Kimlik bildirimi kapsamının aşılması
Mevzuat belirli bilgilerin kaydını zorunlu kılar; kimlik belgesi fotokopilerinin süresiz biriktirilmesi bu zorunluluğun kapsamını aşar.
Sektör · Sektörel KVKK Çözümü
Turizm ve Konaklama Sektörüne Özel KVKK Çözümleri
Otelde misafir, kimliğinden diyet tercihine kadar çok şey bırakır. Kimlik bildirimi zorunludur ama gerisi değildir; üstelik yabancı misafirlerle birlikte GDPR da masaya gelir. İki rejimi birlikte kurguluyoruz.
Kısa cevap
Turizm ve konaklamada KVKK uyumu iki eksende kurulur. Birincisi kimlik bildirim yükümlülüğüdür: konaklama tesisleri, misafir kimlik bilgilerini mevzuat gereği kaydetmek ve bildirmek zorundadır; bu, hukuki yükümlülüğe dayanan meşru bir işlemedir. İkincisi ise bunun ötesine geçen her şeydir — diyet tercihi, sağlık notu, sadakat programı, oda içi tüketim, kamera ve oda kartı kayıtları. Bu ikinci küme ayrı hukuki sebep gerektirir. Yabancı misafir ağırlıklı tesislerde GDPR da paralel olarak devreye girer.
Turizm ve Konaklamada KVKK Neden Ayrı Yönetilmeli?
Konaklama tesisi, misafirin özel hayatının içinde çalışır. Kim kiminle geldi, hangi odada kaldı, ne yedi, ne zaman girip çıktı — bunların hepsi kayıt altına alınır. Buna sezonluk personel devri, çok sayıda aracı platform ve yabancı misafirlerin farklı hukuki rejimi eklendiğinde, sektör beklenenden çok daha karmaşık bir uyum tablosu ortaya koyar.
Yabancı misafir ve GDPR
Avrupa'dan gelen misafirlerin verisi, kaynak ülke mevzuatı bakımından da değerlendirilebilir; rezervasyon platformlarıyla paylaşımlar iki rejimi birden ilgilendirir.
Rezervasyon platformları ve acenteler
Online platformlar, tur operatörleri ve acentelerle iki yönlü veri akışı vardır; tarafların sıfatı ve paylaşım kapsamı çoğu tesiste tanımsızdır.
Diyet, alerji ve sağlık notları
Misafirin bildirdiği alerji, diyet ve engellilik bilgisi sağlık verisi doğurur; rezervasyon notuna serbest metin olarak yazılması yaygın bir açıktır.
Kamera, oda kartı ve tüketim kayıtları
Koridor kameraları, oda kartı giriş logları ve minibar tüketimi birleştiğinde misafirin oda içi yaşam düzenini gösteren bir profil oluşur.
Sezonluk personel devri
Yoğun sezonda kısa süreli çalışan çok sayıda kişi misafir verisine erişir; yetkilendirme ve ayrılış kontrolü çoğu zaman eksiktir.
Turizm ve Konaklamada İşlenen Kişisel Veriler
Aşağıdaki kırılım rezervasyondan çıkışa kadar misafir yolculuğunda ve personel süreçlerinde doğan veri kategorilerini gösterir.
Kimlik ve konaklama kaydı
Ad soyad, kimlik veya pasaport bilgileri, uyruk, giriş-çıkış tarihleri, oda numarası, birlikte kalınan kişiler
Hukuki sebep ve not: Kimlik bildirim mevzuatından doğan hukuki yükümlülük; kayıt kapsamı mevzuatın istediğiyle sınırlı tutulur.
Rezervasyon ve tercihler
İletişim bilgileri, ödeme ve kart bilgileri, oda tercihleri, özel istekler, sadakat programı kaydı
Hukuki sebep ve not: Sözleşme ve açık rıza; tercih profillemesi hizmetin ifası için zorunlu değilse ayrıca gerekçelendirilir.
Sağlık ve diyet bildirimleri
Özel nitelikliAlerji beyanları, diyet talepleri, engellilik ve erişilebilirlik ihtiyaçları, revir kayıtları
Hukuki sebep ve not: Özel nitelikli veri; yalnızca hizmeti sunacak birime, gerekli olanla sınırlı biçimde iletilir.
Tesis içi hareket kayıtları
Oda kartı giriş logları, kamera görüntüleri, spa ve aktivite rezervasyonları, minibar ve ekstra tüketim kayıtları
Hukuki sebep ve not: Meşru menfaat ve sözleşme; kayıtların birleştirilerek profil oluşturulması ayrıca değerlendirilir.
Acente ve platform paylaşımları
Rezervasyon aktarımları, misafir listeleri, komisyon ve mutabakat dosyaları, tur operatörü manifestoları
Hukuki sebep ve not: Tarafların sıfatı belirlenir; veri işleyen ilişkisinde yazılı sözleşme, aktarımda ayrı dayanak gerekir.
