Mesajlaşma uygulaması üzerinden operasyon
Randevu, adres ve ödeme koordinasyonunun kişisel WhatsApp hatlarından yürütülmesi; verinin kurumsal kontrol dışına çıkması ve çalışan ayrıldığında veriyle gitmesi demektir.
Sektör · Sektörel KVKK Çözümü
Hizmet Sektörüne Özel KVKK Çözümleri
Hizmet işletmelerinde veri, müşteriyle kurulan her temasta birikir: randevu, çağrı, saha ziyareti, memnuniyet anketi. Ölçek küçük olsa da yükümlülük aynıdır; uygulanabilir bir uyum düzeni kuruyoruz.
Kısa cevap
Hizmet sektörü, üretim yapmayan ve doğrudan müşteriyle temas eden çok çeşitli işletmeleri kapsar: temizlik, bakım-onarım, güzellik, spor, etkinlik, çağrı merkezi, emlak ve benzeri. Ortak paydaları, kişisel veriyi az sayıda ama sürekli temas noktasından toplamalarıdır. KVKK uyumu bu işletmelerde büyük bütçeli bir proje değil; hangi verinin niçin toplandığının yazılı hâle getirilmesi, erişimin daraltılması, gereksiz verinin toplanmaması ve saklama süresinin tanımlanmasıdır. Ölçek küçüklüğü yükümlülüğü ortadan kaldırmaz.
Hizmet Sektöründe KVKK Neden Ayrı Yönetilmeli?
Hizmet işletmelerinin çoğu, kişisel veri işlediğinin farkındadır ama bunu bir uyum konusu olarak görmez: müşteri defteri zaten hep vardı, randevu telefonla alınıyordu. Dijitalleşmeyle birlikte bu kayıtlar bulut sistemlere, mesajlaşma uygulamalarına ve dış hizmet sağlayıcılara dağıldı. Risk, verinin hassaslığından çok kontrolsüz dağılmasından doğar.
Çağrı merkezi ses kayıtları
Kayıt öncesi bilgilendirme yapılmaması, saklama süresinin tanımsız olması ve kayıtlara geniş erişim verilmesi sık rastlanan açıklardır.
Saha ekipleri ve eve giriş
Temizlik, bakım ve kurulum hizmetlerinde müşterinin ev adresi, kapı kodu ve evde bulunma saati işlenir; bu veri saha personelinin telefonunda kalır.
İzinsiz pazarlama iletisi
Hizmet sırasında alınan telefon numarasının kampanya listesine eklenmesi; İYS kaydı ve kanal bazlı izin olmadan yaptırım doğurur.
Dış kaynak hizmet sağlayıcılar
Randevu yazılımı, muhasebe bürosu, çağrı merkezi ve bulut depolama sağlayıcıları veri işleyendir; yazılı sözleşme çoğu işletmede yoktur.
İşletme içi kameralar
Güvenlik amacıyla kurulan kameraların müşteri bekleme, kasa ve personel alanlarını kapsaması ölçülülük sorunu doğurur.
Hizmet Sektöründe İşlenen Kişisel Veriler
Aşağıdaki kırılım hizmet işletmelerinde tipik olarak karşılaştığımız kategorileri gösterir. Envanter çalışmasında faaliyet alanınıza özgü kalemlerle genişletilir.
Müşteri ve randevu kayıtları
Ad soyad, telefon, e-posta, adres, randevu geçmişi, hizmet notları, tercih ve talepler
Hukuki sebep ve not: Sözleşme ve meşru menfaat; hizmet notlarında sağlık veya hassas bilgi yer alıyorsa erişim ayrıca daraltılır.
Ödeme ve fatura
Fatura bilgileri, ödeme yöntemi, taksit ve abonelik kayıtları, borç ve tahsilat geçmişi
Hukuki sebep ve not: Hukuki yükümlülük; vergi mevzuatı saklama süresini belirler.
İletişim kayıtları
Çağrı merkezi ses kayıtları, mesajlaşma yazışmaları, e-posta trafiği, şikâyet ve talep dosyaları
Hukuki sebep ve not: Meşru menfaat; kayıt öncesi bilgilendirme ve saklama süresi tanımlanır, mesajlaşma kurumsal kanala taşınır.
Saha hizmeti verisi
Servis adresi, kapı kodu, randevu saati, iş öncesi ve sonrası fotoğraflar, müşteri imzası
Hukuki sebep ve not: Sözleşmenin ifası; görseller kurumsal sistemde toplanır, personelin kişisel cihazında bırakılmaz.
