KVKK Aydınlatma Metni

1. Veri Sorumlusunun Kimliği

KVKK m.3/1-ı uyarınca veri sorumlusu, aşağıda bilgileri yer alan şirkettir:

• Veri sorumlusu (ticaret unvanı): Onur Özdemir
• Merkez adresi: Altıntaş Mah. Yörükoğlu Cad. B Blok No: 24B İç Kapı No: 6, Aksu / Antalya, Türkiye
• Vergi dairesi: Kalekapı Vergi Dairesi Müdürlüğü
• Vergi kimlik numarası: 6790474919
• Telefon: +90 551 086 83 68
• E-posta: [email protected]
• İnternet sitesi: antalyatransfer.taxi

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan taraftır. Avrupa Birliği’nde yerleşik ilgili kişiler bakımından aynı şirket, Genel Veri Koruma Tüzüğü (GDPR, 2016/679) anlamında da “veri sorumlusu” (controller) konumundadır.

2. Kişisel Verilerin Toplanma Yöntemi

Kişisel verileriniz aşağıdaki kanallardan, tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olarak otomatik olmayan yollarla elde edilmektedir:

• antalyatransfer.taxi internet sitesindeki rezervasyon ve iletişim formları,
• Turkey Transfer mobil uygulaması ve uygulama içi oturum açma (Google ile giriş),
• WhatsApp, telefon ve e-posta üzerinden kurulan iletişim,
• İnternet sitesindeki canlı destek (sohbet) aracı,
• Çerezler ve benzeri teknolojiler ile site/uygulama kullanımına ilişkin otomatik kayıtlar,
• Uçuş numarası bildirilen rezervasyonlarda kamuya açık uçuş bilgi servisleri.

3. İşlenen Kişisel Veri Kategorileri

• Kimlik verisi: Ad, soyad.
• İletişim verisi: E-posta adresi, telefon numarası (WhatsApp numarası dahil), alış ve varış adresi.
• Müşteri işlem verisi: Rezervasyon numarası, seyahat tarihi ve saati, alış/varış noktaları, yolcu sayısı (çocuk sayısı dahil), araç sınıfı, uçuş numarası ve havayolu bilgisi, özel talepler (çocuk koltuğu, tekerlekli sandalye erişimi, ek bagaj), ödeme yöntemi, ücret ve para birimi, rezervasyon durumu.
• Finansal veri: Ödeme tutarı, para birimi ve ödeme yöntemi. Kart numarası, son kullanma tarihi ve güvenlik kodu veri sorumlusu tarafından İŞLENMEZ ve SAKLANMAZ; online kart ödemesi devreye alındığında bu veriler yalnızca lisanslı ödeme kuruluşunun altyapısında işlenir.
• İşlem güvenliği verisi: IP adresi, tarayıcı türü ve sürümü, işletim sistemi ve cihaz türü, oturum ve kimlik doğrulama kayıtları, log kayıtları.
• Pazarlama ve kullanım verisi: Görüntülenen sayfalar, sitede geçirilen süre, gezinme yolları, yönlendiren adres (referrer), dil tercihi, ekran çözünürlüğü, kampanya ölçüm verileri.
• Hesap verisi: Google ile giriş yapılması hâlinde ad, e-posta adresi, profil fotoğrafı ve hesap kimliği.
• Görsel veri: Yalnızca Google ile giriş kapsamında sağlanan profil fotoğrafı.
• Talep ve şikâyet yönetimi verisi: WhatsApp, e-posta ve canlı destek yazışmaları, geri bildirim ve değerlendirme içerikleri.

