Sadakat Programı KVKK Rehberi: Müşteri Verisi, Aydınlatma, Rıza

Kısa cevap: Sadakat programında ad, e-posta ya da ziyaret geçmişi topluyorsanız KVKK kapsamındasınız. Temel işler: veriyi toplarken aydınlatma metni sunmak, yalnızca gerekli veriyi toplamak, pazarlama iletisi için ayrıca izin almak, saklama süresini belirlemek ve silme/erişim taleplerine yanıt verebilmek. Bu yazı genel çerçevedir; hukuki tavsiye değildir, uzmana danışın.

Sadakat programı kurmak, farkında olmadan bir veri toplama faaliyeti başlatmaktır. Müşterinin adı, e-postası, ne zaman ve kaç kez geldiği: bunların hepsi, bir kişiyle ilişkilendirildiğinde kişisel veridir. Bu yazı, kafe, restoran ve benzeri küçük işletmelerin sadakat programında müşteri verisini nasıl ele alması gerektiğini genel hatlarıyla anlatır. Önemli uyarı: Bu içerik hukuki danışmanlık değildir. Mevzuat zaman zaman değişir ve işletmenizin durumuna göre yükümlülükler farklılaşabilir; kesin kararlar için bir hukuk danışmanına veya Kişisel Verileri Koruma Kurumu'nun (KVKK Kurumu) güncel duyurularına başvurun. Genel sadakat kurulumu için sadakat sistemi rehberine bakabilirsiniz.

KVKK nedir ve sadakat programını neden ilgilendirir?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerini korumak için çıkarılmış bir kanundur. Kişisel veri, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Sadakat programında tipik olarak şu veriler ortaya çıkar:

Bu tablonun çıkardığı sonuç: karton damga kartı veri toplamadığı için KVKK yükü getirmezken, dijital üyelik yükümlülük getirir. Bu bir engel değil; yönetilebilir bir sorumluluktur.

Roller: veri sorumlusu kim?

KVKK'da iki temel rol vardır:

• Veri sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen kişi. Sadakat programını yürüten işletme genellikle bu roldedir.
• Veri işleyen: Veri sorumlusu adına veriyi işleyen kişi. Sadakat yazılımı sağlayıcısı, sözleşmesine ve fiili duruma göre bu rolde olabilir.

Rollerin kesin dağılımı sözleşmeye ve hizmetin işleyişine bağlıdır. Bir yazılım hizmeti kullanıyorsanız, sağlayıcının aydınlatma metnini ve gizlilik belgelerini okuyun, verinin kimde ve nerede saklandığını öğrenin. Rol tanımı ve sorumluluk dağılımı için hukuk danışmanınızdan görüş alın.

Aydınlatma yükümlülüğü: ne söylemelisiniz?

Veri sorumlusu, kişisel veriyi toplarken ilgili kişiyi aydınlatmakla yükümlüdür. Aydınlatma metninde genel olarak şu başlıklar yer alır:

1. Veri sorumlusunun kimliği
2. Kişisel verilerin hangi amaçla işleneceği
3. İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği
4. Kişisel veri toplamanın yöntemi ve hukuki sebebi
5. İlgili kişinin hakları (erişme, düzeltme, silme, itiraz vb.)

Pratikte aydınlatma metni veriyi topladığınız noktada, yani üyelik ekranında gösterilmelidir; ayrı bir sayfada saklı kalması yeterli değildir. Liya Sadakat'te KVKK aydınlatma metni üyelik adımında gösterilir ve işlenen veriler, amaç, paylaşım, saklama süresi ve haklar açıklanır. Kendi işletmenizin özel durumlarını (ek veri topluyorsanız, ek amaçlarla kullanıyorsanız) metne yansıtmanız gerekebilir.

İyi bir aydınlatma metni nasıl olmalı?

• Kısa, anlaşılır ve Türkçe olmalı; hukuki jargonla doldurulmamalı.
• Gerçekte yaptığınız işlemleri anlatmalı; yapmadığınız şeyleri yazmamalı.
• Veri toplanan ekranda erişilebilir olmalı.
• Güncellendiğinde sürümü ve tarihi izlenebilmeli.

