Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni

1. Veri Sorumlusu ve Hukuki Çerçeve

Gezirota ("Veri Sorumlusu" veya "Platform"), gezirota.tr alan adı üzerinden sunduğu gezi planlama ve rehberlik hizmetlerinde ziyaretçilerinin gizliliğine ve kişisel verilerinin korunmasına büyük önem vermektedir. İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") madde 10 ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca hazırlanmıştır.

Veri Sorumlusunun ticari unvanı Gezi Rota TR'dir; kayıtlı Kayıtlı Elektronik Posta (KEP) adresi bulunmamaktadır ve faaliyet hacmi/niteliği itibarıyla VERBİS'e (Veri Sorumluları Sicili) kayıt yükümlülüğü bulunmamaktadır. Bu nedenle KVKK kapsamındaki başvurularınız yalnızca e-posta kanalıyla kabul edilmektedir (bkz. Bölüm 7).

2. İşlenen Kişisel Veri Kategorileri

Platformumuzu ziyaret etmeniz ve kullanmanız sırasında işlenen kişisel veri kategorileri aşağıdadır:

• Zorunlu Teknik Sinyaller ve Sunucu Verileri: Ziyaret edilen sayfa yolu, rastgele oluşturulan ve saklanmayan kısa oturum kodu, zaman damgası, IP adresi, tarayıcı/cihaz türü ve sayfa başına en fazla 3 sınırlı JavaScript hata mesajı. Bu veriler çerez kullanılmadan teknik güvenlik ve sayfa işletimi için işlenir; sunucuda IP adresi düz metin olarak tutulmaz, ChaCha20-Poly1305 algoritmasıyla şifrelenip yalnızca şifreli sütunda saklanır.
• Onay Tercihi Kaydı: Çerez onay panelinde verdiğiniz izinlerin sürümü, zaman damgası, analitik, ürün analitiği ve oturum kaydı tercihleriniz. Bu kayıt yalnız tarayıcınızın local storage alanında gzOnay anahtarıyla tutulur; sunucuya gönderilmez.
• Analitik Verileri (Açık Rızanıza Bağlı): Yalnızca “Analitik” izni vermeniz halinde Google Analytics 4 aracılığıyla toplanan anonimleştirilmiş IP adresi, sayfa görüntülemeleri, yönlendiren URL bilgisi, cihaz ve tarayıcı özellikleri.
• Ürün Analitiği Verileri (Ayrı Açık Rızanıza Bağlı): Yalnızca “Ürün analitiği” izni vermeniz halinde PostHog EU aracılığıyla işlenen kalıcı tarayıcı kimliği (gzUrunKimligi), plan hunisi olayları, ürün etkileşimleri ve geri dönüş bilgisi.
• Oturum Kaydı Verileri (Ayrı Açık Rızanıza Bağlı): Yalnızca ayrı onay vermeniz halinde Microsoft Clarity aracılığıyla toplanan tıklama, kaydırma, ekran hareketleri, pencere boyutları, sayfa içi etkileşimler, form içerikleri ve serbest metin. İzin verdiğinizde sayfa varsayılan olarak maskesiz kaydedilir; yalnızca "Rotanı bizimle paylaş" formunun 6 alanı ile AI kutusu ve "Hata bildir" formundaki isteğe bağlı e-posta alanı olmak üzere toplam 8 alan ayrıca maskelenmiştir — "Hata bildir" formundaki asıl mesaj kutusu maskesiz kalır (ayrıntı için Bölüm 8'e bakınız).
• Rota gönderimi: "Rotanı bizimle paylaş" formunu göndermeniz açık rıza gerektirir. Kurduğunuz planı gönderdiğinizde adınız/rumuzunuz, e-posta adresiniz, tur adı, kısa açıklama, süre, isteğe bağlı "neden özel" metni, planın tamamı (gün/durak/otel verisi dahil), plandan türetilen il listesi, dil bilginiz ve gönderen IP adresiniz işlenir. E-posta adresiniz yalnızca gönderiminizin sonucunu (onay veya gerekçeli red) bildirmek için kullanılır, üçüncü taraflarla paylaşılmaz. Sunucuda ad, e-posta, IP ve plan içeriği tek bir şifreli blokta saklanır; IP adresi ayrıca geri döndürülemez bir özet (HMAC) değeriyle ayrı indekslenir, açık IP hiçbir sorgu sütununda düz metin tutulmaz. E-postanıza bir doğrulama bağlantısı gönderilir. Gönderiminiz reddedilirse e-posta adresiniz silinir; bu silme red bildirimi sonrası otomatik ve geri döndürülemez şekilde gerçekleşir. Adınız veya rumuzunuz, rota yayımlanırsa rota sayfasında katkı sahibi olarak görünür.
• Hata Bildir Formu (Açık Rıza Gerektirir): Gönderdiğiniz mesaj (en fazla 1500 karakter), bulunduğunuz sayfa yolu, isteğe bağlı bir cevap e-postası ve isteğe bağlı ekler (en fazla 5 dosya, belirli türlerle sınırlı) /gezi/api/bildir ucuna gönderilir. Forma otomatik olarak tarayıcı/işletim sistemi bilginizi, dilinizi, ekran boyutunuzu, ziyaret ettiğiniz sayfanın adresini, uygulama ayarlarınızı (olası API anahtarı/token alanları otomatik ayıklanır) ve son 20 istemci hatasını içeren bir tanı dosyası eklenir. Sunucu tarafında mesaj, e-posta ve tanı verisi tek bir şifreli blokta saklanır; buradaki önemli fark, gönderenin IP adresinin şifrelenmeden önce IPv4 için /24, IPv6 için /48 ağ önekine indirgenmesidir — yani bu akışta şifreli veride bile tam IP adresi bulunmaz, yalnızca bir ağ aralığı bulunur.
• AI ile Plan Oluşturma (Açık Rıza Gerektirir, Yurt Dışı Aktarım İçerir): Yazdığınız serbest metin (en fazla 500 karakter) sunucumuz üzerinden Google'ın Gemini API'sine gönderilir. Serbest metniniz gezirota'nın kendi veritabanında saklanmaz; yalnızca isteğin zamanı, IP'niz, tarayıcı bilginiz ve işlem meta verisi (olay adı, üretilen plan sayısı, gecikme süresi) anonim analitik kaydına yazılır.
• Doğrudan Üçüncü Taraflara Giden İstekler (İzinden Bağımsız, Temel İşlev): Rota hesaplama (OSRM), adres/otel arama ve ters geokodlama (Nominatim), harita fayansları, hava durumu (Open-Meteo) ve kütüphane/font CDN'leri sitenin temel işlevleri için tarayıcınızdan doğrudan ilgili sağlayıcıya gider; bu istekler IP adresinizi taşır ve gezirota sunucusundan geçmez. Bu akışlar çerez onay bandındaki isteğe bağlı kategorilerden bağımsızdır ve kapatılamaz (ayrıntı için Bölüm 4'e bakınız).
• Cloudflare Performans Ölçümü (Sitenin Kendi Kodunda Yer Almaz): gezirota.tr'nin önündeki Cloudflare ters vekil sunucusu, sayfaya kendi performans ölçüm (RUM) betiğini enjekte eder; bu istek sitenin kaynak kodunda bulunmaz ve çerez onayından tamamen bağımsız çalışır (ayrıntı için Bölüm 4'e bakınız).

