Bu politika, Türkiye Cumhuriyeti Cumhurbaşkanlığı Millî Saraylar İdaresi Başkanlığı ("Kurum") tarafından yayımlanan aşağıdaki mobil uygulamalarda kişisel verilerin nasıl işlendiğini açıklar:

• Millî Saraylar (uygulama mağazalarında "Milli Saraylar: Saray Müzeleri"): ziyaretçilere yönelik uygulama (saray, köşk ve müze bilgileri, e-bilet ve kitap satışı)
• Millî Saraylar Yönetim: yalnız Kurum personelinin kullandığı uygulama
• Millî Saraylar Acente: yalnız Kurum ile sözleşmeli seyahat acentelerinin kullandığı uygulama

1. Veri sorumlusu

Türkiye Cumhuriyeti Cumhurbaşkanlığı Millî Saraylar İdaresi Başkanlığı
Vişnezade Mah. Dolmabahçe Sarayı, 34357 Beşiktaş / İstanbul · Tel: 0 (212) 236 90 00

Kişisel veri başvuruları: info@millisaraylar.gov.tr · KEP: millisaraylaridaresibaskanligi@hs01.kep.tr

2. Hangi verileri işliyoruz?

Millî Saraylar (ziyaretçi uygulaması)

• Saray, müze, haber ve etkinlik içeriklerini görüntülemek için kişisel veri gerekmez; hesap oluşturulmaz.
• E-bilet satın alırken: T.C. vatandaşı ziyaretçilerde T.C. kimlik numarası ve doğum tarihi (kimlik, Kimlik Paylaşım Sistemi üzerinden doğrulanır; ad soyad sistemden alınır, doğum tarihi saklanmaz); yabancı ziyaretçilerde ad ve soyad; ziyaretçi türü (tam, öğrenci vb.); bilet bilgilerinin iletileceği e-posta adresi ve cep telefonu numarası.
• Kitap satın alırken: ad soyad, e-posta adresi, cep telefonu numarası ve teslimat adresi.
• Ödeme: kart bilgileri yalnız ödeme anında şifreli bağlantıyla iletilir ve bankanın 3D Secure doğrulamasında kullanılır. Kart numarası ve güvenlik kodu cihazda ve Kurum sistemlerinde saklanmaz; ödeme sonucuyla birlikte yalnız bankanın bildirdiği maskeli kart numarası (ör. 4546 **** **** 1234) kayıt altına alınır.
• Biletlerim / Siparişlerim: geçmiş bilet ve siparişlerin gösterilmesi için e-posta adresi, cep telefonu numarası ve bu numaraya gönderilen tek kullanımlık doğrulama kodu.
• Satın alma sırasında sözleşme ve aydınlatma metni onayınız; onay zamanı ve IP adresi ile birlikte kaydedilir.

Millî Saraylar Yönetim (personel)

• Kurum kullanıcı bilgileri (kullanıcı adı, ad soyad, yetkiler) ve kayıtlı cep telefonuna gönderilen tek kullanımlık doğrulama kodu.
• Uygulamada gösterilen raporlar Kurumun bilet satış ve ziyaretçi istatistikleridir.
• Kullanıcının dışa aktardığı rapor dosyaları (Excel/PDF), yalnız kullanıcının seçtiği uygulamayla paylaşılır.

Millî Saraylar Acente (acenteler)

• Acente kullanıcı bilgileri (e-posta, ad soyad, acente adı) ve acentenin kayıtlı yetkili cep telefonuna gönderilen tek kullanımlık doğrulama kodu.
• Bakiye, bakiye yükleme, üyelik ödemesi, karekod ve geçiş hareketleri.
• Bakiye yükleme ve üyelik ödemelerinde kart bilgileri yukarıdaki ödeme maddesindeki gibi işlenir; havale/EFT'de kart bilgisi alınmaz.

3. Cihazınızda saklanan bilgiler ve cihaz izinleri

• Oturum bilgisi (Yönetim, Acente): Tekrar giriş yapmamanız için oturum anahtarı cihazın güvenli deposunda (iOS Keychain / Android Keystore) saklanır ve çıkış yapıldığında silinir.
• Uygulama kilidi (Yönetim, Acente; isteğe bağlı): Face ID, Touch ID, parmak izi veya cihaz ekran kilidi. Doğrulamayı yalnız işletim sistemi yapar; uygulama biyometrik verinize erişmez, bu veriler cihazdan çıkmaz ve Kuruma iletilmez.
• Fotoğraflara kaydetme (Acente): Yalnız kullanıcı karekod görselini kaydetmeyi seçerse istenir.
• Uygulamalar konum, kamera, mikrofon, rehber veya takvim erişimi istemez.
• Ziyaretçi uygulaması cihazda kişisel veri saklamaz; alışveriş sepeti uygulama kapanınca silinir.

4. Reklam, takip ve analiz

Uygulamalarda reklam yoktur. Kullanıcıları uygulamalar veya web siteleri arasında takip eden ya da davranış analizi yapan hiçbir üçüncü taraf yazılım (analiz, reklam veya izleme kütüphanesi) bulunmaz. Kişisel veriler pazarlama amacıyla kullanılmaz ve satılmaz.

