Gizlilik Politikası

Bu politika, Anyname Hotel'in kişisel verileri nasıl ele aldığını açıklar. Sorumlu tüzel kişi, belgenin sonundaki İletişim maddesinde belirtilmiştir.

Politika, birlikte "Hizmet" dediğimiz şu ürünlerin tamamını kapsar:

•app.anynamehotel.com adresindeki web uygulaması.

•iOS için Anyname Hotel uygulaması.

•Android için Anyname Hotel uygulaması.

•Türkçe sayfaları dâhil olmak üzere anynamehotel.com adresindeki genel web sitesi.

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ile, uygulandığı otel ve misafirler bakımından (AB) 2016/679 sayılı Tüzük ("GDPR") gözetilerek yazılmıştır.

Hizmet'e girilen misafir ve personel verisi bakımından veri sorumlusu oteldir; Anyname Hotel, otelin talimatıyla hareket eden veri işleyendir (GDPR: controller / processor).

Otelin kendi hesap ve faturalandırma kayıtları, bize gönderilen destek mesajları, genel web sitesinden veya uygulama içinden iletilen başvurular ve 11. maddede anlatılan analitik bakımından veri sorumlusu Anyname Hotel'dir.

Veri işleyen sıfatıyla yalnızca otelin Hizmet üzerinden veya yazılı olarak verdiği talimatla hareket ederiz. Misafir verisini kendi amaçlarımız için kullanmaz, satmaz, kiralamaz, reklam veya profilleme için kullanmaz ve yapay zekâ modeli eğitmekte kullanmayız.

•Misafir kaydı: ad ve soyad, e-posta adresi, telefon numarası, uyruk, kimlik veya pasaport numarası, doğum tarihi, resepsiyonun eklediği notlar ve otelin işaretlediği VIP veya kara liste durumu.

•Konaklama kaydı: oda, tarih ve saatler, yetişkin ve çocuk sayısı, ücret, folyo harcamaları, ödemeler ve ödeme yöntemi.

•Cari kaydı: firma adı, vergi numarası, yetkili kişinin adı, telefonu ve e-postası ile notlar.

•Kasa ve gider kaydı: kasa hesapları, kasa hareketleri, giderler, tedarikçiler ve her kaydı giren personel.

•Personel kaydı: ad, kullanıcı adı, rol, hesap durumu ve her hesabın yaptığı işlemlerin yalnızca eklenebilen kaydı — giriş, ödeme, düzeltme, oda durumu — işlemi yapan hesabın adı, saati ve işlemin geldiği ağ adresiyle birlikte.

•Tesis kaydı: otel adı, ünvan, adres, iletişim bilgileri, para birimi, giriş ve çıkış saatleri ve entegrasyon kullanılıyorsa otelin kendi kimlik bildirim bilgileri.

•Bildirim için cihaz kaydı: Apple veya Google'ın o cihaz için verdiği bildirim anahtarı, platform, uygulama sürümü ve seçilen dil; o cihazda giriş yapan personel hesabına bağlı olarak.

•Otel Telegram giriş botunu açtıysa: bota bağlanan kişilerin Telegram sohbet kimliği, kullanıcı kimliği ve kullanıcı adı ile giriş işlemi sürerken misafirin bota yazdıkları.

•Kullanılmışsa personel davetleri: davet edilen e-posta adresi ve davetin kullanılıp kullanılmadığı.

KVKK m. 6 veya GDPR m. 9 anlamında özel nitelikli kişisel veri tutmayız. Kimlik veya pasaport numarası bir kimlik bilgisidir, özel nitelikli veri değildir; Hizmet'te sağlık, biyometrik, dinî veya siyasi veri için bir alan bulunmaz.

•Genel web sitesinden veya uygulama içindeki demo formundan gelen başvurular: yanıtlayabilmek ve takip edebilmek için ad, otel adı, telefon, şehir ve yazılan mesaj.

•Bize gönderilen destek mesajları: gönderenin adı, verilen yanıt adresi, konu, mesaj ve hangi tesisten geldiği.

•Hesap kapatma talepleri: kimin istediği, ne zaman istediği, varsa gerekçe ve verdiğimiz karar.

•Veri dışa aktarma talepleri: kimin istediği, ne zaman istediği, yazılan gerekçe, kararımız ve varsa notumuz ile onaylanan indirmenin kullanılıp kullanılmadığı.

•Tesisin lisans ve faturalandırma referansları.

