Misafirin KVKK başvurusu: kişisel veri talepleri nasıl yanıtlanır?

KVKK, Türkiye'nin kişisel verilerin korunması kanunu uyarınca bir misafir, otelin kendi verisini işleyip işlemediğini öğrenebilir, düzeltilmesini ya da silinmesini isteyebilir. Süreç şöyle yürür: adı belli bir sorumlu talebi kaydeder, kimliği otelde zaten tutulan kayıtlarla doğrular, tüm sistemlerde arama yapar ve yasal süre içinde düz bir dille yazılı yanıt verir.

Çıkışta bir misafir, otelin kendisiyle ilgili tuttuğu her şeyi görmek ve sonra da silinmesini istemek istiyor. Resepsiyonistin elinde bir senaryo yok: misafir kartı PMS'te, mesajlar bir satış sitesinin kutusunda, geçen sezonun kâğıt konaklama kayıt kartları ise arka ofisteki bir dolapta. Bu yazı o senaryoyu ve yolu veriyor: otelde bir KVKK başvurusu nasıl alınır, kayda geçirilir, kimlik nasıl doğrulanır, her sistemde arama nasıl yapılır, ne düzeltilip ne silinip ne saklanacağına nasıl karar verilir ve yazılı yanıt nasıl verilir. Hukuki ayrıntı avukat ve muhasebeciye kalır; prosedürü bu hafta yazacak olan sizsiniz.

Misafir verisi talepleri nereye gelir ve sahibi kimdir?#

Bir misafirin size ulaşabildiği her yerden gelir: resepsiyon masasına, otelin e-postasına, telefona, satış sitesinin mesaj dizisine, misafir uygulamasına ya da postayla. Her talep, düştüğü anda tek bir adı belli sorumluya aittir; izinli günleri için bir vekili olur.

Terimi personele bir kez tanımlayın. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen taraftır; bir otelde bu taraf otelin kendisidir, resepsiyonist de yazılım satıcısı da değildir (6698 sayılı Kanun, madde 3, mevzuat.gov.tr). Talep otele yöneltilir ve hesabını otel verir.

Kurumun Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliği (yeni sekmede açılır) (Resmî Gazete, 10.03.2018, sayı 30356) resmî başvuru kanallarını sayar: yazılı olarak, kayıtlı elektronik posta (KEP) ile, güvenli elektronik imza veya mobil imzayla, kişinin veri sorumlusuna daha önce bildirdiği ve sistemde kayıtlı e-posta adresinden ya da başvuru amacıyla geliştirilmiş bir yazılımla. Başka bir yoldan gelen talep de taleptir. Yanıtlayın ve misafire hangi kanalların resmî sayıldığını söyleyin; satış sitesi içinden ya da bir sosyal hesaptan gelen mesajın nasıl değerlendirileceğini avukatınızla netleştirin.

Resepsyonun işi kaydetmek, yanıtlamak değil. Tek satırlık bir senaryo yeterli: "Bugün kayda geçireceğim, veri koruma yetkilimiz yazılı olarak yanıtlayacak." Masada asla "otelimiz bir şey tutmuyor" demeyin. Avukat mektubu, kurum yazısı ya da mahkeme tebligatı olarak gelen her şey, ön bürodan bir taslak yanıt yazılmadan, aynı gün sorumluya ve avukata gider.

Hizmet şikâyeti bir veri talebi değildir. Misafir otelin ne tuttuğunu, verinin kimlerle paylaşıldığını ya da düzeltilmesini ya da silinmesini sorduğu anda talep olur.

Başvuru kayıt defterine neler yazılır?#

Talep geldiği gün açılan, her talep için tek satır: kim istedi, hangi kanaldan, tam olarak ne istedi ve yanıt gönderilene dek yapılan her işlem.

Geliş tarihi ve saati, kanal, misafirin adı ve iletişim bilgileri, talebin misafirin kendi ifadesiyle aktarımı ve kategoriyi kaydedin: öğrenme, kopya isteme, düzeltme, silme, otomatik analiz sonucuna itiraz ya da üçüncü kişilerle ilgili soru. Rezervasyon kodunu ve konaklama tarihlerini de ekleyin ki arama yalnızca bir isimden başlamasın.

