Gizlilik Politikası ve KVKK Aydınlatma Metni

1. Veri Sorumlusu

Veri sorumlusu

BYGNG Seyahat Acentesi Turizm Ticaret Limited Şirketi

Acente adı

Sunbliss Tourism (TÜRSAB 16968)

MERSİS no

0195088438500001

Ticaret sicili

Alanya Ticaret Sicili Müdürlüğü · 29146

Vergi dairesi / no

Alanya · 1950884385

Adres

Kargıcak Mah. Tevfik Müftüoğlu Caddesi, Plumeria AVM No: 2/15, 07400 Alanya / Antalya, Türkiye

İletişim

[email protected]

KEP adresi

[email protected]

2. İşlediğimiz Kişisel Veriler

Bu bilgileri internet sitemiz üzerinden, elektronik ortamda topluyoruz: bir kısmını rezervasyon yaparken siz verirsiniz, bir kısmı siteyi kullanırken otomatik olarak oluşur.

• Kimlik ve iletişim: ad soyad, e-posta adresi, telefon numarası.
• Rezervasyon verileri: satın alınan hizmet, tarih, katılımcı sayısı ve varsa yolcu adları, alım noktası veya otel bilgisi.
• Hizmete özel bilgiler: transfer ürünlerinde uçuş numarası ve saati; ürünün gerektirdiği hâllerde yaş grubu gibi bilgiler.
• Ödeme verileri: ödeme tutarı, para birimi ve işlem referansı. Kart numaranız bize hiçbir aşamada iletilmez ve sistemlerimizde saklanmaz.
• Hesap verileri: hesap oluşturduysanız e-posta adresiniz ve şifrenizin geri döndürülemez özeti.
• Teknik veriler: IP adresi, oturum ve tercih çerezleri, tarayıcınıza atanan rastgele bir tanımlayıcı (giriş yapmadığınızda bir yorumu faydalı bulma gibi işlemlerin tekrarlanmasını da bu önler), hata kayıtları ve sitede yaptığınız aramalarla görüntülediğiniz ürünlere ilişkin kayıtlar (6. bölüm).
• Reklam ve atıf verileri: geldiğiniz bağlantıdaki kampanya etiketleri (utm_source, utm_medium, utm_campaign ve benzerleri), reklam tıklama tanımlayıcıları (Google’dan gclid; Meta’dan fbclid ile _fbp/_fbc değerleri), giriş yaptığınız sayfa ve yönlendiren site; ayrıca rezervasyonu tamamladığınız anda IP adresiniz ve tarayıcı tanımınız.

3. İşleme Amaçları ve Hukuki Sebepler

• Rezervasyonun oluşturulması ve hizmetin sunulması — sözleşmenin kurulması ve ifası (KVKK m.5/2-c).
• Fatura, muhasebe ve seyahat acentesi mevzuatı kapsamındaki kayıtların tutulması — hukuki yükümlülük (KVKK m.5/2-ç).
• Rezervasyona ilişkin işlem e-postalarının gönderilmesi — sözleşmenin ifası.
• Dolandırıcılık önleme, güvenlik ve hizmet kalitesinin iyileştirilmesi — meşru menfaat (KVKK m.5/2-f).
• Pazarlama e-postaları, analitik çerezler ve pazarlama çerezleri (reklam ölçümü) — yalnızca açık rızanız ile; rızanızı dilediğiniz zaman geri alabilirsiniz.
• Sitede yapılan aramaların ve görüntülenen ürünlerin kaydedilmesi; aramayı, ürün yelpazemizi, arama sonuçlarının sıralamasını ve önerilerimizi geliştirmek ve talebi ölçmek için (6. bölüm) — kimseyle ilişkilendirilmeyen kayıtlar için meşru menfaat (KVKK m.5/2-f; GDPR m.6/1-f), tarayıcınızla veya hesabınızla ilişkilendirilen kayıtlar için açık rızanız (KVKK m.5/1; GDPR m.6/1-a).
• Bir rezervasyonun hangi kampanyadan geldiğinin kaydedilmesi (8. bölümde açıklanan atıf kaydı) — kampanya etiketleri için meşru menfaat; kayıttaki tıklama tanımlayıcıları ve bir reklam platformuna gönderilen her şey yalnızca pazarlama rızanız ile.

