KVKK Sadakat Programı: Müşteri Verilerinde Dikkat Edilmesi Gerekenler
Her hafta net KVKK kuralları olmadan ihtarname riskiyle karşı karşıya kalırsın – oysa gereksinimler oldukça açıktır.
KVKK ve sadakat programı birlikte çalışabilir, birçok işletmeci düşündüğünden daha iyi. Dijital pul kartı kişisel verileri işler, ancak kurallar oldukça açıktır. Beş noktaya dikkat etmelisin: hukuki temel, ayrı reklam rızası, müşteri bilgilendirmesi, silme ve sağlayıcı ile sözleşme. Bu makale bunları anlaşılır şekilde açıklar. Bu hukuki tavsiye değildir – şüphe durumunda uygulamanı kontrol ettir.
Pul Kartında Hangi Veriler Toplanır?
Hukuki temeller hakkında düşünmeden önce, aslında hangi verilerin toplandığını gör. Tipik bir Wallet pul kartında bunlar vardır:
- Kart tanımlayıcısı: kartın pullarının atanması için rastgele bir kimlik
- İsteğe bağlı ad veya adı: kartta ve mesajlarda hitap etmek için
- İsteğe bağlı doğum günü: sadece doğum günü teklifi sunuyorsan
- Pul ve kullanım geçmişi: ne zaman tarandı, ne zaman kullanıldı
- Teknik veriler: Cüzdan kaydı, zaman damgası, muhtemelen dolandırıcılığa karşı cihaz tanıması
Veri tasarrufu ilkesi (KVKK m. 4/2-f) der ki: Yalnızca amaç için gerekli olanı topla. Doğum günü kampanyası planlamıyorsan, doğum tarihini sorma. Sadece ad yeterli ise, soyadını isteme.
Hukuki Temel: Sözleşme, Rıza veya Meşru Menfaat
Her işleme KVKK m. 5/2'den bir hukuki temel gerekir. Sadakat programları için üç tanesi önemlidir:
| İşleme | Hukuki Temel | Anlamı |
|---|---|---|
| Pul topla, kartı yönet, ödülü kullan | KVKK m. 5/2-c (Sözleşme) | Müşteri programa katılır, işleme yürütülmesi için gereklidir. Ayrı rıza gerekmez. |
| Reklam mesajları, kampanyalar, teklifler | KVKK m. 5/2-a (Rıza) | Gönüllü, bilgilendirilmiş, aktif onay gerekir. Ayrıca TKHK m. 41 geçerlidir. |
| Dolandırıcılık koruması, teknik güvenlik | KVKK m. 5/2-f (Meşru Menfaat) | Örneğin cihaz tanıması, kimsenin kendini sınırsız pul basamaması için. Orantılı olmalıdır. |
En önemli nokta: Pul basma ve reklam iki farklı şeydir. Kartı oluşturan kişi pul basabilir. Reklam almak isteyense, buna ayrıca onay vermelidir.
Reklam Rızası: Ayrı, Boş, Zorunlu Değil
Burada çoğu hata yapılır. Reklam için rıza geçerli olması için:
- ayrı olmalı, programa katılmaktan bağımsız (zorlama yasağı, KVKK m. 6/1)
- aktif verilmelidir, yani müşterinin kendisi işaretlediği bir kutu (önceden işaretli kutu rıza değildir – Avrupa Adalet Divanı bunu Planet49 davasında karara bağlamıştır)
- bilgilendirilmiş olmalıdır: Müşteri ne alacağını bilmelidir (örneğin Cüzdan mesajı yoluyla teklifler)
- her zaman geri çekilebilir olmalıdır, verildiği kadar kolay şekilde
Pratik olarak: Kartı oluştururken gizlilik politikası için zorunlu bir kutu ve teklifler ile kampanyalar için ayrı, varsayılan olarak boş bir kutu vardır. Müşteri ikinci kutuyu işaretlemese bile kartını alır.
Programa katılmak için gerekli olan mesajlar (örneğin "Şimdi 5/10 pulun var" veya "Ödülün hazır"), reklam değildir ve rıza gerektirmez. "Sadece bugün 2'ye 1" ise reklam olur. Bu mesajların teknik olarak nasıl çalıştığı, Müşterilere Push Bildirim Gönderme makalesinde açıklanmıştır.
