Gizlilik Politikası v1

1. Kapsam ve veri sorumluluğu

Bu Gizlilik Politikası ve Kişisel Verilerin Korunması Aydınlatma Metni; Kontuar — Otel Operasyon Platformu markalı internet sitesi, müşteri portalı, otel yönetim paneli, rezervasyon motoru, QR menü ve bu hizmetlere erişim sağlayan mobil/PWA uygulamasındaki veri işleme faaliyetlerini açıklar. Ziyaretçiler, demo talep eden kişiler, işletme yetkilileri, çalışan kullanıcılar ve konaklama/sipariş hizmetinden yararlanan misafirler kapsam dahilindedir.

Kontuar hizmetini sunan işletme, kendi satış, müşteri hesabı, abonelik, faturalama ve destek faaliyetleri bakımından veri sorumlusudur. Konaklama, misafir kimliği, rezervasyon, tesis çalışanları ve tesisin pazarlama faaliyetlerine ilişkin amaç ve araçları belirleyen otel/işletme ise bu faaliyetlerin veri sorumlusudur. Kontuar, bu kayıtları tesisin talimatıyla işlediği ölçüde veri işleyen olarak hareket eder. Her tarafın rolü somut işlem ve sözleşmeye göre değerlendirilir.

Rezervasyon yaptığınız tesisin unvanı ve iletişim bilgileri rezervasyon/tesis bilgilerinizde yer alır. Tesisin kendi aydınlatması bu metni tamamlar; bu politika tesisin ayrı yükümlülüklerini ortadan kaldırmaz.

2. İşlenen kişisel veriler ve kaynakları

Veriler; doldurduğunuz formlar, hesabınız, destek yazışmaları, tesisin yetkili personeli, bağlı rezervasyon kanalları, ödeme ve iletişim sağlayıcıları ile hizmet kullanımından elde edilir. Yalnızca kullanılan modülün ve işlemin gerektirdiği kayıtlar işlenir.

Kimlik numarası ve ödeme kayıtları hassasiyetle korunması gereken kişisel verilerdir; tek başlarına KVKK m.6 anlamında özel nitelikli veri sayılmazlar. Sağlık, engellilik veya benzeri özel nitelikli bilgileri serbest metin alanlarına gereksiz yere yazmayın. Böyle bir bilginin zorunlu olduğu durumda ilgili veri sorumlusu KVKK m.6 kapsamındaki uygun şartı ve Kurulca belirlenen yeterli önlemleri ayrıca sağlamalıdır.

3. Amaçlar ve hukuki sebepler

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.4 uyarınca veriler hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü olarak işlenir.

• Demo/teklif, hesap açılması, abonelik, rezervasyon ve ödeme: bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma (m.5/2-c).
• Fatura, muhasebe, yetkili makam talepleri ve uygulanabildiği ölçüde 1774 sayılı Kimlik Bildirme Kanunu kapsamındaki tesis işlemleri: kanunlarda açıkça öngörülme ve hukuki yükümlülük (m.5/2-a, ç). İlgili olduğu ölçüde 213 sayılı Vergi Usul Kanunu, 6102 sayılı Türk Ticaret Kanunu ve 6502 sayılı Kanun kapsamındaki yükümlülükler dikkate alınır.
• Güvenlik, erişim kontrolü, hizmetin devamlılığı ve ölçülü hata incelemesi: temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat (m.5/2-f).
• Uyuşmazlık ve talep kayıtları: bir hakkın tesisi, kullanılması veya korunması (m.5/2-e).
• İsteğe bağlı kullanım ölçümü ve başka bir işleme şartı bulunmayan isteğe bağlı işlemler: gerektiğinde ayrı ve özgür iradeyle verilen açık rıza (m.5/1).

