Küçük işletmeler için KVKK: müşteri verisini doğru tutmak

Temel kavramlar

• Kişisel veri: Kimliği belli ya da belirlenebilir bir kişiye ait her bilgi. Ad, telefon, e-posta, adres, randevu geçmişi, alışveriş geçmişi.
• Özel nitelikli kişisel veri: Sağlık, biyometrik ve genetik veri, din, siyasi düşünce gibi daha sıkı korunan veriler. Bir klinikteki tedavi notu, bir salondaki alerji bilgisi bu gruba girebilir.
• Veri sorumlusu: Verinin neden ve nasıl işleneceğine karar veren kişi ya da işletme. Müşteri bilgisi tutan işletme, veri sorumlusudur.
• Veri işleyen: Veri sorumlusu adına veriyi işleyen kişi ya da şirket. Kullandığın yazılım, SMS firması, muhasebe bürosu.

1. Hangi veriyi neden tuttuğunu yaz

İlk adım bir envanter çıkarmaktır. Basit bir tablo yeter:

Bu tablo hem aydınlatma metnini yazmanı sağlar hem de gereksiz veri tutup tutmadığını gösterir. İhtiyacın olmayan veriyi toplama. Bir kuaförün müşterinin doğum tarihine ihtiyacı yoksa sorma.

2. Aydınlatma metni

KVKK'nın 10. maddesi, veriyi toplarken kişiyi bilgilendirmeni ister. Aydınlatma metninde:

• Veri sorumlusunun kimliği (işletmenin adı, adresi),
• Verinin hangi amaçla işleneceği,
• Kimlere ve hangi amaçla aktarılabileceği (yazılım sağlayıcı, SMS firması, kargo firması, mali müşavir),
• Toplama yöntemi ve hukuki sebebi,
• Kişinin hakları

bulunmalı. Metni web sitene, randevu sayfana ve dükkânda görülebilecek bir yere koy. Online formlarda formun yanında bağlantısı olsun.

3. Açık rıza ne zaman gerekir?

Yaygın bir yanlış, her veri için açık rıza almak gerektiğini düşünmektir. KVKK, açık rıza dışında da veri işleme şartları tanır: bir sözleşmenin kurulması ya da ifası için gerekli olması (randevu vermek, siparişi teslim etmek), kanuni yükümlülük (fatura düzenlemek), meşru menfaat gibi. Bu durumlarda açık rıza gerekmez; aydınlatma yeterlidir.

Açık rıza tipik olarak şu durumlarda gündeme gelir:

• Özel nitelikli verinin kanunda sayılan diğer şartlar dışında işlenmesi,
• Kampanya ve pazarlama amaçlı iletişim (ayrıca ticari ileti onayı gerekir; İYS rehberimize bak),
• Yurt dışına aktarımın bazı durumları.

Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen rızadır. Hizmeti, pazarlama izni vermeye bağlamak özgür irade sayılmaz.

4. Erişim yetkileri: herkes her şeyi görmesin

Küçük işletmelerde en sık rastlanan risk dışarıdan saldırı değil, içerideki gereksiz erişimdir. Herkesin aynı şifreyle aynı programa girdiği bir yerde, kimin neye baktığı belli olmaz.

• Her çalışanın kendi kullanıcı hesabı olsun.
• Rol bazlı yetki ver: resepsiyon randevuyu görsün, finans kayıtlarını görmesin.
• İşten ayrılan çalışanın erişimini aynı gün kapat.
• Önemli işlemlerin (silme, dışa aktarma) kaydını tut.

5. Teknik ve idari tedbirler

Kanun, verinin güvenliği için "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri" almanı ister. Küçük bir işletme için pratik karşılıkları:

1. 01
   Güçlü ve paylaşılmayan şifreler, mümkünse iki adımlı doğrulama.
2. 02
   Müşteri listelerini USB bellek ve kişisel e-postada dolaştırmamak.
3. 03
   Kâğıt formları kilitli dolapta tutmak, süresi dolanları imha etmek.
4. 04
   Kullandığın yazılım sağlayıcısının verileri nerede ve nasıl sakladığını bilmek.
5. 05
   Çalışanlara yılda bir kısa bir farkındalık konuşması.

6. Yurt dışına aktarım

Kullandığın bulut yazılımı, e-posta ya da yapay zekâ hizmeti verileri yurt dışındaki sunucularda işliyorsa bu bir yurt dışına aktarımdır. 2024'te yapılan değişiklikle yurt dışına aktarım kuralları yeniden düzenlendi; uygun güvenceler (örneğin Kurul'un yayımladığı standart sözleşmeler) ve bazı durumlarda Kurul'a bildirim gerekir. Sağlayıcının sözleşmesinde bu konunun nasıl ele alındığını kontrol et.

7. VERBİS

VERBİS, veri sorumluları siciline kayıt sistemidir. Kayıt yükümlülüğünden muafiyet, Kurul kararlarıyla belirlenen ölçütlere (çalışan sayısı, yıllık mali bilanço toplamı, ana faaliyetin özel nitelikli veri işlemek olup olmaması gibi) bağlıdır. Pek çok küçük işletme muaftır, ama ana faaliyeti sağlık verisi işlemek olan bir klinik farklı değerlendirilebilir. Durumunu Kurum'un güncel kararlarından kontrol et.

