İşletmeler için KVKK uyumlu müşteri verisi yönetimi

Küçük bir işletme için "KVKK" genelde soyut ve uzak bir hukuk konusu gibi görünür — ama gerçekte her müşteri telefon numarası aldığında, her randevuyu kaydettiğinde ya da sadakat programına müşteri eklediğinde KVKK'nın kapsamına girer. Bu yazı, işletme sahiplerinin en sık karşılaştığı somut senaryolardan yola çıkarak pratik kuralları anlatıyor. Bu içerik genel bilgilendirme amaçlıdır, hukuki tavsiye yerine geçmez ve mevzuat zaman içinde değişebilir; işletmenize özel bir durum için mutlaka bir hukuk danışmanına başvurun.

Hangi veri "kişisel veri"dir?

KVKK'ya göre kişisel veri, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Bir işletme için bu genelde şu verilerle karşımıza çıkar: müşterinin adı, telefon numarası, e-posta adresi, randevu geçmişi, sipariş geçmişi ve sadakat puanı. Bunların hepsi tek başına ya da birlikte kişiyi tanımlamaya yettiği için kişisel veri sayılır — "sadece telefon numarası aldık, isim almadık" savunması yeterli değildir, çünkü telefon numarası tek başına da kişiyi belirlenebilir kılar.

Bazı işletmeler bir adım daha ileri gidip sağlık bilgisi (örneğin bir klinikte hangi tedavinin uygulandığı) ya da tercih bilgisi (alerji, özel gıda tercihi) topluyorsa, bu veriler "özel nitelikli kişisel veri" kategorisine girebilir ve daha sıkı kurallara tabidir. İşletme sahibinin ilk yapması gereken, hangi veriyi neden topladığını tek tek listelemektir — bu liste olmadan hangi kuralın uygulanacağını bilmek mümkün değildir.

Bu listeyi çıkarırken temas noktalarını tek tek gözden geçirmek faydalıdır: QR menüden sipariş verirken alınan telefon numarası, randevu formunda girilen ad-soyad, sadakat programına kayıt olurken alınan doğum tarihi, personelin elle not aldığı özel istekler (masa tercihi, alerji notu) — bunların hepsi ayrı ayrı kayıt altına alınıp hangi amaçla tutulduğu belirtilmelidir. Bir işletme genelde bu envanteri hiç çıkarmamış olur ve "hangi veriyi tuttuğumuzu tam bilmiyoruz" durumu, KVKK uyumunda karşılaşılan en sık boşluklardan biridir.

Aydınlatma ve açık rıza ne zaman gerekir?

İki kavram sık karıştırılır: aydınlatma yükümlülüğü ve açık rıza. Aydınlatma, işletmenin müşteriye "hangi verini, neden, ne kadar süre topluyorum ve kiminle paylaşıyorum" bilgisini vermesidir — bu, veri toplanan hemen hemen her durumda zorunludur. Açık rıza ise yalnız belirli işlemler için (örneğin pazarlama amaçlı SMS/WhatsApp gönderimi, veriyi işletme dışına aktarma) ayrıca istenmesi gereken onaydır.

Pratikte bu şu anlama gelir: bir müşterinin randevusunu kaydetmek ya da siparişini işleme almak için "sözleşmenin kurulması ve ifası" hukuki sebebine dayanılabilir; bunun için ayrıca rıza metni imzalatmaya gerek yoktur, ama müşteriye verisinin toplandığı ve nasıl kullanılacağı konusunda bilgi verilmesi (aydınlatma metni) gerekir. Buna karşılık, aynı müşteriye daha sonra kampanya mesajı göndermek isteniyorsa, bu ayrı ve açık bir rızaya ihtiyaç duyar — randevu almak için verdiği telefon numarası, otomatik olarak pazarlama izni anlamına gelmez.

Veriyi nerede saklamalı?