•10. maddede anlatıldığı şekliyle Hizmet'ten gelen hata ve başarım raporları.

•Yalnızca dört genel tanıtım sayfasında ve yalnızca ziyaretçi onay verdiyse, 11. maddede anlatılan analitik ve reklam ölçümü.

Hizmet'in hiçbir yerinde kart numarası, güvenlik kodu veya banka şifresi saklanmaz. Ödemeler tutar ve yöntem olarak kaydedilir — nakit, kart, havale, mobil veya cari — kart verisi olarak değil. İleride kartla ödeme açılırsa kartlar lisanslı bir ödeme kuruluşunda işlenir ve bizde yalnızca onun referansı kalır.

Otel adına işlenenler

•Tesisi işletmek için — oda ataması, konaklama faturalandırması, kasa mutabakatı ve yönetime raporlama. Sebep: otelin talimatıyla KVKK m. 5/2(c) ve (f), GDPR m. 6(1)(b) ve (f).

•Otelin yasal yükümlülükleri için — kolluğa misafir kimlik bildirimi ve muhasebe kayıtlarının kanuni süre boyunca saklanması. Sebep: KVKK m. 5/2(a) ve (ç), GDPR m. 6(1)(c).

•Hizmet'in güvenliği ve kötüye kullanım incelemesi için, işlem kaydı üzerinden. Sebep: KVKK m. 5/2(f), GDPR m. 6(1)(f).

Veri sorumlusu sıfatıyla işlediklerimiz

•Başvuruları ve destek mesajlarını yanıtlamak, ne sorulduğunu ve ne yaptığımızı kayda geçirmek için. Sebep: KVKK m. 5/2(c) ve (f), GDPR m. 6(1)(b) ve (f).

•Hizmet'i çalışır tutmak, çökme ve hataları teşhis etmek için. Sebep: meşru menfaat, KVKK m. 5/2(f), GDPR m. 6(1)(f).

•Faturalandırma ve kendi kanuni kayıtlarımız için. Sebep: KVKK m. 5/2(a), GDPR m. 6(1)(c).

•Genel sayfalarda analitik ve reklam ölçümü için. Sebep: açık rıza, KVKK m. 5/1, GDPR m. 6(1)(a) — istendiği zaman geri alınabilir.

Hizmet'te, bir misafir veya personel hakkında hukuki sonuç doğuran ya da onu benzer şekilde önemli ölçüde etkileyen otomatik bir karar üretilmez.

VIP veya kara liste gibi işaretler otelin kendi personeli tarafından, kayıt kayıt konur. Hesaplanmaz, davranıştan çıkarılmaz ve tesisler arasında paylaşılmaz: bir otelde işaretlenen misafir, Hizmet'teki diğer her otel için tanımsızdır.

Az sayıda veri işleyen kullanırız. Her biri yazılı bir veri işleme sözleşmesiyle bağlıdır, yalnızca talimatımızla hareket edebilir ve veriyi kendi amaçları için kullanamaz.

•Supabase — veritabanı, kimlik doğrulama, dosya saklama ve bildirim iletimi. Barındırma bölgesi proje için belirlendiği şekildedir.

•Vercel — web uygulaması ve genel site için uygulama barındırma ve içerik dağıtımı.

•Sentry — 10. maddede anlatıldığı şekliyle hata ve başarım raporları.

•Apple (APNs) ve Google (FCM) — bildirimlerin kayıtlı cihaza iletilmesi. Bildirim anahtarını ve bir olay ile oda numarası taşıyan içeriği alırlar; hiçbir zaman bir kimlik belgesini değil.

•Bir e-posta gönderim sağlayıcısı — yalnızca uygulama içinden bize gönderilen destek mesajları için ve yalnızca o mesajın içeriği kadarıyla. Misafir kayıtları e-postayla gönderilmez.

•Otel açtıysa: otelin kendi kimlik bildirim hesabı üzerinden ilgili kurumlar; ve yalnızca isteğe bağlı giriş botundan geçen mesajlar için Telegram.

•Yalnızca genel tanıtım sayfalarında ve yalnızca onaydan sonra: Google (Analytics), Meta (Pixel ve dönüşüm arayüzü), PostHog ve Vercel Analytics. Bkz. 11. madde.

Hiçbir veri tarafımızca satılmaz, kiralanmaz, reklam veya profilleme için kullanılmaz. Otel talimat vermedikçe ya da bir mahkeme veya mevzuat zorunlu kılmadıkça bu sağlayıcılar dışında kimse misafir verisi almaz; zorunlu kılındığımız ve otele bildirmemiz hukuken mümkün olduğu hâllerde bildiririz.

