Kişisel Verilerin Korunması (KVKK) Aydınlatma Metni

1. Veri Sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca kişisel verileriniz, veri sorumlusu sıfatıyla ES ES TRAVEL SEYAHAT TURİZM SANAYİ VE TİCARET LİMİTED ŞİRKETİ (Hoşnudiye Mah. İsmet İnönü-1 Bulvarı No: 19/11 Tepebaşı / Eskişehir, MERSİS: 0377104624000001) tarafından aşağıda açıklanan kapsamda işlenmektedir.

2. Hangi Verileri, Neden ve Hangi Hukuki Sebeple Topluyoruz?

Verileriniz, site üzerindeki formlar aracılığıyla ve kısmen otomatik yollarla (sunucu kayıtları, oturum çerezi) elektronik ortamda toplanır. Her kalemin yanında dayandığı hukuki sebep yazılıdır: sözleşme = sözleşmenin kurulması ve ifası (KVKK m.5/2-c), hukuki yükümlülük (m.5/2-ç), meşru menfaat = güvenlik ve hakların korunması (m.5/2-f), açık rıza (m.5/1).

• Üyelik: ad soyad, e-posta adresi, cep telefonu, şifrelenmiş parola, isteğe bağlı profil fotoğrafı — hesabınızı oluşturmak, sizi güvenle tanımak ve rezervasyonlarınızda size ulaşmak için (sözleşme). Güvenlik amacıyla giriş denemeleri sayılır, doğrulama kodu istekleri IP adresiyle kısa süreli kaydedilir ve iki adımlı doğrulamayı açarsanız e-postayla gönderilen kodlar süreli tutulur (meşru menfaat).
• Rezervasyon: seçtiğiniz tur, tarih, kişi sayısı, varsa çocuk yaşları, ödeme tutarı ve durumu (sözleşme); katılımcının iletişim telefonu ve açık adresi (Paket Tur Sözleşmeleri Yönetmeliği md. 6 gereği sözleşmede bulunması zorunlu — hukuki yükümlülük); fatura bilgileri (kurumsal fatura seçilirse unvan, vergi numarası ve dairesi, adres — hukuki yükümlülük); sözleşmeyi onayladığınız an ve o andaki IP adresiniz (onayın ispatı — hukuki yükümlülük ve meşru menfaat); acenteyle rezervasyon belgesinin altındaki mesaj kutusundan yaptığınız yazışmalar (sözleşme); tur gününde acentenin işlediği katılım kaydı (sözleşme).
• Yolcu bilgileri: rezervasyondaki her yolcunun ad soyadı, doğum tarihi ve kimlik/pasaport numarası; pasaportla seyahatte ayrıca uyruk, cinsiyet ve pasaport geçerlilik tarihi (havayolu ve ülkeye giriş kuralları için). Bunlar sözleşmenin kurulması ve ifası için gereklidir: bilet kimliğe göre kesilir, konaklama kaydı isimle açılır ve paket tur sözleşmesinde yolcuların kim olduğu yer alır (sözleşme). Bu bilgiler yalnızca rezervasyonu yapan kişiye, turu düzenleyen acenteye ve GeziPazarı yöneticisine görünür. Yüklenen belgelerin ve yolcu listelerinin her indirilmesi (kim, ne zaman, hangi IP'den) kayda geçirilir ve 180 gün saklanır (meşru menfaat).
• Sitede bıraktıklarınız: tur sayfasında sorduğunuz sorular, yorumlarınız ve yoruma eklediğiniz fotoğraf, favorileriniz ve fiyat alarmı için verdiğiniz e-posta — yalnızca siz eklediğinizde (sözleşme; sorunuz ve yorumunuz adınızla acenteye ve yayımlanırsa herkese görünür).
• Teknik kayıtlar: size gönderilen e-postaların alıcı adresi ve konusu (gönderim kanıtı); site hataları için tarayıcıdan gelen sayfa adresi; arama kutusuna yazdığınız sorgular (kişiyle ilişkilendirilmeden) — meşru menfaat.
• Acente başvurusu: firma adı ve yasal unvanı, vergi numarası ve dairesi, adres, telefon, KEP adresi, TÜRSAB belge numarası, sözleşme onay anı ve IP adresi, sigorta beyanının anı ve IP adresi — başvurunun değerlendirilmesi ve sözleşmenin kurulması için (sözleşme; onay kayıtları hukuki yükümlülük).
• Kampanya izni: kampanya e-postası almayı kabul ederseniz (açık rıza); e-posta adresiniz, izni verdiğiniz tarih ve o andaki IP adresiniz. IP adresinin kaydı bir tercih değil, kanuni yükümlülüktür: 6563 sayılı kanun onayın ispatını bizden ister ve bu kayıt İleti Yönetim Sistemi'ne (İYS) kaydettirilir. İzni Hesabım sayfasından tek tıkla geri çekebilirsiniz; geri çekildiği bilgisi de aynı şekilde saklanır.

