Veri İşleyen Sözleşmesi

Yürürlük tarihi: 4 Ekim 2026

Bu Veri İşleyen Sözleşmesi ("Sözleşme"), 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.12/2 uyarınca, KBS Yanımda Kullanım Şartları'nın ayrılmaz bir parçasıdır ve aşağıdaki taraflar arasında elektronik ortamda kurulur.

1. Taraflar

1.1 Veri Sorumlusu ("Otel"): KBS Yanımda hesabını açan ve hesap kaydında, abonelik ve fatura bilgilerinde unvanı, adresi ve iletişim bilgileri yer alan konaklama tesisi işletmecisi (gerçek veya tüzel kişi).

1.2 Veri İşleyen ("KBS Yanımda"): İKA Otelcilik Proje Mimari Tasarım Reklam Sanayi Ltd. Şti. Adres: Çağlayan Mah. 2053 Sk. No: 6 Muratpaşa / Antalya Vergi dairesi/no: Antalya Kurumlar Vergi Dairesi / 4701302508 E-posta: kvkk@kbsyanimda.com · Telefon: 0553 065 0429

1.3 Kuruluş: Sözleşme; Otel'in kayıt sırasında, uygulamada veya yönetim panelinde Sözleşme'yi kabul ettiğini gösteren onay işlemiyle kurulur. KBS Yanımda, kabulün tarihini, kabul eden kullanıcıyı, kanalı ve Sözleşme'nin sürümünü kayıt altına alır.

2. Tanımlar

Bu Sözleşmede "kişisel veri", "işleme", "veri sorumlusu", "veri işleyen", "ilgili kişi", "Kurul" ve "Kurum" ifadeleri KVKK'daki anlamlarıyla kullanılır. "Hizmet", KBS Yanımda mobil uygulaması, yönetim paneli ve bunlara bağlı sunucu hizmetlerini; "KBS", Emniyet Genel Müdürlüğü ve Jandarma Genel Komutanlığı kimlik bildirim sistemlerini; "Misafir", Otel'de konaklayan kişileri ifade eder.

3. Konu ve kapsam

3.1 Sözleşmenin konusu, KBS Yanımda'nın Hizmet'i sunarken Otel adına ve Otel'in talimatları doğrultusunda işlediği kişisel verilere ilişkin tarafların hak ve yükümlülüklerinin belirlenmesidir.

3.2 İşlenen kişisel veriler, ilgili kişi grupları, işleme amaçları ve faaliyetleri Ek-1'de belirtilmiştir.

3.3 KBS Yanımda'nın kendi kullanıcı hesapları, abonelik, ödeme ve faturalama ile kendi bilgi güvenliği süreçleri için işlediği veriler bakımından KBS Yanımda veri sorumlusudur; bu veriler bu Sözleşmenin değil, KBS Yanımda Aydınlatma Metni'nin ve Gizlilik Politikası'nın konusudur.

4. Süre

Sözleşme, Kullanım Şartları kapsamındaki hizmet ilişkisi süresince yürürlükte kalır. Hizmet ilişkisi sona erse dahi, KBS Yanımda'nın elinde Otel adına işlenen kişisel veri bulunduğu sürece bu Sözleşmenin gizlilik, güvenlik ve imha hükümleri uygulanmaya devam eder.

5. Otel'in talimatları ve yükümlülükleri

5.1 Otel'in talimatları; bu Sözleşme, Kullanım Şartları ve Otel'in Hizmet'i kullanırken yaptığı işlemlerden (misafir kaydı oluşturma, KBS'ye bildirim gönderme, kayıt düzeltme veya silme, uygulama ayarları, dışa aktarma) oluşur. Bunların dışındaki talimatlar yazılı olarak (e-posta dahil) iletilir.

5.2 Otel, kimlik belgesi fotoğraflarının; yasal bildirim yükümlülüğünün yerine getirilmesi ve kanıtlanması; okuma doğruluğunun ve hizmet kalitesinin sağlanması ve iyileştirilmesi amaçlarıyla, Ek-4'teki saklama süresi boyunca saklanması talimatını verir. Otel, uygulama ayarlarındaki "Belge fotoğrafı topla" tercihini kapatarak ilgili cihazda fotoğraf toplanmasını durdurabilir.

