KVKK Aydınlatma Metni

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca, eskisehircocuktiyatrosu.com üzerinden bilet alan, üye olan, form dolduran veya siteyi ziyaret eden kişilere ve gösterilerimize gelen izleyicilere kişisel verilerinin nasıl işlendiğini anlatmak için hazırlanmıştır. Sade bir dille yazmaya çalıştık; sorunuz olursa 10. bölümdeki adresten bize ulaşabilirsiniz.

1. Veri sorumlusu

• Unvan: Eskişehir Çocuk Tiyatrosu ("biz")
• Adres: Deliklitaş Mah. Deliklitaş Cad. No: 13/A, Odunpazarı/Eskişehir
• Vergi kimlik no: 6950205464
• E-posta: bilgi@eskisehircocuktiyatrosu.com
• Telefon: +90 553 930 06 26

2. Bu metin kimleri kapsar?

• Bilet alanlar: Üye olarak veya üye olmadan sitemizden bilet satın alanlar.
• Üyeler: Sitede hesap açanlar.
• Form kullananlar: İletişim formu, veri silme başvurusu, iade talebi veya gösteri sonrası anket dolduranlar.
• Ziyaretçiler: Siteyi gezen herkes.
• İzleyiciler: Gösterilerimize gelen çocuklar ve yetişkinler (yalnızca çekimlerle ilgili 3.5. bölüm).

3. Hangi verileri, hangi amaçla ve hangi hukuki sebeple işliyoruz?

Her maddede amacı ve dayandığı hukuki sebebi birlikte yazdık. KVKK m.5'teki sebepler şunlardır: sözleşmenin kurulması veya ifası (m.5/2-c), hukuki yükümlülük (m.5/2-ç), bir hakkın tesisi, kullanılması veya korunması (m.5/2-e), meşru menfaat (m.5/2-f) ve açık rıza (m.5/1).

3.1 Bilet alanlar

• Ad soyad, e-posta, cep telefonu: Siparişi oluşturmak, ödemeyi almak, e-bileti ve sipariş bilgisini e-postayla göndermek, seansla ilgili değişiklik veya iptali bildirmek için. Hukuki sebep: sözleşmenin kurulması ve ifası.
• Seans, koltuk, bilet türü, tutar, hizmet bedeli, indirim kodu, sipariş (PNR) numarası, ödeme kuruluşunun işlem numarası, bilet karekodu (QR) ve biletin kullanılıp kullanılmadığı: Bileti düzenlemek, girişte doğrulamak, iade taleplerini yürütmek için. Hukuki sebep: sözleşmenin ifası; vergi ve ticaret mevzuatı gereği kayıt tutma yönünden hukuki yükümlülük; olası uyuşmazlık ve ödeme itirazlarında hakkın korunması.
• Ön bilgilendirme teyidi ve sözleşme onayı (onay zamanı, metin sürümü, IP adresi): Mesafeli satış mevzuatı gereği bilgilendirmeyi ve onayınızı ispat edebilmek için. Hukuki sebep: hukuki yükümlülük.
• IP adresi, tarayıcı bilgisi, işlem zamanı: Ödeme kuruluşunun işlem güvenliği için istediği bilgiyi iletmek, sahte işlemleri ve koltukların kötüye kullanımla bloke edilmesini önlemek, işlem kaydı tutmak için. Hukuki sebep: sözleşmenin ifası (ödeme kuruluşuna iletim) ve meşru menfaat (güvenlik).
• Müşteri kaydı — ad soyad, e-posta, telefon, bilet aldığınız şehirler, toplam bilet sayısı ve harcama: Bir sonraki gelişinizde sizi tanımak, müşteri hizmeti vermek ve genel satış istatistikleri çıkarmak için. Hukuki sebep: meşru menfaat. Bu kayıt size özel kampanya göndermek için yalnızca ticari ileti onayınız varsa kullanılır.
• Kampanya kaynağı (UTM etiketleri): Siteye bir reklam bağlantısıyla geldiyseniz bağlantıdaki kampanya bilgisi 30 gün boyunca tarayıcınızda tutulur ve bilet alırsanız siparişinize eklenir. Amaç: hangi kampanyanın satış getirdiğini ölçmek. Hukuki sebep: meşru menfaat.
• Ödeme adımlarının Meta'ya bildirilmesi: Ödemeye geçtiğinizde ve satın alma tamamlandığında sunucumuz Meta Platforms'a (Facebook/Instagram) bir bildirim gönderir. Bu bildirimde e-posta adresiniz, telefonunuz, adınız ve soyadınız geri çevrilemez biçimde şifrelenmiş (hash'lenmiş) olarak; IP adresiniz, tarayıcı bilginiz, Meta çerez kimlikleriniz, sipariş tutarı ve oyun adı ise olduğu gibi yer alır. Amaç: reklamlarımızın bilet satışına etkisini ölçmek. Hukuki sebep: meşru menfaat.
• Satın alma bilgisinin Google Analytics'e bildirilmesi: Satın alma tamamlandığında sipariş numarası, tutar ve Google Analytics çerez kimliğiniz sunucumuzdan Google'a iletilir (adınız, e-postanız veya telefonunuz iletilmez). Hukuki sebep: meşru menfaat.
• E-posta ve SMS pazarlama onayları: Kampanya ve yeni oyun duyuruları yalnızca ayrıca işaretlediğiniz onayla ve onay verdiğiniz kanaldan gönderilir. Onay ve onay tarihi kaydedilir ve İleti Yönetim Sistemi'ne (İYS) bildirilir. Hukuki sebep: açık rıza ve 6563 sayılı Kanun kapsamındaki onayınız. Ayrıntısı Ticari İleti Onayı metnindedir.
• Gösteri sonrası anket: Gösterimden sonra e-posta adresinize kısa bir memnuniyet anketi gönderilir. Bu e-posta kampanya içermez. Hukuki sebep: meşru menfaat.

