Kişisel verilerin korunması hakkında aydınlatma metni

Madde 1 — Amaç, kapsam ve dayanak

İşbu aydınlatma metni, Şirket tarafından işletilen web sitesi, üyelik, rezervasyon, ödeme, müşteri hizmetleri ve kurumsal grup operasyonu sırasında işlenen kişisel veriler hakkında ilgili kişileri bilgilendirmek amacıyla hazırlanmıştır.

Metin; 6698 sayılı Kişisel Verilerin Korunması Kanunu, Kanun’un ikincil düzenlemeleri ve Kişisel Verileri Koruma Kurulu’nun ilke kararları esas alınarak düzenlenmiştir. Aydınlatma, açık rızanın yerine geçmez. Rızaya dayanan işlemler ayrı bir açık rıza metni ile sorulur.

Atalia Group (“Şirket”), merkezi İstanbul’da bulunan ve https://ataliagroup.com.tr adresi üzerinden faaliyet gösteren seyahat acentesidir. Yazışma adresi info@ataliagroup.com.tr olup, ticaret siciline kayıtlı unvan, açık adres, telefon, MERSİS numarası, vergi kimlik numarası ve TÜRSAB belge numarası Şirket’in sicil kaydındaki haliyle işbu metnin eki hükmündedir.

Madde 2 — Tanımlar

• Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu.
• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Özel nitelikli kişisel veri: Kanun’un 6. maddesinde sayılan veriler. Sağlık ve alerjen bilgisi bu kapsamdadır.
• İlgili kişi: Kişisel verisi işlenen gerçek kişi; misafir, yolcu, veli, kurum yetkilisi veya site ziyaretçisi.
• Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen Şirket.
• Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen hizmet sağlayıcı.

Madde 3 — Veri sorumlusunun kimliği

Veri sorumlusu Atalia Group’dur. Merkez İstanbul’dır. Başvuru ve bildirimler info@ataliagroup.com.tr adresine yapılır. Şirket, veri işlemeyi kendi organizasyonu içinde ve sözleşmenin ifası için sınırlı olarak yetkilendirdiği veri işleyenler eliyle yürütür.

Aydınlatma yükümlülüğü, kişisel verinin ilgili kişiden elde edildiği anda yerine getirilir. Veri, ilgili kişiden değil de üçüncü kişiden elde ediliyorsa, elde edilmesinden itibaren makul süre içinde ve her hâlde ilk iletişimde ilgili kişi bilgilendirilir.

Madde 4 — İşlenen kişisel veri kategorileri

• Kimlik: ad, soyad; uçuş veya yurt dışı program söz konusuysa doğum tarihi, uyruk ve belge türü.
• İletişim: e-posta adresi, telefon numarası ve bildirilirse kurum unvanı.
• Hesap: Google ile girişte profildeki ad ve e-posta; parola ile girişte hesap yetkisi ve rolü.
• Müşteri işlem: seçilen tur, atölye veya uçuş, çıkış tarihi, kişi sayısı, kontenjan kaydı, rezervasyon referansı ve ödeme konuşma numarası.
• Finans: tahsilatın sonucu ve iade kaydı. Kart numarası, son kullanma tarihi ve güvenlik kodu Şirket sistemlerinde toplanmaz ve saklanmaz.
• İşlem güvenliği: oturum çerezi, sepetin tarayıcı kaydı, tarih-saat ve hata kaydı.
• Hukuki işlem: şikâyet, fesih bildirimi ve uyuşmazlık yazışması.

Madde 5 — Özel nitelikli kişisel veriler

Şirket, kural olarak özel nitelikli kişisel veri işlemez. Atölye veya tur programının güvenliği için alerjen ya da sağlık bilgisi talep edilirse bu veri, Kanun’un 6. maddesindeki şartlar ve gerektiğinde açık rıza ile, yalnızca o programın ifası için işlenir.

Özel nitelikli veriler, sınırlı erişimle ve işi sona erdiğinde imha edilecek şekilde tutulur. Bu veriler pazarlama amacıyla kullanılmaz ve üçüncü kişilere satılmaz.

Madde 6 — Kişisel verilerin işlenme amaçları

• Üyelik hesabının açılması, kimliğin doğrulanması ve yetkinin uygulanması.
• Tur, atölye, eğitim grubu ve kurumsal seyahat sözleşmesinin kurulması ve ifası.
• Kontenjan, rehber eşlemesi, karşılama ve program değişikliğinin bildirilmesi.
• Ödemenin 3D Secure adımında başlatılması, iadenin aynı ödeme aracına yapılması.
• Uçuş satıldığında taşıyıcının zorunlu kıldığı yolcu bilgisinin iletilmesi.
• Fatura, tüketici kaydı ve yetkili kurum taleplerinin yerine getirilmesi.
• Bilgi güvenliğinin sağlanması, kötüye kullanımın önlenmesi ve sistemin çalışır tutulması.
• Açık rıza varsa ticari elektronik ileti gönderilmesi.

Madde 7 — Hukuki sebepler

Kişisel veriler, Kanun’un 5. maddesine göre aşağıdaki hukuki sebeplerden birine dayanılarak işlenir. Birden fazla sebep aynı işlemde bir arada bulunabilir.

• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
• Kanun’un 5. maddesinin birinci fıkrası veya 6. maddesi uyarınca açık rızanın bulunması. Rıza, rezervasyonun şartı değildir.

Madde 8 — Toplama yöntemi

Veriler; web sitesindeki formlar, hesap oluşturma, Google ile kimlik doğrulama, rezervasyon ve ödeme adımları, e-posta yazışması ve çağrı kaydı üzerinden, kısmen otomatik yollarla toplanır. Sepet bilgisi öncelikle ilgili kişinin kendi tarayıcısında tutulur.