5.3 Otel; misafirlerini KVKK m.10 uyarınca aydınlatmaktan, işleme faaliyetlerinin hukuki sebebinin bulunmasından, KBS erişim bilgilerinin doğruluğundan ve Hizmet'e yalnız yetkili çalışanlarının erişmesinden sorumludur. KBS Yanımda, Otel'in kullanabileceği bir misafir aydınlatma metni şablonu sağlar.

5.4 Otel, veri sorumlusu olarak tabi olduğu yükümlülükleri (VERBİS kaydı yükümlülüğü varsa dahil) kendisi yerine getirir.

6. KBS Yanımda'nın yükümlülükleri

KBS Yanımda:

6.1 Kişisel verileri yalnız Otel'in talimatları doğrultusunda ve Ek-1'deki amaçlarla işler. Bir talimatın mevzuata aykırı olduğunu düşünürse Otel'i gecikmeksizin bilgilendirir.

6.2 Kişisel verileri Hizmet dışında hiçbir amaçla kullanmaz; satmaz, kiralamaz, pazarlama amacıyla üçüncü kişilerle paylaşmaz.

6.3 Kişisel verilere erişimi işin gerektirdiği kişilerle sınırlar ve bu kişilerin gizlilik yükümlülüğü altında olmasını sağlar.

6.4 KVKK m.12/1 uyarınca Ek-2'deki teknik ve idari tedbirleri uygular ve bunları teknolojik gelişmeler doğrultusunda gözden geçirir.

6.5 Bu Sözleşmeye ve mevzuata uyumu göstermek için Otel'in makul bilgi taleplerini karşılar.

7. Gizlilik

KBS Yanımda, Otel adına işlediği kişisel verileri gizli tutar; mevzuattan doğan zorunluluklar ve yetkili kamu kurum ve kuruluşlarının hukuka uygun talepleri dışında üçüncü kişilere açıklamaz. Yetkili mercilerden bir talep gelirse, hukuken yasak olmadıkça Otel'i bilgilendirir. Bu yükümlülük Sözleşme sona erdikten sonra da devam eder.

8. Alt veri işleyenler

8.1 Otel, KBS Yanımda'nın Hizmet'in sunulması için Ek-3'te listelenen alt veri işleyenlerle çalışmasına genel izin verir.

8.2 KBS Yanımda, alt veri işleyen ekler veya değiştirirse, değişikliği yürürlükten en az 30 gün önce uygulama, yönetim paneli veya e-posta yoluyla Otel'e bildirir. Otel, haklı bir sebebe dayanarak bu süre içinde itiraz edebilir; itirazın giderilememesi hâlinde Otel Sözleşmeyi ve hizmet ilişkisini feshedebilir.

8.3 KBS Yanımda, alt veri işleyenleri veri güvenliği bakımından yeterli güvence sağlayanlar arasından seçer ve alt veri işleyenlerin fiillerinden Otel'e karşı sorumludur.

9. Yurt dışına aktarım

9.1 Barındırma: Kişisel veriler, Avrupa Birliği içinde, Almanya'da bulunan veri merkezindeki sunucularda saklanır ve işlenir; sunucu dışı şifreli yedek kopyalar da Avrupa Birliği içindeki veri merkezlerinde tutulur. Bu nedenle barındırma kapsamında kişisel veriler yurt dışında (Almanya) bulunmaktadır.

9.2 Diğer hizmetler: Uygulama bildirimleri Apple Inc. ve Google LLC'nin bildirim servisleri aracılığıyla cihazlara iletilir; bu bildirimlerde misafirlere ait kimlik bilgisi yer almaz, yalnız cihaz bildirim belirteci ve genel bildirim metni (ör. bekleyen kayıt sayısı, oda numarası) iletilir.

9.3 KBS Yanımda, kişisel verileri bu maddede ve Ek-3'te belirtilenler dışında yurt dışına aktarmaz. Yurt dışına aktarım gerektiren yeni bir hizmet ancak KVKK m.9'daki şartlar sağlanarak ve 8.2'deki bildirim yapılarak kullanılır.

10. Kişisel veri ihlali

10.1 KBS Yanımda, Otel adına işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini veya buna ilişkin makul şüpheyi öğrendiğinde, bunu Otel'e gecikmeksizin ve en geç 24 saat içinde bildirir.

10.2 Bildirimde, o an bilinen ölçüde: ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kayıt/kişi sayısı, olası sonuçları, alınan ve alınması önerilen tedbirler ve irtibat kişisi yer alır. Bilgi aşamalı olarak tamamlanabilir.

