Müşteri verisi: KVKK küçük işletme için ne demek?

Önce dürüst bir uyarı

Bu yazı hukuki tavsiye değil. KVKK küçük işletme tarafında çoğu zaman sanıldığından basit, ama sınırda kalan durumlar var: hangi eşiklerin üzerindeki işletmelerin kayıt yükümlülüğü olduğu, senin sektöründe özel bir kural bulunup bulunmadığı gibi. Bunları mali müşavirine ve gerekiyorsa bir avukata sorman gerekir. Aşağıdakiler, sistemleri kurarken sahada gördüğümüz genel çerçeve.

Kişisel veri dediğimiz şey ne

Kişisel veri, bir kişiyi belirli hâle getiren her bilgi. Ad soyad, telefon, adres, plaka, TC kimlik numarası, doğum tarihi, e-posta. Yani müşteri defterindeki neredeyse her satır kişisel veridir. Kanun bunu bilgisayarda tutmanla deftere yazmanı ayırmaz; kayıt sistemli tutuluyorsa kapsam içindedir. "Ben Excel kullanıyorum, sistemim yok" cümlesi seni dışarıda bırakmaz.

Bazı veriler daha hassastır: sağlık bilgisi, biyometrik veri, din, sendika üyeliği gibi. Veteriner hasta kaydında hayvan sahibinin sağlık bilgisi yoktur ama bir güzellik merkezinde müşterinin cilt rahatsızlığı vardır; ikisi aynı özenle tutulmaz. Parmak izi ile giriş yapılan bir tesis işletiyorsan orada da özel bir durum var demektir.

Hangi veriyi topluyorsun, gerçekten lazım mı

En kolay ve en etkili adım bu: bir kağıt al, müşteriden istediğin bilgileri yaz, her birinin yanına niye istediğini yaz. Telefon niye lazım? Randevuyu hatırlatmak için. Adres niye lazım? Teslimat yapıyorsan lazım, kuaförsen lazım değil. Doğum tarihi niye lazım? "İndirim mesajı atarız" diyorsan bunun için müşteriye ayrıca sorman gerekir.

Yanına sebep yazamadığın her alanı formdan sil. Toplamadığın veriyi korumak zorunda değilsin, sızdırırsan da başın ağrımaz. Küçük işletmelerde en sık gördüğümüz hata, "belki bir gün lazım olur" diye TC kimlik numarası istemek. Fatura için gerekiyorsa başka, alışkanlıktan istiyorsan gereksiz risk.

Rıza her şeyin cevabı değil

Yaygın bir yanlış var: her şey için müşteriye onay kutusu imzalatmak. Oysa yaptığın işin gereği olan veriyi işlemek için ayrıca rıza almazsın. Servise araç bırakan müşterinin plakasını yazmak için imza gerekmez, iş zaten o.

Rıza asıl şu noktada devreye girer: pazarlama. Müşteriye kampanya SMS'i, indirim maili, doğum günü mesajı göndereceksen bunun için ayrı ve açık bir onay gerekir. Onay serbest iradeyle verilmiş olmalı; "onaylamazsan randevu vermem" diyorsan o rıza geçerli sayılmaz. Bir de vazgeçme yolu bırakman gerekir. Mesajın altında çıkma seçeneği yoksa, müşteri seni şikayet ettiğinde savunacak bir şeyin olmaz.

Ayrıca müşteriye ne topladığını ve niye topladığını anlatan bir aydınlatma metni bulundurulur. Bu, tezgahın kenarında duran bir sayfa ya da web sitesindeki bir bağlantı olabilir; kimsenin okumadığı üç sayfalık bir hukuk metni olmak zorunda değil.

Veriyi kimlerle paylaşıyorsun

Müşteri bilgisi çoğu zaman senin elinde bitmez. Muhasebecine fatura bilgisi gidiyor, kargo firmasına ad ve adres gidiyor, SMS gönderiyorsan telefon numarası bir servise gidiyor, programını kuran firma sunucuda o veriyi tutuyor. Bunların hepsi normaldir ve iş yapmanın parçasıdır; kimse bunları kes demiyor.

Beklenen şey, kime ne verdiğini biliyor olman ve o tarafın veriyi korumasını sağlaman. Yazılımını kuran kişiye "veri nerede duruyor, kimler erişiyor, ben istediğimde kendi kopyamı alabiliyor muyum" sorularını sor. Cevabı net olmayan yerde veri de net durmuyordur. Personel tarafını da unutma: çalışanların kimlik fotokopisi, banka bilgisi, varsa parmak izi kaydı da kişisel veridir ve müşteri verisiyle aynı özeni ister.

Ne kadar saklamalı

"Sonsuza kadar" diye bir seçenek yok. Veri, toplanma amacı bitince silinir. Ama iki şeyi karıştırmamak gerekir: ticari ve vergisel kayıtlar için ayrı saklama süreleri vardır, faturayı silemezsin. Buna karşılık on yıl önce bir kere gelmiş müşterinin telefon numarasını pazarlama listende tutmanın bir gerekçesi yoktur.

Pratik yol şu: her kayıt türü için bir süre belirle, yazılı hâle getir ve o süre dolunca gerçekten sil. Sürelerin ne olacağını sektörüne göre mali müşavirinle konuş. Yazılım tarafında bunu otomatiğe bağlamak zor değil; zor olan kimsenin bu kararı vermemiş olması.

Korumak ne demek

Kanun teknik bir liste vermiyor, "gereken tedbirleri al" diyor. Sahada bu şuna denk geliyor: her çalışan aynı bilgiyi görmesin, kasadaki eleman tüm müşteri listesini dışa aktarabilmesin. Herkes ortak bir şifre kullanmasın, kimin ne yaptığı belli olsun. İşten ayrılan kişinin erişimi ayrıldığı gün kapansın. Müşteri listesi kimsenin kişisel telefonunda WhatsApp yedeği olarak dolaşmasın. Yedeklerin de korunması gerekir; yedek dosyası masaüstünde durursa asıl sistemi korumanın anlamı kalmaz. Bu konuyu ayrıca yedekleme yazımızda anlattık.

Sızıntı olursa, yani veriler kötü niyetli birinin eline geçerse, bildirim yükümlülüğü doğar. Böyle bir durumda hemen avukatına danış; kendi başına idare etmeye çalışma.

Biz sistem kurarken ne yapıyoruz

Kurduğumuz iş takip, randevu ve stok sistemlerinde bunlar baştan düşünülüyor: kullanıcı rolleri ayrılır, kimin neyi değiştirdiği kaydedilir, saklama süresi dolan kayıtlar silinebilir, veri sizin sunucunuzda ya da bizim barındırdığımız sunucuda korunur. Ne tür sistemler kurduğumuzu hizmetler sayfasında bulabilirsin. Mevcut düzeninde müşteri bilgisinin nerede durduğundan emin değilsen bize yaz, birlikte bakalım. Hukuki kısmı için de mali müşavirin ve avukatın doğru adres; biz yazılım tarafını sağlam tutarız.