Personel kayıtları
Özel nitelikliÖzlük dosyaları, sezonluk sözleşmeler, portör ve hijyen belgeleri, vardiya kayıtları, personel lojmanı bilgileri
Hukuki sebep ve not: Portör ve sağlık kayıtları özel nitelikli veridir; işyeri hekimi sorumluluğunda tutulur.
Çözüm Kapsamı
Program misafir yolculuğunu baştan sona izler: rezervasyonun geldiği kanaldan check-out sonrasına kadar hangi verinin nerede biriktiğini çıkarır ve gereksiz olanı keser.
Misafir yolculuğu veri envanteri
Rezervasyon, check-in, konaklama, ekstra hizmetler, check-out ve sonrası ayrı adımlar hâlinde haritalanır.
Kimlik bildirimi kapsam analizi
Mevzuatın zorunlu kıldığı kayıt ile fiilen toplanan veri karşılaştırılır; fazlalık kesilir, belge kopyası düzeni yeniden kurulur.
GDPR paralel değerlendirmesi
Yabancı misafir ağırlıklı tesislerde iki rejimin kesişimi belirlenir; aydınlatma metinleri iki dilli hazırlanır.
Platform ve acente sözleşmeleri
Online platform, tur operatörü ve acentelerle ilişkiler sınıflandırılır; veri işleyen sözleşmeleri ve paylaşım protokolleri kurulur.
Sağlık notu ve erişim düzeni
Alerji ve diyet bildirimleri serbest metinden çıkarılıp yapılandırılır; erişim yalnızca hizmeti sunacak birime açılır.
VERBİS ve sezonluk personel düzeni
Kayıt envanterle uyumlu yapılandırılır; sezonluk personel için yetkilendirme ve ayrılış kontrol listesi kurulur.
Misafir Çıkış Yaptıktan Sonra Ne Kalıyor?
- Kimlik ve pasaport fotokopileri resepsiyon arkasındaki klasörde yıllardır birikiyor.
- Misafirin bildirdiği alerji bilgisi rezervasyon notuna serbest metin olarak yazılıyor ve tüm personel görebiliyor.
- Online platformdan gelen misafir listeleri e-posta ekinde dolaşıyor ve silinmiyor.
- Oda kartı giriş logları, kamera görüntüleriyle birlikte sorgulanabiliyor.
- Sezonluk personelin sistem hesapları sezon bittikten sonra kapatılmıyor.
- Check-out sonrası misafir verisi hiçbir kurala bağlı olmadan pazarlama listesine ekleniyor.
Uygulama Süreci
Keşif ve kapsam
Rezervasyondan check-out'a kadar misafir yolculuğu yerinde izlenir; resepsiyon, kat hizmetleri, F&B ve satış-pazarlama süreçleri ayrı ayrı incelenir.
Veri envanteri
Tüm veri işleme faaliyetleri; veri kategorisi, hukuki sebep, saklama süresi, alıcı grubu ve aktarım kırılımıyla çıkarılır.
Boşluk analizi
Mevcut durum mevzuatla karşılaştırılır; açıklar ihlal olasılığı ve etkisine göre önceliklendirilir.
Belgelendirme ve devreye alma
Politika, aydınlatma metni, sözleşme seti ve VERBİS adımları hazırlanıp uygulamaya alınır.
Eğitim ve sürdürme
İlgili ekiplere rol bazlı eğitim verilir; periyodik gözden geçirme takvimi kuruma devredilir.
Teslim Edilecek Çıktılar
- Kişisel veri işleme envanteri ve veri akış haritası
- Kişisel veri saklama ve imha politikası ile periyodik imha takvimi
- Veri işleyen sözleşmesi ve gizlilik taahhütnamesi seti
- VERBİS kayıt dosyası ve güncelleme kılavuzu
- İlgili kişi başvurusu karşılama prosedürü ve yanıt şablonları
- Veri ihlali müdahale planı ve Kurul'a bildirim akışı
- Misafir, personel, sezonluk çalışan ve ziyaretçi aydınlatma metinleri (iki dilli)
- Kimlik bildirimi kapsam ve belge saklama düzeni
- Acente, tur operatörü ve platform veri paylaşım protokolleri
- Sağlık ve diyet bildirimi kayıt ve erişim prosedürü
- Sezonluk personel yetkilendirme ve ayrılış kontrol listesi
Kimler İçin Uygun?
Oteller ve tatil köyleri
Kimlik bildirim yükümlülüğü bulunan, yoğun sezonluk personel çalıştıran konaklama tesisleri.
Butik oteller ve pansiyonlar
Küçük ölçekli ama aynı yükümlülüklere tabi, kısıtlı kaynakla çalışan işletmeler.
