Politika Özeti

Universal; kişisel verileri yalnızca hizmetin sunulması, ödeme ve rezervasyon süreçlerinin yürütülmesi, yasal yükümlülüklerin yerine getirilmesi ve güvenliğin sağlanması için, ölçülü biçimde işler. Tam kart numarası ile CVV/CVC bilgileri Universal sistemlerinde saklanmaz.

Gizlilik Taahhüdümüz

Universal Turizm ve Ticaret A.Ş. (“Universal” veya “Şirket”), müşterilerinin, yolcuların, ziyaretçilerin ve iş ortaklarının gizliliğine saygı gösterir. Kişisel veriler; hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlarla bağlantılı, sınırlı ve ölçülü olarak işlenir.

Universal, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, verilerin güvenli biçimde muhafazasını sağlamak amacıyla riskle orantılı idari ve teknik tedbirler uygular. Bununla birlikte hiçbir internet iletimi veya elektronik saklama yöntemi mutlak güvenlik garantisi vermez; bu nedenle güvenlik kontrolleri düzenli olarak gözden geçirilir ve geliştirilir.

Kapsam ve Veri Sorumlusu

Bu Politika; Universal tarafından işletilen internet siteleri, çevrim içi rezervasyon ve ödeme sayfaları, ödeme bağlantıları, iletişim formları, e-posta ve diğer dijital kanallar üzerinden yürütülen işlemlerde uygulanır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) bakımından veri sorumlusu Universal Turizm ve Ticaret A.Ş.’dir.

Veri sorumlusu iletişim bilgileri: Teşvikiye Mahallesi, Ferah Sokak, No: 29, 34365 Şişli, İstanbul, Türkiye; +90 212 225 92 32; universal@universaltravel-tr.com; universaltravel.com.tr.

İşlenebilecek Kişisel Veriler

Talep edilen hizmete, rezervasyonun niteliğine ve kullanılan kanala göre aşağıdaki veri kategorileri işlenebilir:

• Kimlik ve yolcu bilgileri: ad, soyad, doğum tarihi, uyruk, cinsiyet bilgisi, pasaport veya kimlik bilgileri ve seyahat belgesi detayları.
• İletişim bilgileri: telefon numarası, e-posta adresi, adres ve tercih edilen iletişim dili.
• Rezervasyon ve seyahat bilgileri: tur, konaklama, uçuş ve transfer detayları; tarih, güzergâh, oda tipi, refakatçi ve grup bilgileri; özel talepler ve hizmet geçmişi.
• Finansal ve işlem bilgileri: fatura bilgileri, işlem tutarı, para birimi, ödeme ve iade durumu, banka işlem referansı ile kartın yalnızca maskelenmiş bölümü gibi işlem kayıtları.
• İletişim ve talep kayıtları: e-posta yazışmaları, iletişim formları, şikâyet, geri bildirim, değişiklik ve iptal talepleri.
• Teknik ve çevrim içi kullanım verileri: IP adresi, tarih-saat kayıtları, tarayıcı ve cihaz bilgisi, hata/güvenlik kayıtları, yönlendiren sayfa ve çerez tercihleri.
• Özel nitelikli kişisel veriler: hizmetin güvenli ve uygun sunulması için gerekli olduğunda; engellilik/erişilebilirlik ihtiyacı, sağlık durumu, alerji ve beslenme kısıtı gibi sınırlı bilgiler.
• Pazarlama tercihleri: ayrıca ve geçerli biçimde izin verilmesi hâlinde ticari elektronik ileti onayı, kanal tercihleri ve izin kayıtları.

Kişisel Verilerin İşlenme Amaçları ve Hukuki Sebepleri

Kişisel veriler; rezervasyonun oluşturulması ve yönetilmesi, sözleşmenin kurulması ve ifası, ödeme ve iade işlemlerinin yürütülmesi, fatura ve muhasebe kayıtlarının tutulması, seyahat hizmetlerinin planlanması, müşteri desteği verilmesi, taleplerin ve şikâyetlerin sonuçlandırılması, dolandırıcılık ve kötüye kullanımın önlenmesi, bilgi güvenliğinin sağlanması, hukuki uyuşmazlıkların yönetilmesi ve yetkili mercilerin taleplerinin yerine getirilmesi amaçlarıyla işlenir.