Kart bilgileriniz bize ulaşmaz; kartınızı doğrudan ödeme kuruluşu PayTR'nin güvenli ödeme sayfasına girersiniz. Satın alma sırasında T.C. kimlik numaranızı istemeyiz.

3.2 Üyeler

Üyelik zorunlu değildir; üye olmadan da bilet alabilirsiniz.

• E-posta, şifre, ad soyad, telefon: Hesabınızı açmak, güvenli girişi sağlamak, bilet geçmişinizi göstermek, sonraki alımlarda formu otomatik doldurmak ve iade talebi açmanızı sağlamak için. Şifreniz okunamaz biçimde saklanır. Hukuki sebep: sözleşmenin kurulması ve ifası (üyelik).
• Kullanım koşullarını kabul tarihi ve ticari ileti tercihleriniz: Tercihlerinizi uygulamak ve gerektiğinde ispat edebilmek için. Hukuki sebep: hukuki yükümlülük ve hakkın korunması.

3.3 Form kullananlar

• İletişim formu — ad, e-posta, konu, mesaj, IP adresi: Sorunuzu yanıtlamak ve formun otomatik yazılımlarla kötüye kullanılmasını önlemek için. Mesajınız e-posta olarak ekibimize iletilir. Hukuki sebep: meşru menfaat; soru siparişinizle ilgiliyse sözleşmenin ifası.
• Veri silme başvurusu — e-posta, açıklama: KVKK m.11 başvurunuzu sonuçlandırmak için. Hukuki sebep: hukuki yükümlülük.
• İade talebi — sipariş ve bilet bilgisi, e-posta, ad, iade gerekçesi: Talebi değerlendirmek ve iadeyi ödeme kuruluşu üzerinden yapmak için. Hukuki sebep: sözleşmenin ifası ve hukuki yükümlülük.
• Anket — memnuniyet puanı, tavsiye puanı, yorum: Hizmetimizi geliştirmek için. Hukuki sebep: meşru menfaat.
• Yorumun sitede yayımlanması: Yorum yazarsanız, ekibimizin onayından sonra adınız ve soyadınızın baş harfiyle (ör. "Ayşe K.") ilgili oyunun sayfasında yayımlanabilir. Hukuki sebep: açık rıza. Yayımlanan yorumunuzun kaldırılmasını istediğiniz zaman isteyebilirsiniz.

