Gizlilik ve Kişisel Verilerin Korunması Politikası

1. Veri Sorumlusu

KVKK kapsamında veri sorumlusu sıfatıyla Karaca 61 Turizm hareket eder. Aşağıdaki iletişim kanalları üzerinden bize ulaşabilirsiniz:

E-posta: [email protected] (genel iletişim ve KVKK başvuruları) Telefon: +90 542 237 50 61 Adres: Ortahisar / Trabzon Statü: TÜRSAB üyesi A grubu seyahat acentesi

Detaylı kurumsal kayıt bilgileri (vergi numarası, MERSİS numarası, TÜRSAB belge numarası) yazılı talebiniz üzerine paylaşılır.

2. Toplanan Kişisel Veriler

Sizden veya sizin adınıza bir yakınınızdan aldığımız ve otomatik olarak topladığımız kişisel veri kategorileri aşağıdaki gibidir:

Kimlik verisi — ad, soyad, doğum tarihi (çocuk yolcular için); TC kimlik numarası yalnızca fatura zorunluluğu halinde ve talebiniz üzerine.

İletişim verisi — telefon numarası, e-posta adresi, alım/varış adresi, konum bilgisi.

Rezervasyon verisi — seçilen tur, tarih, yolcu sayısı, alım noktası, özel istekler, sağlık notu (opsiyonel — özel yardım gerektiren durumlar için).

Finansal veri — ödeme tutarı, ödeme yöntemi, banka havalesi referans numarası, kredi kartı işlem tokeni. Kart numaranız Karaca 61 sistemlerinde saklanmaz; ödeme işlemi 3D Secure protokolü ile Kuveyt Türk Katılım Bankası tarafından yapılır.

İşlem geçmişi — geçmiş rezervasyonlar, iptaller, iadeler, ödemeler.

Otomatik toplanan veri — IP adresi, tarayıcı bilgisi (user-agent), ziyaret zamanı, gezdiğiniz sayfalar, cihaz tipi ve dil tercihi. Bu veriler hizmet güvenliği, hata ayıklama ve site iyileştirme için tutulur.

Pazarlama tercihi verisi — açık rıza kapsamında verdiğiniz e-posta / SMS / WhatsApp kanal onayları.

Görsel ve işitsel veri (opsiyonel) — tur sırasında ekibimizin çektiği ve sosyal medyada paylaşımına açık rıza verdiğiniz fotoğraf ve videolar.

Konum verisi — sadece mobil uygulamamızı kullanıyorsanız ve konum iznini vermişseniz; yaklaşan turlarınıza yönlendirme ve yerel hava durumu için işlenir.

3. İşleme Amaçları ve Hukuki Dayanaklar

Kişisel verileriniz KVKK Madde 5'te sayılan aşağıdaki hukuki dayanaklar çerçevesinde işlenir:

Sözleşmenin ifası (KVKK m.5/2-c) — rezervasyon oluşturma, teklif hazırlama, tur operasyonunu yürütme, alım/bırakış organizasyonu, iptal ve iade süreçleri.

Kanunun açıkça öngörmesi (KVKK m.5/2-a) — Turizm mevzuatı, TÜRSAB yönetmelikleri, 5651 sayılı Kanun ve VUK kapsamındaki yasal saklama yükümlülükleri.

Hukuki yükümlülük (KVKK m.5/2-ç) — E-fatura ve e-arşiv düzenleme, KDV / gelir vergisi beyanları, mali müşavir denetimleri, resmi makam talepleri.

Meşru menfaat (KVKK m.5/2-f) — Site güvenliği, dolandırıcılık önleme, işlem denetim izleri (audit log), hizmet kalitesi ölçümü ve iyileştirme.

Açık rıza (KVKK m.5/1) — Pazarlama iletişimi (e-posta / SMS / WhatsApp kampanya), analitik ve pazarlama çerezleri, tur fotoğraflarınızın sosyal medyada paylaşılması ve varsa hassas kategori veri (sağlık notu) işleme. Açık rıza gereken her işlem için ilgili aşamada size özel bir onay istenir; rızanızı istediğiniz zaman geri çekebilirsiniz.