İşleme faaliyetleri; KVKK’da düzenlenen kanunlarda açıkça öngörülme, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması veya korunması ve temel haklara zarar vermemek kaydıyla meşru menfaat hukuki sebeplerine dayanabilir. Açık rıza gereken faaliyetlerde ayrıca ve özgür iradeyle alınmış açık rıza aranır. Özel nitelikli kişisel veriler yalnızca KVKK’da öngörülen işleme şartlarından biri mevcutsa ve gerekli ek tedbirler uygulanarak işlenir.

Verilerin Elde Edilme Yöntemleri

Veriler; ilgili kişinin kendisinden, rezervasyonu yapan kişi veya kuruluştan, yetkili seyahat acentesinden, iş ortağından, ödeme kuruluşu veya bankadan, hizmet tedarikçilerinden ve yetkili kamu kurumlarından; internet sitesi, rezervasyon sistemi, ödeme sayfası, e-posta, telefon, iletişim formu, sözleşme ve benzeri fiziksel veya elektronik kanallar aracılığıyla elde edilebilir.

Bir başkası adına rezervasyon yapan kişi, paylaştığı bilgileri iletmeye yetkili olduğunu ve ilgili kişiyi gerekli bilgilendirmelerden haberdar ettiğini kabul eder. Sağlık, alerji veya erişilebilirlik gibi hassas bilgilerin yalnızca hizmetin güvenli sunumu için gerekli olan kısmı paylaşılmalıdır.

Kişisel Verilerin Aktarılması

Hizmetin yerine getirilebilmesi için gerekli olan veriler; veri minimizasyonu ilkesi gözetilerek ve amaçla sınırlı biçimde aşağıdaki alıcı gruplarına aktarılabilir:

• Turizm ve seyahat tedarikçileri: oteller, havayolları, ulaşım ve transfer şirketleri, rehberler, restoranlar, etkinlik mekânları, müzeler, biletleme ve benzeri hizmet sağlayıcılar.
• Finans ve ödeme tarafları: bankalar, kart kuruluşları, yetkili ödeme hizmeti sağlayıcıları ve finansal denetim/muhasebe hizmeti veren taraflar.
• Teknik hizmet sağlayıcılar: barındırma, yazılım, e-posta, güvenlik, yedekleme ve bilişim desteği sunan tedarikçiler.
• Yetkili kurumlar ve profesyonel danışmanlar: mevzuat gereği veya hukuki hakkın kullanılması için kamu kurumları, mahkemeler, icra mercileri, denetçiler, avukatlar ve mali müşavirler.
• Rezervasyonun tarafları: rezervasyonu yapan kurum, seyahat acentesi, grup organizatörü veya ilgili kişinin yetkilendirdiği kişiler.

Yurt Dışına Veri Aktarımı

Seyahat veya etkinlik hizmetinin yurt dışında sunulması, yurt dışındaki bir iş ortağının rezervasyona dâhil olması ya da kullanılan teknik hizmetin yurt dışı bağlantısı bulunması hâlinde, gerekli kişisel veriler yurt dışına aktarılabilir. Bu aktarımlar KVKK’nın 9. maddesinde düzenlenen yeterlilik kararı, uygun güvenceler veya kanunda sınırlı olarak sayılan istisnai hâllerden uygulanabilir olanına dayanılarak gerçekleştirilir. Aktarımın kapsamı hizmetin gerektirdiği asgari veri ile sınırlandırılır.

Ödeme Güvenliği ve Kart Bilgileri

Çevrim içi ödemeler Garanti BBVA Sanal POS ve/veya Universal’in sözleşmeli olduğu yetkili banka ya da ödeme hizmeti sağlayıcısının güvenli altyapısı üzerinden yürütülür. Ödeme sayfasına yapılan veri iletimi geçerli SSL/TLS sertifikası bulunan şifreli bağlantı üzerinden gerçekleştirilir.