10.3 KBS Yanımda, Otel'in Kurul'a ve ilgili kişilere bildirim yükümlülüğünü yerine getirebilmesi için gerekli bilgi ve belgeleri sağlar ve ihlalin etkilerini azaltmak için gerekli tedbirleri alır.

11. İlgili kişi başvurularında destek

11.1 Misafirlerden KBS Yanımda'ya doğrudan gelen başvurular, başvuru sahibine Otel'in veri sorumlusu olduğu bildirilerek gecikmeksizin Otel'e iletilir; KBS Yanımda bu başvuruları Otel'in talimatı olmadan kendisi yanıtlamaz.

11.2 Otel, Hizmet üzerinden misafir kayıtlarını görüntüleyebilir, düzeltebilir, dışa aktarabilir ve KBS'ye bildirilmemiş kayıtları silebilir. KBS'ye bildirilmiş kayıtlar, yanlışlıkla silinmeye karşı koruma amacıyla uygulama içinden silinemez; Otel bu kayıtların silinmesini yazılı olarak talep edebilir.

11.3 KBS Yanımda, Otel'in KVKK m.11 ve m.13 kapsamındaki başvuruları yasal sürede yanıtlayabilmesi için gerekli bilgiyi makul sürede sağlar.

12. Saklama, iade ve imha

12.1 Otel adına işlenen kişisel veriler Ek-4'teki süreler boyunca saklanır. Saklama süresi dolan veriler sistem tarafından otomatik olarak tespit edilir ve periyodik imha sürecinde silinir, yok edilir veya anonim hâle getirilir. İmha süreci KBS Yanımda Kişisel Veri Saklama ve İmha Politikası'nda düzenlenmiştir.

12.2 Hizmet ilişkisi sona erdiğinde veya Otel hesabını sildiğinde:

• Otel, sona ermeden önce kayıtlarını uygulamadaki dışa aktarma özelliğiyle alabilir; KBS Yanımda, sona ermeden önce yazılı talep edilmesi hâlinde kayıtların makine tarafından okunabilir bir kopyasını Otel'e iletir.
• Hesaba erişim hemen kapatılır; hesaba bağlı veriler talep tarihinden 30 gün sonra imha edilir.
• Kimlik belgesi fotoğrafları, 5.2'deki talimat uyarınca Ek-4'teki saklama süresi dolana kadar saklanır ve süre sonunda periyodik imha sürecinde imha edilir. Otel, fotoğrafların daha önce imha edilmesini yazılı olarak talep edebilir.
• Yasal saklama yükümlülüğü bulunan kayıtlar (ödeme/fatura kayıtları) yükümlülük süresince saklanır.
• Canlı sistemden imha edilen veriler, şifreli yedek kopyalarda yedekleme döngüsü tamamlanana kadar (en fazla 12 ay) kalabilir; bu kopyalar yalnız geri yükleme amacıyla kullanılır.

12.3 KBS'ye iletilmiş bildirimler ilgili kamu kurumunun sisteminde tutulur; KBS Yanımda bu kayıtları silemez.

13. Denetim

13.1 Otel, bu Sözleşmeye uyumu denetlemek için yılda en fazla bir kez, en az 30 gün önceden yazılı bildirimle bilgi ve belge talep edebilir. KBS Yanımda bu taleplere öncelikle yazılı açıklama, Ek-2'deki tedbirlere ilişkin özet ve varsa bağımsız denetim raporlarıyla yanıt verir.

13.2 Yerinde denetim; ihlal şüphesi, Kurul talebi veya yazılı yanıtların yetersiz kalması hâlinde, karşılıklı belirlenen tarihte, mesai saatlerinde, diğer otellerin verilerine ve KBS Yanımda'nın ticari sırlarına erişilmeden yapılır. Denetimin maliyeti talep edene aittir.

13.3 Kurul veya yetkili mercilerin denetimleri bu sınırlamalara tabi değildir.

14. Sorumluluk

Tarafların bu Sözleşmeden doğan sorumluluğu Kullanım Şartları'ndaki sorumluluk hükümlerine tabidir; kast ve ağır kusur hâlleri ile emredici hükümler saklıdır. Kişisel verilerin hukuka aykırı işlenmesinden doğan zararlarda taraflar, KVKK m.12/2 uyarınca müştereken sorumludur; iç ilişkide her taraf kendi kusuru oranında sorumludur.

