KVKK Uyum Paketi (Yolcu & Pasaport Verisi)

Bu paket; müşteri pasaport fotokopisi, kimlik bilgisi, vize belgesi veya seyahat geçmişi gibi kişisel ve hassas nitelikli veri işleyen seyahat acenteleri, tur operatörleri ve turizm danışmanlık firmaları için tasarlanmıştır. KVKK; kişisel veri işleyen tüm kuruluşları kapsar ve işletme büyüklüğünden bağımsız olarak aydınlatma, açık rıza ve veri güvenliği yükümlülükleri getirir.

• Paket tur acenteleri: Yurt dışı turlar için havayolu, otel ve rehberlik şirketleriyle yolcu verisi paylaşan işletmeler. Pasaport numarası, doğum tarihi ve uyruk bilgisi gibi veriler hem yerli hem yabancı tedarikçilere iletilir; bu durum yurt dışı aktarım hükümlerini devreye sokar.
• Vize danışmanlık ofisleri: Pasaport fotokopisi, banka ekstresi, davetiye ve konaklama belgesi gibi hassas belgeleri toplayan; bu belgeleri yabancı konsolosluk veya vize merkezlerine ileten kurumlar. Söz konusu belgeler kimliğe ilişkin kapsamlı veri içerdiğinden özel dikkat gerektirir.
• Online seyahat platformları: Web sitesi veya mobil uygulama üzerinden rezervasyon alan, ödeme ve kimlik bilgisi işleyen dijital acenteler. Çerez politikası, hesap verisi ve müşteri davranış takibi de KVKK kapsamında değerlendirilir.
• Kurumsal seyahat yönetimi firmaları: Çalışan seyahat organizasyonu kapsamında hem şirket bilgisini hem de çalışan kişisel verisini işleyen B2B acenteler. Bu yapıda iki ayrı veri sorumlusu ilişkisi doğabilir.
• Okul ve öğrenci gezisi organizatörleri: Reşit olmayan yolcuların velisinden alınan izin belgesi, kimlik bilgisi ve sağlık durumu gibi verileri yöneten organizatörler. Çocuklara ait kişisel veri özel nitelikli kabul edilerek daha güçlü güvenceler gerektirir.

Herhangi bir müşterinizin adını, soyadını, doğum tarihini, pasaport numarasını veya fotoğrafını topluyorsanız KVKK kapsamında veri sorumlusu konumundasınızdır. Bu konum; Kurul'a karşı doğrudan sorumluluk, ihlal bildirim yükümlülüğü ve idari para cezası riskini beraberinde getirir. Bu paket söz konusu sorumluluğu yerine getirmenizi kolaylaştırmak için tasarlanmıştır; hukuki danışmanlık veya sertifikalı DPO hizmetinin yerini tutmaz.

Acentenin buyuklugunden bagimsiz olarak, KVKK kapsaminda musteri kisisel verisi isleniyor ise veri sorumlusu sifati kazanilir. Bu sifat Kisisel Verileri Koruma Kurumu kaydi, ihlal bildirimi ve ilgili kisiye bilgi verme zorunluluklarini getirir. Pasaport seri numarasi bagimsiz olarak kisisel veridir; fotokopi almak dahi KVKK kapsamina girer. Havayolu bileti satan, transfer sunan, hac umre organizasyonu yapan ya da okul gezisi duzenleyen her acente icin bu paketi oneririz. Yogun sezonda KVKK uyumu ertelenebilir; bu paket sureci bir kez kurarak rutin hale getirir.

Seyahat acenteleri, diğer sektörlere kıyasla çok daha fazla türde kişisel veri işler. Pasaport, kimlik, vize, sağlık sigortası poliçesi, ödeme bilgisi ve seyahat tercihleri bir arada bulunur. Bu verilerin büyük çoğunluğu yurt dışındaki üçüncü taraflara iletilir; bu da KVKK'nın yurt dışı aktarım hükümlerini doğrudan devreye sokar. Pek çok acente, KVKK yükümlülüklerinin farkında olmakla birlikte bunları nasıl ve nereden başlayarak yerine getireceğini bilmez.

