Sadakat Programı ve KVKK: İşletmeler İçin Uygulamalı Rehber

Bir kafe sahibi damga kartını dijitale taşırken genellikle iki uçtan birine savruluyor: ya hiçbir metin göstermeden telefon numarası topluyor, ya da müşteriye kasada üç ekranlık onay formu imzalatmaya çalışıyor. İkisi de yanlış. Bu rehber, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun sadakat programlarına nasıl uygulandığını, hukuk metni diliyle değil işletme diliyle anlatıyor.

Sadakat programı neden KVKK kapsamına giriyor?

Çünkü sadakat programının tanımı gereği bir hafıza tutmanız gerekir. "Bu müşteri 7 kahve içti" bilgisini saklayabilmek için müşteriyi tekrar tanımanız şart, bu da onu bir tanımlayıcıyla eşleştirmek demek. KVKK m.3'teki kişisel veri tanımı "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" diyor — yani telefon numarası toplamasanız bile, kişiye özel bir kart numarası üzerinden davranış geçmişi biriktiriyorsanız kapsamdasınız.

İşletme burada veri sorumlusudur. Kullandığınız yazılım sağlayıcısı ise genellikle veri işleyendir. Bu ayrım önemli: müşteri size başvurduğunda "yazılımcıya sorun" diyemezsiniz, cevap verme yükümlülüğü sizde.

Önce veri envanterinizi çıkarın

Uyumun ilk adımı metin yazmak değil, ne topladığınızı listelemek. Tipik bir kafe sadakat programında toplanan veriler ve bunların hukuki dayanağı şöyle ayrışır:

Açık rıza mı, sözleşmenin ifası mı, meşru menfaat mi?

Uygulamada en çok karıştırılan konu bu. KVKK m.5 kişisel veri işlemeyi kural olarak açık rızaya bağlar, ancak sayılan hallerde rıza aranmaz. Sadakat programı açısından üç dayanak öne çıkar:

Sözleşmenin ifası

Müşteri "10 kahve al, 1 bedava" kurgusuna katıldığında sizinle bir sözleşme kurar. Bu sözleşmenin ifası için doğrudan gerekli olan veriyi — kart kimliği ve puan bakiyesi — işlemek ayrı bir rıza gerektirmez. Bu, çoğu işletmenin farkında olmadığı en rahatlatıcı madde.

Meşru menfaat

Suistimal tespiti, aynı karttan dakikalar içinde onlarca damga toplanmasını engellemek gibi işlemler meşru menfaate dayanabilir. Ancak bu dayanak bir denge testi ister: menfaatiniz, müşterinin temel hak ve özgürlüklerine zarar vermemeli. Ölçülü kalın — davranış profili çıkarmak bu kapsama girmez.

Açık rıza

Rızanın geçerli olması için üç şart var: belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalı. "Kampanya almazsan puan da kazanamazsın" kurgusu bu üçüncü şartı bozar — rıza, hizmetin ön koşulu haline getirilirse özgür sayılmaz. Puan kazanımı ile pazarlama izni birbirinden ayrı iki kutu olmalı.

Aydınlatma metni: ne zaman ve nerede gösterilir?

KVKK m.10, aydınlatmanın verinin elde edilmesi sırasında yapılmasını istiyor — sonradan değil. Dijital sadakat kartında bu, müşterinin QR'ı okutup kartı cüzdanına eklediği ekrandır. Metin şunları içermek zorunda:

• Veri sorumlusunun kimliği (işletmenizin ticari unvanı, temsilcisi varsa o)
• Verinin hangi amaçla işlendiği
• Kime, hangi amaçla aktarılabileceği
• Toplama yöntemi ve hukuki sebebi
• KVKK m.11'de sayılan hakların neler olduğu

Pratik öneri: metni bir bağlantının arkasına saklamayın, ekranda özet olarak gösterin ve tam metne bağlantı verin. Bidaha'nın KVKK aydınlatma metni sayfası bu yapıyı örnekliyor.

Kampanya göndermek: KVKK yetmez, 6563 de var

Burası çoğu işletmenin gözden kaçırdığı ikinci katman. Müşteriye SMS veya e-posta ile kampanya göndermek, KVKK'nın yanı sıra 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamındadır. Bu da onayların İleti Yönetim Sistemi (İYS) üzerinde kayıtlı tutulmasını gerektirir. Onayı almış olmanız yetmez; İYS'ye yüklememişseniz gönderi hukuka aykırıdır.

