Gizlilik Politikası / Privacy Policy

FloorVoice hizmeti Özdemir TradeSolutions – Gözde Toker Özdemir tarafından sunulur. Adres: Siegesstraße 13, 80802 München. Yerleşik olduğu ülke: Almanya. Gizlilik iletişimi: gozde@floorvoice.com. Türkiye’deki veri sorumlusu temsilcisi: Gözde Toker Özdemir.

Web sitesi üzerinden iletilen talepler, işletme iletişimi ve kendi hesap yönetimi süreçlerimizde amaç ve esasları tarafımızca belirlenen kişisel veriler bakımından veri sorumlusuyuz. Otelin belirlediği operasyonel amaçlarla, otelin talimatları doğrultusunda işlediğimiz çalışan kayıtları ve yanıtlar bakımından veri işleyen olarak hareket ederiz. Bu işlemlerin veri sorumlusu ilgili otelin işletmecisidir. Otel, çalışanlarını bu işleme hakkında KVKK madde 10 uyarınca kendisi bilgilendirir ve çalışanların bu verilere ilişkin başvurularının muhatabıdır.

Verileri web sitesi formlarından, hesap işlemlerinden, bize iletilen yazışmalardan ve hizmetin çalışması sırasında oluşan teknik kayıtlardan elektronik ortamda, tamamen veya kısmen otomatik yollarla elde ederiz. Fiilen işlenen veri kategorileri: demo talep formunda ad soyad, otel adı, görev, iş e-postası, ülke ve şehir ile isteğe bağlı açıklama (bu bilgiler veri tabanına kaydedilmez; iki e-posta olarak iletilir ve e-posta kutularında bulunur); yönetici hesabında ad soyad, iş e-postası, otel adı, ülke, şehir, arayüz ve içerik dili ile parola (parola, kimlik doğrulama sağlayıcısı tarafından geri döndürülemez biçimde şifrelenerek saklanır; FloorVoice parolanızı göremez); kimlik doğrulama sağlayıcısının tuttuğu hesap oluşturma ve oturum açma zamanları; davet edilen yöneticiler ve kurulum çalışma arkadaşları için ad ve e-posta (davet bağlantıları yalnızca tek yönlü özet olarak saklanır); güvenlik kayıtlarında işlemi yapan hesap, işlem türü ve ilgili kaydın tanımlayıcısı (yanıt içeriği bu kayıtlara yazılmaz); kötüye kullanımı sınırlamak için IP adresi ve erişim bağlantısının ilk karakterleri, yalnızca kısa süreli sayaç anahtarı olarak; barındırma sağlayıcısının IP adresi, zaman ve istenen sayfa gibi teknik istek kayıtları; bize gönderilen destek ve iletişim yazışmaları.

Otel verileri, yetkili otel temsilcilerinin kayıt girmesi ve çalışanların kişisel erişim bağlantıları üzerinden yanıt vermesiyle elde edilir. Bu kayıtlar çalışan tanımlayıcılarını, birim veya rol bilgilerini, hizmet için gerekli erişim verilerini, operasyonel yanıtları ve iyileştirme takibi kayıtlarını içerir. İsteğe bağlı iletişim bilgileri yalnızca otelin hukuka uygun şekilde etkinleştirdiği iletişim işlevi için işlenir.

Kendi veri sorumlusu faaliyetlerimizin her biri için amaç, gerekli veriler ve KVKK işleme şartı şöyledir: demo talebinizi değerlendirmek ve sizinle iletişim kurmak (demo formu bilgileri): bir sözleşmenin kurulmasıyla doğrudan ilgili olması (m. 5/2-c) ve meşru menfaatimiz (m. 5/2-f); yönetici hesabını açmak, hizmeti sunmak ve müşteri ilişkisini yürütmek (hesap ve iletişim bilgileri): sözleşmenin kurulması ve ifası (m. 5/2-c); hizmetin ve hesapların güvenliğini sağlamak ve kötüye kullanımı önlemek (güvenlik kayıtları, IP adresi, oturum bilgileri): veri güvenliği yükümlülüğümüz (m. 5/2-ç) ve meşru menfaatimiz (m. 5/2-f); yazışmaları kayıt altında tutmak ve olası uyuşmazlıklarda hakkımızı korumak: bir hakkın tesisi, kullanılması veya korunması (m. 5/2-e); kanunen saklanması gereken kayıtları tutmak: kanunlarda açıkça öngörülmesi ve hukuki yükümlülüğümüz (m. 5/2-a ve ç).

