Otel Rezervasyon Sistemi Güvenli mi? Bugün Kontrol Edin

Rezervasyon sisteminiz, bir misafirin kaydını yalnızca rezervasyon kodu yazılarak açıyorsa bugün yazılım firmanızdan kontrol istemelisiniz. Ad, telefon, konaklama tarihi ve seyahat ayrıntıları ikinci bir doğrulama olmadan görünmemelidir. Hangi bilgilerin tutulduğunu, kimlerin eriştiğini ve erişimlerin kayda geçip geçmediğini yazılı olarak sorun.

Neden otel rezervasyon sisteminizi bugün kontrol etmelisiniz?

Çünkü rezervasyon kodu tek başına bir müşterinin kaydını açıyorsa, bu kodu bilen veya tahmin eden kişi misafirin özel bilgilerine ulaşabilir.

Kişisel Verileri Koruma Kurumu (KVKK), kişilerin adı, telefonu, konaklama tarihi ve benzeri tanımlanabilir bilgilerin korunmasını ister. KVKK, 29 Eylül 2026 tarihinde Travelport International Operations Limited hakkında yayımladığı veri ihlali duyurusunda, rezervasyon bilgilerinin yalnızca rezervasyon referansıyla görüntülenebildiğini açıkladı.

Duyuruya göre olay 6-7 Ağustos 2026 tarihlerinde gerçekleşti, 20 Ağustos'ta fark edildi. Normalde rezervasyon referansına ek olarak soyadı gibi ikinci bir bilgi istenmesi gerekirken, bu ek kontrolün devre dışı kalması nedeniyle kayıtlara yalnızca referans numarasıyla ulaşılabildi. KVKK'nın resmî duyurusunda, yolcu adı, seyahat ve konaklama bilgileri, referans numaraları ile bazı durumlarda iletişim bilgilerinin etkilenmiş olabileceği belirtildi.

Bu olay doğrudan her otel programının aynı sorunu taşıdığı anlamına gelmez. Ancak Fethiye'de otel, pansiyon, villa kiralama işletmesi veya seyahat acentesi işletiyorsanız şu soruyu yanıtsız bırakmamanız gerekir: “Benim kullandığım programda da yalnızca rezervasyon numarası yeterli mi?”

KVKK duyurusunda, Türkiye'deki seyahat acenteleri tarafından oluşturulan seyahat rezervasyon kayıtları üzerinden potansiyel olarak 73.958 kişinin etkilenmiş olabileceği bildirildi. Bu sayı Türkiye'de ikamet eden gerçek kişi sayısından daha yüksek olabilir. Önemli nokta şudur: Risk yalnızca konaklaması tamamlanmış misafirleri değil, teklif isteyen veya henüz rezervasyon aşamasındaki potansiyel müşterileri de kapsayabilir.

Rezervasyon kodu neden tek başına yeterli olmamalıdır?

Rezervasyon kodu, kaydı bulmaya yardımcı olabilir; fakat kaydı açmak için tek anahtar olmamalıdır.

Bir misafirin rezervasyon kaydında adı, telefonu, giriş ve çıkış tarihi, oda veya villa bilgisi, notları ve işletmenizin kullandığı hizmete göre başka seyahat ayrıntıları bulunabilir. Bu kayıtların ek bilgi sorulmadan açılması, müşterinin mahremiyetini ve işletmenizin itibarını riske atar.

Güvenli bir akışta sistem, rezervasyon koduna ek olarak soyadı gibi ikinci bir bilgi ister. Buna müşteri doğrulaması denir: Kaydı görmek isteyen kişinin gerçekten o rezervasyonla ilgili kişi olduğunun kontrol edilmesidir. Bazı işletmelerde telefonla doğrulama veya müşteri hesabına giriş gibi ek adımlar da tercih edilebilir. Hangi yöntemin uygun olduğu, kullandığınız programa ve çalışma biçiminize göre belirlenmelidir.

Burada kendi başınıza başka kişilerin rezervasyonlarını açmayı denemeyin. Bunun yerine, yazılım sağlayıcınızdan kendi işletme hesabınız üzerinde kontrollü inceleme yapmasını ve sonucu yazılı olarak iletmesini isteyin.

