Gizlilik Politikası

1. Özet bakış

Bu politikanın kısa özeti. Ayrıntılar aşağıdaki bölümlerde yer alır.

• Neleri topluyoruz: hesap ve iletişim bilgileriniz, uçuş veya tur için gereken rezervasyon ve yolcu bilgileri, ödeme sağlayıcımızdan gelen ödeme onayı (tam kart numaranız ASLA değil), yazdığınız yorumlar ve sınırlı teknik veriler.
• Neden: rezervasyonunuzu almak ve gerçekleştirmek; yasal ve havacılık yükümlülüklerini karşılamak; dolandırıcılığı önlemek; ve yalnızca onayınızla analitik (kendi birinci-taraf analitiğimiz ve Google Analytics 4) ile pazarlama için.
• Kimlerle paylaşıyoruz: uçuşunuzu veya turunuzu gerçekleştiren bağımsız operatör; kısa ve isimli bir hizmet sağlayıcı listesi (Stripe, Resend, Supabase, Vercel ve — yalnızca analitik onayı verirseniz — Google Analytics için Google); ve hukuken gerektiğinde kamu otoriteleri.
• Yapmadığımız şeyler: verilerinizi satmıyoruz; reklam göstermiyoruz, reklam pikseli veya reklam-hedefleme çerezi kullanmıyoruz. Yürüttüğümüz tek analitik — kendi birinci-taraf analitiğimiz ve Google Analytics 4 — yalnızca siz onay verirseniz yüklenir ve asla reklam için kullanılmaz.
• Tercihleriniz: zorunlu olmayan takip, siz onay verene kadar KAPALIDIR; onayınızı alt bilgideki "Çerez ayarları" bağlantısından istediğiniz an geri alabilir, her mesajdan pazarlamayı durdurabilirsiniz.
• Haklarınız: KVKK kapsamında (ve AB/AEA ziyaretçileri için GDPR) erişim, düzeltme, silme ve diğerleri; fly@cappadociaballoonflights.com üzerinden kullanılır.

2. Biz kimiz — veri sorumlusu

Kişisel verilerinizden sorumlu veri sorumlusu şudur:

• Tüzel kişi: Cappadocia Experience LLC, bir Wyoming limited şirketi (Limited Liability Company) (ABD'nin Wyoming eyaleti, sicil no. 2026-002075110)
• Marka: "Cappadocia Balloon Flights"
• Kayıtlı merkez: 30 N Gould St, Ste R, Sheridan, WY 82801, Amerika Birleşik Devletleri
• Operasyon adresi: Aydınlı-Orta Mah., Kağnı Yolu Sok. No: 1, 50180 Göreme — Nevşehir, Türkiye
• Genel iletişim: fly@cappadociaballoonflights.com / +90 384 271 23 88
• Gizlilik konuları: fly@cappadociaballoonflights.com
• İlgili kişi başvuruları (GDPR / Birleşik Krallık GDPR / KVKK): fly@cappadociaballoonflights.com
• Önemli: biz rezervasyon aracısıyız ve turlar bakımından satıcıyız. Uçuşunuzu veya turunuzu gerçekleştiren bağımsız lisanslı operatör, sizi güvenle taşımak için ihtiyaç duyduğu veriler (manifesto, transfer, sigorta) bakımından ayrı bir veri sorumlusudur ve bu verileri kendi sorumluluğu altında işler — bkz. bölüm 5.
• Bir hizmetin sunulmasında TÜRSAB belgeli bir Türk acentesinin yer aldığı hâllerde bu acente, ortak ortaklık yapısına sahip ayrı bir şirket olan ve kendi amaçları bakımından ayrı veri sorumlusu sıfatını taşıyan TURTLE TUR TURİZM SEY. TİC. LTD. ŞTİ.'dir (marka "Turtle Tours", TÜRSAB belge no. 4551).

3. Hangi kişisel verileri topluyoruz ve nereden geliyor

Yalnızca bu politikada açıklanan amaçlar için gereken verileri toplarız. Bunları şu şekilde gruplandırırız.