Otel adına işlenen veriler; operasyonel soruların sunulması, gözlemlerin değerlendirilmesi, iyileştirme önerilerinin oluşturulması, yönetimin seçtiği aksiyonların takibi ve sonuçların çalışanlarla yeniden kontrol edilmesi için kullanılır. Bu işlemlerin hukuki sebeplerini otel belirler ve çalışanlarına kendisi bildirir. Otel verilerinin reklam, kişisel performans değerlendirmesi, çalışan sıralaması veya disiplin amacıyla kullanılması hizmet kapsamı dışındadır. Otel verilerini satmayız.

Yanıtlar erişim ve takip amacıyla çalışan kayıtlarıyla ilişkilendirilir. Bu nedenle hizmet bütünüyle anonim değildir. Yönetici ekranında adın gizlenmesi, verinin sistemde anonimleştiği anlamına gelmez. Özellikle küçük ekiplerde olay ve birim bilgileri kişinin tahmin edilmesine yol açabilir.

Yönetici panosundaki iyileştirme kayıtları, yanıt veren çalışanın adını göstermez. Ekip sayfası, otelin eklediği çalışanların adını ve birimini gösterir. Destek amacıyla erişim yalnızca yetkilendirilmiş kişilerce ve gerekli kapsamda gerçekleştirilir.

Yapay zekâ ile işlenen veriler, sağlayıcı, amaç, eğitimde kullanım koşulları ve saklama bilgileri: yapay zekâ işlemleri Anthropic’in (ABD) ticari API hizmeti üzerinden yürütülür. Gönderilen veriler: (1) bir çalışanın günlük soru oturumu kapandığında olası sistem nedenini ve üç aksiyon önerisini oluşturmak için o oturumdaki sorular, seçilen yanıt seçenekleri veya çalışanın kendi cümleleri, yanıt referans numaraları ve otelin kurulumda verdiği, ilgili işe ait sınırlı bilgiler — çalışanın adı, rolü, dili, iletişim bilgisi ve yanıt zamanı gönderilmez; (2) bir Açık Sinyal notunun takip edilen bir konuyla ilgili olup olmadığını önermek için notun metni ile en fazla 25 açık konunun sorun ve olası neden metni; (3) yöneticiye gösterilen metinleri okuyucunun diline çevirmek için çevrilecek metin; (4) rapor özetleri için dönemin toplam sayıları ve olası neden başlıkları. Amaç, otel yönetiminin değerlendireceği öneriler üretmektir. Anthropic’in ticari kullanım koşulları gereği API üzerinden gönderilen veriler modellerin eğitiminde kullanılmaz. Anthropic bu verileri kötüye kullanımı önleme amacıyla sınırlı bir süre saklar ve ardından siler; güncel süreler Anthropic’in veri saklama politikasında yer alır. Yapay zekâ çıktıları değerlendirilmesi gereken önerilerdir; çalışanlar hakkında otomatik istihdam veya disiplin kararı verilmesi hizmet kapsamı dışındadır.

Yanıtlara misafirlerin veya başka kişilerin adını, iletişim ya da ödeme bilgilerini; kişisel sağlık, din, sendika üyeliği gibi özel nitelikli bilgileri veya kişi hakkında suçlama eklemeyin. Bu veriler olağan operasyonel soru akışının kapsamı dışındadır. Yanlışlıkla girildiklerini fark ederseniz otelin gizlilik sorumlusuna veya gozde@floorvoice.com adresine bildirin. Gerekli inceleme ve hukuka uygun kaldırma işlemleri için kayıt erişimi sınırlandırılır.