4. Kişisel Verilerin Aktarıldığı Taraflar

Verilerinizi yalnızca aşağıda listelenen sınırlı tarafla, sınırlı amaçlarla paylaşırız:

Hizmet sağlayıcılar (veri işleyen sıfatıyla): • Twilio Inc. (ABD) — SMS ve WhatsApp doğrulama kodları ile opsiyonel WhatsApp iletişimi. • Meta Platforms Inc. (ABD) — Açık rıza sonrası WhatsApp Business Cloud API üzerinden müşteri iletişimi. • Kuveyt Türk Katılım Bankası A.Ş. (Türkiye) — Sanal POS ödeme işlemleri. • Microsoft Corporation / Azure (AB ve Türkiye bölgeleri) — Uygulama barındırma, veritabanı, dosya depolama, e-posta. • Google LLC (ABD) — Açık rıza sonrası Google Analytics 4 (anonimleştirilmiş). • Meta Platforms Inc. (ABD) — Açık rıza sonrası Meta Pixel.

Kanunen zorunlu taraflar: • T.C. Kültür ve Turizm Bakanlığı, TÜRSAB — mevzuat gereği bildirimler. • Vergi Daireleri, mali müşavirler — mali mevzuat gereği. • Mahkemeler, savcılıklar, kolluk kuvvetleri — hukuki talep halinde.

Kişisel verilerinizi yukarıda sayılan amaçlar dışında hiçbir üçüncü tarafa satmayız, kiralamayız veya ticari amaçla paylaşmayız.

5. Yurt Dışı Veri Aktarımı

KVKK Madde 9 kapsamında, bazı hizmet sağlayıcılarımız yurt dışında konumlandığı için sınırlı kişisel veri yurt dışına aktarılmaktadır:

• Twilio (ABD) — telefon numarası, SMS ve WhatsApp mesaj içeriği. • Meta (ABD ve AB) — WhatsApp Business mesaj içeriği ve Meta Pixel olay verisi (her ikisi de açık rıza sonrası). • Google (ABD) — Google Analytics olay verisi (açık rıza sonrası).

Bu aktarımlar, ilgili sağlayıcı ile imzalanmış veri koruma sözleşmeleri (DPA), Standart Sözleşme Maddeleri (SCC) ve gerektiğinde açık rızanız çerçevesinde gerçekleştirilir. Microsoft Azure'un Türkiye ve AB bölgeleri ile Kuveyt Türk yurt içi işleme kapsamındadır.

6. Saklama Süreleri

Kişisel verilerinizi işleme amacının gerektirdiği süre ile aşağıdaki yasal saklama süreleri arasında en uzun olanı kadar tutarız:

• Rezervasyon, fatura ve müşteri kayıtları: Vergi Usul Kanunu m.253 gereği 10 yıl. • Ödeme işlem verileri: Kartlı Sistemler Yönetmeliği gereği en az 10 yıl. • Web sunucu logları ve IP adresi: 5651 sayılı Kanun gereği en az 2, en fazla 3 yıl. • Pazarlama iletişimi kayıtları: Rıza geri çekilene kadar; geri çekildikten sonra en fazla 90 gün. • Sosyal medyada paylaşılan görsel/işitsel veriler: Rıza geri çekilene kadar. • Çerez ve tracker verileri: İlgili çerez politikasında belirtilen süreler.

Süre sonunda veriler geri döndürülemez şekilde silinir, imha edilir veya anonim hale getirilir.

7. Çocukların Verileri

Karaca 61 hizmetleri 18 yaş üzeri kişilere yönelik olarak tasarlanmıştır. Çocuk yolcular için rezervasyon oluşturmak istediğinizde, çocuğun ad ve doğum tarihini yalnızca ebeveyn veya yasal vasi sıfatıyla bizimle paylaşabilirsiniz. Bu paylaşım, çocuğun turda güvenli taşınması ve olası acil durumlarda gerekli bilgiye erişim amacıyla yapılır. Rezervasyonu tamamladığınız anda paylaşımınızın ebeveyn/vasi rızası kapsamında olduğu kabul edilir.