• Hesap ve profil verisi — ad, e-posta, şifre (kimlik doğrulama sağlayıcımız tarafından güvenli şekilde saklanır) ve Google ile Giriş / One Tap seçerseniz Google'ın kimliğinizi doğrulamak için paylaştığı temel profil. Hesap olmadan misafir ödeme de mümkündür.
• Rezervasyon ve yolcu (manifesto) verisi — uçuşu veya turu güvenle gerçekleştirmek için gereken bilgiler: rezervasyonu yapan ve yolcuların adları, uyruğu, operatörün istediği durumlarda kilo (balon dengesi/güvenliği için), misafir sayısı, tarih/saat, otel veya alış noktası ve ulaşılabilir telefon ile e-posta.
• Birlikte uçan yolcu verisi — başkaları adına rezervasyon yaparsanız onların bilgilerini siz verirsiniz. Bunu yaparak, bu bilgileri paylaşmaya yetkili olduğunuzu ve onları bu politika hakkında bilgilendirdiğinizi teyit edersiniz.
• Ödeme verisi — ödemeleri işlemek için Stripe kullanırız. Balon uçuşları, bakiyesi ödeme adımında gösterildiği şekilde tahsil edilmek üzere bir depozito ile rezerve edilebilir; turlarda ise ürüne göre tam ödeme veya depozito gerekir. Bir ödeme onayı ve sınırlı işlem verisi alırız; tam kart numaranızı ASLA saklamayız. Fiyatlar seçtiğiniz bir görüntüleme para biriminde gösterilir, ancak gerçek tahsilat EUR olarak gerçekleşir. Bir indirim veya promosyon kodu kullanmanız hâlinde, kodun kullanımını rezervasyonunuza işleriz.
• İletişim ve destek — bize gönderdiğiniz mesajlar ve size gönderdiğimiz işlemsel e-postalar (onay, iptal, iade).
• Yorumlar ve kullanıcı içeriği (UGC) — gönderdiğiniz, sakladığımız ve gösterebileceğimiz yorumlar.
• Teknik ve dolandırıcılık-önleme verisi — rezervasyon anında alınan IP adresiniz ve tarayıcı/kullanıcı-ajanınız; dolandırıcılığı önlemeye yardımcı olmak için kullanılır. Birinci-taraf analitik için ham IP adresinizi SAKLAMAYIZ; yalnızca ondan türetilen yaklaşık ülkeyi (barındırma sağlayıcımız aracılığıyla), sunucu tarafında eklenen cihaz türünü ve yalnızca aynı-gün tekilleştirme ve kötüye-kullanım sınırlama için kullanılan, geri dönüşü olmayan tuzlanmış (salted) bir IP karmasını (hash) tutarız.
• Kaynaklar: verilerin çoğu doğrudan sizden gelir. Ayrıca ödeme sağlayıcımızdan ödeme onayı, kimlik sağlayıcımızdan kimlik doğrulama verisi (Google ile Giriş kullanırsanız Google'dan) ve rezervasyonunuzu gerçekleştiren operatörden operasyonel veri alırız.

4. Verilerinizi neden kullanıyoruz ve hukuki sebepler

Her amacı KVKK (6698 sayılı Kanun, m.5 ve m.6) kapsamında bir hukuki sebebe ve AB/AEA ziyaretçileri için GDPR m.6'daki karşılığına bağlarız.

• Rezervasyonunuzu almak ve gerçekleştirmek; onay, değişiklik, iptal ve iade göndermek — Sebep: sözleşmenin ifası (KVKK m.5/2-c; GDPR m.6(1)(b)).
• Yolcu/manifesto verisini operatörlerle ve hukuken gerektiğinde kamu otoriteleriyle paylaşmak (ör. sivil havacılık yolcu manifestolarının SHGM/DHMİ'ye bildirilmesi); vergi ve muhasebe kayıtlarını tutmak — Sebep: hukuki yükümlülük (KVKK m.5/2-ç; GDPR m.6(1)(c)).
• Dolandırıcılığı önlemek/araştırmak ve platformu güvenli tutmak (rezervasyondaki IP + kullanıcı-ajanı ile) — Sebep: meşru menfaat (KVKK m.5/2-f; GDPR m.6(1)(f)).
• Siteyi anlamak ve iyileştirmek için analitik — kendi birinci-taraf analitiğimiz (analytics_events kaydı ve ilan görüntüleme sayaçları) ve Google Analytics 4 — Sebep: açık rızanız (KVKK açık rıza; GDPR m.6(1)(a)).
• Pazarlama — terk edilen sepet hatırlatma e-postası, onaylı ticari e-posta/SMS ve kendi reklam kampanyalarımız için Google Ads dönüşüm takibi — Sebep: açık rızanız (KVKK açık rıza ve 6563 sayılı E-Ticaret Kanunu kapsamındaki opt-in kuralı; GDPR m.6(1)(a)).
• Sağlıkla bağlantılı uygunluk bilgisi (ör. uçuşu uygunsuz kılabilecek bir durum, gebelik) özel nitelikli veri olabileceği için özenle ele alınır; bunu asgaride tutarız ve açık rıza ile uçuş-güvenliği gerekçesine dayanırız.
• İşlemsel rezervasyon e-postaları (onay, iptal, iade) pazarlama onayından bağımsız gönderilir; çünkü sözleşmenizin ifası için gereklidir.