Verilerin aktarıldığı alıcılar, aktarım amaçları, ilgili ülkeler ve fiilen kullanılan hukuki aktarım mekanizmaları: Supabase (ABD) — veri tabanı ve kimlik doğrulama; platform ve otel verilerinin tamamı. Vercel (ABD merkezli; sunucu işlemleri Almanya, Frankfurt bölgesinde) — barındırma, sunucu işlemleri ve istek kayıtları. Anthropic (ABD) — bölüm 5’te sayılan yapay zekâ işlemleri. Resend (ABD) — e-posta gönderimi (demo talepleri, hesap ve davet e-postaları, çalışanların günlük bağlantı e-postaları, aksiyon bildirimleri ve özetler): alıcı adresi, ad ve e-posta içeriği. Upstash (ABD merkezli) — kötüye kullanımı sınırlayan kısa süreli sayaçlar (IP adresi, hesap tanımlayıcısı). Google (ABD) — FloorVoice e-posta kutusu; demo talepleri ve yazışmalar. Tarayıcı bildirim servisleri (Google, Apple, Mozilla; ABD) — yalnızca bir çalışan bildirimleri açtığında, şifrelenmiş bildirim ve abonelik adresi. Hizmet sağlayıcı Almanya’da yerleşik olduğundan hizmet kapsamındaki veriler yurt dışında işlenir. Bu aktarımlar KVKK madde 9 kapsamında, Kişisel Verileri Koruma Kurulu’nun ilan ettiği standart sözleşmeler imzalanarak ve imzadan itibaren beş iş günü içinde Kuruma bildirilerek yapılır: otel ile FloorVoice arasında ve FloorVoice ile yukarıdaki her sağlayıcı arasında. Yetkili kamu kurumlarına açıklama yapılması gerekiyorsa bu açıklama ilgili hukuki yükümlülük veya hak arama süreciyle sınırlıdır.

Bu metni okumak, hizmeti kullanmak veya kullanım koşullarını kabul etmek tek başına yurt dışı aktarım için açık rıza değildir. Aktarım, ilgili işleme şartı ve KVKK madde 9’daki uygulanabilir mekanizma birlikte sağlanarak yürütülür.

Veri kategorilerine göre saklama süreleri veya ölçütleri, silme işlemleri ve yedek ya da sağlayıcı kopyalarının durumu: demo talepleri, talep sonuçlandıktan sonra en fazla 12 ay saklanır; müşteri ilişkisi kurulursa hesap kayıtlarıyla birlikte saklanır. Hesap ve otel verileri hizmet süresince saklanır ve hizmet sona erdiğinde en geç 90 gün içinde silinir. Çalışan kayıtları ve yanıtlar için saklama süresini veri sorumlusu olarak otel belirler; otelin talebiyle veya hizmet sona erdiğinde bu veriler de aynı şekilde silinir. Güvenlik kayıtları en fazla 2 yıl saklanır. Kötüye kullanımı sınırlayan sayaçlar dakikalar ile bir gün arasında kendiliğinden silinir. Kanunen saklanması gereken kayıtlar (örneğin vergi ve ticaret mevzuatı kapsamındakiler) ilgili kanuni süre boyunca saklanır. Yedeklerdeki kopyalar, sağlayıcının yedekleme döngüsü içinde üzerine yazılarak silinir. İşleme gerekçesi sona eren veriler, başka bir geçerli saklama gerekçesi bulunmuyorsa uygulanabilir imha sürecine alınır. Bu işlem yalnızca otelin talebine bağlı değildir. Kanuni saklama veya somut bir hakkın korunması için gerekli kayıtlar, bu amaçla sınırlı tutulur.

