Kişisel Verilerin Korunması Aydınlatma Metni (KVKK)

1. Veri Sorumlusunun Kimliği

Kişisel verilerinizden sorumlu veri sorumlusu, "Cappadocia Balloon Flights" kamuya açık markası altında faaliyet gösteren Cappadocia Experience LLC şirketidir.

ABD'nin Wyoming eyaleti hukukuna göre kurulmuş bir Wyoming limited şirketi (Limited Liability Company) olarak faaliyet gösteriyoruz (sicil no. 2026-002075110) ve Türkiye'de yerleşik değiliz. Türkiye'de bulunan kişilere hizmet sunduğumuz ve bu kişilerin kişisel verilerini işlediğimiz için bu aydınlatma metni KVKK kapsamında sunulmakta olup, KVKK'nın yurt dışında yerleşik veri sorumlularına yüklediği yükümlülükler bu sıfatla tarafımıza uygulanır.

Rezervasyon aracısı olarak hareket ederiz: uçuş ve turları keşfetmenizi ve rezervasyon yapmanızı sağlar ve kendi rezervasyon hizmet bedelimizi alırız; uçuşun veya turun kendisi bağımsız lisanslı operatörler tarafından gerçekleştirilir. Her operatör, kendi amaçları (güvenlik manifestosu, alış, sigorta gibi) bakımından ayrı ve bağımsız bir veri sorumlusu olarak hareket eder.

• Tüzel kişi: Cappadocia Experience LLC (Wyoming limited şirketi (Limited Liability Company), ABD'nin Wyoming eyaleti)
• Kayıtlı merkez: 30 N Gould St, Ste R, Sheridan, WY 82801, Amerika Birleşik Devletleri
• Operasyon adresi: Aydınlı-Orta Mah., Kağnı Yolu Sok. No: 1, 50180 Göreme — Nevşehir, Türkiye
• KVKK / veri koruma iletişimi: fly@cappadociaballoonflights.com
• Genel iletişim: fly@cappadociaballoonflights.com
• Gizlilik iletişimi: fly@cappadociaballoonflights.com
• Telefon: +90 384 271 23 88

2. İşlenen Kişisel Veri Kategorileri

Yalnızca rezervasyonunuzu almak, uçuş veya turu operatör aracılığıyla sunmak, yasaya uymak, dolandırıcılığı önlemek ve (rızanızla) hizmetimizi geliştirip sizinle iletişim kurmak için gerçekten ihtiyaç duyduğumuz verileri işleriz. Bundan fazlasını toplamayız.

• Kimlik ve yolcu verileri: ad ve soyad, uyruk ve — operatörün güvenlik manifestosu gerektirdiğinde — yolcu kilosu; katılımcı sayısı ve grup rezervasyonlarında lider misafir tarafından girilen birlikte uçacak yolcuların bilgileri.
• İletişim verileri: e-posta adresi, telefon numarası ve belirttiğiniz otel veya alış (pickup) konumu.
• Rezervasyon ve işlem verileri: rezerve edilen uçuş veya tur, tarih ve saat, fiyat, seçtiğiniz gösterim para birimi, indirim/promosyon kodları, depozito ve bakiye tutarları, rezervasyon referansı ve rezervasyon geçmişi. Fiyatlar seçtiğiniz bir gösterim para biriminde gösterilebilir, ancak fiili tahsilat EUR cinsinden gerçekleşir.
• Ödeme verileri: ödeme Stripe tarafından işlenir; bir onay ve ödeme token'ı alırız ancak tam kart numaranızı ASLA saklamayız.
• Hesap ve kimlik doğrulama verileri: Supabase üzerinden yönetilen hesap kimlik bilgileri ve — tercih ederseniz — Google ile giriş (Google Sign-In / One Tap, etkin olduğunda). Hesapsız misafir ödemesi de mümkündür.
• Teknik ve dolandırıcılık önleme verileri: rezervasyon anında IP adresiniz ve tarayıcı/user-agent bilginiz dolandırıcılık önleme amacıyla alınır; birinci taraf analitik için IP'nizden yalnızca yaklaşık ülke türetilir (ham IP SAKLANMAZ) ve cihaz tipi sunucu tarafında eklenir.
• Kullanım / analitik verileri (rızaya dayalı): birinci taraf olay kaydı (analytics_events) ve ilan görüntüleme sayaçları (listing_views) ile — yalnızca onay verirseniz — Google Analytics 4 (_ga / _ga_* çerezleri). HİÇBİR üçüncü taraf reklam/reklam-hedefleme çerezi ve HİÇBİR reklam pikseli kullanmayız.
• Değerlendirmeler / kullanıcı içeriği: göndermeyi seçtiğiniz, saklanan ve gösterilebilen yorumlar.
• İletişim verileri: bize gönderdiğiniz mesajlar ve sizinle yazışmalarımız (ör. destek, iptal, iade).