5. Verilerinizi kimlerle paylaşıyoruz

Verilerinizi yalnızca aşağıdaki taraflarla ve yalnızca gerektiğinde paylaşırız. Kişisel verilerinizi satmıyoruz ve reklam ağlarıyla paylaşmıyoruz. Kullandığımız tek üçüncü-taraf analitik ortağı Google'dır (Google Analytics 4) ve yalnızca analitiğe onay verirseniz.

• Rezervasyonunuzu gerçekleştiren operatör — bağımsız lisanslı operatörün uçuşunuzu veya turunuzu gerçekleştirmek ve sigortalamak için ihtiyaç duyduğu rezervasyon ve yolcu bilgilerini (manifesto, iletişim, alış) aktarırız. Operatör, bu veriler bakımından ayrı ve bağımsız bir veri sorumlusudur.
• Stripe — ödeme işlemleri. Stripe, PCI-DSS uyumlu bir işlemci olarak çalışır; tam kart numaranızı asla almaz veya saklamayız. Stripe ödeme verisini Türkiye dışında işler (aşağıdaki yurt dışına aktarım bölümüne bakın).
• Resend — işlemsel e-postaların ve onayınızla onaylı pazarlama e-postalarının gönderimi.
• Supabase — veritabanı ve kimlik doğrulama barındırması (hesabınız, oturumlarınız ve rezervasyon kayıtlarınız).
• Vercel — uygulamamızın barındırılması.
• Upstash — kötüye kullanım isteklerini hız-sınırlamak ve arama sonuçlarını önbelleklemek için kullandığımız barındırılan Redis hizmeti. Hız sınırlamada anahtar olarak IP adresiniz kullanılır; bu kayıtlar kısa ömürlüdür ve hesabınıza ya da rezervasyonunuza bağlanmaz.
• Arcjet — API uçlarımızda kötüye kullanım ve bot koruması. Bir isteğin otomatik veya kötü niyetli olup olmadığına karar vermek için IP adresinizi ve temel istek meta verisini (istenen yol, yöntem, tarayıcı kimliği gibi) alır.
• Google (Maps Places) — yalnızca rezervasyon formunda ve yalnızca alış için otel adı yazmaya başladığınızda: yazdığınız karakterler eşleşen otelleri önerebilmesi için Google'a gönderilir. Otel alanını boş bırakırsanız hiçbir şey gönderilmez.
• Google (ile Giriş) — yalnızca Google ile giriş yapmayı seçerseniz; Google sizi doğrular ve adınız ile e-posta adresinizi bize döner.
• Google (Google Analytics 4) — yalnızca analitiğe onay verirseniz, üçüncü-taraf kitle ölçümümüzü Google LLC sağlar. Google, kullanım verilerinizi (görüntülenen sayfalar, IP'nizden türetilen yaklaşık konum, cihaz/tarayıcı türü gibi) bize toplu raporlar sunmak üzere işleyen sıfatıyla işler. Google'a göre Google Analytics 4 IP adreslerini kaydetmez veya saklamaz (IP'niz Google'a yalnızca yaklaşık konum türetmek için iletilir, sonra atılır). Entegrasyonumuz Google Consent Mode ile reklam ve kişiselleştirme sinyallerini reddeder ve Google'ın reklam özellikleri ile Google Signals'ı kapalı tutarız; dolayısıyla bu asla reklam için kullanılmaz. Yalnızca siz onay verdikten sonra çalışır.
• Google (Google Ads) — yalnızca pazarlamaya onay verirseniz ve Google Ads yürütüyorsak, Google LLC dönüşüm verisini (bir rezervasyonun gerçekleştiğini, referansını, tutarını ve para birimini) bir reklam tıklamasına atfetmek üzere işleyenimiz sıfatıyla alır. Bu yalnızca kendi kampanyalarımızın dönüşüm ölçümüdür — remarketing, Google Signals veya reklam kişiselleştirmesi yoktur. Yalnızca pazarlamaya onay verdikten sonra çalışır.
• Kamu otoriteleri — hukuken gerektiğinde, örneğin sivil havacılık yolcu manifestolarının SHGM/DHMİ'ye bildirilmesi veya vergi ve mevzuat açıklamaları.
• YAPMADIKLARIMIZ: verilerinizi satmak, remarketing veya reklam kişiselleştirmesi yapmak, reklam-hedefleme çerezi yerleştirmek veya reklam pikseli kullanmak. Google Analytics 4 (analitik onayıyla) ve — kendi kampanyalarımız için — Google Ads dönüşüm takibi (pazarlama onayıyla) yalnızca ölçüm amacıyla kullanılır.