Bu metnin okunması bir açık rıza değildir. Hizmet için gerekli işlemler ile isteğe bağlı analitik veya pazarlama izinleri ayrı değerlendirilir. 6563 sayılı Kanun ve ilgili mevzuat kapsamındaki ticari elektronik ileti izinleri ve İYS yükümlülükleri gerektiğinde ayrıca yerine getirilir; demo talebine yanıt verilmesi genel pazarlama izni sayılmaz.

4. PayTR ile ödeme işlemleri

Tesis PayTR entegrasyonunu etkinleştirdiğinde ödeme, PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. tarafından barındırılan güvenli ödeme ekranında yapılır. Kontuar’ın mevcut PayTR iFrame/yönlendirme akışında tam kart numarası, son kullanma tarihi ve CVV Kontuar sunucusuna iletilmez ve bu akışta Kontuar tarafından saklanmaz. Kart bilgilerinizi destek mesajlarına veya rezervasyon notlarına yazmayın.

Ödeme oturumu oluşturulurken PayTR’ye işlem/işyeri referansı, IP adresi, misafir adı, e-posta ve telefon, rezervasyon referansı içeren sepet açıklaması, tutar, para birimi ve dönüş adresi iletilir. Mevcut entegrasyondaki adres alanı tesis adresi/adı ile doldurulur. Ödeme ekranında doğrudan PayTR’ye girdiğiniz ek bilgiler PayTR tarafından işlenir.

Kontuar, işlem sonucunu sunucudan gelen imzalı bildirimle doğrular; işlem referansı, ödeme durumu, tutar ve varsa hata/iade bilgilerini rezervasyon ve mutabakat kayıtlarıyla ilişkilendirir. İade için işlem referansı ve iade tutarı sağlayıcıya gönderilir. PayTR, bankalar ve kart/ödeme kuruluşları kendi mevzuat yükümlülükleri kapsamındaki işlemlerde ayrıca veri sorumlusu olabilir; ödeme verileri ilgili kuruluşlarla işlem ve dolandırıcılık önleme amaçlarıyla işlenebilir.

PayTR’nin güncel aydınlatma ve gizlilik metinlerine resmî internet sitesinden ulaşabilirsiniz. Başka bir ödeme sağlayıcısı seçilmişse o sağlayıcının ödeme ekranı ve aydınlatması ayrıca geçerlidir.

5. Verilerin aktarılabileceği alıcılar

Aktarım, ilgili işleme şartı ve KVKK m.8 gözetilerek amaç için gerekli veriyle sınırlı tutulmalıdır. Alıcılar kullanılan hizmete göre şunlardır:

• Yetkili tesis/organizasyon kullanıcıları: misafir, rezervasyon, sipariş ve operasyon yönetimi.
• Ödeme sağlayıcıları (PayTR ve tesisin seçtiği diğer sağlayıcılar), bankalar ve mali müşavir/muhasebe hizmetleri: tahsilat, iade, fatura ve yasal kayıtlar.
• Barındırma, veri tabanı, yedekleme ve teknik destek sağlayıcıları: altyapı ve hizmet sürekliliği.
• Tesisin etkinleştirdiği rezervasyon kanalları ve entegrasyonlar: rezervasyon, fiyat ve müsaitlik senkronizasyonu.
• E-posta ve SMS sağlayıcıları, WhatsApp/Meta ve Telegram: etkinleştirilen kanallarda alıcı bilgileri, mesaj içeriği ve teslim kayıtlarının işlenmesi. Tesisin bildirim gönderdiği kişi/gruplar mesaj içeriğini görebilir.
• Hata izleme yapılandırılmışsa Sentry veya DSN uyumlu sağlayıcı: hata, cihaz/tarayıcı, istek ve yapılandırmaya bağlı performans bağlamı.
• Yapay zekâ asistanı etkinse OpenRouter ve seçilen model sağlayıcısı: konuşma içeriği ve işlem için kullanılan rezervasyon/araç sonuçları. Tesis bu özelliği kullanmadan önce sağlayıcı, aktarım şartları ve veri kapsamını değerlendirmelidir.
• Giriş doğrulaması etkinse seçilen Cloudflare Turnstile, Google reCAPTCHA veya hCaptcha sağlayıcısı: doğrulama için bağlantı, tarayıcı ve etkileşim verileri.
• Kanunen yetkili kamu kurumları, mahkemeler ve icra mercileri: geçerli hukuki talepler ve zorunlu bildirimler.