Pazarlama ve sadakat
Üyelik kayıtları, kampanya etkileşimleri, İYS izin kaydı, memnuniyet anketleri, çevrim içi yorumlar
Hukuki sebep ve not: Açık rıza ve ticari elektronik ileti izni; izin kaydı kanıtlanabilir biçimde saklanır.
Çalışan kayıtları
Özel nitelikliÖzlük dosyaları, vardiya ve mesai kayıtları, saha personeli konum verisi, işyeri hekimi dosyaları
Hukuki sebep ve not: Sağlık kayıtları özel nitelikli veridir; konum izleme iş amacıyla sınırlandırılır.
Çözüm Kapsamı
Program ölçeğe göre kurulur. Hedef, kâğıt üzerinde kapsamlı ama uygulanmayan bir dokümantasyon değil; işletmenin gerçekten yürütebileceği sade ve etkili bir düzendir.
Ölçeğe uygun veri envanteri
Müşteri kabulü, randevu, hizmet sunumu, tahsilat ve pazarlama süreçleri kaynak ve hukuki sebep kırılımıyla çıkarılır.
İletişim kanalı disiplini
Kişisel mesajlaşma hatlarından kurumsal sisteme geçiş planlanır; müşteri verisinin cihazlarda kalması engellenir.
Aydınlatma ve rıza metinleri
Müşteri, aday, çalışan ve ziyaretçi için ayrı metinler; randevu ve hizmet başlangıcına gömülü bilgilendirme tasarlanır.
İzin yönetimi ve İYS uyumu
Kanal bazlı izin kaydı, izin kanıtının saklanması ve ret akışının İYS ile eşlenmesi sağlanır.
Hizmet sağlayıcı sözleşmeleri
Randevu yazılımı, muhasebe, çağrı merkezi ve bulut sağlayıcılarıyla veri işleyen sözleşmeleri tamamlanır.
VERBİS değerlendirmesi
Kayıt yükümlülüğü kriterleri işletme bazında değerlendirilir; yükümlülük varsa envanterle uyumlu kayıt yapılandırılır.
Müşteri Bilgileri Kimin Telefonunda?
- Randevu ve adres bilgileri personelin kişisel WhatsApp hattında tutuluyor.
- Çalışan işten ayrıldığında müşteri listesi telefonuyla birlikte gidiyor.
- Çağrı kayıtlarında arayan bilgilendirilmiyor ve saklama süresi tanımlı değil.
- Hizmet sırasında alınan telefon numarasına ayrı izin olmadan kampanya mesajı gönderiliyor.
- Kullanılan randevu yazılımıyla imzalanmış bir veri işleyen sözleşmesi bulunmuyor.
- İş öncesi ve sonrası çekilen fotoğraflar saha personelinin galerisinde kalıyor.
Uygulama Süreci
Keşif ve kapsam
Müşteri kabulünden hizmetin tamamlanmasına kadar akış yerinde izlenir; kullanılan yazılım ve iletişim kanalları tek tek listelenir.
Veri envanteri
Tüm veri işleme faaliyetleri; veri kategorisi, hukuki sebep, saklama süresi, alıcı grubu ve aktarım kırılımıyla çıkarılır.
Boşluk analizi
Mevcut durum mevzuatla karşılaştırılır; açıklar ihlal olasılığı ve etkisine göre önceliklendirilir.
Belgelendirme ve devreye alma
Politika, aydınlatma metni, sözleşme seti ve VERBİS adımları hazırlanıp uygulamaya alınır.
Eğitim ve sürdürme
İlgili ekiplere rol bazlı eğitim verilir; periyodik gözden geçirme takvimi kuruma devredilir.
Teslim Edilecek Çıktılar
- Kişisel veri işleme envanteri ve veri akış haritası
- Kişisel veri saklama ve imha politikası ile periyodik imha takvimi
- Veri işleyen sözleşmesi ve gizlilik taahhütnamesi seti
- VERBİS kayıt dosyası ve güncelleme kılavuzu
- İlgili kişi başvurusu karşılama prosedürü ve yanıt şablonları
- Veri ihlali müdahale planı ve Kurul'a bildirim akışı
- Müşteri, aday, çalışan ve ziyaretçi aydınlatma metinleri
- Kurumsal iletişim kanalı geçiş planı ve cihaz kullanım talimatı
- Çağrı kaydı bilgilendirme ve saklama prosedürü
- Kanal bazlı izin yönetimi ve İYS uyum akışı
- Hizmet sağlayıcı veri işleyen sözleşme seti
Kimler İçin Uygun?
Temizlik ve tesis hizmetleri
Müşteri adresine giren, saha personeli çalıştıran hizmet işletmeleri.
