Halı Yıkama KVKK Rehberi: Müşteri Verisi Nasıl Korunur?

Halı yıkama firması, müşterisinin adını, telefonunu ve adresini deftere ya da programa yazdığı anda 6698 sayılı Kişisel Verilerin Korunması Kanunu'na (KVKK) göre veri sorumlusu olur. Kullandığı halı yıkama programı ise firma adına veriyi saklayan veri işleyendir. Bu ayrım, kimin neyden sorumlu olduğunu belirler. Bu halı yıkama KVKK rehberinde halı yıkama işinde KVKK'nın ne anlama geldiğini, esnafın günlük işinden örneklerle anlatıyoruz.

Not: Bu yazı genel bilgilendirmedir, hukuki danışmanlık değildir. Kendi durumunuz için bir hukukçuya danışın; resmî kaynak kvkk.gov.tr ve kanun metni mevzuat.gov.tr adresindedir.

Halı yıkamada hangi veriler kişisel veridir?

Bir kişiyi tanımlayan ya da tanımlanabilir kılan her bilgi kişisel veridir. Halı yıkama işinde bunlar:

Notlara dikkat: serbest metin alanlarına zamanla kapı şifresi, sağlık durumu ("yaşlı, yatağa bağlı"), ev boşken anahtarın yeri gibi hassas bilgiler yazılır. Bu bilgileri yalnız gerçekten gerekiyorsa ve en kısa hâliyle yazın.

Veri sorumlusu kim, veri işleyen kim?

• Veri sorumlusu: verinin neden ve nasıl işleneceğine karar veren. Halı yıkama firması.
• Veri işleyen: veri sorumlusu adına, onun talimatıyla veriyi işleyen. Kullandığınız program, SMS sağlayıcınız.

Önemli bir ayrıntı: veri sorumlusu firmanın gerçek kişiliğidir, tabeladaki ticari ad değildir. "Yıldız Halı" adıyla çalışan şahıs işletmesinde veri sorumlusu işletme sahibinin kendisidir; şirkette ise şirketin ticaret unvanıdır. Aydınlatma metninde bu gerçek ad ya da ünvan yazmalıdır.

Aydınlatma yükümlülüğü: müşteriye ne söylenmeli?

KVKK, veri toplanırken kişinin bilgilendirilmesini ister. Aydınlatma metninde genel olarak şunlar bulunur:

1. Veri sorumlusunun kimliği (gerçek ad ya da ünvan) ve iletişim bilgisi.
2. Verinin hangi amaçla işlendiği (sipariş, alım, teslim, tahsilat, iletişim).
3. Verinin kimlere ve hangi amaçla aktarılabileceği (örneğin SMS sağlayıcısı, program sağlayıcısı).
4. Verinin toplanma yöntemi ve hukuki sebebi.
5. Kişinin KVKK'daki hakları (bilgi isteme, düzeltme, silme, itiraz gibi).

Aydınlatmanın bir yolu, talep formuna ve web sitenize metni koymak, fişe ya da mesaja kısa bir bağlantı eklemektir. Metni kendi işinize göre bir hukukçuyla hazırlamak en doğrusudur.

Açık rıza ne zaman gerekir?

Halıyı almak, yıkamak, teslim etmek ve parasını istemek için gereken ad, telefon ve adres, sözleşmenin kurulması ve ifası için işlenir. Bunun için ayrıca açık rıza istenmez; aydınlatma yeterlidir. Açık rıza, bu amacın dışına çıkan işler için gündeme gelir. Kampanya mesajı ise KVKK'dan ayrı olarak ticari ileti onayı (İYS) ister; ayrıntısı SMS, İYS ve ticari ileti yazısında.

Her müşteriye "KVKK onay formu" imzalatmak, gereksiz olduğu kadar yanıltıcı da olabilir: açık rıza gerekmeyen işi rızaya bağlamak, rıza geri alındığında işi yapamayacağınız izlenimi verir.