Kendinizle ilgili olarak; veri işlenip işlenmediğini öğrenebilir, işleme hakkında bilgi isteyebilir, amacı ve amaca uygun kullanımı sorgulayabilir, yurt içi ve dışındaki alıcıları öğrenebilir, eksik veya yanlış verilerin düzeltilmesini, madde 7 koşullarında silme veya yok etmeyi ve bu işlemlerin alıcılara bildirilmesini isteyebilirsiniz. Yalnızca otomatik analizden doğan aleyhinize sonuçlara itiraz edebilir, hukuka aykırı işlemenin yol açtığı zararın giderilmesini talep edebilirsiniz.

Veri sorumlusu olduğumuz işlemler için taleplerinizi adresimize yazılı olarak veya mevzuatta öngörülen elektronik yöntemlerle iletebilirsiniz. Sistemimizde kayıtlı ve daha önce bildirdiğiniz e-posta adresinizden gozde@floorvoice.com adresine başvurabilirsiniz.

Başvuruda mevzuatın gerektirdiği kimlik ve iletişim bilgilerini ve talebinizi belirtin. Kimlik teyidi gerektiğinde talebin niteliğine uygun bilgi istenir; erişim bağlantınızı, PIN’inizi veya parolanızı göndermeyin. Talepler, niteliğine göre en kısa sürede ve en geç 30 gün içinde, kabul veya gerekçeli ret açıklamasıyla yazılı ya da elektronik olarak sonuçlandırılır. Otel verilerine ilişkin başvurular ilgili otele yönlendirilir ve otelin yanıtlamasına destek sağlanır. Kurula şikâyet ve yargı yollarına ilişkin haklarınız saklıdır.

Kullanılan çerezler ve tarayıcı saklama araçları, amaçları, sağlayıcıları, süreleri ve ilgili işleme şartları: web sitesinde reklam, analiz veya üçüncü taraf takip çerezi ya da betiği kullanılmaz; yazı tipleri sitenin kendisinden yüklenir. Yönetici ve personel girişinde: kimlik doğrulama sağlayıcısının oturum çerezleri (sb-…-auth-token; oturumu açık tutmak ve istekleri doğrulamak için; oturumu kapatana veya oturum süresi dolana kadar) ve fv_onboarded (otelin kurulumu tamamladığını ve onaylandığını hatırlar; 30 gün; yalnızca sunucu okuyabilir). Tarayıcı saklama alanında (çerez değildir, cihazdan dışarı gönderilmez): çalışan ekranında o cihazda günün sorularının tamamlandığı tarih ve dil ile tanıtım ekranının görüldüğü bilgisi; uygulamayı ana ekrana ekleme önerisinin kapatıldığı bilgisi; yönetici raporlarında seçilen dönem. Bu bilgiler tarayıcı verileri silinene kadar kalır. Çevrimdışı kullanım için uygulama sayfaları ve dosyaları cihazda önbelleğe alınır (çalışan sayfaları en fazla 1 saat, sabit dosyalar en fazla 30 gün). Bu araçlar yalnızca istenen hizmetin çalışması için kullanılır; işleme şartı: hizmetin sunulması için zorunlu olmaları nedeniyle sözleşmenin ifası (m. 5/2-c) ve meşru menfaatimiz (m. 5/2-f); açık rıza gerektiren çerez kullanılmaz. Zorunlu olmayan teknolojiler bakımından gerekli olduğu durumlarda ayrı tercih ve rıza mekanizması uygulanır.

FloorVoice is provided by Özdemir TradeSolutions – Gözde Toker Özdemir. Address: Siegesstraße 13, 80802 München. Country of establishment: Germany. Privacy contact: gozde@floorvoice.com. Data controller representative in Türkiye: Gözde Toker Özdemir.

We act as controller for personal data whose purposes and essential arrangements we determine in website enquiries, business communications and our own account administration. For employee records and responses processed on the hotel’s instructions for its operational purposes, we act as processor. The relevant hotel operator is the controller for that processing. The hotel informs its employees about it itself under KVKK Article 10 and handles their requests concerning that data.