5. İşleme amaçları ve hukuki sebepler

Kişisel veriler; bilet ve kitap satışının yapılması ve teslimi, ödemenin alınması, ziyaretçi girişinin sağlanması, acente işlemlerinin yürütülmesi, personelin yetkili olduğu raporlara erişmesi, hesap güvenliği ve dolandırıcılığın önlenmesi ile yasal yükümlülüklerin yerine getirilmesi amaçlarıyla işlenir.

Hukuki sebepler 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5. maddesinde sayılan sebeplerdir: sözleşmenin kurulması ve ifası, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması veya korunması ve veri sorumlusunun meşru menfaati.

6. Kimlerle paylaşıyoruz?

Kişisel veriler yalnız hizmetin gerektirdiği ölçüde şu taraflara aktarılır:

• T.C. vatandaşı ziyaretçilerin kimlik doğrulaması için Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü Kimlik Paylaşım Sistemi (KPS)
• ödeme için banka (sanal POS / 3D Secure): Türkiye Halk Bankası A.Ş.
• doğrulama kodları ve bilgilendirme mesajları için SMS hizmet sağlayıcısı
• kitap teslimatı için Kurumun anlaşmalı kargo firması (ad soyad, telefon ve teslimat adresi)
• kanunen yetkili kamu kurum ve kuruluşları (talep hâlinde)

Kurum sunucuları Türkiye'de bulunmaktadır.

7. Saklama süresi

Bilet, sipariş, fatura ve ödeme kayıtları ile bunlara ilişkin onay ve geçiş kayıtları, mali mevzuat ve genel zamanaşımı süresi gereğince işlem tarihinden itibaren 10 yıl; uygulamalara giriş ve işlem güvenliği kayıtları 2 yıl; personel ve acente hesap bilgileri, görev ya da sözleşme ilişkisi süresince ve bu ilişkinin sona ermesinden itibaren 10 yıl saklanır. Sürenin sonunda veriler, izleyen ilk periyodik imha döneminde silinir, yok edilir veya anonim hâle getirilir.

8. Güvenlik

Uygulamalar ile Kurum sunucuları arasındaki tüm iletişim şifrelidir (HTTPS/TLS). Kart numarası ve güvenlik kodu saklanmaz. Oturum bilgileri cihazın güvenli deposunda tutulur. Personel ve acente girişlerinde iki aşamalı doğrulama (SMS kodu) kullanılır.

9. Çocuklar

Uygulamalar çocuklara yönelik değildir. Çocuklar için alınan biletlerde ziyaretçi bilgileri bileti satın alan yetişkin tarafından girilir.

10. Haklarınız ve başvuru (verilerin silinmesi dâhil)

6698 sayılı Kanun'un 11. maddesi uyarınca kişisel verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini veya silinmesini isteme, işlemeye itiraz etme ve zararın giderilmesini talep etme haklarına sahipsiniz.

11. Verilerinizin silinmesi

Uygulamalarımızı kullanırken işlenen kişisel verilerinizin silinmesini her zaman talep edebilirsiniz. Bunun için uygulamada bir hesabınızın olması ya da uygulamanın cihazınızda yüklü olması gerekmez.

Silinen veriler

• Ziyaretçi uygulaması: yasal saklama yükümlülüğü bulunmayan iletişim bilgileriniz (e-posta, telefon) ve bunlarla ilişkili bildirim kayıtları silinir ya da kimliğinizle ilişkilendirilemeyecek şekilde anonim hâle getirilir.
• Personel uygulaması: hesabınız Kurum tarafından kapatılır ve uygulama erişiminiz kaldırılır.
• Acente uygulaması: acente yetkilisi hesabı kapatılır; yetkili kişinin iletişim bilgileri silinir ya da anonim hâle getirilir.
• Cihazınızdaki veriler: uygulamayı kaldırdığınızda cihazda tutulan oturum bilgisi ve tercihleriniz silinir.

Saklanmaya devam eden veriler

Bilet, sipariş, fatura ve ödeme kayıtları ile bunların ispatı için gerekli işlem kayıtları (onay, işlem zamanı, maskeli kart numarası, giriş ve geçiş kayıtları), mali mevzuat ve genel zamanaşımı süresi gereğince işlem tarihinden itibaren 10 yıl; giriş ve işlem güvenliği kayıtları 2 yıl boyunca saklanmaya devam eder. Bu süreler dolduğunda söz konusu veriler de silinir, yok edilir ya da anonim hâle getirilir. Silme talebiniz bu nedenle kısmen karşılanabiliyorsa, hangi verilerin hangi gerekçeyle saklandığı yanıtımızda ayrıca belirtilir.

12. Değişiklikler

Bu politika güncellenebilir. Güncel metin her zaman bu sayfada yayımlanır ve yürürlük tarihi belirtilir.

İlgili metinler: Politikalar ve Sözleşmeler (Aydınlatma Metni, Gizlilik ve Güvenlik Politikası, Mesafeli Satış Sözleşmeleri).