Açık rıza ile diğer hukuki sebepler

KVKK'da verilerin işlenmesi için açık rıza tek yol değildir. Kanun, belirli şartlarda rıza aranmadan işlemeye izin veren sebepler de sayar (örneğin bir sözleşmenin kurulması veya ifası için gerekli olması). Sadakat üyeliğini kurmak ve puan hakkını yürütmek bu çerçevede değerlendirilebilir; ancak her işlemin dayanağı ayrı ayrı belirlenmelidir.

Açık rıza ise belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Şu durumlarda tipik olarak ayrıca gündeme gelir:

Önemli: Rızayı, üyelik şartı haline getirmek ("rıza vermezsen üye olamazsın") sorun doğurabilir; pazarlama izni üyeliğin şartı olmamalıdır. Bu ayrımı hukuk danışmanınızla netleştirin.

Ticari elektronik ileti: üyelik ≠ pazarlama izni

Müşterilerinize e-posta ya da SMS ile kampanya, hatırlatma veya tanıtım göndermek, ticari elektronik ileti mevzuatının konusudur. Genel ilke şudur: ticari elektronik iletiler, alıcının önceden onayı alınarak gönderilir; alıcı istediği zaman reddedebilmelidir. Üyelik formunu doldurmuş olmak, otomatik olarak pazarlama izni vermek anlamına gelmez.

Pratik öneriler:

• Üyelik ile pazarlama iznini iki ayrı kutu olarak alın; pazarlama kutusu işaretli gelmesin.
• İznin ne zaman ve nasıl alındığını kayıt altında tutun.
• Her iletide kolay bir ret yolu sunun.
• Yalnızca hizmetle ilgili mesajlar (örneğin giriş kodu) ile ticari mesajları ayırın.
• Güncel yükümlülükler (kayıt, izin yönetimi sistemi vb.) için ilgili kurumdan ya da uzmandan teyit alın.

Liya Sadakat mesaj göndermez; müşteri listesini (ad, e-posta, puan ve ziyaret bilgisi) panelden Excel olarak indirebilirsiniz. Bu listeyle mesaj göndermeniz durumunda izin ve mevzuat sorumluluğu size aittir.

Veri minimizasyonu: ihtiyaç kadar veri toplayın

KVKK'nın temel ilkelerinden biri, verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasıdır. Sadakat programında bunun karşılığı: kullanmayacağınız veriyi istemeyin.

Toplanan her ek veri alanı, hem aydınlatma metnini hem saklama sorumluluğunu hem de güvenlik riskini artırır. Liya Sadakat'in yalnızca ad soyad ve e-posta tutması bu ilkeyle uyumludur.

Saklama ve imha

Kişisel veri, işlendiği amaç için gerekli süre kadar saklanır. Sadakat programı için pratik sorular:

1. Üyelik devam ederken veri tutulur; bu normaldir.
2. Üye ayrıldığında ya da silme talep ettiğinde ne olacak?
3. Uzun süre kullanılmayan hesaplar ne kadar saklanacak?
4. Doğrulama kodları ve geçici veriler ne zaman silinecek?

Liya Sadakat'in aydınlatma metnine göre üyelik devam ettiği sürece veri saklanır, doğrulama kodları 1 gün içinde silinir ve silme talebinde veriler silinir. Kendi işletmeniz için saklama ve imha politikasını yazılı hale getirin; hukuki yükümlülük gerektiren kayıtlar (varsa) ayrı değerlendirilmelidir.

İlgili kişinin hakları

Kanun, ilgili kişiye (müşterinize) şu haklardan başlıcalarını tanır:

• Kişisel verisinin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmişse düzeltilmesini isteme,
• Silinmesini veya yok edilmesini isteme,
• İşlemenin sonucuna itiraz etme,
• Kanuna aykırı işleme nedeniyle zarara uğramışsa zararın giderilmesini talep etme.

İşletme olarak yapmanız gereken, bu taleplerin geleceği bir başvuru kanalı belirlemek (ör. bir e-posta adresi), talebi alan kişiyi belirlemek ve yasal süre içinde yanıtlamaktır. Yanıt süresini ve usulünü güncel mevzuattan doğrulayın. Liya Sadakat'in aydınlatma metni, talepler için destek e-posta adresini belirtir; işletme olarak kendi başvuru kanalınızı da netleştirin.