Kurul denetimleri ve vatandaş şikayetleri sonucunda açılan soruşturmalarda en yaygın bulgu belge eksikliğidir: aydınlatma metninin olmaması, rıza formunun bulunmaması ya da yurt dışı aktarım için hukuki dayanağın gösterilememesi. Bu boşluklar; idari para cezasından öte, acentenin itibar kaybına ve müşteri güveninin sarsılmasına yol açar. Paket tur kapsamında yurt dışına gönderilen her yolcu için otel ve havayoluna iletilen veri, yasal açıdan bağlayıcı bir aktarım sayılır; bu aktarımın belgelenmesi ve uygun hukuki dayanağa oturtulması zorunludur. Bu paket acentenizin söz konusu süreçleri düzenlemesini ve belgelemesini destekler.

Musteri verilerinin fiziksel ortamda saklanmasi da kritik bir alandir. Pek cok acentede pasaport fotokopileri kilitsiz klasorlerde durmaktadir. Yangin, hirsizlik veya dikkatsizlik durumunda bu belgeler ucuncu kisilere ulasabilir. KVKK fiziksel guvenlik onlemlerini de kapsamaktadir; dijital onlemler tek basina yeterli degildir. Mevcut durum tespitinde fiziksel saklama kosullari da incelenir ve iyilestirme onerileri sunulur. Bazi acenteler rezervasyon yaziliminin uyumu otomatik sagladigini sanmaktadir; yazilimin guvenli olmasi veri islemenin yasal dayanagi oldugu anlamina gelmez.

Ote yandan mevzuati anlayan acenteler bile yurt disi aktarim dayanagini dokumante etmekte zorluk ceker. Hangi hukuki dayanaga gore aktarim yapildigini, tedarikci sozlesmesinde veri isleme maddesi bulunup bulunmadigini ve onay kaydinin nerede saklandigini gosterebilmek; hem Kurul denetimine hem de musteri sorularina hazir olmak anlamina gelir. Bu paket bu belgelerin olusturulmasini ve duzenlenmesini sistematik sekilde destekler.

Proje beş ana aşamada ilerler. Her aşama sonunda teslim edilecek çıktılar ve onay noktaları nettir. Süreç boyunca acentenin mevcut kaynakları üzerinde çalışılır; sistemi sıfırdan kurmak yerine var olan altyapının uyumlu hale getirilmesi hedeflenir.

Aşama 1 — Mevcut Durum Tespiti (1-2 hafta)

Acentenizde hangi kişisel verinin toplandığı, nerede saklandığı, kimlerle paylaşıldığı ve ne kadar süre tutulduğu belirlenir. Rezervasyon formu, müşteri sözleşmesi, e-posta şablonları, kullanılan yazılımlar ve bulut depolama hizmetleri incelenir. Personelle yapılan yapılandırılmış görüşmeler aracılığıyla fiili veri akışı haritalanır. Bu aşamanın çıktısı; güçlü yönleri, eksiklikleri ve öncelikli iyileştirme alanlarını listeleyen detaylı bir boşluk analizi raporudur.

Aşama 2 — Veri Envanteri & Süreç Haritası (1-2 hafta)

Toplanan bulgular; veri kategorisi, işleme amacı, hukuki dayanak, aktarım hedefi ve azami saklama süresi kolonlarını içeren standart bir envanter tablosuna dönüştürülür. Her veri türünün yaşam döngüsü — toplanmasından imhasına kadar — görsel bir akış diyagramıyla belgelenir. Bu envanter, ilerideki uyum adımlarının temelini oluşturur ve Kurul denetiminde sunulabilecek nitelikte hazırlanır.