Son satır, cüzdan tabanlı sadakat kartının en az konuşulan avantajı. Müşterinin Apple Wallet veya Google Wallet'taki kartının puan alanı güncellendiğinde telefonunda beliren bildirim, sizin gönderdiğiniz bir ticari elektronik ileti değil; müşterinin kendi kaydettiği kartın durum değişimidir. Bu ayrım hem İYS yükünü hem SMS faturasını ortadan kaldırır. Yine de kampanya duyurusu niteliğine bürünen mesajlarda ölçülü olun — kanal değişse de amaç pazarlamaysa rıza tartışması geri gelir.

Veri minimizasyonu: anonim kart neden en güvenli taraf?

KVKK m.4'ün "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesi, uyumun en ucuz uygulanma biçimini de gösteriyor: toplamadığınız veriyi korumak zorunda kalmazsınız. Bir sadakat programının çalışması için müşterinin adını bilmek gerekmez; kartı tanımak yeterlidir.

Bidaha bu nedenle kartı anonim üretir: müşteri isim ve telefon vermeden QR'ı okutur, cüzdanına bir token ve UUID taşıyan kart eklenir. İşletme panelinde görünen şey bir kişi değil, bir kart kimliğidir. Müşteri isterse sonradan adını ekleyip kişiselleştirilmiş kampanyalara katılabilir — ama bu, programa girmenin koşulu değildir.

Yurt dışına aktarım: cüzdan altyapısı nerede duruyor?

Apple Wallet ve Google Wallet küresel altyapılar. Bu, "veriler yurt dışına gidiyor mu?" sorusunu meşru kılıyor. Cevap, karta ne koyduğunuza bağlı: kart üzerinde açık kimlik bilgisi taşımıyorsanız, aktarılan şey kişiyle doğrudan eşleştirilemeyen bir kart nesnesidir. Kart alanlarına müşterinin adını ve telefonunu yazdığınız anda tablo değişir ve KVKK m.9'un yurt dışına aktarım rejimi devreye girer.

Yani bu da tasarım kararına indirgeniyor: kartı anonim tuttuğunuzda hem uyum yükü hem tartışma alanı küçülüyor.

Saklama süresi, imha ve müşteri hakları

Veriyi süresiz saklayamazsınız. KVKK m.7, işlenmesini gerektiren sebepler ortadan kalktığında verinin silinmesini, yok edilmesini veya anonim hale getirilmesini istiyor. Sadakat programı için makul bir yaklaşım, uzun süre işlem görmemiş kartları tanımlı bir süre sonunda pasifleştirip anonimleştirmektir. Bu süreyi bir saklama ve imha politikasında yazılı hale getirin.

Müşteri KVKK m.11 kapsamında verisine erişme, düzeltme, silme ve aktarıldığı yerleri öğrenme hakkına sahip. Başvuruya en geç 30 gün içinde cevap vermeniz gerekiyor. Pratikte bunu bir e-posta adresine bırakmak yetmez; hangi karta ait olduğunu doğrulayabildiğiniz bir akış kurun.

VERBİS kaydı gerekiyor mu?

Çoğu tekil kafe ve restoran için hayır. Kurul kararlarıyla belirlenen istisna kriterlerine göre, yıllık çalışan sayısı ve yıllık mali bilanço toplamı belirli eşiklerin altında kalan ve ana faaliyeti özel nitelikli kişisel veri işlemek olmayan veri sorumluları VERBİS kaydından muaftır. Büyüyen bir zincirseniz eşikleri geçtiğiniz yılı takip edin — güncel kriterler kvkk.gov.tr üzerinden yayımlanıyor.

Uygulamalı kontrol listesi

1. Topladığınız her veri alanını listeleyin ve karşısına "program için zorunlu mu?" sorusunu yazın. Zorunlu olmayanları kaldırın.
2. Zorunlu alanlar için sözleşmenin ifasına dayanın; opsiyonel alanlar için ayrı açık rıza kutusu koyun.
3. Pazarlama iznini puan kazanımının koşulu yapmayın — ayrı, işaretlenmemiş bir kutu olsun.
4. Aydınlatma metnini kartın eklendiği ekranda, veriyi almadan önce gösterin.
5. SMS/e-posta gönderecekseniz İYS kaydınızı yapın ve onayları oraya yükleyin.
6. Saklama ve imha politikanızı yazın; pasif kartlar için bir süre belirleyin.
7. Müşteri başvuruları için 30 gün içinde cevaplanan bir kanal tanımlayın ve iletişim bilgisini aydınlatma metnine koyun.
8. Yazılım sağlayıcınızla veri işleyen ilişkisini yazılı hale getirin.