4. Kimlerle Paylaşıyoruz

• Hizmeti fiilen sunan tedarikçi: yalnızca hizmetin ifası için gereken bilgiler (ad, katılımcı sayısı, alım noktası, varsa uçuş bilgisi).
• Ödeme kuruluşumuz Türkiye Garanti Bankası A.Ş. (Garanti BBVA): ödemenin bankanın sanal POS altyapısı üzerinden alınması için gereken asgari veri (sipariş numarası, tutar, e-posta adresi ve IP adresi). Kart bilgileriniz doğrudan bankanın ödeme sayfasına girilir; bize ulaşmaz.
• E-posta altyapı sağlayıcımız: rezervasyon e-postalarının iletilmesi amacıyla.
• Harita sağlayıcımız Mapbox: bir sayfada harita görüntülendiğinde IP adresiniz ve görüntülediğiniz harita bölgesi iletilir.
• İçerik dağıtım ve analitik sağlayıcımız Cloudflare: sitenin sunulması ve çerezsiz, toplu ziyaret istatistiklerinin üretilmesi amacıyla IP adresiniz ve teknik istek verileri işlenir.
• Google (Consent Mode ile Google Analytics ve Google Ads): analitik çerezlere izin verdiğinizde Google Analytics, ziyaret istatistiklerinin üretilmesi amacıyla IP adresinizi, cihaz ve gezinme bilgilerinizi alır. Pazarlama çerezlerine izin verdiğinizde, Google Analytics’in ölçtüğü tamamlanmış rezervasyonlar hangi reklamın rezervasyona yol açtığını görebilmemiz için dönüşüm olarak Google Ads’e aktarılır. İzniniz olmadan Google yalnızca çerezsiz ve tanımlayıcı içermeyen sinyaller alır (Consent Mode). Ayrıca Google Analytics verilerinin bir kopyasını, Google Ads ve Google Search Console’dan aldığımız kampanya ve arama performansı verileriyle birlikte, Avrupa Birliği’nde bulunan kendi Google Cloud (BigQuery) alanımızda saklarız. Bu kopyada ziyaretçi düzeyindeki veriler 25 ay sonra silinir; geriye yalnızca kimseyle ilişkilendirilemeyen toplu sayılar kalır.
• Meta (Facebook ve Instagram — Meta Pixel ve Meta Conversions API): yalnızca pazarlama çerezlerine izin verdiğinizde, sayfalarımızdaki piksel ve kendi sunucumuz Meta’ya bir rezervasyonun tamamlandığını; rezervasyon referansı, tutarı ve para birimi, tıklama tanımlayıcıları (fbclid, _fbp, _fbc), rezervasyon anındaki IP adresiniz ve tarayıcı tanımınız ile e-posta adresiniz ve telefon numaranızın özetlenmiş (SHA-256) hâliyle birlikte iletir; böylece Meta rezervasyonu gördüğünüz reklamla eşleştirebilir. Pazarlama rızanız olmadan Meta’ya hiçbir veri gönderilmez.
• Yetkili kamu kurum ve kuruluşları: yalnızca mevzuatın zorunlu kıldığı hâllerde.

Kişisel verilerinizi pazarlama amacıyla üçüncü taraflara satmıyor veya kiralamıyoruz.

5. Çerezler ve Tercihiniz

Zorunlu olmayan çerezler, ayrı ayrı karar verdiğiniz iki kategoriye ayrılır: analitik (Google Analytics) ve pazarlama (Google Ads, Meta). Aramalarınızın ve görüntülediğiniz ürünlerin tarayıcınızla ilişkilendirilmesi ise her ülkede yalnızca analitik çerezlere kendiniz izin verdiğinizde olur (6. bölüm). Avrupa Ekonomik Alanı, Birleşik Krallık, İsviçre veya Türkiye’den ziyaret ediyorsanız her iki kategori de siz izin verene kadar kapalı kalır; diğer ülkelerden ziyaretlerde ilk sayfadan itibaren açıktır ve dilediğiniz zaman kapatabilirsiniz. Tercihiniz, bildirim sürümü ve tercih zamanı bir çerezde bir yıl saklanır ve yaptığınız her rezervasyonla birlikte kaydedilir. Tercihinizi her sayfanın altındaki "Çerez ayarları" bağlantısından dilediğiniz zaman değiştirebilirsiniz. Çerez Politikası her çerezi ve tarayıcınızda tuttuğumuz diğer bilgileri adıyla listeler.

