Rehber
KVKK marketler için: sadakat programı ve kasada kişisel veri
· 7 dk okuma · Kasadaş ekibi
Kısa cevap: 6698 sayılı KVKK’ya göre market, müşterisinin telefon numarası ve alışveriş geçmişi gibi kişisel verileri işlerken veri sorumlusudur: veriyi toplarken aydınlatma yapmalı, gerekiyorsa açık rıza almalı, veriyi amaçla sınırlı tutmalı, güvenliğini sağlamalı ve ilgili kişinin haklarına cevap vermelidir.
Market neden veri sorumlusudur?
Bir market sadakat programıyla müşterisinin adını, telefon numarasını ve alışveriş geçmişini tuttuğunda kişisel veri işler. 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (KVKK) göre verinin işlenme amaçlarını ve araçlarını belirleyen kişi ya da kurum veri sorumlusudur. Yani yazılımı kim sağlarsa sağlasın, müşteri verisinden market sorumludur; yazılım sağlayıcısı ise çoğunlukla veri işleyen konumundadır.
Temel yükümlülükler
- İlkeler (md. 4): Veri hukuka ve dürüstlük kurallarına uygun, doğru, belirli ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü işlenir; gerekli süre kadar saklanır.
- Hukuki sebep (md. 5): Her işlemenin bir hukuki sebebi olmalıdır; kanunda sayılan sebepler yoksa açık rıza gerekir.
- Aydınlatma (md. 10): Veri toplanırken kişiye kimin, hangi veriyi, hangi amaçla, hangi hukuki sebeple işlediği, kime aktarabileceği ve hakları bildirilir.
- Kişinin hakları (md. 11): Kişi verisinin işlenip işlenmediğini öğrenme, düzeltme, silme gibi haklara sahiptir; başvurulara cevap verilir.
- Veri güvenliği (md. 12): Yetkisiz erişimi ve veri kaybını önleyecek teknik ve idari tedbirler alınır.
- VERBİS (md. 16): Kayıt yükümlülüğü ve istisnaları Kurul kararlarıyla belirlenir.
Markette sık karşılaşılan durumlar
Telefonla üyelik: Kasada üyelik sırasında kısa bir aydınlatma yapılır, tam metne bağlantı verilir (ör. SMS ile). Pazarlama iletisi isteniyorsa onay ayrıca alınır ve İYS’ye kaydedilir.
Kampanya ve segmentler: Alışveriş geçmişine göre kişiye özel kampanya yapmak, üyelikten ayrı bir amaçtır. Bunun hukuki sebebi ve gerekiyorsa açık rıza belirlenmelidir. Rıza geri çekilirse kişi segmentlerden çıkarılmalıdır.
Kasiyer ekranı ve raporlar: Satışı tamamlamak için kasa ekranında müşterinin tam telefon numarasının görünmesi gerekmez. Numaranın maskelenmesi veri minimizasyonu ilkesine uygundur.
Loglar ve yedekler: Teknik kayıtlarda kişisel veri tutulmamalı; yedekler şifrelenmeli.
Hesap silme: Müşteri uygulamanız varsa uygulama içinden ve web üzerinden hesap silme yolu sunulmalıdır; yasal olarak saklanması gereken kayıtlar aydınlatma metninde açıklanır.
Yurt dışına aktarım: Bildirim ya da e-posta gibi hizmetlerin sunucuları yurt dışındaysa bu bir aktarımdır ve KVKK’daki şartlara tabidir.
Yazılımda arayacağınız özellikler
- Kişisel verinin loglanmaması, raporlarda telefonun maskelenmesi,
- onay ve rızaların kaynak ve zamanıyla kaydedilmesi,
- rıza geri çekilince ilgili işlemenin hemen durması,
- yetki ve rolle sınırlı erişim, şifreli yedek,
- veri yerinin (Türkiye ya da kendi sunucunuz) bilinmesi,
- saklama süreleri dolunca silme ya da anonimleştirme.
Kasadaş’ta kişisel veri
Kasadaş’ta kişisel veri loglanmaz; telefon numaraları raporlarda maskelenir. Pazarlama izinleri İYS’ye kaydedilir; açık rıza geri çekilince segment üyelikleri hemen silinir. Üyelikte 18 yaş beyanı alınır. Yurt dışı aktarım rızası olmayan müşterinin bildirim jetonu yurt dışındaki sağlayıcıya gönderilmez. Bulut merkez verisi Türkiye’de barındırılır, yedekler şifrelenir. Müşteri uygulaması için web üzerinden hesap silme sayfası vardır.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş değildir. Aydınlatma metinleriniz ve hukuki sebepleriniz için hukuk danışmanınıza başvurun.
Sık sorulanlar
Sadakat programı için açık rıza gerekir mi?
Üyeliğin kendisi ile pazarlama, profilleme ve kampanya iletisi gibi ek amaçlar ayrı değerlendirilir. Hangi işlemenin hangi hukuki sebebe dayandığını, açık rıza gereken yerleri ve aydınlatma metnini hukuk danışmanınızla belirleyin.
Kasada müşterinin telefon numarası görünmeli mi?
Gerekenden fazla görünmemelidir. Veri minimizasyonu ilkesi gereği kasiyer ekranında ve raporlarda telefon numarası maskelenebilir; tam numaraya yalnız yetkili kişiler erişmelidir.
VERBİS’e kaydolmak zorunda mıyım?
VERBİS kayıt yükümlülüğü ve istisnaları Kişisel Verileri Koruma Kurulu kararlarıyla belirlenir; çalışan sayısı ve yıllık mali bilanço gibi ölçütlere bağlıdır. Güncel durumu Kurumun sitesinden ve hukuk danışmanınızdan teyit edin.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (Mevzuat Bilgi Sistemi) (erişim: 2026-10-11)
- Kişisel Verileri Koruma Kurumu (erişim: 2026-10-11)
- VERBİS — Veri Sorumluları Sicil Bilgi Sistemi (erişim: 2026-10-11)