Salonlar İçin KVKK Rehberi: Müşteri Verisi Nasıl Korunur?

Müşterilerinin adını, telefonunu ve randevu geçmişini kaydeden her kuaför, berber ya da güzellik merkezi KVKK açısından veri sorumlusudur ve bu verileri hukuka uygun, amaçla sınırlı ve güvenli biçimde işlemek zorundadır. Pratikte bu; müşteriyi bilgilendirmek, yalnız gereken bilgiyi tutmak, erişimi kısıtlamak ve gereği kalmayan veriyi silmek demektir.

Bu rehber, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nu (KVKK) bir salonun günlük işleyişi üzerinden anlatır. Bu içerik genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Mevzuat ve Kurul kararları değişebilir; işletmenize özel uygulama için bir hukukçuya danışın ve güncel bilgiyi Kişisel Verileri Koruma Kurumu'nun sitesinden kontrol edin.

KVKK salonunuz için ne anlama gelir?

KVKK'ya göre kişisel veri, kimliği belirli ya da belirlenebilir bir kişiye ait her bilgidir. Bu verinin kaydedilmesi, saklanması, değiştirilmesi, başkasıyla paylaşılması ve silinmesi "işleme" sayılır. Yani randevu defterine yazdığınız bir isim de, telefonunuzdaki bir müşteri sohbeti de, randevu programındaki müşteri kartı da kanunun kapsamındadır.

Bir salonda üç rol vardır:

• Veri sorumlusu: Verinin neden ve nasıl işleneceğine karar veren işletme, yani salonunuz.
• Veri işleyen: Sizin adınıza ve talimatınızla veri işleyen hizmet sağlayıcılar; örneğin kullandığınız yazılım ya da SMS hizmeti. Bir tedarikçinin rolü her zaman net olmayabilir; sözleşme ve koşullarda bunu netleştirin.
• İlgili kişi: Verisi işlenen kişi; müşterileriniz (ve çalışanlarınız).

Kanunun temel ilkeleri basittir: veriyi hukuka ve dürüstlük kurallarına uygun işleyin, doğru ve güncel tutun, belirli ve meşru bir amaç için toplayın, amaçla sınırlı ve ölçülü kalın, gerektiği kadar saklayın.

Bir salon hangi müşteri verilerini işler?

Pet kuaförlerinde hayvanın bilgileri, sahibinin adı ve telefonuyla birlikte tutulduğu için yine kişisel veri düzeninin bir parçasıdır.

Alerji ve sağlık notları: özel nitelikli veriye dikkat

KVKK, sağlık verilerini özel nitelikli kişisel veri sayar. "Amonyağa alerjisi var", "hamile", "cilt hastalığı nedeniyle ilaç kullanıyor" gibi notlar bu gruba girer. Lazer epilasyon, cilt bakımı ve kalıcı makyaj gibi işlemlerden önce doldurulan sağlık beyan formları da öyle.

Özel nitelikli verilerin işlenme şartları, diğer verilere göre daha sıkıdır. 2024'te yürürlüğe giren kanun değişikliğiyle bu şartlar yeniden düzenlendi; ancak bir salon için çoğu durumda en güvenli yol, bu bilgiyi müşterinin açık rızasıyla ve yalnızca hizmeti güvenle verebilmek için kaydetmektir. Kurul ayrıca bu tür veriler için ek güvenlik önlemleri alınmasını bekler.

Pratik öneriler:

• Sağlık notunu yalnızca işlem için gerçekten gerekiyorsa tutun.
• Kısa ve olgusal yazın: "Amonyaklı boyada kaşıntı bildirdi." Teşhis ya da yorum eklemeyin.
• Kâğıt formları resepsiyonda açıkta bırakmayın; kilitli bir dolapta saklayın.
• Bu notları kimlerin görebildiğini sınırlayın.

