Otelin ana sitesinde yalnızca oda fotoğrafları ve iletişim formu görünse bile arka planda rezervasyon motoru, analiz aracı, reklam pikseli, sohbet uygulaması, video oynatıcı ve etiket yöneticisi çalışabilir. Bu bileşenlerin tarayıcıya bıraktığı çerezler veya benzer tanımlayıcılar, ziyaretçi tercih vermeden veri göndermeye başlarsa iyi hazırlanmış bir çerez metni tek başına yeterli olmaz. Sağlıklı çerez yönetimi; kullanılan teknolojileri envantere alır, her birinin amacını ve hukuki dayanağını ayrı değerlendirir, gerekli olmayanları seçimden önce devre dışı tutar, kabul ve reddi eşit kolaylıkta sunar, verilen tercihi kanıtlanabilir biçimde uygular ve tedarikçi değişikliklerini düzenli olarak yeniden test eder. Bu rehber hukuki görüş yerine uygulanabilir bir operasyon ve teknik kontrol çerçevesi sunar; somut yapı, veri akışı ve hedef pazarlar hukuk uzmanıyla ayrıca değerlendirilmelidir.

What you will learn in this article
  • The cookie inventory should cover not only the main domain but also the booking engine, payment handoff, chat, video, analytics, advertising and tag-management components.
  • Non-essential cookies should remain disabled until a choice is made, while Accept, Reject and Preferences should be presented with balanced visibility and ease of use.
  • Before release, network traffic and cookie storage should be tested in a clean browser; preference changes, withdrawal, mobile layouts and vendor updates should follow the same control plan.

Build an end-to-end inventory of cookies and tracking technologies

Envanter çalışmasına yalnız tarayıcının çerez listesine bakarak başlamayın. Ana web sitesi, alt alan adındaki rezervasyon motoru, harici ödeme sayfası, üyelik, online check-in, çağrı merkezi formu ve kampanya açılış sayfalarını tek yolculuk olarak haritalayın. Çerezlerin yanında localStorage, sessionStorage, pikseller, görünmez istekler, cihaz tanımlayıcıları ve sunucu tarafı etiketlemeyi de inceleyin. Her kayıt için ad, sağlayıcı, alan adı, ilk veya üçüncü taraf niteliği, amaç, saklama süresi, tetiklendiği ekran, gönderilen veri, alıcı ve sorumlu ekip tutulmalıdır.

Envanter gerçek kullanım senaryolarıyla doğrulanmalıdır. İlk ziyaret, dil değişimi, tarih arama, oda seçimi, kampanya kodu, form hatası, ödeme sağlayıcısına geçiş, rezervasyon onayı ve yeniden pazarlama bağlantısından dönüş ayrı ayrı çalıştırılmalıdır. Etiket yöneticisindeki tanım ile tarayıcıda görülen sonuç farklı olabilir; otomatik tarama bu nedenle manuel ağ incelemesiyle tamamlanmalıdır. Bilinmeyen bir alan adına giden istek açıklığa kavuşmadan 'zorunlu' kabul edilmemeli, kaldırılmalı veya yayın dışı bırakılmalıdır.

  • Ana site, rezervasyon motoru, ödeme ve online check-in aynı veri akışında haritalandı.
  • Çerez dışındaki depolama, piksel ve sunucu tarafı izleme yöntemleri envantere eklendi.
  • Her teknoloji için amaç, süre, sağlayıcı, alıcı ve sorumlu ekip kaydedildi.
  • Envanter etiket yöneticisi kaydıyla değil gerçek tarayıcı trafiğiyle doğrulandı.

Classify each cookie by purpose and genuine necessity

Bir çerezin teknik ekip tarafından yararlı bulunması onu otomatik olarak kesin gerekli yapmaz. KVKK Çerez Uygulamaları Hakkında Rehber, haberleşmenin yalnızca elektronik iletişim şebekesi üzerinden sağlanması veya kullanıcının açıkça talep ettiği bilgi toplumu hizmetinin sunulması için kesin gerekli olma ölçütlerini açıklar. Sepetteki oda seçimini oturum boyunca korumak ya da güvenli işlem akışını sürdürmek bu çerçevede değerlendirilebilir; davranışsal reklam, yeniden pazarlama veya sırf raporlama kolaylığı aynı şekilde etiketlenmemelidir.