8. Kişinin hakları ve başvurular

KVKK'nın 11. maddesi kişiye, verisinin işlenip işlenmediğini öğrenme, düzeltilmesini ya da silinmesini isteme gibi haklar tanır. Bir müşteri bu haklarla sana başvurduğunda, başvuruyu en geç otuz gün içinde sonuçlandırman gerekir.

Hazırlıklı olmak için:

• Bir müşterinin bütün kayıtlarını tek yerden dışa aktarabilmelisin.
• Silme talebinde, yasal saklama süresi olan kayıtları (faturalar gibi) ayırabilmelisin.
• Başvurunun ve cevabın kaydını tutmalısın.

9. Veri ihlali olursa

Bir veri ihlali (çalınan bilgisayar, yanlış kişiye gönderilen müşteri listesi, sızan şifre) fark edildiğinde, Kurul'a ve gerekirse ilgili kişilere bildirim yapılır. Kurul kararına göre bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır. Bir ihlal planın olsun: kim karar verecek, kim bildirecek, hangi kayıtlar incelenecek.

Örnek: bir güzellik merkezinin KVKK düzeni

Teorik çerçeve somut bir örnekle daha anlaşılır olur. Dört çalışanlı bir güzellik merkezi düşünelim: cilt bakımı, lazer epilasyon ve manikür hizmeti veriyor; online randevu alıyor, WhatsApp'tan hatırlatma gönderiyor.

Topladığı veriler: Ad, telefon, e-posta, randevu geçmişi, ödeme bilgisi ve hizmet öncesi doldurulan bir form (cilt tipi, alerjiler, kullanılan ilaçlar). Son grup sağlık verisi sayılabilir ve özel nitelikli veri kuralları uygulanır.

Yaptıkları:

1. 01
   Randevu sayfasına ve dükkândaki forma aydınlatma metni eklendi; metinde randevu yazılımı, WhatsApp ve SMS sağlayıcısı veri aktarılan taraflar olarak sayıldı.
2. 02
   Hizmet öncesi sağlık formu için ayrı bir açık rıza metni hazırlandı ve form kâğıttan dijitale taşındı.
3. 03
   Resepsiyon çalışanı randevuları ve iletişim bilgilerini görüyor; sağlık formunu yalnız hizmeti veren uzman görüyor.
4. 04
   Pazarlama mesajları için ayrı bir onay kutusu eklendi ve onaylar İYS'ye kaydedildi.
5. 05
   Eski kâğıt formlar kilitli dolaba alındı, saklama süresi dolanlar imha tutanağıyla imha edildi.
6. 06
   "Verimi silin" talebi gelirse ne yapılacağı yazıldı: fatura kayıtları saklanır, diğer veriler silinir, talep kaydedilir.

Bu adımların hiçbiri büyük bir bütçe gerektirmez; gerektirdiği şey bir kez oturup düzeni yazmaktır.

Sık yapılan hatalar

1. 01
   Aydınlatma ile açık rızayı aynı metin yapmak. İkisi farklıdır; açık rıza ayrı ve isteğe bağlı olmalıdır.
2. 02
   Müşteri listesini kişisel telefonlarda tutmak.
3. 03
   İşten ayrılanın erişimini kapatmamak.
4. 04
   Veri talebini cevapsız bırakmak. Otuz günlük süre işlemeye başlar.
5. 05
   "Her ihtimale karşı" veri toplamak. İhtiyaç olmayan veri, sadece risk taşır.

Era'da kişisel veri

Era'da her müşteri için tek bir Müşteri kaydı vardır; bütün modüller aynı kaydı kullanır, böylece "bu kişinin verisi nerede" sorusunun cevabı tektir. Gizlilik modülü kişisel veri taleplerini yönetir: bir müşterinin verisini dışa aktarırsın ya da silme talebini onaylayıp uygularsın; talebin kaydı tutulur, dışa aktarımlar için saklama kuralı uygulanır.

Güvenlik ve erişim modülü rolleri ve yetkileri tutar; Era'nın veritabanında her tablo satır düzeyinde güvenlik kurallarıyla korunur, yani bir üye yetkisi olmayan kaydı göremez. Era'ya sohbetten soru sorulduğunda da aynı kural geçerlidir: cevap yalnız sorunun sahibinin görebildiği kayıtlardan gelir. Aktivite modülü kim ne yaptı sorusunun kaydını tutar.

Kontrol listesi

1. 01
   Veri envanteri tablosu hazır.
2. 02
   Aydınlatma metni sitede, formlarda ve dükkânda.
3. 03
   Pazarlama için ayrı onay toplanıyor ve İYS'ye kaydediliyor.
4. 04
   Her çalışanın kendi hesabı ve rolüne uygun yetkisi var.
5. 05
   Yurt dışına aktarım yapan sağlayıcıların sözleşmeleri kontrol edildi.
6. 06
   VERBİS durumu kontrol edildi.
7. 07
   Veri talebi ve ihlal için kim ne yapacak belli.