3. Sağlıkla İlgili Uygunluk Bilgileri (Özel Nitelikli Veriler)

Bazı uçuşlar hamilelik döneminde veya belirli hareket kabiliyeti, boy/kilo ya da sağlık durumları için uygun olmayabilir. Uygunluğu veya güvenliği değerlendirebilmemiz için sizin ya da operatörün bu tür bilgileri paylaşması hâlinde, bunlar KVKK kapsamında özel nitelikli kişisel veri oluşturabilir.

Bu verileri asgariye indirir, yalnızca uçuş uygunluğu ve güvenlik amacıyla kullanır ve KVKK'nın izin verdiği ölçüde açık rızanıza ve/veya yaşamın ve beden bütünlüğünün korunmasına dayanarak işleriz. Başka hiçbir amaçla kullanmayız.

4. Kişisel Verilerin İşlenme Amaçları

• Hesabınızı veya misafir ödemenizi oluşturmak, yönetmek ve kimliğinizi doğrulamak.
• Rezervasyonunuzu almak ve uçuş ya da turun bağımsız lisanslı operatör tarafından gerçekleştirilmesini düzenlemek (güvenlik manifesto bilgilerinin bu operatöre iletilmesi dâhil).
• Ödeme sağlayıcımız aracılığıyla ödemeleri, depozitoları ve bakiyeleri işlemek, indirim/promosyon kodlarını uygulamak ve iadeleri asıl ödeme yönteminize yapmak.
• Sözleşmemizin ifası için gerekli olan işlemsel bildirimleri (rezervasyon onayı, iptal, yeniden rezervasyon ve iade bildirimleri) göndermek.
• Yasal yükümlülüklere uymak; bunlara sivil havacılık yolcu manifestolarının ilgili otoritelere (SHGM/DHMİ) iletilmesi ve vergi/muhasebe kayıtlarının tutulması dâhildir.
• Dolandırıcılığı önlemek, tespit etmek, soruşturmak ve platformumuzun güvenliğini sağlamak.
• Analitik aracılığıyla — kendi birinci-taraf analitiğimiz ve Google Analytics 4 — hizmetimizi ölçmek ve geliştirmek (yalnızca rızanızla).
• Yalnızca pazarlama rızası verdiğinizde size pazarlama göndermek ve reklamımızı ölçmek — sepeti terk kurtarma e-postası, onaylı ticari e-posta/SMS ve kendi kampanyalarımız için Google Ads dönüşüm takibi.
• Yorumlarınızı saklamak ve uygun olduğunda göstermek; standartlarımızı ihlal eden içeriği denetlemek ve kaldırmak.
• Hukuki taleplerin kurulması, kullanılması veya savunulması ve otoritelerin hukuka uygun taleplerine yanıt vermek.

5. İşlemenin Hukuki Sebepleri (KVKK m.5 / m.6)

Her amaca eşlenen aşağıdaki hukuki sebeplere dayanırız. Rızaya dayalı işleme her zaman bu metinden ayrıdır ve dilediğiniz zaman geri alınabilir.

• Sözleşmenin kurulması veya ifası (m.5/2-c): rezervasyonunuzun alınıp yerine getirilmesi, ödemenin işlenmesi ve işlemsel e-postaların gönderilmesi — aramızdaki sözleşme için doğrudan gereklidir.
• Hukuki yükümlülüğün yerine getirilmesi (m.5/2-ç): SHGM/DHMİ'ye sivil havacılık yolcu manifestoları ve vergi/ticari kayıtların tutulması.
• Veri sorumlusunun meşru menfaati (m.5/2-f): dolandırıcılık önleme (rezervasyonda alınan IP + user-agent) ve platform güvenliği; haklarınız ve özgürlükleriniz dengelenir.
• Bir hakkın tesisi/kullanılması/korunması (m.5/2-e): uyuşmazlık ve talepler için gerekli kayıtların saklanması.
• Açık rıza (m.5/1 / özel nitelikli veriler için m.6): birinci taraf analitik, pazarlama e-posta/SMS, sepeti terk kurtarma ve sağlıkla ilgili uygunluk bilgileri. Bunlar ayrı, paketlenmemiş rıza yoluyla alınır ve rezervasyonun koşulu değildir.
• Yaşamın veya beden bütünlüğünün korunması (m.5/2-d / m.6): uçuş güvenliği için zorunlu olduğu ve kişinin rıza veremediği durumlarda.