Aramanın kendisini de kaydedin: hangi sistemler, kim tarafından, hangi tarihte kontrol edildi ve ne bulundu. Yazılmış boş sonuç bir sonuçtur; hatırlanan boş sonuç değildir. Defteri yalnızca eklenebilir tutun: düzeltmeler yeni satıra yazılır, eski satırın üzerine asla; gün sonu işlemiyle aynı disiplin. Defteriniz, sürecin hangi tarihte başladığının kanıtıdır.

Her talep için tek dosya: defter satırı, özgün mesaj, kimlik doğrulaması, arama sonuçları ve gönderilen yanıt. Defter bir dizindir, misafir verisinin ikinci kopyası değildir; dosyayı bulmaya yetecek kadarını tutun. Defteri ayda bir gözden geçirin: kaç talep geldi, hangi kanallardan, hangi sistemin aranması en uzun sürdü. Prosedürün bir danışmana ihtiyaç duymadan bu incelemeyle iyileşir.

Kimlik, daha fazla veri toplamadan nasıl doğrulanır?#

Talebi, elinizde zaten tuttuğunuz kayıtlarla eşleştirin ve elinizde zaten olmayan bir bilgiyi istemeyin. Veri talebi, yeni bir kimlik fotokopisi toplamak için bir gerekçe değildir.

Başvurunun kendisi ad ve soyadı (yazılıysa imza), T.C. vatandaşları için T.C. kimlik numarasını, yabancılar için uyruk ile pasaport ya da varsa kimlik numarasını, tebligata esas adresi ve talep konusunu taşımak zorundadır (Resmî Gazete, 10.03.2018, sayı 30356, madde 5). Bu, başvuranın kendi içeriğidir; otelin yeni topladığı veri değildir.

Rezervasyonla doğrulayın: rezervasyon kodu, konaklama tarihleri, misafir kartında zaten kayıtlı e-posta veya telefon, hesaptaki ad. Otelin zaten tuttuğu bir adresten gelen talep, tek başına en güçlü sinyaldir. Talep tanınmayan bir adresten geliyorsa rezervasyondaki telefonu arayın, teyit edin ve misafirden kayıtlı adresten yeniden göndermesini isteyin.

Üçüncü kişiler için yetki gerekir: avukat, aile üyesi, acente. Yazılı vekâlet isteyin ve neyin yeterli sayıldığını avukatınızla netleştirin; onaylanmadan hiçbir şey paylaşmayın. Kimlik doğrulanamıyorsa, henüz işlem yapamadığınızı, neyin yapmanıza izin vereceğini yazılı olarak bildirin ve girişimi kayda geçirin. Sessiz kalmak, sonradan her zaman yanlış görünen tek yanıttır. Personel, oda numarasını ve ayrılış tarihini bilse bile, doğrulanmamış bir arayana misafir verisini okumamalıdır.

Misafir verisi bir otelde gerçekte nerede durur?#

PMS'ten daha fazla yerde: misafir kartı ve hesap, satış sitesinin mesaj kutusu, otelin e-postası, personel telefonları, restoran kassası, spa defteri, kapı kilidi kaydı, KBS bildirimleri (her konaklama tesisinin yükümlü olduğu misafir kimlik bildirimi) ve bazen dolapta bir kâğıt konaklama kayıt kartı.

Bir arama sırası belirleyin ve ona sadık kalın: PMS misafir kartı ve hesap, rezervasyon ve kanal mesajları, otel e-postası, misafir uygulaması, satış noktası sistemleri (restoran, bar, spa), erişim ve kapı kilidi kayıtları, KBS bildirimleri, kâğıt ve tablolar, ardından muhasebeci ve e-fatura entegratörü. Her sistem için kimin tuttuğunu ve nasıl aranacağını yazın. O liste prosedürün ta kendisidir; liste yoksa arama, vardiyada kimin olduğuna bağlı kalır. Sistem değiştirirken de aynı envanter işe yarar; PMS değişiminde veri taşıma yazısında bu konu ayrıntılı işleniyor.