4. İşleme Amaçları

• Transfer rezervasyonunun oluşturulması, onaylanması, yönetilmesi ve ifa edilmesi,
• Rezervasyon onayı, voucher (PDF) ve şoför bilgilerinin e-posta ve WhatsApp ile iletilmesi,
• Uygun araç ve şoförün tahsis edilmesi ve operasyonun planlanması,
• Havalimanı alışlarında uçuş durumunun takip edilmesi ve alış saatinin buna göre ayarlanması,
• WhatsApp, e-posta ve canlı destek üzerinden müşteri desteği sağlanması, talep ve şikâyetlerin yönetilmesi,
• İptal, değişiklik ve iade işlemlerinin yürütülmesi,
• Faturalandırma ile vergi, muhasebe ve diğer mevzuattan doğan yükümlülüklerin yerine getirilmesi,
• Hizmet kalitesinin ölçülmesi ve iyileştirilmesi, site ve uygulama kullanımının analiz edilmesi ve kampanya başarısının ölçülmesi,
• Dolandırıcılığın önlenmesi, sistem ve işlem güvenliğinin sağlanması,
• Açık rızanız bulunması hâlinde kampanya ve tanıtım iletilerinin gönderilmesi,
• Hukuki uyuşmazlıklarda savunma hakkının kullanılması ve delil saklanması.

5. İşlemenin Hukuki Sebepleri (KVKK m.5)

Kişisel verileriniz, KVKK m.5/2’de sayılan aşağıdaki hukuki sebeplere dayanılarak; açık rıza gerektiren hâllerde ise m.5/1 uyarınca açık rızanıza dayanılarak işlenir:

• m.5/2-c — Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma: Rezervasyonun oluşturulması, onaylanması ve transfer hizmetinin ifa edilmesi; şoför ve araç tahsisi; rezervasyon onayı ve voucher gönderimi; iptal, değişiklik ve iade işlemleri. (GDPR karşılığı: m.6/1-b)
• m.5/2-a — Kanunlarda açıkça öngörülme: 6502 sayılı Tüketicinin Korunması Hakkında Kanun’un hizmet sağlayıcıya yüklediği yükümlülüklerin yerine getirilmesi için gerekli olduğu ölçüde veri işlenmesi. (GDPR karşılığı: m.6/1-c)
• m.5/2-ç — Hukuki yükümlülüğün yerine getirilmesi: Vergi Usul Kanunu ve Türk Ticaret Kanunu kapsamında fatura düzenlenmesi ile ticari defter ve belgelerin saklanması; ayrıca Mesafeli Sözleşmeler Yönetmeliği’nin m.2/2-(h) uyarınca yolcu taşıma hizmetleri bakımından uygulanmaya devam eden hükümlerinin (m.5/1-(a), (b), (d), m.18 ve m.19) gerektirdiği bilgilendirme ve ifa yükümlülüklerinin yerine getirilmesi (hizmetin temel nitelikleri; satıcının ad veya unvanı, adresi ve iletişim bilgileri; vergiler dâhil toplam bedel; ifa ve ifanın imkânsızlaşması hâlinde iade). (GDPR karşılığı: m.6/1-c)
• m.5/2-e — Bir hakkın tesisi, kullanılması veya korunması için zorunlu olma: Uyuşmazlık hâlinde rezervasyon kayıtlarının ve yazışmaların delil olarak saklanması. (GDPR karşılığı: m.6/1-f)
• m.5/2-f — Veri sorumlusunun meşru menfaati: Hizmet kalitesinin iyileştirilmesi, dolandırıcılığın önlenmesi ile sistem ve işlem güvenliğinin sağlanması. Bu sebep, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek koşuluyla uygulanır. (GDPR karşılığı: m.6/1-f)
• m.5/1 — Açık rıza: Kampanya ve tanıtım iletileri ile bildirim gönderimi. Çerezlere ilişkin bilgiler Çerez Politikası’nda yer alır. Rızanızı dilediğiniz zaman geri alabilirsiniz; geri alma, o ana kadarki işlemenin hukukiliğini etkilemez. (GDPR karşılığı: m.6/1-a)

6. Kişisel Verilerin Aktarıldığı Taraflar ve Aktarım Amacı

Kişisel verileriniz, KVKK m.8 ve m.9 ile GDPR m.44 vd. hükümleri çerçevesinde, yalnızca aşağıda sayılan taraflara ve yalnızca belirtilen amaçlarla aktarılmaktadır. Aşağıdaki liste, veri sorumlusunun fiilen kullandığı sistemler esas alınarak hazırlanmıştır:

Yurt dışına yapılan aktarımlar, 7499 sayılı Kanunla değiştirilen (1 Haziran 2024’ten itibaren yürürlükte) KVKK m.9 ile Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (Resmî Gazete 10.07.2024, No. 32598) çerçevesinde gerçekleştirilir. Bu metnin yürürlük tarihi itibarıyla Kişisel Verileri Koruma Kurulu tarafından herhangi bir ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı (m.9/1) verilmemiş olduğundan, yukarıdaki sürekli aktarımlar m.9/2’de öngörülen uygun güvencelere dayanır; uygulamada Kurulca ilan edilen standart sözleşme esas alınır ve imzalanmasından sonra beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilir. Açık rıza, bu tablodaki düzenli aktarımların dayanağı değildir; m.9/6 uyarınca yalnızca süreklilik arz etmeyen arızi aktarımlar bakımından gündeme gelebilir. Bundan ayrı olarak ve KVKK m.9 güvencelerinin yerine geçmeksizin, Avrupa Birliği’nde yerleşik ilgili kişiler bakımından GDPR’ın Standart Sözleşme Hükümleri (SCC) de uygulanır.

7. Henüz Kullanılmayan Sistemler

Şeffaflık amacıyla belirtilir: aşağıdaki hizmetlere ilişkin teknik entegrasyon kodu sistemde bulunmakla birlikte, bu hizmetler YAPILANDIRILMAMIŞTIR VEYA DEVREYE ALINMAMIŞTIR ve bu nedenle kendilerine HİÇBİR kişisel veri aktarılmamaktadır:

• Hata izleme servisi (Sentry) — erişim anahtarı tanımlı olmadığından veri gönderilmez.
• Online kart ödeme altyapısı — sanal POS hizmeti Türkiye Garanti Bankası A.Ş. (Garanti BBVA)’den alınacaktır; başvuru onaylanana kadar kart ödemesi açık değildir ve bu kuruluşa hiçbir veri aktarılmamaktadır. Açıldığında kart numarası, son kullanma tarihi ve güvenlik kodu yalnızca bankanın kendi altyapısında işlenir, SATICI bu bilgileri görmez ve saklamaz; banka o anda Bölüm 6’daki aktarım tablosuna eklenir.
• Bot koruma servisi (Cloudflare Turnstile) — anahtar tanımlı olmadığından doğrulama isteği gönderilmez.
• Mobil anlık bildirim servisi (Firebase Cloud Messaging) — sunucu anahtarı tanımlı olmadığından kullanılmaz.
• Google Places adres servisi — kapalıdır; adres tamamlama Bölüm 6’da sayılan OpenStreetMap tabanlı servisler üzerinden yapılır.
• Telegram bildirim köprüsü — token tanımlı olmadığından kullanılmaz.
• Harita altlığı sağlayıcısı CARTO — artık kullanılmamaktadır; harita altlığı Bölüm 6’da sayılan OpenStreetMap Foundation tarafından sunulmaktadır.
• Uçuş bilgi servisi AeroDataBox (RapidAPI) — erişim anahtarı tanımlı olmadığından kullanılmaz; devreye alındığında Bölüm 6’ya eklenecektir.
• Apple AdServices (iOS kampanya ölçümü) — iOS sürümüyle birlikte devreye girecektir; şu anda Apple’a veri aktarılmamaktadır.

Bu hizmetlerden herhangi biri devreye alındığında, bu aydınlatma metni güncellenerek ilgili taraf Bölüm 6’daki aktarım listesine eklenecektir.

