1. KVKK ve Otel Rezervasyon Süreçleri (Nerede risk büyür?)
Rezervasyon hattında risk genellikle “veriyi almak”tan çok, veriyi yanlış kanalla paylaşmak, yetkisiz erişim veya gereksiz detay kaynaklı büyür. Otellerde çağrı merkezi; PMS/CRM ekranlarında misafir verilerine geniş erişimle çalıştığı için, güvenlik “insan + süreç + sistem” üçlüsüdür.
En sık risk alanları (pratik)
- •Kart bilgisinin WhatsApp/e-posta gibi kanallardan istenmesi veya paylaşılması
- •Ekran görüntüsü/ekran paylaşımıyla hassas bilginin sızması
- •Yetkisiz personelin çağrı kaydı ve PMS notlarını görmesi
- •Uzun ve kontrolsüz notlarla gereksiz kişisel veri tutulması
- •Loglama/saklama politikası belirsizliği
Mini Check
- • Hangi veriyi “zorunlu” aldığınız net mi?
- • Kart/kimlik gibi hassas veriler için güvenli yöntem var mı?
- • Erişim yetkileri rol bazlı mı?
Ne yapmalıyım
- • Veri türlerini sınıflandır (temel / hassas / ödeme).
- • Hassas veriyi güvenli kanala yönlendir; mesajlaşma ile isteme alışkanlığını kaldır.
- • Rol bazlı erişim + loglama + denetimi birlikte kur.
2. Telefonda Hangi Veriler Nasıl Alınmalı? (Minimum veri, doğru amaç)
“Telefonda hangi kişisel verileri sorabilirim?” sorusunun operasyonel cevabı şudur: rezervasyon ve hizmeti yürütmek için gerekli minimum veri. Gereksiz sorular hem deneyimi kötüleştirir hem riski artırır. En iyi yaklaşım; “neden soruyorum?” çerçevesiyle şeffaflık sağlamaktır.
Veri türleri ve pratik yaklaşım
- •Temel kimlik: ad-soyad (rezervasyon kaydı için)
- •İletişim: telefon/e-posta (onay ve iletişim için)
- •Konaklama parametreleri: tarih, kişi sayısı, çocuk yaşları (fiyat/uygunluk için)
- •Tercihler: oda konumu, yatak tipi (deneyim için)
- •Özel gereksinimler: diyet/erişilebilirlik gibi “gereksinim” formatında (detay/teşhis değil)
Ödeme bilgisi (kritik çizgi)
Kart bilgisi ve benzeri ödeme verileri; mümkünse güvenli ödeme altyapısı veya kurumun onaylı yöntemiyle alınmalıdır. Mesajlaşma üzerinden kart görseli/numarası istemek, operasyonel açıdan yüksek riskli bir davranıştır.
Mini Check
- • “Minimum veri” kuralı ekibe öğretildi mi?
- • Ödeme için güvenli yöntem net mi?
- • Özel gereksinimler gereksiz detay içermiyor mu?
Ne yapmalıyım
- • Soru setini minimuma indir ve “amaç” cümlesi ekle.
- • Ödeme/kimlik gibi verilerde güvenli kanal dışında işlem yapma.
- • Notlarda “gereksinim” formatını zorunlu tut.
3. Kayıt, Maskeleme ve Erişim Yetkileri (Call Recording & Access Control)
Çağrı kaydı (Call Recording) kalite ve eğitim için değerli olabilir; ama aynı zamanda hassas içerik barındırabilir. Bu nedenle kayıt yaklaşımı; maskeleme (masking/redaction) ve erişim yetkileriyle birlikte tasarlanmalıdır. Ayrıca ekran paylaşımı ve yazılı kanallarda veri sızıntısı riski, sadece IT’nin değil operasyonun sorumluluğudur.