Kâğıt konaklama kayıt kartları klasik boşluktur. Nerede saklandığına, anahtarın kimde olduğuna, dosya ofisten çıkmadan bir bildirimin nasıl çekileceğine ve ne kadar kalacağına karar verin; saklama süresi avukatınıza sorulacak bir sorudur. Resepsiyonistin kişisel telefonundaki misafir mesajları, kişisel bir cihazdaki otel verisidir. Çözüm, misafir mesajlaşmasını oteline ait bir kanala taşımaktır; o güne dek aramaya personel cihazları da girmeli ve sorumlu personelle doğrudan konuşmalıdır.

PMS, veritabanının tamamını dışa aktarmadan tek bir misafirin kaydını dışa aktarabilmelidir. Yapamıyorsa bu, satıcıya sorulacak bir soru ve risk listesine yazılacak bir satırdır. Satış siteleri ve e-fatura entegratörleri kendi koşullarıyla kendi kopyalarını tutar; yanıtınız otelin tuttuğunu kapsar, gerisi avukatınızla netleştirilir. Sonuç boş olsa bile her sistem için arama sonucunu tarihle kaydedin. Dosya, şanslı bir bulguyu değil, tam bir taramayı göstermeli. Konaklamanın bütün yükümlülükleri için her konaklamanın dört adımı yazısına bakın.

Neyi saklamak, neyi düzeltmek ya da silmek zorundayız?#

Talebi üç yanıta bölün: neyi düzelteceğinizi, neyi sileceğiniz ya da kullanmayı bırakacağınızı ve başka bir yükümlülüğün saklamayı gerektirdiğini. Misafirin üçünde de net bir yanıta hakkı var.

Haklar somuttur: verisinin işlenip işlenmediğini ve hangi amaçla işlendiğini öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, düzeltilmesini isteme, silinmesini veya yok edilmesini isteme ve münhasıran otomatik sistemlerle analiz sonucu aleyhine çıkan sonuca itiraz etme (6698 sayılı Kanun, madde 11, mevzuat.gov.tr, birleşik metin, 1 Kasım 2026). Silme koşulludur, kendiliğinden değildir. İşleme sebepleri ortadan kalktığında veri sorumlusu veriyi resen ya da ilgili kişinin talebiyle siler, yok eder veya anonim hâle getirir (6698 sayılı Kanun, madde 7). Kaydın kalması gereken durumlarda anonimleştirme, silmeyle aynı amacı karşılayabilir.

Mali kayıtlar, bir talepten uzun süre yaşayan yükümlülüğün en net örneğidir. Fatura müşterinin adını ve adresini göstermek zorundadır ve defter tutanlar, defter ve belgelerini ilgili oldukları yılı izleyen takvim yılından başlayarak beş yıl saklar (213 sayılı Vergi Usul Kanunu, madde 229, 230 ve 253, mevzuat.gov.tr birleşik metni (yeni sekmede açılır), 1 Kasım 2026). Otelin kendi durumunu, yanıta yazmadan önce muhasebecinizle teyit edin. Otelin kendi KBS kayıtlarını ne kadar saklamak zorunda olduğu, doğrulayabildiğimiz kaynaklarda netleşmiş değildir; bir mektupta tahmin yürütmek yerine kuruma ve avukatınıza sorun.

Düzeltme, güncel kaydı düzeltmek ve bunu dosyaya not etmek demektir. Veri bir üçüncü kişiye aktarılmışsa silme yönetmeliği, o üçüncü kişiye bildirim yapılmasını ister (Resmî Gazete, 28.10.2017, madde 11 ve 12); kapsamı avukatınızla netleştirin. Veri Sorumluları Sicili'ne kayıt yükümlüsü olan veri sorumluları, altı ayı geçmeyen periyodik imha aralıkları içeren bir saklama ve imha politikası hazırlar; böyle bir politika yükümlülüğü olmayanlar üç ay aralıklarla imha eder (Resmî Gazete, 28.10.2017, madde 5 ve 11). Belirli bir otelin sicile kayıt yükümlüsü olup olmadığı avukatınıza sorulacak bir sorudur. Açık bir uyuşmazlığın ya da ödenmemiş bir hesabın parçası olan bir kaydı silmeyin; yanıtta bunu, gerekçesi ve süresiyle birlikte açıkça söyleyin. Bildirim, açık rıza ve saklama sürelerinin bütün çerçevesi için otellerde KVKK yazısına bakın.

Yanıt mektubu nasıl yazılır?#

Misafirin istediklerini yansıtan, verisinin okunabilir bir kopyasını içeren ve kanıtlayabileceğiniz bir yoldan gönderilen, düz bir dille tek mektup.