Aydınlatma ve açık rıza: ikisi aynı şey değil

Aydınlatma yükümlülüğü

Aydınlatma, müşterinin verisi toplanırken ona bilgi vermektir ve rıza alınsın alınmasın her durumda gerekir. Aydınlatmada şunlar bulunmalıdır:

1. Veri sorumlusunun kimliği (salonunuzun adı ve unvanı)
2. Verilerin hangi amaçla işlendiği
3. Kimlere ve hangi amaçla aktarılabileceği
4. Verilerin toplanma yöntemi ve hukuki sebebi
5. Müşterinin KVKK'dan doğan hakları

Bunu uzun bir hukuk metniyle değil, sade bir dille yapın. Kasanın yanına kısa bir bilgilendirme ve tam metne giden bir QR kod koyabilir, web sitenizde aynı metni yayınlayabilirsiniz. Kullandığınız randevu yazılımının kendi aydınlatma metni olması, salonunuzun kendi aydınlatma yükümlülüğünü ortadan kaldırmaz.

Açık rıza ne zaman gerekir?

Randevu oluşturmak, hatırlatma göndermek ya da muhasebe kaydı tutmak gibi işlemler çoğu zaman sözleşmenin ifası veya hukuki yükümlülük gibi başka hukuki sebeplere dayanır; bunlar için açık rıza istemek gerekmez. Kurum rehberleri, başka bir işleme şartı varken açık rızaya dayanmanın yanıltıcı olabileceğine dikkat çeker.

Salonlarda açık rızanın sık gündeme geldiği durumlar ise şunlardır:

• Alerji ve benzeri sağlık bilgilerinin kaydedilmesi
• Müşterinin fotoğrafının ya da videosunun sosyal medyada paylaşılması
• Hizmetle ilgisi olmayan amaçlarla veri kullanılması

Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalıdır. Hizmet şartına bağlanamaz ("fotoğraf izni vermezseniz randevu veremeyiz" olmaz) ve müşteri istediği zaman geri alabilir. Aydınlatma metni ile açık rıza metnini aynı belgede birleştirmeyin; ayrı tutun.

Kampanya SMS'leri için gereken ticari ileti onayı ise KVKK'dan ayrı bir düzenlemedir. Ayrıntıları ticari SMS ve İYS kuralları yazımızda anlattık.

Veri minimizasyonu ve saklama süresi

En güvenli veri, hiç toplamadığınız veridir. Randevu için ad ve telefon çoğu zaman yeterlidir. Kimlik numarası, açık adres ya da kart bilgisi istemeyin. Müşteri kartındaki notları da gözden geçirin: "zor müşteri", "pazarlık eder" gibi ifadeler hem gereksizdir hem de müşteri verilerine erişim talep ettiğinde karşınıza çıkar. Hangi alanların gerçekten işe yaradığını müşteri kartında hangi bilgiler tutulmalı yazımızda ayrıntılı ele aldık.

KVKK, her veri için sabit bir saklama süresi belirlemez; veri, işlendiği amaç için gerekli süre kadar ve diğer kanunların öngördüğü süreler boyunca saklanır. Örneğin muhasebe belgeleri için vergi mevzuatındaki saklama süreleri geçerlidir; bunu muhasebecinizle netleştirin. Uzun süredir gelmeyen müşterilerin kayıtlarını ne zaman sileceğinize ya da anonimleştireceğinize dair yazılı bir kural belirleyin ve belirli aralıklarla uygulayın. VERBİS'e kayıt yükümlüsü olan veri sorumlularının ayrıca bir saklama ve imha politikası hazırlaması gerekir.

Erişim yetkisi ve güvenlik: kim neyi görmeli?

KVKK, veri sorumlusundan verilere hukuka aykırı erişimi önleyecek idari ve teknik tedbirleri almasını ister. Salonda bu şunlar demektir:

• Rol bazlı erişim. Her çalışan yalnızca işini yapmak için gerekeni görmeli. Akıllı Randevu'da sahip, yönetici ve çalışan rolleri vardır; çalışan yalnızca kendi randevularını görür, rapor görme ve fiyat düzenleme yetkisi ayrıca verilir.
• Kişisel hesap. Ortak tablette ya da kasa bilgisayarında herkes aynı şifreyle girmesin; herkesin kendi hesabı olsun.
• Ayrılan çalışan. İşten ayrılan çalışanın erişimini aynı gün kapatın.
• Cihaz güvenliği. Telefon ve bilgisayarlarda ekran kilidi kullanın; e-posta ve yazılım hesaplarınızda iki adımlı doğrulamayı açın.
• Dışa aktarılan dosyalar. Akıllı Randevu'da müşteri ve ödeme listelerini CSV olarak dışa aktarabilirsiniz; veriler işletmenizindir. Ancak dışa aktardığınız dosya da kişisel veri içerir; onu mesajla ya da e-postayla gelişigüzel paylaşmayın, korumalı bir yerde saklayın.
• Tedarikçiler. Randevu yazılımınızın, SMS sağlayıcınızın ve muhasebe büronuzun gizlilik ve veri işleme koşullarını okuyun.