6. Yurt dışına veri aktarımı

Bazı hizmet sağlayıcılarımız (Stripe, Resend, Supabase, Vercel, Upstash, Arcjet ve — analitiğe veya pazarlamaya onay verirseniz — Google) kısmen Türkiye ve AB/AEA dışında çalıştığından verileriniz yurt dışına aktarılabilir. Bunlar tekrar eden, yapısal aktarımlardır; bu nedenle tek seferlik rıza yerine uygun güvencelere dayanırız.

KVKK m.9 uyarınca, Kurul'ca ilan edilen standart sözleşme (SCC türü mekanizma) gibi uygun güvencelere ve varsa yeterlilik kararına dayanırız. AB/AEA ziyaretçileri için GDPR kapsamında, AEA dışına aktarımlar Standart Sözleşme Hükümlerine veya başka geçerli bir güvenceye dayanır. Yolcu manifestolarının SHGM/DHMİ ile paylaşılması, yurt dışı aktarım değil, hukuki yükümlülüğe dayalı yurt içi açıklamadır. İlgili güvencenin bir örneğini fly@cappadociaballoonflights.com adresinden talep edebilirsiniz.

ABD'nin Wyoming eyaleti bünyesinde kurulu olduğumuzdan, bize verdiğiniz kişisel veriler tarafımızca orada işlenir. AB/AEA veya Birleşik Krallık'ta bulunuyorsanız bu, üçüncü ülkeye aktarım niteliğindedir: GDPR Bölüm V kapsamında izin verilen uygun güvencelere (işleyenlerimizle standart sözleşme hükümleri ve hukuki yolun bu olduğu hâllerde açık rızanız veya sözleşmenin ifasının gerekliliği) dayanırız; uçuşunuzu gerçekleştiren operatör ise kendi payına düşen veriyi Türkiye'de işler.

7. Verilerinizi ne kadar süre saklarız

Kişisel verileri yalnızca toplama amacımız için gereken süre kadar saklar, ardından sileriz veya anonimleştiririz. Somut olarak:

• Analitik olaylar (analytics_events) 180 gün sonra otomatik silinir.
• Google Analytics 4 verileri (yalnızca analitiğe onay verirseniz) Google tarafından, GA4'te yapılandırdığımız saklama süresine göre tutulur; Google'a göre Google Analytics 4 IP adreslerini saklamaz.
• Kendi birinci-taraf analitiğimiz için ham IP adresinizi saklamayız; yalnızca ondan türetilen yaklaşık ülkeyi, sunucu tarafında bir cihaz türünü ve yalnızca aynı-gün tekilleştirme için kullanılan, geri dönüşü olmayan tuzlanmış bir karmayı tutarız.
• Rezervasyon, ödeme ve muhasebe kayıtları Türk vergi, ticaret ve turizm mevzuatının gerektirdiği süre boyunca saklanır, sonra silinir veya anonimleştirilir.
• Dolandırıcılık-önleme sinyalleri (rezervasyonda alınan IP + kullanıcı-ajanı) yalnızca dolandırıcılık savunması için gereken süre kadar saklanır.
• Hesap verisi, hesabınız aktif olduğu sürece saklanır; yorumlar, silinmesini talep etmediğiniz veya moderasyon uygulanmadığı sürece yayında kalır.
• Pazarlama onayı kayıtları, onayınızı ispatlamak için gereken süre boyunca saklanır.