Toplamadıklarımız: kart bilgileriniz bize hiç ulaşmaz; ödeme, iyzico'nun güvenli sayfasında gerçekleşir. Sitede reklam ve takip çerezi yoktur; ziyaret sayacı (Vercel Analytics) çerez kullanmaz, ziyaretleri toplu olarak sayar ve bize kişi bazında veri göstermez.

3. Çerezler

Ziyaretçi ve üyelerde yalnızca iki zorunlu/işlevsel çerez kullanılır: giriş yaptığınızı hatırlayan oturum çerezi (14 gün süreli; bu çerez olmadan üyelik sistemi çalışamaz) ve fiyatları hangi para biriminde görmek istediğinizi hatırlayan tercih çerezi (yalnızca "TL" ya da "dolar" bilgisini tutar, kişisel veri içermez). Üçüncü bir çerez yalnızca yönetici hesaplarında, bir acente adına çalışırken kullanılır (4 saat süreli yetki çerezi). Reklam veya izleme çerezi yoktur.

4. Verilerin Aktarılması

• Ödeme için: ad, e-posta, varsa telefon, tutar, turun kalkış şehri ve işlem anındaki IP adresiniz, ödemenin gerçekleşmesi ve bankanın dolandırıcılık denetimi amacıyla iyzico'ya iletilir; açık adresiniz iyzico'ya gönderilmez. Kart bilgileriniz yalnızca iyzico'dadır.
• Rezervasyonun ifası için: ad, e-posta, iletişim telefonu ve adresi, tarih, kişi sayısı, fatura bilgileri, yolcu bilgileri ve tur sayfasından sorduğunuz sorular, turu düzenleyen acenteye iletilir.
• Barındırma ve teknik hizmet sağlayıcılar (yurt dışına aktarım): site Vercel altyapısında (Avrupa Birliği / İrlanda sunucuları) çalışır, veritabanı Turso'da, yüklenen belgeler Vercel Blob deposunda tutulur ve e-postalar bir SMTP sağlayıcısı üzerinden gönderilir. Bu sağlayıcılar Türkiye dışında olduğundan verileriniz KVKK m.9 kapsamında yurt dışına aktarılır; sağlayıcılar veriyi yalnızca hizmeti sunmak için işler, kendi amaçlarıyla kullanamaz.
• Yasal merciler: yalnızca mevzuatın zorunlu kıldığı hâllerde.
• Bunlar dışında verileriniz üçüncü kişilerle paylaşılmaz ve satılmaz.

5. Saklama Süreleri

Verileriniz üyeliğiniz süresince ve yasal saklama süreleri boyunca saklanır, sonrasında silinir veya anonim hâle getirilir. Rezervasyon ve sözleşme kayıtları, aracı hizmet sağlayıcının işlem kayıtlarını saklama yükümlülüğü gereği (Mesafeli Sözleşmeler Yönetmeliği md. 20; paket turlarda 6502 sayılı Kanun ve genel zamanaşımı hükümleri) işlem tarihinden itibaren en az 3 yıl; fatura bilgileri vergi mevzuatındaki süre boyunca tutulur. Hesabınızı kapattığınızda adınız, e-postanız, telefonunuz ve profil fotoğrafınız hemen anonimleştirilir; rezervasyon, yorum ve soru kayıtları bu sürelerin sonuna kadar "Silinmiş Üye" adıyla kimliksiz kalır.

Yolcu kimlik bilgileri için ayrıca somut bir süre uygulanır: turun kalkışının üzerinden 90 gün geçtikten sonra kimlik/pasaport numarası, pasaport geçerlilik tarihi, uyruk ve cinsiyet otomatik olarak silinir, silme anı kayda geçirilir; yolcunun adı ve doğum tarihi sözleşmenin kimin için kurulduğunun kaydı olarak kalır. Aynı süre rezervasyonunuza yüklenen belgeler (uçak bileti, konaklama voucher'ı, vize evrakı, sigorta sertifikası) için de geçerlidir: bu dosyaların içinde de kimlik bilgisi bulunduğundan, süre dolduğunda dosyalar depodan da silinir. Belge indirme kayıtları 180 gün, doğrulama kodu istek kayıtları 2 gün sonra silinir.

6. Haklarınız (KVKK m.11) ve Başvuru

KVKK m.11 uyarınca; kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde ve yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, Kanun'un 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz.

Başvurunuzu info@esestravel.com adresine e-postayla, esestravelseyahatturizm@hs01.kep.tr KEP adresine ya da Hoşnudiye Mah. İsmet İnönü-1 Bulvarı No: 19/11 Tepebaşı / Eskişehir adresine yazılı olarak iletebilirsiniz. Başvurular en geç 30 gün içinde yanıtlanır.