Bir entegrasyonun yazılımda bulunması, her tesiste etkin olduğu anlamına gelmez. Misafir, tesisinden kullanılan kanallar ve alıcılar hakkında bilgi isteyebilir. Kontuar’ın mevcut site ölçümünde reklam profili oluşturma veya üçüncü taraf reklam SDK’sına olay gönderme işlevi bulunmaz.

6. Yurt dışına aktarım

Yabancı altyapı, mesajlaşma, hata izleme, CAPTCHA veya yapay zekâ sağlayıcıları kullanıldığında verilerin Türkiye dışındaki sunucularda işlenmesi ya da yurt dışından erişilmesi söz konusu olabilir. Konum ve alıcılar etkin sağlayıcıya ve kurulum modeline bağlıdır; tüm verilerin yalnızca Türkiye’de tutulduğu yönünde bir taahhüt verilmez.

Yurt dışına aktarım için KVKK m.9 kapsamındaki güncel şartlar sağlanmalıdır: yeterlilik kararı veya uygun güvenceler (örneğin Kurulun ilan ettiği standart sözleşme ve gerekli bildirimler); bunların bulunmadığı arızi durumlarda ise kanundaki istisnalar ayrıca değerlendirilir. Bu politikayı kabul etmek tek başına düzenli yurt dışı aktarıma hukuki dayanak oluşturmaz. Aktarım yöntemi ve güvenceler hakkında ilgili veri sorumlusundan bilgi istenebilir.

7. Saklama, silme ve anonimleştirme

Kayıtlar hizmetin gerektirdiği süre ve uygulanabilir yasal yükümlülüklerle sınırlı olarak tutulmalıdır. Tek bir süre tüm veri kategorilerine uygulanmaz. İlgili olduğu ölçüde VUK m.253 kapsamındaki beş yıllık ve TTK m.82 kapsamındaki on yıllık yükümlülükler farklı belge türleri için dikkate alınır; bu süreler tüm misafir veya hesap verilerinin aynı süreyle saklanması anlamına gelmez.

• Demo ve destek: talebin sonuçlandırılması, devam eden müşteri ilişkisi ve varsa hak arama ihtiyacının gerektirdiği süre.
• Hesap, abonelik ve lisans: hizmet ilişkisi boyunca; sona erdikten sonra yalnızca geçerli mali, hukuki veya güvenlik gerekçesine tabi kayıtlar.
• Misafir, rezervasyon ve kimlik bildirim kayıtları: tesisin sorumluluğunda, ilgili konaklama ve mevzuat yükümlülüklerine göre.
• Ödeme/fatura: ilgili mali belge ve uyuşmazlığa uygulanabilen yasal süreler.
• Site olay sayaçları: 90 günlük dönem esas alınır; mevcut sistem eski sayaçları sonraki olay işlendiğinde temizler.
• Erişim, hata ve yedekler: kurulumun güvenlik, log ve yedek döngüsüne göre. Silinen kayıtlar yedek döngüsü tamamlanana kadar sınırlı erişimli yedeklerde kalabilir; yedekten dönüşte silme talepleri yeniden uygulanmalıdır.

İşleme şartları ortadan kalktığında veriler KVKK m.7 ve ilgili yönetmelik uyarınca silinir, yok edilir veya anonim hâle getirilir. Hukuki saklama ya da uyuşmazlık nedeniyle tutulması gereken verilerin erişimi amaçla sınırlandırılır. Hesabın kapatılması, tüm tesis rezervasyonlarının veya yasal belgelerin derhal silinmesi anlamına gelmez. Belirli bir kaydın saklama süresi ve gerekçesi başvuru yoluyla öğrenilebilir.