Otel verisine dokunan bir sağlayıcıyı eklersek veya değiştirirsek, başlamadan önce sahip hesabına bildiririz; böylece otel itiraz edebilir veya yürürlüğe girmeden ayrılabilir.

Platform konsolumuz tesisleri, lisans durumlarını ve kullanım toplamlarını listeleyebilir. Az sayıda çalışanımız, gerçekten gerekli olduğunda bir tesisin kayıtlarına da erişebilir: otelin bildirdiği bir arızayı incelemek, veriyi geri getirmek veya mevzuatın gerektirdiği hâller için.

Bu erişim yalnızca ihtiyacı olan kişilerle sınırlıdır, yalnızca bu amaçlarla kullanılır; misafir kayıtları merak saikiyle ya da ticari amaçla okunmaz. Canlı bir güvenlik olayını durdurmak zorunda kalmadıkça, otelin kendi hesabına sormadan giriş yapmayız.

Çalışanlarımız, görevleri sona erdikten sonra da devam eden yazılı gizlilik yükümlülükleri altındadır.

iOS ve Android uygulamaları, aynı Hizmet'in farklı bir biçimidir. Aynı veritabanıyla konuşur, aynı kayıtları tutar ve bu politikanın diğer tüm maddelerine tabidir. Onlara özgü dört konu vardır.

Cihaz izinleri

Uygulamalar tek bir izin ister: bildirim. Kamerayı, fotoğraf galerisini, mikrofonu, herhangi bir hassasiyetteki konumu, rehberi veya takvimi kullanmaz ve bunları okuyan hiçbir kod içermez.

Bildirimler

Personel bildirimlere izin verirse cihaz, Apple veya Google'dan bir anahtar alır. Bir vardiya değişiminin doğru telefona ulaşması için bu anahtarı; platform, uygulama sürümü ve dil ile birlikte o personel hesabına bağlı olarak saklarız. Bildirimler bir olay ve bir oda numarası taşır — hiçbir zaman kimlik belgesi, folyo veya misafirin kimlik numarası taşımaz. Bildirimleri işletim sisteminden kapatmak ya da çıkış yapmak kaydı sona erdirir.

İzleme ve reklam yok

Uygulamalarda reklam kimliği, reklam SDK'sı ve uygulamalar veya siteler arası izleme yoktur. Soracak bir şey olmadığı için iOS'un izleme izni ekranı hiç gösterilmez. Topladıkları hiçbir şey veri simsarlarıyla paylaşılmaz ve başka bir şirketin uygulama veya sitelerinden gelen verilerle birleştirilmez.

Mağaza etiketlerinin söyledikleri

App Store ve Google Play'de beyan edilen veri türleri bu politikayla örtüşür: iletişim bilgileri, kimlik ve konaklama kayıtları, satın alma ve mali kayıtlar, hesap ve cihaz tanımlayıcıları ile serbest metin notları — hepsi bir hesaba bağlı, hepsi yalnızca uygulamanın çalışması için, hiçbiri izleme için değil. Çökme ve başarım raporları ayrıca beyan edilir ve hiçbir kimliğe bağlı değildir.

Hizmet, kendi çökme ve hatalarını Sentry'ye bildirir; böylece bir resepsiyonistin gece ikide karşılaştığı arıza sessizce katlanılan değil, bizim gördüğümüz bir şey olur.

Bu raporlar kişisel veri taşımayacak şekilde yapılandırılmıştır. Ekran görüntüsü ve arayüz hiyerarşisi yakalama kapalıdır, oturum tekrarı kapalıdır ve ağ adresi ile giriş yapmış kullanıcı dâhil varsayılan kişisel tanımlayıcıların gönderilmesi kapalıdır. Kaydedilen her ağ adresinden sorgu dizesi, olay cihazdan çıkmadan önce ayıklanır; böylece misafirin telefon numarası gibi bir veritabanı filtresi bir hata kaydının içinde yolculuk edemez.

Bir raporun içeriği şudur: hatanın kendisi, kodun neresinde olduğu, uygulama sürümü, cihaz modeli ve işletim sistemi sürümü. Rapor bir personel hesabına veya bir misafire bağlı değildir.

Raporlar Sentry'de 90 gün saklanır ve sonra silinir.