3. Veri İşleme Amaçları ve Hukuki Sebepleri

Kişisel verileriniz, KVKK madde 5'te belirtilen aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:

a) Meşru Menfaat Kapsamında (Açık Rıza Gerektirmeyen Durumlar)

Sitenin temel fonksiyonlarının çalıştırılması, bilgi güvenliği süreçlerinin yürütülmesi, anonim kullanım sayımı ve teknik hataların tespiti amaçlarıyla işlenen zorunlu teknik veriler, KVKK m. 5/2(f) uyarınca temel hak ve özgürlüklerinize zarar vermemek kaydıyla veri sorumlusunun meşru menfaatine dayanmaktadır. Tercih kaydınız (gzOnay) yalnızca tarayıcınızda tutulduğu için sunucuya bir "aktarım" oluşturmaz; rızanızın ispatlanması amacıyla orada saklanır.

b) Açık Rızanıza Dayalı Olarak İşlenen Veriler

Aşağıdaki işleme faaliyetleri KVKK m. 5/1 uyarınca vereceğiniz, birbirinden bağımsız ve geri alınabilir açık rızalara dayanmaktadır: "Rotanı bizimle paylaş" formunun gönderilmesi (talebinizi incelemek, yayımlamak ve sizinle iletişime geçmek amacıyla — formu doldurup gönderme fiilinin kendisi açık bir talep ve rıza beyanı sayılır), "Hata bildir" formunun gönderilmesi (bildirdiğiniz sorunu incelemek, isterseniz size dönüş yapmak amacıyla), AI ile plan oluşturma (girdiğiniz isteğe göre gezi planı üretmek amacıyla — hizmeti siz talep ettiğiniz için), toplu kullanım istatistiklerini ölçmek (Google Analytics 4), kalıcı kimlikle plan hunisi ve geri dönüşleri ölçmek (PostHog EU) ve form içerikleri ile serbest metni kapsayan maskesiz ekran kaydıyla kullanılabilirlik sorunlarını tespit etmek (Microsoft Clarity). Bu izinleri vermemeniz platformun temel fonksiyonlarını (rota hesabı, adres arama, harita, hava durumu) kullanmanızı engellemez; rızanızı her zaman geri alabilirsiniz, geri alma yalnızca ileriye dönük sonuç doğurur.

