Otel sadakat programı yalnız puan ve indirim tablosu değildir. Üyelik sırasında alınan telefon ve e-posta, rezervasyon geçmişi, konaklama tercihleri, harcama, kampanya kullanımı, şikâyet, aile veya şirket ilişkisi ve pazarlama izni tek bir misafir profiline bağlanabilir. Bu yapı iyi yönetilmezse üçüncü bir kişi yalnız telefon numarası söyleyerek başkasının puanını kazanabilir veya harcayabilir, yanlış konaklama başka profile yazılabilir, fatura ve teklif hatalı kişiye bağlanabilir ya da tek SMS koduyla üyelik, profil oluşturma ve reklam izni birlikte alınabilir. Kişisel Verileri Koruma Kurulunun 2026/266 sayılı sadakat kart İlke Kararı, üyelik oluşturma, puan kazanma, puan kullanma ve indirimden yararlanma gibi işlemlerde uygun doğrulama mekanizmalarını öne çıkarır. Karara uyum süresi 22 Temmuz 2026 tarihli 2026/1491 sayılı kararla 28 Şubat 2027'ye kadar uzatılmıştır. Bu tarih hazırlığı erteleme gerekçesi değil; PMS, CRM, POS, rezervasyon motoru ve İYS akışlarını birlikte düzeltmek için somut bir teslim tarihidir. Bu içerik hukuki danışmanlık değildir. Üyelik sözleşmesi, işleme şartı, açık rıza, profilleme, ticari elektronik ileti, grup şirketleri, yurt dışı aktarım ve saklama süreleri gerçek veri akışına göre uzmanlar tarafından değerlendirilmelidir.

What you will learn in this article
  • Telefon veya üyelik numarasını bilmenin tek başına yeterli olmadığı, işlem riskine göre SMS kodu, uygulama QR'ı veya başka uygun doğrulama kullanılan bir akış kurun.
  • Üyelik, sadakat verisi işleme, pazarlama profillemesi ve ticari elektronik ileti izinlerini tek kutu ya da tek SMS kodunda birleştirmeyin.
  • Puan kazanma, harcama, düzeltme, devir, süre dolumu ve profil birleştirme işlemlerini PMS, CRM ve POS arasında tutarlı bir denetim iziyle yönetin.

Sadakat veri akışını PMS, CRM, POS ve kanallar boyunca çıkarın

Önce programın gerçek veri haritasını oluşturun. Üyelik web sitesinde açılıp PMS'e aktarılıyor, restoranda telefon numarasıyla bulunuyor, mobil uygulamada QR kodla kullanılıyor ve kampanya listesi ayrı bir CRM'de tutuluyorsa tek işlem dört farklı sistemde kişisel veri üretir. Her sistem için veri sorumlusu ve veri işleyen rolleri, amaç, işleme şartı, veri kategorisi, alıcı, ülke, saklama süresi ve silme yöntemi gösterilmelidir.

Otel gruplarında aynı markanın farklı tüzel kişileri, franchise işletmeleri ve dış restoranları ortak programı kullanabilir. Misafirin bir tesise üye olması verisinin otomatik olarak bütün grup şirketlerine açılacağı anlamına gelmez. Üyelik ekranı ile sözleşme; programın işletmecisini, katılan tesisleri, puanın nerede geçerli olduğunu ve verinin kimlerle hangi amaçla paylaşılacağını açıkça göstermelidir.

  • Üyelik, rezervasyon, konaklama, POS, puan ve kampanya verisi sistem bazında haritalandı.
  • Her entegrasyonda amaç, hukuki sebep, alıcı, ülke ve saklama süresi belirlendi.
  • Grup şirketi, franchise, acente ve teknoloji sağlayıcısının rolü ayrı ayrı tanımlandı.
  • Puanın hangi tesis, kanal ve hizmetlerde geçerli olduğu üyelik koşullarında açıklandı.

Üyelik, puan kazanma ve puan harcamada uygun doğrulama kurun

2026/266 sayılı İlke Karar, sadakat kart sahibinin telefon veya kart numarasının üçüncü kişi tarafından söylenmesiyle doğrulamasız işlem yapılmasının hukuka aykırı veri işleme ve ihlal riski doğurabileceğini belirtir. Otelde aynı risk resepsiyon, restoran, spa, çağrı merkezi ve online rezervasyonda görülür. Numaranın sistemde bulunması, işlemi yapan kişinin hesap sahibi ya da onun bilgisi dahilinde hareket ettiğini kanıtlamaz.

Doğrulama riskle orantılı tasarlanmalıdır. Üyelik açılışı, düşük tutarlı puan kazanımı, yüksek değerli puan harcama, ücretsiz gece kullanımı, iletişim bilgisi değişikliği ve profil birleştirme aynı güven seviyesinde değildir. Tek kullanımlık kod, uygulama içi onay, dinamik QR, hesap oturumu veya kontrollü resepsiyon doğrulaması gibi alternatifler; teknolojiye erişimi sınırlı kişiler de düşünülerek sunulabilir. Karardaki güncel uyum tarihi 28 Şubat 2027'dir.