3.4 Ziyaretçiler

• Sunucu kayıtları — IP adresi, tarayıcı ve cihaz bilgisi, istek zamanı: Siteyi çalıştırmak, hataları ve saldırıları tespit etmek için. Hukuki sebep: meşru menfaat.
• Zorunlu çerezler (koltuk tutma, üye oturumu): Koltuk seçiminin ve satın almanın çalışması ve giriş yapmış kalmanız için. Hukuki sebep: sözleşmenin kurulması ve ifası; meşru menfaat.
• Analitik çerezler: Google Analytics 4 ve kendi site içi ziyaret kayıtlarımız. Gezdiğiniz sayfalar, ziyaretin nereden geldiği, cihaz ve tarayıcı türü, yaklaşık konum ve sitede yaptığınız işlemler (oyun görüntüleme, koltuk seçme, ödemeye geçme, satın alma). Kendi kayıtlarımızda IP adresiniz ve tarayıcı bilginiz açık hâliyle değil, özetlenmiş (takma adlandırılmış) biçimde tutulur. Amaç: sitenin nasıl kullanıldığını anlamak ve geliştirmek. Hukuki sebep: meşru menfaat.
• Pazarlama çerezleri: Meta Pixel ve Google'ın reklam sinyalleri. Sayfa görüntüleme, oyun görüntüleme, koltuk seçme, ödemeye geçme ve satın alma olayları; Meta çerez kimlikleri; IP adresi ve tarayıcı bilgisi. Amaç: reklamlarımızın etkisini ölçmek ve reklamlarımızı ilgilenebilecek kişilere göstermek. Hukuki sebep: meşru menfaat.

Analitik ve pazarlama araçları sitenin her ziyaretinde çalışır. Bunları tarayıcı ayarlarınızdan veya Çerez Politikası'nda anlatılan yollarla engelleyebilirsiniz; bilet satın alma bundan etkilenmez.

3.5 Gösterilerde yaptığımız çekimler

Bazı gösterilerde tanıtım ve arşiv amacıyla fotoğraf ve video çekimi yaparız; bunu girişte duyururuz.

• Genel salon ve sahne görüntüleri (izleyicilerin uzaktan, tanınması amaçlanmadan göründüğü görüntüler): Arşiv ve tanıtım için. Hukuki sebep: meşru menfaat. Görüntüde yer almak istemiyorsanız girişte söyleyebilir, yayımlanmış bir görüntünün kaldırılmasını isteyebilirsiniz.
• Yüzü seçilebilen çocuk görüntüleri: Sosyal medyada, sitemizde, reklamlarda veya basılı materyallerde yalnızca velisinin yazılı açık rızasıyla kullanılır. Hukuki sebep: açık rıza.

4. Verileri nasıl topluyoruz?

• Sizden doğrudan: Satın alma, üyelik ve form ekranlarına yazdıklarınız.
• Otomatik olarak: Siteyi kullanırken tarayıcınızın gönderdiği teknik bilgiler ve çerezler aracılığıyla.
• İş ortaklarımızdan: Ödemenin sonucu ve işlem numarası PayTR'den bize iletilir.
• Gösterilerde: Çekim yapılan gösterilerde kamera ile.

5. Çocuklarla ilgili veriler

Oyunlarımız çocuklar için, biletler ise yetişkinler tarafından alınır.

• Bilet satın almak, üye olmak ve form doldurmak 18 yaşını doldurmuş kişiler içindir.
• Satın alma sırasında çocuğunuzun adını, yaşını veya başka bir bilgisini istemeyiz. Biletler satın alan kişinin adına düzenlenir.
• Yüzü seçilebilen çocuk görüntülerini yalnızca velinin yazılı açık rızasıyla kullanırız (3.5).
• Yorum ve mesajlarınızda çocuğunuzun adını, okulunu veya sağlık bilgisini paylaşmamanızı rica ederiz. Paylaşılırsa yorumu yayımlamadan önce bu bilgileri çıkarırız.
• 18 yaşından küçük birinin bize kişisel veri ilettiğini fark edersek bu veriyi sileriz.