15. Değişiklik

KBS Yanımda, mevzuat değişikliği veya Hizmet'teki değişiklikler nedeniyle Sözleşmeyi güncelleyebilir. Güncelleme, yürürlükten en az 30 gün önce bildirilir ve yeni sürüm Otel tarafından kabul edildiğinde yürürlüğe girer; Otel'i aleyhine etkileyen esaslı değişiklikleri kabul etmeyen Otel hizmet ilişkisini feshedebilir.

16. Uygulanacak hukuk ve yetki

Bu Sözleşme Türk hukukuna tabidir. Uyuşmazlıklarda Antalya mahkemeleri ve icra daireleri yetkilidir.

---

Ek-1 — İşlemenin ayrıntıları

İlgili kişi grupları

• Otel'de konaklayan misafirler (18 yaş altı misafirler dahil) ve, varsa, çocuk misafirlerin velileri;
• KBS erişim bilgileri Hizmet'e tanımlanan Otel yetkilisi/çalışanı.

Kişisel veri kategorileri

Kategori	Veriler
Kimlik	Ad, soyad, doğum tarihi, doğum yeri, cinsiyet, uyruk, anne adı, baba adı, T.C. kimlik numarası, pasaport veya kimlik belgesi numarası, belge türü
Kimlik belgesi görüntüsü	Belgenin kamerayla çekilen görüntüsü (belgedeki vesikalık fotoğraf dahil); okuma hatalarının tespiti için kısa süreli tarama tanılama görüntüleri. Belgenin çipinden (NFC) yalnız veri sayfasındaki bilgiler okunur; çipteki yüz görüntüsü okunmaz.
Konaklama	Oda numarası, giriş ve çıkış tarihleri, rezervasyon numarası, grup bilgisi
İletişim	Telefon, e-posta (çevrim içi ön kayıt formuyla verilmişse)
Veli bilgisi	Çocuk misafirler için veli adı ve telefonu (özellik açıksa)
İşlem güvenliği	Çevrim içi formda IP adresi ve tarayıcı bilgisi; kayıt ve bildirim işlem kayıtları
Bildirim sonucu	KBS'ye gönderim tarihi, KBS'den dönen sonuç ve hata mesajları, okuma yöntemi ve okuma süresi gibi işlem bilgileri
KBS erişim bilgileri	KBS kullanıcı adı, KBS kullanıcısının T.C. kimlik numarası (kurulum yöntemine göre), parola, doğrulama (TOTP) anahtarı, tesis referans kodu

İşleme amaçları

• 1774 sayılı Kimlik Bildirme Kanunu ve ilgili mevzuat kapsamında misafirlerin giriş ve çıkışlarının KBS'ye Otel adına bildirilmesi;
• Bildirimin yapıldığının kanıtlanması ve bildirim sonuçlarının Otel'e gösterilmesi;
• Otel'in misafir listesinin, oda ve giriş-çıkış takibinin yürütülmesi;
• Kimlik belgesi fotoğrafları bakımından: yasal bildirim yükümlülüğünün yerine getirilmesi ve kanıtlanması; okuma doğruluğunun ve hizmet kalitesinin sağlanması ve iyileştirilmesi;
• Bilgi güvenliğinin sağlanması ve hataların tespiti;
• Yetkili mercilerin hukuka uygun taleplerinin karşılanması.

İşleme faaliyetleri Toplama (belge tarama, çip okuma, elle giriş, çevrim içi form), okuma ve ayrıştırma, kaydetme, saklama, KBS'ye iletme, Otel'in uygulama ve panelinde görüntüleme, düzeltme, dışa aktarma, Otel cihazlarına bildirim gönderme, yedekleme ve imha.

Bildirimin iletilme yolu Bildirim, kural olarak uygulamanın kurulu olduğu Otel cihazından KBS'ye doğrudan iletilir. Cihazdan iletilemediği durumlarda bildirim KBS Yanımda sunucuları üzerinden iletilebilir.