Ne toplamamalı: T.C. kimlik numarası ve fazlası

KVKK'nın temel ilkelerinden biri, verinin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmasıdır. Halı yıkamak için T.C. kimlik numarasına ihtiyaç yoktur. Doğum tarihi, meslek, aile bilgisi de gerekmez. Toplamadığınız veri sızamaz.

Veri güvenliği: günlük işte nelere dikkat edilir?

KVKK, veri sorumlusunun veriyi korumak için gerekli teknik ve idari tedbirleri almasını ister. Halı yıkama işinde bunun somut karşılıkları:

• Etikete müşterinin telefonunu basmayın. Etiket atölyede, araçta, başka evlerin kapısında dolaşır. Ad, mahalle ve parça numarası yeterlidir.
• Müşterileri çalışanın rehberine kaydetmeyin. Rehber kişisel telefona, bulut yedeğine ve oradaki uygulamalara gider; çalışan ayrılınca liste onunla gider.
• Erişimi işe göre verin. Şoförün bütün müşteri listesine değil, günün işlerine ihtiyacı var. Bkz. personel yetkilendirme.
• Toplu dışa aktarmayı sınırlayın. Bütün listeyi dosya olarak indirme yetkisi yalnız sahipte ya da güvendiğiniz bir ofis çalışanında olsun.
• Ayrılan çalışanın erişimini aynı gün kapatın.
• Kilitli ekranda az bilgi. Masada duran telefonda müşterinin borcu herkesin gözü önünde olmamalı.
• Ortak WhatsApp gruplarına müşteri listesi atmayın.

Bir veri ihlali olursa (çalınan telefon, yanlış kişiye giden liste), Kurul'a ve gerekirse ilgili kişilere bildirim yükümlülüğü doğabilir. Kurul bunun için kısa bir süre (72 saat) öngörmüştür. Böyle bir durumda vakit kaybetmeden bir hukukçuya danışın.

Program, SMS sağlayıcısı ve diğer veri işleyenler

Müşteri verisini bir programa, bir SMS sağlayıcısına ya da bir muhasebe yazılımına koyduğunuzda, o hizmeti veren firma sizin adınıza veri işler. Veri sorumlusu olarak bunları seçerken şunlara bakın:

• Sözleşme: hizmet sağlayıcının veri işleyen olduğunu ve veriyi yalnız sizin talimatınızla işleyeceğini söyleyen bir sözleşme ya da şartlar var mı?
• Aktarım listesi: veri yurt dışındaki bir hizmete gidiyor mu? Gidiyorsa hangisi ve neden? Gizlilik metninde açıkça yazmalı.
• Çıkış yolu: ayrıldığınızda müşteri listenizi dosya olarak alabiliyor musunuz, sonrasında veri siliniyor mu?
• Reklam ve takip: iş uygulamasında reklam ya da reklam takip yazılımı varsa, müşteri verinizin pazarlama amacıyla kullanılmadığından emin olun.

WhatsApp tıkla-gönderde mesajı personel kendi telefonundan gönderir; bu durumda verinin WhatsApp'a gitmesi sizin ve çalışanınızın tercihidir. Bu yüzden WhatsApp'tan yalnız işin gerektirdiği bilgiyi gönderin.

Saklama süresi: ne kadar tutulur?

Kişisel veri, işlendiği amaç için gereken süre kadar saklanır. Halı yıkamada müşteri kaydı müşteri ilişkisi sürdükçe anlamlıdır; borç ve tahsilat kayıtları ise vergi ve ticaret mevzuatının saklama süreleriyle ilgilidir. Hangi belgeyi kaç yıl saklamanız gerektiğini mali müşavirinize sorun.

Süresi dolan veri silinmeli, yok edilmeli ya da anonim hâle getirilmelidir. "Nasılsa yer kaplamıyor" diye yıllarca tutulan eski müşteri listesi, sızıntıda yalnız risktir.