6. Verileri kimlere aktarıyoruz?

Verilerinizi satmayız. Yalnızca aşağıdaki taraflarla, yalnızca yazdığımız amaç için gerekli olan kadarını paylaşırız.

• PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. (Türkiye): Ödemeyi almak ve iade yapmak için ad soyad, e-posta, telefon, IP adresi, sepet içeriği ve tutar.
• Supabase Inc. (veritabanı ve üyelik altyapısı, sunucular Almanya-Frankfurt): Bu metinde sayılan kayıtların saklanması.
• Vercel Inc. (site barındırma, sunucular Almanya-Frankfurt): Sitenin çalışması ve sunucu kayıtları.
• Upstash Inc. (geçici kayıt ve istek sınırlama): IP adresi veya e-posta adresine bağlı kısa süreli sayaçlar (en fazla 1 saat).
• Resend Inc. (e-posta gönderimi, ABD): E-bilet, sipariş, anket ve form e-postaları için e-posta adresi, ad ve e-posta içeriği (bilet PDF'i dahil).
• Google LLC / Google Ireland Ltd.: 3.1 ve 3.4'te anlatılan ölçüm verileri.
• Meta Platforms Ireland Ltd. ve bağlı şirketleri: 3.1 ve 3.4'te anlatılan ölçüm ve satın alma verileri. Velinin rıza verdiği çocuk görüntüleri de Instagram ve Facebook hesaplarımızda yayımlanır.
• İleti Yönetim Sistemi A.Ş. (İYS): Ticari ileti onayı verdiyseniz, kanun gereği onay ve ret kayıtlarınız.
• [MALİ MÜŞAVİR]: Kanuni kayıtların tutulması için satış ve ödeme kayıtları.
• Yetkili kamu kurum ve kuruluşları ile mahkemeler: Kanunen zorunlu olduğunda, talep edilen kayıtlar.

Bu taraflardan Supabase, Vercel, Upstash ve Resend verileri bizim adımıza işler. PayTR, Google ve Meta verilerin bir kısmını kendi adlarına da işleyebilir; bu durumda o şirketlerin gizlilik politikaları da geçerlidir.

7. Yurt dışına aktarım

Supabase ve Vercel'in sunucuları Almanya'dadır; Upstash, Resend, Google ve Meta verileri ABD dahil başka ülkelerde işleyebilir. Türkiye dışında saklama ve işleme, KVKK m.9 kapsamında yurt dışına aktarım sayılır.

• Supabase, Vercel, Upstash, Resend, Google, Meta: [YURT DIŞI AKTARIM DAYANAĞI — standart sözleşmeler imzalanıp Kurum'a bildirildikten sonra şu cümle yazılır: "Bu aktarımlar, Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeler imzalanarak ve Kurum'a bildirilerek yapılır (KVKK m.9/4)."]
• Sosyal medyada yayımlanan çocuk görüntüleri: Velinin açık rızasına dayanır (KVKK m.9/6-a).

