Firma Veri İşleme Ekleri (KVKK Veri Sorumlusu – Veri İşleyen Hükümleri)

TASLAK — hukukçu onayı bekliyor. Bu metin yürürlüğe girmeden önce Halktur'un hukuk danışmanınca gözden geçirilmelidir. Sürüm 1.0-taslak.

1. Amaç ve kapsam

1.1. Bu ekler, [ŞİRKET UNVANI] ("Halktur") ile Firma İş Ortaklığı (Pazaryeri Hizmet) Sözleşmesi'ni ("Sözleşme") onaylayan tur firması ("Firma") arasında, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil mevzuat kapsamında kişisel verilerin işlenmesine ilişkin rolleri ve yükümlülükleri düzenler.

1.2. Ekler Sözleşme'nin ayrılmaz parçasıdır; kişisel verilerle ilgili konularda Sözleşme ile çelişirse bu ekler uygulanır.

1.3. Ekler üç bölümden oluşur:

• Ek A: Bağımsız veri sorumluları arasında veri paylaşımı (müşteri ve katılımcı verileri),
• Ek B: Halktur'un Firma adına veri işleyen olduğu işlemler,
• Ek C: Teknik ve idari tedbirler ile alt işleyen listesi.

Ek A — Bağımsız veri sorumluları arasında veri paylaşımı

A.1. Roller

A.1.1. Platform üzerinden yapılan rezervasyonlara ait müşteri ve katılımcı verileri bakımından Halktur ve Firma, her biri kendi amaçları için ayrı ve bağımsız veri sorumlusudur. Taraflar ortak veri sorumlusu değildir ve birbirinin işlemlerinden sorumlu tutulamaz.

A.1.2. Halktur'un amaçları: Platform'u işletmek, rezervasyonu kurmak, ödeme ve iadeyi yönetmek, bilgilendirme iletileri göndermek, yorumları yayımlamak, uyuşmazlıkları çözmek, kanuni yükümlülüklerini yerine getirmek.

A.1.3. Firmanın amaçları: Turu düzenlemek ve yürütmek, katılımcıları karşılamak ve kontrol etmek, yolcu listesi, sigorta, sınır kapısı ve taşımacılık mevzuatından doğan yükümlülükleri yerine getirmek, müşteriye fatura düzenlemek.

A.2. Halktur'un Firma'ya aktardığı veriler

A.2.1. Halktur, Firma'ya rezervasyonun yürütülmesi için gerekmeyen veriyi aktarmaz (ör. müşterinin diğer rezervasyonları, ödeme kartı bilgisi, pazarlama tercihleri).

A.3. Firma'nın Halktur'a aktardığı veriler

A.3.1. Katılım durumu (katıldı / gelmedi), check-in zamanı, rehber ataması, uyuşmazlık delilleri, müşteriyle yazışmalar ve yorum yanıtları. Hukuki sebep: md. 5/2-c ve md. 5/2-e.

A.4. Firma'nın yükümlülükleri

A.4.1. Firma Halktur'dan aldığı verileri:

• a) yalnız A.1.3'teki amaçlarla ve yalnız ilgili rezervasyon için kullanır,
• b) müşteriye ticari ileti göndermek, Platform dışında satış yapmak, profil oluşturmak ya da üçüncü kişilere satmak için kullanmaz,
• c) yalnız o kalkışa atanmış çalışanlarıyla (rehber, check-in görevlisi, sürücü, kaptan) ve turun yürütülmesi için zorunlu iş ortaklarıyla (otel, ulaşım firması, sigorta şirketi, sınır kapısı makamları) paylaşır,
• ç) kanuni saklama yükümlülüğü bulunmayan katılımcı verilerini kalkıştan sonra 30 gün içinde siler; basılı ya da indirilmiş katılımcı listelerini imha eder,
• d) sağlık notlarını yalnız turun güvenli yürütülmesi için kullanır; müşteri rızasını geri alınca Halktur'un bildirimiyle derhâl siler,
• e) katılımcılara kendi aydınlatma yükümlülüğünü yerine getirir (Halktur'un aydınlatma metni Firma'nın kendi işlemlerini kapsamaz),
• f) verileri KVKK md. 12'ye uygun teknik ve idari tedbirlerle korur.