Müşteri başvurusu gelirse

Müşteri, verisinin işlenip işlenmediğini öğrenmek, düzeltilmesini ya da silinmesini istemek gibi haklarını veri sorumlusuna, yani firmaya başvurarak kullanır. Başvuru en geç 30 gün içinde cevaplanır.

Pratik yol: müşteri kaydını bulun, istenen düzeltmeyi yapın ya da kaydı silin; yasal olarak saklamanız gereken (örneğin mali) kayıtları ayırın; yaptığınız işlemi müşteriye yazılı bildirin.

VERBİS kaydı gerekir mi?

VERBİS, veri sorumluları siciline kayıt sistemidir. Kurul, çalışan sayısı ve mali büyüklük eşiklerinin altında kalan ve ana işi özel nitelikli veri işlemek olmayan veri sorumlularını kayıttan muaf tutmuştur. Halı yıkama firmalarının çoğu bu muafiyete girebilir; ama eşikler değişebildiği için güncel durumu kvkk.gov.tr'den ya da mali müşavirinizden kontrol edin. Kayıttan muaf olmak, aydınlatma ve güvenlik yükümlülüklerini kaldırmaz.

HalıKaydet'te kişisel veri nasıl korunur?

HalıKaydet, halı yıkama firmaları için siparişi, etiketi, teslimi ve tahsilatı tutan telefon uygulaması ve web panelidir. Firmanın müşteri verisinde veri sorumlusu firma, HalıKaydet veri işleyendir. Program şu tedbirlerle çalışır:

• T.C. kimlik numarası toplanmaz; yeni işte tek zorunlu alan telefondur.
• Müşteriler telefon rehberine yazılmaz; liste uygulamanın içinde kalır.
• Etikette ve fişte müşterinin telefonu yoktur.
• Arayan kartı kilit ekranında yalnız müşterinin adını ve işin durumunu gösterir; adres ve borç kilit açılınca. Arayan numara telefondaki listede eşleşir, sunucuya sorulmaz; arama kaydı izni istenmez.
• Müşteri listesi sahip ve ofis telefonlarına iner; şoför ve atölye telefonuna bütün liste gitmez.
• Yetki anahtarları: dışa aktarma yalnız sahip ya da ofis rolündeki kişiye açılabilir; silme ve çöpü boşaltma ayrı yetkilerdir.
• İşlem günlüğü: kim neyi ne zaman değiştirdi tutulur; hassas alanların ve serbest not alanlarının değeri günlükte gizlenir.
• Talep formunda aydınlatma metni veri sorumlusu olarak firmanın gerçek ünvanını yazar; ünvan girilmeden site ve form yayına alınmaz.
• Fiş bağlantısı ve talep formu çerez bırakmaz; uygulamada reklam ve takip yazılımı yoktur.
• Saklama süreleri gizlilik metninde yazar: sesle iş kaydında ses saklanmaz, metin belirli süre sonra silinir; firma ayrılınca verisi belirli bir süre sonra kalıcı silinir.
• Müşteri listesini dışa aktarma (Excel'de açılan dosya) pakete bağlıdır; hangi pakette olduğu paketler sayfasında yazar.

Ayrıntılı liste HalıKaydet'in gizlilik metninde, arayan kartının izinleri arayan müşteri tanıma sayfasında. Programın tamamı için halı yıkama programı nedir yazısına bakın.

Kısa kontrol listesi

• Aydınlatma metniniz var mı, gerçek ad ya da ünvanınız yazıyor mu?
• T.C. kimlik gibi gereksiz veri topluyor musunuz?
• Etikette müşteri telefonu var mı?
• Müşteriler çalışanların rehberinde mi?
• Bütün listeyi kimler indirebiliyor?
• Ayrılan çalışanların erişimi kapandı mı?
• Eski, artık gerekmeyen kayıtlar duruyor mu?

Bu düzeni hazır kurallarla uygulamak için ücretsiz deneme hesabı açabilirsiniz; paket ayrıntıları paketler sayfasında.

Sık sorulanlar