Bir otelde yurt dışına veri aktarımı yalnız yabancı bir şirkete Excel göndermek değildir. Bulut PMS, kanal yöneticisi, OTA, rezervasyon motoru, e-posta, çağrı merkezi, analiz aracı, uzaktan destek, yedekleme ve grup şirketi sistemleri misafir veya çalışan verisini Türkiye dışındaki bir alıcıya ya da altyapıya açabilir. 6698 sayılı Kanun'un 9. maddesinde 2024'te yürürlüğe giren değişiklik ve 10 Temmuz 2024 tarihli Yönetmelik, aktarımı yeterlilik kararı, uygun güvenceler ve yalnız arızi durumlar için istisnai aktarım şeklinde kademeli bir yapıya bağladı. Kişisel Verileri Koruma Kurumu ayrıca dört aktarım senaryosu için standart sözleşmeler yayımladı ve imzalanan standart sözleşmenin beş iş günü içinde Kuruma bildirilmesini öngördü. Bu nedenle otelin çözümü her forma genel bir açık rıza kutusu eklemek değil; gerçek veri akışını, tarafların rolünü, aktarımın sürekliliğini ve kullanılacak hukuki mekanizmayı işlem bazında doğrulamaktır. Bu içerik hukuki danışmanlık değildir. Aktarım kararı, sözleşme tipi, veri sorumlusu-veri işleyen rolleri ve bildirim belgeleri güncel mevzuat ile kişisel veri hukuku uzmanı tarafından tesis özelinde değerlendirilmelidir.

What you will learn in this article
  • Tedarikçi listesinden önce veri akışı haritası çıkarın; veri kategorisi, amaç, alıcı, ülke, alt işleyen, saklama yeri ve uzaktan erişimi aynı kayıtta gösterin.
  • Düzenli bulut veya destek akışını arızi aktarım gibi değerlendirmeyin; Kanun'daki kademeli aktarım yapısına göre yeterlilik ve uygun güvence seçeneklerini doğrulayın.
  • Standart sözleşmede doğru taraf rolünü seçin, zorunlu metni değiştirmeyin ve imzaların tamamlanmasından itibaren beş iş günlük bildirim süresini takvime bağlayın.

Yurt dışına çıkan veriyi sistem adıyla değil akışla bulun

'PMS Türkiye'de çalışıyor' veya 'tedarikçinin Türkiye ofisi var' ifadeleri tek başına aktarım değerlendirmesini bitirmez. Rezervasyonun hangi sunucuda işlendiği, yedeklerin nerede tutulduğu, destek ekibinin hangi ülkeden eriştiği, hata kayıtlarına hangi alanların yazıldığı ve alt işleyenlerin kim olduğu birlikte incelenmelidir. OTA üzerinden gelen rezervasyon, grup merkeziyle paylaşılan doluluk listesi veya yabancı destek ekibinin ekran paylaşımı farklı veri akışları oluşturabilir.

Her akış için kaynak sistem, veri kategorisi, ilgili kişi grubu, işleme ve aktarım amacı, alıcı, alıcının rolü, ülke, sıklık, saklama süresi, alt işleyenler ve teknik bağlantı kaydedilmelidir. Pasaport, kimlik numarası, iletişim, konaklama, ödeme belirteci, özel talep, sağlık veya erişilebilirlik notu gibi alanlar tek bir 'misafir verisi' etiketi altında saklanmamalıdır. Envanterde veri yok denilen entegrasyon, örnek ağ kaydı ve sözleşme ekiyle doğrulanmalıdır.

  • PMS, OTA, e-posta, analiz, yedekleme ve uzaktan destek akışları listelendi.
  • Verinin işlendiği, yedeklendiği ve uzaktan erişildiği ülkeler ayrı yazıldı.
  • Alt işleyenler ile son alıcılar sözleşme ve teknik kayıtla doğrulandı.
  • Özel nitelikli veya yüksek riskli alanlar genel misafir verisinden ayrıldı.