Bakım, onarım ve kurulum firmaları
Randevulu saha hizmeti veren, iş öncesi-sonrası görsel kaydı tutan şirketler.
Güzellik, spor ve wellness işletmeleri
Randevu geçmişi, üyelik ve sağlık beyanı işleyen hizmet noktaları.
Çağrı merkezi ve destek hizmetleri
Başka kurumlar adına müşteri verisi işleyen, veri işleyen sıfatı taşıyan işletmeler.
İlgili Hizmetler
Bu sektörel program, aşağıdaki danışmanlık hizmetlerinin sektöre uyarlanmış birleşimidir; her biri ayrı ayrı da alınabilir.
İlgili Sektörler
Benzer veri kategorilerini işleyen ya da aynı tedarik zincirinde yer alan sektörlerin uyum sayfaları.
Sık Sorulan Sorular
Geçerlidir. KVKK'nın uygulanması işletme büyüklüğüne bağlı değildir; kişisel veri işleyen her gerçek ve tüzel kişi veri sorumlusudur. Ölçekle değişen tek şey VERBİS kayıt yükümlülüğüdür; bu, çalışan sayısı, mali bilanço büyüklüğü ve işlenen verinin niteliği üzerinden belirlenir ve küçük işletmelerin çoğu kriterleri karşılamayabilir. Ancak aydınlatma yükümlülüğü, güvenlik tedbirleri, saklama-imha düzeni ve ilgili kişi başvurularını karşılama yükümlülüğü ölçekten bağımsız olarak geçerlidir.
Uygulamanın kendisi yasak değildir; sorun kişisel hatlar üzerinden yürütülmesidir. Müşteri adı, adresi, randevusu ve bazen ödeme bilgisi çalışanın kişisel cihazında birikir; cihaz kaybolduğunda, çalışan ayrıldığında veya galeri yedeklemesi buluta çıktığında işletmenin hiçbir kontrolü kalmaz. Doğru kurgu; kurumsal bir numara veya iş uygulaması kullanmak, geçmişi kurumsal sistemde tutmak ve ayrılışta erişimi kapatmaktır.
Üç şey gerekir. Birincisi bilgilendirme: kayıt başlamadan önce arayana kaydın yapıldığı ve amacı bildirilmelidir. İkincisi saklama süresi: kaydın niçin tutulduğuna göre belirlenmiş, yazılı bir süre olmalı ve süre sonunda imha edilmelidir. Üçüncüsü erişim: kayıtlara kimin erişebileceği sınırlandırılmalı ve erişimler kayda alınmalıdır. Kayıtların dış bir çağrı merkezinde tutulması hâlinde ayrıca veri işleyen sözleşmesi gerekir.
Kural olarak evet. Bulut tabanlı randevu, CRM veya muhasebe yazılımı sizin belirlediğiniz amaçla müşteri verinizi barındırır ve işler; bu bir veri işleyen ilişkisidir ve yazılı sözleşme gerekir. Sağlayıcının sunucuları yurt dışındaysa ayrıca sınır ötesi aktarım rejimi devreye girer. Çoğu sağlayıcının hazır bir veri işleme sözleşmesi vardır; imzalanmış bir nüshasının dosyanızda bulunması gerekir.
İşin doğru yapıldığını belgeleyen ve olası uyuşmazlıkta kullanılacak görseller sözleşmenin ifası kapsamında değerlendirilebilir. Ancak fotoğrafın referans, sosyal medya veya tanıtım amacıyla kullanılması ayrı bir amaçtır ve açık rıza gerektirir. Her hâlde görseller kurumsal bir sistemde toplanmalı, personelin kişisel galerisinde kalmamalı, kadraj işin kendisiyle sınırlı tutulmalı ve belirlenen süre sonunda silinmelidir.
En verimli başlangıç envanterdir: hangi veriyi, kimden, niçin topluyorsunuz ve nerede tutuyorsunuz. Bu liste çıkarıldığında gereksiz toplanan veriler ve kontrolsüz kanallar kendiliğinden görünür hâle gelir. Ardından sırasıyla; aydınlatma metinlerinin hazırlanması, erişimin daraltılması, hizmet sağlayıcılarla sözleşmelerin tamamlanması ve saklama-imha takviminin kurulması gelir. Küçük işletmelerde bu adımlar birkaç hafta içinde tamamlanabilir.
Uygulanabilir bir uyum düzeni kuralım
Faaliyet alanınızı ve kullandığınız sistemleri paylaşın; ücretsiz ön görüşmede ölçeğinize uygun, gerçekten yürütebileceğiniz bir öncelik listesi çıkaralım.