Aşama 3 — Belge Paketi Hazırlama (2-3 hafta)

Aşağıdaki belge taslakları acentenizin iş süreçlerine ve veri işleme yapısına göre özelleştirilmiş biçimde hazırlanır:

• Müşteriye yönelik aydınlatma metni — hem web sitesi hem rezervasyon formu için ayrı format
• Pasaport, kimlik kopyası ve hassas veri işleme için açık rıza formu
• Yurt dışı aktarımlar için bildirim ve taahhüt şablonu
• Tedarikçi sözleşmelerine eklenecek veri işleme eki
• Saklama ve imha politikası — tur bazında azami saklama süreleri ve imha adımları

Aşama 4 — Teknik & Operasyonel Öneriler (1-2 hafta)

E-posta, bulut depolama ve rezervasyon yazılımı üzerinden veri güvenliğini artıracak teknik önlemler raporlanır. Erişim yetkisi kısıtlaması, şifreleme yöntemleri ve güvenli dosya paylaşım kanalı önerileri sunulur. Öneriler öncelik sırasına göre listelendiğinden acenteniz hangisini hangi sırayla hayata geçireceğini kolayca planlayabilir.

Aşama 5 — Ekip Eğitimi & Teslimat (1 hafta)

Rezervasyon, satış ve müşteri hizmetleri personeline yönelik pratik eğitim oturumu düzenlenir. Eğitimde; hangi belgeyi ne zaman almak gerektiği, müşteri soruları nasıl yanıtlanır ve veri ihlali şüphesi durumunda nasıl davranılır konuları ele alınır. Tüm belgeler, süreç rehberi ve kontrol listesiyle birlikte teslim edilir.

Pasaport numarası ve kimlik bilgisi, KVKK'nın 6. maddesi kapsamında özel nitelikli kişisel veri sınırına yakın hassasiyette değerlendirilebilecek verilerdir. Bu nedenle standart kişisel veriye kıyasla daha güçlü teknik ve idari önlemler gerektirir. Bu paket kapsamında sunulan güvenlik ve süreklilik önerileri şunlardır:

• Güvenli iletim: Pasaport fotokopilerinin şifrelenmemiş e-posta eki olarak gönderilmesi yerine şifreli kanal veya güvenli dosya paylaşım platformu kullanımı önerilir. Tedarikçilere veri aktarımında da aynı güvenli kanallar zorunlu hale getirilir.
• Erişim kısıtlaması: Yolcu kimlik belgelerine yalnızca ilgili rezervasyon personelinin erişebileceği, rol tabanlı yetkilendirme yapısı kurulur. Yönetici dışı personelin tüm müşteri veri tabanını görmesi engellenir.
• Saklama süresi ve imha: Seyahat tamamlandıktan sonra kimlik belgeleri için net azami saklama süresi belirlenir; süre dolan belgeler için otomatik imha hatırlatma protokolü tanımlanır.
• Tedarikçi yönetimi: Havayolu, otel ve vize merkezi gibi üçüncü taraflarla yapılan veri paylaşımı yazılı sözleşme veya veri işleme ekine bağlanır; tedarikçilerin de asgari güvenlik standartlarını karşılaması sağlanır.
• Süreklilik: Çalışan değişimlerinde bilginin kaybolmaması için süreç ve politika belgeleri güncel tutulur; yıllık gözden geçirme döngüsü önerilir. Mevzuat değişikliklerinden haberdar olmak için Kurul kararları takip edilir.

Önemli not: Bu paket uyum sürecinizi kolaylaştırmak amacıyla hazırlanır. Hukuki yorumlama, Kurul başvurusu ve nihai uyum sorumluluğu veri sorumlusu işletmeye aittir. Avukat veya sertifikalı Veri Koruma Görevlisi desteği almanız şiddetle önerilir.

Politikalarin surdurulebilmesi icin personelin uygulamaya aktarmasi ve yeni calisanlarin egitilmesi gerekir. Egitim materyali somut senaryolar icerir: musteri pasaport kopyasi nasil alinmali, sifresiz e-posta eki isteyen tedarikiciye nasil yanit verilmeli, veri silin talebine nasil cevap verilmeli. Politikalar calisma kulturune isler; kris aninda ne yapilacagini bilen personel hem maliyeti hem stresi azaltir.

Yeni calisanlarin ise baslangicinda verilecek kisaca veri guvenligi oryantasyonu, gelecekteki riskleri en az maliyetle onler. Politikalarin calisma kulturune yerlesmesi zaman alir; bir kez olusan kultur ise kurumun en buyuk savunma hattina donusur. Bu paket hem politikalari olusturur hem de bu kulturu bastlamak icin egitim materyali saglar.