Not: Rota gönderim ve hata bildirimi formları için "açık rıza" nitelendirmesi makul bir hukuki okumadır; kesin hüküm teşkil etmez ve yayından önce hukuk danışmanınca teyit edilmelidir.

4. Kişisel Verilerin Aktarımı ve Yurt Dışına Aktarım

Gezirota platformunda kullanılan üçüncü taraf analitik ve işlevsel hizmetler nedeniyle aşağıdaki veri aktarımları gerçekleşmektedir:

• Google Analytics 4: Analitik izni vermeniz halinde kullanım verileri Google LLC sunucularına aktarılır. IP anonimleştirme aktiftir. Reklam kişiselleştirme sinyalleri kapalıdır.
• PostHog Cloud EU: Ürün analitiği izni vermeniz halinde kalıcı tarayıcı kimliği ve ürün olayları PostHog Inc.'in Frankfurt/Almanya (AB) bölgesindeki sunucularına aktarılır. PostHog üzerinde oturum kaydı özelliği kapalıdır.
• Microsoft Clarity: Oturum kaydı izni vermeniz halinde form içerikleri ve serbest metin dahil maskesiz etkileşim verileri Microsoft Corporation altyapısına aktarılır; yalnızca isteğe bağlı hata bildirim e-postası maskelidir.
• Yapay Zekâ Destekli Planlama (Google Gemini): “AI ile Planla” özelliğini kullandığınızda yazdığınız serbest metin gezi isteği, plan taslağının oluşturulması amacıyla Gezirota sunucusundan yurt dışındaki Google Gemini API altyapısına aktarılır.
• Harita ve Rota Hizmetleri (OSRM, OpenStreetMap Foundation topluluğu): Rota, mesafe ve süre hesaplamaları yapılırken planınızdaki durakların enlem/boylam koordinatları yurt dışındaki OSRM yönlendirme altyapısına aktarılır.
• Adres Arama (Nominatim): Yazdığınız arama terimi veya seçtiğiniz koordinat, ters geokodlama için OpenStreetMap Foundation'ın Nominatim altyapısına doğrudan tarayıcınızdan aktarılır.
• Hava Durumu (Open-Meteo): Planınızdaki durakların koordinatları ve tarihleri, hava durumu bilgisi almak için doğrudan tarayıcınızdan Open-Meteo altyapısına aktarılır.
• CDN Sağlayıcıları (unpkg, jsdelivr, sheetjs, Google Fonts): Yazı tipi ve kod dosyaları indirilirken IP adresiniz bu sağlayıcılara ulaşır.
• Purelymail (SMTP e-posta sağlayıcısı, ABD merkezli): Rota gönderim formu kullandığınızda doğrulama ve sonuç e-postalarınızın gönderimi için adınız, e-postanız ve tur adı bu sağlayıcı üzerinden iletilir.

5. Saklama Süreleri

Süre sonunda veriler silinir; sunucudaki analitik kayıtların budanması öncesinde doğrulanmış bir yedek alınır.

6. KVKK m. 11 Kapsamındaki Haklarınız

Kişisel veri sahibi olarak KVKK madde 11 uyarınca aşağıdaki haklara sahipsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme,
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinizin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
6. KVKK m. 7 çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
7. Düzeltme, silme ve yok edilme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
9. Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

7. Başvuru Yöntemi ve İletişim

KVKK kapsamındaki haklarınızı kullanmak için taleplerinizi içeren başvurunuzu Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak iletebilirsiniz:

• E-Posta İle: Kimliğinizi doğrulayıcı bilgiler ile birlikte [email protected] adresine e-posta göndererek. Veri Sorumlusunun KEP adresi bulunmadığından ve fiziksel bir yazışma adresi yayımlanmadığından, başvuru kanalı yalnızca e-postadır.

Talepleriniz en kısa sürede ve en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılacaktır.

KVKK Başvuru Formu ve Rehberine Git →

8. Çerez Tercihlerinin Yönetimi

gezirota, siz izin vermediğiniz sürece çerez yazmaz. Seçiminiz çerez olarak değil, tarayıcınızın localStorage deposunda gzOnay adlı bir kayıt olarak tutulur; bu bir çerez değildir ve yalnızca bu tarayıcıda kalır. Siz izin verdiğinizde, yüklenen üçüncü taraf araçların (Google Analytics 4, PostHog, Microsoft Clarity) kendileri çerez yazabilir (ayrıntı için Çerez Politikası'na bakınız). Verdiğiniz analitik, ürün analitiği veya oturum kaydı rızalarını dilediğiniz zaman ayrı ayrı değiştirebilir veya geri alabilirsiniz. Sitenin altbilgisinde yer alan "Çerez Ayarları" bağlantısını kullanarak veya aşağıdaki butona tıklayarak tercih panelini yeniden açabilirsiniz:

Ayrıca tarayıcınızda Do Not Track (DNT) veya Global Privacy Control (GPC) sinyali etkin ise, isteğe bağlı çerez kategorileri otomatik olarak kapalı başlatılmaktadır.