Her amaç için uygulanabilir kişisel veri işleme şartı ayrıca belirlenmelidir. Kurulun çerez kararları, somut olayda başka bir işleme şartı bulunmadığında reklam, pazarlama ve performans amaçlı gerekli olmayan çerezlerin açık rıza mekanizmasıyla yönetilmesini; opt-in yaklaşımında bunların başlangıçta kapalı olmasını vurgular. 'Analitik', 'işlevsel' veya 'kişiselleştirme' etiketi tek başına hukuki sonuç doğurmaz. Aracın yapılandırması, topladığı veri, alıcı, süre ve kullanım amacı birlikte incelenmeli; sınıflandırma kararı gerekçesi ve onay tarihiyle kayıt altına alınmalıdır.

  • Kesin gerekli tanımı hizmetin gerçek teknik ihtiyacına göre dar yorumlandı.
  • Reklam, performans ve kişiselleştirme araçları ayrı amaçlar olarak değerlendirildi.
  • Her kategori için işleme şartı ve gerekçe hukuk-teknik ekiplerce belgelendi.
  • Araç adı yerine fiilî yapılandırma, veri, alıcı ve kullanım amacı incelendi.

Design balanced accept, reject and preference choices

Rıza, ziyaretçinin siteye girmesi, sayfayı kaydırması veya çarpı işaretiyle paneli kapatması üzerinden varsayılmamalıdır. KVKK rehberi aktif olumlu hareket, belirli konu, bilgilendirme ve özgür irade unsurlarını öne çıkarır; EDPB de önceden işaretli kutuların ve yalnız kaydırma hareketinin açık olumlu eylem olmadığını belirtir. İlk katmanda Kabul Et, Reddet ve Tercihler seçeneklerini renk, boyut, yazı ve erişim bakımından dengeli gösterin. Ret seçeneğini yalnız ikinci ekrana saklamak veya kabulü parlak, reddi belirsiz yapmak kullanıcı seçimini yönlendiren bir tasarıma dönüşebilir.

Tercih ekranında gerekli olmayan kategoriler başlangıçta kapalı olmalı; amaçlar anlaşılır dille ayrılmalı ve kullanıcı yalnız istediği kategoriyi seçebilmelidir. Aydınlatma metni ile açık rıza beyanı aynı şey değildir; uzun gizlilik metnine gömülü genel onay kutusu kullanılmamalıdır. Panel klavye ve ekran okuyucuyla çalışmalı, mobilde içerik veya düğmeler kesilmemeli, seçimin sonucu hemen görünmelidir. Çerez duvarı ya da hizmete erişimi rızaya bağlayan yöntemler özgür iradeyi zedeleyebileceğinden somut hizmet için ayrıca değerlendirilmelidir.

  • Kabul Et, Reddet ve Tercihler aynı katmanda ve dengeli görünürlükte sunuldu.
  • Gerekli olmayan bütün kategoriler varsayılan olarak kapalı bırakıldı.
  • Aydınlatma ve rıza ayrı, sade ve amaca özgü akışlar olarak tasarlandı.
  • Panel mobil, klavye, ekran okuyucu ve büyütme kullanımında test edildi.

Technically block non-essential tags before a choice

Panelde 'reddedildi' yazması tek başına yeterli değildir; gerekli olmayan kodlar seçimden önce gerçekten çalışmamalıdır. Rıza yönetimi bileşeni sayfadaki analiz, reklam, sohbet ve video etiketlerinden önce başlatılmalı; başlangıç durumu ret olarak tanımlanmalı ve yalnız seçilen kategoriler etkinleştirilmelidir. Etiket yöneticisi tetikleyicileri, HTML içine doğrudan eklenmiş betikler, iframe'ler ve eklentiler aynı kuralı izlemelidir. Aksi halde kullanıcı Reddet'e bassa bile ilk sayfa yüklenirken veri çoktan üçüncü tarafa gönderilmiş olabilir.

Google'ın Consent Mode belgeleri, varsayılan rıza durumunun veri gönderen etiketlerden önce ayarlanmasını ve kullanıcı etkileşiminden sonra güncellenmesini ister; tercih kaydını saklama sorumluluğunun uygulamada olduğunu da açıklar. Bu mekanizma rıza alma veya hukuki değerlendirme yerine geçmez. Otel, kullanılan modun hangi istekleri tamamen engellediğini veya çerezsiz ölçüm ürettiğini teknik ve hukuki ekiplerle doğrulamalıdır. Alt alan adları ve rezervasyon motoru arasında tercih aktarılıyorsa kapsam, güvenlik, süre ve alan adı davranışı ayrıca test edilmelidir.

