KVKK ve İYS uyumlu müşteri sadakati

Bu rehber neyi kapsar, neyi kapsamaz?

Bu rehber, küçük ve orta işletmelerin sadakat programı kurarken bilmesi gereken temel kavramları genel hatlarıyla anlatır; hukuki danışmanlık değildir. Mevzuat ve Kişisel Verileri Koruma Kurulu kararları zaman içinde değişebilir, her işletmenin durumu da farklıdır. Metinlerini yayına almadan önce bir hukukçuya ya da KVKK danışmanına mutlaka göz attır.

Konunun iki ayrı ayağı var: 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) müşterinin kişisel verisinin nasıl toplanıp işlendiğini düzenler. 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili yönetmelik ise müşteriye kampanya, indirim gibi ticari elektronik ileti göndermeyi düzenler; bu iletilere ait onaylar İleti Yönetim Sistemi'ne (İYS) kaydedilir. Bir sadakat programında ikisiyle de karşılaşırsın.

Aydınlatma ile açık rıza arasındaki fark nedir?

Aydınlatma bir bilgilendirmedir ve her durumda yapılır; açık rıza ise müşterinin belirli bir işleme için verdiği onaydır ve yalnızca gerektiği durumlarda istenir. İkisi sık karıştırılır, ama aynı şey değildir.

Aydınlatma metni, veri toplanırken müşteriye şunları anlatır:

• Veri sorumlusunun kim olduğu (yani senin işletmen).
• Verilerin hangi amaçla işlendiği (ör. sadakat kartını yönetmek, damga ve ödül takibi).
• Verilerin kimlere ve hangi amaçla aktarılabileceği (ör. hizmet aldığın yazılım sağlayıcısı).
• Verilerin hangi yöntemle ve hangi hukuki sebebe dayanarak toplandığı.
• Müşterinin kanundan doğan hakları ve sana nasıl başvurabileceği.

Açık rıza ise belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle verilen onaydır. KVKK'da açık rıza, veri işlemenin şartlarından yalnızca biridir; sözleşmenin kurulması veya ifası, kanuni yükümlülük, meşru menfaat gibi başka işleme şartları da vardır. Hangi işlemenin hangi şarta dayandığını belirlemek hukukçunla netleştirmen gereken bir konudur.

Pratikte dikkat edeceğin iki nokta var: Aydınlatma metnini ve açık rıza metnini birbirine karıştırmadan ayrı tut. Açık rızayı da hizmetin ön şartı gibi sunma; müşteri rıza vermese de alabileceği bir hizmeti sırf onay alabilmek için ona bağlamak, rızanın özgür iradeye dayanmasını tartışmalı hale getirir.

İYS nedir ve ileti izni neden ayrı alınır?

İYS (İleti Yönetim Sistemi), işletmelerin ticari elektronik ileti onaylarını kaydettiği ve vatandaşların bu onayları görüp yönetebildiği ulusal sistemdir. Kampanya, indirim, “seni özledik” gibi tanıtım amaçlı SMS, e-posta veya arama ticari elektronik ileti sayılır ve bunun için alıcının önceden onayı gerekir.

İleti izni KVKK açık rızasından ayrı bir onaydır. Müşteri sadakat kartını kullanmak için veri işlemeyi kabul edebilir ama kampanya mesajı almak istemeyebilir. Bu yüzden formda iki ayrı tercih olmalı ve ileti izni kutusu varsayılan olarak işaretli gelmemeli.

• İleti iznini kayıt altına al: ne zaman, hangi kanaldan, hangi metinle alındığı belli olsun.
• Aldığın onayları İYS'ye kaydet; İYS'de kaydı olmayan onaya dayanarak ileti gönderme.
• Her iletide müşterinin kolayca ve ücretsiz şekilde ret hakkını kullanabileceği bir yol sun.
• Ret gelen müşteriye ileti göndermeyi bırak ve listeni güncel tut.
• Bilgilendirme amaçlı iletiler (ör. randevu hatırlatması) ile tanıtım amaçlı iletiler farklı değerlendirilebilir; sınırı hukukçunla netleştir.

Wallet bildirimleri de bu açıdan düşünülmelidir. Kartın kilit ekranında beliren bir kampanya duyurusu tanıtım amaçlıysa, ileti izni almış müşterilere göndermek temkinli bir yaklaşımdır.

Sadakat programı için hangi veriler toplanmalı?

Sadece programın çalışması için gerçekten gereken veriyi topla; buna veri minimizasyonu denir ve KVKK'nın genel ilkelerinden biri olan “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesinin karşılığıdır. Ne kadar az veri tutarsan, korumak zorunda olduğun veri de o kadar azdır.

Bir sadakat kartı için genellikle şunlar yeterlidir:

• Kartı müşteriyle eşleştirecek bir iletişim bilgisi (ör. e-posta).
• Ad (isteğe bağlı; kart üzerinde kişisel hitap için).
• Damga, puan ve ödül geçmişi.
• Doğum günü ikramı yapacaksan doğum günü bilgisi; yapmayacaksan hiç sorma.

Güzellik salonu, spa ve pet shop gibi işletmelerde özel dikkat gereken bir konu var: alerji, cilt hassasiyeti ya da sağlık durumu gibi bilgiler özel nitelikli kişisel veri sayılır ve daha sıkı kurallara tabidir. Bu tür bilgileri sadakat programına koyma. Pet shop'ta da evcil hayvanla ilgili notlar sahibinin kimliğiyle birlikte tutulduğunda kişisel veri niteliği kazanabilir; gerekmedikçe toplama. Sektöre özel örnekler için güzellik salonu, spa ve pet shop sayfalarına bakabilirsin.