6. Aktarılan Alıcı Grupları ve Aktarım Amacı

Kişisel verilerinizi yalnızca aşağıdaki taraflarla ve yalnızca gerektiği ölçüde paylaşırız. Kişisel verilerinizi SATMAYIZ ve hiçbir reklam ağı kullanmayız. Kullandığımız tek üçüncü-taraf analitik sağlayıcısı Google'dır (Google Analytics 4) ve yalnızca analitiğe onay verirseniz.

• Bağımsız lisanslı operatörler / tur sağlayıcıları: uçuş veya turu fiilen gerçekleştirmek ve sigortalamak için. Operatör, rezervasyon ve güvenlik manifesto bilgilerini (ad, uyruk, sorulduğunda kilo, ulaşılabilir telefon/e-posta) alır ve kendi amaçları (manifesto, alış, sigorta) için ayrı, bağımsız bir veri sorumlusu olarak hareket eder.
• Stripe (ödeme işleyici): ödeme almak ve iadeleri işlemek için. Kart verilerini Stripe yönetir; tam kart numaralarını asla saklamayız.
• Resend (e-posta hizmeti): işlemsel ve onaylı e-posta göndermek için.
• Supabase (veritabanı ve kimlik doğrulama barındırma): hesap, rezervasyon ve platform verilerini saklamak için.
• Vercel (uygulama barındırma): platformu çalıştırmak ve sunmak için.
• Upstash (barındırılan Redis): hız sınırlama ve önbellekleme. IP adresiniz kısa ömürlü bir hız-sınırlama anahtarı olarak kullanılır; önbelleklenen arama sonuçları kişisel veri içermez.
• Arcjet (kötüye kullanım ve bot koruması): otomatik veya kötü niyetli trafiği engellemek için IP adresinizi ve temel istek meta verisini alır.
• Google (Maps Places): yalnızca rezervasyon formunda otel adı yazarken, Google eşleşen önerileri döndürebilsin diye.
• Google (ile Giriş): yalnızca Google ile giriş yapmayı seçerseniz; sizi doğrulamak ve adınız ile e-postanızı döndürmek için.
• Google (Google Analytics 4): yalnızca analitiğe onay verirseniz, Google LLC kullanım verilerinizi (görüntülenen sayfalar, IP'nizden türetilen yaklaşık konum, cihaz/tarayıcı türü) toplu raporlar üretmek üzere analitik işleyenimiz sıfatıyla işler. Google'a göre Google Analytics 4 IP adreslerini saklamaz (IP'niz yalnızca yaklaşık konum türetmek için geçici olarak kullanılır); entegrasyonumuz reklam ve kişiselleştirme sinyallerini reddeder (Consent Mode) ve Google'ın reklam özelliklerini kapalı tutarız — bu asla reklam için çalışmaz.
• Google (Google Ads): yalnızca pazarlamaya onay verirseniz ve Google Ads yürütüyorsak, Google LLC dönüşüm verisini (bir rezervasyonun gerçekleştiğini, referansını, tutarını/para birimini) bir reklam tıklamasına atfetmek üzere işleyenimiz sıfatıyla alır — yalnızca kendi kampanyalarımızın dönüşüm ölçümü için (remarketing, Google Signals veya reklam kişiselleştirmesi yok).
• Yasal olarak gerekli olduğunda kamu otoriteleri: özellikle SHGM/DHMİ'ye sivil havacılık yolcu manifestoları ve hukuka uygun dayanakla vergi/yargı makamları.
• Haklarımızı korumak veya kullanmak için gerektiğinde profesyonel danışmanlar (ör. avukatlar, mali müşavirler).

7. Yurt İçi ve Yurt Dışına Aktarım (KVKK m.8 / m.9)

Yolcu manifesto verilerinin SHGM/DHMİ ile paylaşılması, bir hukuki yükümlülüğün yerine getirilmesi amacıyla yapılan bir yurt içi aktarımdır (m.8).