  • Varsayılan tercih gerekli olmayan bütün kategoriler için ret olarak kuruldu.
  • Rıza bileşeni veri gönderen etiketlerden önce çalıştırıldı.
  • Doğrudan betik, iframe, eklenti ve etiket yöneticisi aynı kurala bağlandı.
  • Ana site ile rezervasyon motoru arasındaki tercih aktarımı ayrı test edildi.

Clarify booking-engine and third-party responsibilities

Rezervasyon motorunun başka firmaya ait olması çerezleri görünmez kılmaz. Alt alan adı, yeni sekme veya iframe kullanımında hangi tarafın hangi tanımlayıcıyı yerleştirdiği, veriyi hangi amaçla işlediği ve kimlerle paylaştığı sözleşme ile teknik envanterde eşleşmelidir. KVKK Kurulunun 2023/1645 sayılı kararı, üçüncü taraf çerezlerinde somut olaya göre site sahibi ve üçüncü tarafın aydınlatma ve rıza yükümlülüklerinin gündeme gelebileceğini belirtir. 'Tedarikçi yönetiyor' ifadesi tek başına sorumluluk haritası değildir.

Yurt dışındaki analiz, reklam, rezervasyon veya destek sağlayıcısına kişisel veri aktarımı varsa çerez seçimi dışında ayrıca güncel KVKK 9. madde aktarım rejimi değerlendirilmelidir. Açık rıza paneli, aktarım yükümlülüğünün otomatik olarak tamamlandığı anlamına gelmez. Sağlayıcı listesi, alt işleyenler, veri merkezi, aktarım yöntemi, saklama süresi, silme desteği, güvenlik tedbirleri ve sözleşme değişiklik bildirimleri tedarikçi dosyasında tutulmalıdır. Yeni SDK veya eklenti canlıya alınmadan önce gizlilik, güvenlik ve çerez kabul kontrolünden geçmelidir.

  • Otel ve tedarikçi rolleri gerçek veri akışı ve sözleşmeyle eşleştirildi.
  • Alt alan adı, iframe ve yönlendirme senaryolarında çerezi koyan taraf belirlendi.
  • Yurt dışı aktarım güncel KVKK kuralları kapsamında ayrı değerlendirildi.
  • Yeni tedarikçi ve SDK'lar yayın öncesi gizlilik-güvenlik kontrolüne bağlandı.

Record the choice and make changes and withdrawal easy

Rıza kaydı gereğinden fazla kişisel veri toplamadan seçimin ne zaman ve hangi metin üzerinden yapıldığını gösterebilmelidir. Pseudonim tercih kimliği, zaman damgası, panel ve politika sürümü, dil, seçilen kategoriler ve tercih kaynağı asgari kanıt seti olarak değerlendirilebilir. Ham IP adresi veya yeni bir reklam tanımlayıcısı sırf rızayı kanıtlamak için gereksiz yere saklanmamalıdır. Kayıtların saklama süresi, erişim yetkisi, bütünlüğü ve silme yöntemi kurumun veri saklama politikasıyla uyumlu olmalıdır.

Kullanıcı tercihini her sayfadan erişilebilir bir 'Çerez tercihleri' bağlantısıyla değiştirebilmeli ve rızayı vermek kadar kolay geri alabilmelidir. Geri alma gelecekteki gerekli olmayan işlemleri durdurmalı; tarayıcıdaki ilgili tanımlayıcıların silinmesi ve daha önce toplanmış verinin akıbeti kullanılan araç ve hukuki gerekliliklere göre ayrıca ele alınmalıdır. Paneli her ziyarette tekrar göstermek yerine tercihin makul bir süre hatırlanması mümkündür; araç, amaç, süre veya metin değiştiğinde yeniden değerlendirme ve gerekirse yeni tercih alınması gerekir.

  • Tercih zamanı, sürümü, dili ve kategori seçimi ölçülü bir kayıtla kanıtlandı.
  • Rıza kaydı için yeni ve gereksiz izleme verisi üretilmedi.
  • Çerez tercihleri bağlantısı her sayfadan kolay erişilebilir hale getirildi.
  • Geri alma, tanımlayıcı silme ve önceki verilerin akıbeti ayrı kurallara bağlandı.

Match the cookie policy to the live technology inventory

Çerez politikası kopyalanmış genel bir metin değil, canlı envanterin okunabilir karşılığı olmalıdır. Her çerez veya teknoloji için ad, sağlayıcı, amaç, kategori, süre, ilk/üçüncü taraf niteliği ve varsa veri alıcısı açıkça gösterilmelidir. 'Deneyimi iyileştirmek' gibi belirsiz açıklamalar yerine ölçümün veya kişiselleştirmenin ne yaptığı anlatılmalıdır. KVKK rehberi çerezin adı, amacı, süresi ve birinci ya da üçüncü taraf olup olmadığı gibi bilgilerin aydınlatmada yer almasını iyi uygulama olarak ele alır.