Müşteri verisi ne kadar saklanır ve nasıl silinir?

Kişisel veri, işlendiği amaç için gerekli olan süre kadar saklanır; amaç ortadan kalkınca silinmeli, yok edilmeli veya anonim hale getirilmelidir. Kanunlarda başka bir saklama süresi öngörülüyorsa o süreye uyulur.

Sadakat programı için pratik bir yaklaşım:

1. Bir saklama süresi belirle (ör. kart uzun süre kullanılmazsa ne olacağını tanımla) ve bunu aydınlatma metninde açıkça yaz.
2. Süresi dolan verileri düzenli aralıklarla gözden geçir ve sil veya anonimleştir.
3. Analiz için ihtiyaç duyduğun bilgiyi (ör. aylık ziyaret sayısı) kişiyle ilişkilendirmeden, toplu olarak tut.
4. Kâğıt kartlar, defterler ve fotokopiler de kişisel veri içerebilir; dijitale geçerken eskilerini güvenli şekilde imha et.

Kâğıttan dijitale geçiş planlıyorsan kâğıt damga kartından dijitale geçiş rehberinde adım adım bir plan bulabilirsin.

Müşteri verisine erişmek veya silinmesini istemek isterse ne yapmalısın?

Müşterinin talebini kayda al, kimliğini makul bir şekilde doğrula ve kanunda öngörülen süre içinde, en geç otuz gün içinde cevap ver. KVKK, ilgili kişiye verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme veya yok edilmesini isteme ve itiraz etme gibi haklar tanır.

• Başvuruların hangi kanaldan alınacağını aydınlatma metninde belirt.
• Gelen talepleri, tarihlerini ve verdiğin cevabı bir yerde kaydet.
• Silme talebinde müşterinin kartını, iletişim bilgisini ve ileti iznini birlikte ele al; ileti listesinden de çıkar.
• Personelin bu tür talepleri kime yönlendireceğini bilmesini sağla.

Veri sorumlusu ve veri işleyen kimdir?

Sadakat programını kuran işletme veri sorumlusudur; programı yürüten yazılım sağlayıcısı ise çoğu durumda işletme adına veri işleyen konumundadır. Veri sorumlusu, verinin neden ve nasıl işleneceğine karar verendir; veri işleyen ise bu veriyi veri sorumlusunun talimatıyla ve onun adına işler.

Bu ayrım önemli, çünkü aydınlatma yapmak, gerektiğinde rıza almak ve müşteri taleplerine cevap vermek esas olarak veri sorumlusunun yükümlülüğüdür. Veri sorumlusu, veri işleyenle birlikte verilerin güvenliğinden de sorumlu tutulabilir; bu yüzden hizmet aldığın sağlayıcıyla rolleri ve güvenlik tedbirlerini yazılı olarak netleştirmek iyi bir uygulamadır. Bazı işletmelerin ayrıca Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yükümlülüğü olabilir; bu, işletmenin durumuna göre değişir, kendi durumunu kontrol et.

Dokun'da da roller böyledir: işletme veri sorumlusu, Dokun veri işleyendir. Dokun bu yükümlülükleri yerine getirmen için araçlar sunar: aydınlatma metni ve açık rıza kayıt altına alınır, ileti izni ayrı alınıp kaydedilir, izinler İYS'ye yüklenebilecek formatta dışa aktarılabilir ve müşteri kendi kart sayfasından verisini indirebilir ya da silinmesini talep edebilir. Veriler AB'de (İrlanda) barındırılan altyapıda tutulur; bu yurt dışına aktarım anlamına geldiği için aydınlatma metninde belirtilmesi ve kanundaki aktarım şartlarının sağlanması gerekir. Ayrıntılar KVKK sayfamızda. Araçlar işini kolaylaştırır ama hukuki değerlendirmenin yerini tutmaz.

KVKK ve İYS uyumu için kontrol listesi

Programı yayına almadan önce şu listeyi tek tek işaretle; emin olmadığın maddeler için hukukçuna danış.

• Aydınlatma metni hazır ve müşteri veriyi vermeden önce erişilebilir.
• Açık rıza gerekiyorsa aydınlatmadan ayrı, hizmet şartına bağlanmamış bir onay olarak alınıyor.
• İleti izni ayrı bir kutuyla, varsayılan olarak işaretsiz şekilde isteniyor.
• İleti onayları kayıt altında ve İYS'ye kaydediliyor.
• Her kampanya iletisinde kolay ve ücretsiz bir ret yolu var.
• Sadece gerekli veriler toplanıyor; sağlık gibi özel nitelikli veriler programda yok.
• Saklama süresi belirlenmiş ve süresi dolan veriler siliniyor veya anonimleştiriliyor.
• Erişim ve silme talepleri için bir başvuru yolu ve kayıt düzeni var.
• Yazılım sağlayıcısıyla veri sorumlusu ve veri işleyen rolleri netleştirilmiş.
• Yurt dışı aktarım varsa aydınlatma metninde belirtilmiş ve aktarım şartları değerlendirilmiş.
• Personel, müşteri verisini kişisel telefonlara veya defterlere kopyalamaması konusunda bilgilendirilmiş.

Dijital kartın temellerini merak ediyorsan dijital sadakat kartı nedir rehberine bak. Paketlerin ve özelliklerin listesi fiyatlar bölümünde.