8. Mobil uygulama, cihaz ve izinler

Kontuar mobil/PWA erişiminde de aynı hesap ve sunucu kayıtlarını kullanır. Oturum, seçili tesis, tema, görünüm ve analitik tercihi tarayıcı/uygulama depolamasında tutulabilir. Servis çalışanı, yazılımın statik dosyalarını, font ve görsellerini önbelleğe alabilir; oturumu kapatmak cihazdaki tüm önbelleği otomatik olarak temizlemeyebilir. Ortak cihazlarda çıkış yapın ve gerektiğinde tarayıcı/uygulama verilerini temizleyin.

Mevcut web/PWA kodunda sürekli konum takibi, rehber okuma, mikrofon kaydı veya reklam kimliği toplama işlevi bulunmaz. Profil ve tesis medyası yüklerken yalnızca seçtiğiniz dosyalar sunucuya aktarılır; kullanılan dosya seçici cihazın izinlerine tabidir. Bildirim tercihlerinin bulunması, cihaz izninin verildiği veya her kanalda bildirim gönderildiği anlamına gelmez. Cihaz izinleri işletim sistemi/tarayıcı ayarlarından değiştirilebilir.

Uygulamanın kaldırılması sunucudaki hesabı ve rezervasyon kayıtlarını silmez. Hesap kapatma ve silme talepleri aşağıdaki başvuru yöntemleriyle iletilebilir.

9. Çerezler, yerel depolama ve analitik

Oturum, yetkilendirme, seçili tesis ve kullanıcı tercihleri gibi hizmetin çalışmasıyla ilgili depolama ile isteğe bağlı ölçüm ayrı ele alınır. Yerel depolama tarayıcı tarafından temizlenene veya uygulama tarafından değiştirilene kadar kalabilir. Tarayıcıdan depolamayı engellemeniz giriş ve bazı işlevleri etkileyebilir.

Site ölçümü yalnızca izin seçildiğinde sayfa görüntüleme, ürün turu, fiyatlandırma, hesaplayıcı ve talep gönderme gibi olayları sayfa/olay/gün toplamı olarak kaydeder. Bu sayaç kayıtlarına IP, e-posta, form içeriği, kişisel ziyaretçi kimliği ve URL sorgu parametreleri yazılmaz. İsteklerin iletilmesi sırasında IP gibi ağ bilgileri teknik olarak işlenebilir ve sunucu/altyapı logları ayrı tutulabilir. Dolayısıyla sayaçların sınırlı olması, hizmetin hiç kişisel veri işlemediği anlamına gelmez.

Tercih kontuar_measurement anahtarıyla bu tarayıcıda saklanır; diğer cihazlara aktarılmaz. DNT veya GPC sinyali varken site ölçümü gönderilmez. İzni aşağıdaki düğmeyle veya site altındaki “Ölçüm tercihleri” üzerinden değiştirebilirsiniz. Geri çekme gelecekteki ölçümü durdurur; geçmişte hukuka uygun işlemleri geriye dönük etkilemez.

10. Veri güvenliği

Kontuar, rol ve tesis kapsamına göre erişim sınırları, isteğe bağlı iki aşamalı doğrulama, işlem geçmişi ve ödeme sağlayıcısı bildirimlerinde imza doğrulaması gibi kontroller içerir. İnternet üzerinden aktarımda HTTPS kullanılmalıdır. Barındırma, yetkilendirme, güncelleme ve yedekleme tedbirleri kurulumun sorumluları tarafından işletilir; tesisler kullanıcı erişimlerini ve entegrasyon alıcılarını düzenli gözden geçirmelidir.