We obtain data electronically through website forms, account activities, communications sent to us and technical records generated while the service operates, using wholly or partly automated methods. The categories actually processed are: on the demo request form: full name, hotel name, role, business email, country and city, and an optional description (these are not stored in the database; they are sent as two emails and remain in those mailboxes); for a manager account: full name, work email, hotel name, country, city, interface and content language, and a password (stored by the authentication provider in irreversibly hashed form; FloorVoice cannot see your password); account creation and sign-in times kept by the authentication provider; name and email of invited managers and Setup colleagues (invitation links are stored only as one-way digests); security records naming the acting account, the kind of action and the identifier of the affected record (no response content is written to them); IP address and the first characters of an access link, held only as short-lived counter keys to limit abuse; the hosting provider’s technical request logs, such as IP address, time and requested page; support and other correspondence sent to us.

Hotel data comes from authorized hotel representatives entering records and employees responding through personal access links. It includes employee identifiers, unit or role, necessary access data, operational responses and improvement follow-up records. Optional contact details are processed only for communication features lawfully enabled by the hotel.

The purposes, necessary data and KVKK processing grounds for each of our controller activities are: handling your demo request and contacting you (demo form details): directly related to concluding a contract (Art. 5(2)(c)) and our legitimate interest (Art. 5(2)(f)); opening the manager account, providing the service and running the customer relationship (account and contact details): concluding and performing the contract (Art. 5(2)(c)); securing the service and accounts and preventing misuse (security records, IP address, session data): our data-security obligation (Art. 5(2)(ç)) and our legitimate interest (Art. 5(2)(f)); keeping records of correspondence and protecting our rights in a possible dispute: establishing, exercising or protecting a right (Art. 5(2)(e)); keeping records required by law: expressly provided by law and our legal obligation (Art. 5(2)(a) and (ç)).

Data processed for the hotel supports operational questions, assessment of observations, improvement proposals, management-selected actions and follow-up with employees. The hotel determines the grounds for these activities and informs its employees of them. Advertising, individual performance evaluation, employee ranking and disciplinary use of hotel data fall outside the service’s permitted purpose. We do not sell hotel data.

Responses remain linked to employee records for access and follow-up. The service is therefore not fully anonymous. Hiding a name in a management interface does not anonymize the underlying data. Event and unit details can allow identity to be inferred, especially in small teams.

Improvement items on the manager board do not show the responding employee’s name. The team page shows the names and units of the employees the hotel added. Support access is limited to authorized persons and the necessary scope.

The AI provider, transmitted data, purpose, model-training arrangements and retention are: AI processing runs through Anthropic’s (USA) commercial API service. What is sent: (1) to propose a possible system cause and three actions when an employee’s daily question session closes — the questions in that session, the answer options chosen or the employee’s own words, answer reference numbers, and a limited selection of the hotel’s own Setup facts about the work concerned; the employee’s name, role, language, contact details and answer times are not sent; (2) to suggest whether an Open Signal note relates to an issue already being followed — the note’s text and the problem and possible-cause text of up to 25 open issues; (3) to translate text shown to a manager into the reader’s language — the text to be translated; (4) for report summaries — the period’s totals and possible-cause themes. The purpose is producing proposals for the hotel’s management to review. Under Anthropic’s commercial terms, data sent through the API is not used to train its models. Anthropic keeps this data for a limited period to prevent misuse and then deletes it; current periods are set out in Anthropic’s data retention policy. AI outputs are proposals requiring review. Automated employment or disciplinary decisions about employees fall outside the service’s permitted purpose.

Do not enter guest or other third-party names, contact or payment details; sensitive information such as health, religion or union membership; or allegations about individuals. These are outside the ordinary operational question flow. Report accidental entry to the hotel’s privacy contact or gozde@floorvoice.com. Access to the record is restricted while it is reviewed and lawfully removed as appropriate.

