesabınızı silme

Müşteriler hesaplarını uygulamadan dilediğiniz zaman silebilir: Hesap → Profil → Hesabı sil. Hesap hemen ve kalıcı olarak silinir. Uygulamayı kullanamıyorsanız, Cordi'ye kayıtlı e-posta adresinizden "Hesap silme" konulu bir e-postayı [email protected] adresine gönderin; talebinizi en geç 30 gün içinde yerine getirir ve e-postayla teyit ederiz.

Hesabınızı silmek ona bağlı her şeyi siler: sadakat kartlarınız, tüm damgalarınız, biriktirmekte olduğunuz veya henüz kullanmadığınız ödüller, ödül kullanımlarınız, doğum gününüz, doğum günü hediyesi kayıtlarınız ve kampanya hedefleme kayıtlarınız. Bu işlem geri alınamaz; daha sonra tekrar kaydolursanız sıfırdan başlarsınız. Geriye yalnızca sağlayıcımızın yaklaşık 7 gün içinde üzerine yazılan yedeklerindeki kopyalar kalır (Bölüm 11).

İşletme Sahipleri hesaplarını henüz panelden silemez; çünkü bu, işletmeyi ve müşterilerinin sadakat kartı geçmişini de siler. Yukarıdaki adrese e-posta gönderin; işletme kaydını kapatır, logosunu ve yüklenen diğer dosyaları, adınızı, telefon numaranızı ve kurulum ziyareti bilgilerinizi siler ve hesabı sileriz. Faturaları ve ödeme kayıtlarını kanunun gerektirdiği süre boyunca saklarız (Bölüm 11).

13. Çocuklar ve asgari yaş

Cordi çocuklara yönelik değildir. Cordi hesabı oluşturmak için en az 16 yaşında olmalısınız. Bu yaşın altındaki birine ait kişisel veri tuttuğumuzu öğrenirsek hesabı ve verilerini sileriz. Bir veli veya yasal temsilci, çocuğuna ait verilerin işlendiğini düşünüyorsa bizimle iletişime geçebilir.

14. Haklarınız

UK GDPR kapsamında şu haklara sahipsiniz:

• Hakkınızda tuttuğumuz kişisel verilere erişim;
• Yanlış veya eksik verilerin düzeltilmesi (örneğin doğum gününüzdeki bir hata);
• Verilerinizin silinmesi ("unutulma hakkı") — bkz. Bölüm 12;
• Verilerinizin işlenmesinin kısıtlanması;
• Belirli durumlarda işlenmesine itiraz — ziyaret geçmişinizin "gecikmiş" kampanya hedeflemesinde kullanılmasına itiraz dahil;
• Teknik olarak mümkün olduğunda verilerinizin başka bir hizmete taşınması;
• Hakkınızda hukuki veya benzer ölçüde önemli sonuç doğuran, yalnızca otomatik işlemeye dayalı kararlara tabi olmama (Cordi bu tür kararlar vermez — bkz. Bölüm 4.1);
• Rızaya dayanan işlemeler için rızanızı dilediğiniz zaman geri çekme (bu, geri çekmeden önceki işlemenin hukuka uygunluğunu etkilemez).

Bu haklardan herhangi birini kullanmak için [email protected] adresinden bize yazın. Talebin gerçekten size ait olduğunu bilmek için talebi kayıtlı e-posta adresinizden teyit etmenizi isteyebiliriz. UK GDPR'ın gerektirdiği şekilde bir ay içinde cevap veririz.

Cevabımızdan memnun kalmazsanız Birleşik Krallık Bilgi Komiserliği'ne (ICO, ico.org.uk) şikâyette bulunma hakkınız vardır. Türkiye'deki kullanıcılar ayrıca KVKK 11. maddesindeki haklara sahiptir ve Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilir; başvuru yöntemi ve süreler KVKK Aydınlatma Metni'nde açıklanır.

15. Güvenlik

Kişisel verilerinizi korumak için makul teknik ve idari önlemler alırız; bunlar arasında aktarım sırasında verilerin şifrelenmesi, sistemlerimizde kişisel verilere kimin erişebileceğini sınırlayan erişim kontrolleri, işletmeler arasında veri ayrımı ve müşteri e-postalarının işletmelere gösterilmeden önce sunucuda maskelenmesi vardır. Hiçbir aktarım veya saklama yöntemi tamamen güvenli değildir ve mutlak güvenliği garanti edemeyiz.

Kişisel verilerinizin yetkisiz kişilerce ele geçirildiğini öğrenirsek, etkisini sınırlamak için gerekli önlemleri alır ve UK GDPR ile KVKK'nın öngördüğü süre ve yöntemlerle ilgili makamlara ve gerektiğinde size bildirimde bulunuruz.

16. Bu Politika'daki değişiklikler

Bu Politika'yı zaman zaman güncelleyebiliriz; örneğin kişisel verileri yeni bir şekilde kullanan bir özellik eklediğimizde. Önemli değişiklikler yaparsak, yürürlüğe girmeden önce sizi bilgilendiririz (örneğin uygulama içi bir bildirimle) ve yukarıdaki "Son güncelleme" tarihini güncelleriz. Bir değişiklik rızanızı gerektiriyorsa rızanızı isteriz.

17. Bize ulaşın

Morodo Limited (Cordi)
E-posta: [email protected]
Kayıtlı merkez: Demsa Accounts, 565 Green Lanes, Haringey, London, England, N8 0RL, Birleşik Krallık