WhatsApp'ta müşteri listesi tutmanın riskleri

Pek çok salonda müşteri bilgisi, salon sahibinin ya da çalışanın kişisel telefonundaki rehberde ve mesajlaşma uygulamasında birikir. Bu düzen kolay görünür, ama KVKK açısından ciddi riskler taşır:

• Kontrol kaybı. Çalışan işten ayrıldığında müşteri numaraları ve yazışmalar onun telefonunda kalır.
• Toplu gruplar. Müşterileri bir gruba eklemek, herkesin telefon numarasını diğer üyelere açar; bu bir veri ifşasıdır.
• Yedekler ve galeriler. Müşteri fotoğrafları kişisel galeriye ve bulut yedeklerine düşer; telefon kaybolduğunda hepsi risk altına girer.
• Yurt dışı aktarım. Sunucuları yurt dışında olan hizmetlerde veri aktarımı kuralları gündeme gelebilir.
• Ayrışmayan kayıtlar. Hangi müşterinin hangi izni verdiğini, kiminle ne konuşulduğunu sonradan göstermek neredeyse imkânsızdır.

Daha güvenli düzen şudur: salon için ayrı bir iş hattı kullanın, müşteri bilgilerini rol bazlı erişimi olan tek bir müşteri takip programında toplayın ve mesajlarda yalnızca gerekli bilgiyi paylaşın. Defter ve tablo düzeninden geçiş sürecini Excel ile randevu takibi mi, randevu programı mı yazımızda karşılaştırdık.

VERBİS kaydı gerekiyor mu?

VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'dir. Kanun veri sorumlularına bu sicile kayıt yükümlülüğü getirir, ancak Kişisel Verileri Koruma Kurulu belirli kriterlere göre istisnalar tanır. Bu kriterler arasında yıllık çalışan sayısı, yıllık mali bilanço toplamı ve işletmenin ana faaliyetinin özel nitelikli kişisel veri işlemek olup olmadığı yer alır. Kurul bu kriterleri zaman içinde güncelleyebildiği için salonunuzun kayıt yükümlüsü olup olmadığını, Kurum'un sitesindeki güncel kararlara göre kontrol edin.

Sağlık bilgisi işlemenin işin merkezinde olduğu bazı güzellik ve bakım hizmetlerinde değerlendirme farklı sonuç verebilir; durumunuzu bir uzmanla netleştirin. Unutmayın: VERBİS istisnası, aydınlatma, veri güvenliği ve müşteri başvurularına yanıt verme gibi diğer yükümlülüklerden muafiyet değildir.

Müşteri başvuruları ve veri ihlali

Müşteriniz, hakkında hangi verilerin işlendiğini öğrenme, bilgi isteme, yanlış verinin düzeltilmesini ya da koşulları oluştuğunda silinmesini talep etme gibi haklara sahiptir. Kanun, bu başvuruların en geç otuz gün içinde yanıtlanmasını öngörür. Salonda başvuruları kimin karşılayacağını ve nasıl kayda alınacağını önceden belirleyin. Silme talebinde, yasal saklama yükümlülüğü olan kayıtları (örneğin muhasebe belgeleri) neden tutmaya devam ettiğinizi müşteriye açıklayın.

Salon telefonunun çalınması, bir hesabın ele geçirilmesi ya da müşteri listesinin yanlış kişiye gönderilmesi veri ihlali sayılabilir. Kurul kararlarına göre ihlalin öğrenilmesinden itibaren en geç 72 saat içinde Kurul'a bildirim yapılması ve etkilenen kişilerin bilgilendirilmesi beklenir. Ne yapacağınızı kriz anında düşünmemek için kısa bir plan hazırlayın.

Salonlar için KVKK kontrol listesi

Müşteri verilerini rol bazlı erişimle tek bir yerde toplamak için Akıllı Randevu'yu 14 gün ücretsiz deneyebilirsiniz.