Veri sorumlusu ve veri işleyen rollerini aktarım bazında belirleyin

Otel çoğu konaklama sürecinde amaç ve araçları belirlediği için veri sorumlusu olabilir; PMS veya bulut sağlayıcısı ise otelin talimatıyla hareket eden veri işleyen rolünde bulunabilir. Ancak OTA'nın kendi amaçları, grup şirketi raporlaması veya tedarikçinin bağımsız ürün analitiği gibi faaliyetlerde roller farklılaşabilir. Şirket unvanına bakarak bütün ilişkiler için tek rol yazmak, yanlış standart sözleşme tipinin seçilmesine yol açabilir.

Kurul dört standart sözleşme yayımlar: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Her akışta Türkiye'deki veri aktaran ile yurt dışındaki veri alıcısının fiilî rolü, talimat ilişkisi, kendi amaçları ve alt işleyen kullanımı incelenmelidir. Veri işleme sözleşmesi ile yurt dışı aktarım mekanizması birbirini tamamlayabilir; biri diğerinin yerine geçmez.

  • Her aktarımda veri aktaran ve veri alıcısının rolü ayrı belirlendi.
  • Tedarikçinin bağımsız amaçları ve ürün analitiği kapsam dışında bırakılmadı.
  • Seçilen standart sözleşme tipi fiilî rol dağılımıyla eşleştirildi.
  • Alt işleyen atama ve değişiklik bildirim şartları sözleşmede kontrol edildi.

Kanun'daki kademeli aktarım sırasını işlem bazında uygulayın

KVKK'nın güncel rehberi, yurt dışına aktarımı üç kademede açıklar. İlk kademede Kanun'un 5 veya 6. maddesindeki işleme şartlarından biri ve aktarım yapılacak ülke, sektör ya da uluslararası kuruluş için Kurulun yeterlilik kararı bulunmalıdır. Yeterlilik kararı yoksa ikinci kademede uygun güvenceler değerlendirilir. Bunlar, şartlarına göre kamu kurumları arası anlaşma ve Kurul izni, bağlayıcı şirket kuralları, standart sözleşme veya Kurulca onaylanmış taahhütname olabilir.

Yeterlilik kararı ve uygun güvence yoksa istisnai aktarım seçenekleri ancak aktarım arızi ise gündeme gelir. Yönetmelik; düzenli olmayan, tek veya birkaç kez gerçekleşen, süreklilik taşımayan ve olağan faaliyet akışı içinde bulunmayan aktarımları arızi olarak tanımlar. Sürekli çalışan bulut PMS, günlük OTA senkronizasyonu veya devamlı yabancı destek erişimi bu nedenle otomatik olarak arızi kabul edilmemelidir.

  • Her aktarım için 5 veya 6. madde kapsamındaki işleme şartı ayrıca kaydedildi.
  • Yeterlilik kararı güncel Kurul kaydından ülke veya sektör bazında kontrol edildi.
  • Yeterlilik yoksa uygun güvence seçeneği ve gerekli izinler belirlendi.
  • İstisnai aktarım yalnız süreklilik göstermeyen gerçek arızi durumlarda değerlendiriliyor.

Standart sözleşmeyi doğru tip, imza ve eklerle yönetin

Standart sözleşme, düzenli aktarım için sık kullanılan uygun güvence yöntemlerinden biridir; fakat yalnız bir şablon indirip imzalamak yeterli değildir. Veri kategorileri, amaçlar, ilgili kişi grupları, alıcılar, saklama, teknik ve idari tedbirler, özel nitelikli veri önlemleri ve alt işleyen ilişkileri gerçek akışla tutarlı doldurulmalıdır. Tarafların unvanı, adresi, yetkilisi ve aktarım rolleri ticaret ve yetki belgeleriyle uyuşmalıdır.