Bazı alt işleyenlerimiz (Stripe, Resend, Supabase, Vercel, Upstash, Arcjet ve — analitiğe veya pazarlamaya onay verirseniz — Google) kısmen Türkiye/AEA dışında faaliyet gösterdiğinden verileriniz yurt dışına aktarılabilir (m.9). Bunlar tekrar eden (sürekli) aktarımlardır; tek seferlik rıza istisnaları yerine uygun güvencelere dayanırız.

Özellikle, mevcut olduğunda yeterlilik kararına; aksi hâlde Kurul tarafından yayımlanan standart sözleşme / Standart Sözleşme Hükümleri (SCC) gibi uygun güvencelere dayanırız. İlgili güvencenin bir kopyasını fly@cappadociaballoonflights.com üzerinden talep edebilirsiniz.

Reklam hedefleme amacıyla reklam/remarketing ağlarına yurt dışı aktarım yapmayız; reklamla ilgili tek işleyenimiz, yalnızca pazarlama onayınızla kendi kampanyalarımızın dönüşüm ölçümü için Google'dır.

Yerleşiklik notu: ABD'nin Wyoming eyaleti bünyesinde kurulu olduğumuzdan, bu platform aracılığıyla toplanan kişisel veriler baştan itibaren yurt dışında işlenir. KVKK'nın gerektirdiği hâllerde açık rızanıza veya KVKK m. 9 kapsamında yurt dışına aktarım için izin verilen diğer sebeplere dayanırız.

8. Veri Toplama Yöntemi ve Hukuki Sebebi

Kişisel verilerinizi, 5. Bölümde belirtilen hukuki sebeplere dayanarak aşağıdaki kanallar aracılığıyla toplarız:

• Doğrudan sizden: hesap oluşturduğunuzda veya misafir olarak ödeme yaptığınızda, rezervasyonu tamamladığınızda, yolcu bilgilerini girdiğinizde, bize ulaştığınızda veya bir yorum gönderdiğinizde (sözleşme / hukuki yükümlülük / rıza).
• Otomatik ve sunucu tarafında: web sitemiz ve zorunlu/rıza verilen çerezler aracılığıyla toplanan teknik/dolandırıcılık verileri (rezervasyonda IP + user-agent) ve birinci taraf analitik sinyalleri (meşru menfaat / rıza).
• Bizim adımıza hareket eden üçüncü taraflardan: ödeme sağlayıcımızdan ödeme onayı, Supabase'ten kimlik doğrulama verileri ve — tercih ederseniz — Google'dan giriş verileri.
• Lider rezervasyondan, birlikte uçacak yolcular hakkında: bir lider misafir başkaları adına rezervasyon yaptığında, bu misafir söz konusu kişilerin bilgilerini paylaşmaya yetkili olduğunu teyit eder.

9. Saklama Süreleri

Kişisel verileri yalnızca toplandığı amaç için gerekli olduğu sürece ve yasanın gerektirdiği süreler boyunca saklar, ardından sileriz veya anonimleştiririz.

• Analitik olaylar (analytics_events): 180 gün sonra otomatik olarak silinir.
• Ham IP adresi: analitik için SAKLANMAZ — yalnızca yaklaşık bir ülke türetilir; cihaz tipi sunucu tarafında eklenir.
• Dolandırıcılık önleme sinyalleri (rezervasyonda alınan IP + user-agent): yalnızca dolandırıcılığa karşı gerekli olduğu süre boyunca saklanır.
• Rezervasyon, ödeme ve finansal kayıtlar: Türk vergi ve ticaret hukukunun gerektirdiği süre boyunca saklanır, ardından silinir veya anonimleştirilir.
• Hesap verileri: hesabınız etkin olduğu sürece ve sonrasında yasal olarak gerekli her süre boyunca saklanır.
• Pazarlama rızası kayıtları: rıza etkin olduğu sürece ve hukuka uygun işlemeyi kanıtlamak için gerektiği kadar saklanır.

10. İlgili Kişi Olarak Haklarınız (KVKK m.11)

KVKK'nın 11. maddesi uyarınca aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme;
• İşlenmişse buna ilişkin bilgi talep etme;
• İşlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme;
• Yurt içinde veya yurt dışında verilerinizin aktarıldığı üçüncü kişileri bilme;
• Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme;
• İşlenme sebeplerinin ortadan kalkması hâlinde verilerinizin silinmesini veya yok edilmesini isteme;
• Düzeltme ve silme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme;
• Verilerinizin münhasıran otomatik analizi sonucu aleyhinize bir sonucun ortaya çıkmasına itiraz etme;
• Hukuka aykırı işleme nedeniyle uğradığınız zararın giderilmesini talep etme.
• Ayrıca, verdiğiniz herhangi bir rızayı (analitik, pazarlama, özel nitelikli veriler) önceki işlemenin hukukiliğini etkilemeden dilediğiniz zaman geri alabilirsiniz.