8. Verileri ne kadar saklıyoruz?

• Satış, ödeme ve bilet kayıtları: İşlem tarihinden itibaren [SÜRE — 5 / 10 yıl, muhasebeci teyidi]. Süre sonunda ad, e-posta, telefon, IP ve tarayıcı bilgisi otomatik olarak anonim hâle getirilir; yalnızca tutar ve tarih gibi kişiyle ilişkilendirilemeyen bilgiler kalır.
• Ön bilgilendirme ve sözleşme onay kayıtları: En az 3 yıl, satış kaydıyla birlikte.
• Müşteri kaydı (iletişim bilgisi ve bilet istatistikleri): Son bilet alımınızdan itibaren 3 yıl; sonra anonim hâle getirilir.
• Üyelik hesabı: Hesabınız açık kaldığı sürece; silme talebinizden sonra en geç 30 gün içinde silinir (bilet kayıtları yukarıdaki satış süresine tabidir).
• Ticari ileti onayları: Onayınızı geri alana kadar; onay ve ret kayıtları ispat amacıyla geri almadan itibaren 3 yıl.
• İade talepleri: İlgili satış kaydıyla aynı süre.
• İletişim formu ve veri silme başvurusu yazışmaları: 2 yıl.
• Anket yanıtları: 2 yıl; yayımlanan yorumlar siz kaldırılmasını isteyene kadar.
• Site içi ziyaret kayıtları: 12 ay (3 ay sonra üyelik bağlantısı koparılır, 12 ay sonra silinir).
• Gösteri çekimleri: Arşiv görüntüleri 5 yıl; velinin rızası geri alınırsa ilgili görüntü 7 gün içinde yayından kaldırılır.
• Google Analytics verileri: [SÜRE — GA hesabındaki veri saklama ayarı, ör. 14 ay].
• Çerezler: Çerez Politikası'ndaki sürelerle.

Bir hukuki uyuşmazlık veya resmî inceleme sürüyorsa ilgili kayıtlar bu süreç bitene kadar saklanabilir.

9. Haklarınız (KVKK m.11)

Bize başvurarak şunları isteyebilirsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenmek,
2. İşlenmişse buna ilişkin bilgi istemek,
3. İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenmek,
4. Verilerin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilmek,
5. Eksik veya yanlış işlenmişse düzeltilmesini istemek,
6. KVKK m.7'deki şartlar oluştuğunda silinmesini veya yok edilmesini istemek,
7. 5. ve 6. maddelerdeki işlemlerin, verilerin aktarıldığı üçüncü kişilere bildirilmesini istemek,
8. Verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucunda aleyhinize bir sonuç doğmasına itiraz etmek,
9. Kanuna aykırı işleme nedeniyle zarara uğradıysanız zararın giderilmesini talep etmek.

Rızanızı geri almak için başvuru yapmanız gerekmez: Ticari ileti onaylarınızı Hesabım → Bilgilerim sayfasından veya iletilerdeki ret bağlantısından değiştirebilirsiniz. Rızanın geri alınması, öncesinde yapılmış işlemleri etkilemez.

10. Nasıl başvurabilirsiniz?

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca başvurunuzu Türkçe ve yazılı olarak şu yollardan biriyle iletebilirsiniz:

• E-posta: bilgi@eskisehircocuktiyatrosu.com — bize daha önce bildirdiğiniz (ör. bilet aldığınız) e-posta adresinden yazmanız kimliğinizi doğrulamamızı kolaylaştırır.
• Site üzerinden (silme talepleri): Sitenin alt kısmındaki "Veri Silme" bağlantısı.
• Posta veya elden: Islak imzalı dilekçe ile Deliklitaş Mah. Deliklitaş Cad. No: 13/A, Odunpazarı/Eskişehir.

Başvurunuzda ad soyadınız, (yazılı başvuruda) imzanız, yazışma adresiniz veya e-postanız, telefonunuz ve talebinizin açıklaması bulunmalıdır. Başkasının verisini yanlışlıkla paylaşmamak veya silmemek için kimliğinizi doğrulayacak ek bilgi isteyebiliriz.

Başvurunuzu en geç 30 gün içinde ve ücretsiz sonuçlandırırız. İşlem ayrıca bir maliyet gerektirirse Kişisel Verileri Koruma Kurulu'nun belirlediği tarife kadar ücret istenebilir. Başvurunuz reddedilirse, cevabı yetersiz bulursanız veya süresinde cevap verilmezse, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlükârda başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

11. Değişiklikler

Bu metni, işlediğimiz veriler veya kullandığımız hizmetler değiştikçe güncelleriz. Güncel hâli her zaman bu sayfadadır; sayfanın başındaki tarih son güncellemeyi gösterir.