Actual recipients, transfer purposes, countries and implemented legal mechanisms are: Supabase (USA) — database and authentication; all platform and hotel data. Vercel (USA-based; server processing in the Frankfurt, Germany region) — hosting, server processing and request logs. Anthropic (USA) — the AI processing listed in section 5. Resend (USA) — email delivery (demo requests, account and invitation emails, employees’ daily link emails, action notices and digests): recipient address, name and email content. Upstash (USA-based) — short-lived abuse-limiting counters (IP address, account identifier). Google (USA) — FloorVoice’s mailbox; demo requests and correspondence. Browser push services (Google, Apple, Mozilla; USA) — only when an employee turns notifications on: the encrypted notification and subscription address. Because the provider is established in Germany, data in the service is processed abroad. These transfers are made under KVKK Article 9 by signing the standard contracts announced by the Personal Data Protection Board and notifying the Authority within five working days of signature: between the hotel and FloorVoice, and between FloorVoice and each provider above. Disclosures to competent public authorities, where required, are limited to the relevant obligation or legal-rights process.

Reading this notice, using the service or accepting the terms is not, by itself, explicit consent to an international transfer. Transfers require the relevant processing condition together with an applicable mechanism under KVKK Article 9.

Category-specific retention periods or criteria, deletion arrangements and treatment of backup and provider copies are: demo requests are kept for up to 12 months after the request is closed; if a customer relationship follows, they are kept with the account records. Account and hotel data are kept for the duration of the service and deleted within 90 days after it ends. For employee records and responses, the hotel as controller sets the retention period; on the hotel’s request or when the service ends, that data is deleted in the same way. Security records are kept for up to 2 years. Abuse-limiting counters delete themselves within minutes to one day. Records that must be kept by law (for example under tax and commercial law) are kept for the statutory period. Copies in backups are deleted as they are overwritten in the provider’s backup cycle. When the processing justification ends and no other valid retention ground exists, data enters the applicable disposal process. This does not depend solely on a hotel request. Records necessary for a legal retention duty or a specific legal claim are retained only for that purpose.

You can establish whether your data is processed, request processing information, check its purpose and use, identify domestic and overseas recipients, request correction, seek deletion or destruction under Article 7, and have those changes communicated to recipients. You can object to adverse outcomes from exclusively automated analysis and seek compensation for harm caused by unlawful processing.

For processing where we are controller, apply in writing to our postal address or through legally recognized electronic methods. You can email gozde@floorvoice.com from an address previously supplied to us and registered in our system.

Include the identity and contact information required by the applicable procedure and describe your request. Where verification is necessary, we request information appropriate to the request; do not send your access link, PIN or password. Requests are resolved as soon as appropriate and within 30 days, with a written or electronic acceptance or reasoned refusal. Requests concerning hotel-controlled data are routed to the hotel and we assist its response. Rights to complain to the Authority and pursue judicial remedies remain available.

The cookies and browser storage actually used, their purposes, providers, lifetimes and grounds are: the website uses no advertising, analytics or third-party tracking cookies or scripts; fonts are served by the site itself. When managers and staff sign in: the authentication provider’s session cookies (sb-…-auth-token; to keep the session open and authenticate requests; until you sign out or the session expires) and fv_onboarded (remembers that the hotel finished Setup and was approved; 30 days; readable only by the server). In browser storage (not cookies, never sent off the device): on the employee screen, the date and language on which this device finished the day’s questions and whether the introduction was seen; whether the add-to-home-screen suggestion was dismissed; the period selected in manager reports. These remain until the browser’s data is cleared. For offline use, app pages and files are cached on the device (employee pages for up to 1 hour, static files for up to 30 days). These are used only so the requested service works; processing ground: performance of the contract, as they are necessary to provide the service (Art. 5(2)(c)), and our legitimate interest (Art. 5(2)(f)); no cookies requiring explicit consent are used. Separate preference and consent controls apply to nonessential technologies where required.