11. Haklarınızı Kullanma Yöntemi ve Şikayet Yolu

11. madde haklarınızı kullanmak için lütfen Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak, kimliğinizin doğrulanması için gerekli bilgileri içerecek şekilde yazılı olarak veya kayıtlı elektronik posta (KEP) yoluyla bize başvurun.

Talebinizi ücretsiz olarak ve en geç 30 gün içinde sonuçlandırırız; işlemin ek bir maliyet gerektirdiği durumlarda Kurul'un belirlediği tarifedeki ücret uygulanabilir.

Başvurunuzun reddedilmesi, yanıtımızın yetersiz bulunması veya süresinde yanıt verilmemesi hâlinde, yanıtımızı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikayette bulunabilirsiniz.

• E-posta / KEP ile: fly@cappadociaballoonflights.com
• Posta ile: Cappadocia Experience LLC, Aydınlı-Orta Mah., Kağnı Yolu Sok. No: 1, 50180 Göreme — Nevşehir, Türkiye
• Hesap ayarlarınız üzerinden (belirli verilere erişim ve düzeltme için)
• Alt bilgideki "Çerez ayarları" bağlantısı ve her pazarlama mesajındaki abonelikten çıkma bağlantısı yoluyla rızayı dilediğiniz zaman geri alma

12. Otomatik Kararlar, Güvenlik ve Çocuklar

Otomatik kararlar: münhasıran otomatik işlemeye dayanarak hakkınızda hukuki veya benzer şekilde önemli sonuçlar doğuran herhangi bir karar vermeyiz. Otomatik kontroller dolandırıcılık taramasına yardımcı olabilir, ancak dolandırıcılıkla ilgili her tutmayı bir insan inceler.

Güvenlik: ödemeler, ödeme hizmeti sağlayıcımız tarafından işlenir (tam kart numaralarını asla saklamayız); kimlik doğrulama ve veriler Supabase üzerinde barındırılır; veriler iletim sırasında şifrelenir; erişim sınırlandırılmıştır. Bir kişisel veri ihlali durumunda, etkilenen kişileri ve Kişisel Verileri Koruma Kurulu'nu yasal süre içinde bilgilendiririz.

Çocuklar: hesaplarımız ve rezervasyonlarımız yetişkinler içindir. Küçükler yalnızca sorumlu bir yetişkin tarafından yapılan bir rezervasyonun parçası olarak ve operatörün yaş ve güvenlik kurallarına tabi olarak katılabilir; yetkisiz oluşturulan küçük hesap verilerini sileriz.

13. AB/AEA Ziyaretçileri İçin Not (GDPR)

AB/AEA'da iseniz, işlememiz GDPR tarafından da bilgilendirilir. Yukarıdaki hukuki sebepler GDPR m.6'ya (sözleşme, hukuki yükümlülük, meşru menfaat ve rıza) karşılık gelir ve özel nitelikli veriler ilgili GDPR m.9 koşulu uyarınca işlenir.

Erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz ve rızayı geri alma gibi GDPR haklarına sahipsiniz. Alt işleyenlerimize yurt dışı aktarımlar, Standart Sözleşme Hükümleri gibi uygun güvencelere dayanır.

Türk Kurulu'na ek olarak veya onun yerine yerel AB/AEA denetim makamınıza şikayette bulunabilirsiniz.

14. Bu Metindeki Değişiklikler ve İletişim

Bu metni, işlememizdeki veya yasadaki değişiklikleri yansıtmak için zaman zaman güncelleyebiliriz; yürürlük tarihi en üstte yer alır. Önemli değişiklikler uygun olduğunda bildirilir.

Bu metin, Gizlilik Politikamız, Çerez Politikamız ve Kullanım Koşullarımızla birlikte okunmalıdır.

Bu metin veya kişisel verileriniz hakkında her türlü soru için fly@cappadociaballoonflights.com veya fly@cappadociaballoonflights.com adresinden, genel olarak fly@cappadociaballoonflights.com adresinden, +90 384 271 23 88 numarasından ya da Aydınlı-Orta Mah., Kağnı Yolu Sok. No: 1, 50180 Göreme — Nevşehir, Türkiye adresinden bize ulaşın.