Maskeleme (operasyonel mantık)
- •Kart numarası, CVV gibi bölümlerin kayıtta görünmemesi / saklanmaması
- •Yetkisiz personelin hassas alanları görememesi
- •Görüşme içinde hassas bilgi geçiyorsa “kayıt durdurma / güvenli kanala geçiş” akışı
Yetki mantığı (rol bazlı)
- •Agent: sadece görev için gerekli ekranlar
- •Team lead/QA: dinleme ama sınırlı detay
- •IT/Security: log ve erişim denetimi
- •Yönetim: özet rapor (kişisel veri içermeyen)
| Rol | Erişim kapsamı | Görebildiği veri | Kısıt / not |
|---|---|---|---|
| Agent | Rezervasyon işleme | Görev için gerekli temel misafir ve rezervasyon verileri | Need-to-know; hassas alanlar sınırlandırılır |
| Team lead / QA | Dinleme ve kalite kontrol | Çağrı kaydı ve operasyonel detayların sınırlı görünümü | Tam hassas veri yerine maskeleme uygulanır |
| IT / Security | Sistem, log ve erişim denetimi | Log kayıtları, erişim geçmişi, teknik olay verisi | Operasyonel veri erişimi amaçla sınırlı olmalıdır |
| Yönetim | Özet raporlama | Kişisel veri içermeyen özet KPI ve risk raporları | Ham kayıt yerine anonim/özet çıktı |
Mini Check
- • Kayıtlar maskeleme kuralına bağlı mı?
- • Erişim yetkileri rol bazlı mı?
- • Loglar düzenli gözden geçiriliyor mu?
Ne yapmalıyım
- • Kayıt akışını “hassas veri anı” için tasarla (durdur/kanal değiştir).
- • Erişim yetkilerini minimuma indir (need-to-know).
- • Log incelemesini rutinleştir (haftalık/aylık).
4. Çağrı Kayıtları, Loglama ve Saklama Süreleri (Retention)
“Çağrı kayıtları KVKK’ya göre ne kadar saklanmalı?” sorusuna tek bir sayı vermek doğru olmaz; saklama süresi, amaç, iş ihtiyacı ve yasal/kurumsal yükümlülüklere göre belirlenir. Operasyonel prensip: gerektiği kadar, gerektiği süre, gerektiği yetkiyle. Ne kadar uzun saklarsanız, risk yüzeyi de o kadar genişler (yönlü).
Retention planı nasıl kurulur? (pratik)
- •Amaç: kalite/eğitim/uyuşmazlık çözümü
- •Kapsam: hangi çağrılar (tümü mü, örneklem mi?)
- •Saklama: süre planı + otomatik silme
- •Erişim: kim, ne zaman, hangi gerekçeyle
- •Denetim: log incelemesi + örneklem kontrol
Mini Check
- • Saklama süresi politikası yazılı mı?
- • Otomatik silme var mı?
- • Erişim talepleri kayıt altına alınıyor mu?
Ne yapmalıyım
- • Saklama politikasını yazılı hale getir (IT + hukuk + operasyon).
- • Örneklem yaklaşımı düşün (her çağrı yerine hedefli örneklem).
- • Loglama ve erişim kayıtlarını denetim paketi yap.
5. Eğitim, Script ve Denetim Süreçleri (İnsan faktörü)
En iyi teknik önlemler, ekip yanlış alışkanlıklarla veri toplarsa boşa gider. Bu yüzden “KVKK uyumu” eğitim, script ve denetimle yaşar. Agent’ın zihninde şu net olmalı: hangi veri gerekli, hangi veri yasak/riski yüksek, hangi kanal güvenli, hangi durum eskale edilir.
Eğitim modülleri (pratik)
- •Minimum veri ve amaç çerçevesi
- •Ödeme/kimlik hassas veride kırmızı çizgiler
- •Sosyal mühendislik (social engineering) örnekleri
- •Yetkisiz erişim ve ekran paylaşımı riskleri
- •Kayıt/durdurma/kanal değiştir SOP’u
- •After-call notlama: gereksinim formatı
Denetim (audit) ritmi
- •Aylık: örneklem çağrı/ekran denetimi
- •Haftalık: log anomali kontrolü (yönlü)
- •Dönemsel: rol/erişim matrisinin yeniden gözden geçirilmesi
Mini Check
- • Eğitim tek seferlik mi, periyodik mi?
- • Script’ler güncel mi?
- • Denetim çıktısı aksiyona dönüşüyor mu?
Ne yapmalıyım
- • KVKK eğitimini onboarding’e koy ve yılda en az bir kez tazele (yönlü).
- • Script’leri “kırmızı çizgi” uyarılarıyla güncelle.
- • Denetim bulgularını süreç düzeltmesine çevir (SOP update).