Veri güvenliği: sizin yapabilecekleriniz

Veri sorumlusu olarak uygun güvenlik önlemlerini almak sizin sorumluluğunuzdadır. Küçük işletme ölçeğinde pratik adımlar:

Liya Sadakat'te müşteri adları panelde kısaltılmış biçimde gösterilir; bu, ekran görüntüsü paylaşımında kimliğin açığa çıkma riskini azaltmak içindir. Sistem sunucu tarafında çalışır ve müşteri verisi telefondaki etikette tutulmaz.

Veri ihlali ve olay yönetimi

Müşteri listesi yanlış kişiye gitti, bir cihaz kayboldu, panel erişimi başkasına geçti: bunlar küçük işletmede de yaşanabilir. Hazırlık için:

1. Olayı kimin raporlayacağını belirleyin.
2. Erişimi hemen kesin (şifre, oturum, etiket).
3. Etkilenen verinin kapsamını belirleyin.
4. Mevzuatın öngördüğü bildirim yükümlülükleri ve süreleri için bir uzmana danışın.
5. Olayı ve aldığınız önlemleri kayıt altına alın.

Bildirim yükümlülüğünün kapsamı ve süresi mevzuatta düzenlenmiştir; bunu önceden öğrenip bir plan oluşturun.

Sadakat programı için KVKK uyum adımları

1. Veri envanteri çıkarın. Hangi veriyi, nerede, neden topluyorsunuz?
2. Gereksiz alanları kaldırın. Kullanmayacağınız veriyi istemeyin.
3. Aydınlatma metnini üyelik ekranında gösterin. Metnin gerçeğe uygun olduğundan emin olun.
4. Pazarlama iznini ayırın. Üyelik ve pazarlama izni ayrı olsun.
5. Saklama ve imha politikanızı yazın.
6. Başvuru kanalı belirleyin. Müşteri hakkını nereye kullanacak?
7. Erişimi sınırlayın. Panel ve Excel dosyaları için yetki.
8. Personeli bilgilendirin. Müşteri verisini kişisel amaçla kullanmamaları, paylaşmamaları.
9. Yazılım sağlayıcınızı inceleyin. Veri nerede, kimde, hangi şartlarla?
10. Hukuk danışmanıyla gözden geçirin. Özellikle VERBİS ve ticari ileti açısından.

Kurgusal örnek: küçük bir kafenin veri akışı

Aşağıdaki kafe kurgusaldır. Müşteri kasadaki etikete telefonunu yaklaştırıyor; açılan sayfada ad soyad ve e-posta yazıyor, aydınlatma metnini görüyor, e-postasına gelen kodu giriyor. Kafe sahibi panelde üye sayısını ve ziyaretleri görüyor. Ayda bir müşteri listesini indirip 30 gündür gelmeyenlere mesaj yazmayı düşünüyor.

Burada kafe sahibinin sorması gereken sorular: Mesaj göndermek için müşteriden ayrıca izin aldım mı? İndirdiğim Excel dosyası kimlerin elinde? Müşteri verisini silmemi isterse nereden başvuracak? Dosyayı iş bittikten sonra siliyor muyum? Bu soruların cevabı "evet/belirlendi" ise temel hijyen yerindedir; "bilmiyorum" ise önce onu çözün. Bu örnek bir hukuki görüş değil, bir düşünme çerçevesidir.

Sık yapılan hatalar

Uzman doğrulaması notu

Bu rehberde anlatılan çerçeve, genel bilgi amaçlıdır ve işletmenize özgü durumları kapsamaz. Mevzuat, Kurum kararları ve rehberleri zamanla değişir; kayıt yükümlülüğü, ticari ileti kuralları, saklama süreleri ve ihlal bildirimi gibi başlıklarda güncel durumu mutlaka bir hukuk danışmanından ya da ilgili kurumdan doğrulayın. Metindeki hiçbir ifade hukuki görüş yerine geçmez.

Personelin rolü: veri hijyeni

Kişisel veri güvenliği çoğu zaman teknik bir sorundan çok bir alışkanlık sorunudur. Müşteri listesini görebilen personel için üç basit kural koyun.

1. Veriyi kişisel amaçla kullanmamak. Müşterinin e-postasını ya da adını işle ilgisi olmayan bir amaçla kullanmak yasaktır.
2. Paylaşmamak. Müşteri bilgisi üçüncü kişilere, sosyal medyaya ya da mesajlaşma gruplarına taşınmaz.
3. Şüpheli durumu bildirmek. Yanlış kişiye gitmiş bir dosya, kaybolmuş bir cihaz ya da tanımadığı birinin müşteri bilgisi sorması gibi durumlar derhal yöneticiye bildirilir.