6. Arama ve Görüntüleme Kayıtları

Siteyi kullanırken yaptığınız aramaları, tıkladığınız sonuçları ve görüntülediğiniz ürünleri otomatik olarak kaydederiz. Bu kayıtlar ne aradığınızı, kaç sonuç bulunduğunu, sitenin dilini ve para birimini, hangi ülkeden ve ne tür bir cihazla bağlandığınızı içerir. Adınız, e-posta adresiniz, telefon numaranız, IP adresiniz ve tarayıcı tanımınız bu kayıtlara eklenmez. Arama kutusuna yazılmış olabilecek e-posta adresi veya telefon numarası gibi bilgileri kaydetmeyiz.

Bu kayıtları iki şekilde tutarız:

• Herkes için, kimseyle ilişkilendirmeden: kayıtta sizi, tarayıcınızı veya hesabınızı gösteren hiçbir bilgi bulunmaz. Amacımız, gezginlerin ne aradığını ve neyi bulamadığını görüp sitemizi buna göre geliştirmektir. Hukuki sebebi meşru menfaatimizdir (KVKK m.5/2-f; GDPR m.6/1-f).
• Yalnızca analitik çerezlere kendiniz izin verirseniz, tarayıcınızla ilişkilendirerek: kayıtları tarayıcınıza atanan rastgele bir tanımlayıcıyla ve oturum açtıysanız hesabınızla ilişkilendiririz. Hukuki sebebi açık rızanızdır (KVKK m.5/1; GDPR m.6/1-a). İzninizi her sayfanın altındaki "Çerez ayarları" bağlantısından dilediğiniz zaman geri alabilirsiniz; bu, daha önceki işlemenin hukuka uygunluğunu etkilemez.

Bu kayıtları aramayı, ürün yelpazemizi, arama sonuçlarının sıralamasını ve önerilerimizi geliştirmek ve talebi ölçmek için kullanırız. Bu kayıtlara dayanarak sizin hakkınızda otomatik olarak, hukuki sonuç doğuran veya sizi benzer ölçüde etkileyen bir karar alınmaz (GDPR m.22).

Bugün sizin için kişisel bir öneri profili oluşturmuyoruz: ana sayfadaki öneriler yalnızca tarayıcınızda tutulan son baktığınız yer ve ürünlere göre hazırlanır (Çerez Politikası, 3. ve 6. bölümler). İleride bir öneri profili oluşturursak bunu önceden duyurur ve ayrı bir tercihinize bağlarız.

Analitik çerezlere izin verdiyseniz, kaydolduğunuzda veya giriş yaptığınızda tarayıcınızın tanımlayıcısının hesabınıza ait olduğunu not ederiz. Hesabınız silindiğinde bu not da silinir ve önceki kayıtlar artık hesabınızla ilişkilendirilemez. Bu tanımlayıcıyı ve bu notu Google’a, Meta’ya veya başka bir üçüncü tarafa vermeyiz.

7. Yurt Dışına Aktarım

Google ve Meta, 4. bölümde açıklanan verileri Türkiye dışındaki (Avrupa Birliği ve Amerika Birleşik Devletleri’ndeki) sunucularında işler. KVKK m.9 uyarınca bu yurt dışı aktarımı, çerez ayarları üzerinden verdiğiniz ve dilediğiniz zaman geri alabileceğiniz açık rızanıza dayanır; rızanızı geri almanız sonraki aktarımları durdurur, daha önce yapılan işlemenin hukuka uygunluğunu etkilemez. Avrupa Birliği’ndeki ziyaretçiler için her iki sağlayıcı ayrıca AB–ABD Veri Gizliliği Çerçevesi’ne ve Avrupa Komisyonu standart sözleşme maddelerine dayanır. 4. bölümdeki diğer alıcılardan, aynı güvencelerle çalışan e-posta altyapısı, içerik dağıtım ve harita (Mapbox) sağlayıcılarımız dışında hiçbiri verinizi Türkiye veya Avrupa Birliği dışında almaz. Google Analytics verilerinin 4. bölümde açıklanan kopyası Avrupa Birliği’ndeki Google Cloud alanımızda saklanır.