A.4.2. Firma, katılımcı verilerini yurt dışına aktarması gereken turlarda (yurt dışı tur, yabancı otel ya da ulaşım firması) bu aktarımı kendi veri sorumluluğunda ve KVKK md. 9'a uygun olarak yapar.

A.5. Halktur'un yükümlülükleri

A.5.1. Halktur, müşteriyi aktarımlar hakkında kendi aydınlatma metniyle bilgilendirir, sağlık notu için açık rızayı alır ve rıza kaydını saklar, panelde verilere erişimi rol bazında sınırlandırır ve her tam görüntülemeyi kayda alır.

A.6. İlgili kişi başvuruları ve ihlaller

A.6.1. Taraflardan birine, diğerinin sorumluluğundaki bir işlem için ilgili kişi başvurusu gelirse başvuru 3 iş günü içinde diğer tarafa iletilir ve ilgili kişiye bu yönlendirme bildirilir.

A.6.2. Veri ihlali öğrenildiğinde, ihlali yaşayan taraf diğer tarafa en geç 24 saat içinde; ihlalin niteliğini, etkilenen kişi ve veri kategorilerini, alınan önlemleri bildirir. Kurul'a ve ilgili kişilere bildirim, ihlalin yaşandığı tarafın sorumluluğundadır; diğer taraf gerekli bilgiyi sağlar.

Ek B — Halktur'un veri işleyen olduğu işlemler

B.1. Kapsam

B.1.1. Firma, panelde Platform rezervasyonlarından bağımsız olarak kendi adına veri kaydedebilir. Bu verilerde Firma veri sorumlusu, Halktur KVKK md. 3 anlamında veri işleyendir:

• a) Firma'nın Platform dışından (telefon, ofis, başka kanal) aldığı ve kontenjanı yönetmek için panele girdiği manuel rezervasyon ve katılımcı kayıtları,
• b) Firma çalışanlarının (rehber, kaptan, sürücü, check-in görevlisi) panel hesapları dışında Firma'nın kendi personel planlaması için girdiği bilgiler,
• c) Firma'nın müşterileri hakkında panele eklediği iç notlar,
• ç) Firma'nın panele yüklediği ve Platform'da yayımlanmayan belgelerdeki üçüncü kişi verileri.

B.2. İşlemenin niteliği

B.3. Halktur'un veri işleyen olarak yükümlülükleri

B.3.1. Halktur bu verileri:

• a) yalnız Firma'nın panel üzerinden ya da yazılı olarak verdiği talimatlara göre işler; kendi amaçları için kullanmaz, başkalarıyla paylaşmaz,
• b) Ek C'deki tedbirlerle korur,
• c) yalnız gizlilik yükümlülüğü altındaki ve işi gereği erişmesi gereken çalışanlarına açar,
• ç) bir talimatın KVKK'ya aykırı olduğunu düşünürse Firma'yı derhâl bilgilendirir,
• d) Firma'nın ilgili kişi başvurularını yanıtlamasına, veri ihlali bildirimlerine ve Kurul incelemelerine makul ölçüde destek olur,
• e) kendisine doğrudan gelen ve bu verilere ilişkin ilgili kişi başvurularını 3 iş günü içinde Firma'ya iletir.

B.4. Alt işleyenler

B.4.1. Firma, Ek C.2'de listelenen alt işleyenlerin kullanılmasına genel izin verir. Halktur yeni bir alt işleyen eklemeden ya da değiştirmeden en az 15 gün önce panelde bildirim yapar. Firma bu süre içinde haklı bir gerekçeyle itiraz edebilir; itiraz giderilemezse Firma, Sözleşme'yi cezasız feshedebilir.

B.4.2. Halktur, alt işleyenlerle bu eklerdeki yükümlülüklerden daha az koruyucu olmayan sözleşmeler yapar ve alt işleyenin eylemlerinden Firma'ya karşı sorumludur.

B.5. Yurt dışı aktarım

B.5.1. Ek C.2'deki yurt dışı alt işleyenlere yapılan aktarımlar KVKK md. 9 uyarınca Kurul'un ilan ettiği standart sözleşmelerle yapılır ve Kurum'a bildirilir. Halktur, Firma'nın bu bölüm kapsamındaki verilerini (ör. manuel katılımcı kayıtları) yurt dışında barındırmaz; bu veriler yalnız teknik hata kayıtlarında maskelenmiş olarak ya da içerik dağıtım ağı üzerinden geçici olarak yurt dışındaki sistemlerden geçebilir.