Seyahat acenteleri ve tur operatörleri
Misafir listeleri, vize ve seyahat belgeleri işleyen, tesislerle veri paylaşan kuruluşlar.
Restoran ve etkinlik mekânları
Rezervasyon, sadakat programı ve etkinlik katılımcı verisi işleyen işletmeler.
İlgili Hizmetler
Bu sektörel program, aşağıdaki danışmanlık hizmetlerinin sektöre uyarlanmış birleşimidir; her biri ayrı ayrı da alınabilir.
İlgili Sektörler
Benzer veri kategorilerini işleyen ya da aynı tedarik zincirinde yer alan sektörlerin uyum sayfaları.
Sık Sorulan Sorular
Kimlik bildirim mevzuatı belirli bilgilerin kaydedilmesini ve bildirilmesini zorunlu kılar; ancak bu, belgenin fotokopisinin süresiz saklanmasını gerektirmez. Doğru uygulama, belgeyi görerek doğrulamak ve mevzuatın istediği bilgileri sisteme kaydetmektir. Fotokopi saklanacaksa gerekçesi ve süresi yazılı olarak belirlenmeli, belge kilitli ortamda tutulmalı ve süre dolduğunda imha edilmelidir. Resepsiyon arkasında yıllardır biriken klasörler denetimde en sık eleştirilen uygulamadır.
Türkiye'deki bir tesiste sunulan hizmet bakımından KVKK uygulanır. Ancak GDPR'ın kapsamı, hizmetin Avrupa'daki kişilere yönelik sunulup sunulmadığına ve davranış izlemesi yapılıp yapılmadığına bağlı olarak genişleyebilir; özellikle Avrupa pazarına yönelik pazarlama yapan, Avrupa'daki acentelerle çalışan veya AB'de yerleşik grup şirketi bulunan tesislerde iki rejim paralel değerlendirilmelidir. Pratikte en güvenli yol, aydınlatma metinlerini iki dilli hazırlamak ve iki rejimin ortak paydası olan minimizasyon, saklama süresi ve ilgili kişi hakları konusunda yüksek standardı uygulamaktır.
Duruma göre değişir ve tek bir cevap yoktur. Platform kendi müşteri ilişkisini kurup kendi amaçlarıyla veri işliyorsa bağımsız veri sorumlusudur; size yalnızca rezervasyonun gerçekleştirilmesi için gerekli bilgiyi aktarır. Bu durumda aranızdaki ilişki veri işleyen değil, aktarım ilişkisidir. Sizin adınıza ve talimatınızla işlem yapan acenteler ise veri işleyendir. Doğru kurgu, her kanal için sıfatı ayrı belirlemek ve buna uygun sözleşme veya protokol kurmaktır.
Bu bilgiler sağlık verisi doğurur ve serbest metin rezervasyon notuna yazılmamalıdır. Doğru yaklaşım; bilgiyi yapılandırılmış bir alanda tutmak, yalnızca hizmeti sunacak birime (mutfak, restoran müdürü) gerekli olanla sınırlı biçimde iletmek ve konaklama sona erdiğinde silmektir. Misafir tekrar geldiğinde tercihinin hatırlanması isteniyorsa bu ayrı bir amaçtır ve açık rıza gerektirir.
Ortak alanlarda güvenlik amaçlı kamera meşru kabul edilir; koridorlar bu kapsamda değerlendirilebilir. Ancak kamera oda kapılarını, kimin hangi odaya girip çıktığını sürekli kaydeder ve bu, oda kartı loglarıyla birleştiğinde misafirin özel hayatına dair ayrıntılı bir kayıt oluşturur. Bu nedenle kayıt süresi kısa tutulmalı, erişim güvenlik birimiyle sınırlandırılmalı, kayıtların diğer sistemlerle birleştirilerek sorgulanması engellenmelidir. Odalar, tuvaletler, soyunma alanları ve spa kabinleri kesinlikle kapsam dışıdır.
Sektörün en zayıf halkası budur. Yoğun sezonda hızla işe alınan personel, misafir verisine geniş erişimle çalışır ve sezon bittiğinde hesapları çoğu zaman kapatılmaz. Kurulması gereken düzen basittir: rol bazlı yetkilendirme, işe başlarken imzalanan gizlilik taahhütnamesi, kısa bir KVKK farkındalık eğitimi ve ayrılışta hesap kapatma ile cihaz-anahtar teslimini içeren bir kontrol listesi. Bu liste uygulanmadığında sözleşme ve politika metinleri tek başına koruma sağlamaz.
Misafir yolculuğunuzu birlikte izleyelim
Rezervasyon kanallarınızı, resepsiyon düzeninizi ve platform paylaşımlarınızı paylaşın; ücretsiz ön görüşmede fazla toplanan veriyi birlikte çıkaralım.
