Konaklama İşletmesinde KVKK Uyumu Adım Adım

KVKK (Kişisel Verilerin Korunması Kanunu, 6698 sayılı), 2016'da yürürlüğe girdi. Konaklama tesisleri her gün yüzlerce misafirin kimlik, iletişim, ödeme verilerini işler — KVKK uyumu opsiyonel değil. Bu rehberde küçük otel için pratik KVKK uyum adımlarını anlatıyoruz.

Adım 1: Hangi verileri işliyorsunuz?

• Kimlik: TC kimlik, pasaport, doğum tarihi (KBS için)
• İletişim: e-posta, telefon, adres
• Ödeme: kredi kartı, IBAN (kapora için)
• Konaklama: tercihler, oda no, tarihler
• Pazarlama: e-posta listesi, sosyal medya etkileşim
• CCTV: kamera kayıtları (varsa)

Adım 2: Aydınlatma metni hazırlayın

Her misafire kayıt sırasında "aydınlatma metni" sunun. Metin: hangi verileri topladığınız, hangi amaçla, ne kadar süre sakladığınız, hangi 3. taraflara aktardığınız (KBS, e-Fatura sağlayıcısı, vb.).

Adım 3: Açık rıza alın (gerektiğinde)

Pazarlama amaçlı e-posta için açık rıza şart. Kayıt için yasal sebep (sözleşme) yeterli, ama "doğum günü mailleri" için ayrı rıza.

Adım 4: Veri saklama sürelerini belirleyin

• Mali kayıtlar (faturalar): 5 yıl (Vergi Usul Kanunu)
• Kimlik kayıtları: KBS bildirim sonrası ihtiyaca göre
• Pazarlama listesi: rıza süresince
• CCTV: 30 gün (özel sebep yoksa)
• Süre dolunca anonimleştir veya sil

Adım 5: VERBİS kayıt (eşik üstünde)

Yıllık brüt geliri 100 milyon TL üzeri veya çalışan sayısı 50+ olan tesisler VERBİS'e kayıt olmak zorunda. Küçük otel genelde dışında ama büyüdükçe kayıt şart.

Adım 6: Misafir hakları ile mücadele edin

• Misafir verilerinin bir kopyasını isteyebilir → 30 günde verin
• Veri silme talebi → 30 günde silin (mali kayıt hariç)
• Veri düzeltme → derhal yapın
• Verilerin başka 3. tarafa aktarılmaması talebi → uyun

Adım 7: Veri ihlali bildirim hazırlığı

PMS hacklendi, e-posta yanlışlıkla başka kişiye gönderildi, çalışan verileri sızdırdı → 72 saat içinde KVK Kurumu'na bildirim. Misafirlere de mümkün olduğunca hızlı.

Kuvve.app KVKK uyumu

Kuvve.app KVKK uyumlu tasarlandı: aydınlatma metni Booking Engine'de, soft delete + 30 gün geri al, anonimleştirme cron'u, mali kayıt 5 yıl saklama. Tüm veri TR'de barındırılır.