Politika tarihi ve sürümü görünür olmalı; çerez panelindeki kategori adları, etiket yöneticisindeki kurallar ve metindeki tablo aynı sözlüğü kullanmalıdır. Türkçe ile diğer diller arasında amaç ve kapsam farkı oluşmamalıdır. Üçüncü taraf politika bağlantıları yardımcı olabilir fakat otelin kendi açıklamasının yerini tutmaz. İletişim kanalı, veri sahibi başvuru yolu ve ilgili genel aydınlatma metni kolay bulunmalıdır. Envanterde olup politikada olmayan ya da politikada yazdığı halde tarayıcıda bulunmayan kayıtlar yayın öncesi uyuşmazlık olarak kapatılmalıdır.

  • Politikadaki tablo canlı envanterdeki ad, sağlayıcı, amaç ve süreyle eşleştirildi.
  • Belirsiz fayda cümleleri yerine her teknolojinin yaptığı işlem açıklandı.
  • Panel, etiket yöneticisi ve politika aynı kategori sözlüğünü kullandı.
  • Tarih, sürüm, iletişim ve veri sahibi başvuru yolları görünür hale getirildi.

Run clean-browser testing and change management continuously

Yayın kontrolü temiz profil veya gizli pencerede, önbellek ve depolama boşken başlamalıdır. İlk yüklemede hangi çerezlerin yazıldığı ve hangi alan adlarına istek gittiği kaydedilmeli; hiçbir seçim, yalnız ret, yalnız analiz, yalnız pazarlama ve tümünü kabul senaryoları ayrı çalıştırılmalıdır. Google Tag Assistant gibi araçlar varsayılan rıza durumunun etiketlerden önce kurulup kurulmadığını ve hangi etiketlerin çalıştığını incelemeye yardım eder; ağ paneli ve tarayıcı deposu yine de temel kanıttır. Seçim sayfa yenileme, geri dönüş ve rezervasyon motoruna geçişte korunmalı; tercih değişince davranış hemen güncellenmelidir.

Kontrol yalnız masaüstü Chrome ile bitmemelidir. Mobil Safari, Android tarayıcıları, reklam engelleyici, izleme koruması, yavaş bağlantı, dil değişimi ve erişilebilirlik senaryoları örnekleme alınmalıdır. Her hata için sayfa, zaman, tercih, beklenen-gerçek sonuç, alan adı, ekran ve ağ kanıtı tutulmalıdır. Tedarikçi sürümü, yeni kampanya etiketi, tema değişikliği veya rezervasyon motoru güncellemesi kritik testi yeniden tetiklemelidir. Periyodik tarama yeni ve süresi değişen çerezleri yakalamalı; sahip, hedef tarih, düzeltme ve tekrar test sonucu kayıt altına alınmalıdır.

  • İlk yükleme, ret, kategori bazlı kabul ve tümünü kabul ayrı ayrı sınandı.
  • Ağ istekleri, tarayıcı depolaması ve etiket durumu birlikte doğrulandı.
  • Mobil, dil, izleme koruması ve rezervasyon motoruna geçiş test edildi.
  • Tedarikçi ve etiket değişiklikleri otomatik yeniden kontrol sürecine bağlandı.
Short answers

FAQ

Do analytics cookies on a hotel website always require explicit consent?

The answer depends on the tool's configuration, the data collected, its purpose and the applicable processing condition. KVKK guidance and Board decisions emphasize explicit consent for non-essential performance or analytics cookies when no other processing condition applies. Legal and technical teams should assess the specific setup together.

Does continuing to use the site count as cookie consent?

No. Entering the site, scrolling the page or closing the panel is not by itself an active and specific affirmative act of consent. Non-essential categories should start disabled, and users should be able to make a purpose-specific choice through a clear action.

If another company provides the booking engine, is only that vendor responsible for its cookies?

No. Roles must be assessed against the actual data flow. The hotel should inventory which component places each cookie, define responsibilities in the contract and test that the user's choice works end to end. Depending on the facts, both the site owner and the third party may have notice and consent obligations.

Sources and updates

Implementation recommendations should be adapted to the property's data flows and technologies. Information on cookies, consent and transfers was checked against the official documents below on October 9, 2026.