Kurumun kamuoyu duyurusuna göre standart metinde yalnız seçimlik veya alternatif içerikli maddeler üzerinde tercih yapılabilir; diğer hükümlere ekleme, çıkarma veya değişiklik yapılmamalıdır. Yabancı dilde metin de imzalanıyorsa Türkçe metin üzerinde taraf imzaları bulunmalı, imzalayanların yetkisini gösteren belgeler ve yabancı belgelerin gerekli tasdik ile noter onaylı Türkçe çevirileri hazırlanmalıdır. Geçmişe dönük yürürlük tarihi yazmak yerine gerçek imza süreci esas alınmalıdır.

  • Dört standart sözleşme tipinden akışa uygun olan seçildi.
  • Eklerdeki veri, amaç, alıcı ve tedbirler teknik envanterle tutarlı dolduruldu.
  • Zorunlu sözleşme metninde izinsiz değişiklik yapılmadı.
  • İmza yetkisi, tasdik ve Türkçe çeviri belgeleri bildirim dosyasına eklendi.

Beş iş günlük bildirimi imza takvimine bağlayın

Kanun ve Yönetmelik uyarınca standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmelidir. Aktarım tarafları bildirim yükümlüsünü sözleşmede belirleyebilir; belirleme yoksa veri aktaran bildirir. Kurum, 17 Ekim 2024 tarihli kararıyla çevrim içi Standart Sözleşme Bildirim Modülünü kullanıma açmıştır; Yönetmelikte fiziki bildirim ve KEP seçenekleri de yer alır.

Sürenin başlangıcını teklif tarihi veya tek tarafın imzasıyla karıştırmayın. Son imzanın tarihi, imza yetkilileri, bildirimi yapacak taraf, modül kayıt sahibi, ek belgeler, gönderim zamanı ve başvuru kanıtı tek iş kaydında tutulmalıdır. Sözleşmede veya taraf bilgilerinde değişiklik olduğunda yeni bildirim gerekip gerekmediği hukuk ekibiyle değerlendirilmelidir; yenileme takvimi tedarik sözleşmesinden ayrı izlenmemelidir.

  • Son imza tarihi ve beş iş günlük son bildirim tarihi otomatik hesaplanıyor.
  • Bildirim yükümlüsü sözleşmede açıkça belirlendi.
  • Yetki, tasdik, çeviri ve sözleşme ekleri gönderim öncesi kontrol edildi.
  • Bildirim makbuzu ve gönderilen sürüm değiştirilemez denetim izinde saklanıyor.

Sözleşmeyi teknik güvenlik ve yaşam döngüsü kontrolleriyle tamamlayın

Hukuki aktarım mekanizması, güvenlik önlemlerinin yerine geçmez. Verinin aktarımda ve saklamada şifrelenmesi, anahtar yönetimi, çok faktörlü erişim, rol bazlı yetki, destek oturumu onayı, erişim logu, güvenlik olayı bildirimi, yama, yedek, silme ve iade süreçleri riskle orantılı kurulmalıdır. Kimlik belgesi görüntüsü veya sağlık notu gibi alanlara genel destek hesabıyla erişim verilmemelidir.

Tedarikçi değiştiğinde ya da hizmet sona erdiğinde verinin ana sistemden, yedeklerden, hata kayıtlarından ve alt işleyenlerden nasıl silineceği veya geri gönderileceği doğrulanmalıdır. Yalnız tedarikçinin 'veriler silindi' e-postası yerine silme kapsamı, tarih, istisna, yedek döngüsü ve kanıt istenmelidir. Yeni alt işleyen, veri merkezi veya uzaktan destek ülkesi eklendiğinde aktarım envanteri ve sözleşme tekrar gözden geçirilmelidir.

  • Şifreleme, anahtar, MFA ve yetki kontrolleri sözleşme ekinde somutlaştırıldı.
  • Yabancı destek erişimi talep, onay, süre ve log ile sınırlandırıldı.
  • Olay bildirimi ve otelin denetim hakkı süreleriyle birlikte yazıldı.
  • Sözleşme sonunda ana veri, yedek ve alt işleyen silme kanıtı alınıyor.