6. KVKK’ya uygun rezervasyon görüşmesi için hangi adımları izlemelisiniz?
- Bilgilendir: Görüşmenin amacı ve gerekiyorsa kayıt bilgisi hakkında kısa ve net bilgilendirme yap.
- Minimum veri: Rezervasyon için gerekli minimum bilgiyi al; gereksiz detay sorma.
- Güvenli ödeme: Kart bilgisi gibi hassas verileri güvenli yöntemle al; mesajlaşma/e-posta ile isteme.
- Maskele & yetkilendir: Kayıt/ekranlarda maskeleme uygula; rol bazlı erişim ver.
- Logla: Erişim ve işlem kayıtlarını tut; anomaliyi takip et.
- Saklama politikasını uygula: Amaçla uyumlu sakla; otomatik silme planı yap.
- Denetle & eğit: Periyodik denetim ve eğitimle davranışı standardize et.
Bu akış, “hukuki metin”den önce günlük operasyonu güvenli hale getirir. Amaç; misafir verisini korurken, rezervasyon sürecini de sorunsuz yürütmektir.
7. Yapılmaması Gerekenler (Kırmızı Çizgiler) + Uyarı Kutuları
Bu bölüm, ekibin hızlıca tarayıp uygulaması için “kırmızı çizgi” olarak tasarlanmalıdır.
Yapılmaması gerekenler (net)
- •Kart numarası/CVV/kimlik görseli gibi hassas verileri WhatsApp/e-posta üzerinden istemek veya almak
- •Ekran görüntüsü paylaşmak, ekranı yetkisiz kişiye göstermek
- •PMS/CRM’de gereksiz kişisel detayları uzun notlarla biriktirmek
- •Yetkisiz erişim (ortak kullanıcı hesabı, paylaşılan şifre vb.)
- •Log/saklama politikasını belirsiz bırakmak
8. KVKK Bilgilendirme Script & Kontrol Listesini İndir — KVKK / Rezervasyon Hattı
KVKK Bilgilendirme Script & Kontrol Listesini İndir — KVKK / Rezervasyon Hattı (v1.0)
Bu asset; otel rezervasyon çağrı merkezinde KVKK uyumlu görüşme için bilgilendirme cümlelerini, minimum veri prensibini ve kırmızı çizgileri tek dokümanda standartlaştırır. Amaç; sosyal mühendislik, yetkisiz erişim, yanlış kanal üzerinden hassas veri paylaşımı gibi riskleri operasyon düzeyinde azaltmaktır. Hukuki metinlerin nihai halinin hukuk danışmanı tarafından onaylanması gerektiğini hatırlatır.
Kim Kullanır?
Rezervasyon agent’ları, takım lideri/QA, IT/güvenlik ve yönetim.
Nasıl Kullanılır?
- Bilgilendirme script’ini açılış cümlelerine ekleyin; ekipte tek dil oluşturun.
- Kontrol listesiyle haftalık 10 çağrıda denetim yapın (örneklem).
- 14 günlük sprintle maskeleme/erişim/saklama aksiyonlarını kapatın.
Ölçüm & Önceliklendirme (Kısa sürüm)
- ▢ ✅ A) Checklist / Sprint Plan (kilitli içerik)
- ▢ ✅ [ ] Ölçüm & Önceliklendirme checklist’i
- ▢ ✅ Problem → Kök Neden → Çözüm tablosu
- ▢ ✅ 14 günlük sprint planı (Gün 1–14)
- ▢ ✅ Öncesi/Sonrası KPI tablosu (şablon)
- ▢ ✅ Deliverables listesi
PDF içinde: Problem→Kök Neden→Çözüm tablosu + 14 gün sprint planı + önce/sonra KPI tablosu
Bir Sonraki Adım
Çağrı merkezi veri akışı, yetki ve kayıt süreçlerini güvenli hale getirmek isteyen oteller için.
Sık Sorulan Sorular
KVKK’ya uygun rezervasyon görüşmesi nasıl olmalı?▾
Telefonda hangi kişisel verileri sorabilirim?▾
Kart bilgisi telefonda alınır mı, nasıl maskeleme yapılır?▾
Çağrı kayıtları KVKK’ya göre ne kadar saklanmalı?▾
İlgili İçerikler
İlgili Yazılar