Bu kuralları yazılı bir sayfaya dökmek ve işe girişte personelle konuşmak, hem farkındalığı artırır hem de olası bir ihlalde "gerekli önlemi aldım" diyebilmenizi sağlar.

Üçüncü taraf hizmetler ve veri paylaşımı

Sadakat programı yürütürken kullandığınız her hizmet, veriye dokunabilir: yazılım sağlayıcınız, e-posta gönderim altyapısı, muhasebe programınız ya da müşteri listesini paylaştığınız bir ajans. Her biri için şu soruları sorun.

Müşteri listesini bir ajansa ya da başka bir hizmete aktaracaksanız, bunun aydınlatma metninizde yer alıp almadığını kontrol edin. Aktarım kapsamı ve şartları için bir hukuk danışmanına başvurun.

Veri sahibinin gözünden: müşteri ne bekler?

Müşteri sadakat programına katılırken çoğu zaman tek bir şey düşünür: ödül. Ama veri verdiğinin farkındadır ve belirli şeyler bekler: bilgilerinin istenmeyen yerde kullanılmaması, spam almaması, istediğinde çıkabilmesi ve ne yapıldığını anlayabilmesi. Bu beklentiyi karşılamak, KVKK'ya uyumun yanında bir güven meselesidir. Kısa ve dürüst bir aydınlatma, gereksiz veri istememe ve izinsiz mesaj göndermeme, uzun vadede müşteri ilişkisini korur. Aksine, bir kez izinsiz mesaj almış müşteri, sadakat programını terk edip işletmeyi de bırakabilir.

Liya Sadakat'in veri yaklaşımı

Liya Sadakat, üyelikte yalnızca ad soyad ve e-posta alır; telefon ilk aşamada istenmez. Ziyaret ve puan kayıtları ile ödül kullanım kayıtları tutulur. Üye olunan işletme bu verileri (ad, e-posta, puan ve ziyaret geçmişi) görür; veriler satılmaz ve pazarlama amacıyla üçüncü taraflarla paylaşılmaz. Doğrulama kodları kısa sürede silinir ve silme talebinde veriler silinir. KVKK aydınlatma metni üyelik adımında gösterilir ve sitedeki KVKK sayfasında okunabilir. Ürünün genel çalışması için NFC sadakat sistemi nasıl çalışır ve uygulamasız sadakat programı yazılarına bakın; denemek için 14 gün ücretsiz deneme kullanılabilir.

Ekosistemle birlikte veri

Birden fazla Liya ürünü kullanıyorsanız (örneğin LiyaQR menü ya da Liya Adisyon adisyon), her ürünün kendi veri kapsamı ve aydınlatması vardır. Ürünleri birlikte kullanırken hangi verinin hangi üründe tutulduğunu ve müşteriye ne söylediğinizi kendi veri envanterinizde birleştirin.

Kontrol listesi

• [ ] Hangi kişisel veriyi topladığımı biliyorum.
• [ ] Kullanmayacağım veriyi istemiyorum.
• [ ] Aydınlatma metni üyelik ekranında gösteriliyor.
• [ ] Pazarlama izni üyelikten ayrı ve işaretsiz.
• [ ] Saklama ve imha politikam yazılı.
• [ ] Müşteri başvuru kanalım belli.
• [ ] Panel ve Excel erişimi sınırlı.
• [ ] Personel müşteri verisi konusunda bilgilendirildi.
• [ ] Yazılım sağlayıcımın veri uygulamalarını inceledim.
• [ ] Hukuk danışmanımla genel çerçeveyi gözden geçirdim.

Sonuç

Sadakat programı, KVKK açısından yönetilebilir bir sorumluluk getirir: veriyi ihtiyaç kadar toplayın, topladığınız yerde aydınlatın, pazarlama iznini ayırın, güvenli saklayın ve talepleri yanıtlayacak bir kanal kurun. Karton karttan dijitale geçmek veri sorumluluğu getirir ama karşılığında müşterinizi tanıma ve geri çağırma imkanı verir. Kesin yükümlülükler için bir uzmana danışmayı unutmayın.