  • Telefon veya üyelik numarası tek başına işlem yetkisi sayılmıyor.
  • Puan kazanma, harcama, profil değişikliği ve ücretsiz gece için ayrı risk seviyeleri var.
  • SMS, uygulama, QR ve erişilebilir alternatif doğrulama yöntemleri senaryoya göre seçiliyor.
  • Başarısız deneme, kod yeniden gönderme ve şüpheli kullanım sınırları teknik olarak uygulanıyor.

Tek SMS koduyla üyelik ve pazarlama izni almayın

Doğrulama kodunun amacı misafire gönderilmeden önce açıkça anlatılmalıdır. Kurulun 2025/1072 sayılı İlke Kararı; ödeme, kayıt, üyelik veya teklif sürecinde gönderilen kodun aynı anda üyelik sözleşmesi, kişisel veri izni ve ticari elektronik ileti onayı için kullanılmasına yönelik uygulamalara son verilmesini ister. Kod rezervasyonu tamamlamak için zorunlu görünürken reklam izni de doğuruyorsa misafirin iradesi yanıltılmış olur.

Akışı parçalara ayırın: önce gerekli üyelik veya işlem doğrulaması, sonra sadakat programına özgü aydınlatma, gerekiyorsa belirli veri işleme faaliyeti için ayrı açık rıza ve en son isteğe bağlı ticari ileti tercihleri. 2026/347 sayılı İlke Karar da aydınlatma ile açık rıza metinlerinin ayrı düzenlenmesi gerektiğini vurgular. Pazarlama izni vermeyen kişi rezervasyonunu tamamlayabilmeli ve programın pazarlama dışındaki geçerli işlevlerinden üyelik koşullarına göre yararlanabilmelidir.

  • SMS içinde kodun yalnız hangi işlem için olduğu anlaşılır biçimde yazıyor.
  • Üyelik onayı, aydınlatma, açık rıza ve ticari ileti izni ayrı adımlarda sunuluyor.
  • Pazarlama izni varsayılan seçili gelmiyor ve hizmetin zorunlu koşulu yapılmıyor.
  • Her tercih için metin sürümü, kanal, zaman ve ispat kaydı tutuluyor.

Profil doğruluğunu ve mükerrer hesapları işlem anında yönetin

Başkasının numarasıyla yapılan konaklama veya harcama, yanlış kişinin profiline oda tercihi, fatura, satın alma ve seyahat geçmişi ekleyebilir. İlke Karar bu durumu KVKK'daki doğru ve gerektiğinde güncel olma ilkesi bakımından da değerlendirir. Yanlış kayıt yalnız puan bakiyesini değil, kişiselleştirilmiş teklifleri, statüyü, risk analizini ve misafire gösterilen geçmişi bozabilir.

PMS eşleştirmesi yalnız telefon numarasına dayanmamalıdır. Ad-soyad, doğrulanmış iletişim adresi, üyelik kimliği ve gerektiğinde ek göstergeler kontrollü biçimde kullanılmalı; benzer kayıtlar otomatik birleştirilmemelidir. Profil birleştirme, ayırma, puan taşıma ve yanlış işlemi düzeltme için yetkili rol, çift kontrol ve geri alınabilir işlem kaydı bulunmalıdır.

  • Telefon numarası tek başına misafir profili eşleştirme anahtarı yapılmadı.
  • Mükerrer profil adayları otomatik birleşmeden önce yetkili çalışan tarafından inceleniyor.
  • Puan düzeltme ve profil birleştirme işlemleri gerekçe, önceki değer ve onayla loglanıyor.
  • Misafirin yanlış işlem itirazı için hızlı düzeltme ve bakiye dondurma akışı bulunuyor.

Puan defterini finansal kayıt ciddiyetiyle yönetin

Sadakat bakiyesi yalnız ekrandaki tek sayı olmamalıdır. Her hareket; kazanım, kullanım, iade, iptal, süre dolumu, kampanya bonusu, manuel düzeltme veya devir türüyle ayrı kayıt üretmelidir. Kaydın bağlı olduğu rezervasyon, folyo, POS belgesi, tesis, para birimi, kampanya ve kural sürümü görülebilmelidir. Böylece iptal edilen konaklamanın puanı geri alınabilir, iade edilen harcama doğru bakiyeye yansır ve çalışan müdahalesi denetlenebilir.

Kurallar geriye dönük sessizce değiştirilmemelidir. Kazanım oranı, statü eşiği, puan geçerlilik süresi veya kullanım kısıtı değiştiğinde yürürlük tarihi ve etkilenen işlemler belirlenmelidir. Negatif bakiye, aynı belgeden iki kez puan, eş zamanlı harcama ve çevrimdışı POS senaryoları test edilmelidir. Yüksek değerli manuel düzeltmeler için ikinci onay ve günlük istisna raporu kullanılmalıdır.

  • Her puan hareketi değiştirilemez işlem kimliği ve kaynak belgeyle ilişkilendiriliyor.
  • İptal, no-show, iade ve erken çıkış puan kuralları PMS ve POS'ta aynı çalışıyor.
  • Kural değişiklikleri sürümleniyor; eski işlemler kendi kural sürümüyle açıklanabiliyor.
  • Manuel düzeltme, yüksek tutarlı kullanım ve eş zamanlı işlem için kontrol bulunuyor.