• Kart verilerinin korunması: Ödeme sırasında girilen kart bilgileri ilgili banka/ödeme altyapısına güvenli biçimde iletilir. Tam kart numarası ile CVV/CVC güvenlik kodu Universal’in sistemlerinde saklanmaz.
• Sınırlı işlem kaydı: Mutabakat, muhasebe, iade ve işlem takibi için yalnızca ödeme tutarı, para birimi, tarih, işlem sonucu, banka referansı ve maskelenmiş kart bilgisi gibi sınırlı kayıtlar tutulabilir.
• 3D Secure: Kartın, bankanın ve işlemin uygunluğuna göre kart sahibinin bankası tarafından ek kimlik doğrulaması uygulanabilir. 3D Secure doğrulama kodu Universal tarafından görülmez veya saklanmaz.
• Gizli bilgi talep edilmemesi: Universal çalışanları e-posta, telefon, mesajlaşma uygulaması veya sosyal medya üzerinden kart şifresi, internet bankacılığı parolası, 3D Secure doğrulama kodu ya da CVV/CVC bilgisi talep etmez.
• Kullanıcı kontrolü: Ödeme öncesinde tarayıcıdaki kilit simgesi, doğru alan adı, tutar ve para birimi kontrol edilmelidir. Şüpheli bir işlemde kartı çıkaran banka ve Universal ile derhâl iletişime geçilmelidir.

İnternet Sitesi ve Bilgi Güvenliği

Universal; kişisel verilerin ve çevrim içi işlemlerin güvenliğini desteklemek için, işlenen verinin niteliği ve risk düzeyiyle orantılı kontroller uygular. Bunlar, uygun olduğu ölçüde, aşağıdaki tedbirleri kapsar:

• İletişim güvenliği: site ile kullanıcı arasındaki veri trafiğinin SSL/TLS ile şifrelenmesi ve sertifika geçerliliğinin izlenmesi.
• Erişim yönetimi: yetkilerin görev gereği ve ihtiyaç kadar tanımlanması; kullanıcı hesaplarının, parolaların ve yönetici erişimlerinin kontrol edilmesi.
• Sistem güvenliği: güncelleme ve yama yönetimi, zararlı yazılım ve yetkisiz erişime karşı koruma, güvenlik kayıtlarının ve olağan dışı hareketlerin izlenmesi.
• Veri sürekliliği: uygun yedekleme, geri yükleme ve iş sürekliliği tedbirlerinin uygulanması.
• Tedarikçi yönetimi: kişisel veri işleyen hizmet sağlayıcıların güvenlik ve gizlilik yükümlülüklerinin sözleşmelerle düzenlenmesi ve gerekli kontrollerin yapılması.
• Kurumsal farkındalık: çalışanların gizlilik, sosyal mühendislik, oltalama ve güvenli veri kullanımı konularında bilgilendirilmesi; gizlilik yükümlülüklerinin uygulanması.
• Olay yönetimi: şüpheli olayların incelenmesi, etkisinin sınırlandırılması ve mevzuatın gerektirdiği durumlarda ilgili kişilere ve yetkili kurumlara bildirim yapılması.

Kullanıcının Güvenlik Sorumluluğu

Kullanıcılar; cihaz ve tarayıcılarını güncel tutmalı, ortak veya güvenilmeyen ağlarda ödeme yapmaktan kaçınmalı, tahmin edilmesi güç parolalar kullanmalı, kendilerine gönderilen ödeme bağlantısının alan adını kontrol etmeli ve doğrulama kodlarını hiç kimseyle paylaşmamalıdır. Kullanıcının kendi cihazı, e-posta hesabı veya iletişim kanalındaki güvenlik zafiyetlerinden kaynaklanan riskler Universal’in kontrolü dışındadır.

Çerezler ve Çevrim İçi Teknolojiler

İnternet sitelerinde; sayfaların çalışması, tercihlerin hatırlanması, güvenlik, performans ölçümü ve kullanıcı deneyiminin geliştirilmesi amaçlarıyla çerez ve benzeri teknolojiler kullanılabilir. Zorunlu olmayan çerezler, yürürlükteki mevzuatın gerektirdiği hâllerde kullanıcının tercihine sunulur. Çerez türleri, sağlayıcılar, saklama süreleri ve tercih yöntemleri ayrıca yayımlanan Çerez Politikası ve çerez yönetim panelinde açıklanır.