Hiçbir sistem mutlak güvenlik garantisi veremez. Kişisel verilere hukuka aykırı erişim tespit edilirse KVKK m.12 kapsamında olay değerlendirilir ve gerekli hâllerde ilgili kişiler ile Kişisel Verileri Koruma Kuruluna bildirim yükümlülükleri yerine getirilir.

11. KVKK hakları, başvuru ve hesap silme

KVKK m.11 uyarınca; verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, amaç ve amaca uygun kullanımı öğrenme, yurt içi/yurt dışı alıcıları bilme, eksik veya yanlış kayıtların düzeltilmesini isteme, şartları oluştuğunda silme/yok etme isteme, düzeltme ve silmenin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik analizle aleyhinize çıkan sonuca itiraz etme ve hukuka aykırı işleme nedeniyle zararın giderilmesini talep etme haklarınız vardır.

Konaklama ve misafir verileri için rezervasyon yaptığınız tesise; Kontuar müşteri hesabı, abonelik ve destek verileri için Micasa Mimarlık Mobilya İmalat Konstrüksiyon Sanayi LTD. ŞTİ.’ne başvurun. Yazılı başvuru adresi: Cumhuriyet, Naz Sk. No:12/5, 34876 Kartal/İstanbul. E-posta: [email protected].

Hesap kapatma veya silme talebinizi “Kontuar — Hesap silme talebi” başlığıyla, hesap e-postanız ve ilgili tesis/organizasyon bilgisiyle [email protected] adresine iletin. Bu yol uygulamayı açmayı veya giriş yapmayı gerektirmez. Hesabınıza erişebiliyorsanız müşteri portalındaki destek bölümünü de kullanabilirsiniz. Kimlik belgesi, kart numarası veya şifrenizi ilk başvurunuzda göndermeyin.

KVKK m.13 ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ kapsamında yazılı başvuru, KEP, güvenli elektronik imza, mobil imza veya daha önce bildirilen ve sistemde kayıtlı e-posta gibi uygun yöntemler kullanılabilir. Kimlik doğrulaması yalnızca gerekli ve ölçülü bilgiyle yapılır. Usulüne uygun başvurular en kısa sürede ve en geç 30 gün içinde sonuçlandırılır; yanıt esas olarak ücretsizdir, ek maliyet hâlinde Kurulun belirlediği tarife uygulanabilir.

Açık rızanızı ilgili tercih ekranından veya başvuruyla geri alabilirsiniz. Talebin reddi, yanıtın yetersizliği veya süresinde yanıt verilmemesi durumunda KVKK m.14 uyarınca, yanıtı öğrendiğiniz tarihten itibaren 30 ve her hâlde başvurudan itibaren 60 gün içinde Kurula şikâyet hakkınız bulunur. Kanuni saklama zorunluluğuna tabi kayıtlar için silme kapsamı ve gerekçesi ayrıca açıklanır.

12. Çocukların verileri

Kontuar yönetim hizmeti işletmelere ve yetkili kullanıcılarına yöneliktir; çocuklara yönelik bir ürün olarak tasarlanmamıştır. Bununla birlikte aile rezervasyonlarında çocuk misafirlerin yaşı, doğum tarihi ve mevzuatın gerektirdiği kimlik/konaklama bilgileri tesis tarafından işlenebilir. Bu bilgiler hizmet ve hukuki gerekliliklerle sınırlı tutulmalı; gerektiğinde veli/yasal temsilci süreci işletilmelidir.

13. Politika değişiklikleri ve sürümler

Bu metin v1 sürümüdür ve 19 Ekim 2026 tarihinde hazırlanmıştır. Güncel metin her zaman /gizlilik adresinde, bu sürüm /gizlilik/v1 adresinde bulunur. Önceki sürümlere sürüm geçmişinden ulaşabilirsiniz. Önemli değişikliklerde yeni sürüm ve tarih yayımlanır; ayrıca bilgilendirme veya yeni açık rıza gerektiren durumlarda ilgili süreç işletilir.