Aydınlatma, tedarikçi değişikliği ve denetim izini birlikte güncelleyin

Misafir ve çalışan aydınlatma metinleri gerçek alıcı grupları, amaçlar ve yurt dışı aktarım süreçleriyle uyumlu olmalıdır. Ancak aydınlatma yapmak tek başına aktarım için hukuki mekanizma oluşturmaz; işleme şartı, aktarım yöntemi ve güvenlik önlemleri ayrıca kurulmalıdır. Açık rıza kullanılıyorsa özgür irade, belirli konu, bilgilendirme ve ispat şartları hukuk uzmanıyla değerlendirilmelidir; rıza sürekli bulut akışlarının varsayılan çözümü gibi kullanılmamalıdır.

Satın alma, bilgi işlem, hukuk ve operasyon ekipleri tedarikçi değişikliklerini ortak bir onay kapısından geçirmelidir. Yeni modül, yapay zekâ özelliği, analiz aracı, destek merkezi veya alt işleyen devreye alınmadan önce veri akışı ve aktarım mekanizması kontrol edilmelidir. Denetim izi; ilk değerlendirme, onay, sözleşme, bildirim, teknik test, periyodik gözden geçirme ve kapanış kanıtını aynı kayıt altında göstermelidir.

  • Aydınlatma metni gerçek alıcı ve amaçlarla eşleştirildi.
  • Aydınlatma, açık rıza ve aktarım mekanizması birbirine karıştırılmıyor.
  • Yeni özellik ve alt işleyenler canlıya alınmadan önce gizlilik kontrolünden geçiyor.
  • Aktarım envanteri en az periyodik olarak ve her önemli değişiklikte gözden geçiriliyor.
Short answers

FAQ

Yabancı bir bulut PMS kullanmak her zaman yurt dışına veri aktarımı mıdır?

Şirketin yabancı olması tek başına yeterli değerlendirme değildir; verinin nerede işlendiği ve saklandığı, hangi ülkelerden erişildiği, alıcıların ve alt işleyenlerin kim olduğu incelenmelidir. Türkiye dışındaki bir alıcıya veya altyapıya misafir verisi açılıyorsa yurt dışına aktarım gündeme gelebilir. Sonuç teknik akış ve sözleşmeyle birlikte hukuk uzmanı tarafından doğrulanmalıdır.

Standart sözleşme imzalanınca Kuruldan ayrıca izin almak gerekir mi?

Kurumun güncel açıklamasına göre doğru standart sözleşmenin usulüne uygun imzalanması uygun güvence yöntemidir ve ayrıca aktarım izni gerektirmez; ancak sözleşme imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmelidir. Taahhütname gibi diğer yöntemlerde Kurul izni gerekebilir.

Misafirden açık rıza almak düzenli bulut aktarımı için yeterli midir?

Açık rıza, güncel Kanun'daki kademeli aktarım sisteminin yerine otomatik olarak geçen genel bir çözüm değildir. Yeterlilik kararı, uygun güvence ve istisnai aktarım şartları işlem bazında değerlendirilmelidir. Özellikle olağan faaliyet içinde sürekli gerçekleşen bulut veya OTA akışları arızi aktarım olarak kabul edilmemelidir.

Sources and updates

Bu içerik hukuki danışmanlık değildir. Veri sorumlusu ve veri işleyen rolleri, aktarımın varlığı, yeterlilik kararı, uygun güvence, standart sözleşme tipi, imza, bildirim, açık rıza ve teknik tedbirler somut veri akışı ile güncel mevzuata göre kişisel veri hukuku uzmanı tarafından değerlendirilmelidir. Kaynaklar 2 Kasım 2026 tarihinde kontrol edilmiştir.