Bir işletme veri sakladığında iki farklı rolden birinde olabilir: veri sorumlusu ya da veri işleyen. Kendi müşterisinin verisini kendi adına toplayıp işleyen işletme veri sorumlusudur; işletmeye yazılım hizmeti sunan bir sağlayıcı ise genelde veri işleyen konumundadır — veriyi işletmenin talimatına göre işler, kendi adına kullanamaz. Bu ayrım önemlidir çünkü sorumluluk asıl olarak veri sorumlusu (işletme) üzerinde kalır; sağlayıcıyla yapılan sözleşme bu sorumluluğu tamamen devretmez.

Veri nerede fiziksel olarak saklanıyor sorusu da (yurt içi sunucu, yurt dışı bulut sağlayıcı) KVKK açısından önemlidir — yurt dışına veri aktarımının kendi kuralları vardır. Bir işletme, kullandığı yazılımın verisini nerede sakladığını bilmeli ve bu bilgiyi kendi aydınlatma metninde de belirtmelidir. Sağlayıcı seçerken sorulması gereken sorulardan biri tam olarak budur: müşteri verisi hangi ülkede, hangi altyapıda tutuluyor?

Erişim kontrolü de bu başlığın bir parçasıdır. Bir işletmede birden çok personel çalışıyorsa, her personelin tüm müşteri verisine erişmesi gerekmeyebilir — örneğin bir şubenin çalışanının başka bir şubenin müşteri listesini görmesi gereksiz bir risktir. Kullanılan sistemin rol bazlı erişim (personel, yönetici gibi ayrı yetki seviyeleri) sunup sunmadığı, veri güvenliğinin pratikte nasıl uygulandığını gösteren somut bir göstergedir; yalnız "verimiz şifreli" demek yeterli değildir, kimin hangi veriye erişebildiği de tanımlı olmalıdır.

Pratik kontrol listesi

İşletme sahibinin kendi sürecini gözden geçirirken sorması gereken somut sorular şunlardır:

• Hangi müşteri verisini (isim, telefon, randevu/sipariş geçmişi, sadakat puanı) topluyorsunuz ve bunu bir yerde listeli tutuyor musunuz?
• Müşteriye, verisinin toplandığı ve nasıl kullanılacağı konusunda bir aydınlatma metni gösteriliyor mu (kayıt anında, randevu formunda ya da QR menüde)?
• Pazarlama amaçlı SMS, WhatsApp ya da e-posta göndermeden önce ayrı bir açık rıza alınıyor mu, yoksa randevu/sipariş verisi otomatik olarak pazarlama listesine mi ekleniyor?
• Kullandığınız yazılım sağlayıcısı veri işleyen konumunda mı ve bu ilişki bir sözleşmeyle tanımlı mı?
• Müşteri "verimi sil" dediğinde bu talebi karşılayacak bir süreciniz var mı?
• Eski müşteri verisi (örneğin yıllardır gelmeyen bir müşterinin randevu geçmişi) süresiz mi tutuluyor, yoksa belirli bir süre sonra silinip anonimleştiriliyor mu?

Bu listenin her maddesi ayrı bir hukuki başlık açabilir; amacı işletme sahibine eksiksiz bir uyum rehberi vermek değil, kendi sürecinde nerede boşluk olduğunu görmesini sağlamaktır. Kullandığınız QR menü ya da randevu sisteminin bu konularda nasıl bir altyapı sunduğunu (aydınlatma metni gösterimi, rıza kaydı, veri saklama süresi) sağlayıcınıza doğrudan sormanız, en pratik ilk adımdır.

Son olarak şunu hatırlamakta fayda var: KVKK uyumu tek seferlik bir kontrol listesi doldurup kapatılacak bir iş değil, işletmenin süreçleri değiştikçe (yeni bir kanaldan veri toplamaya başladığında, yeni bir sağlayıcıyla çalışmaya geçtiğinde) yeniden gözden geçirilmesi gereken sürekli bir sorumluluktur. Mevzuat da zaman içinde değişebilir; bu yazıdaki bilgiler yazıldığı tarih itibarıyla genel bir çerçeve sunar, işletmenize özel bağlayıcı bir görüş yerine geçmez.