KVKK m. 10 Uyarınca Bilgilendirme Yükümlülükleri
Veri toplarken müşterileri bilgilendirmelisin. Bilgiler kolayca erişilebilir olmalıdır – kayıt sayfasında bir bağlantı yeterlidir. Zorunlu içerikler şunları içerir:
- Sorumlu kişinin adı ve iletişim bilgileri (sen, işletmeci olarak)
- İşlemenin amaçları ve ilgili hukuki temel
- Alıcılar veya alıcı kategorileri (örneğin yazılım sağlayıcısı veri işleyici olarak, Apple ve Google Cüzdan işlevi için)
- Saklama süresi veya bunun için kriterler
- Kişilerin hakları: Bilgi alma, düzeltme, silme, işlemeyi sınırlama, veri taşınabilirliği, itiraz
- Rızanın geri çekilme hakkı
- Denetim makamına şikayet hakkı
Kendi web sitesi olmayan bir işletmeci burada sıklıkla sorun yaşar: Açıklama nereye konmalı? Bazı sağlayıcılar, işletmeci başına düzenlenebilir bir gizlilik politikası otomatik olarak oluşturur ve barındırır. Müşteri kartı oluştururken bunu görür ve sen hiçbir şey yazman gerekmez.
Kişilerin Hakları: Bilgi Alma ve Silme
Müşteriler her zaman senin hakkında hangi verilere sahip olduğunu öğrenmeyi talep edebilir (KVKK m. 12) ve silmesini isteyebilir (KVKK m. 17). Bunun için iki şeye ihtiyacın vardır:
- Müşteri bulma yolu: Dijital kartta genellikle ad veya kart kimliği aracılığıyla kontrol panelinde.
- Silme işlevi: Müşteri kartı kendisi Cüzdan'dan silebilir veya sen kontrol panelinde onu kaldırabilirsin. Silme tamamen olmalıdır, geçmişler ve raporlardan da, saklama yükümlülükleri olmadığı sürece.
Ayrıca: Veriler sonsuza kadar yatamaz. Makul bir yaklaşım, çok uzun süre kullanılmayan kartları belirlenen bir süre sonra silmek veya anonimleştirmektir. Saklama süresini gizlilik politikanızda açıkça belirtin.
Veri İşleme: Sağlayıcı ile Sözleşme
Sadakat programın için yazılım kullanıyorsan, sağlayıcı müşteri verilerini senin adına işler. Hukuki olarak sen sorumlu kişi, sağlayıcı veri işleyicidir. KVKK m. 12 bunun için yazılı bir sözleşme gerektirir – veri işleme sözleşmesi.
Bunda hangi verilerin işlendiği, sağlayıcının yalnızca senin talimatın üzerine hareket ettiği, verileri nasıl koruduğu ve hangi alt yüklenicileri kullandığı (örneğin barındırma sağlayıcısı) yazılıdır. Ciddi sağlayıcılar kayıt sırasında veri işleme sözleşmesini kabul etmek üzere sunarlar. Ayrıca sunucu konumuna dikkat et: AB'de barındırma değerlendirmeyi önemli ölçüde basitleştirir.
Kendi Kontrol Listesi: Sadakat Programın KVKK Uyumlu mu?
- Yalnızca gerçekten ihtiyaç duyduğum verileri topluyorum
- Reklam kutusu ayrı, boş ve zorunlu değil
- Gizlilik politikası kart oluştururken bağlantılı
- Müşteriler bilgi talep edebilir ve silme isteyebilir
- Sağlayıcı ile veri işleme sözleşmesi imzaladım
- Ekibim müşteri verilerinin gizli olduğunu biliyor
İkiden fazla kutuyu işaretleyemiyorsan, iyileştirme yapmalısın.
Hiçbir Şey Değişmezse Ne Olur
Net KVKK kuralları olmadan ihtarname riski ve veri koruma makamına şikayetler alabilirsin. Cezalar küçük işletmeler için bile ağır olabilir. Daha önemlisi: Müşteriler verilerinin korunmadığını hissederlerse güven kaybederler. Karşılaştırma için: Kağıt kartlarda, kişi hakkında hiçbir şey yazılmadığı sürece çoğu nokta ortadan kalkar. Ad kartın üzerinde yazılır yazılmaz, aynı kurallar geçerli olur, ama silme işlevi ve barındırılan açıklama olmadan. Her iki modelin karşılaştırmasını Kağıt Pul Kartı vs. Dijital Pul Kartı makalesinde bulabilirsin.
Sonuç
KVKK ve sadakat programı çelişki değildir: Pul basma sözleşme üzerinden çalışır, reklam ayrı bir kutu gerektirir, müşteriler bilgilendirilir ve silebilir, sağlayıcı ile veri işleme sözleşmesi vardır. Önemli olan: Bu makale hukuki tavsiye yerine geçmez – somut uygulamanı kontrol ettir. stampa teknik kısmı sana bırakır, ayrı reklam rızası, işletmeci başına otomatik oluşturulan gizlilik politikası ve kayıt sırasında veri işleme sözleşmesi ile. Ücretsiz başlayabilirsin, 100 aktif müşteriye kadar ve kredi kartı olmadan.