8. Saklama Süreleri

Kişisel verileriniz, işleme amacının gerektirdiği süre boyunca ve mevzuatta öngörülen azami süreler aşılmaksızın saklanır:

• Rezervasyon kayıtları: Hukuki, vergisel ve operasyonel amaçlarla 3 yıl. Vergi Usul Kanunu ve Türk Ticaret Kanunu uyarınca fatura ve ticari belge niteliğindeki kayıtlar için mevzuatın öngördüğü saklama süreleri ayrıca uygulanır.
• Kullanıcı hesapları: Silme talebinize kadar veya 2 yıl hareketsizlik hâlinde.
• İletişim kayıtları (WhatsApp, e-posta): Müşteri hizmetleri amacıyla 2 yıl.
• Analitik veriler: Google Analytics’te 14 ay (GA4 varsayılan ayarı).
• Bildirim kayıtları: Uygulama yüklü olduğu sürece saklanır; kaldırıldığında otomatik olarak silinir.
• Çerez verileri: Çerez türüne göre değişir; ayrıntılı süre tablosu Çerez Politikası’nda yer alır.
• Log ve işlem güvenliği kayıtları: İlgili mevzuatın öngördüğü süre boyunca.

Saklama süresinin sona ermesi veya işleme amacının ortadan kalkması hâlinde kişisel veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca silinir, yok edilir veya anonim hâle getirilir.

Çerez türleri ve süreleri için: Çerez Politikası

9. İlgili Kişinin Hakları (KVKK m.11)

KVKK m.11 uyarınca, veri sorumlusuna başvurarak aşağıdaki haklarınızı kullanabilirsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme,
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
6. KVKK m.7’de öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
7. Düzeltme, silme ve yok edilme taleplerinizin, kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
9. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Avrupa Birliği’nde yerleşik ilgili kişiler, GDPR kapsamında erişim (m.15), düzeltme (m.16), silme (m.17), işlemenin kısıtlanması (m.18), veri taşınabilirliği (m.20), itiraz (m.21) ve rızayı geri alma (m.7) haklarına da sahiptir.

10. Başvuru Yolu ve Usulü

Yukarıdaki haklarınıza ilişkin taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca aşağıdaki yollarla iletebilirsiniz:

• Yazılı olarak, ıslak imzalı dilekçe ile veri sorumlusunun yukarıda belirtilen merkez adresine şahsen veya noter aracılığıyla,
• Kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza veya mobil imza kullanılarak,
• Veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresiniz üzerinden [email protected] adresine.

Başvurunuzda Tebliğ m.5 uyarınca şu bilgiler zorunludur: adınız ve soyadınız, imzanız (yazılı başvuruda), Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası (yabancılar için uyruk, pasaport numarası veya varsa kimlik numarası), tebligata esas yerleşim yeri veya iş yeri adresiniz, varsa bildirime esas elektronik posta adresiniz, telefon ve faks numaranız ile talep konusu. Konuya ilişkin bilgi ve belgelerin başvuruya eklenmesi talebin değerlendirilmesini hızlandırır.

Başvurunuz, talebin niteliğine göre en kısa sürede ve her hâlde en geç OTUZ GÜN içinde ücretsiz olarak sonuçlandırılır. Ancak işlemin ayrıca bir maliyet gerektirmesi hâlinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir.

11. Veri Güvenliği

Veri sorumlusu, KVKK m.12 uyarınca kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri almaktadır:

• Tüm veri aktarımlarında SSL/TLS şifrelemesi,
• Web uygulama güvenlik duvarı (WAF) ile saldırı ve DDoS koruması,
• Şifreli bağlantı üzerinden erişilen, erişimi kısıtlı veri tabanı,
• Personel için rol bazlı yetkilendirme ve en az yetki ilkesi,
• Token tabanlı güvenli kimlik doğrulama ve oturumların otomatik olarak sonlandırılması,
• Düzenli güvenlik gözden geçirmeleri ve güvenlik açığı takibi,
• Kart bilgilerinin veri sorumlusunun sistemlerinde hiçbir şekilde tutulmaması.

12. Metindeki Değişiklikler

Bu aydınlatma metni, mevzuat değişiklikleri, kullanılan sistemlerdeki değişiklikler veya işleme faaliyetlerindeki değişiklikler nedeniyle güncellenebilir. Güncel metin her zaman bu sayfada yayımlanır; esaslı değişiklikler ayrıca duyurulur.

Veri işleme uygulamalarının tamamı için: Gizlilik Politikası