Otellerde KVKK: Dijital Misafir Hizmetlerinde Kişisel Veri Nasıl Korunur?

Otel hangi rolde?

6698 sayılı Kişisel Verilerin Korunması Kanunu'na göre:

• Veri sorumlusu: Verilerin işlenme amacını ve yöntemini belirleyen taraf. Misafir verileri için bu otelin kendisidir.
• Veri işleyen: Veri sorumlusu adına ve onun talimatıyla veri işleyen taraf. Otelin kullandığı yazılım veya bulut hizmeti sağlayıcısı genellikle bu roldedir.

Bu ayrım önemlidir: Sorumluluk otelde kalır. Bu yüzden kullandığınız her dijital hizmetin verileri nasıl işlediğini bilmeniz gerekir.

Dijital misafir hizmetinde hangi veriler işlenir?

İyi tasarlanmış bir oda asistanı mümkün olan en az veriyle çalışır:

• Oda numarası ve oturum bilgisi: Talebin doğru odaya gitmesi için.
• Misafirin talepleri ve mesajları: "2 havlu", "klima çalışmıyor", serbest mesajlar, fotoğraflar.
• Dil tercihi.
• Memnuniyet puanı ve yorum (varsa).
• Teknik kayıtlar: Güvenlik için giriş kayıtları.

Misafirin adı, telefon numarası, e-postası, kimlik bilgisi bu tür bir sistemde gerekli değildir ve istenmemelidir. Kimlik bildirimi gibi yasal yükümlülükler zaten ayrı sistemlerle (ön büro programı ve kolluk kuvvetlerine kimlik bildirimi) yürütülür.

Temel ilkeler

1. Veri minimizasyonu

Amaca yetecek kadar veri toplayın. Misafirden kayıt, hesap veya telefon numarası istemeyen bir sistem bu ilkeye doğal olarak uyar.

2. Aydınlatma

Misafiri hangi verilerinin, hangi amaçla, ne kadar süre işlendiği konusunda bilgilendirin. Aydınlatma metnine misafirin kolayca ulaşabilmesi gerekir; QR ekranından bağlantı vermek pratik bir yöntemdir.

3. Saklama süresi ve imha

Veriler amaç için gereken süreden fazla tutulmamalıdır. Örneğin misafirin yazdığı mesajlar belirli bir süre (örneğin 180 gün) sonra otomatik silinebilir, istatistikler ise kişisel veri içermeyecek şekilde saklanabilir. RoomAsistan'da bu süre otel tarafından ayarlanır ve süre dolan mesajlar, yorumlar ve fotoğraflar otomatik silinir.

4. Erişim kontrolü

Misafir verisine yalnızca işi gereği erişmesi gereken personel erişmelidir:

• Herkesin kendi hesabı ve PIN'i.
• Yönetici hesaplarında iki adımlı doğrulama.
• İşten ayrılan personelin erişiminin hemen kapatılması.
• Kim ne zaman giriş yaptı, kim ne değiştirdi kaydı.

5. Oturum süresi

Misafirin QR oturumu sınırlı olmalıdır. Check-out'ta oturumun kapatılması, sonraki misafirin önceki misafirin taleplerini görmesini engeller.

6. Güvenlik önlemleri

Şifreli bağlantı (TLS), şifreli depolama, düzenli yedek, kaba kuvvet saldırılarına karşı giriş kilidi. Bkz. otel yazılımı seçerken güvenlik soruları.

Hizmet sağlayıcıya sorulacaklar

• Veriler nerede barındırılıyor? Yurt dışında barındırılıyorsa yurt dışına aktarım kurallarına nasıl uyuluyor? (Bu kurallar 2024'te güncellendi; güncel düzenlemeyi kontrol edin.)
• Misafir mesajları üçüncü taraflarla, örneğin yapay zeka servisleriyle paylaşılıyor mu?
• Saklama süresi ayarlanabiliyor mu, silme otomatik mi?
• Veri işleme sözleşmesi imzalanıyor mu?
• Bir güvenlik olayı olursa otele ne kadar sürede bildirim yapılıyor?

WhatsApp grupları ve kişisel telefonlar

Misafir taleplerinin personelin kişisel WhatsApp gruplarında dolaşması, verinin kontrolsüz yayılmasının en yaygın yoludur. Talepleri bir sistemde tutup personele yalnızca kısa bildirim göndermek bu riski azaltır. Bkz. WhatsApp grupları yetmiyor.

Sonuç

KVKK uyumu bir kerelik belge hazırlamak değil, verinin yaşam döngüsünü yönetmektir: az topla, misafiri bilgilendir, erişimi sınırla, zamanında sil. Dijital misafir hizmetleri doğru tasarlandığında bu ilkeleri kolaylaştırır.