Şirket, veri toplarken Kanun’un 4. maddesindeki ilkelere uyar: hukuka ve dürüstlük kurallarına uygunluk, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Madde 9 — Yurt içi aktarım

Kişisel veriler, hizmetin fiilen gördüğü kişiye ve yalnızca o iş için aktarılır. Aktarım bir satış değildir.

• Ödeme kuruluşu: tahsilat ve iade.
• Hava yolu: ayrı veya paketin içinde satılan biletin düzenlenmesi.
• Konaklama, transfer ve yerel operasyon ortağı: programın sahada ifası.
• Barındırma ve e-posta hizmeti: sistemin çalışması ve yazışmanın iletilmesi.
• Yetkili kamu kurum ve kuruluşları: kanundan doğan talep hâlinde.

Madde 10 — Yurt dışına aktarım

Yurt dışındaki bir destinasyonda hizmet ifa ediliyorsa, rezervasyonun gerektirdiği kimlik ve program bilgisi o ülkedeki konaklama veya yerel operasyon ortağına iletilebilir. Aktarım, Kanun’un 9. maddesindeki şartlara tabidir.

Aktarım, yeterli korumanın bulunduğu ülkelere, uygun güvencelerin sağlandığı hâllere veya Kanun’un arızi aktarım hükümlerine dayanır. Amaç dışı kullanım ve belirsiz süreyle saklama bu aktarımın kapsamına girmez.

Madde 11 — Saklama süreleri ve imha

Kişisel veriler, işlendikleri amaç için gerekli süre ve ilgili mevzuattaki zamanaşımı boyunca saklanır. Sürelerin çatışması hâlinde daha uzun olan ve hukuken zorunlu olan süre esas alınır.

• Muhasebe ve ticari defterler: 6102 sayılı Türk Ticaret Kanunu’nun 82. maddesi uyarınca on yıl.
• Vergi kayıtları: 213 sayılı Vergi Usul Kanunu’ndaki saklama süresi boyunca.
• Tüketici işlemi ve şikâyet dosyası: uyuşmazlık hakkının kullanılabileceği zamanaşımı süresince.
• Oturum ve güvenlik kaydı: oturumun kapanması veya meşru menfaatin ortadan kalkması ile sınırlı, kısa süre.
• Açık rızaya dayalı pazarlama verisi: rıza geri alınana kadar.

Madde 12 — İmha yöntemleri

Saklama süresi dolan veya işleme şartı ortadan kalkan veriler, Şirket’in imha sürecine göre silinir, yok edilir veya anonim hâle getirilir. Silme, verinin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz kılınmasıdır. Yok etme, verinin hiç kimse tarafından erişilemez ve tekrar kullanılamaz hâle getirilmesidir.

Kanunen saklama yükümlülüğü devam eden kayıtlar, yalnızca o yükümlülüğün gerektirdiği birimde ve amaçla tutulur. Bu kayıtlar pazarlama veya profilleme için yeniden açılmaz.

Madde 13 — Veri güvenliği

Şirket, Kanun’un 12. maddesi uyarınca verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak için teknik ve idari tedbirleri alır. Erişim, görevi gereği bilmesi gereken personel ve veri işleyenle sınırlıdır. Ödeme kartı verisi Şirket ortamında tutulmadığından kart kasası oluşturulmaz.

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin tespiti hâlinde Şirket, ilgili kişilere ve Kurul’a Kanun’daki süre ve usul içinde bildirimde bulunur.

Madde 14 — İlgili kişinin hakları

Kanun’un 11. maddesi uyarınca ilgili kişi, Şirket’e başvurarak aşağıdaki haklarını kullanabilir.

• Kişisel verisinin işlenip işlenmediğini öğrenme.
• İşlenmişse buna ilişkin bilgi talep etme.
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme.
• Eksik veya yanlış işlenmişse düzeltilmesini isteme.
• Kanun’un 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme.
• Düzeltme ve silme işlemlerinin, verinin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• Münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhe bir sonucun ortaya çıkmasına itiraz etme.
• Kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

Madde 15 — Başvuru usulü

Başvurular, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak info@ataliagroup.com.tr adresine veya Şirket’in kayıtlı yazışma kanalına yapılır. Başvuruda ad, soyad, tebligata esas adres veya e-posta, varsa telefon ve talep konusu bulunur. Kimlik tespiti, başkasının verisinin açıklanmaması için zorunludur.

Şirket, talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. İşlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurul tarafından belirlenen tarifedeki ücret alınabilir. Talebin reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi, Kurul’a şikâyet hakkını kullanabilir.

Madde 16 — Çocuklara ait veriler

Eğitim ve okul grubu programlarında çocuğa ait veri, sözleşmenin tarafı olan veli veya okul yetkilisi aracılığıyla ve programın ifası için işlenir. Çocuklardan pazarlama amaçlı veri toplanmaz. Velinin veya yasal temsilcinin Kanun’daki hakları, çocuk adına kullanılabilir.

Madde 17 — Metnin güncellenmesi

İşbu metin 5 Kasım 2026 tarihinde yürürlüğe girmiştir. Mevzuat veya işleme faaliyetindeki değişiklik, bu sayfada yayımlanır. Güncelleme, kurulmuş bir sözleşmenin ifası için zorunlu olan veri işlemeyi geriye dönük olarak daraltmaz; ilgili kişinin Kanun’dan doğan haklarını da kaldırmaz.