Bugün hangi kontrolleri sırasıyla yapmalısınız?

Önce kullandığınız tüm dış hizmetleri listeleyin, sonra her biri için yazılı yanıt isteyin.

Birçok konaklama işletmesinde müşteri bilgisi tek bir yerde durmaz. Web sitesindeki rezervasyon formu, resepsiyon programı, kanal yöneticisi, online satış kanalları, seyahat acentesi bağlantıları ve mesajlaşma ekranları farklı firmalara ait olabilir. Kanal yöneticisi, farklı satış kanallarındaki oda durumunu ve fiyatları tek yerden yönetmeye yarayan araçtır. Bu nedenle yalnızca resepsiyondaki programa bakmak yeterli olmayabilir.

1. Kullandığınız hizmetleri yazın: Resepsiyon programı, web sitenizdeki rezervasyon alanı, kanal yöneticisi, acente bağlantısı ve müşteri bilgisi görebilen diğer araçları bir sayfada toplayın.
2. Her firmaya aynı soruları gönderin: Rezervasyon kodu tek başına kayıt açıyor mu? İkinci bilgi zorunlu mu? Hangi müşteri bilgileri tutuluyor? Bu bilgilere kimler erişebiliyor?
3. Personel hesaplarını kontrol edin: Resepsiyon, muhasebe, rezervasyon sorumlusu ve işletme yöneticisinin ayrı hesapları olmalıdır. İşten ayrılan bir çalışanın hesabı açıksa kapattırın.
4. Erişim kayıtlarını sorun: İşlem kayıtları; hangi kullanıcının, ne zaman ve hangi müşteri kaydını açtığını gösteren kayıtlardır. Programınızda bu kayıtların tutulup tutulmadığını ve gerektiğinde size sunulup sunulamayacağını öğrenin.
5. Yazılı yanıt ve tarih isteyin: Telefonda “sorun yok” denmesi yerine, sorularınıza e-posta veya destek kaydı üzerinden cevap verilmesini isteyin. Bir eksik varsa ne zaman giderileceğini de yazılı alın.
6. Sözleşmenizi bulun: Yazılım firmasıyla yaptığınız sözleşmede müşteri verilerinin korunması, olası olayların size bildirilmesi, destek ve erişim yetkileriyle ilgili maddeleri işaretleyin.

Web sitenizdeki rezervasyon alanı da bu listenin içindedir. Formun kendisi için ayrı kontrol adımlarını Rezervasyon Formu Güvenli mi? yazımızda bulabilirsiniz. Bu yazıdaki kontrol ise formdan sonra bilgilerin gittiği rezervasyon programı ve dışarıdan alınan hizmetler içindir.

Yazılım sağlayıcısına hangi soruları göndermelisiniz?

Aşağıdaki sorular, “sistemimiz güvenli” gibi genel bir cevap yerine işletmenize özel, denetlenebilir bilgi almanıza yardımcı olur.

Sorulacak soru	Beklenecek net cevap	Dikkat edilmesi gereken durum
Rezervasyon kodu tek başına kayıt açar mı?	Kodun yanında hangi ikinci bilginin zorunlu olduğu açıklanmalı.	“Gerek yok” veya “genelde güvenli” gibi belirsiz cevaplar.
Hangi müşteri bilgilerini tutuyorsunuz?	Ad, iletişim bilgisi, konaklama ve diğer kayıt türleri açıkça listelenmeli.	İşletmenizin hangi verisinin nerede olduğunu bilmemesi.
Kimler müşteri kayıtlarını görebilir?	İşletme personeli, yazılım firması desteği ve varsa diğer tarafların erişimi belirtilmeli.	Eski çalışanların veya gereksiz kullanıcıların erişiminin açık kalması.
Kayıtları kim açtı, görebiliyor musunuz?	İşlem kayıtlarının tutulduğu ve inceleme gerektiğinde nasıl verileceği açıklanmalı.	Bir sorun yaşandığında kaydı kimin görüntülediğinin anlaşılamaması.
Bir sorun fark edilirse bana ne zaman haber verirsiniz?	Bildirim yöntemi, sorumlu kişi ve işletmenize ulaşılacak iletişim bilgisi yazılı olmalı.	Yalnızca sözlü destek sözü verilmesi.