8. Çerezler ve benzeri teknolojiler

Çerez Politikamızda tam olarak açıklanan, üç kategoride küçük ve dürüst bir çerez ve yerel depolama seti kullanırız.

Analitiğimiz yalnızca siz onay verirseniz çalışır ve hem kendi birinci-taraf analitiğimizi hem de Google Analytics 4'ü kapsar. HİÇBİR üçüncü taraf reklam veya reklam-hedefleme çerezi ve HİÇBİR reklam pikseli KULLANMAYIZ; analitik asla reklam için kullanılmaz. Ayarlayabileceğimiz tek reklamla ilgili çerez, birinci-taraf Google Ads dönüşüm bağlayıcısıdır (_gcl_au) ve yalnızca pazarlamaya da onay verirseniz (bkz. Pazarlama bölümü).

• Zorunlu (her zaman açık, rıza gerekmez) — kimlik doğrulama/oturum, çerez-onay tercihiniz, ödeme oturumu ve dil ile para birimi tercihleriniz. Bunlar giriş yapmak, rezervasyon yapmak ve sitenin çalışmasını sürdürmek için kesinlikle gereklidir.
• Analitik (rıza) — birinci-taraf analytics_events kaydımız ve ilan görüntüleme sayaçları ile Google Analytics 4 (_ga / _ga_* çerezleri); yalnızca siz onay verdikten sonra yüklenir.
• Pazarlama (rıza) — terk edilen sepet hatırlatma e-postası, onaylı e-posta/SMS ve kendi reklam kampanyalarımız için Google Ads dönüşüm takibi (_gcl_au dönüşüm-bağlayıcı çerezi).
• Zorunlu olmayan kategoriler, çerez bandından onay verene kadar KAPALIDIR ve onayınızı, temel işlevselliği kaybetmeden alt bilgideki "Çerez ayarları" bağlantısından istediğiniz an geri alabilirsiniz.

9. Pazarlama ve abonelikten çıkış

Pazarlama mesajlarını yalnızca onay verdiğinizde göndeririz. Pazarlama; terk edilen sepet hatırlatma e-postaları (yalnızca pazarlama onayı verdiyseniz) ve onaylı ticari e-posta/SMS'ten oluşur ve Resend üzerinden iletilir.

Her pazarlama mesajı bir abonelikten çıkış bağlantısı içerir ve onayınızı alt bilgideki "Çerez ayarları" bağlantısından istediğiniz an geri alabilirsiniz. Onayın geri alınması, geri alma öncesinde yapılan işlemeyi etkilemez ve sözleşmenizin ifası için göndermemiz gereken işlemsel rezervasyon e-postalarını durdurmaz.

10. Otomatik işleme ve dolandırıcılık taraması

Rezervasyonları dolandırıcılığa karşı taramaya yardımcı olmak için kural tabanlı otomatik kontroller kullanırız (örneğin rezervasyon anındaki IP ve tarayıcı/kullanıcı-ajanından türetilen sinyaller). Uçuş planlamasını bilgilendirmek için otomatik hava/tahmin puanlaması da kullanabiliriz.

Hakkınızda hukuki veya benzer şekilde önemli etki doğuran kararları, insan katılımı olmadan yalnızca otomatik işlemeye dayanarak almayız. Bir rezervasyon işaretlendiğinde, sonuç doğuran herhangi bir işlem öncesinde bir kişi inceler. Bu, KVKK m.11 ve GDPR m.22 kapsamındaki haklarınızı yansıtır.

11. Güvenlik

Riske uygun teknik ve idari tedbirler uygularız.