Ek-2 — Teknik ve idari tedbirler

Teknik tedbirler

1. Uygulama, yönetim paneli ve sunucular arasındaki bağlantılar ile KBS'ye yapılan bağlantılar TLS ile şifrelenir.
2. KBS parolası ve doğrulama (TOTP) anahtarı AES-256 ile şifrelenmiş olarak saklanır.
3. Panel kullanıcılarının parolaları bcrypt ile özetlenerek saklanır; parolalar düz metin olarak tutulmaz.
4. Her otelin verileri otel kimliğiyle ayrılır; uygulama ve panel erişimi otele özgü erişim anahtarı ve oturumla, yalnız o otelin verileriyle sınırlandırılır.
5. Kritik işlemler denetim kaydına yazılır (otel işlemleri ve yönetim paneli işlemleri ayrı ayrı).
6. Yönetim paneline erişimde iki adımlı doğrulama (TOTP) zorunludur.
7. Otel kullanıcıları için yönetim panelinde isteğe bağlı iki adımlı doğrulama sunulur.
8. Giriş denemeleri sınırlandırılır; tekrarlanan hatalı denemeler geçici olarak engellenir.
9. Sunucuda güvenlik duvarı ve tekrarlanan hatalı bağlantı denemelerini engelleyen koruma kullanılır.
10. KBS gönderim günlüklerinde kimlik bilgileri maskelenerek tutulur.
11. Veritabanı ve dosyalar her gün yedeklenir; yedeğin bütünlüğü kontrol edilir; sunucu dışı yedek kopyalar şifrelenmiş olarak ayrı bir depolama hizmetinde tutulur.
12. Ödeme kartı bilgileri KBS Yanımda sunucularında tutulmaz; kartlı ödemeler ödeme kuruluşu, mağaza ödemeleri Apple ve Google tarafından işlenir.

İdari tedbirler

1. Yönetim paneline erişim yetkisi sınırlı sayıda yetkili kişiyle sınırlıdır.
2. Saklama süreleri tek bir tabloda tanımlanır; süresi dolan kayıtlar KVKK panelinde bildirim olarak görünür ve imha yalnız yetkili kişinin yazılı onayıyla yapılır; imha işlemleri kayıt altına alınır.
3. Kişisel Veri Saklama ve İmha Politikası uygulanır.
4. Alt veri işleyenlerin veri koruma koşulları sözleşmeyle belirlenir.
5. Kişisel veri ihlali hâlinde 10. maddedeki bildirim süreci işletilir.

Ek-3 — Alt veri işleyenler

Alt veri işleyen	Hizmet	Konum	İşlenen veriler
Contabo GmbH	Sunucu barındırma	Almanya	Ek-1'deki tüm veriler
Hetzner Online GmbH	Şifreli sunucu dışı yedek depolama	Avrupa Birliği	Ek-1'deki tüm veriler (şifreli yedek olarak)
Apple Inc.	iOS anlık bildirim servisi (APNs)	ABD / küresel	Cihaz bildirim belirteci ve bildirim içeriği (bkz. m.9.2)
Google LLC	Android anlık bildirim servisi (Firebase Cloud Messaging)	ABD / küresel	Cihaz bildirim belirteci ve bildirim içeriği (bkz. m.9.2)
E-posta gönderim hizmeti sağlayıcısı	Hizmet e-postaları (ör. çevrim içi ön kayıt onayı)	Türkiye	Alıcı e-posta adresi ve e-posta içeriği
Vekil sunucu (proxy) hizmeti sağlayıcısı	Sunucu üzerinden yapılan KBS bağlantılarında Türkiye çıkışlı bağlantı	Türkiye çıkışlı	Bağlantı içeriği uçtan uca TLS ile şifreli olduğundan içerik görülmez; yalnız bağlantı zamanı ve hedef adresi

Ek-4 — Saklama süreleri

Veri kategorisi	Saklama süresi
Misafir kayıtları (kimlik bilgileri)	KBS bildiriminden sonra 24 ay
Kimlik belgesi fotoğrafları	24 ay
Hesabı silinen otelin verileri	silme talebinden 30 gün sonra
Panel kullanıcı hesapları	abonelik süresince + sona ermesinden 12 ay sonra
Denetim (audit) kayıtları	180 gün
Uygulama teşhis/telemetri kayıtları ve giriş ölçümleri	12 ay
KBS hata ayıklama dökümleri	30 gün
Sunucu erişim günlükleri	12 ay
Ödeme/fatura kayıtları	10 yıl (vergi ve ticaret mevzuatı)
Push/hatırlatma ve kayıt olayı kayıtları	12 ay

Saklama süresi dolan veriler sistem tarafından otomatik olarak tespit edilir ve periyodik imha sürecinde silinir, yok edilir veya anonim hâle getirilir.