プライバシーポリシー（GDPR と KVKK）
責任者
店舗のオーナーとスタッフのアカウント、請求、ウェブサイトのデータ、およびお客様のアカウントについては、QRder チームが管理者です。店舗のお客様の注文データ（どのテーブルで何を注文したか）については、店舗が管理者、QRder が処理者です。データ処理条件をご覧ください。本文書は、トルコの個人データ保護法（KVKK、法律第 6698 号）が求める通知も兼ねています。
処理するデータ
アカウント: メールアドレス、パスワード（ハッシュ化したもののみ保存）、Google でのログイン、名前、アバター。プロフィール（任意）: 氏名、電話番号、国、誕生日（月と日のみ）。ログインしないお客様には、個人情報のない匿名アカウントを作成します。注文: 商品、テーブル、メモ、状態、任意の名前と電話番号。ロイヤルティ: スタンプ、特典、サプライズボックスの来店、メイヤーとクエストのスコア、お気に入り、希望の言語。端末: 許可した場合のプッシュ通知の登録、Cookie とローカルストレージ（Cookie ポリシーをご覧ください）、セキュリティ確認のための IP アドレス。スタッフ: 名前、役割、招待メール、ウェイターの PIN。店舗の請求: 会社名または個人名、住所、メール、電話番号、納税番号または身分証番号。カード情報は QRder では保存せず、iyzico が直接処理します。名前、電話番号、メール、身分証番号は、データベース内で暗号化されます。
利用目的と法的根拠
サービスの運営、注文の伝達、アカウントの管理のため（契約の履行）。請求書の発行と記録の保存のため（法的義務）。不正利用の防止、プラットフォームの保護、人間確認のため（正当な利益）。ご希望の注文状況や通知を送るため（契約、または必要な場合は同意。同意はいつでも撤回できます）。ロイヤルティ機能と誕生日サプライズを提供するため（契約、および任意の誕生日と国については同意）。トルコ法では、これらは KVKK 第 5 条と第 6 条の根拠にあたります。
データの提供先
必要なサービス提供者のみです。Supabase（データベース、ログイン、ファイル保存）、Vercel（ホスティング）、iyzico（契約の支払い）、Resend または Gmail などの SMTP メールサービス（メール）、Apple、Google、Mozilla のブラウザのプッシュサービス（通知）、Cloudflare（Turnstile の人間確認）、Google（Google ログイン、Places のデータ、メニュー文の Cloud Translation と Gemini、店舗が接続した場合の Business Profile）、Microsoft Azure（有効な場合のメニュー文の翻訳）。店舗が書いたメニューの名前と説明は翻訳事業者に送られますが、お客様のデータは送られません。店舗は自店のお客様の注文と、ロイヤルティに必要な会員データを見ることができます。当局には、法律で求められる場合にのみ提供します。個人データを販売することも、広告に使うこともありません。
海外への移転
一部の事業者は、トルコおよび欧州経済領域の外でデータを処理します。 詳細はお問い合わせください。
保存期間
90日間操作のないお客様アカウントは自動的に削除されます。約14日前に1回警告を送ります（メール、有効な場合はプッシュ通知）。一度サインインすればアカウントは維持されます。匿名のゲストアカウントは30日間操作がなければ削除されます。アカウントが削除されると、店舗の注文と会計は店舗の会計のために保持されますが匿名化されます（アカウントとの関連付け、氏名、メールアドレス、受け取り用の氏名や電話番号はありません）。それ以外の本人に関するすべて（プロフィール、プッシュ通知の登録、お気に入り、ロイヤルティ、スタンプと特典、来店スキャンなど）は削除されます。店舗が削除されると、その注文、会計、レポートも一緒に削除され、その店舗でのみ働くスタッフのアカウントは削除されます。オーナーが退会した後も、サブスクリプションの支払い記録（金額、日付、方法、決済事業者の参照番号）と組織の会社情報および税務項目は、会計および法的義務のために保持されます。個人の請求情報の項目は削除されます。お問い合わせフォームの内容は90日後に削除されます。注文のステータス履歴と完了したサービスリクエストは90日後に削除されます。注文の確認コードは60分間有効です。セキュリティ用カウンターは約1日保持されます。一部のデータは、第三者の処理事業者（たとえば決済事業者自身の顧客記録）に、その事業者のポリシーに従って残る場合があります。
セキュリティ
通信の暗号化、重要な項目の暗号化、店舗ごとのアクセス制御、ログインと PIN の試行回数の制限、自動化された不正利用を防ぐ人間確認を行っています。完全に安全なシステムはありません。情報漏えいがお客様に影響する場合は、法律に従い、お客様と当局にお知らせします。
お客様の権利
KVKK第11条およびGDPRに基づき、データを処理しているかどうかの確認、写しの取得、訂正または削除、処理の制限または異議、同意の撤回、他のサービスへのデータ移行を求めることができます。お客様はアプリ内で自分のアカウントを削除できます（アカウント > プロフィール > アカウントを削除）。店舗オーナーは設定 > 店舗を削除で店舗を削除し、その後アカウントを削除します。その他のご依頼は、QRderのウェブサイトに表示されている連絡先にご連絡ください。30日以内に回答します。ゲストの注文データについては店舗にも問い合わせられます。
苦情
権利が守られていないと思う場合は、トルコ個人データ保護委員会（Kişisel Verileri Koruma Kurulu）、またはお住まいの国のデータ保護機関に申し立てることができます。
お子様
本サービスは、保護者なしのお子様が使うことを想定していません。お子様のためにアカウントを作成しないでください。
変更
サービスや法律が変わった場合、本ポリシーを更新します。