8. Saklama Süresi

Rezervasyon ve ödeme kayıtları, ilgili mali ve ticari mevzuatın öngördüğü süre boyunca (kural olarak on yıl) saklanır. Hesap verileriniz ve site içi bildirimleriniz hesabınız açık kaldığı sürece; pazarlama izniniz ise rızanızı geri alana kadar saklanır.

Bir rezervasyonun atıf kaydında (2. bölüm) IP adresiniz ve tarayıcı tanımınız rezervasyondan sonra 90 gün saklanır ve ardından silinir; kampanya etiketleri ile tıklama tanımlayıcıları rezervasyon kaydıyla birlikte rezervasyonun kendisi kadar süre kalır ve o andaki rıza durumunuz tercihinizin kanıtı olarak kayıtla birlikte tutulur.

Arama ve görüntüleme kayıtlarının (6. bölüm) sizinle, tarayıcınızla veya hesabınızla bağlantısı 25 ay sonra kaldırılır; kayıtlar bundan sonra kimseyle ilişkilendirilmeden saklanmaya devam eder.

Güvenlik ve işlem kayıtları (örneğin giriş denemeleri) on yıl saklanır; bu kayıtlardaki e-posta adresi, IP adresi ve tarayıcı tanımı 24 ay sonra silinir.

Sistemlerimizin yedekleri yalnızca bir arızadan sonra verileri geri getirmek içindir: günlük yedekler 35 gün, aylık yedekler 12 ay saklanır. Sildiğimiz bir veri, yedeklerden de bu sürelerin sonunda silinir. Ayrıca, sitenin açılışından önceki veritabanının tek bir arşiv kopyası, açılış öncesi verilerin silindiğinin kanıtı olarak ayrı ve on yıl süreyle saklanır.

9. Haklarınız

Kişisel verilerinizle ilgili olarak KVKK m.11 uyarınca şunları isteyebilirsiniz:

• verilerinizin işlenip işlenmediğini öğrenmek ve işlenmişse bilgi istemek;
• verilerinizin hangi amaçla işlendiğini ve bu amaca uygun kullanılıp kullanılmadığını öğrenmek;
• verilerinizin yurt içinde veya yurt dışında kimlere aktarıldığını öğrenmek;
• eksik veya yanlış işlenmişse düzeltilmesini, gerekli koşullar oluştuğunda silinmesini veya yok edilmesini ve bu işlemlerin verilerin aktarıldığı kişilere bildirilmesini istemek;
• yalnızca otomatik sistemlerle yapılan bir analiz sonucunda aleyhinize çıkan bir sonuca itiraz etmek;
• verilerinizin kanuna aykırı işlenmesi nedeniyle zarara uğradıysanız zararınızın giderilmesini istemek.

Avrupa Birliği’nde bulunuyorsanız GDPR kapsamında ayrıca işlemenin kısıtlanmasını isteme, işlemeye itiraz etme ve verilerinizi taşıma haklarınız da vardır.

Hesabınızı hesap ayarlarınızdan kendiniz silebilir ya da bize yazarak silinmesini isteyebilirsiniz. Silmeden önce yorumlarınızı hesabınızdaki Değerlendirmelerim bölümünden kaldırabilirsiniz; hesabınız silindikten sonra yorumlarınız adınız gösterilmeden yayında kalır. Bunun hukuki sebebi, gezgin deneyimlerinin diğer ziyaretçilere sunulmasındaki meşru menfaatimizdir (KVKK m.5/2-f; GDPR m.6/1-f). Hesabınız silindiğinde bunu bildiren tek bir e-postayı kayıtlı adresinize göndeririz; rezervasyon ve ödeme kayıtları ise 8. bölümdeki süre boyunca saklanır.

Taleplerinizi [email protected] adresine veya 1. bölümdeki KEP adresimize iletebilirsiniz. Başvurunuz en geç otuz gün içinde sonuçlandırılır. Yanıtı yeterli bulmazsanız Kişisel Verileri Koruma Kurulu’na, Avrupa Birliği’nde bulunuyorsanız bulunduğunuz ülkenin veri koruma otoritesine şikâyette bulunabilirsiniz.

10. Güvenlik

Aktarım sırasında veriler şifreli bağlantı üzerinden taşınır, şifreler yalnızca geri döndürülemez özet olarak saklanır ve oturum bilgileri tarayıcıdan okunamayan çerezlerde tutulur. Panellere erişim yetki bazlı olarak sınırlandırılmıştır.