Acente hangi verileri işliyor?
Bir tatil satışı sırasında acentenin eline geçen veri listesi, çoğu işletmeninkinden geniş. Ad soyad ve telefonla başlıyor, TC kimlik numarası, doğum tarihi, pasaport bilgisi ve çoğu zaman pasaport fotokopisiyle devam ediyor.
Bunların bir kısmı kimlik verisi, bir kısmı seyahat verisi. Sağlık bilgisi (engelli erişimi, diyet, tıbbi durum) söz konusu olduğunda özel nitelikli kişisel veri alanına giriliyor ve kurallar sertleşiyor.
Kritik nokta şu: acente bu veriyi işlemek zorunda. Otel istiyor, mevzuat istiyor, uçuş istiyor. Yani soru "veri işlemeli miyiz" değil, "nasıl işlemeliyiz".
- Kimlik: ad soyad, TC kimlik no, doğum tarihi, pasaport
- İletişim: telefon, e-posta, adres
- Seyahat: giriş-çıkış tarihi, otel, oda, refakatçiler
- Finansal: ödeme bilgisi, fatura unvanı
- Özel nitelikli olabilecekler: sağlık durumu, diyet, erişilebilirlik talebi
WhatsApp neden ayrı bir sorun?
Acentelerin büyük kısmında müşteri iletişimi WhatsApp üzerinden yürüyor ve bu yazışmalar personelin kişisel telefonunda duruyor. Ortaya üç ayrı sorun çıkıyor.
Birincisi kontrol: pasaport fotoğrafı bir çalışanın kişisel galerisinde. O telefon kaybolduğunda, satıldığında ya da çalışan ayrıldığında veri nereye gidiyor, cevabı yok.
İkincisi süreklilik: çalışan ayrıldığında müşteriyle yapılmış bütün konuşma da gidiyor. Acente kendi müşterisiyle ne konuştuğunu bilmiyor. Bu hem operasyonel bir kayıp hem de veri sorumlusunun veriye erişememesi demek.
Üçüncüsü ispat: müşteri "ben size yarım pansiyon dedim" dediğinde yazışma ortada yoksa tartışma çözülmüyor.
Uyum için asgari yapı
KVKK uyumu bir belge işi değil, bir düzen işi. Aşağıdakiler acentede pratikte kurulabilir ve denetimde sorulduğunda gösterilebilir olanlar.
- Aydınlatma metni: müşteriye hangi verinin niçin işlendiğinin satış anında bildirilmesi
- Hukuki dayanak: her veri kalemi için sözleşme, hukuki yükümlülük ya da açık rıza — hangisi olduğu yazılı
- Açık rıza yalnızca gerekli olduğunda: pazarlama izni ayrı alınmalı, satış için zorunlu veriyle karıştırılmamalı
- Erişim yetkisi: her personel her müşteriyi görmemeli
- Saklama süresi: verinin ne kadar süre tutulacağı belirlenmeli ve süre sonunda silinmeli
- İşlenen veri envanteri: hangi veri nerede duruyor
- Kurumsal iletişim kanalı: yazışmalar kişisel telefonda değil, acentenin sisteminde
- Veri işleyen sözleşmeleri: yazılım ve hizmet sağlayıcılarla
Mesajları kurumsallaştırmak ne değiştiriyor?
WhatsApp trafiğinin acentenin kendi sistemine alınması, KVKK tarafında üç şeyi birden çözüyor: veri acentenin kontrolündeki bir yerde duruyor, kimin neye eriştiği yetkiyle sınırlanabiliyor, ve saklama süresi uygulanabiliyor.
Operasyonel tarafı da var: çalışan ayrıldığında konuşma acentede kalıyor, devralan temsilci geçmişi görebiliyor.
Bunun KVKK’yı kendiliğinden çözdüğünü söylemek yanlış olur — aydınlatma, dayanak ve saklama politikası yine yazılmak zorunda. Ama en zor kısım, yani verinin fiilen nerede durduğu sorusu çözülmüş oluyor.
Sık yapılan üç hata
Birincisi, aydınlatma metnini web sitesine koyup satışta hiç göstermemek. Aydınlatma yükümlülüğü verinin elde edildiği anda doğuyor.
İkincisi, pazarlama iznini satış sözleşmesinin içine gömmek. Açık rıza ayrı, özgür iradeyle ve ayrıca verilmek zorunda; hizmetin şartı hâline getirilemiyor.
Üçüncüsü, pasaport fotokopilerini süresiz saklamak. Seyahat gerçekleştikten ve yasal saklama süresi dolduktan sonra tutulan her belge, karşılığı olmayan bir risk.