1. Amaç
Bu Kişisel Veri Güvenliği Politikası’nın (bundan sonra “Politika” olarak anılacaktır) amacı, ISG Airport Hotel (bundan sonra “Otel” veya “Veri Sorumlusu” olarak anılacaktır) tarafından işlenen tüm kişisel verilerin güvenliğinin sağlanmasına yönelik çerçeveyi, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), ilgili diğer mevzuat ve Kişisel Verileri Koruma Kurulu (Kurul) kararlarına uygun olarak tanımlamaktır.
2. Kapsam
- İlgili Kişi: Otel misafirleri, çalışanları, çalışan adayları, oteli ziyaret eden kişiler, Otel hizmetlerini (Wi-Fi, web sitesi, rezervasyon platformları, vale hizmeti gibi) kullanan kişiler, tedarikçilerin ve diğer üçüncü tarafların personeli dahil olmak üzere kişisel verileri Otel tarafından işlenen tüm gerçek kişileri,
- Veri Kategorileri: Kimlik (T.C. Kimlik No, pasaport no), iletişim, lokasyon, finansal (kredi kartı bilgileri), görsel/işitsel (güvenlik kamerası kayıtları), müşteri işlem bilgileri (konaklama tarihleri, oda no, özel talepler), işlem güvenliği (IP adresi, log kayıtları), pazarlama, sağlık (yalnızca açık rıza ile ve sıkı şartlara tabi olarak) ve diğer ilgili kategorileri,
- İşleme Faaliyetleri: Tamamen veya kısmen otomatik olan (Otel Yönetim Sistemi – PMS) ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla gerçekleştirilen tüm kişisel veri işleme faaliyetlerini,
- Coğrafi Kapsam: Otel’in tüm yerleşkelerini (odalar, lobi, restoranlar, otopark, idari ofisler) ve dijital sistemlerini (sunucular, web sitesi, ağ altyapısı) kapsar.
3. Tanımlar
Bu Politikada kullanılan ve aşağıda ayrıca tanımlanmayan terimler için KVKK’nın 3. maddesinde yer alan tanımlar geçerlidir.
4. Veri Sorumlusu ve İrtibat Kişisi
- Veri Sorumlusu: ISG Airport Hotel KVKK kapsamında Veri Sorumlusu’dur.
- Veri Sorumlusu İrtibat Kişisi: Otelimiz, KVKK kapsamındaki yükümlülüklerin yerine getirilmesi ve ilgili kişi başvurularının yönetilmesi amacıyla bir Kişisel Verilerin Korunması Komitesi oluşturmuştur. İrtibat bilgileri Otelimizin kurumsal web sitesinde ve Aydınlatma Metinlerinde kamuoyu ile paylaşılmaktadır.
5. Kişisel Veri İşleme İlkeleri
Otelimiz, tüm kişisel veri işleme faaliyetlerinde KVKK’nın 4. maddesinde belirtilen aşağıdaki genel ilkelere uymayı taahhüt eder:
- Hukuka ve Dürüstlük Kurallarına Uygun Olma
- Doğru ve Gerektiğinde Güncel Olma
- Belirli, Açık ve Meşru Amaçlar İçin İşlenme
- İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma (Veri Minimizasyonu)
- İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Edilme
6. Kişisel Veri İşleme Şartları (KVKK Madde 5)
Kişisel veriler, KVKK’nın 5. maddesi uyarınca aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın işlenebilir:
- Kanunlarda açıkça öngörülmesi: 1774 sayılı Kimlik Bildirme Kanunu uyarınca misafir kimlik bilgilerinin alınıp kolluk kuvvetlerine bildirilmesi.
- Fiili imkânsızlık: Misafirin bilincini kaybetmesi gibi durumlarda hayatının veya beden bütünlüğünün korunması için tıbbi bilgilerinin sağlık ekipleriyle paylaşılması.
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması: Konaklama rezervasyonunun yapılması, check-in/check-out işlemlerinin yürütülmesi ve konaklama hizmetinin sunulması.
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması: Mahkeme kararları veya yasal denetimler kapsamında yetkili mercilere bilgi verilmesi.
- İlgili kişinin kendisi tarafından alenileştirilmiş olması.
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
7. Kişisel Verilerin Aktarılması (Yurt İçi ve Yurt Dışı)
- Yurt İçi Aktarım: Kişisel veriler, kanuni zorunluluklar gereği yetkili kamu kurum ve kuruluşlarına (örn: emniyet), hizmet alınan tedarikçilere (örn: yazılım firmaları, ajanslar, vale hizmeti sağlayıcıları) ve iş ortaklarına aktarılabilir.
- Yurt Dışı Aktarım: Otelimizin uluslararası rezervasyon sistemleri veya global zincirlerle entegrasyonu olması durumunda, misafir rezervasyon verileri, KVKK Madde 9’da belirtilen şartlar (açık rıza, yeterli korumanın bulunması veya taahhütname ve Kurul izni) sağlanarak yurt dışındaki hizmet sağlayıcılara veya grup şirketlerine aktarılabilir.
8. Kişisel Veri Güvenliğine İlişkin Yükümlülükler (KVKK Madde 12)
8.1. İdari Tedbirler
- Kişisel Veri İşleme Envanteri Hazırlanması
- Kurumsal Politikaların Oluşturulması
- Yetki Matrisi Oluşturulması
- Eğitim ve Farkındalık Faaliyetleri
- Gizlilik Taahhütnameleri
- Görev Değişikliği veya İşten Ayrılma Durumunda Yetki İptali
- Veri İhlali Müdahale Planı
8.2. Teknik Tedbirler
- Siber Güvenliğin Sağlanması
- Erişim Yetki ve Kontrol Sistemleri
- Şifreleme (Kriptografi)
- Veri Yedekleme
- Fiziksel Güvenlik Önlemleri
- Kağıt Ortamındaki Verilerin Güvenliği
- Log Kayıtlarının Tutulması ve İncelenmesi
9. İlgili Kişinin Hakları (KVKK Madde 11)
Her İlgili Kişi, KVKK Madde 11’de sayılan; veri işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silinmesini isteme, aktarılan üçüncü kişileri bilme, itiraz etme ve zararın giderilmesini talep etme haklarına sahiptir.
10. Başvuru Usulü
İlgili kişiler, taleplerini aşağıdaki yollarla iletebilir:
- Islak imzalı olarak Otel resepsiyonuna şahsen teslim
- Noter kanalıyla gönderim
- Kayıtlı e-posta adresinden e-posta ile iletim
Başvurular, en geç 30 gün içinde ücretsiz olarak sonuçlandırılacaktır.
11. Veri İhlali Yönetimi
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda, bu durum en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere bildirilir. Veri İhlali Müdahale Planımız bu süreci yönetmek üzere tasarlanmıştır.
12. Politikanın Gözden Geçirilmesi ve Güncellenmesi
Bu Politika, Otel Yönetimi tarafından onaylandığı tarihte yürürlüğe girer ve yılda en az bir kez veya gerekli görülen hallerde gözden geçirilerek güncellenir.
13. Yürürlük
Bu Politika, Otel Yönetimi’nin onayı ile yürürlüğe girmiştir.