Rezervasyon süreci dışında çocuklara ait kişisel veri toplamayız. Bir çocuğun kişisel verisinin yanlışlıkla veya izinsiz toplandığını fark ederseniz lütfen bize bildirin — kaydı derhal sileriz.

8. Çerezler ve İzleyiciler

Web sitemizde zorunlu çalışma çerezlerine ek olarak, açık rızanız kapsamında analitik ve pazarlama çerezleri kullanabiliriz. Çerez tercihlerinizi web sitesinin alt bölümündeki tercihler panelinden istediğiniz zaman değiştirebilirsiniz.

Kullandığımız çerez sağlayıcıları, süreleri ve amaçlarına dair detaylı bilgi için Çerez Politikamıza bakabilirsiniz: karaca61.com/cerez-politikasi

9. KVKK Madde 11 Kapsamındaki Haklarınız

KVKK Madde 11 çerçevesinde aşağıdaki haklara sahipsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme. 2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme. 3. Kişisel verilerinizin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme. 4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme. 5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme. 6. KVKK 7. madde çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme. 7. Düzeltme, silme veya yok etme işlemlerinin, verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme. 8. Verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkmasına itiraz etme. 9. Kişisel verilerinizin kanuna aykırı işlenmesi sebebiyle zarara uğramanız halinde zararınızın giderilmesini talep etme.

10. Başvuru ve Talep Süreci

Yukarıda sayılan haklarınızı kullanmak veya kişisel verilerinizin silinmesini talep etmek için aşağıdaki kanallardan bize başvurabilirsiniz:

• E-posta: [email protected] (konu satırına "KVKK Başvurusu" yazınız) • Yazılı başvuru: Karaca 61 Turizm, Ortahisar / Trabzon

Başvurunuzun değerlendirilebilmesi için lütfen kimlik doğrulamamızı sağlayacak bilgileri (ad-soyad, e-posta veya telefon numarası) ve talebinizi açıkça belirtin. Silme talebinde bulunuyorsanız, silmesini istediğiniz veri kategorisini de belirtmeniz süreci hızlandırır.

Yanıt süresi: Başvurunuzu en geç 30 gün içinde ücretsiz olarak sonuçlandırırız. İşlemin ek maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu ("Kurul") tarafından belirlenen tarifedeki ücret talep edilebilir.

Silme talebi hakkında: Yasal saklama süresi devam eden veriler (ör. VUK kapsamındaki 10 yıllık fatura verileri) süre sonuna kadar tutulur, sonrasında silinir. Bu istisna dışında tüm kayıtlarınız 30 gün içinde silinir veya anonim hale getirilir.

Şikayet hakkı: Cevabımızdan tatmin olmazsanız veya süresinde cevap alamazsanız Kişisel Verileri Koruma Kurulu'na (kvkk.gov.tr) şikayette bulunma hakkınız saklıdır.

11. Güvenlik Önlemleri

Kişisel verilerinizi korumak için endüstri standartlarına uygun teknik ve idari önlemler alıyoruz: TLS şifrelemesi, hassas veri şifreleme, rol tabanlı erişim yetkilendirme, işlem kayıtları (audit log), düzenli güvenlik testleri, hizmet sağlayıcılarımızla veri işleme sözleşmeleri, çalışanlarımızla KVKK farkındalık eğitimi.

Hiçbir sistem %100 güvenli değildir. Olası bir veri ihlali durumunda KVKK m.12/5 gereği en geç 72 saat içinde Kurul'a ve etkilenen ilgili kişilere bildirimde bulunuruz.

12. Politikada Değişiklikler

Bu Politikayı yasal değişiklikler, hizmet güncellemeleri veya iş süreçlerimizdeki değişiklikler nedeniyle güncelleyebiliriz. Güncel sürüm her zaman bu sayfada yayımlanır ve üst kısımda yürürlük tarihi ile versiyon bilgisi güncellenir.

Önemli değişiklikler durumunda, kayıtlı e-posta adresinize bilgilendirme yapılır ve mevcut açık rızanız ilgili konularda yeniden alınır.

Bu Politika Türkçe, İngilizce ve Arapça olarak yayımlanır. Diller arasında yorum farklılığı doğması halinde Türkçe metin esas alınır.