• Ödemeler Stripe (PCI-DSS uyumlu bir işlemci) tarafından ele alınır; tam kart numaralarını asla saklamayız.
• Kimlik doğrulama ve oturumlar Supabase tarafından, isteğe bağlı Google ile Giriş / One Tap ile yönetilir.
• Veriler aktarım sırasında şifrelenir (TLS) ve kişisel verilere erişim, ihtiyacı olanlarla sınırlandırılır.
• Bildirim gerektiren bir kişisel veri ihlali yaşanırsa, etkilenen kişileri ve yetkili otoriteyi (Kişisel Verileri Koruma Kurumu / KVKK Kurumu) yasal sürede bilgilendiririz.

12. Çocuklar ve asgari yaş

Hesaplarımız, rezervasyonlarımız ve platform yetişkinler içindir. Bir küçük, yalnızca sorumlu bir yetişkin tarafından yapılan rezervasyonun parçası olarak ve operatörün yaş ile güvenlik kurallarına tabi olarak bir uçuşa veya tura katılabilir.

Gerekli yetki olmadan çocuklar için bilerek hesap oluşturmayız. Bir küçüğün hesabının veya verisinin gerekli yetki olmadan sağlandığını öğrenirsek, bunu sileriz. Küçüklere ait yolcu bilgilerini yalnızca güvenlik manifestosu için gereken ölçüde toplarız.

13. Haklarınız ve bunları nasıl kullanacağınız

KVKK m.11 uyarınca ilgili kişi olarak şu haklara sahipsiniz: kişisel verinizin işlenip işlenmediğini öğrenme; işlenmişse buna ilişkin bilgi talep etme; işleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içi/yurt dışı aktarıldığı üçüncü kişileri bilme; eksik/yanlış işlenmişse düzeltilmesini isteme; silinmesini/yok edilmesini isteme; düzeltme/silmenin aktarıldığı üçüncü kişilere bildirilmesini isteme; münhasıran otomatik analiz sonucu aleyhinize bir sonuca itiraz etme; ve hukuka aykırı işleme nedeniyle zararın giderilmesini talep etme.

AB/AEA'daki ziyaretçiler için GDPR paralel haklar sağlar: erişim, düzeltme, silme, kısıtlama, veri taşınabilirliği, itiraz ve onayın geri alınması.

Nasıl kullanılır: fly@cappadociaballoonflights.com veya fly@cappadociaballoonflights.com adresinden, hesap ayarlarınızdan ya da Aydınlı-Orta Mah., Kağnı Yolu Sok. No: 1, 50180 Göreme — Nevşehir, Türkiye adresine posta ile bize ulaşın. İşlem yapmadan önce kimliğinizi doğrulayabiliriz. KVKK başvurularını en geç 30 gün içinde yanıtlarız.

14. Denetim makamına şikâyet

Yanıtımızdan memnun kalmazsanız bir denetim makamına şikâyette bulunabilirsiniz.

Türkiye'de önce bize başvurabilirsiniz; talebinizi reddedersek, yanıtımız yetersizse veya süresinde yanıt vermezsek, yanıtımızdan itibaren 30 gün ve her hâlde başvurunuzdan itibaren 60 gün içinde Kişisel Verileri Koruma Kurumu'na (KVKK Kurumu) şikâyette bulunabilirsiniz. AB/AEA'daki ziyaretçiler, yerel AB veri koruma denetim makamlarına şikâyette bulunabilir.

15. Bu politikadaki değişiklikler ve iletişim

Bu Gizlilik Politikasını zaman zaman, örneğin uygulamalarımız, sağlayıcılarımız veya mevzuat değiştiğinde güncelleyebiliriz. Güncel sürümü yeni bir "son güncelleme" tarihiyle yayınlarız ve gerektiğinde yeniden onay isteriz.

Bu politika veya verileriniz hakkında sorularınız mı var? fly@cappadociaballoonflights.com (gizlilik), fly@cappadociaballoonflights.com (KVKK başvuruları), fly@cappadociaballoonflights.com / +90 384 271 23 88 (genel) ya da Aydınlı-Orta Mah., Kağnı Yolu Sok. No: 1, 50180 Göreme — Nevşehir, Türkiye adresine posta yoluyla bize ulaşın.