Sadakat üyeliği ile ticari ileti izinlerini ayrı yaşam döngülerinde tutun

Bir misafir sadakat üyesi kalırken SMS kampanyasını reddedebilir; üyelikten ayrılırken yasal veya sözleşmesel nedenle tutulması gereken bazı işlem kayıtları hemen silinmeyebilir. Bu nedenle üyelik durumu, KVKK kapsamındaki veri işleme tercihleri ve İYS'deki arama, mesaj ve e-posta izinleri tek bir açık-kapalı alanla yönetilmemelidir.

Ticari elektronik ileti göndermeden önce ilgili kanal ve marka için güncel İYS durumu kontrol edilmelidir. İYS, KVKK kapsamındaki bütün işleme şartlarının yerine geçtiği bir sistem değildir; sadakat profili ve kişiselleştirme ayrıca değerlendirilir. Ret talebi PMS, CRM, kampanya aracı ve dış ajansa gecikmeden yayılmalı; zorunlu rezervasyon bilgilendirmesi ile reklam iletisi içerik ve gönderim amacı bakımından ayrılmalıdır.

  • Üyelik, profilleme ve arama-SMS-e-posta izinleri ayrı alanlarda tutuluyor.
  • Kampanya gönderiminden önce marka ve kanal bazında güncel İYS durumu sorgulanıyor.
  • Ret değişikliği PMS, CRM, kampanya aracı ve dış hizmet sağlayıcıya senkronize ediliyor.
  • Rezervasyon bildirimi ile pazarlama mesajı ayrı şablon ve amaç koduyla gönderiliyor.

Yetki, saklama, silme ve olay müdahalesini programa dahil edin

Resepsiyon çalışanı misafirin güncel statüsünü ve işlem için gerekli bakiyeyi görebilir; ancak bütün konaklama ve kampanya geçmişini dışa aktarmaya ihtiyacı olmayabilir. Puan görüntüleme, puan harcama, manuel düzeltme, profil birleştirme, iletişim bilgisi değiştirme, liste dışa aktarma ve kural yönetimi ayrı yetkilere bölünmelidir. Kritik işlemler çok faktörlü kimlik doğrulama ve denetim loguyla korunmalıdır.

Üyelik sona erdiğinde her veri otomatik olarak aynı anda silinmez; fakat her kategori için amaç ve gerekçeli azami süre bulunmalıdır. Pazarlama segmenti, doğrulama logu, puan hareketi, rezervasyon kaydı ve rıza ispatı kendi süresine göre yönetilir. Hesap ele geçirme, toplu puan kullanımı veya yanlış profile işlem halinde bakiye dondurma, erişim iptali, etkilenen kayıtları belirleme, misafiri bilgilendirme ve olası veri ihlalini değerlendirme adımları önceden test edilmelidir.

  • Görüntüleme, harcama, düzeltme, birleştirme ve dışa aktarma yetkileri ayrıldı.
  • Puan hareketi, izin ispatı ve pazarlama profili için ayrı saklama kuralları tanımlandı.
  • Hesap kapatma ve silme talebi bütün bağlı sistemlere kontrollü iş olarak dağıtılıyor.
  • Hesap ele geçirme ve toplu puan suistimali senaryosu düzenli tatbik ediliyor.
Short answers

FAQ

Otelde puan kazanmak için telefon numarası söylemek yeterli mi?

Hayır. Telefon veya üyelik numarasını bilmek işlemi yapan kişinin hesap sahibi olduğunu göstermez. Üyelik oluşturma, puan kazanma, puan harcama ve indirim kullanma işlemleri riskine uygun bir doğrulama mekanizmasıyla yapılmalıdır.

Sadakat programına üye olan misafire kampanya SMS'i gönderilebilir mi?

Üyelik tek başına her kanaldan pazarlama izni anlamına gelmez. Ticari elektronik ileti için marka ve kanal bazındaki güncel onay ile İYS durumu kontrol edilmeli; misafire kolay ret imkânı sunulmalıdır. KVKK kapsamındaki işleme şartları ayrıca değerlendirilir.

2026 sadakat kart İlke Kararı için son uyum tarihi nedir?

Kişisel Verileri Koruma Kurulunun 22 Temmuz 2026 tarihli ve 2026/1491 sayılı kararıyla uyum süresi 28 Şubat 2027 tarihine kadar uzatılmıştır. Otellerin bu tarihten önce doğrulama, veri doğruluğu ve güvenlik akışlarını gerçek sistemlerde test ederek devreye alması gerekir.

Sources and updates

Bu içerik hukuki danışmanlık değildir. Üyelik sözleşmesi, işleme şartı, açık rıza, doğrulama yöntemi, profilleme, ticari elektronik ileti, grup şirketleri, yurt dışı aktarım ve saklama süreleri güncel mevzuat ile gerçek veri akışına göre uzmanlar tarafından değerlendirilmelidir. Kaynaklar 13 Kasım 2026 tarihinde kontrol edilmiştir.