B.6. Veri ihlali

B.6.1. Halktur bu bölüm kapsamındaki verilerde bir ihlal öğrenirse Firma'ya gecikmeksizin ve en geç 24 saat içinde bildirir; bildirimde ihlalin zamanı, niteliği, etkilenen veri ve kişi sayısı (biliniyorsa), olası sonuçları ve alınan önlemler yer alır.

B.7. Denetim

B.7.1. Firma, Halktur'un bu eklere uyumunu yılda en fazla bir kez, 30 gün önceden yazılı bildirimle ve Halktur'un iş akışını aksatmayacak şekilde, Halktur'un sunacağı belgeler, politikalar ve bağımsız denetim raporları üzerinden denetleyebilir. Yerinde denetim yalnız Kurul talebi ya da ciddi bir ihlal hâlinde yapılır; denetim masrafı Firma'ya aittir.

B.8. Sözleşme sona erince

B.8.1. Sözleşme sona erdiğinde Firma, 30 gün içinde panelden bu bölüm kapsamındaki verilerini dışa aktarabilir. Bu sürenin sonunda Halktur verileri siler; yedeklerdeki kopyalar yedekleme döngüsünün sonunda (en geç 90 gün) kendiliğinden silinir. Kanunen saklanması gereken kayıtlar bu sürelerin dışındadır ve yalnız saklama amacıyla tutulur.

Ek C — Teknik ve idari tedbirler, alt işleyenler

C.1. Tedbirler

C.1.1. Teknik tedbirler:

• a) tüm bağlantılarda TLS şifrelemesi,
• b) T.C. kimlik ve pasaport numarası, doğum tarihi, IBAN, sağlık notu ve QR bilet sırrı gibi alanlarda veritabanı düzeyinde şifreleme,
• c) firma panelinde rol bazlı yetki (sahip, yönetici, operasyon, finans, rehber, check-in); rehber yalnız kendisine atanan kalkışları görür,
• ç) yönetim panelinde iki aşamalı doğrulama zorunluluğu; firma sahibine iki aşamalı doğrulama önerisi ve finansal işlemlerde yeniden kimlik doğrulama,
• d) kaba kuvvet saldırılarına karşı istek sınırlama ve bot doğrulama,
• e) katılımcı kimlik verilerinin tam görüntülenmesinin yalnız kalkıştan 48 saat öncesinden başlayarak mümkün olması ve her görüntülemenin kayda alınması,
• f) mesajlaşmada iletişim bilgisi maskeleme,
• g) hata izleme kayıtlarında kişisel veri filtreleme,
• ğ) belgelerin herkese kapalı depolama alanında tutulması ve yalnız süreli imzalı bağlantıyla indirilmesi,
• h) günlük veritabanı yedeği, haftalık medya yedeği, düzenli geri yükleme denemesi,
• ı) katılımcı verilerinin kalkıştan 30 gün sonra, giriş kayıtlarının 90 gün sonra, ham analitik kayıtlarının 180 gün sonra otomatik silinmesi.

C.1.2. İdari tedbirler:

• a) çalışanlarla gizlilik taahhütnamesi ve düzenli KVKK eğitimi,
• b) Kişisel Veri Saklama ve İmha Politikası,
• c) erişim yetkilerinin görev değişikliğinde ve işten ayrılışta derhâl kaldırılması,
• ç) veri ihlali müdahale prosedürü,
• d) alt işleyenlerle veri işleme sözleşmeleri ve yurt dışı aktarımlar için standart sözleşmeler,
• e) yılda en az bir kez iç denetim.

C.2. Alt işleyen listesi

C.2.1. Güncel liste panelde "Alt işleyenler" sayfasında yayımlanır.

İletişim

İrtibat: [VERİ SORUMLUSU İRTİBAT] · [email protected] · KEP: [KEP] · [ADRES].

Sürüm notu: 1.0-taslak, 29.10.2026, hukukçu onayı gerekir