Saklama ve İmha

Kişisel veriler, işlenme amacının gerektirdiği süre ile ilgili mevzuatta öngörülen muhafaza, ispat ve zamanaşımı süreleri boyunca saklanır. Süre belirlenirken rezervasyon ve sözleşme ilişkisi, vergi ve ticaret mevzuatı, ödeme itirazı/ters ibraz süreleri, hukuki uyuşmazlık ihtiyacı ve güvenlik gereksinimleri dikkate alınır. Saklama amacı ortadan kalktığında veriler, mevzuata ve Şirketin saklama-imha süreçlerine uygun olarak silinir, yok edilir veya anonim hâle getirilir.

İlgili Kişinin Hakları ve Başvuru

KVKK’nın 11. maddesi kapsamında ilgili kişi; kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenen verilerin düzeltilmesini isteme, şartları oluştuğunda silinmesini veya yok edilmesini isteme, düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemler aracılığıyla yapılan analiz sonucuna itiraz etme ve kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme haklarına sahiptir.

Haklara ilişkin başvurular, kimliği ve talebi doğrulamaya yeterli bilgilerle birlikte aşağıdaki iletişim kanallarından Universal’e iletilebilir. Başvurular, niteliğine göre en kısa sürede ve en geç mevzuatta öngörülen süre içinde sonuçlandırılır. Universal, başvurunun güvenli biçimde sonuçlandırılması için ek doğrulama bilgisi talep edebilir.

• Posta / elden: Teşvikiye Mahallesi, Ferah Sokak, No: 29, 34365 Şişli, İstanbul, Türkiye
• E-posta: universal@universaltravel-tr.com
• Başvuru konusu: “KVKK İlgili Kişi Başvurusu”

Çocuklara Ait Bilgiler

Çocuk yolculara ait veriler, rezervasyon ve seyahat hizmetinin gerektirdiği ölçüde ebeveyn, veli, yasal temsilci veya rezervasyonu yapmaya yetkili kişi aracılığıyla işlenir. Çocuklara ait bilgilerin gereksiz veya ölçüsüz biçimde paylaşılmaması esastır.

Üçüncü Taraf Siteler ve İletişim Kanalları

Universal siteleri, üçüncü kişilere ait internet sitelerine veya hizmetlere bağlantı içerebilir. Bu sitelerin gizlilik ve güvenlik uygulamaları kendi sorumluluklarındadır. Kullanıcıların üçüncü taraf sayfalara veri göndermeden önce ilgili politika ve koşulları incelemesi önerilir. E-posta ve mesajlaşma uygulamaları üzerinden yapılan iletişimin, kanalın doğası gereği ek riskler taşıyabileceği dikkate alınmalıdır.

Diğer Hukuki Metinlerle İlişki

Bu Politika, internet sitesi ve sanal POS güvenliği hakkında genel bilgi verir. İşlem veya veri toplama kanalı özelinde yayımlanması gereken KVKK Aydınlatma Metni, Açık Rıza Metni, Çerez Politikası, Mesafeli Satış/Hizmet Sözleşmesi, Ödeme ve İptal-İade Koşulları ile teslimat/hizmet ifası açıklamalarının yerine geçmez. Aydınlatma ve açık rıza metinleri, hukuki nitelikleri gereği ayrı düzenlenir ve ayrı sunulur.

Politika Değişiklikleri

Universal; mevzuat, banka/ödeme altyapısı, hizmet modeli veya güvenlik uygulamalarındaki değişiklikler nedeniyle bu Politikayı güncelleyebilir. Güncel metin yürürlük tarihi ve sürüm bilgisiyle internet sitesinde yayımlanır. Esaslı değişiklikler, uygun iletişim veya duyuru yöntemiyle ayrıca bildirilebilir.

İletişim

Bu Politika, kişisel veri işleme faaliyetleri veya şüpheli bir ödeme/güvenlik olayı hakkında bilgi almak için Universal ile iletişime geçebilirsiniz:

• E-posta: universal@universaltravel-tr.com
• Telefon: +90 212 225 92 32
• Adres: Teşvikiye Mahallesi, Ferah Sokak, No: 29, 34365 Şişli, İstanbul, Türkiye

Başlıca hukuki dayanaklar: 6698 sayılı Kişisel Verilerin Korunması Kanunu; 6502 sayılı Tüketicinin Korunması Hakkında Kanun; 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun; 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu ve ilgili ikincil düzenlemeler.