Bu soruları e-posta ile gönderin ve gelen yanıtları işletme dosyanızda saklayın. Sezon yoğunlaşmadan yapılan bu çalışma, sonradan “Bu bilgileri kim görebiliyordu?” sorusuna cevap vermenizi kolaylaştırır.

Yazılım firması varsa sorumluluk tamamen onda mı olur?

Hayır, sorumluluğun nasıl paylaşılacağı sözleşmeye ve somut olaya göre değerlendirilir; yazılım firmasının varlığı işletmenin kontrol yükünü otomatik olarak ortadan kaldırmaz.

Veri sorumlusu, müşteri bilgilerinin neden ve nasıl tutulacağına karar veren taraf anlamına gelir. Otel veya pansiyon, misafirden rezervasyon aldığı ve konaklama sürecini yürüttüğü için bu konuda kendi yükümlülüklerini ayrıca değerlendirmelidir. Yazılım sağlayıcısı ise işletmeniz adına bilgileri işleyen taraf olabilir. Ancak bu ayrım, her sözleşme ve hizmet biçiminde farklı sonuçlar doğurabilir.

Bu nedenle sözleşmede en azından şu başlıkların açık olmasını isteyin: Yazılım firması hangi bilgilere erişebiliyor, bu erişimi hangi amaçla kullanıyor, işletmenize olay bildirimi nasıl yapılıyor, hizmet bittiğinde bilgilerinizin akıbeti ne oluyor ve destek ekibinin erişimi nasıl sınırlandırılıyor?

Plato Yazılım hukuki danışmanlık vermez. KVKK kapsamındaki hukuki yükümlülükleriniz, sözleşmeniz ve bildirim kararlarınız için avukatınızdan veya bu alanda yetkin bir danışmandan görüş almalısınız. Plato Yazılım, rezervasyon akışını, kullanıcı yetkilerini ve işletme süreçlerini teknik açıdan incelemenize yardımcı olabilir.

Personel erişimini nasıl düzenlemelisiniz?

Her çalışan yalnızca işi için gereken müşteri bilgisini görmeli ve herkes kendi hesabını kullanmalıdır.

Örneğin resepsiyondaki personelin giriş-çıkış işlemleri için gerekli bilgilere erişmesi gerekebilir. Buna karşılık sezonluk çalışan, yalnızca oda hazırlık listesine ihtiyaç duyuyorsa misafirin telefon numarasını veya ayrıntılı notlarını görmemelidir. Aynı ortak kullanıcı adıyla işlem yapılması, bir sorun olduğunda hangi kişinin hangi kaydı açtığını belirsizleştirir.

• Her çalışan için ayrı kullanıcı hesabı tanımlayın.
• İşten ayrılan veya sezonu biten personelin erişimini aynı gün kapatın.
• Yönetici yetkisini yalnızca gerçekten ihtiyacı olan kişilere verin.
• Yazılım firması destek ekibinin erişiminin ne zaman ve hangi amaçla açıldığını sorun.
• En az sezon başında ve sezon sonunda kullanıcı listesini gözden geçirin.

KVKK'nın kişisel veri güvenliği rehberi de erişim yetkilerinin, kullanıcı hesaplarının, işlem kayıtlarının ve hizmet sağlayıcılarla yapılan sözleşmelerin kontrol edilmesini önerir. İşletme sahibinin günlük dilde sorması gereken soru basittir: “Müşteri bilgilerime kim, ne zaman ve neden bakabiliyor?”

Bir sızıntı şüphesinde ne yapmalısınız?

Önce erişimi durdurun, yazılım sağlayıcısından olayın kapsamını yazılı isteyin ve hukuki bildirim sürecini gecikmeden değerlendirin.