Hizmet'in içinde

Web uygulaması ile iOS ve Android uygulamaları yalnızca çalışmak için gerekeni kullanır: giriş yapmış kullanıcının açık kalması için bir oturum anahtarı ve seçilen dil, açık/koyu tema, bildirim tercihleri ile hatırlanan tesis kodu için yerel depolama. Hizmet'in hiçbir yerinde reklam çerezi veya siteler arası izleme yoktur. Bunların hiçbiri isteğe bağlı değildir ve hiçbiri davranış gözlemlemek için kullanılmaz.

Genel tanıtım sayfalarında

Dört sayfa geneldir: İngilizce ana sayfa, Türkçe ana sayfa ve bu iki hukuki sayfa. Yalnızca bu sayfalarda ve yalnızca ziyaretçi çerez bildirimi üzerinden etkin olarak onay verdikten sonra, kendi reklamlarımızın ne kadar işe yaradığını ölçmek için Google Analytics, Meta Pixel ve dönüşüm arayüzü ile PostHog yüklenir. Vercel Analytics çerez kullanmadan toplulaştırılmış sayfa sayıları toplar.

Onay verilmeden hiçbir şey yüklenmez — etiketler yüklenip sonradan sorulmaz, seçim yapılana kadar sayfaya hiç eklenmez. Ret hatırlanır, böylece bildirim bir sonraki ziyarette yeniden gösterilmez. Onay, tarayıcıda anynamehotel.com için site verileri temizlenerek istenildiği zaman geri alınabilir.

Bu etiketler, giriş yapılmış hiçbir sayfada çalışmaz. İş başındaki otel personeli bir reklam kitlesi değildir ve kullandıkları ekranlar misafir adı taşır.

Ziyaretçi bir reklamdan geliyorsa, bağlantıdaki kampanya bilgileri o tarayıcıda ziyaret süresince tutulur ve yalnızca ziyaretçi demo formunu göndermeyi seçerse bize ulaşır — o noktada zaten aranmayı istemektedir.

Veriler, Türkiye dışında ve Avrupa Ekonomik Alanı dışında olabilen Supabase ve Vercel veri merkezlerinde barındırılır.

KVKK m. 9 uyarınca yurt dışına aktarımın kendi hukuki dayanağı gerekir. Bu sağlayıcılarla yürürlükteki yazılı taahhütlere ve standart sözleşme hükümlerine, GDPR'ın uygulandığı hâllerde ise m. 46'daki uygun güvencelere dayanırız. Otel, kendisine hangi mekanizmanın uygulandığını sorabilir ve söyleriz.

Verisinin belirli bir bölgede kalmasını isteyen oteller bunu kuruluma başlamadan önce iletmelidir; karşılayıp karşılayamayacağımızı söyleyebilelim.

•Misafir ve konaklama kayıtları: otel bunları silene veya hesabını kapatana kadar. Muhasebeyi ilgilendiren kayıtlar, otelin kendi kanuni saklama yükümlülüğü sürdüğü kadar tutulur.

•Onaylanan hesap kapatmadan sonra: hiçbir şeyin silinmediği ve otelin hâlâ vazgeçebildiği 30 gün, ardından canlı veritabanından silme, ardından sonraki 30 gün içinde şifreli altyapı yedeklerinden çıkarma.

•Lisans sona erdikten veya ödenmediği için askıya alındıktan sonra: yenileme hâlinde her şey eksiksiz geri gelsin diye sona ermeden itibaren 90 gün; sonrasında silinebilir ve silmeden önce sahip hesabına yazarız.

•Web sitesinden ve uygulama içinden gelen başvurular: gönderen daha erken silinmesini istemedikçe son temastan itibaren 24 ay.

•Destek mesajları: bir sorunun geçmişi görülebilsin diye 24 ay.

•Hesap kapatma ve veri dışa aktarma talepleri ile bunlara verdiğimiz kararlar: ne istendiğinin ve ne yaptığımızın kanıtı olarak 5 yıl.

•Hata ve başarım raporları: 90 gün.

•Bildirim cihaz kayıtları: cihaz kaydı silinene, personel hesabı kaldırılana veya anahtar geçersiz sayılana kadar.

Kolluğa daha önce iletilmiş kimlik bildirimleri bizde değil, ilgili kurumun sistemlerinde bulunur; burada hesap kapatmak onları geri çekmez.

