Cloud PMS Gerçekleri – Bölüm 3

Cloud PMS’te Veriden Kim Sorumlu?

Cloud PMS sistemleri esneklik, uzaktan erişim ve operasyonel kolaylık sağlar. Ancak teknolojinin ötesinde cevaplanması gereken kritik bir soru vardır:

Misafir verilerinden hukuken kim sorumludur?

Misafir kimlik bilgileri, iletişim detayları, ödeme kayıtları ve konaklama geçmişi yalnızca operasyonel veri değildir. Bunlar hukuken koruma altında olan kişisel verilerdir.

Veri Sorumlusu ve Veri İşleyen Ayrımı

KVKK (Kişisel Verilerin Korunması Kanunu) ve Avrupa Birliği’nde GDPR gibi düzenlemeler veri rollerini açıkça tanımlar:

• Otel veri sorumlusudur.
• Cloud PMS sağlayıcısı veri işleyendir.

Bu, kişisel verilerin hangi amaçla ve nasıl işleneceğine otelin karar verdiği anlamına gelir. PMS sağlayıcısı ise veriyi otel adına işler.

Ancak hukuki tanım ile operasyonel gerçeklik her zaman birebir örtüşmez.

Hukuki Sorumluluk Otelde Kalır

Veri sağlayıcının altyapısında saklansa bile, otel aşağıdaki konulardan sorumludur:

• Verinin hukuka uygun işlenmesi
• Kişisel verilerin güvenliğinin sağlanması
• Veri ihlallerine karşı gerekli önlemlerin alınması
• Silme, düzeltme ve erişim taleplerinin karşılanması

Bir veri ihlali yaşandığında, düzenleyici kurumlar öncelikle veri sorumlusunu muhatap alır.

Altyapıyı dış kaynak kullanarak sağlamak, sorumluluğu devretmek anlamına gelmez.

Operasyonel Kontrol ve Hukuki Yükümlülük

Cloud PMS modelinde genellikle:

• Sunucular sağlayıcının kontrolündedir.
• Yedekleme politikalarını sağlayıcı belirler.
• Sistem mimarisi sağlayıcı tarafından yönetilir.
• Bazı teknik erişim seviyeleri sağlayıcının kontrolündedir.

Buna karşılık hukuki yükümlülük otelde kalır.

Bu durum temel bir yönetişim sorusu doğurur:

Altyapı üzerinde tam kontrolünüz yoksa riski gerçekten yönetebilir misiniz?

Sorumluluğun Ötesi: Yönetişim ve Risk Yönetimi

Sorumluluk yalnızca hukuki bir kavram değildir; aynı zamanda bir yönetişim meselesidir.

Bir Cloud PMS seçerken şu unsurlar mutlaka değerlendirilmelidir:

• Veri işleme sözleşmesi (DPA)
• Yedekleme ve felaket kurtarma politikaları
• Veri dışa aktarma ve taşınabilirlik hakları
• Denetim ve şeffaflık seviyesi
• Alt işleyici (sub-processor) bildirimleri

Eğer hukuken siz sorumluysanız, verinin nasıl işlendiğini ve korunduğunu da bilmek zorundasınız.

Teknoloji devredilebilir.

Sorumluluk devredilemez.