Müşteri kaydının yetkisiz biçimde açıldığı, dışarıda paylaşıldığı veya sisteme izinsiz erişildiği şüphesinde ekran görüntüsü, e-posta ve tarih gibi mevcut kanıtları saklayın. Ancak kanıt toplamak için başka müşterilerin kayıtlarını açmaya çalışmayın. Yazılım firmanızdan hangi kayıtların, hangi tarihlerde ve kimler tarafından etkilenmiş olabileceğine ilişkin yazılı bilgi talep edin.

KVKK'nın açıklamasına göre veri ihlalinin öğrenilmesinden sonra Kurula gecikmeden ve en geç 72 saat içinde bildirim yapılması gerekir. Somut olayın bildirim gerektirip gerektirmediği hukuki değerlendirme ister. Bu nedenle avukatınızla hemen görüşün. İhlal sonrasındaki ilk adımlar için Müşteri Verisi Sızarsa Ne Yapmalısınız? 72 Saat Kuralı rehberimizi de inceleyebilirsiniz.

Yeni bir rezervasyon sistemi alırken maliyeti nasıl değerlendirmelisiniz?

Tek bir fiyat yerine, mevcut sisteminizdeki eksiklerin giderilme bedelini ve yeni sisteme geçişteki toplam işi ayrı ayrı isteyin.

Her işletmenin oda sayısı, satış kanalı, personel yapısı ve mevcut programı farklıdır. Bu nedenle rezervasyon yazılımı için herkes adına geçerli bir fiyat söylemek doğru olmaz. Teklif isterken yalnızca aylık ücreti sormayın. Kurulum, mevcut müşteri ve rezervasyon kayıtlarının aktarımı, personel eğitimi, destek, kullanıcı hesabı düzeni ve bakım gibi kalemlerin teklife dahil olup olmadığını sorun.

Mevcut sisteminizde küçük bir ayar yeterli olabilir; bazı işletmelerde ise web sitesi, rezervasyon süreci ve müşteri takibinin birlikte ele alınması gerekebilir. Karar vermeden önce yazılı ihtiyaç listenizi ve sağlayıcının yazılı yanıtlarını karşılaştırın.

Sıkça Sorulan Sorular

Rezervasyon numarasıyla müşteri bilgileri görülebilir mi?

Bir sistemin yalnızca rezervasyon numarasıyla müşteri kaydını açması güvenlik riski oluşturabilir. Rezervasyon koduna ek olarak soyadı gibi ikinci bir doğrulama bilgisi istenip istenmediğini yazılım sağlayıcınıza sorun.

Otel rezervasyon sistemimde iki aşamalı doğrulama gerekli mi?

Rezervasyon kaydını görüntüleyen müşteri için kod yanında ek bilgi istenmesi, kaydın yanlış kişiye açılma riskini azaltır. Personel hesaplarında ise herkesin ayrı hesabı olması ve yetkilerin göreve göre sınırlandırılması temel bir kontroldür. İşletmenize uygun yöntemi yazılım sağlayıcınızla değerlendirin.

Kanal yöneticisi müşteri bilgilerimi de görebilir mi?

Bu, kullandığınız hizmetin yapısına ve bağlantılarına bağlıdır. Kanal yöneticisi firmanıza hangi müşteri bilgilerini tuttuğunu, bu bilgilere kimlerin eriştiğini ve erişimin nasıl sınırlandığını yazılı olarak sorun.

Rezervasyon yazılımı firması veri sızarsa ilk kimi aramalıyım?

Önce yazılım sağlayıcınızın destek ve yetkili iletişim kişisine yazılı olarak ulaşın. Aynı anda işletme içindeki yetkili kişiyi ve hukuki danışmanınızı bilgilendirin. Olayın kapsamı netleşmeden müşterilere veya kamuya yapılacak açıklamalar için hukuki görüş alın.

Plato Yazılım bu kontrolü yapabilir mi?

Evet. Rezervasyon akışınızı, kullanıcı hesaplarınızı, erişim düzeninizi ve web sitenizle diğer araçlar arasındaki işleyişi işletmenize özel olarak gözden geçirebiliriz. Hukuki danışmanlık vermeden, eksikleri somutlaştırmanıza ve gerekirse daha düzenli bir rezervasyon yapısı kurmanıza yardımcı oluruz. Başlamak için bizimle iletişime geçebilirsiniz.