Erişim her personel hesabı için doğrulanır ve role göre ayrılır. Her tesisin satırları veritabanı düzeyinde satır bazlı güvenlikle izole edilir; böylece bir tesis diğerinin verisini okuyamaz — bu izolasyon yalnızca uygulama tarafından değil, veritabanının kendisi tarafından uygulanır.

Trafik aktarım sırasında TLS ile şifrelenir, veriler altyapı sağlayıcılarımızda şifreli olarak saklanır. Şifreler yalnızca tuzlanmış özet olarak tutulur ve bizim tarafımızdan okunamaz.

Operasyonel işlemler, kimin ne zaman ne yaptığını kaydeden ve yalnızca eklenebilen bir kayda yazılır. Bizim tarafımızdaki yönetimsel erişim adı belli kişilerle sınırlıdır ve gözden geçirilir.

Hiçbir sistem kusursuz güvenli değildir. Bağımlılıklarımızı güncel tutar, platformun güvenlik durumunu düzenli aralıklarla gözden geçirir ve bu incelemelerin bulgularına göre hareket ederiz.

Otelin verisini etkileyen bir ihlal tespit edersek, tarif edebilecek kadar bilgi edinir edinmez gecikmeksizin sahip hesabına bildiririz: ne olduğu, bildiğimiz kadarıyla hangi verinin etkilendiği, ne yaptığımız ve otelin ne yapması gerektiği.

Veri sorumlusu otel olduğundan, Kişisel Verileri Koruma Kurumu'na ve gerekiyorsa ilgili kişilere bildirimi otel yapar. Kurul'un 2019/271 sayılı kararı uyarınca bu bildirim, otelin öğrenmesinden itibaren 72 saat içinde yapılır. Otelin bu süreye yetişebilmesi için gereken bilgiyi ve makul desteği veririz.

Veri sorumlusunun biz olduğu hâllerde — başvurular, destek mesajları, hesap ve faturalandırma kayıtları, tanılama verileri — bildirimi aynı süreler içinde Kurum'a ve ilgili kişilere kendimiz yaparız.

KVKK m. 11 ve uygulandığı hâllerde GDPR uyarınca herkes; kişisel verisinin işlenip işlenmediğini öğrenme, işlenme amacını ve kimlere aktarıldığını öğrenme, kopyasını veya taşınabilir biçimini isteme, yanlış olanın düzeltilmesini isteme, silinmesini isteme, işlenmesine itiraz etme, düzeltme ve silmenin aktarıldığı üçüncü kişilere bildirilmesini isteme ve hukuka aykırı işleme nedeniyle uğradığı zararın giderilmesini talep etme hakkına sahiptir.

Nasıl kullanılır

Misafirler, konakladıkları otele başvurmalıdır. İlişki oteldedir ve otel kaydı uygulama içinde görüntüleyebilir, düzeltebilir, dışa aktarabilir veya silebilir; bunun için bizden bir şey istemesi gerekmez. Talep önce bize ulaşırsa oteli bilgilendirir ve uygulamasına yardımcı oluruz.

Tesis personeli ve kendi hesabını soran oteller support@anynamehotel.com adresine yazabilir. KVKK m. 13'teki süre olan 30 gün içinde yanıtlarız; GDPR'ın uygulandığı hâllerde bir ay içinde yanıtlarız.

İşlem yapmadan önce başvuranın kimliğinden emin olmaya yetecek kadar bilgi isteyebiliriz. Bu, başvuran için bir güvence olup engel değildir ve mümkün olan en azını isteriz.

Yanıtımızdan memnun kalmayan herkes Kişisel Verileri Koruma Kurumu'na (kvkk.gov.tr) veya GDPR kapsamında kendi denetim otoritesine şikâyette bulunabilir.

Hizmet bir personel aracıdır. Çocuklara sunulmaz, çocuklara yönelik tanıtılmaz ve çocuklar için tasarlanmamıştır; bir çocuktan kullanıcı olarak bilerek veri toplamayız.

Konaklama mevzuatı her misafirin kaydedilmesini gerektirdiği için bir misafir kaydı, ailesiyle seyahat eden bir çocuğu içerebilir. Bu kaydın veri sorumlusu oteldir ve otel bundan diğer misafir kayıtları gibi sorumludur.

Güncellemeler yeni sürüm numarası ve tarihle bu adreste yayımlanır. Önceki sürüm talep üzerine verilir.

Esaslı değişiklikler, yürürlüğe girmeden önce her tesisin sahip hesabına bildirilir. Bir değişiklik açık rıza gerektiriyorsa, varsaymak yerine rızayı isteriz.