Misafirin kendi sırasını izleyin. Üç şey istediyse üç şeyi yanıtlayın, her biri kendi kısa başlığı altında. Okunabilir bir kopya verin, veritabanı dökümü değil: konaklama tarihleri, kayıtlı iletişim bilgileri, hesap satırları, mesajlar ve her birinin hangi amaca hizmet ettiği. PMS ekranının ekran görüntüsü okunabilir bir kopya değildir. İç kod yok, kayıt türü numarası yok, misafir istemedikçe hukuki atıf yok. Otelin yapabildiği yerde misafirin dilinde yazın.

Mektup, veri sorumlusu olarak otelden gelir ve bir rolle imzalanır; örneğin veri koruma yetkilisi. Vardiyada tesadüfen bulunan resepsiyonistin adıyla değil. Yasal çerçeve: talebi en kısa sürede ve en geç otuz gün içinde, işlem ayrıca bir maliyet gerektirmedikçe ücretsiz olarak sonuçlandırmak (6698 sayılı Kanun, madde 11 ve 13, mevzuat.gov.tr birleşik metni (yeni sekmede açılır), 1 Kasım 2026). Bu pencerenin çok içinde bir iç hedef koyun ve takviminizi avukatınızla teyit edin. Silme talebi yerine getirildiğinde kişiye en geç otuz gün içinde bilgi verilir (Resmî Gazete, 28.10.2017, madde 12).

Talebin bir bölümü reddediliyorsa hangi bölüm olduğunu, nedenini ve misafirin buna nasıl itiraz edebileceğini yazın. Ret gerekçeleri ve ifade, misafire gitmeden önce avukattan geçer. Gönderimi, misafirin kullandığı kanaldan ve kayıtlı e-posta adresine yapın; gönderilen kopyayı tarihiyle dosyada tutun.

Avukatınızla ve muhasebecinizle neyi netleştirmelisiniz?#

Prosedürü yazmak size ait; süreleri, ret gerekçelerini, saklama sürelerini ve sicil yükümlülüklerini teyit etmek onlara. Soruları bir kez yazılı olarak sorun ve yanıtları prosedürle birlikte saklayın.

Yanıt takvimini ve bir talebin ne zaman "gelmiş" sayıldığını sorun; satış sitesi içinden ya da bir sosyal hesaptan gelen mesaj dahil. Talebin tamamını ya da bir bölümünü reddetme gerekçelerini, ret ifadesinin nasıl yazılacağını ve misafirin ardından hangi yola başvurabileceğini sorun. Mali beş yılın ötesindeki saklama sürelerini sorun; ticaret kanunu süreleri ve otelin kendi KBS kayıtlarının süresi dahil; ikisini de burada doğrulayamadık.

Otelin Veri Sorumluları Sicili'ne kayıt yükümlüsü olup olmadığını ve bunun gerektirdiği saklama ve imha politikası ile aralıkları sorun. Herhangi bir sistem misafir verisini Türkiye dışında tutuyorsa yurt dışına aktarımı sorun; yanıtı varsayımla değil sorarak alın ve misafire verinin nerede tutulduğuna dair söz vermeyin. İhlal bildirimi: kanun en kısa sürede bildirilmesini söyler; somut süre ve kapsam avukatınıza sorulacak bir sorudur, blog yazısına satır değil. Son olarak personel eğitimi ve yıllık gözden geçirme: prosedürün ilk sayfasında son gözden geçirme tarihi yer almalı ki eline alan herkes ne kadar güncel olduğunu bilsin. Yapay zekâ asistanları misafir verisine dokunuyorsa, yapay zekâ ve misafir verisi yazısındaki sorular da aynı e-postaya aittir.

Bu hafta yapılacak iş#

Tek sayfalık prosedürü bu hafta yazın: sorumluyu ve vekilini adlandırın, kayıt defterini açın, misafir verisi tutan her sistemi, arayabilecek kişinin adıyla listeleyin ve beş soruyu tek bir e-postayla avukata ve muhasebeciye gönderin. Parçalar bu sırayla yerine oturur: alım, kimlik, arama, karar, yanıt ve yalnızca danışmanlarınızın yanıtlayabileceği sorular.