Otelde KVKK: Misafir Verilerini Korumanın Temel Adımları

Oteller; kimlik, iletişim, konaklama tercihleri, ödeme ve bazen sağlık ya da diyet notları gibi çok sayıda kişisel veriyi işler. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu verilerin nasıl işleneceğini ve korunacağını düzenler.

Otelde hangi kişisel veriler işlenir?

• Kimlik: ad, soyad, kimlik ya da pasaport numarası, doğum tarihi, uyruk.
• İletişim: telefon, e-posta, adres.
• Konaklama: rezervasyon, oda, tarih, tercihler ve notlar.
• Ödeme: tahsilat kayıtları; kart bilgisi ödeme sağlayıcısında tutulur.
• Görsel kayıtlar: güvenlik kamerası görüntüleri.
• Özel nitelikli olabilecek bilgiler: sağlık, diyet ya da engellilik notları.

Temel adımlar

1. Veri envanteri çıkarın. Hangi veri, nerede, kimin erişimiyle, hangi amaçla işleniyor?
2. Aydınlatma yükümlülüğünü yerine getirin. Misafire hangi verilerin neden işlendiği, kimlerle paylaşıldığı ve hakları açıkça anlatılmalıdır.
3. Hukuki sebebi belirleyin. Rezervasyon sözleşmesi, yasal yükümlülük (örneğin kimlik bildirimi) ve açık rıza farklı dayanaklardır; pazarlama iletileri genellikle ayrı bir onay gerektirir.
4. Saklama ve imha sürelerini belirleyin. Her veri türü için makul bir süre ve imha prosedürü olmalıdır.
5. Erişimi sınırlayın. Çalışanlar yalnızca işleri için gereken verilere erişebilmelidir.
6. İşleyenlerle sözleşme yapın. Yazılım sağlayıcınız gibi veriyi sizin adınıza işleyenlerle yazılı düzenleme gerekir.
7. Veri ihlali prosedürü hazırlayın. Bir ihlal olursa kimin ne yapacağı önceden netleşmelidir.
8. Başvuruları yönetin. İlgili kişilerin başvurularını yanıtlayacak bir süreç ve sorumlu belirleyin.
9. Yükümlülük durumunu kontrol edin. Veri sorumluları sicili (VERBİS) kaydı gibi yükümlülüklerin işletmeniz için geçerli olup olmadığını araştırın.

Pazarlama iletişimi ve onay

Rezervasyonla ilgili bilgilendirme mesajları ile pazarlama amaçlı ticari elektronik iletiler farklı hukuki rejimlere tabidir. Pazarlama iletileri için önceden alınmış onay ve onay yönetimi gerekir; misafirin vazgeçme hakkı kolayca kullanılabilmelidir. Misafir iletişimi rehberimizde bu ayrımı pratik örneklerle ele alıyoruz.

Yazılım tarafında nelere bakmalı?

• Rol ve tesis bazlı erişim kontrolü.
• Kim neyi ne zaman değiştirdi izini tutan kayıtlar.
• Misafir kaydında onay ve aydınlatma alanları.
• Verinin tesis bazında ayrı tutulması.
• Güvenli kimlik doğrulama. Ayrıntılı bir liste için güvenlik kontrol listesine bakın.

Veri ihlali olursa ilk adımlar

Bir kimlik fotokopisinin yanlış kişiye gitmesi, kaybolan bir cihaz ya da yetkisiz bir erişim veri ihlali sayılabilir. Hazır bir plan olduğunda ilk saatler daha sakin geçer:

1. Olayı sınırlayın: erişimi kapatın, parolaları değiştirin, cihazı uzaktan kilitleyin.
2. Neyin, kimin verisinin, ne zaman etkilendiğini kayıt altına alın.
3. Sorumlu kişiyi ve hukuk danışmanını haberdar edin.
4. Bildirim yükümlülüğünü değerlendirin: 6698 sayılı Kanun ihlalin en kısa sürede ilgili kişilere ve Kurula bildirilmesini öngörür; Kurul kararlarında Kuruma bildirim için 72 saat esas alınmıştır. Güncel düzenlemeyi hukuk danışmanınızla teyit edin.
5. Nedeni giderin ve süreci güncelleyin.

Çalışan farkındalığı

Uyumun en zayıf halkası çoğu zaman teknik değil, günlük alışkanlıklardır: kimlik fotoğrafının kişisel telefondan mesajlaşma uygulamasıyla paylaşılması, ekranda açık bırakılan misafir kaydı, çöpe atılan çıktılar. Yeni çalışanlara kısa bir veri kullanım eğitimi verin; hangi bilginin hangi kanaldan paylaşılabileceğini örneklerle anlatın.

Kontuar’da

Kontuar misafir kaydında KVKK onay alanları, izne dayalı pazarlama kitleleri (örneğin yalnızca e-posta izni olanlar), rol ve tesis bazlı erişim ve rezervasyon geçmişi sunar. KVKK uyumu bir yazılım özelliğinden çok süreçtir: aydınlatma metinleri, saklama süreleri ve başvuru yönetimi tesis tarafından yürütülür. Kontuar’ın kendi gizlilik politikası için gizlilik sayfasına bakın.

#KVKK#kişisel veri#misafir verisi#aydınlatma metni